На устаревших платформах IP-телефонов очень часто процесс аутентификации занимает больше времени, чем на современных. Для того, чтобы устаревшие модели IP-телефонов Avaya успешно проходили процесс аутентификации, выполните следующие действия:

Шаг 1. Подключитесь коммутатору по SSH и выберите порт, который используется для подключения IP-телефона.

Шаг 2. Установите таймаут повторной реаутентификации равный 30 секундам с помощью следующей команды:

dot1x timeout reauth-period 30

Шаг 3. Установите период игнорирования EAP-сообщений после неуспешной аутентификации равный 15 секундам с помощью следующей команды:

dot1x timeout quiet-period 15

Шаг 4. Установите таймер повторного запроса аутентификации равный 15 секундам с помощью следующей команды:

dot1x timeout tx-period 15

После этого реаутентификация IP-телефонов будет выполняться корректно.

Функционал событий безопасности позволяет сконфигурировать их так, чтобы они корректно срабатывали на АРМ, которые находятся под управлением сразу нескольких операционных систем.

Для того, чтобы сконфигурировать события безопасности, выполните следующие действия:

Шаг 1. Перейдите в раздел Конфигурация → Соответствие → События безопасности и нажмите Новое событие безопасности.

Шаг 2. Заполните основные поля (Идентификатор, Описание, Приоритет и Список разрешенных/игнорируемых ролей) и нажмите Добавить триггер.

Шаг 3. В столбце Профилирование нажмите Добавить условие, выберите тип Устройство и укажите значение для этого параметра. Затем, добавьте все необходимые вам дополнительные условия.

Шаг 4. Нажмите на иконку + справа от таблицы, чтобы добавить еще один набор условий, который проверяться с оператором OR (ИЛИ).

Шаг 5. В столбце Профилирование нажмите Добавить условие, выберите тип Устройство и укажите новое значение для этого параметра. Затем, добавьте все необходимые вам дополнительные условия.

Шаг 6. Настройте действия, которые необходимо выполнить при срабатывании события безопасности, таймеры срабатывания и нажмите Создать.

После этого события безопасности будут срабатывать для обеих операционных систем на устройстве.

В данной статье рассматривается процесс конвертации названий интерфейсов сетевых портов в уникальные форматы для удобства идентификации и управления. 

Конвертация интерфейса сетевого порта

Название интерфейса сетевого порта может быть конвертировано в идентификатор порта в формате [Идентификатор типа порта][Номер порта]. Для того, чтобы произвести конвертацию, необходимо выполнить следующие действия:

Шаг 1. Определите тип порта для преобразования его в первую часть идентификатора порта, согласно следующей таблице:

Шаг 2. Определите номер порта. Например, для порта GigabitEthernet1/0/10, номер порта будет 10.

Примеры конвертации

1. GigabitEthernet8/0/40:

   • Тип порта: GigabitEthernet
   • Идентификатор: 570
   • Номер порта: 8/0/40
   • Результат: 57040

2. FastEthernet1/0/5:

   • Тип порта: FastEthernet
   • Идентификатор: 650
   • Номер порта: 1/0/5
   • Результат: 6505

3. TenGigabitEthernet2/1/10:

   • Тип порта: TenGigabitEthernet
   • Идентификатор: 730
   • Номер порта: 2/1/10
   • Результат: 73010

4. Ethernet3/2/15:

   • Тип порта: Ethernet
   • Идентификатор: 830
   • Номер порта: 3/2/15
   • Результат: 83015

Данные примеры актуальны для коммутаторов Cisco и могут отличаться для другого оборудования. Для того, чтобы определить точный идентификатор порта, перейдите в раздел Аудит → Журналы аудита RADIUS → Выбранное вами сетевое устройство → Информация о сетевом устройстве. Интересующий вас идентификатор порта будет указан в строке IfIndex.

Для подключения устройства к сети, управляемой AxelNAC необходимо выпустить сертификат пользователя, в субъекте которого должен быть указан атрибут Common name (CN).

После того как сертификат был выпущен выполните следующие действия:

Шаг 1. Разделите контейнер сертификата с расширением .pfx на отдельные файлы: сертификат с расширением .cer и ключ сертификата с расширением .key, используя следующие команды:

openssl pkcs12 -in *имя_сертификата*.pfx -clcerts -nokeys -out *имя_сертификата*.cer
openssl pkcs12 -in *имя_сертификата*.pfx -nocerts -out *имя_ключа*.key

Шаг 2. Перейдите в веб-интерфейсе AxelNAC в раздел Конфигурация → RADIUS → Основное.

Шаг 3. Активируйте параметр Аутентификация компьютера с RADIUS со вводом имени пользователя.

Шаг 4. В поле Атрибуты имени пользователя установите атрибут User-Name первым в списке.

Шаг 5. Нажмите Сохранить и перезапустите службу radius-auth.

Шаг 6. На машине под управлением ОС Astra Linux запустите утилиту Network Manager и выберите сеть, управляемую AxelNAC.

Шаг 7. При настройке подключения, в поле Подлинность укажите имя пользователя (CN) для подключения и нажмите Подключиться.

В контексте системы контроля доступа к сети (например, RADIUS или подобных систем) параметр NasPortToIfindex определяет, как преобразовать Nas-Port (идентификатор порта на сетевом устройстве, полученный в radius-запросе) в ifIndex (индекс интерфейса для использования в SNMP). Данный шаблон нужен для нормализации номера порта перед использованием в системе. Данной функцией можно воспользоваться, если в вашем сетевом оборудовании Nas-Port можно привести к ifIndex, удаляя или модифицируя префикс/суффикс. Преобразование необходимо использовать, когда для механизмов СОА или другого функционала продукта используется SNMP, значение ifIndex в котором содержит лишние значения.

Данный параметр заполняется в формате $nasPort, "500", "101",где:

• $nasPort —  исходное значение порта, полученное от NAS (Network Access Server);
• "500" и "101" — значения, которые необходимо игнорировать при формировании ifindex.

Пример работы такого шаблона: