Exemple : configuration de l’authentification 802.1X-PEAP et MAC RADIUS avec des commutateurs EX Series et Aruba ClearPass Policy Manager

Configuration rapide de l’interface de ligne de commande

Pour configurer rapidement cet exemple, copiez les commandes suivantes, collez-les dans un fichier texte, supprimez les sauts de ligne, modifiez tous les détails nécessaires pour qu’ils correspondent à votre configuration réseau, copiez et collez-les dans l’interface de ligne de commande au niveau de la hiérarchie [modifier], puis entrez commit à partir du mode de configuration.

Procédure étape par étape

Voici les étapes générales de configuration d’un commutateur EX4300 :

• Configurez la connexion à Aruba ClearPass Policy Manager.

• Créez le profil d’accès utilisé par le protocole 802.1X. Le profil d’accès indique au protocole 802.1X le serveur d’authentification à utiliser, ainsi que les méthodes et l’ordre d’authentification.

• Configurez le protocole 802.1X.

• Configurez la commutation Ethernet sur les ports d’accès ge-0/0/10 et ge-0/0/22.

• Créez la stratégie de pare-feu à utiliser lorsqu’un ordinateur portable invité se connecte à un port.

Pour configurer le commutateur EX4300 :

1. Fournissez les informations de connexion au serveur RADIUS.

2. Configurez le profil d’accès.

3. Configurez le protocole 802.1X pour qu’il utilise Aruba-Test-Profile et s’exécute sur chaque interface d’accès. En outre, configurez les interfaces pour utiliser l’authentification MAC RADIUS et autoriser plusieurs demandeurs, chacun devant être authentifié individuellement.

4. Configurez les ports d’accès.

5. Configurez le VLAN 201, qui est utilisé pour les employés membres du service financier.

   Notez que pour que l’attribution dynamique de VLAN fonctionne, le VLAN doit exister sur le commutateur avant que l’authentification ne soit tentée. Si le VLAN n’existe pas, l’authentification échoue.

6. Configurez le filtre de pare-feu à utiliser lorsqu’un ordinateur portable invité se connecte à un port.

Résultats

En mode configuration, confirmez votre configuration en entrant les commandes suivantes show .

Si vous avez terminé de configurer l’appareil, entrez commit à partir du mode de configuration.

Procédure étape par étape

Les étapes générales de configuration d’Aruba ClearPass sont les suivantes :

• Ajoutez le fichier de dictionnaire RADIUS de Juniper Networks.

• Ajoutez l’EX4300 en tant que périphérique réseau.

• Assurez-vous que le certificat de serveur utilisé pour l’authentification PEAP 802.1X a été installé.

• Ajoutez l’utilisateur local utilisé dans cet exemple et affectez-le au groupe Finance.

• Créez deux profils d’application :

  • Profil qui définit les attributs RADIUS du filtre de pare-feu dynamique.

  • Profil qui définit les attributs RADIUS du VLAN dynamique.

• Créez deux stratégies d’application :

  • Stratégie appelée lorsque l’authentification MAC RADIUS est utilisée.

  • Stratégie appelée lorsque l’authentification 802.1X est utilisée.

• Définissez le service d’authentification MAC RADIUS et le service d’authentification 802.1X.

• Assurez-vous que le service d’authentification MAC RADIUS est évalué avant le service d’authentification 802.1X.

Pour configurer Aruba ClearPass :

1. Ajoutez le fichier de dictionnaire RADIUS de Juniper Networks.

   Procédure étape par étape

   1. Copiez le contenu suivant dans un fichier nommé Juniper.dct sur votre bureau.

   2. Dans Aruba ClearPass, accédez à Administration > Dictionaries > RADIUS et cliquez sur Importer pour importer le fichier Juniper.dct.

      

2. Ajoutez le commutateur EX4300 en tant que périphérique réseau.

   Procédure étape par étape

   1. Sous Configuration > périphériques > réseau, cliquez sur Ajouter.

      

   2. Sous l’onglet Périphérique, entrez le nom d’hôte et l’adresse IP du commutateur ainsi que le secret partagé RADIUS que vous avez configuré sur le commutateur. Définissez le champ Nom du fournisseur sur Juniper.

      

3. Assurez-vous qu’il existe un certificat de serveur pour l’authentification PEAP 802.1X.

   Sous Administration > Certificats > Certificat de serveur, vérifiez qu’un certificat de serveur valide est installé sur Aruba ClearPass. Si ce n’est pas le cas, ajoutez un certificat de serveur valide. La documentation Aruba ClearPass et votre autorité de certification peuvent fournir plus de détails sur la façon d’obtenir des certificats et de les importer dans ClearPass.

   

4. Ajoutez un utilisateur de test au référentiel d’utilisateurs local.

   Cet utilisateur sera utilisé pour vérifier l’authentification 802.1X.

   Procédure étape par étape

   1. Sous Configuration -> Identité -> Utilisateurs locaux, cliquez sur Ajouter.

   2. Dans la fenêtre Ajouter un utilisateur local, entrez l’ID utilisateur (usertest1), le nom d’utilisateur (utilisateur test), le mot de passe, puis sélectionnez Employé comme rôle d’utilisateur. Sous Attributs, sélectionnez l’attribut Service et tapez Finance sous Valeur.

      

5. Configurez un profil d’application de filtre dynamique.

   Ce profil définit l’attribut ID de filtre RADIUS et lui attribue le nom du filtre de pare-feu que vous avez configuré sur le commutateur. L’attribut est envoyé au commutateur lorsque l’adresse MAC du point de terminaison ne figure pas dans la base de données MAC, ce qui permet au commutateur d’affecter dynamiquement le filtre de pare-feu au port d’accès.

   Procédure étape par étape

   1. Sous Profils > Configuration > Application, cliquez sur Ajouter.

   2. Sous l’onglet Profil, définissez Modèle sur Application basée sur RADIUS et tapez le nom du profil, Juniper_DACL_1, dans le champ Nom.

      

   3. Sous l’onglet Attributs, définissez Type sur Radius:IETF, Name sur Filter-Id (11), puis tapez le nom du filtre de pare-feu, mac_auth_policy_1, dans le champ Valeur.

      

6. Configurez un profil d’application VLAN dynamique.

   Ce profil définit les attributs RADIUS pour spécifier le VLAN 201. Ces attributs RADIUS sont envoyés au commutateur lorsqu’un utilisateur appartenant au service financier s’authentifie à l’aide de 802.1X, ce qui permet au commutateur d’affecter dynamiquement le VLAN 201 au port d’accès.

   Procédure étape par étape

   1. Sous Profils > Configuration > Application, cliquez sur Ajouter.

   2. Sous l’onglet Profil, définissez Modèle sur Application basée sur RADIUS et tapez le nom du profil, Juniper_Vlan_201, dans le champ Nom.

      

   3. Sous l’onglet Attributs, définissez les attributs RADIUS comme indiqué.

      

7. Configurez la stratégie d’application de l’authentification MAC RADIUS.

   Cette stratégie indique à Aruba ClearPass d’effectuer l’une des actions suivantes, selon que l’adresse MAC du point de terminaison se trouve ou non dans la base de données RADIUS :

   • Si l’adresse se trouve dans la base de données RADIUS, envoyez un message d’acceptation d’accès au commutateur.

   • Si l’adresse ne figure pas dans la base de données RADIUS, envoyez un message Acess Accept au commutateur avec le nom du filtre de pare-feu défini dans le profil d’authentification MAC RADIUS.

   Procédure étape par étape

   1. Sous Configuration > Stratégies > d’application, cliquez sur Ajouter.

   2. Sous l’onglet Application, tapez le nom de la stratégie (Juniper-MAC-Auth-Policy) et définissez Profil par défaut sur Juniper_DACL_1 (le profil que vous avez défini à l’étape 5).

      

   3. Sous l’onglet Règles, cliquez sur Ajouter une règle et ajoutez les deux règles affichées.

      Vous devez ajouter les règles de manière séquentielle en créant la première règle dans l’éditeur de règles et en cliquant sur Enregistrer avant de créer la deuxième règle.

      

8. Configurez la stratégie d’application 802.1X.

   Cette stratégie indique à Aruba ClearPass d’effectuer l’une des actions suivantes, selon que l’utilisateur appartient ou non au service financier :

   • Si l’utilisateur appartient au service financier, envoyez un message d’acceptation d’accès au commutateur et les informations VLAN 201 définies dans le profil d’application 802.1X.

   • Si l’utilisateur n’appartient pas au service financier, envoyez un message d’acceptation d’accès au commutateur.

   Procédure étape par étape

   1. Sous Configuration > Stratégies > d’application, cliquez sur Ajouter.

   2. Sous l’onglet Application, tapez le nom de la stratégie (Juniper_Dot1X_Policy) et définissez Profil par défaut sur [Autoriser le profil d’accès]. (Il s’agit d’un profil préemballé fourni avec Aruba ClearPass.)

      

   3. Sous l’onglet Règles, cliquez sur Ajouter une règle et ajoutez la règle affichée.

      

9. Configurez le service d’authentification MAC RADIUS.

   La configuration de ce service entraîne l’exécution de l’authentification MAC RADIUS lorsque les attributs Nom d’utilisateur RADIUS et Client-MAC-Address reçus ont la même valeur.

   Procédure étape par étape

   1. Sous Configuration > Services, cliquez sur Ajouter.

   2. Sous l’onglet Services, remplissez les champs comme indiqué.

      

   3. Sous l’onglet Authentification, supprimez [ MAC AUTH ] de la liste Méthodes d’authentification et ajoutez [EAP MD5] à la liste.

      

   4. Sous l’onglet Application, sélectionnez Juniper-MAC-Auth-Policy.

      

10. Configurez le service d’authentification 802.1X.

    Procédure étape par étape

    1. Sous Configuration > Services, cliquez sur Ajouter.

    2. Sous l’onglet Service, remplissez les champs comme indiqué.

       

    3. Sous l’onglet Authentification, définissez Sources d’authentification sur [Référentiel utilisateur local][Base de données SQL locale].

       

    4. Sous l’onglet Application, définissez Stratégie d’application sur Juniper_Dot1X_Policy.

       

11. Vérifiez que la stratégie du service d’authentification MAC RADIUS est évaluée avant la stratégie de service d’authentification 802.1X.

    Étant donné qu’Aruba ClearPass est configuré pour reconnaître les demandes d’authentification MAC RADIUS par l’attribut Nom d’utilisateur RADIUS et l’attribut Client-MAC-Address ayant la même valeur, il est plus efficace d’évaluer d’abord la stratégie de service MAC RADIUS.

    Dans la fenêtre principale Services, vérifiez que Juniper-MAC-Auth-Policy apparaît avant Juniper-MAC_Dot1X_Policy dans la liste des services, comme illustré. Si ce n’est pas le cas, cliquez sur Réorganiser et déplacez Juniper-MAC-Auth-Policy au-dessus de Juniper-MAC_Dot1X_Policy.

    

Procédure étape par étape

Cet exemple de configuration réseau utilise le demandeur 802.1X natif sur l’ordinateur portable Windows 7. Ce demandeur doit être configuré pour l’authentification PEAP 802.1X.

Les étapes générales de configuration du demandeur Windows 7 sont les suivantes :

• Assurez-vous que le service Wired AutoConfig est démarré.

• Activez l’authentification PEAP 802.1X pour la connexion au réseau local.

• Configurez les paramètres de validation des certificats de serveur.

• Configurez les paramètres d’identification de l’utilisateur.

1. Assurez-vous que le service Wired AutoConfig est démarré sur l’ordinateur portable.

   Sélectionnez Panneau de configuration > Outils d’administration > services. Démarré doit apparaître dans le champ Wired AutoConfig Status (État de la configuration automatique filaire).

   

2. Activez l’authentification PEAP 802.1X pour la connexion au réseau local.

   Procédure étape par étape

   1. Sous Panneau de configuration > Centre Réseau et partage > Modifier les paramètres de la carte, cliquez avec le bouton droit sur Connexion au réseau local , puis cliquez sur Propriétés.

   2. Sous l’onglet Authentification de la fenêtre Propriétés de connexion au réseau local, configurez les propriétés comme indiqué.

      

3. Configurez si l’ordinateur portable valide ou non le certificat de serveur Aruba ClearPass.

   Cliquez sur Paramètres pour afficher la fenêtre Propriétés EAP protégées.

   • Si vous ne souhaitez pas que l’ordinateur portable valide le certificat de serveur ClearPass, décochez la case Valider le certificat de serveur.

   • Si vous souhaitez que l’ordinateur portable valide le certificat de serveur ClearPass, cochez Valider le certificat de serveur, tapez le nom du serveur ClearPass et sélectionnez l’autorité de certification racine approuvée pour le certificat de serveur ClearPass. Le nom du serveur doit correspondre au CN dans le certificat de serveur.

     

4. Configurez les paramètres d’identification de l’utilisateur.

   Cet exemple de configuration n’utilise pas les informations d’identification Windows Active Directory pour l’authentification des utilisateurs. Au lieu de cela, il utilise les informations d’identification de l’utilisateur local défini sur le serveur Aruba ClearPass.

   Procédure étape par étape

   1. Dans la fenêtre Propriétés EAP protégées, cliquez sur Configurer pour configurer le mot de passe sécurisé (EAP-MSCHAP v2). Désactivez la case à cocher Utiliser automatiquement mon nom d’ouverture de session Windows et mon mot de passe .

      Si votre serveur Aurba ClearPass était configuré pour utiliser Windows Active Directory pour authentifier les utilisateurs, vous laisseriez cette option sélectionnée.

      

   2. Terminez la configuration des propriétés PEAP protégées en cliquant sur OK.

   3. Sous l’onglet Authentification des propriétés de connexion au réseau local, cliquez sur Paramètres supplémentaires.

      

   4. Dans Paramètres avancés, sélectionnez Authentification utilisateur pour le mode d’authentification et cliquez sur Remplacer les informations d’identification.

      

   5. Entrez l’ID utilisateur (usertest1) et le mot de passe de l’utilisateur local que vous avez ajouté à la base de données des utilisateurs locaux sur le serveur Aruba ClearPass.

      

But

Vérifiez que l’utilisateur test, usertest1, est authentifié et placé dans le VLAN approprié.

Action

1. Connectez l’ordinateur portable Windows 7 configuré comme décrit dans Configuration du demandeur Windows 7 sur l’ordinateur portable à ge-0/0/22 sur le commutateur EX4300.

2. Sur le commutateur, tapez la commande suivante :

3. Pour plus de détails, y compris l’attribution dynamique de VLAN, tapez :

Sens

L’authentification 802.1X fonctionne comme configuré : usertest1 a été authentifié avec succès et placé dans le VLAN 201.

Vous pouvez utiliser la commande show dot1x pour vérifier également que l’ordinateur portable invité est correctement authentifié à l’aide de l’authentification MAC RADIUS.

But

Vérifiez que les points de terminaison sont correctement authentifiés et que les attributs RADIUS corrects sont échangés entre le commutateur et Aruba ClearPass.

Action

1. Accédez à Surveillance > Surveillance en direct > Access Tracker pour afficher l’état des demandes d’authentification.

   Access Tracker surveille les demandes d’authentification au fur et à mesure qu’elles se produisent et rend compte de leur état.

   

2. Pour vérifier les attributs RADIUS envoyés par le commutateur à Aruba ClearPass pour une demande particulière, cliquez sur la demande, puis sur l’onglet Entrée dans la fenêtre Détails de la demande.

   

3. Pour vérifier les attributs RADIUS qu’Aruba ClearPass a renvoyés au commutateur pour cette demande, cliquez sur l’onglet Sortie.

   

Sens

Le champ Login Status (État de connexion) de Access Tracker indique que l’ordinateur portable de l’employé et l’ordinateur portable invité sont authentifiés avec succès. Les détails de la demande d’authentification de usertest1 indiquent que le commutateur envoie les attributs RADIUS corrects à Aruba ClearPass et que ClearPass renvoie au commutateur les attributs RADIUS corrects spécifiant VLAN 201.