Cisco Catalyst IEEE 802.1x Multi-Domain Authentication Configuration Guide

RADIUS-сервер — выполняет фактическую аутентификацию клиента. RADIUS-сервер проверяет подлинность клиента и передает коммутатору решение об авторизации клиента и получении им доступа к сети LAN и службам коммутатора. В данном случае, ACS Cisco установлен и настроен в сервере объединения средств передачи (MCS; Media Covergence Server) для аутентификации и назначения VLAN. Для IP-телефонов сервер MCS также является TFTP-сервером и менеджером унифицированных коммуникаций Cisco (Cisco CallManager). Коммутатор - управляет физическим доступом к сети на основе состояния аутентификации клиента. Коммутатор выступает в качестве посредника (прокси) между клиентом и RADIUS-сервером.

Он запрашивает у клиента информацию для подтверждения подлинности, сверяет ее с информацией RADIUS-сервера и отправляет ответ клиенту. В данном случае коммутатор Catalyst 3560 также настроен в качестве DHCP-сервера. Поддержка функции аутентификации 802.1x для протокола динамической конфигурации хоста (DHCP) позволяет DHCP-серверу назначать IP-адреса различным классам конечных пользователей. Для этого он добавляет идентификатор аутентифицированного пользователя к процессу обнаружения DHCP. Порты FastEthernet 0/1 и 0/4 являются единственными портами, настроенными для выполнения мульдоменной аутентификации 802.1x.

Порты FastEthernet 0/2 и 0/3 по умолчанию установлены в режим подключения одного хоста 802.1x. Порт FastEthernet 0/24 используется для подключения к RADIUS-серверу. Примечание. При использовании внешнего DHCP-сервера на интерфейсе SVI (vlan), на котором хранятся данные клиента, необходимо добавлять команду ip helper-address , которая указывает на DHCP-сервер. Клиенты - это устройства, например, IP-телефоны или рабочие станции, запрашивающие доступ к сети LAN и службам коммутатора и отвечающие на запросы коммутатора. В данном случае клиенты настроены для получения IP-адреса с сервера DHCP. Устройства M-1, M-2, S-1 и S-2 являются рабочими станциями-клиентами, запрашивающими доступ к сети.

P-1 и P-2 являются IP-телефонами-клиентами, запрашивающими доступ к сети. M-1, M-2 и P-1 являются клиентскими устройствами в отделе маркетинга. S-1, S-2 и P-2 являются клиентскими устройствами в отделе продаж. IP-телефоны P-1 и P-2 настроены для работы в одной голосовой VLAN (VLAN 3). Рабочие станции M-1 и M-2 настроены для работы в одной VLAN для передачи данных (VLAN 4) после успешного выполнения аутентификации. Рабочие станции S-1 и S-2 также настроены для работы в одной VLAN для передачи данных (VLAN 5) после успешного выполнения аутентификации. Примечание. Динамическое назначение сети VLAN с помощью RADIUS-сервера можно использовать только для устройств передачи данных.

Настройка коммутатора Catalyst для мультидоменной аутентификации 802.1x. В пример настройки коммутатора входит: Настройка мультидоменной аутентификации 802.1x на портах коммутатора Конфигурация для RADIUS-сервера Конфигурация DHCP-сервера для назначения IP-адреса Маршрутизация между сетями VLAN для установки соединения между клиентами после выполнения аутентификации

Стр. 4

Дополнительную информацию по настройке MDA см. в документе Использование мультидоменной аутентификации. Примечание. RADIUS-сервер должен всегда подключаться за авторизованным портом. Примечание. Ниже показана настройка, относящаяся к целям данного документа. Cat-3560 Switch# configure terminal Switch(config)# hostname Cat-3560 !--- Установка имени хоста для коммутатора.

Cat-3560(config)# vlan 2 Cat-3560(config-vlan)# name SERVER Cat-3560(config-vlan)# vlan 3 Cat-3560(config-vlan)# name VOICE Cat-3560(config-vlan)# vlan 4 Cat-3560(config-vlan)# name MARKETING Cat-3560(config-vlan)# vlan 5 Cat-3560(config-vlan)# name SALES Cat-3560(config-vlan)# vlan 6 Cat-3560(config-vlan)# name GUEST_and_AUTHFAIL !--- Чтобы аутентификация завершилась успешно, VLAN должна уже быть сформирована в коммутаторе. Cat-3560(config-vlan)# exit Cat-3560(config)# interface vlan 2 Cat-3560(config-if)# ip address 172.16.2.1 255.255.255.0 Cat-3560(config-if)# no shut !--- Адрес шлюза для RADIUS-сервера.

Cat-3560(config-if)# interface vlan 3 Cat-3560(config-if)# ip address 172.16.3.1 255.255.255.0 Cat-3560(config-if)# no shut !--- Адрес шлюза для клиентов IP-телефона в VLAN 3. Cat-3560(config-if)# interface vlan 4 Cat-3560(config-if)# ip address 172.16.4.1 255.255.255.0 Cat-3560(config-if)# no shut !--- Адрес шлюза для клиентов PC в VLAN 4. Cat-3560(config-if)# interface vlan 5 Cat-3560(config-if)# ip address 172.16.5.1 255.255.255.0 Cat-3560(config-if)# no shut !--- Адрес шлюза для клиентов PC в VLAN 5. Cat-3560(config-if)# exit Cat-3560(config)# ip routing !--- Активация IP-маршрутизации между VLAN.

Cat-3560(config)# interface range fastEthernet 0/1 - 4 Cat-3560(config-if-range)# shut Cat-3560(config-if-range)# exit Cat-3560(config)# interface fastEthernet 0/24 Cat-3560(config-if)# switchport mode access Cat-3560(config-if)# switchport access vlan 2 !--- Выделенная VLAN для RADIUS-сервера. Cat-3560(config-if)# spanning-tree portfast Cat-3560(config-if)# exit Cat-3560(config)# interface range fastEthernet 0/1 , fastEthernet 0/4 Cat-3560(config-if-range)# switchport mode access Cat-3560(config-if-range)# switchport voice vlan 3 !--- Необходимо настроить голосовую VLAN для IP-телефона, в которой !--- установлен мультидоменный режим хоста. !--- Примечание.

При использовании динамической VLAN для назначения голосовой VLAN !--- на порте коммутатора с активированной функцией MDA голосовое устройство не проходит авторизацию. Cat-3560(config-if-range)# dot1x port-control auto !--- Активирование аутентификации IEEE 802.1x на порте. Cat-3560(config-if-range)# dot1x host-mode multi-domain !--- Разрешение для хоста и голосового устройства !--- режима аутентификации на порте, авторизованном в соответствии с IEEE 802.1x. Cat-3560(config-if-range)# dot1x guest-vlan 6

Стр. 5

Cat-3560(config-if-range)# dot1x auth-fail vlan 6 !--- Функции гостевой VLAN и ограниченной VLAN применимы только !--- на порте, для которого активирована аутентификация MDA. Cat-3560(config-if-range)# dot1x reauthentication !--- Активация периодической повторной аутентификации клиента. Cat-3560(config-if-range)# dot1x timeout reauth-period 60 !--- Установка количества секунд между попытками повторной аутентификации. Cat-3560(config-if-range)# dot1x auth-fail max-attempts 2 !--- Указание количества разрешенных попыток аутентификации !--- перед тем, как порт переходит в ограниченную VLAN.

Cat-3560(config-if-range)# exit Cat-3560(config)# interface range fastEthernet 0/2 - 3 Cat-3560(config-if-range)# switchport mode access Cat-3560(config-if-range)# dot1x port-control auto !--- По умолчанию порт, авторизованный в соответствии с 802.1x, позволяет функционировать только с одним клиентом.

Cat-3560(config-if-range)# dot1x guest-vlan 6 Cat-3560(config-if-range)# dot1x auth-fail vlan 6 Cat-3560(config-if-range)# dot1x reauthentication Cat-3560(config-if-range)# dot1x timeout reauth-period 60 Cat-3560(config-if-range)# dot1x auth-fail max-attempts 2 Cat-3560(config-if-range)# spanning-tree portfast Cat-3560(config)# ip dhcp pool IP-Phones Cat-3560(dhcp-config)# network 172.16.3.0 255.255.255.0 Cat-3560(dhcp-config)# default-router 172.16.3.1 Cat-3560(dhcp-config)# option 150 ip 172.16.2.201 !--- С помощью этого пула назначается IP-адрес для IP-телефонов. !--- Параметр 150 предназначен для TFTP-сервера.

Cat-3560(dhcp-config)# ip dhcp pool Marketing Cat-3560(dhcp-config)# network 172.16.4.0 255.255.255.0 Cat-3560(dhcp-config)# default-router 172.16.4.1 !--- С помощью этого пула назначается IP-адрес для клиентов PC в отделе маркетинга. Cat-3560(dhcp-config)# ip dhcp pool Sales Cat-3560(dhcp-config)# network 172.16.5.0 255.255.255.0 Cat-3560(dhcp-config)# default-router 172.16.5.1 !--- С помощью этого пула назначается IP-адрес для клиентов PC в отделе продаж.

Cat-3560(dhcp-config)# exit Cat-3560(config)# ip dhcp excluded-address 172.16.3.1 Cat-3560(config)# ip dhcp excluded-address 172.16.4.1 Cat-3560(config)# ip dhcp excluded-address 172.16.5.1 Cat-3560(config)# aaa new-model Cat-3560(config)# aaa authentication dot1x default group radius !--- Должен использоваться стандартный список методов. В противном случае dot1x не работает. Cat-3560(config)# aaa authorization network default group radius !--- Чтобы работать с RADIUS, необходима авторизация для назначения динамической VLAN. Cat-3560(config)# radius-server host 172.16.2.201 key CisCo123 !--- Ключ должен соответствовать ключу, используемому на сервере RADIUS.

Cat-3560(config)# dot1x system-auth-control !--- Глобальная активация 802.1x.

Cat-3560(config)# interface range fastEthernet 0/1 - 4 Cat-3560(config-if-range)# no shut Cat-3560(config-if-range)# ^Z Cat-3560# show vlan VLAN Name Status Ports ---- -------------------------------- --------- ------------------------------- 1 default active Fa0/1, Fa0/2, Fa0/3, Fa0/4 Fa0/5, Fa0/6, Fa0/7, Fa0/8 Fa0/9, Fa0/10, Fa0/11, Fa0/12 Fa0/13, Fa0/14, Fa0/15, Fa0/16 Fa0/17, Fa0/18, Fa0/19, Fa0/20 Fa0/21, Fa0/22, Fa0/23, Gi0/1 Gi0/2 2 SERVER active Fa0/24 3 VOICE active Fa0/1, Fa0/4 4 MARKETING active 5 SALES active 6 GUEST_and_AUTHFAIL active 1002 fddi-default act/unsup 1003 token-ring-default act/unsup 1004 fddinet-default act/unsup 1005 trnet-default act/unsup

Стр. 6

Примечание. См. дополнительные сведения о командах, используемых в данном документе, в Средстве поиска команд ( только для зарегистрированных пользователей ). Настройка RADIUS-сервера RADIUS-серверу назначается статический IP-адрес 172.16.2.201/24. Выполните следующие действия, чтобы настроить RADIUS-сервер для клиента AAA: Нажмите Network Configuration в окне управления ACS для настройки AAA-клиента. 1. Нажмите Add Entry в разделе клиентов AAA. 2. Определите для AAA-клиента имя хоста, IP-адрес, общий секретный ключ и тип аутентификации следующим образом: 3. Имя хоста AAA-клиента = имя хоста коммутатора ( Cat-3560 ).

IP-адрес AAA-клиента = IP-адрес интерфейса управления коммутатором ( 172.16.2.1 ). Общий секретный ключ = настроенный ключ RADIUS на коммутаторе ( CisCo123 ). Примечание. Для нормальной работы, клиент AAA и ACS должны иметь одинаковый общий секретный ключ. При использовании ключей необходимо учитывать регистр. Используемая аутентификация = RADIUS (Cisco IOS/PIX 6.0) . Примечание. Доступ к паре атрибут-значение (AV) Cisco можно получить с помощью этого параметра. Нажмите Submit + Apply , чтобы изменения вступили в силу (см. пример): 4.

Стр. 7