دسترسی شبکه به تعدادی سیستم خاص

[Gold_]

با سلام.
من در شبکه ای هستم که حدود 50 نود وجود داره که همگی با چندین سوییچ به هم متصل شده اند.
نکته ای که الان دردسر برامون درست کرده اینه که هر کسی در اتاق خودش کافیه یه کابل در پریز شبکه بزنه و به شبکه ما متصل بشه.
در صورتی که میخواهیم این مورد رو کنترل کنیم. و فقط دستگاههای که مک شون رو تعریف میکنیم اجازه حضور در شبکه رو داشته باشند.
موارد زیر هم مد نظر داشته باشید :
منظور از شبکه دقیقا شبکه هست و نه اینترنت.
ای پی ها روی dhcp نیست. اما کاربران حرفه ای هستند و با یه اسکن ساده رنج شبکه مارو بدست می اورند و وارد شبکه میشوند.
ممنون از راهنمایی دوستان.

---

موضوعات مشابه:

• دسترسی تعدادی کاربر به تعدادی سایت بر روی بستر اینترانت توسط ادرس لیست
• محدود کردن دسترسی کاربران دومین فقط به سیستمی که یوزر بر روی آن تعریف شده
• مشکل در ایجاد نام کاربری برای استفاده بر روی تعدادی از سیستم های محدود بدون دسترسی به DC server
• تعریف Route برای دسترسی بین دو شبکه

---

[EVERAL]

سلام

من در شبکه ای هستم که حدود 50 نود وجود داره که همگی با چندین سوییچ به هم متصل شده اند.

اتصال توسط چندین Switch رو اصلاح کنید اینطور که عنوان کردید به صورت Cascade سوئیچ ها بهم متصل هستند.

نکته ای که الان دردسر برامون درست کرده اینه که هر کسی در اتاق خودش کافیه یه کابل در پریز شبکه بزنه و به شبکه ما متصل بشه.
در صورتی که میخواهیم این مورد رو کنترل کنیم. و فقط دستگاههای که مک شون رو تعریف میکنیم اجازه حضور در شبکه رو داشته باشند.

توسط Port Secutity و Dot1x و نهایتاً Cisco ISE می‌تونید کنترل و مدیریت روی Switchها و کاربران شبکه داشته باشید و نیازتون رو مرتفع کنید.

[Gold_]

اتصال توسط چندین Switch رو اصلاح کنید اینطور که عنوان کردید به صورت Cascade سوئیچ ها بهم متصل هستند.

منظورتون رو متوجه نشدم. اگه ممکنه بیشتر توضیح بدید. در هر اتاق یه سیم شبکه رفته و با سوییچ به چنتا سیستم داره سرویس میده.

توسط Port Secutity و Dot1x و نهایتاً Cisco ISE می‌تونید کنترل و مدیریت روی Switchها و کاربران شبکه داشته باشید و نیازتون رو مرتفع کنید.

انم درست متوجه نشدم. ااگر منظورتو سیویچهای منیجیت هست، باید بگم که توانایی خرید این سوییچ ها رو نداریم.
امروز یکی از کاربران شبکه رو اسپوف کرده بود و ما 2 ساعت داشتیم دنبال متهم میگشتیم. بد وضعی شده

[EVERAL]

منظورتون رو متوجه نشدم. اگه ممکنه بیشتر توضیح بدید. در هر اتاق یه سیم شبکه رفته و با سوییچ به چنتا سیستم داره سرویس میده.

Switch ها اگر به صورت Cascade (آبشاری) بهم متصل باشند این وضعیت می تواند موجب کاهش ضریب دسترسی پذیری شود؛
پیشنهاد میشه Switch ها به صورت مستقیم با سوئیچ مرکزی ارتباط داشته باشند و اینکه از اتصال چندین Switch بهم تو لایه Access
جلوگیری شود.

منظورتون رو متوجه نشدم. اگه ممکنه بیشتر توضیح بدید. در هر اتاق یه سیم شبکه رفته و با سوییچ به چنتا سیستم داره سرویس میده.

شما رو سوئیچ های Access Layer می توانید Config و تمهیدات امنیتی را ایجاد کنید؛ با روش هایی که در پست قبل اشاره کردم:
1- Port Security (جهت محدودسازی دسترسی به پورت های Switch، چلوگیری از دسترسی غیرمجاز کاربران به شبکه، جلوگیری از لپ تاپ
و هر گونه BYOD به شبکه). برای تنظیمات با کابل Console به Switch های مورد نظر متصل شوید و به صورت زیر پیکربندی کنید (نمونه زیر به صورت
Sample هست جهت کسب اطلاعات تکمیلی google کنید)؛

Switch)# config t
Switch(config)# int fa0/18
Switch(config-if)# switchport port-security ?
aging Port-security aging commands
mac-address Secure mac address
maximum Max secure addresses
violation Security violation mode
Switch(config-if)# switchport port-security
Switch(config-if)#^Z

2- مدیریت دسترسی به شبکه با Dot1x:
Authentication لایه هفت بر مبنای لایه 2 است؛ که با استفاده از پروتکل های احراز هویت شامل:
1- EAP - MD5
2- EAP - FAST
3- LEAP
4- PEAPv0-MSCHAPv2
5- EAP - TLS
می توانید اقدامات مربوط به پیکربندی را با استفاده از 802.1X انجام بدید به طور مثال برای پیکربندی EAP - TLS مبتنی بر 802.1X
برروی اجزای Cisco IBNS اقدامات زیر را باید انجام دهید:
1- پیکربندی سوئیچ به عنوان تایید کننده که نرم افزار IOS استفاده می کند و پیکربندی سرور RADIUS
2- نصب گواهی شناسایی و گواهینامه CA در کلیه سرویس گیرنده ها
3- نصب گواهی شناسایی و گواهینامه CA در سرور ACS
4- پیکربندی سرور ACS برای پشتیبانی از EAP-TLS
5- پیکربندی پروفایل دسترسی به شبکه برای پشتیبانی از EAP - TLS برروی درخواست کننده MS Winsows Native 802.1x
6- پیکربندی سوئیچ به منظور پشتیبانی از 802.1x

Identity Service Engine یا Cisco ISE:
به طور کلی سرویس کنترل دسترسی و احراز هویت Cisco است که می توانید برای کنترل دسترسی های کاربران به شبکه و همچنین
مدیریت دسترسی به تجهیزات زیرساختی مبتنی بر اهداف زیر در شبکه پیاده سازی کنید:
1- کنترل دسترسی به شبکه برای کاربران بومی و پیمانکاران جهت دسترسی به شبکه داخلی سازمان
2- ایجاد بستری جهت مدیریت و نظارت یکپارچه دسترسی به تجهیزات زیرساختی سازمان از جمله Switch های مستقر در شبکه سازمان.
جهت پیکربندی ISE:
1- نصب و پیکربندی اولیه نرم افزار Cisco ISE (پیشنهاد می کنم به صورت Failover پیاده سازی کنید مثلاً روی دو ماشین مجازی).
2- ایجاد ارتباط بین سرور Cisco ISE و سرویس Directory سازمان بمنطور احرازهویت یکپارچه از طریق دامنه Active Directory
3- پیکربندی Switch های مستقر در سازمان
4- پیکربندی سناریوی دسترسی کاربران سازمانی و مهمان (mab - 802.1x) و ...