{"id":42118,"date":"2019-03-18T00:00:00","date_gmt":"2019-03-17T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad"},"modified":"2020-02-18T13:44:55","modified_gmt":"2020-02-18T10:44:55","slug":"nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad","title":{"rendered":"Im Februar fand an der Stanford Universit\u00e4t eine Konferenz zum Thema Hochleistungsrechnen (HPC) statt.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Im
\nLassen Sie uns in der Praxis die Verwendung von Windows Active Directory + NPS (2 Server zur Sicherstellung der Ausfallsicherheit) + dem Standard 802.1x zur Zugriffskontrolle und Authentifizierung von Benutzern \u2013 Dom\u00e4nencomputern \u2013 Ger\u00e4ten betrachten. Die Theorie zu diesem Standard finden Sie in Wikipedia unter folgendem Link: IEEE 802.1X<\/a><\/noindex><\/p>\n

Da mein \u201cLabor\u201d in Bezug auf Ressourcen begrenzt ist, kombiniere ich die Rollen von NPS und Dom\u00e4nencontroller, aber ich empfehle Ihnen, solche kritischen Dienste dennoch zu trennen.<\/p>\n

Standardm\u00e4\u00dfige Methoden zur Synchronisierung von Konfigurationen (Richtlinien) von Windows NPS sind mir nicht bekannt, daher verwenden wir PowerShell-Skripte, die vom Aufgabenplanungstool ausgef\u00fchrt werden (der Autor ist mein ehemaliger Kollege). F\u00fcr die Authentifizierung von Dom\u00e4nencomputern und von Ger\u00e4ten, die nicht in der Lage sind, 802.1x<\/b> (Telefone, Drucker usw.), wird eine Gruppenrichtlinie eingerichtet und Sicherheitsgruppen erstellt.<\/p>\n

Am Ende des Artikels werde ich einige Feinheiten der Arbeit mit 802.1x erl\u00e4utern \u2013 wie man unmanaged Switches, dynamische ACLs usw. nutzen kann. Ich werde Informationen \u00fcber entdeckte \u201eFehler\u201c teilen\u2026
\n<\/a><\/noindex>
\nBeginnen wir mit der Installation und Konfiguration von failover NPS auf Windows Server 2012R2 (bei 2016 ist es \u00e4hnlich): \u00fcber den Server-Manager -> Den Assistenten zum Hinzuf\u00fcgen von Rollen und Funktionen w\u00e4hlen wir nur den Network Policy Server aus.<\/p>\n

\"Im
\n
\noder mithilfe von PowerShell:<\/p>\n

Install-WindowsFeature NPAS -IncludeManagementTools<\/code><\/pre>\n
<\/p>\n
Eine kleine Klarstellung \u2013 da f\u00fcr Protected EAP (PEAP)<\/b> Sie unbedingt ein Zertifikat ben\u00f6tigen, das die Authentizit\u00e4t des Servers (mit den entsprechenden Rechten zur Nutzung) best\u00e4tigt und das auf den vertrauensw\u00fcrdigen Computern der Clients installiert sein wird, m\u00fcssen Sie wahrscheinlich auch die Rolle Zertifizierungsstelle<\/b>einrichten. Aber wir gehen davon aus, dass CA<\/b> bereits installiert ist\u2026<\/p><\/blockquote>\n
 Das Gleiche machen wir auch auf dem zweiten Server. Wir erstellen einen Ordner f\u00fcr das Skript C:Scripts auf beiden Servern und einen Netzwerkordner auf dem zweiten Server SRV2NPS-config$<\/b><\/p>\n
Auf dem ersten Server erstellen wir ein PowerShell-Skript C:ScriptsExport-NPS-config.ps1<\/i> mit folgendem Inhalt:<\/p>\n
Export-NpsConfiguration -Path \"SRV2NPS-config$NPS.xml\"<\/code><\/pre>\n
\nDanach richten wir einen Task im Task Scheduler ein: \u201cExport-NpsConfiguration<\/i>\u201d<\/p>\n
powershell -executionpolicy unrestricted -f \"C:ScriptsExport-NPS-config.ps1\"<\/code><\/pre>\n
\nF\u00fcr alle Benutzer ausf\u00fchren \u2013 Mit h\u00f6chsten Rechten ausf\u00fchren
\nT\u00e4glich \u2013 Aufgabe alle 10 Minuten \u00fcber 8 Stunden wiederholen.<\/i><\/p>\n
Auf dem redundanten NPS richten wir den Import der Konfiguration (Richtlinien) ein:
\nwir erstellen ein PowerShell-Skript:<\/p>\n
echo Import-NpsConfiguration -Path \"c:NPS-configNPS.xml\" >> C:ScriptsImport-NPS-config.ps1<\/code><\/pre>\n
\nund eine Aufgabe f\u00fcr die Ausf\u00fchrung alle 10 Minuten:<\/p>\n
powershell -executionpolicy unrestricted -f \"C:ScriptsImport-NPS-config.ps1\"<\/code><\/pre>\n
\nF\u00fcr alle Benutzer ausf\u00fchren \u2013 Mit h\u00f6chsten Rechten ausf\u00fchren
\nT\u00e4glich \u2013 Aufgabe alle 10 Minuten \u00fcber 8 Stunden wiederholen.<\/i><\/p>\n
Jetzt f\u00fcgen wir zur \u00dcberpr\u00fcfung in NPS auf einem der Server(!) ein paar Switches als RADIUS-Clients (IP und Shared Secret) hinzu, zwei Verbindungsrichtlinien: WIRED-Connect<\/b> (Bedingung: \"NAS-Porttyp \u2013 Ethernet\") und WiFi-Enterprise<\/b> (Bedingung: \"NAS-Porttyp \u2013 IEEE 802.11\"), sowie die Netzwerkrichtlinie Access Cisco Network Devices<\/i><\/b> (Network Admins):<\/p>\n
Bedingungen:\nWindows-Gruppen - domainsg-network-admins\nEinschr\u00e4nkungen:\nAuthentifizierungsmethoden - Authentifizierung im Klartext (PAP, SPAP)\nParameter:\nRADIUS-Attribute: Standard - Service-Type - Anmeldung\nAnbieterabh\u00e4ngige - Cisco-AV-Paar - Cisco - shell:priv-lvl=15<\/code><\/pre>\n
Die Einstellungen auf der Seite der Switches sind wie folgt:<\/b><\/p>\n
aaa new-model\naaa local authentication attempts max-fail 5\n!\n!\naaa group server radius NPS\n server-private 192.168.38.151 auth-port 1812 acct-port 1813 key %shared_secret%\n server-private 192.168.10.151 auth-port 1812 acct-port 1813 key %shared_secret%\n!\naaa authentication login default group NPS local\naaa authentication dot1x default group NPS\naaa authorization console\naaa authorization exec default group NPS local if-authenticated\naaa authorization network default group NPS\n!\naaa session-id common\n!\nidentity profile default\n!\ndot1x system-auth-control\n!\n!\nline vty 0 4\n exec-timeout 5 0\n transport input ssh\n escape-character 99\nline vty 5 15\n exec-timeout 5 0\n logging synchronous\n transport input ssh\n escape-character 99<\/code><\/pre>\n
Nach der Konfiguration sollten nach 10 Minuten alle Clients, Richtlinien und Parameter auch auf dem Backup-NPS erscheinen, und wir sollten uns mit einem Active Directory-Konto, das Mitglied der Gruppe domainsg-network-admins ist (die wir im Voraus erstellt haben), an den Switches anmelden k\u00f6nnen.<\/p>\n
Gehen wir zur Konfiguration von Active Directory \u00fcber \u2013 wir erstellen Gruppen- und Passwortrichtlinien, und richten die notwendigen Gruppen ein.<\/p>\n
Gruppenrichtlinie Computers-8021x-Settings<\/b><\/i>:<\/p>\n
<\/p>\n
Computer-Konfiguration (Aktiviert)\n   Richtlinien\n     Windows-Einstellungen\n        Sicherheitseinstellungen\n          Systemdienste\n     Wired AutoConfig (Startmodus: Automatisch)\nVerdrahtete Netzwerkrichtlinien (802.3)<\/code><\/pre>\n
<\/b>
\nNPS-802-1x<\/b><\/p>\n
Name\tNPS-802-1x\nBeschreibung\t802.1x\nGlobale Einstellungen\nEINSTELLUNG\tWERT\nWindows verdrahtete LAN-Dienste f\u00fcr Clients verwenden\tAktiviert\nGeteilte Benutzeranmeldeinformationen f\u00fcr die Netzwerkauthentifizierung\tAktiviert\nNetzwerkprofil\nSicherheitseinstellungen\nVerwendung der IEEE 802.1X-Authentifizierung f\u00fcr den Netzwerkzugang aktivieren\tAktiviert\nVerwendung der IEEE 802.1X-Authentifizierung f\u00fcr den Netzwerkzugang erzwingen\tDeaktiviert\nIEEE 802.1X-Einstellungen\nComputer-Authentifizierung\tNur Computer\nMaximale Authentifizierungsfehler\t10\nMaximale gesendete EAPOL-Startnachrichten\t \nHaltedauer (Sekunden)\t \nStartdauer (Sekunden)\t \nAuthentifizierungsdauer (Sekunden)\t \nEigenschaften der Netzwerk-Authentifizierungsmethoden\nAuthentifizierungsmethode\tGesch\u00fctzte EAP (PEAP)\nServerzertifikat validieren\tAktiviert\nVerbindung zu diesen Servern\t \nBenutzer nicht auffordern, neue Server oder vertrauensw\u00fcrdige Zertifizierungsstellen zu autorisieren\tDeaktiviert\nSchnelles Wiederverbinden aktivieren\tAktiviert\nTrennen, wenn der Server kein Cryptobinding-TLV pr\u00e4sentiert\tDeaktiviert\nNetzwerkzugangsschutz erzwingen\tDeaktiviert\nKonfiguration der Authentifizierungsmethode\nAuthentifizierungsmethode\tGesichertes Passwort (EAP-MSCHAP v2)\nAutomatisch meinen Windows-Anmeldenamen und mein Passwort (und die Domain, falls vorhanden) verwenden\tAktiviert<\/code><\/pre>\n
\"Im
\n
\nLassen Sie uns eine Sicherheitsgruppe erstellen sg-computers-8021x-vl100<\/i><\/b>, wohin wir die Computer hinzuf\u00fcgen, die wir im VLAN 100 verteilen m\u00f6chten, und wir richten die Filterung f\u00fcr die zuvor erstellte Gruppenrichtlinie f\u00fcr diese Gruppe ein:<\/p>\n
\"Im
\n
\nUm sicherzustellen, dass die Richtlinie erfolgreich angewendet wurde, \u00f6ffnen Sie \"Zentrum f\u00fcr Netzwerke und Freigaben (Netzwerk- und Interneteinstellungen) \u2013 Adaptereinstellungen \u00e4ndern (Adaptereinstellungen konfigurieren) \u2013 Eigenschaften des Adapters\", wo wir die Registerkarte \"Authentifizierung\" sehen k\u00f6nnen:<\/p>\n
\"Im
\n
\nWenn wir unsergestellt haben, dass die Richtlinie erfolgreich angewendet wird, k\u00f6nnen wir zur Konfiguration der Netzwerkpolitik auf NPS und zu den Ports des Zugangsswitches \u00fcbergehen.<\/p>\n
Wir erstellen eine Netzwerkpolitik neag-computers-8021x-vl100<\/i><\/b>:<\/p>\n
Bedingungen:\n  Windows-Gruppen - sg-computers-8021x-vl100\n  NAS-Porttyp - Ethernet\nEinschr\u00e4nkungen:\n  Authentifizierungsmethoden - Microsoft: Gesch\u00fctzte EAP (PEAP) - Unverschl\u00fcsselte Authentifizierung (PAP, SPAP)\n  NAS-Porttyp - Ethernet\nEinstellungen:\n  Standard:\n   Framed-MTU 1344\n   TunnelMediumType 802 (beinhaltet alle 802-Medien plus Ethernet-Standardformat)\n   TunnelPrivateGroupId  100\n   TunnelType  Virtuelle LANs (VLAN)<\/code><\/pre>\n
\n\"Im
\n
\nStandardkonfigurationen f\u00fcr den Switchport (ich weise darauf hin, dass der Authentifizierungstyp \"Multidomain\" - Daten & Sprach verwendet wird, und es gibt auch die M\u00f6glichkeit, sich nach MAC-Adresse zu authentifizieren. In der \u00dcbergangszeit macht es Sinn, die folgenden Parameter zu verwenden:<\/p>\n
\nauthentication event fail action authorize vlan 100\nauthentication event no-response action authorize vlan 100\n<\/code><\/pre>\n
\ndas VLAN-ID ist nicht \"quarant\u00e4ne\", sondern das gleiche, in das der Benutzercomputer erfolgreich authentifiziert werden soll \u2013 bis wir sicher sind, dass alles richtig funktioniert. Diese Parameter k\u00f6nnen auch in anderen Szenarien verwendet werden, z. B. wenn an diesen Port ein unverwalteter Switch angeschlossen ist und Sie m\u00f6chten, dass alle Ger\u00e4te, die darin angeschlossen sind und nicht authentifiziert sind, in ein bestimmtes VLAN (\"Quarant\u00e4ne\") gelangen.<\/p>\n
Einstellungen des Switchports im Modus 802.1x host-mode multi-domain<\/b><\/p>\n
default int range Gi1\/0\/39-41\nint range Gi1\/0\/39-41\nshu\ndes PC-IPhone_802.1x\nswitchport mode access\nswitchport nonegotiate\nswitchport voice vlan 55\nswitchport port-security maximum 2\nauthentication event fail action authorize vlan 100\nauthentication event no-response action authorize vlan 100\nauthentication host-mode multi-domain\nauthentication port-control auto\nauthentication violation restrict\nmab\ndot1x pae authenticator\ndot1x timeout quiet-period 15\ndot1x timeout tx-period 3\nstorm-control broadcast level pps 100\nstorm-control multicast level pps 110\nno vtp\nlldp receive\nlldp transmit\nspanning-tree portfast\nno shu\nexit<\/code><\/pre>\n
Um sicherzustellen, dass der Computer\/Telefon erfolgreich authentifiziert wurde, k\u00f6nnen Sie den Befehl verwenden:<\/p>\n
sh authentication sessions int Gi1\/0\/39 det<\/code><\/pre>\n
\nJetzt erstellen wir eine Gruppe (zum Beispiel, sg-fgpp-mab<\/i> ) in Active Directory f\u00fcr Telefone und f\u00fcgen ein Ger\u00e4t zu Testzwecken hinzu (in meinem Fall ist das Grandstream GXP2160<\/i><\/b> mit der MAC-Adresse 000b.82ba.a7b1<\/b> und dem entsprechenden Benutzerkonto domain 00b82baa7b1<\/b>). <\/p>\n
F\u00fcr die erstellte Gruppe senken wir die Anforderungen der Passwort-Richtlinie (unter Verwendung von Fine-Grained Password Policies<\/a><\/noindex> \u00fcber das Active Directory Administrative Center -> domain -> System -> Passwort-Einstellungen-Container) mit folgenden Parametern Password-Settings-for-MAB<\/i><\/b>:<\/p>\n
\"Im
\n
\nsomit erlauben wir die Verwendung der MAC-Adresse von Ger\u00e4ten als Passw\u00f6rter. Danach k\u00f6nnen wir eine Netzwerkrichtlinie f\u00fcr die 802.1x-Autentifizierungsmethode mab erstellen, die wir neag-devices-8021x-voice nennen. Die Parameter sind wie folgt:<\/p>\n