{"id":42118,"date":"2019-03-18T00:00:00","date_gmt":"2019-03-17T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad"},"modified":"2020-02-18T13:44:55","modified_gmt":"2020-02-18T10:44:55","slug":"nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad","title":{"rendered":"Impostazione di 802.1X sugli switch Cisco utilizzando NPS ad alta disponibilit\u00e0 (Windows RADIUS con AD)","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Impostazione
\nVediamo nella pratica come utilizzare Active Directory di Windows + NPS (2 server per garantire l'alta disponibilit\u00e0) + standard 802.1x per il controllo dell'accesso e l'autenticazione degli utenti, ovvero computer di dominio e dispositivi. Puoi consultare la teoria sullo standard su Wikipedia, al seguente link: IEEE 802.1X<\/a><\/noindex><\/p>\n

Poich\u00e9 il mio \"laboratorio\" ha risorse limitate, faccio coincidere i ruoli di NPS e di controller di dominio, ma ti consiglio di separare comunque servizi critici come questi.<\/p>\n

Non conosco metodi standard per la sincronizzazione delle configurazioni (politiche) di Windows NPS, quindi utilizzeremo script PowerShell, eseguiti dall'Utilit\u00e0 di pianificazione (l'autore \u00e8 un mio ex collega). Per l'autenticazione dei computer di dominio e per i dispositivi che non supportano 802.1x<\/b> (telefoni, stampanti, ecc.), sar\u00e0 configurata una politica di gruppo e create delle security group.<\/p>\n

Alla fine dell'articolo parler\u00f2 di alcune sottigliezze del lavoro con 802.1x \u2013 come utilizzare switch non gestiti, dynamic ACL e altro. Condivider\u00f2 informazioni sui \"bug\" che ho catturato...
\n<\/a><\/noindex>
\nIniziamo con l'installazione e la configurazione di failover NPS su Windows Server 2012R2 (la stessa procedura vale per il 2016): tramite Server Manager -> Aggiungi ruoli e funzionalit\u00e0, selezioniamo solo Network Policy Server.<\/p>\n

\"Impostazione
\n
\noppure tramite PowerShell:<\/p>\n

Install-WindowsFeature NPAS -IncludeManagementTools<\/code><\/pre>\n
<\/p>\n
Una piccola precisazione: poich\u00e9 per Protected EAP (PEAP)<\/b> \u00e8 necessario un certificato che attesti l'autenticit\u00e0 del server (con i diritti necessari per l'uso), il quale sar\u00e0 installato sui computer client. Pertanto, sar\u00e0 probabilmente necessario installare anche il ruolo Certification Authority<\/b>. Ma supponiamo che CA<\/b> sia gi\u00e0 installato...<\/p><\/blockquote>\n
 Facciamo lo stesso anche sul secondo server. Creiamo la cartella per lo script C:Scripts su entrambi i server e la cartella di rete sul secondo server SRV2NPS-config$<\/b><\/p>\n
Sul primo server creiamo lo script PowerShell C:ScriptsExport-NPS-config.ps1<\/i> con il seguente contenuto:<\/p>\n
Export-NpsConfiguration -Path \"SRV2NPS-config$NPS.xml\"<\/code><\/pre>\n
\nDopo di che, configuriamo il compito in Task Scheduler: \u201cExport-NpsConfiguration<\/i>\u201d<\/p>\n
powershell -executionpolicy unrestricted -f \"C:ScriptsExport-NPS-config.ps1\"<\/code><\/pre>\n
\nEsegui per tutti gli utenti \u2014 Esegui con i diritti pi\u00f9 elevati
\nGiornalmente \u2014 Ripeti il compito ogni 10 minuti per 8 ore.<\/i><\/p>\n
Sull'NPS di backup configureremo l'importazione della configurazione (politiche):
\ncreeremo lo script PowerShell:<\/p>\n
echo Import-NpsConfiguration -Path \"c:NPS-configNPS.xml\" >> C:ScriptsImport-NPS-config.ps1<\/code><\/pre>\n
\ne imposta una pianificazione per l\u2019esecuzione ogni 10 minuti:<\/p>\n
powershell -executionpolicy unrestricted -f \"C:ScriptsImport-NPS-config.ps1\"<\/code><\/pre>\n
\nEsegui per tutti gli utenti \u2014 Esegui con i diritti pi\u00f9 elevati
\nGiornalmente \u2014 Ripeti il compito ogni 10 minuti per 8 ore.<\/i><\/p>\n
Ora, per la verifica, aggiungiamo in NPS su uno dei server(!) un paio di switch come clienti RADIUS (IP e Shared Secret), due politiche di richiesta di connessione: WIRED-Connect<\/b> (Condizione: \u201cTipo di porta NAS \u2013 Ethernet\u201d) e WiFi-Enterprise<\/b> (Condizione: \u201cTipo di porta NAS \u2013 IEEE 802.11\u201d), e inoltre una policy di rete Access Cisco Network Devices<\/i><\/b> (Network Admins):<\/p>\n
Condizioni:\nGruppi Windows - domainsg-network-admins\nRestrizioni:\nMetodi di autenticazione - Autenticazione in chiaro (PAP, SPAP)\nParametri:\nAttibuti RADIUS: Standard - Service-Type - Login\nDipendenti dal fornitore - Cisco-AV-Pair - Cisco - shell:priv-lvl=15<\/code><\/pre>\n
Dalla parte degli switch, le seguenti impostazioni:<\/b><\/p>\n
aaa new-model\naaa local authentication attempts max-fail 5\n!\n!\naaa group server radius NPS\n server-private 192.168.38.151 auth-port 1812 acct-port 1813 key %shared_secret%\n server-private 192.168.10.151 auth-port 1812 acct-port 1813 key %shared_secret%\n!\naaa authentication login default group NPS local\naaa authentication dot1x default group NPS\naaa authorization console\naaa authorization exec default group NPS local if-authenticated\naaa authorization network default group NPS\n!\naaa session-id common\n!\nidentity profile default\n!\ndot1x system-auth-control\n!\n!\nline vty 0 4\n exec-timeout 5 0\n transport input ssh\n escape-character 99\nline vty 5 15\n exec-timeout 5 0\n logging synchronous\n transport input ssh\n escape-character 99<\/code><\/pre>\n
Dopo la configurazione, dopo 10 minuti, tutte le politiche dei client devono apparire anche sul NPS di riserva e potremo autenticarci sugli switch usando un account Active Directory, membro del gruppo domainsg-network-admins (che abbiamo creato in precedenza).<\/p>\n
Passiamo alla configurazione di Active Directory \u2013 creiamo le politiche di gruppo e di password, creiamo i gruppi necessari.<\/p>\n
Politica di gruppo Computers-8021x-Settings<\/b><\/i>:<\/p>\n
<\/p>\n
Configurazione computer (Abilitato)\n   Politiche\n     Impostazioni Windows\n        Impostazioni di sicurezza\n          Servizi di sistema\n     Wired AutoConfig (Modalit\u00e0 di avvio: Automatica)\nPolitiche di rete cablata (802.3)<\/code><\/pre>\n
<\/b>
\nNPS-802-1x<\/b><\/p>\n
Nome\tNPS-802-1x\nDescrizione\t802.1x\nImpostazioni globali\nIMPOSTAZIONE\tVALORE\nUtilizza i servizi di rete LAN cablati Windows per i client\tAbilitato\nCredenziali utente condivise per l'autenticazione di rete\tAbilitato\nProfilo di rete\nImpostazioni di sicurezza\nAbilita l'uso dell'autenticazione IEEE 802.1X per l'accesso alla rete\tAbilitato\nApplica l'uso dell'autenticazione IEEE 802.1X per l'accesso alla rete\tDisabilitato\nImpostazioni IEEE 802.1X\nAutenticazione computer\tSolo computer\nNumero massimo di errori di autenticazione\t10\nNumero massimo di messaggi EAPOL-Start inviati\t \nPeriodo di attesa (secondi)\t \nPeriodo di avvio (secondi)\t \nPeriodo di autenticazione (secondi)\t \nPropriet\u00e0 dei metodi di autenticazione di rete\nMetodo di autenticazione\tEAP protetta (PEAP)\nValida il certificato del server\tAbilitato\nConnetti a questi server\t \nNon chiedere all'utente di autorizzare nuovi server o autorit\u00e0 di certificazione fidate\tDisabilitato\nAbilita il rapido riconnessione\tAbilitato\nDisconnetti se il server non presenta il TLV di crittografia\tDisabilitato\nApplica la protezione dell'accesso alla rete\tDisabilitato\nConfigurazione del metodo di autenticazione\nMetodo di autenticazione\tPassword sicura (EAP-MSCHAP v2)\nUtilizza automaticamente il mio nome utente e password di accesso a Windows (e dominio, se presente)\tAbilitato<\/code><\/pre>\n
\"Impostazione
\n
\nCreiamo un gruppo di sicurezza sg-computers-8021x-vl100<\/i><\/b>, dove aggiungeremo i computer che vogliamo distribuire nella VLAN 100 e configureremo la filtrazione per la politica di gruppo creata in precedenza a questo gruppo:<\/p>\n
\"Impostazione
\n
\nPer verificare che la politica sia stata applicata con successo, aprire \"Centro di controllo reti e condivisione (Impostazioni rete e Internet) \u2013 Modifica impostazioni scheda (Configurazione impostazioni scheda) \u2013 Propriet\u00e0 scheda\", dove possiamo vedere la scheda \"Autenticazione\":<\/p>\n
\"Impostazione
\n
\nUna volta confermato che la politica viene applicata con successo, \u00e8 possibile procedere alla configurazione della politica di rete su NPS e delle porte dello switch di accesso.<\/p>\n
Creiamo una politica di rete neag-computers-8021x-vl100<\/i><\/b>:<\/p>\n
Condizioni:\n  Gruppi di Windows - sg-computers-8021x-vl100\n  Tipo di Porta NAS - Ethernet\nVincoli:\n  Metodi di Autenticazione - Microsoft: Protected EAP (PEAP) - Autenticazione non crittografata (PAP, SPAP)\n  Tipo di Porta NAS - Ethernet\nImpostazioni:\n  Standard:\n   Framed-MTU 1344\n   TunnelMediumType 802 (include tutti i media 802 pi\u00f9 il formato canonico Ethernet)\n   TunnelPrivateGroupId 100\n   TunnelType  VLAN virtuali<\/code><\/pre>\n
\n\"Impostazione
\n
\nImpostazioni standard per la porta dello switch (si noti che viene utilizzato il tipo di autenticazione \u201cmulti-dominio\u201d \u2013 Data & Voice, e c'\u00e8 anche la possibilit\u00e0 di autenticazione per indirizzo mac. Durante il periodo di transizione, \u00e8 utile usare nei parametri:<\/p>\n
\nauthentication event fail action authorize vlan 100\nauthentication event no-response action authorize vlan 100\n<\/code><\/pre>\n
\nl'ID VLAN non \u00e8 \"di quarantena\", ma quello a cui il computer dell'utente deve accedere dopo essersi autenticato con successo \u2014 fino a quando non ci assicuriamo che tutto funzioni correttamente. Questi parametri possono essere utilizzati anche in altri scenari, ad esempio quando a questa porta \u00e8 collegato uno switch unmanaged e si desidera che tutti i dispositivi collegati, che non hanno superato l'autenticazione, vengano assegnati a un particolare VLAN (\"di quarantena\").<\/p>\n
impostazioni della porta dello switch in modalit\u00e0 802.1x host-mode multi-domain<\/b><\/p>\n
default int range Gi1\/0\/39-41\nint range Gi1\/0\/39-41\nshu\ndes PC-IPhone_802.1x\nswitchport mode access\nswitchport nonegotiate\nswitchport voice vlan 55\nswitchport port-security maximum 2\nauthentication event fail action authorize vlan 100\nauthentication event no-response action authorize vlan 100\nauthentication host-mode multi-domain\nauthentication port-control auto\nauthentication violation restrict\nmab\ndot1x pae authenticator\ndot1x timeout quiet-period 15\ndot1x timeout tx-period 3\nstorm-control broadcast level pps 100\nstorm-control multicast level pps 110\nno vtp\nlldp receive\nlldp transmit\nspanning-tree portfast\nno shu\nexit<\/code><\/pre>\n
\u00c8 possibile verificare se il computer\/telefono ha superato correttamente l'autenticazione con il comando:<\/p>\n
sh authentication sessions int Gi1\/0\/39 det<\/code><\/pre>\n
\nOra creiamo un gruppo (ad esempio, sg-fgpp-mab<\/i> ) in Active Directory per i telefoni e aggiungiamo un dispositivo per i test (nel mio caso si tratta di Grandstream GXP2160<\/i><\/b> con l'indirizzo MAC 000b.82ba.a7b1<\/b> e con l'account corrispondente domain 00b82baa7b1<\/b>). <\/p>\n
Per il gruppo creato, abbasseremo i requisiti della politica delle password (utilizzando Finely-Grained Password Policies<\/a><\/noindex> tramite Active Directory Administrative Center -> domain -> System -> Password Settings Container) con i seguenti parametri Password-Settings-for-MAB<\/i><\/b>:<\/p>\n
\"Impostazione
\n
\npermetteremo cos\u00ec di utilizzare gli indirizzi MAC dei dispositivi come password. Dopodich\u00e9, potremo creare una politica di rete per l'autenticazione 802.1x metodo mab, che chiameremo neag-devices-8021x-voice. I parametri sono i seguenti:<\/p>\n