Descubra nuestros productos
Prueba gratis
eses
DeutschAlemánDEEnglishInglésENEspañolEspañolESFrançaisFrancésFRSvenskaSuecoSVSuomiFinésFIDanskDanésDA한국어CoreanoKONederlandsNeerlandésNLItalianoItalianoITÍslenskaIslandésISNorskNoruegoNO日本語JaponésJA

Escrito en inglés, traducido por Claude. ¿Se ha perdido algo en la traducción? Dínoslo.

MOTOR DE REGLAS

Vuestras reglas deciden quién entra y en qué VLAN

Cada regla define una red, un método de autenticación y las condiciones que deben cumplirse, y devuelve la VLAN y los atributos que esperan vuestros switches y puntos de acceso. RADIUSaaS recorre vuestras reglas de arriba a abajo con cada solicitud; si ninguna la acepta, la solicitud se rechaza.

  • La primera coincidencia gana
  • 7 tipos de grupos
  • VLANs desde campos del certificado
  • Copia de seguridad y restauración
Probar RADIUSaaS ahoraProbar el playground
La primera coincidencia gana. Datos de ejemplo.

La primera coincidencia gana

RADIUSaaS comprueba cada solicitud contra la primera regla, luego la segunda, y así sucesivamente. La primera regla cuya red, método de autenticación y filtros encajan determina lo que recibe el dispositivo; las reglas siguientes no ven esa solicitud. Una regla desactivada conserva su posición en la lista y se omite. Si ninguna regla encaja, la solicitud se rechaza y el registro lo indica con estas palabras exactas: No rule matched the request.
  • Los filtros dentro de una regla se combinan con AND: todos deben encajar
  • Una regla sin filtros se aplica en cualquier lugar donde lo haga su tipo de red
  • Una regla comodín permite todo lo que llega hasta ella, por lo que RADIUSaaS siempre la guarda al final
Insights › RegistrosDatos de ejemplo.
Engine-Decision: acceptApplied-Rule: Corp Wi-Fi – laptops   Assigned-VLAN: 20Engine-Decision: rejectReject-Description: No rule matched the request
PRUÉBALO

Prueba un conjunto de reglas de ejemplo

Cinco reglas para una oficina ficticia. Elige la red, el punto de conexión del dispositivo y lo que presenta. Desactiva reglas, desactiva la VLAN de reserva y comprueba qué regla acepta la solicitud, o por qué ninguna lo hace.

Red
Se conecta a

El SSID al que se conecta el dispositivo.

Presenta
Cambiar las reglas
  1. 1
    Printers on floor 3LANUsuario y contraseña

    Una solicitud LAN que se autentica con usuario y contraseña coincidiendo con el grupo de switches Floor 3 switches y el usuario ^prn- recibe la VLAN 30.

    Omitida: esta es una regla de tipo LAN.

  2. 2
    Corp Wi-Fi – laptopsWi-FiSolo certificado

    Una solicitud Wi-Fi que se autentica con un certificado de Contoso Device CA coincidiendo con el grupo SSID Corp recibe una VLAN según el campo OU del certificado, o la VLAN 10 si ningún patrón coincide.

    Coincide.

  3. 3
    Remote accessVPNSolo certificado

    Una solicitud VPN que se autentica con un certificado coincidiendo con el identificador NAS vpn-gw-* recibe Filter-Id = remote-staff.

    No alcanzada.

  4. 4
    GuestsWi-FiUsuario y contraseña

    Una solicitud Wi-Fi que se autentica con usuario y contraseña coincidiendo con el SSID Contoso-Guest y el propietario .*@contoso\.com recibe la VLAN 99.

    No alcanzada.

  5. 5
    Catch-allPermitir genéricoDesactivado

    Cualquier solicitud que llegue a esta regla es permitida y no se devuelve nada.

    No alcanzada.

Decisión
Aceptar
Devuelto
VLAN 20
En términos simples
Una solicitud Wi-Fi que se autentica con un certificado de Contoso Device CA coincidiendo con el grupo SSID Corp recibe una VLAN según el campo OU del certificado, o la VLAN 10 si ningún patrón coincide.
Registroresumido
Engine-Decision: acceptApplied-Rule: Corp Wi-Fi – laptopsAssigned-VLAN: 20

Datos de ejemplo. La evaluación sigue el orden de reglas de RADIUSaaS; las líneas de registro están abreviadas.

FILTROS

Dónde se aplica una regla

Cada regla pertenece a un tipo de red, y cada tipo incluye los filtros que tienen sentido para él. Valores o grupos, cualquier cantidad de cada uno.

Filtros por tipo de regla
FiltroWi-FiLANVPN
SSID✓——
MAC del punto de acceso✓——
MAC del switch—✓—
Identificador NAS——✓
IP NAS——✓
IP del cliente✓✓✓
CAs raíz aceptadas✓✓✓
Campos del certificado (emisor, SAN, sujeto, extensiones)✓✓✓
ID de Intune en el certificado✓✓✓
Patrón de nombre de usuario o propietario✓✓✓

Una regla comodín no tiene filtros y coincide con solicitudes de cualquier red.

GRUPOS

Grupos que puede usar cualquier regla

Un grupo es una lista con nombre de SSIDs, switches, puntos de acceso, puertas de enlace, rangos de direcciones o IDs de Intune que cualquier regla puede utilizar. Añade los switches de una nueva planta al grupo y todas las reglas que lo referencian se aplican allí también. El portal muestra cuántas reglas usan cada grupo, para que sepáis qué afecta un cambio antes de guardarlo.
  • 7 tipos: SSID, MAC del punto de acceso, MAC del switch, identificador NAS, IP del NAS, IP del cliente, ID de Intune
  • Termina una entrada con * para una coincidencia de prefijo: Corp-*, un prefijo de fabricante MAC completo, nas-branch-*
  • Direcciones MAC en cualquier notación; RADIUSaaS las normaliza
  • Pega una lista directamente desde la exportación de tu controlador; los duplicados se omiten
  • IPv4 e IPv6, direcciones individuales o rangos CIDR
Datos de ejemplo.
ASIGNACIONES

VLANs desde el certificado

Una regla puede asignar una VLAN fija o leerla de la solicitud. Apúntala a un campo del certificado (el emisor, un SAN, el sujeto o una extensión que hayáis registrado), o al nombre de usuario o al propietario de la cuenta, definid patrones, y cada patrón indica la VLAN o el valor de atributo al que conduce. Si ningún patrón coincide, se aplica el valor de reserva; sin valor de reserva, la solicitud se rechaza. Con una sola regla podéis colocar a Ventas, Ingeniería y al resto en tres VLANs distintas.
  • Registra extensiones privadas por OID, o campos estándar como CN del sujeto, OU, nombre DNS SAN y UPN
  • Los atributos RADIUS se asignan del mismo modo que las VLANs
  • Varios valores para el mismo atributo en una misma respuesta
Asignación dinámicaDatos de ejemplo.
Read from   Subject (DN) · OUPattern     ^Sales$        →  VLAN 20Pattern     ^Engineering$  →  VLAN 40Fallback                   →  VLAN 10
ATRIBUTOS

Los atributos que entiende vuestro hardware

  • Atributos de VLAN

    Los atributos de túnel RADIUS estándar para VLANs, más las variantes específicas de fabricante que algunos switches y puntos de acceso requieren. Conservad los que entiende vuestro hardware; el resto no aparece en el editor de reglas.

  • Otros atributos RADIUS

    IDs de filtro, nombres de grupo, pares de fabricante: buscad en el diccionario RADIUS del portal y añadid lo que vuestras reglas puedan devolver. El catálogo muestra qué reglas usa cada uno.

SEGURIDAD

Salvaguardas para modificar reglas

  • En palabras claras

    Cada regla muestra una frase que describe lo que hace: qué red, qué autenticación, qué condiciones, qué concede.

  • Problemas antes de guardar

    La lista de reglas tiene una columna de problemas. Los errores bloquean el guardado; las advertencias permiten guardar y permanecen listadas hasta que las corrijáis.

  • Desactivar una regla sin perderla

    Desactivad una regla para probar sin ella. Conserva su posición y su configuración.

  • Duplicar una regla

    Copiad una regla que funciona y cambiad el único aspecto que difiere.

  • Copia de seguridad y restauración

    Descargad el conjunto completo de reglas, con grupos y extensiones de certificado, como un archivo. La restauración reemplaza todo, tras vuestra confirmación.

  • La regla comodín siempre queda al final

    Una regla de permiso genérica se guarda al final, donde no puede ocultar las reglas que vendrían después.

DISPOSITIVOS ANTIGUOS

Dispositivos que no admiten 802.1X

Algunos dispositivos no saben nada de 802.1X. Si vuestro switch o punto de acceso admite MAB-to-EAP, se autentica en nombre del dispositivo mediante PEAP-MSCHAPv2 o EAP-TTLS-PAP, usando la dirección MAC del dispositivo como nombre de usuario y contraseña. Cread esas cuentas en RADIUSaaS o importadlas de forma masiva, y añadid una regla que las coloque en una VLAN de reserva con acceso mínimo, para que una dirección MAC falsificada no abra vuestra red. El MAB clásico sobre PAP o CHAP no funciona con RADIUSaaS.

MAC authentication bypass en la documentación

Datos de ejemplo.

Escribe tu primera regla en la prueba

Inicia una prueba, conecta un punto de acceso y deja que una regla coloque tu portátil de pruebas en su propia VLAN.

Probar RADIUSaaS ahoraLeer la documentación de reglas