예: MX 시리즈 라우터에서 인증의 정적 MAC 바이패스 구성
Junos OS 릴리스 14.2부터 디바이스가 인증 없이 802.1X 구성 인터페이스를 통해 LAN에 액세스할 수 있도록 MX 시리즈 라우터에서 정적 MAC 바이패스 목록을 구성할 수 있습니다. 제외 목록이라고도 하는 정적 MAC 바이패스 목록은 인증 서버에 대한 요청 없이 라우터에서 허용되는 MAC 주소를 지정합니다.
정적 MAC 바이패스 인증을 사용하여 프린터와 같이 802.1X가 활성화되지 않은 디바이스에 대한 연결을 허용할 수 있습니다. 호스트의 MAC 주소를 정적 MAC 주소 목록과 비교하여 일치시키면 응답하지 않는 호스트가 인증되고 해당 호스트에 대한 인터페이스가 열립니다.
이 예에서는 두 프린터에 대한 인증의 정적 MAC 바이패스를 구성하는 방법을 설명합니다.
요구 사항
이 예에서 사용되는 하드웨어 및 소프트웨어 구성 요소는 다음과 같습니다.
향상된 LAN 모드에서 실행되는 MX240, MX480 또는 MX960 라우터를 위한 Junos OS 릴리스 14.2 이상.
인증자 PAE(포트 액세스 엔터티) 역할을 하는 라우터 1개. 인증자 PAE의 포트는 신청자가 인증될 때까지 모든 트래픽을 차단하는 제어 게이트를 형성합니다.
서버를 라우터에 연결하기 전에 다음을 확인하십시오.
라우터에서 향상된 LAN 모드를 구성했습니다.
라우터에서 기본 브리징 및 VLAN 구성을 수행했습니다.
RADIUS 인증 서버에 구성된 사용자.
개요 및 토폴로지
프린터가 LAN에 액세스할 수 있도록 하려면 프린터를 정적 MAC 바이패스 목록에 추가합니다. 이 목록의 MAC 주소는 RADIUS 서버의 인증 없이 액세스할 수 있습니다.
인증자 포트로 작동하는 MX 시리즈 라우터를 생각해 보십시오. 인터페이스 ge-0/0/10을 사용하여 IP 네트워크를 통해 RADIUS 서버에 연결됩니다. 라우터는 또한 인터페이스 ge-0/0/1을 사용하는 컨퍼런스 룸, 인터페이스 ge-0/0/20을 사용하는 프린터, 인터페이스 ge-0/0/8을 사용하는 허브, 인터페이스를 통해 각각 ge-0/0/2 및 ge-0/0/9 인터페이스를 통해 두 개의 서플리컨트 또는 클라이언트에 연결됩니다.
에 표 1 표시된 인터페이스는 정적 MAC 인증을 위해 구성됩니다.
| 속성 | 설정 |
|---|---|
라우터 하드웨어 |
MX 시리즈 라우터 |
VLAN 명칭 |
default |
복합 프린터/팩스/복사기에 연결(PoE 필요없음) |
ge-0/0/19, MAC 주소 00:04:0f:fd:ac:fe ge-0/0/20, MAC 주소 00:04:ae:cd:23:5f |
MAC 주소가 00:04:0f:fd:ac:fe인 프린터가 액세스 인터페이스에 연결되어 있습니다 ge-0/0/19. MAC 주소가 00:04:ae:cd:23:5f인 두 번째 프린터가 액세스 인터페이스 ge-0/0/20에 연결됩니다. 두 프린터 모두 정적 목록에 추가되고 802.1X 인증을 무시합니다.
토폴로지
구성
절차
CLI 빠른 구성
정적 MAC 인증을 신속하게 구성하려면 다음 명령을 복사하여 라우터 터미널 창에 붙여넣습니다.
[edit] set protocols authentication-access-control static [00:04:0f:fd:ac:fe 00:04:ae:cd:23:5f] set protocols authentication-access-control interface all supplicant multiple set protocols authentication-access-control authenticaton-profile-name profile1
단계별 절차
정적 MAC 인증 구성:
MAC 주소 00:04:0f:fd:ac:fe 및 00:04:ae:cd:23:5f 정적 MAC 주소로 구성합니다.
[edit protocols] user@router# set authentication-access-control static [00:04:0f:fd:ac:fe 00:04:ae:cd:23:5f]
802.1X 인증 방법을 구성합니다.
[edit protocols] user@router# set authentication-access-control interface all supplicant multiple
인증에 사용할 인증 프로파일 이름(액세스 프로파일 이름)을 구성합니다.
[edit protocols] user@router# set authentication-access-control authentication-profile-name profile1
주:액세스 프로파일 구성은 정적 MAC 클라이언트가 아닌 802.1X 클라이언트에만 필요합니다.
결과
구성의 결과를 표시합니다.
user@router> show
interfaces {
ge-0/0/19 {
unit 0 {
family bridge {
vlan-id 10;
}
}
}
ge-0/0/20 {
unit 0 {
family bridge {
vlan-id 10;
}
}
}
}
protocols {
authentication-access-control {
authentication-profile-name profile1;
static [00:04:0f:fd:ac:fe 00:04:ae:cd:23:5f];
interface {
all {
supplicant multiple;
}
}
}
}
검증
구성이 제대로 작동하는지 확인하려면 다음의 작업을 수행하십시오:
인증의 정적 MAC 바이패스 확인
목적
두 프린터의 MAC 주소가 구성되고 올바른 인터페이스와 연결되어 있는지 확인합니다.
작업
작동 모드 명령을 사용합니다.
user@switch> show dot1x static-mac-address MAC address VLAN-Assignment Interface 00:04:0f:fd:ac:fe default ge-0/0/19.0 00:04:ae:cd:23:5f default ge-0/0/20.0
의미
출력 필드 MAC address 에는 두 프린터의 MAC 주소가 표시됩니다.
출력 필드는 Interface MAC 주소가 00:04:0f:fd:ac:fe 인터페이스를 ge-0/0/19.0 통해 LAN에 연결할 수 있고 MAC 주소가 00:04:ae:cd:23:5f 인터페이스를 ge-0/0/20.0통해 LAN에 연결할 수 있음을 보여줍니다.
변경 내역 표
기능 지원은 사용 중인 플랫폼과 릴리스에 따라 결정됩니다. Feature Explorer 를 사용하여 플랫폼에서 기능이 지원되는지 확인하세요.