{"id":42118,"date":"2019-03-18T00:00:00","date_gmt":"2019-03-17T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad"},"modified":"2020-02-18T13:44:55","modified_gmt":"2020-02-18T10:44:55","slug":"nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad","title":{"rendered":"Configurazione di 802.1X su switch Cisco tramite NPS a tolleranza di guasto (Windows RADIUS con AD)","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Configurazione
\nEsaminiamo nella pratica l'uso di Windows Active Directory + NPS (2 server per garantire l'affidabilit\u00e0) + standard 802.1x per il controllo degli accessi e l'autenticazione degli utenti \u2013 computer di dominio \u2013 dispositivi. \u00c8 possibile consultare la teoria relativa allo standard su Wikipedia, al seguente link: IEEE 802.1X<\/a><\/noindex><\/p>\n

Poich\u00e9 il mio \"laboratorio\" \u00e8 limitato in risorse, unisco i ruoli di NPS e controller di dominio, ma vi consiglio di separare questi servizi critici.<\/p>\n

Non conoscendo modi standard per sincronizzare le configurazioni (politiche) di Windows NPS, utilizzeremo script PowerShell, eseguiti tramite il Task Scheduler (l'autore \u00e8 un mio ex collega). Per l'autenticazione dei computer di dominio e per i dispositivi che non supportano 802.1x<\/b> (telefoni, stampanti, ecc.), verr\u00e0 configurata una politica di gruppo e create delle gruppi di sicurezza.<\/p>\n

Alla fine dell'articolo parler\u00f2 di alcuni aspetti del lavoro con 802.1x \u2013 come \u00e8 possibile utilizzare switch non gestiti, ACL dinamici, ecc. Condivider\u00f2 delle informazioni su \"bug\" catturati...
\n<\/a><\/noindex>
\nIniziamo con l'installazione e la configurazione del failover NPS su Windows Server 2012R2 (su 2016 \u00e8 tutto simile): tramite Server Manager -> Aggiungi Ruoli e Funzionalit\u00e0, selezioniamo solo Network Policy Server.<\/p>\n

\"Configurazione
\n
\noppure utilizzando PowerShell:<\/p>\n

Install-WindowsFeature NPAS -IncludeManagementTools<\/code><\/pre>\n
<\/p>\n
Una piccola precisazione \u2013 poich\u00e9 per Protected EAP (PEAP)<\/b> avrete necessariamente bisogno di un certificato che attesti l'autenticit\u00e0 del server (con i diritti appropriati per l'uso), che sar\u00e0 presente nei client fidati, potrebbe quindi essere necessario installare anche il ruolo Certification Authority<\/b>. Ma consideriamo che CA<\/b> sia gi\u00e0 installato...<\/p><\/blockquote>\n
 Faremo lo stesso sul secondo server. Creiamo una cartella per lo script C:Scripts su entrambi i server e una cartella di rete sul secondo server SRV2NPS-config$<\/b><\/p>\n
Sul primo server creeremo uno script PowerShell C:ScriptsExport-NPS-config.ps1<\/i> con il seguente contenuto:<\/p>\n
Export-NpsConfiguration -Path \"SRV2NPS-config$NPS.xml\"<\/code><\/pre>\n
\nDopo di che configureremo un'attivit\u00e0 nel Task Scheduler: \u201cExport-NpsConfiguration<\/i>\u201d<\/p>\n
powershell -executionpolicy unrestricted -f \"C:ScriptsExport-NPS-config.ps1\"<\/code><\/pre>\n
\nEseguire per tutti gli utenti \u2014 Eseguire con diritti elevati
\nQuotidianamente \u2014 Ripetere l'attivit\u00e0 ogni 10 min. per 8 ore.<\/i><\/p>\n
Sul NPS di backup configureremo l'importazione della configurazione (politiche):
\ncreeremo uno script PowerShell:<\/p>\n
echo Import-NpsConfiguration -Path \"c:NPS-configNPS.xml\" >> C:ScriptsImport-NPS-config.ps1<\/code><\/pre>\n
\ne un'attivit\u00e0 per la sua esecuzione ogni 10 minuti:<\/p>\n
powershell -executionpolicy unrestricted -f \"C:ScriptsImport-NPS-config.ps1\"<\/code><\/pre>\n
\nEseguire per tutti gli utenti \u2014 Eseguire con diritti elevati
\nQuotidianamente \u2014 Ripetere l'attivit\u00e0 ogni 10 min. per 8 ore.<\/i><\/p>\n
Ora, per verificare, aggiungiamo al NPS su uno dei server(!) un paio di switch come client RADIUS (IP e Shared Secret), due politiche di richiesta di connessione: WIRED-Connect<\/b> (Condizione: \u201cTipo di porta NAS \u2013 Ethernet\u201d) e WiFi-Enterprise<\/b> (Condizione: \u201cTipo di porta NAS \u2013 IEEE 802.11\u201d), oltre alla politica di rete Access Cisco Network Devices<\/i><\/b> (Amministratori di rete):<\/p>\n
Condizioni:\nGruppi Windows - domainsg-network-admins\nLimitazioni:\nMetodi di autenticazione - Autenticazione in chiaro (PAP, SPAP)\nParametri:\nAttributi RADIUS: Standard - Service-Type - Login\nSpecifici del fornitore - Cisco-AV-Pair - Cisco - shell:priv-lvl=15<\/code><\/pre>\n
Dalla parte degli switch, le seguenti impostazioni:<\/b><\/p>\n
aaa new-model\naaa local authentication attempts max-fail 5\n!\n!\naaa group server radius NPS\n server-private 192.168.38.151 auth-port 1812 acct-port 1813 key %shared_secret%\n server-private 192.168.10.151 auth-port 1812 acct-port 1813 key %shared_secret%\n!\naaa authentication login default group NPS local\naaa authentication dot1x default group NPS\naaa authorization console\naaa authorization exec default group NPS local if-authenticated\naaa authorization network default group NPS\n!\naaa session-id common\n!\nidentity profile default\n!\ndot1x system-auth-control\n!\n!\nline vty 0 4\n exec-timeout 5 0\n transport input ssh\n escape-character 99\nline vty 5 15\n exec-timeout 5 0\n logging synchronous\n transport input ssh\n escape-character 99<\/code><\/pre>\n
Dopo la configurazione, dopo 10 minuti, tutte le politiche client e parametri dovrebbero apparire anche sul NPS di riserva e possiamo autenticarci sugli switch utilizzando un'account Active Directory, membro del gruppo domainsg-network-admins (che abbiamo creato in precedenza).<\/p>\n
Passiamo alla configurazione di Active Directory \u2013 creeremo politiche di gruppo e di password, creeremo i gruppi necessari.<\/p>\n
Politica di gruppo Computers-8021x-Settings<\/b><\/i>:<\/p>\n
<\/p>\n
Configurazione computer (Abilitata)\n   Politiche\n     Impostazioni Windows\n        Impostazioni di sicurezza\n          Servizi di sistema\n     Wired AutoConfig (Modalit\u00e0 di avvio: Automatica)\nWired Network (802.3) Politiche<\/code><\/pre>\n
<\/b>
\nNPS-802-1x<\/b><\/p>\n
Nome\tNPS-802-1x\nDescrizione\t802.1x\nImpostazioni globali\nIMPOSTAZIONE\tVALORE\nUtilizzare i servizi di rete LAN cablata di Windows per i clienti\tAbilitato\nCredenziali utente condivise per l'autenticazione della rete\tAbilitato\nProfilo di rete\nImpostazioni di sicurezza\nAbilitare l'uso dell'autenticazione IEEE 802.1X per l'accesso alla rete\tAbilitato\nForzare l'uso dell'autenticazione IEEE 802.1X per l'accesso alla rete\tDisabilitato\nImpostazioni IEEE 802.1X\nAutenticazione del computer\tSolo computer\nMassimo fallimenti di autenticazione\t10\nMassimo messaggi EAPOL-Start inviati\t \nPeriodo di attesa (secondi)\t \nPeriodo di avvio (secondi)\t \nPeriodo di autenticazione (secondi)\t \nPropriet\u00e0 del metodo di autenticazione della rete\nMetodo di autenticazione\tProtected EAP (PEAP)\nValidare il certificato del server\tAbilitato\nConnettersi a questi server\t \nNon richiedere all'utente di autorizzare nuovi server o autorit\u00e0 di certificazione fidate\tDisabilitato\nAbilitare il fast reconnect\tAbilitato\nDisconnettere se il server non presenta il cryptobinding TLV\tDisabilitato\nForzare la protezione dell'accesso alla rete\tDisabilitato\nConfigurazione del metodo di autenticazione\nMetodo di autenticazione\tPassword protetta (EAP-MSCHAP v2)\nUtilizzare automaticamente il mio nome utente e password di Windows (e dominio, se presente)\tAbilitato<\/code><\/pre>\n
\"Configurazione
\n
\nCreiamo un gruppo di sicurezza sg-computers-8021x-vl100<\/i><\/b>, dove aggiungeremo i computer che vogliamo distribuire nella vlan 100 e configureremo la filtrazione per la politica di gruppo creata in precedenza su questo gruppo:<\/p>\n
\"Configurazione
\n
\nPer verificare che la politica sia stata applicata con successo, puoi aprire \u201cCentro di gestione reti e condivisione (Impostazioni rete e Internet) \u2013 Modifica impostazioni adattatore (Configurazione impostazioni adattatore) \u2013 Propriet\u00e0 adattatore\u201d, dove potremo vedere la scheda \u201cAutenticazione\u201d:<\/p>\n
\"Configurazione
\n
\nQuando ci siamo assicurati che la politica venga applicata con successo, possiamo passare alla configurazione della politica di rete su NPS e delle porte dello switch di accesso.<\/p>\n
Creiamo una politica di rete neag-computers-8021x-vl100<\/i><\/b>:<\/p>\n
Condizioni:\n  Gruppi Windows - sg-computers-8021x-vl100\n  Tipo di porta NAS - Ethernet\nVincoli:\n  Metodi di autenticazione - Microsoft: Protected EAP (PEAP) - Autenticazione non crittografata (PAP, SPAP)\n  Tipo di porta NAS - Ethernet\nImpostazioni:\n  Standard:\n   Framed-MTU 1344\n   TunnelMediumType 802 (include tutti i media 802 pi\u00f9 il formato canonico Ethernet)\n   TunnelPrivateGroupId  100\n   TunnelType  VLAN virtuali<\/code><\/pre>\n
\n\"Configurazione
\n
\nImpostazioni di base per la porta dello switch (faccio notare che viene utilizzato il tipo di autenticazione \u201cmulti-dominio\u201d \u2013 Data & Voice, e c'\u00e8 anche la possibilit\u00e0 di autenticazione tramite indirizzo mac. Nel periodo di \u201ctransizione\u201d ha senso utilizzare nei parametri:<\/p>\n
\neventi di autenticazione falliti azione autorizza vlan 100\neventi di autenticazione nessuna risposta azione autorizza vlan 100\n<\/code><\/pre>\n
\nvlan id non \u201cquarantena\u201d, ma lo stesso a cui il computer utente deve accedere, autorizzando con successo \u2013 finch\u00e9 non ci assicuriamo che tutto funzioni correttamente. Questi stessi parametri possono essere utilizzati anche in altri scenari, ad esempio quando su questa porta \u00e8 collegato uno switch non gestito e vuoi che tutti i dispositivi connessi che non hanno superato l'autenticazione rientrino in una certa vlan (\u201cquarantena\u201d).<\/p>\n
impostazioni della porta dello switch in modalit\u00e0 802.1x host-mode multi-domain<\/b><\/p>\n
default int range Gi1\/0\/39-41\nint range Gi1\/0\/39-41\nshu\ndes PC-IPhone_802.1x\nswitchport mode access\nswitchport nonegotiate\nswitchport voice vlan 55\nswitchport port-security maximum 2\neventi di autenticazione falliti azione autorizza vlan 100\neventi di autenticazione nessuna risposta azione autorizza vlan 100\nautenticazione host-mode multi-domain\nautenticazione controllo porta auto\nautenticazione violazione restrittiva\nmab\ndot1x pae autentificatore\ndot1x timeout quiet-period 15\ndot1x timeout tx-period 3\nstorm-control broadcast level pps 100\nstorm-control multicast level pps 110\nno vtp\nlldp ricevi\nlldp trasmetti\nspanning-tree portfast\nno shu\nexit<\/code><\/pre>\n
Puoi verificare che il computer\/telefono abbia superato l'autenticazione con il comando:<\/p>\n
sh authentication sessions int Gi1\/0\/39 det<\/code><\/pre>\n
\nOra creiamo un gruppo (ad esempio, sg-fgpp-mab<\/i> ) in Active Directory per i telefoni e aggiungeremo un dispositivo per i test (nel mio caso si tratta di Grandstream GXP2160<\/i><\/b> con l'indirizzo MAC 000b.82ba.a7b1<\/b> e la corrispondente registrazione domain 00b82baa7b1<\/b>). <\/p>\n
Per il gruppo creato, abbasseremo i requisiti della politica delle password (utilizzando Fine-Grained Password Policies<\/a><\/noindex> attraverso Active Directory Administrative Center -> domain -> System -> Password Settings Container) con i seguenti parametri Password-Settings-for-MAB<\/i><\/b>:<\/p>\n
\"Configurazione
\n
\nin questo modo consentiremo di utilizzare l'indirizzo MAC dei dispositivi come password. Dopo di che possiamo creare una politica di rete per l'autenticazione 802.1x method mab, chiamandola neag-devices-8021x-voice. I parametri sono i seguenti:<\/p>\n