Ubnt Türkiye Türkçe Forum ve Destek Sitesi Ubnt Airmax,Unifi access point , Edgemax ve Airfiber Teknik Destek ve Bilgi Sitesi
UBNT UniFi – USG: RADIUS Sunucusunu Yapılandırması
Genel bakış
Bu makalede, UniFi Security Gateway‘deki RADIUS sunucusunun nasıl yapılandırılacağı açıklanmaktadır. Bu sunucu kablolu, kablosuz ve L2TP uzaktan erişim kimlik doğrulama türleri için kullanılabilir. USG: RADIUS sunucusunun yapılandırması tüm kimlik doğrulama türleri için aynıdır.
- Giriş
- Ağ diyagramı
- Ubnt USG’de RADIUS Sunucusunu Etkinleştirme
- Denetleyicide Kullanıcılar Nasıl Oluşturulur
- MAC Tabanlı RADIUS Hesaplarını Yapılandırma
- RADIUS Atanmış VLAN’ı Etkinleştirme
- İlgili Makaleler
802.1X standardı üç bileşene sahiptir:
- Kimlik Doğrulayıcılar: Sistem erişimine izin vermeden önce RADIUS sunucusuna mesaj gönderen bağlantı noktasını veya aygıtı belirtir.
- Eklentiler: Sistem hizmetlerine erişim isteyen bağlantı noktasına bağlı ana bilgisayarı belirtir.
- Kimlik Doğrulama Sunucusu: Dış sunucuyu, örneğin, kimlik doğrulayıcı adına kimlik doğrulaması yapan RADIUS sunucusu belirtir ve kullanıcının sistem hizmetlerine erişmeye yetkili olup olmadığını belirtir. Bağlantı Noktası Erişim Kontrolü klasörü, sistemdeki 802.1X özelliklerini görüntülemenizi ve yapılandırmanızı sağlayan aşağıdaki sayfalara bağlantılar içerir.
RADIUS Kimlik Doğrulama ve Yetkilendirme:
Bir müşteri cihazının 802.1X ile yetkilendirildiği süreç aşağıdaki gibidir:
1. İstemci cihazdan kimlik bilgileri isteniyor.
2. Kullanıcı kimlik bilgilerini girer.
3. İstemci cihaz, ağa erişim sağlamak için veri bağlantı katmanındaki bir talebi bir doğrulayıcıya gönderir.
4. Doğrulayıcı cihaz daha sonra yapılandırılmış RADIUS sunucusuna “RADIUS Erişim İsteği” mesajı denilen bir mesaj gönderir.
NOT: Bu mesaj, kullanıcı tarafından erişim için sağlanan kullanıcı adı, şifre veya sertifikayı içerir ancak bunlarla sınırlı değildir.
5. RADIUS sunucusu daha sonra doğrulayıcıya üç yanıttan birini verir:
- Erişimi Reddet: Girilen kullanıcının, doğru tanımlamanın sağlanamamasına bağlı olarak veya erişimin RADIUS sunucusundan kaldırılması nedeniyle tüm erişimi reddedilir.
- Erişim Zorluğu: Kullanıcı, ikincil şifre, belirteç, PIN veya kart gibi kimlik doğrulaması için ek bilgiye ihtiyaç duyar. Bu mesaj, kullanıcı makine ve RADIUS sunucusu arasında güvenli bir tünelin kurulduğu daha karmaşık kimlik doğrulamada da kullanılır.
- Erişim Kabulü: Kullanıcıya ağa erişim izni verilir.
- İstemci için kullanılacak statik IP.
- İstemci için kullanılacak belirli bir adres havuzu.
- Bir müşterinin kimliğinin doğrulanabileceği maksimum süre.
- Erişim listesi parametreleri
- QoS özellikleri
- İstemci için kullanılacak VLAN kimliği (Dinamik VLAN).
USG’de RADIUS Sunucusunu Etkinleştirme
- Ayarlar> Servisler> RADIUS’a gidin .
- “Sunucu” sekmesi altındaki RADIUS sunucusunu etkinleştirin.
- USG: RADIUS Gizli: Kimlik doğrulama cihazlarına ve RADIUS sunucusuna önceden sağlanan anahtar. Bu, RADIUS mesaj bütünlüğünü sağlayan iki cihaz tipi arasında kimlik doğrulama sağlar.
- Kimlik doğrulama portu: RADIUS kimlik doğrulama mesajlarının, kimlik doğrulayıcı ve RADIUS sunucu cihazları tarafından gönderileceği ve alınacağı port.
- Muhasebe Limanı: RADIUS muhasebe mesajlarının kimlik doğrulayıcı ve RADIUS sunucu cihazları tarafından gönderileceği ve alınacağı liman.
- Muhasebe Ara Aralığı: Bir RADIUS erişim talebi paketinin “ara güncelleme” değerine sahip bir Acct-Status-Type özelliği ile gönderildiği milisaniye cinsinden süre. Bu güncelleme aktif bir oturumun durumunu istemek için gönderilir. “Geçici” kayıtlar mevcut oturum süresini raporlar ve veri kullanımı hakkında bilgi sağlayabilir.
NOT: Bu seçenek etkinleştirildiğinde, RADIUS sunucusu USG’de çalışır.
Kontroller Kullanıcılar Nasıl Oluşturulur?
- Ayarlar> Servisler> RADIUS’a gidin
- “Kullanıcı” sekmesi altında kullanıcı hesapları oluşturun.
- Kullanıcı adı: Bir kullanıcının girmesi için benzersiz bir kullanıcı adı girin.
- Şifre: Bir kullanıcının girmesi için istenen şifreyi girin.
- VLAN: RADIUS atanmış VLAN’ları kullanırken belirli bir VLAN’a RADIUS kimliği doğrulanmış bir istemci atamak için kullanılan alan.
- Tünel Türü: Bkz. RFC2868 bölüm 3.1
- Tünel Orta Tip: Bkz. RFC2868 bölüm 3.2
NOT: Kullanıcı hesapları kablolu, kablosuz ve L2TP kimlik doğrulama türleri için kullanılabilir.
USG: RADIUS MAC Tabanlı RADIUS Hesaplarını Yapılandırma
MAC adresini temel alan cihazların kimliğini doğrulamak için MAC adresini, müşteri oluşturma altındaki kullanıcı adı ve şifre olarak kullanın. Bu giriş, küçük harfleri büyük harfe dönüştürmeli ve ayrıca MAC adresinden iki nokta veya sütunları kaldırmalıdır.
NOT: MAC tabanlı kimlik doğrulama hesapları yalnızca kablosuz ve kablolu istemciler için kullanılabilir. L2TP uzaktan erişim geçerli değildir.
RADIUS Atanmış VLAN’ı Etkinleştirme
- Ayarlar> Profiller> RADIUS’a gidin
- Profil altında, istenirse hem kablolu hem de kablosuz için “RADIUS atanmış VLAN …” seçeneğini seçin.
Ayarlar> Servisler> RADIUS> Kullanıcılar bölümüne gidin.
- Dinamik VLAN kullanacak olan her kullanıcının tünel tipi (13) ‘e ve tünel-orta tipi (6)’ ya ayarlanmalıdır.
