{"id":42118,"date":"2019-03-18T00:00:00","date_gmt":"2019-03-17T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad"},"modified":"2020-02-18T13:44:55","modified_gmt":"2020-02-18T10:44:55","slug":"nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad","title":{"rendered":"Ops\u00e6tning af 802.1X p\u00e5 Cisco-switches med fejltolerant NPS (Windows RADIUS med AD)","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Ops\u00e6tning
\nLad os se p\u00e5 praktisk brug af Windows Active Directory + NPS (2 servere for at sikre h\u00f8j tilg\u00e6ngelighed) + standard 802.1x til kontrol af adgang og autentificering af brugere \u2013 dom\u00e6necomputere \u2013 enheder. Du kan finde teorien om standarden p\u00e5 Wikipedia, via linket: IEEE 802.1X<\/a><\/noindex><\/p>\n

Da mit \u2018laboratorium\u2019 er begr\u00e6nset i ressourcer, kombinerer jeg rollerne NPS og dom\u00e6necontroller, men jeg anbefaler, at du adskiller s\u00e5danne kritiske tjenester.<\/p>\n

Jeg kender ikke de standardmetoder til synkronisering af konfigurationer (politikker) for Windows NPS, s\u00e5 vi vil bruge PowerShell-scripts, der k\u00f8res af opgaveplanl\u00e6ggeren (forfatteren er min tidligere kollega). For autentificering af dom\u00e6necomputere og for enheder, der ikke kan h\u00e5ndtere 802.1x<\/b> (telefoner, printere osv.), vil der blive konfigureret gruppepolitik og oprettet sikkerhedsgrupper.<\/p>\n

Mod slutningen af artiklen vil jeg fort\u00e6lle om nogle nuancer ved arbejde med 802.1x \u2013 hvordan man kan bruge unmanaged switches, dynamic ACL osv. Jeg vil dele information om indfangede 'bugs'...
\n<\/a><\/noindex>
\nLad os starte med installation og konfiguration af failover NPS p\u00e5 Windows Server 2012R2 (p\u00e5 2016 er alt det samme): gennem Server Manager -> Add Roles and Features Wizard v\u00e6lger vi kun Network Policy Server.<\/p>\n

\"Ops\u00e6tning
\n
\neller ved hj\u00e6lp af PowerShell:<\/p>\n

Install-WindowsFeature NPAS -IncludeManagementTools<\/code><\/pre>\n
<\/p>\n
En lille afklaring \u2013 da du Protected EAP (PEAP)<\/b> fordi du bestemt vil have brug for et certifikat, der bekr\u00e6fter serverens \u00e6gthed (med de relevante rettigheder), som vil v\u00e6re i de betroede p\u00e5 klientcomputere, s\u00e5 skal du sandsynligvis ogs\u00e5 installere rollen Certification Authority<\/b>. Men lad os antage, at CA<\/b> du allerede har installeret\u2026<\/p><\/blockquote>\n
 Vi g\u00f8r det samme p\u00e5 den anden server. Vi opretter en mappe til scriptet C:Scripts p\u00e5 begge servere og en delt mappe p\u00e5 den anden server SRV2NPS-config$<\/b><\/p>\n
P\u00e5 den f\u00f8rste server opretter vi et PowerShell-script C:ScriptsExport-NPS-config.ps1<\/i> med f\u00f8lgende indhold:<\/p>\n
Export-NpsConfiguration -Path \"SRV2NPS-config$NPS.xml\"<\/code><\/pre>\n
\nDerefter konfigurerer vi en opgave i Task Scheduler: \u201cExport-NpsConfiguration<\/i>\u201d<\/p>\n
powershell -executionpolicy unrestricted -f \"C:ScriptsExport-NPS-config.ps1\"<\/code><\/pre>\n
\nUdf\u00f8r for alle brugere \u2014 Udf\u00f8r med de h\u00f8jeste rettigheder
\nDagligt \u2014 Gentag opgaven hver 10. minut i 8 timer.<\/i><\/p>\n
P\u00e5 den backup NPS konfigurerer vi import af konfiguration (politikker):
\nvi opretter et PowerShell-script:<\/p>\n
echo Import-NpsConfiguration -Path \"c:NPS-configNPS.xml\" >> C:ScriptsImport-NPS-config.ps1<\/code><\/pre>\n
\nog en opgave til at k\u00f8re det hver 10. minut:<\/p>\n
powershell -executionpolicy unrestricted -f \"C:ScriptsImport-NPS-config.ps1\"<\/code><\/pre>\n
\nUdf\u00f8r for alle brugere \u2014 Udf\u00f8r med de h\u00f8jeste rettigheder
\nDagligt \u2014 Gentag opgaven hver 10. minut i 8 timer.<\/i><\/p>\n
Nu skal vi for at teste tilf\u00f8je et par switches i NPS p\u00e5 en af serverne(!) som RADIUS-klienter (IP og Shared Secret), to politikker for forbindelse: WIRED-Connect<\/b> (Betingelse: \u201cNAS-porttype \u2013 Ethernet\u201d) og WiFi-Enterprise<\/b> (Betingelse: \u201cNAS-porttype \u2013 IEEE 802.11\u201d), samt netv\u00e6rkspolitikken Access Cisco Network Devices<\/i><\/b> (Netv\u00e6rksadministratorer):<\/p>\n
Betingelser:\nWindows-grupper - domainsg-network-admins\nBegr\u00e6nsninger:\nAuthentificeringsmetoder - \u00c5ben tekstvalidcheck (PAP, SPAP)\nParametre:\nRADIUS-attributter: Standard - Service-Type - Login\nLeverand\u00f8rspecifikke - Cisco-AV-Pair - Cisco - shell:priv-lvl=15<\/code><\/pre>\n
Fra switches er f\u00f8lgende indstillinger:<\/b><\/p>\n
aaa new-model\naaa local authentication attempts max-fail 5\n!\n!\naaa group server radius NPS\n server-private 192.168.38.151 auth-port 1812 acct-port 1813 key %shared_secret%\n server-private 192.168.10.151 auth-port 1812 acct-port 1813 key %shared_secret%\n!\naaa authentication login default group NPS local\naaa authentication dot1x default group NPS\naaa authorization console\naaa authorization exec default group NPS local if-authenticated\naaa authorization network default group NPS\n!\naaa session-id common\n!\nidentity profile default\n!\ndot1x system-auth-control\n!\n!\nline vty 0 4\n exec-timeout 5 0\n transport input ssh\n escape-character 99\nline vty 5 15\n exec-timeout 5 0\n logging synchronous\n transport input ssh\n escape-character 99<\/code><\/pre>\n
Efter konfigurationen, efter 10 minutter, skal alle klienter, politikker og parametre vises p\u00e5 den backup NPS, og vi vil kunne logge ind p\u00e5 switches med en Active Directory-konto, der er medlem af gruppen domainsg-network-admins (som vi har oprettet p\u00e5 forh\u00e5nd).<\/p>\n
Lad os g\u00e5 videre til konfigurationen af Active Directory \u2013 vi opretter gruppe- og adgangskodepolitikker, samt n\u00f8dvendige grupper.<\/p>\n
Gruppepolitik Computers-8021x-Settings<\/b><\/i>:<\/p>\n
<\/p>\n
Computerkonfiguration (Aktiveret)\n   Politikker\n     Windows-indstillinger\n        Sikkerhedsindstillinger\n          Systemtjenester\n     Wired AutoConfig (Startmetode: Automatisk)\nWired-netv\u00e6rket (802.3) Politikker<\/code><\/pre>\n
<\/b>
\nNPS-802-1x<\/b><\/p>\n
Navn\tNPS-802-1x\nBeskrivelse\t802.1x\nGlobale indstillinger\nINDSTILLING\tV\u00c6RDI\nBrug Windows kabelgebundne LAN-netv\u00e6rkstjenester til klienter\tAktiveret\nDelte brugerlegitimationsoplysninger til netv\u00e6rksgodkendelse\tAktiveret\nNetv\u00e6rksprofil\nSikkerhedsindstillinger\nAktiver brug af IEEE 802.1X godkendelse for netv\u00e6rksadgang\tAktiveret\nH\u00e6vd brug af IEEE 802.1X godkendelse for netv\u00e6rksadgang\tDeaktiveret\nIEEE 802.1X-indstillinger\nComputer-godkendelse\tKun computer\nMaksimale godkendelsesfejl\t10\nMaksimale EAPOL-Start-beskeder sendt\t \nHold-periode (sekunder)\t \nStart-periode (sekunder)\t \nGodkendelsesperiode (sekunder)\t \nNetv\u00e6rksgodkendelsesmetodeegenskaber\nGodkendelsesmetode\tBeskyttet EAP (PEAP)\nValider servercertifikat\tAktiveret\nForbind til disse servere\t \nBed ikke brugeren om at godkende nye servere eller betroede certifikationsmyndigheder\tDeaktiveret\nAktiver hurtig genopkobling\tAktiveret\nAfbryd, hvis serveren ikke pr\u00e6senterer cryptobinding TLV\tDeaktiveret\nH\u00e6v netv\u00e6rksadgangsbeskyttelse\tDeaktiveret\nGodkendelsesmetodekonfiguration\nGodkendelsesmetode\tSikret adgangskode (EAP-MSCHAP v2)\nBrug automatisk mit Windows-login navn og adgangskode (og dom\u00e6ne hvis nogen)\tAktiveret<\/code><\/pre>\n
\"Ops\u00e6tning
\n
\nLad os oprette en sikkerhedsgruppe sg-computers-8021x-vl100<\/i><\/b>, hvor vi vil tilf\u00f8je computere, som vi \u00f8nsker at distribuere i VLAN 100, og vi indstiller filtrering for den tidligere oprettede gruppepolitik for denne gruppe:<\/p>\n
\"Ops\u00e6tning
\n
\nFor at sikre, at politikken er blevet anvendt korrekt, kan man \u00e5bne \u201cNetv\u00e6rks- og delingscenter (Netv\u00e6rks- og internetindstillinger) \u2013 \u00c6ndre adapterindstillinger (Konfigurere adapterindstillinger) \u2013 Adapteregenskaber\u201d, hvor vi kan se fanen \u201cAutentificering\u201d:<\/p>\n
\"Ops\u00e6tning
\n
\nN\u00e5r vi har bekr\u00e6ftet, at politikken anvendes korrekt, kan vi g\u00e5 videre til at konfigurere netv\u00e6rkspolitikken p\u00e5 NPS og porte p\u00e5 adgangsskifteren.<\/p>\n
Lad os oprette en netv\u00e6rkspolitik neag-computers-8021x-vl100<\/i><\/b>:<\/p>\n
Betingelser:\n  Windows-grupper - sg-computers-8021x-vl100\n  NAS-porttype - Ethernet\nBegr\u00e6nsninger:\n  Autentificeringsmetoder - Microsoft: Protected EAP (PEAP) - Uenkrypteret autentifikation (PAP, SPAP)\n  NAS-porttype - Ethernet\nIndstillinger:\n  Standard:\n   Framed-MTU 1344\n   TunnelMediumType 802 (inkluderer alt 802-medie samt Ethernet canonical format)\n   TunnelPrivateGroupId 100\n   TunnelType Virtuelle LAN (VLAN)<\/code><\/pre>\n
\n\"Ops\u00e6tning
\n
\nTypiske indstillinger for porten p\u00e5 skifteren (jeg vil p\u00e5pege, at autentificeringstypen \u201cmultidomain\u201d - Data & Voice anvendes, og der er ogs\u00e5 mulighed for autentificering via MAC-adresse. I den \u201covergangsperiode\u201d giver det mening at bruge i parametrene:<\/p>\n
\nauthentication event fail action authorize vlan 100\nauthentication event no-response action authorize vlan 100\n<\/code><\/pre>\n
\nVLAN-id\u2019et er ikke \u201cquarantine\u201d, men det samme, som brugersystemet skal tilg\u00e5 ved succesfuld autentifikation \u2013 indtil vi bekr\u00e6fter, at alt fungerer korrekt. De samme parametre kan ogs\u00e5 bruges i andre scenarier, for eksempel n\u00e5r der tilsluttes en ikke-administreret skifter til denne port, og du vil have, at alle enheder tilsluttet den, som ikke har gennemg\u00e5et autentifikation, skal placeres i et bestemt VLAN (\u201cquarantine\u201d).<\/p>\n
indstillinger for skifterport i 802.1x tilstand host-mode multi-domain<\/b><\/p>\n
default int range Gi1\/0\/39-41\nint range Gi1\/0\/39-41\nshu\ndes PC-IPhone_802.1x\nswitchport mode access\nswitchport nonegotiate\nswitchport voice vlan 55\nswitchport port-security maximum 2\nauthentication event fail action authorize vlan 100\nauthentication event no-response action authorize vlan 100\nauthentication host-mode multi-domain\nauthentication port-control auto\nauthentication violation restrict\nmab\ndot1x pae authenticator\ndot1x timeout quiet-period 15\ndot1x timeout tx-period 3\nstorm-control broadcast level pps 100\nstorm-control multicast level pps 110\nno vtp\nlldp receive\nlldp transmit\nspanning-tree portfast\nno shu\nexit<\/code><\/pre>\n
For at bekr\u00e6fte, at computeren\/telefonen er blevet autentificeret korrekt, kan man bruge kommandoen:<\/p>\n
sh authentication sessions int Gi1\/0\/39 det<\/code><\/pre>\n
\nLad os nu oprette en gruppe (f.eks., sg-fgpp-mab<\/i> ) i Active Directory for telefoner, og lad os tilf\u00f8je \u00e9n enhed til tests (i mit tilf\u00e6lde er det Grandstream GXP2160<\/i><\/b> med MAC-adressen 000b.82ba.a7b1<\/b> og den tilsvarende konto domain 00b82baa7b1<\/b>). <\/p>\n
For den oprettede gruppe s\u00e6nker vi kravene til politik for adgangskoder (ved hj\u00e6lp af Fine-Grained Password Policies<\/a><\/noindex> gennem Active Directory Administrative Center -> domain -> System -> Password Settings Container) med f\u00f8lgende parametre Password-Settings-for-MAB<\/i><\/b>:<\/p>\n
\"Ops\u00e6tning
\n
\nhvorved vi tillader at bruge MAC-adresserne p\u00e5 enhederne som adgangskoder. Derefter kan vi oprette en netv\u00e6rkspolitik til autentificering af 802.1x metode mab, som vi kalder neag-devices-8021x-voice. Parametrene er som f\u00f8lger:<\/p>\n