Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

配置身份验证策略标签

添加标签以标识要在身份验证策略中引用的用户和资源，以控制对网络的访问。

网络访问控制策略是一组规则和准则，用于为尝试连接到网络的设备提供安全访问。策略包含设备和用户必须满足的特定标准才能访问网络并使用网络资源。

您可以使用身份验证策略配置瞻博网络 Mist Access Assurance，使瞻博网络 Mist 托管设备能够将客户端连接到网络或应用。

瞻博网络 Mist 将“标签”用作策略匹配标准，而使用标签则应用指定权限的相关策略操作。也就是说，在创建身份验证策略时，可以将标签用作：

  • 匹配标准：应用策略规则必须满足的一组匹配标准。
  • 策略允许操作：在匹配时要应用的一组操作，例如应用其他属性（VLAN、角色和基于组的策略标记）。

创建标签

您可以在以下页面上创建标签：

  • 身份验证策略
  • 身份验证策略标签

要在“身份验证策略标签”页面中创建标签：

  1. 在瞻博网络Mist门户的左侧菜单中，选择 “组织>访问”>“身份验证策略标签”。

    将显示现有标签的列表（如果有）。

  2. 在“身份验证策略标签”上，单击“ 添加标签 ”并输入以下详细信息：
    • 标注名称 - 输入标注的唯一名称。您最多可以使用 32 个字符，包括字母数字字符以及一个或多个特殊字符。
    • 标注类型 - 指定标注类型。请参阅 表 1 中的信息以选择标签类型。
    表 1：新标签的参数

    标签类型

    详情

    在身份验证策略规则中的角色

    AAA 属性

    一组用户属性，用作匹配标准，帮助确定指定权限的策略操作。

    选项：

    • 角色：分配的用户角色。这可用于应用基于角色的策略。
    • VLAN：VLAN ID、站点变量或命名 VLAN 可用于将 VLAN 分配给客户端。有关站点变量的信息，请参阅 使用站点变量进行动态 VLAN 分配。
    • 领域：用于身份验证的域，通常用于指定用户凭据的有效位置。
    • 用户名：分配给个人或设备的唯一标识符。这可用于匹配身份验证设备的用户名 RADIUS 属性。
    • GBP 标签：组策略标签）用于将特定的用户或设备组分配给不同类型的网络流量管理。
    • 会话超时：设置重置用户会话之前允许的最长时间，从 3600 秒到 604800 秒。
    • 自定义供应商特定属性：可以配置为在 Access-Accept 消息中返回的自定义属性。这些属性是为特定供应商量身定制的，可以包括角色或权限。示例：
      • 思科：cisco-avpair、cisco-NAS-port、cisco-fax-account-id-origin。
      • 瞻博网络：瞻博网络-local-user-name。
      • Palo Alto Networks：paloAlto-admin-role、paloAlto-admin-access-domain。

      • 您可以在不同供应商各自的文档或配置指南中找到不同供应商的供应商特定属性 （VSA）。

    • 自定义标准 RADIUS 属性（这些是标准 IETF RADIUS 属性，例如 Idle-Timeout=600 或 Termination-Action=RADIUS-Request，可以使用其他属性进行修改。
    • 动态有线端口配置（这些是 Access Assurance 为 Access-Accept 消息中的 RADIUS 属性 Egress-VLAN-Name 返回的 VLAN 名称，对于动态端口配置尤其有用，例如，自动使用中继端口进行接入点连接或区分已标记和未标记的 VLAN）。
    • 返回的用户名：用户的标识符，例如用户名、用户成功身份验证后进入系统的电子邮件。

      选项：

      • 自动
      • 证书 CN
      • 证书 SAN：UPN
      • 证书 SAN：电子邮件
      • 证书 SAN：DNS
    • 配置的端口 VLAN ID：成功身份验证后，设备在特定端口上分配到的 VLAN ID。
    • NAS IP 地址：发出身份验证请求的网络访问服务器（网关设备）的 IP 地址。

    匹配标准和策略允许操作
    证书属性 身份验证期间使用的一组用户或设备证书字段。

    选项：

    • 通用名称 （CN）
    • 主题
    • 序列号
    • 发行人
    • 主题备用名称 （SAN）

    匹配标准

    客户端列表

    由通配符值标识的 MAC 地址或 MAC 组织唯一标识符 （OUI） 列表。示例：1122AA33BB44 或 11-22-AA-33-BB-44 或 11-22-AA*

    对于不支持 802.1X 的设备，您可以使用 客户端列表 来允许已批准的设备访问网络。

    匹配标准
    SSID

    基于传入被叫站标识符属性，在用户或设备身份验证期间使用的 SSID 名称。您可以使用逗号分隔值将多个 SSID 组合到一个标签中。

    匹配标准
    目录属性 用户组成员身份。身份提供商 （IdP） 在用户或设备授权期间提供用户组信息。

    匹配标准
    MDM 合规性 在策略规则的“匹配”部分中使用，用于评估授权期间从移动设备管理提供商收到的客户端安全状况合规性。
    • 合规
    • 不合规
    • 未知

    匹配标准
    客户端标签 用于匹配 NAC 端点数据库中分配给 MAC 地址的标签或标签列表。输入文本。示例：3 号楼，2 楼，打印机。

    匹配标准
  3. 单击 “创建” 以保存新标签的设置。
    创建身份验证策略时，您可以在此任务中创建的标签可供选择为匹配条件或策略允许操作。

也可以看看