{"id":42118,"date":"2019-03-18T00:00:00","date_gmt":"2019-03-17T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad"},"modified":"2020-02-18T13:44:55","modified_gmt":"2020-02-18T10:44:55","slug":"nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sl\/blog\/administrirovanie\/nastrojka-802-1x-na-kommutatorah-cisco-s-pomoshhyu-otkazoustojchivogo-nps-windows-radius-with-ad","title":{"rendered":"Nastavitev 802.1X na stikalih Cisco z uporabo redundantnega NPS (Windows RADIUS z AD)","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Nastavitev
\nPraktisk unders\u00f8gelser af brugen af Windows Active Directory + NPS (2 servere til sikring af fejlfindingsmodstand) + standard 802.1x til adgangs- og autentificeringskontrol for brugere \u2013 dom\u00e6necomputere \u2013 enheder. Du kan finde teorien om standarden i Wikipedia, ved at f\u00f8lge linket: IEEE 802.1X<\/a><\/noindex><\/p>\n

Da min \u201claboratorium\u201d har begr\u00e6nsede ressourcer, kombinerer jeg rollerne NPS og dom\u00e6necontroller, men jeg anbefaler, at du adskiller s\u00e5danne kritiske tjenester.<\/p>\n

Jeg kender ikke nogen standardmetoder til synkronisering af konfigurationer (politikker) af Windows NPS, s\u00e5 vi vil bruge PowerShell-scripts, der k\u00f8res af opgaveplanl\u00e6ggeren (forfatteren er min tidligere kollega). Til autentificering af dom\u00e6necomputere og for enheder, der ikke kan h\u00e5ndtere 802.1x<\/b> (telefoner, printere osv.), vil gruppepolitikken blive konfigureret, og sikkerhedsgrupper oprettet.<\/p>\n

I slutningen af artiklen vil jeg fort\u00e6lle om nogle nuancer ved arbejde med 802.1x \u2013 hvordan man kan bruge unmanaged switches, dynamic ACL osv. Jeg vil dele oplysninger om fangede 'glitches'\u2026
\n<\/a><\/noindex>
\nLad os begynde med installation og konfiguration af failover NPS p\u00e5 Windows Server 2012R2 (det samme g\u00e6lder for 2016): via Server Manager -> Add Roles and Features Wizard v\u00e6lger vi kun Network Policy Server.<\/p>\n

\"Nastavitev
\n
\neller ved hj\u00e6lp af PowerShell:<\/p>\n

Install-WindowsFeature NPAS -IncludeManagementTools<\/code><\/pre>\n
<\/p>\n
En lille pr\u00e6cisering \u2013 da du Protected EAP (PEAP)<\/b> du helt sikkert vil have brug for et certifikat, der bekr\u00e6fter serverens autenticitet (med de relevante rettigheder til brug), som vil v\u00e6re i de betroede p\u00e5 klientcomputere, s\u00e5 du h\u00f8jst sandsynligt ogs\u00e5 skal installere rollen Certification Authority<\/b>. Men lad os antage, at CA<\/b> allerede er installeret...<\/p><\/blockquote>\n
 Vi g\u00f8r det samme p\u00e5 den anden server. Vi opretter en mappe til scriptet C:Scripts p\u00e5 begge servere og en netv\u00e6rksmappe p\u00e5 den anden server SRV2NPS-config$<\/b><\/p>\n
P\u00e5 den f\u00f8rste server opretter vi et PowerShell-script C:ScriptsExport-NPS-config.ps1<\/i> med f\u00f8lgende indhold:<\/p>\n
Export-NpsConfiguration -Path \"SRV2NPS-config$NPS.xml\"<\/code><\/pre>\n
\nDerefter konfigurerer vi opgaven i Task Scheduler: \"Export-NpsConfiguration<\/i>\u201d<\/p>\n
powershell -executionpolicy unrestricted -f \"C:ScriptsExport-NPS-config.ps1\"<\/code><\/pre>\n
\nUdf\u00f8r for alle brugere \u2014 Udf\u00f8r med de h\u00f8jeste rettigheder
\nDagligt \u2014 Gentag opgaven hver 10. minut i l\u00f8bet af 8 timer.<\/i><\/p>\n
P\u00e5 den backup NPS konfigurerer vi import af konfiguration (politikker):
\nvi opretter et PowerShell-script:<\/p>\n
echo Import-NpsConfiguration -Path \"c:NPS-configNPS.xml\" >> C:ScriptsImport-NPS-config.ps1<\/code><\/pre>\n
\nog opgaven til at udf\u00f8re det hver 10. minut:<\/p>\n
powershell -executionpolicy unrestricted -f \"C:ScriptsImport-NPS-config.ps1\"<\/code><\/pre>\n
\nUdf\u00f8r for alle brugere \u2014 Udf\u00f8r med de h\u00f8jeste rettigheder
\nDagligt \u2014 Gentag opgaven hver 10. minut i l\u00f8bet af 8 timer.<\/i><\/p>\n
Zdaj, za preverjanje, dodajmo v NPS na enem od stre\u017enikov (!) nekaj preklopnikov v RADIUS-kliente (IP in Shared Secret), dve politiki zahtev za povezovanje: WIRED-Connect<\/b> (Pogoj: \"Vrsta vrata NAS \u2013 Ethernet\") in WiFi-Enterprise<\/b> (Pogoj: \"Vrsta vrata NAS \u2013 IEEE 802.11\"), prav tako pa omre\u017eno politiko Dostop do Cisco omre\u017enih naprav<\/i><\/b> (Omre\u017eni skrbniki):<\/p>\n
Pogoji:\nSkupine Windows - domainsg-network-admins\nOmejitve:\nMetode overjanja - Overjanje v \u010disti obliki (PAP, SPAP)\nParametri:\nAtributi RADIUS: Standard - Service-Type - Login\nOdvisno od ponudnika - Cisco-AV-Pair - Cisco - shell:priv-lvl=15<\/code><\/pre>\n
S strani preklopnikov so naslednje nastavitve:<\/b><\/p>\n
aaa new-model\naaa local authentication attempts max-fail 5\n!\n!\naaa group server radius NPS\n server-private 192.168.38.151 auth-port 1812 acct-port 1813 key %shared_secret%\n server-private 192.168.10.151 auth-port 1812 acct-port 1813 key %shared_secret%\n!\naaa authentication login default group NPS local\naaa authentication dot1x default group NPS\naaa authorization console\naaa authorization exec default group NPS local if-authenticated\naaa authorization network default group NPS\n!\naaa session-id common\n!\nidentity profile default\n!\ndot1x system-auth-control\n!\n!\nline vty 0 4\n exec-timeout 5 0\n transport input ssh\n escape-character 99\nline vty 5 15\n exec-timeout 5 0\n logging synchronous\n transport input ssh\n escape-character 99<\/code><\/pre>\n
Po nastavitvi, po 10 minutah, bi morali vsi klienti politikiparametri pojaviti tudi na rezervnem NPS in se bomo lahko avtentificirali na preklopnikih z ra\u010dunom ActiveDirectory, \u010dlanom skupine domainsg-network-admins (ki smo jo prej ustvarili).<\/p>\n
Preidimo na nastavitev Active Directory \u2013 ustvarimo skupinske in geslo politike, ustvarimo potrebne skupine.<\/p>\n
Skupinska politika Computers-8021x-Settings<\/b><\/i>:<\/p>\n
<\/p>\n
Konfiguracija ra\u010dunalnika (Omogo\u010deno)\n   Politike\n     Nastavitve Windows\n        Nastavitve varnosti\n          Sistemske storitve\n     Wired AutoConfig (Na\u010din zagona: Avtomatski)\nWired Network (802.3) Politike<\/code><\/pre>\n
<\/b>
\nNPS-802-1x<\/b><\/p>\n
Ime\tNPS-802-1x\nOpis\t802.1x\nSvetovne nastavitve\nNASTAVITEV\tVREDNOST\nUporabite storitve omre\u017eja Windows za \u017ei\u010dne odjemalce\tOmogo\u010deno\nZagotovljene uporabni\u0161ke prijavne podatke za omre\u017eno overjanje\tOmogo\u010deno\nOmre\u017eni profil\nNastavitve varnosti\nOmogo\u010dite uporabo overjanja IEEE 802.1X za omre\u017eni dostop\tOmogo\u010deno\nUveljavite uporabo overjanja IEEE 802.1X za omre\u017eni dostop\tOnemogo\u010deno\nNastavitve IEEE 802.1X\nOverjanje ra\u010dunalnika\tSamo ra\u010dunalnik\nMaksimalne napake pri overjanju\t10\nMaksimalno poslanih sporo\u010dil EAPOL-Start\t \nZadr\u017eani \u010das (sekunde)\t \n\u010cas za\u010detka (sekunde)\t \n\u010cas overjanja (sekunde)\t \nLastnosti metod omre\u017enega overjanja\nMetoda overjanja\tZa\u0161\u010diteno EAP (PEAP)\nPotrdite certifikat stre\u017enika\tOmogo\u010deno\nPove\u017eite se s temi stre\u017eniki\t \nNe pozivaj uporabnika k odobritvi novih stre\u017enikov ali zaupanja vrednih certifikacijskih organov\tOnemogo\u010deno\nOmogo\u010di hitro ponovno povezovanje\tOmogo\u010deno\nPrekini, \u010de stre\u017enik ne predstavi cryptobinding TLV\tOnemogo\u010deno\nUveljavi za\u0161\u010dito dostopa do omre\u017eja\tOnemogo\u010deno\nKonfiguracija metode overjanja\nMetoda overjanja\tZavarovana geslo (EAP-MSCHAP v2)\nSamodejno uporabite svoje Windows prijavno ime in geslo (in domeno, \u010de obstaja)\tOmogo\u010deno<\/code><\/pre>\n
\"Nastavitev
\n
\nUstvarimo skupino varnosti sg-computers-8021x-vl100<\/i><\/b>, kamor bomo dodali ra\u010dunalnike, ki jih \u017eelimo razporediti v VLAN 100, in nastavili filtracijo za prej ustvarjeno skupinsko politiko za to skupino:<\/p>\n
\"Nastavitev
\n
\nZa preverjanje uspe\u0161ne uporabe politike lahko odprete \"Center za upravljanje omre\u017eij in skupno rabo (Nastavitve omre\u017eja in interneta) \u2013 Spremeni nastavitve adapterja (Nastavitev parametrov adapterja) \u2013 Lastnosti adapterja\", kjer bomo videli zavihek \"Preverjanje pristnosti\":<\/p>\n
\"Nastavitev
\n
\nKo se prepri\u010damo, da se politika uspe\u0161no uporablja, lahko preidemo k nastavitvi omre\u017ene politike na NPS in vratih dostopnega stikala.<\/p>\n
Ustvarili bomo omre\u017eno politiko neag-computers-8021x-vl100<\/i><\/b>:<\/p>\n
Pogoji:\n  Windows skupine - sg-computers-8021x-vl100\n  NAS vrsta vrat - Ethernet\nOmejitve:\n  Metode preverjanja pristnosti - Microsoft: Za\u0161\u010ditena EAP (PEAP) - Ne\u0161ifrirana preverjanja pristnosti (PAP, SPAP)\n  NAS vrsta vrat - Ethernet\nNastavitve:\n  Standard:\n   Framed-MTU 1344\n   TunnelMediumType 802 (vklju\u010duje vse 802 medije poleg Ethernet canonical formata)\n   TunnelPrivateGroupId  100\n   TunnelType  Virtual LANs (VLAN)<\/code><\/pre>\n
\n\"Nastavitev
\n
\nTipi\u010dne nastavitve za vrata stikala (opozarjam, da se uporablja na\u010din preverjanja pristnosti \"multidomain\" \u2013 Podatki & Glas, prav tako pa je mogo\u010de preverjanje pristnosti po MAC naslovu. V \u010dasu \"prehodnega obdobja\" je smiselno uporabiti v nastavitvah:<\/p>\n
\nauthentication event fail action authorize vlan 100\nauthentication event no-response action authorize vlan 100\n<\/code><\/pre>\n
\nVLAN ID ni \"karantenska\", temve\u010d tisti, v katerega mora uporabnikov ra\u010dunalnik priti po uspe\u0161ni preverjanj pristnosti \u2013 dokler ne preverimo, da vse deluje pravilno. Te iste nastavitve se lahko uporabijo tudi v drugih scenarijih, na primer, ko je v to vrata priklju\u010den nepremi\u010dno stikalo in \u017eelite, da vsa naprave, priklju\u010dene nanj, in ki niso pro\u0161le preverjanja pristnosti, gredo v dolo\u010den VLAN (\"karantenski\").<\/p>\n
Nastavitve vrat stikala v na\u010dinu 802.1x host-mode multi-domain<\/b><\/p>\n
default int range Gi1\/0\/39-41\nint range Gi1\/0\/39-41\nshu\ndes PC-IPhone_802.1x\nswitchport mode access\nswitchport nonegotiate\nswitchport voice vlan 55\nswitchport port-security maximum 2\nauthentication event fail action authorize vlan 100\nauthentication event no-response action authorize vlan 100\nauthentication host-mode multi-domain\nauthentication port-control auto\nauthentication violation restrict\nmab\ndot1x pae authenticator\ndot1x timeout quiet-period 15\ndot1x timeout tx-period 3\nstorm-control broadcast level pps 100\nstorm-control multicast level pps 110\nno vtp\nlldp receive\nlldp transmit\nspanning-tree portfast\nno shu\nexit<\/code><\/pre>\n
Preverite, ali sta ra\u010dunalnik in telefon uspe\u0161no opravila preverjanje pristnosti, s pomo\u010djo ukaza:<\/p>\n
sh authentication sessions int Gi1\/0\/39 det<\/code><\/pre>\n
\nZdaj ustvarimo skupino (na primer, sg-fgpp-mab<\/i> ) v Active Directory za telefone in dodali bomo eno napravo za testiranje (v mojem primeru to je Grandstream GXP2160<\/i><\/b> z MAC-naslovom 000b.82ba.a7b1<\/b> in ustreznim uporabni\u0161kim ra\u010dunom domain 00b82baa7b1<\/b>). <\/p>\n
Za ustvarjeno skupino bomo zmanj\u0161ali zahteve politike gesel (z uporabo Fine-Grained Password Policies<\/a><\/noindex> prek Active Directory Administrative Center -> domain -> System -> Password Settings Container) s tak\u0161nimi parametri Password-Settings-for-MAB<\/i><\/b>:<\/p>\n
\"Nastavitev
\n
\ns tem bomo dovolili uporabo MAC-naslovov naprav kot gesel. Po tem bomo lahko ustvarili omre\u017eno politiko za avtentifikacijo 802.1x method mab, ki jo bomo poimenovali neag-devices-8021x-voice. Parametri so naslednji:<\/p>\n