802.1X高级配置
部署VLAN和ACL
Cisco Catalyst交换机(认证方)和Cisco ACS(认证服务器)具备动态分配VLAN或者ACL的能力。
Cisco ACS可以将某个用户分配给指定的VLAN,或应用ACL过滤该用户的流量。用户成功通过802.1X认证后,Cisco ACS向交换机发送Radius属性信息,有交换机负责VLAN的动态分配。
配置动态VLAN和ACL时,需要完成以下工作:
1. 为交换机配置授权
2. 为Cisco ACS配置VLAN(可选)
3. 为交换机配置ACL(可选)
4. 为Cisco ACS配置ACL(可选)
注意:
• 在配置VLAN和ACL之前,需要确保当前环境还部署了其他访问控制手段,即动态VLAN和其他安全措施配合使用。
• 如果当前环境没有配置其他的安全措施,应该考虑采用动态ACL,或者将动态VLAN和动态ACL配合使用。
参与EAP-TLS认证的设备及角色:
根据上图中所示,Cisco ACS将SW(认证方)连接请求方的接口分配给VLAN10,并为数据库中位于Group1中的用户动态指定ACL,ACL的设置为放行HTTP、DNS、PING流量。另外,假设已经为SW和ACS配置好的相关Radius参数,SW已经配置了基本的端口认证。
配置:
1、为交换机配置授权
另外,若SW没有配置802.1X或者ACS没有配置自动VLAN,可以将端口分配给默认VLAN,如下配置:
Cisco交换机的MAC身份验证旁路(MAB)技术介绍:
SW可以根据用户的MAC地址进行身份的验证,这种技术叫做MAC身份验证旁路。但802.1X验证失败时,SW可以尝试采用MAB对客户进行认证,在ACS数据库中存在MAC列表,启用MAB的SW使用客户设备的MAC地址作为身份凭证和该列表比较,如果列表中存在该MAC地址,则对该用户授权,当客户设备连接到SW的802.1X端口时,它将向SW发送以太网帧,其中包含MAC地址,SW转发给ACS后,ACS验证其身份,从而授予一定的权限。
MAB也可进行重认证,其过程与802.1X客户的重认证过程相同,重认证基于一种称为会话超时的Radius属性,当授权期结束后,客户连接将中断。
如果启用MAB的SW端口收到了EAPOL包,说明该端口连接客户支持802.1X,SW将改用802.1X进行认证,如果802.1X端口连接到采用MAB的认证端口,客户将不被取消授权而端口连接,但是在重认证阶段,就会使用802.1X而不是使用MAB了。
MAB的特点:
802.1X认证:仅当端口启用802.1X认证时,才能启用MAB
访客VLAN:若客户设备不能提供合法额MAC地址,SW将把它分配到预先配置的访客VLAN
受限VLAN:对SW的802.1X端口而言,若采用MAB对客户身份进行验证,则无法将其分配到受限VLAN中
端口安全:MAB可以与端口安全配合使用
语音VLAN:MAB也可以和语音VLAN配合使用
VLAN成员策略服务器(VMPS):802.1X与VMPS互斥,二者不能同时使用
私有VLAN:可以将某个端口划分到私有VLAN中,并为其配置MAB
配置WEB认证:
配置多主机模式(单主机模式为默认模式,不需要配置):
由于一台设备通过认证后,该端口就授权了,所以最好和端口安全配合使用。
配置多认证模式(由于每个主机都需要认证,所以不需要使用端口安全)
在使用dot1x host-mode 之前,必须开启在端口开启802.1X认证。
配置多域认证(VLAN10用户数据VLAN供PC使用,VLAN20用于语音VLAN,供IP电话使用)
配置应急开发策略:关键端口、开放式认证
管理员可以通过接口配置命令authentication open启用开放式认证。
解决802.1X兼容性问题:局域网唤醒技术(WoL,Wake on LAN)
不支持802.1X的IP电话
远程引导技术
802.1X高级配置的更多相关文章
- 802.1X基本配置
基本的802.1X部署工作包括以下4步: 1. 为Cisco Catalyst交换机配置802.1X认证方 2. 为交换机配置访客VLAN或者受限VLAN,并调整802.1X定时器(可选) ...
- H3C 802.1X典型配置举例
- H3C 802.1X基本配置
- 华为S5700配置端口镜像和华三S5120配置802.1X认证记录
一.说明 事情的起因是我们部门有个华为的S5700交换机,想配置端口镜像抓包但让助理买的串口线很久都还没到:而昨天测试部的同事说他们那有台华三的S5120想要配802.1X认证,但只有华为交换机的文档 ...
- CLI配置WLAN-PSK认证和802.1X认证
一.该部分配置主要是针对PSK认证 1.创建WLAN 2 2.让WLAN使用PSK的方式 config wlan create 2 OK OK //创建WLAN Profile Name和SSID ...
- 自学Aruba5.3.4-Aruba安全认证-有PEFNG 许可证环境的认证配置802.1x
点击返回:自学Aruba之路 自学Aruba5.3.4-Aruba安全认证-有PEFNG 许可证环境的认证配置802.1x 1. 采用InterDB认证服务器完成802.1X认证 (Aruba650) ...
- 自学Aruba7.3-Aruba安全认证-802.1x认证(web页面配置)
点击返回:自学Aruba之路 自学Aruba7.3-Aruba安全认证-802.1x认证(web页面配置) 步骤1 建立AP Group,命名为test802-group 步骤2 将AP加入到AP ...
- 06 自学Aruba之win7系统802.1x认证网卡设置指导
点击返回:自学Aruba之路 06 自学Aruba之win7系统802.1x认证网卡设置指导 步骤1.在桌面任务栏找到“打开网络和共享中心”,点击进入: 步骤2.点击“管理无线网络”,进入无线网络配置 ...
- Ubuntu16.04 802.1x 有线连接 输入账号密码,为什么连接不上?
ubuntu16.04,在网络配置下找到802.1x安全性,输入账号密码,为什么连接不上? 这是系统的一个bug解决办法:假设你有一定的ubuntu基础,首先你先建立好一个不能用的协议,就是按照之 ...
随机推荐
- Centos7 安装 Cockpit
1sudo yum -y install epel-release sudo yum -y update sudo shutdown -r now 2yum -y install cockpit sy ...
- 画图软件gliffy
网上的资源真是海量丫: https://segmentfault.com/q/1010000000310976 gliffy软件在线网址:https://chrome.google.com/webst ...
- 使用java实现AES算法的加解密(亲测可用)
话不多说,直接上代码 import javax.crypto.Cipher; import javax.crypto.spec.IvParameterSpec; import javax.cryp ...
- win7 安装asp.net v4.0
错误信息影响: HTTP 错误 403.14 - Forbidden Web 服务器被配置为不列出此目录的内容.返回的错误表明IIS缺少针对无后缀的MVC请求的映射,ASP.NET处理程序无法接收到请 ...
- 【visio】故障树分析图
率属于 商务 故障树是从一个可能的事故开始,自上而下.一层层的寻找顶事件的直接原因和间接原因事件,直到基本原因事件,并用逻辑图把这些事件之间的逻辑关系表达出来. 主要的应用场景:分析复杂问题原因,一个 ...
- zookeeper and kafka
kafka安装前期准备: 1,准备三个节点(根据自己需求决定) 2,三个节点上安装好zookeeper(也可以使用kafka自带的zookeeper) 3,关闭防火墙 chkconfig iptab ...
- 连接查询:inner join,left join,right join
感谢原创:https://blog.csdn.net/plg17/article/details/78758593 准备工作: 1)新建两张表a_table和b_table: create table ...
- 自定义控件之绘图篇(四):canvas变换与操作
具体操作见下面链接: http://blog.csdn.net/harvic880925/article/details/39080931/
- chomp/undef/标量 --Perl 入门第二章
1.chomp 用途:去掉字符串 末尾的换行符 $text="a line of text \n" chomp($text) #去除行末的换行符 chomp() --本质上是一个 ...
- css 溢出滚动条显示,修改滚动条样式
文本或者内容溢出滚动条显示: a/横纵都出滚动条:css添加属性{overflow:auto;} b/横向滚动条:css添加属性{overflow-x:auto;} c/纵向滚动条:css添加属性{o ...