Prepínač Dynamické VLAN - Konfigurácia RADIUS servera pre dynamické priraďovanie VLAN

Dynamické priraďovanie VLAN oddeľuje a izoluje zariadenia do rôznych sieťových segmentov na základe autorizácie zariadenia alebo používateľa a ich charakteristík.

Scenár a topológia

V väčšine sietí môžu administrátori potrebovať obmedziť zariadenia na rôznych sieťových zariadeniach z bezpečnostných dôvodov.

Bežným spôsobom, ako dosiahnuť tento druh sieťového obmedzenia, je statické priraďovanie VLAN. Administrátori preto vytvárajú VLANy a konfigurujú príslušné číslo VLAN ku každému portu prepínača v režime prístupu. Naopak, administrátor potrebuje iba nastaviť port prepínača ako trunk a pevný port a niekoľko pravidiel na RADIUS serveri pre dynamické priraďovanie VLAN. To výrazne znižuje množstvo činností/prác pre sieťového administrátora.

Cieľom tohto konfiguračného návodu je ukázať každý krok konfigurácie dynamického priraďovania VLAN na prepínači aj RADIUS serveri.

Konfigurácia

Nasledujúce kroky platia pre prepínače podporujúce zloženú autentifikáciu. Podporované prepínače sú GS2220 a XGS2210 v samostatnom režime a v kolokácii s RADIUS serverom (Windows Server 2019).

Konfigurácia prepínača

• Konfigurujte IP adresu RADIUS, zdieľaný kľúč a nastavenia AAA na:

Advanced Application > AAA > RADIUS Server Setup & AAA Setup

• Konfigurujte 802.1x, MAC autentifikáciu, Guest VLAN a Zloženú autentifikáciu na klientskom porte na

Advanced Application > Port Authentication

• Udržujte režim zloženej autentifikácie ako prísny pre klientsky port

Nastavenie NPS na Windows Server 2019

Otvorte Network Policy Server a kliknite pravým tlačidlom myši na RADIUS Clients > New, aby ste nastavili priateľský názov, IP adresu a zdieľaný kľúč.

Konfigurácia pravidiel požiadaviek na pripojenie (CRP)

• Kliknite pravým tlačidlom na CRP > New
• Zadajte názov politiky CRP
• Zadajte podmienky

Odporúčame použiť NAS Identifier (hostname zariadenia) a NAS IPv4 Address, ak nie ste oboznámení s touto stránkou. Okrem toho, ak máte veľa zariadení, ktoré plánujete pridať do RADIUS klientov, môžete použiť symbol * na vynechanie pridávania mnohých podmienok pre CRP, napríklad „GS22*“ alebo „192.168*“.

• Zadajte Connection Request Forwarding > Next
• Zadajte Authentication Methods > Next
• Konfigurujte nastavenia > Next
• Skontrolujte všetko, čo ste práve nastavili, a kliknite na Finish.

Konfigurácia sieťových politík

• Kliknite pravým tlačidlom na Network Policies > New
• Zadajte názov sieťovej politiky
• Zadajte podmienky > Add > vyberte Windows Groups

• Zadajte Access Permission > Next
• Konfigurujte Authentication Methods

• Konfigurujte Constraints > Next
• Konfigurujte nastavenia.

• Skontrolujte všetko, čo ste nastavili, a kliknite na Finish.

Nastavenie používateľského/zariadeniového účtu na Windows Server 2019

• Otvorte Active Directory Users and Computers
• Kliknite pravým tlačidlom na doménu > New > User
• Vytvorte účty pre 802.1x a MAC autentifikáciu

Poznámka: pre používateľa MAC autentifikácie by mal byť používateľský prihlasovací názov vyplnený presne v rovnakom formáte ako nastavenie na stránke MAC autentifikácie prepínača.

• Okrem toho by heslo používateľa malo zodpovedať nastaveniam prepínača.

Overenie

• Klient úspešne prejde zloženou autentifikáciou; získa IP adresu z dátovej VLAN

• Klient zlyhá v zloženej autentifikácii; získa IP adresu z Guest VLAN

Poznámka:

1. Uistite sa, že DHCP server funguje v sieti.
2. L3 prepínač by mal mať povolený DHCP Smart Relay a smerovať na DHCP server.
3. Ak je váš NPS server nainštalovaný vo virtuálnom stroji a služba NPS nefunguje aj napriek tomu, že beží, mali by ste službu NPS zastaviť a znovu spustiť.