802.1x Supplicant Credentials configureren op een Switch via de CLI

Inleiding

IEEE 802.1x is een standaard die toegangscontrole tussen een client en een server vergemakkelijkt. Voordat services aan een client kunnen worden geleverd door een LAN (Local Area Network) of switch, moet de client die is aangesloten op de switch-poort worden geverifieerd door de verificatieserver waarop de Remote Authentication Dial-In User Service (RADIUS) wordt uitgevoerd.

Met de 802.1x-verificatie kunnen niet-geautoriseerde clients geen verbinding maken met een LAN via openbaar toegankelijke poorten. De 802.1x-verificatie is een client-servermodel. In dit model hebben netwerkapparaten de volgende specifieke rollen:

• Klant of aanvrager — Een client of aanvrager is een netwerkapparaat dat toegang tot het LAN aanvraagt. De client is verbonden met een verificator.
• Authenticator - Een authenticator is een netwerkapparaat dat netwerkservices levert en waarop de poorten van de aanvrager zijn aangesloten. De volgende verificatiemethoden worden ondersteund:

- 802.1x-gebaseerd — ondersteund in alle verificatiemodi. In 802.1x-gebaseerde verificatie haalt de verificator de EAP-berichten (Extensible Authentication Protocol) uit de 802.1x-berichten of EAP over LAN-pakketten (EAPoL) en geeft deze door aan de verificatieserver met behulp van het RADIUS-protocol.

- MAC-gebaseerd — Ondersteund in alle verificatiemodi. Met Media Access Control (MAC) voert de verificator zelf het EAP-clientgedeelte van de software uit namens de clients die netwerktoegang zoeken.

- Webgebaseerd — alleen ondersteund in modi voor meerdere sessies. Met webgebaseerde verificatie voert de verificator zelf het EAP-clientgedeelte van de software uit namens de clients die netwerktoegang zoeken.

• Verificatieserver — Een verificatieserver voert de daadwerkelijke verificatie van de client uit. De verificatieserver voor het apparaat is een RADIUS-verificatieserver met EAP-extensies.

Opmerking: een netwerkapparaat kan een client of aanvrager, verificator of beide per poort zijn.

In de onderstaande afbeelding wordt een netwerk weergegeven dat de apparaten heeft geconfigureerd op basis van de specifieke rollen. In dit voorbeeld wordt een SG350X-switch gebruikt.

U kunt echter ook sommige poorten op uw switch configureren als supplicants. Zodra de referenties van de aanvrager zijn geconfigureerd op een specifieke poort op uw switch, kunt u rechtstreeks verbinding maken met de apparaten die niet geschikt zijn voor 802.1x, zodat de apparaten toegang kunnen krijgen tot het beveiligde netwerk. Onderstaande afbeelding toont een scenario van een netwerk dat een switch als aanvrager heeft geconfigureerd.

Richtlijnen voor het configureren van 802.1x:

1. De RADIUS-server configureren. Als u wilt weten hoe u de RADIUS-serverinstellingen op uw switch configureert, klikt u hier.
2. Maak een Virtual Local Area Network (VLAN). Als u VLAN's wilt maken met het webgebaseerde hulpprogramma van uw switch, klikt u hier. Voor instructies op basis van de Command Line Interface (CLI) klikt u hier.
3. Configureer Port to VLAN-instellingen op uw switch. Klik hier om het webgebaseerde hulpprogramma te configureren. Om de CLI te gebruiken, klik hier.
4. Configureer de algemene 802.1x-eigenschappen op de switch. Klik hier voor instructies over het configureren van de algemene 802.1x-eigenschappen via het webgebaseerde hulpprogramma van de switch . Klik hier voor instructies met de opdrachtregel.
5. (Optioneel) Configureer het tijdbereik op de switch. Klik hier om te leren hoe u de instellingen voor het tijdbereik op uw switch kunt configureren. Om de CLI te gebruiken, klik hier.
6. 802.1x-aanvraagreferenties configureren op de switch. Klik hier om te leren hoe u het webgebaseerde hulpprogramma kunt configureren.De CLI-gebaseerde instructies worden in dit artikel gegeven.
7. Configureer 802.1x-poortverificatie. Om het webgebaseerde hulpprogramma van de switch te gebruiken, klikt u hier. Om de CLI te gebruiken, klik hier. 

Doel

U kunt de switch configureren als een 802.1x-supplicant (client) op het bekabelde netwerk. Een gecodeerde gebruikersnaam en wachtwoord kunnen worden geconfigureerd om de switch te laten verifiëren met 802.1x.

Op de netwerken die gebruikmaken van IEEE 802.1x-poortgebaseerde netwerktoegangscontrole kan een aanvrager geen toegang tot het netwerk krijgen totdat de 802.1x-verificator toegang verleent. Als uw netwerk 802.1x gebruikt, moet u 802.1x-verificatiegegevens op de switch configureren zodat deze de informatie aan de verificator kan leveren.

In dit artikel vindt u instructies voor het configureren van 802.1x-aanvraagreferenties op uw switch via de CLI.

Toepasselijke apparaten

• SX350X-reeks
• SG350X Series
• SG550X reeks

Softwareversie

• 2.3.0.130

802.1x-referenties voor aanvrager configureren

Creëer 802.1x Supplicant-referenties

Stap 1. Log in op de switch console. De standaardwaarden voor gebruikersnaam en wachtwoord zijn cisco/cisco. Als u een nieuwe gebruikersnaam of wachtwoord heeft geconfigureerd, moet u deze inloggegevens gebruiken.

Opmerking: Klik hier om te leren hoe u toegang krijgt tot een CLI van een SMB-switch via SSH of Telnet.

Opmerking: De opdrachten kunnen variëren afhankelijk van het exacte model van uw switch. In dit voorbeeld wordt de SG350X-switch benaderd via Telnet.

Stap 2. Activeer vanuit de modus Privileged EXEC van de switch de modus Global Configuration met de volgende opdracht:

Stap 3. Als u de naam van een 802.1x-referentiestructuur wilt definiëren en de configuratiemodus dot1x-referenties wilt invoeren, voert u het volgende in:

• naam — De naam van de referentiestructuur mag maximaal 32 tekens bevatten.

Opmerking: de switch ondersteunt maximaal 24 referenties. In dit voorbeeld wordt Cisco gebruikt.

Stap 4. (Optioneel) Om de referentiestructuur te verwijderen, voert u het volgende in:

Opmerking: een gebruikte referentie kan niet worden verwijderd.

Stap 5. Als u een gebruikersnaam voor een 802.1x-referentiestructuur wilt opgeven, voert u het volgende in:

• gebruikersnaam: De gebruikersnaam mag maximaal 32 tekens bevatten.

Opmerking: in dit voorbeeld is de opgegeven gebruikersnaam de switchgebruiker.

Stap 6. (Optioneel) Voer het volgende in om de gebruikersnaam te verwijderen:

Stap 7. Als u een wachtwoord voor een 802.1x-referentiestructuur wilt opgeven, voert u een van de volgende opties in:

• gecodeerd wachtwoord — Het wachtwoord is gecodeerd.
• wachtwoord — U kunt een wachtwoord voor onbewerkte tekst van maximaal 64 tekens invoeren.

Opmerking: In dit voorbeeld wordt het plaintext-wachtwoord C!$C0123456 ingevoerd.

Stap 8. (Optioneel) Voer het volgende in om het wachtwoord te verwijderen:

Stap 9. (Optioneel) Als u een beschrijving wilt toevoegen voor de 802.1x-referentiestructuur, voert u het volgende in:

Opmerking: In dit voorbeeld wordt sg350x-supplicant gebruikt.

Stap 10. (Optioneel) Voer het volgende in om de beschrijving te verwijderen:

Stap 11. Voer de opdracht end in om terug te gaan naar de modus Privileged EXEC:

Stap 12. (Optioneel) Voer het volgende in om de geconfigureerde 802.1x-referenties weer te geven:

Stap 13. (Optioneel) Sla in de modus Privileged EXEC van de switch de geconfigureerde instellingen op in het configuratiebestand voor opstarten door de volgende opdracht in te voeren:

Stap 14. (Optioneel) Gebruik het toetsenbord om Y voor Ja of N voor Nee te kiezen wanneer de prompt ‘Overwrite file [startup-config]…’ wordt getoond voor het overschrijven van het huidige configuratiebestand voor opstarten.

U had nu met succes een 802.1x-referentie op uw switch moeten configureren via de CLI.

Een 802.1x Supplicant-interface configureren

Als u de geconfigureerde 802.1x-aanvraagreferenties wilt toepassen, moet u 802.1x-verificatiegegevens op de switch configureren zodat deze de gegevens aan de verificator kan leveren. Volg deze stappen om een 802.1x-supplicantinterface te configureren:

Stap 1. Activeer vanuit de modus Privileged EXEC van de switch de modus Global Configuration met de volgende opdracht:

Stap 2. Activeer vanuit de modus Global Configuration de interface-configuratiecontext met de volgende opdracht:

• interface-id — Hiermee geeft u een interface-id op die moet worden geconfigureerd.

Opmerking: Wanneer de aanvrager is ingeschakeld op een interface, wordt de interface een niet-geautoriseerde. In dit voorbeeld wordt interface ge1/0/19 geconfigureerd.

Stap 3. Voer het volgende in om de dot1x-aanvragerrol voor de interface in te schakelen:

• naam — De naam van de referentiestructuur die op de interface wordt toegepast.

Opmerking: In dit voorbeeld wordt de eerder gemaakte aanmeldnaam gebruikt, namelijk cisco.

Stap 4. Voer de opdracht end in om terug te gaan naar de modus Privileged EXEC:

Stap 5. Als u de 802.1x-status voor de geconfigureerde interface wilt weergeven, gebruikt u de opdracht dot1x weergeven in de geprivilegieerde EXEC-modus:

• interface-id — Hiermee geeft u de Ethernet-poort op.

Opmerking: In dit voorbeeld wordt de 802.1x-informatie voor interface ge1/0/19 weergegeven.

U had nu met succes een 802.1x-supplicant moeten configureren op een interface op uw switch via de CLI.