MACベース認証とMAC認証バイパス(MAB)の設定
以下の手順に従って、有線デバイスをMACアドレスに基づいてデバイスを認証するように設定します。
追加のセキュリティ層として、MAC認証を証明書ベースまたは資格ベースの認証と一緒に使用できます。
ジュニパー Mist Access Assuranceは、有線ネットワークと無線ネットワーク全体で統一されたアクセス制御を実現する MAC認証バイパス(MAB)をサポートしています。このトピックでは、有線デバイス向けに MAB を設定する例を示します。
この例では、証明書ベースのEAP-TLS認証に加えて、有線デバイスのMAC認証を作成する方法を示しています。このタスクには、dot 1xをサポートしない有線側デバイス(Phillipsハブなど)の認証ポリシーを作成する手順も含まれています。
前提条件
-
証明書ベースの認証をすでに設定している必要があります。 無線ネットワークに対する証明書ベース(EAP-TLS)認証の設定を参照してください。
-
ジュニパーネットワークスのEXシリーズスイッチ。
有線デバイスにMACベース認証を設定する
有線デバイスのMACベース認証を構成および検証する方法については、以下のビデオをご覧ください。
Well, what about wired devices? How do we authenticate an authorized wired client? Well, it turns out we could do it right here in the same place. So we could create a couple of more rules. So we can say OK, if we look at wired devices that are using certificates to authenticate , we could just call this rule wired certificate authentication. We can effectively apply the same matching criteria as for wireless. There's no difference whatsoever here.
On the right-hand side, we'll decide where we want to move these devices after authentication and the right policy match. And finally, what about non-.1x capable devices on the wired side? So for example, I have here a Phillips hub that does not support .1x. How can I authenticate a Phillips app? So I could create a label for the Phillips device. The label will be client list. And I'll just say approved Phillips app. And I'll just put the MAC address of that device in. Oh. And you could put a list of MAC addresses. You can put the list of Mac OUIs. And remember that all of these labels that I'm creating in the UI - they're all available through the REST API. So there is always an endless possibility of integration with existing, say, inventory management systems that can just put all the new device MAC addresses in those lists for authentication and authorization.
So we'll just click Create. Create this label. And we'll create a rule. We'll call it approved Phillips devices. And here we are matching on wired devices that are doing MAC address authentication bypass that are part of this client list label. And in this case, we will move them to - well, I don't want to move them to Corp VLAN. That's not what I want. I will create an IoT VLAN. And in our case, that's going to be VLAN 3000. And I'm going to add this to an IoT VLAN. And now, we have our authentication policies configuration done.
OK, so how do we validate, right? So we've connected a couple of clients to the switch. One is a laptop that's doing .1x using certificate. Another one is the Phillips Hue app. That doesn't do any .1x, and just doing MAC authentication. So we could see those two clients are connected.
Let's take a look at the laptop one. So we could click on the port. We see that there is a client with a username flashing up. Let's take a look at the wired client insights. And what we can see here is that the user has been authenticated. You could see the port up and down events from the switch side. We see all the authentication phases, same as we saw in the wireless side. The client trusts the server. The server trusts the client certificate. We get all the metadata here. We then are saying client access is allowed. And voila. We matched the same authentication policy rule. Great. So now, we know that this part is working.
Now, we go to switch back. And let's look at the Philips device. That device is not doing any form of .1x authentication. So let's just take a look at the wired client insights. Yeah, and we are seeing that here the user is authenticated. And there is a client access allowed event here as well. And in this case, the authentication type is Mac address bypass - the MAC address that we've added to the client list. And voila. We are matching the right approved Phillips device rule.
ジュニパー Mistポータルを使用してネットワークでMACベースの認証を設定するには、次の手順に従います。
- 認証ポリシーを作成します。
- ジュニパー Mistポータルの左側のメニューから、組織>アクセス>認証ポリシーを選択します。
有効な証明書を持つクライアントにアクセスを提供する新しいルールを作成します。 認証ポリシーの設定を参照してください。図1:有線クライアント
の認証ポリシーの作成
以下の詳細を使用して認証ポリシーを定義します。- 名前—ポリシーの名前を入力します(例:Wired Cert Auth)
- 一致条件— EAP-TLS と 有線を選択します。
- ポリシー—許可を選択
- ポリシーアクション—ネットワークアクセスを許可
- 割り当てられたVLAN - 企業VLAN
- ジュニパー Mistポータルの左側のメニューから、組織>アクセス>認証ポリシーを選択します。
- LAN 側で dot1.x 以外のデバイスに認証を提供するには、新しいポリシーラベルを作成します。
- 認証 ポリシーページで、 ラベルの作成 を選択し、詳細を入力します。
図2:Dot1x以外のデバイス
用ラベル
それぞれのフィールドに以下の情報を入力します。- ラベル名—ラベル名を入力します(例:Approved Phillips Hubs)
- ラベルタイプ—タイプをクライアントリストを選択します
- ラベル値—デバイスのMACアドレスを入力します
- 認証 ポリシーページで、 ラベルの作成 を選択し、詳細を入力します。
- 新しい認証ポリシーを作成します。
- ルールを追加をクリックして、新しいルールを作成します。
このルールでは、前の手順で作成したラベルを dot1x 以外のデバイスに使用します。図3:Dot1X以外のデバイスの認証ポリシー
それぞれのフィールドに以下の情報を入力します。- 名前— 名前を入力します。例:承認されたプラス デバイス。
- 一致基準—承認されたプラスハブ、MAB(MAC認証バイパス)、および有線を選択します。
- ポリシー— 許可を選択します。
- ポリシーアクション— ネットワークアクセスを許可を選択します。
- 割り当てられたポリシー— IoT VLANを選択します。
これで、dot1X以外のデバイスを認証するポリシーが作成されました。
- ルールを追加をクリックして、新しいルールを作成します。
- 認証を実行するようにスイッチを設定します。
- ポート プロファイルセクションまで下にスクロールし、詳細を入力します。
図4:ポートプロファイルオプション必要な情報を入力するか、以下のフィールドで必要なオプションを選択します。
- 名前—名前を入力します(例: secure-port)。
- モード— アクセスを選択します。
- 「 dot1x認証を使用 」と「 MAC認証を使用 」オプションを有効にします。クライアントデバイスが802.1Xをサポートしている場合、スイッチポートは802.1X認証を実行します。クライアントデバイスが802.1Xをサポートしていない場合、スイッチポートはMAC認証を実行します。
- STPエッジ—ポートをスパニングツリープロトコル(STP)エッジポートとして設定するには、 はいを選択します。この設定により、ポートがエッジポートとして扱われるようになります。
この例では、残りのフィールドにデフォルト値を使用します。
- 接続された有線クライアントがネットワークアクセスを必要とするスイッチの各ポートにポートプロファイルを割り当てます。
スイッチ設定の選択セクションのポート設定タブで、 ポート範囲を追加 をクリックして、ポートプロファイルをポートに関連付けます。
図5:スイッチのポート範囲にポートプロファイルを割り当てる
ポートIDを入力し、前の手順で作成した設定プロファイルを選択します。
- ポート プロファイルセクションまで下にスクロールし、詳細を入力します。
これで、ネットワークでクライアントを安全に認証する準備が整いました。ジュニパーMistクラウドは、クライアント証明書を検証し、認証ポリシー設定に基づいてアクセスと承認を付与します。
関連するクライアントは、ジュニパー Mistポータルで確認できます。
- クライアントの詳細を表示するには、 クライアント>有線クライアント を選択します。
- 監視 >サービスレベル>インサイト を選択して、クライアントイベントを表示します。