2012 Radius mehrere Profile

[CoolAce 17]

Hallo zusammen,

 

ich habe im Moment ein Verständnis Problem bzw. sehe das Problem nicht.

 

Ich habe einen Access Point mit MultiSSID, die eine ist für das Büro und hat kein VLAN Tagging und Authentifiziert sich gegen den Radius Server mittels Computerkonto,

dafür habe ich über den Assistenten eine passende Richtlinie angelegt die funktioniert auch ,ebenfalls habe ich mit dem Assistenen eine 2 Richtline angelegt für die

NON Domain Devices und in der Netzwerkrichtlinie das VLAN eingetragen.

 

Die 2 SSID NONDomain hat ein VLAN Tag und zwar VLAN 2, dort ist die Authentifizierung mittels Gruppe stattfindet die im AD angelegt ist. 

 

Ziel ist es NON DOmain Devices aus dem produktiven VLAN rauszuhalten. 

 

Wie bekomme ich den Radius dazu das er für die Office SSID das Computerkonto hernimmt und wenn das nicht kommt dann ablehnt und für die andere SSID das Benutzerkonto ?

 

Gruß

 

Coolace

[Dunkelmann 96]

Moin,

 

mit zwei Netzwerkrichtlinien. Bspw. eine mit Bedingung 'Computergruppe' und eine andere mit Bedingung 'Benutzergruppe'

[CoolAce 17]

Vielen Dank für die Unterstütung. Dies habe ich getan, da der NPS ja alle durchgeht und schaut ob eine passende findet ist es leider so das er immer eine passende findet :-(

Hab es mal mit VLAN Tag probiert aber das funktioniert leider nicht so wie ich es mir vorstelle bzw. gar nicht als Kriterium für den Match der Richtlinie

[Hannes91 10]

Hallo,

 

bei manchen Business Geräten (Wlan APs) kannst du einstellen, welche Daten der AP im Radius Paket mit übermitteln soll. Beispielsweise bei Cisco kannst du die Anrufer-ID so konfigurieren, dass der AP die SSID mitgibt, über die der Client gerade kommt. So kannst du mit der richtigen Bedingung am NPS die SSIDs unterscheiden. Ich würde mir zuerst die Konfigurationsmöglichkeiten des APs in dem Bereich anschauen. Vielleicht hilft dir der Ansatz.

 

Gruß,

Hannes

[Dunkelmann 96]

Entweder geht's, wie Hannes geschrieben hat, über die SSID oder Du gibst das VLAN über den NPS vor. Beides setzt natürlich voraus, dass der Radius Client das Verfahren unterstüzt.

https://technet.microsoft.com/en-us/library/cc754422%28v=WS.10%29.aspx

[CoolAce 17]

vielen Dank für eure Ideen und den Link, die Antwort für mein Problem lag in der Antwort von Hannes91, ich hab mir die Konfigurationsmöglichkeiten des APs angeschaut und im Radius Server selbst

den Hinweis des Entwicklers gesehen das der Radius Attribute zum Client senden kann. Ich habe das Profil in den Netzwerkrichtlinien so eingestellt das ich die Attribute wie im TechNet Link von Dunkelmann

(Danke dafür) verwenden kann und über eine SSID das Device in passende VLANs stecken kann :-)