Säännöt määrittävät, kuka pääsee sisään ja mihin VLAN:iin
Jokainen sääntö määrittelee verkon, kirjautumismenetelmän ja ehdot, joiden on täytyttävä, ja palauttaa VLAN:in sekä attribuutit, joita kytkimet ja tukiasemat odottavat. RADIUSaaS käy säännöt läpi ylhäältä alas jokaista pyyntöä varten, ja pyyntö, jota mikään sääntö ei hyväksy, hylätään.
- Ensimmäinen osuma ratkaisee
- 7 ryhmätyyppiä
- VLAN:it varmennekentistä
- Varmuuskopio ja palautus
Ensimmäinen osuma ratkaisee
No rule matched the request.- Säännön sisäiset suodattimet yhdistetään AND-operaattorilla: jokaisen on täsmättävä
- Sääntö ilman suodattimia soveltuu kaikkialle, missä sen verkkotyyppi on käytössä
- Kaikkia pyyntöjä hyväksyvä sääntö päästää läpi kaiken, mitä sille tulee, joten RADIUSaaS tallentaa sen aina viimeiseksi
Engine-Decision: acceptApplied-Rule: Corp Wi-Fi – laptops Assigned-VLAN: 20Engine-Decision: rejectReject-Description: No rule matched the request
Kokeile esimerkkisääntöjoukkoa
Viisi sääntöä kuvitteelliselle toimistolle. Valitse verkko, mihin laite yhdistää ja mitä se esittää. Kytke sääntöjä pois päältä, poista varmuus-VLAN käytöstä ja katso, mikä sääntö hyväksyy pyynnön tai miksi yksikään ei hyväksy.
- 1Printers on floor 3LANKäyttäjätunnus ja salasana
LAN-pyyntö, joka todentautuu käyttäjätunnuksella ja salasanalla ja vastaa kytkinryhmää Floor 3 switches sekä käyttäjätunnusta ^prn-, saa käyttöoikeuden VLAN-verkkoon 30.
Ohitettu: tämä on LAN-sääntö.
- 2Corp Wi-Fi – laptopsWi-FiVain varmenne
Wi-Fi-pyyntö, joka todentautuu varmenteella lähteeltä Contoso Device CA ja vastaa SSID-ryhmää Corp, saa VLAN-verkon varmenteen kentästä OU, tai VLAN-verkon 10, jos mikään kuvio ei täsmää.
Täsmää.
- 3Remote accessVPNVain varmenne
VPN-pyyntö, joka todentautuu varmenteella, joka vastaa NAS-tunnistetta vpn-gw-*, saa käyttöoikeuden Filter-Id = remote-staff.
Ei saavutettu.
- 4GuestsWi-FiKäyttäjätunnus ja salasana
Wi-Fi-pyyntö, joka todentautuu käyttäjätunnuksella ja salasanalla ja vastaa SSID-tunnistetta Contoso-Guest sekä omistajaa .*@contoso\.com, saa käyttöoikeuden VLAN-verkkoon 99.
Ei saavutettu.
- 5Catch-allYleinen salliPoistettu käytöstä
Jokainen tähän sääntöön päätyvä pyyntö sallitaan, eikä mitään palauteta.
Ei saavutettu.
- Päätös
- Hyväksy
- Palautettu
- VLAN 20
- Selkokielellä
- Wi-Fi-pyyntö, joka todentautuu varmenteella lähteeltä Contoso Device CA ja vastaa SSID-ryhmää Corp, saa VLAN-verkon varmenteen kentästä OU, tai VLAN-verkon 10, jos mikään kuvio ei täsmää.
Engine-Decision: acceptApplied-Rule: Corp Wi-Fi – laptopsAssigned-VLAN: 20
Esimerkkitiedot. Arviointi noudattaa RADIUSaaS:n sääntöjärjestystä; lokirivit on lyhennetty.
Missä sääntö on voimassa
Jokainen sääntö kuuluu yhteen verkkotyyppiä, ja jokainen tyyppi tuo mukanaan sille sopivat suodattimet. Arvoja tai ryhmiä, niin monta kuin tarvitaan.
| Suodatin | Wi-Fi | LAN | VPN |
|---|---|---|---|
| SSID | ✓ | — | — |
| Tukiaseman MAC | ✓ | — | — |
| Kytkimen MAC | — | ✓ | — |
| NAS-tunniste | — | — | ✓ |
| NAS IP | — | — | ✓ |
| Asiakkaan IP | ✓ | ✓ | ✓ |
| Hyväksytyt juurivarmentajat | ✓ | ✓ | ✓ |
| Varmennekentät (myöntäjä, SAN, kohde, laajennukset) | ✓ | ✓ | ✓ |
| Intune ID varmenteessa | ✓ | ✓ | ✓ |
| Käyttäjänimi- tai omistajamalli | ✓ | ✓ | ✓ |
Kaikkia pyyntöjä hyväksyvällä säännöllä ei ole suodattimia, ja se täsmää minkä tahansa verkon pyyntoihin.
Ryhmät, joita jokainen sääntö voi käyttää
- 7 tyyppiä: SSID, tukiaseman MAC, kytkimen MAC, NAS-tunniste, NAS-IP, asiakkaan IP, Intune-tunnus
- Lopeta merkintä
*-merkillä etuliitevastaavuutta varten:Corp-*, koko MAC-valmistajan etuliite,nas-branch-* - MAC-osoitteet missä tahansa muodossa; RADIUSaaS normalisoi ne
- Liitä lista suoraan kontrollerin viennistä; kaksoiskappaleet ohitetaan
- IPv4 ja IPv6, yksittäiset osoitteet tai CIDR-alueet
VLAN:it varmenteesta
- Rekisteröi yksityiset laajennukset OID:llä tai vakiokentät kuten subject CN, OU, SAN DNS-nimi ja UPN
- RADIUS-attribuutit määritetään samalla tavalla kuin VLAN:it
- Useita arvoja samalle attribuutille yhdessä vastauksessa
Read from Subject (DN) · OUPattern ^Sales$ → VLAN 20Pattern ^Engineering$ → VLAN 40Fallback → VLAN 10
Attribuutit, joita laitteistosi ymmärtää
VLAN-attribuutit
Vakio-RADIUS-tunnelihattribuutit VLAN:eille sekä toimittajakohtaiset kirjoitusasut, joita jotkin kytkimet ja tukiasemat edellyttävät. Pidä ne, joita laitteistosi ymmärtää; muut eivät näy sääntöeditorissa.
Muut RADIUS-attribuutit
Suodatintunnisteet, ryhmänimet, toimittajaparit: hae RADIUS-sanakirjasta portaalissa ja lisää ne, joita säännöt voivat palauttaa. Luettelo näyttää, mitkä säännöt käyttävät kutakin attribuuttia.
Suojaukset sääntöjen muuttamiseen
Selkokielinen kuvaus
Jokainen sääntö näyttää lauseen, joka kertoo, mitä se tekee: minkä verkon, minkä kirjautumisen, mitkä ehdot ja mitä se myöntää.
Ongelmat ennen tallentamista
Sääntölistassa on ongelmasarake. Virheet estävät tallentamisen; varoitukset sallivat tallentamisen ja pysyvät listalla, kunnes korjaat ne.
Poista sääntö käytöstä menettämättä sitä
Poista sääntö käytöstä testausta varten. Se säilyttää paikkansa ja asetuksensa.
Kopioi sääntö
Kopioi toimiva sääntö ja muuta se yksi asia, joka eroaa.
Varmuuskopio ja palautus
Lataa koko sääntöjoukko ryhmineen ja varmennelaajennu ksineen tiedostona. Palautus korvaa kaiken vahvistuksesi jälkeen.
Kaikkia pyyntöjä hyväksyvä sääntö pysyy viimeisenä
Yleinen sallimissääntö tallennetaan listan loppuun, jossa se ei voi peittää alleen muita sääntöjä.
Laitteet, jotka eivät tue 802.1X:ää
Kirjoita ensimmäinen sääntösi kokeilujaksolla
Aloita kokeilu, yhdistä yksi tukiasema ja anna säännön sijoittaa testiläppärisi omaan VLAN:iinsa.