{"id":42118,"date":"2019-03-18T00:00:00","date_gmt":"2019-03-17T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad"},"modified":"2020-02-18T13:44:55","modified_gmt":"2020-02-18T10:44:55","slug":"nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad","title":{"rendered":"Configuraci\u00f3n de 802.1X en switches Cisco utilizando NPS de alta disponibilidad (RADIUS de Windows con AD)","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Configuraci\u00f3n
\nVamos a practicar el uso de Windows Active Directory + NPS (2 servidores para garantizar la alta disponibilidad) + el est\u00e1ndar 802.1x para el control de acceso y la autenticaci\u00f3n de usuarios: computadoras de dominio y dispositivos. Puedes encontrar la teor\u00eda sobre el est\u00e1ndar en Wikipedia, en el siguiente enlace: IEEE 802.1X<\/a><\/noindex><\/p>\n

Dado que mi \"laboratorio\" tiene recursos limitados, combinamos las funciones de NPS y controlador de dominio, pero te recomiendo que dividas estos servicios cr\u00edticos.<\/p>\n

No conozco formas est\u00e1ndar de sincronizaci\u00f3n de configuraciones (pol\u00edticas) de Windows NPS, por lo que utilizaremos scripts de PowerShell, ejecutados por el programador de tareas (el autor es un antiguo colega m\u00edo). Para la autenticaci\u00f3n de las computadoras del dominio y para dispositivos que no son compatibles con 802.1x<\/b> (tel\u00e9fonos, impresoras, etc.), se configurar\u00e1 una pol\u00edtica de grupo y se crear\u00e1n grupos de seguridad.<\/p>\n

Al final del art\u00edculo, hablar\u00e9 sobre algunos matices del funcionamiento de 802.1x: c\u00f3mo se pueden usar switches no gestionados, ACL din\u00e1micos, etc. Compartir\u00e9 informaci\u00f3n sobre los \"errores\" que encontr\u00e9...
\n<\/a><\/noindex>
\nComencemos con la instalaci\u00f3n y configuraci\u00f3n de NPS de failover en Windows Server 2012R2 (en 2016 es similar): a trav\u00e9s del Administrador del Servidor -> Asistente para Agregar Roles y Caracter\u00edsticas, seleccionamos solo el Servidor de Pol\u00edticas de Red.<\/p>\n

\"Configuraci\u00f3n
\n
\no mediante PowerShell:<\/p>\n

Install-WindowsFeature NPAS -IncludeManagementTools<\/code><\/pre>\n
<\/p>\n
Una peque\u00f1a aclaraci\u00f3n: dado que para Protected EAP (PEAP)<\/b> necesitar\u00e1s un certificado que valide la autenticidad del servidor (con los derechos correspondientes para su uso), el cual debe estar en los equipos clientes de confianza, por lo que probablemente tambi\u00e9n necesitar\u00e1s instalar el rol Certification Authority<\/b>. Pero consideremos que CA<\/b> ya est\u00e1 instalado...<\/p><\/blockquote>\n
 Haremos lo mismo en el segundo servidor. Crearemos una carpeta para el script C:Scripts en ambos servidores y una carpeta de red en el segundo servidor SRV2NPS-config$<\/b><\/p>\n
En el primer servidor, crearemos el script de PowerShell C:ScriptsExport-NPS-config.ps1<\/i> con el siguiente contenido:<\/p>\n
Export-NpsConfiguration -Path \"SRV2NPS-config$NPS.xml\"<\/code><\/pre>\n
\nDespu\u00e9s de esto, configuraremos la tarea en el Programador de tareas: \u201cExport-NpsConfiguration<\/i>\u201d<\/p>\n
powershell -executionpolicy unrestricted -f \"C:ScriptsExport-NPS-config.ps1\"<\/code><\/pre>\n
\nEjecutar para todos los usuarios \u2014 Ejecutar con los m\u00e1s altos privilegios
\nDiariamente \u2014 Repetir la tarea cada 10 minutos durante 8 horas.<\/i><\/p>\n
En el NPS de reserva, configuraremos la importaci\u00f3n de la configuraci\u00f3n (pol\u00edticas):
\ncrearemos el script de PowerShell:<\/p>\n
echo Import-NpsConfiguration -Path \"c:NPS-configNPS.xml\" >> C:ScriptsImport-NPS-config.ps1<\/code><\/pre>\n
\ny la tarea para ejecutarlo cada 10 minutos:<\/p>\n
powershell -executionpolicy unrestricted -f \"C:ScriptsImport-NPS-config.ps1\"<\/code><\/pre>\n
\nEjecutar para todos los usuarios \u2014 Ejecutar con los m\u00e1s altos privilegios
\nDiariamente \u2014 Repetir la tarea cada 10 minutos durante 8 horas.<\/i><\/p>\n
Ahora, para la verificaci\u00f3n, a\u00f1adiremos en NPS en uno de los servidores (!) un par de interruptores a los clientes RADIUS (IP y Shared Secret), dos pol\u00edticas de solicitudes de conexi\u00f3n: WIRED-Connect<\/b> (Condici\u00f3n: \u201cTipo de puerto NAS \u2013 Ethernet\u201d) y WiFi-Enterprise<\/b> (Condici\u00f3n: \u201cTipo de puerto NAS \u2013 IEEE 802.11\u201d), as\u00ed como la pol\u00edtica de red Access Cisco Network Devices<\/i><\/b> (Administradores de red):<\/p>\n
Condiciones:\nGrupos de Windows - domainsg-network-admins\nRestricciones:\nM\u00e9todos de autenticaci\u00f3n - Autenticaci\u00f3n en texto sin formato (PAP, SPAP)\nPar\u00e1metros:\nAtributos RADIUS: Est\u00e1ndar - Service-Type - Login\nDependientes del proveedor - Cisco-AV-Pair - Cisco - shell:priv-lvl=15<\/code><\/pre>\n
Desde el lado de los interruptores, las siguientes configuraciones:<\/b><\/p>\n
aaa new-model\naaa local authentication attempts max-fail 5\n!\n!\naaa group server radius NPS\n server-private 192.168.38.151 auth-port 1812 acct-port 1813 key %shared_secret%\n server-private 192.168.10.151 auth-port 1812 acct-port 1813 key %shared_secret%\n!\naaa authentication login default group NPS local\naaa authentication dot1x default group NPS\naaa authorization console\naaa authorization exec default group NPS local if-authenticated\naaa authorization network default group NPS\n!\naaa session-id common\n!\nidentity profile default\n!\ndot1x system-auth-control\n!\n!\nline vty 0 4\n exec-timeout 5 0\n transport input ssh\n escape-character 99\nline vty 5 15\n exec-timeout 5 0\n logging synchronous\n transport input ssh\n escape-character 99<\/code><\/pre>\n
Despu\u00e9s de la configuraci\u00f3n, despu\u00e9s de 10 minutos, todas las pol\u00edticas de par\u00e1metros de clientes deben aparecer tambi\u00e9n en el NPS de respaldo y podremos autenticarnos en los interruptores usando una cuenta de Active Directory, miembro del grupo domainsg-network-admins (que creamos previamente).<\/p>\n
Pasemos a la configuraci\u00f3n de Active Directory: crearemos pol\u00edticas de grupo y de contrase\u00f1as, y crearemos los grupos necesarios.<\/p>\n
Pol\u00edtica de grupo Computers-8021x-Settings<\/b><\/i>:<\/p>\n
<\/p>\n
Configuraci\u00f3n del equipo (Habilitada)\n   Pol\u00edticas\n     Configuraci\u00f3n de Windows\n        Configuraci\u00f3n de seguridad\n          Servicios del sistema\n     Wired AutoConfig (Modo de inicio: Autom\u00e1tico)\nPol\u00edticas de red cableada (802.3)<\/code><\/pre>\n
<\/b>
\nNPS-802-1x<\/b><\/p>\n
Nombre\tNPS-802-1x\nDescripci\u00f3n\t802.1x\nConfiguraciones globales\nCONFIGURACI\u00d3N\tVALOR\nUsar servicios de red LAN por cable de Windows para clientes\tHabilitado\nCredenciales de usuario compartidas para autenticaci\u00f3n de red\tHabilitado\nPerfil de red\nConfiguraciones de seguridad\nHabilitar uso de autenticaci\u00f3n IEEE 802.1X para acceso a la red\tHabilitado\nImponer uso de autenticaci\u00f3n IEEE 802.1X para acceso a la red\tDeshabilitado\nConfiguraciones IEEE 802.1X\nAutenticaci\u00f3n del ordenador\tSolo ordenador\nM\u00e1ximas fallas de autenticaci\u00f3n\t10\nM\u00e1ximos mensajes EAPOL-Start enviados\t \nPeriodo de retenci\u00f3n (segundos)\t \nPeriodo de inicio (segundos)\t \nPeriodo de autenticaci\u00f3n (segundos)\t \nPropiedades del m\u00e9todo de autenticaci\u00f3n de la red\nM\u00e9todo de autenticaci\u00f3n\tEAP protegido (PEAP)\nValidar certificado del servidor\tHabilitado\nConectarse a estos servidores\t \nNo solicitar al usuario que autorice nuevos servidores o autoridades de certificaci\u00f3n de confianza\tDeshabilitado\nHabilitar reconexi\u00f3n r\u00e1pida\tHabilitado\nDesconectar si el servidor no presenta TLV de enlace criptogr\u00e1fico\tDeshabilitado\nImponer protecci\u00f3n de acceso a la red\tDeshabilitado\nConfiguraci\u00f3n del m\u00e9todo de autenticaci\u00f3n\nM\u00e9todo de autenticaci\u00f3n\tContrase\u00f1a asegurada (EAP-MSCHAP v2)\nUsar autom\u00e1ticamente mi nombre de inicio de sesi\u00f3n y contrase\u00f1a de Windows (y dominio, si los hay)\tHabilitado<\/code><\/pre>\n
\"Configuraci\u00f3n
\n
\nCrearemos un grupo de seguridad sg-computers-8021x-vl100<\/i><\/b>, donde a\u00f1adiremos las computadoras que deseamos distribuir en el VLAN 100 y configuraremos la filtraci\u00f3n para la pol\u00edtica de grupo creada anteriormente para este grupo:<\/p>\n
\"Configuraci\u00f3n
\n
\nPara asegurarnos de que la pol\u00edtica se ha aplicado correctamente, podemos abrir el \u201cCentro de control de redes y recursos compartidos (Configuraciones de red e Internet) \u2013 Cambiar la configuraci\u00f3n del adaptador (Configuraci\u00f3n de las propiedades del adaptador) \u2013 Propiedades del adaptador\u201d, donde podremos ver la pesta\u00f1a \u201cAutenticaci\u00f3n\u201d:<\/p>\n
\"Configuraci\u00f3n
\n
\nCuando hayamos confirmado que la pol\u00edtica se aplica correctamente, podemos proceder a la configuraci\u00f3n de la pol\u00edtica de red en NPS y los puertos del conmutador de acceso.<\/p>\n
Crearemos una pol\u00edtica de red neag-computers-8021x-vl100<\/i><\/b>:<\/p>\n
Condiciones:\n  Grupos de Windows - sg-computers-8021x-vl100\n  Tipo de puerto NAS - Ethernet\nRestricciones:\n  M\u00e9todos de autenticaci\u00f3n - Microsoft: Protected EAP (PEAP) - Autenticaci\u00f3n no encriptada (PAP, SPAP)\n  Tipo de puerto NAS - Ethernet\nAjustes:\n  Est\u00e1ndar:\n   Framed-MTU 1344\n   TunnelMediumType 802 (incluye todos los medios 802 m\u00e1s formato can\u00f3nico Ethernet)\n   TunnelPrivateGroupId  100\n   TunnelType  Redes de \u00e1rea local virtual (VLAN)<\/code><\/pre>\n
\n\"Configuraci\u00f3n
\n
\nConfiguraciones t\u00edpicas para el puerto del conmutador (destaco que se utiliza el tipo de autenticaci\u00f3n \u201cmulti-dominio\u201d \u2013 Data & Voice, y tambi\u00e9n existe la posibilidad de autenticaci\u00f3n por direcci\u00f3n MAC. Durante el \u201cperiodo de transici\u00f3n\u201d tiene sentido usar los siguientes par\u00e1metros:<\/p>\n
\nauthentication event fail action authorize vlan 100\nauthentication event no-response action authorize vlan 100\n<\/code><\/pre>\n
\nel VLAN id no es \u201cde cuarentena\u201d, sino el mismo al que la computadora del usuario debe acceder, tras una autorizaci\u00f3n exitosa \u2013 hasta que confirmemos que todo funciona correctamente. Estos mismos par\u00e1metros pueden ser utilizados en otros escenarios, por ejemplo, cuando este puerto se conecta a un conmutador no gestionado y deseas que todos los dispositivos conectados a \u00e9l y que no han pasado la autenticaci\u00f3n caigan en un VLAN espec\u00edfico (\u201cde cuarentena\u201d).<\/p>\n
configuraciones del puerto del conmutador en modo 802.1x  host-mode multi-domain<\/b><\/p>\n
default int range Gi1\/0\/39-41\nint range Gi1\/0\/39-41\nshu\ndes PC-IPhone_802.1x\nswitchport mode access\nswitchport nonegotiate\nswitchport voice vlan 55\nswitchport port-security maximum 2\nauthentication event fail action authorize vlan 100\nauthentication event no-response action authorize vlan 100\nauthentication host-mode multi-domain\nauthentication port-control auto\nauthentication violation restrict\nmab\ndot1x pae authenticator\ndot1x timeout quiet-period 15\ndot1x timeout tx-period 3\nstorm-control broadcast level pps 100\nstorm-control multicast level pps 110\nno vtp\nlldp receive\nlldp transmit\nspanning-tree portfast\nno shu\nexit<\/code><\/pre>\n
Para asegurarte de que la computadora\/tel\u00e9fono ha pasado la autenticaci\u00f3n con \u00e9xito, puedes usar el comando:<\/p>\n
sh authentication sessions int Gi1\/0\/39 det<\/code><\/pre>\n
\nAhora crearemos un grupo (por ejemplo, sg-fgpp-mab<\/i> ) en Active Directory para tel\u00e9fonos y agregaremos un dispositivo para pruebas (en mi caso es Grandstream GXP2160<\/i><\/b> con la direcci\u00f3n MAC 000b.82ba.a7b1<\/b> y la correspondiente cuenta domain 00b82baa7b1<\/b>). <\/p>\n
Para el grupo creado, bajaremos los requisitos de la pol\u00edtica de contrase\u00f1as (usando Fine-Grained Password Policies<\/a><\/noindex> a trav\u00e9s de Active Directory Administrative Center -> domain -> System -> Password Settings Container) con los siguientes par\u00e1metros Password-Settings-for-MAB<\/i><\/b>:<\/p>\n
\"Configuraci\u00f3n
\n
\nde esta manera, permitiremos utilizar la direcci\u00f3n MAC de los dispositivos como contrase\u00f1as. Despu\u00e9s de esto, podremos crear una pol\u00edtica de red para la autenticaci\u00f3n 802.1x method mab, que se llamar\u00e1 neag-devices-8021x-voice. Los par\u00e1metros son los siguientes:<\/p>\n