Example Title with Registration Microsoft® and Trademark SQL ServerTM

Mărimea: px

Porniți afișarea la pagina:

Download "Example Title with Registration Microsoft® and Trademark SQL ServerTM"

Florentin Gheorghiu
4 ani în urmă
Vzualizari:

1 802.1x şi NAP 12 aprilie 2010

2 Cuprins EAP 802.1x Supplicant Pass-through authenticator Authentication server NAP Client Server 802.1x şi NAP 2

3 Extensible Authentication Protocol Standard IETF (RFC 3748) Construit initial ca o extensie pentru PPP Framework ce suporta diferite metode de autentificare Metodele suportate de Windows XP SP3 sunt: Protected EAP (PEAP) EAP-Message Digest 5 Challenge Handshake Authentication Protocol (EAP-MD5 CHAP) PEAP-Microsoft Challenge-Handshake Authentication Protocol version 2 (MS-CHAP v2) PEAP foloseste un canal TLS pentru criptarea mesajelor EAP (clear text) intai se negociaza folosind PEAP un canal TLS peste acest canal se negociaza o metoda de autentificare 3

802.1X EAP over LAN Componentele unei arhitecturi 802.

Pass-through authenticator punct de intrare în reţea, trimite

autentificarea si autorizarea poate fi componenta a unui

4 802.1X EAP over LAN Componentele unei arhitecturi 802.1x Supplicant calculatorul care solicită acces la reţea Pass-through authenticator punct de intrare în reţea, trimite mesajele de autentificare Authentication Server realizează autentificarea si autorizarea poate fi componenta a unui pass-through authenticator sau un server Supplicant SW Pass-through Authenticator Authentication Server 4

5 Supplicant Windows XP Nu are suport pentru 802.1x activat Initial suport pentru 802.1x era activat prin serviciul Wireless Zero Configuration Serviciul Wired Autoconfig forţează clientul să se autentifice activ la reţea folosind EAPOL Serviciul Wired Autoconfig trebuie activat services.msc [Wired AutoConfig] [ ][Start] 5

6 Authentication Server RADIUS on 2k8 Integrat in Windows Server 2008 prin serviciul Network Policy Server Accepta autentificarea şi monitorizarea clienţilor Poate fi configurat ca server RADIUS PROXY Schimbul de mesaje se face folosind EAP over RADIUS Mesajle sunt trimise folosind UDP porturile 1812, 1645 pentru autentificare porturile 1813, 1646 pentru monitorizare Baze de date folosite pentru server Security Accounts Manager Windows NT 4.0 domain Active Directory Domain Services (AD DS) 6

7 Pass-through autenticator Cisco switch Activarea procesului de autentificare 802.1x dot1x system-auth-control Folosirea modelului AAA pentru autentificare aaa new-model aaa authentication dot1x default group radius Configurarea serverului de RADIUS radius-server host X.X.X.X acct-port 1813 auth-port 1812 key PASS Configurarea interfeţelor care necesita 802.1x dot1x port-control auto 7

8 802.1X How it works Laptop EAPOL Etherne t switch or Wireles s Access Point EAP over RADIUS RADIUS server i.e. LDAP, Supplicant Authenticator Authentication Server User DB Network 8

9 802.1X How it works Laptop EAPOL Etherne t switch or Wireles s Access Point EAP over RADIUS RADIUS server i.e. LDAP, Supplicant Authenticator Authentication Server User DB connection to network or specific VLAN is made, IP connection can now be set up Network 9

10 802.1X Interesting facts not-for-me RST packet Suppliant Everything works perfect! response response ACK-SYN ACK-SYN SW Authenticator response ACK-SYN RADIUS Pam pam an attacker Attacker Shadow of Suppliant Atacatorul foloseşte adresele IP şi MAC ale calculatorului Ce tip de pachete poate trimite? (ICMP, UDP, TCP) Why not TCP? Let s see how TCP works new connection SYN packet Ce se întâmplă dacă victima rulează un firewall ce blochează pachetele ACK-SYN nesolicitate? An that is why you better don t use a firewall 10

Network Access Protection Arhitectura folosită pentru verificarea stării de sănătate Trei caracteristicii importante: Validarea stării de sănătate pentru stabilirea nivelului de acces efectuarea este

11 Network Access Protection Arhitectura folosită pentru verificarea stării de sănătate Trei caracteristicii importante: Validarea stării de sănătate pentru stabilirea nivelului de acces efectuarea este realizată de către server Monitorizarea stării de sănatate client-side, clientul trimite către server orice schimbare de configuraţie Remedierea stării de sănătate folosirea unor servere separate ex. un server cu actualizări de antivirus 11

12 NAP Componente Client NAP System Health Agent (SHA) software care generează raport de sănătate Statement of Health (SoH) raportul generat NAP Agent agentul care trimite SoH către server Enforcement Client clientul care specifică pentru ce tip de conexiune se foloseşte NAP Enforcement Client Clientul solicită o conexiune care foloseşte serviciul NAP NAP Agent Cerere pentru SoH către SHA System of Health Agent Generează un nou SoH şi îl trimite către Agent 12

13 NAP Componente Server NAP System Health Validator sistemul folosit pentru compararea certificatului de sănătate (SoH) al clientului cu politicile predefinite Statement of Health Response (SoHR) răspunsul trimis de către server clientului Health Policy reprezintă diferitele niveluri de sănătate ce pot fi definite de către un administrator, bazat pe deciziile luate de către SHV 13

14 NAP Componente Enforcement Server punctul de conectare al clientului la reţea 5 tipuri, definite în funcţie de tipul conexiunii DHCP Remote Access VPN 802.1x (EAP) Terminal Services Gateway IPSec Remediation Server pot fi accesate pentru clienţii non-compatibili furnizează resursele pentru remedierea stării de sănătate 14

Permitem accesul acestui client pe baza stării de sănătate? Client Accesul tău este restricţionat.

15 NAP How it works Reţea restricţionată Remediation Server Clientul primeşte acces la reţea Pot descărca actualizările? Da. Cer acces în reţea. Trimit noul SoH. Pot primi acces în reţea? Trimit SoH. Permitem accesul acestui client pe baza stării de sănătate? Client Accesul tău este restricţionat. Enforcement Server Conform politicilor de sănătate clientul are nu are actualizările. actualizări. Trimite-l la serverul de remediere. Accesul este permis. Server NAP 15

16 NAP on Windows Client SHA = Security Center gpedit.msc [Computer Configuration] [Administrative Templates] [Windows Components] [Security Center] [ ][Edit] [Enable] NAP Agent services.msc [Network Access Protection Agent] [ ][start] Enforcement Client Server napclcfg.msc (windows vista) netsh nap client set enforcement ID = ADMIN = "DISABLE netsh nap client show configuration SHV = Windows SHV 16

17 NAP şi 802.1x How it works NAP Client x: Sunt Alex si parola mea este mssr. SW Authenticator RADIUS Server 802.1x: Are Alex drepturi in retea? Utilizator corect? 3. NAP: Trimite-mi si mie SoH. 2. NAP: Poftim SoH. Cazul 1. SoH este acceptat SoH valid? 802.1x: Accept client Accept client Cazul 2. SoH nu este acceptat 802.1x: Accept client 4. NAP:Foloseste acest server de remediere Conf VLAN NAP&802.1x: Foloseste server de remediere, VLAN NAP: Cum as putea sa corectez SoH? NAP: Poftim metoda de remediere

18 Obiective NAP Client 802.1x Switch NAP & 802.1x 802.1x Client NAP Server EAP 802.1x Server 18

Documente similare

Modulul 1 M1-2.3 Protocoale şi servicii în reţea În acest capitol ne propunem să abordăm următoarele: Protocoalele şi aplicaţiile folosite în reţelele

Modulul 1 M1-2.3 Protocoale şi servicii în reţea În acest capitol ne propunem să abordăm următoarele: Protocoalele şi aplicaţiile folosite în reţelele M1-2.3 Protocoale şi servicii în reţea În acest capitol ne propunem să abordăm următoarele: Protocoalele şi aplicaţiile folosite în reţelele locale şi în Internet Porturile şi numerele de port M1-2.3.1.