Flexible Authentifizierungsreihenfolge für Switches der EX-Serie

Standardmäßig versucht der Switch zuerst, einen Client mithilfe der 802.1X-Authentifizierung zu authentifizieren. Wenn die 802.1X-Authentifizierung fehlschlägt, weil keine Antwort vom Client erfolgt, und die MAC RADIUS-Authentifizierung auf der Schnittstelle konfiguriert ist, versucht der Switch, sich mit MAC RADIUS zu authentifizieren. Wenn MAC RADIUS fehlschlägt und das Captive Portal auf der Schnittstelle konfiguriert ist, versucht der Switch, sich über das Captive Portal zu authentifizieren.

Bei einer flexiblen Authentifizierungsreihenfolge kann die Reihenfolge der verwendeten Authentifizierungsmethode basierend auf dem Typ der mit der Schnittstelle verbundenen Clients geändert werden. Sie können die authentication-order Anweisung konfigurieren, um anzugeben, ob die 802.1X-Authentifizierung oder die MAC RADIUS-Authentifizierung die erste Authentifizierungsmethode sein muss, die versucht wird. Das Captive Portal ist immer die letzte Authentifizierungsmethode, die ausprobiert wird.

Wenn die MAC RADIUS-Authentifizierung als erste Authentifizierungsmethode in der Reihenfolge konfiguriert ist, versucht der Switch beim Empfang von Daten von einem beliebigen Client, den Client mithilfe der MAC RADIUS-Authentifizierung zu authentifizieren. Wenn die MAC RADIUS-Authentifizierung fehlschlägt, verwendet der Switch die 802.1X-Authentifizierung zur Authentifizierung des Clients. Wenn die 802.1X-Authentifizierung fehlschlägt und das Captive Portal auf der Schnittstelle konfiguriert ist, versucht der Switch, sich über das Captive Portal zu authentifizieren.

Verschiedene Authentifizierungsmethoden können parallel auf einer Schnittstelle verwendet werden, die im Multiple-Supplicant-Modus konfiguriert ist. Wenn also ein Endgerät auf der Schnittstelle mithilfe des Captive Portals authentifiziert wird, kann ein anderes Endgerät, das mit dieser Schnittstelle verbunden ist, weiterhin mit 802.1X- oder MAC RADIUS-Authentifizierung authentifiziert werden.

Bevor Sie die flexible Authentifizierungsreihenfolge auf einer Schnittstelle konfigurieren, stellen Sie sicher, dass die Authentifizierungsmethoden auf dieser Schnittstelle konfiguriert sind. Der Switch versucht nicht, sich mit einer Methode zu authentifizieren, die nicht auf der Schnittstelle konfiguriert ist, selbst wenn diese Methode in der Authentifizierungsreihenfolge enthalten ist. Der Switch ignoriert diese Methode und versucht die nächste Methode in der Authentifizierungsreihenfolge, die auf dieser Schnittstelle aktiviert ist.

Beachten Sie beim Konfigurieren der authentication-order Anweisung die folgenden Richtlinien:

• Der Authentifizierungsauftrag muss mindestens zwei Authentifizierungsmethoden enthalten.

• Die 802.1X-Authentifizierung muss eine der Methoden sein, die in der Authentifizierungsreihenfolge enthalten sind.

• Wenn das Captive Portal in der Authentifizierungsreihenfolge enthalten ist, muss es die letzte Methode in der Reihenfolge sein.

• Wenn mac-radius-restrict auf einer Schnittstelle konfiguriert ist, kann die Authentifizierungsreihenfolge auf dieser Schnittstelle nicht konfiguriert werden.

Um eine flexible Authentifizierungsreihenfolge zu konfigurieren, verwenden Sie eine der folgenden gültigen Kombinationen:

Wenn ein Switch, der als 802.1X-Authentifikator fungiert, eine EAP-Start-Nachricht von einem authentifizierten Client empfängt, versucht der Switch, den Client mithilfe der 802.1X-Methode erneut zu authentifizieren, gibt in der Regel eine EAP-Request-Nachricht zurück und wartet auf eine Antwort. Wenn der Client nicht reagiert, versucht der Switch, den Client mithilfe von MAC RADIUS oder der Captive Portal-Methode erneut zu authentifizieren, sofern diese Methoden konfiguriert wurden. Clients, die mit MAC RADIUS oder Captive Portal-Authentifizierung authentifiziert wurden, reagieren nicht, und Datenverkehr wird auf der Schnittstelle verworfen, wenn der Switch versucht, sich erneut zu authentifizieren.

Wenn Sie die flexible Authentifizierungsreihenfolge auf der Schnittstelle so konfiguriert haben, dass MAC RADIUS die erste Methode zur Authentifizierung eines Clients ist, verwendet der Switch weiterhin 802.1X für die erneute Authentifizierung, wenn der Client eine EAP-Startnachricht sendet, selbst wenn der Client erfolgreich mit MAC RADIUS-Authentifizierung authentifiziert wurde. Sie können einen EAPoL-Block entweder mit einer festen oder einer flexiblen Authentifizierungsreihenfolge konfigurieren. Wenn Sie die authentication-order Anweisung nicht konfigurieren, wird die Reihenfolge standardmäßig festgelegt. Die eapol-block Anweisung kann mit oder ohne Konfiguration der authentication-order Anweisung konfiguriert werden.

Sie können einen Switch so konfigurieren, dass EAP-Start-Nachrichten ignoriert werden, die von einem Client gesendet werden, der mit der MAC RADIUS-Authentifizierung oder der Captive Portal-Authentifizierung mit der eapol-block Anweisung authentifiziert wurde. Wenn ein Block von EAPoL-Nachrichten in Kraft ist und der Switch eine EAP-Start-Nachricht vom Client empfängt, gibt er keine EAP-Request-Nachricht zurück, und die vorhandene Authentifizierungssitzung wird beibehalten.

Wenn eapol-block mit der mac-radius Option konfiguriert ist, bleibt der Client nach der Authentifizierung mit MAC RADIUS-Authentifizierung oder CWA (Central Web Authentication) im authentifizierten Zustand, auch wenn er eine EAP-Start-Nachricht sendet. Wenn eapol-block mit der captive-portal Option konfiguriert wird, bleibt der Client nach der Authentifizierung beim Captive Portal im authentifizierten Zustand, auch wenn er eine EAP-Start-Nachricht sendet.

So konfigurieren Sie einen Block von EAPoL-Nachrichten für die Aufrechterhaltung einer vorhandenen Authentifizierungssitzung: