Содержание
Введение
802.1X — это портоориентированный механизм управления доступом к сети, основной принцип которого — «аутентификация перед предоставлением доступа». Ограничивая доступ к сети до тех пор, пока пользователь или устройство (например, компьютер, камера или точка доступа) не пройдёт успешную аутентификацию, 802.1X эффективно предотвращает несанкционированное подключение устройств к проводным или беспроводным сетям, что значительно повышает общий уровень безопасности.
Он работает в связке с централизованными системами, такими как RADIUS-серверы. Для корпоративных и общедоступных сетей 802.1X снижает риск вторжения и неправомерного использования внутренней сети, являясь ключевой основой для построения безопасной и хорошо управляемой сетевой среды.
В этой статье объясняется, как настроить функцию 802.1X для настенных точек доступа Omada (Wall AP) в контроллере Omada.
Требования
- Контроллер Omada (программный/аппаратный/облачный) версии v6.1 или выше.
- Настенная точка доступа Omada с прошивкой, совместимой с контроллером Omada v6.1 или выше.
Настройка
Выполните следующие шаги для настройки 802.1X, используя в качестве примера программный контроллер Omada V6.2 и точку доступа EAP725-Wall.
Шаг 1. Войдите в контроллер. Перейдите в Сайт > Сетевые настройки > Аутентификация > 802.1X > EAP 802.1X. Включите функцию 802.1X, затем выберите профиль RADIUS и формат MAC-адреса.
Настройка во встроенном RADIUS-сервере
Перейдите в Сайт > Сетевые настройки >Профили > Профиль RADIUS. Отредактируйте встроенный профиль RADIUS. Выберите MAC-аутентификацию в качестве типа аутентификации, затем введите MAC-адрес клиента и убедитесь, что он соответствует формату MAC-адреса.
Настройка на сервере FreeRADIUS
Примечание: Существует множество различных RADIUS-серверов, FreeRADIUS используется в качестве демонстрационного примера.
Перейдите в Сайт > Сетевые настройки >Профили > Профиль RADIUS. Создайте новый профиль RADIUS.
В интерфейсе создания профиля RADIUS заполните IP-адрес сервера и пароль аутентификации, затем нажмите Сохранить.
Создайте пользователя на сервере FreeRADIUS, у которого имя пользователя и пароль установлены равными MAC-адресу аутентифицируемого клиента. Вы можете добавить его в файл users по пути /etc/raddb.
Шаг 2. В разделе «Порты аутентификации» выберите нисходящие (downstream) порты, на которых вы хотите включить EAP 802.1X, например ETH1 и ETH2.
Шаг 3. После подтверждения настроек нажмите Сохранить.
Проверка
Ниже приведены шаги для проверки корректного взаимодействия 802.1X между точкой доступа EAP и проводным клиентом с помощью анализа захваченных пакетов.
1. Клиент подключается к порту Ethernet (ETH), и точка доступа обнаруживает MAC-адрес клиента.
2. Точка доступа преобразует MAC-адрес в соответствии с настроенным форматом, инкапсулирует его как имя пользователя и пароль в пакет Request и отправляет на RADIUS-сервер для аутентификации 802.1X.
3. Если аутентификация успешна, RADIUS-сервер отвечает пакетом Accept, разрешая клиенту доступ к сети. В случае неудачи сервер отправляет пакет Reject, клиент не может получить доступ к интернету и повторно инициирует запросы RADIUS-аутентификации. На рисунке ниже показаны потоки пакетов Accept и Reject.
Пакеты, которыми обмениваются при неудачной аутентификации 802.1X:
Пакеты, которыми обмениваются при успешной аутентификации 802.1X:
4. Вы можете проверить статус аутентификации клиента в интерфейсе Клиенты.
Заключение
Это руководство описывает шаги по настройке аутентификации 802.1X на настенной точке доступа Omada с использованием контроллера Omada.
Чтобы узнать больше о каждой функции и настройке, посетите Страницу поддержки, чтобы загрузить или просмотреть руководство для вашего продукта.
