1 of 51

�Ограничение доступа �к сети

2 of 51

Управление ограничением доступа к сети

Блокирование добавления новых записей в таблицу MAC-адресов коммутатора (Port Security)
Сегментация трафика
Фильтрация трафика на основе списков контроля доступа (Access Control List – ACL)
IP - MAC Binding
Контроль доступа к сети на основе протокола IEEE 802.1x

3 of 51

�Port Security

4 of 51

Безопасность на уровне портов� (Port Security)

Проверка подлинности компьютеров в сети

Функция Port Security в коммутаторах D-Link позволяет регулировать количество компьютеров, которым разрешено подключаться к каждому порту. Более того, она позволяет предоставлять доступ к сети только зарегистрированным компьютерам

1

2

3

4

5

Превышено количество допустимых компьютеров. Поэтому не может получить доступ к сети !

Всё ещё не может получить доступ к сети по причине отсутствия регистрации !!

5 of 51

Настройка Port Security

config port_security ports 1-3 admin_state enabled max_learning_addr 2
config port_security ports 4 admin_state enabled max_learning_addr 8

Command	Parameters
config port_security	[<portlist>\| all ] {admin_state [enable\| disable] \|max_learning_addr <max_lock_no 0-10> \| lock_address_mode [Permanent \|DeleteOnTimeout \| DeleteOnReset]}
delete port_security entry	vlan_name <vlan_name 32> mac_address <macaddr> port <port>
clear port_security_entry	port <portlist>
show port_security	{ports <portlist>}

6 of 51

Настройка параметров Port Security

DES-3526:4#config port_security ports 1-5 admin_state enable

max_learning_addr 5 lock_address_mode DeleteOnReset

Command: config port_security ports 1-5 admin_state enable

max_learning_addr 5 lock_address_mode DeleteOnReset

Success.

Команда config port_security имеет следующие параметры:

<portlist>| all – диапазон портов, на которых конфигурируется Port Security, all – все порты коммутатора
admin_state [enable| disable] - включение/отключение функции Port Security на данном порту
max_learning_addr <max_lock_no 0-10> -максимальное количество изучаемых портом MAC-адресов. Количество динамических изучаемых MAC-адресов в адресной таблице может быть ограничено 10 или менее.
lock_address_mode [Permanent |DeleteOnTimeout | DeleteOnReset] – значения: Permanent - динамические записей с истекшим временем жизни не удаляются из FDB (Forwarding Data Base, База данных продвижения); Delete On Timeout - для удаления из FDB динамических записей с истекшим временем жизни; Delete On Reset -для удаления всех записей из FDB, включая статические записи, при сбросе системы или перезагрузке.

7 of 51

Удаление записей Port Security

DES-3526:4#delete port_security_entry vlan_name default

mac_address 00-01-30-10-2C-C7 port 6

Command: delete port_security_entry vlan_name default

mac_address 00-01-30-10-2C-C7 port 6

Success.

DES-3526:4#clear port_security_entry port 6

Command: clear port_security_entry port 6

Success.

Команда delete port_security_entry используется для удаления одной записи Port Security. Указывается имя VLAN, MAC-адрес или номер порта, запись port security которого необходимо удалить.

Команда clear port_security_entry используется чтобы удалить записи MAC-адресов с указанных портов.

8 of 51

Просмотр конфигурации Port Security

DES-3526:4#show port_security ports 1-5

Command: show port_security ports 1-5

Port# Admin State Max. Learning Addr. Lock Address Mode

---- ----------- ------------------- -----------------

1 Disabled 1 DeleteOnReset

2 Disabled 1 DeleteOnReset

3 Disabled 1 DeleteOnReset

4 Disabled 1 DeleteOnReset

5 Disabled 1 DeleteOnReset

CTRL+C ESC q Quit SPACE n Next Page p Previous Page r Refresh

9 of 51

Задание. Настройка Port Security.

Настроить port security для портов коммутатора, к которым подключены рабочие станции, позволив портам изучать не более 1 МАС-адреса. Динамические записи с истекшим временем жизни не удаляются из FDB (Forwarding Data Base, База данных продвижения).

Проверить конфигурацию Port Security.

Командой ping проверьте возможность взаимодействия рабочих станций, подключенных к портам коммутатора.

На одной из рабочих станций, подключенных к коммутатору, измените значение МАС-адреса сетевого адаптера.

Командой ping проверьте возможность взаимодействия рабочих станций, подключенных к портам коммутатора в этом случае.

Удалите записи port security.

Командой ping проверьте возможность взаимодействия рабочих станций, подключенных к портам коммутатора в этом случае.

Верните измененный MAC адрес сетевого адаптера.

10 of 51

Фильтрация трафика на основе списков контроля доступа� (Access Control List – ACL)

11 of 51

ACL (списки контроля доступа)

ACL в коммутаторах D-Link могут фильтровать пакеты, основываясь на информации разных уровней:

Порт коммутатора
MAC/ IP-адрес
Тип Ethernet/ Тип протокола
VLAN
802.1p/ DSCP
TCP/ UDP-порт [тип приложения]
Содержание пакета [поле данных приложения]

Сетевой трафик

Контроль сетевых приложений

Коммутаторы D-Link предоставляют наиболее полный набор ACL, помогающих сетевому администратору осуществлять контроль над приложениями. При этом не будет потерь производительности, поскольку проверка осуществляется на аппаратном уровне.

L2/3/4 ACL ( Access Control List )

Online-игры

Неразрешённые приложения

Вирусы

Инфицированные клиенты
Неисправные сервера/ точки доступа
Компьютеры злоумышленников
Несанкционированные пользователи

ICMP

MSBLAST

SQL

SQL Slammer

ACL могут проверять содержимое пакетов на предмет наличия новых изменённых потоков

Управляемые коммутаторы D-Link могут эффективно предотвращать проникновение вредоносного трафика в сеть

12 of 51

Типы профиля доступа

1. Ethernet:

VLAN
MAC источника
MAC назначения
802.1p
Тип Ethernet
Порты

2. IP:

VLAN
Маска IP источника
Маска IP назначения
DSCP
Протокол (ICMP, IGMP, TCP, UDP)
TCP/UDP-порт
Порты

3. Фильтрация по содержимому пакета (первые 80 байт пакета). Доступно в моделях DES-35XX, DES-3828, DGS-34XX и серии xStack

13 of 51

Указания к конфигурированию профилей доступа (Access Profile)

Проанализируйте задачи фильтрации и определитесь с типом профиля доступа - Ethernet или IP
Зафиксируйте стратегию фильтрации
Основываясь на этой стратегии, определите какая необходима маска профиля доступа (access profile mask) и создайте её. (команда create access_profile)
Добавьте правило профиля доступа (access profile rule), связанное с этой маской (команда config access_profile)
Правила профиля доступа проверяются в соответствии с номером access_id. Чем меньше ID, тем раньше проверяется правило. Если не одно правило не сработало, пакет пропускается.
При необходимости, когда срабатывает правило, биты 802.1p/DSCP могут быть заменены на новые значения перед отправкой пакета, выступая в качестве “Маркера” в модели DSCP

14 of 51

Настройка фильтрации трафика на основе списков контроля доступа (ACL)

Command	Parameters
create access_profile	[ ethernet{ vlan \| source_mac <macmask> \| destination_mac <macmask> \| 802.1p \| ethernet_type}\| ip { vlan \| source_ip_mask <netmask> \| destination_ip_mask <netmask> \| dscp \| [ icmp {type \| code } \| igmp {type } \| tcp {src_port_mask <hex 0x0-0xffff> \| dst_port_mask <hex 0x0-0xffff>\| flag_mask [all \| {urg \| ack \| psh \| rst \| syn \| fin}]} \| udp {src_port_mask <hex 0x0-0xffff> \| dst_port_mask <hex 0x0-xffff>} \| protocol_id_mask <hex0x0 - 0xFF> {user_define_mask <hex 0x0-0xffffffff><hex 0x0-0xffffffff><hex 0x0-0xffffffff><hex 0x0-0xffffffff><hex 0x0-0xffffffff>} ]}\|packet_content_mask{offset_0-15<hex 0x0-0xffffffff><hex 0x0-0xffffffff><hex 0x0-0xffffffff><hex 0x0-0xffffffff> \| offset_16-31 <hex 0x0-0xffffffff><hex 0x0-0xffffffff><hex 0x0-0xffffffff><hex 0x0-0xffffffff> \| offset_32-47 <hex 0x0-0xffffffff><hex 0x0-0xffffffff><hex 0x0-0xffffffff><hex 0x0-0xffffffff> \| offset_48-63 <hex 0x0-0xffffffff><hex 0x0-0xffffffff><hex 0x0-0xffffffff><hex 0x0-0xffffffff> \| offset_64-79 <hex 0x0-0xffffffff><hex 0x0-0xffffffff><hex 0x0-0xffffffff><hex 0x0-0xffffffff>}] profile_id <value 1-255> }

В коммутаторах D-Link существует два основных типа профилей управления доступом: Ethernet и IP. Фильтрация в этих типах профилей может выполняться на основе МАС -адресов источника и приемника, VLAN, IP-адресов, номеров портов.

Профили доступа работают последовательно, в порядке возрастания их номеров (Profile ID). Пакет проверяется на соответствие условиям, указанным в профилях доступа, начиная с первого профиля. Если профиль подходит, пакет или принимается или отбрасывается и дальше не проверяется. Если не один профиль не подходит, применяется политика по умолчанию, разрешающая прохождение всего трафика.

Маска профиля доступа создается командой create access profile со следующими параметрами:

ethernet − указывает, что коммутатор должен проверять часть заголовка пакета, относящуюся к уровню 2.

• vlan − указывает, что коммутатор должен проверять относящуюся к VLAN часть заголовка.

• source_mac <macmask> − указывает проверять MAC-адрес источника

• destination_mac <macmask> − указывает проверять MAC-адрес назначения

• 802.1p − указывает проверять 802.1р приоритет в заголовке

• ethernet_type − указывает проверять значение ethernet type в заголовке

ip − указывает проверять IP адрес в заголовке

• vlan − указывается маска VLAN

• source_ip_mask <netmask> − указывается маска для IP адреса источника

• destination_ip_mask <netmask> − указывается маска для IP адреса назначения

• dscp − указывает, что коммутатор должен проверять поле DiffServ Code Point (DSCP) в заголовке

• icmp − указывает, что коммутатор должен проверять поле Internet Control Message Protocol (ICMP) в заголовке

• type − указывается поле ICMP Type

• code − указывается поле ICMP Code

• igmp − указывает, что коммутатор должен проверять поле Internet Group Management Protocol (IGMP) заголовка

• type − указывается поле IGMP Type

• tcp − указывает, что коммутатор должен проверять поле Transport Control Protocol (TCP)

• src_port_mask <hex 0x0-0xffff> − указывается маска для порта источника

• dst_port_mask <hex 0x0-0xffff> − указывается маска для назначения

• flag_mask [ all | {urg | ack | psh | rst | syn | fin}] – указание проверять биты флага пакетов: все, urg, ack, psh, rst, svn или fin

• udp − указывает, что коммутатор должен проверять поле UDP

• src_port_mask <hex 0x0-0xffff> − указывается маска порта источника

• dst_port_mask <hex 0x0-0xffff> − указывается маска порта получателя

profile_id <value 1-255> - указывается номер создаваемого профиля доступа.

Здесь приведены наиболее часто употребляемые параметры.

15 of 51

Создания правил фильтрации трафика на основе ACL

Command	Parameters
config access_profile profile_id	<value 1-255>[ add access_id <value 1-255>[ ethernet {vlan <vlan_name 32> \| source_mac <macaddr> \| destination_mac <macaddr> \| 802.1p <value 0-7> \| ethernet_type <hex 0x0-0xffff> }\| ip {vlan <vlan_name 32> \| source_ip <ipaddr> \| destination_ip <ipaddr> \| dscp <value 0-63> \|[ icmp {type <value 0-255> code <value 0-255>} \| igmp {type <value 0-255>} \| tcp {src_port <value 0-65535> \| dst_port <value 0-65535> \| flag_mask [all \| {urg \| ack \| psh \| rst \| syn \| fin}]} \| udp {src_port <value 0-65535> \| dst_port <value 0-65535>} \| protocol_id <value 0 - 255> {user_define <hex 0x0-0xffffffff><hex 0x0-0xffffffff><hex 0x0-0xffffffff><hex 0x0-0xffffffff><hex 0x0-0xffffffff>}]} \| packet_content_mask{offset_0-15<hex 0x0-0xffffffff><hex 0x0-0xffffffff><hex 0x0-0xffffffff><hex 0x0-0xffffffff> \| offset_16-31 <hex 0x0-0xffffffff><hex 0x0-0xffffffff><hex 0x0-0xffffffff><hex 0x0-0xffffffff> \| offset_32-47 <hex 0x0-0xffffffff><hex 0x0-0xffffffff><hex 0x0-0xffffffff><hex 0x0-0xffffffff> \| offset_48-63 <hex 0x0-0xffffffff><hex 0x0-0xffffffff><hex 0x0-0xffffffff><hex 0x0-0xffffffff> \| offset_64-79 <hex 0x0-0xffffffff><hex 0x0-0xffffffff><hex 0x0-0xffffffff><hex 0x0-0xffffffff>}] port <portlist> [permit {replace_priority_with <value 0-7> \| replace_dscp_with <value 0-63> } \| deny] \| delete access_id <value 1-255> ]

Команда config access_profile profile_id используется, чтобы сформировать правила, которые будут использоваться коммутатором, чтобы определить, должен ли данный пакет быть передан или отфильтрован. Маски, созданные с использованием команды create access_profile будут объединены со значениями, указанными в качестве параметров команды config access_profile profile_id , используя логическое И (AND).

Значения основных параметров команды config access_profile profile_id приведены ниже.

profile_id <value 1-255> − число-идентификатор профиля доступа, присвоенное ему при создании командой create access_profile

add access_id <value 1-255> − добавляет правило в профиль доступа. Число означает приоритет данного правила. Чем меньше access_id, тем выше приоритет правила.

ethernet − определяет, что коммутатор будет проверять только относящуюся ко 2-му уровню часть пакета

• vlan <vlan_name 32> − определяет, что профиль доступа применяется только для этой VLAN

• source_mac <macaddr> − определяет, что профиль доступа применяется только для этого MAC- адреса источника

• destination_mac <macaddr> − определяет, что профиль доступа применяется только для пакетов с этим MAC-адресом назначения

• 802.1p <value 0-7> − определяет, что профиль доступа применяется только для пакетов с этим значением приоритета 802.1p

• ethernet_type <hex 0x0-0xffff> − определяет, что профиль доступа применяется только для пакетов с таким значением поля ethernet_type в заголовке

ip − определяет, что коммутатор будет проверять только относящиеся к IP полям пакета

• vlan <vlan_name 32> − определяет, что профиль доступа применяется только для этой VLAN

• source_ip <ipaddr> − определяет, что профиль доступа применяется только для пакетов с этим значением IP адреса источника

port <int> - номер порта коммутатора, для которого создается разрешающее или запрещающее правило

permit – определяет, что пакеты, соответствующие профилю доступа разрешены к передаче коммутатором

• replace_priority with (0-7) − этот параметр указывается, если необходимо поменять 802.1р приоритет в пакете, соответствующим критериям.

deny – определяет, что пакеты, соответствующие профилю доступа не разрешены к передаче коммутатором и должны быть отфильтрованы

delete access_id <value 1-255> − указание удалить правило с указанным идентификатором

Остальные параметры имеют значение, схожее с одноименными параметрами команды create access_profile, с той разницей, что в команде create access_profile определяется маска, а в команде config access_profile profile_id – значение, на которое эта маска накладывается.

Просмотреть созданные профили доступа можно командой show access_profile.

Удаляются профили доступа командой delete access_profile с указанием идентификатора профиля, который необходимо удалить - profile_id.

16 of 51

Ограничения, накладываемые на количество списков доступа (ACL)

Номера портов	Максимальное количество правил фильтрации (ACL Profile Rules)
1 - 8	200
9 - 16	200
17 - 24	200
25 (Gigabit)	100
26 (Gigabit)	100
Всего	800

Всего на коммутаторе DES-3526 можно создать до 9 профилей доступа с максимальным количеством правил – 800.

17 of 51

Пример создания ACL на основе MAC-адресов

В качестве примера рассмотрим следующий сценарий:

Разрешить некоторым пользователям доступ в Интернет, основываясь на MAC-адресах.

Интернет-шлюз:

IP=10.254.254.251/8, MAC=00-05-5D-74-86-02, Порт 7

PC1: разрешен доступ в Интернет

IP 10.1.1.1/8, 00-0C-F1-E1-37-7F gw=10.254.254.251, порт - 2

Остальные компьютеры: запрещен доступ в Интернет

IP: 10.x.x.x/8

Опишем создаваемые правила:

Если MAC-адрес назначения = шлюза и MAC-адрес источника = разрешенный компьютер, то разрешить (можно ввести несколько таких правил для других компьютеров, которым разрешен доступ).

Если MAC-адрес назначения = шлюза, то запретить доступ.

Иначе - разрешить все остальное по умолчанию.

Создаем профайлы:

DES-3526:4#create access_profile ethernet source_mac FF-FF-FF-FF-FF-FF destination_mac FF-FF-FF-FF-FF-FF profile_id 10

DES-3526:4#create access_profile ethernet destination_mac FF-FF-FF-FF-FF-FF profile_id 20

Добавляем в них правила:

DES-3526:4#config access_profile profile_id 10 add access_id 10 ethernet source_mac 00-0C-F1-E1-37-7F destination_mac 00-05-5D-74-86-02 port 2 permit

DES-3526:4#config access_profile profile_id 20 add access_id 20 ethernet destination_mac 00-05-5D-74-86-02 port 1-24 deny

Такие запрещающие правила создаются для всех портов коммутатора, к которым подключены компьютеры пользователей. Но поскольку запрещающий профиль имеет больший идентификатор, а значит будет обрабатываться позже, РС1 получит доступ в Интернет, остальные компьютеры – нет.

Тестирование настроек покажет:

PC1 может обмениваться пакетами icmp с Интернет. (Разрешенный MAC-адрес имеет доступ в Интернет)

PC2 не может обмениваться пакетами icmp с Интернет. (Другие компьютеры не имеет доступ в Интернет)

PC1 и PC2 могут обмениваться пакетами icmp друг с другом. (Intranet OK)

Просмотреть сделанные настройки можно при помощи команды show access_profile.

Удалить профиль доступа 10:

delete access_profile profile_id 10

18 of 51

Создание ACL на основе MAC-адресов и IP-адресов

19 of 51

Пример создания ACL на основе IP адресов

Сценарий: Разрешить некоторым пользователям доступ к серверу, основываясь на IP-адресах.

Доступ к серверу разрешен: для компьютеров с IP-адресами 192.168.1.1 ~ 192.168.1.63

Сервер имеет IP-адрес 192.168.1.254/32 , подключен к порту 7 коммутатора.

Опишем создаваемые правила:

Если DestIP=192.168.1.254/32 и SrcIP=192.168.1.1/26, то доступ разрешен

Если DestIP=192.168.1.254/32 и SrcIP=192.168.1.1/24, то доступ запрещен

Иначе, по умолчанию разрешить доступ для всего остального

Создаем профили доступа:

разрешить доступ с адресов .1 ~ .63 на узел .254

DES-3526:4#create access_profile ip source_ip_mask 255.255.255.192 destination_ip_mask 255.255.255.255 profile_id 20

Добавляем в него правила:

config access_profile profile_id 20 add access_id 20 ip source_ip 192.168.1.1 destination_ip 192.168.1.254 port 1-26 permit

Создаем другой профиль доступа - запретить доступ с адресов .1~.253 на шлюз .254

DES-3526:4#create access_profile ip source_ip_mask 255.255.255.0 destination_ip_mask 255.255.255.255 profile_id 30

Добавляем в него правила:

config access_profile profile_id 30 add access_id 30 ip source_ip 192.168.1.1 destination_ip 192.168.1.254 port 1-26 deny

В результате получим:

Компьютеры с адресами 192.168.1.1 ~ 192.168.1.63 имеют доступ к серверу (.254), а компьютеры 192.168.1.64 ~ 192.168.1.253 PC имеют доступ ко всем компьютерам, но не имеют доступ к серверу 192.168.1.254

20 of 51

IP MAC-Port

Binding

21 of 51

IP-MAC-Port Binding

Проверка подлинности компьютеров в сети

Функция IP-MAC-Port Binding в коммутаторах D-Link позволяет контролировать доступ компьютеров в сеть на основе их IP и MAC-адресов, а также порта подключения. Если какая-нибудь составляющая в этой записи меняется, то коммутатор блокирует данный MAC-адрес с занесением его в блок-лист.

Привязка IP-MAC-порт (IP-MAC-Port Binding)

Эта функция специально разработана для управления

сетями ETTH/ ETTB и офисными сетями

IP-MAC-Port Binding

1

2

3

4

Связка IP-MAC-порт не соответствует разрешённой – MAC-адрес компьютера заблокирован !!

22 of 51

IP-MAC Binding

Command	Parameters
create address_binding ip_mac ipaddress	<ipaddr> mac_address <macaddr> {ports [<portlist> \| all] \| mode {arp \| acl]}
config address_binding ip_mac ipaddress	<ipaddr> mac_address <macaddr> {ports [<portlist> \| all] \| mode {arp \| acl]}
config address_binding ip_mac ports	[<portlist> \| all] state [enable \| disable]
show address_binding	[ip_mac {[all \| ipaddress <ipaddr> mac_address <macaddr>] }\|blocked {[all \| vlan_name <vlan_name> mac_address <macaddr>]}\|ports]
delete address-binding	[ip-mac [ipaddress <ipaddr> mac_address <macaddr> \|all] \| blocked [all \| vlan_name <vlan_name> mac_address <macaddr>]]

Использование функции IP-MAC Binding позволит ограничить доступ через коммутатор только тем пользователям, для которых было настроено соответствие IP адреса МАС-адресу. Всем другим пользователям, пытающимся получить доступ через порты с включенной функцией IP-MAC Binding, доступ в сеть будет запрещен.

На коммутаторе DES-3526 функция доступна в двух режимах – ARP (по умолчанию) и ACL.

При использовании IP-MAC-Port binding в режиме ACL автоматически создаются 2 профиля (и

правила для них) в первых двух доступных номерах профилей. Любое запрещающее правило после IP-MAC-Port binding становится ненужным, поэтому рекомендуется располагать все остальные ACL в более приоритетном порядке.

23 of 51

Создание и изменение записи IP-MAC Binding

des-3526>create address_binding ip_mac ipaddress 10.1.1.3 mac_address 00-00-00-00-00-04

Command: create address_binding ip_mac ipaddress 10.1.1.3 mac_address 00-00-00-00-00-04

Success.

des-3526>config address_binding ip_mac ipaddress 10.1.1.3 mac_address 00-00-00-00-00-05

Command: config address_binding ip_mac ipaddress 10.1.1.3 mac_address 00-00-00-00-00-05

Success.

des-3526>config address_binding ip_mac ports 2 state enable

Command: config address_binding ip_mac ports 2 state enable

Success.

Для создания записи IP-MAC служит команда

create address_binding ip_mac ipaddress <ipaddr> mac_address <macaddr>

Имеющая следующие параметры:

<ipaddr> – IP адрес устройства

<macaddr> – МАС-адрес устройства, для которого настраивается соответствие IP адреса МАС-адресу.

Командой

config address_binding ip_mac ipaddress <ipaddr> mac_address <macaddr>

можно изменить существующую уже запись IP-MAC Binding.

Для указания портов, для которых включается функция IP-MAC Binding, используется команда

config address_binding ip_mac ports [<portlist> | all] state [enable | disable]

где

<portlist> - порт или порты, для которых включается функция IP-MAC Binding.

all – все порты коммутатора

state [enable | disable] – включение или выключение функции IP-MAC Binding для указанной группы портов

24 of 51

Просмотр и удаление записей IP-MAC Binding

des-3526>show address_binding ip_mac ipaddress 10.1.1.8 mac_address 00-00-00-00-00-12

Command: show address_binding ip_mac ipaddress 10.1.1.8 mac_address 00-00-00-00-00-12

Enabled ports: 2

IP Address MAC Address

--------------- -----------------

10.1.1.8 00-00-00-00-00-12

Total entries : 1

des-3526>delete address-binding ip-mac ipaddress 10.1.1.1 mac_address 00-00-00-00-00-06

Command: delete address-binding ip-mac ipaddress 10.1.1.1 mac_address 00-00-00-00-00-06

Success.

Для просмотра записей IP-MAC Binding служит команда

show address_binding [ip_mac {[all | ipaddress <ipaddr> mac_address <macaddr>] }|blocked {[all | vlan_name <vlan_name> mac_address <macaddr>]}|ports]

При ее помощи доступны три способа отображения информации:

ip_mac – показываются сконфигурированные записи IP-MAC Binding

blocked – блокированные записи МАСадресов, с указанием VLAN, к которой они принадлежат.

ports – порты, на которых включена функция IP-MAC Binding

С этими способами отображения могут использоваться следующие параметры:

all – выводятся все записи

<ipaddr> - выводится запись для указанного IP адреса

<macaddr> - выводится запись для указанного МАС адреса

<vlan_name> - имя VLAN, для которой отображаются блокированные МАС-адреса

Удалять записи IP-MAC Binding можно командой

delete address-binding [ip-mac [ipaddress <ipaddr> mac_address <macaddr> |all] | blocked [all | vlan_name <vlan_name> mac_address <macaddr>]]

Два режима ее использования:

ip-mac – удаляется индивидуальная запись IP-MAC Binding для указанного IP адреса (<ipaddr>) и МАС-адреса (<macaddr>). При указании all удаляются все записи IP-MAC Binding.

blocked – удаление блокированных записей для указанного IP адреса (<ipaddr>) , МАС-адреса (<macaddr>), VLAN (<vlan_name>) . При указании all удаляются все блокированные записи IP-MAC Binding.

25 of 51

Создание IP MAC-Binding

config address_binding ip_mac ports all state enable

create address_binding ip_mac ipaddress 10.0.60.1 mac_address 00-01-11-fd-5c-11 ports 11

create address_binding ip_mac ipaddress 10.0.60.2 mac_address 00-01-11-fd-5c-10 ports 12

show address_binding ip_mac

Ping 10.0.60.1 (результат?)

Ping 10.0.60.2 (результат?)

Переключить пачкорды между портами ________

Ping 10.0.60.1 (результат?)

Ping 10.0.60.2 (результат?)

10.0.60.1 10.0.60.2

26 of 51

Ограничение доступа к сети на основе 802.1х

27 of 51

Ограничение доступа к сети на основе 802.1х

Протокол IEEE 802.1х определяет доступ на основе модели Клиент/Сервер и протокол аутентификации, который не позволяет неавторизованным устройствам подключаться к локальной сети через порты коммутатора. Сервер аутентификации (RADIUS) проверяет права доступа каждого клиента, подключаемого к порту коммутатора прежде, чем разрешить доступ к любому из сервисов, предоставляемых коммутатором или локальной сетью.

До тех пор, пока клиент не будет аутентифицирован, управление доступом протокола 802.1х позволит только трафику протокола Extensible Authentication Protocol over LAN (EAPOL) проходить через порт, к которому подключен клиент. После успешной аутентификации, обычный трафик может передаваться через порт.

28 of 51

Роли устройств

При 802.1х аутентификации на основе портов, устройства в сети выполняют определенные роли.

Клиент – Это рабочая станция, которая запрашивает доступ к локальной сети и сервисам коммутатора и отвечает на запросы от коммутатора. На рабочей станции должно быть установлено клиентское ПО для 802.1x, например то, которое встроено в ОС Microsoft Windows XP и Microsoft Windows 2000 SP4.

Сервер аутентификации – выполняет фактическую аутентификацию клиента. Сервер аутентификации проверяет подлинность клиента и информирует коммутатор предоставлять или нет клиенту доступ к локальной сети. RADIUS работает в модели клиент/сервер, в которой информация об аутентификации передается между сервером и клиентами RADIUS. Т.к. коммутатор работает как прокси, сервис аутентификации прозрачен для клиента.

Коммутатор в данном случае является аутентификатором (authenticator)) – он управляет физическим доступом к сети, основываясь на статусе аутентификации клиента. Коммутатор работает как посредник между клиентом и сервером аутентификации, получая запрос на проверку подлинности от клиента, проверяя данную информацию при помощи сервера аутентификации, и пересылая ответ клиенту. Коммутатор включает клиент RADIUS, который отвечает за инкапсуляцию и деинкапсуляцию кадров EAP и взаимодействие с сервером аутентификации.

29 of 51

Процесс аутентификации 802.1х

Инициировать процесс аутентификации может или коммутатор или клиент.

Клиент инициирует аутентификацию, посылая кадр EAPOL-start, который вынуждает коммутатор отправить ему запрос на идентификацию. Когда клиент отправляет ЕАР – ответ со своей идентификацией, коммутатор начинает играть роль посредника, предающего кадры ЕАР между клиентом и сервером аутентификации до успешной или неуспешной аутентификации. Если аутентификация завершилась успешно, порт коммутатора становится авторизованным.

Схема обмена ЕАР кадрами зависит от используемого метода аутентификации. На рисунке показана схема обмена, инициируемая клиентом, использующая метод аутентификации One-Time-Password (OTP) сервером RADIUS.

Аутентификация 802.1х может быть выполнена как на основе МАС-адресов, так и на основе портов:

При аутентификации 802.1x на основе MAC-адресов сервер проверяет не только имя пользователя/пароль, но и максимальное количество MAC-адресов, доступных для работы. Если предел достигнут, то он блокирует новый MAC-адрес.

При аутентификации 802.1x на основе портов, после того, как порт был авторизован, любой пользователь, подключенный к порту, может получить доступ к локальной сети.

30 of 51

Состояние портов коммутатора

Неавторизованное состояние порта:

запрет прохождения всего входящего и исходящего трафика за исключением пакетов протокола 802.1х

Авторизованное состояние порта:

разрешена передача любого трафика через порт

Состояние порта коммутатора определяется тем, получил или не получил клиент право доступа к сети. Первоначально порт находится в неавторизованном состоянии. В этом состоянии он запрещает прохождение всего входящего и исходящего трафика за исключением пакетов протокола 802.1х. Когда клиент аутентифицирован, порт переходит в авторизованное состояние, позволяя передачу любого трафика от него.

Возможны варианты, когда клиент или коммутатор не поддерживают 802.1х.

Если клиент, который не поддерживает 802.1х, подключается к неавторизованному порту 802.1х, коммутатор посылает клиенту запрос на авторизацию. Поскольку в этом случае, клиент не ответит на запрос, порт останется в неавторизованном состоянии и клиент не получит доступ к сети.

В другом случае, когда клиент с поддержкой 802.1х подключается к порту, на котором не запущен протокол 802.1х, клиент начинает процесс аутентификации, посылая кадр EAPOL-start. Не получив ответа, клиент посылает запрос определенное количество раз. Если после этого ответ не получен, клиент, считая, что порт находится в авторизованном состоянии, начинает посылать кадры.

В случае, когда и клиент и коммутатор поддерживают 802.1х, при успешной аутентификации клиента, порт переходит в авторизованное состояние и начинает передавать все кадры клиента. Если в процессе аутентификации возникли ошибки, порт остается в неавторизованном состоянии, но аутентификация может быть восстановлена. Если сервер аутентификации не может быть достигнут, коммутатор может повторно передать запрос. Если от сервера не получен ответ после определенного количества попыток, в доступе к сети будет отказано из-за ошибок аутентификации.

Когда клиент завершает сеанс работы, он посылает сообщение EAPOL-logoff, переводящее порт коммутатора в неавторизованное состояние.

Если состояние канала связи порта переходит из активного (up) в неактивное (down), или получен кадр EAPOL-logoff, порт возвращается в неавторизованное состояние.

31 of 51

Настройка 802.1х на коммутаторе

Command	Parameters
enable 802.1x
disable 802.1x
show 802.1x	[auth_state \| auth_configuration] {ports <portlist>}
config 802.1x capability ports	[<portlist>\|all] [authenticator \| none ]
config 802.1x auth_parameter ports	[<portlist>\|all] [default] {direction [both\|in] port_control [force_unauth\|auto\|force_auth] quiet_period <sec 0-65535> tx_period <sec 1-65535> supp_timeout <sec 1-65535> server_timeout <sec 1-65535> max_req <value 1-10> reauth_period <sec 1-65535> enable_reauth [enable\|disable]
config 802.1x auth_mode	[port_based \|mac_based]
config 802.1x init	config 802.1x init [port_based ports [<portlist\|all>] \|mac_based ports [<portlist>\|all] {mac_address <macaddr>}]
config 802.1x reauth	[port_based ports [<portlist\|all>] \|mac_based ports [<portlist>\|all] {mac_address <macaddr>}]
config radius add	<server_index 1-3> <server_ip> key <passwd 32> default auth_port <udp_port_number> acct_port <udp_port_number>
config radius delete	<server_index 1-3>
config radius	<server_index 1-3> ipaddress <server_ip> key <passwd 32> auth_port <udp_port_number> acct_port <udp_port_number>
show radius

Для того, чтобы иметь возможность управлять доступом к сети на основе протокола 802.1х, нужно следующее:

На рабочей станции: необходимо наличие клиентского ПО, поддерживающего 802.1x (802.1х-клиент). 802.1х-клиент встроен в Windows, начиная с 2000 SP4.

Сервер Radius: любой Radius-сервер с поддержкой 802.1х, к примеру: Windows IAS, WinRadius, FreeRadius .

На коммутаторе: активировать 802.1x на устройстве, настроить 802.1x на портах и настроить параметры для сервера Radius

Аутентификация 802.1х может быть выполнена как на основе МАС-адресов, так и на основе портов:

При аутентификации 802.1x на основе MAC-адресов сервер проверяет не только имя пользователя/пароль, но и максимальное количество MAC-адресов, доступных для работы. Если предел достигнут, то он блокирует новый MAC-адрес.

При аутентификации 802.1x на основе портов, после того, как порт был авторизован, любой пользователь, подключенный к порту, может получить доступ к локальной сети.

32 of 51

Настройка 802.1х на портах коммутатора

Command	Parameters
config 802.1x auth_parameter ports	[<portlist>\|all] [default] {direction [both\|in] port_control [force_unauth\|auto\|force_auth] quiet_period <sec 0-65535> tx_period <sec 1-65535> supp_timeout <sec 1-65535> server_timeout <sec 1-65535> max_req <value 1-10> reauth_period <sec 1-65535> enable_reauth [enable\|disable]
config 802.1x init	[port_based ports [<portlist\|all>] \|mac_based ports [<portlist>\|all] {mac_address <macaddr>}]
config 802.1x reauth	[port_based ports [<portlist\|all>] \|mac_based ports [<portlist>\|all] {mac_address <macaddr>}]

Аутентификация на основе портов предполагает, что для портов, настроенных для работы с 802.1x, аутентификация выполняется на основе только номера порта и настроенных для него параметров авторизации.

Аутентификация на основе MAC-адресов предполагает, что для портов, настроенных для работы с 802.1x, аутентификация выполняется на основе номера порта и MAC-адреса, а затем по настроенным для порта параметрам авторизации. Дополнительная настройка требуется для создания списка авторизованных MAC-адресов и указания портов, с которых выполняются запросы.

Настройка осуществляется командой:

config 802.1x auth_parameter ports

со следующими возможными параметрами:

Portlist | all - настраиваемые порты

direction - дает указание, будет ли осуществляться контроль над соединением только при приеме данных или при приеме и передаче независимо от того, был ли порт авторизован.

port_control - доступна одна из опций: force_auth, force_unauth или auto. При выборе

force_auth порт переводится в авторизованное состояние ( Authorized ), а при выборе

force_unauth – в неавторизованное состояние (Unauthorized).

quiet_ period - интервал времени между неудачной попыткой авторизации началом следующей попытки.

tx_period - время ожидания ответа от пользователя для отправки пакетов EAP Request/Identity.

supp_timeout - время ожидания ответа от пользователя для всех пакетов EAP, кроме пакетов Request/Idetity.

server_timeout - время ожидания ответа от сервера Radius

max_req - максимальное количество попыток отправки пакетов пользователю.

reauth_period - интервал времени, по истечении которого аутентификация повторится.

enable_reauth - включение или отключение повторной аутентификации.

Для инициализации функций 802.1x на указанных портах или для указанных MAC-адресов определенной группы портов используется команда config 802.1x init. Для аутентификации 802.1x на основе MAC-адресов, указывается список MAC-адресов.

На портах может периодически проводиться повторная аутентификация (по истечении периода повторной аутентификации). Для настройки повторной аутентификации на основе MAC-адресов или на основе портов, применяется команда config 802.1x reauth.

33 of 51

Пример настройки 802.1х на коммутаторе

Приведем пример конфигурирование коммутатора DES-3526 в качестве аутентификатора в архитектуре 802.1х.

# Включаем поддержку 802.1х на коммутаторе

enable 802.1x

#Для портов 1-24 задаем режим - аутентификатор

config 802.1x capability ports 1-24 authenticator

#Даем указание использовать протокол Radius EAP

config 802.1x auth_protocol radius eap

#Настраиваем аутентификацию на основе портов

config 802.1x auth_mode port_based

#Даем указание использовать Raduis-сервер с IP-адресом 10.54.81.250

#Секретный ключ длиной до 32 символов, используемый сервером Radius и коммутатором - sckey.

config radius add 1 10.54.81.250 key sckey default

34 of 51

Web-Based Authentication – аутентификация на базе WEB (WAC)

35 of 51

Почему аутентификация на основе WEB

Если нужна аутентификация по имени пользователя/паролю, и пользователь не хочет использовать 802.1x аутентификацию (например, клиентское ПО 802.1x не предустановлено на PC). Есть ли другой способ соблюсти это требование?

Ответ: Web-Based Authentication (WAC).

Клиент - PC1

Клиент - PC3

Клиент - PC2

Internet

Перед прохождением процесса аутентификации�коммутатор блокирует все HTTP-пакеты

1. Пользователь хочет зайти

на WEB-сайт Yahoo

2. Коммутатор определяет тип пакетов – HTTP

и отправляет пользователю страничку

с запросом имени пользователя и пароля

36 of 51

Аутентификация на основе WEB

Web-Based Authentication (WAC) функция, специально разработанная для аутентификации пользователя при попытке доступа к сети через коммутатор. Это альтернативный вариант аутентификации на основе портов по отношению к IEEE802.1X.

Процесс аутентификации использует протокол HTTP. Когда пользователи хотят открыть WEB-страницу (например, http://www.google.com) посредством WEB-браузера (например, IE) и коммутатор обнаруживает HTTP-пакеты и то, что порт не аутентифицирован, тогда браузер отобразит окно с запросом имени пользователя/пароля. Если пользователь вводит правильные данные и проходит процесс аутентификации, это означает, что порт аутентифицирован, и пользователь имеет доступ к сети.

Роль коммутатора

Коммутатор сам может выступать в роли сервера аутентификации и производить аутентификацию на основе локальной базы данных пользователей, или в роли RADIUS - клиента и осуществлять процесс аутентификации совместно с удалённым RADIUS - сервером.

1. Сервер аутентификации 🡺 для небольших сетей рабочих групп

�2. RADIUS - клиент 🡺 для крупных корпоративных сетей

37 of 51

Порты 1-12 сконфигурированы как порты с включенной аутентификацией. Каждый PC, подключённый к этим портам, должен пройти процесс аутентификации по имени пользователя/паролю. После этого, они получают доступ к сети. База данных имя пользователя/пароль/VLAN в этом примере хранится на коммутаторе. Т.о., в этом примере нет RADIUS-сервера.

Примечание: В текущей реализации, максимальной количество записей в локальной базе данных равно числу портов коммутатора. Например, DES-3828 поддерживает 28 записей (т.е. максимум 28 локальных пользователей).

Аутентификация на основе WEB: пример

- с использованием локальной базы данных пользователей

Клиент - PC1

Клиент - PC2

Клиент - PC3

2. Порты с включенной аутентификацией (порты 1-12)

3. Локальная база

данных пользователей�(создать пользователей)

Пользователь Пароль� James 123

Will 456

…. …..

На какую WEB-страницу

Вы хотите перенаправить

запрос?

10.10.10.1

Internet

DI-624 (10.10.10.10)�DHCP IP Pool�10.10.10.50 – 10.10.10.100

10.10.10.12

10.10.10.11

10.10.10.13

Web Сервер �IP: 10.10.10.101

38 of 51

Конфигурация коммутатора:

1. # Задайте WEB-страницу для перенаправления трафика. Пользователь может использовать свою собственную WEB-страницу для перенаправления.

�config wac default_redirpath www.dlink.com (10.10.10.101)

2. # Сконфигурируйте порты как порты с WAC-аутентификацией.

�config wac vlan default method local ports 1-12 state enable

enable wac

3. # Создайте пользователя в локальной базе данных имя пользователя/пароль/VLAN.

# Например, имя пользователя/пароль=u1/u1

# и порт будет добавлен в VLAN default после прохождения процесса аутентификации.

�create wac user u1 vlan default

Клиент - PC:

Нет необходимости в каком либо специальном ПО. Откройте WEB-браузер (например, IE) и пройдите процесс аутентификации.

Аутентификация на основе WEB: пример

- с использованием локальной базы данных пользователей

39 of 51

Результат аутентификации:

1. Когда Вы заходите на наш WEB-сайт (10.10.10.101)

2. Откроется окно с запросом имени пользователя и пароля

Аутентификация на основе WEB: пример

- с использованием локальной базы данных пользователей

40 of 51

3. Когда пользователь вводит корректные учётные данные и проходит аутентификацию, будет выведено сообщение об успешном входе в сеть “successful logged in”, и затем пользователь будет перенаправлен на 10.10.10.101, как указано в конфигурации. Пользователь может затем получить доступ к другим ресурсам сети.

Результаты WEB аутентификации:

Аутентификация на основе WEB: пример

- с использованием локальной базы данных пользователей

41 of 51

Результаты WEB аутентификации:

Аутентификация на основе WEB: пример

- с использованием локальной базы данных пользователей

4. И затем пользователь может получить доступ к любому ресурсу сети, не обязательно WEB - серверу. Из CLI, Вы может посмотреть статус любого WAC - порта.

DES-3800:4# show wac ports all

Command: show wac ports all

Port State Username IP address Auth status Assigned VLAN

---- ------- ---------------- --------------- -------------- -------------

1 Enable u1 10.54.81.1 Authenticated 1

2 Enable 0.0.0.0 Unauth 1

3 Enable 0.0.0.0 Unauth 1

4 Enable 0.0.0.0 Unauth 1

….

42 of 51

Если количество уникальных пользователей превышает размеры локальной БД или в сети уже есть работающий RADIUS - сервер, функция WAC также может использовать записи имя пользователя/пароль/VLAN на RADIUS - сервере для осуществления аутентификации пользователей.

Аутентификация на основе WEB: пример

- с использованием внешнего RADIUS - сервера

Radius - сервер

10.10.10.101/8

БД:

Пользователь# Имя пользователя/ Пароль

user1 u1/u1

Клиент - PC1

Клиент - PC2

Клиент - PC3

Internet

Порты с включённой аутентификацией

В некоторых крупных корпоративных сетях, Radius - сервер может быть использован как решения для построения масштабируемых сетей.

43 of 51

Конфигурация коммутатора:

1. # Задайте WEB-страницу для перенаправления трафика.

config wac default_redirpath www.dlink.com

2. # Задайте удалённый RADIUS – сервер.

config radius add 1 10.10.10.101 key 123456 default

3. # Сконфигурируйте порты как порты с WAC-аутентификацией.

config wac vlan default method radius ports 1-12 state enable

enable wac

Клиент - PC:

Нет необходимости в каком либо специальном ПО. Откройте WEB-браузер (например, IE) и пройдите процесс аутентификации.

Аутентификация на основе WEB: пример

- с использованием внешнего RADIUS - сервера

Результаты WEB аутентификации:�те же самые, что в предыдущем примере

44 of 51

Локальная БД:

Пользователь# Имя пользователя/Пароль/VLAN

1 u1/u1/default

2 u2/u2/v2

3 u3/u3/v3

Пример настройки WAC - Присвоить VLAN

исходя из имени пользователя

Клиент - PC1

Клиент - PC2

Клиент - PC3

Также как и с функцией Guest VLAN, порт с включённой функцией WAC также может быть добавлен в определённый VLAN в соответствии с именем пользователя в локальной базе данных на коммутаторе. В этом примере, когда пользователь “u2” аутентифицируется в сети, порт будет добавлен в VLAN v2 и он соответственно получит доступ к VLAN2. Эта функция может быть использована для предоставления разного уровня обслуживания разным пользователям.

21

22

23

1

2

8

Порты

WAC

VLAN2

VLAN3

VLAN1

45 of 51

Конфигурация коммутатора

## Создайте VLAN – ы, причём каждый VLAN должен иметь один Uplink - порт (порты 21, 22, 23).

config vlan default delete 21-23

config vlan default add untagged 21

create vlan v2 tag 2

config vlan v2 add untagged 22

create vlan v3 tag 3

config vlan v3 add untagged 23

# Задайте WEB-страницу для перенаправления трафика.

config wac default_redirpath www.dlink.com

�## Конфигурация WAC основана на локальной базе данных.

## Разные пользователи добавляются в разные VLAN-ы.

config wac method local vlan default ports 1-8 state enable

create wac user u1 vlan default

create wac user u2 vlan v2

create wac user u3 vlan v3

enable wac

Пример настройки WAC - Присвоить VLAN

исходя из имени пользователя

46 of 51

Перед тем как пользователи будут аутентифицированы, порты добавлены в следующие VLAN-ы:

DES-3800:4# show vlan

Command: show vlan

VID : 1 VLAN Name : default

VLAN TYPE : static Advertisement : Enabled

Member ports : 1-21,24-28 🡸 Порты 1, 2 и 8, к которым подключены PC, находятся в VLAN default

Static ports : 1-21,24-28

Current Untagged ports : 1-21,24-28

Static Untagged ports : 1-21,24-28

Forbidden ports :

VID : 2 VLAN Name : v2

VLAN TYPE : static Advertisement : Disabled

Member ports : 22

Static ports : 22

Current Untagged ports : 22 🡸 Только порт 22 находится в VLAN v2

Static Untagged ports : 22

Forbidden ports :

VID : 3 VLAN Name : v3

VLAN TYPE : static Advertisement : Enabled

Member ports : 23

Static ports : 23

Current Untagged ports : 23 🡸 Только порт 23 находится в VLAN v3

Static Untagged ports : 23

Forbidden ports :

Total Entries : 3

Пример настройки WAC - Присвоить VLAN

исходя из имени пользователя

47 of 51

Перед тем, как пользователи будут аутентифицированы, статус портов WAC следующий:

DES-3800:4# show wac ports all

Command: show wac ports all

Port State Username IP address Auth status Assigned VLAN

---- ------- ---------------- --------------- -------------- -------------

1 Enable 0.0.0.0 Unauth 1

2 Enable 0.0.0.0 Unauth 1

3 Enable 0.0.0.0 Unauth 1

4 Enable 0.0.0.0 Unauth 1

5 Enable 0.0.0.0 Unauth 1

6 Enable 0.0.0.0 Unauth 1

7 Enable 0.0.0.0 Unauth 1

8 Enable 0.0.0.0 Unauth 1

9 Disable 0.0.0.0 Unauth 1

10 Disable 0.0.0.0 Unauth 1

11 Disable 0.0.0.0 Unauth 1

12 Disable 0.0.0.0 Unauth 1

. . .

Пример настройки WAC - Присвоить VLAN

исходя из имени пользователя

48 of 51

После того, как пользователи аутентифицировались в сети, порты добавляются в соответствующие VLAN-ы:

DES-3800:4# show vlan

Command: show vlan

VID : 1 VLAN Name : default

VLAN TYPE : static Advertisement : Enabled

Member ports : 1,3-7,9-21,24-28 🡸 Порты 2 и 8 удалены из VLAN default

Static ports : 1,3-7,9-21,24-28

Current Untagged ports : 1,3-7,9-21,24-28

Static Untagged ports : 1,3-7,9-21,24-28

Forbidden ports :

VID : 2 VLAN Name : v2

VLAN TYPE : static Advertisement : Disabled

Member ports : 2,22

Static ports : 2,22

Current Untagged ports : 2,22 🡸 Порт 2 стал членом VLAN v2

Static Untagged ports : 2,22

Forbidden ports :

VID : 3 VLAN Name : v3

VLAN TYPE : static Advertisement : Enabled

Member ports : 8,23

Static ports : 8,23

Current Untagged ports : 8,23 🡸 Порт 8 стал членом VLAN v3

Static Untagged ports : 8,23

Forbidden ports :

Total Entries : 3

Пример настройки WAC - Присвоить VLAN

исходя из имени пользователя

49 of 51

После того, как пользователи аутентифицировались в сети, статус портов WAC следующий:

DES-3800:4# show wac ports all

Command: show wac ports all

Port State Username IP address Auth status Assigned VLAN

---- ------- ---------------- --------------- -------------- -------------

1 Enable u1 10.54.81.1 Authenticated 1

2 Enable u2 10.54.81.2 Authenticated 2

3 Enable 0.0.0.0 Unauth 1

4 Enable 0.0.0.0 Unauth 1

5 Enable 0.0.0.0 Unauth 1

6 Enable 0.0.0.0 Unauth 1

7 Enable 0.0.0.0 Unauth 1

8 Enable u3 10.54.81.3 Authenticated 3

9 Disable 0.0.0.0 Unauth

10 Disable 0.0.0.0 Unauth

11 Disable 0.0.0.0 Unauth

12 Disable 0.0.0.0 Unauth

…

Примечание:

В текущей реализации, если использовать WAC в VLAN, не являющейся System VLAN, сообщение “об успешно пройденной аутентификации” и “WEB-страница для перенаправления” не будут отображены на PC. Несмотря на это, PC всё равно получит доступ к ресурсам сети в этом VLAN.

Пример настройки WAC - Присвоить VLAN

исходя из имени пользователя

50 of 51

Результаты теста:

1. Перед тем, как PC1, PC2, и PC3 будут аутентифицированы, эти PC не могут получить доступ к ресурсам сети в определённом VLAN по протоколу TCP.

2. После того, как эти PC аутентифицированы,

PC1 имеет доступ к ресурсам VLAN default (VID=1).

PC2 имеет доступ (по протоколу TCP, например, WEB, ftp) к ресурсам VLAN v2.

PC3 имеет доступ (по протоколу TCP, например, WEB, ftp) к ресурсам VLAN v3.

Пример настройки WAC - Присвоить VLAN исходя из имени пользователя

51 of 51

1. WAC предоставляет лёгкий в использовании и применении метод, основанный на протоколе HTTP. Перед прохождением процесса аутентификации, весь TCP - трафик будет заблокирован.

2. WAC может использовать локальную базу данных пользователей или RADIUS - сервер для осуществления аутентификаци.

3. WAC также позволяет добавлять разных пользователей в разные VLAN. Это может быть использовано для предоставления разного уровня обслуживания для разных пользователей.

Выводы по аутентификации на основе WEB