Netgear -> Mac, Authentifikationsabhänige Vlan Config am Switch?

[Boy2006]

Hi
Gibt es bei den Netgear Switche die möglichkeit das Vlan anhand der Mac Adresse bzw der Login Eingabe abhängig machen?
Ich finde keine Infos dazu. Ich kenne (zwar nicht Persönlich aber immerhin) das Feature bei den Cisco Switche das der User immer in der richtige Vlan kommt. Zb. das IP Telefon egal an welchen Port es hängt ist immer im Vlan für VoIP Hardware. Ein Gast Pc ist immer im Gast und eine Kasse, Checkin (im Hote) in natürlich in einen separaten.
Danke

 

[konfetti]

Das kommt auf die Umsetzung drauf an - das mit dem VoIP-Telefon geht macht man eher über die Daten, die das Telefon vom DHCP bekommt, dort gibt es dafür Identifier - klassisch hängt das VoIP-VLAN dann auf allen Ports als tagged mit drin.

Die Anforderung um "Gast" und "Sonstige" Systeme zu erweitern, klingt eher nach einer Aufgabe für NAC (Network Access Controll - ich weiß, Du tust Dich sonst mit googlen wieder schwer...)

 

[Boy2006]

Network Access Controll

Jop da gibts div möglichkeiten wie man sowas nennt.
Der Punkt ist halt ob die Netgear Switche je nach Client den das passende Vlan transparent zuweisen können?

 

[netresident]

Vielleicht wirfst Du mal einen Blick in die Bedienungsanleitung. "die Netgear Switche" funktionieren sicher nicht alle exakt gleich.

 

[niklasschaefer]

Moin, das was du suchen musst in dem Manual ist die Funktion 802.1X radius Based Authentication und über den Radius gibst du dann das passende VLAN mit. Ob du das jetzt über den windows NPS Server oder über FreeRadius machst ist egal. An Telefonen macht man meist kein Radius diese weißt man per LLDP das VoiceVlan zu. Habe ich privat mit einem TP-Link im Einsatz und geschäftlich an 50 HPE Switchen im Einsatz.

Gruß Niklas

 

[Boy2006]

Ich bin gerade im Switch drinnen das teil laggt aber ordentlich...

802.1X Configuration [Click for help]
Port Based Authentication State Disable Enable
Guest Vlan Disable Enable
Vlan Assignment Mode Disable Enable

 

[Gohst_oc]

Zauberwort ist IEEE802.1x - RADIUS (wurde schon erwähnt).
Dazu benötigt man min. einen Server und einen Switch der das korrekt unterstützt.

Viele Managed Switches können Radius und auch dynamic VLAN (vielleicht auch der Netgear).

Im Switch konfiguriert man den RADIUS Server (Authentication Server), der Switch fungiert dann als sog. Supplicant.

Es ist auf jedenfall zusätzliche Software/Server notwendig.

Produktempfehlung #1: Man kann den "Network Policy Server" zusammen mit Radius auf Windows Server als Rolle installieren, klappt gut und ist schnell konfiguriert.
Man kann alles schön über das MMC Snap-In verwalten, Klicki Bunti GUI eben. Sogar ein redundanter Aufbau ist realisierbar.

Cisco und diverse weitere Hersteller haben auch tolle Produkte im Portfolio, mit teilweise gigantischem Funktionsumfang.
Allerdings ist die ganze Thematik nicht ganz simpel.

Im Network Policy Server kann man z.B auch vielfältige Authentisierungsmethoden auch mit Anbindung an eine Active Directory verwenden (PEAP, EAP, MAC Authentication)...
Und natürlich vielfältige Regeln erstellen welche Kritierien ein Gerät erfüllen muss um in VLAN XYZ zu kommen oder überhaupt Zugriff erhält etc- PiPaPo.

Für MAC Authentication (einfachster Fall, keine erweiterte Sicherheit da sich MAC spoofen lässt), reicht es im Falle vom NPS Server, in einem Active Directory einen User zu erfassen mit Username=MAC und Passwort=MAC.

Aber mal unter uns, für kleine Umgebungen sollte man sich schon Produkte wie Freeradius etc. anschauen, ansonsten hat man schnell ne komplette ICT Umgebung samt Domäne etc. nötig.

Ich denke bei FreeRadius und anderen Produkten kann man einfache "Text-Files" und SQL Datenbanken fürs Accounting verwenden.
Also dort die Geräte als "Konten" erfassen. Oder regeln definieren wenn die MAC etwas bestimmtes enthält (z.B alle MAC Adresse die dem Hersteller X zugeordnet werden) wird ein gewisses VLAN angewendet.

 

[Boy2006]

Danke Ich habe mich dafür entschieden die Netgear Switche nicht zu bestellen.
Ich habe auf die schnelle den gekauft gehabt: http://www.downloads.netgear.com/files/GDC/datasheet/en/GS110TP.pdf
Für meinen Serverraum habe Ich schnell was gebraucht mit PoE für die Cam, IP Telefone,...

Ich werde mir Lancom APs kaufen für die Wifi Telefone und Ich spiele mit den gedanken auch die Lancom (gebrandeten ) Switche zu kaufen wenn Ich alles zusammen verwalten kann. Ich habe kein Server OS am laufen brauche Ich eigentlich nicht.