Правила, которые указываются в списке ACL, формируются в соответствии с правилами, определенными производителем оборудования. На это нет единого стандарта. WNAM 2 не проверят синтаксис правил, они передаются в Сетевое устройство (коммутатор) "как есть", построчно. Если окажется, что правило не соответствует формату, приемлемому для устройство, то оно либо будет проигнорировано, либо весь ACL не будет применен, либо авторизация доступа целиком будет отклонена. Это зависит от вендора оборудования, и находится вне контроля WNAM 2.

Внимание. Для вендора типа Cisco стоит ограничение в 18000 символов. Для остальных вендоров — 3500 символов. Этот лимит вызван ограничением на максимальный размер RADIUS-пакета (4096 байт) согласно RFC 2865.

Посмотрите примеры настройки правил для каждого из поддерживаемых вендоров:


Huawei

Атрибут: HW-Data-Filter

Документация:  https://support.huawei.com/enterprise/en/doc/EDOC1100213104/35071f9a/radius-aaa


Eltex

Атрибут: Eltex-Data-Filter

Документация:  https://eltex-co.ru/upload/iblock/ecb/ii1djbu5blzu70n8kimvennynyxy7rfj/MES_Series_user_manual_4.0.21.5.pdf


H3C

Атрибут: H3C-Av-Pair

Документация:  https://www.h3c.com/en/d_202309/1922517_294551_0.htm


HPE/Aruba

Атрибут: NAS-Filter-Rule (рекомендуется использовать вместо легаси HP-Nas-Filter-Rule)

Документация: https://arubanetworking.hpe.com/techdocs/AOS-S/16.11/ASG/WC/content/common%20files/nas-fil-rul-opt.htm


Cisco

Атрибут: Cisco-AVPair=ACS:CiscoSecure-Defined-ACL=#ACSACL#-IP-ИмяСпискаДоступа

Документация: https://www.cisco.com/c/en/us/support/docs/security/identity-services-engine/212419-configure-per-user-dynamic-access-contro.html

https://www.cisco.com/c/en/us/support/docs/ip/access-lists/26448-ACLsamples.html

В этом режиме в ответе авторизации передаётся только имя dACL, но не его содержимое.

Если коммутатор определяет, что такого dACL в памяти нет, он его запрашивает последующим RADIUS PAP запросом. В ответе WNAM 2 в атрибутах типа Cisco-AVPair=ip:inacl# отправляются строки правила.


  • No labels