Перейти к основному содержимому

How-To Guide: настройка MAC ACL

Введение​

Цель​

Настроить фильтрацию клиентов по MAC-адресам на оборудовании SNR Wi-Fi AP с NWS 1.2.0: создать MAC ACL и применить его к нужной WLAN.

Аудитория​

Сетевые администраторы и инженеры, которые настраивают доступ к беспроводной сети.

Термины и определения​

MAC ACL (MAC Access Control List) — список MAC-адресов и шаблонов, по которому разрешается или запрещается подключение клиентов.

WLAN — политика беспроводной сети, к которой применяется MAC ACL. Имя политики может отличаться от транслируемого SSID.

Whitelist — режим, в котором к WLAN разрешено подключаться только клиентам с адресами из списка.

Blacklist — режим, в котором клиентам с адресами из списка подключение к WLAN запрещено. Остальные адреса не блокируются этим ACL.

Wildcard — шаблон для совпадения по началу MAC-адреса. Например, 02:00:01:* соответствует всем адресам, начинающимся с 02:00:01.

Обзор и важные замечания​

  • MAC ACL содержит адреса, а режим whitelist или blacklist выбирается при его применении к WLAN.
  • К одной WLAN применяется один MAC ACL. Один список можно использовать в нескольких WLAN с одинаковыми или разными режимами.
  • Изменение общего списка действует на все WLAN, которые его используют.
  • После применения изменений повторно проверяются уже подключённые клиенты. Если новый состав списка, режим или привязка запрещает клиенту доступ, он отключается.
  • В список нужно вносить MAC-адрес, используемый клиентом для конкретной Wi-Fi-сети. Если клиент сменит приватный MAC, запись со старым адресом перестанет соответствовать ему.
  • MAC ACL дополняет настройки безопасности WLAN: разрешённому клиенту по-прежнему необходимо пройти аутентификацию.

Подготовка​

  1. Подготовьте административный доступ к CLI контроллера. Если подключение выполняется через настраиваемую WLAN, предусмотрите другой способ доступа на случай отключения клиента.
  2. Выберите существующую WLAN, уже настроенную на нужных точках доступа. Порядок её создания описан в руководстве по настройке WLAN.
  3. Определите режим фильтрации и подготовьте адреса клиентов. Для whitelist заранее включите в список все устройства, которым нужен доступ.
  4. Посмотрите существующие списки и их привязки командой show mac acl.

Настройка MAC ACL​

Настройка через интерфейс командной строки​

Значения в круглых скобках заменяйте параметрами своей сети. Имена и MAC-адреса в примерах условные.

Создание списка​

  1. Откройте режим глобальной конфигурации:

    configure terminal

  2. Создайте MAC ACL или откройте существующий список:

    mac acl (имя списка)

  3. Добавьте адреса клиентов, выполняя команду для каждого адреса:

    mac (MAC-адрес)

    Для группы адресов можно указать шаблон:

    mac 02:00:01:*

    Символ * ставится только в конце после одного–пяти полных октетов. Он не может заменять часть октета или встречаться несколько раз. В режиме whitelist шаблон разрешает всю совпавшую группу, в режиме blacklist — запрещает её.

  4. Если запись добавлена ошибочно, удалите её в контексте списка:

    no mac (MAC-адрес или шаблон)

  5. Завершите настройку списка, примените и сохраните изменения:

    exit
    commit write

Пример списка из двух адресов:

configure terminal
mac acl Office_Devices
 mac 02:00:00:00:00:10
 mac 02:00:00:00:00:20
 exit
commit write

Создание списка само по себе не включает фильтрацию. Для этого его нужно применить к WLAN.

Применение списка к WLAN​

  1. Откройте режим глобальной конфигурации:

    configure terminal

  2. Выберите существующую WLAN:

    wlan (имя WLAN)

  3. Укажите имя списка и режим применения.

    Чтобы разрешить подключение только адресам из списка:

    use mac acl (имя списка) whitelist

    Чтобы запретить подключение адресам из списка:

    use mac acl (имя списка) blacklist

    Выберите одну из команд. Если WLAN уже использует другой MAC ACL, новая привязка заменит прежнюю.

  4. Выйдите из контекста WLAN, примените и сохраните изменения:

    exit
    commit write

Пример применения списка к WLAN Office в режиме whitelist:

configure terminal
wlan Office
 use mac acl Office_Devices whitelist
 exit
commit write

К Office смогут подключаться только клиенты с адресами из Office_Devices.

Этот же список можно применить к другой WLAN в режиме blacklist:

configure terminal
wlan Guest
 use mac acl Office_Devices blacklist
 exit
commit write

В этом примере адреса из Office_Devices разрешены в Office и запрещены в Guest. Обе WLAN должны быть созданы заранее.

Изменение настроек​

Для изменения состава откройте список командой mac acl (имя списка). Добавляйте записи через mac, удаляйте через no mac, затем выполните commit write.

Для смены режима откройте нужную WLAN и повторите use mac acl с новым режимом. После commit write доступ клиентов будет пересчитан по новым правилам.

Перед применением можно просмотреть подготовленную конфигурацию командой show context. Если настройки нужно применить без сохранения для следующей загрузки, используйте commit вместо commit write.

Отмена применения и удаление списка​

Чтобы отключить фильтрацию по MAC ACL для WLAN, снимите привязку в её контексте:

configure terminal
wlan Office
 no use mac acl
 exit
commit write

Список останется в конфигурации и продолжит действовать в других WLAN, к которым он привязан.

Перед удалением списка снимите все его привязки. Проверить их можно командой show mac acl. Затем удалите список в режиме глобальной конфигурации:

configure terminal
no mac acl Office_Devices
commit write

Если список ещё используется хотя бы одной WLAN, его удаление блокируется.

Настройка через веб-интерфейс​

Создание списка MAC ACL​

  1. Подключитесь к веб-интерфейсу контроллера. См. Быстрый старт.

  2. Откройте Настройка → MAC ACL и нажмите Новая политика.

    Новая политика

  3. Заполните поле Имя политики, например Office_Devices.

  4. Нажмите Добавить MAC-адрес → Адрес или маска. Введите MAC-адрес клиента или шаблон и нажмите Добавить.

    Пример добавления шаблона 02:00:01:*:

    Добавление маски MAC-адреса

  5. Добавьте остальные записи и проверьте состав списка. Для удаления ошибочно добавленной записи используется кнопка Удалить в её строке.

    В примере список содержит один полный адрес и один шаблон:

    Создание списка Office_Devices

  6. Нажмите Создать политику. Созданный список появится в настройках MAC ACL и станет доступен для выбора в WLAN.

    Создание ACL политики

На этом этапе список подготовлен в конфигурации. Его создание не включает фильтрацию: нужно задать привязку к WLAN и применить изменения.

Добавление подключённых клиентов​

Если клиент уже подключён к Wi-Fi, его MAC-адрес можно выбрать из списка текущих клиентов.

  1. Откройте нужную политику в Настройка → MAC ACL.

  2. Нажмите Добавить MAC-адрес → Текущие клиенты.

    Добавить клиента

  3. Разверните группу нужного SSID стрелкой слева от его названия. Отметьте флажками клиентов, которых нужно добавить. В таблице показаны имя устройства, MAC-адрес и точка доступа, к которой подключён клиент.

    Выбор подключённого клиента для добавления в MAC ACL

  4. Нажмите Добавить выбранные. MAC-адреса выбранных клиентов появятся в списке ACL.

  5. Проверьте список и нажмите Редактировать политику.

Выбор MAC ACL в WLAN​

  1. Откройте Настройка → WLAN.

    Настройка WLAN

  2. Нажмите имя нужной WLAN и перейдите на вкладку Безопасность.

  3. В блоке MAC ACL, в поле Политика, выберите созданный список.

    Применение политики ACL к WLAN

  4. Укажите режим:

    • Белый список — разрешить только адреса из списка; соответствует whitelist в CLI.
    • Чёрный список — запретить адреса из списка; соответствует blacklist в CLI.

    Выбор MAC ACL и режима в настройках WLAN

  5. Нажмите Сохранить WLAN.

Режим задаётся для выбранной WLAN. Если этот же список используется в другой WLAN, её режим настраивается отдельно.

Применение и сохранение конфигурации​

  1. Откройте Конфигурация в левом меню и проверьте подготовленные изменения. Применение затронет все изменения, показанные в этом разделе.

    Применение конфигурации

  2. Нажмите Сохранить конфигурацию.

  3. В окне подтверждения нажмите Сохранить. Изменения будут применены и сохранены как постоянная конфигурация.

    Подтверждение применения и сохранения конфигурации

Если настройки нужно применить без сохранения для следующей загрузки, используйте Применить изменения.

Изменение списка и отключение фильтрации​

Для изменения состава откройте список в Настройка → MAC ACL, добавьте или удалите записи и нажмите Редактировать политику. Затем примените изменения через Конфигурация.

Для отключения фильтрации откройте нужную WLAN, перейдите на вкладку Безопасность и выберите Не использовать политику в блоке MAC ACL. Нажмите Сохранить WLAN, затем примените и сохраните конфигурацию. Сам список и его привязки к другим WLAN сохранятся.

Проверка​

Посмотрите созданные списки и их применение:

show mac acl

Проверьте имя списка (NAME), число записей (ENTRIES), WLAN (USED BY WLAN) и режим (MODE). Один wildcard считается одной записью. Значение mixed означает, что список используется в разных WLAN с разными режимами; у списка без привязки в полях WLAN и режима отображается -.

Состав списков и настройки WLAN можно посмотреть в применённой конфигурации:

show running-config

Проверьте подключение клиента с адресом из списка и клиента с адресом вне списка. Результат должен соответствовать выбранному режиму. Оба клиента должны использовать правильные параметры аутентификации WLAN.

Для просмотра подключённых клиентов используйте:

show wireless client info wlan Office

Если результат отличается от ожидаемого, проверьте фактический MAC клиента, имя WLAN и выполнение commit. Удалённый из списка адрес может по-прежнему совпадать с оставшимся wildcard. При смене приватного MAC повторно сверьте адрес с записями ACL.

Справочная информация​

Последнее обновление