企業(yè)組網(wǎng)方案

1、 企業(yè)組網(wǎng)方案CSDN云計(jì)算 微信號(hào) CSDNcloud功能介紹 CSDN作為國(guó)內(nèi)最專業(yè)的云計(jì)算服務(wù)平臺(tái)，提供云計(jì)算、大數(shù)據(jù)、虛擬化、數(shù)據(jù)中心、OpenStack、CloudStack、Hadoop、Spark、機(jī)器學(xué)習(xí)、智能算法等相關(guān)云計(jì)算觀點(diǎn)，云計(jì)算技術(shù)，云計(jì)算平臺(tái)，云計(jì)算實(shí)踐，云計(jì)算產(chǎn)業(yè)咨詢等服務(wù)。雖說(shuō)干的是信息化智能化的行當(dāng)，但每個(gè)IT工程師都必定踩過(guò)“IT系統(tǒng)不智能”的坑。就拿企業(yè)組建局域網(wǎng)來(lái)說(shuō)，為了對(duì)網(wǎng)絡(luò)接入用戶身份進(jìn)行確認(rèn)，確保用戶權(quán)限不受辦公地點(diǎn)變更的影響，許多IT工程師都習(xí)慣開啟 “手動(dòng)模式”和苦逼的“加班模式”。其實(shí)，企業(yè)組建局域網(wǎng)的配置也是有“套路”的。IT新人也能現(xiàn)學(xué)現(xiàn)

2、用，輕松幾步，教你飛速提高企業(yè)網(wǎng)絡(luò)準(zhǔn)入的安全性。方案規(guī)劃對(duì)于企業(yè)IT工程師來(lái)說(shuō)，什么樣的企業(yè)網(wǎng)絡(luò)是我們需要的呢，是快捷，還是安全，讓我們來(lái)想象一下。員工入職即生成個(gè)人賬戶，一套賬戶“走遍天下”，包含接入網(wǎng)絡(luò)，OA，內(nèi)網(wǎng)，ERP，甚至打印和復(fù)印等；支持多個(gè)終端，在手機(jī)、筆記本、臺(tái)式機(jī)上登錄，不論在公司什么位置，你有擁有相同的網(wǎng)絡(luò)權(quán)限；員工調(diào)崗或者更換部門，僅需再組織架構(gòu)中進(jìn)行調(diào)整，這個(gè)“新”員工自動(dòng)獲取新部門的網(wǎng)絡(luò)權(quán)限；員工離職，僅需要將賬號(hào)“一鍵禁用”。好了，所有的權(quán)限都關(guān)了，“蒼蠅”你都別想飛進(jìn)來(lái)。有句話說(shuō)“理想很豐滿，現(xiàn)實(shí)很骨干，但是我在這里想說(shuō)，這都不是夢(mèng)，資深I(lǐng)T來(lái)告訴你理想的實(shí)現(xiàn)方法

3、。架構(gòu)圖基于802.1x協(xié)議，實(shí)現(xiàn)端口訪問(wèn)控制和認(rèn)證；搭建Windows Server系統(tǒng)環(huán)境，實(shí)現(xiàn)AD+DHCP+DNS，這部分搭建網(wǎng)上大把大把的教程，這部分忽略不在進(jìn)行贅述；NPS（Radius），用戶認(rèn)證管理管理；選擇支持802.1x協(xié)議認(rèn)證網(wǎng)絡(luò)設(shè)備，實(shí)現(xiàn)動(dòng)態(tài)VLAN實(shí)現(xiàn)獲得各終端網(wǎng)絡(luò)登錄具有各自網(wǎng)絡(luò)權(quán)限。組網(wǎng)環(huán)境（試驗(yàn)樣例，最終根據(jù)自己實(shí)際情況決定）服務(wù)器Cisco網(wǎng)絡(luò)設(shè)備客戶端網(wǎng)絡(luò)重點(diǎn)1：調(diào)整用戶所在安全組后，如何繼承了劃分VLAN的網(wǎng)絡(luò)權(quán)限？答：在核心網(wǎng)絡(luò)交換機(jī)中把劃分的VLAN一定要對(duì)應(yīng)到用戶所在安全組，如上圖。方案實(shí)施本文主要介紹關(guān)鍵配置：有線網(wǎng)絡(luò)設(shè)備上開啟802.1X認(rèn)證和認(rèn)

4、證服務(wù)器NPS(Radius)的配置，其他搭建過(guò)程請(qǐng)參照文章底部附錄。1.接入交換機(jī)（WS-C2960X-48LPS-L）開啟802.1x認(rèn)證，以Cisco 2960為例（注：不同IOS版本命令略有差異）第一步：進(jìn)入配置模式開啟802.1x認(rèn)證、指定radius-serveraaa new-model! 啟用 aaaaaa authentication dot1x default group radius! dot1x使用radius做認(rèn)證aaa authorization network default group radius! 使用802.1x協(xié)議去動(dòng)態(tài)分配vlan的話,上邊的這句命令一

5、定要有dot1x system-auth-control! 允許802.1x port-based 認(rèn)證dot1x guest-vlan supplicant! 允許交換機(jī)在端口802.1x認(rèn)證失敗后,指定vlan到guest-vlanradius-server host IP auth-port 1812 acct-port 1813 key Password! 指定radius服務(wù)器IP、端口號(hào)和進(jìn)行交互的使用的密碼radius-server retry method reorder! 允許有多個(gè)radius服務(wù)器冗余切換radius-server timeout 10! 指定radius

6、服務(wù)認(rèn)證超時(shí)時(shí)間重點(diǎn)2：不同用戶安全組如何獲得動(dòng)態(tài)VLAN地址？答：把預(yù)規(guī)劃好的所有VLAN配置到每臺(tái)接入交換機(jī)和無(wú)線AC控制器上，并在核心交換機(jī)中配置指向到DHCP服務(wù)器地址 。第二步：進(jìn)入網(wǎng)絡(luò)端口下啟用802.1x配置interface GigabitEthernet1/0/46 switchport mode access ! dot1x指定vlan, switchport mode必須為access switchport voice vlan 195! dot1x指定語(yǔ)音vlan authentication event fail action authorize vlan 107!

7、認(rèn)證失敗獲得隔離vlan authentication event no-response action authorize vlan 107! 認(rèn)證無(wú)響應(yīng)獲得隔離vlan authentication port-control auto! 端口認(rèn)證控制 authentication timer inactivity 30! 認(rèn)證響應(yīng)超時(shí) dot1x pae authenticator! 認(rèn)證端口開啟2.NPS（Radius）策略配置（注意了！這個(gè)方案最重要的12步，一定要注意！）a.使用配置向?qū)陆ㄟB接策略b.添加NPS客戶端（接入交換機(jī)和無(wú)線AC），輸入交接機(jī)IP和與其認(rèn)證交互的Passw

8、ordc.選擇EAP類型為Microsoft:受保護(hù)的EAP（PEAP）d.NPS(Radius)服務(wù)器申請(qǐng)計(jì)算機(jī)證書e.添加賬號(hào)認(rèn)證系統(tǒng)AD中的用戶test01所在部門“全局作用域安全組”f.配置網(wǎng)絡(luò)策略，動(dòng)態(tài)VLAN和訪問(wèn)控制列表（ACL）Tunnel-Type： VLANTunnel-Medium-Type: 802.1xTunnel-Pvt-Group-ID: 100 (為VLAN ID)，這樣不同用戶安全組對(duì)應(yīng)不同網(wǎng)絡(luò)VLAN即可得到不同的網(wǎng)絡(luò)訪問(wèn)權(quán)限，從而大大減少網(wǎng)絡(luò)層對(duì)終端接入設(shè)備訪問(wèn)權(quán)限的頻繁設(shè)置。g.配置完成，NPS（Radius）客戶端顯示狀態(tài)h.配置完成，連接請(qǐng)求策略顯示

9、狀態(tài)i.配置完成，網(wǎng)絡(luò)策略顯示狀態(tài)j.注意：網(wǎng)絡(luò)策略中，通過(guò)配置向?qū)?chuàng)建的默認(rèn)是“windows組”，需要手動(dòng)改為“用戶組”，后續(xù)熟練后可對(duì)NPS（Radius）客戶端、連接請(qǐng)求策略和網(wǎng)絡(luò)策略分開逐一按需求創(chuàng)建。k.注意：連接請(qǐng)求策略，如無(wú)線和有線IP段分開，需分開創(chuàng)建，如不分開，創(chuàng)建一條把無(wú)線和有線都勾選即可。l.其他部門網(wǎng)絡(luò)策略，可右鍵選擇重復(fù)策略進(jìn)行創(chuàng)建至此基于802.1x+AD+DHCP+NPS認(rèn)證實(shí)現(xiàn)動(dòng)態(tài)VLAN配置完成，可開始在PC、移動(dòng)客戶端等設(shè)備接入網(wǎng)絡(luò)，使用域賬號(hào)及密碼進(jìn)行登錄嘗試。方案驗(yàn)證m.開始菜單運(yùn)行輸入services.msc打開本地服務(wù)設(shè)置a.設(shè)置有線網(wǎng)絡(luò)（Wired AutoConfig）和無(wú)線網(wǎng)絡(luò)(WLAN AutoConfig)服務(wù)開機(jī)自動(dòng)啟動(dòng)802.1x服務(wù)b.有線網(wǎng)卡屬性“身份驗(yàn)證”選項(xiàng)，啟用802.1X和受保護(hù)的EAP選項(xiàng)，然后打開“設(shè)置”EAP屬性，取消“驗(yàn)證證書服務(wù)器”，點(diǎn)擊配置屬性，將自動(dòng)使用的登錄和密碼選項(xiàng)取消，然后確定保存關(guān)閉。c.返回網(wǎng)卡屬性“身份驗(yàn)證”選項(xiàng)，打開“其他設(shè)置”，勾選“指定身份驗(yàn)證模式”，確定保存。d.待電腦屏幕右下角，彈出如下窗口選擇點(diǎn)擊左鍵e.彈出如下網(wǎng)絡(luò)身份驗(yàn)證窗口，輸入自己公司的域賬號(hào)(或用戶名)和密碼點(diǎn)擊確定即可。注：使用無(wú)線的用戶需先配置連接網(wǎng)絡(luò)的SSID，然后對(duì)其進(jìn)行身份驗(yàn)證設(shè)置再