{"id":42118,"date":"2019-03-18T00:00:00","date_gmt":"2019-03-17T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad"},"modified":"2020-02-18T13:44:55","modified_gmt":"2020-02-18T10:44:55","slug":"nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad","title":{"rendered":"Einrichtung von 802.1X auf Cisco-Switches mit einem ausfallsicheren NPS (Windows RADIUS mit AD)","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Einrichtung
\nWir betrachten in der Praxis die Nutzung von Windows Active Directory + NPS (2 Server zur Sicherstellung der Ausfallsicherheit) + dem Standard 802.1x zur Zugangskontrolle und Authentifizierung von Benutzern \u2013 Dom\u00e4nencomputern \u2013 Ger\u00e4ten. Die Theorie zum Standard finden Sie auf Wikipedia unter folgendem Link: IEEE 802.1X<\/a><\/noindex><\/p>\n

Da mein 'Labor' ressourcenschonend ist, kombiniere ich die Rollen von NPS und Dom\u00e4nencontroller, jedoch empfehle ich Ihnen, solche kritischen Dienste zu trennen.<\/p>\n

Standardmethoden zur Synchronisation von Konfigurationen (Richtlinien) von Windows NPS sind mir nicht bekannt, daher verwenden wir PowerShell-Skripte, die vom Aufgabenplaner ausgef\u00fchrt werden (Autor ist mein ehemaliger Kollege). F\u00fcr die Authentifizierung von Dom\u00e4nencomputern und von Ger\u00e4ten, die nicht mit 802.1X umgehen k\u00f6nnen 802.1x<\/b> (Handys, Drucker usw.), wird eine Gruppenrichtlinie eingerichtet und Sicherheitsgruppen erstellt.<\/p>\n

Am Ende des Artikels erl\u00e4utere ich einige Feinheiten im Umgang mit 802.1x \u2013 wie man unmanaged Switches, dynamische ACLs usw. verwenden kann. Ich werde Informationen \u00fcber gefundene 'Bugs' teilen\u2026
\n<\/a><\/noindex>
\nLassen Sie uns mit der Installation und Konfiguration von Failover NPS auf Windows Server 2012R2 beginnen (bei 2016 ist alles \u00e4hnlich): \u00fcber den Server-Manager -> Assistent zum Hinzuf\u00fcgen von Rollen und Funktionen w\u00e4hlen wir nur den Network Policy Server aus.<\/p>\n

\"Einrichtung
\n
\noder \u00fcber PowerShell:<\/p>\n

Install-WindowsFeature NPAS -IncludeManagementTools<\/code><\/pre>\n
<\/p>\n
Eine kleine Anmerkung \u2013 da f\u00fcr Protected EAP (PEAP)<\/b> unbedingt ein Zertifikat erforderlich ist, das die Authentizit\u00e4t des Servers best\u00e4tigt (mit den entsprechenden Rechten zur Nutzung), das auf den vertrauensw\u00fcrdigen Client-Computern installiert sein muss, werden Sie wahrscheinlich auch die Rolle Certification Authority<\/b>installieren m\u00fcssen. Aber wir gehen davon aus, dass CA<\/b> bereits auf Ihrem System installiert ist\u2026<\/p><\/blockquote>\n
 Wir machen dasselbe auf dem zweiten Server. Erstellen Sie einen Ordner f\u00fcr das Skript C:Scripts auf beiden Servern und einen Freigabeordner auf dem zweiten Server SRV2NPS-config$<\/b><\/p>\n
Auf dem ersten Server erstellen wir ein PowerShell-Skript C:ScriptsExport-NPS-config.ps1<\/i> mit folgendem Inhalt:<\/p>\n
Export-NpsConfiguration -Path \"SRV2NPS-config$NPS.xml\"<\/code><\/pre>\n
\nDanach richten wir eine Aufgabe im Aufgabenplaner ein: \u201cExport-NpsConfiguration<\/i>\u201d<\/p>\n
powershell -executionpolicy unrestricted -f \"C:ScriptsExport-NPS-config.ps1\"<\/code><\/pre>\n
\nF\u00fcr alle Benutzer ausf\u00fchren \u2014 Mit h\u00f6chsten Rechten ausf\u00fchren
\nT\u00e4glich \u2014 Aufgabe alle 10 Minuten f\u00fcr 8 Stunden wiederholen.<\/i><\/p>\n
Auf dem Backup-NPS richten wir den Import der Konfiguration (Richtlinien) ein:
\nwir erstellen ein PowerShell-Skript:<\/p>\n
echo Import-NpsConfiguration -Path \"c:NPS-configNPS.xml\" >> C:ScriptsImport-NPS-config.ps1<\/code><\/pre>\n
\nund setzen Sie die Aufgabe, sie alle 10 Minuten auszuf\u00fchren:<\/p>\n
powershell -executionpolicy unrestricted -f \"C:ScriptsImport-NPS-config.ps1\"<\/code><\/pre>\n
\nF\u00fcr alle Benutzer ausf\u00fchren \u2014 Mit h\u00f6chsten Rechten ausf\u00fchren
\nT\u00e4glich \u2014 Aufgabe alle 10 Minuten f\u00fcr 8 Stunden wiederholen.<\/i><\/p>\n
Jetzt f\u00fcgen wir zur \u00dcberpr\u00fcfung in NPS auf einem der Server(!) ein paar Switches als RADIUS-Clients (IP und Shared Secret) hinzu, zwei Verbindungsanfragen-Richtlinien: WIRED-Connect<\/b> (Bedingung: \u201eNAS-Porttyp \u2013 Ethernet\u201c) und WiFi-Enterprise<\/b> (Bedingung: \u201eNAS-Porttyp \u2013 IEEE 802.11\u201c), sowie die Netzwerkrichtlinie Access Cisco Network Devices<\/i><\/b> (Netzwerk-Administratoren):<\/p>\n
Bedingungen:\nGruppen Windows - domainsg-network-admins\nEinschr\u00e4nkungen:\nAuthentifizierungsmethoden - Klartext\u00fcberpr\u00fcfung (PAP, SPAP)\nParameter:\nRADIUS-Attribute: Standard - Service-Type - Login\nAnbieterabh\u00e4ngig - Cisco-AV-Pair - Cisco - shell:priv-lvl=15<\/code><\/pre>\n
Auf der Seite der Switches gelten folgende Einstellungen:<\/b><\/p>\n
aaa new-model\naaa local authentication attempts max-fail 5\n!\n!\naaa group server radius NPS\n server-private 192.168.38.151 auth-port 1812 acct-port 1813 key %shared_secret%\n server-private 192.168.10.151 auth-port 1812 acct-port 1813 key %shared_secret%\n!\naaa authentication login default group NPS local\naaa authentication dot1x default group NPS\naaa authorization console\naaa authorization exec default group NPS local if-authenticated\naaa authorization network default group NPS\n!\naaa session-id common\n!\nidentity profile default\n!\ndot1x system-auth-control\n!\n!\nline vty 0 4\n exec-timeout 5 0\n transport input ssh\n escape-character 99\nline vty 5 15\n exec-timeout 5 0\n logging synchronous\n transport input ssh\n escape-character 99<\/code><\/pre>\n
Nach der Einrichtung sollten nach etwa 10 Minuten alle Clients, Richtlinieneinstellungen auf dem sekund\u00e4ren NPS erscheinen, und wir k\u00f6nnen uns mit einem Active Directory-Konto, das Mitglied der Gruppe domainsg-network-admins ist (die wir zuvor erstellt haben), bei den Switches anmelden.<\/p>\n
Lassen Sie uns mit der Konfiguration von Active Directory fortfahren \u2013 wir erstellen Gruppen- und Kennwortrichtlinien und die erforderlichen Gruppen.<\/p>\n
Gruppenrichtlinie Computers-8021x-Einstellungen<\/b><\/i>:<\/p>\n
<\/p>\n
Computer Konfiguration (Aktiviert)\n   Richtlinien\n     Windows-Einstellungen\n        Sicherheitseinstellungen\n          Systemdienste\n     Wired AutoConfig (Startmodus: Automatisch)\nVerdrahtete Netzwerkrichtlinien (802.3)<\/code><\/pre>\n
<\/b>
\nNPS-802-1x<\/b><\/p>\n
Name\tNPS-802-1x\nBeschreibung\t802.1x\nGlobale Einstellungen\nEINSTELLUNG\tWERT\nVerwenden Sie Windows LAN-Dienste f\u00fcr Clients\tAktiviert\nGeteilte Benutzerdaten f\u00fcr die Netzwerkauthentifizierung\tAktiviert\nNetzwerkprofil\nSicherheitseinstellungen\nVerwendung der IEEE 802.1X-Authentifizierung f\u00fcr den Netzwerkzugang aktivieren\tAktiviert\nDurchsetzung der IEEE 802.1X-Authentifizierung f\u00fcr den Netzwerkzugang\tDeaktiviert\nIEEE 802.1X Einstellungen\nComputer-Authentifizierung\tNur Computer\nMaximale Authentifizierungsfehler\t10\nMaximale gesendete EAPOL-Startnachrichten\t \nHaltedauer (Sekunden)\t \nStartdauer (Sekunden)\t \nAuthentifizierungsdauer (Sekunden)\t \nEigenschaften der Netzwerkauthentifizierungsmethode\nAuthentifizierungsmethode\tGesch\u00fctzte EAP (PEAP)\nServerzertifikat validieren\tAktiviert\nMit diesen Servern verbinden\t \nBenutzer nicht auffordern, neue Server oder vertrauensw\u00fcrdige Zertifizierungsstellen zu autorisieren\tDeaktiviert\nSchnelle Wiederverbindung aktivieren\tAktiviert\nTrennen, wenn der Server keine Cryptobinding TLV pr\u00e4sentiert\tDeaktiviert\nDurchsetzung des Netzwerkschutzes\tDeaktiviert\nKonfiguration der Authentifizierungsmethode\nAuthentifizierungsmethode\tGesichertes Passwort (EAP-MSCHAP v2)\nAutomatisch meinen Windows-Anmeldenamen und mein Passwort verwenden (und die Domain, falls vorhanden)\tAktiviert<\/code><\/pre>\n
\"Einrichtung
\n
\nLassen Sie uns eine Sicherheitsgruppe erstellen sg-computers-8021x-vl100<\/i><\/b>, in die wir Computer hinzuf\u00fcgen, die wir in VLAN 100 verteilen m\u00f6chten, und wir werden die Filterung f\u00fcr die zuvor erstellte Gruppenrichtlinie auf diese Gruppe einstellen:<\/p>\n
\"Einrichtung
\n
\nUm sicherzustellen, dass die Richtlinie erfolgreich angewendet wurde, k\u00f6nnen Sie \"Netzwerk- und Freigabecenter (Netzwerk- und Interneteinstellungen) \u2013 Adaptereinstellungen \u00e4ndern (Adaptereinstellungen konfigurieren) \u2013 Eigenschaften des Adapters\" \u00f6ffnen, wo wir die Registerkarte \"Authentifizierung\" sehen k\u00f6nnen:<\/p>\n
\"Einrichtung
\n
\nSobald Sie best\u00e4tigt haben, dass die Richtlinie erfolgreich angewendet wurde, k\u00f6nnen Sie mit der Konfiguration der Netzwerkrichtlinie auf dem NPS und den Ports des Zugangsswitches fortfahren.<\/p>\n
Lassen Sie uns eine Netzwerkrichtlinie erstellen neag-computers-8021x-vl100<\/i><\/b>:<\/p>\n
Bedingungen:\n  Windows-Gruppen - sg-computers-8021x-vl100\n  NAS-Porttyp - Ethernet\nEinschr\u00e4nkungen:\n  Authentifizierungsmethoden - Microsoft: Gesch\u00fctztes EAP (PEAP) - Unverschl\u00fcsselte Authentifizierung (PAP, SPAP)\n  NAS-Porttyp - Ethernet\nEinstellungen:\n  Standard:\n   Framed-MTU 1344\n   TunnelMediumType 802 (beinhaltet alle 802-Medien sowie Ethernet-Kanonisches Format)\n   TunnelPrivateGroupId  100\n   TunnelType  Virtuelle LANs (VLAN)<\/code><\/pre>\n
\n\"Einrichtung
\n
\nStandardkonfiguration f\u00fcr den Switchport (ich weise darauf hin, dass der Authentifizierungstyp 'Multi-Domain' verwendet wird \u2013 Daten & Stimme, sowie die M\u00f6glichkeit zur Authentifizierung per MAC-Adresse. W\u00e4hrend der '\u00dcbergangszeit' macht es Sinn, in den Parametern Folgendes zu verwenden:<\/p>\n
\nauthentication event fail action authorize vlan 100\nauthentication event no-response action authorize vlan 100\n<\/code><\/pre>\n
\nDie VLAN-ID ist nicht \u201eQuarant\u00e4ne\u201c, sondern die gleiche, in die der Benutzercomputer nach erfolgreicher Authentifizierung gelangen soll \u2013 bis wir sicherstellen, dass alles ordnungsgem\u00e4\u00df funktioniert. Diese Parameter k\u00f6nnen auch in anderen Szenarien verwendet werden, beispielsweise wenn an diesen Port ein unmanaged Switch angeschlossen wird und Sie m\u00f6chten, dass alle Ger\u00e4te, die an diesen angeschlossen sind und keine Authentifizierung durchlaufen haben, in ein bestimmtes VLAN (\u201eQuarant\u00e4ne\u201c) gelangen.<\/p>\n
Switchport-Einstellungen im 802.1X-Modus Host-Modus Multi-Domain<\/b><\/p>\n
default int range Gi1\/0\/39-41\nint range Gi1\/0\/39-41\nshu\ndes PC-IPhone_802.1x\nswitchport mode access\nswitchport nonegotiate\nswitchport voice vlan 55\nswitchport port-security maximum 2\nauthentication event fail action authorize vlan 100\nauthentication event no-response action authorize vlan 100\nauthentication host-mode multi-domain\nauthentication port-control auto\nauthentication violation restrict\nmab\ndot1x pae authenticator\ndot1x timeout quiet-period 15\ndot1x timeout tx-period 3\nstorm-control broadcast level pps 100\nstorm-control multicast level pps 110\nno vtp\nlldp receive\nlldp transmit\nspanning-tree portfast\nno shu\nexit<\/code><\/pre>\n
Um sicherzustellen, dass der Computer bzw. das Telefon erfolgreich authentifiziert wurde, kann der Befehl verwendet werden:<\/p>\n
sh authentication sessions int Gi1\/0\/39 det<\/code><\/pre>\n
\nJetzt erstellen wir eine Gruppe (zum Beispiel, sg-fgpp-mab<\/i> ) im Active Directory f\u00fcr Telefone und f\u00fcgen ein Ger\u00e4t zum Testen hinzu (in meinem Fall ist das Grandstream GXP2160<\/i><\/b> mit der MAC-Adresse 000b.82ba.a7b1<\/b> und dem entsprechenden Konto Domain 00b82baa7b1<\/b>). <\/p>\n
Um die erstellte Gruppe zu konfigurieren, senken wir die Anforderungen an die Passwortpolitik (unter Verwendung von Fine-Grained Password Policies<\/a><\/noindex> \u00fcber das Active Directory Administrative Center -> Domain -> System -> Password Settings Container) mit folgenden Einstellungen Password-Settings-for-MAB<\/i><\/b>:<\/p>\n
\"Einrichtung
\n
\nsomit erlauben wir die Verwendung von Ger\u00e4te-MAC-Adressen als Passw\u00f6rter. Danach k\u00f6nnen wir eine Netzwerkpolitik f\u00fcr die Authentifizierung mittels 802.1x Methode mab erstellen, die wir neag-devices-8021x-voice nennen. Die Einstellungen sind wie folgt:<\/p>\n