Netwerk beveiligen op layer 2

[Xelefim]

Hi,

Ik werk als IT’er en moest ooit in het begin van mijn werkcarriere als externe werken in een bedrijf waar security hoog in het vaandel werd gedragen.

Kortom: jezelf in het netwerk zetten door een kabel in de muur te steken gaf je geen internettoegang en zelfs geen IP. Wanneer er echter een certificaat op je PC werd gezet door de interne IT was voorgaande wel mogelijk.

5 jaar later ben ik opeens erg benieuwd naar deze manier van beveilging. Ik vind echter niets specifiek maar denk dat dit is te wijten doordat ik slecht google (OF omdat het niet over een certificaat maar een VLAN ging waarin ik werd gezet?!) maar ben vrij zeker dat het over een certificaat ging.

Is er iemand die weet heeft van deze manier van netwerkbeveiliging? Indien ik nadenk is het naar mijn weten toch niet mogelijk (zonder AD creds) iemand wel op layer 2 toegang te verlenen enkel en alleen door een certificaat? Of ben ik helemaal de weg kwijtgeraakt?

[dreester]

Dit doen ze d.m.v. RADIUS (802.1x). Voordat je switchpoort in het juiste VLAN wordt gezet, word je geauthenticeerd a.d.h.v. (vaak) username en password. Dit wordt gechecked door een RADIUS-server (AAA). Vervolgens kun je a.d.h.v. bijvoorbeeld je membership in AD in een bepaald VLAN worden geplaatst. Certificaten komen om de hoek kijken wanneer de authenticiteit van ofwel de client of de RADIUS server gechecked worden. Simpel gezegd.

Kernwoorden: 802.1x, RADIUS, AAA, NAC. Producten die hiervoor gebruikt worden: Cisco ISE (vroeger ook ACS), HP Clearpass, FortiNAC, Packetfence, FreeRADIUS, en zo zijn er nog meer.

[Xelefim]

dreester schreef op zondag 19 juli 2020 @ 22:04:
Dit doen ze d.m.v. RADIUS (802.1x). Voordat je switchpoort in het juiste VLAN wordt gezet, word je geauthenticeerd a.d.h.v. (vaak) username en password. Dit wordt gechecked door een RADIUS-server (AAA). Vervolgens kun je a.d.h.v. bijvoorbeeld je membership in AD in een bepaald VLAN worden geplaatst. Certificaten komen om de hoek kijken wanneer de authenticiteit van ofwel de client of de RADIUS server gechecked worden. Simpel gezegd.

Kernwoorden: 802.1x, RADIUS, AAA, NAC. Producten die hiervoor gebruikt worden: Cisco ISE (vroeger ook ACS), HP Clearpass, FortiNAC, Packetfence, FreeRADIUS, en zo zijn er nog meer.

Bedankt!! Met de kernwoorden ben ik al 100 kilometer verder gekomen!

[The Realone]

Overigens is 802.1x slechts 1 van de manieren. Andere veelgebruikte methoden zijn MAC en web based auth. MAC gebruik je dan weer vaker als je met apparaten werkt die geen 802.1x snappen en web based auth kan interessant zijn voor capture portals voor bijvoorbeeld gasten.

Onlangs van scratch een NAC systeem in mogen richten op basis van Extreme Control, erg interessant en met tijden ook verschrikkelijk frustrerend.