Newsgroup: it.comp.reti.cisco
Titolo: Catalyst 2950 e port-security

Ciao a tutti,
sto litigando con il port-security del 2950 e sono arrivato ad una sorta 
di enpasse dal quale non vedo via d'uscita.
Vorrei concedere l'accesso ad un solo PC per ogni punto di rete evitando 
che il consulente del caso arrivi e si colleghi alla lan senza permesso. 
  Per farlo ho abilitato il port-security con lo sticky learning (di 
default attivo per 1 mac-addrs) nelle singole porte, es:
interface FastEthernet0/9
  switchport access vlan 2
  switchport mode access
  switchport port-security
  switchport port-security mac-address sticky
  switchport port-security mac-address sticky 00ab.cbed.7ab1
  spanning-tree portfast
Il problema nasce perche' tra tutti i punti dello switch ho un punto di 
rete posizionato in una sala riunione dove devono poter accedere tutti i 
portatili di quella lan (5 in tutto) e li' ho inserito i mac-addrs senza 
usare lo sticky learning in questo modo:
interface FastEthernet0/20
  switchport access vlan 2
  switchport mode access
  switchport port-security maximum 5
  switchport port-security mac-address 00f3.231f.3443
  switchport port-security mac-address 002a.38f4.210d
  switchport port-security mac-address 00dc.c4ca.99dc
  switchport port-security mac-address 00dc.feca.3632
pero' in un altra porta dello stesso switch c'e' uno dei portatili che 
devono poter accedere al punto della sala riunioni percio' quando cerco 
di inserire l'ultimo mac-addrs relativo a quel portatile:
  switchport port-security mac-address 00ab.cbed.7ab1
ricevo questo errore:
Found duplicate mac-address 00ab.cbed.7ab1
perche' lo vede gia' presente (attraverso lo sticky-learning) su 
un'altra porta e non ho ancora trovato modo di aggirare il problema... 
qualcuno ha gia' avuto problematiche di questo tipo ?
I dettagli dello switch sono questi:
SW_UT-2_11#sh ver
Cisco Internetwork Operating System Software
IOS (tm) C2950 Software (C2950-I6K2L2Q4-M), Version 12.1(22)EA12, 
RELEASE SOFTWARE (fc1)
Copyright (c) 1986-2008 by cisco Systems, Inc.
Compiled Tue 08-Jul-08 00:03 by amvarma
Image text-base: 0x80010000, data-base: 0x80680000
ROM: Bootstrap program is C2950 boot loader
SW_UT-2_11 uptime is 1 week, 3 days, 2 hours, 9 minutes
System returned to ROM by power-on
System image file is "flash:/c2950-i6k2l2q4-mz.121-22.EA12.bin"
cisco WS-C2950G-48-EI (RC32300) processor (revision M0) with 19912K 
bytes of memory.
Processor board ID FOC0814Y3DN
Last reset from system-reset
Running Enhanced Image
48 FastEthernet/IEEE 802.3 interface(s)
2 Gigabit Ethernet/IEEE 802.3 interface(s)
Grazie in anticipo e scusatemi il post kilometrico.
Rizio
P.S. Stavo pensando di passare al VMPS, qualcuno ha consigli ?

> P.S. Stavo pensando di passare al VMPS, qualcuno ha consigli ?
802.1x e vivi felice, la sicurezza basata su mac address č scarsa (vedi mac 
spoofing) e cosě rigida da crearti solo problemi.
Ciao,
         Tosh. 

 spoofing) e così rigida da crearti solo problemi.
Hai ragione ma purtroppo la mia struttura non e' ancora pronta per 
l'autenticazione su radius.
Mi serve qualcosa che mi tamponi il problema dei consulenti/utenti che 
arrivano con i portatili personali e attaccano alla selvaggia dove capita.
Any info about this ?
Rizio

> Any info about this ?
Premetto che una infrastruttura radius significa, tra le altre cose, 
Microsoft IAS o freeradius, il primo spesso c'è già, il secondo in un attimo 
si mette su.
Detto questo, serve una policy rigida e fatta rispettare con la forza.....
Il consulente che viene da fuori e attacca il suo portatile alla prima presa 
libera senza chiedere nulla deve essere fatto accomodare gentilmente fuori.
Il dipendente che porta il computer da casa deve ricevere lettera di 
richiamo.
Dopo di che vanno predisposte le strutture.
Se non ti passano l'investimento per una rete adeguata e pretendono in 
cambio che sia tu ad impazzire.....poniti delle domande.
Ciao,
         Tosh.

 cambio che sia tu ad impazzire.....poniti delle domande.
Gia' fatte, pero' purtroppo per ora devo mangiare quella minestra :(
Rizio


Non per fare il moralista, ma se non riesci a far rispettare nemmeno le piů 
elementari regole di sicurezza (ma soprattutto sono regole di buon senso, tu 
parcheggi normalmente l'auto nel garage di altri senza chiedere il 
permesso?...solo per fare l'esempio piů cretino che mi viene in mente) poni 
i presupposti per trovarti in un mare di guai, prima o poi.
Ciao,
         Tosh. 

 però mai fatto e non so quindi se è complicato o ha dei problemi.
Magari cerco qualcosa in giro giusto per sapere eventualmente cosa comporta.
Grazie di tutto :)
Rizio
-- 
Si dice che essere liberi significa non avere nulla da perdere...sembra 
facile a prima vista...ma la verità è che non avere nulla da perdere 
significa essere pronti a rischiare tutto ciò che si possiede.

 comporta.
Ok, ho cercato e credevo di aver trovato ma alla fine non sembra 
funzionare :( qualcuno puo' darmi altre esperienze ?
-Ho (o almeno credo) installato la CA e lo IAS su un DC 2003
-Ho (o almeno credo) configurato il server Radius per gestire le vlan in 
base ai gruppi di AD
-Ho (o almeno credo) congiurato lo switch per accedere al server radius 
come authenticatore
ma quando cerco di accedere con un client WXP vengo appoggiato nella 
vlan GUEST :( pur tentando il login con un utente di dominio.
questo e' quello che ho nel catalyst 3560 di test:
aaa authentication dot1x default group radius
aaa authorization network default group radius
aaa session-id common
ip radius source-interface FastEthernet0/24
radius-server cache expiry 1
radius-server host 10.10.0.10 auth-port 1812 acct-port 1813 key password
radius-server retry method reorder
radius-server transaction max-tries 10
radius-server timeout 4
radius-server deadtime 2
radius-server vsa send authentication
interface *
  switchport mode access
  dot1x pae authenticator
  dot1x port-control auto
  dot1x violation-mode protect
  dot1x timeout quiet-period 5
  dot1x timeout server-timeout 10
  dot1x max-reauth-req 1
  dot1x guest-vlan 6
  dot1x auth-fail vlan 1
  dot1x auth-fail max-attempts 1
  no cdp enable
  spanning-tree portfast
  spanning-tree guard root
interface FastEthernet0/24
  switchport access vlan 2
  switchport mode access
  no cdp enable
  spanning-tree portfast
!
interface Vlan1
  no ip address
!
interface Vlan2
  description LAN
  ip address 10.10.0.254 255.255.255.0
!
interface Vlan6
  description VLAN GUEST
  ip address 10.10.10.254 255.255.255.0
!
interface Vlan10
  description SWITCH MANAGE
  ip address 172.30.254.1 255.255.255.0
Sto sbagliando qualcosa sul server ? La conf dello switch e' corretta ?
Tnk's in advance
Rizio
-- 
Si dice che essere liberi significa non avere nulla da perdere...sembra 
facile a prima vista...ma la veritï¿œ ï¿œ che non avere nulla da perdere 
significa essere pronti a rischiare tutto ciï¿œ che si possiede.

  spanning-tree portfast
Ciao, purtroppo non sono in grado di risolvere il tuo problema e mi 
dispiace, ma approfitto per chiederti la funzione del comando "sticky". 
La spiegazione da parte di Cisco è "allow the port to dynamically 
configure all the addresses" ... ? Non mi è chiaro.
Se hai tempo e pazienza :-) Grazie
Claudio


Nella vlan guest ti ci dovrebbe mettere quando non tenti per nulla di 
autenticarti, verifica la configurazione del client.
Anche l'event viewer del server può esserti utile, da li vedi se il client 
tenta di autenticarsi e se ha avuto successo.
Ciao,
        Tosh. 

 configure all the addresses" ... ? Non mi è chiaro.
Sostanzialmente e' l'autoapprendimento del mac-addrs dei device che 
stanno dietro alla porta in cui lo abiliti.
Il "configure all address" non so per cosa stia; io lo uso sulla porte 
con l'opzione "maximum 1" per fargli "apprendere" solo il primo 
mac-addrs che si collega e permettere solo a quel device l'utilizzo di 
quella porta.
Rizio
-- 
Si dice che essere liberi significa non avere nulla da perdere...sembra 
facile a prima vista...ma la verità è che non avere nulla da perdere 
significa essere pronti a rischiare tutto ciò che si possiede.

 Rizio
Grazie infinite per la risposta, smanetterò per fare un po' di prove.
Claudio

 Grazie infinite per la risposta, smanetterò per fare un po' di prove.
Np, pero' tieni buono il consiglio che Tosh ha dato a me qui sopra: il 
prot-security gestito con lo sticky learnign non e' il massimo e 
soprattutto va bene giusto per tamponare un emergenza ma alla lunga 
diventa brigosissimo da gestire e davvero poco flessibile.
Io gia' con il VMPS mi sento moooolto piu' libero dai controlli (conosco 
il mac-addrs lo gestisco nella VLAN corretta, non lo conosco lo metto in 
una VLAN morta). Come ripete Tosh non e' il massimo ma e' una via di 
mezzo accettabile IMHO mentre si cerca di passare a dot1x.


 tenta di autenticarsi e se ha avuto successo.
Tnk's, sul client la configurazione sembra a posto ma sul server IAS non 
sta loggando nulla.... dici che e' lo switch che non fa il suo dovere ?
Io ho settato questi parametri nella conf:
aaa authentication dot1x default group radius
aaa authorization network default group radius
!
!
!
interface FastEthernet0/2
  switchport mode access
  dot1x pae authenticator
  dot1x port-control auto
  dot1x violation-mode protect
  dot1x timeout quiet-period 5
  dot1x timeout server-timeout 10
  dot1x max-reauth-req 1
  dot1x guest-vlan 6
  dot1x auth-fail vlan 1
  dot1x auth-fail max-attempts 1
  no cdp enable
  spanning-tree portfast
  spanning-tree guard root
!
!
ip radius source-interface FastEthernet0/24
no cdp run
radius-server cache expiry 1
radius-server host 10.10.0.10 auth-port 1812 acct-port 1813 key password
radius-server retry method reorder
radius-server transaction max-tries 10
radius-server timeout 4
radius-server deadtime 2
radius-server vsa send authentication
Ti sembra di vedere qualche miss-conf ?
Grazie
Rizio
-- 
Si dice che essere liberi significa non avere nulla da perdere...sembra 
facile a prima vista...ma la verità è che non avere nulla da perdere 
significa essere pronti a rischiare tutto ciò che si possiede.

 Rizio
Si, infatti. La mia domanda era rivolta al comando a me non molto chiaro 
per la tua situazione, nel senso che nella tua configurazione io non ci 
vedevo uno sticky ma semplicemente, come hai fatto per la porta fa0/20, 
una configurazione manuale dei mac.
 >switchport port-security mac-address 00f3.231f.3443
 >switchport port-security mac-address 002a.38f4.210d
 >switchport port-security mac-address 00dc.c4ca.99dc
 >switchport port-security mac-address 00dc.feca.3632
Per la porta fa0/9 cosa succede ? Riesci a limitare massimo un MAC, ma 
quale? Il primo che si collegherà a quella presa, quindi devi avere la 
certezza, o lo fai direttamente tu, di quale pc si collegherà. Oppure 
forse non ho capito niente del tuo post e la tua esigenza è diversa :-(
In realtà credo, sicurezza a parte, che sia molto macchinoso da 
mantenere, ma sai, a volte, in piccole realtà tornano utili "trucchetti" 
(passami il termine) di questo tipo.
Grazie ancora e saluti
Claudio

 Grazie ancora e saluti
Figurati, per 2 chiacchiere....
Ciao



Non vedo la parte relativa al gruppo di autenticazione, una cosa del genere:
aaa group server radius radius
 server 172.16.x.x auth-port 1812 acct-port 1813
In più io cercherei di tenere la configurazione il più semplice possibile 
all'inizo, hai imbottito lo switch di comandi quando ne bastano 2 per 
attivare l'autenticazione di base, definizione del server radius a parte.
Ciao,
         Tosh. 

 attivare l'autenticazione di base, definizione del server radius a parte.
Per quello hai ragione, ho seguito un how-to un po' troppo "pronto" :)
Poi la cosa e' degenerata sicuramente a forza di prove e correzioni, 
faro' un po' di pulizia ma per ora temo la parte errata sia nella 
gestione della CA sul server.... riesco ad autenticare il PC ma non 
l'utente :( (nella policy IAS devo inserire anche i cmoputer del dominio 
oltre ai domain-user altrimenti non va)
In ogni caso grazie per ora



Dovrebbe bastare, i comandi che ti ho dato dovrebbero servire solo nel caso 
tu abbia più di un server radius, ma quando le cose non funzionano bisogna 
pensarle tutte.
Mi era però sfuggito che manca il comando più importante, quello che abilita 
l'autenticazione a livello globale:
dot1x system-auth-control
Ti sei solo dimenticato di copiarla o manca proprio?
Ciao,
        Tosh. 

 Ti sei solo dimenticato di copiarla o manca proprio?
No, mancava proprio :( purtroppo pero' anche mettendola non e' cambiato 
nulla. Ora comunque provo a riverificare tutte le impostazioni dei 
certificati e di IAS perche' magari tra una prova e l'altra ho fatto un 
po' di caos.
Intanto grazie mille, ti faccio sapere come finisce.



Ho notato che lo switch ha diverse interfacce l3, prova anche a mettere 
questo comando:
ip radius source-interface Vlan2
Se anche cosě non funziona č sicuramente un problema di IAS o del client, 
puoi sempre usare i vari debug dello switch per scoprirlo.
Ciao,
        Tosh 

 puoi sempre usare i vari debug dello switch per scoprirlo.
Grazie anche alle info che mi hai datoho risolto, Grazie mille !!!
Il problema era che nella policy di autenticazione di IAS io inserivo 
direttamente il gruppo "Domain Users" mentre invece devo effettuare 
l'autenticazione su un altro gruppo, magari in cui c'e' presente dentro 
il gruppo "Domain Users" ma se punto direttamente al gruppo "Domain 
Users" non funziona.
Ora mi rimane solo il problema degli utenti locali dei singoli PC che, 
non essendo riconosciuti dal server vengono rifiutati da IAS (e di 
conseguenza dallo switch) ma per quello vedro' come fare.
Intanto grazie mille di tutto, sei stato gentilissimo e con una pazienza 
estrema !
