Newsgroup: it.comp.reti.cisco
Titolo: Autenticazione Radius

Premessa: ho una discreta esperienza di reti ma non altrettanto di 
security e autenticazione dove invece sono decisamente novizio.
Siano date due reti A e B. Private appartenenti alla stessa azienda e 
direttamente connesse
L'utente Pippo sulla rete A deve poter avere alcune abilitazioni sulla 
rete B.
L'utente Pluto sulla rete A deve poter avere altre abilitazioni 
(diverse) verso la rete B.
Solo che Pippo e Pluto non mi danno sicurezza su quale sia il loro IP, 
possono loggarsi da un computer diverso ogni volta, sia pure sempre 
sulla rete A. Ne consegue che NON posso assegnare sul firewall che 
separa le due reti (PIX o ASA) delle abilitazioni legate all'indirizzo 
IP. E' necessario che Pippo e Pluto si autentichino in qualche modo e 
che le permission siano legate non tanto all'indirizzo Ip ma all'utente.
Come fare? Mi risulta che sia possibile abilitare anche autenticazioni 
legate al nome dell'utente (magari tramite radius) ma non l'ho mai 
implementata in questo modo... Voglio dire: il sistema classico del RAS 
è più semplice: in base all'utenza e alla password assegno il giusto 
indirizzo IP e sono a cavallo perchè allora filtro in base all'IP... ma 
qui non posso.
Ed estendiamo il problema: supponiamo di avere una decina di subnet 
sparse, ciascuna delle quali ha comunque un firewall come gateway: posso 
ottenere la stessa cosa con un sistema di autenticazione centralizzata? 
Cosicchè Pippo e Pluto abbiano le stesse permission da QUALUNQUE IP si 
colleghino all'interno della mia rete?
Grazie per ogni eventuale risposta

 (diverse) verso la rete B.
Aggiungo raccontandovi il workaround che ho messo a punto senza 
studiarci troppo: naturalmente è più da "retaiolo" (e lavora sugli IP) 
che da "autenticatore" (con policy di sicurezza sull'utenza) visto il 
mio background. Naturalmente per fare questo ho dovuto aprire le porte 
giuste sul firewall (non me le ricordo ma è stato facile trovarle)
Ho preso un PC con WindowsXP (il pc fisso sulla mia scrivania), l'ho 
abilitato a fare da terminatore VPN. Quando mi muovo nelle varie sedi 
dell'azienda con il portatile tiro su la VPN di Windows verso il mio PC 
e mi ritrovo sulla rete aziendale con lo stesso IP e le stesse 
abilitazioni che ho quando sono alla mia scrivania. Ovvio che posso fare 
la stessa cosa quando NON ho il portatile dietro (anche se è un pochetto 
più noioso perchè devo configurare il client VPN) ma è una soluzione che 
è pienamente versatile solo con il portatile.
E naturalmente non è quello che stavo cercando anche se è stato un buon 
workaround

 disse ciò:
Puoi fare tutto e in modo molto flessibile 
utilizzando Cisco ACS Secure (Radius e Tacacs su Windows e Solaris) e l'AAA dei routers (FW feature set)
Trovi un sacco di materiale su 
cisco.com
 in Technical Support sezione Security e VPN. 
Concetti e configurazione di base per gestire AAA con ACS e Cisco IOS nei CiscoPress per la 642-501 SECUR (molto valido se sei a digiuno di tutto)
Non mi viene in mente altro
Ciao

utilizzando Cisco ACS Secure (Radius e Tacacs su Windows e Solaris) e l'AAA
dei >routers (FW feature set)
Si, ma costa un  po tanto , con win2kserver č meglio (Radius incluso ) ,
ancora meglio si č gratis (free radius)

 ancora meglio si _ gratis (free radius)
Senza dubbio, costa un pò tanto, con Cisco è sottinteso


Me la studio un po'. Grazie.