Radius Server Verständnisfrage

[CoolAce 17]

Hallo zusammen,

 

ich habe mal eine Verständnisfrage, ich sichere meine Cisco WLAN Access Points mit einem W2K8 R2 Server mittel Radius ab.

In den Netzwerkrichtlinienserver unter Netzwerkrichtlinien hab ich eine Richtlinie erstellt mit dem Namen Cisc_SecAcess.

 

Ziel: Usern die in der Sicherheitsgruppe AC_WLAN_CP sind den Zugriff zu gewähren aber nur für PCs die Mitglied in der Domäne sind.

 

In der Richtlinie befindet sich im Reiter Bedingungen die folgenden Bedingung:

NAS-Porttyp: Wireless-Other OR Wireless - IEEE 802.11

Windows-Gruppe: AC_WLAN_CP

 

Problem: User können auch, mit Hilfe der Anmeldedaten domäne\benutzername sich am AP anmelden, mit Appel, Android und was der Markt noch so hergibt

anmelden.

 

Ich habe in der Richtlinie im Reiter Bedingungen die folgenden Bedingung gefunden welche ich so verstehe.

Bedingung: Computergruppen.

Mein Verstädnis: Der Radius prüft ab ob der User 1) der Windows-Gruppe  AC_WLAN_CP angehört und zweitens der Punkt NAS-Porttyp erfüllt ist und

drittens der Client sich in der Domänen-Gruppe (z.B. Domänen-Computer hätte ich ausgewählt) befindet.

 

Erst wenn alle 3 Bedingungen erfüllt sind und nicht nur 1 darf der Anwender rein, was in meinem Fall bei Handys und Tablets und so nicht der Fall wäre.

 

Ist das richtig ?