Switch Dynamisk VLAN - Konfigurera RADIUS-server för dynamisk VLAN-tilldelning

Dynamisk VLAN-tilldelning separerar och isolerar enheter i olika nätverkssegment baserat på enhetens eller användarens auktorisering och deras egenskaper.

Scenario & Topologi

I de flesta nätverk kan administratörer behöva begränsa enheter på olika nätverksutrustningar av säkerhetsskäl.

Ett vanligt sätt att uppnå denna typ av nätverksbegränsning är via statiska VLAN-tilldelningar. Administratörer skapar därför VLAN och konfigurerar motsvarande VLAN-nummer för varje switchport i accessläge. Omvänt behöver administratören bara ställa in switchporten som trunk och fast port samt några få policyer på RADIUS-servern för dynamisk VLAN-tilldelning. Detta minskar avsevärt arbetsbördan för nätverksadministratören.

Syftet med denna konfigurationsguide är att visa varje steg för att konfigurera dynamisk VLAN-tilldelning både på switch och RADIUS-server.

Konfiguration

Följande steg gäller för switchar som stöds med sammansatt autentisering. Stödda switchar är GS2220 och XGS2210 i fristående läge och samlokaliserade med en RADIUS-server (Windows Server 2019).

Switchkonfiguration

• Konfigurera RADIUS IP-adress, delad hemlighet och AAA-inställningar på:

Advanced Application > AAA > RADIUS Server Setup & AAA Setup

• Konfigurera 802.1x, MAC-autentisering och Gäst-VLAN samt sammansatt autentisering på klientporten under

Advanced Application > Port Authentication

• Behåll läget för sammansatt autentisering som strikt för klientporten

Ställ in NPS på Windows Server 2019

Öppna Network Policy Server och högerklicka på RADIUS Clients > New för att konfigurera vänligt namn, IP-adress och delad hemlighet.

Konfigurera Connection Request Policies (CRP)

• Högerklicka på CRP > New
• Ange namn för CRP-policyn
• Ange villkor

Vi rekommenderar att använda NAS Identifier (enhetens värdnamn) och NAS IPv4-adress här om du är osäker på denna sida. Dessutom, om du har många enheter som planeras att läggas till som RADIUS-klienter, kan du använda symbolen * för att undvika att lägga till många villkor för en CRP, till exempel ”GS22*” eller ”192.168*”.

• Ange Connection Request Forwarding > Nästa
• Ange Authentication Methods > Nästa
• Konfigurera inställningar > Nästa
• Granska allt du just konfigurerat och klicka på Slutför.

Konfigurera nätverkspolicyer

• Högerklicka på Network Policies > New
• Ange namn för nätverkspolicyn
• Ange villkor > Lägg till > välj Windows Groups

• Ange Access Permission > Nästa
• Konfigurera Authentication Methods

• Konfigurera Constraints > Nästa
• Konfigurera inställningar.

• Granska allt du konfigurerat och klicka på Slutför.

Skapa ett användar-/enhetskonto på Windows Server 2019

• Öppna Active Directory Users and Computers
• Högerklicka på domänen > Nytt > Användare
• Skapa konton för 802.1x och MAC-autentisering

Observera: för MAC-autentiseringsanvändare ska användarens inloggningsnamn fyllas i exakt samma format som inställningen på switchens MAC-autentiseringssida.

• Dessutom ska användarlösenordet matcha inställningen på switchen.

Verifiering

• Klienten passerar sammansatt autentisering; den får IP-adress från Data VLAN

• Klienten misslyckas med sammansatt autentisering; den får IP-adress från Gäst-VLAN

Notera:

1. Se till att DHCP-servern fungerar i nätverket.
2. L3-switch bör aktivera DHCP Smart Relay och peka på DHCP-servern.
3. Om din NPS-server är installerad i en VM och NPS-tjänsten inte fungerar trots att den körs, bör du STOPPA och STARTA NPS-tjänsten igen.