تكوين خصائص 802.1x العامة على محول ما من خلال CLI (واجهة سطر الأوامر)

المقدمة

يعتبر IEEE 802.1x معيارا يسهل التحكم في الوصول بين العميل والخادم. قبل إمكانية توفير الخدمات لعميل بواسطة شبكة وصول محلية (LAN) أو محول، يجب مصادقة العميل المتصل بمنفذ المحول بواسطة خادم المصادقة الذي يقوم بتشغيل خدمة مصادقة طلب اتصال المستخدم البعيد (RADIUS).

تعمل مصادقة 802.1x على تقييد قدرة العملاء غير المصرح لهم على الاتصال بشبكة LAN من خلال منافذ يمكن الوصول إليها بشكل عام. مصادقة 802.1x هي طراز عميل-خادم. في هذا النموذج، تتضمن أجهزة الشبكة الأدوار المحددة التالية:

• العميل أو المطالب — العميل أو المطالب هو جهاز شبكة يطلب الوصول إلى الشبكة المحلية. العميل متصل بمصادقة.
• المصدق — المصدق هو جهاز شبكة يوفر خدمات الشبكة والذي يتم توصيل منافذ العميل به. أساليب المصادقة التالية مدعومة:

- قائمة على معيار 802. 1x — مدعومة في جميع أوضاع المصادقة. في المصادقة المستندة إلى معيار 802.1x، يستخرج المصدق رسائل بروتوكول المصادقة المتوسع (EAP) من رسائل بروتوكول 802.1x أو EAP عبر حزم LAN (EAPoL)، ويمررها إلى خادم المصادقة، باستخدام بروتوكول RADIUS.

- مستند إلى MAC — مدعوم في جميع أوضاع المصادقة. باستخدام التحكم في الوصول إلى الوسائط (MAC) القائم، يقوم المصدق نفسه بتنفيذ جزء عميل EAP من البرنامج نيابة عن العملاء الذين يبحثون عن الوصول إلى الشبكة.

- مستند إلى الويب — مدعوم فقط في أوضاع الجلسات المتعددة. باستخدام المصادقة المستندة إلى الويب، يقوم المصدق نفسه بتنفيذ جزء عميل EAP من البرنامج نيابة عن العملاء الذين يبحثون عن الوصول إلى الشبكة.

• خادم المصادقة — يقوم خادم المصادقة بإجراء المصادقة الفعلية للعميل. خادم المصادقة للجهاز هو خادم مصادقة RADIUS بامتدادات EAP.

ملاحظة: يمكن أن يكون جهاز الشبكة عميل أو مسبب أو مصدق أو كليهما لكل منفذ.

تعرض الصورة أدناه شبكة قامت بتكوين الأجهزة وفقا للأدوار المحددة. في هذا مثال، SG350X استعملت مفتاح.

إرشادات في تهيئة 802.1x:

1.  قم بتكوين خادم RADIUS. لمعرفة كيفية تكوين إعدادات خادم RADIUS على المحول لديك، انقر هنا.
2.  تكوين شبكات المنطقة المحلية الظاهرية (VLANs). لإنشاء شبكات VLAN باستخدام الأداة المساعدة المستندة إلى الويب في المحول لديك، انقر هنا. للحصول على التعليمات المستندة إلى واجهة سطر الأوامر (CLI)، انقر هنا.
3.  تكوين إعدادات المنفذ إلى شبكة VLAN على المحول لديك. للتكوين باستخدام الأداة المساعدة المستندة إلى الويب، انقر هنا. لاستخدام واجهة سطر الأوامر (CLI)، انقر هنا. 
4.  قم بتكوين خصائص 802.1x العامة على المحول. للحصول على تعليمات حول كيفية تكوين خصائص 802.1x العامة من خلال الأداة المساعدة المستندة إلى الويب في المحول، انقر هنا.
5.  (إختياري) قم بتكوين النطاق الزمني على المحول. لمعرفة كيفية تكوين إعدادات النطاق الزمني على المحول لديك، انقر هنا.
6.  تكوين مصادقة المنفذ 802.1x. لاستخدام الأداة المساعدة المستندة إلى الويب في المحول، انقر هنا.

الهدف

تقدم هذه المقالة تعليمات حول كيفية تكوين خصائص 802.1x العامة من خلال واجهة سطر الأوامر (CLI) للمحول، والتي تتضمن خصائص المصادقة والشبكة المحلية الظاهرية (VLAN) للضيف. توفر شبكة VLAN للضيف الوصول إلى الخدمات التي لا تتطلب مصادقة الأجهزة أو المنافذ المشتركة أو تخويلها عبر المصادقة 802.1x أو القائمة على MAC أو المصادقة المستندة إلى الويب.

الأجهزة القابلة للتطبيق

• Sx300 Series
• Sx350 Series
• SG350X Series
• Sx500 Series
• Sx550X Series

إصدار البرامج

• 1.4.7.06 — SX300، SX500
• 2.2.8.04 — SX350، SG350X، SX550X

تكوين خصائص 802.1x على محول ما من خلال CLI (واجهة سطر الأوامر)

تكوين إعدادات 802.1x

الخطوة 1. سجّل الدخول إلى وحدة تحكم المُبدّل. اسم المستخدم وكلمة المرور الافتراضيان هما cisco/cisco. إذا كنت قد انتهيت من تكوين اسم مستخدم جديد أو كلمة مرور جديدة، فأدخِل بيانات الاعتماد بدلاً من ذلك.

ملاحظة: قد تختلف الأوامر حسب الطراز الدقيق للمُبدّل لديك. في هذا المثال، يتم الوصول إلى المحول SG350X switch من خلال برنامج Telnet.

الخطوة 2. من وضع "EXEC ذي الامتيازات" للمحول، ادخل إلى وضع "التكوين العام" من خلال إدخال التالي:

SG350X#configure

الخطوة 3. لتمكين مصادقة 802.1x بشكل عام على المحول، أستخدم الأمر dot1x system-auth-control في وضع التكوين العام.

SG350X(config)#dotx1 system-auth-control

يدخل خطوة 4. (إختياري) أن يعجز عالميا 802.1x صحة هوية على المفتاح، التالي:

SG350X(config)#no dotx1 system-auth-control

ملاحظة: في حالة تعطيل ذلك، يتم تعطيل عمليات المصادقة المستندة إلى MAC والويب وفقا لمعيار 802.1X.

الخطوة 5. لتحديد الخوادم التي يتم إستخدامها للمصادقة عند تمكين مصادقة 802.1x، أدخل ما يلي:

SG350X(config)#aaa صحة هوية dot1x تقصير [radius none | radius | none]

الخيارات هي:

• RADIUS none — يعمل هذا على تنفيذ مصادقة المنفذ أولا بمساعدة خادم RADIUS. في حالة عدم وجود إستجابة من الخادم مثل وقت تعطل الخادم، فلا يتم إجراء أية مصادقة مع السماح بالجلسة. إذا كان الخادم متوفرا وكانت بيانات اعتماد المستخدم غير صحيحة، يتم رفض الوصول ويتم إنهاء الجلسة.
• RADIUS — يقوم هذا بتنفيذ مصادقة المنفذ استنادا إلى خادم RADIUS. في حالة عدم إجراء مصادقة، يتم إنهاء الجلسة. هذه هي المصادقة الافتراضية.
• none — لا يصادق المستخدم ويسمح للجلسة.

ملاحظة: في هذا المثال، يكون خادم مصادقة 802.1x الافتراضي هو RADIUS.

يدخل خطوة 6. (إختياري) أن يحيي المصادقة الافتراضية، التالي:

SG350X(config)#no aaa authetication dot1x تقصير

الخطوة 7. في وضع "التكوين العام"، أدخل سياق "تكوين واجهة شبكة VLAN" من خلال إدخال ما يلي:

SG350X(config)#interface vlan [vlan-id]

• vlan-id — يحدد معرف شبكة VLAN ليتم تكوينه.

الخطوة 8. لتمكين إستخدام شبكة VLAN الضيف للمنافذ غير المعتمدة، أدخل ما يلي:

SG350X(config-if)#dot1x guest-vlan

ملاحظة: إذا تم تمكين شبكة VLAN للضيف، فإن جميع المنافذ غير المصرح بها تنضم تلقائيا إلى شبكة VLAN التي تم إختيارها في شبكة VLAN للضيف. إن مكنت ميناء يكون لاحقا، هو أزلت من الضيف VLAN.

الخطوة 9. للخروج من سياق "تكوين الواجهة"، أدخِل ما يلي:

SG350X(config-if)#exit

الخطوة 10. لتعيين تأخير الوقت بين تمكين 802.1X (أو منفذ up) وإضافة منفذ إلى شبكة VLAN الضيف، أدخل ما يلي:

SG350X(config)#dot1x guest-vlan مهلة [المهلة]

• المهلة — يحدد تأخر الوقت في ثوان بين تمكين 802.1X (أو منفذ up) وإضافة المنفذ إلى شبكة VLAN الضيف. المدى from 30 up to 180 ثاني.

ملاحظة: بعد الارتباط، إذا لم يكتشف البرنامج ملحقا 802.1x أو إذا فشلت مصادقة المنفذ، حينئذ تتم إضافة المنفذ إلى شبكة VLAN للضيف فقط بعد انتهاء مهلة شبكة VLAN للضيف. إذا تغير المنفذ من Authorized إلى Not Authorized، تتم إضافة المنفذ إلى شبكة VLAN للضيف فقط بعد انتهاء مهلة شبكة VLAN للضيف. أنت يستطيع مكنت أو أعجزت VLAN صحة هوية من ال VLAN صحة هوية.

ملاحظة: في هذا المثال، مهلة Guest VLAN المستخدمة هي 60 ثانية.

الخطوة 11. لتمكين الملائمات، تحقق من واحد أو أكثر من الخيارات التالية:

SG350X(config)# dot1x عملية مصادقة [فشل | نجاح | هادئ] [802.1x | ماك | ويب]

الخيارات هي:

• ملائمات فشل مصادقة 802. 1x — إرسال ملائمات في حالة فشل مصادقة 802. 1x.
• ملائمات نجاح المصادقة وفقا لمعيار 802. 1x — إرسال ملائمات في حالة نجاح مصادقة معيار 802. 1x.
• فشل مصادقة MAC — إرسال ملائمات إذا فشلت مصادقة MAC.
• ملائمات نجاح مصادقة MAC — إرسال ملائمات إذا نجحت مصادقة MAC.
• ملائمات فشل مصادقة الويب — إرسال ملائمات إذا فشلت مصادقة الويب.
• ملائمات نجاح مصادقة الويب — إرسال ملائمات إذا نجحت مصادقة الويب.
• الملائمات الهادئة لمصادقة الويب — إرسال الملائمات إذا بدأت فترة هادئة.

ملاحظة: في هذا المثال، يتم إدخال فخاخ فشل مصادقة 802.1x وفخاخ نجاح.

الخطوة 12. للخروج من سياق "تكوين الواجهة"، أدخِل ما يلي:

 SG350X(config)#exit

يدخل خطوة 13. (إختياري) أن يعرض ال يشكل شامل 802.1x خاصية على المفتاح، التالي:

SG350X#show dot1x

يجب أن تكون قد انتهيت الآن من تكوين خصائص 802.1x على المحول لديك بنجاح.

تكوين مصادقة VLAN

عند تمكين 802.1x، لا يسمح للمنافذ أو الأجهزة غير المعتمدة بالوصول إلى شبكة VLAN ما لم تكن جزءا من شبكة VLAN للضيف أو شبكة VLAN غير مصدق عليها. الميناء يحتاج أن يكون أضفت يدويا إلى VLANs.

لتعطيل المصادقة على شبكة VLAN، اتبع الخطوات التالية:

الخطوة 1. من وضع "EXEC ذي الامتيازات" للمحول، ادخل إلى وضع "التكوين العام" من خلال إدخال التالي:

SG350X#configure

الخطوة 2. في وضع "التكوين العام"، أدخل سياق "تكوين واجهة شبكة VLAN" من خلال إدخال ما يلي:

KSG350x(config)# interface vlan [vlan-id]

• vlan-id — يحدد معرف شبكة VLAN ليتم تكوينه.

ملاحظة: في هذا المثال، يتم إختيار شبكة VLAN رقم 20.

الخطوة 3. لتعطيل مصادقة 802.1x على شبكة VLAN، أدخل ما يلي:

SG350X(config-if)#dot1x auth-not-req

الخطوة 4. (إختياري) لتمكين مصادقة 802.1x على شبكة VLAN، أدخل ما يلي:

SG350X(config-if)#no dot1x auth-not-req

الخطوة 5. للخروج من سياق "تكوين الواجهة"، أدخِل ما يلي:

يدخل خطوة 6. (إختياري) أن يعرض ال 802.1x صحة هوية شامل عملية إعداد على المفتاح، التالي:

ملاحظة: في هذا المثال، تظهر شبكة VLAN رقم 20 على أنها شبكة VLAN غير مصدق عليها.

الخطوة 7. (اختياري) في وضع "EXEC ذي الامتيازات" للمحول، احفظ الإعدادات التي تم تكوينها في ملف تكوين بدء التشغيل، من خلال إدخال ما يلي:

SG350X#copy running-config startup-config

الخطوة 8. (اختياري) اضغط على Y للإجابة بـ "نعم" أو N للإجابة بـ "لا" على لوحة المفاتيح لديك بمجرد ظهور موجّه الأمر Overwrite file [startup-config].

أنت سوفت الآن يتلقى بنجاح شكلت ال 802.1x صحة هوية عملية إعداد على VLANs على مفتاحك.

هام: لمتابعة تكوين إعدادات مصادقة المنفذ 802.1x على المحول لديك، اتبع الإرشادات الواردة أعلاه.

محفوظات المراجعة

المراجعة	تاريخ النشر	التعليقات
1.0	13-Dec-2018	الإصدار الأولي