802.1 x Authentication

[mav]

Сейчас многие свичи с поддержкой 802.1 x Authentication на порту, как происходит эта авторизация на стороне клиента, дает ли она какую-то безопасность?

[karyon]

Порт коммутатора "выключен" если пользователь не авторизирован, безопастность отличная. Но для того, чтобы Windows поддерживал данную технологию нужно поставить неприятное количество патчей.

[mav]

кроме контроля порта больше ничего не дает?

[Shiva]

karyon, хм.. у вас виндвоз не правильный...

[Nallien]

а к слову действительно, ЧТО авторизирует ?? кто выдаст приглашения к логину пользователю ? свитч ? в какой форме? после какого запроса и куда ?

[mav]

то есть ни контроля ip, ни маков он не осуществляет?

[karyon]

karyon, хм.. у вас виндвоз не правильный...

У клиентов неправильный :(.

 

а к слову действительно, ЧТО авторизирует ?? кто выдаст приглашения к логину пользователю ? свитч ? в какой форме? после какого запроса и куда?

При подключении к сети, на таскбаре (возле часов) появляется уведомления при щелчке на котором, открывается стандартное окно ввода имени пользователя и пароля (как при авторизации по модему), далее вводите данные, коммутатор проверяет правильность по своей таблице либо запрашивает у внешнего radius-сервера, если данные верны сетевое подключение активируется и можете работать в сети.

Через хх сек авторизация производится заново по введенным ранее данным. Протокол EAP.

[mav]

и что это дает? только то что никто не подцепиться на этот порт без пароля?

[puh]

да

 

вы хотите большего от столь простой функции?

[Shiva]

karyon,

Shiva писал(а):

 

а к слову действительно, ЧТО авторизирует ?? кто выдаст приглашения к логину пользователю ? свитч ? в какой форме? после какого запроса и куда?

Это не я писал :)

[Nallien]

хммммм :) надо попробовать.

 

mav, а что, собственно - мало ? мак и айпи - меняется, логин и пароль - уже не так просто.

[ram_scan]

Кстати можно настроить коммутаторы так, чтобы без авторизации клиента пускало в "гостевой" вилан, а после авторизации в рабочий. Оч удобно и красиво получается.

[vIv]

то есть ни контроля ip, ни маков он не осуществляет?

 

логин+пароль или сертификаты

 

почитай ТУТ

[Kuzmich]

В зависимости от мозгов коммутатора в запросе к радиусу на авторизацию может присутствовать много дополнительной инфы - идентификатор коммутатора (практически всегда есть), номер порта, MAC-адрес клиента.

 

В зависимости от тех же мозгов коммутатор может принимать от радиуса большой набор параметров для порта - номер VLAN, ограничение скорости на порту, приоритет 802.1p... В принципе, нет никаких ограничений на то, чтобы все port-based настройки коммутаторов скармливать через радиус в ответ на запрос авторизации - только мало кто из производителей реализовал что-то посерьезнее, чем "можно-нельзя"...

 

Нативная поддержка 802.1х есть начиная с Windows 2000 (только по умолчанию отдизейблена, нужно поднять сервис типа "конфигурация беспроводной сети"). Для 9X существуют сторонние клиенты. На юниксе - xsupplicant (если склероз не изменил).

 

У меня есть надежда убедить одного из производителей сделать для его линейки Access-уоммутаторов дополнительную хитрую функциональность - по ответу от радиуса поднимать на порту эмуляцию DHCP-сервера, который будет отдавать только полученный с радиуса IP-адрес, с одновременным поднятием ACL, фильтрующим только этот IP.

[vIv]

зачем? :-) есть же dhcp-relay + option 82

[Andrew40]

зачем? :-) есть же dhcp-relay + option 82

Аутентификация. А не только конфигурирование, как Вы указали.

[Nailer]

В зависимости от мозгов коммутатора в запросе к радиусу на авторизацию может присутствовать много дополнительной инфы - идентификатор коммутатора (практически всегда есть), номер порта, MAC-адрес клиента.

 

В зависимости от тех же мозгов коммутатор может принимать от радиуса большой набор параметров для порта - номер VLAN, ограничение скорости на порту, приоритет 802.1p... В принципе, нет никаких ограничений на то, чтобы все port-based настройки коммутаторов скармливать через радиус в ответ на запрос авторизации - только мало кто из производителей реализовал что-то посерьезнее, чем "можно-нельзя"...

 

Нативная поддержка 802.1х есть начиная с Windows 2000 (только по умолчанию отдизейблена, нужно поднять сервис типа "конфигурация беспроводной сети"). Для 9X существуют сторонние клиенты. На юниксе - xsupplicant (если склероз не изменил).  

 

У меня есть надежда убедить одного из производителей сделать для его линейки Access-уоммутаторов дополнительную хитрую функциональность - по ответу от радиуса поднимать на порту эмуляцию DHCP-сервера, который будет отдавать только полученный с радиуса IP-адрес, с одновременным поднятием ACL, фильтрующим только этот IP.

 

Это уже давно есть.

Называется DHCP Snooping + option82 + IP Source Guard.

Dynamic ARP Inspection туда же.

 

Только стоит дорого - это есть в 3560/3750.

[LostSoul]

Так :) А вот теперь главный вопрос - а можно ли поставить 802.1X демон посередине неуправлямой сети, который бы используя "предустановленный" в Windows клиентов службу аутентефикации, проверял подлинность компьютеров?

 

То есть что данный IP и MAC действительно имеет этот сертификат или логин-пароль.

 

Вместо дурных программ-пинговалок...

[Nailer]

Так :) А вот теперь главный вопрос -  а можно ли поставить 802.1X демон посередине неуправлямой сети, который бы используя "предустановленный" в Windows клиентов службу аутентефикации, проверял подлинность компьютеров?

 

То есть что данный IP и MAC действительно имеет этот сертификат или логин-пароль.

 

Вместо дурных программ-пинговалок...

 

:-)

 

Ну неполучится из неуправляемого говна конфетку сделать, не получится, сколько еще раз надо сказать..

[LostSoul]

:-)

 

Ну неполучится из неуправляемого говна конфетку сделать, не получится, сколько еще раз надо сказать..

 

Если всё может получится так, как я себе представляю - то это хорошая альтернатива, для тех сетей кто до сих пор использует связки mac/ip.

[Kuzmich]

Либо аксесс-коммутаторы должны быть управляемыми, либо с изоляцией портов. Во втором случае весь трафик с клиентских портов должен прокидываться приват-вланами на центральный коммутатор с поддержкой 802.1х, который умеет авторизовать по MAC-адресам, а не по портам. Только большинство "ширпотреба" умеют не более 16 маков на порт по 802.1х авторизовать, насколько я знаю.

 

Только стоит дорого - это есть в 3560/3750.

А вот я хочу по цене 15у.е. за порт получить такое. Причем еще и без дополнительного ПО в виде тонко настроенного DHCP-сервера и всяческих связок snmp...

[vIv]

Так :) А вот теперь главный вопрос - а можно ли поставить 802.1X демон посередине неуправлямой сети, который бы используя "предустановленный" в Windows клиентов службу аутентефикации, проверял подлинность компьютеров?

 

То есть что данный IP и MAC действительно имеет этот сертификат или логин-пароль.

 

Можно. Но это не запретит соседям ставить себе МАС соседа. Сосед откроет доступ - и вселоманутся под видом его =)

[Kuzmich]

Так :) А вот теперь главный вопрос - а можно ли поставить 802.1X демон посередине неуправлямой сети, который бы используя "предустановленный" в Windows клиентов службу аутентефикации, проверял подлинность компьютеров?

 

То есть что данный IP и MAC действительно имеет этот сертификат или логин-пароль.

 

Можно. Но это не запретит соседям ставить себе МАС соседа. Сосед откроет доступ - и вселоманутся под видом его =)

 

Запретит. Использование тех-же перепаянных мыльниц, устраивающих изоляцию трафика - т.е. абонент может послать пакет только через аплинковый порт, и никак не соседу. Враг просто не сможет вычислить мак соседа без затроянивания последнего.

[vIv]

тоже мне проблема...

 

security by obscurity

 

_САМА_ сеть - НЕ ЗАПРЕЩАЕТ

[LostSoul]

Запретит. Использование тех-же перепаянных мыльниц, устраивающих изоляцию трафика - т.е. абонент может послать пакет только через аплинковый порт, и никак не соседу. Враг просто не сможет вычислить мак соседа без затроянивания последнего.

 

Не , перепаянные мыльницы это хреновая идея... вся красота то решения как раз в том, чтоб локальный трафик через центр не гонять)