Zyxel Network Switch XGS/GS2xxx – MAC-Authentifizierung mit Active Directory auf Zyxel Switches konfigurieren

[Zyxel Switch / XGS / GS 2xxx Serie und höher] – MAC-Authentifizierung mit Active Directory

Dieses Tutorial konzentriert sich auf die Implementierung der MAC-Authentifizierung mit Active Directory, speziell angepasst an grundlegende Active Directory-Einstellungen unter Verwendung von Windows Server 2019 mit einer einfachen Struktur:

BaseDN: DC=ad,DC=local

Erster Schritt: Benutzererstellung und -hinzufügung Um den Prozess zu starten, ist es unerlässlich, einen Benutzer zu erstellen und hinzuzufügen, der als Client dient. Als Beispiel betrachten wir ein Gerät mit der MAC-Adresse „b827eb2550df“ (z. B. ein Raspberry Pi). Dieser Benutzer spielt eine Schlüsselrolle im Authentifizierungsprozess, der in den folgenden Schritten beschrieben wird.

Switch-Einstellungen

Wir müssen einen Zyxel Switch als RADIUS-Client auf dem NPS-Server hinzufügen.

1) Öffnen Sie Active Directory-Benutzer und -Computer: Start > Alle Programme > Verwaltungstools > Active Directory-Benutzer und -Computer.

2) Erstellen Sie ein neues Benutzerkonto. Der Benutzername und das Passwort sollten die MAC-Adresse des verbindenden Geräts sein. Hinweis: Bitte prüfen Sie, welche Optionen im Switch unterstützt werden, und konfigurieren Sie diese. Wir haben folgende Optionen basierend auf X/GS2xxx oder höher:

Konfigurieren Sie den Switch, indem Sie zu folgendem Menü navigieren:

SECURITY > Port Authentication > MAC Authentication

Aktivieren Sie dann die MAC-Authentifizierung, wählen Sie einen passwortbasierten Typ mit Kleinbuchstaben für die MAC-Adresse und aktivieren Sie die MAC-Authentifizierung an den Ports, die Sie wünschen. Ändern Sie den Bindestrich auf dem Switch auf „keinen“.
 

Mögliche Einstellungen:

In diesem Beispiel sind die MAC-Adresse und der Benutzername des Clients „b827eb2550df“. Der Pi sendet MAC und Passwort identisch, was bedeutet, dass Benutzername und Passwort „b827eb2550df“ sind. Stellen Sie sicher, dass die MAC-Adresse als Benutzername und Passwort ohne Doppelpunkte hinzugefügt wird.

• Wenn Sie eine MAC-Adresse als Passwort verwenden, müssen Sie möglicherweise die Passwortkomplexitätsanforderungen des Servers anpassen, um alle erzwungenen Mindestpasswortanforderungen zu entfernen.
  Gehen Sie zum Server-Manager, Tools oben rechts, Lokale Sicherheitsrichtlinie, Kontorichtlinie, Kennwortrichtlinie und ändern Sie die Mindestlänge der Kennwortrichtlinie auf „Keine“. Hinweis: Stellen Sie sicher, dass Sie diese Option erst nach dem Hinzufügen aller MAC-Adress-Benutzerkonten aktivieren.

• Damit der Benutzer durch AD authentifiziert werden kann, benötigen wir eine Gruppe dafür:

Benutzer und Gruppe sind also erstellt, und jetzt müssen wir NPS konfigurieren.

NPS-Einstellungen

Alle Switches, die einen Client authentifizieren müssen, müssen im NPS als RADIUS-Client hinzugefügt werden.

• Öffnen Sie die NPS-Serverkonsole, indem Sie zu Start > Programme > Verwaltungstools > Netzwerkrichtlinien-Server gehen.
• Erweitern Sie im linken Bereich die Option „RADIUS-Clients und -Server“.
• Klicken Sie mit der rechten Maustaste auf „RADIUS-Clients“ und wählen Sie „Neu“.
• Geben Sie einen Namen für den Zyxel-Switch ein.
• Geben Sie die IP-Adresse Ihres Zyxel Switches ein.
• Erstellen und geben Sie ein RADIUS Shared Secret ein.
• Klicken Sie auf OK, wenn Sie fertig sind.
• Wiederholen Sie diese Schritte für alle Switches, die für MAC-Auth verwendet werden sollen.

Nun benötigen wir eine NPS-Verbindungsanforderungsrichtlinie.

Mit den Einstellungen für Windows-Gruppe und NAS-Porttyp:

Mit der Authentifizierungsmethode in den Einstellungen:

Jetzt können wir mit der Switch-Konfiguration fortfahren.

Zuerst müssen wir den AAA-Server hinzufügen, indem wir zu folgendem Menü navigieren:

SECURITY > AAA > RADIUS Server Setup

• Beziehen Sie sich auf Nr. 6 NPS-Einstellung: Shared Secret => IP einstellen und ein RADIUS Shared Secret eingeben.

Jetzt müssen wir den Port aktivieren, auf dem MAC-Auth verwendet werden soll:
(Hier im Beispiel ist der Pi mit Port 6 verbunden):

Speichern Sie Ihre Konfiguration, um die Einstellungen nach einem Neustart nicht zu verlieren:

Überprüfung:

Ich habe die Überprüfung mit Wireshark durchgeführt, und es funktioniert:

• Sie können auch das Domain-Log verwenden, dort sehen Sie dasselbe:

Hinweis: Nach der Konfiguration des Switches sollten Sie Ihre neue Konfiguration immer auf dem Switch speichern.
Andernfalls gehen die Änderungen nach einem Neustart verloren.
Switch-Konfiguration nach Stromausfall oder Neustart verloren