Filtrado por dirección MAC centralizado bajo Radius
theophilix
-
brupala Mensajes publicados 111142 Fecha de registro Estado Miembro Última intervención -
brupala Mensajes publicados 111142 Fecha de registro Estado Miembro Última intervención -
Hola a todos,
Me gustaría obtener sus consejos y ayudas.
En mi práctica, he instalado un servidor Radius en Windows Server 2008R2, y me gustaría implementar un filtrado centralizado por dirección MAC a través de Radius.
Me explico: cuando un usuario se conecta con su puesto de trabajo en la empresa, el switch envía la dirección MAC del equipo para solicitar la autenticación al servidor Radius. Este verifica si la dirección MAC está registrada en una base de datos (Active Directory) y la asigna al VLAN correspondiente (VLAN local para equipos cuya MAC está registrada y VLAN de invitado para equipos no reconocidos en la base).
Ya he implementado la autenticación de usuarios por login/contraseña en una red de pruebas activando 802.1X en el switch, lo cual funcionó correctamente.
Sin embargo, mi tutor quiere una autenticación automática y centralizada por dirección MAC (independientemente del usuario), con el objetivo de impedir que visitantes con PC se conecten a los recursos de la empresa. Estos visitantes deben ser automáticamente asignados (basándose en direcciones MAC no registradas) a un VLAN de invitados con Internet, pero sin acceso a la red local.
Mi pregunta es la siguiente:
He logrado instalar el NPS, he añadido un Cliente Radius "nombre, IP, secreto compartido".
El switch de prueba es de nivel 2: Zyxel ES-2108 Series, ZyNOS F/W Versión V3.80(ABS.2) del 23/11/2009.
Luego no sé qué hacer. He buscado en la red y en foros, pero no he encontrado nada que me ayude a implementar esta solución.
Le agradecería mucho que me ayudaran.
Gracias
Me gustaría obtener sus consejos y ayudas.
En mi práctica, he instalado un servidor Radius en Windows Server 2008R2, y me gustaría implementar un filtrado centralizado por dirección MAC a través de Radius.
Me explico: cuando un usuario se conecta con su puesto de trabajo en la empresa, el switch envía la dirección MAC del equipo para solicitar la autenticación al servidor Radius. Este verifica si la dirección MAC está registrada en una base de datos (Active Directory) y la asigna al VLAN correspondiente (VLAN local para equipos cuya MAC está registrada y VLAN de invitado para equipos no reconocidos en la base).
Ya he implementado la autenticación de usuarios por login/contraseña en una red de pruebas activando 802.1X en el switch, lo cual funcionó correctamente.
Sin embargo, mi tutor quiere una autenticación automática y centralizada por dirección MAC (independientemente del usuario), con el objetivo de impedir que visitantes con PC se conecten a los recursos de la empresa. Estos visitantes deben ser automáticamente asignados (basándose en direcciones MAC no registradas) a un VLAN de invitados con Internet, pero sin acceso a la red local.
Mi pregunta es la siguiente:
He logrado instalar el NPS, he añadido un Cliente Radius "nombre, IP, secreto compartido".
El switch de prueba es de nivel 2: Zyxel ES-2108 Series, ZyNOS F/W Versión V3.80(ABS.2) del 23/11/2009.
Luego no sé qué hacer. He buscado en la red y en foros, pero no he encontrado nada que me ayude a implementar esta solución.
Le agradecería mucho que me ayudaran.
Gracias
3 respuestas
-
Hola, es realmente un tema de prácticas increíble al que me hubiera gustado acceder como parte de mis estudios, tocas de todo cuando haces radius, administración de redes y sistemas, VLAN, AD, LDAP,...
Intentaré verlo en casa esta noche, estoy en el trabajo ahora. Si tienes la solución para entonces, compártela por favor ;) -
-
Hola,
de hecho lo que haría falta es VLAN por dirección MAC, pero no creo que se pueda gestionar por Radius, porque siempre se implementa de forma propietaria y demasiado pesada de gestionar.
Tu maestro no tuvo una buena idea al ir por esa dirección: son los usuarios los que hay que filtrar, no las máquinas, por un lado, y por otro lado, a nivel de seguridad, una dirección MAC es tan fácil de cambiar ...
tambiene está la port-security, pero eso no permite eso en todo un conjunto de red sobre Radius.
--
y ... ¡Voila Voila Voilà!
