 《分享》Summit Switch Netlogin搭配NAC驗證 |       |
Extreme Summit Switch在Radius驗證上，支援了WEB base，802.1X與MAC base三種基本netlogin機制。
一般來說在部署Radius驗證時，主要是以802.1X為主；
若設備無法透過802.1x驗證時，再透過MAC的方式讓設備進行驗證。
而WEB base這種方式則算是比較獨立的一種方式。
Extreme Summit的Radius Server設定如下。
configure radius netlogin [primary | secondary] server <Radius_Server_IP> client-ip <Switch_IP> vr <vr_name>
configure radius netlogin [primary | secondary] shared-secret <sharedsecret>
enable radius
設定完成後，可透過以下指令檢視Radius組態。
show radius
另外Summit Switch在進行Radius驗證時，均需要搭配一個vlan來套用，指令如下。
create vlan <vlan-name>
configure netlogin vlan <vlan-name>
基本上802.1X及MAC base驗證與此vlan的關係不大，
驗證成功會賦予該port的對應權限；驗證失敗，會直接block該port。
此vlan在驗證過程中並沒有實際意義。
但若是WEB base的驗證，這vlan會用來做為驗證過程中的網路環境，
提供有限的網路能力，將user導向驗證網頁進行驗證。
驗證成功後，會賦予該port的對應權限；驗證失敗就停留在此暫時的vlan環境中，
不同於802.1X及MAC base驗證，在架構上有其的獨特意義。
不過不論是WEB base，802.1X或是MAC Base，這netlogin vlan都必需存在。
否則無法啟用netlogin認證。
以下為順子的測試環境，用來測試Summit Switch與NetSight NAC的驗證。
Summit Switch X250，IP 192.168.10.200，韌體版本15.3；
NAC 192.168.10.12，版本6.2.0.162；
User IP 192.168.10.208，驗證帳號 Shunze。
Summit Switch SNMP V3設定 (讓NetSight可透過SNMP V3管理Switch)
configure snmpv3 add user snmpuser authentication md5 snmpauthcred privacy des snmpprivcred
configure snmpv3 add group NetSight user snmpuser sec-model usm
configure snmpv3 add access NetSight sec-model usm sec-level priv read-view defaultAdminView write-view defaultAdminView notify-view defaultAdminView
configure snmpv3 add mib-view allMIB subtree 1
Summit Switch Radius設定
configure radius netlogin primary server 192.168.10.12 client-ip 192.168.10.200 vr vr-default
configure radius netlogin primary shared-secret ETS_TAG_SHARED_SECRET
enable radius
Netlogin vlan設定
create vlan test
configure netlogin vlan test
透過802.1X與NAC驗證
要啟用Summit Switch的802.1X驗證，指令如下。
enable netlogin dot1x
enable netlogin ports <Port_String> dot1x
在NAC上設定好驗證資料庫後，user連上switch時，透過802.1X進行驗證可得到如下結果。
於Summit Switch上也可看到對應的驗證訊息，設定上相對簡單。
透過MAC與NAC驗證
要啟用Summit Switch的MAC base驗證，指令如下。
enable netlogin mac
enable netlogin ports <Port_String> mac
然後再設定允許透過MAC驗證的網卡及對應的port。
configure netlogin add mac-list [default | <MAC_Address>] ports <Port_String>
mac-list設定為 default ，則允許所有網卡透過MAC base的方式來進行驗證；
若不允許所有的網卡皆可透過MAC base來驗證，請務必逐一建立允許的網卡清單。
在NAC上設定MAC驗證比較特別。
順子試過各種方式，都無法將user的網卡當做帳號/密碼送到後端驗證資料庫，只能透過NAC本身來進行驗證。
因此在NAC的設定上，需勾選 Authenticate Requests Locally for MAC 讓MAC驗證由NAC本身來進行。
然後在 Rules 裏，再去新增一個新規則，把需要透過MAC驗證的網卡號碼逐一加入。
網卡資料庫建立完成後，user的網卡就能對應規則，而賦予設定的權限。
於Summit Switch上也可看到對應的驗證訊息。
透過WEB驗證
要啟用Summit Switch的WEB base驗證，指令如下。
enable netlogin web-base
enable netlogin ports <Port_String> web-base
然後再建立netlogin vlan的IP區段與DHCP發放，
並將認證畫面導向Summit的連結，將使用者帳號/密碼送到Radius進行驗證。
但這部分順子測試失敗！
DHCP的發放與認證頁面的引導都正確，但Summit就是跳不出使用者的驗證畫面，
只會跳出Summit的web管理頁面，無法進行Radius驗證...
等改天有別的機器再來測看看。
失敗的設定指令如下，先做個筆記，改天有答案再來修正。
create vlan test
enable ipforwarding
configure vlan test ipaddress 192.168.32.10 255.255.255.0
configure vlan test dhcp-address-range 192.168.32.20 - 192.168.32.80
configure vlan test dhcp-options default-gateway 192.168.32.10
configure vlan test dhcp-options dns-server 192.168.10.1
configure netlogin vlan test
enable netlogin web-based
enable netlogin ports 23 web-based
configure netlogin base-url 192.168.32.10
configure netlogin redirect-page http://192.168.32.10
***2015/03/02更新***
今天拿到一台新的X430，順便測試一下web base驗證。
在測試過程中，順子發現一個很大的問題，
web base驗證需要啟用vlan間的ipforwarding，而X430基本上是edge端switch，
沒有L3 routing能力，無法啟用ipforwarding，測試失敗...
802.1X與MAC並存
802.1X與MAC兩種驗證機制並存是沒有問題的。
因為MAC本來就是要讓無法透過802.1X的設備直接以網卡來進行驗證的一種輔助機制。
但若兩者同時存在時，哪一種機制會優先採用？
基本上網卡啟用了802.1X的驗證就一定會透過802.1X來驗證，
驗證失敗，就被拒絕網路能力，不會再透過MAC來驗證。
但若未啟用802.1X，則會退而求其次的透過網卡來驗證。
不論在NAC或Switch上都可清楚看到其驗證方式。
♥順子老婆的網拍，請多關照∼
If you don't like something, change it.
If you can't change it, change your attitude.
Don't complain!
|
2015-02-13, 17:57
