802.1x, EX2200, NPS और ऑल-ऑल-ऑल ...

802.1x को अनधिकृत नेटवर्क एक्सेस से निपटने के साधन के रूप में उपयोग करने का विचार नया नहीं है। हम में से प्रत्येक डिलीवरी सेवा से एक कूरियर के माध्यम से आया होगा, जो कंपनी जैकेट की आस्तीन से एक पैच कॉर्ड देख सकता है, और आप पहले से ही देख सकते हैं कि कैसे वह, एक नि: शुल्क आरजे -45 आउटलेट पर ध्यान देता है, एक तेज गति से दौड़ता है ...

हालांकि, अगर सामान्य अवधारणा में RADIUS के माध्यम से प्राधिकरण के साथ 802.1x का उपयोग और कॉन्फ़िगरेशन पीटा गया है और सरल है, तो इस मामले में एक घटना थी, जिसका समाधान मैं नीचे की पेशकश करूंगा।

दिए गए:

• एक्सेस स्विच - EX2200, JunOS 12.3R2।
• RADIUS सर्वर एनपीएस विंडोज सर्वर 2012R2 पर आधारित है।

• तरह के उपकरणों के एक विविध चिड़ियाघर - टीवी, AppleTV, प्रिंटर और अन्य छोटे नेटवर्क के जानवर, जो प्रमाण पत्र या PEAP के माध्यम से सामान्य और पर्याप्त प्रतिभागियों के रूप में लॉग इन करने में असमर्थ हैं। सक्रिय निर्देशिका में प्रत्येक डिवाइस का अपना खाता sAMAccountName = MAC (निचले मामले में, अलग-अलग वर्णों के बिना), पासवर्ड = sAMAccountName के साथ संगत OU में होता है।

इन उपकरणों वाले विभागों या सुरक्षा समूहों के लिए, एक अलग ललितग्रुपसप्रासवर्डपॉलिशी बनाया गया है ताकि सुरक्षा मानकों के लिए अनुचित पासवर्ड सेट करने में सक्षम हो सकें।

EX2200 पर 802.1x के लिए मूल कॉन्फ़िगरेशन:

//set actual interfaces set interfaces interface-range ACCESS_PORTS member "ge-0/0/[0-40]" // Config interface range as L2 ports set interfaces interface-range ACCESS_PORTS unit 0 family ethernet-switching set protocols dot1x authenticator authentication-profile-name dynamicvlan set protocols dot1x authenticator radius-options use-vlan-id set protocols dot1x authenticator interface ACCESS_PORTS supplicant single set protocols dot1x authenticator interface ACCESS_PORTS transmit-period 10 set protocols dot1x authenticator interface ACCESS_PORTS retries 0 set protocols dot1x authenticator interface ACCESS_PORTS mac-radius set protocols dot1x authenticator interface ACCESS_PORTS supplicant-timeout 10 //set actual reject-vlan and fail-vlan set protocols dot1x authenticator interface ACCESS_PORTS server-reject-vlan default set protocols dot1x authenticator interface ACCESS_PORTS server-fail vlan-name default set protocols dot1x authenticator interface ACCESS_PORTS guest-vlan default //set actual password set access radius-server 172.17.xx secret "xxx" set access profile dynamicvlan authentication-order radius set access profile dynamicvlan radius authentication-server 172.17.xx 

सभी कार्यस्थान बिना किसी समस्या के लॉग इन करते हैं, लेकिन उपर्युक्त शुशेरा में से कोई भी - नहीं। विंडसरक ने दृढ़ता से दिखाया कि एनपीएस ईएपी 4 कोड के साथ एक्सेस-रिजेक्ट भेजता है, जिसे संकीर्ण सर्कल में जाना जाता है, जिसका अर्थ है विफलता।

जानकारीपूर्ण, हालांकि, हमेशा की तरह ...

मैक-रेडियस प्रमाणीकरण के लिए सप्लीमेंट द्वारा इस्तेमाल किया गया प्रोटोकॉल डिफ़ॉल्ट रूप से ईएपी-एमडी 5 है।

PEAP और PAP विकल्प भी हैं।

PE22 EX2200 के लिए उपलब्ध नहीं है।

हम PAP को कॉन्फ़िगर करने का प्रयास कर रहे हैं। सादे पाठ में, निश्चित रूप से, मैं वास्तव में नहीं करना चाहता, लेकिन, सर्वश्रेष्ठ न होने के लिए, हम पोषित टीम को ड्राइव करते हैं

 set protocols dot1x authenticator interface ACCESS_PORTS mac-radius authentication-protocol pap 

और (ड्रम रोल) - सिंटैक्स त्रुटि - मददगार जुनिपर हमें बताता है।

तसलीम के दौरान, एक टांका लगाने वाले लोहे और अन्य दमनकारी उपायों से खतरा, जुनिपर वेबसाइट ने सुझाव दिया कि यह विकल्प केवल 15.1 रिलीज से फर्मवेयर के लिए उपलब्ध है।

ऐसा लगता है, यहाँ यह समस्या का समाधान है। लेकिन नहीं, वही जुनिपर न केवल इसकी सिफारिश करता है, बल्कि हर संभव तरीके से कस्टम को ऐसे अश्लीलता से भी बचाता है जैसे EX2200 पर फर्मवेयर 15.1। ग्रिट, केंद्रीय प्रोसेसर और रैम का उपयोग आदर्श से ऊपर है, इसलिए 12.3 EX2200 के भाग्यशाली मालिकों के लिए JunOS संस्करण की छत है।

ठीक है, हम उस प्रोटोकॉल से निपटेंगे जो स्विच डेटा एनपीएस को भेजता है।

तो यह पता चला कि डिफ़ॉल्ट रूप से वह उन्हें eap-md5 पर भेजता है, जो क्या? - ठीक है, यह विंडोज सर्वर में अक्षम है, जो 2008 की रिलीज से शुरू हुआ - वे कहते हैं, यह सुरक्षित नहीं है। Google पर कई प्रश्न वांछित परिणाम देते हैं - एक reg-file जिसमें हमारे द्वारा आवश्यक प्रोटोकॉल शामिल है।

हालाँकि, NPS हठपूर्वक प्रिंटर और अन्य पहुँच-अस्वीकार के अनुरोधों का जवाब देता है।
उसने सिगरेट निकाली, याद आया कि उसने इसे फेंक दिया था, इसे छिपा दिया ...

Google, जो दुनिया में है ... लेकिन नहीं, यह एक और ओपेरा से है ...

ठीक है गूगल? 802.1x मैक प्रमाणीकरण NPS RADIUS के साथ

कुछ Google पृष्ठों के बाद, ubnt मंच पर मुझे वही मिला, जिसकी मुझे तलाश थी। आपको उपकरणों के क्रेडेंशियल्स के लिए कई मापदंडों को सक्षम करने की आवश्यकता है, और फिर पासवर्ड और - वॉइला - चमत्कार को फिर से बनाना है। इसके अलावा, यह उम्मीद से भी बेहतर निकला। Eap-md5, बेशक, अच्छी खबर नहीं है, लेकिन फिर भी सादे पाठ से बेहतर है।

स्पॉइलर के तहत पॉलिसी का परिणामी विन्यास, सेटिंग्स और स्क्रीनशॉट।


परिणाम:

• टेलीविज़न, ऐप्पल टीवी, प्रिंटर जैसे नेटवर्क उपकरणों को 802.1x और समूह सदस्यता द्वारा प्रमाणित किया जाता है।
• पासवर्ड स्पष्ट पाठ में प्रेषित नहीं होते हैं, लेकिन कम से कम एन्क्रिप्टेड होते हैं।

दिशा, गाइड और संसाधन की सूची:

EX2200 पर सॉफ्टवेयर संस्करण के लिए जुनिपर की सिफारिशें
मैक रेडियस प्रमाणीकरण के लिए जुनिपर उपकरणों पर ईएपी-पीएपी समर्थन
UBNT समुदाय सही दिशा में आखिरी किक देता है