{"id":42118,"date":"2019-03-18T00:00:00","date_gmt":"2019-03-17T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad"},"modified":"2020-02-18T13:44:55","modified_gmt":"2020-02-18T10:44:55","slug":"nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad","title":{"rendered":"Configura\u00e7\u00e3o do 802.1X em switches Cisco usando NPS de alta disponibilidade (Windows RADIUS com AD)","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Configura\u00e7\u00e3o
\nVamos considerar na pr\u00e1tica o uso do Windows Active Directory + NPS (2 servidores para garantir a resili\u00eancia) + o padr\u00e3o 802.1x para controle de acesso e autentica\u00e7\u00e3o de usu\u00e1rios - computadores de dom\u00ednio - dispositivos. Voc\u00ea pode consultar a teoria sobre o padr\u00e3o na Wikipedia, atrav\u00e9s do link: IEEE 802.1X<\/a><\/noindex><\/p>\n

Como meu 'laborat\u00f3rio' \u00e9 limitado em recursos, eu unifico as fun\u00e7\u00f5es de NPS e controlador de dom\u00ednio, mas recomendo que voc\u00ea mantenha servi\u00e7os cr\u00edticos separados.<\/p>\n

N\u00e3o conhe\u00e7o m\u00e9todos padr\u00e3o de sincroniza\u00e7\u00e3o de configura\u00e7\u00f5es (pol\u00edticas) do Windows NPS, portanto vamos usar scripts PowerShell, executados pelo agendador de tarefas (o autor \u00e9 meu ex-colega). Para autentica\u00e7\u00e3o de computadores de dom\u00ednio e dispositivos que n\u00e3o suportam 802.1x<\/b> (telefone, impressoras etc.), ser\u00e1 configurada uma pol\u00edtica de grupo e criados grupos de seguran\u00e7a.<\/p>\n

No final do artigo, falarei sobre algumas particularidades do trabalho com 802.1x - como usar switches n\u00e3o gerenciados, ACLs din\u00e2micas etc. Compartilharei informa\u00e7\u00f5es sobre 'bugs' que encontrei...
\n<\/a><\/noindex>
\nCome\u00e7aremos com a instala\u00e7\u00e3o e configura\u00e7\u00e3o do NPS de failover no Windows Server 2012R2 (no 2016 \u00e9 tudo similar): atrav\u00e9s do Gerenciador de Servidores -> Assistente para Adicionar Fun\u00e7\u00f5es e Recursos, escolha apenas o Servidor de Pol\u00edticas de Rede.<\/p>\n

\"Configura\u00e7\u00e3o
\n
\nou usando PowerShell:<\/p>\n

Install-WindowsFeature NPAS -IncludeManagementTools<\/code><\/pre>\n
<\/p>\n
Uma pequena observa\u00e7\u00e3o - como para Protected EAP (PEAP)<\/b> voc\u00ea precisar\u00e1 obrigatoriamente de um certificado que comprove a autenticidade do servidor (com os direitos adequados para uso), que ser\u00e1 confi\u00e1vel nos computadores clientes, ent\u00e3o provavelmente voc\u00ea precisar\u00e1 instalar tamb\u00e9m a fun\u00e7\u00e3o Certification Authority<\/b>. Mas vamos considerar que CA<\/b> j\u00e1 est\u00e1 instalado em sua m\u00e1quina...<\/p><\/blockquote>\n
 Faremos o mesmo no segundo servidor. Criaremos uma pasta para o script C:Scripts em ambos os servidores e uma pasta compartilhada no segundo servidor SRV2NPS-config$<\/b><\/p>\n
No primeiro servidor, criaremos um script PowerShell C:ScriptsExport-NPS-config.ps1<\/i> com o seguinte conte\u00fado:<\/p>\n
Export-NpsConfiguration -Path \"SRV2NPS-config$NPS.xml\"<\/code><\/pre>\n
\nDepois disso, configuraremos uma tarefa no Agendador de Tarefas: \u201cExport-NpsConfiguration<\/i>\u201d<\/p>\n
powershell -executionpolicy unrestricted -f \"C:ScriptsExport-NPS-config.ps1\"<\/code><\/pre>\n
\nExecutar para todos os usu\u00e1rios \u2014 Executar com os mais altos privil\u00e9gios
\nDiariamente \u2014 Repetir a tarefa a cada 10 minutos durante 8 horas.<\/i><\/p>\n
No NPS de backup, configuraremos a importa\u00e7\u00e3o da configura\u00e7\u00e3o (pol\u00edticas):
\ncriaremos um script PowerShell:<\/p>\n
echo Import-NpsConfiguration -Path \"c:NPS-configNPS.xml\" >> C:ScriptsImport-NPS-config.ps1<\/code><\/pre>\n
\ne uma tarefa para execut\u00e1-lo a cada 10 minutos:<\/p>\n
powershell -executionpolicy unrestricted -f \"C:ScriptsImport-NPS-config.ps1\"<\/code><\/pre>\n
\nExecutar para todos os usu\u00e1rios \u2014 Executar com os mais altos privil\u00e9gios
\nDiariamente \u2014 Repetir a tarefa a cada 10 minutos durante 8 horas.<\/i><\/p>\n
Agora, para verifica\u00e7\u00e3o, vamos adicionar ao NPS em um dos servidores (!) dois switches como clientes RADIUS (IP e Shared Secret), duas pol\u00edticas de conex\u00e3o: WIRED-Connect<\/b> (Condi\u00e7\u00e3o: \u201cTipo de porta NAS \u2013 Ethernet\u201d) e WiFi-Enterprise<\/b> (Condi\u00e7\u00e3o: \u201cTipo de porta NAS \u2013 IEEE 802.11\u201d), al\u00e9m da pol\u00edtica de rede Access Cisco Network Devices<\/i><\/b> (Network Admins):<\/p>\n
Condi\u00e7\u00f5es:\nGrupos Windows - domainsg-network-admins\nRestri\u00e7\u00f5es:\nM\u00e9todos de autentica\u00e7\u00e3o - Autentica\u00e7\u00e3o em texto simples (PAP, SPAP)\nPar\u00e2metros:\nAtributos RADIUS: Padr\u00e3o - Service-Type - Login\nDependentes do fornecedor - Cisco-AV-Pair - Cisco - shell:priv-lvl=15<\/code><\/pre>\n
Do lado dos switches, as seguintes configura\u00e7\u00f5es:<\/b><\/p>\n
aaa new-model\naaa local authentication attempts max-fail 5\n!\n!\naaa group server radius NPS\n server-private 192.168.38.151 auth-port 1812 acct-port 1813 key %shared_secret%\n server-private 192.168.10.151 auth-port 1812 acct-port 1813 key %shared_secret%\n!\naaa authentication login default group NPS local\naaa authentication dot1x default group NPS\naaa authorization console\naaa authorization exec default group NPS local if-authenticated\naaa authorization network default group NPS\n!\naaa session-id common\n!\nidentity profile default\n!\ndot1x system-auth-control\n!\n!\nline vty 0 4\n exec-timeout 5 0\n transport input ssh\n escape-character 99\nline vty 5 15\n exec-timeout 5 0\n logging synchronous\n transport input ssh\n escape-character 99<\/code><\/pre>\n
Ap\u00f3s a configura\u00e7\u00e3o, em 10 minutos, todos os clientes das pol\u00edticas devem aparecer tamb\u00e9m no NPS de reserva e conseguiremos nos autenticar nos switches usando uma conta Active Directory, membro do grupo domainsg-network-admins (que criamos anteriormente).<\/p>\n
Vamos passar para a configura\u00e7\u00e3o do Active Directory - criaremos a pol\u00edtica de grupo e a pol\u00edtica de senha necess\u00e1rias, al\u00e9m de criar os grupos essenciais.<\/p>\n
Pol\u00edtica de Grupo Computers-8021x-Settings<\/b><\/i>:<\/p>\n
<\/p>\n
Configura\u00e7\u00e3o do Computador (Habilitado)\n   Pol\u00edticas\n     Configura\u00e7\u00f5es do Windows\n        Configura\u00e7\u00f5es de Seguran\u00e7a\n          Servi\u00e7os do Sistema\n     Wired AutoConfig (Modo de Inicializa\u00e7\u00e3o: Autom\u00e1tico)\nPol\u00edticas de Rede com Fio (802.3)<\/code><\/pre>\n
<\/b>
\nNPS-802-1x<\/b><\/p>\n
Nome\tNPS-802-1x\nDescri\u00e7\u00e3o\t802.1x\nConfigura\u00e7\u00f5es Globais\nCONFIGURA\u00c7\u00c3O\tVALOR\nUsar servi\u00e7os de rede LAN com fio do Windows para clientes\tHabilitado\nCredenciais de usu\u00e1rio compartilhadas para autentica\u00e7\u00e3o na rede\tHabilitado\nPerfil de Rede\nConfigura\u00e7\u00f5es de Seguran\u00e7a\nHabilitar uso de autentica\u00e7\u00e3o IEEE 802.1X para acesso \u00e0 rede\tHabilitado\nFor\u00e7ar uso de autentica\u00e7\u00e3o IEEE 802.1X para acesso \u00e0 rede\tDesabilitado\nConfigura\u00e7\u00f5es IEEE 802.1X\nAutentica\u00e7\u00e3o de Computador\tSomente computador\nM\u00e1ximas Falhas de Autentica\u00e7\u00e3o\t10\nM\u00e1ximas Mensagens EAPOL-Start Enviadas\t \nPer\u00edodo Retido (segundos)\t \nPer\u00edodo de In\u00edcio (segundos)\t \nPer\u00edodo de Autentica\u00e7\u00e3o (segundos)\t \nPropriedades do M\u00e9todo de Autentica\u00e7\u00e3o da Rede\nM\u00e9todo de autentica\u00e7\u00e3o\tPEAP protegido (Protected EAP)\nValidar certificado do servidor\tHabilitado\nConectar a estes servidores\t \nN\u00e3o solicitar ao usu\u00e1rio autoriza\u00e7\u00e3o para novos servidores ou autoridades certificadoras confi\u00e1veis\tDesabilitado\nHabilitar reconex\u00e3o r\u00e1pida\tHabilitado\nDesconectar se o servidor n\u00e3o apresentar TLV de criptografia\tDesabilitado\nFor\u00e7ar prote\u00e7\u00e3o de acesso \u00e0 rede\tDesabilitado\nConfigura\u00e7\u00e3o do M\u00e9todo de Autentica\u00e7\u00e3o\nM\u00e9todo de autentica\u00e7\u00e3o\tSenha segura (EAP-MSCHAP v2)\nUsar automaticamente meu nome de logon e senha do Windows (e dom\u00ednio, se houver)\tHabilitado<\/code><\/pre>\n
\"Configura\u00e7\u00e3o
\n
\nVamos criar um grupo de seguran\u00e7a sg-computers-8021x-vl100<\/i><\/b>, onde adicionaremos os computadores que queremos distribuir na VLAN 100 e configuraremos a filtragem para a pol\u00edtica de grupo criada anteriormente para esse grupo:<\/p>\n
\"Configura\u00e7\u00e3o
\n
\nPara verificar se a pol\u00edtica foi aplicada com sucesso, abra \"Central de Rede e Compartilhamento (Configura\u00e7\u00f5es de Rede e Internet) \u2013 Alterar as configura\u00e7\u00f5es do adaptador (Configurar as configura\u00e7\u00f5es do adaptador) \u2013 Propriedades do adaptador\", donde poderemos ver a aba \"Autentica\u00e7\u00e3o\":<\/p>\n
\"Configura\u00e7\u00e3o
\n
\nQuando tivermos certeza de que a pol\u00edtica est\u00e1 sendo aplicada com sucesso, podemos passar para a configura\u00e7\u00e3o da pol\u00edtica de rede no NPS e das portas do switch de acesso.<\/p>\n
Vamos criar uma pol\u00edtica de rede neag-computers-8021x-vl100<\/i><\/b>:<\/p>\n
Condi\u00e7\u00f5es:\n  Grupos do Windows - sg-computers-8021x-vl100\n  Tipo de Porta NAS - Ethernet\nRestri\u00e7\u00f5es:\n  M\u00e9todos de Autentica\u00e7\u00e3o - Microsoft: EAP Protegido (PEAP) - Autentica\u00e7\u00e3o n\u00e3o criptografada (PAP, SPAP)\n  Tipo de Porta NAS - Ethernet\nConfigura\u00e7\u00f5es:\n  Padr\u00e3o:\n   Framed-MTU 1344\n   TunnelMediumType 802 (inclui todos os meios 802, al\u00e9m do formato can\u00f4nico Ethernet)\n   TunnelPrivateGroupId  100\n   TunnelType  VLANs Virtuais<\/code><\/pre>\n
\n\"Configura\u00e7\u00e3o
\n
\nConfigura\u00e7\u00f5es t\u00edpicas para a porta do switch (ressalto que o tipo de autentica\u00e7\u00e3o \u201cmulti-dominio\u201d \u2013 Data & Voice, al\u00e9m da possibilidade de autentica\u00e7\u00e3o por endere\u00e7o MAC. Durante o \u201cper\u00edodo de transi\u00e7\u00e3o\u201d, \u00e9 sensato usar nos par\u00e2metros:<\/p>\n
\nevento de falha de autentica\u00e7\u00e3o a\u00e7\u00e3o autorizar vlan 100\na\u00e7\u00e3o de no-response de evento de autentica\u00e7\u00e3o autorizar vlan 100\n<\/code><\/pre>\n
\no id da vlan n\u00e3o \u00e9 \u201cquarentena\u201d, mas sim aquele em que o computador do usu\u00e1rio deve entrar, ap\u00f3s autoriza\u00e7\u00e3o bem-sucedida \u2013 enquanto n\u00e3o tivermos certeza de que tudo est\u00e1 funcionando corretamente. Esses mesmos par\u00e2metros podem ser usados em outros cen\u00e1rios, por exemplo, quando um switch n\u00e3o gerenciado \u00e9 conectado a esta porta e voc\u00ea deseja que todos os dispositivos conectados a ele e que n\u00e3o passaram pela autentica\u00e7\u00e3o sejam colocados em uma VLAN espec\u00edfica (\u201cquarentena\u201d).<\/p>\n
configura\u00e7\u00f5es da porta do switch no modo 802.1x  host-mode multi-domain<\/b><\/p>\n
default int range Gi1\/0\/39-41\nint range Gi1\/0\/39-41\nshu\ndes PC-IPhone_802.1x\nswitchport mode access\nswitchport nonegotiate\nswitchport voice vlan 55\nswitchport port-security maximum 2\nevento de falha de autentica\u00e7\u00e3o a\u00e7\u00e3o autorizar vlan 100\nevento de no-response de autentica\u00e7\u00e3o a\u00e7\u00e3o autorizar vlan 100\nautentica\u00e7\u00e3o host-mode multi-domain\nautentica\u00e7\u00e3o controle da porta autom\u00e1tico\nautentica\u00e7\u00e3o viola\u00e7\u00e3o restrita\nmab\ndot1x pae authenticator\ndot1x timeout quiet-period 15\ndot1x timeout tx-period 3\nstorm-control broadcast level pps 100\nstorm-control multicast level pps 110\nno vtp\nlldp receive\nlldp transmit\nspanning-tree portfast\nno shu\nexit<\/code><\/pre>\n
Verifique se os computadores\/telefonem foram autenticados com sucesso usando o comando:<\/p>\n
sh authentication sessions int Gi1\/0\/39 det<\/code><\/pre>\n
\nAgora, vamos criar um grupo (por exemplo, sg-fgpp-mab<\/i> ) no Active Directory para telefones e adicionaremos um aparelho para testes (no meu caso, \u00e9 Grandstream GXP2160<\/i><\/b> com o endere\u00e7o MAC 000b.82ba.a7b1<\/b> e a conta correspondente domain 00b82baa7b1<\/b>). <\/p>\n
Para o grupo criado, reduziremos as exig\u00eancias da pol\u00edtica de senhas (usando Fine-Grained Password Policies<\/a><\/noindex> pelo Active Directory Administrative Center -> domain -> System -> Password Settings Container) com os seguintes par\u00e2metros Password-Settings-for-MAB<\/i><\/b>:<\/p>\n
\"Configura\u00e7\u00e3o
\n
\ndessa forma, permitiremos usar o endere\u00e7o MAC dos dispositivos como senhas. Ap\u00f3s isso, poderemos criar uma pol\u00edtica de rede para autentica\u00e7\u00e3o 802.1x m\u00e9todo mab, chamaremos de neag-devices-8021x-voice. Os par\u00e2metros s\u00e3o os seguintes:<\/p>\n