डेटा नेटवर्क में IEEE 802.1x का उपयोग करना

802.1x एक मानक है जिसका उपयोग डेटा नेटवर्क में उपयोगकर्ताओं और कार्यस्थानों को प्रमाणित और अधिकृत करने के लिए किया जाता है। 802.1x मानक के लिए धन्यवाद, उपयोगकर्ताओं को कॉर्पोरेट नेटवर्क और इसकी सेवाओं तक पहुंच के अधिकार प्रदान किए जा सकते हैं जो इस या उस उपयोगकर्ता द्वारा रखे गए समूह या स्थिति पर निर्भर करता है। इसलिए, कॉर्पोरेट नेटवर्क पर कहीं भी एक वायरलेस नेटवर्क या एक नेटवर्क आउटलेट से कनेक्ट करके, उपयोगकर्ता को स्वचालित रूप से उस वीएलएएन में रखा जाएगा, जो उस समूह की नीतियों से पूर्वनिर्धारित है, जहां उपयोगकर्ता खाता या उसका वर्कस्टेशन AD में जुड़ा हुआ है। संबंधित ACL पहुंच सूची (उपयोगकर्ता अधिकारों के आधार पर स्थिर या गतिशील) कॉर्पोरेट सेवाओं तक पहुँच को नियंत्रित करने के लिए इस VLAN के लिए बाध्य होगी। एक्सेस सूचियों के अलावा, क्यूओएस नीतियां बैंडविड्थ को नियंत्रित करने के लिए वीएलएएन के साथ जुड़ी हो सकती हैं।

मैं ज्यादातर सिस्को विशेषज्ञ हूं और सिस्को सिस्टम्स उपकरणों पर निर्मित डेटा नेटवर्क में IEEE 802.1x कामकाज के कई मॉडलों में से एक के बारे में बात करना चाहता हूं।

इस मॉडल को लागू करने के लिए, निम्नलिखित घटकों के एक न्यूनतम सेट की आवश्यकता होगी:

• एक स्विच जो एक प्रमाणक के रूप में कार्य करेगा;
• प्रमाणीकरण सर्वर (RADIUS सर्वर);
• डीएचसीपी सर्वर;
• उपयोक्ता (ग्राहक) 802.1x उपयोगकर्ता के कार्य केंद्र पर;

उन्नत कार्यक्षमता के लिए, यह अतिश्योक्तिपूर्ण नहीं होगा:

• उपयोगकर्ता क्रेडेंशियल संग्रहण सर्वर (AD, सांबा, आदि);
• प्रमाणपत्र सर्वर।

देशी 802.1x क्लाइंट कई ऑपरेटिंग सिस्टम में मौजूद है, जैसे कि विंडोज एक्सपी / विस्टा / 7 / सीई / मोबाइल, लिनक्स, सोलारिस, एप्पल ओएस एक्स, आदि।, लेकिन अभ्यास से पता चलता है, ऑपरेटिंग सिस्टम का चिड़ियाघर, जिसके तहत उपयोगकर्ता कार्यकर्ता काम करते हैं। स्टेशनों, और इसलिए उन में अंतर्निहित मोटिवल सप्लीमेंट्स की बहुतायत, इसे आसान नहीं बनाती है, बल्कि कई बार कंपनी में 802.1x मानक के कार्यान्वयन और आगे के उपयोग को जटिल बनाती है। इसे ध्यान में रखना आसान बनाने के लिए, एक एकीकृत तृतीय-पक्ष क्लाइंट का उपयोग करना उचित है जिसे आप सबसे अच्छा पसंद करते हैं, एक वह जो आपके उपयोगकर्ता वर्कस्टेशन पर स्थापित सभी ओएस के तहत काम करेगा।

मैं नेटवर्क पर वितरित किए जाने वाले मुफ्त सप्लीमेंट्स के उपयोग की अनुशंसा नहीं करूंगा व्यवहार में, वे पर्याप्त कार्यात्मक नहीं थे। सिस्को सिस्टम्स द्वारा पेश किए जाने वाले सिस्को सिक्योर सर्विसेज क्लाइंट के लिए, यह दुर्भाग्य से अब समर्थित नहीं है, क्योंकि उनकी आधिकारिक वेबसाइट के उद्धरण में कहा गया है: " सिस्को सिस्को के लिए जीवन की तारीखों की बिक्री और समाप्ति की घोषणा करता है सुरक्षित सेवाएँ ग्राहक। "प्रभावित उत्पाद (ओं) को ऑर्डर करने का अंतिम दिन 27 जनवरी, 2012 है। " अपने दम पर, मुझे लगता है कि मैं वास्तव में जुनिपर नेटवर्क ओडिसी एक्सेस क्लाइंट को पसंद करता हूं, जिसके उपयोग से आप इसे अपनी इच्छानुसार पूर्व-कॉन्फ़िगर कर सकते हैं, एमएसआई इंस्टॉलेशन पैकेज फ़ाइल बना सकते हैं और इसे उपयोगकर्ता के वर्कस्टेशन पर केन्द्रित कर सकते हैं।

IEEE 802.1x मानक के संचालन को प्रदर्शित करने के लिए, प्राधिकरण प्रक्रिया का एक सरल आरेख है, जहाँ संख्याएँ चरण संख्या को दर्शाती हैं:


आजकल, ऐसी कंपनी की कल्पना करना मुश्किल है, जिसकी जानकारी का बुनियादी ढांचा प्रबंधनीय नहीं होगा। प्रबंधित बुनियादी ढांचे से मेरा मतलब है कि एक डोमेन नेटवर्क। एक डोमेन वातावरण में 802.1x मानक का उपयोग करते समय, एक बारीकियों को ध्यान में रखा जाना चाहिए - आप केवल एक उपयोगकर्ता खाते के तहत एक डेटा नेटवर्क को अधिकृत नहीं कर सकते हैं! बात यह है कि लोड करते समय, उपयोगकर्ता प्राधिकरण विंडो प्रदर्शित करने से पहले, कार्य केंद्र को कई चरणों से गुजरना होगा:

1. IP पता प्राप्त करें;
2. एक साइट और डोमेन नियंत्रक को परिभाषित करें;
3. LDAP, SMB का उपयोग करके AD के लिए एक सुरक्षित सुरंग स्थापित करें;
4. करबरोस वर्कस्टेशन खाते का उपयोग करके डोमेन में लॉग इन करें;
5. GPO डाउनलोड करें;
6. कार्यस्थान पर GPO द्वारा निर्धारित स्क्रिप्ट चलाएँ।

कुल मिलाकर, यह तब नहीं होगा जब प्राधिकरण केवल उपयोगकर्ता खाते पर ही किया जाएगा। और कारण सरल है, एक अनधिकृत वर्कस्टेशन को बूट के दौरान डेटा नेटवर्क तक पहुंचने की अनुमति नहीं दी जाएगी, ईएपीओएल को छोड़कर सभी प्रोटोकॉल, जो आमतौर पर सामान्य ऑपरेशन के लिए उपयोग किए जाते हैं, को प्राधिकरण तक अवरुद्ध कर दिया जाएगा। इसलिए, यदि उपयोगकर्ता लॉगिन के क्षण से पहले, स्टेशन नेटवर्क में अधिकृत नहीं था, तो समूह नीतियां उस पर लागू नहीं होंगी। यदि आप एक डोमेन वातावरण में काम कर रहे हैं, तो आपको पहले नेटवर्क पर वर्कस्टेशन को अधिकृत करना होगा ताकि यह उपरोक्त सभी चरणों से गुजर सके। कार्य केंद्र को अधिकृत करने के बाद आपको क्या करना है यह तय करना है, लेकिन दो विकल्प हैं:

1. जैसा है वैसा छोड़ो;
2. उपयोगकर्ता क्रेडेंशियल्स का उपयोग करके अतिरिक्त प्राधिकरण करें।

मान लीजिए कि आप पहले कार्य केंद्र को अधिकृत करने का फैसला करते हैं, और फिर AD में उसकी साख के अनुसार उपयोगकर्ता। एक ओर, दृष्टिकोण सही है, लेकिन दूसरी ओर, निम्नलिखित समस्याएं उत्पन्न होती हैं:

1. यदि आप पंजीकरण प्रक्रिया (फास्ट लोगन ऑप्टिमाइज़ेशन) के तेज़ अनुकूलन का उपयोग करते हैं, तो समूह नीतियों और स्क्रिप्ट के पास उपयोगकर्ता के अधिकृत होने और आईपी पते के बाद के परिवर्तन के साथ दूसरे वीएलएएन में स्थानांतरित होने से पहले कार्य केंद्र पर आवेदन करने का समय नहीं होगा।
2. यदि आपने फास्ट लॉगऑन ऑप्टिमाइज़ेशन को बंद कर दिया है, तो ऐसी अप्रिय स्थिति तब हो सकती है जब बहुत सारी समूह नीतियां और स्क्रिप्ट होती हैं, और उपयोगकर्ता इतना तेज होता है कि वह अपने क्रेडेंशियल्स में प्रवेश करने और आईपी पते को बदलने के साथ अपने वीएलएएन में प्रवेश करने में कामयाब हो जाता है, फिर वर्कस्टेशन पर सही ढंग से स्विच करने की प्रक्रिया बाधित हो जाएगा।
3. यदि आप उपयोगकर्ता क्रेडेंशियल्स के अनुसार प्राधिकरण का उपयोग करते हैं, तो प्रशासक द्वारा कार्य केंद्र के दूरस्थ कनेक्शन के साथ समस्याओं को बाहर नहीं किया जाता है। आप वीएलएएन को बदल सकते हैं, और इसके साथ किसी अन्य उपयोगकर्ता से कनेक्ट होने पर आईपी एड्रेस।

सबसे अधिक जीत और सुरक्षित विकल्प उपयोगकर्ता प्राधिकरण के बिना एक प्रमाण पत्र का उपयोग करके नेटवर्क पर एक कार्य केंद्र को अधिकृत करना है। बेशक, इसका मतलब यह नहीं है कि आपको उपयोगकर्ता प्राधिकरण को स्थायी रूप से मना करने की आवश्यकता है। बस इसके लिए, आपको प्राधिकरण प्रक्रिया को थोड़ा अलग दृष्टिकोण से देखने की आवश्यकता है - अगर इससे पहले कि हम उपयोगकर्ता अधिकारों के मुख्य विभाजक के रूप में वीएलएएन (गतिशील वीएलएएन) को बदलने की प्रक्रिया के बारे में बात करते हैं, तो इस मामले में एक गतिशील पहुंच सूची हमारी मदद करेगी। परिणामस्वरूप, वीएलएएन और आईपी पते को बदलने के बजाय, एक विशिष्ट वीएलएएन के एसीएल नियम किसी विशेष उपयोगकर्ता के एक्सेस अधिकारों के अनुसार बदल जाएंगे। दुर्भाग्य से, यह सुविधा हर जगह उपलब्ध नहीं है, लेकिन कम से कम यह एसीएस संस्करण 5.2 एक्सेस कंट्रोल सर्वर पर है।

वैसे, यहां मैं ACS एक्सेस कंट्रोल सर्वर, उर्फ ​​सिस्को एक्सेस कंट्रोल सर्वर, उर्फ ​​RADIUS सर्वर और क्रेडेंशियल स्टोरेज के बीच संबंधों के कुछ तार्किक तत्वों पर विचार करना चाहूंगा, उदाहरण के लिए, सक्रिय निर्देशिका। AD के साथ संबंध ACS सर्वर पर टाइप द्वारा स्थापित किए जाते हैं:

ACS ऑब्जेक्ट समूह = AD ऑब्जेक्ट समूह

विशिष्ट समूह की वस्तुओं के लिए एक्सेस अधिकार ACS पर सेट किए गए हैं। कार्य का तर्क इस प्रकार है:

1. प्राधिकरण डेटा के सत्यापन के लिए एक अनुरोध आता है;
2. ACS AD सर्वर से पूछता है कि यह कौन है और यह किस AD समूह में है;
3. AD रिपोर्ट करता है कि यह इस तरह की वस्तु है और यह मेरे समूह में है;
4. ACS AD समूह का नाम और स्थानीय रूप से बनाया गया समूह ACS पहुँच नीतियों से मेल खाता है, जिनसे यह मेल खाता है;
5. यदि कोई मिलान पाया जाता है, तो ACS स्विच को बताता है कि इस समूह के लिए ACS पर निर्धारित सुरक्षा मानदंड के अनुसार पोर्ट पर कौन से नियम लागू होते हैं।

यदि कोई मेल नहीं मिलता है या AD सर्वर रिपोर्ट करता है कि क्रेडेंशियल्स अमान्य हैं, तो स्विच पोर्ट को अतिथि VLAN में रखता है।

अब जब यह प्राधिकरण के आदेश के साथ कम या ज्यादा स्पष्ट हो गया है, तो आपातकालीन स्थितियों के लिए यह आवश्यक है:

1. 802.1x क्लाइंट सक्षम नहीं है । इस मामले में जब ग्राहक सक्रिय नहीं होता है, तो कार्य केंद्र स्वयं की पहचान नहीं कर सकता है, यह स्वचालित रूप से अतिथि वीएलएएन में डेटा नेटवर्क तक सीमित पहुंच के साथ रखा गया है। इस कार्य को करने की प्रक्रिया चित्र में दिखाई गई है:


2. 802.1x क्लाइंट सक्षम है, लेकिन गलत तरीके से कॉन्फ़िगर किया गया है । इस घटना में कि क्लाइंट सही ढंग से अपनी पहचान नहीं कर सकता है, वर्कस्टेशन को स्वचालित रूप से सीमित पहुंच के साथ अतिथि वीएलएएन में रखा गया है। इस कार्य को करने की प्रक्रिया चित्र में दिखाई गई है:


3. RADIUS सर्वर अनुपलब्ध है । प्रमाणीकरण सर्वर की विफलता के मामले में दोष सहिष्णुता बढ़ाने के लिए, कार्य केंद्र को विफलता नेटवर्क वीएलएएन में नौकरी के लिए न्यूनतम आवश्यक डेटा नेटवर्क तक पहुंच अधिकार के साथ रखा गया है:


यहां, मैं ध्यान देता हूं कि RADIUS सर्वर की अयोग्यता के निर्धारण के साथ, सिस्को सिस्टम्स फ्लॉप हो जाता है, अर्थात, डेडटाइम टाइमर के समाप्त होने के बाद, स्विच मृत RADIUS सर्वर को जीवित मानता है और यदि इसे कॉन्फ़िगर किया गया है, तो यह इससे जुड़े सभी उपयोगकर्ताओं के पुन: प्राधिकरण की प्रक्रिया शुरू करता है। यह कल्पना करना कठिन नहीं है कि जब उपयोगकर्ता फिर से लॉग इन करने के लिए मजबूर किया जाता है, तब कैसे "सॉसेज" शुरू होता है, जबकि RADIUS सर्वर अभी भी मृत है, हालांकि स्विच इसे जीवित मानता है। परिणामस्वरूप, वर्कस्टेशन किसी भी वीएलएएन में प्रवेश नहीं कर सकते हैं, वे मध्य-हवा में निलंबित रहते हैं, नेटवर्क से कट जाते हैं, वे अतिथि वीएलएएन या फेलओवर वीएलएएन में प्रवेश नहीं कर सकते हैं।
यह त्रुटि आधिकारिक रूप से सिस्को द्वारा मान्यता प्राप्त थी, इसका विवरण उनकी वेबसाइट पर पाया जा सकता है:

" CSCir00551 - भ्रामक त्रिज्या डिबग संदेश
विवरण
लक्षण:
"% RADIUS-4-RADIUS_ALIVE: RADIUS सर्वर 172.27.66.89:2295,2296 वापस आ गया है।"
थोड़ा भ्रामक है। यह नहीं कह रहा है कि सर्वर वापस आ गया है, में
से सुना जा रहा है की भावना। यह केवल यह कह रहा है कि RADIUS ने सर्वर को चिह्नित किया है
क्योंकि जिंदा समय सीमा समाप्त हो गई है, और RADIUS के लिए तैयार है क्योंकि जीवित है
इस सर्वर पर फिर से संदेश भेजें।
शर्तें:
कोई नहीं
वैकल्पिक हल:
कोई नहीं ”

स्विच के सभी ऑपरेटिंग सिस्टम इस त्रुटि के अधीन हैं, नवीनतम संस्करणों तक जो मैं सत्यापित करने में कामयाब रहा। इसके अलावा, वे सभी आधिकारिक सिस्को वेबसाइट पर प्रभावित ओएस सूची में सूचीबद्ध हैं। क्यों वे अभी भी सही नहीं किया है यह त्रुटि केवल एक रहस्य बनी हुई है।

उपरोक्त सभी को लागू करने के लिए, बहुत सारे काम करने की आवश्यकता है, बहुत कुछ, एक एसीएस सर्वर, प्रमाणपत्र सर्वर, एडी, डीएचसीपी, एक्सेस स्विच स्थापित करने और कार्यस्थानों पर सहायक स्थापित करने और उन्हें प्रमाण पत्र जारी करने के साथ समाप्त होने की आवश्यकता है।

यहां हम केवल स्विच को कॉन्फ़िगर करने पर ध्यान केंद्रित करेंगे। IOS की नवीनता के आधार पर सेटिंग्स अलग-अलग होंगी।

पुराना iOS

RADIUS सर्वर के साथ संचार को कॉन्फ़िगर करने के लिए, वैश्विक कॉन्फ़िगरेशन मोड में निम्नलिखित कमांड आवश्यक हैं:

aaa new-model
aaa authentication dot1x default group radius
aaa authorization network default group radius
radius-server host 192.168.20.20 auth-port 1645 acct-port 1646 key SecretSharedKey123
radius-server source-ports 1645-1646
radius-server dead-criteria time 5 tries 4
radius-server deadtime 30
dot1x system-auth-control

किसी एकल पोर्ट को कॉन्फ़िगर करने के लिए, निम्न कमांड का उपयोग किया जाता है:

1. सामान्य आदेश:

interface GigabitEthernet1/0/1
switchport mode access
dot1x pae authenticator
dot1x port-control auto
dot1x timeout quiet-period 5
dot1x timeout server-timeout 10
dot1x timeout tx-period 5
spanning-tree portfast
end

2. अतिथि VLAN:

interface GigabitEthernet1/0/1
dot1x guest-vlan 1 // VLAN
dot1x auth-fail vlan 1 //auth-fail VLAN
dot1x auth-fail max-attempts 2
end

3. विफलता VLAN:

interface GigabitEthernet1/0/1
dot1x critical
dot1x critical vlan 150 //failover VLAN
end

सभी एक साथ:

interface GigabitEthernet1/0/1
switchport mode access
dot1x critical
dot1x pae authenticator
dot1x port-control auto
dot1x timeout quiet-period 5
dot1x timeout server-timeout 10
dot1x timeout reauth-period server
dot1x timeout tx-period 5
dot1x reauthentication
dot1x guest-vlan 1 // VLAN
dot1x auth-fail vlan 1 //auth-fail VLAN
dot1x auth-fail max-attempts 2
dot1x critical vlan 150 //failover VLAN
spanning-tree portfast
end

नई iOS

RADIUS सर्वर के साथ संचार को कॉन्फ़िगर करने के लिए, वैश्विक कॉन्फ़िगरेशन मोड में निम्नलिखित कमांड आवश्यक हैं:

aaa new-model
aaa authentication dot1x default group radius
aaa authorization network default group radius
radius-server dead-criteria time 5 tries 4
radius-server deadtime 30
radius-server host 192.168.20.20 key SecretSharedKey123
dot1x system-auth-control

किसी एकल पोर्ट को कॉन्फ़िगर करने के लिए, निम्न कमांड का उपयोग किया जाता है:

1. सामान्य आदेश:

interface GigabitEthernet1/0/1
switchport mode access
authentication port-control auto
authentication violation protect
dot1x pae authenticator
dot1x timeout quiet-period 5
dot1x timeout server-timeout 10
dot1x timeout tx-period 5
spanning-tree portfast
end


2. अतिथि VLAN:

authentication event fail action authorize vlan 1
authentication event no-response action authorize vlan 1

3. विफलता VLAN:
authentication event server dead action authorize vlan 150

सभी एक साथ:
interface GigabitEthernet0/2
switchport mode access
authentication event fail action authorize vlan 1
authentication event server dead action authorize vlan 150
authentication event no-response action authorize vlan 1
authentication port-control auto
authentication periodic
authentication timer reauthenticate server
authentication violation protect
dot1x pae authenticator
dot1x timeout quiet-period 5
dot1x timeout server-timeout 10
dot1x timeout tx-period 5
spanning-tree portfast
end

निष्कर्ष में, मैं यह नोट करना चाहता हूं कि 802.1x मानक के संचालन के सिद्धांतों के बारे में बात करना बहुत अधिक लंबा, अधिक और गहरा है। इस सामग्री में मैंने इस मानक के साथ काम करने के सबसे बुनियादी, प्राथमिक सिद्धांतों को बताने की कोशिश की। एक समय में, इस तरह की सामग्री मेरे लिए अपने भविष्य के अध्ययन के लिए एक शुरुआती बिंदु के रूप में बहुत उपयोगी होगी।