IEEE 802.1x Erfahrungsbericht aus der Fraunhofergesellschaft

Transkript

1 IEEE 802.1x Erfahrungsbericht aus der Fraunhofergesellschaft Dipl.-Ing. Mathias Gärtner Dipl.-Ing. Mathias Gärtner Sachverständigenbüro Prof. Pausch & Partner Heinheimer Strasse 38 D Darmstadt Tel.: Fax.: Leiter CC-LAN der Fraunhofergesellschaft Fraunhofer IGD Fraunhoferstrasse 5 D Darmstadt Tel.: Fax.: Mathias.Gaertner@igd.frauhofer.de

2 Agenda Einführung in die Technik Vorteile Nachteile Zusammenfassung 2

3 Einführung in IEEE 802.1x Protokoll zur Authentifizierung des Netzwerkzuganges Authentifiziert Benutzer und Systeme am Netzwerk-Port oder Access-Point Benutzt RADIUS als Datenspeicher bzw. Protokoll Standarisiert im Juni 2001 Basiered auf EAP nach RFC 2284 TLS AKA SIM SRP Method Layer EAP EAP EAP APIs EAP Layer PPP NDIS APIs Media Layer 3

4 IEEE 802.1x Topologie und Begriffe PAE Netzwerk-Egde EAP über Wireless (EAPOW) EAP über LAN (EAPOL) PAE Enterprise-Netzwerk EAP über RADIUS Authenticator (z.b.. Access Point oder Switch) R A D I U S Authentication Server Supplicant EtherCPE Non-802.1X Supplicant 4

5 IEEE 802.1x im LAN Computer EAPOL-Start Port connect EAPOL Switch EAP-Request/Identity Ethernet Zugang blockiert Radius Server RADIUS EAP-Response/Identity EAP-Request EAP-Response (credentials) EAP-Success Radius-Access-Request Radius-Access-Challenge Radius-Access-Request Radius-Access-Accept Zugang erlaubt 5

6 IEEE 802.1x im Wireless Wireless Access Point Laptop computer Association Associate-Request Ethernet Zugang blockiert Associate-Response Radius Server RADIUS EAPOW-Start EAP-Request/Identity EAP-Response/Identity Radius-Access-Request EAP-Request EAP-Response (credentials) EAP-Success EAPOW EAPOW-Key (WEP) Zugang erlaubt Radius-Access-Challenge Radius-Access-Request Radius-Access-Accept 6

7 Zusätzliche Informationen in der RADIUS Access-Accept-Message VLAN-ID Filterlisten Ratelimits Computer IEEE 802.1X) Access? Access Point oder Switch RADIUS RADIUS Proxy RADIUS RADIUS Server MBS ODBC NTS FilterID + VLANID p 7

8 Vorteile Nur autorisierte Entitäten haben Netzwerkzugang Entitäten können Computer (MAC-Adressenbasiert) oder Benutzer sein Durch VLAN-IDs völlige Freizügigkeit der User im Netz bei immer gleichen Sicherheitsparametern Sehr feine Kontrolle des Netzzugangs möglich Verfügbar für (fast) alle Systeme Accounting möglich 8

9 Nachteile Wake-on-LAN Softwareverteilung Multi-User-Systeme DHCP (bis einschließlich Windows XP SR1) Group-Policies (bis einschließlich Windows XP SR3, Vista?) Reines MAC-based IEEE 802.1x Spezielle Endgeräte 9

10 IEEE 802.1x und Group-Policies bei dynamischen VLANs Nach dem Windows-Login wird eine verschlüsselte Verbindung zum Policy-Server (PDC, ADS) aufgebaut. Windows-Login wird als ID für Dot1x verwendet Nach erfolgreicher Authentifizierung wird ggf. das VLAN geändert Computer erhält neue IP-Adresse Und was macht der Tunnel? 10

11 Wake-on-LAN und Softwareverteilung Jeder Port ist im nicht authentifizierten Zustand NICHT verbunden Keine Broadcasts Keine Unicasts Keine Multicasts WoL-Pakete kommen nicht an der Schnittstelle an Softwareverteilung ohne eingeloggten Benutzer? 11

12 DHCP und IEEE 802.1x Switch Computer Port connect Ethernet Zugang blockiert Radius Server DHCP-Discover EAPOL-Start EAPOL RADIUS EAP-Request/Identity EAP-Response/Identity EAP-Response (credentials) EAP-Request Radius-Access-Request Radius-Access-Challenge Radius-Access-Request EAP-Success Zugang erlaubt Radius-Access-Accept 12

13 IEEE 802.1x mit Mac-Adressen Funktioniert problemlos, aber Wird ein Computer mit eingeschalteter Dot1x-Authentifizierung angeschlossen, dann wird der EAP-Prozess gestartet und es folgt meist ein Reject vom Radius-Server Einige Switchhersteller stoppen dann den Prozess Keine MAC-Adressauthentifizierung 13

14 Spezielle Endgeräte Z.B. Drucker melden sich selten am Netzwerk, einen User gibt es auch nicht Labormessgeräte dito 14

15 Zusammenfassung IEEE 802.1x ist eine sinnvolle und funktionale Lösung zur Authentifizierung und Strukturierung des Netzwerkes Einige Endgeräte sind problematisch Bestimmte Techniken (z.b. WoL) sind problematisch Nicht immer stimmt die Reihenfolge beim Starten eines (Windows)-Rechners 15

16 Fragen 16