6
RFID und RADIUS
Hallo,
Brauche eure Hilfe bei folgender Aufgabe:
Ein Enduser (Windows 7 Rechner) möchte sich auf einem Switch anstecken.
Um die Datenleitung zu aktivieren muss er seinen RFID Chip über einen Leser ziehen.
Die ID des Chips ist am RADIUS Server hinterlegt.
Das heißt jemand muss jetzt eine 802.1X Abfrage zum RADIUS senden mit der ID des Chips.
Steckt der Leser per USB am Rechner könnte eine Software die Kommunikation übernehmen.
Steckt der Leser direkt am Kabel quasi als Brücke müsste dieser die Verbindung freischalten.
Gibt es so ein System oder Hersteller mit solchen Lösungen?
Wie würdet ihr es lösen?
Danke und viele Grüße
Daniel
Brauche eure Hilfe bei folgender Aufgabe:
Ein Enduser (Windows 7 Rechner) möchte sich auf einem Switch anstecken.
Um die Datenleitung zu aktivieren muss er seinen RFID Chip über einen Leser ziehen.
Die ID des Chips ist am RADIUS Server hinterlegt.
Das heißt jemand muss jetzt eine 802.1X Abfrage zum RADIUS senden mit der ID des Chips.
Steckt der Leser per USB am Rechner könnte eine Software die Kommunikation übernehmen.
Steckt der Leser direkt am Kabel quasi als Brücke müsste dieser die Verbindung freischalten.
Gibt es so ein System oder Hersteller mit solchen Lösungen?
Wie würdet ihr es lösen?
Danke und viele Grüße
Daniel
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 228275
Url: https://administrator.de/contentid/228275
Printed on: April 23, 2024 at 13:04 o'clock
6 Comments
Latest comment
Hallo,
Der Benutzer hat auch eine Schnittstelle oder ist hier nur der Rechner sprich das Gerät gemeint?
Gruß,
Peter
Der Benutzer hat auch eine Schnittstelle oder ist hier nur der Rechner sprich das Gerät gemeint?
Um die Datenleitung zu aktivieren muss er seinen RFID Chip über einen Leser ziehen.
Wird mit Datenleitung hier die LAN Schnittstelle des Rechners gemeint?Das heißt jemand muss jetzt eine 802.1X Abfrage zum RADIUS senden mit der ID des Chips.
Über UMTS oder wie soll das erfolgen wenn deine Datenleitung deaktiviert ist?Steckt der Leser per USB am Rechner könnte eine Software die Kommunikation übernehmen.
Wohin und womit? Deine Datenleitung ist doch noch deaktiviertSteckt der Leser direkt am Kabel quasi als Brücke müsste dieser die Verbindung freischalten.
Welche Verbindung ist denn jetzt gemeint?Wie würdet ihr es lösen?
Was? Eine Authentifizierung nach 802.1X über eine Deaktivierte Datenleitung zu Senden bzw. Empfangen?Gruß,
Peter
Zitat von @Pjordorf:
Hallo,
> Zitat von @daniel-sidma:
> Ein Enduser (Windows 7 Rechner) möchte sich auf einem Switch anstecken.
Der Benutzer hat auch eine Schnittstelle oder ist hier nur der Rechner sprich das Gerät gemeint?
Hallo,
> Zitat von @daniel-sidma:
> Ein Enduser (Windows 7 Rechner) möchte sich auf einem Switch anstecken.
Der Benutzer hat auch eine Schnittstelle oder ist hier nur der Rechner sprich das Gerät gemeint?
Das Gerät hat eine Ethernet Schnittstelle. Diese wird über ein Patchkabel mit dem Switch verbunden.
> Um die Datenleitung zu aktivieren muss er seinen RFID Chip über einen Leser ziehen.
Wird mit Datenleitung hier die LAN Schnittstelle des Rechners gemeint?
Mit Datenleitung wird der Port am Switch gemeint. Die LAN Schnittstelle am Rechner ist immer aktiv.
> Das heißt jemand muss jetzt eine 802.1X Abfrage zum RADIUS senden mit der ID des Chips.
Über UMTS oder wie soll das erfolgen wenn deine Datenleitung deaktiviert ist?
Wie kommst du auf UMTS??? der Switch ist mit dem radius verbunden. Wie diese Verbunden sind ist ja egal oder?
> Steckt der Leser per USB am Rechner könnte eine Software die Kommunikation übernehmen.
Wohin und womit? Deine Datenleitung ist doch noch deaktiviert
Wohin und womit? Deine Datenleitung ist doch noch deaktiviert
Wie oben beschrieben nimmst du hier anscheinend an dass die LAN Schnittstelle am Rechner deaktivert ist. Das ist nicht der Fall!!
> Steckt der Leser direkt am Kabel quasi als Brücke müsste dieser die Verbindung freischalten.
Welche Verbindung ist denn jetzt gemeint?
Welche Verbindung ist denn jetzt gemeint?
"Brücke" zum Switch. Auf der anderen Seite der Brücke steckt der Rechner mit aktiver LAN Schnittstelle.
> Wie würdet ihr es lösen?
Was? Eine Authentifizierung nach 802.1X über eine Deaktivierte Datenleitung zu Senden bzw. Empfangen?
Bitte nicht falsch verstehen, ich will mit den RFID Chip entscheiden wer den Port am Switch benutzen darf.
In meinem Beispiel hängt bereits ein Patchkabel auf dem Port --> Das ist die Datenleitung.
Sorry falls du es falsch verstanden hast.
Gruß,
Daniel
Das ist logischerweise technisch nicht möglich wenn der Leser per LAN erreicht werden muss. Leuchtet ja auch sofort ein wenn man mal nachdenkt, denn der Switchport ist blockiert wenn der PC nicht authorisiert ist.
Das einzige was du machen kannst in dem Fall ist den User mit einem kleinen 5 Euro 5 Port Miniswitch mit USB Speisung auszurüsten wo er PC und Leser zusammensteckt und dann mit dem Switchport verbindet.
Dann kann er den Leser erreichen und wenn er authorisiert ist öffnet sich auch der Switchport.
Aus praktischer Sicht klingt sowas nach "Von hinten durch die Brust ins Auge..." kein User wird sich so eine Frickelei gefallen lassen.
Die Lösung ist also mehr oder weniger unpraktikabel. Ein Leser mit USB ist da sinnvoller...noch besser ein kleiner Schlüsselanhänger der auf Knopfdruck ein Einmaltoken erzeugt, was ja auch state of the art ist.
Das einzige was du machen kannst in dem Fall ist den User mit einem kleinen 5 Euro 5 Port Miniswitch mit USB Speisung auszurüsten wo er PC und Leser zusammensteckt und dann mit dem Switchport verbindet.
Dann kann er den Leser erreichen und wenn er authorisiert ist öffnet sich auch der Switchport.
Aus praktischer Sicht klingt sowas nach "Von hinten durch die Brust ins Auge..." kein User wird sich so eine Frickelei gefallen lassen.
Die Lösung ist also mehr oder weniger unpraktikabel. Ein Leser mit USB ist da sinnvoller...noch besser ein kleiner Schlüsselanhänger der auf Knopfdruck ein Einmaltoken erzeugt, was ja auch state of the art ist.
Hi,
Größtes Problem an dieser Stelle ist, dass sich jeder einfach auf einem anderen Port am Switch anstecken könnte.
Es gibt ja kein "weiteres" Netzwerk. Also nach dem Switch ist schluss.
Das heißt die höchste Sicherheitsmaßnahme ist dann die mac Addr. Filterung.
Auch wenn die "state of the art" Lösung ein Einmaltoken ist stellt sich immer wieder die Frage: Wer kontrolliert das ja oder nein??
und sorry - ob sich die User das gefallen lassen steht in diesem Fall nicht zur Debatte.
Gruß,
Daniel
Größtes Problem an dieser Stelle ist, dass sich jeder einfach auf einem anderen Port am Switch anstecken könnte.
Es gibt ja kein "weiteres" Netzwerk. Also nach dem Switch ist schluss.
Das heißt die höchste Sicherheitsmaßnahme ist dann die mac Addr. Filterung.
Auch wenn die "state of the art" Lösung ein Einmaltoken ist stellt sich immer wieder die Frage: Wer kontrolliert das ja oder nein??
und sorry - ob sich die User das gefallen lassen steht in diesem Fall nicht zur Debatte.
Gruß,
Daniel
Hi Daniel,
Ich denk mal einfach um die Ecke:
Praktisch für den User ist es halt nicht, aber das steht ja (wie du grade erwähnt hast), eh nicht zur Debatte.
mfg
Cthluhu
Ich denk mal einfach um die Ecke:
- Konfiguriere ungenutzte Switch-Ports in ein VLAN in dem nichts zu erreichen ist, außer ein Authentifizierungsserver und DHCP
- Die User loggen sich über ein Minimalsystem ein (lokales Profil, da ja die Server nicht erreichbar sind), starten dort ein RFID-Tool und lesen Ihre Karte aus.
- Der Authentifizierungsserver erkennt eine gültige RFID Karte und konfiguriert das VLAN um, so dass der Rechner nun im internen Netz ist.
- Die User melden sich vom lokalen Account ab und können sich in die Domäne einloggen.
Praktisch für den User ist es halt nicht, aber das steht ja (wie du grade erwähnt hast), eh nicht zur Debatte.
mfg
Cthluhu
Größtes Problem an dieser Stelle ist, dass sich jeder einfach auf einem anderen Port am Switch anstecken könnte.
Das ist ja nicht wirklich das Problem...das siehst du ganz falsch so wie du es geschildert hast !Wenn du den kleinen 5 Port Switch in der Tasche hast ist es ja vollkommen egal an welchem Switchport du hängst ! Für dich relevant ist ja einzig nur den LAN attachten RFID Leser zu erreichen, was ja auch so problemlos klappt.
Die Lösung ist ja nur völlig inpraktikabel, denn wer will immer dieses Equipment mit sich rumtragen nur um sich per 802.1x in ein Netzwerk einzuwählen. Technisch machbar aber Praxisbezogen von der Handhabung totaler Unsinn !
Aber du hast natürlich Recht wenn das nicht zur Debatte steht ist das alles so problemlos machbar...keinen Frage
Auch wenn die "state of the art" Lösung ein Einmaltoken ist stellt sich immer wieder die Frage: Wer kontrolliert das ja oder nein??
Das kontrolliert logischerweise ein zentraler Radius Server an einem MAC Filter abgesicherten Switchport ! Wie sollte es sonst gehen ??Aber Kollege chitulu ist da schon auf dem richtigen Weg...
User ie sich nicht authentisieren landen dynamisch in einem isolierten "Gummizellen" VLAN in dem der RFID Leser steht. An dem authentisieren sie sich dann und führen eine 802.1x Reauthentisierung durch und bekommen dann bei erfolgreicher Authentisierung dynamisch per 802.1x ein neues VLAN zugewiesen et voila... und sind da wo sie hinsollen.
Bei denen wo es fehlschlägt die bleiben in der Gummizelle...ganz einfach.
Im Grunde ist die Umsetzung technisch gesehen kinderleicht ! Wo ist denn genau noch dein Problem ?
