Configuración de perfiles de dispositivos para proporcionar segmentación dinámica con conmutadores de la serie EX y Aruba ClearPass Policy Manager

Configuración rápida de CLI

Para configurar rápidamente este ejemplo, copie los siguientes comandos, péguelos en un archivo de texto, elimine los saltos de línea, cambie los detalles necesarios para que coincidan con su configuración de red, copie y pegue los comandos en la CLI en el nivel de jerarquía y, a continuación, escriba confirmar desde el [edit] modo de configuración.

Procedimiento paso a paso

Los pasos generales para configurar el conmutador EX son:

• Configure la conexión con Aruba ClearPass Policy Manager.

• Cree el perfil de acceso utilizado por el protocolo 802.1X. El perfil de acceso indica al protocolo 802.1X qué servidor de autenticación y métodos de autenticación se deben utilizar, así como el orden de los métodos de autenticación.

• Configure el protocolo 802.1X.

• Configure las VLAN.

• Configure la conmutación Ethernet en los puertos de acceso.

• Configure interfaces de enrutamiento y puente integrados (IRB) y asígnelas a las VLAN.

• Configure la retransmisión DHCP para enviar paquetes DHCP a Aruba ClearPass para que pueda realizar la creación de perfiles de dispositivos.

• Cree la política de firewall que bloquea el acceso a la red interna.

Para configurar el conmutador EX:

1. Proporcione la información de conexión del servidor RADIUS.

2. Configure el perfil de acceso.

3. Configure 802.1X para usar ACCESS_PROF_RADIUS y habilitar el protocolo en cada interfaz de acceso. Además, configure las interfaces para que admitan la autenticación MAC RADIUS y permitan más de un suplicante, cada uno de los cuales debe autenticarse individualmente.

   De forma predeterminada, el conmutador primero intentará la autenticación 802.1X. Si no recibe ningún paquete EAP del punto de conexión, lo que indica que el punto de conexión no tiene un suplicante 802.1X, intenta la autenticación MAC RADIUS.

4. Configure las VLAN utilizadas en este ejemplo.

   Tenga en cuenta que para que la asignación de VLAN dinámica funcione, la VLAN debe existir en el conmutador antes de intentar la autenticación. Si la VLAN no existe, se produce un error en la autenticación.

5. Configure la retransmisión DHCP para reenviar paquetes de solicitud DHCP a Aruba ClearPass.

6. Configure un filtro de firewall, Internet_Only_Access, que se utilizará en dispositivos que se han autenticado mediante autenticación MAC RADIUS pero que aún no se han perfilado.

   Este filtro impide que un punto de conexión acceda a la red interna (192.168.0.0/16).

Resultados

Desde el modo de configuración, confirme su configuración introduciendo los siguientes show comandos.

Si ha terminado de configurar el dispositivo, ingrese commit desde el modo de configuración.

Procedimiento paso a paso

Los pasos generales para configurar Aruba ClearPass son:

• Compruebe que el atributo Juniper-AV-Pair existe en el diccionario RADIUS.

• Agregue el conmutador EX como dispositivo de red.

• Asegúrese de que se ha instalado el certificado de servidor utilizado para la autenticación PEAP 802.1X.

• Agregue el usuario local usado en este ejemplo para la autenticación 802.1X.

• Cree los siguientes perfiles de cumplimiento:

  • VLAN 150 ENF PROF que coloca los puntos de conexión en VLAN 150.

  • JUNIPER VOIP VLAN 120 ENF PROF que define VLAN 120 como la VLAN VoIP.

  • VLAN 130 ENF PROF que coloca los puntos de conexión en VLAN 130.

  • Internet_Only_Access_Fliter_ID_ENF_Prof que especifica que el filtro de firewall se Internet_Only_Access usar para dispositivos que aún no se han perfilado.

• Cree dos políticas de cumplimiento:

  • Una política que se invoca cuando se utiliza la autenticación MAC RADIUS.

  • Una directiva que se invoca cuando se usa la autenticación 802.1X.

• Defina el servicio de autenticación MAC RADIUS y el servicio de autenticación 802.1X.

• Asegúrese de que el servicio de autenticación MAC RADIUS se evalúa antes que el servicio de autenticación 802.1X.

Para configurar Aruba ClearPass:

1. Compruebe que el atributo Juniper-AV-Pair existe en el diccionario RADIUS.

   Vaya a Administración > diccionarios > RADIUS y abra el diccionario Juniper.

   
   Nota:

   Si el diccionario de Juniper aparece en rojo, abra la página del diccionario de Juniper para habilitar el diccionario y haga clic en el botón Habilitar.

   

   Si el atributo Juniper-AV-Pair no está presente, siga estos pasos para agregarlo:

   1. Haga clic en el botón Exportar.

      

   2. Guarde el archivo RadiusDictionary.xml en su computadora y luego ábralo con un editor de texto.

   3. En la sección RadiusAttributes , agregue la línea siguiente:

      <Attribute profile="in out" type="String" name="Juniper-AV-Pair" id="52"/>

   4. Guarde el archivo XML.

   5. Regrese a su sesión de ClearPass y haga clic en el botón Importar en la esquina superior derecha de la página RadiusDictionary .

      

   6. Haga clic en el botón Examinar y busque el archivo RadiusDictionary.xml que acaba de guardar

   7. Haga clic en Importar.

   8. Ahora abra el diccionario RADIUS de Juniper y verifique si el atributo Juniper-AV-Pair está presente

      

2. Agregue el conmutador EX como dispositivo de red.

   Procedimiento paso a paso

   1. En Configuración > dispositivos > red, haga clic en Agregar.

      

   2. En la ficha Dispositivo, escriba el nombre de host y la dirección IP del conmutador y el secreto compartido RADIUS que configuró en el conmutador. Establezca el campo Nombre del proveedor en Juniper.

      

   3. Asegúrese de que existe un certificado de servidor de confianza para la autenticación PEAP 802.1X.

      • En Administración > certificados > Almacén de certificados, compruebe que cada servidor de Aruba ClearPass tenga instalado un certificado de servidor RADIUS/EAP válido. Si no es así, agregue un certificado de servidor válido. La documentación de Aruba ClearPass y su autoridad de certificación pueden proporcionar más detalles sobre cómo obtener certificados e importarlos a ClearPass.

        

   4. Agregue un usuario de prueba al repositorio de usuarios local. Este usuario se utilizará para verificar la autenticación 802.1X.

      • En Configuración > identidad > usuarios locales, haga clic en Agregar.

      • En la ventana Agregar usuario local, escriba el ID de usuario (usertest1), el nombre de usuario (Usuario de prueba) y la contraseña. A continuación, seleccione Empleado como rol de usuario. En Atributos, seleccione el atributo Departamento y escriba Finanzas en valor.

        
      Nota:

      En este ejemplo de configuración, se utiliza el repositorio de usuarios locales de ClearPass como origen de autenticación. Sin embargo, en una implementación empresarial típica, se usa Microsoft Active Directory como origen de autenticación. Para obtener más detalles sobre cómo configurar Active Directory como origen de autenticación, busque en la documentación de ClearPass ubicada en Administración » Soporte » Documentación.

3. Configure un perfil de cumplimiento para los equipos portátiles o de escritorio de los empleados que se autentiquen con 802.1X.

   • Este perfil coloca los puntos de conexión en VLAN 150.

   Procedimiento paso a paso

   En Configuración > cumplimiento > perfiles, haga clic en Agregar.

   1. En la pestaña Perfil, establezca Plantilla en Cumplimiento de VLAN y escriba el nombre del perfil, VLAN 150 ENF PROF, en el campo Nombre.

      

   2. En la pestaña Atributos, configure los atributos como se muestran.

      

4. Configure un perfil de cumplimiento de punto de acceso, que coloca los puntos de acceso en la VLAN 130.

   • Utilice el mismo procedimiento básico para crear este perfil que utilizó en el paso anterior. Después de completar el perfil, la información de la pestaña Resumen aparecerá como se muestra.

     

5. Configure un perfil de cumplimiento de teléfono IP.

   • Este perfil indica a Aruba ClearPass que devuelva la VLAN 120 como la VLAN que debe utilizarse como VLAN VoIP. El diccionario RADIUS de Juniper Networks define un atributo RADIUS especial que se utilizará con este fin. Seleccione RADIUS-Juniper para el tipo de atributo y Juniper-VoIP-VLAN como nombre del atributo.

   • Después de completar el perfil, la información de la pestaña Resumen aparecerá como se muestra.

     

6. Configure un perfil de aplicación de solo acceso a Internet.

   • Este perfil de cumplimiento indica a Aruba ClearPass que devuelva el nombre del filtro de firewall Internet_Only_Access, que es el filtro de firewall que configuró en el conmutador que bloquea el acceso a la red interna. Después de completar este perfil, la información de la pestaña Resumen aparecerá como se muestra.

     

   • Configure la política de cumplimiento de autenticación MAC RADIUS.

   • En el caso de los puntos de conexión que se autentican mediante la autenticación MAC RADIUS, esta política informa a Aruba ClearPass para que aplique políticas de cumplimiento según el perfil del dispositivo. El PROF ENF de VLAN 130 se aplica a los puntos de conexión perfilados como puntos de acceso, y el PROF ENF DE VLAN VOIP 120 de Juniper se aplica a los puntos de conexión perfilados como teléfonos VoIP. La política de cumplimiento predefinida [Denegar perfil de acceso] se aplica a los puntos de conexión perfilados como dispositivos Windows. Esto aplica la directiva de acceso de la organización de que solo los equipos portátiles con un suplicante 802.1X pueden acceder a la red. Para todos los demás puntos finales, incluidos los puntos finales que aún no se han perfilado, se aplicará el perfil INTERNET ONLY ACCESS FILTER ID ENF PROF.

   • En Configuración > cumplimiento > directivas, haga clic en Agregar.

   • En la ficha Cumplimiento, escriba el nombre de la directiva (JUNOS MAC AUTH ENF POL) y establezca Perfil predeterminado en INTERNET ONLY ACCESS FILTER ID ENF PROF.

     

   • En la pestaña Reglas, haga clic en Agregar regla y agregue las reglas que se muestran.

     Debe agregar las reglas secuencialmente haciendo clic en Guardar antes de crear la siguiente regla.

     

7. Configure la directiva de cumplimiento de 802.1X.

   Esta política indica a Aruba ClearPass que utilice el perfil de cumplimiento VLAN 150 ENF PROF si un usuario se autentica correctamente como miembro del departamento financiero. Cualquier otra autenticación de usuario coincidirá con el perfil predeterminado y se enviará al conmutador una aceptación RADIUS y colocará el punto de conexión en la VLAN de corrección 100.

   • En Configuración » Cumplimiento » Directivas, haga clic en Agregar.

   • En la ficha Cumplimiento, escriba el nombre de la política (JUNOS DOT1X ENF POL) y establezca Perfil predeterminado en [Permitir perfil de acceso].

     

   • En la pestaña Reglas, haga clic en Agregar regla y agregue la regla mostrada.

     

8. Configure el servicio de autenticación de autenticación MAC de Junos.

   La configuración de este servicio da como resultado que se realice la autenticación MAC RADIUS cuando los atributos RADIUS User-Name y Client-MAC-Address recibidos tienen el mismo valor.

   • En Configuración » Servicios, haga clic en Agregar.

   • En la pestaña Servicios, rellene los campos como se muestran. Asegúrese de seleccionar las opciones Autorización y Puntos de conexión de perfil .

     

   • En la ficha Autenticación, elimine [Permitir todas las AUTH MAC] de la lista Métodos de autenticación y añada [EAP MD5] a la lista.

     Seleccione [Repositorio de puntos de conexión] [Base de datos SQL local] en la lista Orígenes de autenticación.

     

   • En la ficha Cumplimiento, seleccione JUNOS MAC AUTH ENF POL.

     

   • En la pestaña Generador de perfiles, agregue Computadora, Teléfono VoIP y Puntos de acceso a la lista Clasificación de puntos de conexión.

     Seleccione [Finalización de sesión de Juniper] en la lista Acción de CoA de RADIUS. Esta configuración hace que los puntos de conexión pasen por una nueva autenticación después de que se perfilen y se agreguen al repositorio de puntos de conexión. Antes de perfilar un extremo, el perfil de cumplimiento INTERNET ONLY ACCESS FILTER ID ENF PROF está en vigor para la sesión de usuario autenticado. (Este perfil es el perfil predeterminado para la directiva de autenticación MAC configurada en el paso 7.) Después de que Aruba ClearPass clasifica correctamente un dispositivo, envía un RADIUS CoA al conmutador, lo que hace que el conmutador finalice la sesión. A continuación, el conmutador intenta volver a autenticar el extremo. Dado que el perfil de dispositivo del punto de conexión se encuentra ahora en el repositorio de puntos de conexión, se aplicará el perfil de cumplimiento de dispositivos adecuado cuando se autentique el punto de conexión.

     

   • Haga clic en Guardar.

9. Configure el servicio de autenticación 802.1X.

   • En Configuración > servicios, haga clic en Agregar.

   • En la pestaña Servicio, rellene los campos como se muestran.

     

   • En la pestaña Autenticación:

     • Establezca los orígenes de autenticación en [Repositorio de usuarios local][Base de datos SQL local].

     • Quite los métodos de autenticación [EAP FAST], [EAP-TLS] y [EAP-TTLS].

     

   • En la pestaña Cumplimiento, establezca Directiva de cumplimiento en Juniper_Dot1X_Policy.

     

   • Compruebe que la directiva del servicio de autenticación MAC RADIUS se evalúa antes que la directiva del servicio de autenticación 802.1X.

     • Dado que Aruba ClearPass está configurado para reconocer las solicitudes de autenticación MAC RADIUS mediante el atributo RADIUS User-Name y el atributo Client-MAC-Address que tienen el mismo valor, es más eficaz evaluar primero la directiva de servicio MAC RADIUS.

     • En la ventana principal Servicios, verifique que JUNOS MAC AUTH aparece antes de JUNOS DOT1X en la lista de servicios, como se muestra. Si no es así, haga clic en Reordenar y mueva JUNOS MAC AUTH por encima de JUNOS DOT1X.

     

Verificación de la autenticación 802.1X en el conmutador EX

Propósito

Compruebe que el usuario de prueba, usertest1, se está autenticando y colocando en la VLAN correcta.

Para realizar este procedimiento, debe tener un dispositivo Windows con un suplicante 802.1X activo que pase la información de autenticación para usertest1. Para obtener información sobre cómo configurar un suplicante de Windows 7 para la autenticación PEAP 802.1X, consulte Configuración de la autenticación PEAP 802.1X y MAC RADIUS con conmutadores de la serie EX y Aruba ClearPass Policy Manager

Acción

1. Conecte la computadora portátil con Windows 7 a ge-0/0/22 en el conmutador EX.

2. En el conmutador, escriba el comando siguiente:

3. Para obtener más detalles, incluida la asignación de VLAN dinámica, escriba:

   El resultado muestra que usertest1 se autenticó correctamente y se colocó en la VLAN cableada por empleado.

Verificación de la autenticación del punto de acceso en el conmutador EX

Propósito

Verifique que el punto de acceso se haya autenticado correctamente y se haya colocado en la VLAN correcta.

Acción

1. Conecte un punto de acceso a ge-0/0/6 en el conmutador EX.

2. En el conmutador, escriba el comando siguiente:

   El resultado muestra que el punto de acceso se autenticó y se colocó en la VLAN AP_VLAN.

Verificación de la autenticación del teléfono VoIP y del portátil no corporativo en el conmutador EX

Propósito

Verifique que el teléfono VoIP se haya autenticado correctamente y que la computadora portátil que no sea corporativa no se haya autenticado.

Acción

1. Conecte un teléfono VoIP a ge-0/0/8 en el conmutador EX y conecte una computadora portátil que no tenga un suplicante 802.1X habilitado al puerto Ethernet del teléfono.

2. Para comprobar el estado de autenticación de los dispositivos, escriba el siguiente comando en el conmutador:

   El resultado muestra que hay dos suplicantes conectados al puerto, cada uno identificado por su dirección MAC. El teléfono VoIP se ha autenticado con éxito y se ha colocado en IPPhone_VLAN. La computadora portátil está en un estado de conexión, no en estado autenticado, lo que indica que no se pudo autenticar.

3. Para comprobar que IPPhone_VLAN VLAN se ha asignado como VLAN VoIP, escriba el siguiente comando:

   IPPhone_VLAN muestra como una VLAN etiquetada, lo que indica que se trata de la VLAN VoIP.

Verificación del estado de las solicitudes de autenticación en Aruba ClearPass Policy Manager

Propósito

Compruebe que los puntos de conexión se autentican correctamente y que se intercambian los atributos RADIUS correctos entre el conmutador y Aruba ClearPass.

Acción

1. Vaya a Monitoreo > monitoreo en vivo > Rastreador de acceso para mostrar el estado de las solicitudes de autenticación.

   Access Tracker supervisa las solicitudes de autenticación a medida que se producen e informa sobre su estado.

   

2. Para obtener más detalles sobre una solicitud de autenticación en particular, haga clic en la solicitud.

   

3. Para comprobar los atributos RADIUS que Aruba ClearPass envió de vuelta al conmutador para esta solicitud, haga clic en la ficha Salida .

   

Significado

La solicitud de autenticación del dispositivo IOT (cámara) se realizó correctamente y se devolvió al conmutador la información correcta sobre la VLAN de IoT.

Procedimiento paso a paso

Puede ver los dispositivos que Aruba ClearPass Profile ha descubierto y mantiene en su repositorio de puntos de conexión, obteniendo información sobre el número total de dispositivos perfilados, los tipos de dispositivos y los datos específicos del dispositivo, como el proveedor del dispositivo, el nombre de host del dispositivo y la marca de tiempo cuando el dispositivo se agregó al repositorio.

1. En Aruba ClearPass, seleccione Supervisión » Generador de perfiles y análisis de red » Generador de perfiles de punto de conexión . La ventana inicial de Endpoint Profiler proporciona una descripción general de los puntos de conexión en su repositorio, agrupando los dispositivos dentro de la categoría de dispositivo, la familia de dispositivos y las jerarquías de nombres de dispositivos. En la tabla situada en la parte inferior de la ventana se enumeran los extremos que se encuentran en el grupo de nombres de dispositivo seleccionado actualmente.

   

2. Para mostrar más información sobre un punto de conexión individual, haga clic en el punto de conexión en la tabla.

   

   En la ventana Ver punto de conexión, puede mostrar la información que ClearPass Profile utilizó para generar perfiles del dispositivo haciendo clic en la pestaña Huellas digitales del dispositivo. En el ejemplo siguiente, ClearPass Profile utilizó información obtenida de varias opciones DHCP en los mensajes DHCP para generar perfiles del dispositivo.

   

Procedimiento paso a paso

En este tema se describe cómo obtener información de diagnóstico detallada habilitando el seguimiento de las operaciones de autenticación en el conmutador de la serie EX.

Aruba ClearPass Policy Manager proporciona información de diagnóstico detallada adicional.

Puede habilitar opciones de seguimiento para el protocolo 802.1X.