Configuración de la autenticación MAC RADIUS en enrutadores serie MX en modo LAN mejorado
A partir de Junos OS versión 14.2, puede permitir el acceso a dispositivos que no tengan acceso LAN habilitado para 802.1X configurando la autenticación MAC RADIUS en las interfaces de enrutador de la serie MX a las que están conectados los hosts.
También puede permitir que los dispositivos que no estén habilitados con 802.1X accedan a la LAN configurando su dirección MAC para la omisión estática mac de autenticación.
Puede configurar la autenticación MAC RADIUS en una interfaz que también permita la autenticación 802.1X o puede configurar cualquiera de los métodos de autenticación solos.
Si la autenticación MAC RADIUS y 802.1X están habilitadas en la interfaz, el enrutador envía primero al host tres solicitudes EAPOL al host. Si no hay respuesta del host, el enrutador envía la dirección MAC del host al servidor RADIUS para comprobar si se trata de una dirección MAC permitida. Si la dirección MAC está configurada según lo permitido en el servidor RADIUS, el servidor RADIUS envía un mensaje al enrutador de que la dirección MAC es una dirección permitida, y el enrutador abre el acceso LAN al host que no responde en la interfaz a la que está conectado.
Si la autenticación MAC RADIUS está configurada en la interfaz, pero la autenticación 802.1X no lo es (mediante el uso de la mac-radius restrict opción), el enrutador intenta autenticar la dirección MAC con el servidor RADIUS sin demora intentando primero la autenticación 802.1X.
Antes de configurar la autenticación MAC RADIUS, asegúrese de que dispone de lo siguiente:
Acceso básico configurado entre el enrutador de la serie MX y el servidor RADIUS.
Configure los enrutadores MX240, MX480 y MX960 para funcionar en modo LAN mejorado mediante la introducción de la
network-services laninstrucción en el[edit chassis]nivel de jerarquía.
Para configurar la autenticación MAC RADIUS mediante la CLI:
En el enrutador, configure las interfaces a las que se adjuntan los hosts que no responden para la autenticación MAC RADIUS y agregue el calificador para la restrict interfaz ge-0/0/20 para que use solo la autenticación MAC RADIUS:
[edit] user@router# set protocols authentication-access-control interface ge-0/0/19 dot1x mac-radius user@router# set protocols authentication-access-control interface ge-0/0/20 dot1x mac-radius restrict
En un servidor de autenticación RADIUS, cree perfiles de usuario para cada host que no responde mediante la dirección MAC (sin dos puntos) del host que no responde como nombre de usuario y contraseña (aquí, las direcciones MAC son 00:04:0f:fd:ac:fe y 00:04:ae:cd:23:5f):
[root@freeradius]# edit /etc/raddb vi users 00040ffdacfe Auth-type:=Local, User-Password = "00040ffdacfe" 0004aecd235f Auth-type:=Local, User-Password = "0004aecd235f"