{"id":42118,"date":"2019-03-18T00:00:00","date_gmt":"2019-03-17T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad"},"modified":"2020-02-18T13:44:55","modified_gmt":"2020-02-18T10:44:55","slug":"nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/administrirovanie\/nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad","title":{"rendered":"Configurarea 802.1X pe switch-urile Cisco cu ajutorul NPS redundant (Windows RADIUS cu AD)","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Configurarea
\nVom analiza \u00een practic\u0103 utilizarea Windows Active Directory + NPS (2 servere pentru asigurarea redundan\u021bei) + standardul 802.1x pentru controlul accesului \u0219i autentificarea utilizatorilor \u2013 computerele domeniului \u2013 dispozitivele. Teoria privind standardul poate fi consultat\u0103 \u00een Wikipedia, la link: IEEE 802.1X<\/a><\/noindex><\/p>\n

Deoarece \u201elaboratorul\u201d meu este limitat \u00een resurse, combin rolurile NPS \u0219i controllerul de domeniu, dar v\u0103 recomand s\u0103 separa\u021bi totu\u0219i aceste servicii critice.<\/p>\n

Nu cunosc modalit\u0103\u021bi standard de sincronizare a configura\u021biilor (politicilor) Windows NPS, a\u0219a c\u0103 vom folosi scripturi PowerShell, care vor fi rulate de planificatorul de sarcini (autorul fiind fostul meu coleg). Pentru autentificarea computerelor din domeniu \u0219i pentru dispozitivele care nu pot utiliza 802.1x<\/b> (telefoane, imprimante etc.), va fi configurat\u0103 o politic\u0103 de grup \u0219i vor fi create grupuri de securitate.<\/p>\n

La finalul articolului voi vorbi despre c\u00e2teva subtilit\u0103\u021bi ale lucrului cu 802.1x \u2013 cum poate fi utilizat switch-uri neadministrate, ACL-uri dinamice etc. Voi \u00eemp\u0103rt\u0103\u0219i informa\u021bii despre erorile \u00eent\u00e2mpinate...
\n<\/a><\/noindex>
\nS\u0103 \u00eencepem cu instalarea \u0219i configurarea NPS de rezerv\u0103 pe Windows Server 2012R2 (pe 2016 se face la fel): prin Server Manager -> Wizard-ul Ad\u0103ugare Roluri \u0219i Func\u021bionalit\u0103\u021bi alegem doar Network Policy Server.<\/p>\n

\"Configurarea
\n
\nsau prin PowerShell:<\/p>\n

Install-WindowsFeature NPAS -IncludeManagementTools<\/code><\/pre>\n
<\/p>\n
O mic\u0103 precizare \u2013 deoarece pentru Protected EAP (PEAP)<\/b> este absolut necesar un certificat care s\u0103 confirme autenticitatea serverului (cu drepturi corespunz\u0103toare de utilizare), care va fi \u00een computerele client de \u00eencredere, a\u0219a c\u0103 cel mai probabil va trebui s\u0103 instala\u021bi \u0219i rolul Certification Authority<\/b>. Dar s\u0103 presupunem c\u0103 CA<\/b> este deja instalat...<\/p><\/blockquote>\n
 Vom face acela\u0219i lucru \u0219i pe al doilea server. Vom crea un folder pentru script C:Scripts pe ambele servere \u0219i un folder de re\u021bea pe al doilea server SRV2NPS-config$<\/b><\/p>\n
Pe primul server vom crea un script PowerShell C:ScriptsExport-NPS-config.ps1<\/i> cu urm\u0103torul con\u021binut:<\/p>\n
Export-NpsConfiguration -Path \"SRV2NPS-config$NPS.xml\"<\/code><\/pre>\n
\nDup\u0103 aceasta, vom configura o sarcin\u0103 \u00een Task Scheduler: \u201cExport-NpsConfiguration<\/i>\u201d<\/p>\n
powershell -executionpolicy unrestricted -f \"C:ScriptsExport-NPS-config.ps1\"<\/code><\/pre>\n
\nSe va executa pentru to\u021bi utilizatorii \u2014 Se va executa cu cele mai mari privilegii
\nZilnic \u2014 Repet\u0103 sarcina la fiecare 10 minute timp de 8 ore.<\/i><\/p>\n
Pe NPS-ul de rezerv\u0103, vom configura importul configura\u021biei (politicilor):
\nvom crea un script PowerShell:<\/p>\n
echo Import-NpsConfiguration -Path \"c:NPS-configNPS.xml\" >> C:ScriptsImport-NPS-config.ps1<\/code><\/pre>\n
\n\u0219i sarcina de a o executa la fiecare 10 minute:<\/p>\n
powershell -executionpolicy unrestricted -f \"C:ScriptsImport-NPS-config.ps1\"<\/code><\/pre>\n
\nSe va executa pentru to\u021bi utilizatorii \u2014 Se va executa cu cele mai mari privilegii
\nZilnic \u2014 Repet\u0103 sarcina la fiecare 10 minute timp de 8 ore.<\/i><\/p>\n
Acum, pentru verificare, vom ad\u0103uga \u00een NPS pe unul dintre servere (!) c\u00e2teva switch-uri ca \u0219i clien\u021bi RADIUS (IP \u0219i Secret Comun), dou\u0103 politici de solicitare a conexiunii: WIRED-Connect<\/b> (Condi\u021bie: \u201eTipul portului NAS \u2013 Ethernet\u201d) \u0219i WiFi-Enterprise<\/b> (Condi\u021bie: \u201eTipul portului NAS \u2013 IEEE 802.11\u201d), precum \u0219i politica de re\u021bea Access Cisco Network Devices<\/i><\/b> (Administratori de re\u021bea):<\/p>\n
Condi\u021bii:\nGrupuri Windows - domainsg-network-admins\nLimit\u0103ri:\nMetode de autentificare - Verificare \u00een text clar (PAP, SPAP)\nParametrii:\nAtribute RADIUS: Standard - Service-Type - Login\nDependent de furnizor - Cisco-AV-Pair - Cisco - shell:priv-lvl=15<\/code><\/pre>\n
Din partea switch-urilor, urm\u0103toarele set\u0103ri:<\/b><\/p>\n
aaa new-model\naaa local authentication attempts max-fail 5\n!\n!\naaa group server radius NPS\n server-private 192.168.38.151 auth-port 1812 acct-port 1813 key %shared_secret%\n server-private 192.168.10.151 auth-port 1812 acct-port 1813 key %shared_secret%\n!\naaa authentication login default group NPS local\naaa authentication dot1x default group NPS\naaa authorization console\naaa authorization exec default group NPS local if-authenticated\naaa authorization network default group NPS\n!\naaa session-id common\n!\nidentity profile default\n!\ndot1x system-auth-control\n!\n!\nline vty 0 4\n exec-timeout 5 0\n transport input ssh\n escape-character 99\nline vty 5 15\n exec-timeout 5 0\n logging synchronous\n transport input ssh\n escape-character 99<\/code><\/pre>\n
Dup\u0103 configurare, \u00een 10 minute, toate politicile de parametri pentru clien\u021bi ar trebui s\u0103 apar\u0103 \u0219i pe NPS-ul de rezerv\u0103 \u0219i ne vom putea autentifica pe switch-uri cu ajutorul unui cont Active Directory, membru al grupului domainsg-network-admins (pe care l-am creat anterior).<\/p>\n
S\u0103 trecem la configurarea Active Directory \u2013 vom crea politicile de grup \u0219i parole, vom crea grupurile necesare.<\/p>\n
Politica de grup Computers-8021x-Settings<\/b><\/i>:<\/p>\n
<\/p>\n
Configurarea computerului (Activat\u0103)\n   Politici\n     Set\u0103ri Windows\n        Set\u0103ri de securitate\n          Servicii de sistem\n     Wired AutoConfig (Mod de pornire: Automat)\nPolitici Wired Network (802.3)<\/code><\/pre>\n
<\/b>
\nNPS-802-1x<\/b><\/p>\n
Nume\tNPS-802-1x\nDescriere\t802.1x\nSet\u0103ri globale\nSETARE\tVALOARE\nUtiliza\u021bi servicii de re\u021bea LAN cablu Windows pentru clien\u021bi\tActivat\nCredentiale de utilizator partajate pentru autentificarea \u00een re\u021bea\tActivat\nProfil de re\u021bea\nSet\u0103ri de securitate\nPermite utilizarea autentific\u0103rii IEEE 802.1X pentru accesul la re\u021bea\tActivat\nImpune utilizarea autentific\u0103rii IEEE 802.1X pentru accesul la re\u021bea\tDezactivat\nSet\u0103ri IEEE 802.1X\nAutentificare computer\tDoar computer\nNum\u0103r maxim de e\u0219ecuri de autentificare\t10\nNum\u0103r maxim de mesaje EAPOL-Start trimise\t \nPerioad\u0103 de a\u0219teptare (secunde)\t \nPerioad\u0103 de pornire (secunde)\t \nPerioad\u0103 de autentificare (secunde)\t \nPropriet\u0103\u021bi metoda de autentificare re\u021bea\nMetoda de autentificare\tEAP protejat (PEAP)\nValidare certificat server\tActivat\nConectare la ace\u0219ti serveri\t \nNu solicita utilizatorului s\u0103 autorizeze servere noi sau autorit\u0103\u021bi de certificare de \u00eencredere\tDezactivat\nPermite reconectarea rapid\u0103\tActivat\nDeconectare dac\u0103 serverul nu prezint\u0103 TLV de criptare\tDezactivat\nImpune protec\u021bia accesului la re\u021bea\tDezactivat\nConfigurare metod\u0103 de autentificare\nMetoda de autentificare\tParol\u0103 securizat\u0103 (EAP-MSCHAP v2)\nUtiliza\u021bi automat numele de conectare \u0219i parola Windows (\u0219i domeniul, dac\u0103 este cazul)\tActivat<\/code><\/pre>\n
\"Configurarea
\n
\nVom crea un grup de securitate sg-computers-8021x-vl100<\/i><\/b>, unde vom ad\u0103uga computerele pe care dorim s\u0103 le distribuiem \u00een VLAN 100 \u0219i vom configura filtrarea pentru politica de grup creat\u0103 anterior pentru acest grup:<\/p>\n
\"Configurarea
\n
\nPentru a verifica c\u0103 politica a fost aplicat\u0103 cu succes, deschide\u021bi \u201eCentru de control al re\u021belelor \u0219i partaj\u0103rii (Set\u0103ri re\u021bea \u0219i Internet) \u2013 Modificare set\u0103ri adaptor (Configurare set\u0103ri adaptor) \u2013 Propriet\u0103\u021bi adaptor\u201d, unde vom putea vedea tab-ul \u201eAutentificare\u201d:<\/p>\n
\"Configurarea
\n
\nOdat\u0103 ce am confirmat c\u0103 politica este aplicat\u0103 cu succes, putem trece la configurarea politicii de re\u021bea pe NPS \u0219i la porturile switch-ului de acces.<\/p>\n
S\u0103 cre\u0103m o politic\u0103 de re\u021bea neag-computers-8021x-vl100<\/i><\/b>:<\/p>\n
Condi\u021bii:\n  Grupuri Windows - sg-computers-8021x-vl100\n  Tip port NAS - Ethernet\nConstr\u00e2ngeri:\n  Metode de autentificare - Microsoft: EAP protejat (PEAP) - Autentificare necriptat\u0103 (PAP, SPAP)\n  Tip port NAS - Ethernet\nSet\u0103ri:\n  Standard:\n   Framed-MTU 1344\n   TunnelMediumType 802 (include toate mediile 802 plus formatul canonic Ethernet)\n   TunnelPrivateGroupId  100\n   TunnelType  VLAN-uri virtuale<\/code><\/pre>\n
\n\"Configurarea
\n
\nSet\u0103ri standard pentru portul switch-ului (atrag aten\u021bia c\u0103 se folose\u0219te un tip de autentificare \u201emultidomeniu\u201d \u2013 Date & Voce, iar exist\u0103 \u0219i posibilitatea autentific\u0103rii dup\u0103 adresa MAC. Pentru perioada de \u201etranzi\u021bie\u201d, este util s\u0103 folosi\u021bi \u00een parametri:<\/p>\n
\nauthentication event fail action authorize vlan 100\nauthentication event no-response action authorize vlan 100\n<\/code><\/pre>\n
\nVLAN ID nu este \u201ede carantin\u0103\u201d, ci acela\u0219i \u00een care computerul utilizatorului trebuie s\u0103 ajung\u0103, dup\u0103 ce a fost autorizat cu succes \u2013 p\u00e2n\u0103 c\u00e2nd ne asigur\u0103m c\u0103 totul func\u021bioneaz\u0103 corect. Ace\u0219ti parametri pot fi folosi\u021bi \u0219i \u00een alte scenarii, de exemplu, c\u00e2nd \u00een acest port este conectat un switch neadministrat \u0219i dori\u021bi ca toate dispozitivele conectate la acesta \u0219i care nu au trecut de autentificare s\u0103 ajung\u0103 \u00eentr-un VLAN specific (\u201ede carantin\u0103\u201d).<\/p>\n
Set\u0103rile portului switch-ului \u00een modul 802.1x host-mode multidomeniu<\/b><\/p>\n
default int range Gi1\/0\/39-41\nint range Gi1\/0\/39-41\nshu\ndes PC-IPhone_802.1x\nswitchport mode access\nswitchport nonegotiate\nswitchport voice vlan 55\nswitchport port-security maximum 2\nauthentication event fail action authorize vlan 100\nauthentication event no-response action authorize vlan 100\nauthentication host-mode multi-domain\nauthentication port-control auto\nauthentication violation restrict\nmab\ndot1x pae authenticator\ndot1x timeout quiet-period 15\ndot1x timeout tx-period 3\nstorm-control broadcast level pps 100\nstorm-control multicast level pps 110\nno vtp\nlldp receive\nlldp transmit\nspanning-tree portfast\nno shu\nexit<\/code><\/pre>\n
Pentru a verifica c\u0103 computerul\/telefonul a trecut cu succes autentificarea, folosi\u021bi comanda:<\/p>\n
sh authentication sessions int Gi1\/0\/39 det<\/code><\/pre>\n
\nAcum s\u0103 cre\u0103m un grup (de exemplu, sg-fgpp-mab<\/i> ) \u00een Active Directory pentru telefoane \u0219i vom ad\u0103uga un dispozitiv pentru teste (\u00een cazul meu acesta este Grandstream GXP2160<\/i><\/b> cu adresa MAC 000b.82ba.a7b1<\/b> \u0219i contul corespunz\u0103tor domain 00b82baa7b1<\/b>). <\/p>\n
Pentru grupul creat, vom reduce cerin\u021bele politicii de parole (folosind Politici de Parol\u0103 Fine-Grained<\/a><\/noindex> prin Active Directory Administrative Center -> domain -> System -> Password Settings Container) cu urm\u0103toarele set\u0103ri Password-Settings-for-MAB<\/i><\/b>:<\/p>\n
\"Configurarea
\n
\nastfel permi\u021b\u00e2nd utilizarea adresei MAC a dispozitivelor ca parole. Dup\u0103 aceea, vom putea crea o politic\u0103 de re\u021bea pentru autentificarea 802.1x metoda mab, numit\u0103 neag-devices-8021x-voice. Set\u0103rile sunt urm\u0103toarele:<\/p>\n