Oplev vores produkter
Prøv gratis
dada
DeutschTyskDEEnglishEngelskENEspañolSpanskESFrançaisFranskFRSvenskaSvenskSVSuomiFinskFIDanskDanskDA한국어KoreanskKONederlandsNederlandskNLItalianoItalienskITÍslenskaIslandskISNorskNorskNO日本語JapanskJA

Skrevet på engelsk, oversat af Claude. Er noget gået tabt i oversættelsen? Sig det til os.

REGELMASKINE

Dine regler afgør, hvem der kommer ind og i hvilken VLAN

Hver regel angiver et netværk, en login-metode og de betingelser, der skal være opfyldt, og returnerer den VLAN og de attributter, dine switches og access points forventer. RADIUSaaS gennemgår dine regler fra toppen for hver anmodning, og en anmodning, ingen regel fanger, afvises.

  • First match wins
  • 7 typer af grupper
  • VLAN'er fra certifikatfelter
  • Backup og gendannelse
Prøv RADIUSaaS nuPrøv playground'en
First match wins. Eksempeldata.

First match wins

RADIUSaaS tjekker en anmodning mod den første regel, derefter den anden, og så videre. Den første regel, hvis netværk, login-metode og filtre alle passer, afgør, hvad enheden får, og reglerne nedenfor ser aldrig den anmodning. En deaktiveret regel beholder sin plads på listen og springes over. Hvis ingen regel passer, afvises anmodningen, og loggen fortæller det uden omsvøb: No rule matched the request.
  • Filtre inden for en regel kombineres med AND: alle skal passe
  • En regel uden filtre gælder overalt, hvor dens netværkstype gør det
  • En catch-all-regel tillader alt, der når den, så RADIUSaaS placerer den altid sidst
Insights › LogsEksempeldata.
Engine-Decision: acceptApplied-Rule: Corp Wi-Fi – laptops   Assigned-VLAN: 20Engine-Decision: rejectReject-Description: No rule matched the request
PRØV DET

Prøv et eksempel på et regelsæt

Fem regler for et fiktivt kontor. Vælg netværk, hvor enheden forbinder, og hvad den præsenterer. Slå regler fra, slå fallback-VLAN'en fra, og se, hvilken regel der fanger anmodningen, eller hvorfor ingen gør.

Netværk
Forbinder til

Det SSID enheden opretter forbindelse til.

Præsenterer
Skift reglerne
  1. 1
    Printers on floor 3LANBrugernavn og adgangskode

    En LAN-anmodning, der godkender med brugernavn og adgangskode, som matcher switchgruppe Floor 3 switches og brugernavn ^prn-, tildeles VLAN 30.

    Sprunget over: dette er en LAN-regel.

  2. 2
    Corp Wi-Fi – laptopsWi-FiKun certifikat

    En Wi-Fi-anmodning, der godkender med et certifikat fra Contoso Device CA og matcher SSID-gruppe Corp, tildeles et VLAN ud fra certifikatets OU, eller VLAN 10 hvis intet mønster matcher.

    Matchet.

  3. 3
    Remote accessVPNKun certifikat

    En VPN-anmodning, der godkender med et certifikat, som matcher NAS-identifikatoren vpn-gw-*, tildeles Filter-Id = remote-staff.

    Ikke nået.

  4. 4
    GuestsWi-FiBrugernavn og adgangskode

    En Wi-Fi-anmodning, der godkender med brugernavn og adgangskode og matcher SSID Contoso-Guest og ejer .*@contoso\.com, tildeles VLAN 99.

    Ikke nået.

  5. 5
    Catch-allGenerisk tilladelseDeaktiveret

    Enhver anmodning, der når denne regel, tillades, og der returneres ingenting.

    Ikke nået.

Afgørelse
Accepter
Returneret
VLAN 20
Med andre ord
En Wi-Fi-anmodning, der godkender med et certifikat fra Contoso Device CA og matcher SSID-gruppe Corp, tildeles et VLAN ud fra certifikatets OU, eller VLAN 10 hvis intet mønster matcher.
Logforkortet
Engine-Decision: acceptApplied-Rule: Corp Wi-Fi – laptopsAssigned-VLAN: 20

Eksempeldata. Evalueringen følger RADIUSaaS's regelrækkefølge; loglinjer er forkortet.

FILTRE

Hvor en regel gælder

Hver regel tilhører én type netværk, og hver type medbringer de filtre, der giver mening for den. Værdier eller grupper, i et vilkårligt antal.

Filtre pr. regeltype
FilterWi-FiLANVPN
SSID✓——
Access point MAC✓——
Switch MAC—✓—
NAS-identifikator——✓
NAS IP——✓
Klient-IP✓✓✓
Accepterede rod-CA'er✓✓✓
Certifikatfelter (udsteder, SAN, subject, udvidelser)✓✓✓
Intune-ID i certifikatet✓✓✓
Brugernavn eller ejermønster✓✓✓

En catch-all-regel har ingen filtre og matcher anmodninger fra ethvert netværk.

GRUPPER

Grupper, som enhver regel kan bruge

En gruppe er en navngivet liste over SSID'er, switches, access points, gateways, adresseintervaller eller Intune-ID'er, som enhver regel kan bruge. Tilføj en ny etages switches til gruppen, og alle regler, der bruger den, gælder der også. Portalen viser, hvor mange regler der bruger hver gruppe, så du ved, hvad en ændring berører, inden du gemmer.
  • 7 typer: SSID, access point-MAC, switch-MAC, NAS-id, NAS-IP, klient-IP, Intune-id
  • Afslut en post med * for præfiksmatch: Corp-*, et helt MAC-vendorpræfiks, nas-branch-*
  • MAC-adresser i enhver notation; RADIUSaaS normaliserer dem
  • Indsæt en liste direkte fra dit controller-eksport; dubletter springes over
  • IPv4 og IPv6, enkeltadresser eller CIDR-intervaller
Eksempeldata.
TILDELINGER

VLAN'er fra certifikatet

En regel kan tildele en fast VLAN eller læse den fra anmodningen. Peg den på et certifikatfelt (udstederen, en SAN, subject eller en udvidelse, du har registreret) eller på brugernavnet eller kontoens ejer, angiv mønstre, og hvert mønster navngiver den VLAN eller attributværdi, det fører til. Hvis intet mønster matcher, gælder fallback; uden en fallback afvises anmodningen. Én regel kan dermed placere Sales, Engineering og alle andre i tre forskellige VLAN'er.
  • Registrer private udvidelser via OID, eller standardfelter som subject CN, OU, SAN DNS-navn og UPN
  • RADIUS-attributter tildeles på samme måde som VLAN'er
  • Flere værdier for samme attribut i ét svar
Dynamisk tildelingEksempeldata.
Read from   Subject (DN) · OUPattern     ^Sales$        →  VLAN 20Pattern     ^Engineering$  →  VLAN 40Fallback                   →  VLAN 10
ATTRIBUTTER

De attributter, dit hardware forstår

  • VLAN-attributter

    Standard RADIUS-tunnelattributter til VLAN'er samt de leverandørspecifikke varianter, som visse switches og access points kræver. Behold dem, dit hardware forstår; resten vises ikke i regelredigereren.

  • Andre RADIUS-attributter

    Filter-ID'er, gruppenavne, leverandørpar: søg i RADIUS-ordbogen i portalen og tilføj det, dine regler kan returnere. Kataloget viser, hvilke regler der bruger hver enkelt.

SIKKERHED

Sikkerhedsnet ved regelændringer

  • I klart sprog

    Hver regel viser en sætning, der beskriver, hvad den gør: hvilket netværk, hvilken login-metode, hvilke betingelser, hvad den giver adgang til.

  • Problemer inden du gemmer

    Regellisten har en problemkolonne. Fejl blokerer for lagring; advarsler lader dig gemme og forbliver på listen, indtil du retter dem.

  • Slå en regel fra uden at miste den

    Slå en regel fra for at teste uden den. Den beholder sin placering og sine indstillinger.

  • Dupliker en regel

    Kopiér en fungerende regel og ændr det ene, der er anderledes.

  • Backup og gendannelse

    Download hele regelsættet, med grupper og certifikatudvidelser, som en fil. Gendannelse erstatter alt, efter du har bekræftet det.

  • Catch-all-reglen forbliver sidst

    En generel tilladelsesregel gemmes nederst, hvor den ikke kan skjule reglerne under sig.

GAMLE ENHEDER

Enheder, der ikke understøtter 802.1X

Nogle enheder kender intet til 802.1X. Hvis din switch eller dit access point understøtter MAB-to-EAP, autentificerer det på enhedens vegne via PEAP-MSCHAPv2 eller EAP-TTLS-PAP med enhedens MAC-adresse som brugernavn og adgangskode. Opret disse konti i RADIUSaaS, eller importér dem i bulk, og tilføj en regel, der placerer dem i en fallback-VLAN med minimal adgang, så en forfalsket MAC-adresse ikke åbner dit netværk. Klassisk MAB via PAP eller CHAP fungerer ikke med RADIUSaaS.

MAC authentication bypass i dokumentationen

Eksempeldata.

Skriv din første regel i prøveperioden

Start en prøveperiode, tilslut ét access point, og lad en regel placere din testlaptop i sin egen VLAN.

Prøv RADIUSaaS nuLæs regeldokumentationen