Configurazione delle credenziali del richiedente 802.1x su uno switch dalla CLI

Introduzione

Lo standard IEEE 802.1x semplifica il controllo dell'accesso tra un client e un server. Prima che i servizi possano essere forniti a un client da una LAN (Local Area Network) o da uno switch, il client connesso alla porta dello switch deve essere autenticato dal server di autenticazione che esegue RADIUS (Remote Authentication Dial-In User Service).

L'autenticazione 802.1x impedisce ai client non autorizzati di connettersi a una rete LAN tramite porte accessibili pubblicamente. L'autenticazione 802.1x è un modello client-server. In questo modello, i dispositivi di rete hanno i seguenti ruoli specifici:

• Client o supplicant: un client o un supplicant è un dispositivo di rete che richiede l'accesso alla LAN. Il client è connesso a un autenticatore.
• Autenticatore: un autenticatore è un dispositivo di rete che fornisce servizi di rete e al quale sono collegate le porte supplicant. Sono supportati i seguenti metodi di autenticazione:

- Basato su 802.1x: supportato in tutte le modalità di autenticazione. Nell'autenticazione basata su 802.1x, l'autenticatore estrae i messaggi EAP (Extensible Authentication Protocol) dai messaggi 802.1x o dai pacchetti EAPoL (EAP over LAN) e li passa al server di autenticazione, utilizzando il protocollo RADIUS.

- Basato su MAC: supportato in tutte le modalità di autenticazione. Con il Media Access Control (MAC), l'autenticatore esegue la parte client EAP del software per conto dei client che richiedono l'accesso alla rete.

- Basato su Web - Supportato solo in modalità multisessione. Con l'autenticazione basata sul Web, l'autenticatore stesso esegue la parte client EAP del software per conto dei client che richiedono l'accesso alla rete.

• Server di autenticazione: un server di autenticazione esegue l'autenticazione effettiva del client. Il server di autenticazione per il dispositivo è un server di autenticazione RADIUS con estensioni EAP.

Nota: Un dispositivo di rete può essere un client o un supplicant, un autenticatore o entrambi per porta.

L'immagine seguente mostra una rete in cui i dispositivi sono stati configurati in base ai ruoli specifici. Nell'esempio viene usato uno switch SG350X.

Tuttavia, è possibile anche configurare alcune porte dello switch come supplicant. Dopo aver configurato le credenziali del richiedente su una porta specifica dello switch, è possibile connettere direttamente i dispositivi non compatibili con 802.1x in modo che possano accedere alla rete protetta. Nell'immagine seguente viene mostrato uno scenario di rete in cui uno switch è stato configurato come supplicant.

Linee guida per la configurazione di 802.1x:

1. Configurare il server RADIUS. per informazioni su come configurare le impostazioni del server RADIUS sullo switch, fare clic qui.
2. Creare una VLAN (Virtual Local Area Network). Per creare le VLAN con l'utility basata sul Web dello switch, fare clic qui. Per le istruzioni basate sull'interfaccia della riga di comando (CLI), fare clic qui.
3. Configurare le impostazioni della porta sulla VLAN sullo switch. Per eseguire la configurazione utilizzando l'utility basata sul Web, fare clic qui. Per utilizzare la CLI, fare clic qui.
4. Configurare le proprietà globali 802.1x sullo switch. Per istruzioni su come configurare le proprietà globali 802.1x con l'utility basata sul Web dello switch, fare clic qui. Per le istruzioni basate sulla CLI, fare clic qui.
5. (Facoltativo) Configurare l'intervallo di tempo sullo switch. per informazioni su come configurare le impostazioni dell'intervallo di tempo sullo switch, fare clic qui. Per utilizzare la CLI, fare clic qui.
6. Configurare le credenziali del supplicant 802.1x sullo switch. per informazioni su come eseguire la configurazione con l'utility basata sul Web, fare clic qui.Le istruzioni basate sulla CLI sono fornite in questo articolo.
7. Configurare l'autenticazione della porta 802.1x. Per usare l'utility basata sul Web dello switch, fare clic qui. Per utilizzare la CLI, fare clic qui. 

Obiettivo

È possibile configurare lo switch come supplicant 802.1x (client) sulla rete cablata. È possibile configurare un nome utente e una password crittografati per consentire allo switch di autenticarsi utilizzando 802.1x.

Nelle reti che utilizzano il controllo degli accessi alla rete basato sulle porte IEEE 802.1x, un supplicant non può accedere alla rete finché l'autenticatore 802.1x non concede l'accesso. Se la rete utilizza 802.1x, è necessario configurare le informazioni di autenticazione 802.1x sullo switch in modo che possa fornire tali informazioni all'autenticatore.

Questo articolo fornisce istruzioni su come configurare le credenziali del supplicant 802.1x sullo switch tramite la CLI.

Dispositivi interessati

• Serie Sx350X
• Serie SG350X
• Serie SG550X

Versione del software

• 2.3.0.130

Configura credenziali richiedente 802.1x

Crea credenziali supplicant 802.1x

Passaggio 1. Accedere alla console dello switch. Il nome utente e la password predefiniti sono cisco/cisco. Se sono stati configurati un nuovo nome utente o password, immettere queste credenziali.

Nota: per informazioni su come accedere alla CLI di uno switch per PMI tramite SSH o Telnet, fare clic qui.

Nota: i comandi possono variare a seconda del modello di switch in uso. Nell'esempio, è possibile accedere allo switch SG350X in modalità Telnet.

Passaggio 2. In modalità di esecuzione privilegiata dello switch, accedere alla modalità di configurazione globale immettendo quanto segue:

Passaggio 3. Per definire il nome di una struttura di credenziali 802.1x e immettere la modalità di configurazione credenziali dot1x, immettere quanto segue:

• nome — il nome della struttura delle credenziali può contenere un massimo di 32 caratteri.

Nota: Lo switch supporta fino a 24 credenziali. nell'esempio viene usato cisco.

Passaggio 4. (Facoltativo) Per rimuovere la struttura delle credenziali, immettere quanto segue:

Nota: Impossibile rimuovere una credenziale utilizzata.

Passaggio 5. Per specificare un nome utente per una struttura di credenziali 802.1x, immettere quanto segue:

• username: il nome utente può contenere un massimo di 32 caratteri.

Nota: Nell'esempio, il nome utente specificato è switchuser.

Passaggio 6. (Facoltativo) Per rimuovere il nome utente, immettere quanto segue:

Passaggio 7. Per specificare una password per una struttura di credenziali 802.1x, immettere una delle opzioni seguenti:

• password cifrata — la password è in formato cifrato.
• password — è possibile immettere una password in testo non crittografato composta da un massimo di 64 caratteri.

Nota: Nell'esempio viene immessa la password in testo normale C!$C0123456.

Passaggio 8. (Facoltativo) Per rimuovere la password, immettere quanto segue:

Passaggio 9. (Facoltativo) Per aggiungere una descrizione per la struttura delle credenziali 802.1x, immettere quanto segue:

Nota: In questo esempio, la descrizione utilizzata è sg350x-supplicant.

Passaggio 10. (Facoltativo) Per rimuovere la descrizione, immettere quanto segue:

Passaggio 11. Per tornare in modalità di esecuzione privilegiata, immettere il comando end:

Passaggio 12. (Facoltativo) Per visualizzare le credenziali 802.1x configurate, immettere quanto segue:

Passaggio 13. (Facoltativo) In modalità di esecuzione privilegiata dello switch, salvare le impostazioni configurate nel file della configurazione di avvio, immettendo quanto segue:

Passaggio 14. (Facoltativo) Premere Y per Sì o N per No sulla tastiera quando compare il prompt Overwrite file [startup-config]… (Sovrascrivi file [startup-config]).

A questo punto, è necessario configurare correttamente una credenziale 802.1x sullo switch dalla CLI.

Configurazione di un'interfaccia 802.1x Supplicant

Per applicare le credenziali del supplicant 802.1x configurate, è necessario configurare le informazioni di autenticazione 802.1x sullo switch in modo che possa fornire le informazioni all'autenticatore. Per configurare un'interfaccia 802.1x supplicant, attenersi alla procedura seguente:

Passaggio 1. In modalità di esecuzione privilegiata dello switch, accedere alla modalità di configurazione globale immettendo quanto segue:

Passaggio 2. In modalità di configurazione globale, accedere al contesto di configurazione interfaccia immettendo quanto segue:

• interface-id: specifica un ID di interfaccia da configurare.

Nota: Quando il richiedente è abilitato su un'interfaccia, quest'ultima diventa non autorizzata. nell'esempio, viene configurata l'interfaccia ge1/0/19.

Passaggio 3. Per abilitare il ruolo del supplicant dot1x per l'interfaccia, immettere quanto segue:

• nome — il nome della struttura di credenziali applicata all'interfaccia.

Nota: Nell'esempio, viene usato il nome della credenziale creata in precedenza, ossia cisco.

Passaggio 4. Per tornare in modalità di esecuzione privilegiata, immettere il comando end:

Passaggio 5. Per visualizzare lo stato 802.1x per l'interfaccia configurata, usare il comando show dot1x in modalità di esecuzione privilegiata:

• interface-id: per specificare la porta Ethernet.

Nota: nell'esempio vengono visualizzate le informazioni 802.1x per l'interfaccia ge1/0/19.

A questo punto, è necessario configurare correttamente un supplicant 802.1x su un'interfaccia dello switch dalla CLI.