Scopri i nostri prodotti
Prova gratuitamente
itit
DeutschTedescoDEEnglishIngleseENEspañolSpagnoloESFrançaisFranceseFRSvenskaSvedeseSVSuomiFinlandeseFIDanskDaneseDA한국어CoreanoKONederlandsOlandeseNLItalianoItalianoITÍslenskaIslandeseISNorskNorvegeseNO日本語GiapponeseJA

Scritto in inglese, tradotto da Claude. Qualcosa si è perso nella traduzione? Faccelo sapere.

RULE ENGINE

Le tue regole decidono chi entra e in quale VLAN

Ogni regola definisce una rete, un metodo di accesso e le condizioni che devono essere soddisfatte, e restituisce la VLAN e gli attributi che switch e access point si aspettano. RADIUSaaS scorre le regole dall'alto verso il basso per ogni richiesta; una richiesta che non corrisponde ad alcuna regola viene rifiutata.

  • Prima corrispondenza vince
  • 7 tipi di gruppi
  • VLAN dai campi del certificato
  • Backup and restore
Prova RADIUSaaS oraProva il playground
Prima corrispondenza vince. Dati di esempio.

Prima corrispondenza vince

RADIUSaaS verifica una richiesta rispetto alla prima regola, poi alla seconda, e così via. La prima regola i cui parametri di rete, metodo di accesso e filtri corrispondono tutti determina cosa ottiene il dispositivo; le regole successive non vedono mai quella richiesta. Una regola disabilitata mantiene la propria posizione nell'elenco e viene saltata. Se nessuna regola corrisponde, la richiesta viene rifiutata e il log lo indica in modo esplicito: No rule matched the request.
  • I filtri all'interno di una regola sono combinati con AND: devono corrispondere tutti
  • Una regola senza filtri si applica ovunque lo faccia il suo tipo di rete
  • Una regola catch-all consente tutto ciò che la raggiunge, per cui RADIUSaaS la salva sempre in fondo
Insights › LogsDati di esempio.
Engine-Decision: acceptApplied-Rule: Corp Wi-Fi – laptops   Assigned-VLAN: 20Engine-Decision: rejectReject-Description: No rule matched the request
PROVALO

Prova un set di regole di esempio

Cinque regole per un ufficio fittizio. Scegli la rete, il punto di connessione del dispositivo e cosa presenta. Disabilita le regole, disattiva la VLAN di fallback e verifica quale regola gestisce la richiesta, o perché nessuna lo fa.

Network
Si connette a

L'SSID a cui il dispositivo si connette.

Presenta
Modifica le regole
  1. 1
    Printers on floor 3LANUsername e password

    Una richiesta LAN che si autentica con username e password corrispondenti al gruppo di switch Floor 3 switches e all'username ^prn- ottiene la VLAN 30.

    Ignorata: questa è una regola di tipo LAN.

  2. 2
    Corp Wi-Fi – laptopsWi-FiSolo certificato

    Una richiesta Wi-Fi che si autentica con un certificato di Contoso Device CA corrispondente al gruppo SSID Corp ottiene una VLAN dal campo OU del certificato, oppure la VLAN 10 se nessun pattern corrisponde.

    Corrisponde.

  3. 3
    Remote accessVPNSolo certificato

    Una richiesta VPN che si autentica con un certificato corrispondente all'identificatore NAS vpn-gw-* ottiene Filter-Id = remote-staff.

    Non raggiunta.

  4. 4
    GuestsWi-FiUsername e password

    Una richiesta Wi-Fi che si autentica con username e password corrispondenti all'SSID Contoso-Guest e al proprietario .*@contoso\.com ottiene la VLAN 99.

    Non raggiunta.

  5. 5
    Catch-allPermesso genericoDisabilitato

    Qualsiasi richiesta che raggiunge questa regola viene autorizzata e non viene restituito nulla.

    Non raggiunta.

Decisione
Accetta
Restituito
VLAN 20
In parole semplici
Una richiesta Wi-Fi che si autentica con un certificato di Contoso Device CA corrispondente al gruppo SSID Corp ottiene una VLAN dal campo OU del certificato, oppure la VLAN 10 se nessun pattern corrisponde.
Logabbreviato
Engine-Decision: acceptApplied-Rule: Corp Wi-Fi – laptopsAssigned-VLAN: 20

Dati di esempio. La valutazione segue l'ordine delle regole di RADIUSaaS; le righe di log sono abbreviate.

FILTRI

Dove si applica una regola

Ogni regola appartiene a un tipo di rete, e ogni tipo porta con sé i filtri pertinenti. Valori o gruppi, in qualsiasi numero.

Filtri per tipo di regola
FiltroWi-FiLANVPN
SSID✓——
MAC dell'access point✓——
MAC dello switch—✓—
Identificatore NAS——✓
IP NAS——✓
IP client✓✓✓
Root CA accettate✓✓✓
Campi del certificato (issuer, SAN, subject, extensions)✓✓✓
Intune ID nel certificato✓✓✓
Pattern di username o proprietario✓✓✓

Una regola catch-all non ha filtri e corrisponde alle richieste provenienti da qualsiasi rete.

GRUPPI

Gruppi disponibili per ogni regola

Un gruppo è un elenco con nome di SSID, switch, access point, gateway, intervalli di indirizzi o Intune ID che qualsiasi regola può utilizzare. Aggiungi gli switch di un nuovo piano al gruppo e ogni regola che lo referenzia si applica automaticamente anche lì. Il portale mostra quante regole usano ciascun gruppo, così sai cosa coinvolge una modifica prima di salvarla.
  • 7 tipi: SSID, MAC dell'access point, MAC dello switch, identificatore NAS, IP NAS, IP client, ID Intune
  • Termina una voce con * per una corrispondenza a prefisso: Corp-*, un intero prefisso MAC vendor, nas-branch-*
  • Indirizzi MAC in qualsiasi notazione; RADIUSaaS li normalizza
  • Incolla un elenco direttamente dall'export del tuo controller; i duplicati vengono ignorati
  • IPv4 e IPv6, indirizzi singoli o intervalli CIDR
Dati di esempio.
ASSEGNAZIONI

VLAN dal certificato

Una regola può assegnare una VLAN fissa oppure leggerla dalla richiesta. Puntala su un campo del certificato (l'issuer, un SAN, il subject o un'extension registrata), sul nome utente o sul proprietario dell'account, definisci dei pattern, e ogni pattern determina la VLAN o il valore dell'attributo a cui corrisponde. Se nessun pattern corrisponde, si applica il fallback; senza fallback, la richiesta viene rifiutata. Una sola regola può così collocare Sales, Engineering e tutti gli altri in tre VLAN distinte.
  • Registra extension private tramite OID, o campi standard come subject CN, OU, SAN DNS name e UPN
  • Gli attributi RADIUS vengono assegnati nello stesso modo dei VLAN
  • Più valori per lo stesso attributo in una singola risposta
Assegnazione dinamicaDati di esempio.
Read from   Subject (DN) · OUPattern     ^Sales$        →  VLAN 20Pattern     ^Engineering$  →  VLAN 40Fallback                   →  VLAN 10
ATTRIBUTI

Gli attributi che il tuo hardware comprende

  • Attributi VLAN

    Gli attributi RADIUS tunnel standard per le VLAN, più le varianti vendor-specific che alcuni switch e access point richiedono. Mantieni quelli che il tuo hardware comprende; gli altri non compaiono nell'editor delle regole.

  • Altri attributi RADIUS

    Filter ID, nomi di gruppo, coppie vendor: cerca nel dizionario RADIUS del portale e aggiungi ciò che le tue regole possono restituire. Il catalogo mostra quali regole usano ciascun attributo.

SICUREZZA

Protezioni per la modifica delle regole

  • In parole semplici

    Ogni regola mostra una frase che descrive cosa fa: quale rete, quale accesso, quali condizioni, cosa concede.

  • Problemi prima del salvataggio

    L'elenco delle regole ha una colonna per i problemi. Gli errori bloccano il salvataggio; gli avvisi permettono di salvare e rimangono elencati finché non li risolvi.

  • Disabilita una regola senza perderla

    Disabilita una regola per testarla senza di essa. Mantiene la sua posizione e le sue impostazioni.

  • Duplica una regola

    Copia una regola funzionante e modifica solo l'elemento che differisce.

  • Backup and restore

    Scarica l'intero set di regole, compresi gruppi ed extension dei certificati, come file. Il ripristino sostituisce tutto, dopo la tua conferma.

  • La regola catch-all resta in fondo

    Una regola di autorizzazione generica viene salvata in fondo all'elenco, dove non può oscurare le regole che la precedono.

DISPOSITIVI VECCHI

Dispositivi che non supportano 802.1X

Alcuni dispositivi non sanno nulla di 802.1X. Se il tuo switch o access point supporta MAB-to-EAP, autentica per conto del dispositivo tramite PEAP-MSCHAPv2 o EAP-TTLS-PAP, usando l'indirizzo MAC del dispositivo come nome utente e password. Crea questi account in RADIUSaaS, oppure importali in blocco, e aggiungi una regola che li collochi in una VLAN di fallback con accesso minimo, così un indirizzo MAC falsificato non apre la tua rete. Il MAB classico tramite PAP o CHAP non funziona con RADIUSaaS.

MAC authentication bypass nella documentazione

Dati di esempio.

Scrivi la tua prima regola durante la prova

Avvia una prova, connetti un access point e lascia che una regola collochi il tuo laptop di test nella sua VLAN dedicata.

Prova RADIUSaaS oraLeggi la documentazione sulle regole