802.1x (implementatie) documentatie/boeken gezocht

[punisher007]

Ik ben een 802.1x implementatie voor het bekabelde netwerk aan het onderzoeken en vroeg me af of er mensen zijn met ervaring met boeken/documentatie over 802.1x.

Het zijn namelijk niet boeken die je zomaar in een winkel tegenkomt, waardoor je deze eigenlijk blindelings dient aan te schaffen via internet. Ook zijn er volgens mij veel boeken die veelal gericht zijn op de implementatie van een wireless 802.1x oplossing in plaats van een bekabelde 802.1x oplossing.

Ik moet zeggen dat ik onder andere via got, google en de microsoft en cisco site toch al redelijk wat informatie heb kunnen vinden, maar mijn voorkeur gaat toch uit naar een papieren naslagwerk.
Dit leek mij persoonlijk wel een goed boek: http://www.amazon.com/802...Edwin-Brown/dp/1420044648

Informatie op internet die ik zelf al heb gevonden
(wellicht handig voor anderen):

Title : General search within cisco for 802.1x.
Author : Cisco Systems, Inc.
Address : http://www.cisco.com/pcgi...ntry=US&accessLevel=Guest
Date last mutation : Unknown
Last visited at : Feb 13 2007


Title : 802.1x Overview.
Author : Sudhir Nath.
Address : http://www.cisco.com/appl...cont_0900aecd80313f72.ppt
Date last mutation : Unknown
Last visited at : Feb 13, 2007


Title : Configuring 802.1x Port-Based Authentication.
Author : Cisco Systems, Inc.
Address : http://www.cisco.com/univ...13ea1/3550scg/sw8021x.htm
Date last mutation : Mar 21, 2005
Last visited at : Feb 13, 2007

Title : IEEE 802.1X: Practical Port Control for Switches.
Author : Stephen McQuerry.
Address : http://www.ciscopress.com.../article.asp?p=29600&rl=1
Date last mutation : Oct 4, 2002
Last visited at : Feb 13, 2007


Title : Cisco NAC Appliance (Clean Access).
Author : Cisco Systems, Inc.
Address : http://www.cisco.com/appl...cont_0900aecd802da1b5.pdf
Date last mutation : Unknown
Last visited at : Feb 13, 2007


Title : Active Directory Schema Extensions for Windows Vista
Wireless and Wired Group Policy Enhancements.
Author : Microsoft
Address : http://www.microsoft.com/...rk/wifi/vista_ad_ext.mspx
Date last mutation : May 31, 2006
Last visited at : Feb 13, 2007


Title : 802.1x-2001 Port-Based Access Control
Author : IEEE
Address : http://standards.ieee.org.../download/802.1X-2001.pdf
Date last mutation : Nov 8, 2004
Last visited at : Feb 13, 2007


Title : Mitigating the Threats of Rogue Machines—802.1X or IPsec?
Author : Steve Riley
Address : http://www.microsoft.com/...lumns/secmgmt/sm0805.mspx
Date last mutation : August 9, 2005
Last visited at : Feb 13, 2007

Title : Microsoft Network Access Protection (NAP) homepage
Author : Microsoft
Address : http://www.microsoft.com/technet/network/nap/default.mspx
Date last mutation : Unknown
Last visited at : Feb 13, 2007


Title : Deployment of IEEE 802.1X for Wired Networks Using
Microsoft Windows
Author : Microsoft
Address : http://www.microsoft.com/...c397ffd3dd&displaylang=en
Date last mutation : Mar 16, 2006
Last visited at : Feb 13, 2007


Title : Server and Domain Isolation Homepage
Author : Microsoft
Address : http://www.microsoft.com/technet/network/sdiso/default.mspx
Date last mutation : Unknown
Last visited at : Feb 13, 2007


Title : IEEE 802.1X for Wired Networks and Internet Protocol
Security with Microsoft Windows
Author : Microsoft
Address : http://www.microsoft.com/...a60c9a855d&displaylang=en
Date last mutation : Unknown
Last visited at : Feb 13, 2007


Title : Using 802.1x authentication on client computers that are
running Windows 2000
Author : Microsoft
Address : Using 802.1x authentication on client computers that are running Windows 2000
Date last mutation : Jan 31, 2007
Last visited at : Feb 13, 2007

Title : IEEE 802.1x wikipedia page
Author : Various authors
Address : http://en.wikipedia.org/wiki/802.1x
Date last mutation : Feb 10, 2007
Last visited at : Feb 13, 2007


Title : Wired 802.1x Security
Author : Mohammed Younus
Address : http://www.sans.org/readi...papers/firewalls/1654.php
Date last mutation : Unknown
Last visited at : Feb 13, 2007
Title : Vendors hit the 802.1X mark for access, but security holes
remain.
Author : Rodney Thayer
Address : http://www.findarticles.c...s_200405/ai_n9431886/pg_1
Date last mutation : May 10, 2004
Last visited at : Feb 13, 2007
Note : First page doesn’t seem to functioning properly. Open the print
version instead.


Title : 802.1x Authentication for wired networks.
Author : Unknown
Address : http://www.cwhonors.org/laureates/Education/20055369.pdf
Date last mutation : Unknown
Last visited at : Feb 13, 2007


Title : HP ProCurve Networking Security Solutions :
802.1X and Guest VLANs
Author : Hewlett-Packard
Address : http://www.hp.com/rnd/pdfs/guest_vlan_paper.pdf
Date last mutation : Unknown
Last visited at : Feb 13, 2007


Title : 802.1X bij SURFnet: Beveiliging op Wireless en Wired LAN
Author : Paul Dekkers
Address : http://www.surfnet.nl/innovatie/wlan/eindverslag-paul.pdf
Date last mutation : May, 2003
Last visited at : Feb 13, 2007


Title : 802.1X bij SURFnet Beveiliging op Wireless en Wired LAN:
Installatiebeschrijving (bijlage)
Author : Paul Dekkers
Address : http://www.surfnet.nl/inn...stallatiebeschrijving.pdf
Date last mutation : May 2003
Last visited at : Feb 13, 2007


Title : Authentication and Authorisation for (W)LAN using 802.1X
Author : Surfnet
Address : http://aaa.surfnet.nl/info/eduroam/wlan.jsp
Date last mutation : Sep 27, 2004
Last visited at : Feb 13, 2007

Title : Pilot802.1x: Testbed Authenticatie en Autorisatie
Author : Universiteit Twente
Address : http://www.utwente.nl/itb...werk/WLAN/pilot8021x.doc/
Date last mutation : Mar 18, 2004
Last visited at : Feb 13, 2007


Title : Network Access Control
Author : Tim Greene
Address : http://www.networkworld.c...1507-seven-techs-nac.html
Date last mutation : Jan 13, 2007
Last visited at : Feb 13, 2007
Note : Didn’t seem to work @ Sabic, also check related articles.


Title : iLabs engineers cook up 802.1X, iSCSI, MPLS tests
Author : Joel Snyder
Address : http://findarticles.com/p...649/is_200304/ai_n9217095
Date last mutation : Apr 28, 2003
Last visited at : Feb 13, 2007


Title : An introduction to Network Access Security
Author : Carsten Bormann
Address : http://www.terena.org/act...arch05/slides/day3/cb.pdf
Date last mutation : Mar 4, 2005
Last visited at : Feb 14, 2007


Title : Network Access Control: A Multi-Symptom Remedy
Author : Stratecast
Address : http://www.lockdownnetwor..._Multi_Symptom_Remedy.pdf
Date last mutation : Apr, 2006
Last visited at : Feb 14, 2007


Title : Trusted Network Connect
Author : Trusted Computing Group
Address : https://www.trustedcomputinggroup.org/groups/network/
Date last mutation : Unknown
Last visited at : Feb 14, 2007

Title : Network Architecture for Automatic Security and Policy
Enforcement
Author : Eric Gauthier & Kevin Amorin
Address : http://security.internet2...h-Philadelphia-Sept05.ppt
Date last mutation : Unknown
Last visited at : Feb 14, 2007


Title : SALSA Net-Auth
Author : Various Authors
Address : http://security.internet2.edu/netauth/
Date last mutation : Unknown
Last visited at : Feb 14, 2007


Title : McAfee Policy Enforcer Network Access Control
Author : McAfee
Address : http://www.mcafee.com/us/...trol/policy_enforcer.html
Date last mutation : Unknown
Last visited at : Feb 14, 2007
Note : Licentietechnisch mogelijk interessant total protection enterprise advanced: http://www.mcafee.com/us/..._enterprise_advanced.html
McAfee Weaves Cisco NAC Into Total Protection http://www.crn.com/showAr...N2JVN?articleID=196601382


Title : Getting started with Network Access Control
Author : Hewlett-Packard
Address : http://h41111.www4.hp.com...etwrk_access_ctrl_EEE.pdf
Date last mutation : June, 2006
Last visited at : Feb 14, 2007


Title : IdentiPHI EPM Network Access Control
Author : IdentiPHI
Address : http://www.identiphi.net/t-network_access_control.aspx
Date last mutation : Unknown
Last visited at : Feb 14, 2007

Title : Network Admission Control (NAC) Framework
Author : Cisco
Address : http://www.cisco.com/en/U...ns_sub_solution_home.html
Date last mutation : Unknown
Last visited at : Feb 14, 2007

Title : NAC Vendors Square Off
Author : Joel Conover
Address : http://www.cisco.com/appl...cont_0900aecd80503ef7.pdf
Date last mutation : July 6, 2006
Last visited at : Feb 14, 2007


Title : NAC Vendors Vie Over Architecture, Product Direction
Author : Richard Karpinski
Address : http://www.networkcomputi...jhtml?articleID=197000856
Date last mutation : Jan 26, 2007
Last visited at : Feb 14, 2007

Title : Network Computing NAC Battleground Homepage
Author : Various authors
Address : http://nacbattleground.nwc.com/
Date last mutation : Unknown
Last visited at : Feb 14, 2007

Title : Symantec Network Access Control
Author : Symantec
Address : http://www.symantec.com/e...jsp?pcid=1322&pvid=1304_1
Date last mutation : Unknown
Last visited at : Feb 14, 2007


Title : Achieving NAC Now and in the Future: The Role of SSL VPNs
Author : Mark Bouchard
Address : http://whitepaper.network...eving_NAC_White_Paper.pdf
Date last mutation : May, 2006
Last visited at : Feb 14, 2007
Note : Requires knowledgestorm account (free registration)

Title : Getting the Knack of NAC:
Understanding the Network Access Control
Author : Mirage Networks
Address : http://whitepaper.network...2-17-2006-02-34-15-PM.pdf
Date last mutation : Feb 02, 2006
Last visited at : Feb 14, 2007
Note : Requires knowledgestorm account (free registration)


Title : Are You Really Part Of My Network?
Adonis DHCP and MAC-based Security
Author : BlueCat Networks
Address : http://whitepaper.network...my_Network_-_unlocked.pdf
Date last mutation : 2006
Last visited at : Feb 15 2007


Title : Cisco Vs. Juniper Over Network Access Control
Author : Larry Greenemeier
Address : http://www.informationwee...N2JVN?articleID=194400932
Date last mutation : Nov 20, 2006
Last visited at : Feb 15 2007


Title : Microsoft Touts Growing NAC Interoperability
Author : Richard Karpinski
Address : http://www.networkcomputi...jhtml?articleID=197004957
Date last mutation : Feb 9, 2007
Last visited at : Feb 15 2007


Title : Juniper Brings Funk To Access Control
Author : Larry Greenemeier
Address : http://www.networkcomputi...jhtml?articleID=197004957
Date last mutation : Nov 13, 2006
Last visited at : Feb 15, 2007


Title : RSA: NAC Experts Recommend Due Diligence
Author : Kevin McLaughlin
Address : http://www.crn.com/showAr...N2JVN?articleID=197005019
Date last mutation : Feb 09, 2007
Last visited at : Feb 15, 2007


Title : IBM Makes Headway In Defining
Network Access Control Market
Author : Larry Greenemeier
Address : http://www.informationwee...N2JVN?articleID=197005454
Date last mutation : Feb 12, 2007
Last visited at : Feb 15, 2007

[ Voor 80% gewijzigd door punisher007 op 15-02-2007 08:46 ]

[Bl@ckbird]

Om 802.1x op te zetten heb je een manageable switch nodig en een RADIUS server.
(In het geval van Cisco: Catalyst switches en Cisco ACS.)

802.1x Is alleen een authenticatie methode om gebruikers wel/niet op het netwerk toe te staan.

Waar je ook naar kan kijken is Cisco NAC. Zie:
http://www.cisco.com/en/U...heet0900aecd802da1b5.html

Bij NAC heb je niet alleen controlle over de gebruikers; je kunt ze ook policies opleggen.
Bijvoorbeeld of ze de nieuwste Windows patches hebben, of dat hun Anti-Virus up to date is.
Voldoen gebruikers niet aan de policy, dan komen ze het netwerk niet op. (Of je gooit ze in een quarantine VLAN.) Dit kan voor zowel wireless als switched netwerken.

Nadeel is dat NAC, Cisco only is.

[punisher007]

Dankjewel, zeker interessant om eens in te verdiepen.

[grimson]

Microsoft NAP
http://www.microsoft.com/technet/network/nap/default.mspx

Microsoft only?

[TrailBlazer]

microsoft werkt samen met cisco om aan en NAC/NAP oplossing. Overigens ben ik ook al tijden op zoek naar een betaalbare switch met 802.1x

[stormfly]

Het was me afstudeeropdract ;-) juniper en cisco hebben beide een RADIUS server. Je kan gewoon een simpele catalyst switch pakken van cisco. Ik heb me opdracht gedaan op een 3750G met dynamische VLAN toewijzing.

Je hebt het binnen 2 dagen draaiend...

Mail me anders maar even wopper ATTT hccnet punt nl heb nog wel een cisco 3750 configje voor je en wat sniffer screenshots.

[Bl@ckbird]

grimson schreef op dinsdag 06 februari 2007 @ 21:29:
Microsoft NAP
http://www.microsoft.com/technet/network/nap/default.mspx

Microsoft only?

Cisco + Vriendjes

[punisher007]

Ik heb het boek maar besteld .... hoop dat het toch wel nuttig is

Verder zal ik in de loop van de tijd nog wat linkjes erbij zetten, waarvan ik dacht dat ze wel nuttig waren.

[Verwijderd]

Bl@ckbird schreef op woensdag 07 februari 2007 @ 12:45:
[...]


Cisco + Vriendjes

Cisco en MS zijn geen vriendjes (meer)

[jochemd]

TrailBlazer schreef op dinsdag 06 februari 2007 @ 21:31:
microsoft werkt samen met cisco om aan en NAC/NAP oplossing. Overigens ben ik ook al tijden op zoek naar een betaalbare switch met 802.1x

Dat mag echt geen probleem meer zijn. Half Taiwan heeft het al geimplementeerd en het zit zelfs in budget producten als die van Zyxel en Linksys.

[Wilf]

Thnx, fijn topic. Zelf ben ik met wireless 802.1x bezig, met NAC/NAP implementatie.

Bl@ckbird:

Een vraag waar ik mee zit: hoe makkelijk is het om een falsificatie van een certificatie te maken waardoor je alsnog op het netwerk kan? Hebben Cisco en Microsoft met alle anti-virussoftwaremakers een overeenkomst waarmee de authenticiteit van de verificatie werkelijk te verifieren is?

Stel: gebruiker X heeft anti-viruspakket N op zijn computer en dit pakket is gloednieuw. Kan gebruiker X dan het netwerk niet op voordat er een nieuwe NAC/NAP implementatie op de server staat omdat pakket N nog niet bestond bij de draaiende versie van NAC/NAP? Of hebben al die anti-viruspakketten een protocol waar ze aan houden waarbij de up to dateness wordt gechecked?

Vraag 2:

Gebruiker X heeft een geldig pakket draaien. Gebruiker Y niet. Gebruiker Y is handig met computers en weet een ad hoc verbinding op te zetten met de computer van gebruiker X (hij had een onbeveiligd netwerk in zijn profiles staan). Vervolgens doet gebruiker Y alsof hij de authenticatie-server is. Heeft gebruiker Y daar wat aan om zelf in te loggen of heeft dat weinig zin?

[alt-92]

Wilf schreef op zondag 15 april 2007 @ 14:09:
Stel: gebruiker X heeft anti-viruspakket N op zijn computer en dit pakket is gloednieuw. Kan gebruiker X dan het netwerk niet op voordat er een nieuwe NAC/NAP implementatie op de server staat omdat pakket N nog niet bestond bij de draaiende versie van NAC/NAP? Of hebben al die anti-viruspakketten een protocol waar ze aan houden waarbij de up to dateness wordt gechecked?

Op het moment dat je met NAP/NAC bezig bent in een corporate omgeving heb je ook een beheermethode en de middelen waarbij je updates en versies gecontroleerd uit laat rollen.
AV pakket N versie <nieuw> staat niet op die pc omdat er
1) geen RFC voor is
2) geen package van is gemaakt door packaging zodat het ook niet geinstalleerd kan worden
3) user heeft geen installatierechten.
Eigenlijk is het dan een non-compliant doos met illegale software (niet licentietechnisch gezien dan).

Is dus niet echt een issue (ja, er is een definitieupdate methode, ook voor builds van AV).

Vraag 2:
Vervolgens doet gebruiker Y alsof hij de authenticatie-server is. Heeft gebruiker Y daar wat aan om zelf in te loggen of heeft dat weinig zin?

Wat verwacht je te zien dan?

[Bl@ckbird]

Meestal is de procedure:
- Software pakketten / patches wordt uitgerold over de clients
- Er is een periode waarbij een user een popup-melding krijgt dat z'n PC niet compliant is.
(Laptop gebruikers die een update gemist hebben, kun je verwijzen naar systeembeheer.)
- Na deze periode wordt de niet compliant PC geweerd van het netwerk.

Dit kan je naar eigen inzicht aanpassen. Je kunt bijvoorbeeld ook checken op de aanwezigheid van register-keys.

Je hebt "inband" en "out-of-band" deployment. Bij out-of-band deployment worden clients alleen tijdens authenticatie / netwerk log-on gecheckt op de juiste policies.

Bij inband deployment gaat al het netwerkverkeer door de NAC Appliance. Je hebt dan ook meer invloed op dit verkeer. ( Zoals /30 netwerken en het filteren van netwerkverkeer.)

Cisco heeft afspraken gemaakt met een groot aantal AV fabrikanten.
AV software wat ondersteund wordt staat in de release notes.

Je kan checken op:
- Is bepaalde AV software geïnstalleerd?
- Welke virus definition is aanwezig? (Virus definition x.x.x en hoger)
- Live update functionaliteit. (De user kan zelf de AV software updaten door op een "Update" knop te klikken.)

Bij AV software die Live update functionaliteit ondersteund is er software van Cisco geïntegreerd in de AV software. (Cisco Trust Agent)

Meer info m.b.t. configuratie kun je in de handleiding vinden.

[Wilf]

Bedankt voor de uitleg, maakt het een stuk inzichtelijker!

[punisher007]

oopsie in 1 post is overzichtelijker

[ Voor 93% gewijzigd door punisher007 op 23-04-2007 15:59 ]

[punisher007]

Even disclaimer .... ik ben alles nog aan het onderzoeken, maar de antwoorden op je vragen hieronder zijn mijn interpretatie van wat er tot nu toe mogelijk is. Ik garandeer dus niet dat dit 100% correct is, maar wellicht heb je er iets aan

Wilf schreef op zondag 15 april 2007 @ 14:09:
Thnx, fijn topic. Zelf ben ik met wireless 802.1x bezig, met NAC/NAP implementatie.

Bl@ckbird:

Een vraag waar ik mee zit: hoe makkelijk is het om een falsificatie van een certificatie te maken waardoor je alsnog op het netwerk kan? Hebben Cisco en Microsoft met alle anti-virussoftwaremakers een overeenkomst waarmee de authenticiteit van de verificatie werkelijk te verifieren is?

Stel: gebruiker X heeft anti-viruspakket N op zijn computer en dit pakket is gloednieuw. Kan gebruiker X dan het netwerk niet op voordat er een nieuwe NAC/NAP implementatie op de server staat omdat pakket N nog niet bestond bij de draaiende versie van NAC/NAP? Of hebben al die anti-viruspakketten een protocol waar ze aan houden waarbij de up to dateness wordt gechecked?

1. Pas geleden is er trouwens ook getoond dat oplossingen gebaseerd op een client op de agent niet te vertrouwen zijn. In dit geval werd "health" compliance gespoofed en werd er toegang verkregen. Het betrof hier toevallig de Cisco NAC variant, maar in principe zou dit dus voor andere oplossingen net zo goed mogelijk zijn.

In mijn ogen zou men bij een NAC implementatie dus ook niet alleen op client-based oplossingen moeten vertrouwen, maar ook gebruik maken van bijv 802.1X port-based authentication. Veel NAC solutions ondersteunen dit trouwens ook.

Bron: http://www.techworld.com/security/news/index.cfm?newsid=8486

2. Een andere mogelijkheid is dat een niet compliant device in een remediation VLAN wordt gegooid en daar complient wordt gemaakt. Dit kan ook betekenen dat er automatisch een anti-virus prog wordt gedownload.

Wilf schreef op zondag 15 april 2007 @ 14:09:
Vraag 2:

Gebruiker X heeft een geldig pakket draaien. Gebruiker Y niet. Gebruiker Y is handig met computers en weet een ad hoc verbinding op te zetten met de computer van gebruiker X (hij had een onbeveiligd netwerk in zijn profiles staan). Vervolgens doet gebruiker Y alsof hij de authenticatie-server is. Heeft gebruiker Y daar wat aan om zelf in te loggen of heeft dat weinig zin?

Dit ligt beetje aan de access control methode.

Als bijvoorbeeld 802.1X Port-based authentication wordt gebruikt, kan een "unauthenticated" client (Supplicant) alleen via EAPOL communiceren met de wireless access point/switch (Authenticator) welke werkt als een soort van authenticatie proxy naar de authentication server (ingesteld op de Authenticator). Pas als de authenticatie succesvol is gebleken, wordt de connectie van een client in "authenticated" state gezet en is ander verkeer (niet alleen EAPOL) mogelijk.

De client kan in dit geval dus niet de parameters van de authentication server beinvloeden.

[ Voor 28% gewijzigd door punisher007 op 09-05-2007 11:18 ]