Toegangsbeperking en authenticatie (AD/VLAN)
-
Hallo!
Binnen een virtuele omgeving met twee pfSense routers (via een Site-to-Site OpenVPN connectie verbonden) wil ik:
-
Vaste servers en vaste workstations beide toevoegen aan een eigen VLAN binnen pfSense.
-
De connectie met de Active Directory server voor workstations kunnen behouden zodra deze in VLAN's zijn opgesplitst.
-
Verschillende gebruikersgroepen binnen het AD toegang tot verschillende servers geven. Sommige servers dienen benaderd te kunnen worden door meerdere groepen.
-
Daarbij ook gebruikers op laptops (die geen lid zijn van het AD domein) laten authenticeren met een gebruikersnaam en wachtwoord, en op basis hiervan laten indelen in het juiste VLAN. Ook moeten de juiste server restricties worden gegeven die horen bij de groep waar de gebruiker lid van is. Hierbij moet Network Port Security worden ingezet, maar hoe weet ik nog niet.
Een uitgebreid beschreven handleiding is niet persé waar ik om vraag. Ik zit alleen vast en ben op zoek naar een zetje in de juiste richting. Ik heb nu even geen idee waar ik op moet zoeken en niets dat ik heb gevonden voldoet aan deze punten. Een nuttig zoekwoord of functie per punt zou bijvoorbeeld ook al heel fijn zijn.
-
-
Iets meer uitleg, voor als het nodig is:
We zijn een testnetwerk aan het bouwen voor een bedrijf.
Het bedrijf heeft twee locaties, welke verbonden zijn middels een Site-to-Site OpenVPN verbinding. Binnen de locaties zijn ook werkplekken aanwezig waar medewerkers hun eigen laptops kunnen aansluiten. We zijn van plan drie VLAN's te maken: voor de servers, de bedrijfsworkstations en de werkplekken voor laptops.
Er zitten vier servers in het netwerk en verschillende afdelingen die allemaal moeten kunnen verbinden met hun eigen servers. Om het moeilijker te maken zijn er ook servers aanwezig waar meerdere afdelingen toegang toe nodig hebben. De servers en workstations zijn allemaal lid van een Active Directory domainserver, en we kunnen VLAN/server toegang daar waarschijnlijk in regelen. De laptops die medewerkers meenemen van huis zijn niet verbonden met het domein. Op deze laptops moeten gebruikers zichzelf authenticeren met behulp van een AD gebruikersnaam en wachtwoord, waarna de gebruiker vervolgens wordt ingedeeld in het juiste VLAN en toegang krijgt tot de juiste servers die horen bij zijn afdeling.
Wat we ook niet weten is hoe we de connectie behouden met de AD server nadat we de servers en clients in aparte VLAN's hebben opgedeeld, maar we denken dat dit moet kunnen door binnen de router te routeren zoals bij normale netwerken.
We hebben al een virtuele omgeving draaien met twee pfSense routers die zijn verbonden via een Site-to-Site VPN en een Windows 2016 Domaincontroller met alle clients en servers toegevoegd aan het domein.
We proberen iets te leren, maar we zouden een beetje hulp wel fijn vinden. Bedankt!
-
AD heeft enkel dns nodig om te functioneren.
google eens 802.1x
je moet maw je switchen configureren om na authentication in de juist vlan te komen.