![](https://blog.crfnetwork.com/wp-content/uploads/2024/01/image-95.png)
Tìm hiểu về 802.1x
802.1x là một chứng thực chuẩn IEEE, được sử dụng cho mạng có dây lẫn không dây. Là phương pháp đóng mở dựa trên điều kiện mà server AAA xác thực.
- Các thiết bị muốn đi vào mạng được gọi là supplicant.
- Một supplicant có thể sử dụng phương thức EAP để dò ID của mình với authentication server.
- Giữa supplicant và authentication server là authenticator.
- Authenticator hoạt động như một switch ở trong mạng này.
- Switch sử dụng giao thức EAP over LAN (EAPoL) với supplicant và RADIUS với anthentication server.
Trong suốt quá trình 802.1x, port vẫn bị chặn và xảy ra những điều sau đây:
- Supplicant gửi giấy chứng nhận đến authenticator
- AP gửi thông tin chứng thực đến server thông qua gói tin RADIUS
- Luồng RADIUS được authentication server gửi đến client thông qua AP
- Trong suốt quá trình thay đổi, client và AP sử dụng các key là duy nhất
- RADIUS server gửi một thông điệp truy cập thành công đến client với một key seasion WEP
- AP giữ key seasion WEP đó để sử dụng giữa AP và chính nó
- AP gửi key seasion WEP cùng với một key broadcast/multicast WEP đến client
- Client và AP có thể sử dụng key seasion WEP để mã hóa luồng lưu lượng
Cấu hình trên Switch
Trên switch ta khai báo dùng xác thực dot1x
aaa new-model
radius server ISE
address ipv4 192.168.10.100 auth-port 1812 acct-port 1813
key 12345
aaa group server radius ISE-GROUP
server name ISE
ip radius source-interface VLAN 254
exit
aaa authentication dot1x default group ISE-GROUP
aaa authorization network default group ISE-GROUP
int vlan 254
ip address 10.10.10.10 255.255.255.0
int Ethernet1/1
switchport mode access
switchport access vlan 254
interface Ethernet1/0
switchport mode access
authentication port-control auto
dot1x pae authenticator
spanning-tree portfast edge
Cấu hình trên Cisco ISE
Trên ISE GUI, vào Administration -> Network Resources -> Network Devices, bấm Add và điền thông tin switch.
![](https://blog.crfnetwork.com/wp-content/uploads/2024/01/image-83.png)
Ở dưới, tích vào mục Radius và điền shared secret 12345.
Sau đó vào Policy -> Policy Set, thêm policy như sau và ấn Save.
![](https://blog.crfnetwork.com/wp-content/uploads/2024/01/image-84.png)
Bấm nút mũi tên để View policy vừa tạo
![](https://blog.crfnetwork.com/wp-content/uploads/2024/01/image-85.png)
Tạo rule mới với Authen và Author như sau
![](https://blog.crfnetwork.com/wp-content/uploads/2024/01/image-86.png)
Với Authentication của Wired_802.1X có thể chọn từ DC hoặc Internal Users (tạo user/pass trên Radius Server).
Để tạo Internal Users, vào Administrator -> Identity Management -> Identities để quản lý.
Cấu hình trên Client
Trên Win 7 ép xác thực theo kiểu dot1x, mở services.msc, tìm dịch vụ Wired Autoconfig, sửa thành Automatic và bật dịch vụ lên.
![](https://blog.crfnetwork.com/wp-content/uploads/2024/01/image-87.png)
Sau đó vào quản lý card mạng, chọn Properties, sang tab Authentication, chọn Settings cạnh PEAP.
![](https://blog.crfnetwork.com/wp-content/uploads/2024/01/image-88.png)
- Bỏ tích Validate Server Certificate
- Bấm Configure cạnh EAP-MSCHAP v2, bỏ tích
![](https://blog.crfnetwork.com/wp-content/uploads/2024/01/image-89.png)
Bấm OK, sau đó quay lại tab Authentication, chọn Additional Settings, bật Authentication mode là User authentication.
![](https://blog.crfnetwork.com/wp-content/uploads/2024/01/image-90.png)
Rút dây mạng ra cắm lại sẽ thấy nhảy ra 1 popup Network Authentication. Máy PC Win7 cần nhập đúng user/pass mới vào được mạng, tránh trường hợp cố tình đặt IP tĩnh hoặc MAC spoofing.
![](https://blog.crfnetwork.com/wp-content/uploads/2024/01/image-91.png)
Điền user và pass vào, nếu đúng thì card mạng mới được enable, còn sai sẽ báo Authentication fail.
Kiểm tra (audit)
Để xem log session xác thực, trên ISE GUI, vào Operations -> Radius -> Live Logs
![](https://blog.crfnetwork.com/wp-content/uploads/2024/01/image-92.png)
Trên switch:
show dot1x all
show authentication session