Настройка ААА для подключений к D-Link DES-38xx и Windows RADIUS (NPS)

Ситуация:
Пользователи входящие в определенную доменную группу в Active Directory
должны иметь возможность входить на коммутаторы D-Link DES-38xx (Firmware 4.50B12) используя свои учетные записи из Active Directory по SSH, при этом Telnet/Web доступ должен быть отключен, а консольный доступ на устройство должен позволять входить на устройство используя запасную (резервную) учетную запись из базы данных самого коммутатора.

Конфигурация коммутатора:

# ACCESS_AUTHENTICATION_CONTROL

create authen server_host <NPS IP> protocol radius port 1812 key "<RADIUS Password>" timeout 5 retransmit 2
config authen server_group radius delete server_host <NPS IP> protocol radius
config authen server_group radius add server_host <NPS IP> protocol radius

config authen_login default method local
create authen_login method_list_name rad_ext
config authen_login method_list_name rad_ext method radius local

config authen_enable default method local_enable

config authen application console login default
config authen application console enable default

config authen application telnet login default
config authen application telnet enable default

config authen application ssh login method_list_name rad_ext
config authen application ssh enable default

config authen application http login default
config authen application http enable default

config authen parameter response_timeout 30
config authen parameter attempt 3

config authen enable_admin all state enable

enable authen_policy

config accounting type exec state disable
config accounting type system state disable

Эти настройки позволяют при правильных настройках на Windows NPS входить в режиме обычного пользователя (operator mode), для получения административного доступа

в консоли нужно из пользовательского режима переключаться в административный режим:

enable admin

В данной модели коммутатора список ААА для режима enable admin поддерживается только локальный (default), данный пароль хранится в локальной базе данных коммутатора, в связи с чем _до всего_ этого нужно не забыть сконфигурировать пароль для переключения из пользовательского режима в административный режим:

config admin local_password

Конфигурация cетевой политике на Windows RADIUS (NPS):

Памятка по настройке VLAN и LAG с LACP на D-Link DGS-3100

Данный коммутатор является L2 коммутатором, SVI доступны только для того Management VLAN.

Настройка VLAN:

DGS-3100# sh conf running include vlan
create vlan MGMT tag 59
create vlan voice tag 90
config vlan MGMT add tagged ch1
config vlan voice add tagged ch1
config ipif System ipaddress 172.17.17.19/24 vlan MGMT
config voice_vlan oui-table add 0001e3 description siemens_phone___________
config voice_vlan oui-table add 00036b description Cisco_phone_____________
config voice_vlan oui-table add 00096e description Avaya_phone_____________
config voice_vlan oui-table add 000fe2 description Huawei-3COM_phone_______
config voice_vlan oui-table add 0060b9 description nec-philips_phone_______
config voice_vlan oui-table add 00d01e description pingtel_phone___________
config voice_vlan oui-table add 00e075 description veritel_phone___________
config voice_vlan oui-table add 00e0bb description 3Com_phone______________

Настройка LAG c LACP:

DGS-3100# sh conf running include link_aggregation
create link_aggregation group_id 1 type lacp

config link_aggregation group_id 1 ports 1:(23-24)

Стоит запомнить, что в операционной системе данного коммутатора сначала создаются виртуальные интерфейсы LAG (в терминологии D-Link - Channel Group), затем к ним подключаются необходимые порты, а уже затем данные Channel Group включаются в нужные VLAN в tagged/untagged в зависимости от потребности.

Если порты до включения в Channel Group висели в каком либо VLAN, то коммутатор не дает включить их в Channel Group по причине членства в VLAN, т.е порты должны быть untagged в Default VLAN (VLAN ID 1), коммутатор ругается на это таким вот образом:

DGS-3100# config link_aggregation group_id 1 ports 1:23-24 state enable

It is not allowed to configure member ports which belong to VLANs

Fail.