Recentemente, mergulhei na autenticação 802.1x com atribuição dinâmica de vlan.
Minha configuração atual contém: - Um cliente - Um comutador Cisco SG220 (o suplicante) - Um freeradius (autenticador) baseado em um AD LDAP - Um fortigate para fins de firewall e atuando como servidor DHCP.
No que diz respeito à autenticação, funciona. Meu usuário é autenticado e recebe uma mensagem de aceitação de acesso neste formulário.
Sending Access-Accept of id 12 to xxx.xxx.xxx.xxx port 6103
Tunnel-Private-Group-Id:0 = "vlan_name"
Tunnel-Medium-Type:0 = IEEE-802
Tunnel-Type:0 = VLAN
MS-MPPE-Recv-Key = 0xd899b158c44adb59894a8ad4c7554010571fffe1c3ef87f74db910c482c2be82
MS-MPPE-Send-Key = 0xe094d1c3e2fb5d5153963089c533278338d655284858156b0fb2e78e72ab7060
EAP-Message = 0x03320004
Message-Authenticator = 0x00000000000000000000000000000000
User-Name = "username"
Eu adicionei os atributos de túnel ao meu diretório LDAP e como a mensagem de depuração freeradius anterior mostra que ele está armazenado no pacote radius.
Eu li inúmeros tópicos onde você deve adicionar "use_tunneled_reply = yes" ao arquivo eap.conf que eu fiz como mostrado abaixo:
eap {
use_tunneled_reply = yes
default_eap_type = ttls
timer_expire = 60
ignore_unknown_eap_types = no
cisco_accounting_username_bug = no
max_sessions = 4096
md5 {
}
leap {
}
gtc {
auth_type = PAP
}
tls {
certdir = ${confdir}/certs
cadir = ${confdir}/certs
private_key_password = whatever
private_key_file = ${certdir}/server.key
pem_file_type = yes
certificate_file = ${certdir}/server.pem
CA_file = ${cadir}/ca.pem
dh_file = ${certdir}/dh
random_file = /dev/urandom
CA_path = ${cadir}
cipher_list = "DEFAULT"
make_cert_command = "${certdir}/bootstrap"
cache {
enable = no
max_entries = 255
}
verify {
}
}
ttls {
virtual_server = "inner-tunnel"
}
peap {
virtual_server = "inner-tunnel"
}
mschapv2 {
}
}
No que diz respeito à configuração do switch, existe uma interface:
encrypted radius-server host xxx.xxx.xxx.xxx auth-port 1812 acct-port 0 key "some hash"== priority 1 usg-type 802.1x
aaa authentication enable default radius
dot1x system-auth-control
vlan 50
name "vlan_name"
interface gi1
switchport mode access
dot1x port-control auto
spanning-tree portfast
O switch vlan obtém seu dhcp do fortigate, onde os vlan's também são criados.
Eu só consegui trabalhar até o ponto em que configurei as portas de acesso estático.
Eu fiquei sem opções e fóruns para analisar neste momento.
Ficaria feliz se alguém pudesse me dar um empurrão na direção certa. Nem tenho certeza se devo procurar o problema no lado do freeradius ou no lado do interruptor.
Se você precisar de mais arquivos ou logs, apenas me dê uma cutucada.
cumprimentos