Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

Configurar etiquetas de política de autenticación

Agregue etiquetas para identificar a los usuarios y recursos a los que desea hacer referencia en sus políticas de autenticación, a fin de controlar el acceso a su red.

Una política de control de acceso a la red es un conjunto de reglas y directrices para proporcionar acceso seguro a los dispositivos que intentan conectarse a una red. Una política consta de ciertos criterios que los dispositivos y usuarios deben cumplir para obtener acceso a la red y usar sus recursos.

Puede configurar Juniper Mist Access Assurance con una política de autenticación para permitir que los dispositivos administrados por Juniper Mist conecten a los clientes a la red o las aplicaciones.

Juniper Mist aprovecha las "etiquetas" como criterios de coincidencia de políticas y las etiquetas de usos aplican las acciones de políticas relevantes que especifican el permiso. Es decir, cuando cree políticas de autenticación, puede usar las etiquetas como:

  • Criterios de coincidencia: un conjunto de criterios de coincidencia que deben cumplirse para aplicar la regla de política.
  • Acción de permiso de política: un conjunto de acciones que se aplican en caso de coincidencia, como la aplicación de atributos adicionales (VLAN, rol y etiqueta de política basada en grupos).

Crear etiquetas

Puede crear etiquetas en las siguientes páginas:

  • Políticas de autenticación
  • Etiquetas de política de autenticación

Para crear etiquetas en la página Etiquetas de política de autenticación:

  1. En el portal de Mist Juniper, en el menú de la izquierda, seleccione Organización > Acceso > Etiquetas de directiva de autenticación.

    Aparece una lista de etiquetas existentes, si las hay.

  2. En las etiquetas de política de autenticación, haga clic en Agregar etiquetas e ingrese los siguientes detalles:
    • Nombre de etiqueta: introduzca un nombre único para la etiqueta. Puede usar hasta 32 caracteres, incluidos caracteres alfanuméricos y uno o más de los caracteres especiales.
    • Tipo de etiqueta: especifique el tipo de etiqueta. Consulte la información de la Tabla 1 para seleccionar el tipo de etiqueta.
    Tabla 1: Parámetros para la nueva etiqueta

    Tipo de etiqueta

    Detalles

    Función en la regla de política de autenticación

    Atributo AAA

    Un grupo de atributos de usuario que funciona como criterio de coincidencia y ayuda a determinar la acción de la política que especifica el permiso.

    Opciones:

    • Rol: Rol de usuario asignado. Esto se puede utilizar para aplicar políticas basadas en roles.
    • VLAN: los ID de VLAN, las variables de sitio o las VLAN con nombre se pueden usar para asignar VLAN a un cliente. Para obtener más información acerca de las variables de sitio, consulte Asignación dinámica de VLAN mediante variables de sitio.
    • Dominio: Un dominio utilizado en la autenticación, a menudo para especificar dónde son válidas las credenciales de usuario.
    • Nombre de usuario: identificador único asignado a un individuo o dispositivo. Esto se puede usar para coincidir con el atributo de nombre de usuario RADIUS del dispositivo de autenticación.
    • Etiqueta GBP: etiqueta de política de grupo) se utiliza para asignar grupos específicos de usuarios o dispositivos a diferentes tipos de gestión del tráfico de red.
    • Tiempo de espera de sesión: Establece el tiempo máximo permitido antes de que se restablezcan las sesiones de usuario, de 3600 a 604800 segundos.
    • Atributo específico del proveedor personalizado: atributos personalizados que se pueden configurar para que se devuelvan en el mensaje Access-Accept. Estos atributos se adaptan a proveedores específicos y pueden incluir roles o permisos. Ejemplos:
      • Cisco: Cisco-AVPair, Cisco-NAS-Port, Cisco-Fax-Account-ID-Origin.
      • Juniper: nombre de usuario local de Juniper.
      • Palo Alto Networks: PaloAlto-Admin-Role, PaloAlto-Admin-Access-Domain.

      • Puede encontrar atributos específicos del proveedor (VSA) para diferentes proveedores en sus respectivas guías de documentación o configuración.

    • Atributo RADIUS estándar personalizado (estos son atributos estándar de GTI-I RADIUS como Idle-Timeout=600 o Termination-Action=RADIUS-Request, y se pueden modificar con atributos adicionales.
    • Configuración dinámica de puertos cableados (estos son nombres de VLAN que Access Assurance devuelve para el atributo RADIUS Egress-VLAN-Name en el mensaje de aceptación de acceso y son especialmente útiles con configuraciones de puertos dinámicos, por ejemplo, para usar automáticamente puertos de troncalización para conexiones de AP o para diferenciar entre VLAN etiquetadas y sin etiquetar).
    • Nombre de usuario devuelto: identificador del usuario, como nombre de usuario, correo electrónico que ingresa al sistema una vez que el usuario se ha autenticado correctamente.

      Opciones:

      • Automático
      • Certificado CN
      • Certificado SAN:UPN
      • Certificado SAN:Correo electrónico
      • Certificado SAN:DNS
    • ID de VLAN de puerto configurado: ID de VLAN al que se asigna un dispositivo en un puerto determinado tras una autenticación correcta.
    • Dirección IP del NAS: dirección IP del servidor de acceso a la red (el dispositivo de puerta de enlace) en el que se realiza la solicitud de autenticación.

    Criterios de coincidencia y acción de permiso de política
    Atributo de certificado Un grupo de campos de certificado de usuario o dispositivo utilizados durante la autenticación.

    Opciones:

    • Nombre común (CN)
    • Asunto
    • Número de serie
    • Emisor
    • Nombre alternativo del sujeto (SAN)

    Criterios de coincidencia

    Lista de clientes

    Una lista de direcciones MAC o identificadores únicos de organización MAC (OUI) identificados por valores comodín. Ejemplos: 1122AA33BB44 o 11-22-AA-33-BB-44 o 11-22-AA*

    En el caso de los dispositivos que no admiten 802.1X, puede usar listas de clientes para permitir que los dispositivos aprobados accedan a la red.

    Criterios de coincidencia
    SSID

    Nombre SSID utilizado durante la autenticación de usuario o dispositivo, basado en el atributo de identificador de estación llamada entrante. Puede combinar varios SSID en una etiqueta con valores separados por comas.

    Criterios de coincidencia
    atributo de directorio Pertenencia a grupos de usuarios. El proveedor de identidad (DPI) proporciona información del grupo de usuarios durante la autorización del usuario o del dispositivo.

    Criterios de coincidencia
    Cumplimiento de MDM Se utiliza en la sección Coincidir de la regla de política mediante la evaluación del cumplimiento de la postura del cliente recibido del proveedor de administración de dispositivos móviles durante la autorización.
    • Cumple con las normas
    • Incumplimiento
    • No lo sé

    Criterios de coincidencia
    Etiqueta de cliente Se utiliza para hacer coincidir una etiqueta o una lista de etiquetas asignadas a una dirección MAC en la base de datos de puntos de conexión del NAC. Ingresar texto. Ejemplo: edificio3, piso2, impresora.

    Criterios de coincidencia
  3. Haga clic en Crear para guardar la configuración de la nueva etiqueta.
    Las etiquetas que cree en esta tarea estarán disponibles para que las seleccione como condición de coincidencia o acción de permiso de directiva al crear directivas de autenticación.

Ver también