[Tout à propos des commutateurs] Exemple de connexion de téléphones IP à des commutateurs via l'authentification NAC et le VLAN voix

Dernière réponse ag. 05, 2019 13:10:16 128 1 2 1

Exemple de connexion de téléphones IP à des commutateurs via l'authentification NAC et le VLAN voix

Vue d'ensemble

Les services de données, voix et vidéo sont souvent transmis simultanément sur un réseau. La perte et le retard de paquets affectent gravement la qualité de la communication vocale, qui nécessite une priorité de transmission supérieure à celle des services de données ou vidéo. Les données vocales doivent recevoir une préférence de transmission lorsque la bande passante est limitée. Un VLAN voix est utilisé pour transmettre des flux de données vocales. Vous pouvez configurer un VLAN voix sur le commutateur afin que les flux de voix soient transmis dans le VLAN voix. La qualité de service peut être configurée dans le VLAN voix afin que les flux vocaux soient transmis de manière préférentielle en cas d'encombrement.

L'authentification NAC contrôle l'accès aux utilisateurs et fournit une garantie de sécurité de bout en bout.

Notes de configuration

Cet exemple s’applique à toutes les versions de tous les commutateurs de la série S.

Exigences de mise en réseau

Dans la figure 1-1, le commutateur se connecte à des téléphones IP et à un PC et transmet les paquets vocaux et de données dans le VLAN 200 et le VLAN 100 respectivement. Les téléphones IP A et PC A se connectent au commutateur en mode intégré et le téléphone IP B se connecte au commutateur. Les téléphones IP prennent en charge 802.1x et obtiennent des informations de VLAN voix sur le commutateur via LLDP. Les flux de données vocales doivent être transmis avec une priorité élevée pour garantir la qualité des appels VoIP demandée par les utilisateurs.


Figure 1-1 Connexion des téléphones IP aux commutateurs via l'authentification NAC et le VLAN voix

20170624150318680001.png


Configuration Roadmap

La configuration roadmap est la suivante:

  1. Créez des VLAN sur le commutateur et ajoutez des interfaces à ces derniers pour implémenter la connectivité de couche 2. Configurez le VLAN 200 en tant que VLAN voix et le VLAN 100 en tant que VLAN de données et VLAN par défaut de GE1/0/1.

  2. Configurez la fonction VLAN voix.

  3. Activez le protocole LLDP pour que les téléphones IP puissent obtenir des informations sur le VLAN vocal via le protocole LLDP.

  4. Configurez l'authentification 802.1x et AAA.

  5. Configurez le serveur RADIUS, par exemple, les noms d'utilisateur et les mots de passe des PC et des téléphones IP. (Si l'authentification n'est pas requise, ignorez cette étape.)


20170624150319993002.jpg

  • Cet exemple utilise Avaya 9620 en tant que téléphone IP et Cisco Secure ACS en tant que serveur RADIUS.

  • Lorsque le délai du téléphone IP Avaya expire, il est possible que le téléphone IP ne soit pas connecté. La valeur de VLAN TEST sur le téléphone IP doit être définie sur 0, ce qui indique que la minuterie ne va pas expirer. Modifiez la valeur de la minuterie VLAN TEST du téléphone IP: Appuyez sur la touche étoile (*) et entrez le mot de passe pour accéder au menu. Sélectionnez VLAN TEST et définissez la valeur par défaut sur 0.

  • Assurez-vous que l'adresse du serveur RADIUS et la clé partagée du modèle de serveur RADIUS sont identiques aux paramètres du serveur RADIUS.

  • La configuration de Switch1 est similaire à celle du commutateur.


Procédure

Étape 1 Configurez les VLAN et les interfaces sur le commutateur.

#Créer des VLAN.

<HUAWEI> system-view 

[HUAWEI] sysname Switch 

[Switch] vlan batch 100 200 

# Définissez le PVID et le VLAN autorisés par GE1/0/1.

[Switch] interface gigabitethernet 1/0/1 

[Switch-GigabitEthernet1/0/1] port link-type hybrid 

[Switch-GigabitEthernet1/0/1] port hybrid pvid vlan 100 

[Switch-GigabitEthernet1/0/1] port hybrid untagged vlan 100 

[Switch-GigabitEthernet1/0/1] quit


Étape 2 Configurez le VLAN voix et le OUI. La configuration de GE1 / 0/2 est similaire à celle de GE1/0/1.

[Switch] voice-vlan mac-address 0004-0D00-0000 mask ffff-ff00-0000   //It refers to the IP phone's MAC address corresponding to the OUI. 

[Switch] interface gigabitethernet 1/0/1 

[Switch-GigabitEthernet1/0/1] voice-vlan 200 enable  //Configure voice VLAN 200. 

[Switch-GigabitEthernet1/0/1] port hybrid tagged vlan 200 

[Switch-GigabitEthernet1/0/1] voice-vlan remark-mode mac-address  //Configure the switch to identify voice packets in the voice VLAN based on MAC addresses of IP phones. 

[Switch-GigabitEthernet1/0/1] voice-vlan security enable  //Configure the secure mode. The interface discards packets of which the MAC addresses do not match the OUIs. 

[Switch-GigabitEthernet1/0/1] quit


Étape 3 Activer le protocole LLDP.

[Switch] lldp enable 


Étape 4  Configurez l'authentification 802.1x et AAA.

#Basculez le mode NAC en mode traditionnel

[Switch] undo authentication unified-mode 

[Switch] quit 

<Switch> save

Le système vous demande de sauvegarder la configuration sur le périphérique et de poursuivre l'opération. Entrez y.

# Redémarrez l'appareil.

<Switch> reboot

Le système affiche un message indiquant que le système va redémarrer et vous demande si vous souhaitez poursuivre l'opération. Entrez y.

20170624150319993002.jpg

Cette configuration est obligatoire pour V200R005C00 et les versions ultérieures. Une fois que le mode unifié est passé en mode traditionnel, redémarrez le périphérique pour que la configuration prenne effet.


# Activer l'authentification 802.1x.

<Switch> system-view 

[Switch] dot1x enable 

[Switch] interface gigabitethernet 1/0/1 

[Switch-GigabitEthernet1/0/1] dot1x enable 

[Switch-GigabitEthernet1/0/1] quit 

[Switch] interface gigabitethernet 1/0/2 

[Switch-GigabitEthernet1/0/2] dot1x enable 

[Switch-GigabitEthernet1/0/2] quit


# Configurez le modèle de serveur RADIUS.

[Switch] radius-server template cmn  //Create a RADIUS server template named cmn. 

[Switch-radius-cmn] radius-server authentication 10.136.6.132 1812  //Configure the IP address and port number of the RADIUS authentication server. 

[Switch-radius-cmn] radius-server accounting 10.136.6.132 1813  //Configure the IP address and port number of the RADIUS accounting server. 

[Switch-radius-cmn] quit


# Configurez AAA.

[Switch] aaa 

[Switch-aaa] authentication-scheme cmn  //Create an authentication scheme named cmn. 

[Switch-aaa-authen-cmn] authentication-mode radius  //Set the authentication mode to RADIUS. 

[Switch-aaa-authen-cmn] quit 

[Switch-aaa] accounting-scheme cmn  //Create accounting scheme named ancmn. 

[Switch-aaa-accounting-cmn] accounting-mode radius  //Set the accounting mode to RADIUS. 

[Switch-aaa-accounting-cmn] quit 

[Switch-aaa] domain default  //Configure the authentication and accounting schemes of the default domain and the RADIUS server. 

[Switch-aaa-domain-default] authentication-scheme cmn 

[Switch-aaa-domain-default] accounting-scheme cmn 

[Switch-aaa-domain-default] radius-server cmn 

[Switch-aaa-domain-default] quit 

[Switch-aaa] quit


Étape 5 Configurez le serveur RADIUS.

Lorsque les hôtes sont connectés à des téléphones IP en mode intégré, liez les noms d'utilisateur et les mots de passe des téléphones IP au VLAN voix sur le serveur RADIUS, comme illustré à la figure 1-2.

Figure 1-2 Mise en réseau du serveur RADIUS

20170624150320873003.png

V200R006 fournit l'optimisation suivante:

  • Dans les versions antérieures de V200R006, l'attribut VLAN voix (device-traffic-class = voice) est configuré sur le serveur RADIUS pour identifier le VLAN voix et authentifier les services vocaux, comme illustré à la figure 1-3.

  • Dans les versions V200R006 et ultérieure, l'attribut VLAN voix (classe de trafic de périphérique = voix) n'a pas besoin d'être configuré. La commande «voice-vlan X enable» est configurée sur le commutateur pour identifier le VLAN voix et authentifier les services vocaux.

    Figure 1-3 Configuration de l'attribut VLAN voix (device-traffic-class = voice) sur le serveur RADIUS

    20170624150321470004.png


  • Dans les versions antérieures de V200R006, les services de données et les services vocaux d'un VLAN sur une interface peuvent être authentifiés simultanément. Dans les versions V200R006 et supérieures, l'authentification est effectuée une à la fois.


Étape 6 Vérifiez la configuration. 

Les téléphones IP peuvent aller en ligne et mettre en œuvre une communication vocale. 

Les PC peuvent aller en ligne. 

--Fin--


Fichiers de configuration

Fichier de configuration du switch


sysname Switch 

voice-vlan mac-address 0004-0d00-0000 mask ffff-ff00-0000 

vlan batch 100 200 

undo authentication unified-mode 

dot1x enable 

lldp enable 

radius-server template cmn                      
 radius-server authentication 10.136.6.132 1812 weight 80 
 radius-server accounting 10.136.6.132 1813 weight 80 
#   
aaa            
 authentication-scheme cmn                      
  authentication-mode radius                    
 accounting-scheme cmn                          
  accounting-mode radius                        
 domain default                                 
  authentication-scheme cmn                     
  accounting-scheme cmn                         
  radius-server cmn    

interface GigabitEthernet1/0/1 
 port link-type hybrid 
 voice-vlan 200 enable 
 voice-vlan remark-mode mac-address 
 voice-vlan security enable 
 port hybrid pvid vlan 100      
 port hybrid tagged vlan 200 
 port hybrid untagged vlan 100     
 dot1x enable  

interface GigabitEthernet1/0/2 
 port link-type hybrid 
 voice-vlan 200 enable 
 voice-vlan remark-mode mac-address 
 voice-vlan security enable 
 port hybrid tagged vlan 200 
 dot1x enable  

return

  • x
  • Standard:

eslam_koo
publié il y a 2019-8-5 13:10:16 Utile(0) Utile(0)
utile
  • x
  • Standard:

Responder

envoyer
Connectez-vous pour répondre. Se connecter | Enregistrer

Remarque Remarque : Afin de protéger vos droits et intérêts légitimes, ceux de la communauté et des tiers, ne divulguez aucun contenu qui pourrait présenter des risques juridiques pour toutes les parties. Le contenu interdit comprend, sans toutefois s'y limiter, le contenu politiquement sensible, le contenu lié à la pornographie, aux jeux d'argent, à l'abus et au trafic de drogues, le contenu qui peut divulguer ou enfreindre la propriété intellectuelle d'autrui, y compris les secrets professionnels, les marques commerciales, les droits d'auteur et les brevets, ainsi que la vie privée personnelle. Ne partagez pas votre nom d'utilisateur ou votre mot de passe avec d'autres personnes. Toutes les opérations effectuées à partir de votre compte seront considérées comme vos propres actions, et toutes les conséquences en découlant vous seront imputées. Pour plus de détails, voir « Politique de confidentialité ».
Si le bouton de la pièce-jointe n'est pas disponible, mettez à jour Adobe Flash Player à la dernière version.
Connectez-vous pour participer à la communication et au partage

Connectez-vous pour participer à la communication et au partage

S'identifier