LAN
Noções básicas
Para criar uma regra LAN, adicione um item sob o Conjunto de regras grupo e selecione Regra LAN.
Dê à regra um Nome que explique para que a regra é usada. Além disso, um nome descritivo ajudará você a identificar facilmente solicitações de autenticação processadas por esta regra em seus registros posteriormente.
Não se esqueça de Ativar a regra!
Autenticação
Sob o Autenticação grupo, sua primeira escolha é se você deseja permitir ou recusar Baseada em certificado ou Baseada em nome de usuário/senha autenticação para esta regra.
Autenticação baseada em certificado
Para autenticação baseada em certificado, você tem as seguintes opções para restringir ainda mais as solicitações de autenticação recebidas.
Permitir apenas CAs específicas (CAs confiáveis)
Isso permite restringir as solicitações de autenticação recebidas a CAs raiz confiáveis ou CAs emissores específicos. Essas CAs podem ser um subconjunto de todas as Raízes Confiáveis que você configurou na plataforma RADIUSaaS.
Filtrar por IDs do Intune
Esta é uma configuração histórica. Se seus clientes estão se autenticando com certificados que receberam durante a associação ao AAD, você desejará filtrar pelo ID do seu locatário Intune.
Caso você tenha inserido seus IDs de locatário conforme descrito aqui, o comportamento padrão do RADIUSaaS é que apenas máquinas que apresentem um certificado com a extensão OID 1.2.840.113556.5.14 e um valor de ID de locatário na lista permitida terão acesso à rede. Com o mecanismo de regras, agora você tem a opção de restringir ainda mais o acesso a IDs do Intune específicos para uma regra específica ou ignorar a extensão do certificado. Isso permite ter uma configuração de implantação múltipla, onde alguns clientes vêm com certificados fornecendo o OID respectivo e outros não.
Autenticação baseada em nome de usuário/senha
Após ativar Baseada em nome de usuário/senha a autenticação, você pode aplicar filtragem adicional configurando uma Regex no Nome de usuário. O padrão é todos os Nomes de usuário.
Configuração
Sob o Configuração no grupo você pode configurar critérios de filtro adicionais com base na origem das solicitações de autenticação, bem como atribuir IDs de VLAN.
Filtro de switch
Este filtro de endereço MAC permite que você permita que switches específicos switches comuniquem-se com o RADIUSaaS. Isto não é um filtro de endereço MAC para endpoints!
Para configurar um baseado em endereço MAC filtro de switch, selecione ou Endereços ou Grupos.
Se você selecionar Endereços, você pode especificar vários endereços MAC de switch.
Se você selecionar Grupos, você pode referenciar um ou mais dos seus pré-definidos Grupos de endereços MAC.
As seguintes notações são suportadas para os endereços MAC:
xx-xx-xx-xx-xx-xx
xx:xx:xx:xx:xx:xx
xxxxxxxxxxxx
Atribuição de VLAN
Caso você exija atributos de retorno de VLAN específicos do fornecedor, você pode gerenciá-los aqui.
O mecanismo de regras do RADIUSaaS fornece várias maneiras de atribuir IDs de VLAN. As seguintes opções estão disponíveis:
Estático
Especificar estaticamente o ID de VLAN que deve ser atribuído com base na regra relacionada
Por extensão de certificado
Atualmente não é compatível adicionar extensões de certificado personalizadas a perfis SCEP em muitos sistemas MDM, incluindo Microsoft Intune e JAMF.
Portanto, recomendamos usar o Nome do sujeito do certificado do certificado em vez disso para adicionar uma atribuição de VLAN.
Selecione uma de suas Extensões de Certificado criadas
O filtro está configurado para corresponder o Valor à sua extensão especificada (OID)
Curingas serão traduzidos para .* Regex
Por propriedade do Nome do sujeito do certificado
Você também pode atribuir IDs de VLAN com base em propriedades no Nome do Sujeito do seu certificado. Por exemplo, se você quiser atribuir VLAN 15 em suas Regras e estiver usando o Intune para definir e implantar seu perfil SCEP, você precisará configurar o formato do nome do sujeito no seu perfil SCEP, como CN={{DeviceId}},OU=vlan-15
Uma vez que o perfil seja implantado, volte para RADIUSaaS > Regras e especifique em qual propriedade o ID de VLAN é armazenado e configure a string com a qual o ID de VLAN é prefixado. por ex. vlan-
O ID da VLAN não precisa ter um prefixo. No entanto, pode ser útil caso seu Nome do Sujeito contenha o mesmo atributo mais de uma vez (por ex., vários CNs são bastante comuns).
Como exemplo, a seguinte regra atribuirá o ID de VLAN 15 com base no Nome do sujeito atributo OU prefixado com vlan-
Atributos RADIUS adicionais
Caso você exija atributos de retorno que não estejam disponíveis por padrão, por favor adicione-os aqui.
O mecanismo de regras do RADIUSaaS fornece várias maneiras de retornar atributos RADIUS adicionais (além do ID de VLAN). As seguintes opções estão disponíveis:
Estático
Especificar estaticamente o(s) atributo(s) de retorno e seu(s) valor(es) que devem ser atribuídos com base na regra relacionada.
Por extensão de certificado
Atualmente não é compatível adicionar extensões de certificado personalizadas a perfis SCEP em muitos sistemas MDM, incluindo Microsoft Intune e JAMF.
Portanto, recomendamos usar o Nome do sujeito do certificado do certificado em vez disso para adicionar uma atribuição de VLAN.
Selecione uma de suas Extensões de Certificado criadas
O filtro está configurado para corresponder o Valor do atributo de retorno especificado à sua extensão especificada (OID)
Curingas serão traduzidos para .* Regex
Por propriedade do Nome do sujeito do certificado
Você também pode retornar atributos RADIUS adicionais com base em propriedades no Nome do Sujeito do seu certificado
Para isso, especifique em qual propriedade o valor do atributo de retorno está armazenado
Em seguida, configure qual string prefixa o valor do atributo de retorno
O valor fornecido na propriedade do Nome do Sujeito não precisa ter um prefixo. No entanto, pode ser necessário usar um prefixo caso seu Nome do Sujeito contenha o mesmo atributo mais de uma vez (por ex., vários CNs são bastante comuns).
Last updated
Was this helpful?