الهدف

الهدف من هذا مادة أن يبدي أنت كيف أن ينجز تشكيل أساسي من تغير تخويل (CoA) سمة في مادة حفازة 1300 مفتاح يستعمل الأمر خط قارن (CLI).

إصدار البرامج والأجهزة القابلة للتطبيق

- المحولات Catalyst 1300 switches | 4.1.3.36

المقدمة

تغيير التفويض (CoA) هو امتداد لبروتوكول RADIUS، يسمح لك بتغيير خصائص المصادقة والتخويل والمحاسبة (AAA) أو dot1x جلسة عمل المستخدم بعد مصادقته. عند تغيير سياسة لمستخدم أو مجموعة في AAA، يمكن للمسؤولين إرسال حزم RADIUS CoA من خادم AAA، مثل محرك خدمات الهوية (ISE) من Cisco، لإعادة تهيئة المصادقة وتطبيق السياسة الجديدة.

محرك خدمات الهوية من Cisco (ISE) عبارة عن محرك متكامل الميزات للتحكم في الوصول وإنفاذ السياسات قائم على الشبكة. وهو يوفر تحليلات الأمان وإنفاذه وخدمات RADIUS و TACACS وتوزيع السياسات وغير ذلك. Cisco ISE هو عميل التفويض الديناميكي CoA الوحيد المدعوم للمحولات Catalyst 1300 switches. راجع دليل مسؤول ISE للحصول على مزيد من المعلومات.

تمت إضافة دعم CoA إلى محولات Catalyst 1300 في إصدار البرنامج الثابت 4.1.3.36. ويتضمن ذلك دعم فصل المستخدمين وتغيير الأذون المطبقة على جلسة عمل المستخدم. يدعم الجهاز إجراءات CoA التالية:

- قطع اتصال جلسة العمل

- تعطيل الأمر host port CoA

- أمر Bounce host port CoA

- إعادة مصادقة أمر CoA للمضيف

في هذا مادة، أنت ستجد الأمر ل أساسي coA تشكيل في مادة حفازة 1300 مفتاح يستعمل CLI. يمكن أن تختلف الخطوات بناء على إعدادات المستخدم ومتطلباته.

جدول المحتويات

- تكوين COa أساسي باستخدام CLI

- أوامر أخرى لتكوين COa

- أوامر CLI في وضع EXEC للامتياز

تكوين COa أساسي باستخدام CLI

إعداد خادم RADIUS ومحاسبة RADIUS

لتكوين خادم RADIUS، من وضع التكوين العام، أستخدم الأوامر التالية:

الخطوة 1

أستخدم الأمر radius-server key لتعيين مفتاح المصادقة لاتصالات RADIUS بين الجهاز والخوادم RADIUS.

switch(config)#radius-server key

الخطوة 2

أستخدم الأمر radius-server host لتكوين مضيف خادم RADIUS.

switch(config)# radius-server host key priority 1 usage dot1.x

- سيكون عنوان IP هو عنوان ISE Server IP.

- المفتاح <key-string> - يحدد مفتاح المصادقة والتشفير لجميع إتصالات RADIUS بين الجهاز وخادم RADIUS. يجب أن يتطابق هذا المفتاح مع التشفير المستخدم على البرنامج الخفي RADIUS.

- الأولوية - يحدد الترتيب الذي يتم به إستخدام الخوادم، حيث يتمتع 0 بأعلى أولوية. (النطاق:0-65535)

- use dot1.x - يحدد إستخدام خادم RADIUS لمصادقة منفذ 802.1x.

الخطوة 3

switch(config)# aaa accounting dot1x start-stop group radius

تكوين خادم التخويل الديناميكي

الخطوة 1

من وضع التكوين العام، أدخل وضع تكوين CoA عن طريق تشغيل الأمر:

switch (config)# aaa server radius dynamic-author

الخطوة 2

لتكوين مفتاح RADIUS المراد مشاركته بين الجهاز وعميل CoA (النطاق: 0-128 حرفا)، أستخدم الأمر server-key <key-string> في وضع تكوين الخادم المحلي للتفويض الديناميكي. يجب أن يتطابق المفتاح المتوفر في طلب CoA مع هذا المفتاح.

المحول (config-locsvr-da-radius) # server-key

بالنسبة ل ISE، ستكون سلسلة المفاتيح هي نفس سلسلة المفاتيح التي حددتها ل RADIUS server key-string عند تكوين RADIUS.

الخطوة 3

أدخل عنوان IP لمضيف CoA العميل. يمكن أن يكون عنوان IP عنوان IPv4 أو IPv6 أو IPv6z.

المحول (config-locsvr-da-radius) #client

الخطوة 4

switch(config) # Exit

تكوين 802.1x

لتمكين 802.1X بشكل عام، أستخدم الأمر dot1x system-auth-control.

switch(config) # dot1x system-auth-control

تكوين 802.1x على منفذ ما

الخطوة 1

أدخل تكوين الواجهة وحدد معرف الواجهة باستخدام واجهة الأمر gigabitEthernet<interface id>.

switch(config)# interface gi1/0/1

الخطوة 2

لتمكين التحكم اليدوي في حالة تفويض المنفذ، أستخدم الأمر dot1x port-control. الوضع التلقائي يتيح مصادقة 802.1X على المنفذ ويتسبب في انتقاله إلى الحالة المعتمدة أو غير المصرح بها، استنادا إلى تبادل مصادقة 802.1X بين الجهاز والعميل.

switch(config-if) # dot1x port-control auto

الخطوة 3

لبدء إعادة مصادقة جميع المنافذ التي تم تمكين 802.1X يدويا أو المنفذ المحدد الذي تم تمكين 802.1X، أستخدم الأمر dot1x re-authentication في وضع EXEC ذي الامتيازات.

switch#dot1x re-authenticate gi1/0/1

الخطوة 4

لتكوين وضع تعلم أمان المنفذ، أستخدم أمر وضع تكوين واجهة وضع أمان المنفذ (Ethernet، Port Channel). المعلمة الآمنة delete-on-reset هي وضع آمن مع معرفة محدودة لعناوين MAC الآمنة مع وقت بقاء الحذف عند إعادة الضبط.

switch(config-if)# port security mode secure delete-on-reset

الخطوة 5

للخروج من تكوين الواجهة، أدخل ما يلي:

switch(config-if)#exit

أوامر أخرى لتكوين COa

فيما يلي بعض أوامر CoA الأخرى التي يمكن إستخدامها استنادا إلى التكوين والإعداد.

- attribute event-timestamp drop-packet - يتم إستخدام هذا الأمر في وضع تكوين الخادم المحلي للتخويل الديناميكي لتكوين الجهاز لتجاهل طلب حزمة قطع الاتصال (PoD) أو طلب CoA الذي لا يتضمن سمة طابع حدث-وقت.

switch010203(config-locsvr-da-radius)# attribute event-timestamp drop-packet

- أمر المصادقة bounce-port ignore - لتكوين الجهاز لتجاهل تغيير RADIUS للتخويل (CoA) لمنفذ التوصيل، أستخدم الأمر authentication bounce-port ignore في وضع التكوين العام.

switch010203(config)#authentication command bounce-port ignore

- أمر المصادقة disable-port ignore - لتكوين الجهاز لتجاهل الأمر RADIUS CoA disable-port، أستخدم هذا الأمر في وضع التكوين العام.

switch010203(config)# authentication command disable-port ignore

- محدد المجال <character> - لتكوين محدد مجال اسم المستخدم لطلبات PoD و CoA المستلمة باستخدام الأمر المحدد للمجال في وضع تكوين الخادم المحلي للتخويل الديناميكي.

switch010203(config-locsvr-da-radius)#domain delimiter $

في هذا المثال، يتم تكوين حرف $ كمحدد.

- تجريد المجال [من اليمين إلى اليسار] - لتمكين وتعريف سلوك تجريد مجال اسم المستخدم لطلبات PoD و CoA المستلمة باستخدام الأمر تقسيم المجال في وضع تكوين الخادم المحلي للتفويض الديناميكي.

switch010203(config-locsvr-da-radius)#domain stripping right-to-left

- ignore server-key - يتم إستخدام هذا الأمر في وضع تكوين الخادم المحلي للتفويض الديناميكي لتكوين الجهاز لتجاهل مفتاح خادم CoA.

switch010203(config-locsvr-da-radius)#ignore server-key

أوامر CLI في وضع EXEC للامتياز

من وضع "EXEC للامتياز"، يمكنك تشغيل أوامر show على العملاء المصادق عليهم، ومسح عدادات العميل، وإظهار تكوين خادم التفويض الديناميكي.

- أستخدم عملاء show aaa لعرض إحصائيات عميل AAA (CoA).

المحول 010203#show aaa clients

- أستخدم الأمر show aaa server radius dynamic-author لإظهار تكوين CoA.

المحول 010203#show aaa server radius dynamic-author

- مسح عدادات AAA يمكن إستخدامها لمسح عدادات عملاء AAA

المحول 010203#clear aaa clients counters

القرار

أنت الآن أتمت تغير أساسي من تخويل (CoA) تشكيل في مادة حفازة 1300 مفتاح يستعمل CLI.

أحلت ل كثير معلومة على ال CLI أمر ل المادة حفازة 1300 مفتاح، ال cisco مادة حفازة 1300 مفتاح sery CLI مرشد.