Wifi met wachtwoord per user

[cestlavie2010]

Zoek even iemand die me de juiste richting in kan duwen...

We hebben 4x een Cisco AP321 gekocht. Hiermee kunnen we een cluster bouwen van SSID (max . Wat wij willen:

1x SSID Bedrijf met toegang tot alle netwerken met validatie d.m.v. een gepersonalieerde account op bv AD (b.v. radius). Als die account gedisabled wordt moet ook de toegang tot wifi weg zijn.
1x SSID Guest met alleen toegang tot internet

De clients zijn Windows 7 en tablets en telefoons op alle netwerken met alle os's die je kan bedenken...

Server is Server 2008R2

Nu heb ik zitten lezen over radius, 802.1x peap ms-chap en WPS.

Kan iemand mij vertellen wat de gemakkelijkse weg is want door de bomen het boos niet meer.... Ik heb de AP in een cluster als Radius client geconfigureerd maar kom niet zo veel verder. Is Radius de enige manier ? Iemand die een guide weet ?

Bedankt

[CMD-Snake]

cestlavie2010 schreef op zondag 26 mei 2013 @ 18:19:
Is Radius de enige manier ? Iemand die een guide weet ?

Radius is de beste manier als je authenticatie via je AD wil laten lopen voor je eigen medewerkers. En handleidingen voor het opzetten van een RADIUS server kan je zo Googlen.

Hier een paar handleidingen met plaatjes voor het configureren van een RADIUS server.

https://www.mafiasecurity...step-radius-server-guide/
http://technet.microsoft.com/nl-nl/library/cc731853.aspx

[Verwijderd]

Je zal een radius server moeten opzetten. Radius inrichten is vrij simpel. Gezien je voor een redundante configuratie gaat zou ik ook twee radius servers maken.


Je installeert de "Network Policy and Access Server" role op je windows servers en loopt simpel weg de wizard door via de Network Policy Server (NPS) manager. Je configureert de AP als radius client, je doorloopt de Network Policy Wizard, je configureert het EAP protocol met een certificaat die je moet maken (Mag selfsigned zijn, is alleen voor encryptie noodzakelijk). Je kies voor NAS Port Type: 'Wireless - IEEE 802.11'. Verder heb je niet echt NAP nodig, dus je kan 'Allow full network access' invullen bij NAP enforcement.

Als je dus geautoriseerd ben door de AP via radius laat je hem doorhoppen naar een VLAN met toegang tot je bedrijfsnetwerk. Dit kan je gewoon doen via een trunkport.

Wat je voor gasten kan doen is een voucher systeem maken, met een php-ssh module kan je hem laten inloggen op jou AP's en een account laten aanmaken. Anders kan je ook binnen active directory een aparte container maken en binnen NPS een aparte policy maken met een condition naar deze container.

De users die je heb kan je dan laten verlopen via active directory met een cleanup scriptje:

Hieronder vind je een voorbeeld

To find inactive user accounts (number is inactivity in weeks):
dsquery user -inactive 2

There is also a combination to disable / delete the accounts:
combined with dsmod/dsrm

dsquery user -inactive 2 | dsmod user -disabled yes

En WPS zou ik vergeten... beetje lek Zie bijvoorbeeld: CVE-2011-5053.

Succes en ik zie je reactie wel als het niet lukt

[ Voor 3% gewijzigd door Verwijderd op 24-06-2013 14:37 ]