Deine Regeln entscheiden, wer Zugang erhält und in welches VLAN
Jede Regel benennt ein Netzwerk, eine Anmeldemethode und die Bedingungen, die erfüllt sein müssen, und gibt das VLAN sowie die Attribute zurück, die deine Switches und Access Points erwarten. RADIUSaaS geht bei jeder Anfrage deine Regeln von oben nach unten durch; eine Anfrage, auf die keine Regel passt, wird abgelehnt.
- First match wins
- 7 Gruppentypen
- VLANs aus Zertifikatfeldern
- Backup und Wiederherstellung
First match wins
No rule matched the request.- Filter innerhalb einer Regel werden mit AND verknüpft: jeder einzelne muss passen
- Eine Regel ohne Filter gilt überall, wo ihr Netzwerktyp zutrifft
- Eine Catch-all-Regel lässt alles durch, was sie erreicht; RADIUSaaS speichert sie daher immer an letzter Stelle
Engine-Decision: acceptApplied-Rule: Corp Wi-Fi – laptops Assigned-VLAN: 20Engine-Decision: rejectReject-Description: No rule matched the request
Einen Beispiel-Regelsatz testen
Fünf Regeln für ein fiktives Büro. Wähle das Netzwerk, den Verbindungspunkt des Geräts und was es vorlegt. Schalte Regeln aus, deaktiviere das Fallback-VLAN und sieh, welche Regel die Anfrage übernimmt oder warum keine greift.
- 1Printers on floor 3LANBenutzername & Passwort
Eine LAN-Anfrage, die sich mit Benutzername und Passwort authentifiziert und zur Switch-Gruppe Floor 3 switches sowie zum Benutzernamen ^prn- passt, erhält VLAN 30.
Übersprungen: dies ist eine LAN-Regel.
- 2Corp Wi-Fi – laptopsWi-FiNur Zertifikat
Eine Wi-Fi-Anfrage, die sich mit einem Zertifikat von Contoso Device CA authentifiziert und zur SSID-Gruppe Corp passt, erhält ein VLAN aus dem Feld OU des Zertifikats, oder VLAN 10, wenn kein Muster übereinstimmt.
Übereinstimmung gefunden.
- 3Remote accessVPNNur Zertifikat
Eine VPN-Anfrage, die sich mit einem Zertifikat authentifiziert, das zum NAS-Identifier vpn-gw-* passt, erhält Filter-Id = remote-staff.
Nicht erreicht.
- 4GuestsWi-FiBenutzername & Passwort
Eine Wi-Fi-Anfrage, die sich mit Benutzername und Passwort authentifiziert und zur SSID Contoso-Guest sowie zum Eigentümer .*@contoso\.com passt, erhält VLAN 99.
Nicht erreicht.
- 5Catch-allGenerelles ZulassenDeaktiviert
Jede Anfrage, die diese Regel erreicht, wird zugelassen, ohne dass etwas zurückgegeben wird.
Nicht erreicht.
- Entscheidung
- Zulassen
- Zurückgegeben
- VLAN 20
- In einfachen Worten
- Eine Wi-Fi-Anfrage, die sich mit einem Zertifikat von Contoso Device CA authentifiziert und zur SSID-Gruppe Corp passt, erhält ein VLAN aus dem Feld OU des Zertifikats, oder VLAN 10, wenn kein Muster übereinstimmt.
Engine-Decision: acceptApplied-Rule: Corp Wi-Fi – laptopsAssigned-VLAN: 20
Beispieldaten. Die Auswertung folgt der Regelreihenfolge von RADIUSaaS; die Logzeilen sind gekürzt.
Geltungsbereich einer Regel
Jede Regel gehört zu einem Netzwerktyp, und jeder Typ bringt die Filter mit, die dafür sinnvoll sind. Werte oder Gruppen, beliebig viele davon.
| Filter | Wi-Fi | LAN | VPN |
|---|---|---|---|
| SSID | ✓ | — | — |
| Access-Point-MAC | ✓ | — | — |
| Switch-MAC | — | ✓ | — |
| NAS-Bezeichner | — | — | ✓ |
| NAS-IP | — | — | ✓ |
| Client-IP | ✓ | ✓ | ✓ |
| Akzeptierte Root-CAs | ✓ | ✓ | ✓ |
| Zertifikatfelder (Aussteller, SAN, Subject, Extensions) | ✓ | ✓ | ✓ |
| Intune ID im Zertifikat | ✓ | ✓ | ✓ |
| Benutzername oder Owner-Muster | ✓ | ✓ | ✓ |
Eine Catch-all-Regel hat keine Filter und trifft auf Anfragen aus jedem Netzwerk zu.
Gruppen, die jede Regel verwenden kann
- 7 Typen: SSID, Access-Point-MAC, Switch-MAC, NAS-Kennung, NAS-IP, Client-IP, Intune-ID
- Einen Eintrag mit
*abschließen für einen Präfix-Match:Corp-*, ein ganzes MAC-Vendor-Präfix,nas-branch-* - MAC-Adressen in beliebiger Schreibweise; RADIUSaaS normalisiert sie
- Eine Liste direkt aus dem Controller-Export einfügen; Duplikate werden übersprungen
- IPv4 und IPv6, einzelne Adressen oder CIDR-Bereiche
VLANs aus dem Zertifikat
- Private Extensions per OID registrieren oder Standardfelder wie Subject CN, OU, SAN-DNS-Name und UPN
- RADIUS-Attribute werden genauso zugewiesen wie VLANs
- Mehrere Werte für dasselbe Attribut in einer Antwort
Read from Subject (DN) · OUPattern ^Sales$ → VLAN 20Pattern ^Engineering$ → VLAN 40Fallback → VLAN 10
Die Attribute, die deine Hardware versteht
VLAN-Attribute
Die standardmäßigen RADIUS-Tunnel-Attribute für VLANs, ergänzt um die herstellerspezifischen Schreibweisen, auf die manche Switches und Access Points bestehen. Behalte die, die deine Hardware versteht; die übrigen bleiben aus dem Regel-Editor ausgeblendet.
Weitere RADIUS-Attribute
Filter-IDs, Gruppennamen, Vendor-Paare: Durchsuche das RADIUS-Dictionary im Portal und füge hinzu, was deine Regeln zurückgeben sollen. Der Katalog zeigt, welche Regeln das jeweilige Attribut verwenden.
Absicherungen beim Ändern von Regeln
In verständlichen Worten
Jede Regel zeigt einen Satz, der beschreibt, was sie tut: welches Netzwerk, welche Anmeldung, welche Bedingungen, was sie gewährt.
Probleme vor dem Speichern
Die Regelliste hat eine Spalte für Probleme. Fehler verhindern das Speichern; Warnungen lassen das Speichern zu und bleiben solange angezeigt, bis du sie behebst.
Eine Regel deaktivieren, ohne sie zu verlieren
Deaktiviere eine Regel, um ohne sie zu testen. Sie behält ihren Platz und ihre Einstellungen.
Eine Regel duplizieren
Kopiere eine funktionierende Regel und ändere nur das, was sich unterscheidet.
Backup und Wiederherstellung
Den gesamten Regelsatz einschließlich Gruppen und Zertifikat-Extensions als Datei herunterladen. Die Wiederherstellung ersetzt alles, nach einer Bestätigung.
Die Catch-all-Regel bleibt an letzter Stelle
Eine generische Erlauben-Regel wird ganz unten gespeichert, wo sie keine Regeln darunter verdecken kann.
Geräte ohne 802.1X-Unterstützung
Schreib deine erste Regel im Testzeitraum
Starte einen Test, verbinde einen Access Point und lass eine Regel deinen Test-Laptop in sein eigenes VLAN stecken.