{"id":42118,"date":"2019-03-18T00:00:00","date_gmt":"2019-03-17T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad"},"modified":"2020-02-18T13:44:55","modified_gmt":"2020-02-18T10:44:55","slug":"nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/administrirovanie\/nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad","title":{"rendered":"Configuration de 802.1X sur des commutateurs Cisco \u00e0 l'aide d'un NPS r\u00e9silient (Windows RADIUS avec AD)","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Configuration
\nConsid\u00e9rons l'utilisation pratique de Windows Active Directory + NPS (2 serveurs pour assurer la r\u00e9silience) + la norme 802.1x pour le contr\u00f4le d'acc\u00e8s et l'authentification des utilisateurs \u2013 des ordinateurs de domaine \u2013 des appareils. Vous pouvez consulter la th\u00e9orie sur la norme sur Wikipedia, via le lien : IEEE 802.1X<\/a><\/noindex><\/p>\n

Comme mon \"laboratoire\" est limit\u00e9 en ressources, je combine les r\u00f4les de NPS et de contr\u00f4leur de domaine, mais je vous recommande de s\u00e9parer ces services critiques.<\/p>\n

Je ne connais pas de m\u00e9thodes standard pour synchroniser les configurations (politiques) de Windows NPS, donc nous allons utiliser des scripts PowerShell, ex\u00e9cut\u00e9s par le planificateur de t\u00e2ches (l'auteur \u00e9tant un ancien coll\u00e8gue). Pour l'authentification des ordinateurs du domaine et pour les appareils qui ne connaissent pas 802.1x<\/b> (t\u00e9l\u00e9phones, imprimantes, etc.), une strat\u00e9gie de groupe sera configur\u00e9e et des groupes de s\u00e9curit\u00e9 seront cr\u00e9\u00e9s.<\/p>\n

\u00c0 la fin de l'article, je parlerai de certaines subtilit\u00e9s du travail avec 802.1x \u2013 comment utiliser des commutateurs non g\u00e9r\u00e9s, des ACL dynamiques, etc. Je partagerai des informations sur les \"bug\" d\u00e9tect\u00e9s...
\n<\/a><\/noindex>
\nCommen\u00e7ons par l'installation et la configuration du NPS de secours sur Windows Server 2012R2 (c'est similaire sur 2016) : via le Gestionnaire de serveur -> Assistant Ajout de r\u00f4les et fonctionnalit\u00e9s, nous choisissons uniquement le serveur de politique r\u00e9seau.<\/p>\n

\"Configuration
\n
\nou avec PowerShell :<\/p>\n

Install-WindowsFeature NPAS -IncludeManagementTools<\/code><\/pre>\n
<\/p>\n
Une petite clarification : comme pour Protected EAP (PEAP)<\/b> vous aurez absolument besoin d'un certificat confirmant l'authenticit\u00e9 du serveur (avec les droits d'utilisation appropri\u00e9s), qui sera sur les ordinateurs clients de confiance, donc vous aurez probablement besoin d'installer \u00e9galement le r\u00f4le Certification Authority<\/b>. Mais consid\u00e9rons que CA<\/b> est d\u00e9j\u00e0 install\u00e9 chez vous\u2026<\/p><\/blockquote>\n
 Faisons de m\u00eame sur le deuxi\u00e8me serveur. Cr\u00e9ons un dossier pour le script C:Scripts sur les deux serveurs et un dossier r\u00e9seau sur le deuxi\u00e8me serveur SRV2NPS-config$<\/b><\/p>\n
Sur le premier serveur, nous allons cr\u00e9er un script PowerShell C:ScriptsExport-NPS-config.ps1<\/i> avec le contenu suivant :<\/p>\n
Export-NpsConfiguration -Path \"SRV2NPS-config$NPS.xml\"<\/code><\/pre>\n
\nApr\u00e8s cela, configurons une t\u00e2che dans le Planificateur de t\u00e2ches : \"Export-NpsConfiguration<\/i>\u201d<\/p>\n
powershell -executionpolicy unrestricted -f \"C:ScriptsExport-NPS-config.ps1\"<\/code><\/pre>\n
\nEx\u00e9cuter pour tous les utilisateurs \u2014 Ex\u00e9cuter avec les privil\u00e8ges les plus \u00e9lev\u00e9s
\nQuotidiennement \u2014 R\u00e9p\u00e9ter la t\u00e2che toutes les 10 minutes pendant 8 heures.<\/i><\/p>\n
Sur le NPS de secours, nous allons configurer l'importation de la configuration (politiques) :
\nnous allons cr\u00e9er un script PowerShell :<\/p>\n
echo Import-NpsConfiguration -Path \"c:NPS-configNPS.xml\" >> C:ScriptsImport-NPS-config.ps1<\/code><\/pre>\n
\net une t\u00e2che pour son ex\u00e9cution toutes les 10 minutes :<\/p>\n
powershell -executionpolicy unrestricted -f \"C:ScriptsImport-NPS-config.ps1\"<\/code><\/pre>\n
\nEx\u00e9cuter pour tous les utilisateurs \u2014 Ex\u00e9cuter avec les privil\u00e8ges les plus \u00e9lev\u00e9s
\nQuotidiennement \u2014 R\u00e9p\u00e9ter la t\u00e2che toutes les 10 minutes pendant 8 heures.<\/i><\/p>\n
Maintenant, pour la v\u00e9rification, ajoutons dans NPS sur l'un des serveurs (!) quelques commutateurs en tant que clients RADIUS (IP et Shared Secret), deux politiques de requ\u00eate de connexion : WIRED-Connect<\/b> (Condition : \u201cType de port NAS \u2013 Ethernet\u201d) et WiFi-Enterprise<\/b> (Condition : \u201cType de port NAS \u2013 IEEE 802.11\u201d), ainsi qu'une politique r\u00e9seau Acc\u00e8s aux dispositifs r\u00e9seau Cisco<\/i><\/b> (Administrateurs r\u00e9seau) :<\/p>\n
Conditions :\nGroupes Windows - domainsg-network-admins\nRestrictions :\nM\u00e9thodes d'authentification - Authentification en texte clair (PAP, SPAP)\nParam\u00e8tres :\nAttributs RADIUS : Standard - Service-Type - Login\nD\u00e9pendants du fournisseur - Cisco-AV-Pair - Cisco - shell:priv-lvl=15<\/code><\/pre>\n
Du c\u00f4t\u00e9 des commutateurs, les configurations suivantes :<\/b><\/p>\n
aaa new-model\naaa local authentication attempts max-fail 5\n!\n!\naaa group server radius NPS\n server-private 192.168.38.151 auth-port 1812 acct-port 1813 key %shared_secret%\n server-private 192.168.10.151 auth-port 1812 acct-port 1813 key %shared_secret%\n!\naaa authentication login default group NPS local\naaa authentication dot1x default group NPS\naaa authorization console\naaa authorization exec default group NPS local if-authenticated\naaa authorization network default group NPS\n!\naaa session-id common\n!\nidentity profile default\n!\ndot1x system-auth-control\n!\n!\nline vty 0 4\n exec-timeout 5 0\n transport input ssh\n escape-character 99\nline vty 5 15\n exec-timeout 5 0\n logging synchronous\n transport input ssh\n escape-character 99<\/code><\/pre>\n
Apr\u00e8s la configuration, apr\u00e8s 10 minutes, toutes les politiques de param\u00e8tres des clients doivent appara\u00eetre \u00e9galement sur le NPS de secours et nous pourrons nous authentifier sur les commutateurs avec un compte Active Directory, membre du groupe domainsg-network-admins (que nous avons cr\u00e9\u00e9 au pr\u00e9alable).<\/p>\n
Passons \u00e0 la configuration d'Active Directory \u2013 cr\u00e9ons des politiques de groupe et de mot de passe, et cr\u00e9ons les groupes n\u00e9cessaires.<\/p>\n
Politique de groupe Computers-8021x-Settings<\/b><\/i>:<\/p>\n
<\/p>\n
Configuration de l'ordinateur (Activ\u00e9)\n   Politiques\n     Param\u00e8tres Windows\n        Param\u00e8tres de s\u00e9curit\u00e9\n          Services syst\u00e8me\n     Wired AutoConfig (Mode de d\u00e9marrage : Automatique)\nPolitiques de r\u00e9seau c\u00e2bl\u00e9 (802.3)<\/code><\/pre>\n
<\/b>
\nNPS-802-1x<\/b><\/p>\n
Nom\tNPS-802-1x\nDescription\t802.1x\nParam\u00e8tres globaux\nPARAM\u00c8TRE\tVALEUR\nUtiliser les services r\u00e9seau LAN c\u00e2bl\u00e9s Windows pour les clients\tActiv\u00e9\nIdentifiants utilisateur partag\u00e9s pour l'authentification r\u00e9seau\tActiv\u00e9\nProfil r\u00e9seau\nParam\u00e8tres de s\u00e9curit\u00e9\nActiver l'utilisation de l'authentification IEEE 802.1X pour l'acc\u00e8s au r\u00e9seau\tActiv\u00e9\nAppliquer l'utilisation de l'authentification IEEE 802.1X pour l'acc\u00e8s au r\u00e9seau\tD\u00e9sactiv\u00e9\nParam\u00e8tres IEEE 802.1X\nAuthentification des ordinateurs\tOrdinateur uniquement\n\u00c9checs d'authentification maximum\t10\nMessages EAPOL-Start maximum envoy\u00e9s\t \nDur\u00e9e de maintien (secondes)\t \nDur\u00e9e de d\u00e9marrage (secondes)\t \nDur\u00e9e d'authentification (secondes)\t \nPropri\u00e9t\u00e9s de m\u00e9thode d'authentification r\u00e9seau\nM\u00e9thode d'authentification\tEAP prot\u00e9g\u00e9 (PEAP)\nValider le certificat du serveur\tActiv\u00e9\nSe connecter \u00e0 ces serveurs\t \nNe pas demander \u00e0 l'utilisateur d'autoriser de nouveaux serveurs ou autorit\u00e9s de certification de confiance\tD\u00e9sactiv\u00e9\nActiver la reconnexion rapide\tActiv\u00e9\nSe d\u00e9connecter si le serveur ne pr\u00e9sente pas le TLV de cryptobinding\tD\u00e9sactiv\u00e9\nFaire respecter la protection de l'acc\u00e8s au r\u00e9seau\tD\u00e9sactiv\u00e9\nConfiguration de la m\u00e9thode d'authentification\nM\u00e9thode d'authentification\tMot de passe s\u00e9curis\u00e9 (EAP-MSCHAP v2)\nUtiliser automatiquement mon nom de connexion et mon mot de passe Windows (et le domaine le cas \u00e9ch\u00e9ant)\tActiv\u00e9<\/code><\/pre>\n
\"Configuration
\n
\nCr\u00e9ons un groupe de s\u00e9curit\u00e9 sg-computers-8021x-vl100<\/i><\/b>, o\u00f9 nous allons ajouter les ordinateurs que nous souhaitons distribuer dans le VLAN 100 et configurer le filtrage pour la strat\u00e9gie de groupe cr\u00e9\u00e9e pr\u00e9c\u00e9demment pour ce groupe :<\/p>\n
\"Configuration
\n
\nPour v\u00e9rifier si la strat\u00e9gie a \u00e9t\u00e9 appliqu\u00e9e avec succ\u00e8s, ouvrez \u00ab Centre de gestion des r\u00e9seaux et partage (Param\u00e8tres r\u00e9seau et Internet) \u2013 Modifier les param\u00e8tres de l\u2019adaptateur (Configurer les param\u00e8tres de l\u2019adaptateur) \u2013 Propri\u00e9t\u00e9s de l\u2019adaptateur \u00bb, o\u00f9 nous pourrons voir l'onglet \u00ab Authentification \u00bb :<\/p>\n
\"Configuration
\n
\nUne fois que vous avez v\u00e9rifi\u00e9 que la strat\u00e9gie est appliqu\u00e9e avec succ\u00e8s, vous pouvez passer \u00e0 la configuration de la politique r\u00e9seau sur NPS et des ports du commutateur de niveau d'acc\u00e8s.<\/p>\n
Cr\u00e9ons une politique r\u00e9seau neag-computers-8021x-vl100<\/i><\/b>:<\/p>\n
Conditions :\n  Groupes Windows - sg-computers-8021x-vl100\n  Type de port NAS - Ethernet\nContraintes :\n  M\u00e9thodes d'authentification - Microsoft : EAP prot\u00e9g\u00e9 (PEAP) - Authentification non chiffr\u00e9e (PAP, SPAP)\n  Type de port NAS - Ethernet\nParam\u00e8tres :\n  Standard :\n   Framed-MTU 1344\n   TunnelMediumType 802 (inclut tous les supports 802 plus le format canonique Ethernet)\n   TunnelPrivateGroupId  100\n   TunnelType  R\u00e9seaux Locaux Virtuels (VLAN)<\/code><\/pre>\n
\n\"Configuration
\n
\nParam\u00e8tres typiques pour le port du commutateur (je souligne qu'il utilise le type d'authentification \u00ab multi-domaine \u00bb \u2013 Donn\u00e9es & Voix, et qu'il y a aussi la possibilit\u00e9 d'authentification par adresse MAC. Pendant la p\u00e9riode de \u00ab transition \u00bb, il est judicieux d'utiliser dans les param\u00e8tres :<\/p>\n
\nauthentication event fail action authorize vlan 100\nauthentication event no-response action authorize vlan 100\n<\/code><\/pre>\n
\nid VLAN non \u00ab de quarantaine \u00bb, mais identique \u00e0 celui o\u00f9 l'ordinateur de l'utilisateur doit entrer, apr\u00e8s avoir \u00e9t\u00e9 autoris\u00e9 avec succ\u00e8s \u2013 tant que nous ne sommes pas s\u00fbrs que tout fonctionne correctement. Ces m\u00eames param\u00e8tres peuvent \u00eatre utilis\u00e9s dans d'autres sc\u00e9narios, par exemple, lorsque ce port est connect\u00e9 \u00e0 un commutateur non g\u00e9r\u00e9 et que vous souhaitez que tous les appareils connect\u00e9s \u00e0 celui-ci et n'ayant pas pass\u00e9 l'authentification soient plac\u00e9s dans un VLAN sp\u00e9cifique (\u00ab de quarantaine \u00bb).<\/p>\n
param\u00e8tres du port du commutateur en mode 802.1x host-mode multi-domain<\/b><\/p>\n
default int range Gi1\/0\/39-41\nint range Gi1\/0\/39-41\nshu\ndes PC-IPhone_802.1x\nswitchport mode access\nswitchport nonegotiate\nswitchport voice vlan 55\nswitchport port-security maximum 2\nauthentication event fail action authorize vlan 100\nauthentication event no-response action authorize vlan 100\nauthentication host-mode multi-domain\nauthentication port-control auto\nauthentication violation restrict\nmab\ndot1x pae authenticator\ndot1x timeout quiet-period 15\ndot1x timeout tx-period 3\nstorm-control broadcast level pps 100\nstorm-control multicast level pps 110\nno vtp\nlldp receive\nlldp transmit\nspanning-tree portfast\nno shu\nexit<\/code><\/pre>\n
Vous pouvez v\u00e9rifier que l\u2019ordinateur\/t\u00e9l\u00e9phone s\u2019est authentifi\u00e9 avec succ\u00e8s en utilisant la commande :<\/p>\n
sh authentication sessions int Gi1\/0\/39 det<\/code><\/pre>\n
\nMaintenant, cr\u00e9ons un groupe (par exemple, sg-fgpp-mab<\/i> ) dans Active Directory pour les t\u00e9l\u00e9phones et ajoutons-en un pour les tests (dans mon cas, c'est Grandstream GXP2160<\/i><\/b> avec l'adresse MAC 000b.82ba.a7b1<\/b> et avec le compte correspondant domaine 00b82baa7b1<\/b>). <\/p>\n
Pour le groupe cr\u00e9\u00e9, nous allons r\u00e9duire les exigences de la politique de mots de passe (en utilisant Fine-Grained Password Policies<\/a><\/noindex> via le Centre d'Administration Active Directory -> domaine -> Syst\u00e8me -> Conteneur de Param\u00e8tres de Mots de Passe) avec les param\u00e8tres suivants Param\u00e8tres de Mots de Passe pour MAB<\/i><\/b>:<\/p>\n
\"Configuration
\n
\nce qui nous permettra d'utiliser l'adresse MAC des appareils comme mots de passe. Apr\u00e8s cela, nous pourrons cr\u00e9er une politique r\u00e9seau pour l'authentification 802.1x m\u00e9thode mab, que nous appellerons neag-devices-8021x-voice. Les param\u00e8tres sont les suivants :<\/p>\n