{"id":42118,"date":"2019-03-18T00:00:00","date_gmt":"2019-03-17T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad"},"modified":"2020-02-18T13:44:55","modified_gmt":"2020-02-18T10:44:55","slug":"nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad","title":{"rendered":"802.1X seadistamine Cisco l\u00fclitites, kasutades alenevat NPS-d (Windows RADIUS koos AD-ga)","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"802.1X
\nArvestame praktikas Windows Active Directory + NPS (2 serverit t\u00f5rkekindluse tagamiseks) + standard 802.1x kasutamist juurdep\u00e4\u00e4su ja kasutajate autentimise kontrollimiseks \u2013 domeeni arvutid \u2013 seadmed. Teooriaga standardi kohta saate tutvuda Wikipedia lingil: IEEE 802.1X<\/a><\/noindex><\/p>\n

Kuna minu \"laboratoorium\" on ressursilt piiratud, \u00fchendan NPS ja domeenikontrolleri rollid, kuid soovitan teil selliseid kriitilisi teenuseid siiski eraldi hoida.<\/p>\n

Standardseid viise Windows NPS konfiguratsioonide (poliitikate) s\u00fcnkroniseerimiseks ei tea ma, seet\u00f5ttu kasutame PowerShelli skripte, mida k\u00e4itatakse \u00fclesannete planeerijaga (autor on minu endine kolleeg). Domeeni arvutite ja seadmete autentimiseks, mis ei toeta 802.1x<\/b> (telefonid, printerid jne), seadistatakse grupipoliitika ja luuakse turvagrupp.<\/p>\n

Artikli l\u00f5pus r\u00e4\u00e4gin m\u00f5nest 802.1x t\u00f6\u00f6 p\u00f5hijoonest \u2013 kuidas saab kasutada hallatavaid l\u00fclitusi, d\u00fcnaamilisi ACL-e jne. Jagame teavet tabatud \"vead\"...
\n<\/a><\/noindex>
\nAlustame failover NPS-i installimise ja seadistamisega Windows Server 2012R2-l (2016-l on k\u00f5ik sarnane): Serveri halduri kaudu -> Lisa rolle ja funktsioone, valime ainult Network Policy Server.<\/p>\n

\"802.1X
\n
\nv\u00f5i PowerShelli abil:<\/p>\n

Install-WindowsFeature NPAS -IncludeManagementTools<\/code><\/pre>\n
<\/p>\n
\u00dcks v\u00e4ike t\u00e4psustus \u2013 kuna Protected EAP (PEAP)<\/b> on teil kindlasti vaja sertifikaati, mis t\u00f5endab serveri autentimist (vastava \u00f5igusi kasutamiseks), mis on usaldusv\u00e4\u00e4rsetes klientarvutites, seega on t\u00f5en\u00e4oliselt vajalik ka rolli installimine Certification Authority<\/b>. Kuid oletame, et CA<\/b> on teil juba installitud\u2026<\/p><\/blockquote>\n
 Teeme sama ka teisel serveril. Loome skripti jaoks kausta C:Scripts m\u00f5lemal serveril ja jagatud kausta teisel serveril SRV2NPS-config$<\/b><\/p>\n
Esimesel serveril loome PowerShelli skripti C:ScriptsExport-NPS-config.ps1<\/i> j\u00e4rgmise sisuga:<\/p>\n
Export-NpsConfiguration -Path \"SRV2NPS-config$NPS.xml\"<\/code><\/pre>\n
\nP\u00e4rast seda seadistame \u00fclesande Task Sheduleris: \u201cExport-NpsConfiguration<\/i>\u201d<\/p>\n
powershell -executionpolicy unrestricted -f \"C:ScriptsExport-NPS-config.ps1\"<\/code><\/pre>\n
\nT\u00e4itmine k\u00f5igi kasutajate jaoks \u2013 Teostada k\u00f5rgeimate \u00f5igustega
\nIgap\u00e4evaselt \u2013 Korrata \u00fclesannet iga 10 minuti j\u00e4rel 8 tunni jooksul.<\/i><\/p>\n
Kaasasolevas NPS-is seadistame konfiguratsiooni (poliitikate) importimise:
\nloome PowerShelli skripti:<\/p>\n
echo Import-NpsConfiguration -Path \"c:NPS-configNPS.xml\" >> C:ScriptsImport-NPS-config.ps1<\/code><\/pre>\n
\nja \u00fclesande selle teostamiseks iga 10 minuti j\u00e4rel:<\/p>\n
powershell -executionpolicy unrestricted -f \"C:ScriptsImport-NPS-config.ps1\"<\/code><\/pre>\n
\nT\u00e4itmine k\u00f5igi kasutajate jaoks \u2013 Teostada k\u00f5rgeimate \u00f5igustega
\nIgap\u00e4evaselt \u2013 Korrata \u00fclesannet iga 10 minuti j\u00e4rel 8 tunni jooksul.<\/i><\/p>\n
N\u00fc\u00fcd, et kontrollida, lisame NPS-ile \u00fchele serveritest(!) paar l\u00fclitit RADIUS-klientidena (IP ja jagatud saladus), kaks \u00fchendussoovi poliitikat: WIRED-Connect<\/b> (Eeldus: \u201eNAS-i port on \u2013 Ethernet\u201c) ja WiFi-Enterprise<\/b> (Eeldus: \u201eNAS-i port on \u2013 IEEE 802.11\u201c), samuti v\u00f5rgupoliitika Access Cisco Network Devices<\/i><\/b> (V\u00f5rguadministraatorid):<\/p>\n
Eeldused:\nWindowsi grupid - domainsg-network-admins\nPiirangud:\nAutentimise meetodid - Selges\u00f5nalise kontrollimise (PAP, SPAP)\nParameetrid:\nRADIUS atribuudid: Standard - Service-Type - Login\nTootjast s\u00f5ltuvad - Cisco-AV-Pair - Cisco - shell:priv-lvl=15<\/code><\/pre>\n
L\u00fclitite k\u00fcljest on j\u00e4rgmised seaded:<\/b><\/p>\n
aaa new-model\naaa local authentication attempts max-fail 5\n!\n!\naaa group server radius NPS\n server-private 192.168.38.151 auth-port 1812 acct-port 1813 key %shared_secret%\n server-private 192.168.10.151 auth-port 1812 acct-port 1813 key %shared_secret%\n!\naaa authentication login default group NPS local\naaa authentication dot1x default group NPS\naaa authorization console\naaa authorization exec default group NPS local if-authenticated\naaa authorization network default group NPS\n!\naaa session-id common\n!\nidentity profile default\n!\ndot1x system-auth-control\n!\n!\nline vty 0 4\n exec-timeout 5 0\n transport input ssh\n escape-character 99\nline vty 5 15\n exec-timeout 5 0\n logging synchronous\n transport input ssh\n escape-character 99<\/code><\/pre>\n
Seadistuse l\u00f5ppedes, 10 minuti p\u00e4rast, peaksid k\u00f5ik kliendid poliitilised parameetrid ilmuma ka varuplaaniga NPS-i ning saame autentida l\u00fclitites Active Directory konto kaudu, mis kuulub gruppi domainsg-network-admins (mille me eelnevalt l\u00f5ime).<\/p>\n
Liigume Active Directory seadistamise juurde \u2013 loome grupi- ja paroolipoliitika, loome vajalikud grupid.<\/p>\n
Grupipoliitika Computers-8021x-Settings<\/b><\/i>:<\/p>\n
<\/p>\n
Arvuti seadistus (Lubatud)\n   Poliidid\n     Windowsi seaded\n        Turbe seaded\n          S\u00fcsteemi teenused\n     Wired AutoConfig (K\u00e4ivitamise re\u017eiim: Automaatne)\nWired Network (802.3) poliitikad<\/code><\/pre>\n
<\/b>
\nNPS-802-1x<\/b><\/p>\n
Nimi\tNPS-802-1x\nKirjeldus\t802.1x\nGlobaalset seadet\nSEADE\tV\u00c4\u00c4RTUS\nKasutage Windowsi traadiga LAN-teenuseid klientide jaoks\tLubatud\nJagatud kasutaja autentimist v\u00f5rgus\tLubatud\nV\u00f5rguprofiil\nTurbe seaded\nLuba IEEE 802.1X autentimise kasutamine v\u00f5rgu juurde p\u00e4\u00e4semiseks\tLubatud\nKohustusliku IEEE 802.1X autentimise kasutamine v\u00f5rgu juurde p\u00e4\u00e4semiseks\tKeelatud\nIEEE 802.1X seaded\nArvuti autentimine\tAinult arvuti\nMaksimaalne autentimise eba\u00f5nnestumisi\t10\nMaksimaalne EAPOL-Start s\u00f5numite saatmine\t \nK\u00fcsimise aeg (sekundites)\t \nAlgusperiood (sekundites)\t \nAutentimise periood (sekundites)\t \nV\u00f5rgu autentimise meetodi parameetrid\nAutentimise meetod\tKaitstud EAP (PEAP)\nKinnita serveri sertifikaat\tLubatud\n\u00dchenda nende serveritega\t \n\u00c4ra palu kasutajal lubada uusi servereid v\u00f5i usaldusv\u00e4\u00e4rseid sertifitseerimisasutusi\tKeelatud\nLuba kiire \u00fchenduse taastamine\tLubatud\nEemalda, kui server ei esita kr\u00fcptokohanduse TLV\tKeelatud\nKohustuslik v\u00f5rgule juurdep\u00e4\u00e4su kaitse\tKeelatud\nAutentimise meetodi seade\nAutentimise meetod\tKaitstud parool (EAP-MSCHAP v2)\nKasutage automaatselt minu Windowsi sisselogimist ja parooli (ja domeeni, kui see on)\tLubatud<\/code><\/pre>\n
\"802.1X
\n
\nLoome turvagruppi sg-computers-8021x-vl100<\/i><\/b>, kuhu me lisame arvutid, mida soovime jaotada VLAN 100 ja seadistame filtratsiooni varem loodud grupipoliitika jaoks sellele r\u00fchmale:<\/p>\n
\"802.1X
\n
\nVeenduge, et poliitika oleks edukalt rakendatud, avades \u201eV\u00f5rguhalduse ja jagamise keskus (V\u00f5rguseaded ja Internet) \u2013 Muuda adapteri seadeid (Adapteri seadete seadistamine) \u2013 Adapteri omadused\u201d, kus saame n\u00e4ha sakk \u201eSertifitseerimine\u201d:<\/p>\n
\"802.1X
\n
\nKui oleme veendunud, et poliitika rakendub edukalt, saame j\u00e4tkata v\u00f5rgu poliitika seadistamist NPS-is ja ligip\u00e4\u00e4su l\u00fcliti portides.<\/p>\n
Loome v\u00f5rgu poliitika neag-computers-8021x-vl100<\/i><\/b>:<\/p>\n
Tingimused:\n  Windows Grupid - sg-computers-8021x-vl100\n  NAS Port T\u00fc\u00fcp - Ethernet\nPiirangud:\n  Autentimise Meetodid - Microsoft: Protected EAP (PEAP) - Mittekr\u00fcptitud autentimine (PAP, SPAP)\n  NAS Port T\u00fc\u00fcp - Ethernet\nSeaded:\n  Standardsed:\n   Framed-MTU 1344\n   TunnelMediumType 802 (kasutab k\u00f5iki 802 meedia lisaks Etherneti kanonilist formaati)\n   TunnelPrivateGroupId  100\n   TunnelType  Virtuaalsed LAN-id (VLAN)<\/code><\/pre>\n
\n\"802.1X
\n
\nT\u00fc\u00fcpilised seadistused l\u00fcliti porti (toon t\u00e4hele, et kasutatakse autentimise t\u00fc\u00fcpi \u201emitme domeeni\u201d \u2013 Data & Voice ning on v\u00f5imalik autentimine MAC-aadressi j\u00e4rgi. \u00dcleminekuperioodi ajal on m\u00f5istlik kasutada j\u00e4rgmisi seadistusi:<\/p>\n
\nautentimise s\u00fcndmus eba\u00f5nnestumise tegevus autoriseerige vlan 100\nautentimise s\u00fcndmus ei vastanud tegevusele autoriseerige vlan 100\n<\/code><\/pre>\n
\nVLAN ID ei ole \u201ekarantiin\u201d, vaid sama, kuhu kasutaja arvuti peaks minema, kui ta on edukalt autoriseeritud \u2013 seni, kuni me oleme kindlad, et k\u00f5ik t\u00f6\u00f6tab korralikult. Sama seadistusi saab kasutada ka teistes stsenaariumides, n\u00e4iteks kui selle porti on \u00fchendatud haldamata l\u00fcliti ja soovite, et k\u00f5ik seadmed, mis on sellele \u00fchendatud ja ei ole l\u00e4binud autentimist, l\u00e4heksid kindlasse VLAN-i (\u201ekarantiini\u201d).<\/p>\n
l\u00fcliti portide seaded re\u017eiimis 802.1x host-mode multi-domain<\/b><\/p>\n
default int range Gi1\/0\/39-41\nint range Gi1\/0\/39-41\nshu\ndes PC-IPhone_802.1x\nswitchport mode access\nswitchport nonegotiate\nswitchport voice vlan 55\nswitchport port-security maximum 2\nautentimise s\u00fcndmus eba\u00f5nnestumise tegevus autoriseerige vlan 100\nautentimise s\u00fcndmus ei vastanud tegevusele autoriseerige vlan 100\nautentimise host-mode multi-domain\nautentimise port-control auto\nautentimise rikkumise piiramine\nmab\ndot1x pae autentikator\ndot1x timeout quiet-period 15\ndot1x timeout tx-period 3\nstorm-control broadcast level pps 100\nstorm-control multicast level pps 110\nno vtp\nlldp receive\nlldp transmit\nspanning-tree portfast\nno shu\nexit<\/code><\/pre>\n
Veenduge, et arvuti telefon on edukalt autentitud, kasutades k\u00e4sku:<\/p>\n
sh authentication sessions int Gi1\/0\/39 det<\/code><\/pre>\n
\nN\u00fc\u00fcd loome r\u00fchma (n\u00e4iteks, sg-fgpp-mab<\/i> ) Active Directory-s telefoni jaoks ja lisame sinna \u00fche seadme testimiseks (minu juhul see Grandstream GXP2160<\/i><\/b> MAC-aadressiga 000b.82ba.a7b1<\/b> ja vastava kontoga domain 00b82baa7b1<\/b>). <\/p>\n
Loodud grupi jaoks alandame paroolipoliitika n\u00f5udeid (kasutades Fine-Grained Password Policies<\/a><\/noindex> Active Directory Administrative Center -> domain -> System -> Password Settings Container) j\u00e4rgmiste parameetritega Password-Settings-for-MAB<\/i><\/b>:<\/p>\n
\"802.1X
\n
\nsellega lubame kasutada seadmete MAC-aadresse paroolidena. P\u00e4rast seda saame luua v\u00f5rgu poliitika 802.1x autentimiseks meetodi mab, nimetame selle neag-devices-8021x-voice. Parameetrid j\u00e4rgmised:<\/p>\n