{"id":42118,"date":"2019-03-18T00:00:00","date_gmt":"2019-03-17T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad"},"modified":"2020-02-18T13:44:55","modified_gmt":"2020-02-18T10:44:55","slug":"nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hr\/blog\/administrirovanie\/nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad","title":{"rendered":"Postavljanje 802.1X na Cisco preklopnicima uz pomo\u0107 otpornih NPS (Windows RADIUS s AD)","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Postavljanje
\nPogledajmo u praksi kori\u0161tenje Windows Active Directory + NPS (2 servera za osiguranje otpornosti) + standard 802.1x za kontrolu pristupa i autentifikaciju korisnika \u2013 domena ra\u010dunala \u2013 ure\u0111aja. Teoriju o standardu mo\u017eete prona\u0107i na Wikipediji, putem linka: IEEE 802.1X<\/a><\/noindex><\/p>\n

Budu\u0107i da je moja 'laboratorija' ograni\u010dena po resursima, kombiniram NPS ulogu i kontroler domene, no preporu\u010dujem vam da odvojite tako kriti\u010dne servise.<\/p>\n

Ne znam standardne metode za sinkronizaciju konfiguracija (politika) Windows NPS, stoga \u0107emo koristiti PowerShell skripte koje pokre\u0107e planira\u010d zadataka (autor je moj biv\u0161i kolega). Za autentifikaciju domena ra\u010dunala i za ure\u0111aje koji ne podr\u017eavaju 802.1x<\/b> (telefoni, pisa\u010di i sl.), bit \u0107e postavljena grupna politika i kreirane sigurnosne grupe.<\/p>\n

Na kraju \u010dlanka re\u0107i \u0107u ne\u0161to o nekim suptilnostima rada s 802.1x \u2013 kako koristiti nerazumne preklopnike, dinami\u010dke ACL-ove i sl. Podijelit \u0107u informacije o zabilje\u017eenim 'gre\u0161kama'...
\n<\/a><\/noindex>
\nPo\u010dnimo s instalacijom i postavljanjem failover NPS-a na Windows Serveru 2012R2 (na 2016. je sve sli\u010dno): putem Server Managera -> Add Roles and Features Wizard biramo samo Network Policy Server.<\/p>\n

\"Postavljanje
\n
\nili pomo\u0107u PowerShell-a:<\/p>\n

Install-WindowsFeature NPAS -IncludeManagementTools<\/code><\/pre>\n
<\/p>\n
Malo poja\u0161njenje \u2013 budu\u0107i da za Protected EAP (PEAP)<\/b> bit \u0107e vam obavezno potreban certifikat koji potvr\u0111uje autenti\u010dnost poslu\u017eitelja (s odgovaraju\u0107im pravima na kori\u0161tenje), koji \u0107e se nalaziti u povjerenim na klijentskim ra\u010dunalima, stoga \u0107e vam vjerojatno trebati instalirati i ulogu Certification Authority<\/b>. No pretpostavimo da CA<\/b> ve\u0107 imate instaliran\u2026<\/p><\/blockquote>\n
 U\u010dinit \u0107emo isto i na drugom serveru. Kreirat \u0107emo mapu za skriptu C:Scripts na oba servera i mre\u017enu mapu na drugom serveru SRV2NPS-config$<\/b><\/p>\n
Na prvom serveru kreiramo PowerShell skriptu C:ScriptsExport-NPS-config.ps1<\/i> s sljede\u0107im sadr\u017eajem:<\/p>\n
Export-NpsConfiguration -Path \"SRV2NPS-config$NPS.xml\"<\/code><\/pre>\n
\nNakon toga postavit \u0107emo zadatak u Task Scheduler: \u201cExport-NpsConfiguration<\/i>\u201d<\/p>\n
powershell -executionpolicy unrestricted -f \"C:ScriptsExport-NPS-config.ps1\"<\/code><\/pre>\n
\nIzvr\u0161ava se za sve korisnike \u2014 Izvr\u0161i s najvi\u0161im pravima
\nDnevno \u2014 Ponovi zadatak svake 10 minuta tijekom 8 sati.<\/i><\/p>\n
Na rezervnom NPS-u postavljamo uvoz konfiguracije (politika):
\nkreirat \u0107emo PowerShell skriptu:<\/p>\n
echo Import-NpsConfiguration -Path \"c:NPS-configNPS.xml\" >> C:ScriptsImport-NPS-config.ps1<\/code><\/pre>\n
\ni zadatak za njegovo izvr\u0161avanje svake 10 minuta:<\/p>\n
powershell -executionpolicy unrestricted -f \"C:ScriptsImport-NPS-config.ps1\"<\/code><\/pre>\n
\nIzvr\u0161ava se za sve korisnike \u2014 Izvr\u0161i s najvi\u0161im pravima
\nDnevno \u2014 Ponovi zadatak svake 10 minuta tijekom 8 sati.<\/i><\/p>\n
Sada, da bismo provjerili, dodajmo nekoliko preklopnika u RADIUS klijente na jednom od servera (!) (IP i Shared Secret), dvije politike zahtjeva za povezivanje: WIRED-Connect<\/b> (Uslov: \u201cTip porta NAS \u2013 Ethernet\u201d) i WiFi-Enterprise<\/b> (Uslov: \u201cTip porta NAS \u2013 IEEE 802.11\u201d), kao i mre\u017enu politiku Access Cisco Network Devices<\/i><\/b> (Network Admins):<\/p>\n
Uslovi:\nGrupe Windows - domainsg-network-admins\nOgrani\u010denja:\nMetode provjere autenti\u010dnosti - Provjera otvorenim tekstom (PAP, SPAP)\nParametri:\nAtributi RADIUS: Standard - Service-Type - Login\nZavisni od dobavlja\u010da - Cisco-AV-Pair - Cisco - shell:priv-lvl=15<\/code><\/pre>\n
Sa strane preklopnika sljede\u0107e postavke:<\/b><\/p>\n
aaa new-model\naaa local authentication attempts max-fail 5\n!\n!\naaa group server radius NPS\n server-private 192.168.38.151 auth-port 1812 acct-port 1813 key %shared_secret%\n server-private 192.168.10.151 auth-port 1812 acct-port 1813 key %shared_secret%\n!\naaa authentication login default group NPS local\naaa authentication dot1x default group NPS\naaa authorization console\naaa authorization exec default group NPS local if-authenticated\naaa authorization network default group NPS\n!\naaa session-id common\n!\nidentity profile default\n!\ndot1x system-auth-control\n!\n!\nline vty 0 4\n exec-timeout 5 0\n transport input ssh\n escape-character 99\nline vty 5 15\n exec-timeout 5 0\n logging synchronous\n transport input ssh\n escape-character 99<\/code><\/pre>\n
Nakon konfiguracije, nakon 10 minuta, svi klijenti politi\u010dkih parametara trebaju se pojaviti i na rezervnom NPS-u i mo\u0107i \u0107emo se autentificirati na preklopnicima koriste\u0107i ActiveDirectory ra\u010dun, \u010dlan grupe domainsg-network-admins (koju smo prethodno kreirali).<\/p>\n
Pre\u0111imo na konfiguraciju Active Directory \u2013 kreirat \u0107emo grupnu i lozinku politike, izraditi potrebne grupe.<\/p>\n
Grupna politika Computers-8021x-Settings<\/b><\/i>:<\/p>\n
<\/p>\n
Ra\u010dunarska konfiguracija (Omogu\u0107eno)\n   Politike\n     Windows postavke\n        Postavke sigurnosti\n          Sistem usluge\n     Wired AutoConfig (Na\u010din pokretanja: Automatski)\nWired Network (802.3) Politike<\/code><\/pre>\n
<\/b>
\nNPS-802-1x<\/b><\/p>\n
Ime\tNPS-802-1x\nOpis\t802.1x\nGlobalne postavke\nPOSTAVKA\tVRIJEDNOST\nKoristite Windows \u017ei\u010dne LAN mre\u017ene usluge za klijente\tOmogu\u0107eno\nDijeljene korisni\u010dke vjerodajnice za mre\u017enu autentifikaciju\tOmogu\u0107eno\nMre\u017eni profil\nPostavke sigurnosti\nOmogu\u0107ite kori\u0161tenje IEEE 802.1X autentifikacije za mre\u017eni pristup\tOmogu\u0107eno\nProvedite kori\u0161tenje IEEE 802.1X autentifikacije za mre\u017eni pristup\tOnemogu\u0107eno\nIEEE 802.1X Postavke\nRa\u010dunarska autentifikacija\tSamo ra\u010dunar\nMaksimalni neuspesi autentifikacije\t10\nMaks. EAPOL-Start poruke poslane\t \nRazdoblje zadr\u017eavanja (sekundi)\t \nPo\u010detno razdoblje (sekundi)\t \nRazdoblje autentifikacije (sekundi)\t \nMre\u017eni autentifikacijski metodi\nMetoda autentifikacije\tZa\u0161ti\u0107eni EAP (PEAP)\nValidirajte certifikat servera\tOmogu\u0107eno\nPove\u017eite se s ovim serverima\t \nNe tra\u017eite od korisnika da autorizuje nove servere ili pouzdane certifikacijske authority\tOnemogu\u0107eno\nOmogu\u0107ite brzo ponovno povezivanje\tOmogu\u0107eno\nPrekinite ako server ne predstavi cryptobinding TLV\tOnemogu\u0107eno\nProvedite za\u0161titu pristupa mre\u017ei\tOnemogu\u0107eno\nKonfiguracija metoda autentifikacije\nMetoda autentifikacije\tZa\u0161ti\u0107ena lozinka (EAP-MSCHAP v2)\nAutomatski koristite svoje Windows prijavno ime i lozinku (i domen za koji je to potrebno)\tOmogu\u0107eno<\/code><\/pre>\n
\"Postavljanje
\n
\nKreirajmo grupu sigurnosti sg-computers-8021x-vl100<\/i><\/b>, kamo \u0107emo dodavati ra\u010dunala koja \u017eelimo rasporediti u VLAN 100 i postaviti filtraciju za prethodno stvorenu grupnu politiku za ovu grupu:<\/p>\n
\"Postavljanje
\n
\nMo\u017eete provjeriti je li politika uspje\u0161no primijenjena otvaranjem \u201cCentra za upravljanje mre\u017eama i zajedni\u010dkim pristupom (Postavke mre\u017ee i interneta) \u2013 Promjena postavki adaptera (Postavke adaptera) \u2013 Svojstva adaptera\u201d, gdje mo\u017eemo vidjeti karticu \u201cProvjera autenti\u010dnosti\u201d:<\/p>\n
\"Postavljanje
\n
\nKada se uvjerimo da se politika uspje\u0161no primjenjuje \u2013 mo\u017eemo pre\u0107i na postavljanje mre\u017ene politike na NPS i portova pristupnog switcha.<\/p>\n
Stvorit \u0107emo mre\u017enu politiku neag-computers-8021x-vl100<\/i><\/b>:<\/p>\n
Uvjeti:\n  Windows Grupe - sg-computers-8021x-vl100\n  NAS Tip Porta - Ethernet\nOgrani\u010denja:\n  Metode autentifikacije - Microsoft: Za\u0161ti\u0107eni EAP (PEAP) - Neenkripted autentifikacija (PAP, SPAP)\n  NAS Tip Porta - Ethernet\nPostavke:\n  Standard:\n   Framed-MTU 1344\n   TunnelMediumType 802 (uklju\u010duje sve 802 medije plus Ethernet kanonski format)\n   TunnelPrivateGroupId  100\n   TunnelType  Virtual LANs (VLAN)<\/code><\/pre>\n
\n\"Postavljanje
\n
\nStandardne postavke za port switcha (napominjem da se koristi tip autentifikacije \u201cmulti-domain\u201d \u2013 Podaci & Glas, kao i mogu\u0107nost autentifikacije prema MAC adresi. Tijekom \u201cprijelaznog razdoblja\u201d ima smisla koristiti u postavkama:<\/p>\n
\nauthentication event fail action authorize vlan 100\nauthentication event no-response action authorize vlan 100\n<\/code><\/pre>\n
\nvlan id nije \u201ckarantenski\u201d, ve\u0107 onaj u koji bi korisni\u010dko ra\u010dunalo trebalo u\u0107i, uspje\u0161no se autorizirav\u0161i \u2013 dok se ne uvjerimo da sve funkcionira kako treba. Iste postavke se mogu koristiti i u drugim scenarijima, na primjer, kada u ovaj port umetnete neure\u0111eni switch i \u017eelite da svi ure\u0111aji priklju\u010deni na njega, a koji nisu pro\u0161li autentifikaciju, budu smje\u0161teni u odre\u0111eni vlan (\u201ckarantenski\u201d).<\/p>\n
postavke porta switcha u modu 802.1x  host-mode multi-domain<\/b><\/p>\n
default int range Gi1\/0\/39-41\nint range Gi1\/0\/39-41\nshu\ndes PC-IPhone_802.1x\nswitchport mode access\nswitchport nonegotiate\nswitchport voice vlan 55\nswitchport port-security maximum 2\nauthentication event fail action authorize vlan 100\nauthentication event no-response action authorize vlan 100\nauthentication host-mode multi-domain\nauthentication port-control auto\nauthentication violation restrict\nmab\ndot1x pae authenticator\ndot1x timeout quiet-period 15\ndot1x timeout tx-period 3\nstorm-control broadcast level pps 100\nstorm-control multicast level pps 110\nno vtp\nlldp receive\nlldp transmit\nspanning-tree portfast\nno shu\nexit<\/code><\/pre>\n
Mo\u017eete provjeriti jesu li ra\u010dunalotelefon uspje\u0161no pro\u0161li autentifikaciju pomo\u0107u komande:<\/p>\n
sh authentication sessions int Gi1\/0\/39 det<\/code><\/pre>\n
\nSada \u0107emo stvoriti grupu (na primjer, sg-fgpp-mab<\/i> ) u Active Directory za telefone i dodajmo jedan ure\u0111aj za testiranje (u mom slu\u010daju to je Grandstream GXP2160<\/i><\/b> s MAC adresom 000b.82ba.a7b1<\/b> i odgovaraju\u0107im korisni\u010dkim ra\u010dunom domain 00b82baa7b1<\/b>). <\/p>\n
Za stvorenu grupu smanjit \u0107emo zahtjeve politike lozinki (koriste\u0107i Fine-Grained Password Policies<\/a><\/noindex> putem Active Directory Administrative Center -> domain -> System -> Password Settings Container) s ovim postavkama Password-Settings-for-MAB<\/i><\/b>:<\/p>\n
\"Postavljanje
\n
\n\u010dime \u0107emo omogu\u0107iti kori\u0161tenje MAC adresa ure\u0111aja kao lozinki. Nakon toga, mo\u0107i \u0107emo kreirati mre\u017enu politiku za autentifikaciju 802.1x metodom mab, nazvat \u0107emo je neag-devices-8021x-voice. Postavke su sljede\u0107e:<\/p>\n