{"id":42118,"date":"2019-03-18T00:00:00","date_gmt":"2019-03-17T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad"},"modified":"2020-02-18T13:44:55","modified_gmt":"2020-02-18T10:44:55","slug":"nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad","title":{"rendered":"802.1X seadistamine Cisco l\u00fclitites koos talitlush\u00e4irete v\u00e4ltimise NPS-iga (Windows RADIUS koos AD-ga)","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"802.1X
\nK\u00e4ime praktikas l\u00e4bi Windows Active Directory + NPS kasutamise (2 serverit tagasivariantide tagamiseks) + 802.1x standardi, et kontrollida juurdep\u00e4\u00e4su ja autentida kasutajaid - domeeni arvuteid - seadmeid. Teooriat standardi kohta leiate Wikipedia lingilt: IEEE 802.1X<\/a><\/noindex><\/p>\n

Kuna minu 'labor' on piiratud ressurssidega, t\u00e4idan NPS ja domeanikontrolleri rolle, kuid soovitan teil selliseid kriitilisi teenuseid siiski jagada.<\/p>\n

Ma ei tea standardseid viise Windows NPS konfiguratsioonide (poliitikate) s\u00fcnkroonimiseks, seega kasutame PowerShelli skripte, mida k\u00e4itab \u00fclesannete ajastaja (autor on minu endine kolleeg). Domeeni arvutite ja seadmete autentimiseks, mis ei toimi 802.1x<\/b> (telefonid, printerid jne), seadistatakse r\u00fchmapoliitika ja luuakse turvagruppide.<\/p>\n

Artikli l\u00f5pus r\u00e4\u00e4gin m\u00f5ningatest 802.1x t\u00f6\u00f6 n\u00fcanssidest - kuidas saab kasutada haldamata l\u00fcliteid, d\u00fcnaamilisi ACL-e jne. Jagame teavet avastatud 'veidrate' kohta...
\n<\/a><\/noindex>
\nAlustame failover NPS paigaldamisest ja seadistamisest Windows Server 2012R2-l (2016. aasta versioon on sarnane): Serveri halduri kaudu -> Lisa rolle ja funktsioone - viisardis valime ainult Network Policy Serveri.<\/p>\n

\"802.1X
\n
\nv\u00f5i PowerShelli abil:<\/p>\n

Install-WindowsFeature NPAS -IncludeManagementTools<\/code><\/pre>\n
<\/p>\n
V\u00e4ike t\u00e4psustus \u2013 kuna Protected EAP (PEAP)<\/b> on teil kindlasti vaja serveri autentimise sertifikaati (vastava kasutus\u00f5igusega), mis peab olema usaldusv\u00e4\u00e4rsete seas kliendi arvutites, siis t\u00f5en\u00e4oliselt tuleb teil paigaldada ka roll Certification Authority<\/b>. Aga eeldame, et CA<\/b> on teil juba paigaldatud\u2026<\/p><\/blockquote>\n
 Teeme sama ka teisel serveril. Loome kaustas C:Scripts skripti m\u00f5lemal serveril ja v\u00f5rgu kausta teisel serveril SRV2NPS-config$<\/b><\/p>\n
Esimesel serveril loome PowerShelli skripti C:ScriptsExport-NPS-config.ps1<\/i> j\u00e4rgnevate sisuga:<\/p>\n
Export-NpsConfiguration -Path \"SRV2NPS-config$NPS.xml\"<\/code><\/pre>\n
\nP\u00e4rast seda seadistame \u00fclesande Task Sheduleris: \u201cExport-NpsConfiguration<\/i>\u201d<\/p>\n
powershell -executionpolicy unrestricted -f \"C:ScriptsExport-NPS-config.ps1\"<\/code><\/pre>\n
\nT\u00e4idab k\u00f5ikide kasutajate jaoks \u2014 Teha k\u00f5rgeima \u00f5igustega
\nIgap\u00e4evaselt \u2014 Korda \u00fclesannet iga 10 minuti j\u00e4rel 8 tunni jooksul.<\/i><\/p>\n
Backup NPS-l seadistame konfiguratsiooni (poliitika) importimise:
\nloome PowerShelli skripti:<\/p>\n
echo Import-NpsConfiguration -Path \"c:NPS-configNPS.xml\" >> C:ScriptsImport-NPS-config.ps1<\/code><\/pre>\n
\nja \u00fclesande selle t\u00e4itmiseks iga 10 minuti j\u00e4rel:<\/p>\n
powershell -executionpolicy unrestricted -f \"C:ScriptsImport-NPS-config.ps1\"<\/code><\/pre>\n
\nT\u00e4idab k\u00f5ikide kasutajate jaoks \u2014 Teha k\u00f5rgeima \u00f5igustega
\nIgap\u00e4evaselt \u2014 Korda \u00fclesannet iga 10 minuti j\u00e4rel 8 tunni jooksul.<\/i><\/p>\n
N\u00fc\u00fcd, et kontrollida, lisame NPS-ile \u00fchele serveritest (!) paar l\u00fclitit RADIUS-klientidena (IP ja jagatud saladus), kaks \u00fchenduspoliitikat: WIRED-Connect<\/b> (Tingimus: \"NAS-porti t\u00fc\u00fcp \u2013 Ethernet\") ja WiFi-Enterprise<\/b> (Tingimus: \"NAS-porti t\u00fc\u00fcp \u2013 IEEE 802.11\"), samuti v\u00f5rgupoliitika Access Cisco Network Devices<\/i><\/b> (V\u00f5rgu administraatorid):<\/p>\n
Tingimused:\nWindowsi r\u00fchmad - domainsg-network-admins\nPiirangud:\nAutentimise meetodid - Tasuta tekstiga autentimine (PAP, SPAP)\nParameetrid:\nRADIUS-atribuut: Standard - Service-Type - Login\nTarnijast s\u00f5ltuvad - Cisco-AV-Pair - Cisco - shell:priv-lvl=15<\/code><\/pre>\n
L\u00fclitite poolt j\u00e4rgmised seaded:<\/b><\/p>\n
aaa new-model\naaa local authentication attempts max-fail 5\n!\n!\naaa group server radius NPS\n server-private 192.168.38.151 auth-port 1812 acct-port 1813 key %shared_secret%\n server-private 192.168.10.151 auth-port 1812 acct-port 1813 key %shared_secret%\n!\naaa authentication login default group NPS local\naaa authentication dot1x default group NPS\naaa authorization console\naaa authorization exec default group NPS local if-authenticated\naaa authorization network default group NPS\n!\naaa session-id common\n!\nidentity profile default\n!\ndot1x system-auth-control\n!\n!\nline vty 0 4\n exec-timeout 5 0\n transport input ssh\n escape-character 99\nline vty 5 15\n exec-timeout 5 0\n logging synchronous\n transport input ssh\n escape-character 99<\/code><\/pre>\n
P\u00e4rast seadistamist, 10 minuti p\u00e4rast, peaksid k\u00f5ik kliendi poliitikad ja parameetrid ilmuma ka reserveeritud NPS-le ning saame sisse logida l\u00fclititesse Active Directory konto abil, mis on r\u00fchma domainsg-network-admins liige (mille me eelnevalt l\u00f5ime).<\/p>\n
Liigume edasi Active Directory seadistamise juurde \u2013 loome grupi ja paroolipoliitikad ning vajalikke gruppe.<\/p>\n
Grupipoliitika Computers-8021x-Settings<\/b><\/i>:<\/p>\n
<\/p>\n
Arvuti seadistus (Aktiveeritud)\n   Poliitikad\n     Windowsi seaded\n        Turvaseaded\n          S\u00fcsteemiteenused\n     Juhtmega AutoConfig (K\u00e4ivitusre\u017eiim: Automaatne)\nJuhtmega v\u00f5rgu (802.3) poliitikad<\/code><\/pre>\n
<\/b>
\nNPS-802-1x<\/b><\/p>\n
Nimi\tNPS-802-1x\nKirjeldus\t802.1x\nGlobaalset seaded\nSEADE\tV\u00c4\u00c4RTUS\nKasutage Windowsi juhtmega LAN-teenuseid klientidele\tLubatud\nJagatud kasutajakredentsid v\u00f5rgu autentimiseks\tLubatud\nV\u00f5rgu profiil\nTurvaseaded\nLuba IEEE 802.1X autentimise kasutamine v\u00f5rgu juurdep\u00e4\u00e4suks\tLubatud\nKohustuslik IEEE 802.1X autentimise kasutamine v\u00f5rgu juurdep\u00e4\u00e4suks\tKeelatud\nIEEE 802.1X seaded\nArvuti autentimine\tAinult arvuti\nMaksimaalne autentimise eba\u00f5nnestumiste arv\t10\nMaksimaalne EAPOL-Start s\u00f5numite arv\t \nPeatumise aeg (sekundites)\t \nAlgamise aeg (sekundites)\t \nAutentimise aeg (sekundites)\t \nV\u00f5rgu autentimise meetodi omadused\nAutentimise meetod\tKaitstud EAP (PEAP)\nKinnitage serveri sertifikaat\tLubatud\n\u00dchendage nendega serveritega\t \n\u00c4rge k\u00fcsige kasutajalt uute serverite v\u00f5i usaldusv\u00e4\u00e4rsete sertifitseerimisasutuste volitamist\tKeelatud\nLubage kiire uuesti \u00fchendamine\tLubatud\nKatkesta, kui server ei esitle kr\u00fcptobindimise TLV-d\tKeelatud\nKohustuslik v\u00f5rgu juurdep\u00e4\u00e4su kaitse\tKeelatud\nAutentimise meetodi konfiguratsioon\nAutentimise meetod\tTurvaline parool (EAP-MSCHAP v2)\nKasutage automaatselt minu Windowsi sisselogimisnime ja parooli (ja domeeni, kui need on)\tLubatud<\/code><\/pre>\n
\"802.1X
\n
\nLoome turgroupi sg-computers-8021x-vl100<\/i><\/b>, kuhu lisame arvutid, mida soovime jaotada VLAN 100 ja seadistame varem loodud r\u00fchmapoliitika filtreerimise sellele grupile:<\/p>\n
\"802.1X
\n
\nVeenduda, et poliitika on edukalt t\u00f6\u00f6tanud, saab avades \u201eV\u00f5rguhalduse keskus (V\u00f5rgu ja Interneti seaded) \u2013 Muuda adapteri seadeid (Adapteri seadete seadistamine) \u2013 Adapteri omadused\u201d, kus n\u00e4eme sakk \u201eAutentimine\u201d:<\/p>\n
\"802.1X
\n
\nKui olete veendunud, et poliitika rakendamine on sujunud, saate liikuda edasi v\u00f5rgupoliitika seadistamise juurde NPS-is ja juurdep\u00e4\u00e4su l\u00fcliti portides.<\/p>\n
Loome v\u00f5rgu poliitika neag-computers-8021x-vl100<\/i><\/b>:<\/p>\n
Tingimused:\n  Windowsi grupid - sg-computers-8021x-vl100\n  NAS-pordi t\u00fc\u00fcp - Ethernet\nPiirangud:\n  Autentimise meetodid - Microsoft: Protected EAP (PEAP) - Kr\u00fcpteerimata autentimine (PAP, SPAP)\n  NAS-pordi t\u00fc\u00fcp - Ethernet\nSeaded:\n  Standardsed:\n   Framed-MTU 1344\n   TunnelMediumType 802 (sisaldab k\u00f5iki 802 meedia vorme pluss Etherneti kanoniline formaat)\n   TunnelPrivateGroupId  100\n   TunnelType  Virtuaalsed LAN-id (VLAN)<\/code><\/pre>\n
\n\"802.1X
\n
\nT\u00fc\u00fcpilised seadistused l\u00fcliti porti jaoks (t\u00f5in v\u00e4lja, et kasutatakse autentimist t\u00fc\u00fcbi \u201cmulti-domain\u201d \u2013 Data & Voice, samuti on olemas autentimine MAC-aadressi j\u00e4rgi. \u00fcleminekuperioodi ajal on m\u00f5tet kasutada parameetrites:<\/p>\n
\nautentimise s\u00fcndmuse eba\u00f5nnestumise toiming autoriseerida VLAN 100\nautentimise s\u00fcndmuse mittevastuse toiming autoriseerida VLAN 100\n<\/code><\/pre>\n
\nVLAN ID ei ole \u201ekarantiin\u201d, vaid see, kuhu kasutaja arvuti peaks p\u00e4rast edukat autentimist p\u00e4\u00e4sema \u2013 kuni me oleme kindlad, et k\u00f5ik t\u00f6\u00f6tab korralikult. Nende seadeid saab kasutada ka muudes stsenaariumides, n\u00e4iteks kui sellele pordile on \u00fchendatud mittehaldamine l\u00fcliti ja soovite, et k\u00f5ik selle kaudu \u00fchendatud ning autentimise l\u00e4binud seadmed kuuluksid kindlasse VLAN-i (\u201ekarantiin\u201d).<\/p>\n
l\u00fcliti pordi seaded re\u017eiimis 802.1x host-mode multi-domain<\/b><\/p>\n
default int range Gi1\/0\/39-41\nint range Gi1\/0\/39-41\nshu\ndes PC-IPhone_802.1x\nswitchport mode access\nswitchport nonegotiate\nswitchport voice vlan 55\nswitchport port-security maximum 2\nauthentication event fail action authorize vlan 100\nauthentication event no-response action authorize vlan 100\nauthentication host-mode multi-domain\nauthentication port-control auto\nauthentication violation restrict\nmab\ndot1x pae authenticator\ndot1x timeout quiet-period 15\ndot1x timeout tx-period 3\nstorm-control broadcast level pps 100\nstorm-control multicast level pps 110\nno vtp\nlldp receive\nlldp transmit\nspanning-tree portfast\nno shu\nexit<\/code><\/pre>\n
Veenduge, et arvuti\/telefon on edukalt autentitud, kasutades k\u00e4sku:<\/p>\n
sh authentication sessions int Gi1\/0\/39 det<\/code><\/pre>\n
\nN\u00fc\u00fcd loome grupi (n\u00e4iteks, sg-fgpp-mab<\/i> ) Active Directorys telefonide jaoks ja lisame sinna \u00fche seadme testimiseks (minu juhul on see Grandstream GXP2160<\/i><\/b> MAC-aadressiga 000b.82ba.a7b1<\/b> ja ja vastava konto domeen 00b82baa7b1<\/b>). <\/p>\n
Loo grupile, v\u00e4hendame paroolipoliitika n\u00f5udeid (kasutades Peene paroolipoliitika<\/a><\/noindex> Active Directory'i halduskeskuse kaudu -> domeen -> S\u00fcsteem -> Parooli seadete konteiner) j\u00e4rgmiste parameetritega: Parooli seadistused MAB jaoks<\/i><\/b>:<\/p>\n
\"802.1X
\n
\nmuutes sellega seadmete MAC-aadresse paroolideks. P\u00e4rast seda saame luua v\u00f5rgupoliitika 802.1x autentimise meetodi jaoks mab, nimetame selleks neag-devices-8021x-voice. Parameetrid on j\u00e4rgmised:<\/p>\n