NOTICE DE MISE EN PLACE DE LA SOLUTION 802.1x

Transcription

1 NOTICE DE MISE EN PLACE DE LA SOLUTION 802.1x Département des systèmes d information EUROFARAD Année : 2012 Créé par : Alain Greux

2 NOTICE DE MISE EN PLACE DE LA SOLUTION 802.1x POUR LE SERVICE RH Contenu 1. Identification des ressources Méthode à appliquer Configuration du switch Serveur FRPMDC Serveur EXVMSEC Création radius client Création Network Policies Connexion du switch sur le réseau local Configuration des ordinateurs

3 1. Identification des ressources Un de vos serveurs est déjà équipé des rôles Autorité de certificat et du rôle NPS. Il possède aussi déjà des configurations Radius clients liés aux bornes WIFI présentes à Chanteloup-en-Brie (au nombre de 3) et 1 à Paris. Ce serveur est virtualisé sur le serveur physique HypervProd2 (Adresse IP : ) et est identifié sous le nom Netbios «EXVMSEC01». Son adresse IP est la « » et se trouve dans le domaine «EXXELIA.LAN» La connexion sécurisée sur le LAN se fera avec ce même serveur en complément des connexions sécurisées pour le Wifi. Les ordinateurs et comptes utilisateurs ont été identifiés et se trouvent dans le domaine «fr.exxelia.lan». Le serveur gérant l Active Directory porte le nom «FRPMDC02» et à l adresse IP « » 2

4 Les ordinateurs se trouvent dans «fr.exxelia.lan/exxelia branches/eurofarad/machines/computers» Ils sont identifiés sous les noms : - CHLTDRH-02 (Joëlle-Elisabeth Panet- Blech) - CHDKADM02 (Sabrina BENJEBBOUR) - (Angèle Eichel) - (Nelly Lecoeuvre) - (Aurélie Lambert) Les comptes utilisateurs se trouvent dans «fr.exxelia.lan/exxelia branches/migration/users» - Adm1 (Joëlle-Elisabeth Planet-Blech) - Adm6 (Sabrina BENJEBBOUR) - Adm10 (Aurélie LAMBERT) - Adm9 (Nelly Lecoeuvre) - Adm7 (Angèle Eichel) 3

5 2. Méthode à appliquer 2.1. Configuration du switch Il est nécessaire de configurer les ports du switch pour la mise en place du protocole 802.1x. Voici comment configurer les 5 premiers ports dédiés au service RH. Pour cela brancher un ordinateur à l aide du câble spécifique sur le port console du commutateur. Avec l aide de HyperTerminal, se connecter sur le switch puis rentrer en mode configuration à l aide de la commande system-view et saisir la configuration suivante : version 5.20 Release 2202P15, Release 2202P15 sysname SW1 // nom à donner au switch // dans l idéal donner le même nom que super password level 3 simple password // le nom du Radius client sur le serveur Domain default exxelia.lan igmp-snooping vlan 1 //VLAN par DEFAUT igmp-snooping enable vlan 20 // CREATION DU VLAN POUR LE SERVICE RH description RH vlan 172 // CREATION DU VLAN GUEST description GUEST vlan 1000 // CEATION DU VLAN ADMINISTRATION description ADMIN radius scheme system server-type extended primary authentication primary accounting user-name-format without-domain radius scheme radius1 // CREATION DU MODELE RADIUS 4

6 server-type extended primary authentication primary accounting key authentication RADIUS2012 user-name-format without-domain domain exxelia.lan authentication default radius-scheme radius1 local authorization default radius-scheme radius1 local authentication login local authorization login none authentication lan-access radius-scheme radius1 authorization lan-access radius-scheme radius1 access-limit disable state active idle-cut disable self-service-url disable domain system access-limit disable state active idle-cut disable self-service-url disable user-group system Local-user admin authorization-attribute level 3 service-type telnet terminal local-user manager password simple manager authorization-attribute level 2 service-type telnet terminal local-user monitor password simple monitor authorization-attribute level 1 service-type telnet terminal interface NULL0 interface Vlan-interface1 //Adresse serveur EXVMSEC01 //Mot de passé identification //Application du modèle radius pour //le domaine exxelia.lan 5

7 interfacevlan-interface1000 ip address interface GigabitEthernet1/0/1 port link-type hybrid port hybrid vlan 20 tagged port hybrid vlan 1000 untagged broadcast-suppression pps 3000 undo jumboframe enable stp edged-port enable dot1x port-method portbased dot1x interface GigabitEthernet1/0/2 port link-type hybrid port hybrid vlan 20 tagged port hybrid vlan 1000 untagged broadcast-suppression pps 3000 undo jumboframe enable stp edged-port enable dot1x port-method portbased dot1x interface GigabitEthernet1/0/3 port link-type hybrid port hybrid vlan 20 tagged port hybrid vlan 1000 untagged broadcast-suppression pps 3000 undo jumboframe enable stp edged-port enable dot1x port-method portbased dot1x interface GigabitEthernet1/0/4 port link-type hybrid port hybrid vlan 20 tagged port hybrid vlan 1000 untagged broadcast-suppression pps 3000 undo jumboframe enable stp edged-port enable //adresse IP d adminitration //1ère adresse disponible IP et masque //configuration des ports avec le VLAN 6

8 dot1x port-method portbased dot1x interface GigabitEthernet1/0/5 port link-type hybrid port hybrid vlan 20 tagged port hybrid vlan 1000 untagged broadcast-suppression pps 3000 undo jumboframe enable stp edged-port enable dot1x port-method portbased dot1x Ip route static Sauvegarder la configuration par la commande save Serveur FRPMDC02 Sur ce serveur FRPMDC02, créer deux GGS (Group Global Security), un pour les utilisateurs et un pour les ordinateurs. Ces deux groupes serviront de conditions dans le NPS pour remplir les critères d identification avec le serveur d autorité de certificat. Il faudra rajouter les 5 utilisateurs du service RH dans le GSS utilisateurs, et affecter les 5 ordinateurs dans le GSS ordinateurs Serveur EXVMSEC Création du radius client Sur le serveur «EXVMSEC01», dans le Rôle NPS, créer un nouveau radius client (le switch). Pour cela, procéder comme les copies d écran ci-après : Clic droit puis New 7

9 Nom du switch Adresse ip du switch configuré Mot de passe identique à celui saisi sur le switch. (RADIUS2012). Il sert à l authentification. ATTENTION Sensible à la casse Laisser les paramètres par défaut sur l onglet Advanced Création des Network Policies Clic droit, puis New 8

10 Nommer la règle Définition des conditions 9

11 Pour les conditions, ajouter le Client Friendly Name et donner le même nom qui a été choisi pour le nom du «radius client» (SW1). Ajouter ensuite Windows Group et sélectionner les deux GSS créés sur le serveur «FRPMDC02». Emplacement des 2 groupes créés Autoriser l accès 10

12 Définition des contraintes 11

13 Choisir la méthode d authentification Microsoft Protected EAP (PEAP). Cliquer sur le bouton Edit Le nom de votre certificat doit apparaitre. Ajouter secure password (EAP- MSCHAP-V2). 12

14 Définition des paramètres settings 20 1 Natif 20 RH 172 GUEST 1000 ADMIN Ajouter Tunnel-Tag et rentrer la valeur du VLAN ID pour la RH indiquée sur le switch. (valeur 20 ). 3. Connexion du switch sur le réseau local Connecter le switch au réseau et le mettre sous tension. Avant de passer à l étape suivante, demander aux personnes du service RH d arrêter leur ordinateur. Connecter ensuite les prises correspondantes aux personnes de la RH sur les 5 ports du commutateur venant d être configurés. 4. Configuration des ordinateurs Se connecter en tant qu administrateur sur l ordinateur Aller ensuite dans le menu «Démarrer/Panneau de configuration/outils d administration /Services». Sélectionner l onglet «Standard», puis le service «configuration automatique de réseau câblé». Editer les propriétés : Dans type de démarrage, sélectionner automatique Puis cliquer sur le bouton démarrer 13

15 Aller ensuite dans les propriétés de la carte réseau de l ordinateur. Activer l authentification IEEE 802.1x 14

16 Cliquer sur «Paramètres» Sélectionner le certificat (le même que sur le serveur) et activer «la reconnexion rapide» EXVMSEC01-CA Redémarrez l ordinateur fin du document