En este post vamos a ver cómo configurar los puertos que utiliza el servidor RADIUS-NPS de Microsoft en un Firewall Fortigate, este post, es a modo de anexo a todo lo que hemos visto anteriormente, en mi caso, tengo un Fortigate 50E, pero si tenéis un dispositivo de otro fabricante la configuración será distinta, aunque va a variar poco.

Por defecto, NPS escucha el tráfico RADIUS en los puertos UDP 1812, 1813, 1645 y 1646 en todos los adaptadores de red instalados. NPS realiza la autenticación, autorización y contabilidad de las solicitudes de conexión para el dominio local y para los dominios que confían en el dominio local.

• 1812 UDP, permite el tráfico de autenticación RADIUS desde clientes RADIUS
• 1813 UDP, permite el tráfico de cuentas RADIUS desde clientes RADIUS
• 1645 UDP, permite el tráfico de autenticación RADIUS desde clientes RADIUS antiguos
• 1646 UDP, permite el tráfico de cuentas RADIUS desde clientes RADIUS antiguos

• Para crear los puertos o servicios en nuestro Fortigate accedemos a Políticas y Objetos > Servicio > Crear nuevo > Servicio:

• Nos creamos el Servicio para 1812 UDP:

• Nos creamos el Servicio para 1813 UDP:

• Nos creamos el Servicio para 1645 UDP:

• Nos creamos el Servicio para 1646 UDP:

• Como podemos ver, aquí tenemos los servicios creados:

• Ahora todos estos servicios creados, los podemos agrupar como un único servicio, al que llamaremos RADIUS-NPS-MICROSOFT, por si en alguna política los tenemos que utilizar todos juntos, para ello accedemos a Políticas y Objetos > Servicio > Crear nuevo > Grupo de servicios:

• Le indicamos el nombre y los miembros del grupo, que como podemos ver, son los cuatro servicios RADIUS-NPS que nos creamos anteriormente:

• Ahora ya podemos utilizar estos servicios en nuestras políticas del Firewall para permitir o denegar accesos.

Saludos y espero que os resulte de ayuda

En estos posts vamos a ver cómo configurar un switch Cisco Catalyst 2960 para securizar las conexiones cableadas a través del servidor RADIUS-NPS.

• Accedemos a nuestro Switch Cisco Catalyst 2960, e introducimos estos comandos sobre la configuración global para habilitar la autenticación 802.1x:

sw2960#configure terminal

sw2960(config)#aaa new-model

sw2960(config)#aaa group server radius RadiusAuth

sw2960(config-sg-radius)#server 192.168.14.3 auth-port 1812 acct-port 1813  

sw2960(config-sg-radius)#aaa authentication dot1x default group RadiusAuth

sw2960(config)#radius-server host 192.168.14.3 auth-port 1812 acct-port 1813 key SECRETOCOMPARTIDO       

sw2960(config)#dot1x system-auth-control

• Una vez habilitada la configuración de RADIUS en el switch, vamos a habilitar los puertos en los que queremos utilizar el control de acceso a red 802.1x, para ello, accedemos al modo de configuración global y vamos a habilitar los puertos del 1 al 4:

sw2960#configure terminal

sw2960(config)#interface range fastEthernet0/1-4

sw2960(config-if-range)#switchport mode Access

sw2960(config-if-range)#authentication port-control auto

sw2960(config-if-range)#dot1x pae authenticator

sw2960(config-if-range)#dot1x port-control auto

sw2960(config-if-range)#dot1x violation-mode protect

sw2960(config-if-range)#dot1x reauthentication

• Guardamos la configuración:

sw2960#write memory

• Si hacemos un show running-config podemos ver la configuración:

• Una vez terminada la configuración en el switch, vamos a probar a conectarnos desde un equipo con Windows 10 a cualquiera de los puertos que hemos configurados para autenticarnos por 802.1x, para ello, tenemos que hacer antes algunas configuraciones sobre el equipo, y lo primero que vamos a habilitar es el servicio Configuración automática de redes cableadas, lo iniciaremos y lo configuraremos en Automático:

• Sobre las propiedades de la interface red a través de la cuál nos vamos a conectar al switch, nos vamos a la pestaña Autenticación marcamos el check para habilitar IEEE 802.1X, elegimos el método de autenticación Microsoft: EAP protegido (PEAP), sobre Configuración seleccionamos el método de autenticación Contraseña segura (EAP-MSCHAP v2) y en Configurar desmarcamos el check Usar automáticamente el nombre de inicio de sesión y la contraseña de Windows (y dominio, si existe alguno), Aceptamos todas las configuraciones, este último check, lo ideal es dejarlo marcado, pero en mi caso, lo voy a dejar así para mostrar como el sistema nos pide usuario y password para conectarnos:

• Ahora conectamos el cable de red entre la NIC de mi equipo y uno de los puertos del switch que hemos configurados para autenticarnos por 802.1x, y pasado unos segundos vemos como el sistema nos pide las credenciales para poder autenticarnos, introducimos entonces nuestras credenciales del domino y Aceptamos:

• Como podemos ver, ya estamos conectados a nuestra red y autenticándonos a través del servidor RADIUS-NPS:

Saludos y espero que os resulte de ayuda

En este post vamos a ver cómo desplegar clientes Radius y cómo crear y configurar directivas de red para conexiones cableadas en nuestro servidor RADIUS-NPS.

• El tema de los certificados, ya lo vimos en un post anterior, por lo que vamos a utilizar el mismo certificado que ya utilizamos para las conexiones inalámbricas, de todas formas, os lo vuelvo a mostrar aquí, como emitimos e instalamos el certificado en nuestro servidor RADIUS-NPS.
• Nos abrimos la consola de certificados en nuestro servidor RADIUS y solicitamos un nuevo certificado:

• Se nos abre este asistente, para solicitar la inscripción del certificado, clic en Siguiente:

• Seleccionamos la directiva de inscripción, en este caso, Directiva de inscripción de Active Directory, clic en Siguiente:

• Solicitamos el certificado de Equipo, inscribimos y finalizamos:

• Como podemos ver, aquí tenemos el certificado operativo:

• Para poder generar estos certificados, debemos de tener desplegado en nuestra infraestructura una Entidad emisora de certificados, en este post que realizamos hace algunos años os explico cómo hacerlo.

• Una vez que hemos terminado con el certificado, nos abrimos la consola de Servidor de directivas de redes, y sobre NPS (Local) > Servidor RADIUS para conexiones cableadas o inalámbricas 802.1X > Configurar 802.1X, vamos a configurar los accesos seguros para conexiones cableadas:

• En Seleccionar tipo de conexiones 802.1X, marcamos el check Conexiones cableadas (Ethernet) seguras y le indicamos el nombre, clic en Siguiente:

• Sobre Clientes RADIUS, vamos a Agregar uno de nuestros switches Ethernet, le indicamos un nombre y la dirección IP del switch, y en Secreto compartido se lo indicamos de forma Manual, este secreto compartido es el que tenemos que configurar después en las opciones RADIUS de nuestro switch, clic sobre Aceptar, esto lo debemos de hacer con cada cliente RADIUS que tengamos que añadir a nuestra infraestructura:

• Como podemos ver, ya lo tenemos agregado, clic en Siguiente:

• Configuramos el método de autenticación como Microsoft: EAP protegido (PEAP), sobre Configurar seleccionamos el certificado que hemos emitido anteriormente, clic en Siguiente:

• Especificamos los grupos de usuarios, agregamos el grupo de Usuarios del dominio de nuestro Active Directory para las conexiones cableadas, clic en Siguiente:

• Sobre Configurar controles de tráfico, lo dejamos tal cual está, clic en Siguiente:

• Nos muestra un resumen, y finalizamos:

• Como podemos ver, ya tenemos el cliente Radius y la directiva de red configurada:

Saludos y espero que os resulte de ayuda

En este post vamos a ver cómo configurar un punto de acceso para que los usuarios de nuestra infraestructura se conecten por Wifi autenticando sobre el servidor RADIUS que hemos configurado en Windows Server 2022.

• Este proceso varía según la marca y modelo del punto de acceso, en mi caso, es un punto de acceso bastante antiguo, que ya ni utilizo, pero para mostraros el lab es más que suficiente, las opciones suelen ser bastante parecidas en todos.
• Aquí vemos la configuración IP, que fue la que configuramos como cliente RADIUS en nuestro servidor NPS Windows:

• Como podemos ver, está configurado como en modo Access Point:

• En las opciones de seguridad configuramos WPA2 Enterprise, le indicamos la IP y el puerto de nuestro servidor RADIUS, le indicamos el secreto compartido que configuramos anteriormente en el cliente RADIUS del servidor NPS Windows:

• Ahora con cualquier equipo Wifi vamos a probar la conexión, para verificar que todo lo que hemos montado está correctamente, nos conectamos entonces a nuestro punto de acceso seleccionando el SSID:

• Nos validamos con nuestra cuenta de usuario del domino:

• Ya estamos conectados:

• Aquí podemos ver el equipo conectado a nuestro punto de acceso:

Saludos y espero que os sea de ayuda

En este post vamos a ver cómo desplegar clientes Radius y cómo crear y configurar directivas de red para conexiones inalámbricas en nuestro servidor RADIUS-NPS.

• Para empezar, vamos a crear un certificado de equipo, para ello, nos abrimos la consola de certificados en nuestro servidor RADIUS y solicitamos un nuevo certificado:

• Se nos abre este asistente, para solicitar la inscripción del certificado, clic en Siguiente:

• Seleccionamos la directiva de inscripción, en este caso, Directiva de inscripción de Active Directory, clic en Siguiente:

• Solicitamos el certificado de Equipo, inscribimos y finalizamos:

• Como podemos ver, aquí tenemos el certificado operativo:

• Para poder generar estos certificados, debemos de tener desplegado en nuestra infraestructura una Entidad emisora de certificados, en este post que realizamos hace algunos años os explico cómo hacerlo.
• Una vez que hemos terminado con el certificado, nos abrimos la consola de Servidor de directivas de redes, y sobre NPS (Local) > Servidor RADIUS para conexiones cableadas o inalámbricas 802.1X > Configurar 802.1X, vamos a configurar los accesos seguros por Wifi:

• En Seleccionar tipo de conexiones 802.1X, marcamos el check Conexiones inalámbricas seguras y le indicamos el nombre, clic en Siguiente:

• Sobre Clientes RADIUS, vamos a Agregar uno de nuestros puntos de acceso, le indicamos un nombre y la dirección IP del punto de acceso, y en Secreto compartido se lo indicamos de forma Manual, este secreto compartido es el que tenemos que configurar después en las opciones RADIUS de nuestro punto de acceso, clic sobre Aceptar, esto lo debemos de hacer con cada cliente RADIUS que tengamos que añadir a nuestra infraestructura:

• Como podemos ver, ya lo tenemos agregado, clic en Siguiente:

• Configuramos el método de autenticación como Microsoft: EAP protegido (PEAP), sobre Configurar seleccionamos el certificado que hemos emitido anteriormente, clic en Siguiente:

• Especificamos los grupos de usuarios, agregamos el grupo de usuarios que hemos habilitado en nuestro Active Directory para las conexiones inalámbricas, clic en Siguiente:

• Sobre Configurar controles de tráfico, lo dejamos tal cual está, clic en Siguiente:

• Nos muestra un resumen, y finalizamos:

• Como podemos ver, ya tenemos el cliente Radius y la directiva de red configurada:

Saludos y espero que os resulte de ayuda

En este post vamos a ver cómo instalar y desplegar los roles RADIUS – NPS sobre un Windows Server 2022.

• Como podemos ver, el servidor Radius está unido a nuestro dominio de Active Directory:

• Lo primero que vamos a realizar será abrirnos el Administrador del servidor > Administrar > Agregar roles y características:

• Se nos abre el asistente típico de Windows Server para el despliegue de roles y características, clic sobre Siguiente:

• Sobre Tipo de instalación, marcamos el check Instalación basada en características o en roles:

• Seleccionamos el servidor y Siguiente:

• Sobre Roles de servidor, marcamos el rol Servicios de acceso y directivas de redes, agregamos características:

• Sobre Características no marcamos nada, lo dejamos tal cuál está:

• Sobre Servicios de acceso y directivas de redes, nos da una breve explicación de las funciones del rol y desde dónde lo podemos configurar, clic a Siguiente:

• Sobre Confirmación, le indicamos que reinicie el servidor automáticamente en caso necesario, y procedemos a Instalar:

• Como podemos ver comienza con la instalación:

• Instalación finalizada correctamente y cerramos:

• Ahora nos abrimos la consola de Servidor de directivas de redes:

• Y lo primero que vamos a realizar será Registrar servidor en Active Directory, los NPS se registran en Active Directory, para que tengan permiso de leer las propiedades de acceso telefónico de las cuentas de usuario durante el proceso de autorización. Al registrar un NPS, se agrega el servidor al grupo Servidores RAS e IAS en Active Directory:

• Si accedemos a la consola de Usuarios y equipos de Active Directory en cualquiera de nuestros controladores de dominio, sobre el contenedor Users, podemos ver el Grupo de seguridad de Dominio local Servidores RAS e IAS y como miembro el servidor RADIUS que acabamos de instalar:

Saludos y espero que os resulte de ayuda

En estos posts vamos a ver cómo instalar y configurar un servidor Radius en Windows Server 2022, para ello, vamos a desplegar el servicio de directivas de red (NPS) como servidor de autenticación remota (RADIUS), por defecto, NPS escucha el tráfico RADIUS en los puertos UDP 1812, 1813, 1645 y 1646 en todos los adaptadores de red instalados. NPS realiza la autenticación, autorización y contabilidad de las solicitudes de conexión para el dominio local y para los dominios que confían en el dominio local.

Este post los vamos a dividir en:

• Instalación y despliegue de roles RADIUS en Windows Server 2022
• Despliegue de clientes RADIUS y Creación – Configuración de directivas de red para conexiones inalámbricas en Windows Server 2022
• Configuración Access Point para conectar el Wifi a través del Servidor RADIUS
• Despliegue de clientes RADIUS y Creación – Configuración de directivas de red para conexiones cableadas en Windows Server 2022
• Configuración Switch Cisco Catalyst para conexiones cableadas a través del Servidor RADIUS
• Configuración puertos RADIUS-NPS Microsoft en Firewall Fortigate

Saludos y espero que os sea de ayuda