+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Назначение VLAN с помощью RADIUS и dot1x на CRS328

Назначение VLAN с помощью RADIUS и dot1x на CRS328, RouterOS

adas2001

Guest

01.08.2023 07:51:00

Привет! Я настроил подключение через radius к серверу Packetfence, который назначает устройствам, подключенным к коммутатору, определённый VLAN. Мне нужна только проводная схема. Я использую DOT1X. Хочу понять, как правильно настроить VLAN, чтобы порт, назначенный radius, автоматически попадал в нужный VLAN. Чтобы порт всегда назначался в правильный VLAN, независимо от того, к какому порту подключено устройство. По сути, моя идея такова: я подключаю устройство к любому порту, коммутатор получает от Packetfence через radius VLAN, который должен быть назначен устройству, и коммутатор устанавливает этот порт в нужный VLAN. Кто-нибудь может помочь, пожалуйста?

Michiganbroadband Guest	#2 0 06.06.2025 22:15:00 Конечно, просто загуглите. Вот и всё.

loloski Guest	#3 0 06.06.2025 23:28:00 https://citraweb.com/artikel_lihat.php?id=446 с аутентификацией по имени пользователя и паролю https://mikrotik.co.id/artikel/447/ с аутентификацией по MAC-адресу Просто используйте переводчик

CGGXANNX

Guest

07.06.2025 06:35:00

У OP есть внешнее устройство, выполняющее роль RADIUS-сервера (PacketFence), поэтому инструкции с User Manager особо не помогут, да ещё и не касаются проблемы с VLAN. OP, тебе нужно сделать следующее на CRS328 с RouterOS 7.

На PacketFence добавь IP-адрес CRS328 и общий секрет в конфигурацию RADIUS.
На CRS328 перейди в меню RADIUS и добавь запись с IP-адресом устройства PacketFence и тем же общим секретом. Галочка dot1x должна быть включена.
/radius add address=10.20.30.40 secret=****************** service=dot1x
/radius incoming set accept=yes

CRS328 должен быть настроен с одним единственным мостом, включающим все порты, с vlan-filtering=yes. Аплинк-порт, соединяющий свитч с машиной PacketFence, нужно настроить как транковый порт, который пропускает все VLAN, которые ты хочешь использовать (записи добавляешь в /interface bridge vlan).

Порты, на которых хочешь использовать DOT1X, настрой как access-порты моста, просто выставив frame-types=admit-only-untagged-and-priority-tagged для них в /interface bridge port. Значение PVID тут неважно — можно оставить по умолчанию или поставить любой фиктивный VLAN ID (любой ID, который не используется в твоих VLAN, это для защиты на случай, если записи в таблице Dot1X будут случайно удалены или отключены). Не добавляй эти порты в таблицу /interface bridge vlan совсем! Добавь записи по этим портам в Dot1X → Server.

Например, чтобы настроить аутентификацию пользователей с fallback VLAN для гостей/неавторизованных:
/interface dot1x server
add interface=ether5 guest-vlan-id=60 interim-update=30m reject-vlan-id=60 retrans-timeout=10s server-fail-vlan-id=60
add interface=ether8 guest-vlan-id=15 interim-update=30m reject-vlan-id=15 retrans-timeout=10s server-fail-vlan-id=15

Если хочешь использовать аутентификацию по MAC, тогда включай mac-auth, но учти — гостевой VLAN тогда уже нельзя будет указать.

loloski

Guest

07.06.2025 07:25:00

Что ты имеешь в виду под проблемой с VLAN? В любом случае, это руководство легко адаптируется под любой RADIUS-сервер, который он или она захотят использовать, важные моменты о том, как его развернуть, там были четко изложены.

CGGXANNX Guest	#6 0 07.06.2025 07:44:00 Твоя первая ссылка недоступна для меня (таймаут), а во второй вообще нет настроек, связанных с VLAN.

loloski Guest	#7 0 07.06.2025 08:32:00

loloski Guest	#8 0 07.06.2025 08:42:00 более сложная лабораторная работа с конфигурацией на основе той ссылки radius.rsc (2.18 KB) SW.rsc (1.76 KB) CLIENT1.rsc (1.04 KB)

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры