De documentatie van dit product is waar mogelijk geschreven met inclusief taalgebruik. Inclusief taalgebruik wordt in deze documentatie gedefinieerd als taal die geen discriminatie op basis van leeftijd, handicap, gender, etniciteit, seksuele oriëntatie, sociaaleconomische status of combinaties hiervan weerspiegelt. In deze documentatie kunnen uitzonderingen voorkomen vanwege bewoordingen die in de gebruikersinterfaces van de productsoftware zijn gecodeerd, die op het taalgebruik in de RFP-documentatie zijn gebaseerd of die worden gebruikt in een product van een externe partij waarnaar wordt verwezen. Lees meer over hoe Cisco gebruikmaakt van inclusief taalgebruik.
Cisco heeft dit document vertaald via een combinatie van machine- en menselijke technologie om onze gebruikers wereldwijd ondersteuningscontent te bieden in hun eigen taal. Houd er rekening mee dat zelfs de beste machinevertaling niet net zo nauwkeurig is als die van een professionele vertaler. Cisco Systems, Inc. is niet aansprakelijk voor de nauwkeurigheid van deze vertalingen en raadt aan altijd het oorspronkelijke Engelstalige document (link) te raadplegen.
Dit document biedt een configuratievoorbeeld voor Media Access Control Security (MACsec) encryptie tussen een 802.1x-smeekbede (Cisco AnyConnect Mobile Security) en een authenticator (switch). Cisco Identity Services Engine (ISE) wordt gebruikt als verificatie- en beleidsserver.
MACsec is gestandaardiseerd in 802.1AE en wordt ondersteund op Cisco 3750X, 3560X en 4500 SUP7E switches. 802.1AE definieert linkencryptie via bekabelde netwerken die gebruik maken van out-of-band toetsen. Deze encryptiesleutels worden onderhandeld met het protocol van MACsec Key Agreement (MKA), dat wordt gebruikt na succesvolle 802.1x-verificatie. MKA is gestandaardiseerd in IEEE 802.1X-2010.
Een pakket is alleen versleuteld op de koppeling tussen de pc en de switch (point-to-point encryptie). Het pakket dat door de switch wordt ontvangen wordt ontsleuteld en onversleuteld via uplinks. Om de overdracht tussen de switches te versleutelen, wordt een switch-switch-encryptie aanbevolen. Voor die encryptie wordt Security Association Protocol (SAP) gebruikt om sleutels te onderhandelen en te regenereren. SAP is een protocol dat is gebaseerd op een standaardsleutelovereenkomst dat door Cisco is ontwikkeld.
Cisco raadt kennis van de volgende onderwerpen aan:
De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:
De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u de potentiële impact van elke opdracht begrijpen.
Stap 1. De aanvrager (AnyConnect NAM) start de 802.1x-sessie. De switch is de authenticator en ISE is de authenticatieserver. Extensible Authentication Protocol over LAN (EAPOL) wordt gebruikt als transport voor EAP tussen de aanvrager en de switch. RADIUS wordt gebruikt als transportprotocol voor EAP tussen de switch en de ISE. MAC-verificatieBypass (MAB) kan niet worden gebruikt, omdat de EAPOL-toetsen van ISE moeten worden teruggestuurd en gebruikt voor de MACsec Key Agreement (MKA)-sessie.
Stap 2. Nadat de 802.1x-sessie is voltooid, start de switch een MKA-sessie met EAPOL als transportprotocol. Als de aanvrager correct is geconfigureerd, worden de toetsen voor symmetrische 128-bits AES-GCM (Galois/Teller Mode)-encryptie matchen.
Stap 3. Alle volgende pakketten tussen de aanvrager en de switch worden versleuteld (802.1AE-insluiting).
De ISE-configuratie omvat een typisch 802.1x-scenario met uitzondering van het machtigingsprofiel, dat ook een coderingsbeleid kan omvatten.
Kies Beheer > Netwerkbronnen > Netwerkapparaten om de switch als netwerkapparaat toe te voegen. Voer een vooraf gedeelde RADIUS-toets (gedeeld geheim) in.
De standaard verificatieregel kan worden gebruikt (voor gebruikers die lokaal op ISE zijn gedefinieerd).
Kies Beheer > Identity Management > Gebruikers om de gebruiker "cisco" lokaal te definiëren.
Het autorisatieprofiel kan een coderingsbeleid omvatten. Zoals in dit voorbeeld wordt getoond, kies Beleid > Resultaten > Vergunningsprofielen om de informatie terug te zien ISE naar de switch die de verbindingsencryptie verplicht is. Ook is het VLAN-nummer (10) geconfigureerd.
Kies beleid > Toestemming om het vergunningprofiel in de vergunningsregel te gebruiken. Dit voorbeeld retourneert het geconfigureerde profiel voor gebruiker "cisco". Als 802.1x succesvol is, keert ISE Radius-Accept terug aan de switch met Cisco AVPair linksec-beleid=must-secure. Deze eigenschap dwingt de switch om een MKA-sessie te initiëren. Als die sessie mislukt, wordt de 802.1x-autorisatie op de switch ook mislukt.
De populaire 802.1x poortinstellingen omvatten (weergegeven bovenste gedeelte):
aaa new-model
aaa authentication dot1x default group radius
aaa authorization network default group radius
aaa group server radius ISE
server name ISE
dot1x system-auth-control
interface GigabitEthernet1/0/2
description windows7
switchport mode access
authentication order dot1x
authentication port-control auto
dot1x pae authenticator
radius server ISE
address ipv4 10.48.66.74 auth-port 1645 acct-port 1646
timeout 5
retransmit 2
key cisco
Het lokale MKA-beleid wordt gecreëerd en toegepast op de interface. MACsec is ook ingeschakeld op de interface.
mka policy mka-policy
replay-protection window-size 5000
interface GigabitEthernet1/0/2
macsec
mka policy mka-policy
Met het lokale MKA-beleid kunt u gedetailleerde instellingen configureren die niet vanaf de ISE kunnen worden geduwd. Het lokale MKA-beleid is optioneel.
Het profiel voor de 802.1x-applicatie kan handmatig worden ingesteld of via Cisco ASA worden geduwd. De volgende stappen bieden een handmatige configuratie aan.
Zo beheert u NAM-profielen:
Voeg een nieuw 802.1x-profiel toe met MACsec. Voor 802.1x wordt het Protected Extensible Authentication Protocol (PEAP) gebruikt (geconfigureerde gebruiker "cisco" op ISE):
Gebruik dit gedeelte om te bevestigen dat de configuratie correct werkt.
Voor de AnyConnect NAM die voor EAP-PEAP is ingesteld, zijn correcte aanmeldingsgegevens nodig.
De sessie over de switch moet gewaarmerkt en geautoriseerd worden. De veiligheidsstatus dient "beveiligd" te zijn:
bsns-3750-5#show authentication sessions interface g1/0/2
Interface: GigabitEthernet1/0/2
MAC Address: 0050.5699.36ce
IP Address: 192.168.1.201
User-Name: cisco
Status: Authz Success
Domain: DATA
Security Policy: Must Secure
Security Status: Secured
Oper host mode: single-host
Oper control dir: both
Authorized By: Authentication Server
Vlan Policy: 10
Session timeout: N/A
Idle timeout: N/A
Common Session ID: C0A8000100000D56FD55B3BF
Acct Session ID: 0x00011CB4
Handle: 0x97000D57
Runnable methods list:
Method State
dot1x Authc Success
De MACsec-statistieken over de switch geven de details met betrekking tot de plaatselijke beleidsinstelling, veilige kanaalidentificatoren (SCI’s) voor ontvangen/verzonden verkeer, en ook havenstatistieken en -fouten.
bsns-3750-5#show macsec interface g1/0/2
MACsec is enabled
Replay protect : enabled
Replay window : 5000
Include SCI : yes
Cipher : GCM-AES-128
Confidentiality Offset : 0
Capabilities
Max. Rx SA : 16
Max. Tx SA : 16
Validate Frames : strict
PN threshold notification support : Yes
Ciphers supported : GCM-AES-128
Transmit Secure Channels
SCI : BC166525A5020002
Elapsed time : 00:00:35
Current AN: 0 Previous AN: -
SC Statistics
Auth-only (0 / 0)
Encrypt (2788 / 0)
Receive Secure Channels
SCI : 0050569936CE0000
Elapsed time : 00:00:35
Current AN: 0 Previous AN: -
SC Statistics
Notvalid pkts 0 Invalid pkts 0
Valid pkts 76 Late pkts 0
Uncheck pkts 0 Delay pkts 0
Port Statistics
Ingress untag pkts 0 Ingress notag pkts 2441
Ingress badtag pkts 0 Ingress unknownSCI pkts 0
Ingress noSCI pkts 0 Unused pkts 0
Notusing pkts 0 Decrypt bytes 176153
Ingress miss pkts 2437
Op AnyConnect duiden de statistieken op coderingsgebruik en pakketstatistieken.
Deze sectie bevat informatie waarmee u problemen met de configuratie kunt oplossen.
Schakel debugs in op de switch (sommige uitvoer is voor de duidelijkheid weggelaten).
debug macsec event
debug macsec error
debug epm all
debug dot1x all
debug radius
debug radius verbose
Na het opzetten van een 802.1x-sessie worden er meerdere MAP-pakketten uitgewisseld via EAPOL. Het laatste succesvolle antwoord van de ISE (EAP-succes) dat werd uitgevoerd binnen Radius-Acccept bevat ook diverse Radius-eigenschappen.
RADIUS: Received from id 1645/40 10.48.66.74:1645, Access-Accept, len 376
RADIUS: EAP-Key-Name [102] 67 *
RADIUS: Vendor, Cisco [26] 34
RADIUS: Cisco AVpair [1] 28 "linksec-policy=must-secure"
RADIUS: Vendor, Microsoft [26] 58
RADIUS: MS-MPPE-Send-Key [16] 52 *
RADIUS: Vendor, Microsoft [26] 58
RADIUS: MS-MPPE-Recv-Key [17] 52 *
EAP-Key-Name wordt gebruikt voor de MKA-sessie. Het linksec-beleid dwingt de switch om MACsec (de autorisatie mislukt als dat niet volledig is) te gebruiken. Deze eigenschappen kunnen ook worden geverifieerd in de pakketvastlegging.
Verificatie is geslaagd.
%DOT1X-5-SUCCESS: Authentication successful for client (0050.5699.36ce) on
Interface Gi1/0/2 AuditSessionID C0A8000100000D56FD55B3BF
%AUTHMGR-7-RESULT: Authentication result 'success' from 'dot1x' for client
(0050.5699.36ce) on Interface Gi1/0/2 AuditSessionID C0A8000100000D56FD55B3BF
De switch past de eigenschappen toe (deze omvatten een optioneel VLAN aantal dat ook verzonden is).
%AUTHMGR-5-VLANASSIGN: VLAN 10 assigned to Interface Gi1/0/2 AuditSessionID
C0A8000100000D56FD55B3BF
De switch start vervolgens de MKA-sessie wanneer deze wordt verzonden en EAPOL-pakketten ontvangt.
%MKA-5-SESSION_START: (Gi1/0/2 : 2) MKA Session started for RxSCI 0050.5699.36ce/0000,
AuditSessionID C0A8000100000D56FD55B3BF, AuthMgr-Handle 97000D57
dot1x-ev(Gi1/0/2): Sending out EAPOL packet
EAPOL pak dump Tx
EAPOL pak dump rx
dot1x-packet(Gi1/0/2): Received an EAPOL frame
dot1x-packet(Gi1/0/2): Received an MKA packet
Na 4 pakketuitwisselingen worden de veilige identificatoren gecreëerd samen met de ontvangstbeveiliging (RX).
HULC-MACsec: MAC: 0050.5699.36ce, Vlan: 10, Domain: DATA
HULC-MACsec: Process create TxSC i/f GigabitEthernet1/0/2 SCI BC166525A5020002
HULC-MACsec: Process create RxSC i/f GigabitEthernet1/0/2 SCI 50569936CE0000
HULC-MACsec: Process install RxSA request79F6630 for interface GigabitEthernet1/0/2
De sessie is beëindigd en de TX-beveiligingsvereniging (Transmit) is toegevoegd.
%MKA-5-SESSION_SECURED: (Gi1/0/2 : 2) MKA Session was secured for
RxSCI 0050.5699.36ce/0000, AuditSessionID C0A8000100000D56FD55B3BF,
CKN A2BDC3BE967584515298F3F1B8A9CC13
HULC-MACsec: Process install TxSA request66B4EEC for interface GigabitEthernet1/0/
Het beleid "moet veilig" is gelijk aan dat van de autorisatie en de autorisatie is succesvol.
%AUTHMGR-5-SUCCESS: Authorization succeeded for client (0050.5699.36ce) on
Interface Gi1/0/2 AuditSessionID C0A8000100000D56FD55B3BF
Om de 2 seconden worden MKA Hallo-pakketten uitgewisseld om er zeker van te zijn dat alle deelnemers nog leven.
dot1x-ev(Gi1/0/2): Received TX PDU (5) for the client 0x6E0001EC (0050.5699.36ce)
dot1x-packet(Gi1/0/2): MKA length: 0x0084 data: ^A
dot1x-ev(Gi1/0/2): Sending EAPOL packet to group PAE address
EAPOL pak dump Tx
Wanneer de aanvrager niet voor MKA is geconfigureerd en ISE om encryptie vraagt na een succesvolle 802.1x-verificatie:
RADIUS: Received from id 1645/224 10.48.66.74:1645, Access-Accept, len 342
%DOT1X-5-SUCCESS: Authentication successful for client (0050.5699.36ce) on
Interface Gi1/0/2 AuditSessionID C0A8000100000D55FD4D7529
%AUTHMGR-7-RESULT: Authentication result 'success' from 'dot1x' for client
(0050.5699.36ce) on Interface Gi1/0/2 AuditSessionID C0A8000100000D55FD4D7529
De switch probeert een MKA-sessie te starten wanneer er 5 EAPOL-pakketten worden verzonden.
%MKA-5-SESSION_START: (Gi1/0/2 : 2) MKA Session started for RxSCI 0050.5699.36ce/0000,
AuditSessionID C0A8000100000D55FD4D7529, AuthMgr-Handle A4000D56
dot1x-ev(Gi1/0/2): Sending out EAPOL packet
EAPOL pak dump Tx
dot1x-ev(Gi1/0/2): Sending out EAPOL packet
EAPOL pak dump Tx
dot1x-ev(Gi1/0/2): Sending out EAPOL packet
EAPOL pak dump Tx
dot1x-ev(Gi1/0/2): Sending out EAPOL packet
EAPOL pak dump Tx
dot1x-ev(Gi1/0/2): Sending out EAPOL packet
EAPOL pak dump Tx
En eindelijk af en toe de vergunning niet.
%MKA-4-KEEPALIVE_TIMEOUT: (Gi1/0/2 : 2) Peer has stopped sending MKPDUs for RxSCI
0050.5699.36ce/0000, AuditSessionID C0A8000100000D55FD4D7529, CKN
F8288CDF7FA56386524DD17F1B62F3BA
%MKA-4-SESSION_UNSECURED: (Gi1/0/2 : 2) MKA Session was stopped by MKA and not
secured for RxSCI 0050.5699.36ce/0000, AuditSessionID C0A8000100000D55FD4D7529,
CKN F8288CDF7FA56386524DD17F1B62F3BA
%AUTHMGR-5-FAIL: Authorization failed or unapplied for client (0050.5699.36ce)
on Interface Gi1/0/2 AuditSessionID C0A8000100000D55FD4D7529
De 802.1x-sessie meldt succesvolle authenticatie, maar heeft geen toestemming gegeven.
bsns-3750-5#show authentication sessions int g1/0/2
Interface: GigabitEthernet1/0/2
MAC Address: 0050.5699.36ce
IP Address: 192.168.1.201
User-Name: cisco
Status: Authz Failed
Domain: DATA
Security Policy: Must Secure
Security Status: Unsecure
Oper host mode: single-host
Oper control dir: both
Session timeout: N/A
Idle timeout: N/A
Common Session ID: C0A8000100000D55FD4D7529
Acct Session ID: 0x00011CA0
Handle: 0xA4000D56
Runnable methods list:
Method State
dot1x Authc Success
Het gegevensverkeer wordt geblokkeerd.
Wanneer het verkeer wordt opgenomen op de aanvragende site 4 Internet Control Message Protocol (ICMP), worden de verzoeken/antwoorden verzonden en ontvangen,
Dit is vanwege de manier waarop AnyConnect op Windows API kan worden aangesloten (vóór libpcap wanneer pakketten worden verzonden en vóór libpcap wanneer pakketten worden ontvangen):
Opmerking: De mogelijkheid om MKA- of 802.1AE-verkeer op de switch te doorsluizen met functies zoals Switched Port Analyzer (SPAN) of Embedded Packet Capture (EPC) wordt niet ondersteund.
Niet alle 802.1x-modi worden ondersteund voor MACsec.
De Cisco TrustSEC 3.0 Hoe-te gids: In de introductie van MACsec en NDAC staat:
Single-Host Mode: MACsec wordt volledig ondersteund in single-host modus. In deze modus kan slechts één MAC- of IP-adres als zodanig worden geauthentiseerd en beveiligd met MACsec. Als een ander MAC-adres op de poort wordt gedetecteerd nadat een eindpunt voor verificatie is geweest, zal er een security schending op de poort worden geactiveerd.
MDA-modus (Multi-Domain Authentication): In deze modus kan één eindpunt op het data domein zijn en kan een ander eindpunt op het voice-domein zijn. MACsec wordt volledig ondersteund in MDA-modus. Als beide eindpunten MACsec-mogelijk zijn, zullen beide worden beveiligd door de eigen onafhankelijke MACsec-sessie. Als slechts één eindpunt MACsec-geschikt is, kan dat eindpunt worden beveiligd terwijl het andere eindpunt verkeer in de helder stuurt.
Multi-verificatiemodus: In deze modus kan een vrijwel onbeperkt aantal eindpunten worden geauthentiseerd naar één switch poort. MACsec wordt in deze modus niet ondersteund.
Multi-hostmodus: Terwijl het gebruik van MACsec in deze modus technisch mogelijk is, wordt het niet aanbevolen. In Multi-Host Mode wordt het eerste eindpunt op de haven authentiek, en dan zullen om het even welke extra eindpunten op het netwerk via de eerste vergunning worden toegestaan. MACsec zou met de eerste aangesloten host werken, maar geen ander eindpunt zou in feite het verkeer passeren omdat het niet versleuteld verkeer zou zijn.