无色端口的动态 VLAN 分配
企业通常有各种各样的用户和端点，这导致了多个用例需要由其策略基础架构来解决。策略基础架构应使任何受支持的用户设备能够连接到接入交换机上的任何端口，并根据设备的功能和/或用户的授权级别进行身份验证。
无色端口支持将任何设备 t 连接到任何交换机端口，因为它们都具有相同的初始配置。初始配置将设备置于默认 VLAN 上，用于对设备或用户进行身份验证和分析。无色端口概念依赖于设备分析进行 VLAN 分配。根据连接到端口的设备类型（接入点、IP 摄像机或打印机），NAC 服务器会使用 RADIUS 属性返回相应的 VLAN。
无色端口动态 VLAN 分配的好处
-
允许将任何设备连接到接入交换机上的任何端口。
-
在整个企业中部署一致的安全策略。
概述
当端口上启用 802.1X 身份验证时，交换机（称为验证方）将阻止进出终端设备（称为请求方）的所有流量，直到请求方的凭据在 NAC 服务器上显示并匹配为止。NAC 服务器通常是 RADIUS 服务器或充当 RADIUS 服务器的策略管理器。请求方通过身份验证后，交换机会向请求方开放端口。
在身份验证过程中，RADIUS 服务器可以返回 IETF 定义的属性，用于为交换机提供 VLAN 分配。您可以配置策略管理器，以便根据端点访问策略将不同的 RADIUS 属性传回交换机。交换机根据接收到的 RADIUS 属性动态更改分配给端口的 VLAN。
出口 VLAN 属性
要将接入端口和中继端口都支持为无色端口，RADIUS 属性必须指示此端口的 VLAN 上的帧是以带标记还是不带标记的格式表示。动态分配 VLAN 和指定帧格式支持以下属性：
-
出口-VLAN-ID
-
出口-VLAN -名称
Egress-VLAN-ID 或 Egress-VLAN-Name 属性包含两部分;第一部分指示此端口的 VLAN 上的帧是以带标记还是不带标记的格式表示，第二部分是 VLAN 名称。
对于 Egress-VLAN-ID：
-
0x31 = 标记
-
0x32 = 未标记
例如，以下 RADIUS 配置文件包括一个带标记的 VLAN 和一个不带标记的 VLAN：
001094001177 Cleartext-Password := "001094001177“
Tunnel-Type = VLAN,
Tunnel-Medium-Type = IEEE-802,
Egress-VLANID += 0x3100033,
Egress-VLANID += 0x3200034,
对于 Egress-VLAN-Name：
-
1 = 已标记
-
2 = 未标记
在以下示例中，VLAN 1vlan-2 已标记，VLAN 2vlan-3 未标记：
001094001144 Cleartext-Password := "001094001144“
Tunnel-Type = VLAN,
Tunnel-Medium-Type = IEEE-802,
Egress-VLAN-Name += 1vlan-2,
Egress-VLAN-Name += 2vlan-3,
必须将 Tunnel-Type 和 Tunnel-Medium-Type 属性包含在带有 Egress-VLAN-ID 或 Egress-VLAN 名称的配置文件中。
当交换机收到带有“Egress-VLAN-ID”的 VLAN 分配时，它会检查系统中是否已存在该 VLAN。否则，将创建动态 VLAN。如果使用 Egress-VLAN-Name，则 VLAN 应已存在于系统中。
请求方模式属性
RADIUS 属性还可用于更改 802.1X 身份验证的请求方模式。使用瞻博网络供应商特定属性 （VSA），您可以将请求方模式设置为单安全模式或单安全模式：
-
瞻博网络-AV-对 = 请求方模式-单
-
瞻博网络-AV-Pair = 请求方模式-单安全
从 NAC 服务器接收到这些属性时，配置的请求方模式将在对会话进行身份验证后更改，以匹配 VSA 值。会话结束时，请求方模式将恢复到从 NAC 服务器接收 VSA 之前在系统上配置的模式。当客户端从 RADIUS 服务器接收动态单请求方属性时，它会删除该接口上所有其他经过身份验证的客户端，从而有效地将接口模式从多个请求方更改为单个请求方。