FortiNAC als RADIUS-Server für Wired/Wireless 802.1X/MAC Auth

FortiNAC ist ein mächtiges Produkt, das Sicherheit im Netzwerk schafft, indem es ungewollte Geräte aussperrt oder erst nach einer Klassifizierung zulässt. Die offizielle Dokumentation ist verbesserungswürdig, wenn es darum geht, FortiNAC als RADIUS-Server für 802.1X EAP-TLS und MAC Authentication zu konfigurieren, aber genau dieses Problem, lieber Leser, wird mit diesem Artikel gelöst.

Am Ende dieses Artikels ist FortiNAC in der Lage, RADIUS-Anfragen für 802.1X- und MAC-Authentifizierung im LAN und WLAN von Fortinet- sowie Drittanbieter-Switches und Access Points zu verarbeiten und dabei dynamisch VLAN-Zuweisungen bereitzustellen. Die beschriebenen Funktionen gelten für die Versionen 7.6.6 und 7.6.7.

Das Setup

• FortiNAC mit 7.6.6 und 7.6.7
• FortiGate 70G mit 7.6.7
• FortiSwitch 424E mit 7.6.6 (managed)
• FortiAP 241K mit 7.6.5 (managed)
• Aruba-CX 6000
• Aruba IAP 505

FortiNAC hat ein vollendetes Grundsetup, damit man es über die GUI administrieren kann. FortiSwitch und FortiAP sind bereits in die FortiGate eingebunden; es gibt VLANs auf dem FortiLink-Interface und eine Tunnel-SSID.

Die Aruba-Geräte sind vollkommen eigenständig und der Switch hat einen eigenen Uplink mit VLANs.

Wichtig: Dieser Artikel wurde mit FortiNAC 7.6.6 begonnen, aber während des Verfassens ist 7.6.7 erschienen, mit dem RADIUS-Only Devices möglich sind. Am Ende dieses Artikels ist eine Sektion, die sich nur mit 7.6.7 und dem neuen RADIUS-Only-Feature beschäftigt.

Zertifikate importieren

Da 802.1X mit EAP-TLS konfiguriert wird, werden zuerst zwei Zertifikatstasks erledigt. FortiNAC benötigt für den lokalen RADIUS-Server ein Zertifikat, damit die Clients FortiNAC validieren können, und es muss ein Trusted CA Zertifikat importiert werden, damit FortiNAC den Clientzertifikaten vertraut.

Das Trusted CA Zertifikat kann über Settings -> Certificate Management „Trusted Certificates“ mit “Upload Certificate“ importiert werden. Dabei ist es wichtig, als Certificate Target die Option RADIUS Endpoint Trust [radius] auszuwählen.

Im gleichen Menü kann über den Reiter „Server Certificates“ das RADIUS-Serverzertifikat importiert oder ein CSR erstellt werden.

Das „Certificate Target“ ist hier “Local RADIUS SERVER (EAP) [radius]“.

RADIUS aktivieren

Zuerst muss RADIUS als Service auf dem port1 Interface von FortiNAC aktiviert werden. Das wird auf der CLI gemacht und ich aktiviere sowohl RADIUS Authentication als auch Accounting.

config system
    interface
        edit port1
            append allowaccess radius-auth radius-acct
        next
    end

Der lokale RADIUS-Service ist standardmäßig nicht aktiviert und das kann über Network -> RADIUS gelöst werden.

Hier wird Folgendes gemacht:

• Toggle Service Status: Klicken, damit der RADIUS-Service Status zu „Running“ wechselt.
• Accounting: Kann aktiviert werden, wenn RADIUS-Accounting später konfiguriert wird.
• Activity Monitoring: Aktiviert
• Authentication Failure Events: Aktiviert
• Require Message-Authenticator: Auto, das die beste Kompatibilität liefert.
• Service Log Debug: Enable
• FortiNAC Server Log Debug: Enable
• Include Network Access Policy Debug: Aktiviert

Mit diesen Optionen und einem „Submit“ ist der RADIUS-Service konfiguriert.

In diesem Menü kann man über „View Log“ die RADIUS-Logs öffnen, um zu sehen, wie die RADIUS-Anfragen behandelt werden. Hier gibt es die Optionen „Service Log“ und „Server Log“ und ich empfehle primär die „Server Log“ -Option zu benutzen, da sie die meisten Informationen liefert und für das Troubleshooting am besten ist.

Es wird noch eine Virtual Server-Konfiguration benötigt, die über den Reiter „Virtual Servers“ erstellt wird. Ein Virtual Server ist eine RADIUS-Server-Konfiguration, die vorgibt, welches Zertifikat für den Server benutzt werden soll und welche EAP-Methoden erlaubt sind.

Es kann ein neuer Virtual Server konfiguriert werden oder DefaultConfig benutzt werden.

In der Konfiguration sind folgende Sachen wichtig:

• Type: Local, da es ein lokaler RADIUS-Server sein soll
• TLS Configuration: Hier kann das vorher importierte Zertifikat über den Bleistift-Button ausgewählt werden
• Supported EAP Types: Es ist wichtig, dass mindestens TLS ausgewählt ist

Roles und Hosts

Damit Hosts später für die MAC Authentication richtig erkannt werden, benötigen wir Roles und müssen diese Hosts zuweisen.

Roles werden in Policy & Objects -> Roles erstellt und es reicht ein Name. Ich habe nur die Rolle „CLIENTS“ erstellt.

Wenn eine MAC-Adresse in FortiNAC erkannt wird, wird in Users & Hosts ein Adapter mit dieser MAC-Adresse und auch ein Host angelegt. Dieser Host kann im Hosts Menü dann der Role zugewiesen werden.

Man kann natürlich Hosts, bzw. MAC-Adressen importieren und sofort eine Role zuweisen. Das funktioniert über eine CSV-Datei und dem Button „Import“ im Hosts-Menü. Eine Beispiel CSV-Datei sieht wie folgt aus:

Logical Networks als Bindeglied

In FortiNAC zählen Logical Networks zu den wichtigsten Objekten. Sie verbinden Konfigurationen und geben letztendlich das Ergebnis einer Authentifizierung zurück. Konfiguriert werden diese in Network -> Logical Networks und hier reicht es, einen Namen anzugeben. Ich füge das Logical Network „CLIENTS“ hinzu.

Später wird dieses Objekt im Network Access Teil als Configuration mitgegeben und in der Device Model Configuration einem Access Value zugewiesen.

User/Host Profiles als Logik

Unter Policy & Objects -> User/Host Profiles werden die Regeln erstellt, die Authentifizierungsanfragen mittels Attributen gefiltert, damit später das passende Ergebnis geliefert werden kann.

Es gibt in diesen Profilen zwei Attributgruppen:

• Attributes: Das sind FortiNAC-spezifische Attribute wie der Hoststatus, der Adaptertyp oder die Authentifizierungsmethode.
• RADIUS Attributes: Das sind generische RADIUS-Attribute, die mit jeglichen Attributen arbeiten können.

Für diesen Artikel werde ich drei Profile erstellen:

1.        8021X-CERT-MATCHING mit 4 Filterregeln:

1.1.       Eine normale Attribute-Regel, die überprüft, ob die Anfrage eine 802.1X EAP-TLS-Anfrage ist.

1.2.    
Drei RADIUS Attribut Regeln, die über Simple-, Wildcard- und Regex-Matching Informationen im Zertifikat überprüfen. Diese Regeln sind primär dafür da, um die Möglichkeiten zu zeigen. In einem Produktivsystem würden die Regeln mit „TLS-Client-Cert-Subject“ und „TLS-Client-Cert-Issuer“ reichen. Diese Zertifikatsfelder und alle anderen RADIUS Attributes einer Anfrage sieht man übrigens im RADIUS Server Log wenn eine RADIUS-Anfrage an FortiNAC gesendet wird.

2.        MAB-WIRED-CLIENTS mit 3 Filterregeln:

2.1.       Kommt die Anfrage über einen Wired-Adapter?

2.1.1.      Diese Regel könnte auch mit dem RADIUS-Attribut „NAS-Port-Type“ und dem Wert 15 erstellt werden.

2.2.     Ist es eine MAC Authentication Bypass (MAB) Anfrage?

2.3.     Hat der Host, effektiv die MAC-Adresse, die Rolle „CLIENTS“?

3.        MAB-WIFI-CLIENTS mit 5 Filterregeln:

3.1.       Kommt die Anfrage über einen Wireless-Adapter?

3.1.1.      Diese Regel könnte auch mit dem RADIUS-Attribut „NAS-Port-Type“ und dem Wert 19 erstellt werden.

3.2.     Ist es eine MAC Authentication Bypass (MAB) Anfrage?

3.3.     Hat der Host, effektiv die MAC-Adresse, die Rolle „CLIENTS“?

3.4.     Kommt die Anfrage von einem FortiAP mit der SSID „LAB-MAB“? ODER

3.5.     Kommt die Anfrage von einem Aruba AP mit der SSID „LAB-MAB“?

Somit habe ich die folgenden Profile, die bereit sind weiterverwendet zu werden:

Network Access für das Enforcement

Im Menüpunkt Policy & Objects -> Network Access konfiguriere ich sowohl Configurations, die Logical Networks beinhalten, und verbinde sie mit User/Host Profiles. Diese Kombination, genannt Policy, ergibt das Ergebnis für das Enforcement, also welche RADIUS-Attribute an den Switch oder Access Point geschickt werden.

Im Reiter „Configurations“ erstelle ich eine Network Access Configuration, die einen Namen und ein Logical Network benötigt.

Im Reiter „Policies“ erstelle ich nun meine drei Network Access Policies, bei denen ich jeweils einen Namen, eine Configuration und ein User/Host Profile angeben muss.

Die Reihenfolge der Network Access Policies ist wichtig, da sie von oben nach unten durchsucht werden, aber bei diesen drei kann es zu keinen Überschneidungen kommen.

Nun fehlen uns nur noch unsere Devices und die werden jetzt erstellt und konfiguriert.

Model Devices: FortiGate

Devices in FortiNAC beinhalten die Konfiguration, wie Ports und SSIDs behandelt werden sollen, und die sogenannte Model Configuration, in der die Zuweisung von Logical Networks zu VLANs erstellt wird. Die Devices werden primär über SNMP eingebunden und man kann für weitere Funktionalität API-Keys und CLI-Zugriffe für SSH konfigurieren.

Wir beginnen mit einer FortiGate, und hier werden eine SNMP-Konfiguration (in meinem Fall SNMPv3) und ein REST API Administrator plus sein API-Key benötigt. Der REST API Administrator sollte als Trusted Host nur die IP von FortiNAC und ein super_admin Profil haben. Nicht vergessen, dass SNMP auf dem richtigen FortiGate-Interface aktiviert sein muss.

In FortiNAC kann in Network -> Inventory ein Container hinzugefügt werden, in dem die Devices platziert werden. Ich füge die Container „Fortinet“ und „Third-party“ hinzu.

In diesem Container kann ein Device über „Add“ hinzugefügt werden, das in diesem Fall die FortiGate ist, und es werden die IP, SNMPv3-Informationen und der API-Key eingegeben.

Nach dem Validieren der Credentials und dem Hinzufügen sollte der FortiSwitch als untergeordnetes Device angezeigt werden und im Reiter „SSIDs“ die konfigurierten SSIDs.

Im Reiter “Virtualized Devices” kann nun die root VDOM ausgewählt werden und hier werden sowohl die RADIUS-Konfiguration als auch die Logical Network Configuration gemacht.

Es wird ein RADIUS-Secret benötigt, damit die Verbindung zwischen FortiNAC und FortiGate authentifiziert ist. Bei Server Configuration wird der relevante Virtual Server ausgewählt und als Attribute Group RFC_Vlan.

Attribute Groups, konfigurierbar unter Network -> RADIUS -> Attribute Groups in FortiNAC, geben an, welche RADIUS-Attribute an den Switch oder AP zurückgeliefert werden. Die Standardgruppen sind in vielen Fällen in Ordnung, aber möglicherweise werden mehr Attribute oder komplett andere benötigt.

In der Sektion „Logical Network Configuration“ kann ich meinen Logical Networks VLAN-IDs oder Namen zuteilen und diese Informationen werden als RADIUS-Attribut nach einer erfolgreichen Authentifizierung zurückgeliefert.

Nach dem Setzen aller nötigen Einstellungen kann mit „Save“ gespeichert werden.

In FortiNAC muss auf den FortiSwitch-Ports, wo eine Authentifizierung erfolgen soll, die Group Membership geändert werden. Mit Rechtsklick auf einen Port oder mehrere in der Selektion (hier dann mit „Add Ports to Groups“) kann das Menü dazu geöffnet werden und es wird „Role Based Access“ benötigt. Danach mit OK bestätigen.

Im Reiter „SSIDs“ ist es wichtig bei 802.1X-SSIDs die Option „Dot1x Auto Registration“, bzw. „Auto Registration“ auf „On“ zu stellen. Bei Network Access kann „Use Inherited Network Access Policy from Virtual Device” ausgewählt werden.

Die Auto Registration Option ist deshalb wichtig, weil FortiNAC eine neue MAC-Adresse und den Host dazu als sogenannten Rogue klassifiziert, sofern es keine Registrierung oder kein Device Profiling gab. Diese Rogues dürfen sich nicht auf Ports authentifizieren, auf denen ein Enforcement passiert. Bei MAC-Authentication ist das kein Problem, da ich einen Host zuerst einer Role zuweise und damit ist der Host kein Rogue mehr.

Bei einer 802.1X-Authentifizierung macht es aber keinen Sinn, Hosts vor der Authentifizierung zu pflegen, und deswegen will ich Auto Registration aktivieren, da mit dieser Option dieser Rogue-Check nicht gemacht wird.

Die FortiGate ist nun richtig eingebunden und nun kommen die Third-Party Devices.

Model Devices: Third-Party

Wie bei der FortiGate benötigen die Third-Party-Geräte eine SNMP-Konfiguration, damit FortiNAC sie einbinden kann. Diese Konfiguration ist abhängig von den Geräten und wird hier nicht behandelt.

Begonnen wird mit einem Switch, und nachdem dieser, wie eine FortiGate über SNMP, eingebunden wird, kann man in „Model Configuration“ Folgendes machen:

• Enable RADIUS authentication for this device: Aktivieren
• Server Configuration: Den richtigen RADIUS Virtual Server auswählen.
• Attribute Group: RFC_Vlan oder eine andere Gruppe
• Shared Secret: Das RADIUS Secret
• Read VLANs: Einmal auf den Button klicken
• Die relevanten Logical Networks über „Add Configuration“ hinzufügen.

Bei den Logical Networks ist es wichtig, für jedes eigene Logical Network „Access Enforcement“ auf „Enforce“ zu stellen und in „Access Value“ die passende VLAN-ID auszuwählen.

Die Option für Dot1x Auto Registration kann hier global gesetzt werden, ansonsten ist sie für jeden Port zu konfigurieren.

Wenn in der Model Configuration alles passend gesetzt wurde, kann mit „Save“ gespeichert werden.

Bei den Ports des Switches muss bei der Group Membership wieder „Role Based Access“ aktiviert werden.

Es kann auch ein Default VLAN für die Ports festgelegt werden, das geliefert wird, wenn die Authentifizierung fehlschlägt.

Dazu kann nach einem Rechtsklick auf das Device „Model Configuration“ ausgewählt und bei „Default“ eine VLAN-ID eingegeben werden.

Bei einem Third-Party Access Point ist die Model Configuration ähnlich, aber da es ein Aruba Access Point ist, gebe ich die Attribute Group „Aruba_Role“ zurück und als Access Value werden Aruba-Rollen verwendet, keine VLAN-IDs. Auf dem Access Point werden dann „VLAN Assignment Rules“ benutzt, um anhand der Rollen das richtige VLAN zuzuweisen. Man kann „Dot1x Auto Registration“ für das gesamte Device aktivieren, aber ich werde es nur für die 802.1X SSID aktivieren.

Bei „SSIDs“ kann man die Option „Use Inherited Network Access Policy from Device“ benutzen, sofern keine Ausnahmen nötig sind. Bei einer MAC Authentication-SSID muss nichts weiter geändert werden, aber bei einer 802.1X-SSID sollte „Auto Registration“ wieder aktiviert werden.

Mit dieser Konfiguration sind sowohl der Third-Party Switch als auch der Access Point auf FortiNAC richtig konfiguriert und es kann RADIUS auf den Geräten konfiguriert werden. Für Third-Party wird das in diesem Artikel nicht beschrieben.

FortiGate RADIUS Konfiguration

Um FortiNAC als RADIUS-Server einzubinden und für FortiSwitch und FortiAP zu benutzen, benötigen wir FortiNAC zuerst als RADIUS-Server. Das wird in User & Authentication -> RADIUS Servers gemacht.

Über „Create new“ einen neuen Eintrag erstellen, einen Namen, IP/FQDN und Secret angeben (das Gleiche wie in FortiNAC) und speichern.

Als nächstes muss eine Gruppe unter User Groups mit FortiNAC als Member erstellt werden.

Für FortiAPs muss in der Tunnel-SSID die Option „Authentication“ auf „RADIUS Server“ und der FortiNAC RADIUS-Server ausgewählt werden. FortiAPs sind nun RADIUS-fähig.

Für FortiSwitches wird eine Security Policy benötigt, die in WiFi & Switch Controller > FortiSwitch Port Policies erstellt wird.

Für 802.1X Folgendes konfigurieren:

• Security mode: Port-based
  •  MAC-based ist auch möglich, wenn auf einem Port mehrere MAC-Adressen erwartet werden (Telefone mit Switch, unmanaged Switches, etc.)
• User groups: Die Gruppe mit FortiNAC auswählen

Für eine MAC Authentication Security Policy muss zusätzlich die Option “MAC authentication bypass” aktiviert werden. Diese Security Policy muss dann einem FortiSwitch-Port zugewiesen werden. Dazu die Security Policy Spalte aktivieren und die neue Security Policy auswählen.

Als letzten Schritt braucht das FortiLink-Interface noch eine Policy zu FortiNAC, damit RADIUS-Traffic von der FortiGate erlaubt wird.

Wichtig: Das FortiLink-Interface kann nur in der CLI als Source Interface konfiguriert werden, also es muss zuerst ein anderes Interface als Source Interface benutzt werden.

NAT sollte bei dieser Policy aktiviert sein.

Nun sind die Fortinet-Produkte für RADIUS konfiguriert und wir können zur Verifizierung übergehen.

Verifizierung der RADIUS-Authentifizierung

Zuerst sollte in FortiNAC der RADIUS Server Log über Network -> RADIUS -> View Logs -> Server Log geöffnet werden.

Wenn nun eine RADIUS-Authentifizierung an FortiNAC gesendet wird, egal ob von FortiSwitch, FortiAP oder Third-Party, sieht man im Log zuerst die RADIUS-Anfrage mit den RADIUS-Attributen, die im User/Host Profile für das Filtering verwendet werden, den Network Access Policy Lookup und am Ende das Ergebnis des Prozesses, also die resultierenden RADIUS-Attribute, die dem Gerät von FortiNAC geschickt werden.

Auf einem FortiSwitch kann ich den Status entweder über die GUI überprüfen, indem ich auf den Ports in der „Dynamic VLAN“-Spalte nachschaue, welche VLANs vorhanden sind, oder auf der CLI mit dem Befehl „diagnose switch-controller switch-info 802.1X <SERIAL_NAME> <PORT>“ und ich sollte „state=AUTHENTICATED“ sehen und das richtige „Native VLAN“.

Die Verifizierung auf den Third-Party-Geräten ist von Gerät zu Gerät unterschiedlich und kann hier nicht behandelt werden.

Wenn FortiNAC, wie auf dem obigen Bild, mindestens die drei RADIUS-Attribute Tunnel-Medium-Type, Tunnel-Private-Group-Id und Tunnel-Type sendet, ist das in den meisten Fällen genug.

Troubleshooting

Hier sind ein paar der häufigsten Fehler, die bei einer RADIUS-Authentifizierung passieren können. Alle Fehler erscheinen im RADIUS Server Log und das ist auch die beste Option, um Fehler zu finden.

Policy access config lookup skipped - not a member of 'Role Based Access' port group: Der Port, an dem der Client angeschlossen ist, ist kein Mitglied der Gruppe „Role Based Access“. Für 7.6.7 muss die State Based Access Control Rules Änderung gemacht werden, die in der 7.6.7-Sektion beschrieben ist.

 [Access-Reject-Event] - Eap-DefaultConfig: Failed continuing EAP TLS (13) session.  EAP sub-module failed/[Access-Reject-Event] - Client Certificate Not Trusted (Unknown CA): Das CA-Zertifikat wurde nicht als Trusted Certificate „RADIUS Endpoint Trust [radius]“ importiert, wie im Punkt “Zertifikate importieren“ beschrieben.

Skipping Enforcement Action - Rogue Client on NON Forced Registration Port (Group: Forced Registration): Der Client ist ein Rogue, also die MAC-Adresse ist nicht registriert. Bei MAC Authenticaton muss eine Role zugewiesen. Bei 802.1X Authentication sollte entweder in der Model Configuration oder am Port „Dot1x Auto Registration“ aktiviert werden.

Get Enforcement Action - Rogue Client on Registration Enforced SSID: Ähnlich wie der vorherige Fehler, nur für SSIDs anstatt Ports.

[Policy] No Network Access Policy match found: Keine der vorhandenen Network Access Policies konnte gematcht werden. Die bestehenden Policies, bzw. die User/Host Profiles müssen mit den Attributen der RADIUS-Anfrage überprüft werden.

Session Close

Aber warten Sie! Ich habe 7.6.7 versprochen und das kommt nun.

RADIUS-Only mit FortiNAC 7.6.7

Geräte nur über RADIUS und ohne SNMP einzubinden ist ein großartiges neues Feature von 7.6.7 und die Konfigurationsschritte dafür sind nicht kompliziert, aber es gibt ein paar Dinge, die man beachten muss.

Wichtig: Logical Networks, User/Host Profiles und Network Access Policies und Configurations werden weiterhin benötigt und diese Konfiguration ändert sich nicht für RADIUS-Only Devices.

Unter Network -> Configuration wurden einige alte Menüs zusammengefasst und neue hinzugefügt.

Im Reiter „Settings“ des Menüpunkts „RADIUS“ sollten die Einstellungen überprüft werden, wenn es eine bestehende Konfiguration gab oder auch nicht, besonders der Authentication Port, der möglicherweise bei einer Neuinstallation auf 1645 gesetzt ist und normalerweise 1812 ist.

Als Erstes sollte aber ein RADIUS-Only Device hinzugefügt werden und das funktioniert wie vorher über Network -> Inventory mit „Add“. Hier kann die neue Option „RADIUS Settings“ ausgewählt und das RADIUS Secret eingegeben werden. Das Secret, die IP und ein Container sind alles, was nun gebraucht wird.

RADIUS mit 7.6.7

Für RADIUS-Only benötigen wir eine RADIUS Configuration und die ist unter Network -> Configuration -> RADIUS im Reiter „Configuration“ zu finden. Hier kann eine neue Configuration hinzugefügt werden. Dazu wird ein Virtual Server benötigt und es kann Dot1x Auto Registration für die Configuration aktiviert werden.

Im gleichen Menü, aber unter dem Reiter „Response Attributes“, wird eine Konfiguration erstellt, die besagt, welche RADIUS Attributes später an das Device zurückgesendet werden. Im Feld „Authentication“ kann eine globale Attribute Group ausgewählt werden, die immer gesendet wird, und über „Add New“ können für jedes Logical Network noch weitere Attribute Groups gesendet werden.

Ich liefere als Beispiel die Gruppe „RFC_Vlan“ zurück und für das Logical Network „CLIENTS“ die Gruppe „Aruba_Vlan“. Es muss außer der globalen Authentication Attribute Group keine Konfiguration gemacht werden, außer man benötigt mehrere RADIUS-Attribute.

Als letzter Schritt, bevor wir mit der richtigen Logik beginnen können, müssen unseren Logical Networks VLAN-IDs zugewiesen werden.

Die Logical Networks werden in Network -> Configuration -> Logical Networks Reiter „Logical Networks“ erstellt, genau wie weiter oben beschrieben, und das Mapping im Reiter “Logical VLAN Mapping Configuration”

Hier wird eine Configuration erstellt, die jedem Logical Network eine Access Value, also eine VLAN-ID, zuweist.

Nun können wir zu den Selectors gehen.

Configuration Selectors und Control Rules

Die neuen Configuration Selectors entscheiden, welche RADIUS-, Attribute- und VLAN-Konfiguration benutzt wird, anhand von bestimmten Filtern.

Zu finden sind sie in Network -> Configuration -> Configuration Selectors mit den drei wichtigsten Reitern:

• RADIUS Server Selector
• Response Attribute Selector
• Logical VLAN Mapping Selector

Die Namen sind uns bekannt, weil diese Objekte gerade konfiguriert wurden. In jeder Sektion wird ein neuer Eintrag erstellt, in dem entschieden wird, für welche Geräte welche Target Configuration benutzt wird. Als Filter hat man RADIUS-, Device-relevante, Container-, und Port und SSID-Attribute zur Verfügung.

Man kann zum Beispiel auswählen, dass bestimmte SSIDs (RADIUS; Fortinet-SSID), ein Device mit einer bestimmten IP (Device; Device IP Address), in bestimmten Containern (Container; Container Name) oder an einem bestimmten Port (Port and SSID; Port Name) bestimmte Konfigurationen bekommen.

Ich filtere bei allen Selectors auf den Container „Third-party“ und der wird aus dem Inventory ausgewählt. Man kann natürlich auch AND und OR Conditions hinzufügen, um die Konfiguration z.B. für mehrere Container zu benutzen.

Als letzten Schritt müssen wir unter Network -> Configuration -> State Based Access Control Rules den Eintrag mit „Membership Actions“ „Role Based Access“ ändern.

Hier muss eine zusätzliche OR Condition mit „Port and SSID Port Port Group != Legacy Role Based Access“ erstellt werden.

Diese Conditions werden gebraucht, um später Network Access Policies für das Enforcement auszuwählen, aber mit der Standardkonfiguration gibt es für RADIUS-Only Devices ein Problem. Diese Devices haben keine Port Groups und somit würde nie eine Network Access Policy gesucht werden. Mit der kleinen Änderung funktioniert das und alte SNMP-Devices können mit neuen RADIUS-only parallel funktionieren.

Verifizierung mit 7.6.7

Der Test ist gleich wie mit 7.6.6, also wenn ein 802.1X-Client sich an einen Switch anhängt, sieht man im RADIUS Server Log Folgendes:

• Der RADIUS-Server „DefaultConfig“ wird mit dem RADIUS Server Selector ausgewählt.
• Die State Membership ist laut State Based Access Control Rules “ROLE_BASED_ACCESS”.
• VLAN Mapping „VLAN_Mapping“ wird über den Logical VLAN Mapping Selector gewählt.
• Die Network Access Policy “8021X-CERT-MATCHING” mit dem Logical Network “CLIENTS” und der VLAN-ID 101 wird ausgewählt.
• Das Response Attribute “RESPONSE_ATTRIBUTES” wird mittels des Response Attribute Selector gewählt.
• Die „RFC_Vlan“ Attribute Group wird als globale Attribute Group zurückgesendet und, weil das Logical Network „CLIENTS“ ausgewählt wurde, auch die Attribute Group „Aruba_Vlan„ (Attribut „Aruba-User-VLAN“).

Somit ist nun auch RADIUS-Only konfiguriert.

Wie oben erwähnt, gibt es keine Änderungen für Network Access Policies, also wenn man bereits Policies besitzt, müssen diese nicht geändert werden.

Session Close und nun wirklich

FortiNAC ist ein mächtiges Produkt und in diesem Artikel wurde nur ein Teil der Features beschrieben. Es gibt sehr viel mehr, was FortiNAC kann, aber, lieber Leser, das sind Artikel für die Zukunft. In der Zwischenzeit hoffe ich, dass dieser Artikel zur RADIUS-Authentifizierung hilft.

Wenn Sie Vorschläge für zukünftige Beträge haben, Konfigurationen sehen möchten, auch in Videoformat, oder Feedback haben, bitte ich Sie, diese an techxperts_central@exclusive-networks.com zu schicken.