Cisco Small Business 300 Serie Guide D'administration page 239

Configuration de la sécurité
802. 1 X
Guide d'administration du commutateur administrable Cisco Small Business série 300
Il existe différents types de 802.1X :
• 802.1X à session unique :
- A1 : session unique/hôte unique. Dans ce mode, le commutateur, en tant
qu'authentificateur, prend en charge une session 802.1X et accorde
l'autorisation d'utiliser le port au demandeur autorisé au niveau d'un port.
Toute demande d'accès effectuée par les autres appareils à partir du
même port est refusée jusqu'à ce que le demandeur autorisé n'utilise
plus le port ou si l'accès s'effectue vers le VLAN non authentifié ou le
VLAN invité.
- Session unique / hôtes multiples : respecte la norme 802.1X. Dans ce
mode, le commutateur, en tant qu'authentificateur, autorise tout appareil
à utiliser un port tant que l'autorisation a été accordée à un demandeur
au niveau du port.
• 802.1X multi-sessions : chaque appareil (demandeur) se connectant à un
port doit être authentifié et autorisé par le commutateur (authentificateur),
séparément, dans une session 802.1x distincte. Il s'agit du seul mode qui
prend en charge l'affectation dynamique de VLAN (ADV).
Affectation dynamique de VLAN (ADV)
L'affectation dynamique de VLAN (ADV) est également appelée affectation de
VLAN RADIUS dans ce guide. Lorsqu'un port est en mode Sessions multiples et
compatible ADV, le commutateur ajoute automatiquement le port en tant que
membre non marqué du VLAN affecté par le serveur RADIUS lors du processus
d'authentification. Le commutateur classe les paquets non marqués vers le VLAN
affecté si ces paquets proviennent des appareils ou ports authentifiés et
autorisés.
Pour qu'un appareil soit authentifié et autorisé sur un port compatible ADV :
• Le serveur RADIUS doit authentifier l'appareil et lui affecter de façon
dynamique un VLAN.
• Le VLAN affecté ne doit pas correspondre au VLAN par défaut et doit avoir
été créé au niveau du commutateur.
• Le commutateur ne doit pas être configuré pour utiliser à la fois une ADV et
un groupe VLAN basé sur MAC.
• Un serveur RADIUS doit prendre en charge l' A DV avec les attributs RADIUS
tunnel-type (64) = VLAN (13), tunnel-media-type (65) = 802 (6) et tunnel-
private-group-id = un ID VLAN.
16
228