动态Vlan＋802。1x

最近给几个客户作了几个案子，发现大家对安全的关注程度与前些年相比确实提高了不少，以前很多的客户对于安全简直就是文盲。 好了言归正传，我们知道，Vlan就是虚拟局域网，划分Vlan是网络管理和网络安全方面很重要的技术手段，Vlan的划分方式有静态和动态之分,静态就是基于交换机物理端口的划分方式也有人称之为端口硬隔离，优点是简单易操作，缺点是网管人员必须随时根据需要调整交换机的设置，管理和维护工作量太大，不适合大型网络和人员部门频繁变化的机构，而且Vlan只和物理的布线有关无法对机器、使用者的变化即时做出调整。动态Vlan顾名思义是可以自动动态调整的Vlan划分方法，动态Vlan的划分可以基于MAC、IP、账户信息等与使用者或使用终端相关的信息自动调整，为网络管理带来了极大的便利。 实现的设备很简单： 1、二层了管理交换机，支持Vlan、支持802.1x认证 2、三层交换机或路由器 3、认证服务器 4、证书服务器 我在这个方案中所使用的设备和软件为：cisco 二层交换机、路由器或三层交换机、freeradius、openssl、mysql 简单步骤如下： 安装linux系统版本不限，但需要安装全套的开发工具，安装mysql,openssl,freeradius,注意安装次序，freeradius一定要最后装，安装完成后你的认证服务器和证书服务器就有了。 在所有交换机中选择一台交换机设置VTP域，将这台交换机的VTP Mode 设置为server模式，其他交换机设置成client模式，这样就可以让所有的交换机共享Vlan信息，而不需要在每台交换机上设置Vlan,交换机相互联结的端口设置成trunk模式来汇聚传输Vlan数据，trunk协议建议选择802.1q这是工业标准，可以做到和其他厂商的设备互联。设置交换机管理IP，这个IP要设到Vlan1上（Vlan1是交换机的保留Vlan不可删除和修改），所有的交换机IP要和linux服务器的IP互通，设置交换机的认证服务器到我们的linux服务器，开启交换机的802.1x认证。 对认证服务器进行设置，认证的方法有两种，一种是用户名密码（基于Mysql），另一种是数字证书（基于CA、Mysql）。 先将freeradius带的mysql脚本导入数据库，这样就有了Radius数据库，修改radius.conf如果是2。0以后版本就是default，将sql前面的注释去掉，修改sql.conf加入你的数据库用户名和密码，修改client.conf加入你所有的交换机IP和共享密钥（共享密钥就是在交换机里设置的radius key），在数据库的radcheck表中添加用户，在radusergroup表内添加用户和组的对应关系，在radgroupraply表中增加下发信息（Vlan信息），Tunnel-Type=Vlan,Tunnel-Medium-Type=IEEE802,Tunnel-Group-ID=(Vlan 号). 以上是采用用户名密码认证方式也就是PEAP,若要采用数字证书方式，就为每个用户颁发一张数字证书，在数据库里的radcheck表中不输入用户名，其他设置不变。 时间仓促，步骤不详，各位见谅，等后续有时间再共同探讨。

转载于:https://blog.51cto.com/689137/133848