The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

форумы  помощь  поиск  регистрация  майллист  ВХОД  слежка  RSS
"802.1х в реальном мире"
Вариант для распечатки  
Пред. тема | След. тема 
Форумы Маршрутизаторы CISCO и др. оборудование. (Public)
Изначальное сообщение [Проследить за развитием треда]

"802.1х в реальном мире"  
Сообщение от nonoxynol9 email on 14-Дек-06, 11:33 
Господа, а используете ли вы 802.1x в своей работе? Есть ли примеры сетей cisco catalyst и windows AD клиентов? Хочется пару вопросов решить.

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

 Оглавление

Сообщения по теме [Сортировка по времени, UBB]


1. "802.1х в реальном мире"  
Сообщение от scrappy (??) on 14-Дек-06, 12:17 
>Господа, а используете ли вы 802.1x в своей работе?
Да.

Смотря что именно

Есть ли примеры
>сетей cisco catalyst и windows AD клиентов? Хочется пару вопросов решить.
>
на каталистах 802.1q, 802.1d, 802.1p... на windows dhcp, dns, авторизация ...

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

2. "802.1х в реальном мире"  
Сообщение от nonoxynol9 email on 14-Дек-06, 12:47 
>>Господа, а используете ли вы 802.1x в своей работе?
>Да.
>
>Смотря что именно
>
>Есть ли примеры
>>сетей cisco catalyst и windows AD клиентов? Хочется пару вопросов решить.
>>
>на каталистах 802.1q, 802.1d, 802.1p... на windows dhcp, dns, авторизация ...


Основная вещь, которую хочется реализовать это vlan назначаемый через 802.1x аутентификацию.
Делаю так: загружается winxp, и соответственно, пока пользователь не авторизовался, машина попадает в guest-vlan, далее должен заходить пользователь и попадать в свой vlan. Но! 802.1x re-authentication не срабатывает и машина так и остаётся сидеть в guest vlan'e, пока на коммутаторе вручную не будет выполнена команда dot1x re-authenticate interface fastethernet0/XX, после этого клиент получает нужный vlan и далее ре-аутентификация работает как надо с нужной периодичностью.
С этим кто-нибудь сталкивался?

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

3. "802.1х в реальном мире"  
Сообщение от pablo email(ok) on 14-Дек-06, 13:08 
Сейчас нет доступа к каталисту, но:
1. В какой vlan попадает пользователь? guest vlan = management vlan?
2. Вроде были команды регулирующие частоту реаутентификации.

Работала подобная схема, правда не не цисках. Пользователь по умолчанию попадал в management vlan, после ввода пароля попадал в нужный.


>>>Господа, а используете ли вы 802.1x в своей работе?
>>Да.
>>
>>Смотря что именно
>>
>>Есть ли примеры
>>>сетей cisco catalyst и windows AD клиентов? Хочется пару вопросов решить.
>>>
>>на каталистах 802.1q, 802.1d, 802.1p... на windows dhcp, dns, авторизация ...
>
>
>Основная вещь, которую хочется реализовать это vlan назначаемый через 802.1x аутентификацию.
>Делаю так: загружается winxp, и соответственно, пока пользователь не авторизовался, машина попадает
>в guest-vlan, далее должен заходить пользователь и попадать в свой vlan.
>Но! 802.1x re-authentication не срабатывает и машина так и остаётся сидеть
>в guest vlan'e, пока на коммутаторе вручную не будет выполнена команда
>dot1x re-authenticate interface fastethernet0/XX, после этого клиент получает нужный vlan и
>далее ре-аутентификация работает как надо с нужной периодичностью.
>С этим кто-нибудь сталкивался?


Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

4. "802.1х в реальном мире"  
Сообщение от nonoxynol9 email on 14-Дек-06, 13:19 
1. Да, видимо, guest = management
2. Частоту ставил любую, хоть каждые 5 сек.


>Сейчас нет доступа к каталисту, но:
>1. В какой vlan попадает пользователь? guest vlan = management vlan?
>2. Вроде были команды регулирующие частоту реаутентификации.
>
>Работала подобная схема, правда не не цисках. Пользователь по умолчанию попадал в
>management vlan, после ввода пароля попадал в нужный.
>
>
>>>>Господа, а используете ли вы 802.1x в своей работе?
>>>Да.
>>>
>>>Смотря что именно
>>>
>>>Есть ли примеры
>>>>сетей cisco catalyst и windows AD клиентов? Хочется пару вопросов решить.
>>>>
>>>на каталистах 802.1q, 802.1d, 802.1p... на windows dhcp, dns, авторизация ...
>>
>>
>>Основная вещь, которую хочется реализовать это vlan назначаемый через 802.1x аутентификацию.
>>Делаю так: загружается winxp, и соответственно, пока пользователь не авторизовался, машина попадает
>>в guest-vlan, далее должен заходить пользователь и попадать в свой vlan.
>>Но! 802.1x re-authentication не срабатывает и машина так и остаётся сидеть
>>в guest vlan'e, пока на коммутаторе вручную не будет выполнена команда
>>dot1x re-authenticate interface fastethernet0/XX, после этого клиент получает нужный vlan и
>>далее ре-аутентификация работает как надо с нужной периодичностью.
>>С этим кто-нибудь сталкивался?


Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

5. "802.1х в реальном мире"  
Сообщение от pablo email(ok) on 14-Дек-06, 13:22 
Что значит "видимо"? У вас сейчас как реализовано?

>1. Да, видимо, guest = management
>2. Частоту ставил любую, хоть каждые 5 сек.
>
>
>>Сейчас нет доступа к каталисту, но:
>>1. В какой vlan попадает пользователь? guest vlan = management vlan?
>>2. Вроде были команды регулирующие частоту реаутентификации.
>>
>>Работала подобная схема, правда не не цисках. Пользователь по умолчанию попадал в
>>management vlan, после ввода пароля попадал в нужный.
>>
>>
>>>>>Господа, а используете ли вы 802.1x в своей работе?
>>>>Да.
>>>>
>>>>Смотря что именно
>>>>
>>>>Есть ли примеры
>>>>>сетей cisco catalyst и windows AD клиентов? Хочется пару вопросов решить.
>>>>>
>>>>на каталистах 802.1q, 802.1d, 802.1p... на windows dhcp, dns, авторизация ...
>>>
>>>
>>>Основная вещь, которую хочется реализовать это vlan назначаемый через 802.1x аутентификацию.
>>>Делаю так: загружается winxp, и соответственно, пока пользователь не авторизовался, машина попадает
>>>в guest-vlan, далее должен заходить пользователь и попадать в свой vlan.
>>>Но! 802.1x re-authentication не срабатывает и машина так и остаётся сидеть
>>>в guest vlan'e, пока на коммутаторе вручную не будет выполнена команда
>>>dot1x re-authenticate interface fastethernet0/XX, после этого клиент получает нужный vlan и
>>>далее ре-аутентификация работает как надо с нужной периодичностью.
>>>С этим кто-нибудь сталкивался?


Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

7. "802.1х в реальном мире"  
Сообщение от nonoxynol9 email on 14-Дек-06, 14:08 
В терминологии cisco и 802.1x - management vlan нет, есть guest и restricted.
Если имеется ввиду vlan через который коммутаторы администрируются, тогда management не равно guest.
Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

9. "802.1х в реальном мире"  
Сообщение от pablo email(ok) on 14-Дек-06, 15:16 
afaik, management vlan по умолчанию это vlan1
В каком vlan порт _до_ попыток аутентификации?

>В терминологии cisco и 802.1x - management vlan нет, есть guest и
>restricted.
>Если имеется ввиду vlan через который коммутаторы администрируются, тогда management не равно
>guest.


Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

10. "802.1х в реальном мире"  
Сообщение от nonoxynol9 email on 14-Дек-06, 17:26 
>afaik, management vlan по умолчанию это vlan1
>В каком vlan порт _до_ попыток аутентификации?
>
>
>
>>В терминологии cisco и 802.1x - management vlan нет, есть guest и
>>restricted.
>>Если имеется ввиду vlan через который коммутаторы администрируются, тогда management не равно
>>guest.

ops, да, пробел в моих знаниях
до всех попыток, порт находится действительно во vlan 1

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

11. "802.1х в реальном мире"  
Сообщение от vorch on 15-Дек-06, 10:37 
При указании необходимости авторизации на циске (dot1x port-control auto) порт либо блокирует трафик (и горит амбером), если на запрос циски на авторизацию рабочая станция ответила (т.е. включен в настройках сетевого интерфейса режим 802.1х), либо помещает порт в guest vlan (dot1x guest-vlan xx), если сетевой интерфейс не отвечает на запрос авторизации.
Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

12. "802.1х в реальном мире"  
Сообщение от nonoxynol9 email on 15-Дек-06, 11:18 
>При указании необходимости авторизации на циске (dot1x port-control auto) порт либо блокирует
>трафик (и горит амбером), если на запрос циски на авторизацию рабочая
>станция ответила (т.е. включен в настройках сетевого интерфейса режим 802.1х), либо
>помещает порт в guest vlan (dot1x guest-vlan xx), если сетевой интерфейс
>не отвечает на запрос авторизации.


все верно, это работает
мне нужно чтобы после того как пользователь залогинился, коммутатор произвел реаутентификацию и на этот раз поместил порт в нужный рабочий vlan

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

13. "802.1х в реальном мире"  
Сообщение от pablo email(ok) on 15-Дек-06, 12:32 
Должно работать :)
Скажите, без использования guest vlan аутентификация проходит нормально?
Есть возможность проверить в ситуации когда клиент, свич и радиус в одном vlan?

Если что: uin 127303637

>>afaik, management vlan по умолчанию это vlan1
>>В каком vlan порт _до_ попыток аутентификации?
>>
>>
>>
>>>В терминологии cisco и 802.1x - management vlan нет, есть guest и
>>>restricted.
>>>Если имеется ввиду vlan через который коммутаторы администрируются, тогда management не равно
>>>guest.
>
>ops, да, пробел в моих знаниях
>до всех попыток, порт находится действительно во vlan 1


Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

6. "802.1х в реальном мире"  
Сообщение от pablo email(ok) on 14-Дек-06, 13:31 
Покажите конфиг порта.

>1. Да, видимо, guest = management
>2. Частоту ставил любую, хоть каждые 5 сек.
>
>
>>Сейчас нет доступа к каталисту, но:
>>1. В какой vlan попадает пользователь? guest vlan = management vlan?
>>2. Вроде были команды регулирующие частоту реаутентификации.
>>
>>Работала подобная схема, правда не не цисках. Пользователь по умолчанию попадал в
>>management vlan, после ввода пароля попадал в нужный.
>>
>>
>>>>>Господа, а используете ли вы 802.1x в своей работе?
>>>>Да.
>>>>
>>>>Смотря что именно
>>>>
>>>>Есть ли примеры
>>>>>сетей cisco catalyst и windows AD клиентов? Хочется пару вопросов решить.
>>>>>
>>>>на каталистах 802.1q, 802.1d, 802.1p... на windows dhcp, dns, авторизация ...
>>>
>>>
>>>Основная вещь, которую хочется реализовать это vlan назначаемый через 802.1x аутентификацию.
>>>Делаю так: загружается winxp, и соответственно, пока пользователь не авторизовался, машина попадает
>>>в guest-vlan, далее должен заходить пользователь и попадать в свой vlan.
>>>Но! 802.1x re-authentication не срабатывает и машина так и остаётся сидеть
>>>в guest vlan'e, пока на коммутаторе вручную не будет выполнена команда
>>>dot1x re-authenticate interface fastethernet0/XX, после этого клиент получает нужный vlan и
>>>далее ре-аутентификация работает как надо с нужной периодичностью.
>>>С этим кто-нибудь сталкивался?


Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

8. "802.1х в реальном мире"  
Сообщение от nonoxynol9 email on 14-Дек-06, 14:09 
>Покажите конфиг порта.
>

interface FastEthernet0/15
description 802.1x TEST PORT
switchport mode access
dot1x port-control auto
dot1x timeout reauth-period 5
dot1x guest-vlan 530
dot1x reauthentication
dot1x auth-fail vlan 530
no cdp enable
spanning-tree portfast
spanning-tree bpdufilter enable
spanning-tree bpduguard enable
spanning-tree guard none
end

Высказать мнение | Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Индекс форумов | Темы | Пред. тема | След. тема
Оцените тред (1=ужас, 5=супер)? [ 1 | 2 | 3 | 4 | 5 ] [Рекомендовать для помещения в FAQ]




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру