Pozrime sa na praktické využitie Windows Active Directory + NPS (2 servery pre zabezpečenie odolnosti) + štandard 802.1x na kontrolu prístupu a autentifikáciu používateľov – doménových počítačov – zariadení. O teórii o štandarde sa môžete dozvedieť na Wikipédii, na odkaze:
Keďže moja „laboratórium“ je obmedzené zdrojmi, zlúčim úlohy NPS a doménového kontroléra, ale vám odporúčam takéto kritické služby skôr oddeliť.
Neviem o štandardných spôsoboch synchronizácie konfigurácií (politík) Windows NPS, preto budeme používať PowerShell skripty spúšťané plánovačom úloh (autor bol môj bývalý kolega). Na autentifikáciu doménových počítačov a pre zariadenia, ktoré nevedia o 802.1x (telefóny, tlačiarne a pod.), bude nastavená skupinová politika a vytvorené bezpečnostné skupiny.
Na konci článku sa podelím o niektoré detaily práce s 802.1x – ako je možné používať neadministratívne prepínače, dynamické ACL a pod. Zdieľam informácie o zachytených „chybičkách“...
Začneme inštaláciou a nastavením failover NPS na Windows Server 2012R2 (na 2016 je to podobné): prostredníctvom Správcu servera -> Sprievodca pridaním rolí a funkcií vyberieme len Network Policy Server.
alebo pomocou PowerShell:
Install-WindowsFeature NPAS -IncludeManagementToolsMalé upresnenie – pretože pre Protected EAP (PEAP) budete potrebovať certifikát, ktorý potvrdzuje pravosť servera (so zodpovedajúcimi právami na používanie), ktorý bude v dôveryhodných na klientskych počítačoch, pravdepodobne budete musieť nainštalovať aj rolu Certification Authority. Ale považujme to, že CA už máte nainštalované...
Urobíme to isté aj na druhom serveri. Vytvoríme priečinok pre skript C:Scripts na oboch serveroch a sieťový priečinok na druhom serveri SRV2NPS-config$
Na prvom serveri vytvoríme PowerShell skript C:ScriptsExport-NPS-config.ps1 so nasledujúcim obsahom:
Export-NpsConfiguration -Path "SRV2NPS-config$NPS.xml"Potom nastavíme úlohu v Plánovači úloh: “Export-NpsConfiguration”
powershell -executionpolicy unrestricted -f "C:ScriptsExport-NPS-config.ps1" Vykonávať pre všetkých používateľov — vykonať s najvyššími právami
Každodenne — opakovať úlohu každých 10 minút počas 8 hodín.
Na záložnom NPS nastavíme import konfigurácie (politík):
vytvoríme skript PowerShell:
echo Import-NpsConfiguration -Path "c:NPS-configNPS.xml" >> C:ScriptsImport-NPS-config.ps1a úlohu na jeho vykonanie každých 10 minút:
powershell -executionpolicy unrestricted -f "C:ScriptsImport-NPS-config.ps1" Vykonávať pre všetkých používateľov — vykonať s najvyššími právami
Každodenne — opakovať úlohu každých 10 minút počas 8 hodín.
Teraz, na kontrolu, pridáme do NPS na jednom z serverov (!) niekoľko prepínačov do RADIUS klientov (IP a Shared Secret), dve politiky žiadostí o pripojenie: WIRED-Connect (Podmienka: „Typ portu NAS – Ethernet“) a WiFi-Enterprise (Podmienka: „Typ portu NAS – IEEE 802.11“), ako aj sieťovú politiku Access Cisco Network Devices (Správcovia siete):
Podmienky:
Skupiny Windows - domainsg-network-admins
Obmedzenia:
Metódy overovania - Overenie otvoreným textom (PAP, SPAP)
Parametre:
Atribúty RADIUS: Štandard - Service-Type - Login
Závislé od dodávateľa - Cisco-AV-Pair - Cisco - shell:priv-lvl=15Z pohľadu prepínačov sú nasledujúce nastavenia:
aaa new-model
aaa local authentication attempts max-fail 5
!
!
aaa group server radius NPS
server-private 192.168.38.151 auth-port 1812 acct-port 1813 key %shared_secret%
server-private 192.168.10.151 auth-port 1812 acct-port 1813 key %shared_secret%
!
aaa authentication login default group NPS local
aaa authentication dot1x default group NPS
aaa authorization console
aaa authorization exec default group NPS local if-authenticated
aaa authorization network default group NPS
!
aaa session-id common
!
identity profile default
!
dot1x system-auth-control
!
!
line vty 0 4
exec-timeout 5 0
transport input ssh
escape-character 99
line vty 5 15
exec-timeout 5 0
logging synchronous
transport input ssh
escape-character 99Po nastavení, po 10 minútach, by všetci klienti, politiky a parametre mali byť viditeľné aj na záložnom NPS a budeme sa môcť autentizovať na prepínačoch pomocou účtu Active Directory, člena skupiny domainsg-network-admins (ktorú sme vytvorili vopred).
Prejdeme k nastaveniu Active Directory – vytvoríme skupinovú a heslovú politiku, vytvoríme potrebné skupiny.
Skupinová politika Computers-8021x-Settings:
Konfigurácia počítača (Povolené)
Politiky
Windows nastavenia
Bezpečnostné nastavenia
Systémové služby
Wired AutoConfig (Režim spustenia: Automatický)
Politiky bezdrôtovej siete (802.3)
NPS-802-1x
Názov NPS-802-1x
Popis 802.1x
Globálne nastavenia
Nastavenie Hodnota
Použiť služby sietí LAN Windows pre klientov Povolené
Zdieľané používateľské poverenia pre autentizáciu v sieti Povolené
Profil siete
Bezpečnostné nastavenia
Povoliť použitie autentifikácie IEEE 802.1X pre prístup do siete Povolené
Presadiť použitie autentifikácie IEEE 802.1X pre prístup do siete Zakázané
Nastavenia IEEE 802.1X
Autentizácia počítača Iba počítač
Maximálne zlyhania autentifikácie 10
Maximálny počet odoslaných EAPOL-Start správ
Držaný čas (sekundy)
Počiatočný čas (sekundy)
Čas autentifikácie (sekundy)
Vlastnosti metódy autentifikácie siete
Metóda autentifikácie Chránené EAP (PEAP)
Overiť certifikát servera Povolené
Pripojiť sa k týmto serverom
Nepýtať používateľa, aby autorizoval nové servery alebo dôveryhodné certifikačné autority Zakázané
Povoliť rýchle prepojenie Povolené
Odpojiť, ak server nepredloží cryptobinding TLV Zakázané
Presadiť ochranu prístupu do siete Zakázané
Konfigurácia metódy autentifikácie
Metóda autentifikácie Zabezpečené heslo (EAP-MSCHAP v2)
Automaticky použiť moje meno a heslo Windows (a doménu, ak existuje) Povolené
Vytvoríme skupinu zabezpečenia sg-computers-8021x-vl100, kde budeme pridávať počítače, ktoré chceme priradiť do VLAN 100 a nastavíme filtrovanie pre vytvorenú predtým skupinovú politiku na túto skupinu:
Overiť, či politika úspešne funguje, je možné otvorením „Centra správy sietí a zdieľania (Nastavenia siete a internetu) – Zmeniť nastavenia adaptéra (Nastavenie vlastností adaptéra) – Vlastnosti adaptéra“, kde uvidíme kartu „Overenie“:
Keďže sme sa presvedčili, že politika sa úspešne aplikuje, môžeme prejsť k nastaveniu sieťovej politiky na NPS a portov prístupového prepínača.
Vytvoríme sieťovú politiku neag-computers-8021x-vl100:
Podmienky:
Windows skupiny - sg-computers-8021x-vl100
Typ portu NAS - Ethernet
Obmedzenia:
Metódy autentizácie - Microsoft: Chránené EAP (PEAP) - Nešifrovaná autentizácia (PAP, SPAP)
Typ portu NAS - Ethernet
Nastavenia:
Štandard:
Framed-MTU 1344
TunnelMediumType 802 (zahŕňa všetky 802 médiá plus Ethernet kanonický formát)
TunnelPrivateGroupId 100
TunnelType Virtuálne LAN (VLAN) 
Typické nastavenia pre port prepínača (zdôrazňujem, že sa používa typ autentizácie „multidomén“ – Data & Voice, a takisto je tu možnosť autentizácie podľa MAC adresy. Počas „prechodného obdobia“ má zmysel použiť v parametroch:
akcia autorizovať VLAN 100 pri neúspešnom autentizácii
a.kcia autorizovať VLAN 100 pri nedostatočnej odpovedi
VLAN ID nie je „karanténne“, ale to isté, kam by mal používateľský počítač prísť po úspešnej autorizácii – pokiaľ sa presvedčíme, že všetko funguje ako má. Tieto parametre môžu byť použité aj v iných scenároch, napríklad, keď do tohto portu zapojíte nejaký neovládaný prepínač a chcete, aby všetky zariadenia, ktoré sú k nemu pripojené a neprešli autentizáciou, patrili do určitého VLAN („karanténneho“).
nastavenia portu prepínača v režime 802.1x host-mode multi-domain
default int range Gi1/0/39-41
int range Gi1/0/39-41
shu
des PC-IPhone_802.1x
switchport mode access
switchport nonegotiate
switchport voice vlan 55
switchport port-security maximum 2
authentication event fail action authorize vlan 100
authentication event no-response action authorize vlan 100
authentication host-mode multi-domain
authentication port-control auto
authentication violation restrict
mab
dot1x pae authenticator
dot1x timeout quiet-period 15
dot1x timeout tx-period 3
storm-control broadcast level pps 100
storm-control multicast level pps 110
no vtp
lldp receive
lldp transmit
spanning-tree portfast
no shu
exitSkontrolovať, či počítač/telefón úspešne prešiel autentizáciou, je možné príkazom:
sh authentication sessions int Gi1/0/39 detTeraz vytvoríme skupinu (napríklad, sg-fgpp-mab ) v Active Directory pre telefóny a pridáme do nej jedno zariadenie na testovanie (v mojom prípade je to Grandstream GXP2160 s mac-adresou 000b.82ba.a7b1 a odpovedajúcim účtom domain 00b82baa7b1).
Pre vytvorenú skupinu znížime požiadavky politiky hesiel (použitím cez Active Directory Administrative Center -> domain -> System -> Password Settings Container) s takýmito parametrami Password-Settings-for-MAB:
týmto umožníme používať mac-adresy zariadení ako heslá. Po tomto budeme môcť vytvoriť sieťovú politiku pre autentifikáciu 802.1x metódou mab, nazveme ju neag-devices-8021x-voice. Parametre sú nasledovné:
- NAS Port Type – Ethernet
- Windows Groups – sg-fgpp-mab
- EAP Types: Nešifrovaná autentifikácia (PAP, SPAP)
- RADIUS Atribúty – Špecifické pre predajcu: Cisco – Cisco-AV-Pair – Hodnota atribútu: device-traffic-class=voice
po úspešnej autentifikácii (nezabudnite nastaviť port prepínača), pozrieme sa na informácie z portu:
sh authentication se int Gi1/0/34
----------------------------------------
Interface: GigabitEthernet1/0/34
MAC Address: 000b.82ba.a7b1
IP Address: 172.29.31.89
User-Name: 000b82baa7b1
Status: Authz Success
Domain: VOICE
Oper host mode: multi-domain
Oper control dir: both
Authorized By: Authentication Server
Session timeout: N/A
Idle timeout: N/A
Common Session ID: 0000000000000EB2000B8C5E
Acct Session ID: 0x00000134
Handle: 0xCE000EB3
Runnable methods list:
Method State
dot1x Failed over
mab Authc SuccessTeraz, ako som sľúbil, pozrime sa na pár nie celkom zrejmých situácií. Napríklad, potrebujeme pripojiť počítače zariadenia používateľov cez nejaký neovládaný prepínač. V tomto prípade budú nastavenia portu vyzerať nasledovne:
nastavenia portu prepínača v režime 802.1x host-mode multi-auth
interface GigabitEthernet1/0/1
description *SW – 802.1x – 8 mac*
shu
switchport mode access
switchport nonegotiate
switchport voice vlan 55
switchport port-security maximum 8 ! zvyšujeme počet povolených mac-adres
authentication event fail action authorize vlan 100
authentication event no-response action authorize vlan 100
authentication host-mode multi-auth ! – režim autentifikácie
authentication port-control auto
authentication violation restrict
mab
dot1x pae authenticator
dot1x timeout quiet-period 15
dot1x timeout tx-period 3
storm-control broadcast level pps 100
storm-control multicast level pps 110
no vtp
spanning-tree portfast
no shuP.S. zaznamenal som veľmi podivnú chybu – ak bolo zariadenie pripojené cez takýto prepínač, a potom ho zasunuli do riadeného prepínača, tak NEzafunguje, kým ho neodobrúme(!) prepínač. Zatiaľ som nenašiel iné spôsoby, ako tento problém vyriešiť.
Ešte jedna vec, ktorá súvisí s DHCP (ak sa používa ip dhcp snooping) – bez takýchto možností:
ip dhcp snooping vlan 1-100
no ip dhcp snooping information optionnejako sa nepodarilo získať správnu IP adresu… hoci to môže byť špecifická vlastnosť nášho DHCP servera
A ešte Mac OS & Linux (kde je podpora 802.1x natívna) sa pokúšajú prejsť autentifikáciou používateľa, aj keď je nastavená autentifikácia na základe MAC adresy.
V nasledujúcej časti článku sa pozrieme na aplikáciu 802.1x pre Wireless (podľa skupiny, do ktorej účet používateľa patrí, ho „začleníme“ do príslušnej siete (vlan), aj keď sa pripoja k jednému SSID).
Zdroj: habr.com
