Ervaringen met automatiseren van port-security

[Surfer]

Wij hebben hier bij het bedrijf waar ik werk ongeveer 400 werkplekken gekoppeld aan een 15-tal Cisco 2950's en 3560's. In het kader van een first-line-of-defense netwerkbeveliging gebruiken we port-security op al onze poorten, geconfigureerd met het sticky commando. Dat werkt op zich prima, maar we moeten dan wel bij elke verhuizing / vervanging van een desktop een handmatige actie doen om het poortje vrij te geven. Dat willen we graag wat meer geautomatiseerd zien.
Nu zijn daar natuurlijk een aantal mooie oplossingen voor te verzinnen. Zo komt Cisco zelf aan met een NAC oplossing. Nu is Cisco NAC best een mooi systeem, maar het is toch even te zwaar voor wat we willen. Cisco NAC kan ook controleren welke antivirusrevisie en Windows Update je hebt. En daar zijn we dan weer niet naar op zoek. Het liefst zou je gewoon een soort old-school VMPS server willen hebben, waarbij je op een vrij basic manier een lijst bijhoudt van alle MAC-adressen die je toe wil staan, met het VLAN waar ze in horen. Nu ben ik al een beetje aan het spelen met OpenVMPS/FreeNAC, maar daarvan heb ik het idee dat het niet echt een produktie-grade oplossing is.

Nu lijken mij dit een beetje twee uitersten: Cisco NAC aan de ene kant, die eigenlijk te bloated is om goed te gebruiken (om maar niet te spreken over de vendor lock-in waar je in terecht komt als je Cisco NAC gaat gebruiken), en OpenVMPS aan de andere kant, waarvan ik het gevoel heb dat dat niet echt een stevige oplossing is.

Zie ik nu een produktgroep over het hoofd, of zijn dit gewoon de enige opties?
Ik ben erg benieuwd naar ervaringen hoe anderen zoiets oplossen.

[CyBeR]

Kunnen je switches dit niet aan een RADIUS server vragen?

[TrailBlazer]

radius icm met een certificaat (kan vast wel) lijkt mij de beste methode. PCs die bekend zijn (dus een cert hebben) mogen het netwerk op en andere niet.

[alt-92]

Surfer schreef op maandag 11 februari 2008 @ 16:30:
Nu lijken mij dit een beetje twee uitersten: Cisco NAC aan de ene kant, die eigenlijk te bloated is om goed te gebruiken (om maar niet te spreken over de vendor lock-in waar je in terecht komt als je Cisco NAC gaat gebruiken), en OpenVMPS aan de andere kant, waarvan ik het gevoel heb dat dat niet echt een stevige oplossing is.

Microsoft's NAP oplossingen met 2008 Server en System Center zouden interoperabel moeten zijn met Cisco NAC , wellicht dat dat ook een optie is die je kan overwegen.
http://blogs.technet.com/nap/default.aspx

Uiteraard mag je dan de vendor lockin van de een verwisselen voor de ander

[Surfer]

CyBeR schreef op maandag 11 februari 2008 @ 16:31:
Kunnen je switches dit niet aan een RADIUS server vragen?

TrailBlazer schreef op maandag 11 februari 2008 @ 17:40:
radius icm met een certificaat (kan vast wel) lijkt mij de beste methode. PCs die bekend zijn (dus een cert hebben) mogen het netwerk op en andere niet.

Ik ga eens in de Radius mogelijkheid kijken. Maar dan ga je dus met 802.1x authenticatie werken? Dat is wel een andere manier als waar ik naar gekeken heb. zowel basic NAC als VMPS werkt meer met het systeem dat je een lookup doet in een lijst met mac-adressen gekoppeld aan vlans, en dan een snmp write op de switch doet...

[CyBeR]

Surfer schreef op maandag 11 februari 2008 @ 22:36:
[...]


[...]


Ik ga eens in de Radius mogelijkheid kijken. Maar dan ga je dus met 802.1x authenticatie werken? Dat is wel een andere manier als waar ik naar gekeken heb. zowel basic NAC als VMPS werkt meer met het systeem dat je een lookup doet in een lijst met mac-adressen gekoppeld aan vlans, en dan een snmp write op de switch doet...

Kan. Sommige switches kunnen ook het MAC-adres naar een RADIUS server sturen, die ze dan vervolgens info teruggeeft over of ze uberhaupt 't netwerk op mogen en zo ja in welk VLAN, etc.

[alt-92]

En dan clone ik een MAC adres - wat dan?

[TrailBlazer]

daarom zou je ook met een certificaat wat op een USB stick of iets dergelijks staat moeten authenticeren.

[ Voor 11% gewijzigd door TrailBlazer op 12-02-2008 11:22 ]

[Silver7]

TrailBlazer schreef op dinsdag 12 februari 2008 @ 11:18:
daarom zou je ook met een certificaat wat op een USB stick of iets dergelijks staat moeten authenticeren.

Smart-card

[CyBeR]

alt-92 schreef op dinsdag 12 februari 2008 @ 10:51:
En dan clone ik een MAC adres - wat dan?

Dat probleem heb je met port-security (zonder 802.1x) sowieso wel.

[TrailBlazer]

Silver7 schreef op dinsdag 12 februari 2008 @ 11:26:
[...]


Smart-card

Ja die bedoel ik wel zo makkelijk kan je gelijk ook je users authenticatie daarop doen plus toegang tot het gebouw en betalen in de kantine

[Surfer]

alt-92 schreef op dinsdag 12 februari 2008 @ 10:51:
En dan clone ik een MAC adres - wat dan?

Daarom noem ik het een "first line of defense" beveiliging. authenticatie of toegang op basis van MAC adres is natuurlijk helemaal niet veilig. Maar kwaad kan het zeker niet. Al is het alleen maar om ervoor te zorgen dat niet elke janboerenconsultant binnen kan lopen en het bedrijfsnetwerk in kan prikken. Voor dat soort mensen hebben we weer netjes een internet-only VLAN.

[alt-92]

Weet ik

Het is een open deur intrappen, maar iemand moet 'm intrappen zodat de beperkingen daarvan ook erkend worden (voor anderen)

[BrammeS]

Ik geloof dat je op een 4500 of 6500 series Cisco ook een VMPS server kan draaien.

[Surfer]

BrammeS schreef op dinsdag 12 februari 2008 @ 15:31:
Ik geloof dat je op een 4500 of 6500 series Cisco ook een VMPS server kan draaien.

Hmm, zou ik ook naar kunnen kijken. Er staat een 6500 als coreswitch, dus misschien kunnen we daar ook wel iets mee...

[Bl@ckbird]

Ik heb ff in de Feature Navigator zitten zoeken.
VMPS wordt alleen in CatOS ondersteund en dat is End of Sale.
Cisco heeft dit waarschijnlijk uit IOS gehaald omdat 802.1x een veiliger alternatief is.

[Surfer]

Bl@ckbird schreef op dinsdag 12 februari 2008 @ 23:04:
Ik heb ff in de Feature Navigator zitten zoeken.
VMPS wordt alleen in CatOS ondersteund en dat is End of Sale.
Cisco heeft dit waarschijnlijk uit IOS gehaald omdat 802.1x een veiliger alternatief is.

Ja precies, daar was ik al bang voor. Het alternatief dat Cisco nu biedt is een Cisco NAC omgeving, maar dat is VMPS+++ zeg maar.