Upptäck våra produkter
Prova gratis
svsv
DeutschTyskaDEEnglishEngelskaENEspañolSpanskaESFrançaisFranskaFRSvenskaSvenskaSVSuomiFinskaFIDanskDanskaDA한국어KoreanskaKONederlandsNederländskaNLItalianoItalienskaITÍslenskaIsländskaISNorskNorskaNO日本語JapanskaJA

Skrivet på engelska, översatt av Claude. Har något gått förlorat i översättningen? Berätta för oss.

REGELMOTOR

Dina regler avgör vem som får åtkomst och till vilket VLAN

Varje regel anger ett nätverk, en inloggningsmetod och de villkor som måste uppfyllas, och returnerar det VLAN och de attribut som dina switchar och accesspunkter förväntar sig. RADIUSaaS går igenom dina regler uppifrån och ned för varje förfrågan, och en förfrågan som ingen regel matchar avvisas.

  • Första träff vinner
  • 7 typer av grupper
  • VLAN från certifikatfält
  • Säkerhetskopiering och återställning
Prova RADIUSaaS nuProva lekplatsen
Första träff vinner. Exempeldata.

Första träff vinner

RADIUSaaS kontrollerar en förfrågan mot den första regeln, sedan den andra, och så vidare. Den första regeln vars nätverk, inloggningsmetod och filter alla stämmer avgör vad enheten får, och reglerna under den ser aldrig den förfrågan. En inaktiverad regel behåller sin plats i listan och hoppas över. Matchar ingen regel avvisas förfrågan, och loggen säger det utan omsvep: No rule matched the request.
  • Filter inom en regel kombineras med AND: alla måste stämma
  • En regel utan filter gäller överallt där dess nätverkstyp gäller
  • En catch-all-regel tillåter allt som når den, så RADIUSaaS sparar den alltid sist
Insights › LogsExempeldata.
Engine-Decision: acceptApplied-Rule: Corp Wi-Fi – laptops   Assigned-VLAN: 20Engine-Decision: rejectReject-Description: No rule matched the request
PROVA

Prova ett exempel på regeluppsättning

Fem regler för ett fiktivt kontor. Välj nätverk, var enheten ansluter och vad den presenterar. Stäng av regler, stäng av det alternativa VLAN och se vilken regel tar förfrågan, eller varför ingen gör det.

Nätverk
Ansluter till

Det SSID som enheten ansluter till.

Presenterar
Ändra reglerna
  1. 1
    Printers on floor 3LANAnvändarnamn & lösenord

    En LAN-förfrågan som autentiseras med användarnamn och lösenord som matchar switchgrupp Floor 3 switches och användarnamn ^prn- beviljas VLAN 30.

    Hoppades över: det här är en LAN-regel.

  2. 2
    Corp Wi-Fi – laptopsWi-FiEndast certifikat

    En Wi-Fi-förfrågan som autentiseras med ett certifikat från Contoso Device CA som matchar SSID-grupp Corp beviljas ett VLAN baserat på certifikatets OU, eller VLAN 10 om inget mönster matchar.

    Matchade.

  3. 3
    Remote accessVPNEndast certifikat

    En VPN-förfrågan som autentiseras med ett certifikat som matchar NAS-identifieraren vpn-gw-* beviljas Filter-Id = remote-staff.

    Nåddes inte.

  4. 4
    GuestsWi-FiAnvändarnamn & lösenord

    En Wi-Fi-förfrågan som autentiseras med användarnamn och lösenord som matchar SSID Contoso-Guest och ägare .*@contoso\.com beviljas VLAN 99.

    Nåddes inte.

  5. 5
    Catch-allGenerell tillåtInaktiverad

    Alla förfrågningar som når den här regeln tillåts, och inget returneras.

    Nåddes inte.

Beslut
Acceptera
Returnerat
VLAN 20
I klartext
En Wi-Fi-förfrågan som autentiseras med ett certifikat från Contoso Device CA som matchar SSID-grupp Corp beviljas ett VLAN baserat på certifikatets OU, eller VLAN 10 om inget mönster matchar.
Loggförkortad
Engine-Decision: acceptApplied-Rule: Corp Wi-Fi – laptopsAssigned-VLAN: 20

Exempeldata. Utvärderingen följer RADIUSaaS regelordning; loggraderna är förkortade.

FILTER

När en regel gäller

Varje regel tillhör en nätverkstyp, och varje typ har de filter som är relevanta för den. Värden eller grupper, hur många som helst av vardera.

Filter per regeltyp
FilterWi-FiLANVPN
SSID✓——
Accesspunkt MAC✓——
Switch MAC—✓—
NAS-identifierare——✓
NAS IP——✓
Klient-IP✓✓✓
Accepterade rot-CA:er✓✓✓
Certifikatfält (utfärdare, SAN, ämne, tillägg)✓✓✓
Intune ID i certifikatet✓✓✓
Användarnamn- eller ägarmönster✓✓✓

En catch-all-regel har inga filter och matchar förfrågningar från alla nätverk.

GRUPPER

Grupper som alla regler kan använda

En grupp är en namngiven lista med SSID:er, switchar, accesspunkter, gateways, adressintervall eller Intune ID:n som vilken regel som helst kan använda. Lägg till ett nytt våningsplans switchar i gruppen, så gäller varje regel som namnger den även där. Portalen visar hur många regler som använder varje grupp, så du vet vad en ändring påverkar innan du sparar.
  • 7 typer: SSID, accesspunktens MAC, switchens MAC, NAS-identifierare, NAS-IP, klient-IP, Intune-ID
  • Avsluta en post med * för prefixmatchning: Corp-*, ett helt MAC-leverantörsprefix, nas-branch-*
  • MAC-adresser i valfri notation; RADIUSaaS normaliserar dem
  • Klistra in en lista direkt från din kontrollersexport; dubbletter hoppas över
  • IPv4 och IPv6, enskilda adresser eller CIDR-intervall
Exempeldata.
TILLDELNINGAR

VLAN från certifikatet

En regel kan dela ut ett fast VLAN eller läsa det från förfrågan. Peka den mot ett certifikatfält (utfärdaren, ett SAN, ämnet eller ett tillägg du registrerat) eller mot användarnamnet eller kontots ägare, ge den mönster, och varje mönster anger det VLAN eller attributvärde det leder till. Matchar inget mönster används fallback-värdet; utan fallback avvisas förfrågan. En enda regel kan då placera Försäljning, Teknik och alla övriga i tre olika VLAN.
  • Registrera privata tillägg med OID, eller standardfält som subject CN, OU, SAN DNS-namn och UPN
  • RADIUS-attribut tilldelas på samma sätt som VLAN
  • Flera värden för samma attribut i ett svar
Dynamisk tilldelningExempeldata.
Read from   Subject (DN) · OUPattern     ^Sales$        →  VLAN 20Pattern     ^Engineering$  →  VLAN 40Fallback                   →  VLAN 10
ATTRIBUT

De attribut din hårdvara förstår

  • VLAN-attribut

    De vanliga RADIUS-tunnelattributen för VLAN, plus de leverantörsspecifika varianterna som vissa switchar och accesspunkter kräver. Behåll de dina enheter förstår; övriga visas inte i regelredigeraren.

  • Övriga RADIUS-attribut

    Filter-ID:n, gruppnamn, leverantörspar: sök i RADIUS-ordboken i portalen och lägg till det dina regler kan returnera. Katalogen visar vilka regler som använder varje attribut.

SÄKERHET

Skyddsåtgärder vid regeländringar

  • I klartext

    Varje regel visar en mening som beskriver vad den gör: vilket nätverk, vilken inloggning, vilka villkor och vad den tilldelar.

  • Problem innan du sparar

    Regellistan har en problemkolumn. Fel blockerar sparandet; varningar låter dig spara och finns kvar i listan tills du åtgärdar dem.

  • Stäng av en regel utan att förlora den

    Stäng av en regel för att testa utan den. Den behåller sin position och sina inställningar.

  • Duplicera en regel

    Kopiera en fungerande regel och ändra det enda som skiljer sig.

  • Säkerhetskopiering och återställning

    Ladda ned hela regeluppsättningen, med grupper och certifikattillägg, som en fil. Återställning ersätter allt efter att du bekräftat det.

  • Catch-all-regeln hamnar alltid sist

    En generell tillåt-regel sparas längst ned, där den inte kan dölja reglerna under den.

GAMLA ENHETER

Enheter som inte klarar 802.1X

Vissa enheter känner inte till 802.1X överhuvudtaget. Om din switch eller accesspunkt stöder MAB-to-EAP autentiserar den på enhetens vägnar via PEAP-MSCHAPv2 eller EAP-TTLS-PAP, med enhetens MAC-adress som användarnamn och lösenord. Skapa dessa konton i RADIUSaaS, eller importera dem i bulk, och lägg till en regel som placerar dem i ett fallback-VLAN med minimal åtkomst, så att en förfalskad MAC-adress inte öppnar ditt nätverk. Klassisk MAB via PAP eller CHAP fungerar inte med RADIUSaaS.

MAC authentication bypass i dokumentationen

Exempeldata.

Skriv din första regel under testperioden

Starta en testperiod, anslut en accesspunkt och låt en regel placera din testdator i ett eget VLAN.

Prova RADIUSaaS nuLäs regeldokumentationen