IEEE 802.1x Authentifizierung. IEEE 802.1x Authentifizierung IACBOX.COM. Version Deutsch

Transkript

1 Version Deutsch Dieses HOWTO beschreibt die Konfiguration und Anwendung der IEEE 802.1x Authentifizierung in Kombination mit der IAC-BOX. TITEL

2 Inhaltsverzeichnis Inhaltsverzeichnis Hinweise Wie funktioniert 802.1x IEEE 802.1x und IAC-BOX... 5 s1 7

3 1. Hinweise Bitte beachten Sie folgende Hinweise: Die verwendeten Netzwerkgeräte (WLAN Access Points, Router, Switches) müssen 802.1x unterstützen Die Client Geräte müssen diese Art der Authentifizierung ebenfalls implementiert haben Die IAC-BOX unterstützt derzeit nur die EAP Varianten EAP-TTLS, EAP-PEAP s2 7

4 2. Wie funktioniert 802.1x IEEE 802.1x ist ein sicheres Verfahren womit sich Client Geräte erst authentifizieren müssen um Zugang zu einem lokalen Netzwerk zu erhalten. Das Protokoll EAP (Extensible Authentication Protocol) ist dabei der Kern von IEEE 802.1x und ermöglicht den Austausch von Authentifizierungsnachrichten auf Layer 2. Bestandteile eines IEEE 802.1x Netzwerks sind die Supplicant Devices, Authenticator Devices und der Authentication Server. Dabei überprüft der Authentication Server den Antrag des Supplicant Devices und teilt seine Entscheidung dem Authenticator mit. Dieser schaltet dann den Zugang zum Netzwerk für das Supplicant Device frei oder verweigert ihn. - Supplicant Device (Antragsteller): WLAN-Clients, LAN-Stationen - Authenticator Devices (Beglaubiger): WLAN-Access Points, Router und Switches mit IEEE 802.1x - Authentication Server: Radius-Server, LDAP-Gateway/-Server s3 7

5 EAP Extensible Authentication Protocol Die Kommunikation zwischen Supplicant und Authenticator erfolgt über EAP und die Kommunikation zwischen Authenticator und Authentication Server über in Radius-Paketen gekapselte EAP-Pakete. Da das ursprüngliche EAP nicht sehr sicher ist, gibt es erweiterte EAP Varianten die zusätzliche Sicherheit bieten. Bei EAP-TTLS und PEAP (protected EAP) wird zum Beispiel für jedes Supplicant Device ein eigener abgeschotteter Tunnel zum Netzwerk aufgebaut. s4 7

6 3. IEEE 802.1x und IAC-BOX Wird IEEE 802.1x in Kombination mit der IAC-BOX genutzt, dann dient die IAC-BOX als Authentication Server. Die IAC-BOX fungiert dabei als Radius Server für die Authenticator Clients. Konfiguration der IAC-BOX Im WebAdmin Menü Sicherheit/Allgemein der IAC-BOX kann die IEEE 802.1x Authentifizierung aktiviert werden. Als erstes sollte festgelegt werden, von welchem Netzwerk (Office-LAN, Surf-LAN, Management-LAN) Authenticator Clients an der IAC-BOX akzeptiert werden. s5 7

7 Anschließend werden alle Authenticator Clients die mit der IAC-BOX verbunden werden sollen im Tab IEEE 802.1x Authenticator Clients eingetragen. Dabei ist zu beachten, dass das Secret mit dem eingetragenen Secret des Authenticator Clients übereinstimmt. Nur so ist eine Kommunikation zwischen beiden Geräten möglich. Der IP Adressbereich der angegeben werden muss bedeutet, dass sich nur Supplicant Devices (Client Geräte), die innerhalb dieses Bereichs liegen, authentifizieren können. Zusätzlich können erlaubte Supplicant Devices und generelle 802.1x Benutzer manuell eingetragen werden. Wird die MAC-Adresse mit angegeben, dann kann sich nur das entsprechende Supplicant Device mit den definierten Benutzerdaten authentifizieren. Einträge ohne MAC-Adresse sind generelle 802.1x Benutzer mit welchen sich alle Supplicant Devices authentifizieren können. s6 7

8 Alle anderen Supplicant Devices (Client Geräte) welche auf der IAC-BOX nicht manuell eingetragen sind, können sich mit den Benutzerdaten von WebAdmin Tickets via 802.1x anmelden. Die Authentifizierung mit Ext-Auth Benutzern (MySQL, PostgreSQL, MSSQL) und lokalen Benutzern funktioniert ebenfalls, ist aber mit Einschränkungen verbunden. Beispielkonfiguration 1 Zweistufige Anmeldung Auf der IAC-BOX wird manuell ein genereller 802.1x Benutzer, mit welchem sich alle Supplicant Devices authentifizieren können, definiert. Dadurch erhalten diese nur Zugang zum Netzwerk und landen somit auf der Anmeldeseite der IAC-BOX. Auf dieser ist dann eine weitere Anmeldung notwendig damit die Geräte online gehen. Beispielkonfiguration 2 Sofortige Anmeldung Auf der IAC-Box wird ein WebAdmin Ticket für das Supplicant Device (Client Gerät) erstellt mit welchem sich dieses direkt am Authenticator Device via 802.1x Authentifizierung anmelden kann. Das Client Gerät bekommt dadurch nicht nur Zugriff auf das Netzwerk sondern geht ohne weitere Anmeldung an der IAC-BOX direkt online. s7 7