Switching. Übung 9 EAP 802.1x. 9.1 Szenario

Transkript

1 Übung 9 EAP 802.1x 9.1 Szenario In der folgenden Übung konfigurieren Sie eine portbasierte Zugangskontrolle mit 802.1x. Den Host 1 haben Sie an Port 2 angeschlossen, der eine Authentifizierung vor der ersten Kommunikation erfordert. Der Radius Server hängt an einem frei wählbaren Port und Authentifiziert den Client. Der Radius Server stellt zusätzlich eine Zertifizierungsstelle bereit. 9.2 Voraussetzungen - Mindestens 3 Computer - 1x DES-3828 Switch - Einen Radius Server z.b. Windows Server Eine Zertifizierungsstelle für x509v3 Zertifikate z. B. Windows Server Szenario Vorgaben Tragen Sie hier in der nebenstehenden Tabelle die Parameter für die Konfiguration ein, die der Trainer Ihnen nennt und beginnen Sie mit der Übung unter Punkt 9.4 IP-Adresse Radius Server IP-Adresse Host 1 IP-Adresse Host 2-1 -

2 9.4 Switch Konfiguration Bevor Sie 802.1x konfigurieren, müssen Sie in das Menü DES Web Management Tool gehen und es aktivieren. Stellen Sie den Parameter Switch 802.1x auf den Wert Port Base, um die Sicherheit Port basierend einzuschalten. Anschließend bestätigen Sie das nächste Fenster mit OK Öffnen Sie jetzt das Menü Security > 802.1x > Configure 802.1x Authenticator Parameter, um für die einzelnen Ports die Zugangskontrolle zu konfigurieren

3 Damit Sie in die Konfiguration vom Port 2 kommen, klicken Sie auf den Link 2. In diesem Menü sehen Sie die konfigurierten Parametern für 802.1x nach Ports sortiert. Hier können Sie optional eine Portrange angeben für die die Konfiguration gelten soll. Den Parameter Capability stellen Sie auf Authenticator, damit Sie über diesen Port ausschließlich Authentifizierte Computer erlauben. Bestätigen Sie Ihre Eingabe anschließend mit Apply. Bedenken Sie bitte, dass wenn Sie den Parameter Capability auf Authenticator stellen, Sie anschließend nicht mehr auf den Switch über diesen Port zugreifen können, wenn Sie über diesen konfigurieren sollten

4 Nach der Konfiguration ändert sich der Parameter auf den Wert Authenticator. Gehen Sie jetzt in das Menü Security > 802.1x > Authentic RADIUS Server um den Radius Server zu konfigurieren. Wählen Sie unter Succession den Wert First aus und geben Sie bei RADIUS Server die IP- Adresse vom Radius an z.b Geben Sie bei Key und Confirm Key ein Passwort ein z.b. d-link und Bestätigen Sie mit Apply. Anschließend finden Sie hier den Radius Eintrag

5 9.5 RADIUS Konfiguration Voraussetzung für das Szenario sind die bereits installierten Dienste IIS, Zertifizierungsstelle und IAS auf einem Windows Server 2003 der als Domänencontroller in Ihrem Unternehmen fungiert. Öffnen Sie auf dem Windows Server 2003 den Radius Server unter Start > Programme > Verwaltung > Internetauthentifizierungsdienst Markieren Sie Radius Client, klicken Sie in dem rechten Fenster mit der Rechten Maustaste und wählen Neuer RADIUS-Client aus. Geben Sie unter Angezeigter Name z.b. Switch ein. Bei der Clientadresse tragen Sie die IP-Adresse vom Switch ein z.b In dem Feld Gemeinsamer geheimer Schlüssel tragen Sie das Passwort ein, welches Sie auch im Switch konfiguriert haben z.b. d-link

6 Klicken Sie mit der rechten Maustaste auf RAS-Richtlinien und wählen Neue RAS-Richtlinie aus. Nutzen Sie den Assistenten für die Konfiguration und benennen Sie die Richtlinie z.b. Zugangskontrolle Markieren Sie Ethernet, um den Zugang von Ethernetports über den Switch zu regeln. Wählen Sie Benutzer aus, damit Sie jedem Windows-Konto einzelne Berechtigungen vergeben

7 Wählen Sie bei dem EAP Type Smartcard oder anderes Zertifikat aus. Öffnen Sie anschließend die Eigenschaften der soeben konfigurierten Richtlinie und markieren Sie die Berechtigung RAS- Berechtigung erteilen. Da Sie in der Richtlinienkonfiguration gesagt haben, dass die Einwahlberechtigung benutzerseitig konfiguriert wird, müssen Sie noch die Eigenschaften eines Benutzers öffnen z.b. Administrator Wählen Sie die Registerkarte Einwählen und markieren den Parameter Zugriff gestatten

8 9.6 Zertifikat anfordern Auf dem Host 1 Rufen Sie die Webseite der Zertifizierungsstelle auf, um ein Clientzertifikat anzufordern z.b. Sich müssen Sich mit dem Benutzer an der Zertifizierungsstelle anmelden, für den Sie ein Zertifikat anfordern möchten z.b. Administrator. Klicken Sie auf den Link Ein Zertifikat anfordern. Lassen Sie sich ein Benutzerzertifikat ausstellen

9 Klicken Sie auf den Button Einsenden, um das Zertifikat anzufordern. Installieren Sie das Zertifikat auf Ihrem Rechner, indem Sie auf den Link Dieses Zertifikat installieren klicken. Im Internetexplorer unter Extras > Internetoptionen > Inhalte > Zertifikate können Sie sich das Zertifikat anschauen. Hier sehen Sie die Funktion, ausgestellt für und Aussteller - 9 -

10 9.7 Kontrolle Eine erfolgreiche Verbindung erkennen Sie am Client an diesem Symbol Ihrer Netzwerkkarte. Microsoft Windows XP [Version ] (C) Copyright Microsoft Corp. Testen Sie Ihre Verbindung, indem Sie von Host 1 zu Host 2 einen Ping absetzen. C:\>ping Ping wird ausgeführt für mit 32 Bytes Daten: Antwort von : Bytes=32 Zeit<1ms TTL=63 Antwort von : Bytes=32 Zeit<1ms TTL=63 Antwort von : Bytes=32 Zeit<1ms TTL=63 Antwort von : Bytes=32 Zeit<1ms TTL=63 Ping-Statistik für : Pakete: Gesendet = 4, Empfangen = 4, Verloren = 0 (0% Verlust), Ca. Zeitangaben in Millisek.: Minimum = 0ms, Maximum = 0ms, Mittelwert = 0ms C:\>