Discover our products
Essayer gratuitement
frfr
DeutschAllemandDEEnglishAnglaisENEspañolEspagnolESFrançaisFrançaisFRSvenskaSuédoisSVSuomiFinnoisFIDanskDanoisDA한국어CoréenKONederlandsNéerlandaisNLItalianoItalienITÍslenskaIslandaisISNorskNorvégienNO日本語JaponaisJA

Written in English, translated by Claude. Something lost in translation? Please tell us.

MOTEUR DE RÈGLES

Tes règles décident qui entre et dans quel VLAN

Chaque règle nomme un réseau, une méthode de connexion et les conditions à remplir, et renvoie le VLAN et les attributs que tes switchs et tes points d'accès attendent. Pour chaque requête, RADIUSaaS parcourt tes règles depuis le haut, et une requête qu'aucune règle ne prend est refusée.

  • La première correspondance l'emporte
  • 7 types de groupes
  • VLAN issus des champs du certificat
  • Sauvegarde et restauration
Essayer RADIUSaaS maintenantEssayer le bac à sable
La première correspondance l'emporte. Données d'exemple.

La première correspondance l'emporte

RADIUSaaS compare une requête à la première règle, puis à la deuxième, et ainsi de suite. La première règle dont le réseau, la méthode de connexion et les filtres correspondent tous décide de ce que l'appareil obtient, et les règles en dessous ne voient jamais cette requête. Une règle désactivée garde sa place dans la liste et est ignorée. Si aucune règle ne correspond, la requête est refusée, et le journal le dit en toutes lettres : No rule matched the request.
  • Les filtres d'une règle sont combinés par ET : chacun doit correspondre
  • Une règle sans filtre s'applique partout où son type de réseau s'applique
  • Une règle générique autorise tout ce qui lui parvient, c'est pourquoi RADIUSaaS l'enregistre toujours en dernier
Insights › LogsDonnées d'exemple.
Engine-Decision: acceptApplied-Rule: Corp Wi-Fi – laptops   Assigned-VLAN: 20Engine-Decision: rejectReject-Description: No rule matched the request
ESSAIE

Essaie un jeu de règles d'exemple

Cinq règles pour un bureau fictif. Choisis le réseau, l'endroit où l'appareil se connecte et ce qu'il présente. Désactive des règles, désactive le VLAN de repli, et vois quelle règle prend la requête, ou pourquoi aucune ne la prend.

Réseau
Se connecte à

Le SSID que l'appareil rejoint.

Présente
Modifier les règles
  1. 1
    Printers on floor 3LANNom d'utilisateur et mot de passe

    Une requête LAN qui s'authentifie par nom d'utilisateur et mot de passe, correspondant au groupe de switchs Floor 3 switches et au nom d'utilisateur ^prn-, reçoit le VLAN 30.

    Ignorée : c'est une règle LAN.

  2. 2
    Corp Wi-Fi – laptopsWi-FiCertificat uniquement

    Une requête Wi-Fi qui s'authentifie avec un certificat de Contoso Device CA, correspondant au groupe de SSID Corp, reçoit un VLAN issu du champ OU du certificat, ou le VLAN 10 si aucun modèle ne correspond.

    Correspondance.

  3. 3
    Remote accessVPNCertificat uniquement

    Une requête VPN qui s'authentifie avec un certificat, correspondant à l'identifiant NAS vpn-gw-*, reçoit Filter-Id = remote-staff.

    Non atteinte.

  4. 4
    GuestsWi-FiNom d'utilisateur et mot de passe

    Une requête Wi-Fi qui s'authentifie par nom d'utilisateur et mot de passe, correspondant au SSID Contoso-Guest et au propriétaire .*@contoso\.com, reçoit le VLAN 99.

    Non atteinte.

  5. 5
    Catch-allAutorisation génériqueDésactivée

    Toute requête qui atteint cette règle est autorisée, et rien n'est renvoyé.

    Non atteinte.

Décision
Acceptation
Renvoyé
VLAN 20
En langage clair
Une requête Wi-Fi qui s'authentifie avec un certificat de Contoso Device CA, correspondant au groupe de SSID Corp, reçoit un VLAN issu du champ OU du certificat, ou le VLAN 10 si aucun modèle ne correspond.
Journalabrégé
Engine-Decision: acceptApplied-Rule: Corp Wi-Fi – laptopsAssigned-VLAN: 20

Données d'exemple. L'évaluation suit l'ordre des règles de RADIUSaaS ; les lignes de journal sont abrégées.

FILTRES

Où une règle s'applique

Chaque règle appartient à un type de réseau, et chaque type apporte les filtres qui ont du sens pour lui. Des valeurs ou des groupes, en nombre quelconque.

Filtres par type de règle
FiltreWi-FiLANVPN
SSID✓——
MAC du point d'accès✓——
MAC du switch—✓—
Identifiant NAS——✓
IP du NAS——✓
IP du client✓✓✓
CA racines acceptées✓✓✓
Champs du certificat (émetteur, SAN, sujet, extensions)✓✓✓
ID Intune dans le certificat✓✓✓
Modèle de nom d'utilisateur ou de propriétaire✓✓✓

Une règle générique n'a pas de filtre et correspond aux requêtes de n'importe quel réseau.

GROUPES

Des groupes que chaque règle peut utiliser

Un groupe est une liste nommée de SSID, de switchs, de points d'accès, de passerelles, de plages d'adresses ou d'ID Intune que n'importe quelle règle peut utiliser. Ajoute les switchs d'un nouvel étage au groupe, et chaque règle qui le nomme s'y applique aussi. Le portail montre combien de règles utilisent chaque groupe : tu sais ce qu'une modification touche avant d'enregistrer.
  • 7 types : SSID, MAC du point d'accès, MAC du switch, identifiant NAS, IP du NAS, IP du client, ID Intune
  • Termine une entrée par * pour une correspondance de préfixe : Corp-*, tout un préfixe de fabricant MAC, nas-branch-*
  • Des adresses MAC dans n'importe quelle notation ; RADIUSaaS les normalise
  • Colle une liste directement depuis l'export de ton contrôleur ; les doublons sont ignorés
  • IPv4 et IPv6, adresses uniques ou plages CIDR
Données d'exemple.
ATTRIBUTIONS

Des VLAN issus du certificat

Une règle peut attribuer un VLAN fixe, ou le lire dans la requête. Indique-lui un champ du certificat (l'émetteur, un SAN, le sujet ou une extension que tu as enregistrée) ou le nom d'utilisateur ou le propriétaire du compte, donne-lui des modèles, et chaque modèle nomme le VLAN ou la valeur d'attribut auquel il mène. Si aucun modèle ne correspond, la valeur de repli s'applique ; sans valeur de repli, la requête est refusée. Une seule règle peut alors placer les ventes, l'ingénierie et tous les autres dans trois VLAN différents.
  • Enregistre des extensions privées par OID, ou des champs standard comme le CN du sujet, l'OU, le nom DNS du SAN et l'UPN
  • Les attributs RADIUS sont attribués de la même façon que les VLAN
  • Plusieurs valeurs pour le même attribut dans une seule réponse
Attribution dynamiqueDonnées d'exemple.
Read from   Subject (DN) · OUPattern     ^Sales$        →  VLAN 20Pattern     ^Engineering$  →  VLAN 40Fallback                   →  VLAN 10
ATTRIBUTS

Les attributs que ton matériel comprend

  • Attributs VLAN

    Les attributs de tunnel RADIUS standard pour les VLAN, plus les variantes propres aux fabricants que certains switchs et points d'accès exigent. Garde ceux que ton matériel comprend ; les autres restent hors de l'éditeur de règles.

  • Autres attributs RADIUS

    Filter IDs, noms de groupe, paires propres aux fabricants : cherche dans le dictionnaire RADIUS du portail et ajoute ce que tes règles peuvent renvoyer. Le catalogue montre quelles règles utilisent chacun d'eux.

SÉCURITÉ

Des garde-fous pour modifier les règles

  • En langage clair

    Chaque règle affiche une phrase qui dit ce qu'elle fait : quel réseau, quelle connexion, quelles conditions, ce qu'elle accorde.

  • Les problèmes avant l'enregistrement

    La liste des règles a une colonne de problèmes. Les erreurs bloquent l'enregistrement ; les avertissements te laissent enregistrer et restent listés jusqu'à ce que tu les corriges.

  • Désactiver une règle sans la perdre

    Désactive une règle pour tester sans elle. Elle garde sa position et ses paramètres.

  • Dupliquer une règle

    Copie une règle qui fonctionne et change la seule chose qui diffère.

  • Sauvegarde et restauration

    Télécharge tout le jeu de règles, avec les groupes et les extensions de certificat, sous forme de fichier. La restauration remplace tout, après ta confirmation.

  • La règle générique reste en dernier

    Une règle d'autorisation générique est enregistrée tout en bas, là où elle ne peut pas masquer les règles en dessous.

ANCIENS APPAREILS

Les appareils qui ne savent pas faire 802.1X

Certains appareils ne connaissent rien de 802.1X. Si ton switch ou ton point d'accès prend en charge MAB-to-EAP, il s'authentifie à la place de l'appareil via PEAP-MSCHAPv2 ou EAP-TTLS-PAP, avec l'adresse MAC de l'appareil comme nom d'utilisateur et mot de passe. Crée ces comptes dans RADIUSaaS, ou importe-les en masse, et ajoute une règle qui les place dans un VLAN de repli avec un accès minimal, pour qu'une adresse MAC usurpée n'ouvre pas ton réseau. Le MAB classique via PAP ou CHAP ne fonctionne pas avec RADIUSaaS.

Le contournement d'authentification MAC dans la documentation

Données d'exemple.

Écris ta première règle pendant l'essai

Démarre un essai, connecte un point d'accès et laisse une règle placer ton ordinateur portable de test dans son propre VLAN.

Essayer RADIUSaaS maintenantLire la documentation des règles