Slik kontrollerer du tilgang til VLANer i Junos - dummies

For å begrense nettverksbruk bare for gyldige brukere, må du opprette NAC-retningslinjer for nettverksadministrasjon (NAC) på bryterne. Adgangskontroll gjør det mulig å kontrollere nøyaktig hvem som kan få tilgang til nettverket, og forhindre uautoriserte brukere i å logge inn og håndheve retningslinjer for nettverksadgang (som å sikre at autoriserte brukere har de nyeste antivirusprogramvarene og operativsystempatchene installert på sine PCer og bærbare datamaskiner.)

Junos OS-programvaren på EX-seriens brytere kan bruke IEEE 802. 1X-protokollen (ofte bare kalt dot-one-ex ) for å gi autentisering av alle enheter når de opprinnelig kobler seg til LAN. Den faktiske autentiseringen gjøres ved hjelp av separat programvare eller en egen server, vanligvis en RADIUS-autentisk atieserver som er koblet til en av bryterne på ditt LAN.

Følg disse trinnene for å konfigurere opptakskontrollen på bryteren:

1. Konfigurer adressen til RADIUS-serverne, sammen med et passord som RADIUS-serveren bruker til å validere forespørsler fra bryteren.

   Dette eksemplet bruker adressen 192. 168. 1. 2:

   [edit access] user @ junos-switch # set radius-server 192. 168. 1. 2 hemmelig mitt passord
   

   Det hemmelige søkeordet I denne kommandoen konfigurerer passordet som bryteren bruker for å få tilgang til RADIUS-serveren.

   Hvis bryteren har flere grensesnitt som kan nå RADIUS-serveren, kan du tilordne en IP-adresse som bryteren kan bruke for all sin kommunikasjon med RADIUS-serveren. I dette eksemplet velger du adressen 192. 168. 0. 1:

   [edit access] user @ junoswitch # set radius-server 192. 168. 1. 2 kildeadresse 192. 168. 0. 1
   

2. Konfigurer en godkjenningsprofil som skal være brukt av 802. 1X:

   [rediger tilgang] bruker @ junos-switch # sett profil min profil autentiseringsradius [rediger tilgang] bruker @ junos-switch # sett profil min profil radius autentiseringsserver 192. 168. 1. 2
   

   Den første kommandoen krever at bryteren kontakter en RADIUS-server ved sending av godkjenningsmeldinger. (De andre tilgjengelige alternativene er LDAP-servere eller lokal passordautentisering.) Den andre kommandoen viser adressen til godkjenningsserveren (som du nettopp har konfigurert i forrige trinn).

3. Konfigurer selve 802. 1X-protokollen, og spesifiser tilgangstillatelsene på brytergrensesnittene:

   Du kan gjøre dette grensesnittet via grensesnitt, som følger:

   [rediger protokoller] bruker @ junoswitch # sett dot1x-autentiserer autentiseringsprofilnavn, minprofilgrensesnitt ge-0/0/1. 0 [rediger protokoller] bruker @ junos-switch # sett dot1x autentiseringsautentisering-profilnavn min-profilgrensesnitt ge-0/0/2.0 supplicant single-secure
   

   Autentiserings-profilnavn-setningen forbinder godkjenningsprofilen som ble etablert i det forrige trinnet med dette grensesnittet.

   Merk at du angir det logiske grensesnittnavnet (ge-0/0/1. 0), ikke det fysiske grensesnittnavnet (ge-0/0/1).

I trinn 3 definerer søkeordet supplicant (som er 802. 1X-termen for en nettverksenhet som søker godkjenning) administrativ modus for godkjenning på LAN:

• Enkelt modus: Godkjener bare den første enheten som kobler til bryterporten og gir tilgang til alle enheter som senere kobles til samme port uten ytterligere godkjenning. Når den første godkjente enheten logger ut, er alle andre enheter låst ut av LAN. Denne modusen er standard, så du trenger ikke å inkludere den i konfigurasjonen.

• Enkelt sikker modus: Autentiserer bare en nettverksenhet per port. I denne modusen kan ikke flere enheter som senere kobler til samme port, sende eller motta trafikk, og de får heller ikke godkjenne.

• Flere: Godkjenner hver enhet som kobles til bryterporten individuelt. I denne modusen kan flere enheter som senere kobles til samme port, godkjenne og, hvis det lykkes, sende og motta trafikk.

Når du bruker enkel modus, er bare den første enheten autentisert, og denne konfigurasjonen kan anses å være et sikkerhetshull. Hvis du forutser problemer, bruk enkelt-sikker eller flere modus.

Hvis autentiseringsmodusen er den samme på alle bryterportene, kan du konfigurere 802. 1X parametere som gjelder for alle grensesnitt ved å bruke søkeordet alt i stedet for et grensesnittnavn:

[rediger protokoller] bruker @ junoswitch # sett dot1x autentiseringsgrensesnitt alle