Cisco 300 Serie Administratorhandbuch Seite 336

Konfigurieren der Sicherheitsfunktionen
Administratorhandbuch für Managed Switches der Serie 300 von Cisco Small Business
• MAC-basiert: Der Switch kann so konfiguriert werden, dass dieser Modus
für die Authentifizierung und Autorisierung von Geräten verwendet wird, die
802. 1 X nicht unterstützen. Der Switch emuliert die Anfragerrolle im Namen
des nicht 802. 1 X-fähigen Geräts und verwendet bei der Kommunikation mit
den RADIUS-Servern die MAC-Adresse des Geräts als Benutzername und
Kennwort. MAC-Adressen für den Benutzernamen und das Kennwort
müssen in Kleinbuchstaben und ohne Trennzeichen eingegeben werden
(z. B.: aaccbb55ccff). So verwenden Sie die MAC-basierte Authentifizierung
für einen Port:
- Es muss ein Gast-VLAN definiert sein.
- Der Port muss für das Gast-VLAN aktiviert sein.
- Die Pakete vom ersten Anfrager beim Port vor der Autorisierung müssen
Pakete ohne Tag sein.
Sie können einen Port so konfigurieren, dass 802. 1 X-, MAC-basierte oder 802. 1 X-
und MAC-basierte Authentifizierung gleichzeitig verwendet werden. Wenn ein
Port für die gleichzeitige Verwendung von 802. 1 X- und MAC-basierter
Authentifizierung konfiguriert ist, hat 802. 1 X Vorrang vor einem Nicht-802. 1 X-
Gerät.
Nicht authentifizierte VLANs und Gast-VLAN
Nicht authentifizierte und Gast-VLANs stellen Zugriff auf Services bereit, für die
eine 802. 1 X- oder MAC-basierte Authentifizierung und Autorisierung der
abonnierenden Geräte oder Ports nicht erforderlich ist.
Ein nicht authentifiziertes VLAN ist ein VLAN, das sowohl autorisierten als auch
nicht autorisierten Geräten oder Ports Zugriff gewährt. Sie können in Erstellen von
VLANs eines oder mehrere VLANs als nicht authentifiziertes VLAN konfigurieren.
Ein nicht authentifiziertes VLAN hat die folgenden Merkmale:
• Es muss ein statisches VLAN sein und kann weder ein Gast- noch ein
Standard-VLAN sein.
• Die Mitglieds-Ports müssen manuell als Mitglieder mit Tag konfiguriert
werden.
• Der Mitglieds-Port muss ein Trunk- und/oder allgemeiner Port sein. Ein
Zugriffs-Port kann nicht Mitglied eines nicht authentifizierten VLAN sein.
17
327