Top-Themen

Aktuelle Themen (A bis Z)

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

RFID und RADIUS

Mitglied: daniel-sidma

daniel-sidma (Level 1) - Jetzt verbinden

31.01.2014 um 13:22 Uhr, 1673 Aufrufe, 6 Kommentare

Hallo,

Brauche eure Hilfe bei folgender Aufgabe:

Ein Enduser (Windows 7 Rechner) möchte sich auf einem Switch anstecken.
Um die Datenleitung zu aktivieren muss er seinen RFID Chip über einen Leser ziehen.

Die ID des Chips ist am RADIUS Server hinterlegt.
Das heißt jemand muss jetzt eine 802.1X Abfrage zum RADIUS senden mit der ID des Chips.


Steckt der Leser per USB am Rechner könnte eine Software die Kommunikation übernehmen.
Steckt der Leser direkt am Kabel quasi als Brücke müsste dieser die Verbindung freischalten.

Gibt es so ein System oder Hersteller mit solchen Lösungen?
Wie würdet ihr es lösen?


Danke und viele Grüße
Daniel


Mitglied: Pjordorf
31.01.2014 um 14:11 Uhr
Hallo,

Zitat von daniel-sidma:
Ein Enduser (Windows 7 Rechner) möchte sich auf einem Switch anstecken.
Der Benutzer hat auch eine Schnittstelle oder ist hier nur der Rechner sprich das Gerät gemeint?

Um die Datenleitung zu aktivieren muss er seinen RFID Chip über einen Leser ziehen.
Wird mit Datenleitung hier die LAN Schnittstelle des Rechners gemeint?

Das heißt jemand muss jetzt eine 802.1X Abfrage zum RADIUS senden mit der ID des Chips.
Über UMTS oder wie soll das erfolgen wenn deine Datenleitung deaktiviert ist?

Steckt der Leser per USB am Rechner könnte eine Software die Kommunikation übernehmen.
Wohin und womit? Deine Datenleitung ist doch noch deaktiviert

Steckt der Leser direkt am Kabel quasi als Brücke müsste dieser die Verbindung freischalten.
Welche Verbindung ist denn jetzt gemeint?

Wie würdet ihr es lösen?
Was? Eine Authentifizierung nach 802.1X über eine Deaktivierte Datenleitung zu Senden bzw. Empfangen?

Gruß,
Peter
Bitte warten ..
Mitglied: daniel-sidma
31.01.2014 um 14:39 Uhr
Zitat von Pjordorf:

Hallo,

> Zitat von daniel-sidma:
> Ein Enduser (Windows 7 Rechner) möchte sich auf einem Switch anstecken.
Der Benutzer hat auch eine Schnittstelle oder ist hier nur der Rechner sprich das Gerät gemeint?

Das Gerät hat eine Ethernet Schnittstelle. Diese wird über ein Patchkabel mit dem Switch verbunden.


> Um die Datenleitung zu aktivieren muss er seinen RFID Chip über einen Leser ziehen.
Wird mit Datenleitung hier die LAN Schnittstelle des Rechners gemeint?

Mit Datenleitung wird der Port am Switch gemeint. Die LAN Schnittstelle am Rechner ist immer aktiv.


> Das heißt jemand muss jetzt eine 802.1X Abfrage zum RADIUS senden mit der ID des Chips.
Über UMTS oder wie soll das erfolgen wenn deine Datenleitung deaktiviert ist?


Wie kommst du auf UMTS??? der Switch ist mit dem radius verbunden. Wie diese Verbunden sind ist ja egal oder?

> Steckt der Leser per USB am Rechner könnte eine Software die Kommunikation übernehmen.
Wohin und womit? Deine Datenleitung ist doch noch deaktiviert


Wie oben beschrieben nimmst du hier anscheinend an dass die LAN Schnittstelle am Rechner deaktivert ist. Das ist nicht der Fall!!

> Steckt der Leser direkt am Kabel quasi als Brücke müsste dieser die Verbindung freischalten.
Welche Verbindung ist denn jetzt gemeint?

"Brücke" zum Switch. Auf der anderen Seite der Brücke steckt der Rechner mit aktiver LAN Schnittstelle.

> Wie würdet ihr es lösen?
Was? Eine Authentifizierung nach 802.1X über eine Deaktivierte Datenleitung zu Senden bzw. Empfangen?


Bitte nicht falsch verstehen, ich will mit den RFID Chip entscheiden wer den Port am Switch benutzen darf.
In meinem Beispiel hängt bereits ein Patchkabel auf dem Port --> Das ist die Datenleitung.
Sorry falls du es falsch verstanden hast.

Gruß,
Daniel
Bitte warten ..
Mitglied: aqui
31.01.2014, aktualisiert um 17:30 Uhr
Das ist logischerweise technisch nicht möglich wenn der Leser per LAN erreicht werden muss. Leuchtet ja auch sofort ein wenn man mal nachdenkt, denn der Switchport ist blockiert wenn der PC nicht authorisiert ist.
Das einzige was du machen kannst in dem Fall ist den User mit einem kleinen 5 Euro 5 Port Miniswitch mit USB Speisung auszurüsten wo er PC und Leser zusammensteckt und dann mit dem Switchport verbindet.
Dann kann er den Leser erreichen und wenn er authorisiert ist öffnet sich auch der Switchport.
Aus praktischer Sicht klingt sowas nach "Von hinten durch die Brust ins Auge..." kein User wird sich so eine Frickelei gefallen lassen.
Die Lösung ist also mehr oder weniger unpraktikabel. Ein Leser mit USB ist da sinnvoller...noch besser ein kleiner Schlüsselanhänger der auf Knopfdruck ein Einmaltoken erzeugt, was ja auch state of the art ist.
Bitte warten ..
Mitglied: daniel-sidma
05.02.2014 um 09:59 Uhr
Hi,

Größtes Problem an dieser Stelle ist, dass sich jeder einfach auf einem anderen Port am Switch anstecken könnte.
Es gibt ja kein "weiteres" Netzwerk. Also nach dem Switch ist schluss.
Das heißt die höchste Sicherheitsmaßnahme ist dann die mac Addr. Filterung.

Auch wenn die "state of the art" Lösung ein Einmaltoken ist stellt sich immer wieder die Frage: Wer kontrolliert das ja oder nein??

und sorry - ob sich die User das gefallen lassen steht in diesem Fall nicht zur Debatte.

Gruß,
Daniel
Bitte warten ..
Mitglied: Cthluhu
05.02.2014 um 10:17 Uhr
Hi Daniel,

Ich denk mal einfach um die Ecke:
  • Konfiguriere ungenutzte Switch-Ports in ein VLAN in dem nichts zu erreichen ist, außer ein Authentifizierungsserver und DHCP
  • Die User loggen sich über ein Minimalsystem ein (lokales Profil, da ja die Server nicht erreichbar sind), starten dort ein RFID-Tool und lesen Ihre Karte aus.
  • Der Authentifizierungsserver erkennt eine gültige RFID Karte und konfiguriert das VLAN um, so dass der Rechner nun im internen Netz ist.
  • Die User melden sich vom lokalen Account ab und können sich in die Domäne einloggen.

Praktisch für den User ist es halt nicht, aber das steht ja (wie du grade erwähnt hast), eh nicht zur Debatte.

mfg

Cthluhu
Bitte warten ..
Mitglied: aqui
05.02.2014, aktualisiert um 11:16 Uhr
Größtes Problem an dieser Stelle ist, dass sich jeder einfach auf einem anderen Port am Switch anstecken könnte.
Das ist ja nicht wirklich das Problem...das siehst du ganz falsch so wie du es geschildert hast !
Wenn du den kleinen 5 Port Switch in der Tasche hast ist es ja vollkommen egal an welchem Switchport du hängst ! Für dich relevant ist ja einzig nur den LAN attachten RFID Leser zu erreichen, was ja auch so problemlos klappt.
Die Lösung ist ja nur völlig inpraktikabel, denn wer will immer dieses Equipment mit sich rumtragen nur um sich per 802.1x in ein Netzwerk einzuwählen. Technisch machbar aber Praxisbezogen von der Handhabung totaler Unsinn !
Aber du hast natürlich Recht wenn das nicht zur Debatte steht ist das alles so problemlos machbar...keinen Frage
Auch wenn die "state of the art" Lösung ein Einmaltoken ist stellt sich immer wieder die Frage: Wer kontrolliert das ja oder nein??
Das kontrolliert logischerweise ein zentraler Radius Server an einem MAC Filter abgesicherten Switchport ! Wie sollte es sonst gehen ??
Aber Kollege chitulu ist da schon auf dem richtigen Weg...
User ie sich nicht authentisieren landen dynamisch in einem isolierten "Gummizellen" VLAN in dem der RFID Leser steht. An dem authentisieren sie sich dann und führen eine 802.1x Reauthentisierung durch und bekommen dann bei erfolgreicher Authentisierung dynamisch per 802.1x ein neues VLAN zugewiesen et voila... und sind da wo sie hinsollen.
Bei denen wo es fehlschlägt die bleiben in der Gummizelle...ganz einfach.
Im Grunde ist die Umsetzung technisch gesehen kinderleicht ! Wo ist denn genau noch dein Problem ?
Bitte warten ..
Ähnliche Inhalte
TK-Netze & Geräte
Arbeit Zutrittskontrollsysteme RFID
gelöst Frage von DennisWeberTK-Netze & Geräte4 Kommentare

Hallo zusammen, mit dem Smartphone (NFC fähig) kann ich zB. mit der App NFC Tools (Pro Edition) den Inhalt ...

Microsoft
RFID zu Tastatur eingabe
gelöst Frage von schneerunzelMicrosoft4 Kommentare

Hallo zusammen, ich habe folgende "einfach" Situation: Ich habe einen RFID Reader, der per RS232 an meinem Rechner angeschlossen ...

Peripheriegeräte

Chipdrive C2 Fingerprint und RFID Terminal - Fingerprint funktioniert, RFID nicht

gelöst Frage von ic-hainPeripheriegeräte4 Kommentare

Hallo an alle, es geht um folgendes Problem: Eine Firma deren IT wir betreuten setzt die Chipdrive Zeiterfassung ein. ...

Windows Server

RFID SmartCard Anmeldung ohne PIN

Frage von podoguWindows Server9 Kommentare

Hallo liebe Gemeinde, wir haben von einem Kunden den Auftrag bekommen in einer Windows 2008 R2 Domäne mit Windows ...

Neue Wissensbeiträge
Microsoft Office

Office 365 Makro Schutz nicht immer per GPO möglich

Information von sabines vor 1 TagMicrosoft Office1 Kommentar

Der zum Schutz gegen Verschlüsselungstrojaner wichtige Makroschutz lässt sich wohl in Office 365 nicht immer per GPO einstellen. Für ...

Netzwerkmanagement
How To Mikrotik Netinstall
Erfahrungsbericht von areanod vor 3 TagenNetzwerkmanagement

Jedes Mal wenn ich Netinstall längere Zeit nicht benutzt habe stolpere ich über die „Besonderheiten“ dieser Software. Das ist ...

Microsoft
Microsoft: LDAPS per Update als Default
Information von em-pie vor 3 TagenMicrosoft2 Kommentare

Hallo, Microsoft wird mit einem der zukünftigen Updates LDAP auf LDAPS per Default umstellen. Admins von angebundenen Systemen die ...

Humor (lol)

Funny: Warum es immer schwieriger wird, die richtigen Produkte online zu finden

Information von Dilbert-MD vor 5 TagenHumor (lol)19 Kommentare

Wir befinden uns in der Rubrik "Off Topic - Humor" und in 15 Minuten ist Freitag. und ja, es ...

Heiß diskutierte Inhalte
Windows 10
Reicht eine 64GB SSD für einen Einwahl-PC für die Funktionsupgrade?
gelöst Frage von StefanKittelWindows 1018 Kommentare

Hallo, ich weiß, bei Google steht ganz viel, aber das meiste zu 32GB und irgendwie schreibt jeder was Anderes. ...

Windows Server
Kontakt mit Warenwirtschaft Software Anbieter - Netzwerkstbilität
Frage von PoddeldunktWindows Server18 Kommentare

Hallo zusammen, entschuldigt erstmal den schlechten Titel, aber mir ist nicht eingefallen wie ich das ganze Aussagekräftiger gestalten soll. ...

Windows Tools
Autologoff Local User Windows 10 bei idle Time von 900 Sekunden
Frage von Hendrik2586Windows Tools16 Kommentare

Hallo ihr lieben. :) Ich hatte das Thema schon mal vor einer Weile, aber nun muss ich es nochmal ...

Windows Server
Problem bei der Installation von .Net Framework 3.5 auf Server 2012R2
Frage von Timo0oWindows Server15 Kommentare

Hallo zusammen, vielleicht kann mir hier wer helfen ich bin nämlich langsam am Verzweifeln. Ich habe hier einen Server ...