# UniFi Giriş Nöqtələri ilə RADIUS NPS Serverində istifadəçi adından asılı olaraq VLAN-ların avtomatik təyin edilməsi

# WPA2 Enterprise texnoloqiyanın təyinatı və müsbət cəhətləri

<span lang="AZ-LATIN" style="mso-ansi-language: AZ-LATIN;">Müasir dövrdə korporativ ofislər WiFi şəbəkəsinin təhlükəsizliyini artırmaq üçün WPA2 Enterprise texnologiyasından istifadə edirlər. </span>Bu üsül, WiFi şəbəkəsinə vahid şifrə ilə yox, RADIUS Server vasitəsi ilə, WiFi-dan AD domain istifadəçi şifrəsini tələb edir. Belə ki <span style="mso-spacerun: yes;"> </span>WPA2 Enterprise bir çox üstünlüklər verir:

**Təhlükəsizlik**: WPA2 Enterprise, WPA2 Personal ilə müqayisədə daha yüksək səviyyədə təhlükəsizlik təmin edir. O, daha təhlükəsiz identifikasiya metodundan (məsələn, 802.1X/EAP) istifadə edir ki, bu da istifadəçilərdən WPA2 Personal-da istifadə olunan əvvəlcədən paylaşılan açar (PSK) əvəzinə istifadəçi adı və parol və ya digər etimadnaməsi ilə autentifikasiya etməyi tələb edir.

**İstifadəçi İdarəetmə**: WPA2 Enterprise RADIUS (Remote Authentication Dial-In User Service) serveri vasitəsilə mərkəzləşdirilmiş istifadəçi idarəetməsinə imkan verir. Bu, şəbəkə inzibatçıların şəbəkəyə girişi idarə etmək və nəzarət etmək, o cümlədən istifadəçiləri və cihazları əlavə etmək və silmək üçün asanlaşdırır.

**Audit və Giriş**: WPA2 Enterprise daha yaxşı audit və qeyd imkanları təmin edir, şəbəkə administratorlarına şəbəkəyə girişi daha effektiv şəkildə izləməyə imkan verir. Bu təhlükəsizlik <span style="mso-spacerun: yes;"> </span><span style="mso-spacerun: yes;"> </span>məqsədləri üçün vacib ola bilər.

# Daxili WiFi .şəbəkəsinin dizaynı

**Buna nail olmaq üçün iki üsül var:**

1. Siz bunu daxili şəbəkədə müxtəlif çoxsaylı SSID yaratmaqla nail ola bilərsiniz. Bu zaman hər bir SSID müvafiq VLAN-a təyin olunmalıdır. Bu ən asan üsüldür, mənfi (şəxsən mənə görə) cəhəti odur ki, tələblərdən asılı olaraq, sizdə 10-12 SSID ola. Bu da, şəxsən mənə görə, istifadəçilərə çətinlik yaradacaq və onlar sizə daim “Mən hansı vayfaya qoşulmalıyam” sualla müraciət edəcəklər
2. Siz daxili şəbəkədə 1 dənə SSID yaradlrslz və ona qoşulan istifadəçidən asılı olaraq onu müvafiq VLAN-a təyin edirisniz. Texniki olaraq bu üsüla “dynamic VLAN assignment” deyilir. Bu cür siz yalnız bir SSID vasitəsi ilə tək NPS serverindən istifadə etməklə müxtəlif VLAN-ları idarə edə bilərsiniz. Bu təlimatda biz məhz bu metodu araşdıracağıq.

# Şəbəkə avadanlıqların konfiqurasiyası

İlk oncə sizin svitçə qoşulu olan hır giriş nöqtələri (Access Point) sazlanmalıdır. Biz öz ofisinizdə Cisco Catalyst svitçlərdən istifadə etdiyindən burada məhz cisco svitç konfigurasiyasını təqdim edirik.

`interface GigabitEthernet3/0/26`  
` description UniFi_AP_UniFiAPName`  
` switchport trunk encapsulation dot1q`  
` switchport trunk native vlan 30`  
` switchport trunk allowed vlan 25,26,30-32`  
` switchport mode trunk`

Burada VLAN-ların təyinatımı təqdim edirik

**VLAN25** – Helpdesklər üçün nəzərə tutulub. Bu VLAN -da məhdudiyyətlər çövcuddur və IT infrastrukturunda yer alan bəzi server və şəbəkə avadanlıqlara giriş imkanları verir. Alacaqları IP ünvan: 192.168.25.0/24

**VLAN26** – Adminlər üçün nəzərə tutulub. Bütün infrastruktura məhdudiyyətsiz giriş imkanı verir. Alacaqları IP ünvan: 192.168.26.240/26.

<p class="callout danger"><span style="color: rgb(224, 62, 45);">Real dünyada bunu eləmək məsləhət deyil. İri dövlət qurumlarda, iri şirkətlərdə və strateji əhəmiyyətli obyektlərdə WıFİ vasitəsi ilə heç bir haıda server və şəbəkə avadanlırlara giriş olmamalıdır. Eləsəz, məncə, ən yaxşı halda işdən çıxarılacaqsımız. Bunu biz burda sədəcə test məqsədi ilə göstəririk.</span></p>

**VLAN31** – İstofadəçilər üçün nəzərdə tutulub və burada istoifadəçi səviyyəsində server infrastrukturuna icazələr mövcuddur. Misal üçün: 1C Server icazə verilən portlar – tcp/1540, tcp/1541 və tcp/1560-1591

[![NPS-RAUİS-SCHEME.jpg](http://techblog.dadashov.com.az/uploads/images/gallery/2024-03/scaled-1680-/nps-rauis-scheme.jpg)](http://techblog.dadashov.com.az/uploads/images/gallery/2024-03/nps-rauis-scheme.jpg)

# Giriş nöqtələri kontrollerin sazlanması

Bizdə infrastrukturda Ubiquiti UniFi WiFI Controller istifadə olunduğundan, bütün işlər məhz bu softun üzərində aparılacaq. Amma onu demək lazimdır ki, digər giriş nöqtələri kontrollerlərdədə eyni (istər Cisco, Rukus, Huawei və s.) sazlamaları etmək mümkündür. Ən azından bu UniFi-da varsa, başqa giriş nöqtələri kontrollerlərdədə bu olmalıdır!

Konfiqurasiya zamanı, kontrollerə RADİUS serveri əlavə etdikdə <span style="color: rgb(0, 0, 0);">**RADIUS Assigned VLAN Support**</span> bölməsində <span style="color: rgb(0, 0, 0);">**Wireless Networks**</span> bölməsini aktivləşdirin.

[![RSSO-Config-Ttoal.jpg](http://techblog.dadashov.com.az/uploads/images/gallery/2024-03/scaled-1680-/x6a7ZAL6K2oHhoCW-rsso-config-ttoal.jpg)](http://techblog.dadashov.com.az/uploads/images/gallery/2024-03/x6a7ZAL6K2oHhoCW-rsso-config-ttoal.jpg)

Əmin olun ki bütün lazımı VLAN-ları əlavə etmisiniz

Bizim konfiqurasiyada 4 ədəd VLAN istofadə olunur.

<table border="1" id="bkmrk-ad-vlan-id-t%C9%99svir-ss" style="border-collapse: collapse; width: 100%;"><colgroup><col style="width: 33.3333%;"></col><col style="width: 33.3333%;"></col><col style="width: 33.3333%;"></col></colgroup><tbody><tr><td>AD</td><td>VLAN ID</td><td>Təsvir</td></tr><tr><td>SSID\_Internal</td><td>31</td><td>Sadə istofadəçilər üçün nəzərdə tutlub harda ki

- server şəbəkəsinə məhdud icazələr mövcuddur
- icazələr yalnız ancaq lazım olan tcp və udp protlar vasitəsi il verilib
- Application Control aktivləşdirilib

</td></tr><tr><td>SSID\_Guest</td><td>32</td><td>Hamı üçün nəzərdə tutlan WiFI şəbəkə. Bu VLAN-dan daxili şəbəkəyə heç bir icazə mövcu deyildir.</td></tr><tr><td>IT\_Support</td><td>25</td><td>Helpdesk-lər üçün nəzərdə tutlmuş WiFI şəbəkə hardan texniki qrup seçilmiş server və şəbəkə avadanlıqlarına giriş icazələri verilib</td></tr><tr><td>AdminNetwork</td><td>26</td><td>Əsas admin VLAN və burada bütün infrastruktur əlçatandır.</td></tr></tbody></table>

[![WirelessNetworks.jpg](http://techblog.dadashov.com.az/uploads/images/gallery/2024-03/scaled-1680-/plkOavdw1EM1IxeD-wirelessnetworks.jpg)](http://techblog.dadashov.com.az/uploads/images/gallery/2024-03/plkOavdw1EM1IxeD-wirelessnetworks.jpg)

SSID əlavə edin, istədiyiniz kimi adlandırın və əsas məsələ əmin olun ki

- **Network** bölməsində <span style="color: rgb(186, 55, 42);">**Defaulr Network**</span> seçilib
- **Security Protocol** bölməsində <span style="color: rgb(186, 55, 42);">**WPA2 Enterprise**</span> seçilib
- **RADIUS Profile** bölməsində daha öncəki addımda yaratdığınız radius profaylı seçin. Bizim misalda bu <span style="color: rgb(186, 55, 42);">**RSSO**</span>-dur

[![SSID.png](http://techblog.dadashov.com.az/uploads/images/gallery/2024-03/scaled-1680-/zwiLdfTqwdIjRzrP-ssid.png)](http://techblog.dadashov.com.az/uploads/images/gallery/2024-03/zwiLdfTqwdIjRzrP-ssid.png)

# NPS Serverin sazlanması