802.1x / RADIUS
802.1x / RADIUS
802.1x is een authenticatiestandaard op poortniveau: een apparaat dat op een switchpoort wordt aangesloten, moet zich eerst identificeren voordat het toegang krijgt tot het netwerk. PrivateLAN bevat een RADIUS-server die deze authenticatie voor uw switches afhandelt.
RADIUS-clients
Elke switch die apparaten via 802.1x moet authenticeren, moet worden geregistreerd als RADIUS-client (ook wel NAS — Network Access Server genoemd):
| Veld | Omschrijving |
|---|---|
| Clientnaam | Een herkenbare naam voor de switch |
| IP-adres | Het beheer-IP-adres van de switch |
| Netmasker | Het netmasker voor de client (of subnet van clients) |
| NAS-type | De apparaatcategorie, gebruikt door FreeRADIUS om vendor-attributen te interpreteren |
| Shared secret | Een geheim dat de communicatie tussen switch en RADIUS-server beveiligt |
Het aantal RADIUS-clients dat u kunt toevoegen, is afhankelijk van uw licentie. Zodra een client wordt toegevoegd, gewijzigd of verwijderd, wordt de configuratie van de RADIUS-server automatisch bijgewerkt.
Certificaten
802.1x-authenticatie maakt gebruik van certificaten die worden uitgegeven door de eigen Certificate Authority (CA) van PrivateLAN. Op de RADIUS-configuratiepagina kunt u instellen:
- Geldigheid CA-certificaat — hoe lang het CA-certificaat geldig is (standaard 3650 dagen)
- Geldigheid servercertificaat — hoe lang het certificaat van de RADIUS-server geldig is (standaard 3650 dagen)
- Geldigheid clientcertificaat — hoe lang certificaten voor clientapparaten geldig zijn (standaard 3650 dagen)
- Certificaatwachtwoorden — de CA- en serverwachtwoorden beschermen de privésleutels die op de appliance blijven (alleen voor intern gebruik). Het clientwachtwoord beschermt de certificaten die aan clientapparaten worden uitgegeven en is het wachtwoord dat u invoert bij het importeren van een clientcertificaat (PFX / P12) of het gebruik van de bijbehorende sleutel
Gebruik Provision om certificaten (opnieuw) te genereren en de RADIUS-service te herstarten na het wijzigen van deze instellingen.
Monitoring
Het RADIUS-overzicht toont:
- De meest recente authenticatiegebeurtenissen en foutmeldingen uit het RADIUS-logboek
- De status van het CA- en servercertificaat (common name, alternatieve namen, uitgiftedatum, vervaldatum en resterende geldigheid)
- Een downloadbare Certificate Revocation List (CRL) met ingetrokken clientcertificaten
Hoe het samenhangt
Elke switch die PrivateLAN beheert, wordt zowel geregistreerd als switch (zie Switchbeheer) als — voor 802.1x — als RADIUS-client met hetzelfde beheer-IP-adres. De switch en de RADIUS-server authenticeren elkaar met het shared secret, terwijl apparaten die op switchpoorten worden aangesloten zich authenticeren met certificaten die zijn uitgegeven door de CA van PrivateLAN.
