Jouw regels bepalen wie toegang krijgt en tot welk VLAN
Elke regel benoemt een netwerk, een aanmeldmethode en de voorwaarden waaraan moet worden voldaan, en geeft het VLAN en de attributen terug die je switches en access points verwachten. RADIUSaaS doorloopt je regels van boven naar beneden voor elk verzoek, en een verzoek dat geen enkele regel accepteert, wordt afgewezen.
- First match wins
- 7 soorten groepen
- VLANs uit certificaatvelden
- Backup en herstel
First match wins
No rule matched the request.- Filters binnen een regel worden gecombineerd met AND: elk filter moet overeenkomen
- Een regel zonder filters is van toepassing overal waar zijn netwerktype actief is
- Een catch-all-regel staat alles toe wat hem bereikt, daarom plaatst RADIUSaaS hem altijd onderaan
Engine-Decision: acceptApplied-Rule: Corp Wi-Fi – laptops Assigned-VLAN: 20Engine-Decision: rejectReject-Description: No rule matched the request
Probeer een voorbeeldregelset
Vijf regels voor een fictief kantoor. Kies het netwerk, waar het apparaat verbinding mee maakt en wat het presenteert. Schakel regels uit, zet het fallback-VLAN uit en zie welke regel het verzoek accepteert, of waarom geen enkele dat doet.
- 1Printers on floor 3LANGebruikersnaam & wachtwoord
Een LAN-aanvraag die zich authenticeert met gebruikersnaam en wachtwoord, overeenkomend met switchgroep Floor 3 switches en gebruikersnaam ^prn-, krijgt VLAN 30 toegewezen.
Overgeslagen: dit is een LAN-regel.
- 2Corp Wi-Fi – laptopsWi-FiAlleen certificaat
Een Wi-Fi-aanvraag die zich authenticeert met een certificaat van Contoso Device CA, overeenkomend met SSID-groep Corp, krijgt een VLAN toegewezen op basis van het veld OU van het certificaat, of VLAN 10 als geen patroon overeenkomt.
Overeenkomst gevonden.
- 3Remote accessVPNAlleen certificaat
Een VPN-aanvraag die zich authenticeert met een certificaat dat overeenkomt met NAS-identifier vpn-gw-*, krijgt Filter-Id = remote-staff toegewezen.
Niet bereikt.
- 4GuestsWi-FiGebruikersnaam & wachtwoord
Een Wi-Fi-aanvraag die zich authenticeert met gebruikersnaam en wachtwoord, overeenkomend met SSID Contoso-Guest en eigenaar .*@contoso\.com, krijgt VLAN 99 toegewezen.
Niet bereikt.
- 5Catch-allGeneriek toestaanUitgeschakeld
Elke aanvraag die deze regel bereikt, wordt toegestaan en er wordt niets teruggegeven.
Niet bereikt.
- Beslissing
- Accepteren
- Teruggegeven
- VLAN 20
- In gewone taal
- Een Wi-Fi-aanvraag die zich authenticeert met een certificaat van Contoso Device CA, overeenkomend met SSID-groep Corp, krijgt een VLAN toegewezen op basis van het veld OU van het certificaat, of VLAN 10 als geen patroon overeenkomt.
Engine-Decision: acceptApplied-Rule: Corp Wi-Fi – laptopsAssigned-VLAN: 20
Voorbeelddata. De evaluatie volgt de regelvolgorde van RADIUSaaS; de logregels zijn ingekort.
Waar een regel van toepassing is
Elke regel hoort bij één type netwerk, en elk type brengt de filters mee die daarvoor relevant zijn. Waarden of groepen, in elk gewenst aantal.
| Filter | Wi-Fi | LAN | VPN |
|---|---|---|---|
| SSID | ✓ | — | — |
| Access point MAC | ✓ | — | — |
| Switch MAC | — | ✓ | — |
| NAS-identifier | — | — | ✓ |
| NAS IP | — | — | ✓ |
| Client IP | ✓ | ✓ | ✓ |
| Geaccepteerde root-CA's | ✓ | ✓ | ✓ |
| Certificaatvelden (issuer, SAN, subject, extensions) | ✓ | ✓ | ✓ |
| Intune ID in het certificaat | ✓ | ✓ | ✓ |
| Gebruikersnaam- of eigenaarspatroon | ✓ | ✓ | ✓ |
Een catch-all-regel heeft geen filters en matcht verzoeken van elk netwerk.
Groepen die elke regel kan gebruiken
- 7 soorten: SSID, access-point-MAC, switch-MAC, NAS-identifier, NAS-IP, client-IP, Intune-ID
- Eindig een invoer met
*voor een prefixmatch:Corp-*, een volledig MAC-vendorprefix,nas-branch-* - MAC-adressen in elke notatie; RADIUSaaS normaliseert ze
- Plak een lijst rechtstreeks uit je controller-export; duplicaten worden overgeslagen
- IPv4 en IPv6, enkelvoudige adressen of CIDR-bereiken
VLANs uit het certificaat
- Registreer private extensies via OID, of gebruik standaardvelden zoals subject CN, OU, SAN DNS-naam en UPN
- RADIUS-attributen worden op dezelfde manier toegewezen als VLANs
- Meerdere waarden voor hetzelfde attribuut in één antwoord
Read from Subject (DN) · OUPattern ^Sales$ → VLAN 20Pattern ^Engineering$ → VLAN 40Fallback → VLAN 10
De attributen die je hardware begrijpt
VLAN-attributen
De standaard RADIUS-tunnelattributen voor VLANs, aangevuld met de leveranciersspecifieke varianten die sommige switches en access points vereisen. Houd de attributen die je hardware begrijpt; de rest verschijnt niet in de regeleditor.
Overige RADIUS-attributen
Filter-ID's, groepsnamen, vendorparen: zoek in het RADIUS-woordenboek in het portaal en voeg toe wat je regels mogen teruggeven. De catalogus laat zien welke regels elk attribuut gebruiken.
Beveiligingen bij het wijzigen van regels
In gewone taal
Elke regel toont een zin die beschrijft wat hij doet: welk netwerk, welke aanmelding, welke voorwaarden, wat hij verleent.
Problemen vóór het opslaan
De regellijst heeft een kolom voor problemen. Fouten blokkeren het opslaan; waarschuwingen laten opslaan toe en blijven zichtbaar totdat je ze oplost.
Een regel uitschakelen zonder hem te verliezen
Schakel een regel uit om hem buiten de test te houden. Hij behoudt zijn positie en instellingen.
Een regel dupliceren
Kopieer een werkende regel en pas het ene punt aan dat verschilt.
Backup en herstel
Download de volledige regelset, inclusief groepen en certificaatextensies, als bestand. Bij herstel wordt alles vervangen, nadat je dit hebt bevestigd.
De catch-all-regel blijft onderaan
Een generieke toestemmingsregel wordt onderaan opgeslagen, zodat hij geen regels eronder kan verbergen.
Apparaten die 802.1X niet ondersteunen
Schrijf je eerste regel tijdens de proefperiode
Start een proefperiode, verbind één access point en laat een regel je testlaptop in een eigen VLAN plaatsen.