Network Access Protection

[Verwijderd]

Hallo,


een klant van mij heeft een tiental bediendes, en redelijk veel (20-40) freelance medewerkers. Tot nu werken de meeste freelancers met hun eigen laptop (Win & Mac).
Het beleid wordt binnenkort veranderd dat enkel interne pc's gebruikt mogen worden. Nu zou ik moeten klaarkrijgen dat diegene die toch nog hun eigen laptop meebrengen (of bvb iPhone via WiFi etc) niet meer op het intern netwerk kunnen, en evenmin op internet. Het beste zou zijn dat ze gewoon geen IP krijgen als ze een netwerkkabel inpluggen, of wireless verbinding maken.

Eerst dacht ik in de DHCP scope alle MAC adressen in te vullen (iedereen MAC reservation), maar dat zou veel werk zijn, niet alleen in het begin, maar ook om die steeds up-to-date te houden.
Wat verder gezocht, en via NAP in 2008 server zou dit moeten werken, maar er zijn enkele Mac's die geen lid kunnen zijn van het domein, en ook enkele XP Home laptops, die ik niet zomaar kan upgraden naar XP Pro.

Er is een 2003 AD domain (binnen 6-9maand 2008), en er is een licentie voor ISA server voorzien. ISA is voorzien om een deel vh internet af te sluiten voor iedereen (MSN, facebook.com, youtube etc)
We hebben 1 gigabit switch met 802.1x ondersteuning, die gelinkt is aan de servers, en de gigabit interface van enkele Linksys (zonder 802.1x) switches.

Iemand die me wat tips kan geven?


bedankt,

David

[Verwijderd]

Je zou kunnen kijken naar een software-oplossing. Ik weet dat Sophos bijvoorbeeld levert wat jij zoekt. Daar heet het alleen geen NAP, maar NAC. Er draait een stukje software op je DHCP-server en op je werkstations staat een client. Die 2 babbelen met elkaar en als het werkstation aan alle eisen voldoet, krijgt het een bruikbaar IP van de DHCP-server. Als het werkstation niet aan alle eisen voldoet, krijgt het een IP waarmee bijvoorbeeld alleen maar een remediation-server of internet bereikt kan worden.

Er zijn natuurlijk veel mooiere oplossingen (Juniper UAC bijvoorbeeld), maar die zullen waarschijnlijk totaal onbetaalbaar zijn voor zo'n kleine omgeving.

[Tomba]

Verwijderd schreef op donderdag 29 mei 2008 @ 11:45:
[..]
Er is een 2003 AD domain (binnen 6-9maand 2008), en er is een licentie voor ISA server voorzien. ISA is voorzien om een deel vh internet af te sluiten voor iedereen (MSN, facebook.com, youtube etc)
We hebben 1 gigabit switch met 802.1x ondersteuning, die gelinkt is aan de servers, en de gigabit interface van enkele Linksys (zonder 802.1x) switches.

Iemand die me wat tips kan geven?


bedankt,

David

Is dit dan niets voor je ? 802.1x Wired Network authenticatie (al zou ik er wel voor kiezen om met certificaten te werken)

[ Voor 4% gewijzigd door Tomba op 29-05-2008 17:26 . Reden: Toevoeging ]

[Bl@ckbird]

Je naar Cisco NAC kunnen kijken, maar dan moet je wel een Cisco switch hebben staan.
Cisco NAC ondersteund ook MacOS.

Je hebt hierbij een server ( NAC3310-100-K9 ) en een manager. ( NACMGR-3-K9 ) Het kleinst aan users wat minimaal ondersteund wordt is 100. (50 tot 100 users als network module in een ISR router.)

Voor het wireless netwerk kan je aan in-band deployment denken. Voor een Cisco switch aan out-of-band. Heb je geen Cisco switch, dan kan ik een scenario bedenken dat je de NAC server, in-band, tussen je gebruikers en de servers / internet lijn plaatst. (d.m.v. VLAN's)

Je moet alleen ff checken of dit ondersteund wordt. ( Je kan een NAC Server aan een VLAN trunk koppelen. ) Het nadeel van deze methode is dat al het netwerk verkeer door de NAC server gaat en dat dit dus een bottleneck kan worden wat betreft throughput.

Een goedkoper alternatief is 802.1x. Hiervoor heb je een RADIUS server nodig, bijvoorbeeld Microsoft IAS of Cisco ACS.

Nog even een kleine zoekactie.

[AndriesLouw]

Bij ons op college wordt een oplossing gebruikt die erg dom is, namelijk dat alle "vetrouwde"-clients een IP-adres vast ingesteld krijgen, en DHCP dus uitgezet wordt. Alleen duurt het natuurlijk nooit langer dan een half-uur voordat een slimme freelancer hierachter is, en ook zelf een IP-adres insteld.

Op college wordt binnen een aantal jaar overgestapt op NAC, dus dan is dit "lek" hopelijk ook opgelost.

[Asteroid9]

Een hele basic oplossing kan nog het gebruiken van een DHCP Class ID zijn.

Daarmee kun je alleen clients met het correcte Class ID een bruikbaar IP toekennen.
Dat is niet waterdicht, maar het houdt de mensen die snel een laptop inprikken in eerste instantie wel tegen.

[Verwijderd]

Wellicht zou je ook een VPN oplossing kunnen gebruiken.. Bijvoorbeeld een box die tussen je servers en clientbakken staat, welke fungeert als DHCP en VPN server waarop je dan ook een firewall draait. Die blokt alles, behalve de VPN poort op de interface die verbonden is met de clients. De DHCP range laat je in een ander subnet lopen, en de clients werken met een certificaat en always-on VPN tunnel (OpenVPN kan dit zo mooi, als service starten. Wellicht is er ook een Windows alternatief hiervoor). Op deze manier prikken ze op een gecontroleerde manier door de firewall..

[ Voor 24% gewijzigd door Verwijderd op 04-06-2008 18:49 ]

[Vicarious]

Dat laatste lijkt me, naast dat het weinig praktisch is, niet zo'n handige opties. De meeste betaalbare VPN-apparaten hebben niet een dusdanig hoge throughput dat ze 40 clients gewoon op hun normale netwerksnelheid kunnen laten werken.

802.1x lijkt me dan toch de mooiste oplossing in dat geval.