ZADANIE.08 RADIUS (authentication-proxy, IEEE 802.1x) 2h

Podobne dokumenty
ZADANIE.08. RADIUS (authentication-proxy, IEEE 802.1x) 2h

ZADANIE.08 Cisco.&.Juniper RADIUS (authentication-proxy, IEEE 802.1x)

Zadanie OUTSIDE /24. dmz. outside /24. security- level /16

ZADANIE.05 Tworzenie sieci VLAN (VLAN, trunk, inter-vlan routing) 2,5h

ZADANIE.10 DHCP (Router, ASA) 1,5h

ZADANIE.07 Różne (tryb tekstowy i graficzny) 2h

ZADANIE.07 Różne (tryb tekstowy i graficzny) 2h

ZADANIE.10 Cisco.&.Juniper DHCP (Router, Firewall)

ZADANIE.05 Cisco.&.Juniper Tworzenie sieci VLAN (VLAN, trunk, inter-vlan routing)

ZADANIE.09 Syslog, SNMP (Syslog, SNMP) 1,5h

ZADANIE.05 Cisco.&.Juniper Tworzenie sieci VLAN (VLAN, trunk, inter-vlan routing) 2,5h

Budowa i konfiguracja sieci komputerowej cz.2

ZADANIE.03 Routing dynamiczny i statyczny (OSPF, trasa domyślna) 1,5h

ZADANIE.04 Cisco.&.Juniper Translacja adresów (NAT, PAT) 1,5h

ZADANIE.06 Zarządzanie konfiguracją urządzeń (tryb tekstowy i graficzny) 2,5h

ZADANIE.02 Podstawy konfiguracji (interfejsy) Zarządzanie konfiguracjami 1,5h

OUTSIDE /24. dmz. outside /24. security- level /16 TRUNK 0/1 VLAN2 0/2 VLAN10 0/3-0/10 VLAN20 0/11-0/24

ZADANIE.03 Cisco.&.Juniper Routing dynamiczny i statyczny (OSPF, trasa domyślna) 1,5h

Zadanie OUTSIDE /24. dmz. outside /24. security- level /16

OUTSIDE /24. dmz. outside /24. security- level 50. inside security- level /16 VLAN /

Zadanie OUTSIDE /24. dmz. outside security- level /24. inside security- level /16 VLAN

ZADANIE.07. Procesy Bezpieczeństwa Sieciowego v.2011alfa ZADANIE.07. VPN RA Virtual Private Network Remote Access (Router) - 1 -

ZADANIE.06 Zarządzanie konfiguracją urządzeń (tryb tekstowy i graficzny)

ZADANIE.02 Cisco.&.Juniper Podstawy konfiguracji (interfejsy) Zarządzanie konfiguracjami

ZADANIE.02 Cisco.&.Juniper Podstawy konfiguracji (interfejsy) Zarządzanie konfiguracjami 1,5h

Zarządzanie i Monitorowanie Sieci Komputerowych v.2010b ZADANIE.01

PODSTAWOWA KONFIGURACJA LINKSYS WRT300N

Windows Server Serwer RADIUS

ZADANIE.02 Korporacyjne Sieci Bez Granic v.2013 ZADANIE.02. VPN L2L Virtual Private Network site-to-site (ASA) - 1 -


Uwierzytelnianie użytkowników sieci bezprzewodowej z wykorzystaniem serwera Radius (Windows 2008)

INSTRUKCJA OBSŁUGI Program konfiguracji sieciowej Net configuration Drukarka A11

Jak skonfigurować bezpieczną sieć bezprzewodową w oparciu o serwer RADIUS i urządzenia ZyXEL wspierające standard 802.1x?

Laboratorium Ericsson HIS NAE SR-16

Konfiguracja własnego routera LAN/WLAN

Wprowadzenie do obsługi systemu IOS na przykładzie Routera

PROFESJONALNE SYSTEMY BEZPIECZEŃSTWA

PODSTAWOWA OBSŁUGA PROGRAMU PROGRAMU PACKET TRACER TRYB REAL TIME

Administracja sieciami LAN/WAN Komunikacja między sieciami VLAN

INSTRUKCJA OBSŁUGI ROUTERA 4 w 1 - ΩMEGA O700 - WIRELESS N 300M ROUTER.

Jarosław Kuchta Administrowanie Systemami Komputerowymi. Dostęp zdalny

Ćwiczenie 6 Przełącznik zarządzalny T2500G-10TS (TL-SG3210).

INSTRUKCJA OBSŁUGI DLA SIECI

ZiMSK NAT, PAT, ACL 1

Telefon AT 530 szybki start.

Lab 2 ĆWICZENIE 2 - VLAN. Rodzaje sieci VLAN

Połączenie VPN Host-LAN PPTP z wykorzystaniem DrayTek Smart VPN Client. 1. Konfiguracja serwera VPN. 2. Konfiguracja klienta VPN

BEZPRZEWODOWY ROUTER SZEROKOPASMOWY 11N 300MBPS

Telefon IP 620 szybki start.

1) Skonfiguruj nazwę hosta na ruterze zgodną z przyjętą topologią i Tabelą adresacji.

VPN Host-LAN L2TP over IPSec z wykorzystaniem DrayTek Smart VPN Client. 1. Konfiguracja serwera VPN. 2. Konfiguracja klienta VPN

ZADANIE.01 Prewencja w Systemach Informatycznych v.2014 ZADANIE.01. NIPS (Network Intrusion Prevention System) - 1 -

Interfejsy: Ethernet do połączenia z siecią LAN Serial do połączenia z siecią WAN. pełną konfigurację urządzenia. Zadanie

Uwagi dla użytkowników sieci bezprzewodowej

Instalacja i konfiguracja serwera SSH.

Konfiguracja IPSec Brama IPSec w Windows 2003 Server

INFORMATOR TECHNICZNY WONDERWARE

Ćwiczenie Konfiguracja routingu między sieciami VLAN

Bramka IP 2R+L szybki start.

Konfiguracja ustawień sieci w systemie Windows XP z użyciem oprogramowania Odyssey Client

Brinet sp. z o.o. wyłączny przedstawiciel DrayTek w Polsce

Linksys/Cisco RT31P2, WRT54GP2. Instrukcja Konfiguracji

Instrukcja konfiguracji urządzenia Comarch TNA Gateway Plus

PAP-2T w sieci FreePhone

Uwagi dla użytkowników sieci bezprzewodowej

Następnie kliknąć prawym klawiszem myszy na Połączenie sieci bezprzewodowej i wybrać Wyłącz.

PBS. Wykład Filtrowanie pakietów 2. Translacja adresów 3. authentication-proxy

Przygotowanie urządzenia:

Windows Server Ochrona dostępu do sieci z wykorzystaniem 802.1X

ZADANIE.01 Cisco.&.Juniper Wprowadzenie do ZiMSK (budowa sieci, połączenie konsolowe, usuwanie konfiguracji urządzeń)

pasja-informatyki.pl

ZiMSK dr inż. Łukasz Sturgulewski, DHCP

ZADANIE.05. Procesy Bezpieczeństwa Sieciowego v.2011alfa ZADANIE.05 IDS / IPS - 1 -

Instrukcja podłączenia bramki IP 1R+L oraz IP 2R+L w trybie serwisowym za pomocą usługi telnet.

ZADANIE.01 Cisco.&.Juniper Wprowadzenie do ZiMSK (budowa sieci, połączenie konsolowe, usuwanie konfiguracji urządzeń) 1h

Laboratorium Użycie wiersza poleceń w celu zebrania informacji na temat urządzeń sieciowych

Instrukcja podłączania komputerów z systemem Microsoft Windows Vista/7 do sieci eduroam

ZyXEL NBG-415N. Bezprzewodowy router szerokopasmowy n. Skrócona instrukcja obsługi. Wersja /2006 Edycja 1

Konfiguracja ROUTERA bezprzewodowego z modemem ADSL 2+, TP-Link TD-W8910G/TDW8920G

INFORMATOR TECHNICZNY WONDERWARE

Połączenie VPN Host-LAN SSL z wykorzystaniem przeglądarki. 1. Konfiguracja serwera VPN 1.1. Ustawienia ogólne 1.2. Konto SSL 1.3. Grupa użytkowników

Brinet sp. z o.o. wyłączny przedstawiciel DrayTek w Polsce

Ćwiczenie Konfiguracja i weryfikacja rozszerzonych list kontroli dostępu (ACL) Topologia

ZADANIE.01 Prewencja w Systemach Informatycznych v.2014 ZADANIE.01 IDS / IPS - 1 -

Połączenie VPN Host-LAN L2TP over IPSec z wykorzystaniem Windows Vista/7

Połączenie VPN Host-LAN PPTP z wykorzystaniem Windows Vista/7. 1. Konfiguracja serwera VPN. 2. Konfiguracja klienta VPN

Seria wielofunkcyjnych serwerów sieciowych USB

Wykorzystanie pamięci USB jako serwera Samba

Zestawienie tunelu VPN po protokole IPSec pomiędzy klientem VPN - Draytek Smart VPN Client za NAT-em, a routerem Draytek

Instrukcja konfiguracji urządzenia TL-WA830RE v.1

Topologia sieci. Cele nauczania.

Instrukcja podłączania komputerów z systemem Microsoft Windows 8 do sieci eduroam

Brinet sp. z o.o. wyłączny przedstawiciel DrayTek w Polsce

USB 2.0 SERWER DRUKARKI ETHERNETU

Połączenie VPN Host-LAN IPSec wykorzystaniem DrayTek Smart VPN Client

4. Podstawowa konfiguracja

Bezpieczny system poczty elektronicznej

Instrukcja obsługi serwera FTP v

ZiMSK. Charakterystyka urządzeń sieciowych: Switch, Router, Firewall (v.2012) 1

Podłączenie urządzenia

Transkrypt:

Imię Nazwisko ZADANIE.08 RADIUS (authentication-proxy, IEEE 802.1x) 2h 1. Zbudować sieć laboratoryjną 2. RADIUS 3. authentication-proxy 4. IEEE 802.1x 5. Czynności końcowe - 1 -

1. Zbudować sieć laboratoryjną Zadanie Zbudować sieć laboratoryjną zgodnie z przedstawioną poniżej topologią. Topologia sieci laboratoryjnej 79.96.21.160 / 28 OUTSIDE dmz security-level 50 outside security-level 0 212.191.89.128 / 25 subinterfaces, trunk 172.18.0.0 / 16 10.2.0.0 / 16 VLAN Admin sec.lev.95 10.10.0.0 / 16 VLAN Dyrekcja sec.lev.85 10.20.0.0 / 16 VLAN Pracownicy sec.lev.80-2 -

2. Czynności wstępne Usunąć, jeśli istnieją, hasła i konfiguracje urządzeń. Przywrócić konfiguracje urządzeń z poprzedniego zadania. Sprawdzić za pomocą programu ping działanie interfejsów: o z hosta w sieci inside_admin adres podinterfejsu inside_admin ASA: o z hosta w sieci inside_dyrekcja adres podinterfejsu inside_dyrekcja ASA: o z hosta w sieci inside_pracownicy adres podinterfejsu inside_pracownicy ASA: o z hosta wewnątrz sieci dmz adres interfejsu dmz ASA: o z hosta wewnątrz sieci outside adres interfejsu Routera: o z hosta wewnątrz sieci outside adres interfejsu outside ASA: Zainstalować w strefie dmz, outside i inside_pracownicy po jednym serwerze FTP i HTTP (np. TYPSoft FTP Server oraz Apache). Utworzyć na każdym serwerze FTP przynajmniej jedno konto z uprawnieniami do dowolnego folderu na dysku. Utworzyć na każdym serwerze HTTP prostą stronę z informacją o położeniu serwera. Przeprowadzić testy: o Czy można połączyć się z sieci inside_admin do serwera FTP w dmz? Jeśli nie wyjaśnić dlaczego?. o Czy można połączyć się z sieci inside_pracownicy do serwera HTTP w outside? Jeśli nie wyjaśnić dlaczego?. o Czy można połączyć się z sieci inside_pracownicy do serwera HTTP w dmz? Jeśli nie wyjaśnić dlaczego?. o Czy można połączyć się z sieci inside_pracownicy do serwera FTP w dmz? Jeśli nie wyjaśnić dlaczego?. o Czy można połączyć się z sieci inside_pracownicy do serwera FTP w outside? Jeśli nie wyjaśnić dlaczego?. o Czy można połączyć się z sieci inside_dyrekcja do serwera HTTP w outside? Jeśli nie wyjaśnić dlaczego?. o Czy można połączyć się z sieci inside_dyrekcja do serwera FTP w inside_pracownicy? Jeśli nie wyjaśnić dlaczego?. o Czy można połączyć się ze strefy dmz do serwera FTP w strefie outside? Jeśli nie wyjaśnić dlaczego?. o Czy można połączyć się ze strefy outside do serwera FTP w strefie dmz? Jeśli nie wyjaśnić dlaczego?. - 3 -

3. RADIUS RADIUS (Remote Authentication Dial-In User Service) opracowany został przez Livingston Enterprises, Inc (obecnie część Lucent Technologies). RADIUS jest usługą umożliwiającą uwierzytelnianie, autoryzowanie i rejestrowanie działań użytkownika. RADIUS składa się z trzech elementów: o Protokołu korzystającego z UDP/IP. o Serwera. o Klienta. 4. authentication-proxy Zadanie Włączyć authentication-proxy na ASA dla wszystkich połączeń wychodzących z sieci inside_pracownicy. Uwierzytelnianie musi odbywać się przy wykorzystaniu serwera RADIUS. Serwer RADIUS ma znajdować się w sieci inside_admin. Materiał pomocniczy - 4 -

Idea działania authentication-proxy Konfiguracja authentication-proxy ASA(config)# aaa authentication include <protokół> <nazwa_sieci> <adres_sieci_źródłowej> <maska_sieci_źródłowej > <adres_sieci_docelowej> <maska_sieci_docelowej > <nazwa_bazy> Ustawienie komunikatów przy uwierzytelnianiu: ASA(config)# auth-prompt prompt <dowolny_tekst> ASA(config)# auth-prompt accept <dowolny_tekst> ASA(config)# auth-prompt reject <dowolny_tekst> protokół jeśli dowolny należy użyć słowa any. nazwa_bazy nazwa bazy, w której będą weryfikowane dane użytkownika. Uwaga: Uwierzytelnianie przebiega tylko po protokołach HTTP, HTTPS, FTP i TELNET. - 5 -

Konfiguracja RADIUS (sewer z bazą danych użytkowników) Konfiguracja połączenia z serwerem RADIUS: ASA(config)# aaa-server <nazwa_bazy> protocol radius ASA(config-aaa-server-group)# exit ASA(config)# aaa-server <nazwa_bazy> (<nazwa_sieci>) host <adres_ip> ASA(config-aaa-server-host)# key <klucz> ASA(config-aaa-server-host)# authentication-port <nr_portu_1> ASA(config-aaa-server-host)# accounting-port <nr_portu_2> Sprawdzenie konfiguracji: ASA(config)# show running-config aaa-server nazwa_bazy nazwa bazy, w której będą weryfikowane dane użytkownika. nazwa_sieci nazwa sieci, w której znajduje się serwer RADIUS. adres_ip adres IP serwera RADIUS. klucz tajny klucz do szyfrowania komunikacji pomiędzy urządzeniem a serwerem RADIUS. nr_portu_1 nr portu, na którym nasłuchuje serwer RADIUS (dla uwierzytelniania jest to najczęściej port 1812). nr_portu_2 nr portu, na którym nasłuchuje serwer RADIUS (dla zliczania jest to najczęściej port 1813). Zarządzanie authentication-proxy Wyświetlenie statystyk uwierzytelniania: ASA(config)# show uauth Usunięcie uwierzytelnionych użytkowników: ASA(config)# clear uauth - 6 -

Instalacja i konfiguracja serwera RADIUS: Zainstalować serwer RADIUS (program WinRadius) poprzez wypakowanie plików z archiwum ZIP do dowolnego foldera. Uruchomić Windows PL i dodać w Microsoft Access do bazy WinRadius.mdb dowolnego użytkownika (w tabeli tbusers wprowadzić nowy rekord podając tylko username i password). Uruchomić serwer (WinRadius.exe) i przeprowadzić jego konfiguracje: Wybrać z menu Settings->System, w oknie dialogowym wprowadzić: o NAS Secret klucz do szyfrowanej komunikacji pomiędzy serwerem a urządzeniem. o Authorization port port, na którym będzie nasłuchiwał serwer do uwierzytelniania użytkowników. o Accounting port port, na którym będzie nasłuchiwał serwer do zliczania działań użytkowników. Uwaga: Podaną konfigurację należy zapamiętać/zapisać na kartce tak aby przy konfiguracji danych o serwerze RADIUS na ASA podać te same informacje. Wybrać z menu Settings->Database, w oknie dialogowym nacisnąć przycisk Configure ODBC Automatically. Zamknąć program i ponownie go uruchomić. Jeśli serwer został poprawnie skonfigurowany pojawi się informacja, iż użytkownik/użytkownicy zostali wczytani i serwer jest uruchomiony prawidłowo. - 7 -

Sprawozdanie Przeprowadzić testy: o Sprawdzić czy można się połączyć ze strefy inside_pracownicy do serwera FTP w strefie dmz Czy było wymagane uwierzytelnianie? Czy uwierzytelnianie powiodło się? o Sprawdzić czy można się połączyć ze strefy inside_pracownicy do serwera HTTP w strefie outside Czy było wymagane uwierzytelnianie? Czy uwierzytelnianie powiodło się? o Sprawdzić czy można się połączyć ze strefy dmz do serwera FTP w strefie outside Czy było wymagane uwierzytelnianie? Czy uwierzytelnianie powiodło się? Sprawdzić zestawienie uwierzytelnionych użytkowników. Usunąć zestawienie uwierzytelnionych użytkowników. 5. Konfiguracja IEEE 802.1x Zadanie Włączyć obsługę 802.1x na Switch. Włączyć obsługę 802.1x w systemie Windows. Skonfigurować porty Switch należące do sieci inside_pracownicy tak aby wymagane było uwierzytelnianie 802.1x. Uwierzytelnianie musi odbywać się przy wykorzystaniu serwera RADIUS. Serwer RADIUS ma znajdować się w sieci inside_admin. - 8 -

Materiał pomocniczy Idea działania IEEE 802.1x IEEE 802.1x protokół gwarantujący bezpieczny dostęp do sieci (a dokładnie do danego portu Switch). Aby uzyskać dostęp do portu Switch (do sieci LAN) należy przeprowadzić proces uwierzytelniania (korzystając np. z dodatkowego serwera RADIUS). Konfiguracja IEEE 802.1x (Switch) Switch(config)# aaa new-model Do uwierzytelniania wybrać serwer RADIUS: Switch(config)# aaa authentication dot1x default group radius Aktywować IEEE 802.1x: Switch(config)# dot1x system-auth-control Skonfigurować wybrany port Switch: Switch(config-if)# switchport mode access Switch(config-if)# dot1x pae authenticator IOS: c2960-lanbasek9-tar.122-35.se5 Switch(config-if)# dot1x port-control auto IOS: c2960-lanbasek9-tar.122-53.se2 Switch(config-if)# authentication port-control auto Skonfigurować adres serwera RADIUS, porty i hasła do komunikacji z nim: Switch(config)# radius-server host <adres_ip> auth-port <nr_portu_1> acct-port <nr_portu_2> key <klucz> - 9 -

Weryfikacja działania IEEE 802.1x Switch# show dot1x all Switch# show dot1x interface fa0/x Konfiguracja IEEE 802.1x (Windows) Uwaga: Aby host obsługiwał protokół 802.1x należy: o w systemie Windows włączyć usługę Konfiguracja Sieci Bezprzewodowej (Wireless Configuration), o w systemie Windows z SP3 włączyć usługę Automatyczna Konfiguracja Sieci Przewodowej (Wired AutoConfig), o we właściwościach kablowego połączenia sieciowego w zakładce Authentication włączyć protokół 802.1x i wybrać typ EAP MD5-Challenge. - 10 -

Sprawozdanie Podłączyć host do portu z włączonym 802.1x (sieć inside-pracownicy). Przeprowadzić testy: o Czy wymagane jest uwierzytelnienie? o Czy z hosta można się połączyć z bramę za pomocą ping? o Czy działa połączenie z hosta do serwera HTTP w strefie outside? 6. Czynności końcowe Zapisać konfiguracje urządzeń na serwer TFTP. Zgrać konfiguracje na pendrive. - 11 -