En estos posts vamos a ver cómo configurar un switch Cisco Catalyst 2960 para securizar las conexiones cableadas a través del servidor RADIUS-NPS.

• Accedemos a nuestro Switch Cisco Catalyst 2960, e introducimos estos comandos sobre la configuración global para habilitar la autenticación 802.1x:

sw2960#configure terminal

sw2960(config)#aaa new-model

sw2960(config)#aaa group server radius RadiusAuth

sw2960(config-sg-radius)#server 192.168.14.3 auth-port 1812 acct-port 1813  

sw2960(config-sg-radius)#aaa authentication dot1x default group RadiusAuth

sw2960(config)#radius-server host 192.168.14.3 auth-port 1812 acct-port 1813 key SECRETOCOMPARTIDO       

sw2960(config)#dot1x system-auth-control

• Una vez habilitada la configuración de RADIUS en el switch, vamos a habilitar los puertos en los que queremos utilizar el control de acceso a red 802.1x, para ello, accedemos al modo de configuración global y vamos a habilitar los puertos del 1 al 4:

sw2960#configure terminal

sw2960(config)#interface range fastEthernet0/1-4

sw2960(config-if-range)#switchport mode Access

sw2960(config-if-range)#authentication port-control auto

sw2960(config-if-range)#dot1x pae authenticator

sw2960(config-if-range)#dot1x port-control auto

sw2960(config-if-range)#dot1x violation-mode protect

sw2960(config-if-range)#dot1x reauthentication

• Guardamos la configuración:

sw2960#write memory

• Si hacemos un show running-config podemos ver la configuración:

• Una vez terminada la configuración en el switch, vamos a probar a conectarnos desde un equipo con Windows 10 a cualquiera de los puertos que hemos configurados para autenticarnos por 802.1x, para ello, tenemos que hacer antes algunas configuraciones sobre el equipo, y lo primero que vamos a habilitar es el servicio Configuración automática de redes cableadas, lo iniciaremos y lo configuraremos en Automático:

• Sobre las propiedades de la interface red a través de la cuál nos vamos a conectar al switch, nos vamos a la pestaña Autenticación marcamos el check para habilitar IEEE 802.1X, elegimos el método de autenticación Microsoft: EAP protegido (PEAP), sobre Configuración seleccionamos el método de autenticación Contraseña segura (EAP-MSCHAP v2) y en Configurar desmarcamos el check Usar automáticamente el nombre de inicio de sesión y la contraseña de Windows (y dominio, si existe alguno), Aceptamos todas las configuraciones, este último check, lo ideal es dejarlo marcado, pero en mi caso, lo voy a dejar así para mostrar como el sistema nos pide usuario y password para conectarnos:

• Ahora conectamos el cable de red entre la NIC de mi equipo y uno de los puertos del switch que hemos configurados para autenticarnos por 802.1x, y pasado unos segundos vemos como el sistema nos pide las credenciales para poder autenticarnos, introducimos entonces nuestras credenciales del domino y Aceptamos:

• Como podemos ver, ya estamos conectados a nuestra red y autenticándonos a través del servidor RADIUS-NPS:

Saludos y espero que os resulte de ayuda

La entrada Configuración Switch Cisco Catalyst para conexiones cableadas a través del Servidor RADIUS se publicó primero en RAGASYS SISTEMAS.

En este post vamos a ver cómo desplegar clientes Radius y cómo crear y configurar directivas de red para conexiones cableadas en nuestro servidor RADIUS-NPS.

• El tema de los certificados, ya lo vimos en un post anterior, por lo que vamos a utilizar el mismo certificado que ya utilizamos para las conexiones inalámbricas, de todas formas, os lo vuelvo a mostrar aquí, como emitimos e instalamos el certificado en nuestro servidor RADIUS-NPS.
• Nos abrimos la consola de certificados en nuestro servidor RADIUS y solicitamos un nuevo certificado:

• Se nos abre este asistente, para solicitar la inscripción del certificado, clic en Siguiente:

• Seleccionamos la directiva de inscripción, en este caso, Directiva de inscripción de Active Directory, clic en Siguiente:

• Solicitamos el certificado de Equipo, inscribimos y finalizamos:

• Como podemos ver, aquí tenemos el certificado operativo:

• Para poder generar estos certificados, debemos de tener desplegado en nuestra infraestructura una Entidad emisora de certificados, en este post que realizamos hace algunos años os explico cómo hacerlo.

• Una vez que hemos terminado con el certificado, nos abrimos la consola de Servidor de directivas de redes, y sobre NPS (Local) > Servidor RADIUS para conexiones cableadas o inalámbricas 802.1X > Configurar 802.1X, vamos a configurar los accesos seguros para conexiones cableadas:

• En Seleccionar tipo de conexiones 802.1X, marcamos el check Conexiones cableadas (Ethernet) seguras y le indicamos el nombre, clic en Siguiente:

• Sobre Clientes RADIUS, vamos a Agregar uno de nuestros switches Ethernet, le indicamos un nombre y la dirección IP del switch, y en Secreto compartido se lo indicamos de forma Manual, este secreto compartido es el que tenemos que configurar después en las opciones RADIUS de nuestro switch, clic sobre Aceptar, esto lo debemos de hacer con cada cliente RADIUS que tengamos que añadir a nuestra infraestructura:

• Como podemos ver, ya lo tenemos agregado, clic en Siguiente:

• Configuramos el método de autenticación como Microsoft: EAP protegido (PEAP), sobre Configurar seleccionamos el certificado que hemos emitido anteriormente, clic en Siguiente:

• Especificamos los grupos de usuarios, agregamos el grupo de Usuarios del dominio de nuestro Active Directory para las conexiones cableadas, clic en Siguiente:

• Sobre Configurar controles de tráfico, lo dejamos tal cual está, clic en Siguiente:

• Nos muestra un resumen, y finalizamos:

• Como podemos ver, ya tenemos el cliente Radius y la directiva de red configurada:

Saludos y espero que os resulte de ayuda

La entrada Despliegue de clientes RADIUS y Creación – Configuración de directivas de red para conexiones cableadas en Windows Server 2022 se publicó primero en RAGASYS SISTEMAS.