Cisco SF 300-08 Administratorhandbuch Seite 244

Konfigurieren der Sicherheitsfunktionen
802. 1 X
Administratorhandbuch für Managed Switches der Serie 300 von Cisco Small Business
Beim 802. 1 X-Standard kann ein Gerät gleichzeitig Anfrager und Authentifikator für
einen Port sein, also Zugriff auf den Port sowohl anfordern als auch gewähren.
Dieses Gerät fungiert jedoch ausschließlich als Authentifikator und übernimmt die
Rolle des Anfragers nicht.
Es gibt folgende Varianten von 802. 1 X:
• Einzelsitzungs-802.1X:
- A1: Einzelsitzung/Einzel-Host. In diesem Modus unterstützt der Switch
als Authentifikator eine 802. 1 X-Sitzung und gewährt das Recht, einen
Port zu verwenden, einem Anfrager, der für den Port autorisiert ist. Alle
Zugriffe durch andere Geräte, die über denselben Port empfangen
werden, werden erst dann erlaubt, wenn der Port nicht mehr vom
autorisierten Anfrager verwendet wird oder wenn der Zugriff auf ein
nicht authentifiziertes VLAN oder ein Gast-VLAN erfolgt.
- Einzelsitzung/mehrere Hosts: Dies entspricht dem 802. 1 X-Standard. In
diesem Modus gewährt der Switch als Authentifikator jedem Gerät das
Recht, einen Port so lange zu verwenden, wie dem Anfrager die
Berechtigung dazu erteilt worden ist.
• Mehrfachsitzungs-802.1X: Jedes Gerät (Anfrager), das eine Verbindung
zu einem Port herstellt, muss durch den Switch (Authentifikator) einzeln in
einer eigenen 802. 1 X-Sitzung authentifiziert und autorisiert werden. Dies ist
der einzige Modus, der Dynamic VLAN Assignment (DVA) unterstützt.
Dynamic VLAN Assignment (DVA)
Dynamic VLAN Assignment (DVA) wird in diesem Handbuch auch als RADIUS
VLAN Assignment bezeichnet. Wenn ein Port im Mehrfachsitzungsmodus
betrieben wird und DVA aktiviert ist, fügt der Switch den Port automatisch als
Mitglied ohne Tag dem VLAN hinzu, dem er vom RADIUS-Server während der
Authentifizierung zugewiesen wurde. Der Switch klassifiziert Pakete ohne Tag für
das zugewiesene VLAN, wenn die Pakete von authentifizierten und autorisierten
Geräten oder Ports stammen.
Für Geräte, die für einen Port mit aktivierter DVA authentifiziert und autorisiert
werden sollen, gilt Folgendes:
• Der RADIUS-Server muss das Gerät authentifizieren und ihm dynamisch ein
VLAN zuweisen.
• Das zugewiesene VLAN darf nicht das Standard-VLAN sein und muss am
Switch erstellt worden sein.
• Der Switch darf nicht für die gleichzeitige Verwendung einer DVA- und einer
MAC-basierten Gruppe konfiguriert sein.
16
234