Authenticate op basis van Certificaten en niet User/WW

[Swennienl]

Morgen,

Ik ben bezig met een test. Een onderdeel hiervan is dat ik computers op het netwerk moet authenticeren. (Mag de pc wel op dat netwerk). Ivm andere onderdelen van mijn test gebruik ik een Radius server van windows server 2003.

Het probleem binnen 1 van de netwerken heb ik te maken met laptops die niet in het domain zitten. Als ik deze via een certificaat wil aanmelden geeft die de melding dat die het domain niet kan vinden.

Is er een mogelijkheid dat ik de Radius en DHCP van de server kan gebruiken, zonder dat ik de systemen in het domain zet? En dat ik domain credentials (user/ww) nodig is.

Dus dat ik puur op basis van het certificaat geauthenticeerd kan worden


Het magische antwoord verwacht ik niet, zijn veel factoren die goed moeten staan. Maar waar moet ik opletten en wat moet ik allemaal doen om het toch werkend te krijgen (als het al kan)

[ Voor 14% gewijzigd door Swennienl op 12-10-2010 10:38 ]

[lordgandalf]

Je zal altijd moeten authenticeren.
Of met een user/pw combo
Of met een radius ticket.
Dus alleen certificaat gaat je niet lukken.
En dan heb je nog de vraag wil je het wel zo doen.
Want iemand krijgt het certificaat in handen en heeft direct access.
Dat wil je niet lijkt mij

[lier]

De uitdaging (in ieder geval één van de uitdagingen) is het feit dat je een certificaat wil gebruiken om een computer (dus niet een gebruiker) te authenticeren. Daarvoor moet de computer in ieder geval toegang hebben tot het netwerk, anders kan het certificaat niet verstuurd worden.

Verder begrijp ik niet echt waarom je niet bijvoorbeeld op basis van MAC adres rechten toe kent (in ieder geval de eerste stap of je op het netwerk mag)?

Zelf ben ik niet bekend met Radius, misschien is het een goede eerste stap om naar best practices / scenario's specifiek voor jouw probleem kijkt.

[Equator]

Als jij op je switch 802.1X geconfigureerd hebt op alle poorten, dan zal elk apparaat welke op die switch zit zich moeten authentiseren. Jij hebt dat nu ingevuld met een Certificaat.

Je zal dus die niet domain-pc's een certificaat moeten geven om zich mee aan te melden. En op zich is dat ook geen probleem, je zal dat alleen even handmatig moeten doen (http://<ip adres certificate server>/certsvr <= in het geval van een MS CA)

@ndeleeuw: Dit is alleen nog maar computer authenticatie op het netwerk. (als ze geauthoriseerd zijn krijgen ze pas een layer 2 verbinding en kunnen ze een IP adres ophalen bij de DHCP server.) Daarna komt pas de gebruikers aanmelding, maar dat staat los van dit probleem

[ Voor 12% gewijzigd door Equator op 16-10-2010 14:10 ]