Newsgroup: it.comp.reti.locali
Titolo: Switch con autenticazione e trasferimento dati protetti con AES?

Ciao,
vorrei sapere se ï¿œ possibile fare questo:
realizzare dei collegamenti ethernet cablati che richiedano,
ogni volta che un client cerca di collegarsi ad un punto
rete, l'autenticazione con ad es. un server radius e che
i dati trasmessi su quel collegamento siano protetti da
un algoritmo come l'AES, quindi cifrati.
Se ciï¿œ ï¿œ possibile, quali tipi di switch bisogna utilizzare?

 Se ciò è possibile, quali tipi di switch bisogna utilizzare?
Di switch che fanno crittografia dei dati non ho mai sentito parlare.
Per l'autenticazione su alcuni switch hp trovi:
Metodi multipli per l'autenticazione di utenti: IEEE 802.1X: metodo
per l'autenticazione degli utenti basato su standard di settore che
utilizza sul client un supplicant IEEE 802.1X in combinazione con un
server RADIUS; Autenticazione basata sul Web: autentica dal browser
Web i client che non supportano il supplicant IEEE 802.1X; è possibile
eseguire rimedi personalizzati su un server Web esterno;
Autenticazione basata su MAC: il client è autenticato con un server
RADIUS in base all'indirizzo MAC del client.
Specifica esattamente quello che devi fare, solo internet o
condivisione di file e stampanti?
per quale motivo devi crittografare una tratta interna? puoi usare
delle vpn nei client ma devi valutare se è necessario.
ti basta l'autenticazione per mac? è già presente su diversi switch
managed.
Ciao

 siano protetti da un algoritmo come l'AES, quindi cifrati.
Gli switch fanno un altro mestiere.
Puoi pensare di usare ipsec in lan.

 un algoritmo come l'AES, quindi cifrati.
puoi usare ipsec, ma non lo imposti ovviamente sullo switch.
-- 
MirkoB.   
ne...@bsi-net.it
Motoretta BMW R1150R Nera...
L'indirizzo em@il non � da considerarsi pubblico,
ma utilizzabile solo per temi inerenti il NG corrente.

 
In poche parole dovrei usare un router che supporta ipsec.
Grazie dell'aiuto.

 managed.
Ti faccio una domanda da paranoia: facciamo l'ipotesi che uno o pi�
collegamenti siano cablati dall'interno di un edificio verso l'esterno.
Ora (paranoia) ipotizziamo che si utilizzino switch con supporto 
all'802.1x, se qualcuno riesce a frapporsi tra lo switch ed il nodo di 
rete - diciamo a met� del cavo, essendo un cablaggio esterno -
i dati che transitano sarebbero sniffabili?

 In poche parole dovrei usare un router che supporta ipsec.
router? chi ha parlato di router?
La comunicazione criptata sar� verso un server immagino, ipsec lo
imposterai su quel server e sul client che lo dovr� usare.


 i dati che transitano sarebbero sniffabili?
l'802.1x non cripta i dati, autentica solamente. Per� puoi dire allo
switch che su quella porta si deve ritrovare solo uno specifico MAC ed
impedire al traffico a tutto il resto.
Sinceramente non so cosa avvenga se su una porta autenticata ci si
collega un altro switch o un hub.


 - Mostra testo citato -
Se la config è questa:
 pc-----------------------A----------------------------
switch----------------B----------router------------- internet
Tagliando il cavo A (considerando che c'è un cavo A per ogni pc che
collega il pc allo switch) crimpando due connettori rj45, collegando
le due spine ad un hub (o a due schede di rete presenti nel pc che fa
da sniffer) e poi questo al pc con lo sniffer puoi sniffare solo il
traffico che sta passando tra quel pc e lo switch, non puoi sniffare
il traffico tra gli altri pc perchè anche il più semplice degli switch
(unmanaged) inoltra il traffico solo tra le porte corrette e non invia
tutto il traffico a tutti (tranne per il broadcast).
Se fai la stessa cosa nel cavo B (che è uno unico che collega lo
switch al gateway) puoi sniffare tutto il traffico internet che stanno
facendo i vari pc.
Per mettere in sicurezza una config come quella sopra dovresti avere
un client vpn ipsec o pptp attivo nei singoli client e un router o
firewall (non si fa sullo switch ma nel firewall) che permette di
creare vpn nelle interfacce interne (tutti i firewall e router di
fascia medio bassa creano vpn solo sull'interfaccia WAN)., oppure
dovresti creare una vpn tra due pc della rete se non ti interessa
proteggere i dati verso il router/firewall.
802.1X fa in modo che chi non è autorizzato dal radius o non ha il mac
address caricato nell'elenco del controllo di accesso dello switch
viene assegnato ad una vlan isolata o viene proprio bloccato, in
questo modo un estraneo non può connettere ad una delle tue prese un
pc e iniziare a girare per la tua rete, lo sniffing invece rimane
sempre possibile se i cavi sono accessibili e il malintenzionato può
tagliare o scollegare, ecc...
Come preoccupazione mi sembra esaggerata, meglio chiudere a chiave gli
armadi dati e mettere i cavi sotto taccia o dentro canale/tubi.
Ciao

 imposterai su quel server e sul client che lo dovr� usare.
Quindi sar� cos�:
pc--------switch-------server(vpn)-------router (internet)
cio� il server deve frapporsi tra il lo switch ed il router o
il contrario(?):
pc----------server(vpn)-----switch----router
Potrei utilizzare un pc vecchiotto che mi avanza ed installare
un so linux per creare una vpn.

 un so linux per creare una vpn.
forse se spieghi la tua situazione e cosa vuoi ottenere � meglio.
Io non ho assolutamente parlato di VPN.
Tu in pratica hai il tuo server con i dati collegato ai tuoi client.
Tra server e client andrai ad instaurare una comunicazione protetta
tramite ipsec, ma non � una vpn (a meno che tu non intenda fare un
collegamento con client remoti)
Se hai server e client windows hai gi� tutto quello che ti serve per
mettere in piedi la cosa (bhe poi serve un po' di esperienza per far
funzionare tutto).


 se qualcuno riesce a frapporsi tra lo switch ed il nodo di rete
Non ha neanche bisogno di frapporsi fisicamente; con tecniche
di arp spoofing, può intercettare il tuo traffico senza neanche
alzarsi dalla propria postazione.