Authenticatie netwerk devices

[GeleFles]

Ik ben benieuwd hoe jullie de user(/admin) authenticatie op (cisco) netwerkdevices in grotere omgevingen hebben geregeld.

Momenteel maken wij slechts gebruik van lokale authenticatie, dus username+pass op het device.
Met een flink aantal devices in beheer, en voor elke user een account, zorgt dat best voor wat werk als er een user weggaat of bijkomt. (+ er is bijna geen controle op aanmeldingen)

Met cisco devices kan tacacs+ gebruikt worden, of radius. Dat is iets wat ik ook graag wil gaan toepassen.
Op internet kan ik alleen weinig use-cases vinden; daarom ben ik benieuwd hoe jullie dit doen.
Zelf denk ik aan een eigen (sub)domein en een radius server erbij. Ik weet dan alleen niet of ik accounting kan toepassen, ben ook nog niet helemaal overtuigd van de toegevoegde waarde ervan.

[Barreljan]

Weinig use-cases voor Tacacs+ ? Dat is heel vreemd, het is wel een ding wat nagenoeg door een aantal grote vendoren word ondersteund en je het leven zooo veel makkelijker maakt.

Wij hebben een tacacs+ server cluster wat 'tac_plus' draait (zie ook http://www.pro-bono-publico.de/projects/). Deze linux machines staan in sync met elkaar en praten via de Mavis backend met het AD. Tevens hebben we een Radius implementatie op deze machines draaien die ook weer met het AD praat voor het geval een device geen tacacs ondersteund.

We hebben een install base van ca 800+ devices. Veel Cisco, Juniper maar ook wat restantjes Dell en HP. Ook A10 en F5 loadbalancers. Met name Cisco en Juniper praten via tacacs+. Ook is afgeschermd met rules in tacacs en radius dat bepaalde gebruikers groepen mogen authenticeren. Ook kan een bepaalde groep bijv. alleen 'kijken' (dus geen conf t of edit). Kortom; user niet in het AD? Dan kom je niet verder. Wel in het AD en in de geautoriseerde groep? Prima.

Voor Cisco en Juniper kan je AAA of de authenticatie zo instellen dat als beide tacacs+ servers niet bereikbaar zijn dat er een fallback account (local) word gebruikt. Deze kan je dus, uniek houden over al je switches (of eventueel per groep van devices of locatie een eigen local fallback account+password combinatie).

[GeleFles]

Thanks!

Ik denk inderdaad ook dat het nog veel gebruikt word, maar als ik bijvoorbeeld zoek op tacacs+ server, dan kom ik niet bijzonder veel tegen. Cisco deed dat eerder met hun eigen service, maar dat is nu end of life, en word opgevolgd door Cisco ISE, maar dat is meer voor end-user authenticatie.

Liefst wil ik een tacacs server op windows draaien, ons bedrijf doet niets met linux.

M'n idee als volgt: Windows AD - Radius server(?) - Tacacs server - netwerkdevices.

Nu nog even op zoek naar de juiste tacacs software.

[Bl@ckbird]

TACACS draaide vroeger op de ACS server. Maar die is End-of-Sale. De Windows versie van ACS had je ook, maar dat is echt prehistory..

ACS server is opgevolgd door ISE en TACACS is daar ook naar gemigreerd. Het vereist wel een extra node licentie. Zie: https://www.cisco.com/c/d...gine/guide_c07-656177.pdf

ISE is te krijgen als een fysieke appliance of als VM die je in VMware kan draaien.
SNS-3515-K9 voor de hardware, R-ISE-VMS-K9= voor de VM.
Per node heb je een node-licentie nodig om TACACS te draaien: L-ISE-TACACS-ND=

Daarnaast geef je met BASE licenties aan om hoeveel devices het gaat. Minimum is 100: L-ISE-BSE-PLIC met 100x L-ISE-BSE-P1

BASE licentie doet ook 802.1x / RADIUS voor clients. Wil je integreren met MDM, device profiling en andere advanced ISE functies gebruiken, dan heb je ISE Plus of APEX licenties nodig. (Tabel 4, pagina 4 en verder.)

VM of hardware appliance draait dezelfde (hardened) Linux software. Normaal gebruik je alleen de webinterface en heb je geen idee dat het Linux is.

Zie ook: https://www.cisco.com/c/e...24_new_chapter_01000.html

[Ascension]

Als poor-mans solution kan je ook prima Microsoft NPS of Freeradius oid gebruiken.

Genoeg informatie over te vinden op internet, bijvoorbeeld http://blog.skufel.net/20...with-microsoft-npsradius/

[ Voor 50% gewijzigd door Ascension op 22-08-2018 15:47 ]

[Bl@ckbird]

Voor een kleine omgeving is dat (of lokale user accounts) een prima oplossing. Bij een grote omgeving is de impact als het mis gaat ook groter. Dan is het fijn om een support contract op ISE te hebben, zodat je problemen / configuratie issues kan escaleren bij Cisco TAC. Daar hangen gewoon SLA's aan.

ISE voor endpoints kom ik regelmatig tegen. ISE met TACACS kom ik veel minder tegen. Vooral omdat het alleen in echt grotere bedrijven gebruikt wordt.

[Barreljan]

RonnieB82 schreef op woensdag 22 augustus 2018 @ 13:26:
Thanks!

Ik denk inderdaad ook dat het nog veel gebruikt word, maar als ik bijvoorbeeld zoek op tacacs+ server, dan kom ik niet bijzonder veel tegen. Cisco deed dat eerder met hun eigen service, maar dat is nu end of life, en word opgevolgd door Cisco ISE, maar dat is meer voor end-user authenticatie.

Liefst wil ik een tacacs server op windows draaien, ons bedrijf doet niets met linux.

Ah ja, dan beperkt het snel. Toch is een simpele linux server geen groot probleem lijkt mij. Anders inderdaad ISE. Maar licenties vind ik duur bij Cisco. Daarom hebben wij juist de opensource oplossing gekozen.

[edit]
wauw: http://itprice.com/cisco-gpl/ise
list price, dat wel hé maar toch

M'n idee als volgt: Windows AD - Radius server(?) - Tacacs server - netwerkdevices.

Nu nog even op zoek naar de juiste tacacs software.

Ik zou eerder zo denken:
Windows AD - Radius & tacacs server - netwerk devices

Of te wel, beide services (radius en tacacs) tegen je AD laten praten en je nw.devices of tegen tacacs en als ze het niet kunnen tegen radius.

Het zo in jouw voorstel van tacacs naar radius en dán pas het AD is onnodig in mijn optiek

[ Voor 3% gewijzigd door Barreljan op 23-08-2018 08:39 ]

[GeleFles]

Thanks voor alle tips!

Dan ga ik waarschijnlijk toch naar Cisco ISE kijken, en deze als Radius server gebruiken.
Eerst maar beginnen met authenticatie voor admins op de netwerkdevices, en dan wellicht later uitbreiden naar end-user authenticatie.

Wat ik me nog wel afvraag; kan je met radius nu wel of niet accounting doen? (dus zien welke users er welke commando's hebben uitgevoerd)
Ik was in de veronderstelling dat dat alleen met tacacs+ kon, maar op diverse plekken lees ik dat radius ook accounting kan.

[Equator]

Accounting is in mijn ogen meer een manier om bij te houden wie er van welke service hoelang gebruik heeft gemaakt. Zie ook: Wikipedia: Authentication, Authorization en Accounting

Als jij wilt dat je per admin, bij gaat houden wie er welk commando heeft uitgevoerd op een netwerk-device, dan is dat niet de juiste zoekterm.

edit: Blijkbaar is Accounting binnen TACACS+ weer iets anders verder uitgewerkt, en kan je daar inderdaad de gebruikte commando's bijhouden.

[ Voor 15% gewijzigd door Equator op 24-08-2018 10:53 ]

[Bl@ckbird]

Beheer via terminals / consoles is erg interactive en TACACS is daar beter in dan RADIUS. Dit is een aardige vergelijking: https://www.networkworld....radius-versus-tacacs.html

Kijk wel goed naar redundancy. Als TACACS uitvalt, kan je met lokale accounts nog wel het één en ander fixen. Gebruik je RADIUS voor endpoint clients te authenticeren en de RADIUS server valt uit, dan kan je iedereen naar huis sturen. ISE servers worden vaak redundant neergezet. Bij echt grote netwerken worden de rollen opgedeelt in verschillende servers. (RADIUS, guest portal, device profiling, etc.)

[Equator]

Mja, maar radius laat zich afaik prima loadbalancen en bij de meeste radius clients die ik heb gezien kan je een primaire en een secundaire radius opgeven.

[ChaserBoZ_]

Je radius redundant opzetten inderdaad. In huis tuin en keuken spul kun je vaak 1 radius server instellen. Op Cisco's etc kun je er veel meer opgeven.

[kingangle1111]

*knip* spam

[ Voor 97% gewijzigd door rens-br op 23-11-2024 20:02 ]