最近给几个客户作了几个案子,发现大家对安全的关注程度与前些年相比确实提高了不少,以前很多的客户对于安全简直就是文盲。 好了言归正传,我们知道,Vlan就是虚拟局域网,划分Vlan是网络管理和网络安全方面很重要的技术手段,Vlan的划分方式有静态和动态之分,静态就是基于交换机物理端口的划分方式也有人称之为端口硬隔离,优点是简单易操作,缺点是网管人员必须随时根据需要调整交换机的设置,管理和维护工作量太大,不适合大型网络和人员部门频繁变化的机构,而且Vlan只和物理的布线有关无法对机器、使用者的变化即时做出调整。动态Vlan顾名思义是可以自动动态调整的Vlan划分方法,动态Vlan的划分可以基于MAC、IP、账户信息等与使用者或使用终端相关的信息自动调整,为网络管理带来了极大的便利。 实现的设备很简单: 1、二层了管理交换机,支持Vlan、支持802.1x认证 2、三层交换机或路由器 3、认证服务器 4、证书服务器 我在这个方案中所使用的设备和软件为:cisco 二层交换机、路由器或三层交换机、freeradius、openssl、mysql 简单步骤如下: 安装linux系统版本不限,但需要安装全套的开发工具,安装mysql,openssl,freeradius,注意安装次序,freeradius一定要最后装,安装完成后你的认证服务器和证书服务器就有了。 在所有交换机中选择一台交换机设置VTP域,将这台交换机的VTP Mode 设置为server模式,其他交换机设置成client模式,这样就可以让所有的交换机共享Vlan信息,而不需要在每台交换机上设置Vlan,交换机相互联结的端口设置成trunk模式来汇聚传输Vlan数据,trunk协议建议选择802.1q这是工业标准,可以做到和其他厂商的设备互联。设置交换机管理IP,这个IP要设到Vlan1上(Vlan1是交换机的保留Vlan不可删除和修改),所有的交换机IP要和linux服务器的IP互通,设置交换机的认证服务器到我们的linux服务器,开启交换机的802.1x认证。 对认证服务器进行设置,认证的方法有两种,一种是用户名密码(基于Mysql),另一种是数字证书(基于CA、Mysql)。 先将freeradius带的mysql脚本导入数据库,这样就有了Radius数据库,修改radius.conf如果是2。0以后版本就是default,将sql前面的注释去掉,修改sql.conf加入你的数据库用户名和密码,修改client.conf加入你所有的交换机IP和共享密钥(共享密钥就是在交换机里设置的radius key),在数据库的radcheck表中添加用户,在radusergroup表内添加用户和组的对应关系,在radgroupraply表中增加下发信息(Vlan信息),Tunnel-Type=Vlan,Tunnel-Medium-Type=IEEE802,Tunnel-Group-ID=(Vlan 号). 以上是采用用户名密码认证方式也就是PEAP,若要采用数字证书方式,就为每个用户颁发一张数字证书,在数据库里的radcheck表中不输入用户名,其他设置不变。 时间仓促,步骤不详,各位见谅,等后续有时间再共同探讨。 |
![](https://ucenter.51cto.com/images/noavatar_middle.gif)
提问和评论都可以,用心的回复会被更多人看到
评论
发布评论
相关文章