🐊 👩🏻‍✈️ 🚈 802.1x，EX2200，NPS和所有所有... 🤦🏽 🧝🏿 👩🏾‍🎨

使用802.1x作为打击未经授权的网络访问的手段的想法并不新鲜。我们每个人都必定会遇到送货员的快递员，他们可以从公司外套的袖子上看到跳线，并且您已经可以看到他是如何注意到RJ-45插座免费的，然后迅速地奔向它的...

但是，如果在一般概念中，通过RADIUS授权使用和配置802.1x很简单，那么在这种情况下会发生事件，我将在下面提供解决方案。

鉴于：

接入交换机-EX2200，JunOS 12.3R2。
基于NPS Windows Server 2012R2的RADIUS服务器。

这类设备的多样化动物园-电视，AppleTV，打印机和其他小型网络野兽，它们无法通过证书或PEAP作为正常和适当的参与者登录。 Active Directory中的每个设备在对应的OU中都有自己的帐户，其中sAMAccountName = MAC（小写，没有分隔符），密码= sAMAccountName。

对于包含这些设备的部门或安全组，已经创建了单独的FineGrainedPasswordPolicy，以便能够设置不符合安全标准的密码。

EX2200上802.1x的原始配置：

//set actual interfaces set interfaces interface-range ACCESS_PORTS member "ge-0/0/[0-40]" // Config interface range as L2 ports set interfaces interface-range ACCESS_PORTS unit 0 family ethernet-switching set protocols dot1x authenticator authentication-profile-name dynamicvlan set protocols dot1x authenticator radius-options use-vlan-id set protocols dot1x authenticator interface ACCESS_PORTS supplicant single set protocols dot1x authenticator interface ACCESS_PORTS transmit-period 10 set protocols dot1x authenticator interface ACCESS_PORTS retries 0 set protocols dot1x authenticator interface ACCESS_PORTS mac-radius set protocols dot1x authenticator interface ACCESS_PORTS supplicant-timeout 10 //set actual reject-vlan and fail-vlan set protocols dot1x authenticator interface ACCESS_PORTS server-reject-vlan default set protocols dot1x authenticator interface ACCESS_PORTS server-fail vlan-name default set protocols dot1x authenticator interface ACCESS_PORTS guest-vlan default //set actual password set access radius-server 172.17.xx secret "xxx" set access profile dynamicvlan authentication-order radius set access profile dynamicvlan radius authentication-server 172.17.xx

所有工作站登录均没有问题，但是上述任何shushera-否。 Wireshark顽固地表明NPS使用EAP 4代码发送Access-Reject，这在狭窄的圈子中被称为失败。

但是，像往常一样内容丰富...

请求者用于mac-radius身份验证的协议默认情况下为EAP-MD5。

也有PEAP和PAP选项。

PEAP不适用于EX2200。

我们正在尝试配置PAP。简而言之，我当然不是很想这么做，但是由于没有最好的表现，我们驱使我们珍惜的团队

 set protocols dot1x authenticator interface ACCESS_PORTS mac-radius authentication-protocol pap

和（感光鼓滚动）-语法错误-瞻博告诉我们。

在摊牌，烙铁威胁和其他压制措施期间，Juniper网站建议此选项仅适用于15.1版及更高版本的固件。

看来，这是解决问题的办法。但是，不，同一个瞻博网络不仅会推荐它，而且还以各种可能的方式来保护用户免受EX2200固件15.1这样晦涩难懂的影响。严格，中央处理器和RAM的利用率超出了正常水平，因此对于EX2200的幸运所有者来说，12.3是JunOS版本的上限。

好的，我们将处理将交换机数据发送到NPS的协议。

因此，事实证明，默认情况下，他将它们发送到eap-md5，这是什么？ -正确的是，从2008年版本开始，Windows Server中已将其禁用-他们说，这是不安全的。在Google上进行的几次查询都可以得到理想的结果-一个包含我们所需协议的reg文件。

但是，NPS顽固地响应打印机和其他Access-Reject的请求。
他拿出香烟，想起自己已经扔了，藏起来了...

谷歌，这个世界上存在的人……但是，不是，这是另一部歌剧中的……

好的Google吗？ 使用NPS RADIUS的802.1x MAC身份验证

在几个Google页面之后，在ubnt论坛上我找到了想要的东西。您需要为设备的凭据启用多个参数，然后重新创建密码和-瞧-Miracle。而且，结果甚至比预期的要好。 Eap-md5当然不是好消息，但仍然比纯文本好。

扰流板下策略的结果配置，设置和屏幕截图。

EX2200配置，NPS策略

Magic reg文件，包括对Windows Server 2012 R2中的EAP-MD5的支持

 Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RasMan\PPP\EAP\4] "RolesSupported"=dword:0000000a "FriendlyName"="MD5-Challenge" "Path"=hex(2):25,00,53,00,79,00,73,00,74,00,65,00,6d,00,52,00,6f,00,6f,00,74,\ 00,25,00,5c,00,53,00,79,00,73,00,74,00,65,00,6d,00,33,00,32,00,5c,00,52,00,\ 61,00,73,00,63,00,68,00,61,00,70,00,2e,00,64,00,6c,00,6c,00,00,00 "InvokeUsernameDialog"=dword:00000001 "InvokePasswordDialog"=dword:00000001

更改注册表后，您必须重新启动NPS服务

 Stop-Service IAS Start-Service IAS

脚本为设备帐户设置必要的设置：

 $devices=Get-ADUser -SearchBase "ou=802.1x-groups,ou=devices_groups,dc=company,dc=local" -Filter * foreach ($device in $devices) { set-aduser -Identity $device.name -UserPrincipalName ($device.name+"@company.local") -PasswordNeverExpires $true -AllowReversiblePasswordEncryption $true -CannotChangePassword $true Set-ADAccountPassword -Identity $device.name -NewPassword (ConvertTo-SecureString -AsPlainText $device.name -force) }

实际上，它设置的参数等效于屏幕截图。但是，放下几个设备是一回事，而当您拥有二十多个设备时，则是另一回事。该脚本还会重置设备帐户的密码，这在启用反向加密之后是必需的。

NPS策略设置：

我们用设备和端口类型指示组。
处理完注册表后，我们珍爱的MD5-Challenge出现在可用协议列表中。我们选择它。
我们根据逻辑实现的要求设置其余设置。与标准RADIUS + 802.1x设置没有什么不同。

结果：

电视，Apple TV，打印机等网络设备通过802.1x和组成员身份进行身份验证。
密码不是以明文形式传输的，至少是加密的。

方向，指南和资源列表：

瞻博网络对EX2200上软件版本的建议
Juniper设备上的EAP-PAP支持以进行MAC RADIUS身份验证
UBNT社区朝着正确的方向努力

802.1x，EX2200，NPS和所有所有...

More articles: