{"id":42118,"date":"2019-03-18T00:00:00","date_gmt":"2019-03-17T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad"},"modified":"2020-02-18T13:44:55","modified_gmt":"2020-02-18T10:44:55","slug":"nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad","title":{"rendered":"Configuratie van 802.1X op Cisco-switches met behulp van failover NPS (Windows RADIUS met AD)","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Configuratie
\nLaten we in de praktijk kijken naar het gebruik van Windows Active Directory + NPS (2 servers voor failover) + standaard 802.1x voor toegangcontrole en authenticatie van gebruikers - domeincomputers - apparaten. Je kunt de theorie over de standaard in Wikipedia vinden via de link: IEEE 802.1X<\/a><\/noindex><\/p>\n

Aangezien mijn 'laboratorium' beperkt is in middelen, combineer ik de rollen van NPS en domeincontroller, maar ik raad je aan om zulke kritieke services toch te scheiden.<\/p>\n

Ik ken geen standaardmethoden voor het synchroniseren van configuraties (beleid) van Windows NPS, daarom zullen we PowerShell-scripts gebruiken, die worden uitgevoerd door de taakplanner (de auteur is mijn voormalige collega). Voor de authenticatie van domeincomputers en van apparaten die niet kunnen in 802.1x<\/b> (telefoons, printers etc.), zal er een groepsbeleid worden ingesteld en zullen er beveiligingsgroepen worden gemaakt.<\/p>\n

Aan het einde van het artikel zal ik enkele nuances van het werken met 802.1x bespreken - hoe je niet-beheerde switches, dynamische ACL's enzovoorts kunt gebruiken. Ik zal informatie delen over opgevangen 'bugs'...
\n<\/a><\/noindex>
\nLaten we beginnen met de installatie en configuratie van failover NPS op Windows Server 2012R2 (op 2016 is het vergelijkbaar): via Server Manager -> Add Roles and Features Wizard kiezen we alleen Network Policy Server.<\/p>\n

\"Configuratie
\n
\nof met PowerShell:<\/p>\n

Install-WindowsFeature NPAS -IncludeManagementTools<\/code><\/pre>\n
<\/p>\n
Een kleine verduidelijking - aangezien voor Protected EAP (PEAP)<\/b> je absoluut een certificaat nodig hebt dat de autenticiteit van de server bevestigt (met de bijbehorende rechten voor gebruik), dat op de clientcomputers vertrouwd zal zijn, moet je waarschijnlijk ook de rol Certification Authority<\/b>installeren. Maar laten we aannemen dat CA<\/b> al is ge\u00efnstalleerd...<\/p><\/blockquote>\n
 We doen hetzelfde op de tweede server. Laten we een map voor het script C:Scripts op beide servers aanmaken en een netwerkmmap op de tweede server SRV2NPS-config$<\/b><\/p>\n
Op de eerste server maken we een PowerShell-script aan C:ScriptsExport-NPS-config.ps1<\/i> met de volgende inhoud:<\/p>\n
Export-NpsConfiguration -Path \"SRV2NPS-config$NPS.xml\"<\/code><\/pre>\n
\nDaarna stellen we een taak in de Taakplanner in: \"Export-NpsConfiguration<\/i>\u201d<\/p>\n
powershell -executionpolicy unrestricted -f \"C:ScriptsExport-NPS-config.ps1\"<\/code><\/pre>\n
\nVoer uit voor alle gebruikers \u2014 Voer uit met de hoogste rechten
\nDagelijks \u2014 Herhaal de taak elke 10 minuten gedurende 8 uur.<\/i><\/p>\n
Op de reserve NPS stellen we de import van de configuratie (beleid) in:
\nwe cre\u00ebren een PowerShell-script:<\/p>\n
echo Import-NpsConfiguration -Path \"c:NPS-configNPS.xml\" >> C:ScriptsImport-NPS-config.ps1<\/code><\/pre>\n
\nen het om de uitvoering ervan elke 10 minuten:<\/p>\n
powershell -executionpolicy unrestricted -f \"C:ScriptsImport-NPS-config.ps1\"<\/code><\/pre>\n
\nVoer uit voor alle gebruikers \u2014 Voer uit met de hoogste rechten
\nDagelijks \u2014 Herhaal de taak elke 10 minuten gedurende 8 uur.<\/i><\/p>\n
Laten we nu, ter controle, op een van de servers(!) een paar switches toevoegen als RADIUS-clients (IP en Shared Secret) en twee verbindingsverzoekbeleid: WIRED-Connect<\/b> (Voorwaarde: \u201cType poort NAS \u2013 Ethernet\u201d) en WiFi-Enterprise<\/b> (Voorwaarde: \u201cType poort NAS \u2013 IEEE 802.11\u201d), evenals een netwerkbeleid Access Cisco Network Devices<\/i><\/b> (Netwerkbeheerders):<\/p>\n
Voorwaarden:\nGroepen Windows - domainsg-network-admins\nBeperkingen:\nAuthenticatiemethoden - Authenticatie in platte tekst (PAP, SPAP)\nParameters:\nRADIUS-attributen: Standaard - Service-Type - Login\nLeverancier-afhankelijk - Cisco-AV-Pair - Cisco - shell:priv-lvl=15<\/code><\/pre>\n
Aan de kant van de switches zijn de volgende instellingen:<\/b><\/p>\n
aaa new-model\naaa local authentication attempts max-fail 5\n!\n!\naaa group server radius NPS\n server-private 192.168.38.151 auth-port 1812 acct-port 1813 key %shared_secret%\n server-private 192.168.10.151 auth-port 1812 acct-port 1813 key %shared_secret%\n!\naaa authentication login default group NPS local\naaa authentication dot1x default group NPS\naaa authorization console\naaa authorization exec default group NPS local if-authenticated\naaa authorization network default group NPS\n!\naaa session-id common\n!\nidentity profile default\n!\ndot1x system-auth-control\n!\n!\nline vty 0 4\n exec-timeout 5 0\n transport input ssh\n escape-character 99\nline vty 5 15\n exec-timeout 5 0\n logging synchronous\n transport input ssh\n escape-character 99<\/code><\/pre>\n
Na de configuratie, na 10 minuten, zouden alle clientsbeleidparameters ook op de reserve NPS moeten verschijnen en kunnen we ons aanmelden op de switches met behulp van een Active Directory-account, lid van de groep domainsg-network-admins (die we eerder hebben aangemaakt).<\/p>\n
Laten we verder gaan met de configuratie van Active Directory \u2013 we maken groeps- en wachtwoordbeleid aan, we cre\u00ebren de benodigde groepen.<\/p>\n
Groepsbeleid Computers-8021x-Instellingen<\/b><\/i>:<\/p>\n
<\/p>\n
Computerconfiguratie (Ingeschakeld)\n   Beleid\n     Windows-instellingen\n        Beveiligingsinstellingen\n          Systeemdiensten\n     Wired AutoConfig (Opstartmodus: Automatisch)\nWired-netwerk (802.3) Beleid<\/code><\/pre>\n
<\/b>
\nNPS-802-1x<\/b><\/p>\n
Naam\tNPS-802-1x\nBeschrijving\t802.1x\nGlobale instellingen\nINSTELLING\tWAARDE\nGebruik Windows bedrade LAN-netwerkdiensten voor clients\tIngeschakeld\nGedeelde gebruikersreferenties voor netwerkauthenticatie\tIngeschakeld\nNetwerkprofiel\nBeveiligingsinstellingen\nGebruik IEEE 802.1X-authenticatie voor netwerktoegang inschakelen\tIngeschakeld\nGebruik IEEE 802.1X-authenticatie voor netwerktoegang handhaven\tUitgeschakeld\nIEEE 802.1X-instellingen\nComputerauthenticatie\tAlleen computer\nMaximale authenticatiefouten\t10\nMaximale EAPOL-Startberichten verzonden\t \nGehouden periode (seconden)\t \nStartperiode (seconden)\t \nAuthenticatieperiode (seconden)\t \nNetwerkauthenticatiemethode-eigenschappen\nAuthenticatiemethode\tBeschermde EAP (PEAP)\nValidatie servercertificaat\tIngeschakeld\nVerbind met deze servers\t \nVraag de gebruiker niet om nieuwe servers of vertrouwde certificeringsinstanties te autoriseren\tUitgeschakeld\nVersnel snel opnieuw verbinden\tIngeschakeld\nVerbreken als de server geen cryptobinding TLV presenteert\tUitgeschakeld\nHandhaven van netwerktechniekbescherming\tUitgeschakeld\nAuthenticatiemethode-configuratie\nAuthenticatiemethode\tBeveiligd wachtwoord (EAP-MSCHAP v2)\nGebruik automatisch mijn Windows-inlognaam en wachtwoord (en domein indien van toepassing)\tIngeschakeld<\/code><\/pre>\n
\"Configuratie
\n
\nLaten we een beveiligingsgroep aanmaken sg-computers-8021x-vl100<\/i><\/b>, waar we computers zullen toevoegen die we willen toewijzen aan VLAN 100 en we instellen filters voor het eerder gemaakte groepsbeleid voor deze groep:<\/p>\n
\"Configuratie
\n
\nOm te controleren of het beleid succesvol is toegepast, kunt u \"Netwerkcentrum en delen (Netwerk- en internetinstellingen) - Wijzig adapterinstellingen (Adapterinstellingen configureren) - Adaptereigenschappen\" openen, waar we het tabblad \"Authenticatie\" kunnen zien:<\/p>\n
\"Configuratie
\n
\nWanneer we er zeker van zijn dat het beleid succesvol wordt toegepast, kunnen we verder gaan met het configureren van het netwerkbeleid op NPS en de poorten van de toegangsswitch.<\/p>\n
Laten we een netwerkbeleid aanmaken neag-computers-8021x-vl100<\/i><\/b>:<\/p>\n
Voorwaarden:\n  Windows Groepen - sg-computers-8021x-vl100\n  NAS Poort Type - Ethernet\nBeperkingen:\n  Authentieke Methoden - Microsoft: Protected EAP (PEAP) - Ongecodeerde authenticatie (PAP, SPAP)\n  NAS Poort Type - Ethernet\nInstellingen:\n  Standaard:\n   Framed-MTU 1344\n   TunnelMediumType 802 (bevat alle 802-media plus Ethernet canonieke indeling)\n   TunnelPrivateGroupId  100\n   TunnelType  Virtuele LAN's (VLAN)<\/code><\/pre>\n
\n\"Configuratie
\n
\nStandaardinstellingen voor de poort van de switch (ik merk op dat het type authenticatie \"multi-domein\" is - Data & Voice, en dat er ook authenticatie op basis van MAC-adres mogelijk is. Gedurende de \"overgangsperiode\" is het zinvol om de volgende parameters te gebruiken:<\/p>\n
\nauthentication event fail action authorize vlan 100\nauthentication event no-response action authorize vlan 100\n<\/code><\/pre>\n
\nvlan-id is niet van \"quarantaine\", maar diezelfde, waar de gebruikerscomputer succesvol moet worden geautoriseerd - totdat we zeker weten dat alles correct functioneert. Deze parameters kunnen ook in andere scenario's worden gebruikt, bijvoorbeeld wanneer er een unmanaged switch op deze poort is aangesloten en u wilt dat alle apparaten die zijn aangesloten en niet zijn geauthenticeerd, in een bepaalde VLAN (\"quarantaine\") komen.<\/p>\n
instellingen van de switchpoort in 802.1x modus host-mode multi-domain<\/b><\/p>\n
default int range Gi1\/0\/39-41\nint range Gi1\/0\/39-41\nshu\ndes PC-IPhone_802.1x\nswitchport mode access\nswitchport nonegotiate\nswitchport voice vlan 55\nswitchport port-security maximum 2\nauthentication event fail action authorize vlan 100\nauthentication event no-response action authorize vlan 100\nauthentication host-mode multi-domain\nauthentication port-control auto\nauthentication violation restrict\nmab\ndot1x pae authenticator\ndot1x timeout quiet-period 15\ndot1x timeout tx-period 3\nstorm-control broadcast level pps 100\nstorm-control multicast level pps 110\nno vtp\nlldp receive\nlldp transmit\nspanning-tree portfast\nno shu\nexit<\/code><\/pre>\n
U kunt controleren of de computer\/telefoon succesvol is geauthenticeerd met het commando:<\/p>\n
sh authentication sessions int Gi1\/0\/39 det<\/code><\/pre>\n
\nLaten we nu een groep aanmaken (bijvoorbeeld, sg-fgpp-mab<\/i> ) in Active Directory voor telefoons en voeg er \u00e9\u00e9n apparaat aan toe voor tests (in mijn geval is dat Grandstream GXP2160<\/i><\/b> met het MAC-adres 000b.82ba.a7b1<\/b> en de bijbehorende gebruikersaccount domein 00b82baa7b1<\/b>). <\/p>\n
Voor de gemaakte groep verlagen we de vereisten van het wachtwoordbeleid (met behulp van Fine-Grained Password Policies<\/a><\/noindex> via Active Directory Administrative Center -> domein -> Systeem -> Wachtwoordinstellingencontainer) met de volgende parameters Password-Settings-for-MAB<\/i><\/b>:<\/p>\n
\"Configuratie
\n
\nwaardoor we het gebruik van het MAC-adres van apparaten als wachtwoorden toestaan. Daarna kunnen we een netwerkbeleid voor 802.1x authenticatie met de methode mab cre\u00ebren, dat we neag-devices-8021x-voice noemen. De parameters zijn als volgt:<\/p>\n