| Оглавление |
|---|
| Информация | ||||||||||||||||||||||||||||||||||||||||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
Поддержано начиная с версий: Устройства: WLC-15/30/3200/3250/3350 Версия ПО WLC 1.26.0 Программный контроллер vWLC: Версия ПО vWLC: 1.27.0 Точки доступа: WEP-1L, WEP-200L, WEP-2L, WEP-30L, WEP-30L-Z, WEP-3L, WOP-20L, WOP-2L, WOP-30L, WOP-30LI, WOP-30LS Версия ПО ТД: 2.5.0 Точка доступа: WEP-3ax Версия ПО ТД: 1.8.0 Точки доступа: WEP-2ac, WEP-2ac Smart, WOP-2ac, WOP-2ac rev.B, WOP-2ac rev.C Версия ПО ТД: 1.25.0 Таблица поддержки функционала на различных моделях ТД:
|
Настройка осуществляется в SSID-профиле. Существует 2 способа ограничения доступа:
- По локальным спискам на ТД;
- По записям на RADIUS-сервере.
| Блок кода | ||
|---|---|---|
| ||
wlc(config-wlc-ssid-profile)# mac-auth mode local Set MAC authentication local mode radius Set MAC authentication radius mode |
Настройка доступа беспроводных клиентов по локальным спискам на ТД
Для авторизации по локальным спискам на ТД требуется:
Создать object-group mac и указать в данной группе MAC-адреса клиентов.
Информация В "object-group" mac можно указать максимум 64 MAC-адреса.
Блок кода language vb wlc# configure wlc(config)# object-group mac test_mac_auth wlc(config-object-group-mac)# mac address 11:11:11:11:11:11 wlc(config-object-group-mac)# mac address 22:22:22:22:22:22 wlc(config-object-group-mac)# exit
Перейти в настройки SSID-профилей (WLC → SSID-PROFILE <NAME>) и добавить правило, необходимое для работы. Пример ниже приведён для ssid-profile default-ssid.
Блок кода language vb wlc(config)# wlc wlc(config-wlc)# ssid-profile default-ssid wlc(config-wlc-ssid-profile)# mac-auth mode local policy permit test_mac_auth wlc(config-wlc-ssid-profile)# end
Применить изменения.
Блок кода language vb wlc# commit wlc# confirm
| Примечание |
|---|
В данном примере будет разрешено подключение к default-ssid для устройств, у которых MAC-адрес указан в профиле MAC-адресов test_mac_auth. Помимо этого можно настроить следующие варианты: mac-auth mode local policy permit any – разрешить доступ всем устройствам; |
Настройка MAC аутентификации на локальном RADIUS-сервере
Для MAC-аутентификации на локальном RADIUS-сервере требуется:
Добавить пользователя на локальный RADIUS-сервер в домен, который будет использоваться для авторизации. В данном примере создается запись для пользователя 6C-E8-5C-4E-97-1E с паролем NOPASSWORD в домене default.
Блок кода language vb wlc# configure wlc(config)# radius-server local wlc(config-radius)# domain default wlc(config-radius-domain)# user 6C-E8-5C-4E-97-1E wlc(config-radius-user)# password ascii-text NOPASSWORD wlc(config-radius-user)# exit wlc(config-radius-domain)# exit wlc(config-radius)# exit
Предупреждение В поле "user" необходимо задать МАС-адрес клиента в формате: XX-XX-XX-XX-XX-XX. Важно использовать верхний регистр формата MAC-адреса с разделителем "-".
В поле "password" необходимо задать пароль: NOPASSWORD (точка доступа по умолчанию подставляет в RADIUS аттрибут User-Password значение: NOPASSWORD)
Перейти в настройки SSID-профилей (WLC → SSID-PROFILE <NAME>) и добавить правило, необходимое для работы mac-auth. Пример ниже приведён для ssid-profile default-ssid.
Блок кода language vb wlc(config)# wlc wlc(config-wlc)# ssid-profile default-ssid wlc(config-wlc-ssid-profile)# mac-auth mode radius policy permit
Примечание Логика работы по записям на RADIUS-сервере отличается от логики работы по локальным спискам.
Если для правила mac-auth mode radius policy permit не создать записи на сервере, то доступ будет запрещён всем, так как записей, для которых необходимо открыть доступ – нет. Аналогично и для mac-auth mode radius policy deny – если записей не создано, то разрешается доступ всем.Применить изменения.
Блок кода language vb wlc# commit wlc# confirm
Пример пакета Acess-Request от ТД в процессе MAС-аутентификации через локальный RADIUS-сервер:
| Информация | |||||
|---|---|---|---|---|---|
|
| Предупреждение |
|---|
Начиная с версии ПО 2.8.0 на точках доступа WEP-30L, WEP-30L-Z, WOP-30L, WOP-30LI, WOP-30LS с помощью настройки session password mac возможно подставлять значение MAC-адреса клиента в атрибут User-Password и настраивать его формат. Настройка выполняется в профиле RADIUS, который используется в соответствующем SSID. В этом случае, в учетной записи пользователя на RADIUS-сервере, в качестве пароля, также необходимо задать MAC-адрес клиента в соответствующем формате. |
Пример пакета Acess-Request от ТД в процессе MAС-аутентификации через локальный RADIUS-сервер с настроенным параметром session password mac uppercase-separator-dash:
| Информация | |||||
|---|---|---|---|---|---|
|
Если список пользователей находится на внешнем сервере, необходимо настроить проксирование (см. статью Настройка проксирования на внешний RADIUS).