Dot1x authentication - Revision history

Rael at 16:59, 7 March 2011

2011-03-07T16:59:17Z

Rael at 13:32, 2 March 2011

2011-03-02T13:32:59Z

Rael at 12:54, 2 March 2011

2011-03-02T12:54:16Z

Heth: tilføjet kategorier

2011-02-25T06:45:07Z

tilføjet kategorier

Creepinfection at 12:51, 23 February 2011

2011-02-23T12:51:15Z

Creepinfection at 12:46, 23 February 2011

2011-02-23T12:46:17Z

Creepinfection at 12:44, 23 February 2011

2011-02-23T12:44:30Z

Creepinfection at 12:37, 23 February 2011

2011-02-23T12:37:33Z

SFarsø at 12:32, 23 February 2011

2011-02-23T12:32:44Z

SFarsø at 10:29, 23 February 2011

2011-02-23T10:29:09Z

@@ Line 118: / Line 118: @@
 [[Image:NPS_7.png]]
-Under Constraints -> Authentication Methods kan fravælges alle andre login metoder end “Unencrypted authentication (PAP, SPAP)” som er den metode vores switche benytter til logon.
+Under Constraints -> Authentication Methods kan fravælges alle andre login metoder end “Unencrypted authentication (PAP, SPAP)” som er den metode vores switche benytter til logon. '''Password krypteres dog stadig som normalt i RADIUS.'''
 [[Image:NPS_8.png]]

@@ Line 125: / Line 125: @@
 [[Image:NPS_9.png]]
+I Settings slet alle Standard Attributter og i  Vendor Specific hvilken privilege lvl brugeren skal have på cisco udstyret når man logger på med f.eks. telnet. Dette vælges ved at trykke Add og vælge Cisco under ”Vendor” Der vises herved kun ”Cisco-AV-Pair” vælg denne og angiv den korekte value, som her ”Shell:priv-lvl=15”
 [[Image:NPS_10.png]]

@@ Line 126: / Line 126: @@
 [[Image:NPS_9.png]]
-Til sidst angives I Settings -> Vendor Specific hvilken privilege lvl brugeren skal have på cisco udstyret når man logger på med f.eks. telnet. Dette vælges ved at trykke Add og vælge Cisco under ”Vendor” Der vises herved kun ”Cisco-AV-Pair” vælg denne og angiv den korekte value, som her ”Shell-priv-lvl=15”
+Til sidst angives I Settings -> Vendor Specific hvilken privilege lvl brugeren skal have på cisco udstyret når man logger på med f.eks. telnet. Dette vælges ved at trykke Add og vælge Cisco under ”Vendor” Der vises herved kun ”Cisco-AV-Pair” vælg denne og angiv den korekte value, som her ”Shell:priv-lvl=15”
 [[Image:NPS_10.png]]

← Older revision		Revision as of 06:45, 25 February 2011
Line 191:		Line 191:

	[[Image:Dot1xwininterface3.png]]		[[Image:Dot1xwininterface3.png]]
		+	[[CAtegory:Security]][[Category:Network]]

@@ Line 40: / Line 40: @@
 '''Installerede roller'''
 Active Directory Domain Services (AD DS)
 Active Directory Certificate Services (AD CA)
 Network Policy Services (NPS)
 Domain Name Services (DNS)
 '''Opret certificate til logon'''
 Åben MMC
 Under File -> Add/Remove Snap-In tilføj Certificates, vælg “Computer account” og tryk Next, Finish, tryk OK
 Gå til Certificates -> Personal -> Certificates
 [[Image:New_Certificate_1.png]]
 Hørjeklik på ”Certifikates”, under ”All Tasks” vælg ”Request New Certificate”
 Tryk next indtil “Request Certificates” siden, og vælg “Domain Controller”, Tryk Enroll
 [[Image:New_Certificate_2.png]]
@@ Line 62: / Line 73: @@
 '''Opsætning af NPS til Radius'''
 Åben ”Network Policy Server”
 Højreklik på ”NPS (local)” og vælg ”Register server in Active Directory”
 [[Image:NPS_1.png]]
@@ Line 76: / Line 90: @@
 Angiv nu de Radius clienter som skal videresende authentication. I dette setup er der 2 Switche.
 Når man vælger ”Add” angiver man et kaldenavn, en IP og et password til godkendelse af enheden.
@@ Line 81: / Line 96: @@
 Ved ”Authentication Method” vælges ”Microsoft: Protected EAP (PEAP)”
 Angiv nu den bruger gruppe der må have adgang til at logge på, f.eks. Domain Users eller opret en gruppe til formålet.
 Ved Traffic Controls kan der tilføjes opsætninger hvis ønsket, ellers fortsæt og afslut guiden.
 Under Policies -> Network Policies åben den nye policy som er blevet oprettet af guiden. Denne er navngivet efter navnet angivet i starten af guiden. Som her hvor navnet er ”Cisco”
@@ Line 88: / Line 106: @@
 Under den nye policy skal indstillingerne være som flg.
 På Overview kan man se om Politikken er enabled, samt hvilken access permission den giver. I ”Type of network access server” skal der være angivet til unspecified, da der ikke er nogen af mulighederne der passer til denne type logon.
@@ Line 93: / Line 112: @@
 Conditions bliver opsat for at specificere hvem og hvad der har rettighed til at logge på med denne policy. Her skal man være opmærksom på at alle conditions skal passe, da man ellers bliver afvist. Hvis der i forvejen er nogle conditions bør disse fjernes, da de ikke passer til udstyrets logon metode.
 I denne opsætning giver vi adgang hvis man logger på med en domæne bruger eller administrator. Samtidig skal IP-adressen starte med 10., og ”?” angiver at resten er uden betydning.
@@ Line 118: / Line 138: @@
 '''Windows clienter'''
 For at give port logon, således at clienter kan logge på og blive authenticated, skal der opsættes en ekstra policy.
 Dette gøres ved at højre klikke på ”Network Policies” og vælge ”New”.
 Angiv et navn til den nye policy og lad Typen stå til defualt ”Unspecified”
 Angiv herefter de conditions der skal konstatere at det er en bruger der må logge på nettet. I denne opsætning er clienterne ikke medlem af domænet, og vi tjekker derfor kun op på om brugeren er medlem af Domain Users.
@@ Line 126: / Line 150: @@
 I Access Permission markeres ”Access Granted” for at give brugerne adgang hvis de passer på conditions.
 Under EAP types fjernes alle mindre sikre metoder, og PEAP tilføjes med Add.
@@ Line 135: / Line 160: @@
 Den sidste del af guiden kan efterlades til default eller rettes efter eget valg.
 Politikken til client logon er herved oprettet.
@@ Line 147: / Line 173: @@
 For at kunne benytte dot1x authentication på en windows maskine, så skal man benytte en fuldt opdateret winXP, vista eller windows 7.
 Da vi benytter dot1x på normal ethernet, så skal vi ind og starte den service som styrer dot1x, da dette ikke er slået til default på alm. ethernet.
 Dette gøres inde under services eller tjenester hvis man har den danske udgave.
@@ Line 157: / Line 185: @@
 Her aktivere man dot1x, mener at den er aktiveret som default når man har startet servicen.
 Klik indstillinger, her opsætter man de forskellige godkendelsesmetoder, i vores tilfælde EAP-MSCHAPv2 og vi har valgt ikke at validere servercertifikat, da maskinen vi logger på med, ikke er medlem af domænet og derfor ikke kan validere det.
 Husk at klik konfigurer og fjern fluebenet hvis du ikke er i domænet.
 [[Image:Dot1xwininterface3.png]]

← Older revision		Revision as of 12:37, 23 February 2011
Line 34:		Line 34:

	Hvis der bruges en ældre switch så kan kommandoen til interfacet være dot1x port-control auto		Hvis der bruges en ældre switch så kan kommandoen til interfacet være dot1x port-control auto
		+
		+	----
		+
		+	Windows server 2008
		+
		+	'''Installerede roller'''
		+	Active Directory Domain Services (AD DS)
		+	Active Directory Certificate Services (AD CA)
		+	Network Policy Services (NPS)
		+	Domain Name Services (DNS)
		+
		+	'''Opret certificate til logon'''
		+	Åben MMC
		+	Under File -> Add/Remove Snap-In tilføj Certificates, vælg “Computer account” og tryk Next, Finish, tryk OK
		+	Gå til Certificates -> Personal -> Certificates
		+	[[Image:New_Certificate_1.png]]
		+
		+	Hørjeklik på ”Certifikates”, under ”All Tasks” vælg ”Request New Certificate”
		+	Tryk next indtil “Request Certificates” siden, og vælg “Domain Controller”, Tryk Enroll
		+	[[Image:New_Certificate_2.png]]
		+	Der er nu oprettet et certificate til senere brug.

	----		----

← Older revision		Revision as of 12:32, 23 February 2011
Line 34:		Line 34:

	Hvis der bruges en ældre switch så kan kommandoen til interfacet være dot1x port-control auto		Hvis der bruges en ældre switch så kan kommandoen til interfacet være dot1x port-control auto
		+
		+	----
		+
		+	Windows client setup
		+
		+	For at kunne benytte dot1x authentication på en windows maskine, så skal man benytte en fuldt opdateret winXP, vista eller windows 7.
		+	Da vi benytter dot1x på normal ethernet, så skal vi ind og starte den service som styrer dot1x, da dette ikke er slået til default på alm. ethernet.
		+	Dette gøres inde under services eller tjenester hvis man har den danske udgave.
		+
		+	[[Image:Dot1xservices.png]]
		+
		+	Når dette er gjort, så skal man ind på egenskaber på interfacet, her er der kommet et nyt faneblad: Godkendelse
		+
		+	[[Image:Dot1xwininterface1.png]] [[Image:Dot1xwininterface2.png]]
		+
		+	Her aktivere man dot1x, mener at den er aktiveret som default når man har startet servicen.
		+	Klik indstillinger, her opsætter man de forskellige godkendelsesmetoder, i vores tilfælde EAP-MSCHAPv2 og vi har valgt ikke at validere servercertifikat, da maskinen vi logger på med, ikke er medlem af domænet og derfor ikke kan validere det.
		+	Husk at klik konfigurer og fjern fluebenet hvis du ikke er i domænet.
		+
		+	[[Image:Dot1xwininterface3.png]]

@@ Line 3: / Line 3: @@
 ----
-Cisco opsætning:
+Cisco 2960 opsætning:
 Global commands:
   aaa new-model
@@ Line 14: / Line 15: @@
 For Switch login:
 config mode:
   aaa authentication login networkacces group radius local enable
@@ Line 22: / Line 24: @@
 For port authentication:
 config mode:
   aaa authentication dot1x default group radius local