|
在NAC架構中，要對使用者進行身份驗證可透過三種方法，
分別是802.1X、MAC網卡與Web Portal。
NAC本身有一套很棒的Web Portal編輯工具，可以很方便的客製Web Portal登入畫面。
但要如何把使用者導向Web Portal則是另一門學問了。
在Enterasys的解決方案中，是透過DNS Proxy來進行網頁IP的spoof。
任何網頁的request一旦透過DNS Proxy來解析後，
一律會被導向NAC上的Web Portal，來達到強迫使用者進行身份驗證的目的。
↑以上圖為例，指向www.shunze.info被強迫導向Web Portal了！
如何在NAC上架設DNS Proxy？
- 於NAC Manager的Advanced Settings中，啟用 Enable distributed end-system cache；
並按下 Reload 按鈕，讓設定生效。
- 於設定檔 opt/nac/server/config/config.properties 中啟用 DNS_PROXY_ENABLE 參數。
下指令 nacctl restart 重啟NAC服務，
再下指令 opt/nac/server/dnsProxy.sh 來重啟DNS Proxy服務，
當然要讓內建的Web Portal能夠使用，
NAC中的 Authentication Registration/Access 或 Guest Registration/Access 要依需求來啟用。
至於如把使用者的request導向NAC扮演的DNS Proxy方法有三，- Policy-Based Routing
打上特定的ToS值，然後於Router中將帶有此ToS值的流量導向NAC DNS Proxy。
- Block Primary DNS
DHCP配發IP時，同時配發兩筆DNS，
當使用者尚未驗證時，block第一筆DNS；讓request轉向第二筆DNS (DNS Proxy)做解析。
- 不同VLAN，不同DNS設定
配合不同的VLAN，來配發不同的DNS。
當使用者當未驗證時，分配到未註冊或隔離區的VLAN，
而這區的DNS直接指向NAC的DNS Proxy。
Policy-Based Routing
在尚未驗證身份的http 80 port的流量中，打上特定的ToS值 。
↑CoS Configuration會自動計算出對應的DSCP值。
然後在Router中去觀察封包裏的DSCP值，
一旦DSCP值符合我們打上的ToS，Router就把這流量導向DNS Proxy的IP。
ToS與DSCP的對關係如下圖，
但比較抱歉的是，Router上的對應設定，順子不是很懂...
即使看了文件，還是不太明白Router上的指令意義！？
這部分就不誤導別人了，
等之後瞭解了，再來補充說明。
Block Primary DNS
在這種架構下，DHCP server在配發IP時，要配發兩筆DNS。
第一筆是正確的DNS，而第二筆則是NAC所扮演的DNS Proxy。
當使用者尚未經過身份驗證時，我們在對應 Policy/ACL 擋掉第一筆DNS記錄，
強迫DNS的解析透過第二筆DNS (NAC所扮演的DNS Proxy) 來進行。
以Enterasys的Policy Manager為例，
我們可以建立一個新的Service - Block Primary DNS IP，
然後在裏面設定要擋掉對第一筆DNS 192.168.30.1的所有traffic。
然後再把未驗證區的Role加上這筆Service就行了。
有加這筆Service的Role在開啟網頁時，就會被導向Web Portal了。
不同VLAN，不同DNS設定
動態VLAN這種架構其實相對單純。
只要在未驗證身份的對應VLAN裏，將DHCP配發的DNS設定為NAC所扮演的DNS Proxy就完成了。
當未驗證身份的使用者開啟網頁時，
就會被DNS Proxy導向NAC的Web Portal。
♥順子老婆的網拍，請多關照∼
If you don't like something, change it.
If you can't change it, change your attitude.
Don't complain!
|
2014-08-24, 22:12
《分享》NAC DNS Proxy
