Authentifizierung

[Seppe 10]

Guten Morgen

 

Ich besitze mehrere Fragen bezüglich Authentifizierung. Es existieren ein Client-PC (Windows Vista), ein Authenticator-Switch (Cisco) und ein Server (Windows Server 2008 R2), welcher die Rollen NPS, AD und Zertifikatstamm besitzt.

 

1) Wie bindet man das Clientzertifikat zur Authentifizierung bei Peap-TLS in Vista ein?

 

2) Wie kann auf dem NPS-Server anhand des Zertifikates festgestellt werden, dass der eine Client ins VLANx und der andere ins VLANy gehört? Bis jetzt gibt es nur zwei vordefinierte Policys: gesund, nicht gesund.

 

3) Anhand welchen AVP-Attributes kann der VLAN-Name (z.B. PublicVLAN) an den Authenticator zurückgegeben werden? Finde immer nur die VLAN-ID als Rückgabeparameter.

 

4) Kann der DHCP-Dienst IP-Adressen für die verschiedenen VLANs bereitstellen? Wenn ja, wie mache ich das dem NPS-Server klar? Bis jetzt ist alles noch statisch.

 

 

Danke für Hilfe.

 

Seppe

[Dunkelmann 96]

1) Wie bindet man das Clientzertifikat zur Authentifizierung bei Peap-TLS in Vista ein?

Am einfachsten per Autorollout über GPO.

 

2) Wie kann auf dem NPS-Server anhand des Zertifikates festgestellt werden, dass der eine Client ins VLANx und der andere ins VLANy gehört? Bis jetzt gibt es nur zwei vordefinierte Policys: gesund, nicht gesund.

Eigene Policies definieren.

 

3) Anhand welchen AVP-Attributes kann der VLAN-Name (z.B. PublicVLAN) an den Authenticator zurückgegeben werden? Finde immer nur die VLAN-ID als Rückgabeparameter.

Bei Cisco (catalyst) gibt es afaik ein Gast-VLAN. Grundsätzlich wird bei Zuweisung über den NPS nur mit der VLAN-ID gearbeitet. Namen sind Schall und Rauch.

 

4) Kann der DHCP-Dienst IP-Adressen für die verschiedenen VLANs bereitstellen? Wenn ja, wie mache ich das dem NPS-Server klar? Bis jetzt ist alles noch statisch.

Dem NPS gar nicht. Das macht der DHCP. Je VLAN ein DHCP-Server oder -Relay bereitstellen.

 

Lesetip:

Download: Demonstrate NAP 802.1X Enforcement in a Test Lab - Microsoft Download Center - Download Details

[Seppe 10]

Das Dokument habe ich als Anleitung benutzt.

 

Zu 3. noch eine Frage. Das Namen nicht viel Wert sind stimmt, aber wie bekomme ich eine VLAN-Zuweisung hin, welche ortsübergreifend ist?

Z.B. im H1 ist Marketing = VLAN1, im H2 ist Controlling = VLAN1.

Wie kann ich das ganze realisieren?

 

Für die restlichen Antworten erstmal vielen Dank. Werde ich gleich mal ausprobieren :)

[Dunkelmann 96]

Entweder je Standort bzw. Switch eigene Policies definieren oder ein lokations- und abteilungsübergreifendes VLAN Konzept erstellen. Ich bevorzuge Letzteres.

[Seppe 10]

Da bedanke ich mich erstmal für die Antworten.