将思科 ISE 和瞻博网络 EX 交换机配置为基于 802.1X 的身份验证

假设您的网络已启动并运行思科 ISE，您需要做的第一件事就是添加瞻博网络 EX 交换机设备配置文件。

您可以单独添加 EX 交换机，也可以添加为 IP 地址范围。

授权配置文件允许您将不同的属性应用于用户或端点。您可以按名称或 VLAN ID 更改 VLAN。您还可以分配已在交换机上配置的防火墙过滤器。在此示例中，我们创建四个授权配置文件：

• Juniper_VoIP_VLAN_500

• Juniper_VoIP_VLAN_100

• Juniper_VoIP_VLAN_100_ACL

• Juniper_VoIP_VLAN_100_dACL

第一个配置文件使用 Juniper-VoIP-VLAN 属性将 VoIP VLAN 设置为 500。

IP 电话等端点可以在端点身份组中组合在一起，以便更轻松地应用通用属性，例如 VoIP VLAN。

此设置中的 Polycom IP 电话未配置 dot1x 身份验证。相反，我们依靠 MAC RADIUS 和 MAC 身份验证旁路 （MAB）。

用户身份组允许您将特定属性应用于属于组成员的用户。在此示例中，我们创建了三个新的用户身份组：

• VLAN_100_User_ID_Group

• VLAN_100_ACL_User_ID_Group

• VLAN_100_dACL_User_ID_Group

在此示例中，我们创建了三个本地用户，分别名为 user1、user2 和 user3。每个用户被分配到不同的用户身份组。

默认情况下，身份验证策略包含三个条目。

预定义的 MAB 和 dot1x 规则具有与网络设备配置文件关联的条件。当请求来自瞻博网络设备时，交换机会自动使用瞻博网络设备配置文件中配置的属性对 MAB 和 dot1x 请求进行身份验证。名为“默认”的身份验证策略包含允许的协议的默认网络访问策略。此网络访问策略与瞻博网络 EX 交换机兼容。

在此示例中，我们使用默认身份验证策略。

授权策略的顺序很重要，可能因设置而异。请确保在要创建的规则之上没有更常规的规则，否则它们将不匹配。

在此示例中，我们创建了四个新规则，每个规则有三个条件：

• VLAN 500，适用于连接到瞻博网络 EX 交换机的 Polycom IP 电话

• VLAN 100，适用于连接到瞻博网络 EX 交换机的 dot1x 用户

• 带 ACL 的 VLAN 100，适用于连接到瞻博网络 EX 交换机的 dot1x 用户

• 带有 dACL 的 VLAN 100，适用于连接到瞻博网络 EX 交换机的 dot1x 用户

对于涉及思科 ISE 访客门户的访客访问用例，瞻博网络 EX 交换机支持瞻博网络 CWA-重定向网址 VSA 以及用于将未知访客客户端重定向到思科 ISE 门户的特殊过滤器 ID JNPR_RSVD_FILTER_CWA。下图概述了思科 ISE 的访客接入流程：

以下是此场景的瞻博网络 EX 交换机配置：

以下是配置思科 ISE 策略以启用访客访问的方法：

借助 Junos 20.4 及更高版本，您可以将交换机端口自动配置为接入/中继端口，并根据 RADIUS （Cisco ISE） 响应分配多个 VLAN。例如，您可以在交换机上设置通用端口配置，然后根据连接设备（如 Mist AP、打印机或公司笔记本电脑）的身份自动重新配置。

以下是为 Mist 接入点配置的中继端口示例，其中包含用于管理的未标记本机 VLAN：

默认情况下，该端口配置为启用了 802.1X 和 MAC-Radius 的接入端口。

下面介绍如何在思科 ISE 中创建新的探查器策略，以基于 Mist MAC-OUI 自动剖析 Mist 接入点。探查器策略将发送完整的交换机端口配置（中继、带本机 VLAN 51 和标记的所有其他必需 VLAN）。