AAA [Lab 7.1] Dynamic VLAN Assignment with Cisco ACS and Switch

Dynamic VLAN Assignment base on Cisco ACS 5.8 and Switch 2960

Series lab config Dynamic VLAN Assignment with RADIUS server ACS 5.8 and Switch 2960

1. Phần 1: Chuẩn bị: cấu hình Cisco ACS join domain và cấu hình DHCP
   [Lab 7.1] Dynamic VLAN Assignment with Cisco ACS and Switch
   
2. Phần 2: Cấu hình Authorizatio Profiles trên Cisco ACS 5.8
   [Lab 7.2] Dynamic VLAN Assignment with Cisco ACS and Switch
   
3. Cấu hình Authentication, Dot1x... trên Switch 2960. Test thử trường hợp PC không sử dụng 802.1x thì sẽ được assignment VLAN 30.
   [Lab 7.3] Dynamic VLAN Assignment with Cisco ACS and Switch
   
4. Phần 4: Test Dynamic Assignment lab còn lại để đảm bảo hoàn thành đúng như yêu cầu:
   [Lab 7.4] Dynamic VLAN Assignment with Cisco ACS and Switch

- Video lab config Dynamic VLAN Assignment with Cisco ACS 5.8

1. Config Dynamic Assignment VLAN trên Cisco ACS 5.8
   
   
   
   
2. Config Dynamic Assignment VLAN trên Switch 2960
   
   
   
   
3. Test tính năng 802.1x đã cấu hình
   
   

- Hoặc các bạn có thể tham khảo thêm các bài lab cấu hình Dynamic VLAN Assignment witch Microsoft NAPS.

1. [Lab 3.1] Config dynamic Vlan Switch by Radius windows
2. [Lab 3.2] Config dynamic Vlan Switch by Radius windows
3. [Lab 3.3] Config dynamic Vlan Switch by Radius windows
4. [Lab 3.4] Config dynamic Vlan Switch by Radius windows

- Xem thêm các bài lab AAA khác tại:

• Tổng hợp Lab Cisco AAA

Giới thiệu Dot1x. Dynamic VLAN Assignment in Switch

Các cty thường có các port mạng đặt trong các phòng họp hay phòng làm việc của nhân viên. Một Attacker có thể giả dạng khách hàng của cty chúng ta để sử dụng những port mạng này để tấn công hệ thống của chúng ta.

Vì vậy chúng ta cần có giải pháp xác thực người dùng khi một truy cập vào hệ thống…

Giải pháp svuit.vn muốn đưa ra cho các bạn là sử dụng 802.1x của IEEE.

• Khi người dùng truy cập vào hệ thống, họ sẽ yêu cầu gửi thông tin để server xác thực xem họ là ai. Trong lúc người dùng đang được server xác thực thì họ sẽ không sử dụng được bất kì dịch vụ nào hoặc truy cập bất cứ đâu trong hệ thống của chúng ta.

• Sau khi server chứng thực xác nhận thông tin của người sử dụng thì nó sẽ xem xét và phân quyền người dùng đó như: người dùng đó thuộc VLAN nào, có quyền truy cập đến đâu,…

- Mục đích bài lab:

• Khi người dùng gắn dây mạng vào 1 port mạng trên Switch thì sẽ yêu cầu người dùng xác thực thông tin bằng username và password trong Active Directory Windows Server 2012.
  
• Đối với các khách hàng của cty: Nếu máy tính của họ không bật cơ chế xác thực 802.1X thì không cần chứng thực. Chúng ta sẽ cấp cho những người dùng này VLAN 30 (Bạn sẽ phải thiết lập các chính sách để giới hạn truy cập của những người này).
  
• Nếu người dùng nhập thông tin xác thực sai họ sẽ không được quyền sử dụng hệ thống. Toàn bộ các traffic của PC sẽ bị Block.
  
• Đối với các nhân viên thuộc group “STAFF” trên Active Directory. Khi user thuộc group domain user này chứng thực đúng thì sẽ được gán VLAN 20
  
• Đối với những nhân viên quản lý hệ thống thuộc group “ADMIN” trên Active Directory sẽ được gán VLAN 10.

- Sơ đồ bài lab config dynamic Assign VLAN based on Cisco ACS 5.4 và Switch 2960.



I/ Cài đặt Roles

1/ Cấu hình Cisco ACS join domain Active Directory windows server 2012R2.

- Trên Active Directory windows server 2012R2 các bạn cấu hình tạo 2 Group user “ADMIN” và “STAFF” trong đó các bạn tạo:

• User “admin1” thuộc group “ADMIN”
  
• User “nv1” thuộc group “STAFF”

- Để cấu hình Cisco ACS 5.8 join domain Microsoft Active Directory trên windows server 2012 các bạn tham khảo bài lab sau.
http://svuit.vn/threads/lab-4-1-cisco-acs-5-integration-with-active-dirrectory-1252/

2/ Cài đặt DHCP
- Các bạn thực hiện cấu hình DHCP server cấp IP cho các VLAN

• VLAN 10: dành cho ADMIN
  
  
• VLAN 20: dành cho STAFF
  
  
• VLAn 30: dành cho GUEST. Những thiết bị không bật tính năng Authentication Dot1x
  

Đối với khách hàng của cty khi họ không thực hiện xác thực 802.1x sẽ được cấp VLAN 30. Chúng ta sẽ tạo Scope name “SVUIT_VLAN 30” cấp DHCP cho VLAN 30.

Đối với khách hàng của cty khi họ không thực hiện xác thực 802.1x sẽ được cấp VLAN 30. Chúng ta sẽ tạo Scope name “SVUIT_VLAN 30” cấp DHCP cho VLAN 30.




Cấu hình dãi IP cấp cho client trong VLAN 30





Khai báo Default gateway cấp cho Client.





Khai báo DNS server cấp cho Client.





- Đây là Scope DHCP cấp cho Client



- Tương tự tạo pool “VLAN 10” cấp IP cho các PC chứng thực bằng user domain thuộc group “ADMIN”.





- Tương tự tạo pool “VLAN 20” cấp IP cho các PC chứng thực bằng user domain thuộc group “STAFF”.




- Như vậy chúng ta đã hoàn thành việc tạo các pool DHCP cấp IP cho các user.