{"id":42118,"date":"2019-03-18T00:00:00","date_gmt":"2019-03-17T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad"},"modified":"2020-02-18T13:44:55","modified_gmt":"2020-02-18T10:44:55","slug":"nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad","title":{"rendered":"Konfiguracja 802.1X na prze\u0142\u0105cznikach Cisco z u\u017cyciem odpornego NPS (Windows RADIUS z AD)","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Konfiguracja
\nRozwa\u017cymy w praktyce wykorzystanie Windows Active Directory + NPS (2 serwery dla zapewnienia odporno\u015bci) + standard 802.1x do kontroli dost\u0119pu i uwierzytelniania u\u017cytkownik\u00f3w \u2013 komputer\u00f3w w domenie \u2013 urz\u0105dze\u0144. Teori\u0119 na temat standardu mo\u017cna znale\u017a\u0107 w Wikipedii, pod linkiem: IEEE 802.1X<\/a><\/noindex><\/p>\n

Poniewa\u017c moja \u201elaboratoria\u201d ma ograniczone zasoby, pe\u0142ni\u0119 rol\u0119 NPS i kontrolera domeny, ale zalecam rozdzielenie takich krytycznych us\u0142ug.<\/p>\n

Nie znam standardowych sposob\u00f3w synchronizacji konfiguracji (polityk) Windows NPS, dlatego b\u0119dziemy korzysta\u0107 ze skrypt\u00f3w PowerShell, uruchamianych przez harmonogram zada\u0144 (autor to m\u00f3j by\u0142y kolega). Dla uwierzytelniania komputer\u00f3w w domenie oraz dla urz\u0105dze\u0144, kt\u00f3re nie obs\u0142uguj\u0105 802.1x<\/b> (telefon\u00f3w, drukarek itd.), zostanie skonfigurowana polityka grupowa oraz utworzone grupy zabezpiecze\u0144.<\/p>\n

Na ko\u0144cu artyku\u0142u opowiem o niekt\u00f3rych szczeg\u00f3\u0142ach pracy z 802.1x \u2013 jak mo\u017cna wykorzysta\u0107 niezarz\u0105dzane prze\u0142\u0105czniki, dynamiczne ACL itd. Podziel\u0119 si\u0119 informacjami o napotkanych \"problemach\"...
\n<\/a><\/noindex>
\nZaczniemy od instalacji i konfiguracji failover NPS na Windows Server 2012R2 (na 2016r. wszystko wygl\u0105da analogicznie): przez Mened\u017cera serwera -> Kreator dodawania r\u00f3l i funkcji wybieramy tylko Network Policy Server.<\/p>\n

\"Konfiguracja
\n
\nlub za pomoc\u0105 PowerShell:<\/p>\n

Install-WindowsFeature NPAS -IncludeManagementTools<\/code><\/pre>\n
<\/p>\n
Kr\u00f3tka uwaga \u2013 poniewa\u017c dla Protected EAP (PEAP)<\/b> b\u0119dzie potrzebny certyfikat potwierdzaj\u0105cy autentyczno\u015b\u0107 serwera (z odpowiednimi uprawnieniami do u\u017cywania), kt\u00f3ry b\u0119dzie zaufany na komputerach klient\u00f3w, mo\u017ce by\u0107 konieczne r\u00f3wnie\u017c zainstalowanie roli Certification Authority<\/b>. Ale za\u0142\u00f3\u017cmy, \u017ce CA<\/b> ju\u017c go zainstalowali\u015bcie...<\/p><\/blockquote>\n
 Zrobimy to samo na drugim serwerze. Utworzymy folder na skrypt C:Scripts na obu serwerach oraz folder sieciowy na drugim serwerze SRV2NPS-config$<\/b><\/p>\n
Na pierwszym serwerze utworzymy skrypt PowerShell C:ScriptsExport-NPS-config.ps1<\/i> o nast\u0119puj\u0105cej tre\u015bci:<\/p>\n
Export-NpsConfiguration -Path \"SRV2NPS-config$NPS.xml\"<\/code><\/pre>\n
\nNast\u0119pnie skonfigurujemy zadanie w Harmonogramie zada\u0144: \u201cExport-NpsConfiguration<\/i>\u201d<\/p>\n
powershell -executionpolicy unrestricted -f \"C:ScriptsExport-NPS-config.ps1\"<\/code><\/pre>\n
\nWykonuj dla wszystkich u\u017cytkownik\u00f3w \u2014 Wykonaj z najwy\u017cszymi prawami
\nCodziennie \u2014 Powtarzaj zadanie co 10 minut przez 8 godzin.<\/i><\/p>\n
Na zapasowym NPS skonfigurujemy import konfiguracji (polityk):
\nutworzymy skrypt PowerShell:<\/p>\n
echo Import-NpsConfiguration -Path \"c:NPS-configNPS.xml\" >> C:ScriptsImport-NPS-config.ps1<\/code><\/pre>\n
\nI zadanie na jego wykonanie co 10 minut:<\/p>\n
powershell -executionpolicy unrestricted -f \"C:ScriptsImport-NPS-config.ps1\"<\/code><\/pre>\n
\nWykonuj dla wszystkich u\u017cytkownik\u00f3w \u2014 Wykonaj z najwy\u017cszymi prawami
\nCodziennie \u2014 Powtarzaj zadanie co 10 minut przez 8 godzin.<\/i><\/p>\n
Teraz, aby sprawdzi\u0107, dodamy w NPS na jednym z serwer\u00f3w (!) kilka prze\u0142\u0105cznik\u00f3w jako klient\u00f3w RADIUS (IP i wsp\u00f3lny klucz), dwie polityki zapyta\u0144 o po\u0142\u0105czenie: WIRED-Connect<\/b> (Warunek: \u201cTyp portu NAS \u2013 Ethernet\u201d) oraz WiFi-Enterprise<\/b> (Warunek: \u201cTyp portu NAS \u2013 IEEE 802.11\u201d), a tak\u017ce polityk\u0119 sieciow\u0105 Dost\u0119p do urz\u0105dze\u0144 sieciowych Cisco<\/i><\/b> (Administratorzy sieci):<\/p>\n
Warunki:\nGrupy Windows - domainsg-network-admins\nOgraniczenia:\nMetody weryfikacji - Weryfikacja otwartym tekstem (PAP, SPAP)\nParametry:\nAtrybuty RADIUS: Standard - Service-Type - Login\nZale\u017cne od dostawcy - Cisco-AV-Pair - Cisco - shell:priv-lvl=15<\/code><\/pre>\n
Ze strony prze\u0142\u0105cznik\u00f3w nast\u0119puj\u0105ce ustawienia:<\/b><\/p>\n
aaa new-model\naaa local authentication attempts max-fail 5\n!\n!\naaa group server radius NPS\n server-private 192.168.38.151 auth-port 1812 acct-port 1813 key %shared_secret%\n server-private 192.168.10.151 auth-port 1812 acct-port 1813 key %shared_secret%\n!\naaa authentication login default group NPS local\naaa authentication dot1x default group NPS\naaa authorization console\naaa authorization exec default group NPS local if-authenticated\naaa authorization network default group NPS\n!\naaa session-id common\n!\nidentity profile default\n!\ndot1x system-auth-control\n!\n!\nline vty 0 4\n exec-timeout 5 0\n transport input ssh\n escape-character 99\nline vty 5 15\n exec-timeout 5 0\n logging synchronous\n transport input ssh\n escape-character 99<\/code><\/pre>\n
Po skonfigurowaniu, po 10 minutach, wszyscy klienci polityki parametry powinni pojawi\u0107 si\u0119 r\u00f3wnie\u017c na zapasowym NPS i b\u0119dziemy mogli zalogowa\u0107 si\u0119 na prze\u0142\u0105cznikach za pomoc\u0105 konta Active Directory, cz\u0142onka grupy domainsg-network-admins (kt\u00f3r\u0105 utworzyli\u015bmy wcze\u015bniej).<\/p>\n
Przejd\u017amy do konfiguracji Active Directory \u2013 utworzymy polityk\u0119 grupow\u0105 i has\u0142ow\u0105, utworzymy niezb\u0119dne grupy.<\/p>\n
Polityka grupowa Computers-8021x-Settings<\/b><\/i>:<\/p>\n
<\/p>\n
Konfiguracja komputera (W\u0142\u0105czona)\n   Polityki\n     Ustawienia Windows\n        Ustawienia zabezpiecze\u0144\n          Us\u0142ugi systemowe\n     Wwired AutoConfig (Tryb uruchamiania: Automatyczny)\nPolityki sieciowe (802.3)<\/code><\/pre>\n
<\/b>
\nNPS-802-1x<\/b><\/p>\n
Nazwa\tNPS-802-1x\nOpis\t802.1x\nUstawienia globalne\nUSTAWIENIE\tWARTO\u015a\u0106\nU\u017cyj us\u0142ug sieciowych LAN Windows dla klient\u00f3w\tW\u0142\u0105czone\nWsp\u00f3lne po\u015bwiadczenia u\u017cytkownika do uwierzytelniania w sieci\tW\u0142\u0105czone\nProfil sieciowy\nUstawienia zabezpiecze\u0144\nW\u0142\u0105czy\u0107 u\u017cycie uwierzytelniania IEEE 802.1X do dost\u0119pu do sieci\tW\u0142\u0105czone\nEgzekwowa\u0107 u\u017cycie uwierzytelniania IEEE 802.1X do dost\u0119pu do sieci\tWy\u0142\u0105czone\nUstawienia IEEE 802.1X\nUwierzytelnianie komputera\tTylko komputer\nMaksymalne b\u0142\u0119dy uwierzytelniania\t10\nMaksymalna liczba wys\u0142anych wiadomo\u015bci EAPOL-Start\t \nOkres przechowywania (sekundy)\t \nOkres rozpocz\u0119cia (sekundy)\t \nOkres uwierzytelniania (sekundy)\t \nW\u0142a\u015bciwo\u015bci metody uwierzytelniania w sieci\nMetoda uwierzytelniania\tChroniona EAP (PEAP)\nWeryfikacja certyfikatu serwera\tW\u0142\u0105czona\nPo\u0142\u0105czenie z tymi serwerami\t \nNie prosi\u0107 u\u017cytkownika o autoryzacj\u0119 nowych serwer\u00f3w lub zaufanych organ\u00f3w certyfikuj\u0105cych\tWy\u0142\u0105czone\nW\u0142\u0105czy\u0107 szybkie ponowne po\u0142\u0105czenie\tW\u0142\u0105czone\nRoz\u0142\u0105czy\u0107, je\u015bli serwer nie przedstawia cryptobinding TLV\tWy\u0142\u0105czone\nEgzekwowa\u0107 ochron\u0119 dost\u0119pu do sieci\tWy\u0142\u0105czone\nKonfiguracja metody uwierzytelniania\nMetoda uwierzytelniania\tZabezpieczone has\u0142o (EAP-MSCHAP v2)\nAutomatycznie u\u017cy\u0107 mojej nazwy logowania i has\u0142a Windows (i domeny, je\u015bli s\u0105)\tW\u0142\u0105czone<\/code><\/pre>\n
\"Konfiguracja
\n
\nUtw\u00f3rzmy grup\u0119 zabezpiecze\u0144 sg-computers-8021x-vl100<\/i><\/b>, gdzie dodamy komputery, kt\u00f3re chcemy przypisa\u0107 do VLAN 100 i skonfigurujemy filtracj\u0119 dla wcze\u015bniej utworzonej polityki grupowej dla tej grupy:<\/p>\n
\"Konfiguracja
\n
\nAby upewni\u0107 si\u0119, \u017ce polityka dzia\u0142a poprawnie, nale\u017cy otworzy\u0107 \u201eCentrum zarz\u0105dzania sieciami i udost\u0119pnianiem (Ustawienia sieci i Internetu) \u2013 Zmie\u0144 ustawienia karty sieciowej (Skonfiguruj ustawienia karty sieciowej) \u2013 W\u0142a\u015bciwo\u015bci karty\u201d, gdzie zobaczymy zak\u0142adk\u0119 \u201eWeryfikacja\u201d:<\/p>\n
\"Konfiguracja
\n
\nGdy upewnimy si\u0119, \u017ce polityka jest stosowana, mo\u017cemy przej\u015b\u0107 do konfiguracji polityki sieciowej na NPS i port\u00f3w prze\u0142\u0105cznika dost\u0119powego.<\/p>\n
Utw\u00f3rzmy polityk\u0119 sieciow\u0105 neag-computers-8021x-vl100<\/i><\/b>:<\/p>\n
Warunki:\n  Grupy Windows - sg-computers-8021x-vl100\n  Typ portu NAS - Ethernet\nOgraniczenia:\n  Metody uwierzytelniania - Microsoft: Protected EAP (PEAP) - Uwierzytelnianie niezaszyfrowane (PAP, SPAP)\n  Typ portu NAS - Ethernet\nUstawienia:\n  Standard:\n   Framed-MTU 1344\n   TunnelMediumType 802 (obejmuje wszystkie media 802 oraz format kanoniczny Ethernet)\n   TunnelPrivateGroupId  100\n   TunnelType  Wirtualne sieci LAN (VLAN)<\/code><\/pre>\n
\n\"Konfiguracja
\n
\nTypowe ustawienia dla portu prze\u0142\u0105cznika (zwracam uwag\u0119, \u017ce u\u017cywany jest typ uwierzytelnienia \u201emulti-domain\u201d \u2013 Data & Voice, a tak\u017ce istnieje mo\u017cliwo\u015b\u0107 uwierzytelnienia wed\u0142ug adresu MAC. W okresie \u201eprzej\u015bciowym\u201d warto u\u017cy\u0107 w parametrach:<\/p>\n
\nzdarzenie uwierzytelniania akcji niepowodzenia autoryzuj vlan 100\nda\u017crzenie uwierzytelniania akcji bez odpowiedzi autoryzuj vlan 100\n<\/code><\/pre>\n
\nid VLAN nie jest \u201ekwarantannowy\u201d, lecz taki sam, do kt\u00f3rego komputer u\u017cytkownika powinien trafi\u0107 po pomy\u015blnej autoryzacji \u2013 dop\u00f3ki nie upewnimy si\u0119, \u017ce wszystko dzia\u0142a poprawnie. Te same parametry mog\u0105 by\u0107 u\u017cyte w innych scenariuszach, na przyk\u0142ad, gdy do portu jest pod\u0142\u0105czony niezarz\u0105dzany prze\u0142\u0105cznik i chcesz, aby wszystkie urz\u0105dzenia pod\u0142\u0105czone do niego i nieprzesz\u0142e autoryzacji trafi\u0142y do okre\u015blonego VLAN-u (\u201ekwarantannowego\u201d).<\/p>\n
ustawienia portu prze\u0142\u0105cznika w trybie 802.1x host-mode multi-domain<\/b><\/p>\n
domy\u015blny zakres int Gi1\/0\/39-41\nzakres int Gi1\/0\/39-41\nshu\ndes PC-IPhone_802.1x\ntryb portu switchport dost\u0119p\nswitchport nonegotiate\nswitchport voice vlan 55\nmaximum 2 zabezpieczenia portu switchport\nautoryzacja zdarzenia niepowodzenia akcji autoryzuj vlan 100\nautoryzacja zdarzenia bez odpowiedzi akcji autoryzuj vlan 100\nautoryzacja host-mode multi-domain\nautoryzacja kontrola portu auto\nautoryzacja naruszenie ograniczone\nmab\ndot1x pae autoryzator\ndot1x timeout quiet-period 15\ndot1x timeout tx-period 3\nstorm-control broadcast level pps 100\nstorm-control multicast level pps 110\nno vtp\nlldp receive\nlldp transmit\nspanning-tree portfast\nno shu\nexit<\/code><\/pre>\n
Aby upewni\u0107 si\u0119, \u017ce komputer\/telefon zosta\u0142 pomy\u015blnie autoryzowany, wykonaj polecenie:<\/p>\n
sh authentication sessions int Gi1\/0\/39 det<\/code><\/pre>\n
\nTeraz utw\u00f3rzmy grup\u0119 (na przyk\u0142ad, sg-fgpp-mab<\/i> ) w Active Directory dla telefon\u00f3w i dodamy do niej jeden aparat do test\u00f3w (w moim przypadku to Grandstream GXP2160<\/i><\/b> z adresem MAC 000b.82ba.a7b1<\/b> i odpowiednim kontem u\u017cytkownika domena 00b82baa7b1<\/b>). <\/p>\n
Dla utworzonej grupy obni\u017cymy wymagania polityki hase\u0142 (korzystaj\u0105c z Polityki hase\u0142 z drobnym podzia\u0142em<\/a><\/noindex> przez Centrum administracyjne Active Directory -> domena -> System -> Kontener ustawie\u0144 hase\u0142) z nast\u0119puj\u0105cymi parametrami Ustawienia hase\u0142 dla MAB<\/i><\/b>:<\/p>\n
\"Konfiguracja
\n
\ntym samym pozwolimy na u\u017cywanie adresu MAC urz\u0105dze\u0144 jako hase\u0142. Po tym b\u0119dziemy mogli stworzy\u0107 polityk\u0119 sieciow\u0105 dla uwierzytelniania 802.1x metod\u0105 mab, nazwiemy j\u0105 neag-devices-8021x-voice. Parametry s\u0105 nast\u0119puj\u0105ce:<\/p>\n