08 - Configuração de segurança

Configuração de AAA

Sobre a AAA

Implementação do AAA

A autenticação, a autorização e a contabilidade (AAA) fornecem uma estrutura uniforme para a implementação do gerenciamento de acesso à rede. Esse recurso especifica as seguintes funções de segurança:

  • Autenticação - identifica os usuários e verifica sua validade.
  • Autorização - Concede direitos diferentes a usuários diferentes e controla o acesso dos usuários a recursos e serviços. Por exemplo, você pode permitir que os usuários do escritório leiam e imprimam arquivos e impedir que os convidados acessem arquivos no dispositivo.
  • Accounting (Contabilidade) - Registra os detalhes de uso da rede dos usuários, incluindo o tipo de serviço, a hora de início e o tráfego. Essa função permite a cobrança com base no tempo e no tráfego e a auditoria do comportamento do usuário.

Diagrama de rede AAA

O AAA usa um modelo cliente/servidor. O cliente é executado no dispositivo de acesso ou no servidor de acesso à rede (NAS), que autentica as identidades do usuário e controla o acesso do usuário. O servidor mantém as informações do usuário de forma centralizada. Veja a Figura 1.

Figura 1 Diagrama de rede AAA

Para acessar redes ou recursos além do NAS, um usuário envia suas informações de identidade para o NAS. O NAS passa de forma transparente as informações do usuário para os servidores AAA e aguarda o resultado da autenticação, autorização e contabilidade. Com base no resultado, o NAS determina se deve permitir ou negar a solicitação de acesso.

O AAA tem várias implementações, incluindo HWTACACS, LDAP e RADIUS. O RADIUS é usado com mais frequência.

Você pode usar servidores diferentes para implementar funções de segurança diferentes. Por exemplo, você pode usar um servidor HWTACACS para autenticação e autorização e usar um servidor RADIUS para contabilidade.

Você pode escolher as funções de segurança fornecidas pelo AAA conforme necessário. Por exemplo, se a sua empresa quiser que os funcionários sejam autenticados antes de acessarem recursos específicos, você implantará um servidor de autenticação. Se forem necessárias informações sobre o uso da rede, você também configurará um servidor de contabilidade.

O dispositivo executa a autenticação dinâmica de senha.

RADIUS

O Remote Authentication Dial-In User Service (RADIUS) é um protocolo de interação de informações distribuídas que usa um modelo cliente/servidor. O protocolo pode proteger as redes contra acesso não autorizado e é frequentemente usado em ambientes de rede que exigem alta segurança e acesso remoto do usuário.

O processo de autorização do RADIUS é combinado com o processo de autenticação do RADIUS, e as informações de autorização do usuário são incluídas nas respostas de autenticação. O RADIUS usa a porta UDP 1812 para autenticação e a porta UDP 1813 para contabilidade.

O RADIUS foi originalmente projetado para acesso discado de usuários e foi estendido para suportar métodos de acesso adicionais, como Ethernet e ADSL.

Modelo cliente/servidor

O cliente RADIUS é executado nos NASs localizados em toda a rede. Ele passa informações do usuário para os servidores RADIUS e age de acordo com as respostas para, por exemplo, rejeitar ou aceitar solicitações de acesso do usuário.

O servidor RADIUS é executado no computador ou na estação de trabalho no centro da rede e mantém informações relacionadas à autenticação do usuário e ao acesso ao serviço de rede.

O servidor RADIUS opera usando o seguinte processo:

  • Recebe solicitações de autenticação, autorização e contabilidade de clientes RADIUS.
  • Realiza a autenticação, a autorização ou a contabilidade do usuário.
  • Retorna informações de controle de acesso do usuário (por exemplo, rejeitando ou aceitando a solicitação de acesso do usuário) para os clientes.

O servidor RADIUS também pode atuar como cliente de outro servidor RADIUS para fornecer serviços de proxy de autenticação.

O servidor RADIUS mantém os seguintes bancos de dados:

  • Usuários - Armazena informações do usuário, como nomes de usuário, senhas, protocolos aplicados e endereços IP.
  • Clients - Armazena informações sobre clientes RADIUS, como chaves compartilhadas e endereços IP.
  • Dictionary - Armazena atributos do protocolo RADIUS e seus valores.

Figura 2 Bancos de dados do servidor RADIUS

Mecanismo de segurança de troca de informações

O cliente e o servidor RADIUS trocam informações entre si com a ajuda de chaves compartilhadas, que são pré-configuradas no cliente e no servidor. Um pacote RADIUS tem um campo de 16 bytes chamado Authenticator. Esse campo inclui uma assinatura gerada pelo uso do algoritmo MD5, a chave compartilhada e algumas outras informações. O receptor do pacote verifica a assinatura e aceita o pacote somente se a assinatura estiver correta. Esse mecanismo garante a segurança das informações trocadas entre o cliente e o servidor RADIUS.

As chaves compartilhadas também são usadas para criptografar as senhas de usuário incluídas nos pacotes RADIUS.

Métodos de autenticação do usuário

O servidor RADIUS oferece suporte a vários métodos de autenticação de usuário, como PAP, CHAP e EAP.

Processo básico de troca de pacotes RADIUS

A Figura 3 ilustra as interações entre um host de usuário, o cliente RADIUS e o servidor RADIUS.

Figura 3 Processo básico de troca de pacotes RADIUS

O RADIUS é usado no fluxo de trabalho a seguir:

  • O host envia uma solicitação de conexão que inclui o nome de usuário e a senha do usuário para o cliente RADIUS .
  • O cliente RADIUS envia uma solicitação de autenticação (Access-Request) para o servidor RADIUS. A solicitação inclui a senha do usuário, que foi processada pelo algoritmo MD5 e pela chave compartilhada.
  • O servidor RADIUS autentica o nome de usuário e a senha. Se a autenticação for bem-sucedida, o servidor enviará de volta um pacote Access-Accept que contém as informações de autorização do usuário . Se a autenticação falhar, o servidor retornará um pacote Access-Reject.
  • O cliente RADIUS permite ou nega o usuário de acordo com o resultado da autenticação. Se o resultado permitir o usuário, o cliente RADIUS enviará um pacote de solicitação de início de contabilização (Accounting-Request) para o servidor RADIUS.
  • O servidor RADIUS retorna um pacote de confirmação (Accounting-Response) e inicia a contabilidade.
  • O usuário acessa os recursos da rede.
  • O host solicita que o cliente RADIUS encerre a conexão.
  • O cliente RADIUS envia um pacote de solicitação de interrupção de contabilização (Accounting-Request) para o servidor RADIUS.
  • O servidor RADIUS retorna uma confirmação (Accounting-Response) e interrompe a contabilização do usuário.
  • O cliente RADIUS notifica o usuário sobre o encerramento.

Formato do pacote RADIUS

O RADIUS usa UDP para transmitir pacotes. O protocolo também usa uma série de mecanismos para garantir a troca suave de pacotes entre o servidor RADIUS e o cliente. Esses mecanismos incluem o mecanismo de cronômetro, o mecanismo de retransmissão e o mecanismo de servidor de backup.

Figura 4 Formato do pacote RADIUS

As descrições dos campos são as seguintes:

  • O campo Code (1 byte de comprimento) indica o tipo do pacote RADIUS. A Tabela 1 apresenta os principais valores de e seus significados.

Tabela 1 Principais valores do campo Código

Código Tipo de pacote Descrição
1 Solicitação de acesso Do cliente para o servidor. Um pacote desse tipo inclui informações do usuário para o servidor autenticar o usuário. Ele deve conter o atributo User-Name e, opcionalmente, pode conter os atributos de Endereço IP do NAS, Senha do usuário e Porta do NAS.
2 Acessar-Aceitar Do servidor para o cliente. Se todos os valores de atributos incluídos na Access-Request forem aceitáveis, a autenticação será bem-sucedida e o servidor enviará uma resposta Access-Accept.
3 Acesso-Rejeição Do servidor para o cliente. Se qualquer valor de atributo incluído na Access-Request for inaceitável, a autenticação falhará e o servidor enviará uma resposta Access-Reject.
4 Contabilidade-Solicitação Do cliente para o servidor. Um pacote desse tipo inclui informações do usuário para que o servidor inicie ou interrompa a contabilização para o usuário. O atributo Acct-Status-Type no pacote indica se a contabilidade deve ser iniciada ou interrompida.
5 Contabilidade-Resposta Do servidor para o cliente. O servidor envia um pacote desse tipo para notificar o cliente de que recebeu o Accounting-Request e registrou com êxito as informações contábeis.
  • O campo Identifier (1 byte de comprimento) é usado para combinar pacotes de resposta com pacotes de solicitação e para detectar pacotes de solicitação duplicados. Os pacotes de solicitação e resposta do mesmo processo de troca para a mesma finalidade (como autenticação ou contabilidade) têm o mesmo identificador.
  • O campo Length (comprimento de 2 bytes) indica o comprimento de todo o pacote (em bytes), incluindo os campos Code (Código), Identifier (Identificador), Length (Comprimento), Authenticator (Autenticador) e Attributes (Atributos). Os bytes além desse comprimento são considerados preenchimento e são ignorados pelo receptor. Se o comprimento de um pacote recebido for menor que esse comprimento, o pacote será descartado.
  • O campo Authenticator (16 bytes de comprimento) é usado para autenticar as respostas do servidor RADIUS e para criptografar as senhas dos usuários. Há dois tipos de autenticadores: autenticador de solicitação e autenticador de resposta.
  • O campo Attributes (variável em comprimento) inclui informações de autenticação, autorização e contabilidade. Esse campo pode conter vários atributos, cada um com os seguintes subcampos:
    • Tipo - Tipo do atributo.
    • Comprimento - Comprimento do atributo em bytes, incluindo os subcampos Tipo, Comprimento e Valor.
    • Value-Valor do atributo. Seu formato e conteúdo dependem do subcampo Type.

Atributos RADIUS estendidos

O protocolo RADIUS apresenta excelente extensibilidade. O atributo Vendor-Specific (atributo 26) permite que um fornecedor defina atributos estendidos. Os atributos estendidos podem implementar funções que o protocolo RADIUS padrão não oferece.

Um fornecedor pode encapsular vários subatributos no formato TLV no atributo 26 para fornecer funções estendidas. Conforme mostrado na Figura 5, um subatributo encapsulado no atributo 26 consiste nas seguintes partes:

  • Vendor-ID-ID do fornecedor. O byte mais significativo é 0. Os outros três bytes contêm um código em conformidade com a RFC 1700.
  • Vendor-Type-Tipo do subatributo.
  • Vendor-Length-Comprimento do subatributo.
  • Dados do fornecedor - Conteúdo do subatributo.

O dispositivo oferece suporte a subatributos RADIUS com ID de fornecedor 25506. Para obter mais informações, consulte "Apêndice C Subatributos RADIUS (ID de fornecedor 25506)".

Figura 5 Formato do atributo 26

HWTACACS

O HWTACACS (HW Terminal Access Controller Access Control System) é um protocolo de segurança aprimorado baseado no TACACS (RFC 1492). O HWTACACS é semelhante ao RADIUS e usa um modelo cliente/servidor para a troca de informações entre o NAS e o servidor HWTACACS.

O HWTACACS normalmente fornece serviços AAA para PPP, VPDN e usuários de terminal. Em um cenário típico de HWTACACS, os usuários de terminal precisam fazer login no NAS. Trabalhando como o cliente HWTACACS, o NAS envia os nomes de usuário e as senhas dos usuários ao servidor HWTACACS para autenticação. Depois de passar pela autenticação e obter direitos autorizados, um usuário faz login no dispositivo e executa as operações do . O servidor HWTACACS registra as operações que cada usuário realiza.

Diferenças entre HWTACACS e RADIUS

O HWTACACS e o RADIUS têm muitos recursos em comum, como o uso de um modelo cliente/servidor, o uso de chaves compartilhadas para criptografia de dados e o fornecimento de flexibilidade e escalabilidade. A Tabela 2 lista as principais diferenças entre o HWTACACS e o RADIUS.

Tabela 2 Principais diferenças entre o HWTACACS e o RADIUS

HWTACACS RADIUS
Usa TCP, que fornece uma rede de transmissão confiável Usa UDP, que oferece alta eficiência de transporte.
Criptografa o pacote inteiro, exceto o cabeçalho HWTACACS. Criptografa apenas o campo de senha do usuário em um pacote de autenticação.
Os pacotes de protocolo são complicados e a autorização é independente da autenticação. A autenticação e a autorização podem ser implantadas em diferentes servidores HWTACACS. Os pacotes de protocolo são simples e o processo de autorização é combinado com o processo de autenticação.
Oferece suporte à autorização de comandos de configuração. O acesso aos comandos depende das funções e da autorização do usuário. Um usuário pode usar somente os comandos permitidos pelas funções do usuário e autorizados pelo servidor HWTACACS. Não oferece suporte à autorização de comandos de configuração. O acesso aos comandos depende exclusivamente das funções do usuário. Para obter mais informações sobre as funções do usuário, consulte o Fundamentals Configuration Guide.

Processo básico de troca de pacotes HWTACACS

A Figura 6 descreve como o HWTACACS executa a autenticação, a autorização e a contabilidade do usuário para um usuário Telnet.

Figura 6 Processo básico de troca de pacotes HWTACACS para um usuário Telnet

O HWTACACS opera usando o seguinte fluxo de trabalho:

  • Um usuário de Telnet envia uma solicitação de acesso ao cliente HWTACACS.
  • O cliente HWTACACS envia um pacote de autenticação inicial para o servidor HWTACACS quando recebe a solicitação.
  • O servidor HWTACACS envia de volta uma resposta de autenticação para solicitar o nome de usuário.
  • Ao receber a resposta, o cliente HWTACACS pergunta ao usuário o nome de usuário.
  • O usuário digita o nome de usuário.
  • Depois de receber o nome de usuário do usuário, o cliente HWTACACS envia ao servidor um pacote de autenticação contínua que inclui o nome de usuário.
  • O servidor HWTACACS envia de volta uma resposta de autenticação para solicitar a senha de login.
  • Após o recebimento da resposta, o cliente HWTACACS solicita ao usuário a senha de login.
  • O usuário digita a senha.
  • Depois de receber a senha de login, o cliente HWTACACS envia ao servidor HWTACACS um pacote de autenticação contínua que inclui a senha de login.
  • Se a autenticação for bem-sucedida, o servidor HWTACACS enviará de volta uma resposta de autenticação para indicar que o usuário foi aprovado na autenticação.
  • O cliente HWTACACS envia um pacote de solicitação de autorização de usuário para o servidor HWTACACS.
  • Se a autorização for bem-sucedida, o servidor HWTACACS enviará de volta uma resposta de autorização, indicando que o usuário agora está autorizado.
  • Sabendo que o usuário agora está autorizado, o cliente HWTACACS envia sua CLI para o usuário e permite que ele faça login.
  • O cliente HWTACACS envia uma solicitação de início de contabilização para o servidor HWTACACS.
  • O servidor HWTACACS envia de volta uma resposta de contabilização, indicando que recebeu a solicitação start-accounting.
  • O usuário faz logoff.
  • O cliente HWTACACS envia uma solicitação de interrupção de contabilização para o servidor HWTACACS.
  • O servidor HWTACACS envia de volta uma resposta stop-accounting, indicando que a solicitação stop-accounting foi recebida.

LDAP

O LDAP (Lightweight Directory Access Protocol) fornece um serviço de diretório padrão multiplataforma. O LDAP foi desenvolvido com base no protocolo X.500. Ele aprimora as seguintes funções do X.500:

  • Acesso interativo de leitura/gravação.
  • Navegue.
  • Pesquisar.

O LDAP é adequado para armazenar dados que não mudam com frequência. O protocolo é usado para armazenar informações do usuário. Por exemplo, o software de servidor LDAP Active Directory Server é usado nos sistemas operacionais Microsoft Windows. O software armazena as informações do usuário e as informações do grupo de usuários para autenticação e autorização de login do usuário.

Serviço de diretório LDAP

O LDAP usa diretórios para manter as informações da organização, as informações de pessoal e as informações de recursos. Os diretórios são organizados em uma estrutura de árvore e incluem entradas. Uma entrada é um conjunto de atributos com nomes distintos (DNs). Os atributos são usados para armazenar informações como nomes de usuário, senhas, e-mails, nomes de computadores e números de telefone.

O LDAP usa um modelo cliente/servidor, e todas as informações de diretório são armazenadas no servidor LDAP. Os produtos de servidor LDAP comumente usados incluem o Microsoft Active Directory Server, o IBM Tivoli Directory Server e o Sun ONE Directory Server.

Autenticação e autorização LDAP

O AAA pode usar o LDAP para fornecer serviços de autenticação e autorização para os usuários. O LDAP define um conjunto de operações para implementar suas funções. As principais operações de autenticação e autorização são a operação de associação e a operação de pesquisa.

  • A operação bind permite que um cliente LDAP execute as seguintes operações:
    • Estabeleça uma conexão com o servidor LDAP.
    • Obter os direitos de acesso ao servidor LDAP.
    • Verifique a validade das informações do usuário.
    • A operação de pesquisa cria condições de pesquisa e obtém as informações de recursos de diretório do servidor LDAP.

    Na autenticação LDAP, o cliente executa as seguintes tarefas:

  • Usa o DN do administrador do servidor LDAP para vincular-se ao servidor LDAP. Depois que a associação é criada, o cliente estabelece uma conexão com o servidor e obtém o direito de pesquisar.
  • Constrói condições de pesquisa usando o nome de usuário nas informações de autenticação de um usuário. O diretório raiz especificado do servidor é pesquisado e uma lista de DNs de usuário é gerada.
  • Faz a associação com o servidor LDAP usando o DN e a senha de cada usuário. Se uma associação for criada, o usuário será considerado legal.

    • Na autorização LDAP, o cliente executa as mesmas tarefas que na autenticação LDAP. Quando o cliente constrói condições de pesquisa, ele obtém informações de autorização e a lista de DNs do usuário.

    Processo básico de autenticação LDAP

    O exemplo a seguir ilustra o processo básico de autenticação LDAP para um usuário Telnet.

    Figura 7 Processo básico de autenticação LDAP para um usuário Telnet

    A seguir, mostramos o processo básico de autenticação LDAP:

    • Um usuário Telnet inicia uma solicitação de conexão e envia o nome de usuário e a senha para o cliente LDAP.
    • Após receber a solicitação, o cliente LDAP estabelece uma conexão TCP com o servidor LDAP.
    • Para obter o direito de pesquisar, o cliente LDAP usa o DN e a senha do administrador para enviar uma solicitação de associação de administrador ao servidor LDAP.
    • O servidor LDAP processa a solicitação. Se a operação de associação for bem-sucedida, o servidor LDAP enviará uma confirmação ao cliente LDAP.
    • O cliente LDAP envia uma solicitação de pesquisa de DN de usuário com o nome de usuário do usuário Telnet para o servidor LDAP.
    • Após receber a solicitação, o servidor LDAP procura o DN do usuário pelo DN de base, escopo de pesquisa e condições de filtragem. Se for encontrada uma correspondência, o servidor LDAP enviará uma resposta para notificar o cliente LDAP sobre a pesquisa bem-sucedida. Pode haver um ou mais DNs de usuário encontrados.
    • O cliente LDAP usa o DN de usuário obtido e a senha de usuário inserida como parâmetros para enviar uma solicitação de associação de DN de usuário ao servidor LDAP. O servidor verificará se a senha do usuário está correta.
    • O servidor LDAP processa a solicitação e envia uma resposta para notificar o cliente LDAP sobre o resultado da operação de associação. Se a operação de associação falhar, o cliente LDAP usará outro DN de usuário obtido como parâmetro para enviar uma solicitação de associação de DN de usuário ao servidor LDAP. Esse processo continua até que um DN seja vinculado com êxito ou até que todos os DNs não sejam vinculados. Se todos os DNs de usuário não forem vinculados, o cliente LDAP notificará o usuário sobre a falha no login e negará a solicitação de acesso do usuário.
    • O cliente LDAP salva o DN do usuário que foi vinculado e troca pacotes de autorização com o servidor de autorização.
      • Se a autorização LDAP for usada, consulte o processo de autorização mostrado na Figura 8.
      • Se outro método for esperado para autorização, o processo de autorização desse método será aplicado.
    • Após a autorização bem-sucedida, o cliente LDAP notifica o usuário sobre o login bem-sucedido.

    Processo básico de autorização LDAP

    O exemplo a seguir ilustra o processo básico de autorização LDAP para um usuário Telnet.

    Figura 8 Processo básico de autorização LDAP para um usuário Telnet

    A seguir, mostramos o processo básico de autorização LDAP:

    • Um usuário de Telnet inicia uma solicitação de conexão e envia o nome de usuário e a senha para o dispositivo. O dispositivo atuará como cliente LDAP durante a autorização.
    • Após receber a solicitação, o dispositivo troca pacotes de autenticação com o servidor de autenticação do usuário:
      • Se a autenticação LDAP for usada, veja o processo de autenticação mostrado na Figura 7.
        • - Se o dispositivo (o cliente LDAP) usar o mesmo servidor LDAP para autenticação e autorização, pule para a etapa 6.
        • - Se o dispositivo (o cliente LDAP) usar servidores LDAP diferentes para autenticação e autorização, pule para a etapa 4.
      • Se outro método de autenticação for usado, o processo de autenticação desse método será aplicado. O dispositivo atua como cliente LDAP. Pule para a etapa 3.
    • O cliente LDAP estabelece uma conexão TCP com o servidor de autorização LDAP.
    • Para obter o direito de pesquisar, o cliente LDAP usa o DN e a senha do administrador para enviar uma solicitação de associação de administrador ao servidor LDAP.
    • O servidor LDAP processa a solicitação. Se a operação de associação for bem-sucedida, o servidor LDAP enviará uma confirmação ao cliente LDAP.
    • O cliente LDAP envia uma solicitação de pesquisa de autorização com o nome de usuário do usuário Telnet para o servidor LDAP. Se o usuário usar o mesmo servidor LDAP para autenticação e autorização, o cliente enviará a solicitação com o DN de usuário salvo do usuário Telnet para o servidor LDAP.
    • Após receber a solicitação, o servidor LDAP procura as informações do usuário pelo DN base, escopo de pesquisa, condições de filtragem e atributos LDAP. Se for encontrada uma correspondência, o servidor LDAP enviará uma resposta para notificar o cliente LDAP sobre a pesquisa bem-sucedida.
    • Após a autorização bem-sucedida, o cliente LDAP notifica o usuário sobre o login bem-sucedido.

    Gerenciamento de usuários com base em domínios ISP e tipos de acesso de usuário

    O AAA gerencia os usuários com base nos domínios ISP e nos tipos de acesso dos usuários.

    Em um NAS, cada usuário pertence a um domínio ISP. O NAS determina o domínio ISP ao qual um usuário pertence com base no nome de usuário inserido pelo usuário no login.

    Figura 9 Determinação do domínio do ISP para um usuário por nome de usuário

    O AAA gerencia os usuários no mesmo domínio ISP com base nos tipos de acesso dos usuários. O dispositivo suporta os seguintes tipos de acesso de usuário:

    • LAN - Os usuários da LAN devem passar pela autenticação 802.1X ou MAC para ficar on-line.
    • Login - Os usuários de login incluem usuários de SSH, Telnet, FTP e terminal que fazem login no dispositivo. Os usuários de terminal podem acessar por meio de uma porta de console.
    • Portal - Os usuários do portal devem passar pela autenticação do portal para acessar a rede.
    • HTTP/HTTPS - Os usuários fazem login no dispositivo por meio de HTTP ou HTTPS.

    O dispositivo também fornece módulos de autenticação (como o 802.1X) para a implementação de políticas de gerenciamento de autenticação de usuários. Se você configurar esses módulos de autenticação, os domínios ISP para os usuários dos tipos de acesso dependerão da configuração dos módulos de autenticação.

    Métodos de autenticação, autorização e contabilidade

    O AAA suporta a configuração de diferentes métodos de autenticação, autorização e contabilidade para diferentes tipos de usuários em um domínio ISP. O NAS determina o domínio ISP e o tipo de acesso de um usuário. O NAS também usa os métodos configurados para o tipo de acesso no domínio para controlar o acesso do usuário.

    O AAA também suporta a configuração de um conjunto de métodos padrão para um domínio ISP. Esses métodos padrão são aplicados aos usuários para os quais não há métodos AAA configurados.

    Métodos de autenticação

    O dispositivo é compatível com os seguintes métodos de autenticação:

    • Sem autenticação - Esse método confia em todos os usuários e não executa a autenticação. Para fins de segurança, não use esse método.
    • Autenticação local - O NAS autentica os usuários por si só, com base nas informações de usuário configuradas localmente, incluindo nomes de usuário, senhas e atributos. A autenticação local permite alta velocidade e baixo custo, mas a quantidade de informações que podem ser armazenadas é limitada pelo tamanho do espaço de armazenamento.
    • Autenticação remota - O NAS trabalha com um servidor remoto para autenticar os usuários. O NAS se comunica com o servidor remoto por meio do protocolo RADIUS, LDAP ou HWTACACS. O servidor gerencia as informações do usuário de forma centralizada. A autenticação remota fornece serviços de autenticação de alta capacidade, confiáveis e centralizados para vários NASs. Você pode configurar métodos de backup a serem usados quando o servidor remoto não estiver disponível.

    Métodos de autorização

    O dispositivo é compatível com os seguintes métodos de autorização:

    • Sem autorização - O NAS não realiza nenhuma troca de autorização. As informações de autorização padrão a seguir são aplicadas depois que os usuários passam pela autenticação:
      • Os usuários de login obtêm a função de usuário de nível 0. Para obter mais informações sobre a função de usuário de nível 0, consulte Configuração do RBAC no Guia de Configuração dos Fundamentos.
      • O diretório de trabalho dos usuários de login FTP, SFTP e SCP é o diretório raiz do NAS. No entanto, os usuários não têm permissão para acessar o diretório raiz.
      • Usuários sem login podem acessar a rede.
    • Autorização local - O NAS realiza a autorização de acordo com os atributos de usuário configurados localmente para os usuários.
    • Autorização remota - O NAS trabalha com um servidor remoto para autorizar os usuários. A autorização RADIUS está vinculada à autenticação RADIUS. A autorização RADIUS pode funcionar somente depois que a autenticação RADIUS for bem-sucedida e as informações de autorização forem incluídas no pacote Access-Accept. A autorização HWTACACS ou LDAP é separada da autenticação, e as informações de autorização são incluídas na resposta de autorização após a autenticação bem-sucedida. Você pode configurar métodos de backup a serem usados quando o servidor remoto não estiver disponível.

    Métodos contábeis

    O dispositivo suporta os seguintes métodos de contabilidade:

    • Sem contabilidade - O NAS não realiza contabilidade para os usuários.
    • Contabilidade local - A contabilidade local é implementada no NAS. Ela conta e controla o número de usuários simultâneos que usam a mesma conta de usuário local, mas não fornece estatísticas para cobrança.
    • Contabilidade remota - O NAS funciona com um servidor RADIUS ou HWTACACS para contabilidade. Você pode configurar métodos de backup a serem usados quando o servidor remoto não estiver disponível.

    Funções estendidas AAA

    O dispositivo fornece os seguintes serviços de login para aumentar a segurança do dispositivo:

    • Autorização de comando - Permite que o NAS deixe o servidor de autorização determinar se um comando inserido por um usuário de login é permitido. Os usuários de login podem executar somente os comandos permitidos pelo servidor de autorização. Para obter mais informações sobre a autorização de comando, consulte o Guia de configuração de fundamentos.
    • Contabilização de comandos - Quando a autorização de comandos está desativada, a contabilização de comandos permite que o servidor de contabilização registre todos os comandos válidos executados no dispositivo. Quando a autorização de comando está ativada, a contabilidade de comando permite que o servidor de contabilidade registre todos os comandos autorizados. Para obter mais informações sobre a contabilidade de comandos, consulte o Fundamentals Configuration Guide.
    • Autenticação de função de usuário - Autentica cada usuário que deseja obter outra função de usuário sem fazer logout ou ser desconectado. Para obter mais informações sobre autenticação de função de usuário, consulte o Fundamentals Configuration Guide.

    Recurso de servidor RADIUS do dispositivo

    Ative o recurso de servidor RADIUS do dispositivo para trabalhar com clientes RADIUS para autenticação e autorização de usuários. O dispositivo pode atuar como um servidor RADIUS dedicado ou como um servidor RADIUS e um cliente RADIUS ao mesmo tempo.

    O recurso do servidor RADIUS oferece redes flexíveis com menos custos. Conforme mostrado na Figura 10, o Dispositivo A fornece funções de servidor RADIUS na camada de distribuição; o Dispositivo B e o Dispositivo C são configurados com esquemas RADIUS para implementar a autenticação e a autorização do usuário na camada de acesso.

    Figura 10 Diagrama de rede

    O recurso de servidor RADIUS oferece suporte às seguintes operações:

    • Gerencia os dados do usuário RADIUS, que são gerados a partir de informações do usuário local e incluem nome de usuário, senha, descrição, ACL de autorização, VLAN de autorização e tempo de expiração.
    • Gerencia clientes RADIUS. Você pode adicionar, modificar e excluir clientes RADIUS. Um cliente RADIUS é identificado pelo endereço IP e inclui informações de atributo, como a chave compartilhada. O recurso de servidor RADIUS processa as solicitações de autenticação somente dos clientes RADIUS gerenciados e ignora as solicitações de clientes desconhecidos.
    • Autentica e autoriza os usuários do tipo de acesso à rede. O servidor não fornece contabilidade.

    Quando o servidor RADIUS recebe um pacote RADIUS, ele executa as seguintes ações:

    • Verifica se o pacote é enviado de um cliente RADIUS gerenciado.
    • Verifica o pacote com a chave compartilhada.
    • Verifica se a conta de usuário existe, se a senha está correta e se outros atributos atendem aos requisitos (por exemplo, se a conta está dentro do período de validade).
    • Determina o resultado da autenticação e autoriza privilégios específicos para o usuário autenticado.

    O recurso de servidor RADIUS do dispositivo tem as seguintes restrições:

    • A porta de autenticação é fixada em UDP 1812 e não pode ser modificada.
    • O recurso é suportado em redes IPv4, mas não em redes IPv6.
    • O servidor fornece apenas os métodos de autenticação PAP e CHAP.
    • Os nomes de usuário enviados ao servidor RADIUS não podem incluir um nome de domínio.

    Protocolos e padrões

    • RFC 2865, Serviço de Discagem de Usuário para Autenticação Remota (RADIUS)
    • RFC 2866, Contabilidade RADIUS
    • RFC 2867, Modificações de contabilidade RADIUS para suporte ao protocolo de túnel
    • RFC 2868, Atributos RADIUS para suporte ao protocolo de túnel
    • RFC 2869, Extensões RADIUS
    • RFC 3576, Extensões de autorização dinâmica para o RADIUS (Remote Authentication Dial In User Service)
    • RFC 4818, Atributo RADIUS Delegated-IPv6-Prefix
    • RFC 5176, Extensões de autorização dinâmica para o RADIUS (Remote Authentication Dial In User Service)
    • RFC 1492, Um protocolo de controle de acesso, às vezes chamado de TACACS
    • RFC 1777, Protocolo de acesso a diretórios leves
    • RFC 2251, Lightweight Directory Access Protocol (v3)

    Conformidade com FIPS

    O dispositivo é compatível com o modo FIPS que atende aos requisitos do NIST FIPS 140-2. O suporte a recursos, comandos e parâmetros pode ser diferente no modo FIPS (consulte "Configuração de FIPS") e no modo não-FIPS.

    Visão geral das tarefas AAA

    Para configurar o AAA, execute as seguintes tarefas:

    • Configuração de esquemas AAA

      • Se a autenticação local for usada, configure os usuários locais e os atributos relacionados. Se a autenticação remota for usada, configure os esquemas RADIUS, LDAP ou HWTACACS necessários.

      • Configuração de usuários locais
      • Configuração do RADIUS
      • Configuração do HWTACACS
      • Configuração do LDAP
    • Configuração de um domínio ISP
      • Criação de um domínio ISP
      • Configuração dos atributos de domínio do ISP
    • Configuração de métodos AAA para um domínio ISP

      • Configure métodos de autenticação, autorização e contabilidade para um domínio ISP, conforme necessário. Esses métodos usam esquemas AAA existentes.

      • Configuração de métodos de autenticação para um domínio ISP
      • Configuração de métodos de autorização para um domínio ISP
      • Configuração de métodos de contabilidade para um domínio ISP
    • (Opcional.) Configuração de recursos avançados de AAA
      • Definição do número máximo de usuários de login simultâneos
      • Configuração de um NAS-ID
      • Configuração da ID do dispositivo
      • Ativação do registro de solicitação de alteração de senha
      • Configuração do recurso do servidor RADIUS
      • Configuração da política de registro de conexão
      • Configuração do recurso de teste AAA

    Configuração de usuários locais

    Sobre os usuários locais

    Para implementar a autenticação, a autorização e a contabilidade locais, crie usuários locais e configure os atributos do usuário no dispositivo. Os usuários e atributos locais são armazenados no banco de dados de usuários locais do dispositivo. Um usuário local é identificado exclusivamente pela combinação de um nome de usuário e um tipo de usuário.

    Os usuários locais são classificados nos seguintes tipos:

    • Usuário de gerenciamento do dispositivo - Usuário que faz login no dispositivo para gerenciamento do dispositivo.
    • Usuário de acesso à rede - Usuário que acessa recursos de rede por meio do dispositivo.

      • A seguir, são mostrados os atributos configuráveis do usuário local:

    • Descrição - Informações descritivas do usuário.
    • Tipo de serviço - Serviços que o usuário pode usar. A autenticação local verifica os tipos de serviço de um usuário local. Se nenhum dos tipos de serviço estiver disponível, o usuário não poderá passar na autenticação.
    • Estado do usuário - Se um usuário local pode ou não solicitar serviços de rede. Há dois estados de usuário: ativo e bloqueado. Um usuário no estado ativo pode solicitar serviços de rede, mas um usuário no estado bloqueado não pode.
    • Limite superior de logins simultâneos usando o mesmo nome de usuário - Número máximo de usuários que podem acessar o dispositivo simultaneamente usando o mesmo nome de usuário. Quando o número atinge o limite superior, nenhum outro usuário local pode acessar o dispositivo usando o nome de usuário.
    • Grupo de usuários - Cada usuário local pertence a um grupo de usuários local e tem todos os atributos do grupo. Os atributos incluem os atributos de controle de senha e os atributos de autorização. Para obter mais informações sobre o grupo de usuários locais, consulte "Configuração dos atributos do grupo de usuários".
    • Atributos de vinculação - Os atributos de vinculação controlam o escopo dos usuários e são verificados durante a autenticação local de um usuário. Se os atributos de um usuário não corresponderem aos atributos de associação configurados para a conta de usuário local, o usuário não poderá ser aprovado na autenticação.
    • Atributos de autorização - Os atributos de autorização indicam os direitos do usuário depois que ele passa pela autenticação local.

      • Configure os atributos de autorização com base no tipo de serviço dos usuários locais.

      É possível configurar um atributo de autorização na visualização de grupo de usuários ou na visualização de usuário local. A configuração de um atributo de autorização na visualização do usuário local tem precedência sobre a configuração do atributo na visualização do grupo de usuários.

      O atributo configurado na visualização do grupo de usuários tem efeito sobre todos os usuários locais do grupo de usuários. O atributo configurado na visualização do usuário local tem efeito apenas sobre o usuário local.

    • Atributos de controle de senha - Os atributos de controle de senha ajudam a controlar a segurança da senha para usuários locais. Os atributos de controle de senha incluem tempo de envelhecimento da senha, comprimento mínimo da senha, verificação da composição da senha, verificação da complexidade da senha e limite de tentativas de login.

      • É possível configurar um atributo de controle de senha na visualização do sistema, na visualização do grupo de usuários ou na visualização do usuário local. Um atributo de controle de senha com um intervalo efetivo menor tem uma prioridade mais alta. Para obter mais informações sobre gerenciamento de senhas e configuração de senhas globais, consulte "Configuração do controle de senhas".

    • Período de validade - Período de tempo em que um usuário de acesso à rede é considerado válido para autenticação.

    Visão geral das tarefas de configuração do usuário local

    Para configurar usuários locais, execute as seguintes tarefas:

    • Configuração dos atributos do usuário local
      • Configuração de atributos para usuários de gerenciamento de dispositivos
      • Configuração de atributos para usuários de acesso à rede
    • (Opcional.) Configuração dos atributos do grupo de usuários
    • (Opcional.) Configuração do recurso de exclusão automática de usuário local

    Restrições e diretrizes para a configuração do usuário local

    A partir da versão 6348P01, os padrões de fábrica do dispositivo fornecem um usuário local padrão chamado clouduser do tipo HTTP. A senha do usuário é admin e a função do usuário é network-admin. Nas versões do anteriores à 6348P01, nenhum usuário local padrão é fornecido.

    Configuração de atributos para usuários de gerenciamento de dispositivos

    Restrições e diretrizes

    Ao configurar o atributo de vinculação de interface para um usuário de gerenciamento de dispositivo, siga estas restrições e diretrizes para evitar falhas de autenticação:

    • Especifique a interface de acesso real do usuário como a interface de vinculação para o usuário.
    • Certifique-se de que os pacotes de autenticação do usuário incluam a interface de acesso do usuário.

    Se o controle de senhas for ativado globalmente para usuários de gerenciamento de dispositivos usando o comando password-control enable, o dispositivo não exibirá as senhas de usuários locais nem as manterá na configuração em execução. Quando você desativa globalmente o controle de senha para usuários de gerenciamento de dispositivos, as senhas de usuários locais são automaticamente restauradas na configuração em execução. Para exibir a configuração em execução, use o comando display current-configuration.

    É possível configurar atributos de autorização e atributos de controle de senha na visualização de usuário local ou de grupo de usuários. A configuração na visualização do usuário local tem precedência sobre a configuração na visualização do grupo de usuários.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Adicione um usuário de gerenciamento de dispositivos e entre na visualização do usuário de gerenciamento de dispositivos.
      • local-user user-name class manage
    • Configure uma senha para o usuário de gerenciamento de dispositivos.

      • No modo não-FIPS:

      password [ { hash | simple } string ]

      Um usuário não protegido por senha passa na autenticação se fornecer o nome de usuário correto e passar nas verificações de atributos. Para aumentar a segurança, configure uma senha para cada usuário de gerenciamento de dispositivos.

      No modo FIPS:

      password

      Somente usuários protegidos por senha podem passar pela autenticação. Você deve definir a senha no modo interativo para um usuário de gerenciamento de dispositivos.

    • Atribua serviços ao usuário de gerenciamento de dispositivos.

      • No modo não-FIPS:

      service-type { ftp | { http | https | ssh | telnet | terminal } * }

      No modo FIPS:

      service-type { https | ssh | terminal } *

      Por padrão, nenhum serviço é autorizado a um usuário de gerenciamento de dispositivos.

    • (Opcional.) Defina o status do usuário de gerenciamento de dispositivos.
      • state { active | block }

      Por padrão, um usuário de gerenciamento de dispositivos está no estado ativo e pode solicitar serviços de rede.

    • (Opcional.) Defina o limite superior de logins simultâneos usando o nome de usuário de gerenciamento do dispositivo.
      • access-limit max-user-number

      Por padrão, o número de logins simultâneos não é limitado para um usuário de gerenciamento de dispositivos.

      Esse comando entra em vigor somente quando a contabilidade local está configurada para usuários de gerenciamento de dispositivos. Esse comando não se aplica aos usuários de FTP, SFTP ou SCP que não oferecem suporte à contabilidade.

    • (Opcional.) Configure o atributo de vinculação de interface para o usuário de gerenciamento de dispositivos.
      • bind-attribute location interface interface-type interface-number

      Por padrão, nenhum atributo de vinculação de interface é configurado para um usuário de gerenciamento de dispositivos.

    • (Opcional.) Configure os atributos de autorização para o usuário de gerenciamento de dispositivos.
      • authorization-attribute { idle-cut minutes | user-role role-name | work-directory directory-name } *

      As seguintes configurações padrão se aplicam:

      • O diretório de trabalho dos usuários de FTP, SFTP e SCP é o diretório raiz do NAS. No entanto, os usuários não têm permissão para acessar o diretório raiz.
      • A função de usuário network-operator é atribuída a usuários locais criados por um usuário network-admin ou de nível 15.
    • (Opcional.) Configure os atributos de controle de senha para o usuário de gerenciamento de dispositivos. Escolha as seguintes tarefas, conforme necessário:
      • Defina o tempo de envelhecimento da senha.
        • password-control aging aging-time
      • Defina o comprimento mínimo da senha.
        • password-control length length
      • Configure a política de composição de senhas.
        • password-control composition type-number type-number [ type-length type-length ]
      • Configure a política de verificação da complexidade da senha.
        • password-control complexity { same-character | user-name } check
      • Configure o máximo de tentativas de login e a ação a ser tomada se houver uma falha de login.
        • password-control login-attempt login-times [ exceed { lock | lock-time time | unlock } ]

        Por padrão, um usuário de gerenciamento de dispositivos usa os atributos de controle de senha do grupo de usuários ao qual o usuário pertence.

    • (Opcional.) Atribua o usuário de gerenciamento de dispositivos a um grupo de usuários.
      • group group-name

      Por padrão, um usuário de gerenciamento de dispositivos pertence ao grupo de usuários system.

    Configuração de atributos para usuários de acesso à rede

    Restrições e diretrizes

    Se o controle de senha for ativado globalmente para usuários de acesso à rede usando o comando password-control enable network-class, o dispositivo não exibirá as senhas de usuários locais nem as manterá na configuração em execução. Quando você desativa globalmente o controle de senha para usuários de acesso à rede, as senhas de usuários locais são automaticamente restauradas na configuração em execução. Para exibir a configuração em execução, use o comando display current-configuration.

    É possível configurar atributos de autorização e atributos de controle de senha na visualização de usuário local ou de grupo de usuários. A configuração na visualização do usuário local tem precedência sobre a configuração na visualização do grupo de usuários.

    Configure o atributo de vinculação de local com base nos tipos de serviço dos usuários.

    • Para usuários 802.1X, especifique as interfaces Ethernet de camada 2 habilitadas para 802.1X por meio das quais os usuários acessam o dispositivo.
    • Para usuários de autenticação MAC, especifique as interfaces Ethernet de camada 2 habilitadas para autenticação MAC por meio das quais os usuários acessam o dispositivo.
    • Para usuários de autenticação da Web, especifique as interfaces Ethernet de camada 2 habilitadas para autenticação da Web por meio das quais os usuários acessam o dispositivo.
    • Para usuários do portal, especifique as interfaces habilitadas para portal por meio das quais os usuários acessam o dispositivo. Especifique as interfaces Ethernet de camada 2 se o portal estiver ativado em interfaces VLAN e o comando portal roaming enable não for usado.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Adicione um usuário de acesso à rede e entre na visualização do usuário de acesso à rede.
      • local-user user-name class network
    • (Opcional.) Configure uma senha para o usuário de acesso à rede.
      • password { cipher | simple } string
    • (Opcional.) Configure uma descrição para o usuário de acesso à rede.
      • description text

      Por padrão, nenhuma descrição é configurada para um usuário local.

    • Atribua serviços ao usuário de acesso à rede.
      • service-type { lan-access | portal }

      Por padrão, nenhum serviço é autorizado a um usuário de acesso à rede.

    • (Opcional.) Defina o status do usuário de acesso à rede.
      • state { active | block }

      Por padrão, um usuário de acesso à rede está no estado ativo e pode solicitar serviços de rede.

    • (Opcional.) Defina o limite superior de logins simultâneos usando o nome de usuário de acesso à rede.
      • access-limit max-user-number

      Por padrão, o número de logins simultâneos não é limitado para um usuário de acesso à rede.

    • (Opcional.) Configure os atributos de vinculação para o usuário de acesso à rede.
      • bind-attribute { ip ip-address | location interface interface-type interface-number | mac mac-address | vlan vlan-id } *

      Por padrão, nenhum atributo de vinculação é configurado para um usuário de acesso à rede.

    • (Opcional.) Configure os atributos de autorização para o usuário de acesso à rede.
      • authorization-attribute { acl acl-number | idle-cut minutes | ip-pool ipv4-pool-name | ipv6-pool ipv6-pool-name | session-timeout minutes | user-profile profile-name | vlan vlan-id } *

      Por padrão, um usuário de acesso à rede não tem atributos de autorização.

    • (Opcional.) Configure os atributos de controle de senha para o usuário de acesso à rede. Selecione as seguintes tarefas, conforme necessário:
      • Defina o comprimento mínimo da senha.
        • password-control length length
      • Configure a política de composição de senhas.
        • password-control composition type-number type-number [ type-length type-length ]
      • Configure a política de verificação da complexidade da senha.
        • password-control complexity { same-character | user-name } check

        Por padrão, um usuário de acesso à rede usa os atributos de controle de senha do grupo de usuários ao qual o usuário pertence.

    • (Opcional.) Atribua o usuário de acesso à rede a um grupo de usuários.
      • group group-name

      Por padrão, um usuário de acesso à rede pertence ao grupo de usuários system.

    • (Opcional.) Especifique o período de validade para o usuário local.
      • validity-datetime { from start-date start-time to expiration-date  expiration-time | from start-date start-time | to expiration-date  expiration-time }

      Por padrão, o período de validade de um usuário de acesso à rede não expira.

    Configuração de atributos de grupos de usuários

    Sobre os atributos do grupo de usuários

    Os grupos de usuários simplificam a configuração e o gerenciamento de usuários locais. Um grupo de usuários contém um grupo de usuários locais e tem um conjunto de atributos de usuários locais. É possível configurar atributos de usuário local para um grupo de usuários a fim de implementar o gerenciamento centralizado de atributos de usuário para os usuários locais do grupo. Os atributos locais do usuário que podem ser gerenciados incluem atributos de autorização.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Crie um grupo de usuários e entre na visualização do grupo de usuários.
      • user-group group-name

      Por padrão, existe um grupo de usuários definido pelo sistema. O nome do grupo é system.

    • Configure os atributos de autorização para o grupo de usuários.
      • authorization-attribute { acl acl-number | idle-cut minutes | ip-pool ipv4-pool-name | ipv6-pool ipv6-pool-name | session-timeout minutes | user-profile profile-name | vlan vlan-id | work-directory directory-name } *

      Por padrão, nenhum atributo de autorização é configurado para um grupo de usuários.

    • (Opcional.) Configure os atributos de controle de senha para o grupo de usuários. Selecione as seguintes tarefas, conforme necessário:
      • Defina o tempo de envelhecimento da senha.
        • password-control aging aging-time
      • Defina o comprimento mínimo da senha.
        • password-control length length
      • Configure a política de composição de senhas.
        • password-control composition type-number type-number [ type-length type-length ]
      • Configure a política de verificação da complexidade da senha.
        • password-control login-attempt login-times [ exceed { lock | lock-time time | unlock } ]
      • Configure o máximo de tentativas de login e a ação a ser tomada em caso de falhas de login. 
        password-control login-attempt login-times [ exceed { lock | lock-time time | unlock } ]

        • Por padrão, um grupo de usuários usa as configurações globais de controle de senha. Para obter mais informações, consulte "Configuração do controle de senhas".

    Configuração do recurso de exclusão automática de usuário local

    Sobre o recurso de exclusão automática de usuário local

    Esse recurso permite que o dispositivo examine a validade dos usuários locais em períodos de tempo fixos de 10 minutos e exclua automaticamente os usuários locais expirados.

    Procedimento

    • Entrar na visualização do sistema
      • system view
    • Ative o recurso de exclusão automática de usuário local.
      • local-user auto-delete enable

      Por padrão, o recurso de exclusão automática de usuário local está desativado.

    Comandos de exibição e manutenção para usuários locais e grupos de usuários locais

    Executar comandos de exibição em qualquer visualização.

    Tarefa Comando
    Exibir a configuração do usuário local e as estatísticas do usuário on-line. display local-user [ class { manage | network } | idle-cut { disable | enable } | service-type { ftp | http | https | lan-access | portal | ssh | telnet | terminal } | state { active | block } | user-name user-name class { manage | network } | vlan vlan-id ]
    Exibir a configuração do grupo de usuários. display user-group { all | name group-name }

    Configuração do RADIUS

    Visão geral das tarefas RADIUS

    Para configurar o RADIUS, execute as seguintes tarefas:

    • Configuração de um perfil EAP

      • Para executar a detecção de status do servidor RADIUS com base em EAP, você deve configurar um perfil EAP e especificar o perfil EAP em um perfil de teste.

    • Configuração de um perfil de teste para detecção do status do servidor RADIUS

      • Para detectar o status de um servidor RADIUS, você deve configurar um perfil de teste e configurar o servidor RADIUS para usar o perfil de teste em um esquema RADIUS.

    • Criação de um esquema RADIUS
    • Especificação de servidores de autenticação RADIUS
    • Especificação dos servidores de contabilidade RADIUS
    • Especificação das chaves compartilhadas para comunicação RADIUS segura

      • Execute esta tarefa se nenhuma chave compartilhada for especificada ao configurar a autenticação RADIUS ou os servidores de contabilidade .

    • (Opcional.) Definição do status dos servidores RADIUS
    • (Opcional.) Configuração dos temporizadores RADIUS
    • (Opcional.) Configuração de parâmetros para pacotes RADIUS
      • Especificação do endereço IP de origem para pacotes RADIUS de saída
      • Configuração do formato do nome de usuário e das unidades de estatísticas de tráfego
      • Definição do número máximo de tentativas de transmissão de solicitações RADIUS
      • Definição do número máximo de tentativas de contabilização em tempo real
      • Configuração da prioridade DSCP para pacotes RADIUS
    • (Opcional.) Configuração de parâmetros para atributos RADIUS
      • Especificação do formato do atributo NAS-Port
      • Configuração do método de verificação do atributo Login-Service para usuários de SSH, FTP e terminal
      • Interpretação do atributo de classe RADIUS como parâmetros CAR
      • Configuração do formato do endereço MAC para o atributo 31 do RADIUS
      • Especificação do formato do atributo NAS-Port-ID
      • Definição da unidade de medição de dados para o atributo Remanent_Volume
      • Configuração do recurso de conversão de atributos RADIUS
    • (Opcional.) Configuração de recursos estendidos do RADIUS
      • Configuração do buffer de pacotes de interrupção de contabilização do RADIUS
      • Ativação do envio forçado de pacotes de parada de contabilização
      • Ativação do recurso de compartilhamento de carga do servidor RADIUS
      • Configuração do recurso de contabilização RADIUS
      • Configuração do recurso de controle de sessão RADIUS
      • Configuração do recurso RADIUS DAS
      • Ativação de notificações SNMP para RADIUS
      • Desativação do serviço RADIUS

    Restrições e diretrizes para a configuração do RADIUS

    Se o servidor de autenticação em um esquema RADIUS for fornecido pelo recurso de servidor RADIUS no dispositivo, você precisará configurar apenas os seguintes itens para o esquema RADIUS:

    • Servidor de autenticação RADIUS.
    • Chave compartilhada para comunicação RADIUS.
    • Formato do nome de usuário para interação com o servidor RADIUS.

    Configuração de um perfil EAP

    Sobre os perfis do EAP

    Um perfil EAP é um conjunto de configurações de autenticação EAP, incluindo o método de autenticação EAP e o arquivo de certificado CA a ser usado para alguns métodos de autenticação EAP.

    Restrições e diretrizes

    Você pode especificar um perfil EAP em vários perfis de teste. Você pode configurar um máximo de 16 perfis EAP.

    Pré-requisitos

    Antes de especificar um arquivo de certificado da CA, use FTP ou TFTP para transferir o arquivo de certificado da CA para o diretório raiz da mídia de armazenamento padrão no dispositivo.

    Em uma malha IRF, certifique-se de que um arquivo de certificado CA já exista no diretório raiz da mídia de armazenamento padrão no dispositivo mestre antes de especificar o arquivo.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Crie um perfil EAP e entre na visualização do perfil EAP.
      • eap-profile eap-profile-name
    • Especifique o método de autenticação EAP.
      • method { md5 | peap-gtc | peap-mschapv2 | ttls-gtc | ttls-mschapv2 }

      Por padrão, o método de autenticação EAP é MD5-challenge.

    • Especifique um arquivo de certificado CA para autenticação EAP.
      • ca-file file-name

      Por padrão, nenhum arquivo de certificado CA é especificado para a autenticação EAP.

      Você deve especificar um arquivo de certificado de CA para verificar o certificado do servidor RADIUS se o método de autenticação EAP for PEAP-GTC, PEAP-MSCHAPv2, TTLS-GTC ou TTLS-MSCHAPv2.

    Configuração de um perfil de teste para detecção do status do servidor RADIUS

    Sobre os perfis de teste para detecção do status do servidor RADIUS

    Para detectar a acessibilidade ou a disponibilidade de um servidor de autenticação RADIUS, especifique um perfil de teste para o servidor RADIUS ao especificar o servidor em um esquema RADIUS. Com o perfil de teste, o dispositivo atualiza o status do servidor RADIUS a cada intervalo de detecção, de acordo com o resultado da detecção. Se o servidor estiver inacessível ou indisponível, o dispositivo definirá o status do servidor como bloqueado. Se o servidor estiver acessível ou disponível, o dispositivo definirá o status do servidor como ativo.

    O dispositivo suporta os seguintes métodos de detecção de status do servidor RADIUS:

    • Detecção simples - Para um servidor RADIUS, o dispositivo simula uma solicitação de autenticação com o nome de usuário e a senha especificados no perfil de teste usado pelo servidor. A solicitação de autenticação é enviada ao servidor RADIUS em cada intervalo de detecção. O dispositivo determina que o servidor RADIUS está acessível se receber uma resposta do servidor dentro do intervalo.
    • Detecção baseada em EAP - Para um servidor RADIUS, o dispositivo simula uma autenticação EAP com o nome de usuário e a senha especificados no perfil de teste usado pelo servidor. A autenticação EAP simulada começa no início de cada intervalo de detecção. Se a autenticação EAP for concluída em um intervalo de detecção, o dispositivo determinará que o servidor RADIUS está disponível.

    Simulando um processo completo de autenticação EAP, a detecção baseada em EAP fornece resultados de detecção mais confiáveis do que a detecção simples. Como prática recomendada, configure a detecção baseada em EAP em um ambiente de rede em que a autenticação EAP esteja configurada.

    Restrições e diretrizes

    Você pode configurar vários perfis de teste no sistema.

    O dispositivo começa a detectar o status de um servidor de autenticação RADIUS somente se um perfil de teste existente for especificado para o servidor.

    Se você especificar um perfil EAP inexistente em um perfil de teste, o dispositivo executará uma detecção simples para os servidores RADIUS que usam o perfil de teste. Depois que o perfil EAP for configurado, o dispositivo iniciará a detecção baseada em EAP no próximo intervalo de detecção.

    O dispositivo para de detectar o status de um servidor RADIUS quando uma das seguintes operações é realizada:

    • O servidor RADIUS é removido do esquema RADIUS.
    • A configuração do perfil de teste para o servidor RADIUS é removida na visualização do esquema RADIUS.
    • O perfil de teste especificado para o servidor RADIUS é excluído.
    • O servidor RADIUS é definido manualmente para o estado bloqueado.
    • O esquema RADIUS que contém o servidor RADIUS é excluído.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Configure um perfil de teste para detectar o status dos servidores de autenticação RADIUS.
      • radius-server test-profile profile-name username name [ password { cipher | simple } string ] [ interval interval ] [ eap-profile eap-profile-name ]

    Criação de um esquema RADIUS

    Restrições e diretrizes

    Você pode configurar um máximo de 16 esquemas RADIUS. Um esquema RADIUS pode ser usado por vários domínios ISP.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Crie um esquema RADIUS e entre na visualização do esquema RADIUS.
      • radius scheme radius-scheme-name

    Especificação de servidores de autenticação RADIUS

    Sobre os servidores de autenticação RADIUS

    Um servidor de autenticação RADIUS conclui a autenticação e a autorização em conjunto, pois as informações de autorização são incluídas nas respostas de autenticação enviadas aos clientes RADIUS.

    Você pode especificar um servidor de autenticação primário e um máximo de 16 servidores de autenticação secundários para um esquema RADIUS. Os servidores secundários fornecem serviços AAA quando o servidor primário fica inacessível. O dispositivo procura um servidor ativo na ordem em que os servidores secundários são configurados.

    Quando o compartilhamento de carga do servidor RADIUS está ativado, o dispositivo distribui a carga de trabalho entre todos os servidores sem considerar as funções de servidor primário e secundário. O dispositivo verifica o valor do peso e o número de usuários atendidos atualmente para cada servidor ativo e, em seguida, determina o servidor mais adequado em termos de desempenho para receber uma solicitação de autenticação.

    Restrições e diretrizes

    Se a redundância não for necessária, especifique apenas o servidor primário.

    Um servidor de autenticação RADIUS pode funcionar como servidor de autenticação primário para um esquema e como servidor de autenticação secundário para outro esquema ao mesmo tempo.

    Dois servidores de autenticação em um esquema, primário ou secundário, não podem ter a mesma combinação de nome de host, endereço IP e número de porta.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do esquema RADIUS.
      • radius scheme radius-scheme-name
    • Especifique o servidor de autenticação RADIUS primário.
      • primary authentication { host-name | ipv4-address | ipv6 ipv6-address } [ port-number | key { cipher | simple } string | test-profile profile-name | weight weight-value ] *

      Por padrão, nenhum servidor de autenticação RADIUS primário é especificado.

      A palavra-chave weight só tem efeito quando o recurso de compartilhamento de carga do servidor RADIUS está ativado para o esquema RADIUS.

    • (Opcional.) Especifique um servidor de autenticação RADIUS secundário.
      • secondary authentication { host-name | ipv4-address | ipv6 ipv6-address } [ port-number | key { cipher | simple } string | test-profile profile-name | weight weight-value ] *

      Por padrão, nenhum servidor de autenticação RADIUS secundário é especificado.

      A palavra-chave weight só tem efeito quando o recurso de compartilhamento de carga do servidor RADIUS está ativado para o esquema RADIUS.

    Especificação dos servidores de contabilidade RADIUS

    Sobre os servidores de contabilidade RADIUS

    Você pode especificar um servidor de contabilidade primário e um máximo de 16 servidores de contabilidade secundários para um esquema RADIUS. Os servidores secundários fornecem serviços AAA quando o servidor primário fica indisponível. O dispositivo procura um servidor ativo na ordem em que os servidores secundários são configurados.

    Quando o compartilhamento de carga do servidor RADIUS está ativado, o dispositivo distribui a carga de trabalho entre todos os servidores sem considerar as funções de servidor primário e secundário. O dispositivo verifica o valor do peso e o número de usuários atendidos atualmente para cada servidor ativo e, em seguida, determina o servidor mais adequado em termos de desempenho para receber uma solicitação de contabilidade.

    Restrições e diretrizes

    Se a redundância não for necessária, especifique apenas o servidor primário.

    Um servidor de contabilidade RADIUS pode funcionar como servidor de contabilidade primário para um esquema e como servidor de contabilidade secundário para outro esquema ao mesmo tempo.

    Dois servidores de contabilidade em um esquema, primário ou secundário, não podem ter a mesma combinação de nome de host, endereço IP e número de porta.

    O RADIUS não oferece suporte à contabilidade para usuários de FTP, SFTP e SCP.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do esquema RADIUS.
      • radius scheme radius-scheme-name
    • Especifique o servidor de contabilidade RADIUS primário.
      • primary accounting { host-name | ipv4-address | ipv6 ipv6-address } [ port-number | key { cipher | simple } string | weight weight-value ] *

      Por padrão, nenhum servidor de contabilidade RADIUS primário é especificado.

      A palavra-chave weight só tem efeito quando o recurso de compartilhamento de carga do servidor RADIUS está ativado para o esquema RADIUS.

    • (Opcional.) Especifique um servidor de contabilidade RADIUS secundário.
      • secondary accounting { host-name | ipv4-address | ipv6 ipv6-address } [ port-number | key { cipher | simple } string | weight weight-value ] *

      Por padrão, nenhum servidor de contabilidade RADIUS secundário é especificado.

      A palavra-chave weight só tem efeito quando o recurso de compartilhamento de carga do servidor RADIUS está ativado para o esquema RADIUS.

    Especificação das chaves compartilhadas para comunicação RADIUS segura

    Sobre as chaves compartilhadas para a comunicação segura do RADIUS

    O cliente e o servidor RADIUS usam o algoritmo MD5 e chaves compartilhadas para gerar o valor do Authenticator para autenticação de pacotes e criptografia de senhas de usuários. O cliente e o servidor devem usar a mesma chave para cada tipo de comunicação.

    Uma chave configurada nessa tarefa é para todos os servidores do mesmo tipo (contabilidade ou autenticação) no esquema. A chave tem prioridade mais baixa do que uma chave configurada individualmente para um servidor RADIUS.

    Restrições e diretrizes

    A chave compartilhada configurada no dispositivo deve ser a mesma que a chave compartilhada configurada no servidor RADIUS .

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do esquema RADIUS.
      • radius scheme radius-scheme-name
    • Especifique uma chave compartilhada para comunicação RADIUS segura.
      • key { accounting | authentication } { cipher | simple } string

      Por padrão, nenhuma chave compartilhada é especificada para a comunicação segura do RADIUS.

    Definição do status dos servidores RADIUS

    Sobre o status do servidor RADIUS

    Para controlar os servidores RADIUS com os quais o dispositivo se comunica quando os servidores atuais não estão mais disponíveis, defina o status dos servidores RADIUS como bloqueado ou ativo. Você pode especificar um servidor primário

    servidor RADIUS e vários servidores RADIUS secundários. Os servidores secundários funcionam como backup do servidor primário. Quando o recurso de compartilhamento de carga do servidor RADIUS está desativado, o dispositivo escolhe os servidores com base nas seguintes regras:

    • Quando o servidor primário está no estado ativo, o dispositivo tenta primeiro se comunicar com o servidor primário. Se o servidor primário não puder ser acessado, o dispositivo procurará um servidor secundário ativo na ordem em que os servidores estiverem configurados.
    • Quando um ou mais servidores estão no estado ativo, o dispositivo tenta se comunicar apenas com esses servidores ativos, mesmo que os servidores não estejam disponíveis.
    • Quando todos os servidores estão em estado bloqueado, o dispositivo tenta se comunicar apenas com o servidor principal.
    • Se um servidor não puder ser acessado, o dispositivo executará as seguintes operações:
      • Altera o status do servidor para bloqueado.
      • Inicia um cronômetro de silêncio para o servidor.
      • Tenta se comunicar com o próximo servidor secundário em estado ativo que tem a prioridade mais alta.
    • Quando o timer de silêncio de um servidor expira ou quando você define manualmente o servidor para o estado ativo, o status do servidor volta a ser ativo. O dispositivo não verifica o servidor novamente durante o processo de autenticação ou contabilidade.
    • O processo de pesquisa continua até que o dispositivo encontre um servidor secundário disponível ou tenha verificado todos os servidores secundários em estado ativo. Se nenhum servidor estiver acessível, o dispositivo considerará a tentativa de autenticação ou contabilização uma falha.
    • Quando você remove um servidor em uso, a comunicação com o servidor é interrompida. O dispositivo procura um servidor em estado ativo verificando primeiro o servidor primário e, em seguida, os servidores secundários na ordem em que foram configurados.
    • Quando o status de um servidor RADIUS é alterado automaticamente, o dispositivo altera o status desse servidor de forma correspondente em todos os esquemas RADIUS nos quais esse servidor é especificado.
    • Quando um servidor RADIUS é definido manualmente como bloqueado, a detecção de servidor é desativada para o servidor, independentemente de ter sido especificado um perfil de teste para o servidor. Quando o servidor RADIUS é definido para o estado ativo, a detecção do servidor é ativada para o servidor no qual um perfil de teste existente é especificado.

      • Por padrão, o dispositivo define o status de todos os servidores RADIUS como ativo. Entretanto, em algumas situações, você deve alterar o status de um servidor. Por exemplo, se um servidor falhar, você poderá alterar o status do servidor para bloqueado para evitar tentativas de comunicação com o servidor.

    Restrições e diretrizes

    O status do servidor configurado não pode ser salvo em nenhum arquivo de configuração e só pode ser visualizado com o comando display radius scheme.

    Depois que o dispositivo for reiniciado, todos os servidores serão restaurados para o estado ativo.

    O dispositivo seleciona um servidor acessível para a autenticação ou contabilização de um novo usuário de acordo com as regras de seleção de servidor desta seção se o recurso de compartilhamento de carga do servidor RADIUS estiver desativado. No entanto, essas regras não se aplicam à reautenticação de usuários on-line se o modo de seleção do servidor RADIUS para reautenticação estiver definido como herdar usando o comando reauthentication server-select inherit.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do esquema RADIUS.
      • radius scheme radius-scheme-name
    • Defina o status do servidor RADIUS. Selecione as seguintes tarefas, conforme necessário:
      • Definir o status do servidor de autenticação RADIUS primário.
        • state primary authentication { active | block }
      • Definir o status do servidor de contabilidade RADIUS primário.
        • state primary accounting { active | block }
      • Definir o status de um servidor de autenticação RADIUS secundário.
        • state secondary authentication [ { host-name | ipv4-address | ipv6 ipv6-address } [ port-number ] ] { active | block }
      • Definir o status de um servidor de contabilidade RADIUS secundário.
        • state secondary accounting [ { host-name | ipv4-address | ipv6 ipv6-address } [ port-number ] ] { active | block }

      Por padrão, um servidor RADIUS está no estado ativo.

    Configuração de temporizadores RADIUS

    Sobre os temporizadores RADIUS

    O dispositivo usa os seguintes tipos de temporizadores para controlar a comunicação com um servidor RADIUS:

    • Temporizador de tempo limite de resposta do servidor (response-timeout) - Define o intervalo de retransmissão da solicitação RADIUS. O cronômetro começa imediatamente após o envio de uma solicitação RADIUS. Se o dispositivo não receber uma resposta do servidor RADIUS antes que o cronômetro expire, ele reenviará a solicitação.
    • Temporizador de silêncio do servidor (quiet) - Define a duração para manter um servidor inacessível no estado bloqueado. Se um servidor não estiver acessível, o dispositivo alterará o status do servidor para bloqueado, iniciará esse cronômetro para o servidor e tentará se comunicar com outro servidor no estado ativo. Após a expiração do cronômetro de silêncio do servidor, o dispositivo altera o status do servidor de volta para ativo.
    • Timer de contabilidade em tempo real (realtime-accounting) - Define o intervalo em que o dispositivo envia pacotes de contabilidade em tempo real para o servidor de contabilidade RADIUS para usuários on-line.

    Restrições e diretrizes

    Considere o número de servidores secundários ao configurar o número máximo de tentativas de transmissão de pacotes RADIUS e o cronômetro de tempo limite de resposta do servidor RADIUS. Se o esquema RADIUS incluir muitos servidores secundários, o processo de retransmissão poderá ser muito longo e a conexão do cliente no módulo de acesso, como a Telnet, poderá atingir o tempo limite.

    Quando as conexões do cliente têm um curto período de tempo limite, um grande número de servidores secundários pode fazer com que a tentativa inicial de autenticação ou contabilização falhe. Nesse caso, reconecte o cliente em vez de ajustar as tentativas de transmissão de pacotes RADIUS e o cronômetro de tempo limite de resposta do servidor. Normalmente, a próxima tentativa será bem-sucedida, pois o dispositivo bloqueou os servidores inacessíveis para reduzir o tempo de localização de um servidor acessível.

    Verifique se o temporizador de silêncio do servidor está definido corretamente. Um timer muito curto pode resultar em falhas frequentes de autenticação ou contabilidade. Isso ocorre porque o dispositivo continuará a tentar se comunicar com um servidor inacessível que esteja em estado ativo. Um timer muito longo pode bloquear temporariamente um servidor acessível que tenha se recuperado de uma falha. Isso ocorre porque o servidor permanecerá no estado bloqueado até que o temporizador expire.

    Um intervalo curto de contabilização em tempo real ajuda a melhorar a precisão da contabilização, mas exige muitos recursos do sistema. Quando houver 1.000 ou mais usuários, defina o intervalo para 15 minutos ou mais.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do esquema RADIUS.
      • radius scheme radius-scheme-name
    • Defina os cronômetros RADIUS. Selecione as seguintes tarefas, conforme necessário:
      • Defina o timer de tempo limite de resposta do servidor RADIUS.
        • timer response-timeout seconds

        A configuração padrão é 3 segundos.

      • Defina o cronômetro de silêncio para os servidores.
        • timer quiet minutes

        A configuração padrão é de 5 minutos.

      • Defina o cronômetro de contabilidade em tempo real.
        • timer realtime-accounting interval [ second ]

        A configuração padrão é 12 minutos.

    Especificação do endereço IP de origem para pacotes RADIUS de saída

    Sobre o endereço IP de origem para pacotes RADIUS de saída

    O endereço IP de origem dos pacotes RADIUS que um NAS envia deve corresponder ao endereço IP do NAS configurado no servidor RADIUS. Um servidor RADIUS identifica um NAS por seu endereço IP. Ao receber um pacote RADIUS, o servidor RADIUS verifica o endereço IP de origem do pacote.

    • Se for o endereço IP de um NAS gerenciado, o servidor processará o pacote.
    • Se não for o endereço IP de um NAS gerenciado, o servidor descartará o pacote.

    Antes de enviar um pacote RADIUS, o NAS seleciona um endereço IP de origem na seguinte ordem:

    • O endereço IP de origem especificado para o esquema RADIUS.
    • O endereço IP de origem especificado na visualização do sistema.
    • O endereço IP da interface de saída especificada pela rota.

    Restrições e diretrizes para a configuração do endereço IP de origem

    Você pode especificar um endereço IP de origem para pacotes RADIUS de saída na visualização do esquema RADIUS ou na visualização do sistema.

    • O endereço IP especificado na visualização do esquema RADIUS aplica-se somente a um esquema RADIUS.
    • O endereço IP especificado na visualização do sistema se aplica a todos os esquemas RADIUS.

    O endereço IP de origem dos pacotes RADIUS que um NAS envia deve corresponder ao endereço IP do NAS que está configurado no servidor RADIUS.

    Como prática recomendada, especifique um endereço de interface de loopback como o endereço IP de origem dos pacotes RADIUS de saída para evitar a perda de pacotes RADIUS causada por erros de porta física.

    O endereço de origem dos pacotes RADIUS de saída é normalmente o endereço IP de uma interface de saída no NAS para se comunicar com o servidor RADIUS. Entretanto, em algumas situações, você deve alterar o endereço IP de origem. Por exemplo, quando o VRRP estiver configurado para failover com estado, configure o IP virtual do grupo VRRP de uplink como o endereço de origem.

    Você pode especificar diretamente um endereço IP de origem para os pacotes RADIUS de saída ou especificar uma interface de origem para fornecer o endereço IP de origem para os pacotes RADIUS de saída. A configuração da interface de origem e a configuração do endereço IP de origem substituem uma à outra.

    Especificação de uma interface de origem ou endereço IP de origem para todos os esquemas RADIUS

    • Entre na visualização do sistema.
      • system view
    • Especifique uma interface de origem ou um endereço IP de origem para pacotes RADIUS de saída.
      • radius nas-ip { interface interface-type interface-number | { ipv4-address | ipv6 ipv6-address } }

      Por padrão, o endereço IP de origem de um pacote RADIUS de saída é o endereço IPv4 primário ou o endereço IPv6 da interface de saída.

    Especificação de uma interface de origem ou endereço IP de origem para um esquema RADIUS

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do esquema RADIUS.
      • radius scheme radius-scheme-name
    • Especifique uma interface de origem ou um endereço IP de origem para pacotes RADIUS de saída.
      • nas-ip { ipv4-address | interface interface-type interface-number | ipv6 ipv6-address }

      Por padrão, o endereço IP de origem de um pacote RADIUS de saída é aquele especificado pelo uso do comando radius nas-ip na visualização do sistema. Se o comando radius nas-ip não for usado, o endereço IP de origem será o endereço IP primário da interface de saída.

    Configuração do formato do nome de usuário e das unidades de estatísticas de tráfego

    Sobre o formato do nome de usuário e as unidades de estatísticas de tráfego

    Um nome de usuário está no formato userid@isp-name, em que a parte isp-name representa o nome de domínio ISP do usuário. Por padrão, o nome de domínio do ISP é incluído em um nome de usuário. Entretanto, os servidores RADIUS mais antigos podem não reconhecer nomes de usuário que contenham os nomes de domínio do ISP. Nesse caso, você pode configurar o dispositivo para remover o nome de domínio de cada nome de usuário a ser enviado.

    O dispositivo relata estatísticas de tráfego de usuários on-line em pacotes de contabilidade. As unidades de medição de tráfego são configuráveis.

    Restrições e diretrizes

    Se dois ou mais domínios ISP usarem o mesmo esquema RADIUS, configure o esquema RADIUS para manter o nome do domínio ISP nos nomes de usuário para identificação do domínio.

    Para obter precisão na contabilidade, certifique-se de que as unidades de estatísticas de tráfego configuradas no dispositivo e nos servidores de contabilidade RADIUS sejam as mesmas.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do esquema RADIUS.
      • radius scheme radius-scheme-name
    • Defina o formato dos nomes de usuário enviados aos servidores RADIUS.
      • user-name-format { keep-original | with-domain | without-domain }

      Por padrão, o nome de domínio do ISP é incluído em um nome de usuário.

      Se o dispositivo for especificado como servidor RADIUS no esquema, o formato do nome de usuário deverá ser definido como without-domain (sem domínio).

    • Defina o fluxo de dados e as unidades de medição de pacotes para estatísticas de tráfego.
      • data-flow-format { data { byte | giga-byte | kilo-byte | mega-byte } | packet { giga-packet | kilo-packet | mega-packet | one-packet } }*

      Por padrão, o tráfego é contado em bytes e pacotes.

    Configuração do número máximo de tentativas de transmissão de solicitações RADIUS

    Sobre a configuração do número máximo de tentativas de transmissão de solicitações RADIUS

    O RADIUS usa pacotes UDP para transferir dados. Como a comunicação UDP não é confiável, o RADIUS usa um mecanismo de retransmissão para aumentar a confiabilidade. Uma solicitação RADIUS será retransmitida se o NAS não receber uma resposta do servidor para a solicitação dentro do cronômetro de tempo limite de resposta. Para obter mais informações sobre o cronômetro de tempo limite de resposta do servidor RADIUS, consulte "Definição do status dos servidores RADIUS".

    Você pode definir o número máximo para o NAS retransmitir uma solicitação RADIUS para o mesmo servidor. Quando o número máximo é atingido, o NAS tenta se comunicar com outros servidores RADIUS no estado ativo. Se nenhum outro servidor estiver em estado ativo no momento, o NAS considerará a tentativa de autenticação ou contabilidade uma falha.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do esquema RADIUS.
      • radius scheme radius-scheme-name
    • Defina o número máximo de tentativas de transmissão de solicitações RADIUS.
      • retry retries

      Por padrão, o número máximo é 3 para tentativas de transmissão de solicitações RADIUS.

    Definição do número máximo de tentativas de contabilização em tempo real

    Sobre a configuração do número máximo de tentativas de contabilização em tempo real

    Se você definir o número máximo de tentativas de contabilização em tempo real, o dispositivo desconectará os usuários dos quais não forem recebidas respostas de contabilização dentro das tentativas permitidas.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do esquema RADIUS.
      • radius scheme radius-scheme-name
    • Defina o número máximo de tentativas de contabilização em tempo real.
      • retry realtime-accounting retries

      Por padrão, o número máximo é 5 para tentativas de contabilização em tempo real.

    Configuração da prioridade DSCP para pacotes RADIUS

    Sobre a prioridade DSCP para pacotes RADIUS

    A prioridade DSCP no campo ToS determina a prioridade de transmissão dos pacotes RADIUS. Um valor maior representa uma prioridade mais alta.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Defina a prioridade DSCP para os pacotes RADIUS.
      • radius [ ipv6 ] dscp dscp-value

      Por padrão, a prioridade DSCP é 0 para pacotes RADIUS.

    Especificação do formato do atributo NAS-Port

    Sobre esta tarefa

    Execute esta tarefa para especificar o formato do atributo NAS-Port (atributo 5) enviado pelo dispositivo ao servidor RADIUS. Os seguintes formatos estão disponíveis:

    • Formato padrão - Contém as seguintes partes:
      • ID de membro IRF de 8 bits.
      • Número do slot de 4 bits.
      • Índice de porta de 8 bits.
      • VLAN ID de 12 bits.
    • Formato da porta - Contém o valor no último segmento da interface de acesso do usuário. Por exemplo, se um usuário ficar on-line a partir da GigabitEthernet 1/0/2, o valor do atributo NAS-Port será 2.

    Versão do software e compatibilidade de recursos

    Esse recurso é compatível apenas com a versão 6342 e posteriores.

    Restrições e diretrizes

    Para trocar pacotes RADIUS corretamente com um servidor RADIUS, configure o dispositivo com o mesmo formato de atributo NAS-Port que o servidor RADIUS.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do esquema RADIUS.
      • radius scheme radius-scheme-name
    • Defina o formato do atributo NAS-Port para o formato da porta.
      • attribute 5 format port

      Por padrão, o atributo NAS-Port usa o formato padrão.

    Configuração do método de verificação do atributo Login-Service para usuários de SSH, FTP e terminal

    Sobre os métodos de verificação do atributo Login-Service

    O dispositivo suporta os seguintes métodos de verificação do atributo Login-Service (atributo 15 do RADIUS) de usuários de SSH, FTP e terminal:

    • Strict - Matches Login-Service valores de atributo 50, 51 e 52 para SSH, FTP e serviços de terminal, respectivamente.
    • Loose - Corresponde ao valor 0 do atributo padrão Login-Service para SSH, FTP e serviços de terminal.

    Um pacote Access-Accept recebido para um usuário deve conter o valor de atributo correspondente. Caso contrário, o usuário não poderá fazer login no dispositivo.

    Restrições e diretrizes

    Use o método de verificação solta somente quando o servidor não emitir os valores de atributo Login-Service 50, 51 e 52 para usuários de SSH, FTP e terminal.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do esquema RADIUS.
      • radius scheme radius-scheme-name
    • Configure o método de verificação do atributo Login-Service para usuários de SSH, FTP e terminal.
      • attribute 15 check-mode { loose | strict }

      O método de verificação padrão é rigoroso.

    Interpretação do atributo de classe RADIUS como parâmetros CAR

    Sobre a interpretação do atributo de classe RADIUS como parâmetros CAR

    Um servidor RADIUS pode fornecer parâmetros CAR para monitoramento e controle de tráfego com base no usuário usando o atributo de classe RADIUS (atributo 25) nos pacotes RADIUS. Você pode configurar o dispositivo para interpretar o atributo class como parâmetros CAR.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do esquema RADIUS.
      • radius scheme radius-scheme-name
    • Interpretar o atributo de classe RADIUS como parâmetros CAR.
      • attribute 25 car

      Por padrão, o atributo de classe RADIUS não é interpretado como parâmetros CAR.

    Configuração do formato do endereço MAC para o atributo 31 do RADIUS

    Restrições e diretrizes

    Servidores RADIUS de tipos diferentes podem ter requisitos diferentes para o formato de endereço MAC no atributo 31 do RADIUS. Configure o formato do endereço MAC do atributo 31 do RADIUS para atender aos requisitos dos servidores RADIUS.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do esquema RADIUS.
      • radius scheme radius-scheme-name
    • Configure o formato do endereço MAC para o atributo 31 do RADIUS.
      • attribute 31 mac-format section { one |{ six | three } separator separator-character } { lowercase | uppercase }

      Por padrão, um endereço MAC está no formato HH-HH-HH-HH-HH-HH-HH-HH. O endereço MAC é separado por hífen (-) em seis seções com letras em caixa alta.

      A palavra-chave one está disponível somente na versão 6312 e posteriores.

    Especificação do formato do atributo NAS-Port-ID

    Sobre esta tarefa

    Execute esta tarefa para especificar o formato do atributo NAS-Port-ID (atributo 87) enviado pelo dispositivo ao servidor RADIUS. Os seguintes formatos estão disponíveis:

    • Formato padrão - O formato padrão varia de acordo com o tipo de acesso do usuário.
      • Para usuários do portal, o atributo NAS-Port-Id está no formato SlotID00IfNOVlanID:

        • - SlotID - Representa um ID de membro IRF de 2 bytes.

        - 00 - Representa uma cadeia de 2 bytes de 0s.

        - SeNO- Representa um índice de porta de 3 bytes.

        - VLANID - Representa uma VLAN ID de 9 bytes.

      • Para usuários de autenticação 802.1X e MAC, o atributo NAS-Port-Id está no

        • slot=xx;subslot=xx;port=xx;vlanid=xx formato.

        - slot - ID do membro do IRF.

        - subslot - número do slot.

        - port - índice da porta.

        - vlanid - VLAN ID

      • Para usuários de login, o dispositivo não inclui o atributo NAS-Port-Id nos pacotes RADIUS.
    • Formato Interface-name - Contém o nome da interface de acesso do usuário. Por exemplo, se um usuário acessar a rede a partir da GigabitEthernet 1/0/1, o atributo NAS-Port-ID será definido como GigabitEthernet1/0/1.

    Versão do software e compatibilidade de recursos

    Esse recurso é compatível apenas com a versão 6342 e posteriores.

    Restrições e diretrizes

    Para trocar pacotes RADIUS corretamente com um servidor RADIUS, configure o dispositivo com o mesmo formato de atributo NAS-Port-ID que o servidor RADIUS.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do esquema RADIUS.
      • radius scheme radius-scheme-name
    • Defina o formato do atributo NAS-Port-ID para o formato do nome da interface.
      • attribute 87 format interface-name

      Por padrão, o atributo NAS-Port usa o formato padrão.

    Definição da unidade de medição de dados para o atributo Remanent_Volume

    Sobre a unidade de medição de dados para o atributo Remanent_Volume

    O servidor RADIUS usa o atributo Remanent_Volume em respostas de autenticação ou de contabilidade em tempo real para notificar o dispositivo sobre a quantidade atual de dados disponíveis para usuários on-line.

    Restrições e diretrizes

    Certifique-se de que a unidade de medida configurada seja igual à unidade de medida de dados do usuário no servidor RADIUS .

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do esquema RADIUS.
      • radius scheme radius-scheme-name
    • Defina a unidade de medição de dados para o atributo Remanent_Volume.
      • attribute remanent-volume unit { byte | giga-byte | kilo-byte | mega-byte }

      Por padrão, a unidade de medida de dados é o kilobyte.

    Configuração do recurso de conversão de atributos RADIUS

    Sobre a tradução de atributos RADIUS

    O recurso de tradução de atributos RADIUS permite que o dispositivo funcione corretamente com os servidores RADIUS de diferentes fornecedores que oferecem suporte a atributos RADIUS incompatíveis com o dispositivo.

    A tradução de atributos do RADIUS tem as seguintes implementações:

    • Conversão de atributos - Converte atributos RADIUS de origem em atributos RADIUS de destino com base nas regras de conversão de atributos RADIUS.
    • Rejeição de atributos - Rejeita atributos RADIUS com base nas regras de rejeição de atributos RADIUS.

      • Quando o recurso de conversão de atributos RADIUS está ativado, o dispositivo processa os pacotes RADIUS da seguinte forma:

    • Para os pacotes RADIUS enviados:
      • Exclui os atributos rejeitados dos pacotes.
      • Usa os atributos RADIUS de destino para substituir os atributos que correspondem às regras de conversão de atributos RADIUS nos pacotes.
    • Para os pacotes RADIUS recebidos:
      • Ignora os atributos rejeitados nos pacotes.
      • Interpreta os atributos que correspondem às regras de conversão de atributos RADIUS como os atributos RADIUS de destino.

      Para identificar atributos proprietários do RADIUS, você pode definir os atributos como atributos estendidos do RADIUS e, em seguida, converter os atributos estendidos do RADIUS em atributos compatíveis com o dispositivo.

    Restrições e diretrizes para a configuração da conversão de atributos RADIUS

    Configure regras de conversão ou regras de rejeição para um atributo RADIUS.

    Configure regras baseadas em direção ou em tipo de pacote para um atributo RADIUS.

    Para a tradução baseada em direção de um atributo RADIUS, você pode configurar uma regra para cada direção (entrada ou saída). Para a tradução baseada em tipo de pacote de um atributo RADIUS, você pode configurar uma regra para cada tipo de pacote RADIUS (RADIUS Access-Accept, RADIUS Access-Request ou RADIUS accounting).

    Configuração do recurso de conversão de atributos RADIUS para um esquema RADIUS

    • Entre na visualização do sistema.
      • system view
    • (Opcional.) Defina um atributo RADIUS estendido.
      • radius attribute extended attribute-name [ vendor vendor-id ] code attribute-code type { binary | date | integer | interface-id | ip | ipv6 | ipv6-prefix | octets | string }
    • Entre na visualização do esquema RADIUS.
      • radius scheme radius-scheme-name
    • Habilite o recurso de tradução de atributos RADIUS.
      • attribute translate

      Por padrão, esse recurso está desativado.

    • Configure uma regra de conversão de atributo RADIUS ou uma regra de rejeição de atributo RADIUS. Escolha as seguintes tarefas, conforme necessário:
      • Configure uma regra de conversão de atributo RADIUS.
        • attribute convert src-attr-name to dest-attr-name { { access-accept | access-request | accounting } * | { received | sent } * }

        Por padrão, nenhuma regra de conversão de atributo RADIUS é configurada.

      • Configurar uma regra de rejeição de atributo RADIUS.
        • attribute reject attr-name { { access-accept | access-request | accounting } * | { received | sent } * }

        Por padrão, nenhuma regra de rejeição de atributo RADIUS é configurada.

    Configuração do recurso de conversão de atributos RADIUS para um DAS RADIUS

    • Entre na visualização do sistema.
      • system view
    • (Opcional.) Defina um atributo RADIUS estendido.
      • radius attribute extended attribute-name [ vendor vendor-id ] code attribute-code type { binary | date | integer | interface-id | ip | ipv6 | ipv6-prefix | octets | string }
    • Entre na visualização do RADIUS DAS.
      • radius dynamic-author server
    • Habilite o recurso de tradução de atributos RADIUS.
      • attribute translate

      Por padrão, esse recurso está desativado.

    • Configure uma regra de conversão de atributo RADIUS ou uma regra de rejeição de atributo RADIUS. Selecione as seguintes tarefas, conforme necessário:
      • Configure uma regra de conversão de atributo RADIUS.
        • attribute convert src-attr-name to dest-attr-name { { coa-ack | coa-request } * | { received | sent } * }

        Por padrão, nenhuma regra de conversão de atributo RADIUS é configurada.

      • Configurar uma regra de rejeição de atributo RADIUS.
        • attribute reject attr-name { { coa-ack | coa-request } * | { received | sent } * }

        Por padrão, nenhuma regra de rejeição de atributo RADIUS é configurada.

    Configuração do buffer de pacotes de interrupção de contabilização do RADIUS

    Sobre o buffer de pacotes RADIUS stop-accounting

    O dispositivo envia solicitações de interrupção de contabilização RADIUS quando recebe solicitações de interrupção de conexão de hosts ou comandos de interrupção de conexão de um administrador. No entanto, o dispositivo pode falhar

    para receber uma resposta para uma solicitação de interrupção de contabilização em uma única transmissão. Ative o dispositivo para armazenar em buffer as solicitações de interrupção de contabilização do RADIUS que não receberam respostas do servidor de contabilização. O dispositivo reenviará as solicitações até que as respostas sejam recebidas.

    Para limitar os tempos de transmissão, defina um número máximo de tentativas de transmissão que podem ser feitas para solicitações individuais de interrupção de contabilização do RADIUS. Quando são feitas as tentativas máximas para uma solicitação, o dispositivo descarta a solicitação armazenada em buffer.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do esquema RADIUS.
      • radius scheme radius-scheme-name
    • Habilita o armazenamento em buffer das solicitações de interrupção de contabilização do RADIUS para as quais não foram recebidas respostas.
      • stop-accounting-buffer enable

      Por padrão, o recurso de buffer está ativado.

    • (Opcional.) Defina o número máximo de tentativas de transmissão para solicitações individuais de interrupção de contabilização do RADIUS.
      • retry stop-accounting retries

      A configuração padrão é 500.

    Ativação do envio forçado de pacotes de parada de contabilização

    Sobre o envio forçado de pacotes stop-accounting

    Normalmente, se o dispositivo não enviar um pacote de contabilização inicial ao servidor RADIUS para um usuário autenticado, ele não enviará um pacote de contabilização final quando o usuário ficar off-line. Se o servidor tiver gerado uma entrada de usuário para o usuário sem pacotes start-accounting, ele não liberará a entrada de usuário quando o usuário ficar off-line. Esse recurso força o dispositivo a enviar pacotes stop-accounting para o servidor RADIUS quando o usuário fica off-line para liberar a entrada de usuário no servidor em tempo hábil.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do esquema RADIUS.
      • radius scheme radius-scheme-name
    • Habilite o dispositivo para enviar pacotes de interrupção de contabilização quando os usuários para os quais não foram enviados pacotes de início de contabilização ficarem off-line.
      • stop-accounting-packet send-force

      Por padrão, o envio forçado de pacotes de parada de contabilização está desativado. O dispositivo não envia pacotes de interrupção de contabilização quando os usuários para os quais não são enviados pacotes de início de contabilização ficam off-line.

    Ativação do recurso de compartilhamento de carga do servidor RADIUS

    Sobre o compartilhamento de carga do servidor RADIUS

    Por padrão, o dispositivo se comunica com os servidores RADIUS com base nas funções do servidor. Primeiro, ele tenta se comunicar com o servidor primário e, se o servidor primário não puder ser acessado, ele procura os servidores secundários na ordem em que foram configurados. O primeiro servidor secundário em estado ativo é usado para comunicação. Nesse processo, a carga de trabalho é sempre colocada no servidor ativo.

    Use o recurso de compartilhamento de carga do servidor RADIUS para distribuir dinamicamente a carga de trabalho entre vários servidores, independentemente de suas funções. O dispositivo encaminha uma solicitação AAA para o servidor mais adequado de todos os servidores ativos no esquema depois de comparar os valores de peso e os números de usuários atendidos atualmente. Especifique um valor de peso para cada servidor RADIUS com base na capacidade AAA do servidor. Um valor de peso maior indica uma capacidade AAA maior.

    No compartilhamento de carga do servidor RADIUS, quando o dispositivo envia uma solicitação de início de contabilização a um servidor para um usuário, ele encaminha todas as solicitações de contabilização subsequentes do usuário para o mesmo servidor. Se o servidor de contabilidade não puder ser acessado, o dispositivo retornará uma mensagem de falha de contabilidade em vez de procurar outro servidor de contabilidade ativo.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do esquema RADIUS.
      • radius scheme radius-scheme-name
    • Ative o recurso de compartilhamento de carga do servidor RADIUS.
      • server-load-sharing enable

      Por padrão, esse recurso está desativado.

    Configuração do recurso de contabilização RADIUS

    Sobre a contabilização RADIUS

    Quando o recurso de contabilização está ativado, o dispositivo envia automaticamente um pacote de contabilização para o servidor RADIUS após a reinicialização de todo o dispositivo. Ao receber o pacote de contabilização, o servidor RADIUS faz o logout de todos os usuários on-line para que eles possam fazer login novamente pelo dispositivo. Sem esse recurso, os usuários não podem fazer login novamente após a reinicialização, pois o servidor RADIUS considera que eles estão on-line.

    Você pode configurar o intervalo pelo qual o dispositivo espera para reenviar o pacote de contabilização e o número máximo de tentativas.

    O recurso de contabilização estendido aprimora o recurso de contabilização em uma arquitetura distribuída.

    O recurso de contabilização estendida é aplicável aos usuários da LAN. Os dados do usuário são salvos nos dispositivos membros da IRF por meio dos quais os usuários acessam o sistema. Quando o recurso de contabilização estendida está ativado, o sistema envia automaticamente um pacote de contabilização para o servidor RADIUS após a reinicialização de um dispositivo membro. O pacote contém o identificador do dispositivo membro. Ao receber o pacote de contabilização, o servidor RADIUS faz o logout de todos os usuários on-line que acessam o sistema por meio do dispositivo membro. Se nenhum usuário estiver on-line por meio do dispositivo membro, a malha IRF não enviará um pacote de contabilização após a reinicialização do dispositivo membro.

    Restrições e diretrizes

    Para que o recurso de contabilização estendida tenha efeito, o servidor RADIUS deve ser executado no IMC e o recurso de contabilização deve estar ativado.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do esquema RADIUS.
      • radius scheme radius-scheme-name
    • Habilitar a contabilização.
      • accounting-on enable [ interval interval | send send-times ] *

      Por padrão, o recurso de contabilização está desativado.

    • (Opcional.) Habilite a contabilização estendida.
      • accounting-on extended

      Por padrão, a contabilização estendida está desativada.

    Configuração do recurso de controle de sessão RADIUS

    Sobre o controle de sessão RADIUS

    Habilite esse recurso para que o servidor RADIUS altere dinamicamente as informações de autorização do usuário (como ACL de autorização, VLAN e grupo de usuários) ou desconecte usuários à força usando pacotes de controle de sessão. Essa tarefa permite que o dispositivo receba pacotes de controle de sessão RADIUS na porta UDP 1812.

    Para verificar os pacotes de controle de sessão enviados de um servidor RADIUS, especifique o servidor RADIUS como um cliente de controle de sessão para o dispositivo.

    Restrições e diretrizes

    O recurso de controle de sessão RADIUS só pode funcionar com servidores RADIUS em execução no IMC. A configuração do cliente de controle de sessão entra em vigor somente quando o recurso de controle de sessão está ativado.

    Se o dispositivo atuar como NAS e o servidor IMC implantado com o EAD atribuir ACLs de autorização ao dispositivo, você deverá ativar o recurso de controle de sessão no dispositivo. Isso garante que as ACLs de autorização possam entrar em vigor.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Habilite o recurso de controle de sessão.
      • radius session-control enable

      Por padrão, o recurso de controle de sessão está desativado.

    • Especifique um cliente de controle de sessão.
      • radius session-control client { ip ipv4-address | ipv6 ipv6-address } [ key { cipher | simple } string ]

      Por padrão, nenhum cliente de controle de sessão é especificado.

    Configuração do recurso RADIUS DAS

    Sobre o recurso RADIUS DAS

    As Extensões de Autorização Dinâmica (DAE) para RADIUS, definidas na RFC 5176, podem fazer logoff de usuários on-line e alterar as informações de autorização de usuários on-line.

    Em uma rede RADIUS, o servidor RADIUS normalmente atua como o cliente DAE (DAC) e o NAS atua como o servidor DAE (DAS).

    Quando o recurso RADIUS DAS está ativado, o NAS executa as seguintes operações:

    • Escuta a porta UDP padrão ou especificada para receber solicitações de DAE.
    • Faz o logoff dos usuários on-line que correspondem aos critérios das solicitações, altera suas informações de autorização, desliga ou reinicia suas portas de acesso ou reautentica os usuários.
    • Envia respostas DAE para o DAC. O DAE define os seguintes tipos de pacotes:
      • Mensagens de desconexão (DMs) - O DAC envia solicitações de DM para o DAS para fazer logoff de mensagens específicas.

    usuários on-line.

    • Mensagens de alteração de autorização (mensagens CoA) - O DAC envia solicitações CoA para o DAS para alterar as informações de autorização de usuários on-line específicos.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Ative o recurso RADIUS DAS e entre na visualização RADIUS DAS.
      • radius dynamic-author server

      Por padrão, o recurso RADIUS DAS está desativado.

    • Especifique um DAC RADIUS.
      • client { ip ipv4-address | ipv6 ipv6-address } [ key { cipher | simple } string ]

      Por padrão, não são especificados DACs RADIUS.

    • (Opcional.) Especifique a porta RADIUS DAS.
      • port port-number

      Por padrão, a porta RADIUS DAS é 3799.

    Ativação de notificações SNMP para RADIUS

    Sobre as notificações SNMP para RADIUS

    Quando as notificações SNMP estão ativadas para o RADIUS, o agente SNMP é compatível com as seguintes notificações geradas pelo RADIUS:

    • Notificação de servidor RADIUS inacessível - O servidor RADIUS não pode ser acessado. O RADIUS gera essa notificação se não receber uma resposta a uma solicitação de contabilidade ou autenticação dentro do número especificado de tentativas de transmissão de solicitações do RADIUS.
    • Notificação de servidor RADIUS acessível - O servidor RADIUS pode ser acessado. O RADIUS gera essa notificação para um servidor RADIUS bloqueado anteriormente após a expiração do cronômetro de silêncio.
    • Notificação de falhas de autenticação excessivas - O número de falhas de autenticação em comparação com o número total de tentativas de autenticação excede o limite especificado.

    Para que as notificações RADIUS SNMP sejam enviadas corretamente, você também deve configurar o SNMP no dispositivo. Para obter mais informações sobre a configuração de SNMP, consulte o Guia de configuração de monitoramento e gerenciamento de rede.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Ativar notificações SNMP para RADIUS.
      • snmp-agent trap enable radius [ accounting-server-down | accounting-server-up | authentication-error-threshold | authentication-server-down | authentication-server-up ] *

      Por padrão, todas as notificações SNMP são desativadas para o RADIUS.

    Desativação do serviço RADIUS

    Sobre a desativação do serviço RADIUS

    Por padrão, o serviço RADIUS está ativado. O dispositivo pode enviar e receber pacotes RADIUS. Os invasores podem usar o controle de sessão RADIUS e as portas DAE para atacar o dispositivo. Para proteger o dispositivo quando ocorrer um ataque desse tipo, desative temporariamente o serviço RADIUS no dispositivo. Depois que a rede estiver segura, reative o serviço RADIUS.

    Se as configurações nos servidores RADIUS exigirem modificações ou se os servidores RADIUS não puderem fornecer serviços temporariamente, você poderá desativar temporariamente o serviço RADIUS no dispositivo.

    Quando o serviço RADIUS é desativado, o dispositivo para de enviar e receber pacotes RADIUS. Se um novo usuário ficar on-line, o dispositivo usará o método de autenticação, autorização ou contabilização de backup para processar esse usuário. Se o dispositivo não tiver concluído a solicitação de autenticação ou contabilização para um usuário antes de o serviço RADIUS ser desativado, ele usará as seguintes regras para processar esse usuário:

    • Se o dispositivo tiver enviado solicitações de autenticação RADIUS para esse usuário a um servidor RADIUS, o dispositivo processará esse usuário dependendo do recebimento de uma resposta do servidor RADIUS.
      • Se o dispositivo receber uma resposta do servidor RADIUS, ele usará a resposta para determinar se o usuário foi aprovado na autenticação. Se o usuário tiver sido aprovado na autenticação, o dispositivo atribuirá informações de autorização a esse usuário de acordo com a resposta.
      • Se o dispositivo não receber nenhuma resposta do servidor RADIUS, ele tentará usar o método de autenticação de backup para autenticar esse usuário.
    • Se o dispositivo tiver enviado solicitações de início de contabilização RADIUS para esse usuário a um servidor RADIUS, o dispositivo processará esse usuário dependendo do recebimento de uma resposta do servidor RADIUS.
      • Se o dispositivo receber uma resposta do servidor RADIUS, ele permitirá que o usuário fique on-line. No entanto, o dispositivo não pode enviar solicitações de atualização de contabilidade ou de interrupção de contabilidade para o servidor RADIUS. Ele também não pode armazenar em buffer as solicitações de contabilidade. Quando o usuário fica off-line, o servidor RADIUS não consegue fazer o logoff desse usuário a tempo. O resultado da contabilização pode ser impreciso.
      • Se o dispositivo não receber nenhuma resposta do servidor RADIUS, ele tentará usar o método de contabilidade de backup .

    Restrições e diretrizes

    A desativação do serviço RADIUS não afeta o recurso de servidor RADIUS do dispositivo.

    Os processos de autenticação, autorização e contabilidade realizados por outros métodos não são alternados para o RADIUS quando você reativa o serviço RADIUS.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Desativar o serviço RADIUS.
      • undo radius enable

      Por padrão, o serviço RADIUS está ativado.

      Para reativar o serviço RADIUS, use o comando radius enable.

    Comandos de exibição e manutenção para RADIUS

    Execute comandos de exibição em qualquer visualização e redefina comandos na visualização do usuário.

    Tarefa Comando
    Exibir a configuração do esquema RADIUS. display radius scheme [ radius-scheme-name ]
    Exibir estatísticas de carga de autenticação e contabilidade para todos os servidores RADIUS. exibir estatísticas de carga do servidor radius
    Exibir estatísticas de pacotes RADIUS. exibir estatísticas de raio
    Exibir informações sobre o buffer exibir stop-accounting-buffer
    Solicitações RADIUS de interrupção de contabilização para as quais nenhuma resposta foi recebida. { radius-scheme radius-scheme-name | session-id session-id | time-range start-time end-time | user-name user-name }
    Limpar o histórico de estatísticas de carga de autenticação e contabilidade de todos os servidores RADIUS. reset radius server-load statistics
    Limpar estatísticas do RADIUS. reset radius statistics
    Limpar o RADIUS armazenado em buffer solicitações de interrupção de prestação de contas para as quais não foram recebidas respostas. reset stop-accounting-buffer { radius-scheme radius-scheme-name | session-id session-id | time-range start-time end-time | user-name user-name }

    Configuração do HWTACACS

    Visão geral das tarefas do HWTACACS

    Para configurar o HWTACACS, execute as seguintes tarefas:

    • Criação de um esquema HWTACACS
    • Especificação dos servidores de autenticação HWTACACS
    • Especificação dos servidores de autorização HWTACACS
    • Especificação dos servidores de contabilidade HWTACACS
    • Especificação das chaves compartilhadas para a comunicação segura do HWTACACS

      • Execute essa tarefa se nenhuma chave compartilhada for especificada durante a configuração dos servidores HWTACACS.

    • (Opcional.) Configuração dos temporizadores do HWTACACS
    • (Opcional.) Configuração de parâmetros para pacotes HWTACACS

      • Especificação do endereço IP de origem para pacotes HWTACACS de saída

      Definição do formato do nome de usuário e das unidades de estatísticas de tráfego

    • (Opcional.) Configuração do buffer de pacotes HWTACACS stop-accounting

    Criação de um esquema HWTACACS

    Restrições e diretrizes

    É possível configurar um máximo de 16 esquemas HWTACACS. Um esquema HWTACACS pode ser usado por vários domínios ISP.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Crie um esquema HWTACACS e entre na visualização do esquema HWTACACS.
      • hwtacacs scheme hwtacacs-scheme-name

    Especificação dos servidores de autenticação HWTACACS

    Sobre os servidores de autenticação HWTACACS

    Você pode especificar um servidor de autenticação primário e um máximo de 16 servidores de autenticação secundários para um esquema HWTACACS. Quando o servidor primário não pode ser acessado, o dispositivo procura os servidores secundários na ordem em que foram configurados. O primeiro servidor secundário em estado ativo é usado para comunicação.

    Restrições e diretrizes

    Se a redundância não for necessária, especifique apenas o servidor primário.

    Um servidor HWTACACS pode funcionar como servidor de autenticação primário em um esquema e como servidor de autenticação secundário em outro esquema ao mesmo tempo.

    Dois servidores de autenticação HWTACACS em um esquema, primário ou secundário, não podem ter a mesma combinação de nome de host, endereço IP e número de porta.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do esquema HWTACACS.
      • hwtacacs scheme hwtacacs-scheme-name
    • Especifique o servidor de autenticação HWTACACS primário.
      • primary authentication { host-name | ipv4-address | ipv6 ipv6-address } [ port-number | key { cipher | simple } string | single-connection ] *

      Por padrão, nenhum servidor de autenticação HWTACACS primário é especificado.

    • (Opcional.) Especifique um servidor de autenticação HWTACACS secundário.
      • secondary authentication { host-name | ipv4-address | ipv6 ipv6-address } [ port-number | key { cipher | simple } string | single-connection ] *

      Por padrão, nenhum servidor de autenticação HWTACACS secundário é especificado.

    Especificação dos servidores de autorização HWTACACS

    Sobre os servidores de autorização HWTACACS

    Você pode especificar um servidor de autorização primário e um máximo de 16 servidores de autorização secundários para um esquema HWTACACS. Quando o servidor primário não está disponível, o dispositivo procura os servidores secundários na ordem em que foram configurados. O primeiro servidor secundário no estado ativo é usado para comunicação.

    Restrições e diretrizes

    Se a redundância não for necessária, especifique apenas o servidor primário.

    Um servidor HWTACACS pode funcionar como servidor de autorização primário de um esquema e como servidor de autorização secundário de outro esquema ao mesmo tempo.

    Dois servidores de autorização HWTACACS em um esquema, primário ou secundário, não podem ter a mesma combinação de nome de host, endereço IP e número de porta.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do esquema HWTACACS.
      • hwtacacs scheme hwtacacs-scheme-name
    • Especifique o servidor de autorização HWTACACS primário.
      • primary authorization { host-name | ipv4-address | ipv6 ipv6-address } [ port-number | key { cipher | simple } string | single-connection ] *

      Por padrão, nenhum servidor de autorização HWTACACS primário é especificado.

    • (Opcional.) Especifique um servidor de autorização HWTACACS secundário.
      • secondary authorization { host-name | ipv4-address | ipv6 ipv6-address } [ port-number | key { cipher | simple } string | single-connection ] *

      Por padrão, nenhum servidor de autorização HWTACACS secundário é especificado.

    Especificação dos servidores de contabilidade HWTACACS

    Sobre os servidores de contabilidade HWTACACS

    Você pode especificar um servidor de contabilidade primário e um máximo de 16 servidores de contabilidade secundários para um esquema HWTACACS. Quando o servidor primário não está disponível, o dispositivo procura os servidores secundários na ordem em que foram configurados. O primeiro servidor secundário em estado ativo é usado para comunicação.

    Restrições e diretrizes

    Se a redundância não for necessária, especifique apenas o servidor primário.

    Um servidor HWTACACS pode funcionar como servidor de contabilidade primário de um esquema e como servidor de contabilidade secundário de outro esquema ao mesmo tempo.

    Dois servidores de contabilidade HWTACACS em um esquema, primário ou secundário, não podem ter a mesma combinação de nome de host, endereço IP e número de porta.

    O HWTACACS não oferece suporte à contabilidade para usuários de FTP, SFTP e SCP.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do esquema HWTACACS.
      • hwtacacs scheme hwtacacs-scheme-name
    • Especifique o servidor de contabilidade HWTACACS primário.
      • primary accounting { host-name | ipv4-address | ipv6 ipv6-address } [ port-number | key { cipher | simple } string | single-connection ] *

      Por padrão, nenhum servidor de contabilidade HWTACACS primário é especificado.

    • (Opcional.) Especifique um servidor de contabilidade HWTACACS secundário.
      • secondary accounting { host-name | ipv4-address | ipv6 ipv6-address } [ port-number | key { cipher | simple } string | single-connection ] *

      Por padrão, nenhum servidor de contabilidade HWTACACS secundário é especificado.

    Especificação das chaves compartilhadas para a comunicação segura do HWTACACS

    Sobre chaves compartilhadas para comunicação HWTACACS segura

    O cliente e o servidor HWTACACS usam o algoritmo MD5 e chaves compartilhadas para gerar o valor do Authenticator para autenticação de pacotes e criptografia de senhas de usuários. O cliente e o servidor devem usar a mesma chave para cada tipo de comunicação.

    Execute esta tarefa para configurar chaves compartilhadas para servidores em um esquema HWTACACS. As chaves entram em vigor em todos os servidores para os quais uma chave compartilhada não foi configurada individualmente.

    Restrições e diretrizes

    Certifique-se de que a chave compartilhada configurada no dispositivo seja a mesma que a chave compartilhada configurada no servidor HWTACACS.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do esquema HWTACACS.
      • hwtacacs scheme hwtacacs-scheme-name
    • Especifique uma chave compartilhada para comunicação segura de autenticação, autorização ou contabilidade HWTACACS.
      • key { accounting | authentication | authorization } { cipher | simple } string

      Por padrão, nenhuma chave compartilhada é especificada para a comunicação segura do HWTACACS.

    Configuração de temporizadores HWTACACS

    Sobre os temporizadores HWTACACS e o status do servidor

    O dispositivo usa os seguintes temporizadores para controlar a comunicação com um servidor HWTACACS:

    • Temporizador de tempo limite de resposta do servidor (response-timeout) - Define o temporizador de tempo limite de resposta do servidor HWTACACS. O dispositivo inicia esse cronômetro imediatamente após o envio de uma solicitação de autenticação, autorização ou contabilidade HWTACACS. Se o dispositivo não receber uma resposta do servidor dentro do cronômetro, ele definirá o servidor como bloqueado. Em seguida, o dispositivo envia a solicitação a outro servidor HWTACACS.
    • Timer de contabilidade em tempo real (realtime-accounting) - Define o intervalo em que o dispositivo envia pacotes de contabilidade em tempo real para o servidor de contabilidade HWTACACS para usuários on-line.
    • Temporizador de silêncio do servidor (quiet) - Define a duração para manter um servidor inacessível no estado bloqueado. Se um servidor não puder ser acessado, o dispositivo alterará o status do servidor para bloqueado, iniciará esse cronômetro para o servidor e tentará se comunicar com outro servidor no estado ativo. Após a expiração do cronômetro de silêncio do servidor, o dispositivo altera o status do servidor de volta para ativo.

    A configuração do temporizador de silêncio do servidor afeta o status dos servidores HWTACACS. Se o esquema incluir um servidor HWTACACS primário e vários servidores HWTACACS secundários, o dispositivo se comunicará com os servidores HWTACACS com base nas seguintes regras:

    • Quando o servidor primário está em estado ativo, o dispositivo se comunica com o servidor primário. Quando o servidor primário estiver inacessível, o dispositivo pesquisará um servidor secundário em estado ativo na ordem em que foram configurados.
    • Quando um ou mais servidores estão no estado ativo, o dispositivo tenta se comunicar apenas com esses servidores, mesmo que eles não estejam acessíveis.
    • Quando todos os servidores estão em estado bloqueado, o dispositivo tenta se comunicar apenas com o servidor principal.
    • Se o servidor primário estiver inacessível, o dispositivo alterará o status do servidor para bloqueado e iniciará um cronômetro de silêncio para o servidor. Quando o cronômetro de silêncio do servidor expira, o status do servidor volta a ser ativo. O dispositivo não verifica o servidor novamente durante o processo de autenticação, autorização ou contabilidade.
    • O processo de pesquisa continua até que o dispositivo encontre um servidor secundário disponível ou verifique todos os servidores secundários em estado ativo. Se nenhum servidor estiver disponível, o dispositivo considerará a tentativa de autenticação, autorização ou contabilidade uma falha.
    • Quando você remove um servidor em uso, a comunicação com o servidor é interrompida. O dispositivo procura um servidor em estado ativo verificando primeiro o servidor primário e, em seguida, os servidores secundários na ordem em que foram configurados.
    • Quando o status de um servidor HWTACACS é alterado automaticamente, o dispositivo altera o status desse servidor de forma correspondente em todos os esquemas HWTACACS nos quais esse servidor é especificado.

    Restrições e diretrizes

    Um intervalo curto de contabilização em tempo real ajuda a melhorar a precisão da contabilização, mas exige muitos recursos do sistema. Quando houver 1.000 ou mais usuários, defina um intervalo de contabilização em tempo real maior que 15 minutos.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do esquema HWTACACS.
      • hwtacacs scheme hwtacacs-scheme-name
    • Defina os cronômetros do HWTACACS. Escolha as seguintes tarefas, conforme necessário:
      • Defina o cronômetro de tempo limite de resposta do servidor HWTACACS.
        • timer response-timeout seconds

        Por padrão, o temporizador de tempo limite de resposta do servidor HWTACACS é de 5 segundos.

      • Defina o intervalo de contabilização em tempo real.
        • timer realtime-accounting minutes

        Por padrão, o intervalo de contabilização em tempo real é de 12 minutos.

      • Defina o timer de silêncio do servidor.
        • timer quiet minutes

        Por padrão, o timer de silêncio do servidor é de 5 minutos.

    Especificação do endereço IP de origem para pacotes HWTACACS de saída

    Sobre o endereço IP de origem para pacotes HWTACACS de saída

    O endereço IP de origem dos pacotes HWTACACS que um NAS envia deve corresponder ao endereço IP do NAS configurado no servidor HWTACACS. Um servidor HWTACACS identifica um NAS pelo endereço IP. Quando o servidor HWTACACS recebe um pacote, ele verifica o endereço IP de origem do pacote.

    • Se for o endereço IP de um NAS gerenciado, o servidor processará o pacote.
    • Se não for o endereço IP de um NAS gerenciado, o servidor descartará o pacote.

    Antes de enviar um pacote HWTACACS, o NAS seleciona um endereço IP de origem na seguinte ordem:

    • O endereço IP de origem especificado para o esquema HWTACACS.
    • O endereço IP de origem especificado na visualização do sistema.
    • O endereço IP da interface de saída especificada pela rota.

    Restrições e diretrizes para a configuração do endereço IP de origem

    Você pode especificar o endereço IP de origem dos pacotes HWTACACS de saída na visualização do esquema HWTACACS ou na visualização do sistema.

    • O endereço IP especificado na visualização do esquema HWTACACS se aplica a um esquema HWTACACS.
    • O endereço IP especificado na visualização do sistema se aplica a todos os esquemas HWTACACS.

    O endereço IP de origem dos pacotes HWTACACS que um NAS envia deve corresponder ao endereço IP do NAS que está configurado no servidor HWTACACS.

    Como prática recomendada, especifique um endereço de interface de loopback como endereço IP de origem para pacotes HWTACACS de saída para evitar a perda de pacotes HWTACACS causada por erros de porta física.

    Para se comunicar com o servidor HWTACACS, o endereço de origem dos pacotes HWTACACS de saída é normalmente o endereço IP de uma interface de saída no NAS. Entretanto, em algumas situações, você deve alterar o endereço IP de origem. Por exemplo, quando o VRRP estiver configurado para failover com estado, configure o IP virtual do grupo VRRP de uplink como o endereço de origem.

    Você pode especificar diretamente um endereço IP de origem para os pacotes HWTACACS de saída ou especificar uma interface de origem para fornecer o endereço IP de origem para os pacotes HWTACACS de saída. A configuração da interface de origem e a configuração do endereço IP de origem substituem uma à outra.

    Especificação de uma interface de origem ou endereço IP de origem para todos os esquemas HWTACACS

    • Entre na visualização do sistema.
      • system view
    • Especifique uma interface de origem ou um endereço IP de origem para pacotes HWTACACS de saída.
      • hwtacacs nas-ip { interface interface-type interface-number | { ipv4-address | ipv6 ipv6-address } }

      Por padrão, o endereço IP de origem de um pacote HWTACACS enviado ao servidor é o endereço IPv4 primário ou o endereço IPv6 da interface de saída.

    Especificação de uma interface de origem ou endereço IP de origem para um esquema HWTACACS

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do esquema HWTACACS.
      • hwtacacs scheme hwtacacs-scheme-name
    • Especifique uma interface de origem ou um endereço IP de origem para pacotes HWTACACS de saída.
      • nas-ip { ipv4-address | interface interface-type interface-number | ipv6 ipv6-address }

      Por padrão, o endereço IP de origem de um pacote HWTACACS de saída é aquele configurado com o comando hwtacacs nas-ip na visualização do sistema. Se o comando hwtacacs nas-ip não for usado, o endereço IP de origem será o endereço IP primário da interface de saída.

    Configuração do formato do nome de usuário e das unidades de estatísticas de tráfego

    Sobre o formato do nome de usuário e as unidades de estatísticas de tráfego

    Um nome de usuário geralmente está no formato userid@isp-name, em que a parte isp-name representa o nome de domínio do ISP do usuário. Por padrão, o nome de domínio do ISP é incluído em um nome de usuário. Se os servidores HWTACACS não reconhecerem nomes de usuário que contenham nomes de domínio ISP, você poderá configurar o dispositivo para enviar nomes de usuário sem nomes de domínio para os servidores.

    O dispositivo relata estatísticas de tráfego de usuários on-line em pacotes de contabilidade.

    Restrições e diretrizes

    Se dois ou mais domínios ISP usarem o mesmo esquema HWTACACS, configure o esquema HWTACACS para manter o nome do domínio ISP nos nomes de usuário para identificação do domínio.

    Para obter precisão na contabilidade, certifique-se de que as unidades de medição de tráfego configuradas no dispositivo sejam as mesmas que as unidades de medição de tráfego configuradas nos servidores de contabilidade HWTACACS.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do esquema HWTACACS.
      • hwtacacs scheme hwtacacs-scheme-name
    • Define o formato dos nomes de usuário enviados aos servidores HWTACACS.
      • user-name-format { keep-original | with-domain | without-domain }

      Por padrão, o nome de domínio do ISP é incluído em um nome de usuário.

    • Defina o fluxo de dados e as unidades de medição de pacotes para estatísticas de tráfego.
      • data-flow-format { data { byte | giga-byte | kilo-byte | mega-byte } | packet { giga-packet | kilo-packet | mega-packet | one-packet } }*

      Por padrão, o tráfego é contado em bytes e pacotes.

    Configuração do buffer de pacotes HWTACACS stop-accounting

    Sobre o buffer de pacotes HWTACACS stop-accounting

    O dispositivo envia solicitações de interrupção de contabilização HWTACACS quando recebe solicitações de interrupção de conexão de hosts ou comandos de interrupção de conexão de um administrador. No entanto, o dispositivo pode não receber uma resposta para uma solicitação de interrupção de contabilização em uma única transmissão. Ative o dispositivo para armazenar em buffer as solicitações de interrupção de contabilização do HWTACACS que não receberam respostas do servidor de contabilização. O dispositivo reenviará as solicitações até que as respostas sejam recebidas.

    Para limitar os tempos de transmissão, defina um número máximo de tentativas que podem ser feitas para a transmissão de solicitações individuais de interrupção de contabilização do HWTACACS. Quando são feitas as tentativas máximas para uma solicitação, o dispositivo descarta a solicitação armazenada em buffer.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do esquema HWTACACS.
      • hwtacacs scheme hwtacacs-scheme-name
    • Habilita o armazenamento em buffer das solicitações de interrupção de contabilização do HWTACACS para as quais não foram recebidas respostas.
      • stop-accounting-buffer enable

      Por padrão, o recurso de buffer está ativado.

    • (Opcional.) Defina o número máximo de tentativas de transmissão para solicitações individuais de interrupção de contabilização do HWTACACS.
      • retry stop-accounting retries

      A configuração padrão é 100.

    Comandos de exibição e manutenção do HWTACACS

    Execute comandos de exibição em qualquer visualização e redefina comandos na visualização do usuário.

    Tarefa Comando
    Exibir a configuração ou as estatísticas do servidor dos esquemas HWTACACS. exibir esquema hwtacacs [ hwtacacs-scheme-name [ statistics ] ]
    Exibir informações sobre as solicitações de interrupção de contabilização do HWTACACS em buffer para as quais não foram recebidas respostas. display stop-accounting-buffer hwtacacs-scheme hwtacacs-scheme-name
    Limpar estatísticas do HWTACACS. reset hwtacacs statistics { accounting | all | autenticação | autorização }
    Limpar o HWTACACS armazenado em buffer solicitações de interrupção de prestação de contas para as quais não foram recebidas respostas. reset stop-accounting-buffer hwtacacs-scheme hwtacacs-scheme-name

    Configuração do LDAP

    Visão geral das tarefas LDAP

    Para configurar o LDAP, execute as seguintes tarefas:

    • Configuração de um servidor LDAP
      • Criação de um servidor LDAP
      • Configuração do endereço IP do servidor LDAP
      • (Opcional.) Especificar a versão do LDAP
      • (Opcional.) Configuração do período de tempo limite do servidor LDAP
      • Configuração dos atributos do administrador
      • Configuração de atributos de usuário LDAP
    • (Opcional.) Configuração de um mapa de atributos LDAP
    • Criação de um esquema LDAP
    • Especificação do servidor de autenticação LDAP
    • (Opcional.) Especificar o servidor de autorização LDAP
    • (Opcional.) Especificação de um mapa de atributos LDAP para autorização LDAP

    Criação de um servidor LDAP

    • Entre na visualização do sistema.
      • system view
    • Crie um servidor LDAP e entre na visualização do servidor LDAP.
      • ldap server server-name

    Configuração do endereço IP do servidor LDAP

    Restrições e diretrizes

    Você pode configurar um endereço IPv4 ou um endereço IPv6 para um servidor LDAP. Se você configurar o endereço IP para um servidor LDAP várias vezes, a configuração mais recente entrará em vigor.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do servidor LDAP.
      • ldap server server-name
    • Configure o endereço IP do servidor LDAP.
      • { ip ipv4-address | ipv6 ipv6-address } [ port port-number ]

      Por padrão, um servidor LDAP não tem um endereço IP.

    Especificação da versão do LDAP

    Restrições e diretrizes

    O dispositivo é compatível com LDAPv2 e LDAPv3.

    Um servidor Microsoft LDAP suporta apenas LDAPv3.

    A versão LDAP especificada no dispositivo deve ser consistente com a versão especificada no servidor LDAP .

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do servidor LDAP.
      • ldap server server-name
    • Especifique a versão do LDAP.
      • protocol-version { v2 | v3 }

      Por padrão, o LDAPv3 é usado.

    Definição do período de tempo limite do servidor LDAP

    Sobre o período de tempo limite do servidor LDAP

    Se o dispositivo enviar uma solicitação de associação ou pesquisa a um servidor LDAP sem receber a resposta do servidor dentro do período de tempo limite do servidor, o tempo limite da solicitação de autenticação ou autorização será atingido. Em seguida, o dispositivo tenta o método de autenticação ou autorização de backup. Se nenhum método de backup estiver configurado no domínio ISP, o dispositivo considerará a tentativa de autenticação ou autorização uma falha .

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do servidor LDAP.
      • ldap server server-name
    • Defina o período de tempo limite do servidor LDAP.
      • server-timeout time-interval

      Por padrão, o período de tempo limite do servidor LDAP é de 10 segundos.

    Configuração dos atributos do administrador

    Sobre os atributos do administrador

    Para configurar o DN e a senha do administrador para vinculação com o servidor LDAP durante a autenticação LDAP:

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do servidor LDAP.
      • ldap server server-name
    • Especifique o DN do administrador.
      • login-dn dn-string

      Por padrão, nenhum DN de administrador é especificado.

      O DN do administrador especificado no dispositivo deve ser o mesmo que o DN do administrador configurado no servidor LDAP.

    • Configure a senha do administrador.
      • login-password { cipher | simple } string

      Por padrão, nenhuma senha de administrador é especificada.

    Configuração de atributos de usuário LDAP

    Sobre os atributos de usuário LDAP

    Para autenticar um usuário, um cliente LDAP deve concluir as seguintes operações:

    • Estabeleça uma conexão com o servidor LDAP.
    • Obtenha o DN do usuário no servidor LDAP.
    • Use o DN do usuário e a senha do usuário para se associar ao servidor LDAP.

    O LDAP fornece um mecanismo de pesquisa de DN para obter o DN do usuário. De acordo com o mecanismo, um cliente LDAP envia solicitações de pesquisa ao servidor com base na política de pesquisa determinada pelos atributos de usuário LDAP do cliente LDAP.

    Os atributos do usuário LDAP incluem:

    • Base de pesquisa DN.
    • Escopo da pesquisa.
    • Atributo de nome de usuário.
    • Formato do nome de usuário.
    • Classe de objeto do usuário.

    Restrições e diretrizes

    Se o servidor LDAP contiver muitos níveis de diretório, uma pesquisa de DN de usuário a partir do diretório raiz poderá levar muito tempo. Para aumentar a eficiência, você pode alterar o ponto de partida especificando o DN de base da pesquisa.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do servidor LDAP.
      • ldap server server-name
    • Especifique o DN da base de pesquisa do usuário.
      • search-base-dn base-dn

      Por padrão, nenhum DN de base de pesquisa de usuário é especificado.

    • (Opcional.) Especifique o escopo de pesquisa do usuário.
      • search-scope { all-level | single-level }

      Por padrão, o escopo de pesquisa do usuário é all-level.

    • (Opcional.) Especifique o atributo de nome de usuário.
      • user-parameters user-name-attribute { name-attribute | cn | uid }

      Por padrão, o atributo de nome de usuário é cn.

    • (Opcional.) Especifique o formato do nome de usuário.
      • user-parameters user-name-format { with-domain | without-domain }

      Por padrão, o formato do nome de usuário é without-domain (sem domínio).

    • (Opcional.) Especifique a classe do objeto do usuário.
      • user-parameters user-object-class object-class-name

      Por padrão, nenhuma classe de objeto de usuário é especificada, e a classe de objeto de usuário padrão no servidor LDAP é usada. A classe de objeto de usuário padrão para esse comando varia de acordo com o modelo do servidor.

    Configuração de um mapa de atributos LDAP

    Sobre os mapas de atributos LDAP

    Configure um mapa de atributos LDAP para definir uma lista de entradas de mapeamento de atributos LDAP-AAA. Para aplicar o mapa de atributos LDAP, especifique o nome do mapa de atributos LDAP no esquema LDAP usado para autorização.

    O recurso de mapa de atributos LDAP permite que o dispositivo converta atributos LDAP obtidos de um servidor de autorização LDAP em atributos AAA reconhecíveis pelo dispositivo com base nas entradas de mapeamento. Como o dispositivo ignora atributos LDAP não reconhecidos, configure as entradas de mapeamento para incluir atributos LDAP importantes que não devem ser ignorados.

    Um atributo LDAP pode ser mapeado somente para um atributo AAA. Diferentes atributos LDAP podem ser mapeados para o mesmo atributo AAA.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Crie um mapa de atributos LDAP e entre na visualização do mapa de atributos LDAP.
      • ldap attribute-map map-name
    • Configure uma entrada de mapeamento.
      • map ldap-attribute ldap-attribute-name [ prefix prefix-value delimiter delimiter-value ] aaa-attribute { user-group | user-profile }

    Criação de um esquema LDAP

    Restrições e diretrizes

    Você pode configurar um máximo de 16 esquemas LDAP. Um esquema LDAP pode ser usado por vários domínios do ISP .

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Crie um esquema LDAP e entre na visualização do esquema LDAP.
      • ldap scheme ldap-scheme-name

    Especificação do servidor de autenticação LDAP

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do esquema LDAP.
      • ldap scheme ldap-scheme-name
    • Especifique o servidor de autenticação LDAP.
      • authentication-server server-name

      Por padrão, nenhum servidor de autenticação LDAP é especificado.

    Especificação do servidor de autorização LDAP

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do esquema LDAP.
      • ldap scheme ldap-scheme-name
    • Especifique o servidor de autorização LDAP.
      • authorization-server server-name

      Por padrão, nenhum servidor de autorização LDAP é especificado.

    Especificação de um mapa de atributos LDAP para autorização LDAP

    Sobre o mapa de atributos LDAP para autorização LDAP

    Especifique um mapa de atributos LDAP para autorização LDAP para converter atributos LDAP obtidos do servidor de autorização LDAP em atributos AAA reconhecíveis pelo dispositivo.

    Restrições e diretrizes

    Você pode especificar apenas um mapa de atributos LDAP em um esquema LDAP.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do esquema LDAP.
      • ldap scheme ldap-scheme-name
    • Especifique um mapa de atributos LDAP.
      • attribute-map map-name

      Por padrão, nenhum mapa de atributos LDAP é especificado.

    Comandos de exibição e manutenção para LDAP

    Executar comandos de exibição em qualquer visualização.

    Tarefa Comando
    Exibir a configuração dos esquemas LDAP. exibir esquema ldap [ ldap-scheme-name ]

    Criação de um domínio ISP

    Sobre os domínios ISP

    Em um cenário de rede com vários ISPs, o dispositivo pode se conectar a usuários de diferentes ISPs. Esses usuários podem ter diferentes atributos de usuário, como diferentes estruturas de nome de usuário e senha, diferentes tipos de serviço e diferentes direitos. Para gerenciar usuários de diferentes ISPs, configure métodos de autenticação, autorização e contabilidade e atributos de domínio para cada domínio ISP, conforme necessário.

    O dispositivo suporta um máximo de 16 domínios ISP, incluindo o domínio ISP definido pelo sistema

    sistema. Você pode especificar um dos domínios do ISP como o domínio padrão.

    No dispositivo, cada usuário pertence a um domínio ISP. Se um usuário não fornecer um nome de domínio ISP no login, o dispositivo considerará que o usuário pertence ao domínio ISP padrão.

    Cada domínio ISP tem um conjunto de métodos AAA definidos pelo sistema, que são autenticação local, autorização local e contabilidade local. Se você não configurar nenhum método AAA para um domínio ISP, o dispositivo usará os métodos AAA definidos pelo sistema para os usuários do domínio.

    O dispositivo escolhe um domínio de autenticação para cada usuário na seguinte ordem:

    • O domínio de autenticação especificado para o módulo de acesso.
    • O domínio do ISP no nome de usuário.
    • O domínio ISP padrão do dispositivo.

    Se o domínio escolhido não existir no dispositivo, ele procurará o domínio ISP que acomoda os usuários atribuídos a domínios inexistentes. (O suporte para a configuração do domínio de autenticação depende do módulo de acesso). Se esse domínio ISP não estiver configurado, a autenticação do usuário falhará.

    Restrições e diretrizes para a configuração do domínio ISP

    Um domínio ISP não pode ser excluído se for o domínio ISP padrão. Antes de usar o comando undo domain, altere o domínio para um domínio ISP não padrão usando o comando undo domain default enable.

    Você pode modificar as configurações do sistema de domínio ISP definido pelo sistema, mas não pode excluir o domínio.

    Para evitar falhas de autenticação, autorização ou contabilidade do RADIUS, use nomes de domínio curtos para garantir que os nomes de usuário que contenham um nome de domínio não excedam 253 caracteres.

    Criação de um domínio ISP

    • Entre na visualização do sistema.
      • system view
    • Crie um domínio ISP e entre na visualização de domínio ISP.
      • domain isp-name

      Por padrão, existe um domínio ISP definido pelo sistema. O nome do domínio é system.

    Especificação do domínio padrão do ISP

    • Entre na visualização do sistema.
      • system view
    • Especifique o domínio padrão do ISP.
      • domain default enable isp-name

      Por padrão, o domínio ISP padrão é o sistema de domínio ISP definido pelo sistema.

    Especificação de um domínio ISP para usuários atribuídos a domínios inexistentes

    • Entre na visualização do sistema.
      • system view
    • Especifique o domínio ISP para acomodar usuários atribuídos a domínios inexistentes.
      • domain if-unknown isp-name

      Por padrão, nenhum domínio ISP é especificado para acomodar os usuários que são atribuídos a domínios inexistentes.

    Configuração dos atributos de domínio do ISP

    Definição do status do domínio ISP

    Sobre o status do domínio ISP

    Ao colocar o domínio ISP em estado ativo ou bloqueado, você permite ou nega solicitações de serviço de rede de usuários no domínio.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do domínio ISP.
      • domain isp-name
    • Definir o status do domínio ISP.
      • state { active | block }

      Por padrão, um domínio ISP está em estado ativo, e os usuários do domínio podem solicitar serviços de rede.

    Configuração de atributos de autorização para um domínio ISP

    Sobre os atributos de autorização

    O dispositivo é compatível com os seguintes atributos de autorização:

    • ACL - O dispositivo restringe o acesso dos usuários autenticados apenas aos recursos de rede permitidos pela ACL.
    • Ação CAR - O atributo controla o fluxo de tráfego de usuários autenticados.
    • Número máximo de grupos multicast - O atributo restringe o número máximo de grupos multicast aos quais um usuário autenticado pode se associar simultaneamente.
    • Pool de endereços IPv4 - O dispositivo atribui endereços IPv4 do pool a usuários autenticados no domínio.
    • Pool de endereços IPv6 - O dispositivo atribui endereços IPv6 do pool a usuários autenticados no domínio.
    • URL de redirecionamento - O dispositivo redireciona os usuários do domínio para o URL depois que eles passam pela autenticação.
    • Grupo de usuários - Os usuários autenticados no domínio obtêm todos os atributos do grupo de usuários.
    • Perfil do usuário - O dispositivo restringe o comportamento do usuário com base no perfil do usuário.

    O dispositivo atribui os atributos de autorização no domínio ISP aos usuários autenticados que não recebem esses atributos do servidor.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do domínio ISP.
      • domain isp-name
    • Configure os atributos de autorização para usuários autenticados no domínio ISP.
      • authorization-attribute { acl acl-number | car inbound cir committed-information-rate [ pir peak-information-rate ] outbound cir committed-information-rate [ pir peak-information-rate ] | igmp  max-access-number max-access-number | ip-pool ipv4-pool-name | ipv6-pool ipv6-pool-name | mld max-access-number max-access-number | url url-string | user-group user-group-name | user-profile profile-name }

      As configurações padrão são as seguintes:

      • Um usuário IPv4 pode participar simultaneamente de um máximo de quatro grupos multicast IGMP.
      • Um usuário IPv6 pode participar simultaneamente de um máximo de quatro grupos multicast MLD.
      • Não existem outros atributos de autorização.

    Inclusão do período de tempo ocioso na duração on-line do usuário a ser enviada ao servidor

    Sobre a inclusão do período de tempo ocioso na duração on-line do usuário a ser enviada ao servidor

    Se um usuário ficar off-line devido a falha ou mau funcionamento da conexão, a duração on-line do usuário enviada ao servidor inclui o período de tempo limite de inatividade atribuído pelo servidor de autorização. A duração on-line gerada no servidor é maior do que a duração on-line real do usuário.

    Para os usuários do portal, o dispositivo inclui o período de tempo ocioso definido para o recurso de detecção de usuário do portal on-line na duração on-line do usuário. Para obter mais informações sobre a detecção on-line de usuários do portal, consulte "Configuração da autenticação do portal".

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do domínio ISP.
      • domain isp-name
    • Configure o dispositivo para incluir o período de tempo limite ocioso na duração on-line do usuário a ser enviada ao servidor.
      • session-time include-idle-time

      Por padrão, a duração on-line do usuário enviada ao servidor não inclui o período de tempo limite de inatividade.

    Configuração de métodos AAA para um domínio ISP

    Configuração de métodos de autenticação para um domínio ISP

    Restrições e diretrizes

    Quando você configurar a autenticação remota, siga estas restrições e diretrizes:

    • Se o método de autenticação usar um esquema RADIUS e o método de autorização não usar um esquema RADIUS, o AAA aceitará somente o resultado da autenticação do servidor RADIUS. A mensagem Access-Accept do servidor RADIUS também inclui as informações de autorização, mas o dispositivo ignora essas informações.
    • Se for especificado um esquema HWTACACS, o dispositivo usará o nome de usuário inserido para autenticação de função. Se for especificado um esquema RADIUS, o dispositivo usará o nome de usuário $enabn$ no servidor RADIUS para autenticação de função. A variável n representa um nível de função do usuário. Para obter mais informações sobre a autenticação de função de usuário, consulte o Guia de Configuração dos Fundamentos.

    A palavra-chave none não é compatível com o modo FIPS.

    Pré-requisitos

    Antes de configurar os métodos de autenticação, conclua as seguintes tarefas:

    • Determine o tipo de acesso ou o tipo de serviço a ser configurado. Com o AAA, você pode configurar um método de autenticação para cada tipo de acesso e tipo de serviço.
    • Determine se deseja configurar o método de autenticação padrão para todos os tipos de acesso ou tipos de serviço. O método de autenticação padrão se aplica a todos os usuários de acesso. No entanto, o método tem uma prioridade mais baixa do que o método de autenticação especificado para um tipo de acesso ou tipo de serviço.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do domínio ISP.
      • domain isp-name
    • (Opcional.) Especifique os métodos de autenticação padrão para todos os tipos de usuários.
      • authentication default { hwtacacs-scheme hwtacacs-scheme-name [ radius-scheme radius-scheme-name ] [ local ] [ none ] | ldap-scheme ldap-scheme-name [ local ] [ none ] | local [ none ] | none | radius-scheme radius-scheme-name [ hwtacacs-scheme hwtacacs-scheme-name ] [ local ] [ none ] }

      Por padrão, o método de autenticação padrão é o local.

    • Especifique métodos de autenticação para um tipo de usuário ou um serviço.
      • Especifique os métodos de autenticação para usuários da LAN.
        • authentication lan-access { ldap-scheme ldap-scheme-name [ local ] [ none ] | local [ none ] | none | radius-scheme radius-scheme-name [ local ] [ none ] }

        Por padrão, os métodos de autenticação padrão são usados para usuários da LAN.

      • Especifique os métodos de autenticação para usuários de login.
        • authentication login { hwtacacs-scheme hwtacacs-scheme-name [ radius-scheme radius-scheme-name ] [ local ] [ none ] | ldap-scheme ldap-scheme-name [ local ] [ none ] | local [ none ] | none | radius-scheme radius-scheme-name [ hwtacacs-scheme hwtacacs-scheme-name ] [ local ] [ none ] }

        Por padrão, os métodos de autenticação padrão são usados para usuários de login.

      • Especifique os métodos de autenticação para os usuários do portal.
        • authentication portal { ldap-scheme ldap-scheme-name [ local ] [ none ] | local [ none ] | none | radius-scheme radius-scheme-name [ local ] [ none ] }

        Por padrão, os métodos de autenticação padrão são usados para os usuários do portal.

      • Especifique os métodos de autenticação para obter uma função de usuário temporária.
        • authentication super { hwtacacs-scheme hwtacacs-scheme-name | radius-scheme radius-scheme-name } *

        Por padrão, os métodos de autenticação padrão são usados para obter uma função de usuário temporária.

    Configuração de métodos de autorização para um domínio ISP

    Restrições e diretrizes

    O dispositivo não é compatível com a autorização LDAP na versão atual do software.

    Para usar um esquema RADIUS como método de autorização, especifique o nome do esquema RADIUS que está configurado como método de autenticação para o domínio ISP. Se um esquema RADIUS inválido for especificado como método de autorização, a autenticação e a autorização RADIUS falharão.

    A palavra-chave none não é compatível com o modo FIPS.

    Pré-requisitos

    Antes de configurar os métodos de autorização, conclua as seguintes tarefas:

    • Determine o tipo de acesso ou o tipo de serviço a ser configurado. Com o AAA, você pode configurar um esquema de autorização para cada tipo de acesso e tipo de serviço.
    • Determine se deseja configurar o método de autorização padrão para todos os tipos de acesso ou tipos de serviço. O método de autorização padrão se aplica a todos os usuários de acesso. No entanto, o método tem uma prioridade mais baixa do que o método de autorização especificado para um tipo de acesso ou tipo de serviço.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do domínio ISP.
      • domain isp-name
    • (Opcional.) Especifique os métodos de autorização padrão para todos os tipos de usuários.
      • authorization default { hwtacacs-scheme hwtacacs-scheme-name [ radius-scheme radius-scheme-name ] [ local ] [ none ] | local [ none ] | none | radius-scheme radius-scheme-name [ hwtacacs-scheme hwtacacs-scheme-name ] [ local ] [ none ] }

      Por padrão, o método de autorização é local.

    • Especifique métodos de autorização para um tipo de usuário ou um serviço.
      • Especifique os métodos de autorização de comando.
        • authorization command { hwtacacs-scheme hwtacacs-scheme-name  [ local ] [ none ] | local [ none ] | none }

        Por padrão, os métodos de autorização padrão são usados para autorização de comando.

      • Especifique os métodos de autorização para usuários da LAN.
        • authorization lan-access { local [ none ] | none | radius-scheme radius-scheme-name [ local ] [ none ] }

        Por padrão, os métodos de autorização padrão são usados para usuários da LAN.

      • Especifique os métodos de autorização para usuários de login.
        • authorization login { hwtacacs-scheme hwtacacs-scheme-name [ radius-scheme radius-scheme-name ] [ local ] [ none ] | local [ none ] | none | radius-scheme radius-scheme-name [ hwtacacs-schemehwtacacs-scheme-name ] [ local ] [ none ] }

        Por padrão, os métodos de autorização padrão são usados para usuários de login.

      • Especifique os métodos de autorização para os usuários do portal.
        • authorization portal { local [ none ] | none | radius-scheme radius-scheme-name [ local ] [ none ] }

        Por padrão, os métodos de autorização padrão são usados para os usuários do portal.

    Configuração de métodos de contabilidade para um domínio ISP

    Restrições e diretrizes

    Os usuários de FTP, SFTP e SCP não são compatíveis com a contabilidade.

    A contabilidade local não fornece estatísticas para cobrança. Ela apenas conta e controla o número de usuários simultâneos que usam a mesma conta de usuário local. O limite é configurado com o comando access-limit.

    A palavra-chave none não é compatível com o modo FIPS.

    Pré-requisitos

    Antes de configurar os métodos de contabilidade, conclua as seguintes tarefas:

    • Determine o tipo de acesso ou o tipo de serviço a ser configurado. Com o AAA, você pode configurar um método de contabilização para cada tipo de acesso e tipo de serviço.
    • Determine se deseja configurar o método de contabilização padrão para todos os tipos de acesso ou tipos de serviço. O método de contabilização padrão se aplica a todos os usuários de acesso. No entanto, o método tem uma prioridade mais baixa do que o método de contabilização especificado para um tipo de acesso ou tipo de serviço.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do domínio ISP.
      • domain isp-name
    • (Opcional.) Especifique os métodos de contabilidade padrão para todos os tipos de usuários.
      • accounting default { hwtacacs-scheme hwtacacs-scheme-name [ radius-scheme radius-scheme-name ] [ local ] [ none ] | local [ none ] | none | radius-scheme radius-scheme-name [ hwtacacs-scheme hwtacacs-scheme-name ] [ local ] [ none ] }

      Por padrão, o método de contabilidade é local.

    • Especifique métodos de contabilidade para um tipo de usuário.
      • Especifique o método de contabilização do comando.
        • accounting command hwtacacs-scheme hwtacacs-scheme-name

        Por padrão, os métodos de contabilidade padrão são usados para a contabilidade de comandos.

      • Especifique métodos de contabilidade para usuários de LAN.
        • accounting lan-access { broadcast radius-scheme radius-scheme-name1 radius-scheme radius-scheme-name2 [ local ] [ none ] | local [ none ] | none | radius-scheme radius-scheme-name [ local ] [ none ] }

        Por padrão, os métodos de contabilidade padrão são usados para usuários da LAN.

      • Especifique métodos de contabilidade para usuários de login.
        • accounting login { hwtacacs-scheme hwtacacs-scheme-name [ radius-scheme radius-scheme-name ] [ local ] [ none ] | local [ none ] | none | radius-scheme radius-scheme-name [ hwtacacs-scheme hwtacacs-scheme-name ] [ local ] [ none ] }

        Por padrão, os métodos de contabilidade padrão são usados para usuários de login.

      • Especifique métodos de contabilidade para usuários do portal.
        • accounting portal { broadcast radius-scheme radius-scheme-name1 radius-scheme radius-scheme-name2 [ local ] [ none ] | local [ none ] | none | radius-scheme radius-scheme-name [ local ] [ none ] }

        Por padrão, os métodos de contabilidade padrão são usados para os usuários do portal.

    • (Opcional.) Configure políticas de contabilidade estendidas.
      • Configure o controle de acesso para usuários que enfrentam falhas no início da contabilidade.
        • accounting start-fail { offline | online }

        Por padrão, o dispositivo permite que os usuários que enfrentam falhas no início da contabilidade permaneçam on-line.

      • Configure o controle de acesso para usuários que falharam em todas as tentativas de atualização de contas.
        • accounting update-fail { [ max-times max-times ] offline | online }

        Por padrão, o dispositivo permite que os usuários que falharam em todas as tentativas de atualização de contas permaneçam on-line.

      • Configure o controle de acesso para os usuários que esgotaram suas cotas de dados ou de cálculo de tempo.
        • accounting quota-out { offline | online }

        Por padrão, o dispositivo faz logoff de usuários que tenham usado suas cotas de contabilidade.

    Comandos de exibição e manutenção para domínios ISP

    Executar comandos de exibição em qualquer visualização.

    Tarefa Comando
    Exibir informações de configuração sobre um domínio ISP ou todos os domínios ISP. exibir domínio [ nome-isp ]

    Definição do número máximo de usuários de login simultâneos

    Sobre a configuração do número máximo de usuários de login simultâneos

    Execute esta tarefa para definir o número máximo de usuários simultâneos que podem fazer logon no dispositivo por meio de um protocolo específico, independentemente de seus métodos de autenticação. Os métodos de autenticação incluem nenhuma autenticação, autenticação local e autenticação remota.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Defina o número máximo de usuários de login simultâneos.

      • No modo não-FIPS:

      aaa session-limit { ftp | http | https | ssh | telnet } max-sessions

      No modo FIPS:

      aaa session-limit { https | ssh } max-sessions

      Por padrão, o número máximo de usuários de login simultâneos é 32 para cada tipo de usuário.

    Configuração de um NAS-ID

    Sobre os NAS-IDs

    Durante a autenticação RADIUS, o dispositivo usa um NAS-ID para definir o atributo NAS-Identifier dos pacotes RADIUS para que o servidor RADIUS possa identificar o local de acesso dos usuários.

    Configure um perfil NAS-ID para manter as associações de NAS-ID e VLAN no dispositivo, de modo que o dispositivo possa enviar diferentes cadeias de atributo NAS-Identifier em solicitações RADIUS de diferentes VLANs.

    Restrições e diretrizes

    Você pode aplicar um perfil NAS-ID a interfaces habilitadas para segurança de porta ou portal. Para obter mais informações, consulte "Configuração da autenticação do portal" e "Configuração da segurança da porta".

    É possível configurar várias vinculações de NAS-ID e VLAN em um perfil de NAS-ID.

    Um NAS-ID pode ser vinculado a mais de uma VLAN, mas uma VLAN pode ser vinculada a apenas um NAS-ID. Se você configurar vários vínculos para a mesma VLAN, a configuração mais recente entrará em vigor.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Crie um perfil NAS-ID e entre na visualização do perfil NAS-ID.
      • aaa nas-id profile profile-name
    • Configure uma vinculação de NAS-ID e VLAN no perfil.
      • nas-id nas-identifier bind vlan vlan-id

    Configuração da ID do dispositivo

    Sobre o ID do dispositivo

    O RADIUS usa o valor do atributo Acct-Session-ID como ID de contabilidade de um usuário. O dispositivo gera um valor Acct-Session-ID para cada usuário on-line com base na hora do sistema, nos dígitos aleatórios e na ID do dispositivo.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Configure a ID do dispositivo.
      • aaa device-id device-id

      Por padrão, a ID do dispositivo é 0.

    Ativação do registro de solicitação de alteração de senha

    Sobre esta tarefa

    Use esse recurso para aumentar a proteção das senhas dos usuários de Telnet, SSH, HTTP, HTTPS, NETCONF sobre SSH e NETCONF sobre SOAP e melhorar a segurança do sistema.

    Esse recurso permite que o dispositivo gere logs para solicitar aos usuários que alterem suas senhas fracas em um intervalo de 24 horas e no login dos usuários.

    Uma senha é uma senha fraca se não atender aos seguintes requisitos:

    • Restrição de composição de senha configurada usando o comando password-control composition.
    • Restrição de comprimento mínimo de senha definida usando o comprimento de controle de senha comando.
    • Ele não pode conter o nome de usuário ou as letras invertidas do nome de usuário.

    Para um usuário NETCONF sobre SSH ou NETCONF sobre SOAP, o dispositivo também gera um registro de solicitação de alteração de senha se houver uma das seguintes condições:

    • A senha atual do usuário é a senha padrão ou expirou.
    • O usuário faz login no dispositivo pela primeira vez ou usa uma nova senha para fazer login depois que o controle de senha global é ativado.

    O dispositivo não gerará mais registros de solicitação de alteração de senha para um usuário quando houver uma das seguintes condições:

    • O recurso de registro do prompt de alteração de senha está desativado.
    • O usuário alterou a senha e a nova senha atende aos requisitos de controle de senha.
    • O status de ativação de um recurso de controle de senha relacionado foi alterado para que a senha atual do usuário atenda aos requisitos de controle de senha.
    • A política de composição de senhas ou o comprimento mínimo da senha foi alterado.

    Versão do software e compatibilidade de recursos

    Esse recurso é compatível apenas com a versão 6318P01 e posteriores.

    Restrições e diretrizes

    Você pode usar o comando display password-control para exibir a configuração do controle de senha. Para obter mais informações sobre os comandos de controle de senha, consulte comandos de controle de senha em Referência de comandos de segurança.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Habilite o registro do prompt de alteração de senha.
      • local-server log change-password-prompt

      Por padrão, o registro do prompt de alteração de senha está ativado.

    Configuração do recurso do servidor RADIUS

    Visão geral das tarefas dos recursos do servidor RADIUS

    Para configurar o recurso do servidor RADIUS, execute as seguintes tarefas:

    • Configuração de usuários RADIUS
    • Especificação de clientes RADIUS
    • Ativação da configuração do servidor RADIUS

    Restrições e diretrizes para o recurso de servidor RADIUS

    Para usar esse recurso, instale o pacote de recursos do FreeRadius compatível com a versão do software do dispositivo. Para obter mais informações sobre a instalação de um pacote de recursos, consulte atualização de software no Guia de Configuração Básica.

    Para garantir a operação correta do recurso de servidor RADIUS, desative o controle de sessão RADIUS no dispositivo.

    Configuração de usuários RADIUS

    Para configurar os usuários do RADIUS, é necessário configurar os usuários de acesso à rede, que são a base dos dados do usuário do RADIUS.

    Um usuário RADIUS tem os seguintes atributos: nome de usuário, senha, descrição, ACL de autorização, VLAN de autorização e tempo de expiração. Para obter mais informações, consulte "Configuração de atributos para usuários de acesso à rede".

    Especificação de clientes RADIUS

    Sobre a especificação de clientes RADIUS

    Execute esta tarefa para especificar clientes RADIUS e chaves compartilhadas para gerenciamento centralizado. O recurso de servidor RADIUS não aceita solicitações de clientes RADIUS que não são gerenciados pelo sistema.

    Restrições e diretrizes

    O endereço IP de um cliente RADIUS deve ser o mesmo que o endereço IP de origem dos pacotes RADIUS de saída especificados no cliente RADIUS.

    A chave compartilhada de um cliente RADIUS especificada no servidor RADIUS deve ser a mesma que a configuração no cliente RADIUS.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Especifique um cliente RADIUS.
      • radius-server client ip ipv4-address key { cipher | simple } string

    Ativação da configuração do servidor RADIUS

    Sobre a ativação da configuração do servidor RADIUS

    Na inicialização do dispositivo, a configuração do servidor RADIUS é ativada automaticamente, incluindo usuários e clientes RADIUS. É possível ativar imediatamente a configuração mais recente do servidor RADIUS se você tiver adicionado, modificado ou excluído clientes RADIUS e usuários de acesso à rede de onde os dados do usuário RADIUS são gerados.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Ativar a configuração do servidor RADIUS.
      • radius-server activate

      A execução desse comando reinicia o processo do servidor RADIUS e ocorrerá uma interrupção do serviço de autenticação durante a reinicialização.

    Comandos de exibição e manutenção para usuários e clientes RADIUS

    Executar comandos de exibição em qualquer visualização.

    Tarefa Comando
    Exibir informações sobre usuários RADIUS ativados. exibir radius-server active-user [ nome do usuário ]
    Exibir informações sobre clientes RADIUS ativados. exibir radius-server active-client

    Configuração da política de registro de conexão

    Sobre a política de registro de conexões

    Use esse recurso em cenários em que o dispositivo atua como um cliente de login FTP, SSH, SFTP ou Telnet para estabelecer uma conexão com um servidor de login. Esse recurso permite que o dispositivo forneça a um servidor de contabilidade as informações de início e término da conexão. Quando o cliente de login estabelece uma conexão com o servidor de login, o sistema envia uma solicitação de início de contabilização para o servidor de contabilização. Quando a conexão é encerrada, o sistema envia uma solicitação de interrupção de contabilidade ao servidor de contabilidade.

    Restrições e diretrizes

    O dispositivo inclui o nome de usuário inserido por um usuário nos pacotes de contabilização a serem enviados ao servidor AAA para registro de conexão. O formato do nome de usuário configurado com o uso do comando user-name-format no esquema de contabilização não tem efeito.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Crie uma política de registro de conexão e insira sua visualização.
      • aaa connection-recording policy
    • Especifique o método de contabilidade para a política de registro de conexão.
      • accounting hwtacacs-scheme hwtacacs-scheme-name

    Comandos de exibição e manutenção da política de registro de conexão

    Executar comandos de exibição em qualquer visualização.

    Tarefa Comando
    Exibir a configuração da política de registro de conexão. exibir política de registro de conexão aaa

    Configuração do recurso de teste AAA

    Sobre o recurso de teste AAA

    Esse recurso permite que o dispositivo envie solicitações de autenticação ou contabilidade aos servidores AAA especificados para simular um processo de autenticação ou contabilidade de um usuário. Use esse recurso para identificar os motivos da falha na interação entre o dispositivo e os servidores AAA. Esse recurso é aplicável somente ao RADIUS.

    Ao executar um teste AAA, o dispositivo ignora o status dos servidores AAA especificados e o recurso de compartilhamento de carga do servidor RADIUS. O processo de um teste AAA é o seguinte:

    • O dispositivo envia solicitações de autenticação que contêm o nome de usuário e a senha especificados para o servidor de autenticação especificado ou para os servidores de autenticação no esquema RADIUS especificado. O dispositivo tenta se comunicar com os servidores de autenticação no esquema especificado em sequência.

      • O processo vai para a próxima etapa nas seguintes situações:

      • O dispositivo recebe uma resposta de autenticação (independentemente de a autenticação ser bem-sucedida ou não).
      • O dispositivo não recebe nenhuma resposta de autenticação depois de fazer todas as tentativas de solicitação de autenticação.

      Essa etapa será ignorada se nenhum servidor de autenticação correto for especificado para o teste AAA ou se nenhum servidor de autenticação estiver configurado no esquema RADIUS especificado.

    • O dispositivo envia solicitações de início de contabilização para o servidor de contabilização especificado ou para os servidores de contabilização no esquema RADIUS especificado. O dispositivo tenta se comunicar com os servidores de contabilidade no esquema especificado em sequência.

      • O processo vai para a próxima etapa nas seguintes situações:

      • O dispositivo recebe uma resposta de início de contabilização (independentemente de a contabilização ser bem-sucedida ou não).
      • O dispositivo não recebe nenhuma resposta de início de contabilização depois de fazer todas as tentativas de solicitação de início de contabilização.

      Esta etapa e a próxima serão ignoradas se nenhum servidor de contabilidade correto for especificado para o teste AAA ou se nenhum servidor de contabilidade estiver configurado no esquema RADIUS especificado.

    • O dispositivo envia solicitações de interrupção de contabilização aos servidores de contabilização para os quais enviou uma solicitação de início de contabilização.

      • O processo é concluído nas seguintes situações:

      • O dispositivo recebe uma resposta de parada de contabilização.
      • O dispositivo não recebe nenhuma resposta de parada de contabilização depois de fazer todas as tentativas de solicitação de parada de contabilização.

      Para identificar os atributos que causam falhas na autenticação ou na contabilização, você pode configurar o dispositivo para incluir atributos específicos nas solicitações RADIUS ou definir valores para atributos específicos nas solicitações. A Tabela 3 mostra os atributos que as solicitações RADIUS contêm por padrão.

      Tabela 3 Atributos que as solicitações RADIUS contêm por padrão

    Tipo de pacote Atributos que o tipo de pacotes carrega por padrão
    Solicitação de autenticação RADIUS

    Nome de usuário

    CHAP-Password (ou User-Password)

    CHAP-Challenge

    Endereço NAS-IP (ou endereço NAS-IPv6)

    Service-Type

    Protocolo emoldurado

    Identificador NAS

    Tipo de porta NAS

    Acct-Session-Id
    Solicitação de contabilidade RADIUS Nome de usuário Tipo de status da conta Endereço NAS-IP (ou endereço NAS-IPv6) Identificador NAS Acct-Session-Id Acct-Delay-Time Acct-Terminate-Cause

    Restrições e diretrizes

    Quando você realizar um teste AAA, siga estas restrições e diretrizes:

    • O dispositivo pode se comunicar incorretamente com os servidores AAA durante um teste AAA. Certifique-se de que nenhum usuário fique on-line ou off-line durante um texto AAA.
    • Se a configuração do esquema RADIUS especificado for alterada, a nova configuração não afetará o teste AAA atual. A modificação entrará em vigor no próximo teste.
    • O sistema pode ter apenas um teste AAA por vez. Outro teste AAA só pode ser realizado após o término do teste atual.

    Quando você configurar atributos a serem incluídos ou excluídos das solicitações do RADIUS, siga estas restrições e diretrizes:

    • Antes de incluir um atributo que já esteja configurado para ser excluído das solicitações RADIUS, você deve cancelar a configuração de exclusão usando o comando undo exclude.
    • Antes de excluir um atributo que já esteja configurado para ser incluído nas solicitações RADIUS, você deve cancelar a configuração de inclusão usando o comando undo include.

    Pré-requisitos

    Antes de executar um teste AAA, você deve configurar um esquema RADIUS que contenha os servidores RADIUS a serem testados.

    Planeje os atributos RADIUS a serem incluídos nas solicitações RADIUS. Além dos atributos carregados por padrão, o dispositivo adiciona os atributos especificados aos pacotes RADIUS na ordem em que são especificados usando o comando include. Não será possível adicionar atributos adicionais a uma solicitação RADIUS se o comprimento da solicitação RADIUS atingir 4096 bytes.

    Procedimento

    • (Opcional.) Configure um grupo de teste de atributos RADIUS:
      • Entre na visualização do sistema.
        • system view
      • Crie um grupo de teste de atributos RADIUS e entre em sua visualização.
        • radius attribute-test-group attr-test-group-name

        Você pode criar vários grupos de teste de atributos RADIUS.

      • Incluir um atributo nas solicitações RADIUS.
        • [ vendor vendor-id ] code attribute-code } type { binary | date |  integer | interface-id | ip | ipv6 | ipv6-prefix | octets | string } value attribute-value

        Use esse comando para adicionar atributos que as solicitações RADIUS não carregam por padrão às solicitações RADIUS.

        Para um atributo que as solicitações do RADIUS carregam por padrão, você pode usar esse comando para alterar o valor do atributo.

      • Excluir um atributo das solicitações RADIUS.
        • exclude { accounting | authentication } name attribute-name

        Use esse comando para excluir um atributo que as solicitações RADIUS carregam por padrão das solicitações RADIUS enviadas durante um teste AAA para ajudar a solucionar problemas de autenticação ou contabilidade falhas.

      • Retornar à visualização do sistema.
        • quit
      • Retornar à visualização do usuário.
        • quit
    • Realize um teste AAA na visualização do usuário.
      • test-aaa user user-name password password radius-scheme radius-scheme-name [ radius-server { ipv4-address | ipv6 ipv6-address } port-number ] [ chap | pap ] [ attribute-test-group attr-test-group-name ] [ trace ]

    Exemplos de configuração de AAA

    Exemplo: Configuração de AAA para usuários SSH por um servidor HWTACACS

    Configuração de rede

    Conforme mostrado na Figura 11, configure o switch para atender aos seguintes requisitos:

    • Use o servidor HWTACACS para autenticação, autorização e contabilidade do usuário SSH.
    • Atribua a função de usuário padrão network-operator aos usuários de SSH depois que eles passarem pela autenticação.
    • Exclua os nomes de domínio dos nomes de usuário enviados ao servidor HWTACACS.
    • Use expert como chaves compartilhadas para comunicação HWTACACS segura.

    Figura 11 Diagrama de rede

    Configuração do servidor HWTACACS

    # Defina as chaves compartilhadas como expert para comunicação segura com o switch, adicione uma conta para o usuário SSH e especifique a senha. (Os detalhes não são mostrados).

    Configuração do switch

    # Configure endereços IP para as interfaces. (Detalhes não mostrados.)

    # Crie um esquema HWTACACS.

    <Switch> system-view
                     [Switch] hwtacacs scheme hwtac

    # Especifique o servidor de autenticação primário.

    [Switch-hwtacacs-hwtac] primary authentication 10.1.1.1 49

    # Especifique o servidor de autorização principal.

    [Switch-hwtacacs-hwtac] primary authorization 10.1.1.1 49

    # Especifique o servidor de contabilidade principal.

    [Switch-hwtacacs-hwtac] primary accounting 10.1.1.1 49

    [Switch-hwtacacs-hwtac] primary accounting 10.1.1.1 49

    # Defina as chaves compartilhadas para expert em formato de texto simples para uma comunicação HWTACACS segura.

    [Switch-hwtacacs-hwtac] key authentication simple expert
                     [Switch-hwtacacs-hwtac] key authorization simple expert
                     [Switch-hwtacacs-hwtac] key accounting simple expert

    # Exclua os nomes de domínio dos nomes de usuário enviados ao servidor HWTACACS.

    [Switch-hwtacacs-hwtac] user-name-format without-domain
                     [Switch-hwtacacs-hwtac] quit

    # Crie um domínio ISP chamado bbb e configure o domínio para usar o esquema HWTACACS para autenticação, autorização e contabilidade de usuários de login.

    [Switch-isp-bbb] authentication login hwtacacs-scheme hwtac
                     [Switch-isp-bbb] authorization login hwtacacs-scheme hwtac
                     [Switch-isp-bbb] accounting login hwtacacs-scheme hwtac
                     [Switch-isp-bbb] quit

    # Crie pares de chaves RSA e DSA locais.

    [Switch] public-key local create rsa
                     [Switch] public-key local create dsa

    # Habilite o serviço Stelnet.

    [Switch] ssh server enable

    # Habilite a autenticação de esquema para as linhas de usuário VTY 0 a VTY 63.

    [Switch] line vty 0 63
                     [Switch-line-vty0-63] authentication-mode scheme
                     [Switch-line-vty0-63] quit

    # Habilite o recurso de função de usuário padrão para atribuir aos usuários autenticados de SSH a função de usuário padrão operador de rede.

    [Switch] role default-role enable

    Verificação da configuração

    # Inicie uma conexão SSH com o switch e digite o nome de usuário e a senha corretos. O usuário faz o login no switch. (Detalhes não mostrados).

    # Verifique se o usuário pode usar os comandos permitidos pela função de usuário network-operator. (Detalhes não mostrados).

    Exemplo: Configuração de autenticação local, autorização HWTACACS e contabilidade RADIUS para usuários SSH

    Configuração de rede

    Conforme mostrado na Figura 12, configure o switch para atender aos seguintes requisitos:

    • Execute a autenticação local para usuários de SSH.
    • Use o servidor HWTACACS e o servidor RADIUS para autorização e contabilidade do usuário SSH, respectivamente.
    • Exclua os nomes de domínio dos nomes de usuário enviados aos servidores.
    • Atribua a função de usuário padrão network-operator aos usuários de SSH depois que eles passarem pela autenticação.

    Configure uma conta chamada hello para o usuário SSH. Configure as chaves compartilhadas para a comunicação segura com o servidor HWTACACS e o servidor RADIUS.

    Figura 12 Diagrama de rede

    Configuração do servidor HWTACACS

    # Defina as chaves compartilhadas como expert para comunicação segura com o switch, adicione uma conta para o usuário SSH e especifique a senha. (Os detalhes não são mostrados).

    Configuração do servidor RADIUS

    # Defina as chaves compartilhadas como expert para comunicação segura com o switch, adicione uma conta para o usuário SSH e especifique a senha. (Os detalhes não são mostrados).

    Configuração do switch

    # Configure os endereços IP para as interfaces. (Detalhes não mostrados.)

    # Crie pares de chaves RSA e DSA locais.

    <Switch> system-view
                     [Switch] public-key local create rsa
                     [Switch] public-key local create dsa

    # Habilite o serviço Stelnet.

    [Switch] ssh server enable

    # Habilite a autenticação de esquema para as linhas de usuário VTY 0 a VTY 63.

    [Switch] line vty 0 63
                     [Switch-line-vty0-63] authentication-mode scheme
                     [Switch-line-vty0-63] quit

    # Configure um esquema HWTACACS.

    [Switch] hwtacacs scheme hwtac
                     [Switch-hwtacacs-hwtac] primary authorization 10.1.1.2 49
                     [Switch-hwtacacs-hwtac] key authorization simple expert
                     [Switch-hwtacacs-hwtac] user-name-format without-domain
                     [Switch-hwtacacs-hwtac] quit

    # Configure um esquema RADIUS.

    [Switch] radius scheme rd
                     [Switch-radius-rd] primary accounting 10.1.1.1 1813
                     [Switch-radius-rd] key accounting simple expert
                     [Switch-radius-rd] user-name-format without-domain
                     [Switch-radius-rd] quit

    # Crie um usuário de gerenciamento de dispositivos.

    [Switch] local-user hello class manage

    # Atribua o serviço SSH ao usuário local.

    [Switch-luser-manage-hello] service-type ssh

    # Defina a senha como 123456TESTplat&! em formato de texto simples para o usuário local. No modo FIPS, você deve definir a senha no modo interativo.

    [Switch-luser-manage-hello] password simple 123456TESTplat&!
                     [Switch-luser-manage-hello] quit

    # Crie um domínio ISP chamado bbb e configure os usuários de login para usar autenticação local, autorização HWTACACS e contabilidade RADIUS.

    [Switch] domain bbb
                     [Switch-isp-bbb] authentication login local
                     [Switch-isp-bbb] authorization login hwtacacs-scheme hwtac
                     [Switch-isp-bbb] accounting login radius-scheme rd
                     [Switch-isp-bbb] quit

    # Habilite o recurso de função de usuário padrão para atribuir aos usuários autenticados de SSH a função de usuário padrão

    [Switch] role default-role enable

    Verificação da configuração

    # Inicie uma conexão SSH com o switch e digite o nome de usuário hello@bbb e a senha correta. O usuário faz o login no switch. (Os detalhes não são mostrados).

    # Verifique se o usuário pode usar os comandos permitidos pela função de usuário network-operator. (Detalhes não mostrados).

    Exemplo: Configuração de autenticação e autorização para usuários SSH por um servidor RADIUS

    Configuração de rede

    Conforme mostrado na Figura 13, configure o switch para atender aos seguintes requisitos:

    • Use o servidor RADIUS para autenticação e autorização de usuário SSH.
    • Inclua nomes de domínio nos nomes de usuário enviados ao servidor RADIUS.
    • Atribua a função de usuário padrão network-operator aos usuários de SSH depois que eles passarem pela autenticação.

    O servidor RADIUS é executado no IMC PLAT 5.0 (E0101) e no IMC UAM 5.0 (E0101). Adicione uma conta com o nome de usuário hello@bbb no servidor RADIUS.

    O servidor RADIUS e o switch usam expert como a chave compartilhada para a comunicação segura do RADIUS. As portas para autenticação e contabilidade são 1812 e 1813, respectivamente.

    Figura 13 Diagrama de rede

    Configuração do servidor RADIUS

    • Adicione o switch à plataforma IMC como um dispositivo de acesso:

      • Faça login no IMC, clique na guia Service e selecione User Access Manager > Access Device Management > Access Device na árvore de navegação. Em seguida, clique em Add (Adicionar) para configurar um dispositivo de acesso da seguinte forma:

      • Defina a chave compartilhada como expert para uma comunicação RADIUS segura.
      • Defina as portas para autenticação e contabilidade como 1812 e 1813, respectivamente.
      • Selecione Device Management Service na lista Service Type (Tipo de serviço).
      • Selecione Intelbras na lista Access Device Type (Tipo de dispositivo de acesso).
      • Selecione um dispositivo de acesso na lista de dispositivos ou adicione manualmente um dispositivo de acesso. Neste exemplo de , o endereço IP do dispositivo é 10.1.1.2.
      • Use os valores padrão para outros parâmetros e clique em OK.

      O endereço IP do dispositivo de acesso especificado aqui deve ser o mesmo que o endereço IP de origem dos pacotes RADIUS enviados pelo switch. O endereço IP de origem é escolhido na seguinte ordem no switch:

      • Endereço IP especificado com o uso do comando nas-ip.
      • Endereço IP especificado com o uso do comando radius nas-ip.
      • Endereço IP da interface de saída (o padrão).

      Figura 14: Adição do switch como um dispositivo de acesso

    • Adicione uma conta para gerenciamento de dispositivos:

      • Clique na guia User e selecione Access User View > Device Mgmt User na árvore de navegação. Em seguida, clique em Add (Adicionar) para configurar uma conta de gerenciamento de dispositivos da seguinte forma:

      • Digite o nome da conta hello@bbb e especifique a senha.
      • Selecione SSH na lista Service Type (Tipo de serviço).
      • Especifique 10.1.1.0 a 10.1.1.255 como o intervalo de endereços IP dos hosts a serem gerenciados.
      • Clique em OK.

      OBSERVAÇÃO:

      O intervalo de endereços IP deve conter o endereço IP do switch.

      Figura 15: Adição de uma conta para gerenciamento de dispositivos

    Configuração do switch

    # Configure os endereços IP para as interfaces. (Detalhes não mostrados.)

    # Crie pares de chaves RSA e DSA locais.

    <Switch> system-view
                     [Switch] public-key local create rsa
                     [Switch] public-key local create dsa

    # Habilite o serviço Stelnet.

    [Switch] ssh server enable

    # Habilite a autenticação de esquema para as linhas de usuário VTY 0 a VTY 63.

    [Switch] line vty 0 63
                     [Switch-line-vty0-63] authentication-mode scheme
                     [Switch-line-vty0-63] quit

    # Ative o recurso de função de usuário padrão para atribuir aos usuários SSH autenticados a função de usuário padrão

    [Switch] role default-role enable

    # Criar um esquema RADIUS.

    [Switch] radius scheme rad

    # Especifique o servidor de autenticação primário.

    [Switch-radius-rad] primary authentication 10.1.1.1 1812

    # Defina a chave compartilhada como expert em formato de texto simples para comunicação segura com o servidor.

    [Switch-radius-rad] key authentication simple expert

    # Incluir nomes de domínio nos nomes de usuário enviados ao servidor RADIUS.

    [Switch-radius-rad] user-name-format with-domain
                     [Switch-radius-rad] quit

    # Crie um domínio ISP chamado bbb e configure métodos de autenticação, autorização e contabilidade para usuários de login.

    [Switch] domain bbb
                     [Switch-isp-bbb] authentication login radius-scheme rad
                     [Switch-isp-bbb] authorization login radius-scheme rad
                     [Switch-isp-bbb] accounting login none
                     [Switch-isp-bbb] quit

    Verificação da configuração

    # Inicie uma conexão SSH com o switch e digite o nome de usuário hello@bbb e a senha correta. O usuário faz o login no switch. (Os detalhes não são mostrados).

    # Verifique se o usuário pode usar os comandos permitidos pela função de usuário network-operator. (Detalhes não mostrados).

    Exemplo: Configuração da autenticação para usuários SSH por um servidor LDAP

    Configuração de rede

    Conforme mostrado na Figura 16, o servidor LDAP usa o domínio ldap.com e executa o Microsoft Windows 2003 Server Active Directory.

    Configure o switch para atender aos seguintes requisitos:

    • Use o servidor LDAP para autenticar os usuários de SSH.
    • Atribua a função de usuário de nível 0 aos usuários de SSH depois que eles passarem pela autenticação.

    No servidor LDAP, defina a senha do administrador como admin!123456, adicione um usuário chamado aaa e defina a senha do usuário como ldap!123456.

    Figura 16 Diagrama de rede

    Configuração do servidor LDAP

    • Adicione um usuário chamado aaa e defina a senha como ldap!123456:
      • No servidor LDAP, selecione Iniciar > Painel de controle > Ferramentas administrativas.
      • Clique duas vezes em Usuários e computadores do Active Directory.

        • A janela Usuários e computadores do Active Directory é exibida.

      • Na árvore de navegação, clique em Usuários sob o nó ldap.com.
      • Selecione Ação > Novo > Usuário no menu para exibir a caixa de diálogo para adicionar um usuário.
      • Digite o nome de logon aaa e clique em Next.

        • Figura 17: Adição do usuário aaa

      • Na caixa de diálogo, digite a senha ldap!123456, selecione as opções conforme necessário e clique em Next.

        • Figura 18 Configuração da senha do usuário

      • Clique em OK.
    • Adicionar o usuário aaa ao grupo Usuários:
      • Na árvore de navegação, clique em Usuários sob o nó ldap.com.
      • No painel direito, clique com o botão direito do mouse no usuário aaa e selecione Propriedades.
      • Na caixa de diálogo, clique na guia Member Of (Membro de) e clique em Add (Adicionar).

        • Figura 19 Modificação das propriedades do usuário

      • Na caixa de diálogo Select Groups (Selecionar grupos), digite Users (Usuários) no campo Enter the object names to select (Digite os nomes dos objetos a serem selecionados) e clique em OK.

        • O usuário aaa é adicionado ao grupo Usuários.

        Figura 20: Adição do usuário aaa ao grupo Users

    • Defina a senha do administrador como admin!123456:
      • No painel direito, clique com o botão direito do mouse no usuário Administrator e selecione Set Password (Definir senha).
      • Na caixa de diálogo, digite a senha do administrador. (Detalhes não mostrados.)

    Configuração do switch

    # Configurar endereços IP para interfaces. (Os detalhes não são mostrados).

    # Crie pares de chaves RSA e DSA locais.

    <Switch> system-view
                     [Switch] public-key local create rsa
                     [Switch] public-key local create dsa

    # Habilite o serviço Stelnet.

    [Switch] ssh server enable

    # Habilite a autenticação de esquema para as linhas de usuário VTY 0 a VTY 63.

    [Switch] line vty 0 63
                     [Switch-line-vty0-63] authentication-mode scheme
                     [Switch-line-vty0-63] quit

    # Configure um servidor LDAP.

    [Switch] ldap server ldap1

    # Especifique o endereço IP do servidor de autenticação LDAP.

    [Switch-ldap-server-ldap1] ip 10.1.1.1

    # Especifique o DN do administrador.

    [Switch-ldap-server-ldap1] login-dn cn=administrator,cn=users,dc=ldap,dc=com

    # Especifique a senha do administrador.

    [Switch-ldap-server-ldap1] login-password simple admin!123456

    # Configure o DN base para a pesquisa de usuários.

    [Switch-ldap-server-ldap1] search-base-dn dc=ldap,dc=com
                     [Switch-ldap-server-ldap1] quit

    # Criar um esquema LDAP.

    [Switch] ldap scheme ldap-shm1

    # Especifique o servidor de autenticação LDAP.

    [Switch-ldap-ldap-shm1] authentication-server ldap1
                     [Switch-ldap-ldap-shm1] quit

    # Crie um domínio ISP chamado bbb e configure métodos de autenticação, autorização e contabilidade para usuários de login.

    [Switch] domain bbb
                     [Switch-isp-bbb] authentication login ldap-scheme ldap-shm1
                     [Switch-isp-bbb] authorization login none
                     [Switch-isp-bbb] accounting login none
                     [Switch-isp-bbb] quit

    Verificação da configuração

    # Inicie uma conexão SSH com o switch e digite o nome de usuário aaa@bbb e a senha ldap!123456. O usuário faz login no switch. (Detalhes não mostrados).

    # Verifique se o usuário pode usar os comandos permitidos pela função de usuário de nível 0. (Detalhes não mostrados).

    Exemplo: Configuração de AAA para usuários 802.1X por um servidor RADIUS

    Configuração de rede

    Conforme mostrado na Figura 21, configure o switch para atender aos seguintes requisitos:

    • Use o servidor RADIUS para autenticação, autorização e contabilidade de usuários 802.1X.
    • Use o controle de acesso baseado em MAC na GigabitEthernet 1/0/1 para autenticar todos os usuários 802.1X na porta separadamente.
    • Inclua nomes de domínio nos nomes de usuário enviados ao servidor RADIUS.

    Neste exemplo, o servidor RADIUS é executado no IMC PLAT 5.0 (E0101) e no IMC UAM 5.0 (E0101). No servidor RADIUS, execute as seguintes tarefas:

    • Adicione um serviço que cobra 120 dólares por até 120 horas por mês e atribui usuários autenticados à VLAN 4.
    • Configure um usuário com o nome dot1x@bbb e atribua o serviço a esse usuário.

    Defina as chaves compartilhadas como expert para comunicação RADIUS segura. Defina as portas para autenticação e contabilidade como 1812 e 1813, respectivamente.

    Figura 21 Diagrama de rede

    Configuração do servidor RADIUS

    • Adicione o switch à plataforma IMC como um dispositivo de acesso:

      • Faça login no IMC, clique na guia Service e selecione User Access Manager > Access Device Management > Access Device na árvore de navegação. Em seguida, clique em Add (Adicionar) para configurar um dispositivo de acesso da seguinte forma:

      • Defina a chave compartilhada como expert para autenticação segura e comunicação contábil.
      • Defina as portas para autenticação e contabilidade como 1812 e 1813, respectivamente.
      • Selecione LAN Access Service na lista Service Type (Tipo de serviço).
      • Selecione Intelbras(General) na lista Access Device Type (Tipo de dispositivo de acesso).
      • Selecione um dispositivo de acesso na lista de dispositivos ou adicione manualmente um dispositivo de acesso. Neste exemplo , o endereço IP do dispositivo é 10.1.1.2.
      • Use os valores padrão para outros parâmetros e clique em OK.

      O endereço IP do dispositivo de acesso especificado aqui deve ser o mesmo que o endereço IP de origem dos pacotes RADIUS enviados pelo switch. O endereço IP de origem é escolhido na seguinte ordem no switch:

      • Endereço IP especificado com o uso do comando nas-ip.
      • Endereço IP especificado com o uso do comando radius nas-ip.
      • Endereço IP da interface de saída (o padrão).

      Figura 22: Adição do switch como um dispositivo de acesso

    • Adicione um plano de cobrança:

      • Clique na guia Service e selecione Accounting Manager > Charging Plans na árvore de navegação para acessar a página de configuração do plano de cobrança. Em seguida, clique em Add (Adicionar) para configurar um plano de cobrança da seguinte forma:

      • Adicione um plano chamado UserAcct.
      • Selecione Flat rate (Taxa fixa) na lista Charging Template (Modelo de cobrança).
      • Selecione time para Charge Based on, selecione Monthly para Billing Term e digite 120 no campo Campo de taxa fixa.
      • Digite 120 no campo Limite de uso e selecione hr (horas) para o campo em. A configuração permite que o usuário acesse a Internet por até 120 horas por mês.
      • Use os valores padrão para outros parâmetros e clique em OK.

        • Figura 23: Adição de um plano de cobrança

    • Adicionar um serviço:

      • Clique na guia Service e selecione User Access Manager > Service Configuration na árvore de navegação. Em seguida, clique em Adicionar para configurar um serviço da seguinte forma:

      • Adicione um serviço chamado Dot1x auth e defina o sufixo do serviço como bbb, o domínio de autenticação do usuário 802.1X. Com o sufixo de serviço configurado, você deve configurar o dispositivo de acesso para enviar nomes de usuário que incluam nomes de domínio para o servidor RADIUS.
      • Selecione UserAcct na lista Charging Plan (Plano de cobrança).
      • Selecione Deploy VLAN e defina o ID da VLAN a ser atribuída a 4.
      • Configure outros parâmetros conforme necessário.
      • Clique em OK.

        • Figura 24: Adição de um serviço

    • Adicionar um usuário:

      • Clique na guia Usuário e selecione Visualização do usuário de acesso > Todos os usuários de acesso na árvore de navegação para acessar a página Todos os usuários de acesso. Em seguida, clique em Adicionar para configurar um usuário da seguinte forma:

      • Selecione o usuário ou adicione um usuário chamado hello.
      • Especifique o nome da conta como dot1x e configure a senha.
      • Selecione Dot1x auth na área Access Service (Serviço de acesso).
      • Configure outros parâmetros conforme necessário e clique em OK.

        • Figura 25: Adição de uma conta de usuário de acesso

    Configuração do switch

    • Configurar um esquema RADIUS:

      • # Crie um esquema RADIUS chamado rad e entre na visualização do esquema RADIUS.

      <Switch> system-view
                     [Switch] radius scheme rad

      # Especifique o servidor de autenticação primário e o servidor de contabilidade primário e configure as chaves para comunicação com os servidores.

      [Switch-radius-rad] primary authentication 10.1.1.1
                     [Switch-radius-rad] primary accounting 10.1.1.1
                     [Switch-radius-rad] key authentication simple expert
                     [Switch-radius-rad] key accounting simple expert

      # Inclua nomes de domínio nos nomes de usuário enviados ao servidor RADIUS.

      [Switch-radius-rad] user-name-format with-domain
                     [Switch-radius-rad] quit
    • Configurar um domínio ISP:

      • # Crie um domínio ISP chamado bbb e entre no modo de exibição de domínio ISP.

      [Switch] domain bbb

      # Configure o domínio ISP para usar o esquema RADIUS rad para autenticação, autorização e contabilidade dos usuários da LAN.

      [Switch-isp-bbb] authentication lan-access radius-scheme rad
                     [Switch-isp-bbb] authorization lan-access radius-scheme rad
                     [Switch-isp-bbb] accounting lan-access radius-scheme rad
                     [Switch-isp-bbb] quit
    • Configure a autenticação 802.1X: # Habilite o 802.1X globalmente.
      • [Switch] dot1x

      # Habilite o 802.1X para a GigabitEthernet 1/0/1.

      [Switch] interface gigabitethernet 1/0/1
                     [Switch-GigabitEthernet1/0/1] dot1x

      # Configure o método de controle de acesso. Por padrão, uma porta habilitada para 802.1X usa o controle de acesso baseado em MAC.

      [Switch-GigabitEthernet1/0/1] dot1x port-method macbased

    Verificação da configuração

    • No host, use a conta dot1x@bbb para passar a autenticação 802.1X:

      • # Se o host executar o cliente Windows XP 802.1X, configure as propriedades da conexão de rede da seguinte forma:

      • Clique na guia Authentication (Autenticação) da janela de propriedades.
      • Selecione a opção Ativar autenticação IEEE 802.1X para esta rede.
      • Selecione o desafio MD5 como o tipo de EAP.
      • Clique em OK.

      O usuário passa na autenticação depois de inserir o nome de usuário e a senha corretos na página de autenticação.

      # Se o host executar o cliente iNode, não serão necessárias opções avançadas de autenticação. O usuário pode passar na autenticação depois de inserir o nome de usuário dot1x@bbb e a senha correta na página de propriedades do cliente.

      IMPORTANTE:

      Certifique-se de que o cliente possa atualizar seu endereço IP para acessar os recursos na VLAN autorizada depois de passar pela autenticação.

    • No switch, verifique se o servidor atribui a porta que conecta o cliente à VLAN 4 depois que o usuário passa pela autenticação. (Detalhes não mostrados).
    • Exibir informações de conexão 802.1X no switch.
      • [Switch] display dot1x connection

    Exemplo: Configuração de autenticação e autorização para Usuários 802.1X pelo dispositivo como um servidor RADIUS

    Configuração de rede

    Conforme mostrado na Figura 26, o Switch B atua como servidor RADIUS para autenticação e autorização de usuários 802.1X conectados ao NAS (Switch A).

    Configure os switches para atender aos seguintes requisitos:

    • Execute a autenticação de usuário 802.1X na GigabitEthernet 1/0/1 do NAS.
    • A chave compartilhada é expert e a porta de autenticação é 1812.
    • Exclua os nomes de domínio dos nomes de usuário enviados ao servidor RADIUS.
    • O nome de usuário para autenticação 802.1X é dot1x.
    • Depois que o usuário passa pela autenticação, o servidor RADIUS autoriza a VLAN 4 para a porta do NAS à qual o usuário está se conectando.

    Figura 26 Diagrama de rede

    Procedimento

    • Configure o NAS:
      • Configurar um esquema RADIUS:

        • # Configure um esquema RADIUS chamado rad e entre na visualização do esquema RADIUS.

        <SwitchA> system-view
                     [SwitchA] radius scheme rad

        # Especifique o servidor de autenticação principal com o endereço IP 10.1.1.1 e defina a chave compartilhada como expert em formato de texto simples.

        [SwitchA-radius-rad] primary authentication 10.1.1.1 key simple expert

        # Exclua os nomes de domínio dos nomes de usuário enviados ao servidor RADIUS. [SwitchA-radius-rad] user-name-format without-domain

        [SwitchA-radius-rad] user-name-format without-domain
                     [SwitchA-radius-rad] quit
      • Configurar um domínio ISP:

        • # Crie um domínio ISP chamado bbb e entre no modo de exibição de domínio ISP.

        [SwitchA] domain bbb

        # Configure o domínio ISP para usar o esquema RADIUS rad para autenticação e autorização de usuários da LAN e não para realizar a contabilidade dos usuários da LAN.

        [SwitchA-isp-bbb] authentication lan-access radius-scheme rad
                     [SwitchA-isp-bbb] authorization lan-access radius-scheme rad
                     [SwitchA-isp-bbb] accounting lan-access none
                     [SwitchA-isp-bbb] quit
      • Configurar a autenticação 802.1X:

        • # Habilite o 802.1X para a GigabitEthernet 1/0/1. [SwitchA] interface gigabitethernet 1/0/1

        [SwitchA] interface gigabitethernet 1/0/1
                     [SwitchA-GigabitEthernet1/0/1] dot1x

        # Especifique bbb como o domínio de autenticação obrigatório para usuários 802.1X na interface.

        [SwitchA-GigabitEthernet1/0/1] dot1x mandatory-domain bbb
                     [SwitchA-GigabitEthernet1/0/1] quit

        # Habilite o 802.1X globalmente.

        [SwitchA] dot1x
    • Configure o servidor RADIUS:

      • # Crie um usuário de acesso à rede chamado dot1x.

      <SwitchB> system-view
                     [SwitchB] local-user dot1x class network

      # Configure a senha como 123456 em formato de texto simples.

      [SwitchB-luser-network-dot1x] password simple 123456

      # Configure a VLAN 4 como a VLAN de autorização.

      [SwitchB-luser-network-dot1x] authorization-attribute vlan 4
                     [SwitchB-luser-network-dot1x] quit

      # Configure o endereço IP do cliente RADIUS como 10.1.1.2 e a chave compartilhada como expert em formato de texto simples.

      [SwitchB] radius-server client ip 10.1.1.2 key simple expert

      # Ativar a configuração do servidor RADIUS.

      [SwitchB] radius-server activate

    Verificação da configuração

    • No servidor RADIUS, exiba os clientes e usuários RADIUS ativados.
      • [SwitchB] display radius-server active-client
                     Total 1 RADIUS clients.
                     Client IP: 10.1.1.2
                     [SwitchB] display radius-server active-user dot1x
                     Total 1 RADIUS users matched. 
                     Username: dot1x
                     Description: Not configured
                     Authorization attributes:
                     VLAN ID: 4
                     ACL number: Not configured
                     Validity period:
                     Expiration time: Not configured
    • No host, use a conta dot1x para autenticação 802.1X.

      • Se o host executar o cliente 802.1X integrado do Windows, configure as propriedades da conexão de rede da seguinte forma:

      • Clique na guia Authentication (Autenticação) da janela de propriedades.
      • Selecione a opção Ativar autenticação IEEE 802.1X para esta rede.
      • Selecione o desafio MD5 como o tipo de EAP.
      • Clique em OK.

      Se o host executar o cliente iNode, não serão necessárias opções avançadas de autenticação. O usuário passa na autenticação depois de inserir o nome de usuário e a senha corretos na página de autenticação ou no cliente iNode.

      IMPORTANTE:

      Certifique-se de que o cliente possa atualizar seu endereço IP para acessar os recursos na VLAN autorizada depois de passar pela autenticação.

    • No NAS, verifique se o servidor RADIUS atribui a porta à VLAN 4 depois que o usuário passa pela autenticação . (Detalhes não mostrados.)
    • No NAS, exiba as informações do usuário 802.1X on-line.
      • [SwitchA] display dot1x connection

    Solução de problemas de AAA

    Falha na autenticação RADIUS

    Sintoma

    A autenticação do usuário sempre falha.

    Análise

    Os possíveis motivos incluem:

    • Existe uma falha de comunicação entre o NAS e o servidor RADIUS.
    • O nome de usuário não está no formato userid@isp-name ou o domínio ISP não está configurado corretamente no NAS.
    • O usuário não está configurado no servidor RADIUS.
    • A senha inserida pelo usuário está incorreta.
    • O servidor RADIUS e o NAS estão configurados com chaves compartilhadas diferentes.

    Solução

    Para resolver o problema:

    • Verifique os seguintes itens:
      • O NAS e o servidor RADIUS podem fazer ping entre si.
      • O nome de usuário está no formato userid@isp-name e o domínio ISP está configurado corretamente no NAS.
      • O usuário está configurado no servidor RADIUS.
      • A senha correta é inserida.
      • A mesma chave compartilhada é configurada no servidor RADIUS e no NAS.
    • Se o problema persistir, entre em contato com o Suporte da Intelbras.

    Falha na entrega do pacote RADIUS

    Sintoma

    Os pacotes RADIUS não conseguem acessar o servidor RADIUS.

    Análise

    Os possíveis motivos incluem:

  • Existe uma falha de comunicação entre o NAS e o servidor RADIUS.
  • O NAS não está configurado com o endereço IP do servidor RADIUS.
  • As portas UDP de autenticação e contabilidade configuradas no NAS estão incorretas.
  • Os números de porta de autenticação e contabilidade do servidor RADIUS estão sendo usados por outros aplicativos .

    • Solução

    Para resolver o problema:

    • Verifique os seguintes itens:
      • O link entre o NAS e o servidor RADIUS funciona bem nas camadas física e de link de dados.
      • O endereço IP do servidor RADIUS está configurado corretamente no NAS.
      • Os números de porta UDP de autenticação e contabilidade configurados no NAS são os mesmos do servidor RADIUS.
      • Os números das portas de autenticação e contabilidade do servidor RADIUS estão disponíveis.
    • Se o problema persistir, entre em contato com o Suporte da Intelbras.

    Erro de contabilidade RADIUS

    Sintoma

    Um usuário é autenticado e autorizado, mas a contabilidade do usuário não é normal.

    Análise

    A configuração do servidor de contabilidade no NAS não está correta. Os possíveis motivos incluem:

  • O número da porta de contabilidade configurado no NAS está incorreto.
  • O endereço IP do servidor de contabilidade configurado no NAS está incorreto. Por exemplo, o NAS está configurado para usar um único servidor para fornecer serviços de autenticação, autorização e contabilidade, mas, na verdade, os serviços são fornecidos por servidores diferentes.

    • Solução

    Para resolver o problema:

    • Verifique os seguintes itens:
      • O número da porta de contabilidade está configurado corretamente.
      • O endereço IP do servidor de contabilidade está configurado corretamente no NAS.
    • Se o problema persistir, entre em contato com o Suporte da Intelbras.

    Solução de problemas do HWTACACS

    Semelhante à solução de problemas do RADIUS. Consulte "Falha na autenticação RADIUS", "Falha na entrega de pacotes RADIUS" e "Erro de contabilidade RADIUS".

    Falha na autenticação LDAP

    Sintoma

    A autenticação do usuário falha.

    Análise

    Os possíveis motivos incluem:

  • Existe uma falha de comunicação entre o NAS e o servidor LDAP.
  • O endereço IP ou o número da porta do servidor LDAP configurado no NAS não está correto.
  • O nome de usuário não está no formato userid@isp-name ou o domínio ISP não está configurado corretamente no NAS.
  • O usuário não está configurado no servidor LDAP.
  • A senha inserida pelo usuário está incorreta.
  • O DN ou a senha do administrador não está configurado.
  • Alguns atributos de usuário (por exemplo, o atributo de nome de usuário) configurados no NAS não são consistentes com os configurados no servidor.
  • Nenhum DN de base de pesquisa de usuário foi especificado para o esquema LDAP.

    • Solução

    Para resolver o problema:

    • Verifique os seguintes itens:
      • O NAS e o servidor LDAP podem fazer ping entre si.
      • O endereço IP e o número da porta do servidor LDAP configurado no NAS correspondem aos do servidor.
      • O nome de usuário está no formato correto e o domínio do ISP para a autenticação do usuário está configurado corretamente no NAS.
      • O usuário está configurado no servidor LDAP.
      • A senha correta é inserida.
      • O DN do administrador e a senha do administrador estão configurados corretamente.
      • Os atributos de usuário (por exemplo, o atributo de nome de usuário) configurados no NAS são consistentes com aqueles configurados no servidor LDAP.
      • O DN da base de pesquisa do usuário para autenticação é especificado.
    • Se o problema persistir, entre em contato com o Suporte da Intelbras.

    Apêndices

    Apêndice A Atributos RADIUS comumente usados

    Os atributos RADIUS comumente usados são definidos na RFC 2865, RFC 2866, RFC 2867 e RFC 2868.

    Tabela 4 Atributos RADIUS comumente usados

    Não. Atributo Não. Atributo
    1 Nome de usuário 45 Conta autêntica
    2 Senha de usuário 46 Hora da sessão de contas
    3 Senha CHAP 47 Pacotes de entrada de contas
    4 Endereço IP do NAS 48 Pacotes de saída de contas
    5 Porta NAS 49 Acct-Terminate-Cause
    6 Tipo de serviço 50 Acct-Multi-Session-Id
    7 Protocolo emoldurado 51 Contagem de links de contas
    8 Endereço IP emoldurado 52 Entrada de conta-Gigawords
    9 Máscara de rede-IP emoldurada 53 Saída de contas-Gigawords
    10 Roteamento emoldurado 54 (não atribuído)
    11 ID do filtro 55 Event-Timestamp
    12 Emoldurado-MTU 56-59 (não atribuído)
    13 Compressão emoldurada 60 CHAP-Challenge
    14 Login-IP-Host 61 NAS-Port-Type
    15 Serviço de login 62 Limite de porta
    16 Login-TCP-Port 63 Login-LAT-Port
    17 (não atribuído) 64 Tipo túnel
    18 Mensagem de resposta 65 Tipo túnel-médio
    19 Número de retorno de chamada 66 Ponto de extremidade do cliente do túnel
    20 ID de retorno de chamada 67 Ponto de extremidade do servidor de túnel
    21 (não atribuído) 68 Conexão de túnel de contas
    22 Rota emoldurada 69 Senha do túnel
    23 Rede IPX emoldurada 70 Senha ARAP
    24 Estado 71 Recursos ARAP
    25 Classe 72 Acesso à zona ARAP
    26 Específico do fornecedor 73 ARAP-Segurança
    27 Tempo limite da sessão 74 ARAP-Dados de segurança
    28 Tempo limite de inatividade 75 Senha-Retenção
    29 Rescisão - Ação 76 Prompt
    30 Called-Station-Id 77 Informações de conexão
    31 Calling-Station-Id 78 Token de configuração
    32 Identificador NAS 79 Mensagem EAP
    33 Estado do proxy 80 Autenticador de mensagens
    34 Login-LAT-Service 81 ID do grupo privado do túnel
    35 Login-LAT-Node 82 ID de atribuição de túnel
    36 Login-LAT-Group 83 Preferência de túnel
    37 Framed-AppleTalk-Link 84 ARAP-Challenge-Response (Resposta ao desafio ARAP)
    38 Rede Framed-AppleTalk 85 Intervalo contábil-interino
    39 Framed-AppleTalk-Zone 86 Acct-Tunnel-Packets-Lost
    40 Tipo de status da conta 87 NAS-Port-Id
    41 Tempo de atraso da conta 88 Piscina emoldurada
    42 Octetos de entrada de conta 89 (não atribuído)
    43 Octetos de saída de contas 90 Identificador de autenticação de cliente de túnel
    44 Acct-Session-Id 91 ID de autenticação do servidor de túnel

    Apêndice B Descrições dos atributos RADIUS padrão comumente usados

    Não. Atributo Descrição
    1 Nome de usuário Nome do usuário a ser autenticado.
    2 Senha de usuário Senha do usuário para autenticação PAP, presente apenas nos pacotes Access-Request quando a autenticação PAP é usada.
    3 Senha CHAP Resumo da senha do usuário para autenticação CHAP, presente apenas nos pacotes Access-Request quando a autenticação CHAP é usada.
    4 Endereço IP do NAS Endereço IP que o servidor usará para identificar o cliente. Normalmente, um cliente
    Não. Atributo Descrição
    é identificado pelo endereço IP de sua interface de acesso. Esse atributo está presente apenas nos pacotes Access-Request.
    5 Porta NAS Porta física do NAS que o usuário acessa.
    6 Tipo de serviço Tipo de serviço que o usuário solicitou ou tipo de serviço a ser fornecido.
    7 Protocolo emoldurado Protocolo de encapsulamento para acesso em estrutura.
    8 Endereço IP emoldurado Endereço IP atribuído ao usuário.
    11 ID do filtro Nome da lista de filtros. Esse atributo é analisado da seguinte forma:
    • Se o nome começar com um dígito, ele indica um número de ACL.
    • Se o nome não começar com um dígito, ele indica um nome de perfil de usuário.
    12 Emoldurado-MTU MTU para o link de dados entre o usuário e o NAS. Por exemplo, esse atributo pode ser usado para definir o tamanho máximo dos pacotes EAP que podem ser processados na autenticação EAP 802.1X.
    14 Login-IP-Host Endereço IP da interface NAS que o usuário acessa.
    15 Serviço de login Tipo de serviço que o usuário usa para fazer login.
    18 Mensagem de resposta Texto a ser exibido para o usuário, que pode ser usado pelo servidor para comunicar informações, por exemplo, a causa da falha de autenticação.
    26 Específico do fornecedor Atributo proprietário específico do fornecedor. Um pacote pode conter um ou mais atributos proprietários, cada um dos quais pode conter um ou mais subatributos.
    27 Tempo limite da sessão Duração máxima do serviço para o usuário antes do encerramento da sessão.
    28 Tempo limite de inatividade Tempo ocioso máximo permitido para o usuário antes do encerramento da sessão.
    31 Calling-Station-Id Identificação do usuário que o NAS envia ao servidor. Para o serviço de acesso à LAN fornecido por um dispositivo Intelbras, esse atributo inclui o endereço MAC do usuário.
    32 Identificador NAS Identificação que o NAS usa para se identificar para o servidor RADIUS.
    40 Tipo de status da conta Tipo do pacote Accounting-Request. Os valores possíveis incluem:
    • 1-Iniciar.
    • 2-Stop.
    • 3-Interim-Update.
    • 4-Reset-Charge.
    • 7-Accounting-On. (Definido no Projeto de Parceria de 3ª Geração).
    • 8-Contabilização. (Definido no Projeto de Parceria de 3ª Geração).
    • 9 a 14 - Reservado para contabilidade de túneis.
    • 15-Reservado para reprovados.
    45 Conta autêntica Método de autenticação usado pelo usuário. Os valores possíveis incluem:
    • 1-RADIUS.
    • 2-Local.
    • 3-Remoto.
    60 CHAP-Challenge Desafio CHAP gerado pelo NAS para o cálculo MD5 durante a autenticação CHAP.
    61 NAS-Port-Type Tipo da porta física do NAS que está autenticando o usuário. Os valores possíveis incluem:
    • 15-Ethernet.
    • 16 - Qualquer tipo de ADSL.
    • 17-Cabo. (Com cabo para TV a cabo).
    • 19-WLAN-IEEE 802.11.
    • 201-VLAN.
    • 202-ATM.
    Se a porta for ATM ou Ethernet e as VLANs estiverem implementadas nela, o valor desse atributo será 201.
    64 Tipo túnel Protocolos de tunelamento usados. O valor 13 representa VLAN. Se o valor for 13, o dispositivo interpretará os atributos Tunnel-Type, Tunnel-Medium-Type e Tunnel-Private-Group-ID como atributos para atribuir VLANs.
    65 Tipo túnel-médio Tipo de meio de transporte a ser usado para criar um túnel. Para atribuição de VLAN, o valor deve ser 6 para indicar a mídia 802 mais Ethernet.
    79 Mensagem EAP Usado para encapsular pacotes EAP para permitir que o RADIUS ofereça suporte à autenticação EAP.
    80 Autenticador de mensagens Usado para autenticação e verificação de pacotes de autenticação para evitar falsificação de Access-Requests. Esse atributo está presente quando a autenticação EAP é usada.
    81 ID do grupo privado do túnel ID do grupo para uma sessão de túnel. Para atribuir VLANs, o NAS transmite VLAN IDs usando esse atributo.
    87 NAS-Port-Id Cadeia de caracteres para descrever a porta do NAS que está autenticando o usuário.
    168 Endereço IPv6 emoldurado Endereço IPv6 atribuído pelo servidor para o NAS atribuir ao host. O endereço deve ser exclusivo.

    Apêndice C Subatributos RADIUS (ID de fornecedor 25506)

    A Tabela 5 lista todos os subatributos RADIUS com ID de fornecedor 25506. O suporte a esses subatributos depende do modelo do dispositivo.

    Tabela 5 Subatributos RADIUS (ID de fornecedor 25506)

    Não. Subatributo Descrição
    1 Taxa de pico de entrada Taxa de pico na direção do usuário para o NAS, em bps.
    2 Taxa média de entrada Taxa média na direção do usuário para o NAS, em bps.
    3 Taxa básica de entrada Taxa básica na direção do usuário para o NAS, em bps.
    4 Taxa de pico de saída Taxa de pico na direção do NAS para o usuário, em bps.
    5 Taxa média de saída Taxa média na direção do NAS para o usuário, em bps.
    6 Taxa básica de saída Taxa básica na direção do NAS para o usuário, em bps.
    15 Remanent_Volume Quantidade total de dados disponíveis para a conexão, em diferentes unidades para diferentes tipos de servidor.
    17 ISP-ID Domínio do ISP em que o usuário obtém informações de autorização.
    20 Comando Operação para a sessão, usada para o controle da sessão. Os valores possíveis incluem:
    • 1-Trigger-Request.
    • 2-Terminate-Request.
    • 3-SetPolicy.
    • 4-Resultado.
    • 5-PortalClear.
    25 Código de resultado Resultado da operação Trigger-Request ou SetPolicy, zero para sucesso e qualquer outro valor para falha.
    26 Connect_ID Índice da conexão do usuário.
    27 PortalURL URL de redirecionamento do PADM atribuído a usuários PPPoE.
    28 Ftp_Directory Diretório de trabalho do usuário de FTP, SFTP ou SCP. Quando o cliente RADIUS atua como servidor FTP, SFTP ou SCP, esse atributo é usado para definir o diretório de trabalho de um usuário FTP, SFTP ou SCP no cliente RADIUS.
    29 Exec_Privilege Prioridade do usuário EXEC.
    32 Endereço IP NAT Endereço IP público atribuído ao usuário quando o endereço IP e a porta de origem são traduzidos.
    33 NAT-Start-Port Número da porta inicial do intervalo de portas atribuído ao usuário quando o endereço IP de origem e a porta são traduzidos.
    34 Porta final NAT Número da porta final do intervalo de portas atribuído ao usuário quando o endereço IP de origem e a porta são traduzidos.
    59 NAS_Startup_Timestamp Tempo de inicialização do NAS em segundos, representado pelo tempo decorrido após 00:00:00 em 1º de janeiro de 1970 (UTC).
    60 Ip_Host_Addr Endereço IP do usuário e endereço MAC incluídos nas solicitações de autenticação e contabilidade, no formato A.B.C.D hh:hh:hh:hh:hh:hh:hh. É necessário um espaço entre o endereço IP e o endereço MAC.
    61 User_Notify Informações que devem ser enviadas do servidor para o cliente de forma transparente.
    62 Usuário_HeartBeat Valor de hash atribuído depois que um usuário 802.1X passa pela autenticação, que é uma cadeia de 32 bytes. Esse atributo é armazenado na lista de usuários do NAS e verifica os pacotes de handshake do usuário 802.1X. Esse atributo só existe em Access-Accept e Pacotes Accounting-Request.
    98 Grupo_de_recepção_multicast Endereço IP do grupo multicast ao qual o host do usuário se junta como receptor. Esse subatributo pode aparecer várias vezes em um pacote multicast para indicar que o usuário pertence a vários grupos multicast.
    100 IP6_Multicast_Receive_Group Endereço IPv6 do grupo multicast ao qual o host do usuário se junta como receptor. Esse subatributo pode aparecer várias vezes em um pacote multicast para indicar que o usuário pertence a vários grupos multicast.
    101 Limite de acesso MLD Número máximo de grupos multicast MLD aos quais o usuário pode se associar simultaneamente.
    102 nome local Nome do túnel local L2TP.
    103 Limite de acesso IGMP Número máximo de grupos multicast IGMP aos quais o usuário pode se associar simultaneamente.
    104 Instância VPN Instância MPLS L3VPN à qual um usuário pertence.
    105 Perfil da ANCP Nome do perfil ANCP.
    135 Cliente-Primário-DNS Endereço IP do servidor DNS primário.
    136 Cliente-Secundário-DNS Endereço IP do servidor DNS secundário.
    140 Grupo de usuários Grupos de usuários atribuídos depois que o usuário passa pela autenticação. Normalmente, um usuário pode pertencer a apenas um grupo de usuários.
    144 Acct_IPv6_Input_Octets Bytes de pacotes IPv6 na direção de entrada. A unidade de medida depende da configuração do dispositivo.
    145 Acct_IPv6_Output_Octets Bytes de pacotes IPv6 na direção de saída. A unidade de medida depende da configuração do dispositivo.
    146 Acct_IPv6_Input_Packets Número de pacotes IPv6 na direção de entrada. A unidade de medida depende da configuração do dispositivo.
    147 Acct_IPv6_Output_Packets Número de pacotes IPv6 na direção de saída. A unidade de medida depende da configuração do dispositivo.
    148 Acct_IPv6_Input_Gigawords Bytes de pacotes IPv6 na direção de entrada. A unidade de medida é 4G bytes.
    149 Acct_IPv6_Output_Gigawords Bytes de pacotes IPv6 na direção de saída. A unidade de medida é 4G bytes.
    155 Funções de usuário Lista de funções de usuário separadas por espaço.
    210 Av-Pair Par de atributos definido pelo usuário. Os pares de atributos disponíveis incluem:
    • VLAN de voz atribuída ao servidor no formato device-traffic-class=voice.
    • Função de usuário atribuída pelo servidor no formato shell:role=xxx.
    • ACL atribuída ao servidor no formato url-redirect-acl=xxx.
    • URL de redirecionamento da Web atribuído pelo servidor no formato url-redirect=xxx.
    • Comando implantado no servidor para reinicializar uma porta, no formato subscriber:command=bounce-host-port.
    • Duração do desligamento da porta atribuída ao servidor no formato de bounce:seconds=xxx.
    • Comando implantado no servidor para desligar uma porta, no formato subscriber:command=disable-host-port.
    • Temporizador de detecção off-line de autenticação MAC atribuído ao servidor (em segundos) no formato de mac-authentication: offline-detect-time=xxx. O valor 0 de xxx indica que a detecção off-line da autenticação MAC está desativada.
    • Sinalizador de detecção off-line de autenticação MAC atribuído ao servidor no formato mac-authentication: offline-detect-check=x. x tem os seguintes valores:
      • 0 - O dispositivo não procura a entrada de snooping ARP ou a entrada de snooping ND do endereço MAC.
      • 1 - O dispositivo procura a entrada de snooping ARP ou a entrada de snooping ND do endereço MAC.
    • (Suportado somente na versão 6309P01 e posteriores).
    ACL dinâmica atribuída pelo servidor. Para obter mais informações sobre o formato desse atributo, consulte "Apêndice D Formato das ACLs de autorização dinâmica". O suporte para esse atributo na autenticação 802.1X e na autenticação MAC depende do modelo do dispositivo. Se o servidor atribuir a um usuário esse atributo e o atributo Filter-ID, o dispositivo ignorará esse atributo. atributo. O dispositivo não suporta o uso de mensagens CoA para alterar o conteúdo atribuído por esse atributo ou atribuir
    outra ACL para o usuário.
    230 Nome da porta NAS Interface por meio da qual o usuário se conecta ao NAS.
    246 Auth_Detail_Result Detalhes da contabilidade. O servidor envia pacotes Access-Accept com os subatributos 246 e 250 nas seguintes situações:
    • 1 - A cobrança do assinante está atrasada. O assinante tem permissão para acessar os recursos de rede na lista de permissões. Se o assinante acessar outros recursos de rede, o dispositivo o redirecionará para a URL especificada pelo subatributo 250.
    • 2 - O contrato de aluguel de banda larga do assinante expira. O dispositivo redireciona o assinante para a URL especificada pelo subatributo 250 quando o assinante solicita o acesso a páginas da Web pela primeira vez.
    247 Tamanho da rajada de entrada comprometida Tamanho da rajada comprometida do usuário para o NAS, em bits. O comprimento total não pode exceder 4 bytes para esse campo. Esse subatributo deve ser atribuído juntamente com o atributo Input-Average-Rate.
    248 Tamanho da rajada de saída comprometida Tamanho da rajada comprometida do NAS para o usuário, em bits. O comprimento total não pode exceder 4 bytes para esse campo. Esse subatributo deve ser atribuído juntamente com o atributo Output-Average-Rate.
    249 tipo de autenticação Tipo de autenticação. O valor pode ser:
    • 1-Autenticação de acesso à intranet.
    • 2-Autenticação de acesso à Internet.
    Se o pacote não contiver esse subatributo, será aplicada a autenticação comum.
    250 WEB-URL URL de redirecionamento para usuários.
    251 ID do assinante ID do plano familiar.
    252 Perfil do assinante Nome da política de QoS para o plano familiar do assinante.
    255 ID do produto Nome do produto.

    Apêndice D Formato das ACLs de autorização dinâmica

    O servidor pode atribuir uma ACL de autorização dinâmica que contenha várias regras a um usuário de diferentes maneiras:

  • Atribua apenas um subatributo Av-Pair ao usuário. Nesse subatributo, a ACL dinâmica contém várias regras separadas por pontos de interrogação (?).
  • Atribua vários subatributos Av-Pair ao usuário. Todos os subatributos contêm a mesma ACL dinâmica e uma regra diferente. O suporte a esse método depende do modelo do servidor.

    • O formato de uma regra de ACL dinâmica é o seguinte:

    aclrule?same?acl-name?acl-type?ver-type?rule-id?protocol=protocol-type?counting?dst-ip=ip-addr

    ?src-ip=ip-addr?dst-port=port-value?src-port=port-value?action=action-type

    Os campos da regra estão descritos na Tabela 6. A seguir, um exemplo de regra de ACL dinâmica: aclrule?same?test?1?1?1?protocol=3?counting?dst-ip=1.1.1.1/1.1.1.1?src-ip=1.1.1.1/0?dst-port=1

    .2000?src-port=5.2000-3000?action=1

    Tabela 6 Campos em uma regra de ACL dinâmica

    Campo Descrição Observações
    aclrule Indica que a parte a seguir contém informações sobre uma regra de ACL dinâmica. Necessário.
    mesmo Indica que o usuário atual herdará as regras dinâmicas de ACL que foram atribuídas com êxito a outro usuário autenticado. Se o servidor atribuir a um usuário a mesma ACL dinâmica que outro usuário, mas as regras forem diferentes para os dois usuários, o dispositivo aplicará ao outro usuário as regras da ACL dinâmica do usuário que ficar on-line primeiro. Necessário.
    nome da acl Nome da ACL, uma cadeia de caracteres sem distinção entre maiúsculas e minúsculas de 1 a 63 caracteres. O nome da ACL deve começar com uma letra e não pode ser todo ou igual a uma ACL estática existente no dispositivo. Necessário.
    tipo acl Tipo de ACL. 1 indica uma ACL avançada. Na versão atual do software, somente as ACLs avançadas são compatíveis. Necessário.
    tipo ver Tipo de protocolo IP:
    • 1-IPv4.
    • 2-IPv6.
    		 Necessário.
    ID da regra Número da regra ACL, no intervalo de 0 a 65534. Necessário.
    tipo de protocolo Tipo de protocolo:
    • 1-IP.
    • 2-ICMP.
    • 3-TCP.
    • 4-UDP.
    • 5-ICMPv6.
    • 6-IPv6.
    		 Opcional.
    contagem Indica que as estatísticas de correspondência de regras estão ativadas. Se uma regra não incluir esse campo, as estatísticas de correspondência de regras estarão desativadas para a regra. Opcional.
    ip-addr Informações de endereço IP. Por exemplo, 1.1.1.1/1.1.1.1, 1.1.1.1/0 ou 3::3/128. Se o valor for any, a regra corresponderá a qualquer endereço IP. Opcional.
    valor da porta Informações da porta TCP ou UDP, no formato X.YYY.
    • X-Operador.
      • 1 - Igual a.
      • 2 - Maior que.
      • 3-Menor que.
      • 4-Não igual a.
      • 5-Na faixa de.
    • YYY - Informações sobre o número da porta.
    Por exemplo, 1.3000 e 5.2000-3000.    		 Opcional.
    tipo de ação Tipo de ação:
    • 1-Denegar.
    • 2-Permissão.
    		 Opcional.

    As restrições a seguir se aplicam às ACLs de autorização dinâmica:

    • Para os seis primeiros campos (aclrule?same?acl-name?acl-type?ver-type?rule-id) de uma regra de ACL dinâmica, suas posições são fixas. O dispositivo não poderá interpretar uma regra de ACL dinâmica se as posições dos seis campos forem alteradas. Para os outros campos, são permitidas alterações de posição.
    • As configurações de todos os campos nas regras devem atender à lógica de configuração das regras ACL no dispositivo para que o dispositivo possa interpretá-las corretamente.
    • Todas as regras de ACL dinâmicas em uma autorização devem pertencer ao mesmo nome de ACL.
    • Uma ACL dinâmica deve ter regras e o formato das regras deve ser válido.

    Visão geral do 802.1X

    Sobre o protocolo 802.1X

    O 802.1X é um protocolo de controle de acesso à rede baseado em portas, amplamente utilizado em redes Ethernet. O protocolo controla o acesso à rede autenticando os dispositivos conectados às portas LAN habilitadas para 802.1X.

    Arquitetura 802.1X

    802.1X opera no modelo cliente/servidor. Conforme mostrado na Figura 1, a autenticação 802.1X inclui as seguintes entidades:

    • Cliente (suplicante) - Um terminal de usuário que busca acesso à LAN. O terminal deve ter o software 802.1X para se autenticar no dispositivo de acesso.
    • Dispositivo de acesso (autenticador) - Autentica o cliente para controlar o acesso à LAN. Em um ambiente 802.1X típico, o dispositivo de acesso usa um servidor de autenticação para realizar a autenticação.
    • Servidor de autenticação - Fornece serviços de autenticação para o dispositivo de acesso. O servidor de autenticação primeiro autentica os clientes 802.1X usando os dados enviados pelo dispositivo de acesso. Em seguida, o servidor retorna os resultados da autenticação ao dispositivo de acesso para tomar decisões de acesso. Normalmente, o servidor de autenticação é um servidor RADIUS. Em uma LAN pequena, é possível usar o dispositivo de acesso como servidor de autenticação.

    Figura 1 Arquitetura 802.1X

    Porta controlada/não controlada e status de autorização da porta

    802.1X define duas portas lógicas para a porta de acesso à rede: porta controlada e porta não controlada. Qualquer pacote que chegue à porta de acesso à rede é visível para ambas as portas lógicas.

    • Porta não controlada - Está sempre aberta para receber e transmitir pacotes de autenticação.
    • Porta controlada - filtra os pacotes dependendo do estado da porta.
      • Estado autorizado - A porta controlada está no estado autorizado quando o cliente passa pela autenticação. A porta permite a passagem do tráfego.
      • Estado não autorizado - A porta está em estado não autorizado quando o cliente falha na autenticação. A porta controla o tráfego usando um dos seguintes métodos:

    - Executa o controle de tráfego bidirecional para negar o tráfego de e para o cliente.

    - Executa o controle de tráfego unidirecional para negar o tráfego do cliente. O dispositivo suporta apenas o controle de tráfego unidirecional.

    Figura 2 Estado de autorização de uma porta controlada

    Métodos de troca de pacotes

    O 802.1X usa o Extensible Authentication Protocol (EAP) para transportar informações de autenticação para o cliente, o dispositivo de acesso e o servidor de autenticação. O EAP é uma estrutura de autenticação que usa o modelo cliente/servidor. A estrutura oferece suporte a vários métodos de autenticação, incluindo MD5-Challenge, EAP-Transport Layer Security (EAP-TLS) e EAP protegido (PEAP).

    O 802.1X define o EAP over LAN (EAPOL) para transmitir pacotes EAP entre o cliente e o dispositivo de acesso em uma LAN com ou sem fio. Entre o dispositivo de acesso e o servidor de autenticação, o 802.1X fornece informações de autenticação por meio de retransmissão EAP ou terminação EAP.

    Retransmissão EAP

    A retransmissão EAP é definida no IEEE 802.1X. Nesse modo, o dispositivo de rede usa pacotes EAP over RADIUS (EAPOR) para enviar informações de autenticação ao servidor RADIUS, conforme mostrado na Figura 3.

    Figura 3 Retransmissão EAP

    No modo de retransmissão EAP, o cliente deve usar o mesmo método de autenticação que o servidor RADIUS. No dispositivo de acesso, você só precisa usar o comando dot1x authentication-method eap para ativar a retransmissão EAP.

    Encerramento do EAP

    Conforme mostrado na Figura 4, o dispositivo de acesso executa as seguintes operações no modo de terminação EAP:

    • Termina os pacotes EAP recebidos do cliente.
    • Encapsula as informações de autenticação do cliente em pacotes RADIUS padrão.
    • Usa PAP ou CHAP para autenticação no servidor RADIUS.

    Figura 4 Encerramento do EAP

    Comparação entre retransmissão e terminação de EAP

    Método de troca de pacotes Benefícios Limitações
    Retransmissão EAP
    • Oferece suporte a vários métodos de autenticação EAP.
    • A configuração e o processamento são simples no dispositivo de acesso.
    		 O servidor RADIUS deve ser compatível com o EAP-Message e o Atributos Message-Authenticator e o método de autenticação EAP usado pelo cliente.
    Encerramento do EAP Funciona com qualquer servidor RADIUS que ofereça suporte à autenticação PAP ou CHAP.
    • Suporta apenas os seguintes métodos de autenticação EAP:
      • Autenticação EAP MD5-Challenge.
      • A autenticação EAP de nome de usuário e senha iniciada por um cliente iNode 802.1X.
    • O processamento é complexo no dispositivo de acesso.

    Formatos de pacotes

    Formato do pacote EAP

    A Figura 5 mostra o formato do pacote EAP.

    Figura 5 Formato do pacote EAP

  • Código - Tipo do pacote EAP. As opções incluem Solicitação (1), Resposta (2), Sucesso (3) ou Falha (4).
  • Identificador - Usado para fazer a correspondência entre respostas e solicitações.
  • Comprimento - Comprimento(em bytes) do pacote EAP. O comprimento do pacote EAP é a soma dos campos Code (Código), Identifier (Identificador), Length (Comprimento) e Data (Dados).
  • Dados - Conteúdodo pacote EAP. Esse campo aparece somente em um pacote EAP de solicitação ou resposta. O campo Data contém o tipo de solicitação (ou o tipo de resposta) e os dados do tipo. O tipo 1 (Identidade) e o tipo 4 (MD5-Challenge) são dois exemplos do campo type.

    • Formato do pacote EAPOL

    A Figura 6 mostra o formato do pacote EAPOL.

    Figura 6 Formato do pacote EAPOL

  • PAE Tipo de Ethernet - Tipo de protocolo. Assume o valor 0x888E para EAPOL.
  • Versão do protocolo - A versão do protocolo EAPOL usada pelo remetente do pacote EAPOL.
  • Type - Tipo do pacote EAPOL. A Tabela 1 lista os tipos de pacotes EAPOL compatíveis com a implementação 802.1X do dispositivo.

    • Tabela 1 Tipos de pacotes EAPOL

    Valor Tipo Descrição
    0x00 Pacote EAP O cliente e o dispositivo de acesso usam pacotes EAP para transportar informações de autenticação.
    0x01 EAPOL-Start O cliente envia uma mensagem EAPOL-Start para iniciar a autenticação 802.1X no dispositivo de acesso.
    0x02 EAPOL-Logoff O cliente envia uma mensagem EAPOL-Logoff para informar ao dispositivo de acesso que o cliente está se desconectando.
    • Length - Comprimento dos dados em bytes ou comprimento do corpo do pacote. Se o tipo de pacote for EAPOL-Start ou EAPOL-Logoff, esse campo será definido como 0 e nenhum campo de corpo de pacote será seguido.
    • Packet body (Corpo do pacote) - Conteúdo do pacote. Quando o tipo de pacote EAPOL é EAP-Packet, o campo Packet body (Corpo do pacote) contém um pacote EAP.

    EAP sobre RADIUS

    O RADIUS adiciona dois atributos, EAP-Message e Message-Authenticator, para dar suporte à autenticação EAP. Para conhecer o formato do pacote RADIUS, consulte "Configuração de AAA".

    • Mensagem EAP.

    O RADIUS encapsula os pacotes EAP no atributo EAP-Message, conforme mostrado na Figura 7. O campo Type tem 79 bytes e o campo Value pode ter até 253 bytes. Se um pacote EAP for maior que 253 bytes, o RADIUS o encapsula em vários atributos EAP-Message.

    Figura 7 Formato do atributo EAP-Message

  • Autenticador de mensagens.

    • Conforme mostrado na Figura 8, o RADIUS inclui o atributo Message-Authenticator em todos os pacotes que têm um atributo EAP-Message para verificar sua integridade. O receptor do pacote descarta o pacote se a soma de verificação da integridade do pacote calculada for diferente do valor do atributo Message-Authenticator. O Message-Authenticator impede que os pacotes de autenticação EAP sejam adulterados durante a autenticação EAP.

    Figura 8 Formato do atributo Message-Authenticator

    Procedimentos de autenticação 802.1X

    A autenticação 802.1X tem dois métodos: Retransmissão EAP e terminação EAP. Você escolhe um dos modos dependendo do suporte do servidor RADIUS para pacotes EAP e métodos de autenticação EAP.

    Retransmissão EAP

    A Figura 9 mostra o procedimento básico de autenticação 802.1X no modo de retransmissão EAP, supondo que a autenticação EAP MD5-Challenge seja usada.

    Figura 9 Procedimento de autenticação 802.1X no modo de retransmissão EAP

    As etapas a seguir descrevem o procedimento de autenticação 802.1X:

    • Quando um usuário inicia o cliente 802.1X e digita um nome de usuário e uma senha registrados, o cliente 802.1X envia um pacote EAPOL-Start para o dispositivo de acesso.
    • O dispositivo de acesso responde com um pacote EAP-Request/Identity para solicitar o nome de usuário do cliente .
    • Em resposta ao pacote EAP-Request/Identity, o cliente envia o nome de usuário em um pacote EAP-Response/Identity para o dispositivo de acesso.
    • O dispositivo de acesso retransmite o pacote EAP-Response/Identity em um pacote RADIUS Access-Request para o servidor de autenticação.
    • O servidor de autenticação usa as informações de identidade no RADIUS Access-Request para pesquisar seu banco de dados de usuários. Se for encontrada uma entrada correspondente, o servidor usará um desafio gerado aleatoriamente (EAP-Request/MD5-Challenge) para criptografar a senha na entrada. Em seguida, o servidor envia o desafio em um pacote RADIUS Access-Challenge para o dispositivo de acesso.
    • O dispositivo de acesso transmite o pacote EAP-Request/MD5-Challenge para o cliente.
    • O cliente usa o desafio recebido para criptografar a senha e envia a senha criptografada em um pacote EAP-Response/MD5-Challenge para o dispositivo de acesso.
    • O dispositivo de acesso retransmite o pacote EAP-Response/MD5-Challenge em um pacote RADIUS Access-Request para o servidor de autenticação.
    • O servidor de autenticação compara a senha criptografada recebida com a senha criptografada gerada na etapa 5. Se as duas senhas forem idênticas, o servidor considerará o cliente válido e enviará um pacote RADIUS Access-Accept ao dispositivo de acesso.
    • Ao receber o pacote RADIUS Access-Accept, o dispositivo de acesso executa as seguintes operações :
      • Envia um pacote EAP-Success para o cliente.
      • Define a porta controlada no estado autorizado.

        • O cliente pode acessar a rede.

    • Depois que o cliente fica on-line, o dispositivo de acesso envia periodicamente solicitações de handshake para verificar se o cliente ainda está on-line. Por padrão, se duas tentativas consecutivas de handshake falharem, o dispositivo faz o logoff do cliente.
    • Ao receber uma solicitação de handshake, o cliente retorna uma resposta. Se o cliente não retornar uma resposta após um número de tentativas consecutivas de handshake (duas por padrão), o dispositivo de acesso fará o logoff do cliente. Esse mecanismo de handshake permite a liberação oportuna dos recursos de rede usados pelos usuários do 802.1X que ficaram off-line de forma anormal.
    • O cliente também pode enviar um pacote EAPOL-Logoff para solicitar um logoff ao dispositivo de acesso.
    • Em resposta ao pacote EAPOL-Logoff, o dispositivo de acesso altera o status da porta controlada de autorizada para não autorizada. Em seguida, o dispositivo de acesso envia um pacote EAP-Failure para o cliente.

    Encerramento do EAP

    A Figura 10 mostra o procedimento básico de autenticação 802.1X no modo de terminação EAP, supondo que a autenticação CHAP seja usada.

    Figura 10 Procedimento de autenticação 802.1X no modo de terminação EAP

    No modo de terminação EAP, o dispositivo de acesso, e não o servidor de autenticação, gera um desafio MD5 para criptografia de senha. Em seguida, o dispositivo de acesso envia o desafio MD5 juntamente com o nome de usuário e a senha criptografada em um pacote RADIUS padrão para o servidor RADIUS.

    Início da autenticação 802.1X

    Tanto o cliente 802.1X quanto o dispositivo de acesso podem iniciar a autenticação 802.1X.

    801.2X cliente como iniciador

    O cliente envia um pacote EAPOL-Start para o dispositivo de acesso para iniciar a autenticação 802.1X. O endereço MAC de destino do pacote é o endereço multicast especificado pelo IEEE 802.1X 01-80-C2-00-00-03 ou o endereço MAC de difusão. Se qualquer dispositivo intermediário entre o cliente e o servidor de autenticação não for compatível com o endereço multicast, você deverá usar um cliente 802.1X que possa enviar pacotes EAPOL-Start de difusão. Por exemplo, você pode usar o cliente iNode 802.1X.

    Dispositivo de acesso como iniciador

    Se o cliente não puder enviar pacotes EAPOL-Start, configure o dispositivo de acesso para iniciar a autenticação. Um exemplo é o cliente 802.1X disponível no Windows XP.

    O dispositivo de acesso é compatível com os seguintes modos:

    • Modo de acionamento de multicast - O dispositivo de acesso envia pacotes EAP-Request/Identity por multicast para iniciar a autenticação 802.1X no intervalo de solicitação de identidade.
    • Modo de disparo unicast - Ao receber um quadro de um endereço MAC desconhecido, o dispositivo de acesso envia um pacote EAP-Request/Identity da porta de recepção para o endereço MAC. O dispositivo retransmite o pacote se nenhuma resposta for recebida dentro do intervalo de tempo limite da solicitação de identidade. Esse processo continua até que seja atingido o número máximo de tentativas de solicitação definido com o uso do comando dot1x retry.

    O temporizador de tempo limite de solicitação de nome de usuário define o intervalo de solicitação de identidade para o acionador multicast e o intervalo de tempo limite de solicitação de identidade para o acionador unicast.

    Métodos de controle de acesso

    A Intelbras implementa o controle de acesso baseado em portas, conforme definido no protocolo 802.1X, e amplia o protocolo para oferecer suporte ao controle de acesso baseado em MAC.

    • Controle de acesso baseado em porta - Quando um usuário 802.1X passa pela autenticação em uma porta, qualquer usuário subsequente pode acessar a rede pela porta sem autenticação. Quando o usuário autenticado faz logoff, todos os outros usuários são desconectados.
    • Controle de acesso baseado em MAC - Cada usuário é autenticado separadamente em uma porta. Quando um usuário faz logoff, nenhum outro usuário on-line é afetado.

    801.2X Manipulação de VLAN

    VLAN de autorização

    A VLAN de autorização controla o acesso de um usuário 802.1X a recursos de rede autorizados. O dispositivo é compatível com VLANs de autorização atribuídas localmente ou por um servidor remoto.

    IMPORTANTE:

    Somente servidores remotos podem atribuir VLANs de autorização marcadas.

    Autorização de VLAN remota

    Na autorização de VLAN remota, é necessário configurar uma VLAN de autorização para um usuário no servidor remoto. Depois que o usuário se autentica no servidor, o servidor atribui informações de VLAN de autorização ao dispositivo. Em seguida, o dispositivo atribui a porta de acesso do usuário à VLAN de autorização como um membro marcado ou não marcado.

    O dispositivo suporta a atribuição das seguintes informações de VLAN de autorização pelo servidor remoto:

    • VLAN ID.
    • Nome da VLAN, que deve ser o mesmo que a descrição da VLAN no dispositivo de acesso.
    • Uma cadeia de VLAN IDs e nomes de VLAN.

    Na cadeia de caracteres, algumas VLANs são representadas por seus IDs e algumas VLANs são representadas por seus nomes.

    • Nome do grupo de VLAN.

    Para obter mais informações sobre grupos de VLAN, consulte o Layer 2-LAN Switching Configuration Guide.

    • VLAN ID com um sufixo de t ou u.

    Os sufixos t e u exigem que o dispositivo atribua a porta de acesso à VLAN como um membro marcado ou não marcado, respectivamente. Por exemplo, 2u indica a atribuição da porta à VLAN 2 como um membro sem marcação.

    Se um nome de VLAN ou um nome de grupo de VLAN for atribuído, o dispositivo converterá as informações em uma VLAN ID antes da atribuição da VLAN.

    IMPORTANTE:

    Para que uma VLAN representada por seu nome de VLAN seja atribuída com êxito, você deve se certificar de que a VLAN foi criada no dispositivo.

    Para atribuir VLAN IDs com sufixos, certifique-se de que a porta de acesso do usuário seja uma porta híbrida ou tronco que execute o controle de acesso baseado em porta.

    Para garantir uma atribuição bem-sucedida, as VLANs de autorização atribuídas pelo servidor remoto não podem ser de nenhum dos tipos a seguir:

    • VLANs aprendidas dinamicamente.
    • VLANs reservadas.
    • VLANs privadas.

    Se o servidor atribuir um grupo de VLANs, o dispositivo de acesso selecionará uma VLAN conforme descrito na Tabela 2.

    Tabela 2 Seleção de VLAN de autorização em um grupo de VLANs

    Informações sobre VLAN Seleção de VLAN de autorização

    IDs de VLAN

    Nomes de VLAN

    Nome do grupo de VLAN

    IDs de VLAN e nomes de VLAN

    		 Se a porta habilitada para 802.1X executar o controle de acesso baseado em MAC, o dispositivo selecionará uma VLAN de autorização do grupo de VLANs para um usuário de acordo com as regras a seguir:
    • Em uma porta híbrida com a VLAN baseada em MAC ativada:
      • Se a porta não tiver usuários on-line, o dispositivo selecionará a VLAN com a ID mais baixa.
      • Se a porta tiver usuários on-line, o dispositivo selecionará a VLAN que tiver o menor número de usuários on-line. Se duas VLANs tiverem o mesmo número de usuários usuários 802.1X on-line, o dispositivo seleciona a VLAN com a ID mais baixa.
    • Em uma porta híbrida de acesso, tronco ou VLAN baseada em MAC desativada:
      • Se a porta não tiver usuários on-line, o dispositivo selecionará a VLAN com a ID mais baixa.
      • Se a porta tiver usuários on-line, o dispositivo examinará o grupo de VLANs em busca da VLAN dos usuários on-line. Se a VLAN for encontrada, a VLAN será atribuída ao usuário como a VLAN de autorização. Se a VLAN não for encontrada, a autorização da VLAN falhará.
    Se a porta habilitada para 802.1X executar o controle de acesso baseado em porta, o dispositivo selecionará a VLAN com o ID mais baixo do grupo de VLANs. Todos os usuários 802.1X subsequentes são atribuídos a essa VLAN.
    VLAN IDs com sufixos
    • O dispositivo seleciona a VLAN ID mais à esquerda sem um sufixo ou a VLAN ID mais à esquerda com sufixo u como uma VLAN sem marcação, o que for mais à esquerda.
    • O dispositivo atribui a VLAN untagged à porta como PVID e atribui as demais como VLANs tagged. Se nenhuma VLAN untagged for atribuída, o PVID da porta não será alterado. A porta permite a passagem do tráfego dessas VLANs marcadas e não marcadas.
    Por exemplo, o servidor de autenticação envia a string 1u 2t 3 para o dispositivo de acesso de um usuário. O dispositivo atribui a VLAN 1 como uma VLAN não marcada e todas as VLANs restantes (inclusive a VLAN 3) como VLANs marcadas. A VLAN 1 se torna o PVID.

    Na versão 6318P01 e posteriores, o dispositivo inclui o atributo User-VLAN-ID nas solicitações de contabilidade RADIUS para informar o servidor RADIUS sobre a VLAN de autorização atribuída aos usuários 802.1X. O servidor RADIUS pode então incluir informações sobre a VLAN de autorização do usuário em seus registros sobre usuários 802.1X.

    • Se o servidor RADIUS atribuir uma VLAN ID ou um nome de VLAN como a VLAN de autorização para um usuário, o dispositivo incluirá a VLAN de autorização atribuída pelo servidor no atributo User-VLAN-ID.
    • Se o servidor RADIUS atribuir um grupo de VLANs nas informações da VLAN de autorização a um usuário, o dispositivo incluirá uma VLAN no atributo User-VLAN-ID, conforme descrito na Tabela 3.

    Tabela 3 Inclusão de uma VLAN no atributo User-VLAN-ID dos pacotes de contabilidade RADIUS

    Informações sobre VLAN VLAN no atributo User-VLAN-ID

    IDs de VLAN

    Nomes de VLAN Nome do grupo de VLAN

    IDs de VLAN e nomes de VLAN
    • Se o dispositivo tiver selecionado uma VLAN de autorização ao iniciar a contabilização para o usuário, ele incluirá a VLAN selecionada no atributo User-VLAN-ID. A VLAN será incluída em pacotes de solicitação de início de contabilização, contabilização em tempo real e parada de contabilização.
    • Se o dispositivo não tiver selecionado uma VLAN de autorização ao iniciar a contabilização para o usuário, ele incluirá a VLAN inicial do usuário no atributo User-VLAN-ID nos pacotes de solicitação de contabilização inicial. Ao enviar pacotes de contabilidade em tempo real ou pacotes de solicitação de stop-accounting, o dispositivo inclui a VLAN de autorização atribuída no atributo User-VLAN-ID.
    VLAN IDs com sufixos

    O dispositivo inclui a VLAN de autorização sem marcação no atributo User-VLAN-ID nos pacotes de solicitação de contabilidade RADIUS.

    Se não houver nenhuma VLAN de autorização untagged disponível, o dispositivo incluirá a VLAN inicial do usuário no atributo User-VLAN-ID nos pacotes de solicitação de contabilidade RADIUS.

    Autorização de VLAN local

    Para executar a autorização de VLAN local para um usuário, especifique a VLAN ID na lista de atributos de autorização da conta de usuário local para esse usuário. Para cada usuário local, é possível especificar apenas um ID de VLAN de autorização. A porta de acesso do usuário é atribuída à VLAN como um membro não marcado.

    IMPORTANTE:

    A autorização de VLAN local não é compatível com a atribuição de VLANs marcadas.

    Para obter mais informações sobre a configuração do usuário local, consulte "Configuração de AAA".

    Manipulação de VLAN de autorização em uma porta habilitada para 802.1X

    A Tabela 4 descreve como o dispositivo de acesso lida com as VLANs (exceto as VLANs especificadas com sufixos) em uma porta habilitada para 802.1X.

    Tabela 4 Manipulação de VLAN

    Método de controle de acesso à porta Manipulação de VLAN
    Baseado em portas

    O dispositivo atribui a porta à VLAN de autorização do primeiro usuário autenticado. Todos os usuários 802.1X subsequentes podem acessar a VLAN sem autenticação.

    Se a VLAN de autorização tiver o atributo untagged, o dispositivo atribuirá a porta à VLAN de autorização como um membro untagged e definirá a VLAN como o PVID.

    Se a VLAN de autorização tiver o atributo marcado, o dispositivo atribuirá a porta à VLAN como um membro marcado sem alterar o PVID.

    OBSERVAÇÃO:

    O atributo tagged é compatível apenas com portas tronco e híbridas.
    Baseado em MAC

    Em uma porta híbrida com a VLAN baseada em MAC ativada, o dispositivo mapeia o endereço MAC de cada usuário para sua própria VLAN de autorização. O PVID da porta não é alterado.

    Em uma porta híbrida de acesso, tronco ou VLAN baseada em MAC desativada:

    • O dispositivo atribui a porta à porta do primeiro usuário autenticado com autorização de VLAN e define a VLAN como o PVID se essa VLAN de autorização tiver o atributo untagged.
    • Se a VLAN de autorização tiver o atributo marcado, o dispositivo atribuirá a porta à VLAN de autorização sem alterar seu PVID.

    IMPORTANTE:

    • Se os usuários estiverem conectados a uma porta cujo tipo de link seja de acesso, certifique-se de que a VLAN de autorização atribuída pelo servidor tenha o atributo untagged. A atribuição de VLAN falhará se o servidor emitir uma VLAN que tenha o atributo tagged.
    • Ao atribuir VLANs a usuários conectados a uma porta trunk ou a uma porta híbrida desativada por VLAN baseada em MAC, certifique-se de que haja apenas uma VLAN sem marcação. Se uma VLAN untagged diferente for atribuída a um usuário subsequente, o usuário não poderá passar na autenticação.
    • Como prática recomendada para aumentar a segurança da rede, não use o comando port hybrid vlan para atribuir uma porta híbrida a uma VLAN de autorização como um membro marcado.

    A VLAN atribuída pelo servidor a um usuário como uma VLAN de autorização pode ter sido configurada na porta de acesso do usuário, mas com um modo de marcação diferente. Por exemplo, o servidor atribui uma VLAN de autorização com o atributo tagged, mas a mesma VLAN configurada na porta tem o atributo untagged. Nessa situação, as configurações de VLAN que entram em vigor para o usuário dependem do tipo de link da porta.

    • Se o tipo de link da porta for acesso ou tronco, as configurações de VLAN de autorização atribuídas pelo servidor sempre terão efeito sobre o usuário enquanto ele estiver on-line. Depois que o usuário fica off-line, as configurações de VLAN na porta entram em vigor.
    • Se o tipo de link da porta for híbrido, as configurações de VLAN definidas na porta terão efeito. Por exemplo, o servidor atribui a VLAN 30 com o atributo untagged a um usuário na porta híbrida. No entanto, a VLAN 30 foi configurada na porta com o atributo tagged usando o comando port hybrid vlan tagged. Finalmente, a VLAN tem o atributo marcado na porta.

    Para que um usuário autenticado pelo 802.1X acesse a rede em uma porta híbrida quando nenhuma VLAN de autorização estiver configurada para o usuário, execute uma das seguintes tarefas:

    • Se a porta receber pacotes de autenticação com tags do usuário em uma VLAN, use o comando port hybrid vlan para configurar a porta como um membro com tags na VLAN.
    • Se a porta receber pacotes de autenticação untagged do usuário em uma VLAN, use o comando port hybrid vlan para configurar a porta como um membro untagged na VLAN.

    Em uma porta com a reautenticação periódica de usuário on-line ativada, o recurso de VLAN baseada em MAC não entra em vigor para um usuário que esteja on-line desde antes da ativação desse recurso. O dispositivo de acesso cria um mapeamento de MAC para VLAN para o usuário quando os seguintes requisitos são atendidos:

    • O usuário é aprovado na reautenticação.
    • A VLAN de autorização do usuário é alterada.

    Para obter mais informações sobre a configuração de VLAN e VLANs baseadas em MAC, consulte o Layer 2-LAN Switching Configuration Guide.

    VLAN de convidado

    A VLAN de convidado 802.1X em uma porta acomoda usuários que não realizaram a autenticação 802.1X. Os usuários da VLAN guest podem acessar um conjunto limitado de recursos de rede, como um servidor de software, para fazer download de software antivírus e patches do sistema. Quando um usuário na VLAN de convidado passa pela autenticação 802.1X, ele é removido da VLAN de convidado e pode acessar recursos de rede autorizados.

    O dispositivo de acesso lida com VLANs em uma porta habilitada para 802.1X com base em seu método de controle de acesso 802.1X.

    Controle de acesso baseado em portas

    Status de autenticação Manipulação de VLAN
    Um usuário acessa a porta habilitada para 802.1X quando a porta está no estado automático. O dispositivo atribui a porta à VLAN de convidado 802.1X. Todos os usuários 802.1X nessa porta podem acessar apenas os recursos da VLAN de convidados. A atribuição da VLAN de convidado varia de acordo com o modo de link de porta. Para obter mais informações, consulte a Tabela 4 em "VLAN de autorização".
    Um usuário na VLAN de convidado 802.1X falha na autenticação 802.1X. Se uma VLAN 802.1X Auth-Fail estiver disponível, o dispositivo atribuirá a porta à VLAN Auth-Fail. Todos os usuários dessa porta podem acessar apenas os recursos da VLAN Auth-Fail. Se nenhuma VLAN Auth-Fail estiver configurada, a porta ainda estará na VLAN de convidado 802.1X. Todos os usuários da porta estão na VLAN de convidado. Para obter informações sobre a VLAN 802.1X Auth-Fail, consulte "VLAN Auth-Fail".
    Um usuário na VLAN de convidado 802.1X passa pela autenticação 802.1X. O dispositivo remove a porta da VLAN de convidado 802.1X e atribui a porta à VLAN de autorização do usuário. Se o servidor de autenticação não atribuir uma VLAN de autorização, aplica-se o PVID inicial da porta. O usuário e todos os usuários 802.1X subsequentes são atribuídos à VLAN inicial da porta. Depois que o usuário faz logoff, a porta é atribuída novamente à VLAN de convidado. OBSERVAÇÃO: O PVID inicial de uma porta habilitada para 802.1X refere-se ao PVID usado pela porta antes de ela ser atribuída a qualquer VLAN 802.1X.

    IMPORTANTE:

    Quando a porta recebe um pacote com uma tag de VLAN, o pacote será encaminhado dentro da VLAN marcada se a VLAN não for a VLAN de convidado.

    Controle de acesso baseado em MAC

    Status de autenticação Manipulação de VLAN
    Um usuário acessa a porta habilitada para 802.1X e não realizou a autenticação 802.1X. O dispositivo cria um mapeamento entre o endereço MAC do usuário e a VLAN de convidado 802.1X. O usuário pode acessar apenas os recursos da VLAN de convidado.
    Um usuário na VLAN de convidado 802.1X falha na autenticação 802.1X. Se uma VLAN 802.1X Auth-Fail estiver disponível, o dispositivo remapeará o endereço MAC do usuário para a VLAN Auth-Fail. O usuário pode acessar apenas os recursos da VLAN Auth-Fail. Se nenhuma VLAN 802.1X Auth-Fail estiver configurada, o usuário será removido da VLAN guest e adicionado ao PVID inicial.
    Um usuário na VLAN de convidado 802.1X passa pela autenticação 802.1X. O dispositivo remapeia o endereço MAC do usuário para a VLAN de autorização. Se o servidor de autenticação não atribuir uma VLAN de autorização, o dispositivo remapeia o endereço MAC do usuário para o PVID inicial na porta.

    Auth-Fail VLAN

    A VLAN 802.1X Auth-Fail em uma porta acomoda os usuários que falharam na autenticação 802.1X por não estarem em conformidade com a estratégia de segurança da organização. Por exemplo, a VLAN acomoda usuários que digitaram uma senha incorreta. Os usuários da VLAN Auth-Fail podem acessar um conjunto limitado de recursos de rede, como um servidor de software, para fazer download de software antivírus e patches de sistema.

    O dispositivo de acesso lida com VLANs em uma porta habilitada para 802.1X com base em seu método de controle de acesso 802.1X.

    Controle de acesso baseado em portas

    Status de autenticação Manipulação de VLAN
    Um usuário acessa a porta e falha na autenticação 802.1X. O dispositivo atribui a porta à VLAN Auth-Fail. Todos os usuários 802.1X nessa porta podem acessar apenas os recursos da VLAN Auth-Fail. A atribuição da VLAN Auth-Fail varia de acordo com o modo de link da porta. Para obter mais informações, consulte a Tabela 4 em "VLAN de autorização".
    Um usuário na rede 802.1X Auth-Fail A VLAN falha na autenticação 802.1X. A porta ainda está na VLAN Auth-Fail, e todos os usuários 802.1X dessa porta estão nessa VLAN.
    Um usuário na VLAN 802.1X Auth-Fail passa na autenticação 802.1X. O dispositivo atribui a porta à VLAN de autorização do usuário e remove a porta da VLAN Auth-Fail. Se o servidor de autenticação não atribuir uma VLAN de autorização, será aplicado o PVID inicial da porta. O usuário e todos os usuários 802.1X subsequentes são atribuídos ao PVID inicial. Depois que o usuário faz logoff, a porta é atribuída à VLAN de convidado. Se nenhuma VLAN de convidado estiver configurada, a porta será atribuída ao PVID inicial da porta.

    Controle de acesso baseado em MAC

    Status de autenticação Manipulação de VLAN
    Um usuário acessa a porta e falha na autenticação 802.1X. O dispositivo mapeia o endereço MAC do usuário para a VLAN 802.1X Auth-Fail. O usuário pode acessar apenas os recursos da VLAN Auth-Fail.
    Um usuário na rede 802.1X Auth-Fail A VLAN falha na autenticação 802.1X. O usuário ainda está na VLAN Auth-Fail.
    Um usuário na VLAN 802.1X Auth-Fail passa na autenticação 802.1X. O dispositivo remapeia o endereço MAC do usuário para a VLAN de autorização. Se o servidor de autenticação não atribuir uma VLAN de autorização, o dispositivo remapeia o endereço MAC do usuário para o PVID inicial na porta.

    VLAN crítica

    A VLAN crítica 802.1X em uma porta acomoda usuários 802.1X que falharam na autenticação porque nenhum dos servidores RADIUS em seu domínio ISP está acessível. Os usuários da VLAN crítica podem acessar um conjunto limitado de recursos de rede, dependendo da configuração.

    O recurso de VLAN crítica entra em vigor quando a autenticação 802.1X é realizada somente por meio de servidores RADIUS. Se um usuário 802.1X falhar na autenticação local após a autenticação RADIUS, o usuário não será atribuído à VLAN crítica. Para obter mais informações sobre os métodos de autenticação, consulte "Configuração de AAA".

    O dispositivo de acesso lida com VLANs em uma porta habilitada para 802.1X com base em seu método de controle de acesso 802.1X.

    Controle de acesso baseado em portas

    Status de autenticação Manipulação de VLAN
    Um usuário acessa a porta e falha na autenticação 802.1X porque todos os servidores RADIUS estão inacessíveis. O dispositivo atribui a porta à VLAN crítica. O usuário 802.1X e todos os usuários 802.1X subsequentes nessa porta podem acessar apenas os recursos da VLAN crítica 802.1X. A atribuição da VLAN crítica varia de acordo com o modo de link da porta. Para obter mais informações, consulte a Tabela 4 em "VLAN de autorização".
    Um usuário na VLAN crítica 802.1X falha na autenticação porque todos os servidores RADIUS estão inacessíveis. A porta ainda está na VLAN crítica.
    Um usuário na VLAN crítica 802.1X falha na autenticação por qualquer motivo que não seja servidores inacessíveis. Se uma VLAN 802.1X Auth-Fail tiver sido configurada, a porta será atribuída à VLAN Auth-Fail. Se nenhuma VLAN 802.1X Auth-Fail estiver configurada, a porta será atribuída ao PVID inicial da porta.
    Um usuário na VLAN crítica 802.1X passa na autenticação 802.1X. O dispositivo atribui a porta à VLAN de autorização do usuário e remove a porta da VLAN crítica 802.1X. Se o servidor de autenticação não atribuir uma VLAN de autorização, aplica-se o PVID inicial da porta. O usuário e todos os usuários 802.1X subsequentes são atribuídos a essa VLAN da porta. Depois que o usuário faz logoff, a porta é atribuída à VLAN de convidado. Se nenhuma VLAN de convidado 802.1X estiver configurada, o PVID inicial da porta será restaurado.
    Um usuário na VLAN de convidado 802.1X falha na autenticação porque todos os servidores RADIUS estão inacessíveis. O dispositivo atribui a porta à VLAN crítica 802.1X, e todos os usuários 802.1X dessa porta estão nessa VLAN.
    Um usuário na VLAN 802.1X Auth-Fail falha na autenticação porque todos os servidores RADIUS estão inacessíveis. A porta ainda está na VLAN 802.1X Auth-Fail. Todos os usuários do 802.1X nessa porta podem acessar apenas os recursos da VLAN 802.1X Auth-Fail.
    Um usuário que passou na autenticação falha na reautenticação porque todos os servidores RADIUS estão inacessíveis, e o usuário é desconectado do dispositivo. O dispositivo atribui a porta à VLAN crítica 802.1X.

    Se a porta for adicionada à VLAN crítica porque não há servidores RADIUS acessíveis, o dispositivo executará as seguintes operações depois de detectar um servidor RADIUS acessível:

    • Remove a porta da VLAN crítica.
    • Envia uma mensagem multicast EAP-Request/Identity da porta para acionar a autenticação.

    Controle de acesso baseado em MAC

    Status de autenticação Manipulação de VLAN
    Um usuário acessa a porta e falha na autenticação 802.1X porque todos os servidores RADIUS estão inacessíveis. O dispositivo mapeia o endereço MAC do usuário para a VLAN crítica 802.1X. O usuário pode acessar apenas os recursos da VLAN crítica 802.1X.
    Um usuário na VLAN crítica 802.1X falha na autenticação porque todos os servidores RADIUS estão inacessíveis. O usuário ainda está na VLAN crítica.
    Um usuário na VLAN crítica 802.1X falha na autenticação 802.1X por qualquer motivo que não seja servidores inacessíveis. Se uma VLAN 802.1X Auth-Fail tiver sido configurada, o dispositivo remapeará o endereço MAC do usuário para a ID da VLAN Auth-Fail. Se nenhuma VLAN 802.1X Auth-Fail tiver sido configurada, o dispositivo remapeia o endereço MAC do usuário para o PVID inicial.
    Um usuário na VLAN crítica 802.1X passa na autenticação 802.1X. O dispositivo remapeia o endereço MAC do usuário para a VLAN de autorização. Se o servidor de autenticação não atribuir uma VLAN de autorização ao usuário, o dispositivo remapeia o endereço MAC do usuário para o PVID inicial na porta.
    Um usuário na VLAN de convidado 802.1X falha na autenticação porque todos os servidores RADIUS estão inacessíveis. O dispositivo remapeia o endereço MAC do usuário para a VLAN crítica 802.1X. O usuário pode acessar apenas os recursos da VLAN crítica 802.1X.
    Um usuário na VLAN 802.1X Auth-Fail falha na autenticação porque todos os servidores RADIUS estão inacessíveis. O usuário permanece na VLAN 802.1X Auth-Fail.

    Se um usuário for adicionado à VLAN crítica porque não há servidores RADIUS acessíveis, o dispositivo executará as seguintes operações depois de detectar um servidor RADIUS acessível:

    • Remove o usuário da VLAN crítica.
    • Envia uma mensagem unicast EAP-Request/Identity da porta para o usuário para reautenticação.

    VLAN de voz crítica

    A VLAN de voz crítica 802.1X em uma porta acomoda usuários de voz 802.1X que falharam na autenticação porque nenhum dos servidores RADIUS em seu domínio ISP está acessível.

    O recurso de VLAN de voz crítica entra em vigor quando a autenticação 802.1X é realizada somente por meio de servidores RADIUS. Se um usuário de voz 802.1X falhar na autenticação local após a autenticação RADIUS, o usuário de voz não será atribuído à VLAN de voz crítica. Para obter mais informações sobre os métodos de autenticação, consulte "Configuração de AAA".

    Quando um servidor RADIUS acessível é detectado, o dispositivo executa operações em uma porta com base em seu método de controle de acesso 802.1X.

    Controle de acesso baseado em portas

    Quando um servidor RADIUS acessível é detectado, o dispositivo remove a porta da VLAN de voz crítica. A porta envia um pacote multicast EAP-Request/Identity a todos os usuários de voz 802.1X na porta para acionar a autenticação.

    Controle de acesso baseado em MAC

    Quando um servidor RADIUS acessível é detectado, o dispositivo remove os usuários de voz 802.1X da VLAN de voz crítica. A porta envia um pacote unicast EAP-Request/Identity para cada usuário de voz 802.1X que foi atribuído à VLAN de voz crítica para acionar a autenticação.

    Atribuição de ACL

    É possível especificar uma ACL para um usuário 802.1X no servidor de autenticação para controlar o acesso do usuário aos recursos da rede. Depois que o usuário passa pela autenticação 802.1X, o servidor de autenticação atribui a ACL à porta de acesso do usuário. Em seguida, a porta permite ou rejeita o tráfego correspondente para o usuário, dependendo das regras configuradas na ACL. Essa ACL é chamada de ACL de autorização.

    O dispositivo suporta a atribuição de ACLs estáticas e dinâmicas como ACLs de autorização.

    • ACLs estáticas - As ACLs estáticas podem ser atribuídas por um servidor RADIUS ou pelo dispositivo de acesso. Quando o servidor ou o dispositivo de acesso atribui uma ACL estática a um usuário, ele atribui apenas o número da ACL. Você deve criar manualmente a ACL e configurar suas regras no dispositivo de acesso.

      • Para alterar as permissões de acesso de um usuário, você pode usar um dos métodos a seguir:

      • Modificar as regras de ACL na ACL de autorização no dispositivo de acesso.
      • Atribua outra ACL ao usuário a partir do servidor RADIUS ou do dispositivo de acesso.

        • As ACLs estáticas e suas regras podem ser excluídas manualmente do dispositivo de acesso.

    • ACLs dinâmicas - As ACLs dinâmicas e suas regras são implantadas automaticamente por um servidor RADIUS e não podem ser configuradas no dispositivo de acesso. As ACLs dinâmicas só podem ser ACLs nomeadas. Depois que o dispositivo recebe uma ACL dinâmica implantada pelo servidor e suas regras, ele cria automaticamente a ACL e configura suas regras.

      • Se a ACL dinâmica atribuída pelo servidor a um usuário tiver o mesmo nome de uma ACL estática, a ACL dinâmica não poderá ser emitida e o usuário não poderá ficar on-line.

      Uma ACL dinâmica e suas regras são automaticamente excluídas do dispositivo de acesso depois que todos os seus usuários ficam off-line.

      As ACLs dinâmicas e suas regras não podem ser modificadas ou excluídas manualmente no dispositivo de acesso. Para exibir informações sobre as ACLs dinâmicas e suas regras, use o comando display dot1x connection ou display acl.

    IMPORTANTE:

    A atribuição de ACLs dinâmicas é compatível apenas com a versão 6309P01 ou posterior.

    As ACLs de autorização compatíveis incluem os seguintes tipos:

    • ACLs básicas, que são numeradas no intervalo de 2000 a 2999.
    • ACLs avançadas, que são numeradas no intervalo de 3000 a 3999.
    • ACLs de camada 2, que são numeradas no intervalo de 4000 a 4999.

    IMPORTANTE:

    Para que uma ACL de autorização tenha efeito, certifique-se de que a ACL exista com regras e que nenhuma das regras contenha a palavra-chave counting, established, fragment, source-mac ou logging.

    Para obter mais informações sobre ACLs, consulte o Guia de configuração de ACL e QoS.

    Atribuição de perfil de usuário

    É possível especificar um perfil de usuário para um usuário 802.1X no servidor de autenticação para controlar o acesso do usuário aos recursos da rede. Depois que o usuário passa pela autenticação 802.1X, o servidor de autenticação atribui o perfil de usuário ao usuário para filtrar o tráfego.

    O servidor de autenticação pode ser o dispositivo de acesso local ou um servidor RADIUS. Em ambos os casos, o servidor especifica apenas o nome do perfil de usuário. Você deve configurar o perfil de usuário no dispositivo de acesso.

    Para alterar as permissões de acesso do usuário, você pode usar um dos métodos a seguir:

    • Modifique a configuração do perfil de usuário no dispositivo de acesso.
    • Especifique outro perfil de usuário para o usuário no servidor de autenticação. Para obter mais informações sobre perfis de usuário, consulte "Configuração de perfis de usuário".

    Atribuição de URL de redirecionamento

    O dispositivo é compatível com o atributo de URL atribuído por um servidor RADIUS quando a porta habilitada para 802.1X executa o controle de acesso baseado em MAC e o estado de autorização da porta é automático. Durante a autenticação, as solicitações HTTP ou HTTPS de um usuário 802.1X são redirecionadas para a interface da Web especificada pelo atributo de URL atribuído pelo servidor. Depois que o usuário passa pela autenticação na Web, o servidor RADIUS registra o endereço MAC do usuário e usa uma DM (Disconnect Message) para fazer logoff do usuário. Quando o usuário iniciar a autenticação 802.1X novamente, ele será aprovado na autenticação e ficará on-line com êxito.

    Esse recurso é mutuamente exclusivo do recurso de assistente de EAD.

    Por padrão, o dispositivo escuta a porta 6654 para solicitações HTTPS a serem redirecionadas. Para alterar o número da porta de escuta do redirecionamento, consulte Configuração do redirecionamento de HTTP no Guia de configuração de serviços de camada 3 IP.

    Reautenticação 802.1X periódica

    A reautenticação periódica do 802.1X rastreia o status da conexão dos usuários on-line e atualiza os atributos de autorização (como ACL e VLAN) atribuídos pelo servidor.

    O dispositivo reautentica os usuários 802.1X on-line no intervalo de reautenticação periódica quando o recurso de reautenticação periódica on-line do usuário está ativado. O intervalo é controlado por um timer, que pode ser configurado pelo usuário. Uma alteração no temporizador de reautenticação periódica aplica-se aos usuários on-line somente depois que o temporizador antigo expirar e os usuários forem aprovados na autenticação.

    O temporizador de tempo limite da sessão atribuído pelo servidor (atributo Session-Timeout) e a ação de encerramento (atributo Termination-Action) juntos podem afetar o recurso de reautenticação periódica do usuário on-line. Para exibir os atributos Session-Timeout e Termination-Action atribuídos pelo servidor, use o comando display dot1x connection (consulte Referência de comandos de segurança).

    • Se a ação de encerramento for Padrão (logoff), a reautenticação periódica on-line do usuário no dispositivo entrará em vigor somente quando o temporizador de reautenticação periódica for menor do que o temporizador de tempo limite da sessão.
    • Se a ação de encerramento for Radius-request, as configurações de reautenticação periódica do usuário on-line no dispositivo não terão efeito. O dispositivo reautentica os usuários 802.1X on-line após a expiração do temporizador de tempo limite da sessão.

    Se nenhum temporizador de tempo limite de sessão for atribuído pelo servidor, o fato de o dispositivo executar ou não a reautenticação periódica do 802.1X dependerá da configuração de reautenticação periódica no dispositivo. O suporte para a atribuição dos atributos Session-Timeout e Termination-Action depende do modelo do servidor.

    Com o recurso RADIUS DAS ativado, o dispositivo reautentica imediatamente um usuário ao receber uma mensagem CoA que contém o atributo de reautenticação de um servidor de autenticação RADIUS. Nesse caso, a reautenticação será executada independentemente do fato de a reautenticação periódica 802.1X estar ativada no dispositivo. Para obter mais informações sobre a configuração do RADIUS DAS, consulte "Configuração de AAA".

    Por padrão, o dispositivo faz logoff dos usuários 802.1X on-line se nenhum servidor estiver acessível para a reautenticação 802.1X. O recurso keep-online mantém os usuários 802.1X autenticados on-line quando nenhum servidor está acessível para a reautenticação 802.1X.

    As VLANs atribuídas a um usuário on-line antes e depois da reautenticação podem ser iguais ou diferentes.

    Assistente de EAD

    O Endpoint Admission Defense (EAD) é uma solução integrada de controle de acesso a endpoints da Intelbras para melhorar a capacidade de defesa contra ameaças de uma rede. A solução permite que o cliente de segurança, o servidor de política de segurança, o dispositivo de acesso e o servidor de terceiros operem juntos. Se um dispositivo terminal quiser acessar uma rede EAD, ele deverá ter um cliente EAD, que executa a autenticação 802.1X.

    O recurso de assistente de EAD permite que o dispositivo de acesso redirecione as solicitações HTTP ou HTTPS de um usuário para um URL de redirecionamento para download e instalação de um cliente EAD. Esse recurso elimina a tarefa administrativa de implantar clientes EAD.

    Aplicavel somente a Serie S3300G

    O assistente de EAD é implementado pela seguinte funcionalidade:

    • IP gratuito.

    Um IP gratuito é um segmento de rede de acesso livre, que tem um conjunto limitado de recursos de rede, como software e servidores DHCP. Para garantir a conformidade com a estratégia de segurança, um usuário não autenticado pode acessar somente esse segmento para realizar operações. Por exemplo, o usuário pode fazer download do cliente EAD de um servidor de software ou obter um endereço IP dinâmico de um servidor DHCP.

    • URL de redirecionamento.

    Se um usuário 802.1X não autenticado estiver usando um navegador da Web para acessar a rede, o assistente de EAD redirecionará as solicitações de acesso à rede do usuário para um URL específico. Por exemplo, você pode usar esse recurso para redirecionar o usuário para a página de download do software do cliente EAD.

    O recurso de assistente de EAD cria automaticamente uma regra de EAD baseada em ACL para abrir o acesso ao URL de redirecionamento para cada usuário redirecionado.

    As regras de EAD são implementadas usando recursos de ACL. Quando o cronômetro da regra de EAD expira ou o usuário passa na autenticação, a regra é removida. Se os usuários não fizerem o download do cliente EAD ou não passarem na autenticação antes que o tempo expire, eles deverão se reconectar à rede para acessar o IP livre.

    Configuração do 802.1X

    Restrições e diretrizes: Configuração do 802.1X

    Você pode configurar o recurso de segurança de porta para executar o 802.1X. A segurança da porta combina e amplia a autenticação 802.1X e MAC. Aplica-se a uma rede (uma WLAN, por exemplo) que requer diferentes métodos de autenticação para diferentes usuários em uma porta. Para obter mais informações sobre o recurso de segurança da porta, consulte "Configuração da segurança da porta".

    Ao definir as configurações 802.1X em uma interface, siga estas restrições e diretrizes:

    • O 802.1X é compatível apenas com interfaces Ethernet de camada 2 que não pertencem a um grupo de agregação.
    • Não altere o tipo de link de uma porta quando a VLAN de convidado 802.1X, a VLAN de falha de autenticação ou a VLAN crítica da porta tiver usuários.
    • Se vários métodos de autenticação estiverem configurados para o domínio de autenticação e a autenticação remota RADIUS for o método principal, o dispositivo não adicionará usuários à VLAN crítica quando o RADIUS estiver inacessível. Em vez disso, ele usa um método de autenticação de backup para autenticar os usuários. O dispositivo adiciona um usuário à VLAN crítica somente quando a autenticação remota RADIUS é o método de autenticação final usado para o usuário e o servidor RADIUS está inacessível.

    Para configurar vários métodos de autenticação para um domínio de autenticação, use a opção

    comando padrão de autenticação.

    Para garantir um redirecionamento HTTPS bem-sucedido para os usuários em qualquer uma das situações a seguir, certifique-se de que existam interfaces de VLAN para as VLANs que transportam seus pacotes:

    • Os usuários recebem um URL de redirecionamento.
    • O assistente EAD está ativado.

    Pré-requisitos para o 802.1X

    Antes de configurar o 802.1X, conclua as seguintes tarefas:

    • Configure um domínio ISP e um esquema AAA (autenticação local ou RADIUS) para usuários 802.1X.
    • Se a autenticação RADIUS for usada, crie contas de usuário no servidor RADIUS.
    • Se a autenticação local for usada, crie contas de usuário locais no dispositivo de acesso e defina o tipo de serviço como lan-access.

    Ativação do 802.1X

    Restrições e diretrizes

    Para que o 802.1X entre em vigor em uma porta, você deve habilitá-lo globalmente e na porta.

    Se o PVID for uma VLAN de voz, o recurso 802.1X não poderá entrar em vigor na porta. Para obter mais informações sobre VLANs de voz, consulte o Layer 2-LAN Switching Configuration Guide.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Habilite o 802.1X globalmente.
      • dot1x

      Por padrão, o 802.1X é desativado globalmente.

    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Habilite o 802.1X em uma porta.
      • dot1x

      Por padrão, o 802.1X está desativado em uma porta.

    Ativação do relé EAP ou da terminação EAP

    Sobre a seleção do modo EAP

    Considere os seguintes fatores para selecionar um modo EAP adequado:

    • Suporte do servidor RADIUS para pacotes EAP.
    • Métodos de autenticação compatíveis com o cliente 802.1X e o servidor RADIUS.

    Restrições e diretrizes

    • Se o modo de retransmissão EAP for usado, o comando user-name-format configurado na visualização do esquema RADIUS não terá efeito. O dispositivo de acesso envia os dados de autenticação do cliente para o servidor sem nenhuma modificação. Para obter mais informações sobre o comando user-name-format, consulte Referência de comandos de segurança.
    • Você pode usar a terminação EAP e a retransmissão EAP em qualquer uma das seguintes situações:
      • O cliente está usando apenas a autenticação EAP MD5-Challenge. Se a terminação EAP for usada, você deverá ativar a autenticação CHAP no dispositivo de acesso.
      • O cliente é um cliente iNode 802.1X e inicia somente a autenticação EAP de nome de usuário e senha. Se a terminação EAP for usada, você poderá ativar a autenticação PAP ou CHAP no dispositivo de acesso. Entretanto, para fins de segurança, você deve usar a autenticação CHAP no dispositivo de acesso.
    • Para usar o EAP-TLS, o PEAP ou qualquer outro método de autenticação EAP, você deve usar a retransmissão EAP. Ao tomar sua decisão, consulte "Comparação entre retransmissão EAP e terminação EAP" para obter ajuda.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Configure o relé EAP ou a terminação EAP.
      • dot1x authentication-method { chap | eap | pap }

      Por padrão, o dispositivo de acesso executa a terminação EAP e usa CHAP para se comunicar com o servidor RADIUS.

    Configuração do estado de autorização da porta

    Sobre os estados de autorização de porta

    O estado de autorização da porta determina se o cliente tem acesso à rede. É possível controlar os seguintes estados de autorização de uma porta:

    • Authorized - Coloca a porta no estado autorizado, permitindo que os usuários da porta acessem a rede sem autenticação.
    • Unauthorized - Coloca a porta no estado não autorizado, negando quaisquer solicitações de acesso de usuários na porta.
    • Auto - coloca a porta inicialmente em estado não autorizado para permitir a passagem apenas de pacotes EAPOL. Depois que um usuário passa pela autenticação, define a porta no estado autorizado para permitir o acesso à rede. Você pode usar essa opção na maioria dos cenários.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Definir o estado de autorização da porta.
      • dot1x port-control { authorized-force | auto | unauthorized-force }

      Por padrão, o estado automático se aplica.

    Especificação de um método de controle de acesso

    Sobre os métodos de controle de acesso

    O dispositivo é compatível com métodos de controle de acesso baseados em portas e em MAC.

    Restrições e diretrizes

    Se houver usuários 802.1X on-line em uma porta, a alteração do método de controle de acesso fará com que os usuários on-line fiquem off-line.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Especifique um método de controle de acesso.
      • dot1x port-method { macbased | portbased }

      Por padrão, aplica-se o controle de acesso baseado em MAC.

    Especificação de um domínio de autenticação obrigatório em uma porta

    Sobre o domínio de autenticação obrigatório

    É possível colocar todos os usuários 802.1X em um domínio de autenticação obrigatório para autenticação, autorização e contabilidade em uma porta. Nenhum usuário pode usar uma conta em qualquer outro domínio para acessar a rede por meio da porta. A implementação de um domínio de autenticação obrigatório aumenta a flexibilidade da implementação do controle de acesso 802.1X.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Especifique um domínio de autenticação 802.1X obrigatório na porta.
      • dot1x mandatory-domain domain-name

      Por padrão, nenhum domínio de autenticação 802.1X obrigatório é especificado.

    Configuração dos timers de tempo limite de autenticação 802.1X

    Sobre os timers de tempo limite de autenticação 802.1X

    O dispositivo de rede usa os seguintes temporizadores de tempo limite de autenticação 802.1X:

    • Timer de tempo limite do cliente - É iniciado quando o dispositivo de acesso envia um pacote EAP-Request/MD5-Challenge a um cliente. Se nenhuma resposta for recebida quando esse cronômetro expirar, o dispositivo de acesso retransmitirá a solicitação ao cliente.
    • Temporizador de tempo limite do servidor - Começa quando o dispositivo de acesso envia um pacote RADIUS Access-Request para o servidor de autenticação. Se nenhuma resposta for recebida quando esse cronômetro expirar, a autenticação 802.1X falhará.

    Restrições e diretrizes

    Na maioria dos casos, as configurações padrão são suficientes. Você pode editar os temporizadores, dependendo das condições da rede.

    • Em uma rede de baixa velocidade, aumente o cronômetro de tempo limite do cliente.
    • Em uma rede com servidores de autenticação de desempenho diferente, ajuste o cronômetro de tempo limite do servidor.

    Para evitar o logoff forçado antes que o cronômetro de tempo limite do servidor expire, defina o cronômetro de tempo limite do servidor com um valor menor ou igual ao produto dos valores a seguir:

    • O número máximo de tentativas de transmissão de pacotes RADIUS definido pelo uso do parâmetro retry na visualização do esquema RADIUS.
    • O timer de tempo limite de resposta do servidor RADIUS definido usando o timer response-timeout na visualização do esquema RADIUS.

    Para obter informações sobre como definir o número máximo de tentativas de transmissão de pacotes RADIUS e o cronômetro de tempo limite de resposta do servidor RADIUS, consulte "Configuração do AAA".

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Defina o cronômetro de tempo limite do cliente.
      • dot1x timer supp-timeout supp-timeout-value

      O padrão é 30 segundos.

    • Defina o cronômetro de tempo limite do servidor.
      • dot1x timer server-timeout server-timeout-valuee

      O padrão é 100 segundos.

    Configuração da reautenticação 802.1X

    Restrições e diretrizes

    O dispositivo seleciona um temporizador de reautenticação periódica para a reautenticação 802.1X na seguinte ordem :

    • Temporizador de reautenticação atribuído pelo servidor.
    • Temporizador de reautenticação específico da porta.
    • Temporizador de reautenticação global.
    • Temporizador de reautenticação padrão.

    Depois de executar uma reautenticação manual, o dispositivo reautentica todos os usuários 802.1X on-line em uma porta, independentemente do atributo de reautenticação atribuído pelo servidor e do recurso de reautenticação periódica na porta.

    A modificação da configuração do domínio de autenticação obrigatório ou do método de tratamento de mensagens EAP não afeta a reautenticação de usuários 802.1X on-line. A configuração modificada entra em vigor somente nos usuários 802.1X que ficarem on-line após a modificação.

    Se a reautenticação periódica for acionada para um usuário enquanto ele estiver aguardando a sincronização on-line, o sistema executará a sincronização on-line e não executará a reautenticação para o usuário.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Defina o cronômetro de reautenticação periódica.
      • Defina um cronômetro de reautenticação periódica global.
        • dot1x timer reauth-period reauth-period-valuee

        A configuração padrão é 3600 segundos.

      • Execute os seguintes comandos em sequência para definir um cronômetro de reautenticação periódica específico da porta:
        • interface interface-type interface-numbere
        dot1x timer reauth-period reauth-period-value
        quit

        Por padrão, nenhum temporizador de reautenticação periódica é definido em uma porta. A porta usa o temporizador de reautenticação periódica 802.1X global.

    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Habilite a reautenticação periódica do usuário on-line.
      • dot1x re-authenticate

      Por padrão, o recurso está desativado.

    • (Opcional.) Reautentique manualmente todos os usuários 802.1X on-line na porta.
      • dot1x re-authenticate manual
    • (Opcional.) Ative o recurso de manter-se on-line para usuários 802.1X.
      • dot1x re-authenticate server-unreachable keep-online

      Por padrão, esse recurso está desativado. O dispositivo faz logoff dos usuários 802.1X on-line se nenhum servidor de autenticação estiver acessível para a reautenticação 802.1X.

      Use o recurso keep-online de acordo com a condição real da rede. Em uma rede de recuperação rápida, é possível usar o recurso keep-online para evitar que os usuários do 802.1X fiquem on-line e que o fique off-line com frequência.

    Configuração do timer de silêncio

    Sobre o timer silencioso

    O temporizador de silêncio permite que o dispositivo de acesso aguarde um período de tempo antes de processar qualquer solicitação de autenticação de um cliente que tenha falhado em uma autenticação 802.1X.

    Restrições e diretrizes

    Você pode editar o timer de silêncio, dependendo das condições da rede.

    • Em uma rede vulnerável, defina o timer de silêncio para um valor alto.
    • Em uma rede de alto desempenho com resposta rápida de autenticação, defina o timer de silêncio para um valor baixo .

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Ativar o timer de silêncio.
      • dot1x quiet-period

      Por padrão, o cronômetro está desativado.

    • Defina o cronômetro de silêncio.
      • dot1x timer quiet-period quiet-period-value

      O padrão é 60 segundos.

    Configuração de uma VLAN de convidado 802.1X

    Restrições e diretrizes

    • Você pode configurar apenas uma VLAN de convidado 802.1X em uma porta. As VLANs de convidado 802.1X em portas diferentes podem ser diferentes.
    • Atribua IDs diferentes para a VLAN da porta, a VLAN de voz e a VLAN de convidado 802.1X em uma porta. A atribuição garante que a porta possa processar corretamente o tráfego de entrada com marcação de VLAN.
    • Para que o recurso 802.1X guest VLAN funcione corretamente, não configure esse recurso junto com o assistente EAD.
    • Em uma porta híbrida, a VLAN de convidado só pode ser uma VLAN sem marcação.
    • Se uma VLAN de voz e uma VLAN de convidado 802.1X estiverem configuradas em uma porta híbrida, a VLAN de voz terá prioridade mais alta do que a VLAN de convidado 802.1X. Um pacote é encaminhado para fora da VLAN de voz se corresponder às configurações da VLAN de voz. Se não corresponder às configurações da VLAN de voz, seu endereço MAC de origem poderá ser adicionado à VLAN de convidado 802.1X.
    • Quando você configurar vários recursos de segurança em uma porta, siga as diretrizes da Tabela 5.

    Tabela 5 Relações entre a VLAN de convidado 802.1X e outros recursos de segurança

    Recurso Descrição do relacionamento Referência
    802.1X Auth-Fail VLAN em uma porta que executa o controle de acesso baseado em MAC A VLAN 802.1X Auth-Fail tem uma prioridade mais alta do que a VLAN 802.1X guest. Consulte "802.1X VLAN manipulação".
    Ações de proteção contra intrusão de porta em uma porta que executa o controle de acesso baseado em MAC

    O recurso 802.1X guest VLAN tem prioridade mais alta do que a ação de bloqueio de MAC.

    O recurso 802.1X guest VLAN tem prioridade mais baixa do que a ação de desligamento da porta do recurso de proteção contra intrusão de porta.

    		 Consulte "Configuração da segurança da porta".

    Pré-requisitos

    Antes de configurar uma VLAN de convidado 802.1X, conclua as seguintes tarefas:

    • Crie a VLAN a ser especificada como a VLAN de convidado 802.1X.
    • Se a porta habilitada para 802.1X executar o controle de acesso baseado em MAC, execute as seguintes operações para a porta:
      • Configure a porta como uma porta híbrida.
      • Ativar a VLAN baseada em MAC na porta. Para obter mais informações sobre VLANs baseadas em MAC, consulte Guia de configuração de switching de LAN de camada 2
    • Se o tipo de porta for híbrido, verifique se a VLAN a ser especificada como VLAN de convidado não está na lista de VLANs marcadas da porta.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Configure a VLAN de convidado 802.1X na porta.
      • dot1x guest-vlan guest-vlan-id

      Por padrão, não existe nenhuma VLAN de convidado 802.1X em uma porta.

    Ativação do atraso na atribuição de VLAN de convidado 802.1X

    Sobre o atraso na atribuição da VLAN de convidado 802.1X

    Esse recurso atrasa a atribuição de uma porta habilitada para 802.1X à VLAN de convidado 802.1X quando a autenticação 802.1X é acionada na porta.

    Esse recurso se aplica somente a situações em que a autenticação 802.1X é acionada por pacotes EAPOL-Start de clientes 802.1X ou pacotes de endereços MAC desconhecidos.

    Para usar esse recurso, a porta habilitada para 802.1X deve executar o controle de acesso baseado em MAC. Para usar o novo atraso de atribuição de VLAN de convidado 802.1X acionado por MAC, você também deve configurar o acionador unicast 802.1X na porta.

    Quando a autenticação 802.1X é acionada em uma porta, o dispositivo executa as seguintes operações:

    • Envia um pacote unicast EAP-Request/Identity para o endereço MAC que aciona a autenticação .
    • Retransmite o pacote se nenhuma resposta for recebida dentro do intervalo de tempo limite de solicitação de nome de usuário definido com o uso do comando dot1x timer tx-period.
    • Atribui a porta à VLAN de convidado 802.1X depois que o número máximo de tentativas de solicitação definido com o uso do comando dot1x retry for atingido.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Ative o atraso na atribuição de VLAN de convidado 802.1X na porta.
      • dot1x guest-vlan-delay { eapol | new-mac }

      Por padrão, o atraso na atribuição de VLAN de convidado 802.1X é desativado em uma porta.

    Configuração de uma VLAN 802.1X Auth-Fail

    Restrições e diretrizes

    • Atribua IDs diferentes para a VLAN da porta, a VLAN de voz e a VLAN 802.1X Auth-Fail em uma porta. A atribuição garante que a porta possa processar corretamente o tráfego de entrada com marcação de VLAN.
    • Você pode configurar apenas uma VLAN 802.1X Auth-Fail em uma porta. As VLANs 802.1X Auth-Fail em portas diferentes podem ser diferentes.
    • Em uma porta híbrida, a VLAN Auth-Fail só pode ser uma VLAN sem marcação.
    • Quando você configurar vários recursos de segurança em uma porta, siga as diretrizes da Tabela 6.

    Tabela 6 Relações da VLAN 802.1X Auth-Fail com outros recursos

    Recurso Descrição do relacionamento Referência
    VLAN convidada de autenticação MAC em uma porta que executa Controle de acesso baseado em MAC A VLAN 802.1X Auth-Fail tem alta prioridade. Consulte "Configuração da autenticação MAC".
    Ações de proteção contra intrusão de porta em uma porta que executa Controle de acesso baseado em MAC

    O recurso 802.1X Auth-Fail VLAN tem prioridade mais alta do que a ação de bloqueio de MAC.

    O recurso 802.1X Auth-Fail VLAN tem prioridade mais baixa do que a ação de desligamento da porta do recurso de proteção contra intrusão de porta.

    		 Consulte "Configuração da segurança da porta".

    Pré-requisitos

    Antes de configurar uma VLAN 802.1X Auth-Fail, conclua as seguintes tarefas:

    • Crie a VLAN a ser especificada como a VLAN 802.1X Auth-Fail.
    • Se a porta habilitada para 802.1X executar o controle de acesso baseado em MAC, execute as seguintes operações para a porta:
      • Configure a porta como uma porta híbrida.
      • Ativar a VLAN baseada em MAC na porta. Para obter mais informações sobre VLANs baseadas em MAC, consulte Guia de configuração de switching de LAN de camada 2
    • Se o tipo de porta for híbrido, verifique se a VLAN a ser especificada como a VLAN de falha de autenticação não está na lista de VLANs marcadas na porta.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Configure a VLAN 802.1X Auth-Fail na porta.
      • dot1x auth-fail vlan authfail-vlan-id

      Por padrão, não existe nenhuma VLAN 802.1X Auth-Fail em uma porta.

    Configuração de uma VLAN crítica 802.1X

    Restrições e diretrizes para a configuração da VLAN crítica 802.1X

    • Atribua IDs diferentes ao PVID, à VLAN de voz e à VLAN crítica 802.1X em uma porta. A atribuição garante que a porta possa processar corretamente o tráfego de entrada com marcação de VLAN.
    • Você pode configurar apenas uma VLAN crítica 802.1X em uma porta. As VLANs críticas 802.1X em portas diferentes podem ser diferentes.
    • Em uma porta híbrida, a VLAN crítica só pode ser uma VLAN sem marcação.

    Pré-requisitos

    Antes de configurar uma VLAN crítica 802.1X, conclua as seguintes tarefas:

    • Crie a VLAN a ser especificada como uma VLAN crítica.
    • Se a porta habilitada para 802.1X executar o controle de acesso baseado em MAC, execute as seguintes operações para a porta:
      • Configure a porta como uma porta híbrida.
      • Habilite a VLAN baseada em MAC na porta. Para obter mais informações sobre VLANs baseadas em MAC, consulte Guia de configuração de switching de LAN de camada 2
    • Se o tipo de porta for híbrido, verifique se a VLAN a ser especificada como a VLAN crítica não está na lista de VLANs marcadas na porta.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Configure a VLAN crítica 802.1X na porta.
      • dot1x critical vlan critical-vlan-id

      Por padrão, não existe nenhuma VLAN crítica 802.1X em uma porta.

    Ativação do recurso de VLAN de voz crítica 802.1X

    Restrições e diretrizes

    O recurso não entrará em vigor se o usuário de voz estiver na VLAN 802.1X Auth-Fail.

    Pré-requisitos

    Antes de ativar o recurso de VLAN de voz crítica 802.1X em uma porta, conclua as seguintes tarefas:

    • Habilite o LLDP globalmente e na porta.

    O dispositivo usa LLDP para identificar usuários de voz. Para obter informações sobre o LLDP, consulte o Layer 2-LAN Switching Configuration Guide.

    • Ativar a VLAN de voz na porta.

    Para obter informações sobre VLANs de voz, consulte o Layer 2-LAN Switching Configuration Guide.

    • Especifique uma VLAN crítica 802.1X na porta. Essa configuração garante que um usuário de voz seja atribuído à VLAN crítica se houver falha na autenticação por inacessibilidade dos servidores RADIUS antes que o dispositivo o reconheça como um usuário de voz. Se uma VLAN crítica 802.1X não estiver disponível, o usuário de voz poderá ser desconectado.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Habilite o recurso de VLAN de voz crítica 802.1X em uma porta.
      • dot1x critical-voice-vlan

      Por padrão, o recurso 802.1X critical voice VLAN está desativado em uma porta.

    Configuração do envelhecimento de usuários não autenticados 802.1X

    Sobre o envelhecimento de usuários não autenticados 802.1X

    • O envelhecimento de usuários não autenticados X se aplica a usuários adicionados a uma VLAN 802.1X guest, critical ou Auth-Fail porque não foram autenticados ou falharam na autenticação.

    Quando um usuário em uma dessas VLANs envelhece, o dispositivo remove o usuário da VLAN e exclui a entrada do endereço MAC do usuário da porta de acesso.

    Para que os usuários de uma dessas VLANs em uma porta sejam autenticados com êxito e fiquem on-line em outra porta, ative esse recurso. Em qualquer outro cenário, desative esse recurso como prática recomendada.

    O mecanismo de envelhecimento do usuário 802.1X em uma porta depende do seu modo de controle de acesso.

    • Se a porta usar o controle de acesso baseado em porta, um temporizador de envelhecimento do usuário será iniciado quando a porta for atribuída à VLAN crítica ou Auth-Fail. Quando o temporizador de envelhecimento expira, a porta é removida da VLAN e todas as entradas de endereço MAC dos usuários na VLAN também são removidas.
    • Se a porta usar o controle de acesso baseado em MAC, um timer de envelhecimento do usuário será iniciado para cada usuário 802.1X quando ele for atribuído à VLAN Auth-Fail, crítica ou guest. Quando o temporizador de envelhecimento de um usuário expira, o dispositivo remove esse usuário da VLAN.

    Os usuários removidos não poderão acessar nenhum recurso da rede até que outra autenticação seja acionada.

    Restrições e diretrizes

    Como prática recomendada, use esse recurso em uma porta somente se quiser que seus usuários não autenticados sejam autenticados em e fiquem on-line em uma porta diferente.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Defina o temporizador de envelhecimento do usuário para um tipo de VLAN 802.1X.
      • dot1x timer user-aging { auth-fail-vlan | critical-vlan | guest-vlan }  aging-time-value

      Por padrão, os temporizadores de envelhecimento do usuário para todos os tipos aplicáveis de VLANs 802.1X são de 1.000 segundos.

    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Habilite o envelhecimento de usuários não autenticados 802.1X.
      • dot1x unauthenticated-user aging enable

      Por padrão, o envelhecimento do usuário não autenticado 802.1X está ativado.

    Envio de pacotes EAP-Success na atribuição de usuários à VLAN crítica 802.1X

    Sobre esta tarefa

    Por padrão, o dispositivo envia pacotes EAP-Failure para clientes 802.1X quando os usuários do cliente são atribuídos à VLAN crítica 802.1X. Alguns clientes 802.1X, como os clientes 802.1X integrados ao Windows, não podem responder ao pacote EAP-Request/Identity do dispositivo para reautenticação se tiverem recebido um pacote EAP-Failure. Como resultado, a reautenticação para esses clientes falhará depois que o servidor de autenticação se tornar acessível.

    Para evitar essa situação, habilite o dispositivo para enviar pacotes EAP-Success em vez de pacotes EAP-Failure para clientes 802.1X quando os usuários clientes forem atribuídos à VLAN crítica 802.1X.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Configure o dispositivo para enviar um pacote EAP-Success a um cliente 802.1X quando seu usuário cliente for atribuído à VLAN crítica na porta.
      • dot1x critical eapol

      Por padrão, o dispositivo envia um pacote EAP-Failure a um cliente 802.1X quando seu usuário cliente é atribuído à VLAN crítica.

    Ativação da sincronização on-line de usuários 802.1X

    Sobre a sincronização on-line de usuários 802.1X

    IMPORTANTE:

    Esse recurso entra em vigor somente quando o dispositivo usa um servidor IMC RADIUS para autenticar usuários 802.1X.

    Para garantir que o servidor RADIUS mantenha as mesmas informações de usuário 802.1X on-line que o dispositivo depois que o estado do servidor mudar de inacessível para acessível, use esse recurso.

    Esse recurso sincroniza as informações do usuário 802.1X on-line entre o dispositivo e o servidor RADIUS quando é detectado que o estado do servidor RADIUS mudou de inacessível para acessível.

    Ao sincronizar as informações do usuário 802.1X on-line em uma porta com o servidor RADIUS, o dispositivo inicia a autenticação 802.1X sucessivamente para cada usuário 802.1X on-line autenticado no servidor RADIUS.

    Se a sincronização falhar para um usuário on-line, o dispositivo fará o logoff desse usuário, a menos que a falha ocorra porque o servidor se tornou inacessível novamente.

    Restrições e diretrizes

    O tempo necessário para concluir a sincronização de usuários on-line aumenta à medida que o número de usuários on-line cresce. Isso pode resultar em um atraso maior para que novos usuários 802.1X e usuários na VLAN crítica se autentiquem ou reautentiquem no servidor RADIUS e fiquem on-line.

    Para que esse recurso tenha efeito, você deve usá-lo em conjunto com o recurso de detecção de status do servidor RADIUS, que pode ser configurado com o comando radius-server test-profile. Quando você configurar esse recurso, certifique-se de que o intervalo de detecção seja menor do que o timer de silêncio do servidor RADIUS configurado com o comando timer quiet na visualização do esquema RADIUS. O servidor

    O estado do servidor RADIUS muda para ativo após a expiração do timer de silêncio, independentemente de sua acessibilidade real. A definição de um intervalo de detecção mais curto do que o timer de silêncio impede que o recurso de detecção de status do servidor RADIUS informe falsamente a acessibilidade do servidor.

    Para obter mais informações sobre o recurso de detecção de status do servidor RADIUS, consulte "Configuração de AAA".

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Habilite a sincronização on-line de usuários 802.1X.
      • dot1x server-recovery online-user-sync

      Por padrão, a sincronização on-line de usuários 802.1X está desativada.

    Configuração do recurso de disparo de autenticação

    Sobre os acionadores de autenticação

    O recurso de disparo de autenticação permite que o dispositivo de acesso inicie a autenticação 802.1X quando os clientes 802.1X não puderem iniciar a autenticação.

    Esse recurso fornece o acionador multicast e o acionador unicast (consulte Iniciação da autenticação 802.1X em "Visão geral do 802.1X").

    Restrições e diretrizes

    • Ative o acionador multicast em uma porta quando os clientes conectados à porta não puderem enviar pacotes EAPOL-Start para iniciar a autenticação 802.1X.
    • Ative o acionador unicast em uma porta se apenas alguns clientes 802.1X estiverem conectados à porta e esses clientes não puderem iniciar a autenticação.
    • Para evitar a duplicação de pacotes de autenticação, não ative os dois acionadores em uma porta.
    • Como prática recomendada, não use o acionador unicast em uma porta que executa o controle de acesso baseado em porta. Se fizer isso, os usuários da porta poderão não ficar on-line corretamente.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • (Opcional.) Defina o timer de tempo limite de solicitação de nome de usuário.
      • dot1x timer tx-period tx-period-value

      O padrão é 30 segundos.

    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Ativar um acionador de autenticação.
      • dot1x { multicast-trigger | unicast-trigger }

      Por padrão, o acionador multicast está ativado e o acionador unicast está desativado.

    Descarte de solicitações duplicadas de EAPOL-Start 802.1X

    Sobre esta tarefa

    Durante a autenticação 802.1X, o dispositivo pode receber solicitações EAPOL-Start duplicadas de um usuário 802.1X. Por padrão, o dispositivo entrega as solicitações EAPOL-Start duplicadas ao servidor de autenticação, desde que sejam legais. No entanto, esse mecanismo pode resultar em falha de autenticação se o servidor de autenticação não puder responder a solicitações EAPOL-Start duplicadas. Para resolver esse problema, execute esta tarefa na interface de acesso do usuário para descartar solicitações EAPOL-Start duplicadas.

    Restrições e diretrizes

    Esse recurso é compatível apenas com a versão 6309P01 ou posterior.

    Como prática recomendada, execute essa tarefa somente se o servidor não puder responder a solicitações duplicadas de EAPOL-Start. Não execute essa tarefa em outras situações.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface Ethernet de camada 2.
      • interface interface-type interface-number
    • Descarta solicitações duplicadas de EAPOL-Start na interface.
      • dot1x duplicate-eapol-start discard

      Por padrão, o dispositivo não descarta solicitações duplicadas de EAPOL-Start em uma interface se as solicitações forem legais.

    Definição do número máximo de usuários 802.1X simultâneos em uma porta

    Sobre a configuração do número máximo de usuários 802.1X simultâneos em uma porta

    Execute essa tarefa para evitar que os recursos do sistema sejam usados em excesso.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Defina o número máximo de usuários 802.1X simultâneos em uma porta.
      • dot1x max-user max-number

      O padrão é 4294967295.

    Definição do número máximo de tentativas de solicitação de autenticação

    Sobre a retransmissão da solicitação de autenticação

    O dispositivo de acesso retransmite uma solicitação de autenticação se não receber nenhuma resposta à solicitação do cliente em um determinado período de tempo. Para definir o tempo, use o comando 

    dot1x timer tx-period tx-period-value
    ou o comando dot1x timer supp-timeout supp-timeout-value. O dispositivo de acesso interrompe a retransmissão da solicitação se tiver feito o número máximo de tentativas de transmissão de solicitação e ainda não tiver recebido resposta.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Defina o número máximo de tentativas para enviar uma solicitação de autenticação.
      • dot1x retry retries

      A configuração padrão é 2.

    Configuração do handshake do usuário on-line

    Sobre o handshake do usuário on-line

    O recurso de handshake de usuário on-line verifica o status de conectividade dos usuários 802.1X on-line. O dispositivo de acesso envia solicitações de handshake (EAP-Request/Identity) aos usuários on-line no intervalo especificado pelo comando dot1x timer handshake-period. Se o dispositivo não receber nenhum pacote EAP-Response/Identity de um usuário on-line depois de ter feito o máximo de tentativas de handshake, o dispositivo colocará o usuário no estado off-line. Para definir o máximo de tentativas de handshake, use o comando dot1x retry.

    Normalmente, o dispositivo não responde aos pacotes EAP-Response/Identity dos clientes 802.1X com pacotes EAP-Success. Alguns clientes 802.1X ficarão off-line se não receberem os pacotes EAP-Success para handshake. Para evitar esse problema, ative o recurso de resposta de handshake do usuário on-line.

    Se forem implantados clientes iNode, você também poderá ativar o recurso de segurança de handshake do usuário on-line para verificar as informações de autenticação nos pacotes de handshake dos clientes. Esse recurso pode impedir que os usuários 802.1X que usam software de cliente ilegal contornem a verificação de segurança do iNode, como a detecção de placas de interface de rede (NICs) duplas. Se um usuário falhar na verificação de segurança do handshake, o dispositivo colocará o usuário no estado off-line.

    Restrições e diretrizes

    • Se a rede tiver clientes 802.1X que não podem trocar pacotes de handshake com o dispositivo de acesso, desative o recurso de handshake de usuário on-line. Essa operação evita que as conexões 802.1X sejam incorretamente interrompidas.
    • Para usar o recurso de segurança de handshake de usuário on-line, certifique-se de que o recurso de handshake de usuário on-line esteja ativado.
    • O recurso de segurança de handshake de usuário on-line entra em vigor somente na rede em que o cliente iNode e o servidor IMC são usados.
    • Ative o recurso de resposta de handshake do usuário on-line somente se os clientes 802.1X ficarem off-line sem receber pacotes EAP-Success do dispositivo.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • (Opcional.) Defina o cronômetro de handshake.
      • dot1x timer handshake-period handshake-period-value

      O padrão é 15 segundos.

    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Habilite o recurso de handshake do usuário on-line.
      • dot1x handshake

      Por padrão, o recurso está ativado.

    • (Opcional.) Habilite o recurso de segurança de handshake do usuário on-line.
      • dot1x handshake secure

      Por padrão, o recurso está desativado.

    • (Opcional.) Ative o recurso de resposta de handshake do usuário on-line 802.1X.
      • dot1x handshake reply enable

      Por padrão, o dispositivo não responde aos pacotes EAP-Response/Identity dos clientes 802.1X durante o processo de handshake on-line.

    Configuração da detecção de pacotes para autenticação 802.1X

    Sobre esta tarefa

    Quando a detecção de pacotes para autenticação 802.1X está ativada em uma porta, o dispositivo envia pacotes de detecção para os usuários 802.1X conectados a essa porta em intervalos de detecção off-line definidos pelo uso do timer de detecção off-line. Se o dispositivo não receber uma resposta de um usuário depois de ter feito o máximo de tentativas de transmissão de pacotes dentro de um intervalo de detecção off-line, ele fará o logoff desse usuário e solicitará que o servidor RADIUS pare de contabilizar o usuário.

    Quando a detecção de pacotes para autenticação 802.1X e a detecção off-line 802.1X estão ativadas, o dispositivo processa um usuário 802.1X da seguinte forma:

    • Se a detecção off-line 802.1X determinar que um usuário está on-line, o dispositivo não enviará pacotes de detecção para esse usuário.
    • Se a detecção off-line do 802.1X determinar que um usuário está off-line, o dispositivo não fará imediatamente o logoff desse usuário. Em vez disso, o dispositivo envia um pacote de detecção para esse usuário. Ele fará o logoff do usuário se não receber uma resposta do mesmo após ter feito o máximo de tentativas de transmissão de pacotes dentro de um intervalo de detecção off-line.

    O 802.1X usa pacotes de solicitação ARP para detectar o status on-line de usuários IPv4 e usa pacotes NS para detectar o status on-line de usuários IPv6.

    A detecção de pacotes adota o princípio de contagem antes de julgar. O dispositivo diminui as tentativas de detecção (tentativas de transmissão de pacotes) em 1 somente depois de determinar que não recebeu uma resposta de um usuário. O dispositivo interrompe o processo de detecção quando o número de tentativas de detecção chega a 0. A duração desde o momento em que o usuário envia o último pacote até o momento em que o usuário é desconectado é calculada usando a seguinte fórmula: duração = (tentativas + 1) * T + X. A Figura 11 mostra o processo de detecção de pacotes. Nesse exemplo, o dispositivo envia um pacote de detecção para um usuário 802.1X no máximo duas vezes.

    Figura 11 Diagrama de rede para o processo de detecção de pacotes

    Compatibilidade de recursos e versões de software

    Esse recurso é compatível apenas com a versão 6348P01 e posteriores.

    Restrições e diretrizes

    Para garantir que o dispositivo esteja ciente das alterações de endereço IP do usuário, ative o snooping ARP e o snooping ND em conjunto com a detecção de pacotes para autenticação 802.1X. Se você não ativar o ARP snooping ou o ND snooping, o dispositivo não saberá das alterações de endereço IP do usuário. Como resultado, o dispositivo ainda enviará pacotes de detecção para os endereços IP originais dos usuários e fará o logout falso desses usuários.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Defina o cronômetro de detecção off-line.
      • dot1x timer offline-detect offline-detect-value

      Por padrão, o cronômetro de detecção off-line expira em 300 segundos.

    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Ativar a detecção de pacotes para autenticação 802.1X.
      • dot1x packet-detect enable

      Por padrão, a detecção de pacotes para autenticação 802.1X está desativada.

    • Defina o número máximo de tentativas para enviar um pacote de detecção a um usuário 802.1X.
      • dot1x packet-detect retry retries

      Por padrão, o dispositivo envia um pacote de detecção para um usuário 802.1X no máximo duas vezes.

    Especificação de delimitadores de nomes de domínio compatíveis

    Sobre os delimitadores de nome de domínio suportados

    Por padrão, o dispositivo de acesso aceita o sinal de arroba (@) como delimitador. Também é possível configurar o dispositivo de acesso para acomodar usuários 802.1X que usam outros delimitadores de nome de domínio. O sinal

    Os delimitadores configuráveis incluem o sinal de arroba (@), a barra invertida (\), o ponto (.) e a barra invertida (/). Os nomes de usuário que incluem nomes de domínio podem usar o formato nome de usuário@nome de domínio, nome de domínio\nome de usuário, nome de usuário.nome de domínio ou nome de usuário/nome de domínio.

    Se uma cadeia de caracteres de nome de usuário 802.1X contiver vários delimitadores configurados, o delimitador mais à direita será o delimitador de nome de domínio. Por exemplo, se você configurar a barra invertida (\), o ponto (.) e a barra invertida (/) como delimitadores, o delimitador de nome de domínio para a cadeia de caracteres de nome de usuário 121.123/22\@abc será a barra invertida (\). O nome de usuário é @abc e o nome de domínio é 121.123/22.

    Restrições e diretrizes

    Se uma cadeia de caracteres de nome de usuário não contiver nenhum dos delimitadores, o dispositivo de acesso autenticará o usuário no domínio ISP obrigatório ou padrão.

    Se você configurar o dispositivo de acesso para enviar nomes de usuário com nomes de domínio para o servidor RADIUS, certifique-se de que o delimitador de domínio possa ser reconhecido pelo servidor RADIUS. Para a configuração do formato do nome de usuário, consulte o comando user-name-format na Referência de comandos de segurança.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Especifique um conjunto de delimitadores de nome de domínio para usuários 802.1X.
      • dot1x domain-delimiter string

      Por padrão, somente o delimitador de sinal de arroba (@) é suportado.

    Remoção das tags de VLAN dos pacotes do protocolo 802.1X enviados por uma porta

    Sobre a remoção das tags de VLAN dos pacotes do protocolo 802.1X enviados por uma porta

    Esse recurso opera em uma porta híbrida para que ela envie pacotes do protocolo 802.1X com suas tags de VLAN removidas, independentemente de a porta ser um membro com ou sem tags de uma VLAN.

    Use esse recurso se a porta híbrida habilitada para 802.1X for um membro marcado de seu PVID e os clientes 802.1X conectados não puderem reconhecer pacotes de protocolo 802.1X marcados com VLAN.

    Restrições e diretrizes

    Esse recurso remove as tags de VLAN de todos os pacotes de protocolo 802.1X enviados da porta para clientes 802.1X. Não use esse recurso se houver clientes 802.1X com reconhecimento de VLAN conectados à porta. Como prática recomendada, execute essa tarefa somente no cenário aplicável descrito.

    Pré-requisitos

    Defina o tipo de link da porta habilitada para 802.1X como híbrido. Para obter mais informações, consulte Configuração de VLAN no Guia de configuração de comutação de LAN de camada 2.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Remover as tags de VLAN de todos os pacotes do protocolo 802.1X enviados da porta para clientes 802.1X.
      • dot1x eapol untag

      Por padrão, o fato de o dispositivo remover as tags de VLAN de todos os pacotes do protocolo 802.1X enviados de uma porta para clientes 802.1X depende da configuração no módulo VLAN.

    CUIDADO:

    Esse comando remove as tags de VLAN de todos os pacotes do protocolo 802.1X enviados da porta para os clientes 802.1X. Não use esse comando se os clientes 802.1X com reconhecimento de VLAN estiverem conectados à porta. Como prática recomendada, use esse comando somente no cenário aplicável descrito.

    Configuração do número máximo de tentativas de autenticação 802.1X para usuários autenticados por MAC

    Sobre tentativas de autenticação para usuários autenticados por MAC

    Quando uma porta usa tanto a autenticação 802.1X quanto a autenticação MAC, o dispositivo aceita solicitações de autenticação 802.1X de usuários autenticados por MAC. Se um usuário autenticado por MAC for aprovado na autenticação 802.1X, ele ficará on-line como um usuário 802.1X. Se o usuário falhar na autenticação 802.1X, ele continuará a fazer tentativas de autenticação 802.1X, dependendo da configuração do cliente.

    Execute esta tarefa para limitar o número de tentativas de autenticação 802.1X feitas por um usuário autenticado por MAC.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Defina o número máximo de tentativas de autenticação 802.1X para usuários autenticados por MAC na porta.
      • dot1x after-mac-auth max-attempt max-attempts

      Por padrão, o número de tentativas de autenticação 802.1X para usuários autenticados por MAC não é limitado em uma porta.

    Ativação do congelamento de IP do usuário 802.1X

    Sobre o congelamento de IP do usuário 802.1X

    Esse recurso funciona com o recurso de proteção de origem de IP. A proteção de origem de IP baseada em 802.1X exige que os clientes 802.1X suportem o envio de endereços IP do usuário para o dispositivo de acesso. O dispositivo usa informações como endereços MAC de usuário e endereços IP obtidos por meio do 802.1X para gerar associações IPSG e filtrar pacotes IPv4 de usuários 802.1X não autenticados. Para obter informações sobre a proteção de origem de IP, consulte "Configuração da proteção de origem de IP".

    Esse recurso impede que qualquer usuário 802.1X autenticado em uma porta altere seus endereços IP. Depois que você ativar esse recurso, a porta não atualizará os endereços IP em associações dinâmicas de IPSG para usuários 802.1X. Se um usuário 802.1X usar um endereço IP diferente do endereço IP em sua entrada de associação IPSG, a porta negará o acesso do usuário.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Habilite o congelamento de IP do usuário 802.1X.
      • dot1x user-ip freeze

      Por padrão, o congelamento de IP do usuário 802.1X está desativado.

    Ativação da geração de entradas dinâmicas de ligação IPSG para usuários autenticados 802.1X

    Sobre esta tarefa

    IMPORTANTE:

    Esse recurso deve funcionar em conjunto com o recurso IPSG (IP source guard).

    Por padrão, o dispositivo gera uma entrada de associação IPv4SG ou IPv6SG dinâmica para um usuário autenticado 802.1X depois que o usuário obtém um endereço IP estático ou atribuído por DHCP.

    Para aumentar a segurança, permitindo que apenas os usuários 802.1X com endereços IP atribuídos por DHCP acessem a rede, execute as seguintes operações:

    • Ativar IPSG.
    • Desative a geração de entradas dinâmicas de ligação IPv4SG ou IPv6SG para usuários autenticados 802.1X.
    • Habilite o snooping DHCP. O dispositivo gerará entradas de associação IPv4SG ou IPv6SG para os usuários com base no DHCP snooping.

    Para obter mais informações sobre o IPSG, consulte IP source guard no Security Configuration Guide.

    Versão do software e compatibilidade de recursos

    Esse recurso é compatível apenas com a versão 6340 e posteriores.

    Restrições e diretrizes

    Esse recurso entra em vigor somente nos usuários 802.1X que ficam on-line depois que o recurso é ativado. Se o endereço IP de um usuário 802.1X on-line for alterado, o dispositivo atualizará a entrada de associação dinâmica IPv4SG ou IPv6SG para esse usuário.

    A desativação desse recurso não exclui as entradas de associação IPv4SG ou IPv6SG dinâmicas existentes para usuários 802.1X on-line. Se o endereço IP de um usuário 802.1X on-line mudar depois que o recurso for desativado, o dispositivo excluirá a entrada de associação dinâmica de IPv4SG ou IPv6SG desse usuário.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Habilite a geração de entradas dinâmicas de ligação IPv4SG ou IPv6SG para usuários autenticados 802.1X.
      • dot1x { ip-verify-source | ipv6-verify-source } enable

      Por padrão, a geração de entradas dinâmicas de associação IPv4SG ou IPv6SG para usuários autenticados 802.1X está ativada.

    Configuração da vinculação de endereços MAC 802.1X

    Sobre a vinculação de endereços MAC 802.1X

    Esse recurso pode vincular automaticamente endereços MAC de usuários 802.1X autenticados à porta de acesso dos usuários e gerar entradas de vinculação de endereços MAC 802.1X. Você também pode usar o comando dot1x mac-binding mac-address para adicionar manualmente entradas de associação de endereços MAC 802.1X.

    802.1X As entradas de vinculação de endereço MAC nunca envelhecem. Elas podem sobreviver a um logoff de usuário ou a uma reinicialização do dispositivo. Se os usuários nas entradas de associação de endereços MAC 802.1X executarem a autenticação 802.1X em outra porta, eles não poderão passar a autenticação.

    Restrições e diretrizes

    O recurso de vinculação de endereço MAC 802.1X entra em vigor somente quando a porta executa o controle de acesso baseado em MAC.

    Para excluir uma entrada de associação de endereço MAC 802.1X, use o comando undo dot1x mac-binding mac-address. Uma entrada de associação de endereço MAC 802.1X não pode ser excluída quando o usuário da entrada estiver on-line.

    Depois que o número de entradas de associação de endereços MAC 802.1X atingir o limite superior de usuários 802.1X simultâneos (definido com o comando dot1x max-user), haverá as seguintes restrições:

    • Os usuários que não estiverem nas entradas de associação falharão na autenticação mesmo depois que os usuários nas entradas de associação ficarem off-line.
    • Não são permitidas novas entradas de vinculação de endereço MAC 802.1X.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Habilite o recurso de vinculação de endereço MAC 802.1X.
      • dot1x mac-binding enable

      Por padrão, o recurso está desativado.

    • (Opcional.) Adicione manualmente uma entrada de vinculação de endereço MAC 802.1X.
      • dot1x mac-binding mac-address

      Por padrão, não existem entradas de vinculação de endereço MAC 802.1X em uma porta.

    Configuração do recurso de assistente de EAD

    Restrições e diretrizes

    Quando você configurar o assistente de EAD, siga estas restrições e diretrizes:

    • Você deve desativar a autenticação MAC e a segurança da porta globalmente antes de ativar o recurso de assistente EAD.
    • Para que o recurso de assistente de EAD entre em vigor em uma porta habilitada para 802.1X, é necessário definir o modo de autorização da porta como automático.
    • Quando a autenticação MAC global ou a segurança da porta está ativada, o IP livre não entra em vigor.
    • Para que o recurso 802.1X guest VLAN funcione corretamente, não ative o assistente EAD junto com o recurso 802.1X guest VLAN.
    • A partir da versão 6331, o comando dot1x ead-assistant permit authentication-escape foi adicionado para remover o problema de mau funcionamento da VLAN 802.1X Auth-Fail e da VLAN crítica quando o assistente de EAD está ativado. Esse comando permite que o dispositivo remova as entradas de EAD dos usuários antes de atribuí-los à 802.1X Auth-Fail e às VLANs críticas.
    • Se você usar os recursos de IP livre e Auth-Fail VLAN juntos, certifique-se de que os recursos na Auth-Fail VLAN estejam nos segmentos de IP livre.
    • O servidor que fornece o URL de redirecionamento deve estar no IP livre acessível a usuários não autenticados.

    A partir da versão 6328, você pode usar o assistente de EAD em conjunto com a autenticação MAC. Quando você usar o assistente de EAD e a autenticação MAC no dispositivo, siga estas restrições e diretrizes:

    • Se o assistente de EAD e a autenticação MAC estiverem configurados, o dispositivo não marcará o endereço MAC de um usuário que falhou na autenticação MAC como um endereço MAC silencioso. Se o usuário nunca tiver sido aprovado na autenticação MAC, os pacotes do usuário poderão acionar a autenticação MAC novamente somente depois que a entrada do EAD do usuário se esgotar.
    • Como prática recomendada, não configure VLANs convidadas ou VLANs críticas com autenticação MAC. As VLANs podem não funcionar corretamente quando o assistente EAD e a autenticação MAC estiverem configurados no dispositivo.
    • Como prática recomendada, não configure o recurso de autenticação da Web ou de proteção de origem IP. Esses recursos podem não funcionar corretamente quando o assistente EAD e a autenticação MAC estiverem configurados no dispositivo.
    • Se o endereço MAC de um usuário tiver sido marcado como endereço MAC silencioso antes de você ativar o assistente EAD, os pacotes do usuário poderão acionar a autenticação 802.1X ou MAC somente depois que o timer de silêncio expirar.
    • A partir da versão 6331, o comando dot1x ead-assistant permit authentication-escape foi adicionado para remover o problema de mau funcionamento da VLAN crítica de autenticação MAC quando o assistente de EAD está ativado. Esse comando permite que o dispositivo remova as entradas do EAD dos usuários do antes de atribuir os usuários às VLANs críticas de autenticação MAC.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Habilite o recurso de assistente de EAD.
      • dot1x ead-assistant enable
    • Configure um IP gratuito.
      • dot1x ead-assistant free-ip ip-address { mask-length | mask-address }

      Repita esse comando para configurar vários IPs livres.

    • (Opcional.) Configure o URL de redirecionamento se os usuários usarem navegadores da Web para acessar a rede.
      • dot1x ead-assistant url url-string

      Por padrão, não existe URL de redirecionamento.

      Por padrão, o dispositivo escuta a porta 6654 para solicitações HTTPS a serem redirecionadas. Para alterar o número da porta de escuta do redirecionamento, consulte Configuração do redirecionamento de HTTP no Guia de configuração de serviços de camada 3 IP.

    • (Opcional.) Defina o cronômetro da regra EAD.
      • dot1x timer ead-timeout ead-timeout-value

      A configuração padrão é 30 minutos.

      Para evitar o uso de recursos de ACL quando houver um grande número de usuários EAD, é possível reduzir o timer da regra EAD.

    • (Opcional.) Habilite o suporte para 802.1X Auth-Fail e VLANs críticas e VLANs críticas de autenticação MAC quando o assistente 802.1X EAD estiver habilitado.
      • dot1x ead-assistant permit authentication-escape

      Por padrão, o 802.1X Auth-Fail e as VLANs críticas e as VLANs críticas de autenticação MAC não podem entrar em vigor quando o assistente 802.1X EAD está ativado.

      Esse comando é compatível apenas com a versão 6331 e posteriores.

    Definição do tamanho máximo dos fragmentos de EAP-TLS enviados ao servidor

    Sobre a fragmentação 802.1X EAP-TLS

    Quando o dispositivo usa o método de autenticação EAP-TLS no modo de retransmissão EAP, os pacotes RADIUS podem exceder o tamanho máximo de pacote suportado pelo servidor RADIUS. Essa situação geralmente ocorre porque as mensagens EAP-TLS longas são encapsuladas no atributo EAP-Message do pacote RADIUS enviado ao servidor RADIUS.

    Para evitar falhas de autenticação causadas por pacotes muito grandes, fragmente as mensagens EAP-TLS de acordo com o tamanho máximo de pacote RADIUS suportado pelo servidor RADIUS remoto.

    Por exemplo, o comprimento máximo do pacote permitido pelo servidor é de 1.200 bytes e o comprimento de um pacote RADIUS (excluindo o atributo EAP-Message) é de 800 bytes. Para garantir que o comprimento máximo de um pacote RADIUS não exceda 1.200 bytes, você deve definir o comprimento máximo de um fragmento EAP-TLS como um valor inferior a 400 bytes.

    Restrições e diretrizes

    A fragmentação 802.1X EAP-TLS só tem efeito quando o modo de retransmissão EAP é usado. Para obter mais informações sobre a ativação do relé EAP, consulte "Ativação do relé EAP ou da terminação EAP".

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Habilite a fragmentação 802.1X EAP-TLS e defina o tamanho máximo do fragmento EAP-TLS.
      • dot1x eap-tls-fragment to-server eap-tls-max-length

      Por padrão, as mensagens EAP-TLS não são fragmentadas.

    Encerrar a sessão de usuários 802.1X

    Sobre esta tarefa

    Execute esta tarefa para fazer logoff dos usuários 802.1X especificados e limpar as informações sobre esses usuários do dispositivo. Esses usuários devem executar a autenticação 802.1X para ficarem on-line novamente.

    Versão do software e compatibilidade de recursos

    Esse recurso é compatível apenas com a versão 6318P01 e posteriores.

    Procedimento

    Para fazer logoff de usuários 802.1X, execute o seguinte comando na visualização do usuário:

    reset dot1x access-user [ interface interface-type interface-number | mac  mac-address | username username | vlan vlan-id ]

    Ativação do registro de usuários 802.1X

    Sobre o registro de usuários 802.1X

    Esse recurso permite que o dispositivo gere logs sobre os usuários do 802.1X e envie os logs para o centro de informações. Para que os logs sejam gerados corretamente, é necessário configurar também o centro de informações no dispositivo. Para obter mais informações sobre a configuração da central de informações, consulte o Guia de configuração de monitoramento e gerenciamento de rede.

    Restrições e diretrizes

    Para evitar entradas excessivas de registro de usuários 802.1X, use esse recurso somente se precisar analisar logins ou logouts anormais de usuários 802.1X.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Habilite o registro de usuários 802.1X.
      • dot1x access-user log enable [ abnormal-logoff | failed-login | normal-logoff | successful-login ] *

      Por padrão, o registro de usuários 802.1X está desativado.

      Se você não especificar nenhum parâmetro, esse comando habilitará todos os tipos de registros de usuários 802.1X.

    Comandos de exibição e manutenção para 802.1X

    Execute comandos de exibição em qualquer visualização e redefina comandos na visualização do usuário.

    Tarefa Comando
    Exibir informações de sessão 802.1X, estatísticas ou informações de configuração de portas especificadas ou de todas as portas. display dot1x [ sessions | statistics ] [ interface interface-type interface-número ]
    Exibir informações de usuário 802.1X on-line. display dot1x connection [ open ] [ interface interface-type interface-number | slot slot-number | user-mac mac-address | nome de usuário name-string ]
    Exibir informações de endereço MAC de usuários 802.1X em VLANs 802.1X de um tipo específico. display dot1x mac-address { auth-fail-vlan | critical-vlan | guest-vlan } [ interface interface-type interface-number ]
    Remover usuários da VLAN de convidado 802.1X em uma porta. reset dot1x guest-vlan interface interface-type interface-number [ mac-address mac-address ]
    Limpar estatísticas 802.1X. reset dot1x statistics [ interface interface-type interface-number ]

    802.1X Exemplos de configuração de autenticação

    Exemplo: Configuração da autenticação 802.1X básica

    Configuração de rede

    Conforme mostrado na Figura 12, o dispositivo de acesso executa a autenticação 802.1X para os usuários que se conectam à GigabitEthernet 1/0/1. Implemente o controle de acesso baseado em MAC na porta, para que o logoff de um usuário não afete outros usuários 802.1X on-line.

    Use servidores RADIUS para realizar a autenticação, a autorização e a contabilidade dos usuários 802.1X. Se a autenticação RADIUS falhar, execute a autenticação local no dispositivo de acesso.

    Configure o servidor RADIUS em 10.1.1.1/24 como o servidor primário de autenticação e contabilidade e o servidor RADIUS em 10.1.1.2/24 como o servidor secundário de autenticação e contabilidade. Atribua todos os usuários ao domínio bbb do ISP.

    Defina a chave compartilhada como nome para os pacotes entre o dispositivo de acesso e o servidor de autenticação. Defina a chave compartilhada como dinheiro para os pacotes entre o dispositivo de acesso e o servidor de contabilidade.

    Figura 12 Diagrama de rede

    Procedimento

    Para obter informações sobre os comandos RADIUS usados no dispositivo de acesso neste exemplo, consulte

    Referência de comandos de segurança.

    • Configure os servidores RADIUS e adicione contas de usuário para os usuários 802.1X. Certifique-se de que os servidores RADIUS possam fornecer serviços de autenticação, autorização e contabilidade. (Detalhes não mostrados.)
    • Atribua um endereço IP a cada interface. (Detalhes não mostrados).
    • Configure as contas de usuário para os usuários 802.1X no dispositivo de acesso:

      • # Adicione um usuário de acesso à rede local com nome de usuário localuser e senha localpass em texto simples. (Certifique-se de que o nome de usuário e a senha sejam os mesmos que os configurados nos servidores RADIUS).

      <Device> system-view
                     [Device] local-user localuser class network
                     [Device-luser-network-localuser] password simple localpass

      # Defina o tipo de serviço como lan-access.

      [Device-luser-network-localuser] service-type lan-access
                     [Device-luser-network-localuser] quit
    • Configure um esquema RADIUS no dispositivo de acesso:

      • # Crie um esquema RADIUS chamado radius1 e entre na visualização do esquema RADIUS.

      [Device] radius scheme radius1

      # Especifique os endereços IP dos servidores RADIUS primários de autenticação e contabilidade.

      [Device-radius-radius1] primary authentication 10.1.1.1
                     [Device-radius-radius1] primary accounting 10.1.1.1

      # Configure os endereços IP dos servidores RADIUS secundários de autenticação e contabilidade.

      [Device-radius-radius1] secondary authentication 10.1.1.2
                     [Device-radius-radius1] secondary accounting 10.1.1.2

      # Especifique a chave compartilhada entre o dispositivo de acesso e o servidor de autenticação.

      [Device-radius-radius1] key authentication simple name

      # Especifique a chave compartilhada entre o dispositivo de acesso e o servidor de contabilidade.

      [Device-radius-radius1] key accounting simple money

      # Excluir os nomes de domínio do ISP dos nomes de usuário enviados aos servidores RADIUS.

      [Device-radius-radius1] user-name-format without-domain
                     [Device-radius-radius1] quit

      OBSERVAÇÃO:

      O dispositivo de acesso deve usar o mesmo formato de nome de usuário que o servidor RADIUS. Se o servidor RADIUS incluir o nome de domínio do ISP no nome de usuário, o dispositivo de acesso também deverá fazê-lo.

    • Configure um domínio ISP no dispositivo de acesso:

      • # Crie um domínio ISP chamado bbb e entre no modo de exibição de domínio ISP.

      [Device] domain bbb

      # Aplique o esquema RADIUS radius1 ao domínio ISP e especifique a autenticação local como o método de autenticação secundário.

      [Device-isp-bbb] authentication lan-access radius-scheme radius1 local
                     [Device-isp-bbb] authorization lan-access radius-scheme radius1 local
                     [Device-isp-bbb] accounting lan-access radius-scheme radius1 local
                     [Device-isp-bbb] quit
    • Configure o 802.1X no dispositivo de acesso:

      • # Habilite o 802.1X na GigabitEthernet 1/0/1.

      [Device] interface gigabitethernet 1/0/1
                     [Device-GigabitEthernet1/0/1] dot1x

      # Habilite o controle de acesso baseado em MAC na porta. Por padrão, a porta usa o controle de acesso baseado em MAC.

      [Device-GigabitEthernet1/0/1] dot1x port-method macbased

      # Especifique o domínio ISP bbb como o domínio obrigatório.

      [Device-GigabitEthernet1/0/1] dot1x mandatory-domain bbb
                     [Device-GigabitEthernet1/0/1] quit

      # Habilite o 802.1X globalmente.

      [Device-GigabitEthernet1/0/1] dot1x mandatory-domain bbb
                     [Device-GigabitEthernet1/0/1] quit
    • Configure o cliente 802.1X. Se for usado um cliente iNode, não selecione a informação Carry version na configuração do cliente. (Detalhes não mostrados.)

    Verificação da configuração

    # Verifique a configuração 802.1X na GigabitEthernet 1/0/1.

    [Device] display dot1x interface gigabitethernet 1/0/1

    # Exibir as informações de conexão do usuário depois que um usuário 802.1X for aprovado na autenticação.

    [Device] display dot1x connection

    Exemplo: Configuração da VLAN de convidado 802.1X e da VLAN de autorização

    Configuração de rede

    Conforme mostrado na Figura 13:

    • Use servidores RADIUS para realizar autenticação, autorização e contabilidade para usuários 802.1X que se conectam à GigabitEthernet 1/0/2. Implemente o controle de acesso baseado em porta na porta.
    • Configure a VLAN 10 como a VLAN de convidado 802.1X na GigabitEthernet 1/0/2. O host e o servidor de atualização estão na VLAN 10, e o host pode acessar o servidor de atualização e fazer download do software cliente 802.1X.
    • Configure uma política de QoS para negar pacotes destinados à Internet (5.1.1.1) e aplique a política de QoS à direção de saída da VLAN 10. A configuração impede que os usuários da VLAN de convidados 802.1X acessem a Internet antes de passarem pela autenticação 802.1X.
    • Depois que o host passa pela autenticação 802.1X, o dispositivo de acesso atribui o host à VLAN 5 , onde está a GigabitEthernet 1/0/3. O host pode acessar a Internet.

    Figura 13 Diagrama de rede

    Procedimento

    Para obter informações sobre os comandos RADIUS usados no dispositivo de acesso neste exemplo, consulte Referência de comandos de segurança.

    • Configure o servidor RADIUS para fornecer serviços de autenticação, autorização e contabilidade. Configure as contas de usuário e a VLAN de autorização (VLAN 5, neste exemplo) para os usuários. (Detalhes não mostrados.)
    • Crie VLANs e atribua portas às VLANs no dispositivo de acesso.

      • OBSERVAÇÃO:

      Por padrão, a VLAN 1 existe e todas as portas pertencem à VLAN. Não é necessário criar a VLAN ou atribuir a GigabitEthernet 1/0/2 à VLAN.

      <Device> system-view
                     [Device] vlan 10
                     [Device-vlan10] port gigabitethernet 1/0/1
                     [Device-vlan10] quit
                     [Device] vlan 2
                     [Device-vlan2] port gigabitethernet 1/0/4
                     [Device-vlan2] quit
                     [Device] vlan 5
                     [Device-vlan5] port gigabitethernet 1/0/3
                     [Device-vlan5] quit
    • Configure uma política de QoS:

      • # Configure a ACL 3000 avançada para corresponder aos pacotes destinados a 5.1.1.1.

      [Device] acl advanced 3000
                     [Device-acl-ipv4-adv-3000] rule permit ip destination 5.1.1.1 0.0.0.255
                     [Device-acl-ipv4-adv-3000] quit

      # Especifique a ACL 3000 avançada na classe de tráfego classifier_1 para corresponder ao tráfego.

      [Device] traffic classifier classifier_1
                     [Device-classifier-classifier_1] if-match acl 3000
                     [Device-classifier-classifier_1] quit

      # Configure o comportamento de tráfego behavior_1 para negar os pacotes correspondentes.

      [Device] traffic behavior behavior_1
                     [Device-behavior-behavior_1] filter deny
                     [Device-behavior-behavior_1] quit

      # Configurar a política de QoS policy_1 para associar a classe de tráfego classifier_1 ao comportamento do tráfego behavior_1.

      [Device] traffic behavior behavior_1
                     [Device-behavior-behavior_1] filter deny
                     [Device-behavior-behavior_1] quit

      # Aplique a política de QoS policy_1 à direção de saída da VLAN 10.

      [Device] qos vlan-policy policy_1 vlan 10 outbound
    • Configure um esquema RADIUS no dispositivo de acesso:

      • # Crie o esquema RADIUS 2000 e entre na visualização do esquema RADIUS.

      [Device] radius scheme 2000

      # Especifique o servidor em 10.11.1.1 como o servidor de autenticação principal e defina a porta de autenticação como 1812.

      [Device-radius-2000] primary authentication 10.11.1.1 1812

      # Especifique o servidor em 10.11.1.1 como o servidor de contabilidade principal e defina a porta de contabilidade como 1813.

      [Device-radius-2000] primary accounting 10.11.1.1 1813

      # Defina a chave compartilhada como abc em texto simples para uma comunicação segura entre o servidor de autenticação e o dispositivo.

      [Device-radius-2000] key authentication simple abc

      # Defina a chave compartilhada como abc em texto simples para comunicação segura entre o servidor de contabilidade e o dispositivo.

      [Device-radius-2000] key accounting simple abc

      # Excluir os nomes de domínio do ISP dos nomes de usuário enviados ao servidor RADIUS.

      [Device-radius-2000] user-name-format without-domain
                     [Device-radius-2000] quit
    • Configure um domínio ISP no dispositivo de acesso:

      • # Crie o domínio ISP bbb e entre na visualização do domínio ISP.

      [Device] domain bbb

      # Aplique o esquema RADIUS 2000 ao domínio ISP para autenticação, autorização e contabilidade.

      [Device-isp-bbb] authentication lan-access radius-scheme 2000
                     [Device-isp-bbb] authorization lan-access radius-scheme 2000
                     [Device-isp-bbb] accounting lan-access radius-scheme 2000
                     [Device-isp-bbb] quit
    • Configure o 802.1X no dispositivo de acesso:

      • # Habilite o 802.1X na GigabitEthernet 1/0/2.

      [Device] interface gigabitethernet 1/0/2
                     [Device-GigabitEthernet1/0/2] dot1x

      # Implemente o controle de acesso baseado em porta na porta.

      [Device-GigabitEthernet1/0/2] dot1x port-method portbased

      # Defina o modo de autorização da porta como automático. Por padrão, a porta usa o modo automático.

      [Device-GigabitEthernet1/0/2] dot1x port-control auto

      # Especifique a VLAN 10 como a VLAN de convidado 802.1X na GigabitEthernet 1/0/2.

      [Device-GigabitEthernet1/0/2] dot1x guest-vlan 10
                     [Device-GigabitEthernet1/0/2] quit

      # Habilite o 802.1X globalmente.

      [Device] dot1x
    • Configure o cliente 802.1X. Certifique-se de que o cliente 802.1X possa atualizar seu endereço IP depois que a porta de acesso for atribuída à VLAN de convidado ou a uma VLAN de autorização. (Detalhes não mostrados.)

    Verificação da configuração

    # Verifique a configuração da VLAN de convidado 802.1X na GigabitEthernet 1/0/2.

    [Device] display dot1x interface gigabitethernet 1/0/2

    # Verifique se a GigabitEthernet 1/0/2 está atribuída à VLAN 10 antes que qualquer usuário passe pela autenticação na porta.

    [Device] display vlan 10

    # Depois que um usuário passar pela autenticação, exiba informações sobre a GigabitEthernet 1/0/2. Verifique se a GigabitEthernet 1/0/2 está atribuída à VLAN 5.

    [Device] display interface gigabitethernet 1/0/2

    Exemplo: Configuração do 802.1X com atribuição de ACL

    Configuração de rede

    Conforme mostrado na Figura 14, o host que se conecta à GigabitEthernet 1/0/1 deve passar pela autenticação 802.1X para acessar a Internet.

    Execute a autenticação 802.1X na GigabitEthernet 1/0/1. Use o servidor RADIUS em 10.1.1.1 como servidor de autenticação e autorização, e o servidor RADIUS em 10.1.1.2 como servidor de contabilidade.

    Configure a atribuição de ACL na GigabitEthernet 1/0/1 para negar o acesso de usuários 802.1X ao servidor FTP das 8:00 às 18:00 nos dias úteis.

    Figura 14 Diagrama de rede

    Procedimento

    Para obter informações sobre os comandos RADIUS usados no dispositivo de acesso neste exemplo, consulte

    Referência de comandos de segurança.

    • Configure os servidores RADIUS para fornecer serviços de autenticação, autorização e contabilidade. Adicione contas de usuário e especifique a ACL (ACL 3000, neste exemplo) para os usuários. (Os detalhes não são mostrados).
    • Atribua um endereço IP a cada interface, conforme mostrado na Figura 14. (Detalhes não mostrados).
    • Configure um esquema RADIUS no dispositivo de acesso:

      • # Crie o esquema RADIUS 2000 e entre na visualização do esquema RADIUS.

      <Device> system-view
                     [Device] radius scheme 2000

      # Especifique o servidor em 10.1.1.1 como o servidor de autenticação principal e defina a autenticação porto até 1812.

      [Device-radius-2000] primary authentication 10.1.1.1 1812

      # Especifique o servidor em 10.1.1.2 como o servidor de contabilidade principal e defina a porta de contabilidade como 1813.

      [Device-radius-2000] primary accounting 10.1.1.2 1813

      # Defina a chave compartilhada como abc em texto simples para uma comunicação segura entre o servidor de autenticação e o dispositivo.

      [Device-radius-2000] key authentication simple abc

      # Defina a chave compartilhada como abc em texto simples para comunicação segura entre o servidor de contabilidade e o dispositivo.

      [Device-radius-2000] key accounting simple abc

      # Excluir os nomes de domínio do ISP dos nomes de usuário enviados ao servidor RADIUS.

      [Device-radius-2000] user-name-format without-domain
                     [Device-radius-2000] quit
    • Configure um domínio ISP no dispositivo de acesso:

      • # Crie o domínio ISP bbb e entre na visualização do domínio ISP.

      [Device] domain bbb

      # Aplique o esquema RADIUS 2000 ao domínio ISP para autenticação, autorização e contabilidade.

      [Device-isp-bbb] authentication lan-access radius-scheme 2000
                     [Device-isp-bbb] authorization lan-access radius-scheme 2000
                     [Device-isp-bbb] accounting lan-access radius-scheme 2000
                     [Device-isp-bbb] quit
    • Configure um intervalo de tempo denominado ftp das 8:00 às 18:00 horas nos dias úteis no dispositivo de acesso.
      • [Device] time-range ftp 8:00 to 18:00 working-day
    • Configure a ACL 3000 para negar pacotes destinados ao servidor FTP em 10.0.0.1 durante o intervalo de tempo especificado no dispositivo de acesso.
      • [Device] acl advanced 3000
                     [Device-acl-ipv4-adv-3000] rule 0 deny ip destination 10.0.0.1 0 time-range ftp
                     [Device-acl-ipv4-adv-3000] quit
    • Configure o 802.1X no dispositivo de acesso:

      • # Habilite o 802.1X na GigabitEthernet 1/0/1.

      [Device] interface gigabitethernet 1/0/1
                     [Device-GigabitEthernet1/0/1] dot1x
                     [Device-GigabitEthernet1/0/1] quit

      # Habilite o 802.1X globalmente.

      [Device] dot1x
    • Configure o cliente 802.1X. Certifique-se de que o cliente seja capaz de atualizar seu endereço IP depois que a porta de acesso for atribuída à VLAN de convidado 802.1X ou a uma VLAN de autorização. (Detalhes não mostrados.)

      • Verificação da configuração

      # Use a conta de usuário para passar a autenticação. (Detalhes não mostrados).

      # Verifique se o usuário não pode fazer ping no servidor FTP a qualquer momento das 8:00 às 18:00 em qualquer dia da semana.

      C:\>ping 10.0.0.1
                     Pinging 10.0.0.1 with 32 bytes of data:
                     Request timed out.
                     Request timed out.
                     Request timed out.
                     Request timed out.
                     Ping statistics for 10.0.0.1:
                     Packets: Sent = 4, Received = 0, Lost = 4 (100% loss),

      A saída mostra que a ACL 3000 está ativa no usuário, e o usuário não pode acessar o servidor FTP.

    Exemplo: Configuração do 802.1X com assistente EAD (com agente de retransmissão DHCP)

    Configuração de rede

    Conforme mostrado na Figura 15:

    • A intranet 192.168.1.0/24 está conectada à GigabitEthernet 1/0/1 do dispositivo de acesso.
    • Os hosts usam DHCP para obter endereços IP.
    • Um servidor DHCP e um servidor Web são implantados na sub-rede 192.168.2.0/24 para que os usuários obtenham endereços IP e façam download do software cliente.

    Implante uma solução de EAD para a intranet para atender aos seguintes requisitos:

    • Permita que usuários não autenticados e usuários que falharam na autenticação 802.1X acessem 192.168.2.0/24. Os usuários podem obter endereços IP e fazer download de software.
    • Se esses usuários usarem um navegador da Web para acessar uma rede diferente de 192.168.2.0/24, redirecione-os para o servidor da Web para fazer o download do cliente 802.1X.
    • Permitir que usuários 802.1X autenticados acessem a rede.

    Figura 15 Diagrama de rede

    Procedimento

    • Certifique-se de que o servidor DHCP, o servidor Web e os servidores de autenticação tenham sido configurados corretamente. (Detalhes não mostrados.)
    • Configure um endereço IP para cada interface. (Detalhes não mostrados).
    • Configurar a retransmissão de DHCP: # Habilite o DHCP.
      • <Device> system-view
                     [Device] dhcp enable

      # Habilite o agente de retransmissão DHCP na interface VLAN 2.

      [Device] interface vlan-interface 2
                     [Device-Vlan-interface2] dhcp select relay

      # Especifique o servidor DHCP 192.168.2.2 na interface do agente de retransmissão VLAN-interface 2.

      [Device-Vlan-interface2] dhcp relay server-address 192.168.2.2
                     [Device-Vlan-interface2] quit
    • Configurar um esquema RADIUS:

      • # Crie o esquema RADIUS 2000 e entre na visualização do esquema RADIUS.

      [Device] radius scheme 2000

      # Especifique o servidor em 10.1.1.1 como o servidor de autenticação principal e defina a porta de autenticação como 1812.

      [Device-radius-2000] primary authentication 10.1.1.1 1812

      # Especifique o servidor em 10.1.1.2 como o servidor de contabilidade principal e defina a porta de contabilidade como 1813.

      [Device-radius-2000] primary accounting 10.1.1.2 1813

      # Defina a chave compartilhada como abc em texto simples para uma comunicação segura entre o servidor de autenticação e o dispositivo.

      [Device-radius-2000] key authentication simple abc

      # Defina a chave compartilhada como abc em texto simples para comunicação segura entre o servidor de contabilidade e o dispositivo.

      [Device-radius-2000] key accounting simple abc

      # Excluir os nomes de domínio do ISP dos nomes de usuário enviados ao servidor RADIUS.

      [Device-radius-2000] user-name-format without-domain
                     [Device-radius-2000] quit
    • Configurar um domínio ISP:

      • # Crie o domínio ISP bbb e entre na visualização do domínio ISP.

      [Device] domain bbb

      # Aplique o esquema RADIUS 2000 ao domínio ISP para autenticação, autorização e contabilidade.

      [Device-isp-bbb] authentication lan-access radius-scheme 2000
                     [Device-isp-bbb] authorization lan-access radius-scheme 2000
                     [Device-isp-bbb] accounting lan-access radius-scheme 2000
                     [Device-isp-bbb] quit
    • Configurar o 802.1X:

      • # Configure o IP livre.

      [Device] dot1x ead-assistant free-ip 192.168.2.0 24

      # Configure o URL de redirecionamento para download do software do cliente.

      [Device] dot1x ead-assistant url http://192.168.2.3

      # Habilite o recurso de assistente de EAD.

      [Device] dot1x ead-assistant enable

      # Habilite o 802.1X na GigabitEthernet 1/0/1.

      [Device] interface gigabitethernet 1/0/1
                     [Device-GigabitEthernet1/0/1] dot1x
                     [Device-GigabitEthernet1/0/1] quit

      # Habilite o 802.1X globalmente.

      [Device] dot1x

      Verificação da configuração

      # Verificar a configuração do 802.1X.

      [Device] display dot1x

      # Verifique se você pode fazer ping em um endereço IP na sub-rede IP livre a partir de um host.

      C:\>ping 192.168.2.3

      C:\>ping 192.168.2.3
                     Pinging 192.168.2.3 with 32 bytes of data:
                     Reply from 192.168.2.3: bytes=32 time< TTL=128
                     Reply from 192.168.2.3: bytes=32 time< TTL=128
                     Reply from 192.168.2.3: bytes=32 time< TTL=128
                     Reply from 192.168.2.3: bytes=32 time< TTL=128
                     Ping statistics for 192.168.2.3:
                     Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
                     Approximate round trip times in milli-seconds:
                     Minimum = 0ms, Maximum = 0ms, Average = 0ms

      A saída mostra que você pode acessar a sub-rede IP livre antes de passar pela autenticação 802.1X.

      # Verifique se você é redirecionado para o servidor da Web quando digita no navegador da Web um endereço IP que não está no IP livre. (Detalhes não mostrados.)

    Exemplo: Configuração do 802.1X com assistente EAD (com servidor DHCP)

    Configuração de rede

    Conforme mostrado na Figura 16:

    • A intranet 192.168.1.0/24 está conectada à GigabitEthernet 1/0/1 do dispositivo de acesso.
    • Os hosts usam DHCP para obter endereços IP.
    • Um servidor Web é implementado na sub-rede 192.168.2.0/24 para que os usuários façam download do software cliente. Implemente uma solução de EAD para a intranet para atender aos seguintes requisitos:
    • Permita que usuários não autenticados e usuários que falharam na autenticação 802.1X acessem 192.168.2.0/24. Os usuários podem fazer download de software.
    • Se esses usuários usarem um navegador da Web para acessar uma rede diferente de 192.168.2.0/24, redirecione-os para o servidor da Web para fazer download do cliente 802.1X.
    • Permitir que usuários 802.1X autenticados acessem a rede.

    Figura 16 Diagrama de rede

    Procedimento

    • Certifique-se de que o servidor da Web e os servidores de autenticação tenham sido configurados corretamente. (Detalhes não mostrados.)
    • Configure um endereço IP para cada interface. (Detalhes não mostrados).
    • Configure o servidor DHCP:

      • # Habilite o DHCP.

      <Device> system-view
                     [Device] dhcp enable

      # Habilite o servidor DHCP na interface VLAN 2.

      [Device] interface vlan-interface 2
                     [Device-Vlan-interface2] dhcp select server
                     [Device-Vlan-interface2] quit

      # Criar o pool de endereços DHCP 0.

      [Device] dhcp server ip-pool 0

      # Especifique a sub-rede 192.168.1.0/24 no pool de endereços DHCP 0.

      [Device-dhcp-pool-0] network 192.168.1.0 mask 255.255.255.0

      # Especifique o endereço de gateway 192.168.1.1 no pool de endereços DHCP 0.

      [Device-dhcp-pool-0] gateway-list 192.168.1.1
                     [Device-dhcp-pool-0] quit
    • Configurar um esquema RADIUS:

      • # Crie o esquema RADIUS 2000 e entre na visualização do esquema RADIUS.

      [Device] radius scheme 2000

      # Especifique o servidor em 10.1.1.1 como o servidor de autenticação principal e defina a porta de autenticação como 1812.

      [Device-radius-2000] primary authentication 10.1.1.1 1812

      # Especifique o servidor em 10.1.1.2 como o servidor de contabilidade principal e defina a porta de contabilidade como 1813.

      [Device-radius-2000] primary accounting 10.1.1.2 1813

      # Defina a chave compartilhada como abc em texto simples para uma comunicação segura entre o servidor de autenticação e o dispositivo.

      [Device-radius-2000] key authentication simple abc

      # Defina a chave compartilhada como abc em texto simples para comunicação segura entre o servidor de contabilidade e o dispositivo.

      [Device-radius-2000] key accounting simple abc

      # Excluir os nomes de domínio do ISP dos nomes de usuário enviados ao servidor RADIUS.

      [Device-radius-2000] user-name-format without-domain
                     [Device-radius-2000] quit
    • Configurar um domínio ISP:

      • # Crie o domínio ISP bbb e entre na visualização do domínio ISP.

      [Device] domain bbb

      # Aplique o esquema RADIUS 2000 ao domínio ISP para autenticação, autorização e contabilidade.

      [Device-isp-bbb] authentication lan-access radius-scheme 2000
                     [Device-isp-bbb] authorization lan-access radius-scheme 2000
                     [Device-isp-bbb] accounting lan-access radius-scheme 2000
                     [Device-isp-bbb] quit
    • Configurar o 802.1X:

      • # Configure o IP livre.

      [Device] dot1x ead-assistant free-ip 192.168.2.0 24

      # Configure o URL de redirecionamento para download do software do cliente.

      [Device] dot1x ead-assistant url http://192.168.2.3

      # Habilite o recurso de assistente de EAD.

      [Device] dot1x ead-assistant enable

      # Habilite o 802.1X na GigabitEthernet 1/0/1.

      [Device] interface gigabitethernet 1/0/1
                     [Device-GigabitEthernet1/0/1] dot1x
                     [Device-GigabitEthernet1/0/1] quit

      # Habilite o 802.1X globalmente.

      [Device] dot1x

      Verificação da configuração

      # Verificar a configuração do 802.1X.

      [Device] display dot1x

      # Verifique se você pode fazer ping em um endereço IP na sub-rede IP livre a partir de um host.

      C:\>ping 192.168.2.3
                     Pinging 192.168.2.3 with 32 bytes of data:
                     Reply from 192.168.2.3: bytes=32 time< TTL=128
                     Reply from 192.168.2.3: bytes=32 time< TTL=128
                     Reply from 192.168.2.3: bytes=32 time< TTL=128
                     Reply from 192.168.2.3: bytes=32 time< TTL=128

                     Ping statistics for 192.168.2.3:
                     Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
                     Approximate round trip times in milli-seconds:
                     Minimum = 0ms, Maximum = 0ms, Average = 0ms

      A saída mostra que você pode acessar a sub-rede IP livre antes de passar pela autenticação 802.1X.

      # Verifique se você é redirecionado para o servidor da Web quando digita no navegador da Web um endereço IP que não está no IP livre. (Detalhes não mostrados.)

    Solução de problemas do 802.1X

    Falha no redirecionamento do URL do assistente de EAD

    Sintoma

    Os usuários não autenticados não são redirecionados para o URL de redirecionamento especificado depois que inserem endereços de sites externos em seus navegadores da Web.

    Análise

    O redirecionamento não ocorrerá por um dos seguintes motivos:

    • O endereço está no formato de string. O sistema operacional do host considera a cadeia como um nome de site e tenta resolver a cadeia. Se a resolução falhar, o sistema operacional envia uma solicitação ARP, mas o endereço de destino não está na notação decimal com pontos. O recurso de redirecionamento redireciona esse tipo de solicitação ARP.
    • O endereço está em um segmento IP livre. Nenhum redirecionamento ocorrerá, mesmo que nenhum host esteja presente com o endereço.
    • O URL de redirecionamento não está em um segmento de IP livre.
    • Nenhum servidor está usando o URL de redirecionamento ou o servidor com o URL não fornece serviços da Web.

    Solução

    Para resolver o problema:

    • Digite um endereço IP decimal com pontos que não esteja em nenhum segmento de IP livre.
    • Verifique se o dispositivo de acesso e o servidor estão configurados corretamente.
    • Se o problema persistir, entre em contato com o Suporte da Intelbras.

    Configuração da autenticação MAC

    Sobre a autenticação MAC

    A autenticação MAC controla o acesso à rede autenticando os endereços MAC de origem em uma porta. O recurso não requer software cliente, e os usuários não precisam digitar um nome de usuário e uma senha para acessar a rede. O dispositivo inicia um processo de autenticação MAC quando detecta um endereço MAC de origem desconhecida em uma porta habilitada para autenticação MAC. Se o endereço MAC for aprovado na autenticação, o usuário poderá acessar os recursos de rede autorizados. Se a autenticação falhar, o dispositivo marcará o endereço MAC como um endereço MAC silencioso, descartará o pacote e iniciará um cronômetro de silêncio. O dispositivo descarta todos os pacotes subsequentes do endereço MAC dentro do tempo de silêncio. O mecanismo de quiet evita a autenticação repetida em um curto período de tempo.

    Políticas de conta de usuário

    A autenticação MAC é compatível com as seguintes políticas de conta de usuário:

    • Política global de conta de usuário - Pode ser uma das seguintes opções:
      • Política de conta de usuário baseada em MAC - Uma conta de usuário baseada em MAC para cada usuário. Conforme mostrado na Figura 1, o dispositivo de acesso usa os endereços MAC de origem nos pacotes como nomes de usuário e senhas de usuários para autenticação MAC. Essa política é adequada para um ambiente inseguro.

    OBSERVAÇÃO:

    A política de conta de usuário baseada em MAC também suporta a configuração de uma senha compartilhada por todos os usuários.

    Contas de usuário baseadas em MAC.

    • Política de conta de usuário compartilhada - Uma conta de usuário compartilhada para todos os usuários. Você especifica um nome de usuário e uma senha, que não são necessariamente um endereço MAC, para todos os usuários de autenticação MAC no dispositivo de acesso, conforme mostrado na Figura 2. Essa política é adequada para um ambiente seguro.
    • Política de conta de usuário específica de intervalo de MAC - Uma conta de usuário compartilhada para usuários em um intervalo de endereços MAC específico. Você especifica um nome de usuário e uma senha (que não são necessariamente um endereço MAC) para usuários em um intervalo específico de endereços MAC no dispositivo de acesso, conforme mostrado na Figura 3. Por exemplo, é possível especificar um nome de usuário e uma senha para usuários com uma OUI específica para autenticação MAC.

    IMPORTANTE:

  • É possível usar políticas de conta de usuário globais e específicas do intervalo de MAC em conjunto. Para usuários em um intervalo de endereços MAC, as configurações de conta de usuário específicas do intervalo MAC têm prioridade mais alta do que as configurações de conta de usuário globais.
  • Se um servidor RADIUS for usado para autenticação MAC, você deverá criar as contas de usuário no servidor RADIUS com base na política de conta de usuário no dispositivo de acesso.

    • Figura 1 Política de conta de usuário baseada em MAC

    Figura 2 Política de conta de usuário compartilhada (global)

    Figura 3 Política de conta de usuário compartilhada (específica para intervalos de endereços MAC)

    Métodos de autenticação

    Você pode executar a autenticação MAC no dispositivo de acesso (autenticação local) ou por meio de um servidor RADIUS.

    Para obter mais informações sobre como configurar a autenticação local e a autenticação RADIUS, consulte "Configuração de AAA".

    Autenticação RADIUS

    Se forem usadas contas baseadas em MAC, o dispositivo de acesso enviará, por padrão, o endereço MAC de origem de um pacote como nome de usuário e senha para o servidor RADIUS para autenticação. Se uma senha for

    configurado para contas baseadas em MAC, o dispositivo de acesso envia a senha configurada como a senha para o servidor RADIUS.

    Se for usada uma conta compartilhada, o dispositivo de acesso enviará o nome de usuário e a senha da conta compartilhada ao servidor RADIUS para autenticação.

    O dispositivo de acesso e o servidor RADIUS usam o Password Authentication Protocol (PAP) ou o Challenge Handshake Authentication Protocol (CHAP) para comunicação.

    Autenticação local

    Se forem usadas contas baseadas em MAC, o dispositivo de acesso usará, por padrão, o endereço MAC de origem de um pacote como nome de usuário e senha para procurar uma correspondência no banco de dados de contas local. Se uma senha for configurada para contas baseadas em MAC, o dispositivo usará a senha configurada para procurar uma correspondência no banco de dados de contas local.

    Se for usada uma conta compartilhada, o dispositivo de acesso usará o nome de usuário e a senha da conta compartilhada para procurar uma correspondência no banco de dados de contas local.

    Atribuição de VLAN

    VLAN de autorização

    A VLAN de autorização controla o acesso de um usuário de autenticação MAC a recursos de rede autorizados. O dispositivo suporta VLANs de autorização atribuídas localmente ou por um servidor remoto.

    IMPORTANTE:

    Somente servidores remotos podem atribuir VLANs de autorização marcadas.

    Autorização de VLAN remota

    Na autorização de VLAN remota, é necessário configurar uma VLAN de autorização para um usuário no servidor remoto. Depois que o usuário se autentica no servidor, o servidor atribui informações de VLAN de autorização ao dispositivo. Em seguida, o dispositivo atribui a porta de acesso do usuário à VLAN de autorização como um membro marcado ou não marcado.

    O dispositivo suporta a atribuição das seguintes informações de VLAN de autorização pelo servidor remoto:

    • VLAN ID.
    • Nome da VLAN, que deve ser o mesmo que a descrição da VLAN no dispositivo de acesso.
    • Uma cadeia de VLAN IDs e nomes de VLAN.

    Na cadeia de caracteres, algumas VLANs são representadas por seus IDs e algumas VLANs são representadas por seus nomes.

    • Nome do grupo de VLAN.

    Para obter mais informações sobre grupos de VLAN, consulte o Layer 2-LAN Switching Configuration Guide.

    • VLAN ID com um sufixo de t ou u.

    Os sufixos t e u exigem que o dispositivo atribua a porta de acesso à VLAN como um membro marcado ou não marcado, respectivamente. Por exemplo, 2u indica a atribuição da porta à VLAN 2 como um membro sem marcação.

    Se um nome de VLAN ou um nome de grupo de VLAN for atribuído, o dispositivo converterá as informações em uma VLAN ID antes da atribuição da VLAN.

    IMPORTANTE:

    Para que uma VLAN representada por seu nome de VLAN seja atribuída com êxito, você deve se certificar de que a VLAN foi criada no dispositivo.

    Para atribuir VLAN IDs com sufixos, certifique-se de que a porta de acesso do usuário seja uma porta híbrida ou de tronco.

    IMPORTANTE:

    Para garantir uma atribuição bem-sucedida, as VLANs de autorização atribuídas pelo servidor remoto não podem ser de nenhum dos tipos a seguir:

    • VLANs aprendidas dinamicamente.
    • VLANs reservadas.
    • VLANs privadas.

    Se o servidor atribuir um grupo de VLANs, o dispositivo de acesso selecionará uma VLAN conforme descrito na Tabela 1.

    Tabela 1 Seleção de VLAN de autorização em um grupo de VLANs

    Informações sobre VLAN Seleção de VLAN de autorização

    IDs de VLAN

    Nomes de VLAN

    Nome do grupo de VLAN

    IDs de VLAN e nomes de VLAN

    		 O dispositivo seleciona uma VLAN de autorização do grupo de VLANs para um usuário de acordo com as seguintes regras:
    • Em uma porta híbrida com a VLAN baseada em MAC ativada:
      • Se a porta não tiver usuários on-line, o dispositivo selecionará a VLAN com a ID mais baixa.
      • Se a porta tiver usuários on-line, o dispositivo selecionará a VLAN que tiver o menor número de usuários on-line. Se duas VLANs tiverem o mesmo número de usuários 802.1X on-line, o dispositivo selecionará a VLAN com o ID mais baixo.
    • Em uma porta híbrida de acesso, tronco ou VLAN baseada em MAC desativada:
      • Se a porta não tiver usuários on-line, o dispositivo selecionará a VLAN com a ID mais baixa.
      • Se a porta tiver usuários on-line, o dispositivo examinará o grupo de VLANs em busca da VLAN dos usuários on-line. Se a VLAN for encontrada, a VLAN será atribuída ao usuário como a VLAN de autorização. Se a VLAN não for encontrada, a autorização da VLAN falhará.
    VLAN IDs com sufixos
    • O dispositivo seleciona a VLAN ID mais à esquerda sem um sufixo ou a VLAN ID mais à esquerda com sufixo u como uma VLAN sem marcação, o que for mais à esquerda.
    • O dispositivo atribui a VLAN untagged à porta como PVID e atribui as demais como VLANs tagged. Se nenhuma VLAN untagged for atribuída, o PVID da porta não será alterado. A porta permite a passagem do tráfego dessas VLANs marcadas e não marcadas.

    Por exemplo, o servidor de autenticação envia a string 1u 2t 3 para o dispositivo de acesso de um usuário. O dispositivo atribui a VLAN 1 como uma VLAN não marcada e todas as VLANs restantes (inclusive a VLAN 3) como VLANs marcadas. A VLAN 1 se torna o PVID.

    Na versão 6318P01 e posteriores, o dispositivo inclui o atributo User-VLAN-ID nas solicitações de contabilidade RADIUS para informar ao servidor RADIUS a VLAN de autorização atribuída aos usuários de autenticação MAC. O servidor RADIUS pode então incluir informações de VLAN de autorização do usuário em seus registros sobre usuários de autenticação MAC.

    • Se o servidor RADIUS atribuir uma VLAN ID ou um nome de VLAN como a VLAN de autorização para um usuário, o dispositivo incluirá a VLAN de autorização atribuída pelo servidor no atributo User-VLAN-ID.
    • Se o servidor RADIUS atribuir um grupo de VLANs nas informações de VLAN de autorização a um usuário, o dispositivo incluirá uma VLAN no atributo User-VLAN-ID, conforme descrito na Tabela 2.

    Tabela 2 Inclusão de uma VLAN no atributo User-VLAN-ID dos pacotes de contabilidade RADIUS

    Informações sobre VLAN VLAN no atributo User-VLAN-ID

    IDs de VLAN

    Nomes de VLAN

    Nome do grupo de VLAN

    IDs de VLAN e nomes de VLAN
    • Se o dispositivo tiver selecionado uma VLAN de autorização ao iniciar a contabilização para o usuário, ele incluirá a VLAN selecionada no atributo User-VLAN-ID. A VLAN será incluída em contabilidade inicial, contabilidade em tempo real e contabilidade de parada pacotes de solicitação.
    • Se o dispositivo não tiver selecionado uma VLAN de autorização ao iniciar a contabilização para o usuário, ele incluirá a VLAN inicial do usuário no atributo User-VLAN-ID nos pacotes de solicitação de contabilização inicial. Ao enviar pacotes de contabilidade em tempo real ou pacotes de solicitação de stop-accounting, o dispositivo inclui a VLAN de autorização atribuída no atributo User-VLAN-ID.
    VLAN IDs com sufixos

    O dispositivo inclui a VLAN de autorização sem marcação no atributo User-VLAN-ID nos pacotes de solicitação de contabilidade RADIUS.

    Se não houver nenhuma VLAN de autorização untagged disponível, o dispositivo incluirá a VLAN inicial do usuário no atributo User-VLAN-ID nos pacotes de solicitação de contabilidade RADIUS.

    Autorização de VLAN local

    Para executar a autorização de VLAN local para um usuário, especifique a VLAN ID na lista de atributos de autorização da conta de usuário local para esse usuário. Para cada usuário local, é possível especificar apenas um ID de VLAN de autorização. A porta de acesso do usuário é atribuída à VLAN como um membro não marcado.

    IMPORTANTE:

    A autorização de VLAN local não é compatível com a atribuição de VLANs marcadas.

    Para obter mais informações sobre a configuração do usuário local, consulte "Configuração de AAA".

    Manipulação de VLAN de autorização em uma porta habilitada para autenticação MAC

    A Tabela 3 descreve a maneira como o dispositivo de acesso à rede lida com as VLANs de autorização (exceto as VLANs especificadas com sufixos) para usuários autenticados por MAC em uma porta.

    Tabela 3 Manipulação de VLAN

    Tipo de porta Manipulação de VLAN
    • Porta de acesso
    • Porta de tronco
    • Porta híbrida com VLAN baseada em MAC desativada
    • O dispositivo atribui a porta à VLAN de autorização do primeiro usuário autenticado e define a VLAN como PVID se essa VLAN de autorização tiver o atributo untagged.
    • Se a VLAN de autorização tiver o atributo marcado, o dispositivo atribuirá a porta à VLAN de autorização sem alterar seu PVID.

    OBSERVAÇÃO:

    O atributo tagged é compatível apenas com portas tronco e híbridas.
    Porta híbrida com VLAN baseada em MAC ativada O dispositivo mapeia o endereço MAC de cada usuário para sua própria VLAN de autorização, independentemente de a porta ser um membro marcado. O PVID da porta não é alterado.

    IMPORTANTE:

    • Se os usuários estiverem conectados a uma porta cujo tipo de link seja de acesso, certifique-se de que a VLAN de autorização atribuída pelo servidor tenha o atributo untagged. A atribuição de VLAN falhará se o servidor emitir uma VLAN que tenha o atributo tagged.
    • Ao atribuir VLANs a usuários conectados a uma porta trunk ou a uma porta híbrida desativada por VLAN baseada em MAC, certifique-se de que haja apenas uma VLAN sem marcação. Se uma VLAN untagged diferente for atribuída a um usuário subsequente, o usuário não poderá passar na autenticação.
    • Como prática recomendada para aumentar a segurança da rede, não use o comando port hybrid vlan para atribuir uma porta híbrida a uma VLAN de autorização como um membro marcado.

    A VLAN atribuída pelo servidor a um usuário como uma VLAN de autorização pode ter sido configurada na porta de acesso do usuário, mas com um modo de marcação diferente. Por exemplo, o servidor atribui uma VLAN de autorização com o atributo tagged, mas a mesma VLAN configurada na porta tem o atributo untagged. Nessa situação, as configurações de VLAN que entram em vigor para o usuário dependem do tipo de link da porta.

    • Se o tipo de link da porta for acesso ou tronco, as configurações de VLAN de autorização atribuídas pelo servidor sempre terão efeito sobre o usuário enquanto ele estiver on-line. Depois que o usuário fica off-line, as configurações de VLAN na porta entram em vigor.
    • Se o tipo de link da porta for híbrido, as configurações de VLAN definidas na porta terão efeito. Por exemplo, o servidor atribui a VLAN 30 com o atributo untagged a um usuário na porta híbrida. No entanto, a VLAN 30 foi configurada na porta com o atributo tagged usando o comando port hybrid vlan tagged. Finalmente, a VLAN tem o atributo marcado na porta.

    Para que um usuário autenticado por MAC acesse a rede em uma porta híbrida quando nenhuma VLAN de autorização estiver configurada para o usuário, execute uma das seguintes tarefas:

    • Se a porta receber pacotes de autenticação com tags do usuário em uma VLAN, use o comando port hybrid vlan para configurar a porta como um membro com tags na VLAN.
    • Se a porta receber pacotes de autenticação untagged do usuário em uma VLAN, use o comando port hybrid vlan para configurar a porta como um membro untagged na VLAN.

    VLAN de convidado

    A VLAN de convidado de autenticação MAC em uma porta acomoda usuários que falharam na autenticação MAC por qualquer motivo que não seja o servidor inacessível. Por exemplo, a VLAN acomoda usuários com senhas inválidas inseridas.

    Você pode implementar um conjunto limitado de recursos de rede na VLAN de convidado de autenticação MAC. Por exemplo, um servidor de software para fazer download de software e patches de sistema.

    Uma porta híbrida é sempre atribuída a uma VLAN de convidado de autenticação MAC como um membro não marcado. Após a atribuição, não reconfigure a porta como um membro marcado na VLAN.

    O dispositivo reautentica os usuários na VLAN de convidado de autenticação MAC em um intervalo específico. A Tabela 4 mostra a maneira como o dispositivo de acesso à rede lida com as VLANs de convidados para usuários de autenticação MAC.

    Tabela 4 Manipulação de VLAN

    Status de autenticação Manipulação de VLAN
    Um usuário na VLAN de convidado de autenticação MAC falha na autenticação MAC. O usuário ainda está na VLAN de convidado da autenticação MAC.
    Um usuário na VLAN de convidado de autenticação MAC passa na autenticação MAC.

    O dispositivo remapeia o endereço MAC do usuário para a VLAN de autorização atribuída pelo servidor de autenticação.

    Se nenhuma VLAN de autorização estiver configurada para o usuário no servidor de autenticação, o dispositivo remapeia o endereço MAC do usuário para o PVID da porta.

    VLAN crítica

    A VLAN crítica de autenticação MAC em uma porta acomoda usuários que falharam na autenticação MAC porque não há servidores de autenticação RADIUS acessíveis. Os usuários em uma VLAN crítica de autenticação MAC podem acessar apenas os recursos de rede na VLAN crítica.

    O recurso de VLAN crítica entra em vigor quando a autenticação MAC é realizada somente por meio de servidores RADIUS. Se um usuário de autenticação MAC falhar na autenticação local após a autenticação RADIUS, o usuário não será atribuído à VLAN crítica. Para obter mais informações sobre os métodos de autenticação, consulte "Configuração de AAA".

    A Tabela 5 mostra a maneira como o dispositivo de acesso à rede lida com VLANs críticas para usuários de autenticação MAC.

    Tabela 5 Manipulação de VLAN

    Status de autenticação Manipulação de VLAN
    Um usuário falha na autenticação MAC porque todos os servidores RADIUS estão inacessíveis.

    O dispositivo mapeia o endereço MAC do usuário para a VLAN crítica de autenticação MAC.

    O usuário ainda está na VLAN crítica de autenticação MAC se o usuário falhar na reautenticação MAC porque todos os servidores RADIUS estão inacessíveis.

    Se nenhuma VLAN crítica de autenticação MAC estiver configurada, o dispositivo mapeará o endereço MAC do usuário para o PVID da porta.
    Um usuário na VLAN guest de autenticação MAC falha na autenticação porque todos os servidores RADIUS estão inacessíveis. O usuário permanece na VLAN de convidado da autenticação MAC.
    Um usuário na VLAN crítica de autenticação MAC falha na autenticação MAC por qualquer motivo que não seja o servidor inacessível.

    Se uma VLAN de convidado tiver sido configurada, o dispositivo mapeará o endereço MAC do usuário para a VLAN de convidado.

    Se nenhuma VLAN de convidado estiver configurada, o dispositivo mapeará o endereço MAC do usuário para o PVID da porta.
    Um usuário na VLAN crítica de autenticação MAC passa na autenticação MAC.

    O dispositivo remapeia o endereço MAC do usuário para a VLAN de autorização atribuída pelo servidor de autenticação.

    Se nenhuma VLAN de autorização estiver configurada para o usuário no servidor de autenticação, o dispositivo remapeia o endereço MAC do usuário para o PVID da porta de acesso.

    VLAN de voz crítica

    A VLAN de voz crítica de autenticação MAC em uma porta acomoda usuários de voz com autenticação MAC que falharam na autenticação porque nenhum dos servidores RADIUS em seu domínio ISP está acessível.

    O recurso de VLAN de voz crítica entra em vigor quando a autenticação MAC é realizada somente por meio de servidores RADIUS. Se um usuário de voz com autenticação MAC falhar na autenticação local após a autenticação RADIUS, o usuário não será atribuído à VLAN de voz crítica. Para obter mais informações sobre os métodos de autenticação, consulte "Configuração de AAA".

    A Tabela 6 mostra a maneira como o dispositivo de acesso à rede lida com VLANs de voz críticas para usuários de voz com autenticação MAC.

    Tabela 6 Manipulação de VLAN

    Status de autenticação Manipulação de VLAN
    Um usuário de voz falha na autenticação MAC porque todos os servidores RADIUS estão inacessíveis.

    O dispositivo mapeia o endereço MAC do usuário de voz para a VLAN de voz crítica de autenticação MAC.

    O usuário de voz ainda está na VLAN de voz crítica de autenticação MAC se o usuário de voz falhar na reautenticação MAC porque todos os servidores RADIUS estão inacessíveis.

    Se nenhuma VLAN de voz crítica de autenticação MAC estiver configurada, o dispositivo mapeará o endereço MAC do usuário de voz para o PVID da porta.
    Um usuário de voz na VLAN de voz crítica de autenticação MAC falha na autenticação MAC por qualquer motivo que não seja o servidor inacessível.

    Se uma VLAN de convidado tiver sido configurada, o dispositivo mapeará o endereço MAC do usuário de voz para a VLAN de convidado.

    Se nenhuma VLAN de convidado estiver configurada, o dispositivo mapeará o endereço MAC do usuário de voz para o PVID da porta.
    Um usuário de voz na VLAN de voz crítica de autenticação MAC passa na autenticação MAC.

    O dispositivo remapeia o endereço MAC do usuário de voz para a VLAN de autorização atribuída pelo servidor de autenticação.

    Se nenhuma VLAN de autorização estiver configurada para o usuário de voz no servidor de autenticação, o dispositivo remapeia o endereço MAC do usuário de voz para o PVID da porta de acesso.

    Atribuição de ACL

    É possível especificar uma ACL de autorização na conta de usuário para um usuário de autenticação MAC no servidor de autenticação para controlar o acesso do usuário aos recursos da rede. Depois que o usuário passa pela autenticação MAC, o servidor de autenticação atribui a ACL de autorização à porta de acesso do usuário. Em seguida, a porta permite ou descarta o tráfego correspondente para o usuário, dependendo das regras configuradas na ACL. Essa ACL é chamada de ACL de autorização.

    O dispositivo suporta a atribuição de ACLs estáticas e dinâmicas como ACLs de autorização.

    • ACLs estáticas - As ACLs estáticas podem ser atribuídas por um servidor RADIUS ou pelo dispositivo de acesso. Quando o servidor ou o dispositivo de acesso atribui uma ACL estática a um usuário, ele atribui apenas o número da ACL. Você deve criar manualmente a ACL e configurar suas regras no dispositivo de acesso.

      • Para alterar as permissões de acesso de um usuário, você pode usar um dos métodos a seguir:

      • Modificar as regras de ACL na ACL de autorização no dispositivo de acesso.
      • Atribua outra ACL ao usuário a partir do servidor RADIUS ou do dispositivo de acesso. As ACLs estáticas e suas regras podem ser excluídas manualmente do dispositivo de acesso.
    • ACLs dinâmicas - As ACLs dinâmicas e suas regras são implantadas automaticamente por um servidor RADIUS e não podem ser configuradas no dispositivo de acesso. As ACLs dinâmicas só podem ser ACLs nomeadas. Depois que o dispositivo recebe uma ACL dinâmica implantada pelo servidor e suas regras, ele cria automaticamente a ACL e configura suas regras.

      • Se a ACL dinâmica atribuída pelo servidor a um usuário tiver o mesmo nome de uma ACL estática, a ACL dinâmica não poderá ser emitida e o usuário não poderá ficar on-line.

      Uma ACL dinâmica e suas regras são automaticamente excluídas do dispositivo de acesso depois que todos os seus usuários ficam off-line.

      As ACLs dinâmicas e suas regras não podem ser modificadas ou excluídas manualmente no dispositivo de acesso. Para exibir informações sobre as ACLs dinâmicas e suas regras, use o comando display

      conexão mac-authentication ou comando display acl.

    IMPORTANTE:

    A atribuição de ACLs dinâmicas é compatível apenas com a versão 6309P01 ou posterior.

    As ACLs de autorização compatíveis incluem os seguintes tipos:

  • ACLs básicas, que são numeradas no intervalo de 2000 a 2999.
  • ACLs avançadas, que são numeradas no intervalo de 3000 a 3999.
  • ACLs de camada 2, que são numeradas no intervalo de 4000 a 4999.

    • IMPORTANTE:

    Para que uma ACL de autorização tenha efeito, certifique-se de que a ACL exista com regras e que nenhuma das regras contenha a palavra-chave counting, established, fragment, source-mac, cos, dest-mac, lsap, vxlan ou logging.

    Para obter mais informações sobre ACLs, consulte o Guia de configuração de ACL e QoS.

    Atribuição de perfil de usuário

    É possível especificar um perfil de usuário na conta de usuário para um usuário de autenticação MAC no servidor de autenticação para controlar o acesso do usuário aos recursos da rede. Depois que o usuário passa pela autenticação MAC, o servidor de autenticação atribui o perfil de usuário ao usuário para filtrar o tráfego para esse usuário.

    O servidor de autenticação pode ser o dispositivo de acesso local ou um servidor RADIUS. Em ambos os casos, o servidor especifica apenas o nome do perfil do usuário. Você deve configurar o perfil de usuário no dispositivo de acesso.

    Para alterar as permissões de acesso do usuário, você pode usar um dos métodos a seguir:

    • Modifique a configuração do perfil de usuário no dispositivo de acesso.
    • Especifique outro perfil de usuário para o usuário no servidor de autenticação. Para obter mais informações sobre perfis de usuário, consulte "Configuração de perfis de usuário".

    Atribuição de URL de redirecionamento

    O dispositivo é compatível com o atributo de URL atribuído por um servidor RADIUS. Durante a autenticação MAC, as solicitações HTTP ou HTTPS de um usuário são redirecionadas para a interface da Web especificada pelo atributo de URL atribuído pelo servidor. Depois que o usuário passa pela autenticação na Web, o servidor RADIUS registra o endereço MAC do usuário e usa uma DM (Disconnect Message) para fazer logoff do usuário. Quando o usuário iniciar a autenticação MAC novamente, ele será aprovado na autenticação e ficará on-line com êxito.

    Por padrão, o dispositivo escuta a porta 6654 para solicitações HTTPS a serem redirecionadas. Para alterar o número da porta de escuta do redirecionamento, consulte Configuração do redirecionamento de HTTP no Guia de configuração de serviços de camada 3 IP.

    Reautenticação periódica de MAC

    A reautenticação periódica do MAC rastreia o status da conexão dos usuários on-line e atualiza os atributos de autorização atribuídos pelo servidor RADIUS. Os atributos incluem a ACL e a VLAN.

    O dispositivo reautentica os usuários de autenticação MAC on-line no intervalo de reautenticação periódica quando o recurso de reautenticação MAC periódica está ativado. O intervalo é controlado por um timer, que pode ser configurado pelo usuário. Uma alteração no timer de reautenticação periódica se aplica aos usuários de autenticação MAC on-line somente depois que o timer antigo expira e os usuários de autenticação MAC são aprovados na autenticação.

    Os atributos RADIUS Session-Timeout (atributo 27) e Termination-Action (atributo 29) atribuídos pelo servidor podem afetar o recurso de reautenticação periódica de MAC. Para exibir os atributos Session-Timeout e Termination-Action atribuídos pelo servidor, use o comando display mac-authentication connection.

    • Se a ação de encerramento for fazer o logoff dos usuários, a reautenticação periódica do MAC entrará em vigor somente quando o timer de reautenticação periódica for menor que o timer de tempo limite da sessão. Se o temporizador de tempo limite da sessão for mais curto, o dispositivo fará logoff dos usuários autenticados on-line quando o temporizador de tempo limite da sessão expirar.
    • Se a ação de encerramento for reautenticar os usuários, a configuração de reautenticação periódica de MAC no dispositivo não poderá entrar em vigor. O dispositivo reautentica os usuários de autenticação MAC on-line depois que o temporizador de tempo limite da sessão atribuído pelo servidor expira.

    Se nenhum temporizador de tempo limite da sessão for atribuído pelo servidor, o fato de o dispositivo executar ou não a reautenticação periódica do MAC dependerá da configuração de reautenticação periódica do MAC no dispositivo. O suporte para a atribuição dos atributos Session-Timeout e Termination-Action depende do modelo do servidor.

    Com o recurso RADIUS DAS ativado, o dispositivo reautentica imediatamente um usuário ao receber uma mensagem CoA que contém o atributo de reautenticação de um servidor de autenticação RADIUS. Nesse caso, a reautenticação será executada independentemente de a reautenticação MAC periódica estar ativada no dispositivo. Para obter mais informações sobre a configuração do RADIUS DAS, consulte "Configuração de AAA".

    Por padrão, o dispositivo faz logoff de usuários de autenticação MAC on-line se nenhum servidor estiver acessível para reautenticação MAC. O recurso keep-online mantém os usuários autenticados da autenticação MAC on-line quando nenhum servidor está acessível para a reautenticação MAC.

    As VLANs atribuídas a um usuário on-line antes e depois da reautenticação podem ser iguais ou diferentes.

    Restrições e diretrizes: Configuração da autenticação MAC

    Ao configurar a autenticação MAC em uma interface, siga estas restrições e diretrizes:

    • A autenticação MAC é compatível apenas com as interfaces Ethernet de camada 2 que não pertencem a um grupo de agregação.
    • Não altere o tipo de link de uma porta quando a VLAN de convidado de autenticação MAC ou a VLAN crítica da porta tiver usuários.

    Se o endereço MAC que falhou na autenticação for um endereço MAC estático ou um endereço MAC que tenha sido aprovado em qualquer autenticação de segurança, o dispositivo não marcará o endereço MAC como um endereço silencioso.

    Para garantir um redirecionamento HTTPS bem-sucedido para os usuários aos quais foi atribuído um URL de redirecionamento, certifique-se de que existam interfaces de VLAN para as VLANs que transportam seus pacotes.

    Visão geral das tarefas de autenticação MAC

    Para configurar a autenticação MAC, execute as seguintes tarefas:

    • Ativação da autenticação MAC
    • Configurar os recursos básicos de autenticação MAC
      • Especificação de um método de autenticação MAC
      • Especificação de um domínio de autenticação MAC
      • Configuração da política de conta de usuário
      • (Opcional.) Configuração dos temporizadores de autenticação MAC
      • (Opcional.) Configuração da reautenticação periódica de MAC
    • (Opcional.) Configuração da atribuição de VLAN de autenticação MAC
      • Configuração de uma VLAN de convidado com autenticação MAC
      • Configuração de uma VLAN crítica de autenticação MAC
      • Ativação do recurso de VLAN de voz crítica de autenticação MAC
    • (Opcional.) Configuração de outros recursos de autenticação MAC
      • Configuração do envelhecimento do usuário de autenticação MAC não autenticada
      • Configuração da detecção off-line da autenticação MAC
      • Configuração da detecção de pacotes para autenticação MAC
      • Ativação da sincronização on-line de usuários para autenticação MAC
      • Configuração do número máximo de usuários simultâneos de autenticação MAC em uma porta
      • Ativação do modo multi-VLAN de autenticação MAC em uma porta

        • Execute esta tarefa para não autenticar novamente os usuários on-line quando ocorrerem alterações de VLAN em uma porta.

      • Configuração do atraso da autenticação MAC
      • Inclusão de endereços IP de usuários em solicitações de autenticação MAC
      • Permitir o processamento paralelo da autenticação MAC e da autenticação 802.1X
      • Fazer logoff de usuários de autenticação MAC
      • Ativação do registro de usuário de autenticação MAC

    Pré-requisitos para a autenticação MAC

    Antes de configurar a autenticação MAC, conclua as seguintes tarefas:

    • Certifique-se de que o recurso de segurança da porta esteja desativado. Para obter mais informações sobre a segurança da porta, consulte "Configuração da segurança da porta".
    • Configure um domínio ISP e especifique um método AAA. Para obter mais informações, consulte "Configuração de AAA".
      • Para a autenticação local, também é necessário criar contas de usuário locais (incluindo nomes de usuário e senhas) e especificar o serviço de acesso à LAN para usuários locais.
      • Para a autenticação RADIUS, certifique-se de que o dispositivo e o servidor RADIUS possam se comunicar e crie contas de usuário no servidor RADIUS. Se estiver usando contas baseadas em MAC, verifique se o nome de usuário e a senha de cada conta são iguais ao endereço MAC de cada usuário de autenticação MAC.

    Ativação da autenticação MAC

    Restrições e diretrizes

    Para que a autenticação MAC entre em vigor em uma porta, você deve ativar esse recurso globalmente e na porta.

    A autenticação MAC não poderá entrar em vigor em uma porta se o dispositivo estiver sem recursos de ACL quando você executar uma das seguintes operações:

    • Ativar a autenticação MAC na porta enquanto a autenticação MAC tiver sido ativada globalmente.
    • Habilite a autenticação MAC globalmente no sistema enquanto a autenticação MAC estiver habilitada na porta.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Habilite a autenticação MAC globalmente.
      • mac-authentication

      Por padrão, a autenticação MAC é desativada globalmente.

    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Ativar a autenticação MAC na porta.
      • mac-authentication

      Por padrão, a autenticação MAC está desativada em uma porta.

    Especificação de um método de autenticação MAC

    Sobre os métodos de autenticação MAC

    A autenticação MAC baseada em RADIUS é compatível com os seguintes métodos de autenticação:

    • PAP-Transporta nomes de usuário e senhas em texto simples. O método de autenticação se aplica a cenários que não exigem alta segurança.
    • CHAP - Transporta nomes de usuário em texto simples e senhas em formato criptografado pela rede. O CHAP é mais seguro que o PAP.

    Restrições e diretrizes

    O dispositivo deve usar o mesmo método de autenticação que o servidor RADIUS.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Especifique um método de autenticação para autenticação MAC.
      • mac-authentication authentication-method { chap | pap }

      Por padrão, o dispositivo usa PAP para autenticação de MAC.

    Especificação de um domínio de autenticação MAC

    Sobre domínios de autenticação para autenticação MAC

    Por padrão, os usuários da autenticação MAC estão no domínio de autenticação padrão do sistema. Para implementar diferentes políticas de acesso para os usuários, é possível usar um dos seguintes métodos para especificar domínios de autenticação para usuários de autenticação MAC:

    • Especifique um domínio de autenticação global na visualização do sistema. Essa configuração de domínio se aplica a todas as portas ativadas com autenticação MAC.
    • Especifique um domínio de autenticação para uma porta individual na visualização da interface.

    A autenticação MAC escolhe um domínio de autenticação para os usuários em uma porta nesta ordem: o domínio específico da porta, o domínio global e o domínio padrão. Para obter mais informações sobre domínios de autenticação, consulte "Configuração de AAA".

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Especifique um domínio de autenticação para usuários de autenticação MAC.
      • Na visualização do sistema:
        • mac-authentication domain domain-name
      • Na visualização da interface:
        • interface interface-type interface-number
        mac-authentication domain domain-name

        Por padrão, o domínio de autenticação padrão do sistema é usado para usuários de autenticação MAC.

    Configuração da política de conta de usuário

    Restrições e diretrizes

    IMPORTANTE:

    As contas de usuário específicas do intervalo MAC são compatíveis apenas com a versão 6310 ou posterior.

    Para usuários em um intervalo de endereços MAC, a conta de usuário específica do intervalo de endereços MAC tem prioridade mais alta do que as configurações globais da conta de usuário.

    Você pode configurar um máximo de 16 intervalos de endereços MAC e deve se certificar de que os intervalos de endereços MAC não se sobreponham.

    Se você definir as configurações da conta de usuário várias vezes para o mesmo intervalo de endereços MAC, a configuração mais recente substituirá a anterior.

    As contas específicas de intervalo MAC se aplicam somente a endereços MAC unicast.

    • Se você especificar um intervalo de endereços MAC que contenha apenas endereços MAC multicast, a execução desse comando falhará.
    • Se você especificar um intervalo de endereços MAC que contenha endereços MAC unicast e multicast, o comando terá efeito somente nos endereços MAC unicast.

    O endereço MAC totalmente zero é inválido para a autenticação MAC. Os usuários com o endereço MAC totalmente zero não podem passar na autenticação MAC.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Configure a política global de conta de usuário de autenticação MAC.
      • Use uma conta de usuário baseada em MAC para cada usuário.
        • mac-authentication user-name-format mac-address [ { with-hyphen [ separator colon ] | without-hyphen } [ lowercase | uppercase ] ] [ password { cipher | simple } string ]

        As palavras-chave separador de dois pontos estão disponíveis somente na versão 6340 e posteriores.

      • Use uma conta de usuário compartilhada para todos os usuários.
        • mac-authentication user-name-format fixed [ account name ] [ password { cipher | simple } string ]

        Por padrão, o dispositivo usa o endereço MAC de cada usuário como nome de usuário e senha para autenticação MAC. Os endereços MAC estão em notação hexadecimal, sem hífens, e as letras estão em minúsculas.

    • Especifique uma conta de usuário compartilhada específica para um intervalo de endereços MAC.
      • mac-authentication mac-range-account mac-address mac-address mask  { mask | mask-length } account name password { cipher | simple } string

      Por padrão, nenhum nome de usuário ou senha é configurado especificamente para um intervalo de endereços MAC. A política global de conta de usuário se aplica aos usuários.

    Configuração de temporizadores de autenticação MAC

    Sobre os temporizadores de autenticação MAC

    A autenticação MAC usa os seguintes temporizadores:

    • Timer de detecção off-line - Define o intervalo em que o dispositivo deve aguardar o tráfego de um usuário antes que o dispositivo determine que o usuário está ocioso. Se o dispositivo não tiver recebido tráfego de um usuário antes de o temporizador expirar, o dispositivo fará logoff desse usuário e solicitará que o servidor de contabilidade pare de contabilizar o usuário. Esse cronômetro entra em vigor somente quando o recurso de detecção off-line de autenticação MAC está ativado.

      • Como prática recomendada, defina o cronômetro de envelhecimento do endereço MAC com o mesmo valor do cronômetro de detecção off-line. Essa operação evita que um usuário autenticado por MAC seja desconectado dentro do intervalo de detecção off-line devido à expiração da entrada do endereço MAC.

    • Temporizador de silêncio - Define o intervalo que o dispositivo deve aguardar antes de executar a autenticação MAC para um usuário que falhou na autenticação MAC. Todos os pacotes do endereço MAC são descartados durante o período de silêncio. Esse mecanismo de silêncio evita que a autenticação repetida afete o desempenho do sistema.
    • Temporizador de tempo limite do servidor - Define o intervalo em que o dispositivo aguarda uma resposta de um servidor RADIUS antes que o dispositivo determine que o servidor RADIUS não está disponível. Se o temporizador expirar durante a autenticação MAC, o usuário falhará na autenticação MAC.

    Restrições e diretrizes

    Para evitar o logoff forçado antes que o cronômetro de tempo limite do servidor expire, defina o cronômetro de tempo limite do servidor com um valor menor ou igual ao produto dos valores a seguir:

    • O número máximo de tentativas de transmissão de pacotes RADIUS definido pelo uso do parâmetro retry

    na visualização do esquema RADIUS.

    • O timer de tempo limite de resposta do servidor RADIUS definido usando o timer response-timeout

    na visualização do esquema RADIUS.

    Para obter informações sobre como definir o número máximo de tentativas de transmissão de pacotes RADIUS e o cronômetro de tempo limite de resposta do servidor RADIUS, consulte "Configuração do AAA".

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Configurar temporizadores de autenticação MAC.
      • mac-authentication timer { offline-detect offline-detect-value | quiet quiet-value | server-timeout server-timeout-value }

      Por padrão, o cronômetro de detecção off-line é de 300 segundos, o cronômetro de silêncio é de 60 segundos e o cronômetro de tempo limite do servidor é de 100 segundos.

    Configuração da reautenticação periódica de MAC

    Restrições e diretrizes

    O dispositivo seleciona um temporizador de reautenticação periódica para a reautenticação de MAC na seguinte ordem:

    • Temporizador de reautenticação atribuído pelo servidor.
    • Temporizador de reautenticação específico da porta.
    • Temporizador de reautenticação global.
    • Temporizador de reautenticação padrão.

    A modificação do domínio de autenticação MAC, do método de autenticação MAC ou da configuração do formato da conta de usuário não afeta a reautenticação dos usuários de autenticação MAC on-line. A configuração modificada entra em vigor somente nos usuários de autenticação MAC que ficam on-line após a modificação.

    Se a reautenticação periódica for acionada para um usuário enquanto ele estiver aguardando a sincronização on-line, o sistema executará a sincronização on-line e não executará a reautenticação para o usuário.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Defina o cronômetro de reautenticação periódica de MAC.
      • Defina um cronômetro de reautenticação periódica global.
        • mac-authentication timer reauth-period reauth-period-value

        A configuração padrão é 3600 segundos.

      • Execute os seguintes comandos em sequência para definir um cronômetro de reautenticação periódica específico da porta:
        • interface interface-type interface-number
        mac-authentication timer reauth-period reauth-period-value
        quit

        Por padrão, nenhum temporizador periódico de reautenticação de MAC é definido em uma porta. A porta usa o cronômetro de reautenticação periódica de MAC global .

    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Ativar a reautenticação periódica de MAC.
      • mac-authentication re-authenticate

      Por padrão, a reautenticação periódica de MAC está desativada em uma porta.

    • (Opcional.) Ative o recurso manter on-line para usuários autenticados por MAC na porta.
      • mac-authentication re-authenticate server-unreachable keep-online

      Por padrão, o recurso keep-online está desativado. O dispositivo faz logoff dos usuários de autenticação MAC on-line se nenhum servidor estiver acessível para reautenticação MAC.

      Em uma rede de recuperação rápida, é possível usar o recurso keep-online para evitar que os usuários de autenticação MAC fiquem on-line e off-line com frequência.

    Configuração de uma VLAN de convidado com autenticação MAC

    Restrições e diretrizes

    Ao configurar a VLAN de convidado de autenticação MAC em uma porta, siga as diretrizes da Tabela 7.

    Tabela 7 Relações da VLAN de convidado de autenticação MAC com outros recursos de segurança

    Recurso Descrição do relacionamento Referência
    Recurso silencioso de autenticação MAC

    O recurso de VLAN de convidado de autenticação MAC tem prioridade mais alta.

    Quando um usuário falha na autenticação MAC, ele pode acessar os recursos na VLAN de convidado. O endereço MAC do usuário não é marcado como um endereço MAC silencioso.

    		 Consulte "Configuração dos temporizadores de autenticação MAC".
    Proteção contra intrusão de portas O recurso de VLAN de convidado tem prioridade mais alta do que a ação de bloqueio de MAC, mas prioridade mais baixa do que a ação de desligamento de porta do recurso de proteção contra intrusão de porta. Consulte "Configuração da segurança da porta".

    Pré-requisitos

    Antes de configurar a VLAN de convidado de autenticação MAC em uma porta, conclua as seguintes tarefas:

    • Crie a VLAN a ser especificada como a VLAN de convidado de autenticação MAC.
    • Configure a porta como uma porta híbrida e configure a VLAN como um membro sem marcação na porta.
    • Habilite a VLAN baseada em MAC na porta.

    Para obter informações sobre a configuração de VLAN, consulte o Layer 2-LAN Switching Configuration Guide.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Especifique a VLAN de convidado de autenticação MAC na porta.
      • mac-authentication guest-vlan guest-vlan-id

      Por padrão, nenhuma VLAN de convidado de autenticação MAC é especificada em uma porta.

      É possível configurar apenas uma VLAN de convidado de autenticação MAC em uma porta. As VLANs convidadas de autenticação MAC em portas diferentes podem ser diferentes.

    • Defina o intervalo de autenticação para usuários na VLAN de convidado de autenticação MAC.
      • mac-authentication guest-vlan auth-period period-value

      A configuração padrão é 30 segundos.

    Configuração de uma VLAN crítica de autenticação MAC

    Restrições e diretrizes

    Ao configurar a VLAN crítica de autenticação MAC em uma porta, siga as diretrizes da Tabela 8.

    Tabela 8 Relações da VLAN crítica de autenticação MAC com outros recursos de segurança

    Recurso Descrição do relacionamento Referência
    Recurso silencioso de autenticação de MAC

    O recurso de VLAN crítica de autenticação MAC tem prioridade mais alta.

    Quando um usuário falha na autenticação MAC porque nenhum servidor de autenticação RADIUS está acessível, o usuário pode acessar os recursos na VLAN crítica. O endereço MAC do usuário não é marcado como um endereço MAC silencioso.

    		 Consulte "Configuração dos temporizadores de autenticação MAC".
    Proteção contra intrusão de portas O recurso de VLAN crítica tem prioridade mais alta do que a ação de bloqueio de MAC, mas prioridade mais baixa do que a ação de desligamento de porta do recurso de proteção contra intrusão de porta. Consulte "Configuração da segurança da porta".

    Pré-requisitos

    Antes de configurar a VLAN crítica de autenticação MAC em uma porta, conclua as seguintes tarefas:

    • Crie a VLAN a ser especificada como a VLAN crítica de autenticação MAC.
    • Configure a porta como uma porta híbrida e configure a VLAN como um membro sem marcação na porta.
    • Habilite a VLAN baseada em MAC na porta.

    Para obter informações sobre a configuração de VLAN, consulte o Layer 2-LAN Switching Configuration Guide.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Especifique a VLAN crítica de autenticação MAC na porta.
      • mac-authentication critical vlan critical-vlan-id

      Por padrão, nenhuma VLAN crítica de autenticação MAC é especificada em uma porta.

      É possível configurar apenas uma VLAN crítica de autenticação MAC em uma porta. As VLANs críticas de autenticação MAC em portas diferentes podem ser diferentes.

    Ativação do recurso de VLAN de voz crítica de autenticação MAC

    Pré-requisitos

    Antes de ativar o recurso VLAN de voz crítica de autenticação MAC em uma porta, conclua as seguintes tarefas:

    • Habilite o LLDP globalmente e na porta.

    O dispositivo usa LLDP para identificar usuários de voz. Para obter informações sobre o LLDP, consulte o Layer 2-LAN Switching Configuration Guide.

    • Ativar a VLAN de voz na porta.

    Para obter informações sobre VLANs de voz, consulte o Layer 2-LAN Switching Configuration Guide.

    • Especifique uma VLAN crítica de autenticação MAC na porta. Essa configuração garante que um usuário de voz seja atribuído à VLAN crítica se houver falha na autenticação por inacessibilidade dos servidores RADIUS antes que o dispositivo o reconheça como um usuário de voz. Se uma VLAN crítica de autenticação MAC não estiver disponível, o usuário de voz poderá ser desconectado.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Habilite o recurso de VLAN de voz crítica de autenticação MAC em uma porta.
      • mac-authentication critical-voice-vlan

      Por padrão, o recurso de VLAN de voz crítica de autenticação MAC está desativado em uma porta.

    Configuração do envelhecimento do usuário de autenticação MAC não autenticada

    Sobre o envelhecimento do usuário de autenticação MAC não autenticado

    O envelhecimento do usuário de autenticação MAC não autenticado aplica-se aos usuários adicionados a uma VLAN crítica ou convidada de autenticação MAC porque não foram autenticados ou falharam na autenticação.

    Quando um usuário de uma dessas VLANs envelhece, o dispositivo remove o usuário da VLAN e exclui a entrada do endereço MAC do usuário da porta de acesso.

    Para que os usuários de uma dessas VLANs em uma porta sejam autenticados com êxito e fiquem on-line em outra porta, ative esse recurso. Em qualquer outro cenário, desative esse recurso como prática recomendada.

    Restrições e diretrizes

    Como prática recomendada, use esse recurso em uma porta somente se quiser que seus usuários não autenticados sejam autenticados em e fiquem on-line em uma porta diferente.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Defina o temporizador de envelhecimento do usuário para um tipo de VLAN de autenticação MAC.
      • mac-authentication timer user-aging { critical-vlan | guest-vlan } aging-time-value

      Por padrão, o temporizador de envelhecimento do usuário é de 1.000 segundos para todos os tipos aplicáveis de autenticação MAC VLANs.

    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Habilite o envelhecimento do usuário de autenticação MAC não autenticada.
      • mac-authentication unauthenticated-user aging enable

      Por padrão, o envelhecimento do usuário da autenticação MAC não autenticada está ativado.

    Configuração da detecção off-line da autenticação MAC

    Sobre a detecção off-line da autenticação MAC

    Ative a detecção off-line da autenticação MAC para detectar usuários ociosos em uma porta. Se a porta não tiver recebido tráfego de um usuário quando o timer de detecção off-line expirar, o dispositivo fará o logoff desse usuário e solicitará que o servidor de contabilidade pare de contabilizar os usuários. Para obter informações sobre a configuração do temporizador de detecção off-line na visualização do sistema, consulte "Configuração dos temporizadores de autenticação MAC".

    A desativação desse recurso impede que o dispositivo inspecione o status do usuário on-line.

    Além da detecção off-line da autenticação MAC baseada em porta, é possível configurar os parâmetros de detecção off-line por usuário, como segue:

    • Defina um timer de detecção off-line específico para um usuário e controle se deve usar a tabela de snooping ARP ou ND para determinar o estado off-line do usuário.
      • Se a tabela ARP snooping ou ND snooping for usada, o dispositivo pesquisará a tabela ARP snooping ou ND snooping antes de verificar se há tráfego do usuário dentro do intervalo de detecção. Se for encontrada uma entrada correspondente de ARP snooping ou ND snooping, o dispositivo redefinirá o timer de detecção off-line e o usuário permanecerá on-line. Se o timer de detecção off-line expirar porque o usuário

        • o dispositivo não tiver encontrado uma entrada de snooping correspondente para o usuário ou não tiver recebido tráfego do usuário, o dispositivo desconectará o usuário.

      • Se a tabela de snooping ARP ou ND não for usada, o dispositivo desconectará o usuário se não tiver recebido tráfego desse usuário antes que o temporizador de detecção off-line expire.

        • Ao desconectar o usuário, o dispositivo também notifica o servidor RADIUS (se houver) para interromper a contabilidade do usuário.

    • Ignora a detecção off-line para o usuário. Você pode escolher essa opção se o usuário for um terminal burro. Um terminal burro pode não conseguir ficar on-line novamente depois de ser desconectado pelo recurso de detecção off-line.

      • O dispositivo usa as configurações de detecção off-line para um usuário na seguinte sequência:

    • Configurações de detecção off-line específicas do usuário.
    • Configurações de detecção off-line atribuídas ao usuário pelo servidor RADIUS. As configurações incluem o cronômetro de detecção off-line, o uso da tabela de snooping ARP ou ND na detecção off-line e a possibilidade de ignorar a detecção off-line.
    • Configurações de detecção off-line baseadas em portas.

    Restrições e diretrizes

    Quando a detecção off-line da autenticação MAC for usada, certifique-se de que o valor do timer de envelhecimento para entradas dinâmicas de endereço MAC seja menor ou igual ao valor padrão do timer de detecção off-line (300 segundos) para usuários de autenticação MAC. O cronômetro de envelhecimento das entradas dinâmicas de endereço MAC pode ser configurado com o comando mac-address timer aging seconds.

    Para que o recurso de detecção off-line específico do usuário entre em vigor para um usuário, certifique-se de que o recurso de detecção off-line de autenticação MAC esteja ativado na porta de acesso do usuário.

    As configurações de detecção off-line específicas do usuário entram em vigor para os usuários on-line imediatamente após serem configuradas.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • (Opcional.) Configure a detecção off-line da autenticação MAC para um usuário.
      • mac-authentication offline-detect mac-address mac-address { ignore | timer offline-detect-value [ check-arp-or-nd-snooping ] }

      Por padrão, as configurações de detecção off-line definidas nas portas de acesso entram em vigor e o cronômetro de detecção off-line definido na visualização do sistema é usado.

    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Ativar a detecção off-line da autenticação MAC.
      • mac-authentication offline-detect enable

      Por padrão, a detecção off-line da autenticação MAC está ativada em uma porta.

    Configuração da detecção de pacotes para autenticação MAC

    Sobre esta tarefa

    Quando a detecção de pacotes para autenticação MAC está ativada em uma porta, o dispositivo envia pacotes de detecção para os usuários de autenticação MAC conectados a essa porta em intervalos de detecção off-line definidos usando o timer de detecção off-line. Se o dispositivo não receber uma resposta de um usuário depois de ter feito o máximo de tentativas de transmissão de pacotes dentro de um intervalo de detecção off-line, ele fará o logoff desse usuário e solicitará que o servidor RADIUS pare de contabilizar o usuário.

    Quando a detecção de pacotes para autenticação MAC e a detecção off-line de autenticação MAC estão ambas ativadas, o dispositivo processa um usuário de autenticação MAC da seguinte forma:

    • Se a detecção off-line da autenticação MAC determinar que um usuário está on-line, o dispositivo não enviará pacotes de detecção para esse usuário.
    • Se a detecção off-line da autenticação MAC determinar que um usuário está off-line, o dispositivo não fará imediatamente o logoff desse usuário. Em vez disso, o dispositivo envia um pacote de detecção para esse usuário. Ele fará o logoff do usuário se não receber uma resposta do mesmo após ter feito o máximo de tentativas de transmissão de pacotes dentro de um intervalo de detecção off-line.

    A autenticação MAC usa pacotes de solicitação ARP para detectar o status on-line de usuários IPv4 e usa pacotes NS para detectar o status on-line de usuários IPv6.

    A detecção de pacotes adota o princípio de contagem antes de julgar. O dispositivo diminui as tentativas de detecção (tentativas de transmissão de pacotes) em 1 somente depois de determinar que não recebeu uma resposta de um usuário. O dispositivo interrompe o processo de detecção quando o número de tentativas de detecção chega a 0. A duração desde o momento em que o usuário envia o último pacote para o

    O tempo em que o usuário é desconectado é calculado com a seguinte fórmula: duração = (tentativas + 1) * T + X. A Figura 4 mostra o processo de detecção de pacotes. Nesse exemplo, o dispositivo envia um pacote de detecção para um usuário de autenticação MAC no máximo duas vezes.

    Figura 4 Diagrama de rede para o processo de detecção de pacotes

    Compatibilidade de recursos e versões de software

    Esse recurso é compatível apenas com a versão 6348P01 e posteriores.

    Restrições e diretrizes

    Para garantir que o dispositivo esteja ciente das alterações de endereço IP do usuário, ative o snooping ARP e o snooping ND em conjunto com a detecção de pacotes para autenticação MAC. Se você não ativar o ARP snooping ou o ND snooping, o dispositivo não saberá das alterações de endereço IP do usuário. Como resultado, o dispositivo ainda enviará pacotes de detecção para os endereços IP originais dos usuários e fará o logout falso desses usuários.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Defina o cronômetro de detecção off-line.
      • mac-authentication timer offline-detect offline-detect-value

      Por padrão, o cronômetro de detecção off-line expira em 300 segundos.

    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Ativar a detecção de pacotes para autenticação MAC.
      • mac-authentication packet-detect enable

      Por padrão, a detecção de pacotes para autenticação MAC está desativada.

    • Defina o número máximo de tentativas para enviar um pacote de detecção a um usuário de autenticação MAC.
      • mac-authentication packet-detect retry retries

      Por padrão, o dispositivo envia um pacote de detecção para um usuário de autenticação MAC no máximo duas vezes.

    Ativação da sincronização on-line de usuários para autenticação MAC

    Sobre a sincronização on-line de usuários para autenticação MAC

    IMPORTANTE:

    Esse recurso entra em vigor somente quando o dispositivo usa um servidor IMC RADIUS para autenticar usuários de autenticação MAC.

    Para garantir que o servidor RADIUS mantenha as mesmas informações de usuário de autenticação MAC on-line que o dispositivo depois que o estado do servidor mudar de inacessível para acessível, use esse recurso.

    Esse recurso sincroniza as informações do usuário de autenticação MAC on-line entre o dispositivo e o servidor RADIUS quando é detectado que o estado do servidor RADIUS mudou de inacessível para acessível.

    Ao sincronizar as informações do usuário de autenticação MAC on-line em uma porta com o servidor RADIUS, o dispositivo inicia a autenticação MAC sucessivamente para cada usuário de autenticação MAC on-line autenticado para o servidor RADIUS.

    Se a sincronização falhar para um usuário on-line, o dispositivo fará o logoff desse usuário, a menos que a falha ocorra porque o servidor se tornou inacessível novamente.

    Restrições e diretrizes

    O tempo necessário para concluir a sincronização de usuários on-line aumenta à medida que o número de usuários on-line cresce. Isso pode resultar em um atraso maior para que novos usuários de autenticação MAC e usuários na VLAN crítica se autentiquem ou reautentiquem no servidor RADIUS e fiquem on-line.

    Para que esse recurso tenha efeito, você deve usá-lo em conjunto com o recurso de detecção de status do servidor RADIUS, que pode ser configurado com o comando radius-server test-profile. Para obter mais informações sobre o recurso de detecção de status do servidor RADIUS, consulte "Configuração de AAA".

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Habilite a sincronização on-line de usuários para autenticação MAC.
      • mac-authentication server-recovery online-user-sync

      Por padrão, a sincronização on-line de usuários para autenticação MAC está desativada.

    Configuração do número máximo de usuários simultâneos de autenticação MAC em uma porta

    Sobre a limitação do número de usuários simultâneos de autenticação MAC em uma porta

    Execute essa tarefa para evitar que os recursos do sistema sejam usados em excesso.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Defina o número máximo de usuários de autenticação MAC simultâneos na porta.
      • mac-authentication max-user max-number

      A configuração padrão é 4294967295.

    Ativação do modo multi-VLAN de autenticação MAC em uma porta

    Sobre os modos VLAN de autenticação MAC

    Por padrão, o modo de VLAN única de autenticação MAC é aplicado em uma porta. Nesse modo, o tráfego de um usuário on-line não pode ser enviado em VLANs diferentes em uma porta sem interrupção do serviço. Para acomodar aplicativos sensíveis a atrasos ou interrupções de serviço em um ambiente de várias VLANs, por exemplo, telefones IP, ative o modo de autenticação MAC de várias VLANs.

    No modo multi-VLAN, a porta encaminha o tráfego de um usuário em diferentes VLANs sem reautenticação se o usuário tiver sido autenticado e estiver on-line em qualquer VLAN da porta. Sem a necessidade de reautenticação, o tráfego de um usuário on-line pode ser enviado para diferentes VLANs sem atraso ou interrupção do serviço.

    No modo de VLAN única, a porta reautentica um usuário on-line quando o tráfego recebido desse usuário contém uma tag de VLAN diferente da VLAN na qual o usuário foi autenticado. O processo de autenticação difere dependendo da configuração de movimentação de MAC na segurança da porta e do status de atribuição da VLAN de autorização, como segue:

    • Se nenhuma VLAN de autorização tiver sido atribuída ao usuário on-line, o dispositivo primeiro fará o logoff do usuário e, em seguida, reautenticará o usuário na nova VLAN.
    • Se o usuário on-line tiver sido atribuído a uma VLAN de autorização, o dispositivo tratará o usuário de acordo com a configuração de movimentação de MAC na segurança da porta.
      • Se a movimentação de MAC estiver desativada na segurança da porta, o usuário não poderá passar pela autenticação e ficar on-line a partir da nova VLAN até que fique off-line na porta.
      • Se a movimentação de MAC estiver ativada na segurança da porta, o usuário poderá passar pela autenticação na nova VLAN e ficar on-line sem precisar primeiro ficar off-line na porta. Depois que o usuário passa pela autenticação na nova VLAN, a sessão de autenticação original do usuário é excluída da porta.

    Para ativar o recurso de movimentação de MAC de segurança de porta, use o comando port-security mac-move permit.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Ativar o modo multi-VLAN de autenticação MAC.
      • mac-authentication host-mode multi-vlan

      Por padrão, a autenticação MAC opera no modo de VLAN única em uma porta.

    Configuração do atraso da autenticação MAC

    Sobre o atraso da autenticação MAC

    Quando a autenticação 802.1X e a autenticação MAC estiverem ativadas em uma porta, você poderá atrasar a autenticação MAC para que a autenticação 802.1X seja preferencialmente acionada.

    Se nenhuma autenticação 802.1X for acionada ou se a autenticação 802.1X falhar dentro do período de atraso, a porta continuará a processar a autenticação MAC.

    Restrições e diretrizes

    Não defina o modo de segurança da porta como mac-else-userlogin-secure ou mac-else-userlogin-secure-ext ao usar o atraso de autenticação MAC. O atraso não entra em vigor em uma porta em qualquer um dos dois modos. Para obter mais informações sobre os modos de segurança da porta, consulte "Configurando a segurança da porta".

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Ative o atraso da autenticação MAC e defina o temporizador de atraso.
      • mac-authentication timer auth-delay time

      Por padrão, o atraso da autenticação MAC está desativado.

    Inclusão de endereços IP de usuários em solicitações de autenticação MAC

    Sobre o recurso de inclusão de endereços IP de usuários em solicitações de autenticação MAC

    IMPORTANTE:

    Esse recurso só pode funcionar em conjunto com um servidor IMC.

    Para evitar conflitos de IP resultantes de alterações nos endereços IP estáticos, use esse recurso em uma porta que tenha usuários de autenticação MAC com endereços IP estáticos.

    Esse recurso adiciona endereços IP de usuários às solicitações de autenticação MAC enviadas ao servidor de autenticação. Quando a autenticação MAC é acionada para um usuário, o dispositivo verifica se o endereço IP do usuário é inválido.

    • Se o endereço IP for válido, o dispositivo enviará uma solicitação de autenticação MAC com o endereço IP incluído.
    • Se o endereço IP não for um endereço IP de host válido ou se o pacote de disparo não contiver um endereço IP, o dispositivo não iniciará a autenticação MAC.
    • Se o pacote for um pacote DHCP com um endereço IP de origem 0.0.0.0, o dispositivo enviará uma solicitação de autenticação MAC sem incluir o endereço IP. Nesse caso, o servidor IMC não examina o endereço IP do usuário quando realiza a autenticação.

    Após o recebimento da solicitação de autenticação que inclui o endereço IP do usuário, o servidor IMC compara os endereços IP e MAC do usuário com seus mapeamentos IP-MAC locais.

    • Se for encontrada uma correspondência exata ou se não for encontrada nenhuma correspondência, o usuário será aprovado na autenticação MAC. No último caso, o servidor cria um mapeamento IP-MAC para o usuário.
    • Se for encontrado um mapeamento para o endereço MAC, mas os endereços IP não corresponderem, o usuário falhará na autenticação MAC.

    Restrições e diretrizes

    Não use esse recurso em conjunto com a VLAN de convidado de autenticação MAC em uma porta. Se ambos os recursos forem usados, o dispositivo não poderá executar a autenticação MAC para um usuário depois que esse usuário for adicionado à VLAN de convidado de autenticação MAC.

    Você pode especificar uma ACL para identificar endereços IP de origem que podem ou não acionar a autenticação MAC. Ao configurar a ACL, siga estas diretrizes:

    • O número da ACL especificado representa uma ACL IPv4 e uma ACL IPv6 com o mesmo número. Por exemplo, se o número da ACL for 2000, você especificará tanto a ACL IPv4 2000 quanto a ACL IPv6 2000. A ACL IPv4 e a ACL IPv6 serão usadas para processar pacotes IPv4 e pacotes IPv6, respectivamente.
    • Use regras de permissão para identificar endereços IP de origem válidos para a autenticação MAC. Use regras de negação para identificar endereços IP de origem que não podem acionar a autenticação MAC.
    • Nas regras, somente a palavra-chave de ação (permitir ou negar) e o critério de correspondência do IP de origem podem ter efeito.
    • Como prática recomendada, configure uma regra de negação para excluir os endereços IPv6 que começam com fe80 do acionamento da autenticação MAC.
    • Se você configurar regras de permissão, adicione uma regra de negar tudo na parte inferior da ACL.

    IMPORTANTE:

    Se o host do usuário estiver configurado com IPv6, o dispositivo poderá receber pacotes que contenham um IPv6

    endereço local do link, que começa com fe80. Ocorrerá falha na autenticação MAC ou vinculação MAC-IP incorreta se esse endereço for usado na autenticação MAC. Para evitar esses problemas, configure uma ACL básica para excluir os endereços IPv6 que começam com fe80.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Incluir endereços IP do usuário nas solicitações de autenticação MAC.
      • mac-authentication carry user-ip [ exclude-ip acl acl-number ]

      Por padrão, uma solicitação de autenticação MAC não inclui o endereço IP do usuário.

    Permitir o processamento paralelo da autenticação MAC e da autenticação 802.1X

    Sobre o processamento paralelo da autenticação MAC e da autenticação 802.1X

    Esse recurso permite que uma porta que processa a autenticação MAC após a conclusão da autenticação 802.1X processe a autenticação MAC em paralelo com a autenticação 802.1X.

    Certifique-se de que a porta atenda aos seguintes requisitos:

    • A porta é configurada com autenticação 802.1X e autenticação MAC e executa o controle de acesso baseado em MAC para autenticação 802.1X.
    • A porta está ativada com o acionador unicast 802.1X.

    Quando a porta recebe um pacote de um endereço MAC desconhecido, ela envia um pacote EAP-Request/Identity unicast para o endereço MAC. Depois disso, a porta processa imediatamente a autenticação MAC sem aguardar o resultado da autenticação 802.1X.

    Depois que a autenticação MAC for bem-sucedida, a porta será atribuída à VLAN de autorização de autenticação MAC.

    • Se a autenticação 802.1X falhar, o resultado da autenticação MAC entrará em vigor.
    • Se a autenticação 802.1X for bem-sucedida, o dispositivo tratará a porta e o endereço MAC com base no resultado da autenticação 802.1X.

    A sequência de processos da autenticação 802.1X e da autenticação MAC pode ser configurada de outras maneiras. Para que a porta execute a autenticação MAC antes de ser atribuída à VLAN de convidado 802.1X, ative o atraso na atribuição de nova VLAN de convidado 802.1X acionada por MAC. Para obter informações sobre o novo atraso na atribuição de VLAN de convidado 802.1X acionado por MAC, consulte "Configuração do 802.1X".

    Restrições e diretrizes

    Para configurar a autenticação 802.1X e a autenticação MAC na porta, use um dos métodos a seguir:

    • Habilite os recursos de autenticação 802.1X e MAC separadamente na porta.
    • Ativar a segurança da porta na porta. O modo de segurança da porta deve ser userlogin-secure-or-mac ou

    userlogin-secure-or-mac-ext.

    Para obter informações sobre a configuração do modo de segurança da porta, consulte "Configuração da segurança da porta".

    Para que o recurso de processamento paralelo funcione corretamente, não ative o atraso da autenticação MAC na porta . Essa operação atrasará a autenticação MAC depois que a autenticação 802.1X for acionada.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Ativar o processamento paralelo da autenticação MAC e da autenticação 802.1X na porta.
      • mac-authentication parallel-with-dot1x

      Por padrão, esse recurso está desativado.

    Fazer logoff de usuários de autenticação MAC

    Sobre esta tarefa

    Execute esta tarefa para fazer logoff dos usuários de autenticação MAC especificados e limpar as informações sobre esses usuários no dispositivo. Esses usuários devem executar a autenticação MAC para ficarem on-line novamente.

    Versão do software e compatibilidade de recursos

    Esse recurso é compatível apenas com a versão 6318P01 e posteriores.

    Procedimento

    Para fazer logoff de usuários de autenticação MAC, execute o seguinte comando na visualização do usuário:

    reset mac-authentication access-user [ interface interface-type  interface-number | mac mac-address | username username | vlan vlan-id ]

    Ativação do registro de usuário de autenticação MAC

    Sobre o registro de usuário de autenticação MAC

    Esse recurso permite que o dispositivo gere logs sobre os usuários de autenticação MAC e envie os logs para o centro de informações. Para que os logs sejam gerados corretamente, também é necessário configurar o centro de informações no dispositivo. Para obter mais informações sobre a configuração da central de informações, consulte o Guia de configuração de monitoramento e gerenciamento de rede.

    Restrições e diretrizes

    Para evitar o excesso de entradas de registro de usuários de autenticação MAC, use esse recurso somente se precisar analisar logins ou logouts anormais de usuários de autenticação MAC.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Habilite o registro de usuário de autenticação MAC.
      • mac-authentication access-user log enable [ failed-login | logoff | successful-login ] *

      Por padrão, o registro de usuários de autenticação MAC está desativado.

      Se você não especificar nenhum parâmetro, esse comando habilitará todos os tipos de autenticação MAC logs de usuários.

    Comandos de exibição e manutenção para autenticação MAC

    Execute comandos de exibição em qualquer visualização e redefina comandos na visualização do usuário.

    Tarefa Comando
    Exibir informações de autenticação MAC. display mac-authentication [ interface interface-type interface-number ]
    Exibir conexões de autenticação MAC. display mac-authentication connection [ open ] [ interface interface-type interface-number | slot slot-number | user-mac mac-address | user-name nome de usuário ]
    Exibir os endereços MAC dos usuários de autenticação MAC em um tipo de VLAN de autenticação MAC. display mac-authentication mac-address { critical-vlan | guest-vlan } [ interface-type interface-number ]
    Limpar estatísticas de autenticação MAC. reset mac-authentication statistics [ interface interface-type interface-number ]
    Remover usuários da VLAN crítica de autenticação MAC em uma porta. reset mac-authentication critical vlan interface interface-type interface-number [ mac-address mac-address ]
    Remover usuários da VLAN de voz crítica de autenticação MAC em uma porta. reset mac-authentication critical-voice-vlan interface interface-type interface-number [ mac-address mac-address ]
    Remover usuários da VLAN de convidados de autenticação MAC em uma porta. reset mac-authentication guest-vlan interface interface-type número da interface [ endereço mac mac-address ]

    Exemplos de configuração de autenticação MAC

    Exemplo: Configuração da autenticação MAC local

    Configuração de rede

    Conforme mostrado na Figura 5, o dispositivo executa a autenticação MAC local na GigabitEthernet 1/0/1 para controlar o acesso dos usuários à Internet.

    Configure o dispositivo para atender aos seguintes requisitos:

    • Detectar se um usuário ficou off-line a cada 180 segundos.
    • Negar um usuário por 180 segundos se o usuário falhar na autenticação MAC.
    • Autenticar todos os usuários no domínio bbb do ISP.
    • Use o endereço MAC de cada usuário como nome de usuário e senha para autenticação. Os endereços MAC estão em notação hexadecimal com hífens e as letras estão em minúsculas.

    Figura 5 Diagrama de rede

    Procedimento

    # Adicione um usuário local de acesso à rede. Neste exemplo, configure o nome de usuário e a senha como o endereço MAC do Host A 00-e0-fc-12-34-56.

    <Device> system-view
                     [Device] local-user 00-e0-fc-12-34-56 class network
                     [Device-luser-network-00-e0-fc-12-34-56] password simple 00-e0-fc-12-34-56

    # Especifique o serviço de acesso à LAN para o usuário.

    [Device-luser-network-00-e0-fc-12-34-56] service-type lan-access
                     [Device-luser-network-00-e0-fc-12-34-56] quit

    # Configure o domínio bbb do ISP para executar a autenticação local para usuários da LAN.

    [Device] domain bbb
                     [Device-isp-bbb] authentication lan-access local
                     [Device-isp-bbb] quit

    # Habilite a autenticação MAC na GigabitEthernet 1/0/1.

    [Device] interface gigabitethernet 1/0/1
                     [Device-GigabitEthernet1/0/1] mac-authentication
                     [Device-GigabitEthernet1/0/1] quit

    # Especifique o domínio ISP bbb como o domínio de autenticação MAC.

    [Device] mac-authentication domain bbb

    # Configure os temporizadores de autenticação MAC.

    [Device] mac-authentication timer offline-detect 180
                     [Device] mac-authentication timer quiet 180

    # Use o endereço MAC de cada usuário como nome de usuário e senha para a autenticação MAC. Os endereços MAC estão em notação hexadecimal com hífens e as letras estão em minúsculas.

    [Device] mac-authentication user-name-format mac-address with-hyphen lowercase

    # Habilite a autenticação MAC globalmente.

    [Device] mac-authentication

    Verificação da configuração

    # Exibir configurações e estatísticas de autenticação MAC para verificar sua configuração.

    [Device] display mac-authentication
                     Global MAC authentication parameters:
                     MAC authentication                             : Enabled
                     Authentication method                          : PAP
                     User name format                               : MAC address in lowercase(xx-xx-xx-xx-xx-xx)
                     Username                                       : mac
                     Password                                       : Not configured
                     Offline detect period                          : 180 s
                     Quiet period                                   : 180 s
                     Server timeout                                 : 100 s
                     Reauth period                                  : 3600 s
                     User aging period for critical VLAN            : 1000 s
                     User aging period for guest VLAN               : 1000 s
                     Authentication domain                          : bbb
                     Online MAC-auth wired users                       : 1

                     Silent MAC users:
                        MAC address          VLAN ID  From port          Port index
                        00e0-fc11-1111       8        GE1/0/1            1

                     GigabitEthernet1/0/1 is link-up
                     MAC authentication                             : Enabled
                     Carry User-IP                                  : Disabled
                     Authentication domain                          : Not configured
                     Auth-delay timer                               : Disabled
                     Periodic reauth                                : Disabled
                     Re-auth server-unreachable                     : Logoff
                     Guest VLAN                                     : Not configured
                     Guest VLAN reauthentication                    : Enabled
                     Guest VLAN auth-period                         : 30 s
                     Critical VLAN                                  : Not configured
                     Critical voice VLAN                            : Disabled
                     Host mode                                      : Single VLAN
                     Offline detection                              : Enabled
                     Authentication order                           : Default
                     User aging                                     : Enabled
                     Server-recovery online-user-sync               : Enabled

                     Auto-tag feature                               : Disabled
                     VLAN tag configuration ignoring                : Disabled
                     Max online users                               : 4294967295
                     Authentication attempts                        : successful 1, failed 0
                     Current online users                           : 1
                           MAC address          Auth state
                           00e0-fc12-3456       Authenticated

    A saída mostra que o host A foi aprovado na autenticação MAC e ficou on-line. O host B falhou na autenticação MAC e seu endereço MAC está marcado como um endereço MAC silencioso.

    Exemplo: Configuração da autenticação MAC baseada em RADIUS

    Configuração de rede

    Conforme mostrado na Figura 6, o dispositivo usa servidores RADIUS para realizar a autenticação, a autorização e a contabilidade dos usuários. Os servidores RADIUS usam o método de autenticação CHAP.

    Para controlar o acesso do usuário à Internet por autenticação MAC, execute as seguintes tarefas:

    • Habilite a autenticação MAC globalmente e na GigabitEthernet 1/0/1.
    • Configure o dispositivo para usar CHAP para autenticação de MAC.
    • Configure o dispositivo para detectar se um usuário ficou off-line a cada 180 segundos.
    • Configure o dispositivo para negar um usuário por 180 segundos se o usuário falhar na autenticação MAC.
    • Configure todos os usuários para pertencerem ao domínio bbb do ISP.
    • Use uma conta de usuário compartilhada para todos os usuários, com nome de usuário aaa e senha 123456.

    Figura 6 Diagrama de rede

    Procedimento

    Certifique-se de que os servidores RADIUS e o dispositivo de acesso possam se comunicar entre si.

    • Configure os servidores RADIUS para fornecer serviços de autenticação, autorização e contabilidade. Crie uma conta compartilhada com o nome de usuário aaa e a senha 123456 para os usuários de autenticação MAC. (Detalhes não mostrados.)
    • Configure a autenticação MAC baseada em RADIUS no dispositivo:

    # Configure um esquema RADIUS.

    <Device> system-view
                     [Device] radius scheme 2000
                     [Device-radius-2000] primary authentication 10.1.1.1 1812
                     [Device-radius-2000] primary accounting 10.1.1.2 1813
                     [Device-radius-2000] key authentication simple abc
                     [Device-radius-2000] key accounting simple abc
                     [Device-radius-2000] user-name-format without-domain
                     [Device-radius-2000] quit

    # Especifique CHAP como o método de autenticação para autenticação MAC.

    [Device] mac-authentication authentication-method chap

    # Aplique o esquema RADIUS ao domínio bbb do ISP para autenticação, autorização e contabilidade.

    [Device] domain bbb
                     [Device-isp-bbb] authentication default radius-scheme 2000
                     [Device-isp-bbb] authorization default radius-scheme 2000
                     [Device-isp-bbb] accounting default radius-scheme 2000
                     [Device-isp-bbb] quit

    # Habilite a autenticação MAC na GigabitEthernet 1/0/1.

    [Device] interface gigabitethernet 1/0/1
                     [Device-GigabitEthernet1/0/1] mac-authentication
                     [Device-GigabitEthernet1/0/1] quit

    # Especifique o domínio de autenticação MAC como domínio ISP bbb.

    [Device] mac-authentication domain bbb

    # Defina os temporizadores de autenticação MAC.

    [Device] mac-authentication timer offline-detect 180
                     [Device] mac-authentication timer quiet 180

    # Especifique o nome de usuário aaa e a senha 123456 em texto simples para a conta compartilhada pelos usuários de autenticação MAC.

    [Device] mac-authentication user-name-format fixed account aaa password simple 123456

    # Habilite a autenticação MAC globalmente.

    [Device] mac-authentication

    Verificação da configuração

    # Verificar a configuração da autenticação MAC.

    [Device] display mac-authentication
                     Global MAC authentication parameters:
                     MAC authentication                                 : Enabled
                     Authentication method                              : CHAP
                     Username format                                    : Fixed account
                     Username                                           : aaa
                     Password                                           : ******
                     Offline detect period                              : 180 s
                     Quiet period                                       : 180 s
                     Server timeout                                     : 100 s
                     Reauth period                                      : 3600 s
                     User aging period for critical VLAN                : 1000 s
                     User aging period for guest VLAN                   : 1000 s
                     Authentication domain                              : bbb
                     Online MAC-auth wired users                           : 1

                     Silent MAC users:
                        MAC address                VLAN ID     From port            Port index

                     GigabitEthernet1/0/1 is link-up
                     MAC authentication                              : Enabled
                     Carry User-IP                                   : Disabled
                     Authentication domain                           : Not configured
                     Auth-delay timer                                : Disabled
                     Periodic reauth                                 : Disabled
                     Re-auth server-unreachable                      : Logoff
                     Guest VLAN                                      : Not configured
                     Guest VLAN reauthentication                     : Enabled
                     Guest VLAN auth-period                          : 30 s
                     Critical VLAN                                   : Not configured
                     Critical voice VLAN                             : Disabled
                     Host mode                                       : Single VLAN
                     Offline detection                               : Enabled
                     Authentication order                            : Default
                     User aging                                      : Enabled
                     Server-recovery online-user-sync                : Enabled

                     Auto-tag feature                                : Disabled
                     VLAN tag configuration ignoring                 : Disabled
                     Max online users                                : 4294967295
                     Authentication attempts                         : successful 1, failed 0
                     Current online users                            : 1
                        MAC address                Auth state
                        00e0-fc12-3456             Authenticated

    Exemplo: Configuração da atribuição de ACL para autenticação MAC

    Configuração de rede

    Conforme mostrado na Figura 7, configure o dispositivo para atender aos seguintes requisitos:

    • Use servidores RADIUS para realizar a autenticação, a autorização e a contabilidade dos usuários.
    • Execute a autenticação MAC na GigabitEthernet 1/0/1 para controlar o acesso à Internet.
    • Use o endereço MAC de cada usuário como nome de usuário e senha para a autenticação MAC. Os endereços MAC estão em notação hexadecimal com hífens e as letras estão em minúsculas.
    • Use uma ACL para negar que usuários autenticados acessem o servidor FTP em 10.0.0.1.

    Figura 7 Diagrama de rede

    Procedimento

    Certifique-se de que os servidores RADIUS e o dispositivo de acesso possam se comunicar entre si.

    • Configure os servidores RADIUS:

      • # Configure os servidores RADIUS para fornecer serviços de autenticação, autorização e contabilidade. (Detalhes não mostrados).

      # Adicione uma conta de usuário com 00-e0-fc-12-34-56 como nome de usuário e senha em cada servidor RADIUS. (Detalhes não mostrados.)

      # Especifique a ACL 3000 como a ACL de autorização para a conta de usuário. (Detalhes não mostrados).

    • Configure a ACL 3000 para negar pacotes destinados a 10.0.0.1 no dispositivo.
      • <Device> system-view
                     [Device] acl advanced 3000
                     [Device-acl-ipv4-adv-3000] rule 0 deny ip destination 10.0.0.1 0
                     [Device-acl-ipv4-adv-3000] quit
    • Configure a autenticação MAC baseada em RADIUS no dispositivo:

      • # Configure um esquema RADIUS.

      [Device] radius scheme 2000
                     [Device-radius-2000] primary authentication 10.1.1.1 1812
                     [Device-radius-2000] primary accounting 10.1.1.2 1813
                     [Device-radius-2000] key authentication simple abc
                     [Device-radius-2000] key accounting simple abc
                     [Device-radius-2000] user-name-format without-domain
                     [Device-radius-2000] quit

      # Aplicar o esquema RADIUS a um domínio ISP para autenticação, autorização e contabilidade.

      [Device] domain bbb
                     [Device-isp-bbb] authentication default radius-scheme 2000
                     [Device-isp-bbb] authorization default radius-scheme 2000
                     [Device-isp-bbb] accounting default radius-scheme 2000
                     [Device-isp-bbb] quit

      # Especifique o domínio ISP para autenticação MAC.

      [Device] mac-authentication domain bbb

      # Use o endereço MAC de cada usuário como nome de usuário e senha para autenticação MAC. Os endereços MAC estão em notação hexadecimal com hífens e as letras estão em minúsculas.

      [Device] mac-authentication user-name-format mac-address with-hyphen lowercase

      # Habilite a autenticação MAC na GigabitEthernet 1/0/1.

      [Device] interface gigabitethernet 1/0/1
                     [Device-GigabitEthernet1/0/1] mac-authentication
                     [Device-GigabitEthernet1/0/1] quit

      # Habilite a autenticação MAC globalmente.

      [Device] mac-authentication

    Verificação da configuração

    # Verificar a configuração da autenticação MAC.

    [Device] display mac-authentication
                     Global MAC authentication parameters:
                     MAC authentication                           : Enable
                     Authentication method                        : PAP
                     Username format                              : MAC address in lowercase(xx-xx-xx-xx-xx-xx)
                           Username                            : mac
                           Password                            : Not configured
                     Offline detect period                        : 300 s
                     Quiet period                                 : 60 s
                     Server timeout                               : 100 s
                     Reauth period                                : 3600 s
                     User aging period for critical VLAN          : 1000 s
                     User aging period for guest VLAN             : 1000 s
                     Authentication domain                        : bbb
                     Online MAC-auth wired users                     : 1

                     Silent MAC users:
                        MAC address       VLAN ID     From port         Port index

                     GigabitEthernet1/0/1 is link-up
                     MAC authentication                           : Enabled
                     Carry User-IP                                : Disabled
                     Authentication domain                        : Not configured
                     Auth-delay timer                             : Disabled
                     Periodic reauth                              : Disabled
                     Re-auth server-unreachable                   : Logoff
                     Guest VLAN                                   : Not configured
                     Guest VLAN reauthentication                  : Enabled
                     Guest VLAN auth-period                       : 30 s
                     Critical VLAN                                : Not configured
                     Critical voice VLAN                          : Disabled
                     Host mode                                    : Single VLAN
                     Offline detection                            : Enabled
                     Authentication order                         : Default
                     User aging                                   : Enabled
                     Server-recovery online-user-sync             : Enabled

                     Auto-tag feature                             : Disabled
                     VLAN tag configuration ignoring              : Disabled
                     Max online users                             : 4294967295
                     Authentication attempts                      : successful 1, failed 0
                     Current online users                         : 1
                        MAC address          Auth state
                        00e0-fc12-3456       Authenticated

    # Verifique se não é possível fazer ping no servidor FTP a partir do host.

    C:\>ping 10.0.0.1

                     Pinging 10.0.0.1 with 32 bytes of data:

                     Request timed out.
                     Request timed out.
                     Request timed out.
                     Request timed out.

                     Ping statistics for 10.0.0.1:
                     Packets: Sent = 4, Received = 0, Lost = 4 (100% loss),

    A saída mostra que a ACL 3000 foi atribuída à GigabitEthernet 1/0/1 para negar o acesso ao servidor FTP.

    Configuração da autenticação do portal

    Sobre a autenticação do portal

    A autenticação do portal controla o acesso do usuário às redes. O portal autentica um usuário pelo nome de usuário e pela senha que ele digita em uma página de autenticação do portal. Normalmente, a autenticação do portal é implementada na camada de acesso e nas entradas de dados vitais.

    Em uma rede habilitada para portal, os usuários podem iniciar ativamente a autenticação do portal visitando o site de autenticação fornecido pelo servidor da Web do portal. Ou então, eles são redirecionados para a página de autenticação do portal para autenticação quando visitam outros sites.

    O dispositivo é compatível com o Portal 1.0, Portal 2.0 e Portal 3.0.

    Vantagens da autenticação de portal

    A autenticação de portal tem as seguintes vantagens:

    • Permite que os usuários realizem a autenticação por meio de um navegador da Web sem instalar software cliente.
    • Oferece aos ISPs opções de gerenciamento diversificadas e funções ampliadas. Por exemplo, os ISPs podem colocar anúncios, fornecer serviços comunitários e publicar informações na página de autenticação.
    • Oferece suporte a vários modos de autenticação. Por exemplo, a autenticação re-DHCP implementa um esquema flexível de atribuição de endereços e salva endereços IP públicos. A autenticação entre sub-redes pode autenticar usuários que residem em uma sub-rede diferente da do dispositivo de acesso.

    Funções ampliadas do portal

    Ao forçar a aplicação de patches e políticas antivírus, as funções estendidas do portal ajudam os hosts a se defenderem contra vírus. O Portal suporta as seguintes funções estendidas:

    • Verificação de segurança - Detecta, após a autenticação, se um host de usuário instala ou não software antivírus, arquivo de definição de vírus, software não autorizado e patches de sistema operacional.
    • Restrição de acesso a recursos - Permite que um usuário autenticado acesse determinados recursos de rede, como o servidor de vírus e o servidor de patches. Os usuários podem acessar mais recursos de rede depois de passar pela verificação de segurança.

    A verificação de segurança deve cooperar com o servidor de política de segurança do Intelbras IMC e com o cliente iNode.

    Sistema de portal

    Um sistema de portal típico consiste nos seguintes componentes básicos: cliente de autenticação, dispositivo de acesso, servidor de autenticação do portal, servidor da Web do portal, servidor AAA e servidor de política de segurança.

    Figura 1 Sistema de portal

    Cliente de autenticação

    Um cliente de autenticação é um navegador da Web que executa HTTP/HTTPS ou um host de usuário que executa um cliente de portal. A verificação de segurança para o host do usuário é implementada por meio da interação entre o cliente do portal e o servidor de política de segurança. Somente o cliente Intelbras iNode é suportado.

    Dispositivo de acesso

    Um dispositivo de acesso fornece serviços de acesso. Ele tem as seguintes funções:

    • Redireciona todas as solicitações HTTP ou HTTPS de usuários não autenticados para o servidor da Web do portal.
    • Interage com o servidor de autenticação do portal e com o servidor AAA para concluir a autenticação, a autorização e a contabilidade.
    • Permite que os usuários que passam pela autenticação do portal acessem recursos de rede autorizados.

    Servidor de portal

    Um servidor de portal refere-se coletivamente a um servidor de autenticação de portal e a um servidor da Web de portal.

    O servidor da Web do portal envia a página de autenticação da Web para os clientes de autenticação e encaminha as informações de autenticação do usuário (nome de usuário e senha) para o servidor de autenticação do portal. O servidor de autenticação do portal recebe solicitações de autenticação dos clientes de autenticação e interage com o dispositivo de acesso para autenticar os usuários. O servidor da Web do portal geralmente é integrado ao servidor de autenticação do portal e também pode ser um servidor independente.

    Servidor AAA

    O servidor AAA interage com o dispositivo de acesso para implementar a autenticação, a autorização e a contabilidade dos usuários do portal. Em um sistema de portal, um servidor RADIUS pode realizar a autenticação, a autorização e a contabilização dos usuários do portal, e um servidor LDAP pode realizar a autenticação dos usuários do portal .

    Servidor de política de segurança

    O servidor de política de segurança interage com o cliente do portal e o dispositivo de acesso para verificação de segurança e autorização de usuários. Somente os hosts que executam clientes de portal podem interagir com o servidor de política de segurança.

    Autenticação de portal usando um servidor de portal remoto

    Os componentes de um sistema de portal interagem da seguinte forma:

    • Um usuário não autenticado inicia a autenticação acessando um site da Internet por meio de um navegador da Web. Ao receber a solicitação HTTP ou HTTPS, o dispositivo de acesso a redireciona para o

      • Página de autenticação da Web fornecida pelo servidor da Web do portal. O usuário também pode visitar o site de autenticação para fazer login. O usuário deve fazer login por meio do cliente Intelbras iNode para funções estendidas do portal.

    • O usuário insere as informações de autenticação na página/caixa de diálogo de autenticação e envia as informações. O servidor da Web do portal encaminha as informações para o servidor de autenticação do portal. O servidor de autenticação do portal processa as informações e as encaminha para o dispositivo de acesso.
    • O dispositivo de acesso interage com o servidor AAA para implementar autenticação, autorização e contabilidade para o usuário.
    • Se as políticas de segurança não forem impostas ao usuário, o dispositivo de acesso permitirá que o usuário autenticado acesse as redes.

    Se forem impostas políticas de segurança ao usuário, o cliente do portal, o dispositivo de acesso e o servidor de políticas de segurança interagem para verificar o host do usuário. Se o usuário passar na verificação de segurança, o servidor de políticas de segurança autoriza o usuário a acessar recursos com base no resultado da verificação.

    Serviço de portal local

    Componentes do sistema

    Conforme mostrado na Figura 2, um sistema de portal local consiste em um cliente de autenticação, um dispositivo de acesso e um servidor AAA. O dispositivo de acesso atua como servidor da Web do portal e como servidor de autenticação do portal para fornecer o serviço da Web do portal local para o cliente de autenticação. O cliente de autenticação só pode ser um navegador da Web e não pode ser um host de usuário que executa um cliente de portal. Portanto, não há suporte para as funções estendidas do portal e não é necessário um servidor de política de segurança.

    Figura 2 Componentes do sistema

    Personalização da página do portal

    Para fornecer o serviço da Web do portal local, é necessário personalizar um conjunto de páginas de autenticação que o dispositivo enviará aos usuários. Você pode personalizar vários conjuntos de páginas de autenticação, compactar cada conjunto de páginas em um arquivo .zip e carregar os arquivos compactados na mídia de armazenamento do dispositivo. No dispositivo, você deve especificar um dos arquivos como o arquivo de página de autenticação padrão usando o comando default-logon-page.

    Para obter mais informações sobre a personalização da página de autenticação, consulte "Personalização das páginas de autenticação".

    Modos de autenticação do portal

    A autenticação de portal tem três modos: autenticação direta, autenticação re-DHCP e autenticação entre sub-redes. Na autenticação direta e na autenticação re-DHCP, não existem dispositivos de encaminhamento da Camada 3 entre o cliente de autenticação e o dispositivo de acesso. Na autenticação entre sub-redes, os dispositivos de encaminhamento da Camada 3 podem existir entre o cliente de autenticação e o dispositivo de acesso .

    Autenticação direta

    Um usuário configura manualmente um endereço IP público ou obtém um endereço IP público por meio de DHCP. Antes da autenticação, o usuário pode acessar apenas o servidor da Web do portal e o servidor livre de autenticação predefinido.

    sites. Depois de passar pela autenticação, o usuário pode acessar outros recursos da rede. O processo de autenticação direta é mais simples do que o de autenticação re-DHCP.

    Autenticação de novo DHCP

    Antes de um usuário passar pela autenticação, o DHCP aloca um endereço IP (um endereço IP privado) para o usuário. O usuário pode acessar apenas o servidor da Web do portal e sites predefinidos sem autenticação. Depois que o usuário passa pela autenticação, o DHCP realoca um endereço IP (um endereço IP público) para o usuário. O usuário pode então acessar outros recursos da rede. Nenhum endereço IP público é alocado para usuários que falham na autenticação. A autenticação do re-DHCP salva os endereços IP públicos. Por exemplo, um ISP pode alocar endereços IP públicos para usuários de banda larga somente quando eles acessam redes além da rede da comunidade residencial.

    Somente o cliente Intelbras iNode suporta a autenticação re-DHCP. A autenticação do portal IPv6 não é compatível com o modo de autenticação re-DHCP.

    Autenticação entre sub-redes

    A autenticação entre sub-redes é semelhante à autenticação direta, exceto pelo fato de permitir a existência de dispositivos de encaminhamento da Camada 3 entre o cliente de autenticação e o dispositivo de acesso.

    Na autenticação direta, na autenticação re-DHCP e na autenticação entre sub-redes, o endereço IP de um usuário o identifica exclusivamente. Depois que um usuário passa pela autenticação, o dispositivo de acesso gera uma ACL para o usuário com base no endereço IP do usuário para controlar o encaminhamento dos pacotes do usuário. Como não existe nenhum dispositivo de encaminhamento da Camada 3 entre os clientes de autenticação e o dispositivo de acesso na autenticação direta e na autenticação re-DHCP, o dispositivo de acesso pode aprender os endereços MAC do usuário. O dispositivo de acesso pode aumentar sua capacidade de controlar o encaminhamento de pacotes usando os endereços MAC aprendidos.

    Processo de autenticação do portal

    A autenticação direta e a autenticação entre sub-redes compartilham o mesmo processo de autenticação. A autenticação Re-DHCP tem um processo diferente, pois tem dois procedimentos de alocação de endereços.

    Autenticação direta/processo de autenticação entre sub-redes (com autenticação CHAP/PAP)

    Figura 3 Processo de autenticação direta/autenticação entre sub-redes

    O processo de autenticação direta/entre sub-redes é o seguinte:

    • Um usuário do portal acessa a Internet por meio de HTTP ou HTTPS, e o pacote HTTP ou HTTPS chega ao dispositivo de acesso.
      • Se o pacote corresponder a uma regra de portal livre, o dispositivo de acesso permitirá a passagem do pacote.
      • Se o pacote não corresponder a nenhuma regra sem portal, o dispositivo de acesso redirecionará o pacote para o servidor Web do portal. O servidor Web do portal envia a página de autenticação da Web ao usuário para que ele digite seu nome de usuário e senha.
    • O servidor da Web do portal envia as informações de autenticação do usuário para o servidor de autenticação do portal.
    • O servidor de autenticação do portal e o dispositivo de acesso trocam mensagens CHAP. Essa etapa é ignorada para a autenticação PAP. O servidor de autenticação do portal decide o método (CHAP ou PAP) a ser usado.
    • O servidor de autenticação do portal adiciona o nome de usuário e a senha em um pacote de solicitação de autenticação e o envia ao dispositivo de acesso. Enquanto isso, o servidor de autenticação do portal inicia um cronômetro para aguardar um pacote de resposta de autenticação.
    • O dispositivo de acesso e o servidor RADIUS trocam pacotes RADIUS.
    • O dispositivo de acesso envia um pacote de resposta de autenticação ao servidor de autenticação do portal para notificar o sucesso ou a falha da autenticação.
    • O servidor de autenticação do portal envia um pacote de sucesso ou falha de autenticação para o cliente.
    • Se a autenticação for bem-sucedida, o servidor de autenticação do portal enviará um pacote de confirmação de resposta de autenticação para o dispositivo de acesso.

      • Se o cliente for um cliente iNode, o processo de autenticação inclui a etapa 9 e a etapa 10 para funções de portal estendidas. Caso contrário, o processo de autenticação estará concluído.

    • O cliente e o servidor de política de segurança trocam informações de verificação de segurança. O servidor de política de segurança detecta se o host do usuário instala ou não software antivírus, arquivos de definição de vírus, software não autorizado e patches do sistema operacional.
    • O servidor de política de segurança autoriza o usuário a acessar determinados recursos da rede com base no resultado da verificação. O dispositivo de acesso salva as informações de autorização e as utiliza para controlar o acesso do usuário.

    Processo de autenticação de novo DHCP (com autenticação CHAP/PAP)

    Figura 4 Processo de autenticação do Re-DHCP

    O processo de autenticação do re-DHCP é o seguinte:

    As etapas de 1 a 7 são as mesmas do processo de autenticação direta/autenticação entre sub-redes.

    • Após receber o pacote de sucesso da autenticação, o cliente obtém um endereço IP público por meio do DHCP. Em seguida, o cliente notifica o servidor de autenticação do portal de que possui um endereço IP público.
    • O servidor de autenticação do portal notifica o dispositivo de acesso de que o cliente obteve um endereço IP público.
    • O dispositivo de acesso detecta a alteração do IP do cliente por meio do DHCP e, em seguida, notifica o servidor de autenticação do portal de que detectou uma alteração do IP do cliente.
    • Após receber os pacotes de notificação de alteração de IP enviados pelo cliente e pelo dispositivo de acesso, o servidor de autenticação do portal notifica o cliente sobre o sucesso do login.
    • O servidor de autenticação do portal envia um pacote de confirmação de alteração de IP para o dispositivo de acesso.

      • As etapas 13 e 14 são para funções de portal estendidas.

    • O cliente e o servidor de política de segurança trocam informações de verificação de segurança. O servidor de política de segurança detecta se o host do usuário instala ou não software antivírus, arquivos de definição de vírus, software não autorizado e patches do sistema operacional.
    • O servidor de política de segurança autoriza o usuário a acessar determinados recursos da rede com base no resultado da verificação. O dispositivo de acesso salva as informações de autorização e as utiliza para controlar o acesso do usuário.

    Suporte do portal para EAP

    Para usar a autenticação do portal que suporta EAP, o servidor e o cliente de autenticação do portal devem ser o servidor do portal Intelbras IMC e o cliente do portal Intelbras iNode. A autenticação do portal local não é compatível com a autenticação EAP.

    Em comparação com a autenticação baseada em nome de usuário e senha, a autenticação baseada em certificado digital garante maior segurança.

    O EAP (Extensible Authentication Protocol) oferece suporte a vários métodos de autenticação baseados em certificados digitais, por exemplo, o EAP-TLS. Trabalhando em conjunto com o EAP, a autenticação de portal pode implementar a autenticação de usuário baseada em certificado digital.

    Figura 5 Diagrama de fluxo de trabalho do suporte do portal para EAP

    Conforme mostrado na Figura 5, o cliente de autenticação e o servidor de autenticação de portal trocam pacotes de autenticação EAP. O servidor de autenticação de portal e o dispositivo de acesso trocam pacotes de autenticação de portal que contêm os atributos EAP-Message. O dispositivo de acesso e o servidor RADIUS trocam pacotes RADIUS que contêm os atributos EAP-Message. O servidor RADIUS compatível com a função de servidor EAP processa os pacotes EAP encapsulados nos atributos de mensagem EAP e fornece o resultado da autenticação EAP.

    O dispositivo de acesso não processa, mas apenas transporta atributos de mensagem EAP entre o servidor de autenticação do portal e o servidor RADIUS. Portanto, o dispositivo de acesso não requer nenhuma configuração adicional para dar suporte à autenticação EAP.

    Regras de filtragem do portal

    O dispositivo de acesso usa regras de filtragem de portal para controlar o encaminhamento do tráfego do usuário.

    Com base na configuração e no status de autenticação dos usuários do portal, o dispositivo gera as seguintes categorias de regras de filtragem do portal:

    • Categoria 1 - A regra permite a passagem de pacotes de usuários destinados ao servidor Web do portal e de pacotes que correspondem às regras sem portal.
    • Categoria 2 - Para um usuário autenticado sem ACL autorizada, a regra permite que o usuário acesse qualquer recurso de rede de destino. Para um usuário autenticado com uma ACL autorizada, a regra permite que os usuários acessem os recursos permitidos pela ACL. O dispositivo adiciona a regra quando um usuário fica on-line e exclui a regra quando o usuário fica off-line.

      • O dispositivo suporta os seguintes tipos de ACLs de autorização:

      • ACLs básicas (ACL 2000 a ACL 2999).
      • ACLs avançadas (ACL 3000 a ACL 3999).
      • ACLs de camada 2 (ACL 4000 a ACL 4999).

      Para que uma ACL de autorização tenha efeito, certifique-se de que a ACL exista e tenha regras de ACL, excluindo as regras configuradas com a palavra-chave counting, established, fragment, source-mac ou logging. Para obter mais informações sobre regras de ACL, consulte os comandos de ACL em Referência de comandos de ACL e QoS.

    • Categoria 3 - A regra redireciona todas as solicitações HTTP ou HTTPS de usuários não autenticados para o servidor da Web do portal.
    • Categoria 4 - Para autenticação direta e autenticação entre sub-redes, a regra proíbe a passagem de qualquer pacote de usuário. Para a autenticação re-DHCP, o dispositivo proíbe a passagem de pacotes de usuários com endereços de origem privados.

      • Depois de receber um pacote de usuário, o dispositivo compara o pacote com as regras de filtragem da categoria 1 à categoria 4. Quando o pacote corresponde a uma regra, o processo de correspondência é concluído.

    Restrições e diretrizes: Configuração do portal

    A autenticação do portal pela Web não suporta a verificação de segurança para os usuários. Para implementar a verificação de segurança, o cliente deve ser o cliente Intelbras iNode.

    A autenticação do portal suporta a passagem de NAT, seja ela iniciada por um cliente da Web ou por um cliente Intelbras iNode. O NAT traversal deve ser configurado quando o cliente do portal estiver em uma rede privada e o servidor do portal estiver em uma rede pública.

    Visão geral das tarefas de autenticação do portal

    Para configurar a autenticação do portal, execute as seguintes tarefas:

    • Configuração de um serviço de portal remoto

      • Execute essa tarefa se for usado um servidor de portal remoto.

      • Configuração de um servidor de autenticação de portal remoto
      • Configuração de um servidor Web de portal
    • Configuração de um serviço de portal local

      • Execute esta tarefa se o dispositivo de acesso atuar como servidor de autenticação de portal e servidor da Web de portal.

      • Configuração dos recursos do serviço de portal local
      • Configuração de um servidor Web de portal
    • Ativação da autenticação do portal e especificação de um servidor da Web do portal
      • Ativação da autenticação do portal em uma interface
      • Especificação de um servidor Web de portal em uma interface
    • (Opcional.) Especificação de um pool de endereços IP de pré-autenticação
    • (Opcional.) Especificação de um domínio de autenticação de portal
    • (Opcional.) Controle do acesso do usuário ao portal
      • Configuração de uma regra sem portal
      • Configuração de uma sub-rede de origem de autenticação
      • Configuração de uma sub-rede de destino de autenticação
      • Configuração do suporte do proxy da Web para autenticação do portal
      • Verificação da emissão de regras de filtragem de portal de categoria 2
      • Definição do número máximo de usuários do portal
      • Ativação da verificação rigorosa das informações de autorização do portal
      • Permitir que apenas usuários com endereços IP atribuídos por DHCP passem pela autenticação do portal
      • Ativação do roaming do portal
      • Configuração do recurso de permissão de falha do portal
    • (Opcional.) Configuração dos recursos de detecção de portal
      • Configuração da detecção on-line de usuários do portal
      • Configuração da detecção do servidor de autenticação do portal
      • Configuração da detecção do servidor Web do portal
      • Configuração da sincronização de usuários do portal
    • (Opcional.) Configuração de atributos para pacotes de portal e pacotes RADIUS
      • Configuração de atributos de pacotes de portal

        • Você pode configurar o atributo BAS-IP ou BAS-IPv6 para pacotes de portal e especificar a ID do dispositivo.

      • Configuração de atributos para pacotes RADIUS

        • Você pode configurar os atributos NAS-Port-Id e NAS-Port-Type e aplicar um perfil NAS-ID a uma interface.

    • (Opcional.) Configuração de recursos relacionados on-line e off-line para usuários do portal
      • Fazer logout de usuários do portal on-line
      • Ativação do registro de login/logout do usuário do portal
    • (Opcional.) Configuração dos recursos de autenticação do portal estendido
      • Desativar o recurso de entrada Rule ARP ou ND para clientes do portal
      • Configuração do redirecionamento da Web

    Pré-requisitos para a autenticação do portal

    O recurso do portal oferece uma solução para autenticação da identidade do usuário e verificação de segurança. Para concluir a autenticação da identidade do usuário, o portal deve cooperar com o RADIUS.

    Antes de configurar o portal, você deve concluir as seguintes tarefas:

    • O servidor de autenticação do portal, o servidor da Web do portal e o servidor RADIUS foram instalados e configurados corretamente.
    • Para usar o modo de autenticação do portal re-DHCP, verifique se o agente de retransmissão DHCP está ativado no dispositivo de acesso e se o servidor DHCP está instalado e configurado corretamente.
    • O cliente do portal, o dispositivo de acesso e os servidores podem se comunicar entre si.
    • Para usar o servidor RADIUS remoto, configure nomes de usuário e senhas no servidor RADIUS e configure o cliente RADIUS no dispositivo de acesso. Para obter informações sobre a configuração do cliente RADIUS, consulte "Configuração de AAA".
    • Para implementar funções de portal estendido, instale e configure o CAMS EAD ou o IMC EAD. Certifique-se de que as ACLs configuradas no dispositivo de acesso correspondam à ACL de isolamento e à ACL de segurança no servidor de política de segurança. Para a instalação e a configuração do servidor de políticas de segurança consulte o Manual do usuário do componente de política de segurança do CAMS EAD ou a Ajuda da política de segurança do IMC EAD.

    Configuração de um servidor de autenticação de portal remoto

    Sobre a configuração do servidor de autenticação do portal remoto

    Com a autenticação de portal ativada, o dispositivo procura um servidor de autenticação de portal para um pacote de solicitação de portal recebido de acordo com o endereço IP de origem do pacote.

    • Se for encontrado um servidor de autenticação de portal correspondente, o dispositivo considerará o pacote válido e enviará um pacote de resposta de autenticação para o servidor de autenticação de portal. Depois que um usuário faz login no dispositivo, ele interage com o servidor de autenticação do portal conforme necessário.
    • Se não for encontrado nenhum servidor de autenticação de portal correspondente, o dispositivo descartará o pacote.

    Restrições e diretrizes

    Não exclua um servidor de autenticação de portal em uso. Caso contrário, os usuários autenticados por esse servidor não poderão fazer o logout corretamente.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Crie um servidor de autenticação de portal e insira sua visualização.
      • portal server server-name

      Você pode criar vários servidores de autenticação de portal.

    • Especifique o endereço IP do servidor de autenticação do portal.

      • IPv4:

      ip ipv4-address [ key { cipher | simple } string ]

      IPv6:

      ipv6 ipv6-address [ key { cipher | simple } string ]
    • (Opcional.) Defina o número da porta UDP de destino usada pelo dispositivo para enviar pacotes de portal não solicitados para o servidor de autenticação de portal.
      • port port-number

      Por padrão, o número da porta UDP é 50100.

      Esse número de porta deve ser o mesmo que o número da porta de escuta especificado no servidor de autenticação do portal.

    • (Opcional.) Especifique o tipo de servidor de autenticação do portal.
      • server-type { cmcc | imc }

      Por padrão, o tipo de servidor de autenticação do portal é IMC.

      O tipo de servidor especificado deve ser o mesmo que o tipo de servidor de autenticação do portal realmente usado.

    • (Opcional.) Configure o dispositivo para se registrar periodicamente no servidor de autenticação do portal.
      • server-register [ interval interval-value ]

      Por padrão, o dispositivo não se registra em um servidor de autenticação de portal.

    Configuração de um servidor Web de portal

    Visão geral das tarefas do servidor Web do Portal

    Para configurar um servidor Web de portal, execute as seguintes tarefas:

    • Configurar parâmetros básicos para um servidor Web de portal
    • (Opcional.) Ativação do recurso captive-bypass
    • (Opcional.) Configuração de uma regra de correspondência para redirecionamento de URL

    Configurar parâmetros básicos para um servidor Web de portal

    • Entre na visualização do sistema.
      • system view
    • Crie um servidor da Web de portal e insira sua visualização.
      • portal web-server server-name

      Você pode criar vários servidores da Web de portal.

    • Especifique o URL do servidor da Web do portal.
      • url url-string

      Por padrão, nenhuma URL é especificada para um servidor da Web do portal.

    • Configure os parâmetros a serem carregados no URL quando o dispositivo o redirecionar para os usuários.
      • url-parameter param-name { original-url | source-address | source-mac [ encryption { aes | des } key { cipher | simple } string ] | value expression }

      Por padrão, nenhum parâmetro de URL de redirecionamento é configurado.

    • (Opcional.) Especifique o tipo de servidor da Web do portal.
      • server-type { cmcc | imc }

      Por padrão, o tipo de servidor da Web do portal é IMC.

      Essa configuração é aplicável somente ao serviço de portal remoto.

      O tipo de servidor especificado deve ser o mesmo que o tipo de servidor da Web do portal realmente usado.

    Ativação do recurso captive-bypass

    Sobre o recurso captive-bypass

    Por padrão, o dispositivo envia automaticamente a página de autenticação do portal para os dispositivos iOS e alguns dispositivos Android quando eles estão conectados à rede. O recurso captive-bypass permite que o dispositivo envie a página de autenticação do portal para os dispositivos iOS e alguns dispositivos Android somente quando eles acessarem a Internet usando navegadores.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do servidor da Web do portal.
      • portal web-server server-name
    • Habilite o recurso de passe cativo.
      • captive-bypass enable

      Por padrão, o recurso de desvio cativo está desativado.

    Configuração de uma regra de correspondência para redirecionamento de URL

    Sobre as regras de correspondência para redirecionamento de URL

    Uma regra de correspondência de redirecionamento de URL corresponde a solicitações HTTP ou HTTPS por informações de URL ou User-Agent solicitadas pelo usuário e redireciona as solicitações correspondentes para o URL de redirecionamento especificado. Portanto, as regras de correspondência de redirecionamento de URL permitem um redirecionamento de URL mais flexível do que o comando url. O comando url é usado somente para redirecionar solicitações HTTP ou HTTPS de usuários não autenticados do para o servidor da Web do portal para autenticação.

    Restrições e diretrizes

    Para que um usuário acesse com êxito um URL de redirecionamento, configure uma regra portal-free para permitir a aprovação de solicitações HTTP ou HTTPS destinadas ao URL de redirecionamento. Para obter informações sobre como configurar regras de portal-free, consulte o comando portal free-rule.

    Se os comandos url e if-match forem executados, o comando if-match terá prioridade para executar o redirecionamento de URL.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do servidor da Web do portal.
      • portal web-server server-name
    • Configure uma regra de correspondência para redirecionamento de URL.
      • if-match { original-url url-string redirect-url url-string [ url-param-encryption { aes | des } key { cipher | simple } string ] | user-agent string redirect-url url-string }

    Configuração dos recursos do serviço de portal local

    Sobre o serviço do portal local

    Depois que um serviço de portal local é configurado, o dispositivo atua como servidor da Web do portal e servidor de autenticação do portal para executar a autenticação do portal nos usuários. O arquivo da página de autenticação do portal é salvo no diretório raiz do dispositivo.

    Restrições e diretrizes para a configuração dos recursos do serviço de portal local

    Para que uma interface use o serviço de portal local, o URL do servidor da Web do portal especificado para a interface deve atender aos seguintes requisitos:

    • O endereço IP na URL deve ser o endereço IP de uma interface de camada 3 (exceto 127.0.0.1) no dispositivo, e o endereço IP deve ser acessível aos clientes do portal.
    • O URL deve terminar com /portal/. Por exemplo: http://1.1.1.1/portal/.

    Como prática recomendada para a operação correta do serviço da Web do portal local, use o arquivo de página de autenticação padrão no diretório raiz da mídia de armazenamento do dispositivo. Para usar páginas de autenticação personalizadas, você deve seguir rigorosamente as restrições e diretrizes relacionadas ao personalizar suas próprias páginas de autenticação. Para obter mais informações sobre as restrições e diretrizes, consulte "Personalização de páginas de autenticação".

    Personalização de páginas de autenticação

    Sobre a personalização das páginas de autenticação

    As páginas de autenticação são arquivos HTML. A autenticação do portal local requer as seguintes páginas de autenticação:

    • Página de logon
    • Página de sucesso do logon
    • Página de falha de logon
    • Página on-line
    • Página de sistema ocupado
    • Página de sucesso do logoff

    Você deve personalizar as páginas de autenticação, incluindo os elementos de página que as páginas de autenticação usarão, por exemplo, back.jpg para a página de autenticação Logon.htm.

    Siga as regras de personalização da página de autenticação ao editar os arquivos da página de autenticação.

    Regras de nome de arquivo

    Os nomes dos arquivos da página principal de autenticação são fixos (consulte a Tabela 1). Você pode definir os nomes dos arquivos que não sejam os arquivos da página principal de autenticação. Os nomes de arquivos e de diretórios não diferenciam maiúsculas de minúsculas.

    Tabela 1 Nomes de arquivos da página principal de autenticação

    Página principal de autenticação Nome do arquivo
    Página de logon logon.htm
    Página de sucesso do logon logonSuccess.htm
    Página de falha de logon logonFail.htm

    Página on-line

    Enviado após o usuário ficar on-line para notificação on-line

    		 online.htm

    Página de sistema ocupado

    Enviado quando o sistema está ocupado ou o usuário está no processo de logon

    		 ocupado.htm
    Página de sucesso do logoff logoffSuccess.htm

    Regras de solicitação de página

    O servidor da Web do portal local suporta apenas solicitações Get e Post.

    • Solicitações Get - Usadas para obter os arquivos estáticos nas páginas de autenticação e não permitem recursão. Por exemplo, se o arquivo Logon.htm incluir conteúdo que execute a ação Get no arquivo ca.htm, o arquivo ca.htm não poderá incluir nenhuma referência ao arquivo Logon.htm.
    • Post requests - Usado quando os usuários enviam pares de nome de usuário e senha, fazem login e logout.

    Regras de atributo de solicitação de postagem

    • Observe os seguintes requisitos ao editar um formulário de uma página de autenticação:
      • Uma página de autenticação pode ter vários formulários, mas deve haver um e somente um formulário cuja ação seja logon.cgi. Caso contrário, as informações do usuário não poderão ser enviadas para o dispositivo de acesso.
      • O atributo de nome de usuário é fixado como PtUser. O atributo de senha é fixado como PtPwd.
      • O valor do atributo PtButton é Logon ou Logoff, o que indica a ação que o usuário solicita.
      • Uma solicitação de logon Post deve conter os atributos PtUser, PtPwd e PtButton.
      • Uma solicitação de logoff Post deve conter o atributo PtButton.
    • As páginas de autenticação logon.htm e logonFail.htm devem conter a solicitação logon Post. O exemplo a seguir mostra parte do script na página logon.htm.
      • <form action=logon.cgi method = post >
                     <p>User name:<input type="text" name = "PtUser" style="width:160px;height:22px" 
                     maxlength=64>
                     <p>Password :<input type="password" name = "PtPwd" style="width:160px;height:22px" 
                     maxlength=32>
                     <p><input type=SUBMIT value="Logon" name = "PtButton" style="width:60px;" 
                     onclick="form.action=form.action+location.search;">
                     </form>
    • As páginas de autenticação logonSuccess.htm e online.htm devem conter a solicitação logoff Post.

      • O exemplo a seguir mostra parte do script na página online.htm.

      <form action=logon.cgi method = post >
                     <p><input type=SUBMIT value="Logoff" name="PtButton" style="width:60px;">
                     </form>

    Regras de compactação e salvamento de arquivos de página

    Você deve compactar as páginas de autenticação e seus elementos de página em um arquivo zip padrão.

    • O nome de um arquivo zip pode conter apenas letras, números e sublinhados.
    • As páginas de autenticação devem ser colocadas no diretório raiz do arquivo zip.
    • Os arquivos Zip podem ser transferidos para o dispositivo por meio de FTP ou TFTP e devem ser salvos no diretório raiz do dispositivo.

      • Exemplos de arquivos zip no dispositivo:

      <Sysname> dir
                     Directory of flash:
                     1     -rw-        1405 Feb 28 2008 15:53:20     ssid1.zip
                     0     -rw-        1405 Feb 28 2008 15:53:31     ssid2.zip
                     2     -rw-        1405 Feb 28 2008 15:53:39     ssid3.zip
                     3     -rw-        1405 Feb 28 2008 15:53:44     ssid4.zip
                     2540 KB total (1319 KB free)

    Redirecionamento de usuários autenticados para uma página da Web específica

    Para fazer com que o dispositivo redirecione automaticamente os usuários autenticados para uma página da Web específica, faça o seguinte em logon.htm e logonSuccess.htm:

    • Em logon.htm, defina o atributo target do Form como _blank. Veja o conteúdo em cinza:
      •    <form method=post action=logon.cgi target="_blank">
    • Adicione a função de carregamento de página pt_init() ao LogonSuccess.htm. Veja o conteúdo em cinza:
      •    <html>
                     <head>
                     <title>>LogonSuccess</title>
                     <script type="text/javascript" language="javascript" 
                     src="pt_private.js"></script>
                     </head>
                     <body> onload="pt_init();" onbeforeunload="return pt_unload();">
                     ... ...
                     </body>
                     </html>

    Configuração de um serviço da Web do portal local

    Pré-requisitos

    Antes de configurar um serviço da Web de portal local baseado em HTTPS, você deve concluir as seguintes tarefas:

    • Configure uma política de PKI, obtenha o certificado da CA e solicite um certificado local. Para obter mais informações, consulte "Configuração de PKI".
    • Configure uma política de servidor SSL e especifique o domínio PKI configurado na política PKI.

    Durante o estabelecimento da conexão SSL, o navegador do usuário pode exibir uma mensagem informando que não é possível verificar a identidade do servidor por meio de um certificado. Para que os usuários realizem a autenticação do portal sem verificar essa mensagem, configure uma política de servidor SSL para solicitar um certificado confiável para o cliente no dispositivo. O nome da política deve ser https_redirect. Para obter mais informações sobre a configuração da política do servidor SSL , consulte "Configuração de SSL".

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Habilite o serviço da Web do portal local baseado em HTTP ou HTTPS e entre em sua visualização.
      • portal local-web-server { http | https ssl-server-policy policy-name [ tcp-port port-number ] }
    • Especifique o arquivo de página de autenticação padrão para o serviço da Web do portal local.
      • default-logon-page filename

      Por padrão, o arquivo de página de autenticação padrão para um serviço da Web do portal local é o arquivo defaultfile.zip.

    • (Opcional.) Configure a porta TCP de escuta HTTP ou HTTPS para o serviço da Web do portal local.
      • tcp-port port-number

      Por padrão, o número da porta de escuta do serviço HTTP é 80 e o número da porta de escuta do serviço HTTPS é o número da porta TCP definido pelo comando portal local-web-server.

    Ativação da autenticação do portal em uma interface

    Restrições e diretrizes

    Ao ativar a autenticação de portal em uma interface, siga estas restrições e diretrizes:

    • O modo de autenticação entre sub-redes (camada 3) não requer dispositivos de encaminhamento da camada 3 entre o dispositivo de acesso e os clientes de autenticação do portal. Entretanto, se houver um dispositivo de encaminhamento de camada 3 entre o cliente de autenticação e o dispositivo de acesso, você deverá usar o modo de autenticação de portal entre sub-redes.
    • É possível ativar a autenticação do portal IPv4 e a autenticação do portal IPv6 em uma interface.

    Ao configurar a autenticação do portal re-DHCP em uma interface, siga estas restrições e diretrizes:

    • Certifique-se de que a interface tenha um endereço IP válido antes de ativar a autenticação do portal re-DHCP na interface.
    • Com a autenticação do portal re-DHCP, configure o ARP autorizado na interface como uma prática recomendada para garantir que somente usuários válidos possam acessar a rede. Com o ARP autorizado configurado na interface, a interface aprende entradas ARP somente dos usuários que obtiveram um endereço público do DHCP.
    • Para que a autenticação do portal re-DHCP seja bem-sucedida, certifique-se de que o valor do atributo BAS-IP ou BAS-IPv6 seja o mesmo que o endereço IP do dispositivo especificado no servidor de autenticação do portal. Para configurar o atributo, use o comando portal { bas-ip | bas-ipv6 }.
    • Um servidor de portal IPv6 não é compatível com a autenticação de portal re-DHCP.

    A autenticação do portal é compatível com o redirecionamento de HTTP e HTTPS. Para redirecionar os pacotes HTTPS dos usuários do portal, verifique se o número da porta de escuta de redirecionamento de HTTPS especificado (o padrão é 6654) está disponível. Para obter mais informações sobre como alterar o número da porta de escuta do redirecionamento de HTTPS, consulte Configuração do redirecionamento de HTTPS no Guia de configuração de serviços da camada 3-IP.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface da Camada 3.
      • interface interface-type interface-number
    • Ativar a autenticação do portal.

      • IPv4:

      portal enable method { direct | layer3 | redhcp }

      IPv6:

      portal ipv6 enable method { direct | layer3 }

      Por padrão, a autenticação do portal está desativada.

    Especificação de um servidor Web de portal em uma interface

    Sobre a especificação de um servidor Web de portal em uma interface

    Com um servidor da Web do portal especificado em uma interface, o dispositivo redireciona as solicitações HTTP dos usuários do portal na interface para o servidor da Web do portal.

    É possível especificar um servidor Web de portal IPv4 e um servidor Web de portal IPv6 em uma interface.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface da Camada 3.
      • interface interface-type interface-number
    • Especifique um servidor Web de portal na interface.
      • portal [ ipv6 ] apply web-server server-name [ fail-permit | secondary ]

      Por padrão, nenhum servidor Web de portal é especificado em uma interface.

      A palavra-chave secondary é compatível apenas com a versão 6348P01 e posteriores.

    Especificação de um pool de endereços IP de pré-autenticação

    Sobre os pools de endereços IP de pré-autenticação

    Você deve especificar um pool de endereços IP de pré-autenticação em uma interface habilitada para portal na seguinte situação:

    • Os usuários do portal acessam a rede por meio de uma subinterface da interface habilitada para o portal.
    • A subinterface não tem um endereço IP.
    • Os usuários do portal precisam obter endereços IP por meio de DHCP.

      • Depois que um usuário se conecta a uma interface habilitada para portal, ele usa um endereço IP para autenticação de portal de acordo com as seguintes regras:

    • Se a interface estiver configurada com um pool de endereços IP de pré-autenticação, o usuário usará o seguinte endereço IP:
      • Se o cliente estiver configurado para obter um endereço IP automaticamente por meio de DHCP, o usuário obterá um endereço do pool de endereços IP especificado.
      • Se o cliente estiver configurado com um endereço IP estático, o usuário usará o endereço IP estático.
    • Se a interface tiver um endereço IP, mas não houver um pool de IPs de pré-autenticação especificado, o usuário usará o endereço IP estático ou o endereço IP obtido de um servidor DHCP.
    • Se a interface não tiver um endereço IP ou um pool de IPs de pré-autenticação especificado, o usuário não poderá executar a autenticação do portal.

      • Depois que o usuário passa pela autenticação do portal, o servidor AAA autoriza um pool de endereços IP para reatribuir um endereço IP ao usuário. Se nenhum pool de endereços IP autorizado for implementado, o usuário continuará usando o endereço IP anterior.

    Restrições e diretrizes

    Essa configuração só tem efeito quando a autenticação direta do portal IPv4 está ativada na interface.

    Certifique-se de que o pool de endereços IP especificado exista e esteja completo. Caso contrário, o usuário não poderá obter o endereço IP e não poderá executar a autenticação do portal.

    Se o usuário do portal não realizar a autenticação ou não passar na autenticação, o endereço IP atribuído ainda será mantido.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface da Camada 3.
      • interface interface-type interface-number
    • Especifique um pool de endereços IP de pré-autenticação na interface.
      • portal [ ipv6 ] pre-auth ip-pool pool-name

      Por padrão, nenhum pool de endereços IP de pré-autenticação é especificado em uma interface.

    Especificação de um domínio de autenticação de portal

    Sobre os domínios de autenticação do portal

    Um domínio de autenticação define um conjunto de políticas de autenticação, autorização e contabilidade. Cada usuário do portal pertence a um domínio de autenticação e é autenticado, autorizado e contabilizado no domínio.

    Com um domínio de autenticação especificado em uma interface, o dispositivo usa o domínio de autenticação para AAA de usuários do portal. Isso permite um controle flexível do acesso ao portal.

    Restrições e diretrizes para a especificação de um domínio de autenticação de portal

    O dispositivo seleciona o domínio de autenticação para um usuário do portal nesta ordem:

    • Domínio ISP especificado para a interface.
    • Domínio do ISP incluído no nome de usuário.
    • Domínio ISP padrão do sistema.

    Se o domínio escolhido não existir no dispositivo, o dispositivo procurará o domínio ISP configurado para acomodar usuários atribuídos a domínios inexistentes. Se esse domínio ISP não estiver configurado, a autenticação do usuário falhará. Para obter informações sobre domínios ISP, consulte "Configuração de AAA".

    Para a ACL de autorização no domínio de autenticação, aplicam-se as seguintes regras:

    • Se o tráfego do usuário corresponder a uma regra na ACL, o dispositivo processará o tráfego com base na declaração de permissão ou negação da regra.
    • Se o tráfego do usuário não corresponder a nenhuma regra da ACL, o dispositivo permitirá o tráfego. Para negar esse tráfego, configure a última regra da ACL para negar todos os pacotes usando o comando rule deny ip.
    • Se a ACL contiver regras que especifiquem um endereço de origem, os usuários talvez não consigam ficar on-line. Não especifique um endereço IPv4, IPv6 ou MAC de origem quando você configurar uma regra na ACL.

    Especificação de um domínio de autenticação de portal em uma interface

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface da Camada 3.
      • interface interface-type interface-number
    • Especifique um domínio de autenticação de portal na interface.
      • portal [ ipv6 ] domain domain-name

      Por padrão, nenhum domínio de autenticação de portal é especificado em uma interface.

      É possível especificar um domínio de autenticação de portal IPv4 e um domínio de autenticação de portal IPv6 em uma interface.

    Controle do acesso do usuário ao portal

    Configuração de uma regra sem portal

    Sobre as regras de isenção de portal

    Uma regra sem portal permite que usuários específicos acessem sites externos específicos sem autenticação no portal.

    Os itens correspondentes para uma regra sem portal incluem o nome do host, o endereço IP de origem/destino, o número da porta TCP/UDP, o endereço MAC de origem, a interface de acesso e a VLAN. Os pacotes que corresponderem a uma regra portal-free não acionarão a autenticação do portal, de modo que os usuários que enviarem os pacotes poderão acessar diretamente os sites externos especificados.

    Restrições e diretrizes para a configuração de uma regra sem portal

    Se você especificar uma VLAN e uma interface, a interface deverá pertencer à VLAN. Se a interface não pertencer à VLAN, a regra sem portal não terá efeito.

    Você não pode configurar duas ou mais regras livres de portal com os mesmos critérios de filtragem. Caso contrário, o sistema avisa que a regra já existe.

    Independentemente de a autenticação do portal estar ativada ou não, você só pode adicionar ou remover uma regra sem portal. Não é possível modificá-la.

    Configuração de uma regra livre de portal baseada em IP

    • Entre na visualização do sistema.
      • system view
    • Configure uma regra livre de portal baseada em IP.

      • IPv4:

      portal free-rule rule-number { destination ip { ipv4-address { mask-length | mask } | any } [ tcp tcp-port-number | udp udp-port-number ] | source ip { ipv4-address { mask-length | mask } | any } [ tcp tcp-port-number | udp udp-port-number ] } * [ interface interface-type  interface-number ]

      IPv6:

      portal free-rule rule-number { destination ipv6 { ipv6-address prefix-length | any } [ tcp tcp-port-number | udp udp-port-number ] | source ipv6 { ipv6-address prefix-length | any } [ tcp tcp-port-number | udp udp-port-number ] } * [ interface interface-type interface-number ]

    Configuração de uma regra livre de portal com base na origem

    • Entre na visualização do sistema.
      • system view
    • Configure uma regra livre de portal com base na origem.
      • portal free-rule rule-number source { interface interface-type interface-number | mac mac-address | vlan vlan-id } *

      A opção vlan vlan-id tem efeito apenas nos usuários do portal que acessam a rede por meio de interfaces VLAN.

    Configuração de uma regra livre de portal baseada em destino

    • Entre na visualização do sistema.
      • system view
    • Configure uma regra livre de portal baseada em destino.
      • portal free-rule rule-number destination host-name

      Antes de configurar regras livres de portal baseadas em destino, certifique-se de que um servidor DNS esteja implantado na rede.

    Configuração de uma sub-rede de origem de autenticação

    Sobre sub-redes de origem de autenticação

    Ao configurar as sub-redes de origem da autenticação, você especifica que somente os pacotes HTTP ou HTTPS de usuários nas sub-redes de origem da autenticação podem acionar a autenticação do portal. Se um usuário não autenticado não estiver em nenhuma sub-rede de origem da autenticação, o dispositivo de acesso descartará todos os pacotes HTTP ou HTTPS do usuário que não corresponderem a nenhuma regra sem portal.

    Restrições e diretrizes

    As sub-redes de origem de autenticação se aplicam somente à autenticação de portal entre sub-redes.

    No modo de autenticação de portal direto ou re-DHCP, um usuário do portal e sua interface de acesso (habilitada para portal) estão na mesma sub-rede. Não é necessário especificar a sub-rede como a sub-rede de origem da autenticação.

    • No modo direto, o dispositivo de acesso considera a sub-rede de origem da autenticação como qualquer endereço IP de origem.
    • No modo re-DHCP, o dispositivo de acesso considera a sub-rede de origem da autenticação em uma interface como a sub-rede à qual pertence o endereço IP privado da interface.

    Se as sub-redes de origem e de destino da autenticação estiverem configuradas em uma interface, somente as sub-redes de destino da autenticação terão efeito.

    Você pode configurar várias sub-redes de origem de autenticação. Se as sub-redes de origem se sobrepuserem, a sub-rede com o maior escopo de endereço (com a menor máscara ou prefixo) entrará em vigor.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface da Camada 3.
      • interface interface-type interface-number
    • Configure uma sub-rede de origem de autenticação de portal.

      • IPv4:

      portal layer3 source ipv4-network-address { mask-length | mask }

      Por padrão, os usuários de qualquer sub-rede devem passar pela autenticação do portal.

      IPv6:

      portal ipv6 layer3 source ipv6-network-address prefix-length

      Por padrão, os usuários de qualquer sub-rede devem passar pela autenticação do portal.

    Configuração de uma sub-rede de destino de autenticação

    Sobre sub-redes de destino de autenticação

    Ao configurar as sub-redes de destino da autenticação, você especifica que os usuários acionam a autenticação do portal somente quando acessam as sub-redes especificadas (excluindo os endereços IP de destino e as sub-redes especificadas nas regras sem portal). Os usuários podem acessar outras sub-redes sem autenticação de portal.

    Restrições e diretrizes

    Se as sub-redes de origem e de destino da autenticação estiverem configuradas em uma interface, somente as sub-redes de destino da autenticação terão efeito.

    Você pode configurar várias sub-redes de destino de autenticação. Se as sub-redes de destino se sobrepuserem, a sub-rede com o maior escopo de endereço (com a menor máscara ou prefixo) entrará em vigor.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface da Camada 3.
      • interface interface-type interface-number
    • Configure uma sub-rede de destino de autenticação de portal.

      • IPv4:

      portal free-all except destination ipv4-network-address { mask-length | mask }

      IPv6:

      portal ipv6 free-all except destination ipv6-network-address  prefix-length

      Por padrão, os usuários que acessam quaisquer sub-redes devem passar pela autenticação do portal.

    Configuração do suporte do proxy da Web para autenticação do portal

    Sobre o suporte do proxy da Web para autenticação do portal

    Para permitir que as solicitações de HTTP com proxy de um servidor proxy da Web acionem a autenticação do portal, especifique o número da porta do servidor proxy da Web no dispositivo. Se uma porta do servidor proxy da Web não for especificada no dispositivo, as solicitações de HTTP com proxy do servidor proxy da Web serão descartadas e a autenticação do portal não poderá ser acionada.

    Restrições e diretrizes

    Se o navegador de um usuário usar o protocolo Web Proxy Auto-Discovery (WPAD) para descobrir servidores proxy da Web, será necessário executar as seguintes tarefas no dispositivo:

    • Especifique os números das portas dos servidores proxy da Web.
    • Configure regras de portal-free para permitir que os pacotes de usuários destinados ao servidor WPAD passem sem autenticação.

    Se os usuários do portal ativarem o proxy da Web em seus navegadores, eles deverão adicionar o endereço IP do servidor de autenticação do portal como uma exceção de proxy em seus navegadores. Assim, os pacotes HTTP que os usuários enviam ao servidor de autenticação do portal não serão enviados aos servidores proxy da Web.

    Você não pode especificar a porta 443 do servidor proxy da Web no dispositivo.

    Você pode executar esse comando várias vezes para especificar vários números de porta de servidores proxy da Web.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Especifique o número da porta de um servidor proxy da Web.
      • portal web-proxy port port-number

      Por padrão, nenhum número de porta de servidores proxy da Web é especificado. As solicitações HTTP com proxy são descartadas.

    Verificação da emissão de regras de filtragem de portal de categoria 2

    Sobre a verificação da emissão de regras de filtragem de portal de categoria 2

    As regras de filtragem de portal de categoria 2 permitem que usuários autenticados acessem recursos de rede autorizados. Por padrão, o dispositivo permite que um usuário autenticado fique on-line, desde que um dispositivo membro tenha emitido uma regra de filtragem de portal de categoria 2 para o usuário. Os usuários que ficam on-line a partir de interfaces globais podem não conseguir acessar os recursos da rede porque algumas portas membros podem não ter regras de categoria 2 para os usuários. Para resolver esse problema, habilite o dispositivo para verificar a emissão de regras de filtragem de portal de categoria 2. Em seguida, o dispositivo permite que os usuários fiquem on-line somente quando todos os dispositivos membros tiverem emitido regras de filtragem de portal de categoria 2 para os usuários.

    Como prática recomendada, execute essa tarefa quando a autenticação do portal estiver ativada em uma interface global.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Habilite o dispositivo para verificar a emissão de regras de filtragem de portal de categoria 2.
      • portal user-rule assign-check enable

      Por padrão, o dispositivo não verifica a emissão de regras de filtragem de portal de categoria 2.

    Definição do número máximo de usuários do portal

    Sobre a configuração do número máximo de usuários do portal

    Execute esta tarefa para controlar o número total de usuários do portal no sistema e o número máximo de usuários do portal IPv4 ou IPv6 em uma interface.

    Restrições e diretrizes para definir o número máximo de usuários do portal

    Certifique-se de que o número máximo combinado de usuários do portal IPv4 e IPv6 especificado em todas as interfaces não exceda o número máximo permitido pelo sistema. Caso contrário, o número excedente de usuários do portal não conseguirá fazer login no dispositivo.

    Definição do número máximo global de usuários do portal

    • Entre na visualização do sistema.
      • system view
    • Defina o número máximo global de usuários do portal.
      • portal max-user max-number

      Por padrão, nenhum limite é definido para o número global de usuários do portal.

      Se você definir o número máximo global menor do que o número de usuários atuais do portal on-line no dispositivo, essa configuração ainda terá efeito. Os usuários on-line não são afetados, mas o sistema proíbe o login de novos usuários do portal.

    Definição do número máximo de usuários do portal em uma interface

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface da Camada 3.
      • interface interface-type interface-number
    • Defina o número máximo de usuários do portal.
      • portal { ipv4-max-user | ipv6-max-user } max-number

      Por padrão, nenhum limite é definido para o número de usuários do portal em uma interface.

      Se você definir o número máximo menor do que o número atual de usuários do portal em uma interface, essa configuração ainda terá efeito. Os usuários on-line não são afetados, mas o sistema proíbe que novos usuários do portal façam login a partir da interface.

    Ativação da verificação rigorosa das informações de autorização do portal

    Sobre a verificação rigorosa das informações de autorização do portal

    O recurso de verificação rigorosa permite que um usuário do portal permaneça on-line somente quando as informações de autorização do usuário forem implantadas com êxito.

    Ativação da verificação rigorosa das informações de autenticação do portal em uma interface

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface da Camada 3.
      • interface interface-type interface-number
    • Habilite a verificação rigorosa das informações de autorização do portal.
      • portal authorization { acl | user-profile } strict-checking

    CUIDADO:

    • A verificação rigorosa falhará se a ACL ou o perfil de usuário autorizado não existir no dispositivo ou se o dispositivo não conseguir implantar o perfil de usuário.
    • É possível ativar a verificação rigorosa da ACL autorizada, do perfil de usuário autorizado ou de ambos. Se você ativar a verificação da ACL e do perfil do usuário, o usuário será desconectado se uma das verificações falhar.

    Por padrão, a verificação rigorosa das informações de autorização do portal está desativada em uma interface. Os usuários do portal permanecem on-line mesmo quando a ACL ou o perfil de usuário autorizado não existe ou quando o dispositivo não consegue implantar o perfil de usuário.

    Permitir que apenas usuários com endereços IP atribuídos por DHCP passem pela autenticação do portal

    Sobre permitir que apenas usuários com endereços IP atribuídos por DHCP passem pela autenticação do portal

    Esse recurso permite que apenas os usuários com endereços IP atribuídos por DHCP passem pela autenticação do portal. Use esse recurso para garantir que somente os usuários com endereços IP válidos possam acessar a rede.

    Restrições e diretrizes

    Esse recurso entra em vigor somente quando o dispositivo atua como dispositivo de acesso e servidor DHCP. A configuração desse recurso não afeta os usuários do portal on-line.

    Permitir que apenas usuários com endereços IP atribuídos por DHCP passem pela autenticação do portal em uma interface

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface da Camada 3.
      • interface interface-type interface-number
    • Permitir que apenas usuários com endereços IP atribuídos por DHCP passem pela autenticação do portal.
      • portal [ ipv6 ] user-dhcp-only

    CUIDADO:

    • Depois que esse recurso for configurado, os usuários com endereços IP estáticos não poderão passar pela autenticação do portal para ficar on-line.
    • Quando esse recurso for configurado em uma rede IPv6, desative o recurso de endereço IPv6 temporário. Caso contrário, os usuários de IPv6 usarão endereços IPv6 temporários para acessar a rede IPv6 e falharão na autenticação do portal.

    Por padrão, tanto os usuários com endereços IP obtidos por DHCP quanto os usuários com endereços IP estáticos podem passar pela autenticação para ficar on-line.

    Ativação do roaming do portal

    Sobre o roaming do portal

    Se o roaming do portal estiver ativado em uma interface de VLAN, um usuário do portal on-line poderá acessar recursos de qualquer porta da Camada 2 na VLAN sem reautenticação.

    Se o roaming de portal estiver desativado, para acessar recursos de rede externa de uma porta de Camada 2 diferente da porta de acesso atual na VLAN, o usuário deverá fazer o seguinte

    • Efetua o logout da porta atual.
    • Reautentica na nova porta da Camada 2.

    Restrições e diretrizes

    O roaming do portal tem efeito apenas nos usuários do portal que fazem login a partir de interfaces VLAN. Ele não tem efeito sobre os usuários do portal que fazem login a partir da interface comum da Camada 3.

    Não é possível ativar o roaming do portal quando houver usuários do portal on-line no dispositivo.

    Para que o roaming do portal entre em vigor, você deve desativar o recurso de entrada Rule ARP ou ND usando o comando

    undo portal refresh { arp | nd } enable

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Ativar o roaming do portal.
      • portal roaming enable

      Por padrão, o roaming de portal está desativado.

    Configuração do recurso de permissão de falha do portal

    Sobre o recurso portal fail-permit

    Execute esta tarefa para configurar o recurso de permissão de falha do portal em uma interface. Quando o dispositivo de acesso detecta que o servidor de autenticação do portal ou o servidor da Web do portal não pode ser acessado, ele permite que os usuários da interface tenham acesso à rede sem autenticação do portal.

    Se você ativar a permissão de falha para um servidor de autenticação de portal e um servidor da Web de portal em uma interface, a interface fará o seguinte:

    • Desativa a autenticação do portal quando um dos servidores não pode ser acessado.
    • Retoma a autenticação do portal quando ambos os servidores estiverem acessíveis.

    Depois que a autenticação do portal for retomada, os usuários não autenticados deverão ser aprovados na autenticação do portal para acessar a rede. Os usuários que foram aprovados na autenticação do portal antes do evento de falha de permissão podem continuar acessando a rede.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface da Camada 3.
      • interface interface-type interface-number
    • Habilite a permissão de falha do portal para um servidor de autenticação de portal.
      • portal [ ipv6 ] fail-permit server server-name

      Por padrão, o portal fail-permit está desativado para um servidor de autenticação de portal.

    • Ativar a permissão de falha do portal para um servidor da Web do portal.
      • portal [ ipv6 ] fail-permit web-server

      Por padrão, a permissão de falha do portal está desativada para um servidor da Web do portal. Esse recurso é compatível apenas com a versão 6348P01 e posteriores.

    Configuração dos recursos de detecção de portal

    Configuração da detecção on-line de usuários do portal

    Sobre a detecção on-line para usuários do portal

    Use o recurso de detecção on-line para detectar rapidamente logouts anormais de usuários do portal. Configure a detecção de ARP ou ICMP para usuários do portal IPv4. Configure a detecção de ND ou ICMPv6 para os usuários do portal IPv6.

    Se o dispositivo não receber nenhum pacote de um usuário do portal dentro do tempo ocioso, o dispositivo detectará o status on-line do usuário da seguinte forma:

    • Detecção de ICMP ou ICMPv6 - Envia solicitações de ICMP ou ICMPv6 ao usuário em intervalos configuráveis para detectar o status do usuário.
      • Se o dispositivo receber uma resposta dentro do número máximo de tentativas de detecção, ele considerará que o usuário está on-line e interromperá o envio de pacotes de detecção. Em seguida, o dispositivo redefine o cronômetro de inatividade e repete o processo de detecção quando o cronômetro expira.
      • Se o dispositivo não receber nenhuma resposta após o número máximo de tentativas de detecção, o dispositivo fará o logout do usuário.
    • Detecção de ARP ou ND - Envia solicitações de ARP ou ND ao usuário e detecta o status de entrada de ARP ou ND do usuário em intervalos configuráveis.
      • Se a entrada ARP ou ND do usuário for atualizada dentro do número máximo de tentativas de detecção, o dispositivo considerará que o usuário está on-line e interromperá a detecção. Em seguida, o dispositivo redefine o cronômetro de inatividade e repete o processo de detecção quando o cronômetro expirar.
      • Se a entrada ARP ou ND do usuário não for atualizada após o número máximo de tentativas de detecção , o dispositivo fará o logout do usuário.

    Restrições e diretrizes

    A detecção de ARP e a detecção de ND aplicam-se somente à autenticação direta e à autenticação do portal re-DHCP. A detecção de ICMP aplica-se a todos os modos de autenticação de portal.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface da Camada 3.
      • interface interface-type interface-number
    • Configure a detecção on-line de usuários do portal.

      • IPv4:

      portal user-detect type { arp | icmp } [ retry retries ] [ interval interval ] [ idle time ]

      IPv6:

      portal ipv6 user-detect type { icmpv6 | nd } [ retry retries ] [ interval interval ] [ idle time ]

      Por padrão, a detecção on-line é desativada para usuários do portal em uma interface.

    Configuração da detecção do servidor de autenticação do portal

    Sobre a detecção do servidor de autenticação do portal

    Durante a autenticação do portal, se a comunicação entre o dispositivo de acesso e o servidor de autenticação do portal for interrompida, os novos usuários do portal não poderão fazer login. Os usuários do portal on-line não poderão fazer logout normalmente.

    Para resolver esse problema, o dispositivo de acesso precisa ser capaz de detectar rapidamente as alterações de acessibilidade do servidor do portal e tomar as medidas correspondentes para lidar com as alterações.

    O recurso de detecção do servidor de autenticação de portal permite que o dispositivo detecte periodicamente os pacotes de portal enviados por um servidor de autenticação de portal para determinar a acessibilidade do servidor. Se o dispositivo receber um pacote de portal dentro de um tempo limite de detecção (tempo limite de tempo limite) e o pacote de portal for válido, o dispositivo considerará o servidor de autenticação de portal acessível. Caso contrário, o dispositivo considerará o servidor de autenticação de portal inacessível.

    Os pacotes de portal incluem pacotes de login de usuário, pacotes de logout de usuário e pacotes de heartbeat. Os pacotes de heartbeat são enviados periodicamente por um servidor. Ao detectar os pacotes heartbeat, o dispositivo pode detectar o status real do servidor mais rapidamente do que ao detectar outros pacotes de portal.

    Restrições e diretrizes

    O recurso de detecção de servidor de autenticação de portal entra em vigor somente quando o dispositivo tem uma interface habilitada para portal.

    Somente o servidor de autenticação do portal IMC suporta o envio de pacotes de pulsação. Para testar a acessibilidade do servidor por meio da detecção de pacotes de heartbeat, você deve ativar o recurso de heartbeat do servidor no servidor de autenticação do portal IMC.

    Você pode configurar o dispositivo para executar uma ou mais das seguintes ações quando o status de acessibilidade do servidor for alterado:

    • Envio de uma mensagem de registro, que contém o nome, o estado atual e o estado original do servidor de autenticação do portal.
    • Ativação da permissão de falha do portal. Quando o servidor de autenticação do portal não pode ser acessado, o recurso de permissão de falha do portal em uma interface permite que os usuários da interface tenham acesso à rede. Quando o servidor se recupera, ele retoma a autenticação do portal na interface. Para obter mais informações, consulte "Configuração do recurso de permissão de falha do portal".
    • Certifique-se de que o tempo limite de detecção configurado no dispositivo seja maior do que o intervalo de pulsação do servidor configurado no servidor de autenticação do portal.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do servidor de autenticação do portal.
      • portal server server-name
    • Configurar a detecção do servidor de autenticação do portal.
      • server-detect [ timeout timeout ] log

      Por padrão, a detecção do servidor de autenticação do portal está desativada.

    Configuração da detecção do servidor Web do portal

    Sobre a detecção do servidor Web do portal

    Um processo de autenticação de portal não poderá ser concluído se a comunicação entre o dispositivo de acesso e o servidor da Web do portal for interrompida. Para resolver esse problema, você pode ativar a detecção do servidor da Web do portal no dispositivo de acesso.

    Com o recurso de detecção do servidor da Web do portal, o dispositivo de acesso simula um processo de acesso à Web para iniciar uma conexão TCP com o servidor da Web do portal. Se a conexão TCP puder ser estabelecida com êxito, o dispositivo de acesso considerará a detecção bem-sucedida e o servidor da Web do portal estará acessível. Caso contrário, ele considera que a detecção falhou. O status de autenticação do portal nas interfaces do dispositivo de acesso não afeta o recurso de detecção do servidor da Web do portal.

    Você pode configurar os seguintes parâmetros de detecção:

    • Intervalo de detecção - Intervalo no qual o dispositivo detecta a capacidade de alcance do servidor.
    • Número máximo de falhas consecutivas - Se o número de falhas de detecção consecutivas atingir esse valor, o dispositivo de acesso considerará que o servidor Web do portal está inacessível.

    Você pode configurar o dispositivo para executar uma ou mais das seguintes ações quando o status de acessibilidade do servidor for alterado:

    • Envio de uma mensagem de registro, que contém o nome, o estado atual e o estado original do servidor Web do portal.
    • Ativação da permissão de falha do portal. Quando o servidor da Web do portal não pode ser acessado, o recurso de permissão de falha do portal em uma interface permite que os usuários da interface tenham acesso à rede. Quando o servidor se recupera, ele retoma a autenticação do portal na interface. Para obter mais informações, consulte "Configuração do recurso de permissão de falha do portal".

    Restrições e diretrizes

    O recurso de detecção do servidor da Web do portal entra em vigor somente quando a URL do servidor da Web do portal é especificada em e o dispositivo tem uma interface habilitada para portal.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do servidor da Web do portal.
      • portal web-server server-name
    • Configurar a detecção do servidor Web do portal.
      • server-detect [ interval interval ] [ retry retries ] log

      Por padrão, a detecção do servidor Web do portal está desativada.

    Configuração da sincronização de usuários do portal

    Sobre a sincronização de usuários do portal

    Quando o dispositivo de acesso perde a comunicação com um servidor de autenticação do portal, as informações do usuário do portal no dispositivo de acesso e no servidor de autenticação do portal podem ser inconsistentes após o restabelecimento da comunicação. Para resolver esse problema, o dispositivo fornece o recurso de sincronização de usuário do portal. Esse recurso é implementado com o envio e a detecção de pacotes de sincronização do portal , como segue:

    • O servidor de autenticação do portal envia as informações do usuário on-line para o dispositivo de acesso em um pacote de sincronização no intervalo de pulsação do usuário.

      • O intervalo de pulsação do usuário é definido no servidor de autenticação do portal.

    • Ao receber o pacote de sincronização, o dispositivo de acesso compara os usuários contidos no pacote com sua própria lista de usuários e executa as seguintes operações:
      • Se um usuário contido no pacote não existir no dispositivo de acesso, o dispositivo de acesso informará ao servidor de autenticação do portal para excluir o usuário. O dispositivo de acesso inicia o timer de detecção de sincronização (timeout timeout) imediatamente quando um usuário faz login.
      • Se o usuário não aparecer em nenhum pacote de sincronização dentro de um intervalo de detecção de sincronização, o dispositivo de acesso considerará que o usuário não existe no servidor de autenticação do portal e fará o logout do usuário.

    Restrições e diretrizes

    A sincronização do usuário do portal requer um servidor de autenticação do portal para suportar a função de pulsação do usuário do portal. Somente o servidor de autenticação do portal IMC suporta a função de pulsação do usuário do portal. Para implementar o recurso de sincronização de usuários do portal, também é necessário configurar a função de pulsação do usuário no servidor de autenticação do portal. Certifique-se de que o intervalo de pulsação do usuário configurado no servidor de autenticação do portal não seja maior do que o tempo limite de detecção de sincronização configurado no dispositivo de acesso.

    A exclusão de um servidor de autenticação de portal no dispositivo de acesso também exclui a configuração de sincronização do usuário para o servidor de autenticação de portal.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do servidor de autenticação do portal.
      • portal server server-name
    • Configure a sincronização de usuários do portal.
      • user-sync timeout timeout

      Por padrão, a sincronização de usuários do portal está desativada.

    Configuração dos atributos do pacote do portal

    Configuração do atributo BAS-IP ou BAS-IPv6

    Sobre esta tarefa

    Se o dispositivo executar o Portal 2.0, os pacotes não solicitados enviados ao servidor de autenticação do portal deverão conter o atributo BAS-IP. Se o dispositivo executar o Portal 3.0, os pacotes não solicitados enviados ao servidor de autenticação do portal deverão conter o atributo BAS-IP ou BAS-IPv6.

    Depois que esse atributo é configurado, o endereço IP de origem dos pacotes do portal de notificação não solicitados que o dispositivo envia ao servidor de autenticação do portal é o endereço BAS-IP ou BAS-IPv6 configurado. Se o atributo não estiver configurado, o endereço IP de origem dos pacotes do portal será o endereço IP da interface de saída do pacote.

    Restrições e diretrizes

    Durante um processo de autenticação do portal re-DHCP ou de logout obrigatório do usuário, o dispositivo envia pacotes de notificação do portal para o servidor de autenticação do portal. Para que o processo de autenticação ou de logout seja concluído, certifique-se de que o atributo BAS-IP/BAS-IPv6 seja o mesmo que o endereço IP do dispositivo especificado no servidor de autenticação do portal.

    Você deve configurar o atributo BAS-IP ou BAS-IPv6 em uma interface habilitada para autenticação de portal se as seguintes condições forem atendidas:

    • O servidor de autenticação do portal é um servidor Intelbras IMC.
    • O endereço IP do dispositivo do portal especificado no servidor de autenticação do portal não é o endereço IP da interface de saída do pacote do portal.

    Configuração do atributo BAS-IP ou BAS-IPv6 em uma interface

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface da Camada 3.
      • interface interface-type interface-number
    • Configure o atributo BAS-IP ou BAS-IPv6.

      • IPv4:

      portal bas-ip ipv4-address

      Por padrão, o atributo BAS-IP de um pacote de resposta do portal IPv4 é o endereço IPv4 de origem do pacote. O atributo BAS-IP de um pacote de notificação do portal IPv4 é o endereço IPv4 da interface de saída do pacote.

      IPv6:

      portal bas-ipv6 ipv6-address

      Por padrão, o atributo BAS-IPv6 de um pacote de resposta do portal IPv6 é o endereço IPv6 de origem do pacote. O atributo BAS-IPv6 de um pacote de notificação do portal IPv6 é o endereço IPv6 da interface de saída do pacote.

    Especificação da ID do dispositivo

    Sobre a especificação do ID do dispositivo

    O servidor de autenticação do portal usa IDs de dispositivos para identificar os dispositivos que enviam pacotes de protocolo para o servidor do portal.

    Restrições e diretrizes

    Certifique-se de que o ID do dispositivo configurado seja diferente de qualquer outro dispositivo de acesso que esteja se comunicando com o mesmo servidor de autenticação do portal.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Especifique a ID do dispositivo.
      • portal device-id device-id

      Por padrão, um dispositivo não é configurado com um ID de dispositivo.

    Configuração de atributos para pacotes RADIUS

    Especificação de um formato para o atributo NAS-Port-Id

    Sobre a especificação de um formato para o atributo NAS-Port-Id

    Os servidores RADIUS de diferentes fornecedores podem exigir formatos diferentes do atributo NAS-Port-Id nos pacotes RADIUS. Você pode especificar o formato do atributo NAS-Port-Id conforme necessário.

    O dispositivo é compatível com formatos predefinidos (formatos 1, 2, 3 e 4). Para obter mais informações sobre os formatos , consulte os comandos do portal na Referência de comandos de segurança.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Especifique o formato do atributo NAS-Port-Id.
      • portal nas-port-id format { 1 | 2 | 3 | 4 }

      Por padrão, o formato do atributo NAS-Port-Id é o formato 2.

    Configuração do atributo NAS-Port-Type

    Sobre o atributo NAS-Port-Type

    O atributo NAS-Port-Type em uma solicitação RADIUS representa o tipo de interface de acesso de um usuário.

    O dispositivo de acesso talvez não consiga obter corretamente o tipo de interface de acesso dos usuários quando houver vários dispositivos de rede entre o dispositivo de acesso e o cliente do portal. Para que o dispositivo de acesso envie o tipo correto de interface de acesso para o servidor RADIUS, execute esta tarefa para configurar o atributo NAS-Port-Type.

    Restrições e diretrizes

    Essa configuração entra em vigor apenas para os usuários do portal que estiverem on-line recentemente.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Configure o atributo NAS-Port-Type transportado nas solicitações RADIUS de saída na interface.
      • portal nas-port-type { 802.11 | adsl-cap | adsl-dmt | async | cable  | ethernet | g.3-fax | hdlc | idsl | isdn-async-v110 | isdn-async-v120  | isdn-sync | piafs | sdsl | sync | virtual | wireless-other | x.25  | x.75 | xdsl }

      Por padrão, o NAS-Port-Type transportado nas solicitações RADIUS de saída é Ethernet (valor de atributo 15).

    Aplicação de um perfil NAS-ID a uma interface

    Sobre a aplicação de um perfil NAS-ID a uma interface

    Por padrão, o dispositivo envia o nome do dispositivo no atributo NAS-Identifier de todas as solicitações RADIUS.

    Um perfil NAS-ID permite que você envie diferentes cadeias de atributos NAS-Identifier em solicitações RADIUS de diferentes VLANs. As cadeias de caracteres podem ser nomes de organizações, nomes de serviços ou qualquer critério de categorização de usuários, dependendo dos requisitos administrativos.

    Por exemplo, mapeie o NAS-ID companyA para todas as VLANs da empresa A. O dispositivo enviará companyA no atributo NAS-Identifier para que o servidor RADIUS identifique as solicitações de qualquer usuário da empresa A.

    Restrições e diretrizes

    Você pode aplicar um perfil NAS-ID a uma interface habilitada para portal. Se nenhum perfil NAS-ID for especificado na interface ou se não for encontrado um NAS-ID correspondente no perfil especificado, o dispositivo usará o nome do dispositivo como o NAS-ID da interface.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Crie um perfil NAS-ID e entre na visualização do perfil NAS-ID.
      • aaa nas-id profile profile-name

      Para obter mais informações sobre esse comando, consulte Referência de comandos de segurança.

    • Configure um NAS ID e uma vinculação de VLAN no perfil.
      • nas-id nas-identifier bind vlan vlan-id

      Para obter mais informações sobre esse comando, consulte Comandos AAA em Referência de comandos de segurança. O acesso ao portal corresponde somente à VLAN ID interna dos pacotes QinQ. Para obter mais informações sobre QinQ, consulte o Guia de Configuração de Comutação de Camada 2-LAN.

    • Execute os seguintes comandos em sequência para especificar o perfil NAS-ID na interface.
      • Retornar à visualização do sistema.
        • quit
      • Entre na visualização da interface da Camada 3.
        • interface interface-type interface-number
      • Especifique o perfil NAS-ID na interface.
        • portal nas-id-profile profile-name

    Fazer logout de usuários do portal on-line

    Sobre o logout de usuários do portal on-line

    Esse recurso exclui os usuários que passaram pela autenticação do portal e encerra as autenticações do portal em andamento.

    Restrições e diretrizes

    Quando o número de usuários on-line ultrapassa 2.000, a execução do comando portal delete-user leva alguns minutos.

    Para garantir o logout bem-sucedido dos usuários on-line, não desative a autenticação do portal nem execute a alternância de dispositivo mestre/subordinado na interface habilitada para o portal durante a execução do comando.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Faça o logout dos usuários do portal on-line.
      • portal delete-user { ipv4-address | all | interface interface-type  interface-number | ipv6 ipv6-address }

    Ativação do registro de login/logout do usuário do portal

    Sobre como ativar o registro de login/logout do usuário do portal

    Esse recurso registra informações sobre eventos de login e logout de usuários. As informações incluem o nome de usuário, o endereço IP e o endereço MAC do usuário, a interface de acesso do usuário, a VLAN e o resultado do login. Os registros são enviados para o centro de informações do dispositivo. Para que os logs sejam enviados corretamente, você também deve configurar o centro de informações no dispositivo. Para obter mais informações sobre a configuração do centro de informações, consulte o Guia de configuração de monitoramento e gerenciamento de rede.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Habilite o registro de login/logout do usuário do portal.
      • portal log enable

      Por padrão, o registro de login/logout do usuário do portal está desativado.

    Desativar o recurso de entrada Rule ARP ou ND para clientes do portal

    Sobre esta tarefa

    Quando o recurso de entrada Rule ARP ou ND está ativado para clientes do portal, as entradas ARP ou ND para clientes do portal são entradas Rule depois que os clientes ficam on-line. As entradas de regra não envelhecerão e serão excluídas imediatamente após os clientes do portal ficarem off-line. Se um cliente do portal ficar off-line e tentar ficar on-line antes que a entrada ARP ou ND seja reaprendida para o cliente, ele falhará na autenticação.

    Para evitar essa falha de autenticação, desative esse recurso. Em seguida, as entradas ARP ou ND para os clientes do portal são entradas dinâmicas depois que os clientes ficam on-line e são excluídas somente quando se esgotam.

    Restrições e diretrizes

    A ativação ou desativação desse recurso não afeta as entradas de regra/dinâmica de ARP ou ND existentes.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Desative o recurso de entrada Rule ARP ou ND para clientes do portal.
      • undo portal refresh { arp | nd } enable

      Por padrão, o recurso de entrada Rule ARP ou ND está ativado para clientes do portal.

    Configuração do redirecionamento da Web

    Sobre o redirecionamento da Web

    O redirecionamento da Web é um recurso simplificado do portal. Com o redirecionamento da Web, um usuário não executa a autenticação do portal, mas é redirecionado diretamente para o URL especificado na primeira tentativa de acesso à Web em um navegador. Após o intervalo de redirecionamento especificado, o usuário é redirecionado do site visitante para o URL especificado novamente.

    O redirecionamento da Web pode fornecer serviços ampliados aos ISPs. Por exemplo, os ISPs podem colocar anúncios e publicar informações na página da Web redirecionada.

    Restrições e diretrizes

    O recurso de redirecionamento da Web entra em vigor somente em pacotes HTTP que usam o número de porta padrão 80. O redirecionamento da Web não funciona quando o redirecionamento da Web e a autenticação do portal estão ativados.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface da Camada 3.
      • interface interface-type interface-number
    • Configurar o redirecionamento da Web.
      • web-redirect [ ipv6 ] url url-string [ interval interval ]

      Por padrão, o redirecionamento da Web está desativado.

    Comandos de exibição e manutenção do portal

    Execute comandos de exibição em qualquer visualização e o comando reset na visualização do usuário.

    Tarefa Comando
    Exibir a configuração do portal e o estado de execução do portal. display portal interface interface-type interface-number
    Exibir estatísticas de pacotes para servidores de autenticação de portal. exibir estatísticas de pacotes do portal [ server server-name ]
    Exibir regras do portal. display portal rule { all | dynamic | static } interface interface-type interface-number [ slot slot-number ]
    Exibir informações do servidor de autenticação do portal. exibir servidor de portal [ nome do servidor ]
    Exibir informações do usuário do portal. display portal user { all | interface-type interface-number | ip ipv4-address | ipv6 ipv6-address } [ verbose ]
    Exibir informações do servidor da Web do portal. servidor web do portal de exibição [ nome do servidor ]
    Exibir informações da regra de redirecionamento da Web. display web-redirect rule interface interface-type interface-number [ slot slot-number ]
    Limpar estatísticas de pacotes para servidores de autenticação de portal. reset portal packet statistics [ server nome-do-servidor ]

    Exemplos de configuração do portal

    Exemplo: Configuração da autenticação direta do portal

    Configuração de rede

    Conforme mostrado na Figura 6, o host está diretamente conectado ao switch (o dispositivo de acesso). O host recebe um endereço IP público manualmente ou por meio de DHCP. Um servidor de portal atua como um servidor de autenticação de portal e um servidor da Web de portal. Um servidor RADIUS atua como servidor de autenticação/contabilidade.

    Configure a autenticação direta do portal, para que o host possa acessar somente o servidor do portal antes de passar pela autenticação e acessar outros recursos da rede depois de passar pela autenticação.

    Figura 6 Diagrama de rede

    Pré-requisitos

    • Configure os endereços IP do host, do switch e dos servidores, conforme mostrado na Figura 6, e certifique-se de que eles possam se comunicar entre si.
    • Configure o servidor RADIUS corretamente para fornecer funções de autenticação e contabilidade.

    Configuração do servidor de autenticação do portal no IMC PLAT 5.0

    Neste exemplo, o servidor do portal é executado no IMC PLAT 5.0(E0101) e no IMC UAM 5.0(E0101).

    • Configure o servidor de autenticação do portal:
      • Faça login no IMC e clique na guia Service (Serviço).
      • Selecione User Access Manager > Portal Service Management > Server na árvore de navegação para abrir a página de configuração do servidor do portal, conforme mostrado na Figura 7.
      • Configure os parâmetros do servidor do portal conforme necessário. Este exemplo usa as configurações padrão.
      • Clique em OK.

      Figura 7 Configuração do servidor do portal

    • Configure o grupo de endereços IP:
      • Selecione User Access Manager > Portal Service Management > IP Group na árvore de navegação para abrir a página de configuração do grupo de endereços IP do portal.
      • Clique em Add para abrir a página, conforme mostrado na Figura 8.
      • Digite o nome do grupo IP.
      • Digite o endereço IP inicial e o endereço IP final do grupo de IP. Certifique-se de que o endereço IP do host esteja no grupo de IPs.
      • Selecione um grupo de serviços.

        • Este exemplo usa o grupo padrão Ungrouped.

      • Selecione a ação Normal.
      • Clique em OK.

      Figura 8: Adição de um grupo de endereços IP

    • Adicionar um dispositivo de portal:
      • Selecione User Access Manager > Portal Service Management > Device na árvore de navegação para abrir a página de configuração do dispositivo do portal.
      • Clique em Add para abrir a página, conforme mostrado na Figura 9.
      • Digite o nome do dispositivo NAS.
      • Digite o endereço IP da interface do switch conectada ao host.
      • Digite a chave, que deve ser a mesma configurada no switch.
      • Defina se deseja ativar a realocação de endereços IP.

        • Este exemplo usa a autenticação direta do portal e, portanto, selecione No na lista Reallocate IP (Realocar IP).

      • Selecione se deseja oferecer suporte às funções de heartbeat do servidor e heartbeat do usuário.

        • Neste exemplo, selecione No para Support Server Heartbeat e Support User Heartbeat.

      • Clique em OK.

      Figura 9 Adição de um dispositivo de portal

    • Associe o dispositivo do portal ao grupo de endereços IP:
      • Conforme mostrado na Figura 10, clique no ícone na coluna Port Group Information Management do dispositivo NAS para abrir a página de configuração do grupo de portas.
      • Clique em Add para abrir a página, conforme mostrado na Figura 11.
      • Digite o nome do grupo de portas.
      • Selecione o grupo de endereços IP configurado.

        • O endereço IP usado pelo usuário para acessar a rede deve estar dentro desse grupo de endereços IP.

      • Use as configurações padrão para outros parâmetros.
      • Clique em OK.

      Figura 10 Lista de dispositivos

      Figura 11 Adição de um grupo de portas

    • Selecione User Access Manager > Service Parameters > Validate System Configuration > Validar configuração do sistema em na árvore de navegação para que as configurações entrem em vigor.

    Configuração do switch

    • Configurar um esquema RADIUS:

      • # Crie um esquema RADIUS chamado rs1 e entre em sua visualização.

      <Switch> system-view
                     [Switch] radius scheme rs1

      # Especifique o servidor de autenticação principal e o servidor de contabilidade principal e configure as chaves para comunicação com os servidores.

      [Switch-radius-rs1] primary authentication 192.168.0.112
                     [Switch-radius-rs1] primary accounting 192.168.0.112
                     [Switch-radius-rs1] key authentication simple radius
                     [Switch-radius-rs1] key accounting simple radius

      # Excluir o nome de domínio do ISP do nome de usuário enviado ao servidor RADIUS.

      [Switch-radius-rs1] user-name-format without-domain
                     [Switch-radius-rs1] quit

      # Habilite o controle de sessão RADIUS.

      [Switch] radius session-control enable
    • Configure um domínio de autenticação:

      • # Crie um domínio ISP chamado dm1 e entre em sua visualização.

      [Switch] domain dm1

      # Configurar métodos AAA para o domínio ISP.

      [Switch-isp-dm1] authentication portal radius-scheme rs1
                     [Switch-isp-dm1] authorization portal radius-scheme rs1
                     [Switch-isp-dm1] accounting portal radius-scheme rs1
                     [Switch-isp-dm1] quit

      # Configure o domínio dm1 como o domínio padrão do ISP. Se um usuário digitar o nome de usuário sem o nome do domínio ISP no login, os métodos de autenticação e contabilidade do domínio padrão serão usados para o usuário.

      [Switch] domain default enable dm1
    • Configurar a autenticação do portal:

      • # Configure um servidor de autenticação de portal.

      [Switch] portal server newpt
                     [Switch-portal-server-newpt] ip 192.168.0.111 key simple portal
                     [Switch-portal-server-newpt] port 50100
                     [Switch-portal-server-newpt] quit

      # Configure um servidor Web de portal.

      [Switch] portal web-server newpt
                     [Switch-portal-websvr-newpt] url http://192.168.0.111:8080/portal
                     [Switch-portal-websvr-newpt] quit

      # Habilite a autenticação direta do portal na interface VLAN 100.

      [Switch] interface vlan-interface 100
                     [Switch–Vlan-interface100] portal enable method direct

      # Especifique o servidor Web do portal newpt na interface VLAN 100.

      [Switch–Vlan-interface100] portal apply web-server newpt

      # Configure o BAS-IP como 2.2.2.1 para pacotes de portal enviados da interface VLAN 100 para o servidor de autenticação de portal.

      [Switch–Vlan-interface100] portal bas-ip 2.2.2.1
                     [Switch–Vlan-interface100] quit

      Verificação da configuração

      # Verificar se a configuração do portal entrou em vigor.

      [Switch] display portal interface vlan-interface 100
                     Portal information of Vlan-interface100
                     NAS-ID profile : Not configured
                     Authorization  : Strict checking
                     ACL            : Disabled
                     User profile   : Disabled
                     IPv4:
                     Portal status: Enabled
                     Portal authentication method: Direct
                     Portal web server: newpt
                     Secondary portal Web server: Not configured
                     Portal mac-trigger-server: Not configured
                     Authentication domain: Not configured
                     User-dhcp-only: Disabled
                     Pre-auth IP pool: Not configured
                     Max Portal users: Not configured
                     Bas-ip: 2.2.2.1
                     User detection: Not configured
                     Action for server detection:
                     Server type       Server name                            Action
                     --                --                                     --
                     Layer3 source network:
                     IP address              Mask

                     Destination authenticate subnet:
                     IP address              Mask
                     IPv6:
                     Portal status: Disabled
                     Portal authentication method: Disabled
                     Portal web server: Not configured
                     Secondary portal Web server: Not configured
                     Portal mac-trigger-server: Not configured
                     Authentication domain: Not configured
                     User-dhcp-only: Disabled
                     Pre-auth IP pool: Not configured
                     Max Portal users: Not configured
                     Bas-ipv6: Not configured
                     User detection: Not configured
                     Action for server detection:
                     Server type       Server name                            Action
                     --                --                                     --
                     Layer3 source network:
                     IP address                                               Prefix length

                     Destination authenticate subnet: 
                     IP address                                               Prefix length

      Um usuário pode realizar a autenticação do portal usando o cliente Intelbras iNode ou por meio de um navegador da Web. Antes de passar pela autenticação, o usuário pode acessar somente a página de autenticação http://192.168.0.111:8080/portal. Todas as solicitações da Web do usuário serão redirecionadas para a página de autenticação. Depois de passar pela autenticação, o usuário pode acessar outros recursos da rede.

      # Depois que o usuário passar pela autenticação, use o seguinte comando para exibir informações sobre o usuário do portal.

      [Switch] display portal user interface vlan-interface 100
                     Total portal users: 1
                     Username: abc
                     Portal server: newpt
                     State: Online
                     VPN instance: N/A
                     MAC               IP                      VLAN     Interface
                     0015-e9a6-7cfe    2.2.2.2                 100      Vlan-interface100
                     Authorization information:
                     DHCP IP pool: N/A
                     User profile: N/A
                     Session group profile: N/A
                     ACL number: N/A
                     Inbound CAR: N/A
                     Outbound CAR: N/A

    Exemplo: Configuração da autenticação do portal re-DHCP

    Configuração de rede

    Conforme mostrado na Figura 12, o host está diretamente conectado ao switch (o dispositivo de acesso). O host obtém um endereço IP por meio do servidor DHCP. Um servidor de portal atua como um servidor de autenticação de portal e um servidor da Web de portal. Um servidor RADIUS atua como servidor de autenticação/contabilidade.

    Configure a autenticação do portal re-DHCP. Antes de passar pela autenticação, o host recebe um endereço IP privado. Depois de passar pela autenticação, o host recebe um endereço IP público e pode acessar os recursos da rede.

    Figura 12 Diagrama de rede

    Restrições e diretrizes

    • Para autenticação do portal re-DHCP, configure um pool de endereços públicos (20.20.20.0/24) e um pool de endereços privados (10.0.0.0/24) no servidor DHCP. (Detalhes não mostrados.)
    • Para autenticação do portal re-DHCP:
      • O switch deve ser configurado como um agente de retransmissão DHCP.
      • A interface habilitada para portal deve ser configurada com um endereço IP primário (um endereço IP público) e um endereço IP secundário (um endereço IP privado).

      Para obter informações sobre a configuração do agente de retransmissão DHCP, consulte o Guia de Configuração de Serviços de Camada 3 IP.

    • Certifique-se de que o endereço IP do dispositivo do portal adicionado ao servidor do portal seja o endereço IP público (20.20.20.1) da interface do switch que conecta o host. O intervalo de endereços IP privados para o grupo de endereços IP associado ao dispositivo do portal é a sub-rede privada 10.0.0.0/24 onde o host reside. O intervalo de endereços IP públicos para o grupo de endereços IP é a sub-rede pública 20.20.20.0/24.

    Pré-requisitos

    • Configure os endereços IP para o switch e os servidores, conforme mostrado na Figura 12, e certifique-se de que o host, o switch e os servidores possam se comunicar entre si.
    • Configure o servidor RADIUS corretamente para fornecer funções de autenticação e contabilidade.

    Procedimento

    • Configurar um esquema RADIUS:

      • # Crie um esquema RADIUS chamado rs1 e entre em sua visualização.

      <Switch> system-view
                     [Switch] radius scheme rs1

      # Especifique o servidor de autenticação principal e o servidor de contabilidade principal e configure o chaves para comunicação com os servidores.

      [Switch-radius-rs1] primary authentication 192.168.0.113
                     [Switch-radius-rs1] primary accounting 192.168.0.113
                     [Switch-radius-rs1] key authentication simple radius
                     [Switch-radius-rs1] key accounting simple radius

      # Excluir o nome de domínio do ISP do nome de usuário enviado ao servidor RADIUS.

      [Switch-radius-rs1] user-name-format without-domain
                     [Switch-radius-rs1] quit

      # Habilite o controle de sessão RADIUS.

      [Switch] radius session-control enable
    • Configure um domínio de autenticação:

      • # Crie um domínio ISP chamado dm1 e entre em sua visualização.

      [Switch] domain dm1

      # Configure os métodos AAA para o domínio ISP.

      [Switch-isp-dm1] authentication portal radius-scheme rs1
                     [Switch-isp-dm1] authorization portal radius-scheme rs1
                     [Switch-isp-dm1] accounting portal radius-scheme rs1
                     [Switch-isp-dm1] quit

      # Configure o domínio dm1 como o domínio padrão do ISP. Se um usuário digitar o nome de usuário sem o nome do domínio ISP no login, os métodos de autenticação e contabilidade do domínio padrão serão usados para o usuário.

      [Switch] domain default enable dm1
    • Configure a retransmissão de DHCP e o ARP autorizado:

      • # Configurar o relé DHCP.

      [Switch] dhcp enable
      
                     [Switch] dhcp relay client-information record
                     [Switch] interface vlan-interface 100
                     [Switch–Vlan-interface100] ip address 20.20.20.1 255.255.255.0
                     [Switch–Vlan-interface100] ip address 10.0.0.1 255.255.255.0 sub
                     [Switch-Vlan-interface100] dhcp select relay
                     [Switch-Vlan-interface100] dhcp relay server-address 192.168.0.112

      # Habilite o ARP autorizado.

      [Switch-Vlan-interface100] arp authorized enable
                     [Switch-Vlan-interface100] quit
    • Configurar a autenticação do portal:

      • # Configure um servidor de autenticação de portal.

      [Switch] portal server newpt
                     [Switch-portal-server-newpt] ip 192.168.0.111 key simple portal
                     [Switch-portal-server-newpt] port 50100
                     [Switch-portal-server-newpt] quit

      # Configure um servidor da Web do portal.

      [Switch] portal web-server newpt
                     [Switch-portal-websvr-newpt] url http://192.168.0.111:8080/portal
                     [Switch-portal-websvr-newpt] quit

      # Habilite a autenticação do portal re-DHCP na interface VLAN 100.

      [Switch] interface vlan-interface 100
                     [Switch–Vlan-interface100] portal enable method redhcp

      # Especifique o newpt do servidor Web do portal na interface VLAN 100.

      [Switch–Vlan-interface100] portal apply web-server newpt

      # Configure o BAS-IP como 20.20.20.1 para pacotes de portal enviados da interface VLAN 100 para o servidor de autenticação de portal.

      [Switch–Vlan-interface100] portal bas-ip 20.20.20.1
                     [Switch–Vlan-interface100] quit

      Verificação da configuração

      # Verifique se a configuração do portal entrou em vigor.

      [Switch] display portal interface vlan-interface 100
                     Portal information of Vlan-interface100
                     NAS-ID profile : Not configured
                     Authorization  : Strict checking
                     ACL            : Disabled
                     User profile   : Disabled
                     IPv4:
                     Portal status: Enabled
                     Portal authentication method: Redhcp
                     Portal web server: newpt
                     Secondary portal Web server: Not configured
                     Portal mac-trigger-server: Not configured
                     Authentication domain: Not configured
                     User-dhcp-only: Disabled
                     Pre-auth IP pool: Not configured
                     Max Portal users: Not configured
                     Bas-ip: 20.20.20.1
                     User detection: Not configured
                     Action for server detection:
                        Server type    Server name                      Action
                        --             --                               --
                     Layer3 source network:
                        IP address                       Mask

                     Destination authenticate subnet:
                        IP address                       Mask
                     IPv6:
                     Portal status: Disabled
                     Portal authentication method: Disabled
                     Portal web server: Not configured
                     Secondary portal Web server: Not configured
                     Portal mac-trigger-server: Not configured
                     Authentication domain: Not configured
                     User-dhcp-only: Disabled
                     Pre-auth IP pool: Not configured
                     Max Portal users: Not configured
                     Bas-ipv6: Not configured
                     User detection: Not configured
                     Action for server detection:
                        Server type    Server name                      Action
                        --             --                               --
                     Layer3 source network:
                        IP address                                      Prefix length

                     Destination authenticate subnet: 
                        IP address                                      Prefix length

      Antes de passar pela autenticação, um usuário que usa o cliente Intelbras iNode pode acessar apenas a página de autenticação http://192.168.0.111:8080/portal. Todas as solicitações da Web do usuário serão redirecionadas para a página de autenticação. Depois de passar pela autenticação, o usuário pode acessar outros recursos da rede.

      # Depois que o usuário passar pela autenticação, use o seguinte comando para exibir informações sobre o usuário do portal.

      [Switch] display portal user interface vlan-interface 100
                     Total portal users: 1
                     Username: abc
                     Portal server: newpt
                     State: Online
                     VPN instance: N/A
                     MAC               IP                   VLAN     Interface
                     0015-e9a6-7cfe    20.20.20.2           100      Vlan-interface100
                     Authorization information:
                     DHCP IP pool: N/A
                     User profile: N/A
                     Session group profile: N/A
                     ACL number: N/A
                     Inbound CAR: N/A
                     Outbound CAR: N/A

    Exemplo: Configuração da autenticação do portal entre sub-redes

    Configuração de rede

    Conforme mostrado na Figura 13, o Switch A é compatível com a autenticação de portal. O host acessa o Switch A por meio do Switch B. Um servidor de portal atua como servidor de autenticação de portal e como servidor Web de portal. Um servidor RADIUS atua como servidor de autenticação/contabilidade.

    Configure o Switch A para autenticação de portal entre sub-redes. Antes de passar pela autenticação, o host pode acessar apenas o servidor Web do portal. Depois de passar pela autenticação, o usuário pode acessar outros recursos da rede.

    Figura 13 Diagrama de rede

    Restrições e diretrizes

    Certifique-se de que o endereço IP do dispositivo do portal adicionado no servidor de autenticação do portal seja o endereço IP (20.20.20.1) da interface do switch que conecta o host. O grupo de endereços IP associado ao dispositivo do portal é a sub-rede do host (8.8.8.0/24).

    Pré-requisitos

    • Configure os endereços IP para o switch e os servidores, conforme mostrado na Figura 13, e certifique-se de que o host, o switch e os servidores possam se comunicar entre si.
    • Configure o servidor RADIUS corretamente para fornecer funções de autenticação e contabilidade.

    Procedimento

    • Configure um esquema RADIUS:

      • # Crie um esquema RADIUS chamado rs1 e entre em sua visualização.

      <SwitchA> system-view
                     [SwitchA] radius scheme rs

      # Especifique o servidor de autenticação principal e o servidor de contabilidade principal e configure as chaves para comunicação com os servidores.

      [SwitchA-radius-rs1] primary authentication 192.168.0.112
                     [SwitchA-radius-rs1] primary accounting 192.168.0.112
                     [SwitchA-radius-rs1] key authentication simple radius
                     [SwitchA-radius-rs1] key accounting simple radius

      # Excluir o nome de domínio do ISP do nome de usuário enviado ao servidor RADIUS.

      [SwitchA-radius-rs1] user-name-format without-domain
                     [SwitchA-radius-rs1] quit

      # Habilite o controle de sessão RADIUS.

      [SwitchA] radius session-control enable
    • Configure um domínio de autenticação:

      • # Crie um domínio ISP chamado dm1 e entre em sua visualização.

      [SwitchA] domain dm1

      # Configurar métodos AAA para o domínio ISP.

      [SwitchA-isp-dm1] authentication portal radius-scheme rs1
                     [SwitchA-isp-dm1] authorization portal radius-scheme rs1
                     [SwitchA-isp-dm1] accounting portal radius-scheme rs1
                     [SwitchA-isp-dm1] quit

      # Configure o domínio dm1 como o domínio padrão do ISP. Se um usuário digitar o nome de usuário sem o nome do domínio ISP no login, os métodos de autenticação e contabilidade do domínio padrão serão usados para o usuário.

      [SwitchA] domain default enable dm1
    • Configurar a autenticação do portal:

      • # Configure um servidor de autenticação de portal.

      [SwitchA] portal server newpt
                     [SwitchA-portal-server-newpt] ip 192.168.0.111 key simple portal
                     [SwitchA-portal-server-newpt] port 50100
                     [SwitchA-portal-server-newpt] quit

      # Configure um servidor Web de portal.

      [SwitchA] portal web-server newpt
                     [SwitchA-portal-websvr-newpt] url http://192.168.0.111:8080/portal
                     [SwitchA-portal-websvr-newpt] quit

      # Habilite a autenticação de portal entre sub-redes na interface VLAN 4.

      [SwitchA] interface vlan-interface 4
                     [SwitchA–Vlan-interface4] portal enable method layer3

      # Especifique o newpt do servidor da Web do portal na interface VLAN 4.

      [SwitchA–Vlan-interface4] portal apply web-server newpt

      # Configure o BAS-IP como 20.20.20.1 para pacotes de portal enviados da interface VLAN 4 para o servidor de autenticação de portal.

      [SwitchA–Vlan-interface4] portal bas-ip 20.20.20.1
                     [SwitchA–Vlan-interface4] quit

      Verificação da configuração

      # Verifique se a configuração do portal entrou em vigor.

      [SwitchA] display portal interface vlan-interface 4
                     Portal information of Vlan-interface4
                     NAS-ID profile : Not configured
                     Authorization  : Strict checking
                     ACL            : Disabled
                     User profile   : Disabled
                     IPv4:
                     Portal status: Enabled
                     Portal authentication method: Layer3
                     Portal web server: newpt
                     Secondary portal Web server: Not configured
                     Portal mac-trigger-server: Not configured
                     Authentication domain: Not configured
                     User-dhcp-only: Disabled
                     Pre-auth IP pool: Not configured
                     Max Portal users: Not configured
                     Bas-ip: 20.20.20.1
                     User detection: Not configured
                     Action for server detection:
                        Server type       Server name                            Action
                        --                --                                     --
                     Layer3 source network:
                        IP address              Mask

                     Destination authenticate subnet:
                        IP address              Mask
                     IPv6:
                     Portal status: Disabled
                     Portal authentication method: Disabled
                     Portal web server: Not configured
                     Secondary portal Web server: Not configured
                     Portal mac-trigger-server: Not configured
                     Authentication domain: Not configured
                     User-dhcp-only: Disabled
                     Pre-auth IP pool: Not configured
                     Max Portal users: Not configured
                     Bas-ipv6: Not configured
                     User detection: Not configured
                     Action for server detection:
                        Server type       Server name                            Action
                        --                --                                     --
                     Layer3 source network:
                        IP address                                               Prefix length
                        
                     Destination authenticate subnet: 
                        IP address                                               Prefix length

      Um usuário pode realizar a autenticação do portal usando o cliente Intelbras iNode ou por meio de um navegador da Web. Antes de passar pela autenticação, o usuário pode acessar apenas a página de autenticação http://192.168.0.111:8080/portal. Todas as solicitações da Web do usuário serão redirecionadas para a página de autenticação. Depois de passar pela autenticação, o usuário pode acessar outros recursos da rede.

      # Depois que o usuário passar pela autenticação, use o seguinte comando para exibir informações sobre o usuário do portal.

      [SwitchA] display portal user interface vlan-interface 4
                     Total portal users: 1
                     Username: abc
                     Portal server: newpt
                     State: Online
                     VPN instance: N/A
                     MAC               IP                      VLAN  Interface
                     0000-0000-0000    8.8.8.2                 4     Vlan-interface4
                     Authorization information:
                     DHCP IP pool: N/A
                     User profile: N/A
                     Session group profile: N/A
                     ACL number: N/A
                     Inbound CAR: N/A
                     Outbound CAR: N/A

    Exemplo: Configuração da autenticação de portal direto estendido

    Configuração de rede

    Conforme mostrado na Figura 14, o host está diretamente conectado ao switch (o dispositivo de acesso). O host recebe um endereço IP público manualmente ou por meio de DHCP. Um servidor de portal atua como um servidor de autenticação de portal e um servidor da Web de portal. Um servidor RADIUS atua como servidor de autenticação/contabilidade.

    Configure a autenticação de portal direto estendido. Se o host falhar na verificação de segurança após passar pela autenticação de identidade, ele poderá acessar apenas a sub-rede 192.168.0.0/24. Depois de passar pela verificação de segurança, o host poderá acessar outros recursos da rede.

    Figura 14 Diagrama de rede

    Pré-requisitos

    • Configure os endereços IP do host, do switch e dos servidores, conforme mostrado na Figura 14, e certifique-se de que eles possam se comunicar entre si.
    • Configure o servidor RADIUS corretamente para fornecer funções de autenticação e contabilidade.

    Procedimento

    • Configurar um esquema RADIUS:

      • # Crie um esquema RADIUS chamado rs1 e entre em sua visualização.

      <Switch> system-view
                     [Switch] radius scheme rs1

      # Especifique o servidor de autenticação principal e o servidor de contabilidade principal e configure o chaves para comunicação com os servidores.

      [Switch-radius-rs1] primary authentication 192.168.0.112
                     [Switch-radius-rs1] primary accounting 192.168.0.112
                     [Switch-radius-rs1] key accounting simple radius
                     [Switch-radius-rs1] key authentication simple radius
                     [Switch-radius-rs1] user-name-format without-domain

      # Habilite o controle de sessão RADIUS.

      [Switch] radius session-control enable

      # Especifique um cliente de controle de sessão com endereço IP 192.168.0.112 e chave compartilhada 12345 em formato de texto simples.

      [Switch] radius session-control client ip 192.168.0.112 key simple 12345
    • Configure um domínio de autenticação:

      • # Crie um domínio ISP chamado dm1 e entre em sua visualização.

      [Switch] domain dm1

      # Configurar métodos AAA para o domínio ISP.

      [Switch-isp-dm1] authentication portal radius-scheme rs1
                     [Switch-isp-dm1] authorization portal radius-scheme rs1
                     [Switch-isp-dm1] accounting portal radius-scheme rs1
                     [Switch-isp-dm1] quit

      # Configure o domínio dm1 como o domínio padrão do ISP. Se um usuário digitar o nome de usuário sem o nome do domínio ISP no login, os métodos de autenticação e contabilidade do domínio padrão serão usados para o usuário.

      [Switch] domain default enable dm1
    • Configure a ACL 3000 como a ACL de isolamento e a ACL 3001 como a ACL de segurança.
      • [Switch] acl advanced 3000
                     [Switch-acl-ipv4-adv-3000] rule permit ip destination 192.168.0.0 0.0.0.255
                     [Switch-acl-ipv4-adv-3000] rule deny ip
                     [Switch-acl-ipv4-adv-3000] quit
                     [Switch] acl advanced 3001
                     [Switch-acl-ipv4-adv-3001] rule permit ip
                     [Switch-acl-ipv4-adv-3001] quit

    OBSERVAÇÃO:

    Certifique-se de especificar a ACL 3000 como a ACL de isolamento e a ACL 3001 como a ACL de segurança no servidor de política de segurança.

  • Configurar a autenticação do portal:

    • # Configure um servidor de autenticação de portal.

    [Switch] portal server newpt
                     [Switch-portal-server-newpt] ip 192.168.0.111 key simple portal
                     [Switch-portal-server-newpt] port 50100
                     [Switch-portal-server-newpt] quit

    # Configurar um servidor Web de portal.

    [Switch] portal web-server newpt
                     [Switch-portal-websvr-newpt] url http://192.168.0.111:8080/portal
                     [Switch-portal-websvr-newpt] quit

    # Habilite a autenticação direta do portal na interface VLAN 100.

    [Switch] interface vlan-interface 100
                     [Switch–Vlan-interface100] portal enable method direct

    # Especifique o servidor Web do portal newpt na interface VLAN 100.

    [Switch–Vlan-interface100] portal apply web-server newpt

    # Configure o BAS-IP como 2.2.2.1 para pacotes de portal enviados da interface VLAN 100 para o servidor de autenticação de portal.

    [Switch–Vlan-interface100] portal bas-ip 2.2.2.1
                     [Switch–Vlan-interface100] quit

    Verificação da configuração

    # Verifique se a configuração do portal entrou em vigor.

    [Switch] display portal interface vlan-interface 100
                     Portal information of Vlan-interface100
                     NAS-ID profile : Not configured
                     Authorization  : Strict checking
                     ACL            : Disabled
                     User profile   : Disabled
                     IPv4:
                     Portal status: Enabled
                     Portal authentication method: Direct
                     Portal web server: newpt
                     Secondary portal Web server: Not configured
                     Portal mac-trigger-server: Not configured
                     Authentication domain: Not configured
                     User-dhcp-only: Disabled
                     Pre-auth IP pool: Not configured
                     Max Portal users: Not configured
                     Bas-ip: 2.2.2.1
                     User detection: Not configured
                     Action for server detection:
                        Server type    Server name                               Action
                        --             --                                        --
                     Layer3 source network:
                        IP address                 Mask

                     Destination authenticate subnet:
                        IP address                 Mask
                     IPv6:
                     Portal status: Disabled
                     Portal authentication method: Disabled
                     Portal web server: Not configured
                     Secondary portal Web server: Not configured
                     Portal mac-trigger-server: Not configured
                     Authentication domain: Not configured
                     User-dhcp-only: Disabled
                     Pre-auth IP pool: Not configured
                     Max Portal users: Not configured
                     Bas-ipv6: Not configured
                     User detection: Not configured
                     Action for server detection:
                        Server type    Server name                               Action
                        --             --                                        --
                     Layer3 source network:
                        IP address                                               Prefix length

                     Destination authenticate subnet: 
                        IP address                                               Prefix length

    Antes de passar pela autenticação do portal, um usuário que usa o cliente Intelbras iNode pode acessar apenas a página de autenticação http://192.168.0.111:8080/portal. Todas as solicitações da Web do usuário serão redirecionadas para a página de autenticação.

    • O usuário pode acessar os recursos permitidos pela ACL 3000 depois de passar apenas pela autenticação de identidade.
    • O usuário pode acessar os recursos de rede permitidos pela ACL 3001 depois de passar pela autenticação de identidade e pela verificação de segurança.

    # Depois que o usuário for aprovado na autenticação de identidade e na verificação de segurança, use o seguinte comando para exibir informações sobre o usuário do portal.

    [Switch] display portal user interface vlan-interface 100
                     Total portal users: 1
                     Username: abc
                     Portal server: newpt
                     State: Online
                     VPN instance: N/A
                     MAC               IP          VLAN  Interface
                     0015-e9a6-7cfe    2.2.2.2     100   Vlan-interface100
                     Authorization information:
                     DHCP IP pool: N/A
                     User profile: N/A
                     Session group profile: N/A
                     ACL number: 3001 (active)
                     Inbound CAR: N/A
                     Outbound CAR: N/A

    Exemplo: Configuração da autenticação estendida do portal re-DHCP

    Configuração de rede

    Conforme mostrado na Figura 15, o host está diretamente conectado ao switch (o dispositivo de acesso). O host obtém um endereço IP por meio do servidor DHCP. Um servidor de portal atua como um servidor de autenticação de portal e um servidor da Web de portal. Um servidor RADIUS atua como servidor de autenticação/contabilidade.

    Configure a autenticação estendida do portal re-DHCP. Antes de passar pela autenticação do portal, o host recebe um endereço IP privado. Depois de passar pela autenticação de identidade do portal, o host obtém um endereço IP público e aceita a verificação de segurança. Se o host falhar na verificação de segurança, ele poderá acessar apenas a sub-rede 192.168.0.0/24. Depois de passar pela verificação de segurança, o host poderá acessar outros recursos da rede.

    Figura 15 Diagrama de rede

    Restrições e diretrizes

    • Para autenticação do portal re-DHCP, configure um pool de endereços públicos (20.20.20.0/24) e um pool de endereços privados (10.0.0.0/24) no servidor DHCP. (Detalhes não mostrados.)
    • Para autenticação do portal re-DHCP:
      • O switch deve ser configurado como um agente de retransmissão DHCP.
      • A interface habilitada para portal deve ser configurada com um endereço IP primário (um endereço IP público) e um endereço IP secundário (um endereço IP privado).

      Para obter informações sobre a configuração do agente de retransmissão DHCP, consulte o Guia de Configuração de Serviços de Camada 3 IP.

    • Certifique-se de que o endereço IP do dispositivo do portal adicionado ao servidor do portal seja o endereço IP público (20.20.20.1) da interface do switch que conecta o host. O intervalo de endereços IP privados para o grupo de endereços IP associado ao dispositivo do portal é a sub-rede privada 10.0.0.0/24 onde o host reside. O intervalo de endereços IP públicos para o grupo de endereços IP é a sub-rede pública 20.20.20.0/24.

    Pré-requisitos

    • Configure os endereços IP para o switch e os servidores, conforme mostrado na Figura 15, e certifique-se de que o host, o switch e os servidores possam se comunicar entre si.
    • Configure o servidor RADIUS corretamente para fornecer funções de autenticação e contabilidade.

    Procedimento

    • Configure um esquema RADIUS:

      • # Crie um esquema RADIUS chamado rs1 e entre em sua visualização.

      <Switch> system-view
                     [Switch] radius scheme rs1

      # Especifique o servidor de autenticação primário e o servidor de contabilidade primário e configure as chaves para comunicação com os servidores.

      [Switch-radius-rs1] primary authentication 192.168.0.113
                     [Switch-radius-rs1] primary accounting 192.168.0.113
                     [Switch-radius-rs1] key accounting simple radius
                     [Switch-radius-rs1] key authentication simple radius
                     [Switch-radius-rs1] user-name-format without-domain

      # Habilite o controle de sessão RADIUS.

      [Switch] radius session-control enable

      # Especifique um cliente de controle de sessão com endereço IP 192.168.0.113 e chave compartilhada 12345 em formato de texto simples.

      [Switch] radius session-control client ip 192.168.0.113 key simple 12345
    • Configure um domínio de autenticação:

      • # Crie um domínio ISP chamado dm1 e entre em sua visualização.

      [Switch] domain dm1

      # Configurar métodos AAA para o domínio ISP.

      [Switch-isp-dm1] authentication portal radius-scheme rs1
                     [Switch-isp-dm1] authorization portal radius-scheme rs1
                     [Switch-isp-dm1] accounting portal radius-scheme rs1
                     [Switch-isp-dm1] quit

      # Configure o domínio dm1 como o domínio padrão do ISP. Se um usuário digitar o nome de usuário sem o nome do domínio ISP no login, os métodos de autenticação e contabilidade do domínio padrão serão usados para o usuário.

      [Switch] domain default enable dm1
    • Configure a ACL 3000 como a ACL de isolamento e a ACL 3001 como a ACL de segurança.
      • [Switch] acl advanced 3000
                     [Switch-acl-ipv4-adv-3000] rule permit ip destination 192.168.0.0 0.0.0.255
                     [Switch-acl-ipv4-adv-3000] rule deny ip
                     [Switch-acl-ipv4-adv-3000] quit
                     [Switch] acl advanced 3001
                     [Switch-acl-ipv4-adv-3001] rule permit ip
                     [Switch-acl-ipv4-adv-3001] quit

    OBSERVAÇÃO:

    Certifique-se de especificar a ACL 3000 como a ACL de isolamento e a ACL 3001 como a ACL de segurança no servidor de política de segurança.

  • Configure a retransmissão de DHCP e o ARP autorizado: # Configurar o relé DHCP.
    • [Switch] dhcp enable
    
                     [Switch] dhcp relay client-information record
                     [Switch] interface vlan-interface 100
                     [Switch–Vlan-interface100] ip address 20.20.20.1 255.255.255.0
                     [Switch–Vlan-interface100] ip address 10.0.0.1 255.255.255.0 sub
                     [Switch-Vlan-interface100] dhcp select relay
                     [Switch-Vlan-interface100] dhcp relay server-address 192.168.0.112

    # Habilite o ARP autorizado.

    [Switch-Vlan-interface100] arp authorized enable
                     [Switch-Vlan-interface100] quit
  • Configurar a autenticação do portal:

    • # Configure um servidor de autenticação de portal.

    [Switch] portal server newpt
                     [Switch-portal-server-newpt] ip 192.168.0.111 key simple portal
                     [Switch-portal-server-newpt] port 50100
                     [Switch-portal-server-newpt] quit

    # Configurar um servidor Web de portal.

    [Switch] portal web-server newpt
                     [Switch-portal-websvr-newpt] url http://192.168.0.111:8080/portal
                     [Switch-portal-websvr-newpt] quit

    # Habilite a autenticação do portal re-DHCP na interface VLAN 100.

    [Switch] interface vlan-interface 100
                     [Switch–Vlan-interface100] portal enable method redhcp

    # Especifique o newpt do servidor Web do portal na interface VLAN 100.

    [Switch–Vlan-interface100] portal apply web-server newpt

    # Configure o BAS-IP como 20.20.20.1 para pacotes de portal enviados da interface VLAN 100 para o servidor de autenticação de portal.

    [Switch–Vlan-interface100] portal bas-ip 20.20.20.1
                     [Switch–Vlan-interface100] quit

    Verificação da configuração

    # Verifique se a configuração do portal entrou em vigor.

    [Switch] display portal interface vlan-interface 100
                     Portal information of Vlan-interface100
                     NAS-ID profile : Not configured
                     Authorization  : Strict checking
                     ACL            : Disabled
                     User profile   : Disabled
                     IPv4:
                     Portal status: Enabled
                     Portal authentication method: Redhcp
                     Portal web server: newpt
                     Secondary portal Web server: Not configured
                     Portal mac-trigger-server: Not configured
                     Authentication domain: Not configured
                     User-dhcp-only: Disabled
                     Pre-auth IP pool: Not configured
                     Max Portal users: Not configured
                     Bas-ip: 20.20.20.1
                     User detection: Not configured
                     Action for server detection:
                        Server type       Server name                      Action
                        --                --                               --
                     Layer3 source network:
                        IP address                 Mask

                     Destination authenticate subnet:
                        IP address                 Mask
                     IPv6:
                     Portal status: Disabled
                     Portal authentication method: Disabled
                     Portal web server: Not configured
                     Secondary portal Web server: Not configured
                     Portal mac-trigger-server: Not configured
                     Authentication domain: Not configured
                     User-dhcp-only: Disabled
                     Pre-auth IP pool: Not configured
                     Max Portal users: Not configured
                     Bas-ipv6: Not configured
                     User detection: Not configured
                     Action for server detection:
                        Server type       Server name                      Action
                        --                --                               --
                     Layer3 source network:
                        IP address                                         Prefix length

                     Destination authenticate subnet: 
                        IP address                                         Prefix length

    Antes de passar pela autenticação do portal, um usuário que usa o cliente Intelbras iNode pode acessar apenas a página de autenticação http://192.168.0.111:8080/portal. Todas as solicitações da Web do usuário serão redirecionadas para a página de autenticação.

    • O usuário pode acessar os recursos permitidos pela ACL 3000 depois de passar apenas pela autenticação de identidade.
    • O usuário pode acessar os recursos de rede permitidos pela ACL 3001 depois de passar pela autenticação de identidade e pela verificação de segurança.

    # Depois que o usuário for aprovado na autenticação de identidade e na verificação de segurança, use o seguinte comando para exibir informações sobre o usuário do portal.

    [Switch] display portal user interface vlan-interface 100
                     Total portal users: 1
                     Username: abc
                     Portal server: newpt
                     State: Online
                     VPN instance: N/A
                     MAC               IP                VLAN  Interface
                     0015-e9a6-7cfe    20.20.20.2        100   Vlan-interface100
                     Authorization information:
                     DHCP IP pool: N/A
                     User profile: N/A
                     Session group profile: N/A
                     ACL number: 3001 (active)
                     Inbound CAR: N/A
                     Outbound CAR: N/A

    Exemplo: Configuração da autenticação estendida do portal entre sub-redes

    Configuração de rede

    Conforme mostrado na Figura 16, o Switch A é compatível com a autenticação de portal. O host acessa o Switch A por meio do Switch B. Um servidor de portal atua como servidor de autenticação de portal e como servidor Web de portal. Um servidor RADIUS atua como servidor de autenticação/contabilidade.

    Configure o Switch A para autenticação estendida de portal entre sub-redes. Antes de passar pela autenticação do portal, o host pode acessar apenas o servidor do portal. Depois de passar pela autenticação de identidade do portal, o host aceita a verificação de segurança. Se o host falhar na verificação de segurança, ele poderá acessar apenas a sub-rede 192.168.0.0/24. Depois de passar na verificação de segurança, o host pode acessar outros recursos da rede.

    Figura 16 Diagrama de rede

    Restrições e diretrizes

    Certifique-se de que o endereço IP do dispositivo do portal adicionado no servidor do portal seja o endereço IP (20.20.20.1) da interface do switch que conecta o host. O grupo de endereços IP associado ao dispositivo do portal é a sub-rede do host (8.8.8.0/24).

    Pré-requisitos

    • Configure os endereços IP para o switch e os servidores, conforme mostrado na Figura 16, e certifique-se de que o host, o switch e os servidores possam se comunicar entre si.
    • Configure o servidor RADIUS corretamente para fornecer funções de autenticação e contabilidade.

    Procedimento

    • Configurar um esquema RADIUS:

      • # Crie um esquema RADIUS chamado rs1 e entre em sua visualização.

      <SwitchA> system-view
                     [SwitchA] radius scheme rs1

      # Especifique o servidor de autenticação principal e o servidor de contabilidade principal e configure o chaves para comunicação com os servidores.

      [SwitchA-radius-rs1] primary authentication 192.168.0.112
                     [SwitchA-radius-rs1] primary accounting 192.168.0.112
                     [SwitchA-radius-rs1] key accounting simple radius
                     [SwitchA-radius-rs1] key authentication simple radius
                     [SwitchA-radius-rs1] user-name-format without-domain

      # Habilite o controle de sessão RADIUS.

      [SwitchA] radius session-control enable

      # Especifique um cliente de controle de sessão com endereço IP 192.168.0.112 e chave compartilhada 12345 em formato de texto simples.

      witchA] radius session-control client ip 192.168.0.112 key simple 12345
    • Configure um domínio de autenticação:

      • # Crie um domínio ISP chamado dm1 e entre em sua visualização.

      [SwitchA] domain dm1

      # Configurar métodos AAA para o domínio ISP.

      [SwitchA-isp-dm1] authentication portal radius-scheme rs1
                     [SwitchA-isp-dm1] authorization portal radius-scheme rs1
                     [SwitchA-isp-dm1] accounting portal radius-scheme rs1
                     [SwitchA-isp-dm1] quit

      # Configure o domínio dm1 como o domínio padrão do ISP. Se um usuário digitar o nome de usuário sem o nome do domínio ISP no login, os métodos de autenticação e contabilidade do domínio padrão serão usados para o usuário.

      [SwitchA] domain default enable dm1
    • Configure a ACL 3000 como a ACL de isolamento e a ACL 3001 como a ACL de segurança.
      • [SwitchA] acl advanced 3000
                     [SwitchA-acl-ipv4-adv-3000] rule permit ip destination 192.168.0.0 0.0.0.255
                     [SwitchA-acl-ipv4-adv-3000] rule deny ip
                     [SwitchA-acl-ipv4-adv-3000] quit
                     [SwitchA] acl advanced 3001
                     [SwitchA-acl-ipv4-adv-3001] rule permit ip
                     [SwitchA-acl-ipv4-adv-3001] quit

    OBSERVAÇÃO:

    Certifique-se de especificar a ACL 3000 como a ACL de isolamento e a ACL 3001 como a ACL de segurança no servidor de política de segurança.

  • Configurar a autenticação do portal:

    • # Configure um servidor de autenticação de portal.

    [SwitchA] portal server newpt
                     [SwitchA-portal-server-newpt] ip 192.168.0.111 key simple portal
                     [SwitchA-portal-server-newpt] port 50100
                     [SwitchA-portal-server-newpt] quit

    #Configurar um servidor Web de portal.

    [SwitchA] portal web-server newpt
                     [SwitchA-portal-websvr-newpt] url http://192.168.0.111:8080/portal
                     [SwitchA-portal-websvr-newpt] quit

    # Habilite a autenticação de portal entre sub-redes na interface VLAN 4.

    [SwitchA] interface vlan-interface 4
                     [SwitchA–Vlan-interface4] portal enable method layer3

    # Especifique o newpt do servidor da Web do portal na interface VLAN 4.

    [SwitchA–Vlan-interface4] portal apply web-server newpt

    # Configure o BAS-IP como 20.20.20.1 para pacotes de portal enviados da interface VLAN 4 para o servidor de autenticação de portal.

    [SwitchA–Vlan-interface4] portal bas-ip 20.20.20.1
                     [SwitchA–Vlan-interface4] quit

    Verificação da configuração

    # Verifique se a configuração do portal entrou em vigor.

    [SwitchA] display portal interface vlan-interface 4
                     Portal information of Vlan-interface4
                     NAS-ID profile : Not configured
                     Authorization  : Strict checking
                     ACL            : Disabled
                     User profile   : Disabled
                     IPv4:
                     Portal status: Enabled
                     Portal authentication method: Layer3
                     Portal web server: newpt
                     Secondary portal Web server: Not configured
                     Portal mac-trigger-server: Not configured
                     Authentication domain: Not configured
                     User-dhcp-only: Disabled
                     Pre-auth IP pool: Not configured
                     Max Portal users: Not configured
                     Bas-ip: 20.20.20.1
                     User detection: Not configured
                     Action for server detection:
                        Server type       Server name                               Action
                        --                --                                        --
                     Layer3 source network:
                        IP address                 Mask

                     Destination authenticate subnet:
                        IP address                 Mask
                     IPv6:
                     Portal status: Disabled
                     Portal authentication method: Disabled
                     Portal web server: Not configured
                     Secondary portal Web server: Not configured
                     Portal mac-trigger-server: Not configured
                     Authentication domain: Not configured
                     User-dhcp-only: Disabled
                     Pre-auth IP pool: Not configured
                     Max Portal users: Not configured
                     Bas-ip: Not configured
                     User detection: Not configured
                     Action for server detection:
                        Server type       Server name                               Action
                        --                --                                        --
                     Layer3 source network:
                        IP address                                                  Prefix length

                     Destination authenticate subnet: 
                        IP address                                                  Prefix length

    Antes de passar pela autenticação do portal, um usuário que usa o cliente Intelbras iNode pode acessar apenas a página de autenticação http://192.168.0.111:8080/portal. Todas as solicitações da Web do usuário serão redirecionadas para a página de autenticação.

    • O usuário pode acessar os recursos permitidos pela ACL 3000 depois de passar apenas pela autenticação de identidade.
    • O usuário pode acessar os recursos de rede permitidos pela ACL 3001 depois de passar pela autenticação de identidade e pela verificação de segurança.

    # Depois que o usuário for aprovado na autenticação de identidade e na verificação de segurança, use o seguinte comando para exibir informações sobre o usuário do portal.

    [SwitchA] display portal user interface vlan-interface 4
                     Total portal users: 1
                     Username: abc
                     Portal server: newpt
                     State: Online
                     VPN instance: N/A
                     MAC               IP             VLAN  Interface
                     0015-e9a6-7cfe    8.8.8.2        4     Vlan-interface4
                     Authorization information:
                     DHCP IP pool: N/A
                     User profile: N/A
                     Session group profile: N/A
                     ACL number: 3001 (active)
                     Inbound CAR: N/A
                     Outbound CAR: N/A

    Exemplo: Configuração da detecção do servidor do portal e da sincronização do usuário do portal

    Configuração de rede

    Conforme mostrado na Figura 17, o host está diretamente conectado ao switch (o dispositivo de acesso). O host recebe um endereço IP público manualmente ou por meio de DHCP. Um servidor de portal atua como um servidor de autenticação de portal e um servidor da Web de portal. Um servidor RADIUS atua como servidor de autenticação/contabilidade.

    • Configure a autenticação direta do portal no switch, para que o host possa acessar somente o servidor do portal antes de passar pela autenticação e acessar outros recursos da rede depois de passar pela autenticação.
    • Configure o switch para detectar o estado de acessibilidade do servidor de autenticação do portal, enviar mensagens de registro quando houver mudanças de estado e desativar a autenticação do portal quando o servidor de autenticação estiver inacessível.
    • Configure o switch para sincronizar periodicamente as informações do usuário do portal com o servidor do portal.

    Figura 17 Diagrama de rede

    Pré-requisitos

    • Configure os endereços IP para o switch e os servidores, conforme mostrado na Figura 17, e certifique-se de que o host, o switch e os servidores possam se comunicar entre si.
    • Configure o servidor RADIUS corretamente para fornecer funções de autenticação e contabilidade.

    Configuração do servidor de autenticação do portal no IMC PLAT 5.0

    Neste exemplo, o servidor do portal é executado no IMC PLAT 5.0(E0101) e no IMC UAM 5.0(E0101).

    • Configure o servidor de autenticação do portal:
      • Faça login no IMC e clique na guia Service (Serviço).
      • Selecione User Access Manager > Portal Service Management > Server na árvore de navegação para abrir a página de configuração do servidor do portal, conforme mostrado na Figura 18.
      • Configure o intervalo de heartbeat do servidor do portal e o intervalo de heartbeat do usuário.
      • Use as configurações padrão para outros parâmetros.
      • Clique em OK.

      Figura 18 Configuração do servidor de autenticação do portal

    • Configure o grupo de endereços IP:
      • Selecione User Access Manager > Portal Service Management > IP Group na árvore de navegação para abrir a página de configuração do grupo de endereços IP do portal.
      • Clique em Add para abrir a página, conforme mostrado na Figura 19.
      • Digite o nome do grupo IP.
      • Digite o endereço IP inicial e o endereço IP final do grupo de IP. Certifique-se de que o endereço IP do host esteja no grupo de IPs.
      • Selecione um grupo de serviços.

        • Este exemplo usa o grupo padrão Ungrouped.

      • Selecione a ação Normal.
      • Clique em OK.

      Figura 19: Adição de um grupo de endereços IP

    • Adicionar um dispositivo de portal:
      • Selecione User Access Manager > Portal Service Management > Device na árvore de navegação para abrir a página de configuração do dispositivo do portal.
      • Clique em Add para abrir a página, conforme mostrado na Figura 20.
      • Digite o nome do dispositivo NAS.
      • Digite o endereço IP da interface do switch conectada ao host.
      • Digite a chave, que deve ser a mesma configurada no switch.
      • Defina se deseja ativar a realocação de endereços IP.

        • Este exemplo usa a autenticação direta do portal e, portanto, selecione No (Não) na lista Reallocate IP (Realocar IP).

      • Selecione se deseja oferecer suporte às funções de heartbeat do servidor e heartbeat do usuário.

        • Neste exemplo, selecione Yes para Support Server Heartbeat e Support User Heartbeat.

      • Clique em OK.

      Figura 20: Adição de um dispositivo de portal

    • Associe o dispositivo do portal ao grupo de endereços IP:
      • Conforme mostrado na Figura 21, clique no ícone na coluna Port Group Information Management (Gerenciamento de informações do grupo de portas) do dispositivo NAS para abrir a página de configuração do grupo de portas.
      • Clique em Add para abrir a página, conforme mostrado na Figura 22.
      • Digite o nome do grupo de portas.
      • Selecione o grupo de endereços IP configurado.

        • O endereço IP usado pelo usuário para acessar a rede deve estar dentro desse grupo de endereços IP.

      • Use as configurações padrão para outros parâmetros.
      • Clique em OK.

      Figura 21 Lista de dispositivos

      Figura 22: Adição de um grupo de portas

    • Selecione User Access Manager > Service Parameters > Validate System Configuration na árvore de navegação para que as configurações entrem em vigor.

    Configuração do switch

    • Configurar um esquema RADIUS:

      • # Crie um esquema RADIUS chamado rs1 e entre em sua visualização.

      <Switch> system-view
                     [Switch] radius scheme rs1

      # Especifique o servidor de autenticação principal e o servidor de contabilidade principal e configure o chaves para comunicação com os servidores.

      [Switch-radius-rs1] primary authentication 192.168.0.112
                     [Switch-radius-rs1] primary accounting 192.168.0.112
                     [Switch-radius-rs1] key authentication simple radius
                     [Switch-radius-rs1] key accounting simple radius

      # Excluir o nome de domínio do ISP do nome de usuário enviado ao servidor RADIUS.

      [Switch-radius-rs1] user-name-format without-domain
                     [Switch-radius-rs1] quit

      # Habilite o controle de sessão RADIUS.

      [Switch] radius session-control enable
    • Configure um domínio de autenticação:

      • # Crie um domínio ISP chamado dm1 e entre em sua visualização.

      [Switch] domain dm1

      # Configurar métodos AAA para o domínio ISP.

      [Switch-isp-dm1] authentication portal radius-scheme rs1
                     [Switch-isp-dm1] authorization portal radius-scheme rs1
                     [Switch-isp-dm1] accounting portal radius-scheme rs1
                     [Switch-isp-dm1] quit

      # Configure o domínio dm1 como o domínio padrão do ISP. Se um usuário digitar o nome de usuário sem o nome do domínio ISP no login, os métodos de autenticação e contabilidade do domínio padrão serão usados para o usuário.

      [Switch] domain default enable dm1
    • Configurar a autenticação do portal:

      • # Configure um servidor de autenticação de portal.

      [Switch] portal server newpt
                     [Switch-portal-server-newpt] ip 192.168.0.111 key simple portal
                     [Switch-portal-server-newpt] port 50100

      # Configure a detecção de acessibilidade do servidor de autenticação do portal: defina o intervalo de detecção do servidor para 40 segundos e envie mensagens de registro quando houver alterações no status de acessibilidade.

      [Switch-portal-server-newpt] server-detect timeout 40 log

      OBSERVAÇÃO:

      O valor do tempo limite deve ser maior ou igual ao intervalo de heartbeat do servidor do portal.

      # Configure a sincronização do usuário do portal com o servidor de autenticação do portal e defina o intervalo de detecção de sincronização como 600 segundos.

      [Switch-portal-server-newpt] user-sync timeout 600
                     [Switch-portal-server-newpt] quit

      OBSERVAÇÃO:

      O valor do tempo limite deve ser maior ou igual ao intervalo de heartbeat do usuário do portal.

      # Configure um servidor da Web do portal.

      [Switch] portal web-server newpt
                     [Switch-portal-websvr-newpt] url http://192.168.0.111:8080/portal
                     [Switch-portal-websvr-newpt] quit

      # Habilite a autenticação direta do portal na interface VLAN 100.

      [Switch] interface vlan-interface 100
                     [Switch–Vlan-interface100] portal enable method direct

      # Habilite o portal fail-permit para o servidor de autenticação de portal newpt.

      [Switch–Vlan-interface100] portal fail-permit server newpt

      # Especifique o servidor Web do portal newpt na interface VLAN 100.

      [Switch–Vlan-interface100] portal apply web-server newpt

      # Configure o BAS-IP como 2.2.2.1 para pacotes de portal enviados da interface VLAN 100 para o servidor de autenticação de portal.

      [Switch–Vlan-interface100] portal bas-ip 2.2.2.1
                     [Switch–Vlan-interface100] quit

      Verificação da configuração

      # Use o comando a seguir para exibir informações sobre o servidor de autenticação do portal.

      [Switch] display portal server newpt
                     Portal server: newpt
                     Type                 : IMC
                     IP                   : 192.168.0.111
                     VPN instance         : Not configured
                     Port                 : 50100
                     Server Detection     : Timeout 40s Action: log
                     User synchronization : Timeout 600s
                     Status               : Up

      O status Up do servidor de autenticação de portal indica que o servidor de autenticação de portal pode ser acessado. Se o dispositivo de acesso detectar que o servidor de autenticação do portal não pode ser acessado, o campo Status na saída do comando exibirá Down. O dispositivo de acesso gera um servidor

      unreachable log "Portal server newpt turns down from up." e desativa a autenticação do portal na interface de acesso, para que o host possa acessar a rede externa sem autenticação.

    Exemplo: Configuração da autenticação direta do portal usando um serviço da Web do portal local

    Configuração de rede

    Conforme mostrado na Figura 23, o host está diretamente conectado ao switch (o dispositivo de acesso). O host recebe um endereço IP público manualmente ou por meio de DHCP. O switch atua como um servidor de autenticação de portal e um servidor Web de portal. Um servidor RADIUS atua como servidor de autenticação/contabilidade.

    Configure a autenticação direta do portal no switch. Antes de um usuário passar pela autenticação do portal, ele pode acessar apenas o servidor Web do portal. Depois de passar pela autenticação do portal, o usuário pode acessar outros recursos da rede.

    Figura 23 Diagrama de rede

    Pré-requisitos

    • Configure os endereços IP do host, do switch e do servidor, conforme mostrado na Figura 23, e certifique-se de que eles possam se comunicar entre si.
    • Configure o servidor RADIUS corretamente para fornecer funções de autenticação e contabilidade.

    Procedimento

    • Configurar um esquema RADIUS:

      • # Crie um esquema RADIUS chamado rs1 e entre em sua visualização.

      <Switch> system-view
                     [Switch] radius scheme rs1

      # Especifique o servidor de autenticação principal e o servidor de contabilidade principal e configure as chaves para comunicação com os servidores.

      [Switch-radius-rs1] primary authentication 192.168.0.112
                     [Switch-radius-rs1] primary accounting 192.168.0.112
                     [Switch-radius-rs1] key authentication simple radius
                     [Switch-radius-rs1] key accounting simple radius

      # Excluir o nome de domínio do ISP do nome de usuário enviado ao servidor RADIUS.

      [Switch-radius-rs1] user-name-format without-domain
                     [Switch-radius-rs1] quit

      # Habilite o controle de sessão RADIUS.

      [Switch] radius session-control enable
    • Configure um domínio de autenticação:

      • # Crie um domínio ISP chamado dm1 e entre em sua visualização.

      [Switch] domain dm1

      # Configurar métodos AAA para o domínio ISP.

      [Switch-isp-dm1] authentication portal radius-scheme rs1
                     [Switch-isp-dm1] authorization portal radius-scheme rs1
                     [Switch-isp-dm1] accounting portal radius-scheme rs1
                     [Switch-isp-dm1] quit

      # Configure o domínio dm1 como o domínio padrão do ISP. Se um usuário digitar o nome de usuário sem o nome do domínio ISP no login, os métodos de autenticação e contabilidade do domínio padrão serão usados para o usuário.

      [Switch] domain default enable dm1
    • Configurar a autenticação do portal:

      • # Configure um servidor da Web do portal chamado newpt e especifique http://2.2.2.1:2331/portal como o URL do servidor da Web do portal. O endereço IP no URL deve ser o endereço IP de uma interface de camada 3 acessível aos clientes do portal ou uma interface de loopback (exceto 127.0.0.1) no dispositivo.

      [Switch] portal web-server newpt
                     [Switch-portal-websvr-newpt] url http://2.2.2.1:2331/portal
                     [Switch-portal-websvr-newpt] quit

      # Habilite a autenticação direta do portal na interface VLAN 100.

      [Switch] interface vlan-interface 100
                     [Switch–Vlan-interface100] portal enable method direct

      # Especifica o servidor Web do portal newpt na interface VLAN 100.

      [Switch–Vlan-interface100] portal apply web-server newpt
                     [Switch–Vlan-interface100] quit

      # Crie um serviço da Web de portal local baseado em HTTP e insira sua visualização.

      [Switch] portal local-web-server http

      # Especifique o arquivo defaultfile.zip como o arquivo de página de autenticação padrão para o serviço da Web do portal local. (Certifique-se de que o arquivo exista no diretório raiz do switch).

      [Switch–portal-local-websvr-http] default-logon-page defaultfile.zip

      # Defina o número da porta de escuta HTTP como 2331 para o serviço Web do portal local.

      [Switch–portal-local-webserver-http] tcp-port 2331
                     [Switch–portal-local-websvr-http] quit

      Verificação da configuração

      # Verificar se a configuração do portal entrou em vigor.

      [Switch] display portal interface vlan-interface 100
                     Portal information of Vlan-interface 100
                     Authorization                    Strict checking
                     ACL                              Disabled
                     User profile                     Disabled
                     IPv4:
                     Portal status: Enabled
                     Portal authentication method: Direct
                     Portal web server: newpt
                     Secondary portal Web server: Not configured
                     Portal mac-trigger-server: Not configured
                     Authentication domain: Not configured
                     User-dhcp-only: Disabled
                     Pre-auth IP pool: Not configured
                     Max Portal users: Not configured
                     Bas-ip: Not configured
                     User detection: Not configured
                     Action for server detection:
                        Server type       Server name                   Action
                        --                --                            --
                     Layer3 source network:
                        IP address                 Mask

                     Destination authenticate subnet:
                        IP address                 Mask
                     IPv6:
                     Portal status: Disabled
                     Portal authentication method: Disabled
                     Portal web server: Not configured
                     Secondary portal Web server: Not configured
                     Portal mac-trigger-server: Not configured
                     Authentication domain: Not configured
                     User-dhcp-only: Disabled
                     Pre-auth IP pool: Not configured
                     Max Portal users: Not configured
                     Bas-ipv6: Not configured
                     User detection: Not configured
                     Action for server detection:
                        Server type       Server name                   Action
                        --                --                            --
                     Layer3 source network:
                        IP address                                      Prefix length

                     Destination authenticate subnet: 
                        IP address                                      Prefix length

    Um usuário pode realizar a autenticação do portal por meio de uma página da Web. Antes de passar pela autenticação, o usuário pode acessar somente a página de autenticação http://2.2.2.1:2331/portal e todas as solicitações da Web serão redirecionadas para a página de autenticação. Depois de passar pela autenticação, o usuário pode acessar outros recursos da rede.

    # Depois que o usuário passar pela autenticação, use o seguinte comando para exibir informações sobre o usuário do portal.

    [Switch] display portal user interface vlan-interface 100
                     Total portal users: 1
                     Username: abc
                     Portal server: newpt
                     State: Online
                     VPN instance: N/A
                     MAC               IP             VLAN  Interface
                     0015-e9a6-7cfe    2.2.2.2        100   Vlan-interface100
                     Authorization information:
                     DHCP IP pool: N/A
                     User profile: N/A
                     Session group profile: N/A
                     ACL number: N/A
                     Inbound CAR: N/A
                     Outbound CAR: N/A

    Portal de solução de problemas

    Nenhuma página de autenticação do portal é enviada para os usuários

    Sintoma

    Quando um usuário é redirecionado para o servidor de autenticação do portal IMC, nenhuma página de autenticação do portal ou mensagem de erro é solicitada ao usuário. A página de login está em branco.

    Análise

    A chave configurada no dispositivo de acesso ao portal e a configurada no servidor de autenticação do portal são inconsistentes. Como resultado, a verificação do pacote falha e o servidor de autenticação do portal se recusa a enviar a página de autenticação.

    Solução

    Use o comando display this na visualização do servidor de autenticação do portal no dispositivo de acesso para verificar se uma chave está configurada para o servidor de autenticação do portal.

    • Se nenhuma chave estiver configurada, configure a chave correta.
    • Se uma chave estiver configurada, use o comando ip ou ipv6 na visualização do servidor de autenticação do portal para corrigir a chave ou corrija a chave configurada para o dispositivo de acesso no servidor de autenticação do portal .

    Não é possível fazer logout de usuários do portal no dispositivo de acesso

    Sintoma

    Não é possível usar o comando portal delete-user no dispositivo de acesso para fazer logout de um usuário do portal, mas o usuário do portal pode fazer logout clicando no botão Disconnect (Desconectar) no cliente de autenticação do portal.

    Análise

    Quando você executa o comando portal delete-user no dispositivo de acesso para fazer logout de um usuário, o dispositivo de acesso envia uma mensagem de notificação de logout não solicitada para o servidor de autenticação do portal. O número da porta de destino na notificação de logout é o número da porta de escuta do servidor de autenticação do portal configurado no dispositivo de acesso. Se esse número de porta de escuta não for o número de porta de escuta real configurado no servidor, o servidor não poderá receber a notificação. Como resultado, o servidor não fará o logout do usuário.

    Quando um usuário usa o botão Desconectar no cliente de autenticação para fazer logout, o servidor de autenticação do portal envia uma mensagem de solicitação de logout não solicitada para o dispositivo de acesso. O dispositivo de acesso usa a porta de origem na solicitação de logout como a porta de destino na mensagem ACK de logout. Como resultado, o servidor de autenticação do portal pode definitivamente receber a mensagem ACK de logout e fazer o logout do usuário.

    Solução

    • Use o comando display portal server para exibir a porta de escuta do servidor de autenticação do portal configurado no dispositivo de acesso.
    • Use o comando portal server na visualização do sistema para alterar o número da porta de escuta para a porta de escuta real do servidor de autenticação do portal.

    Não é possível fazer logout de usuários do portal no servidor RADIUS

    Sintoma

    O dispositivo de acesso usa o servidor Intelbras IMC como servidor RADIUS para realizar a autenticação de identidade dos usuários do portal. Não é possível fazer logout dos usuários do portal no servidor RADIUS.

    Análise

    O servidor Intelbras IMC usa pacotes de controle de sessão para enviar solicitações de desconexão ao dispositivo de acesso. No dispositivo de acesso, a porta UDP de escuta para pacotes de controle de sessão está desativada por padrão. Portanto, o dispositivo de acesso não pode receber as solicitações de logout do usuário do portal do servidor RADIUS.

    Solução

    No dispositivo de acesso, execute o comando radius session-control enable no sistema view para habilitar a função de controle de sessão RADIUS.

    Os usuários desconectados pelo dispositivo de acesso ainda existem no servidor de autenticação do portal

    Sintoma

    Após o logout de um usuário do portal no dispositivo de acesso, o usuário ainda existe no servidor de autenticação do portal .

    Análise

    Quando você executa o comando portal delete-user no dispositivo de acesso para fazer logout de um usuário, o dispositivo de acesso envia uma notificação de logout não solicitada para o servidor de autenticação do portal. Se o endereço BAS-IP ou BAS-IPv6 contido na notificação de logout for diferente do endereço IP do dispositivo do portal especificado no servidor de autenticação do portal, o servidor de autenticação do portal descartará a notificação de logout. Quando o envio das notificações de logout se esgota, o dispositivo de acesso faz o logout do usuário. No entanto, o servidor de autenticação do portal não recebe a notificação de logout com êxito, e, portanto, considera que o usuário ainda está on-line.

    Solução

    Configure o atributo BAS-IP ou BAS-IPv6 na interface ativada com a autenticação do portal. Certifique-se de que o valor do atributo seja o mesmo do endereço IP do dispositivo do portal especificado no servidor de autenticação do portal.

    Os usuários autenticados no portal Re-DHCP não conseguem fazer login com êxito

    Sintoma

    O dispositivo executa a autenticação do portal re-DHCP para os usuários. Um usuário digita o nome de usuário e a senha corretos, e o cliente obtém com êxito os endereços IP privados e públicos. No entanto, o resultado da autenticação para o usuário é uma falha.

    Análise

    Quando o dispositivo de acesso detecta que o endereço IP do cliente foi alterado, ele envia um pacote de portal não solicitado para notificar a alteração de IP ao servidor de autenticação do portal. O servidor de autenticação do portal notifica o sucesso da autenticação somente depois de receber a notificação de alteração de IP do dispositivo de acesso e do cliente.

    Se o endereço BAS-IP ou BAS-IPv6 contido no pacote de notificação do portal for diferente do endereço IP do dispositivo do portal especificado no servidor de autenticação do portal, o servidor de autenticação do portal descartará o pacote de notificação do portal. Como resultado, o servidor de autenticação do portal considera que o usuário falhou na autenticação.

    Solução

    Configure o atributo BAS-IP ou BAS-IPv6 na interface ativada com a autenticação do portal. Certifique-se de que o valor do atributo seja o mesmo do endereço IP do dispositivo do portal especificado no servidor de autenticação do portal.

    Configuração da autenticação da Web

    Sobre a autenticação na Web

    A autenticação da Web é implementada nas interfaces Ethernet de camada 2 do dispositivo de acesso para controlar o acesso do usuário às redes. O dispositivo de acesso redireciona os usuários não autenticados para o site especificado. Os usuários podem acessar os recursos do site sem autenticação. Se os usuários quiserem acessar outros recursos da rede, eles deverão passar pela autenticação.

    Vantagens da autenticação na Web

    A autenticação na Web tem as seguintes vantagens:

    • Permite que os usuários realizem a autenticação por meio de páginas da Web sem instalar software cliente.
    • Oferece aos ISPs opções de gerenciamento diversificadas e funções ampliadas. Por exemplo, os ISPs podem colocar anúncios, fornecer serviços comunitários e publicar informações na página de autenticação.

    Sistema de autenticação da Web

    Um sistema típico de autenticação na Web consiste em quatro componentes básicos: cliente de autenticação, dispositivo de acesso, servidor da Web do portal local e servidor AAA.

    Figura 1 Sistema de autenticação na Web usando o servidor de portal local

    Cliente de autenticação

    Um cliente de autenticação é um navegador da Web que executa HTTP ou HTTPS.

    Dispositivo de acesso

    Um dispositivo de acesso tem as seguintes funções:

    • Redireciona todas as solicitações HTTP ou HTTPS do usuário que não correspondem às regras sem autenticação para a página de autenticação da Web antes da autenticação.
    • Interage com o servidor AAA para concluir a autenticação, a autorização e a contabilidade. Para obter mais informações sobre o AAA, consulte "Configuração do AAA".
    • Permite que os usuários aprovados na autenticação acessem recursos de rede autorizados.

    Portal local Servidor da Web

    O dispositivo de acesso atua como o servidor da Web do portal local. O servidor da Web do portal local envia a página de autenticação da Web para os clientes de autenticação e obtém as informações de autenticação do usuário (nome de usuário e senha).

    Servidor AAA

    Um servidor AAA interage com o dispositivo de acesso para implementar a autenticação, a autorização e a contabilidade do usuário. Um servidor RADIUS pode executar autenticação, autorização e contabilidade para usuários de autenticação na Web. Um servidor LDAP pode executar a autenticação para usuários de autenticação da Web.

    Processo de autenticação na Web

    Figura 2 Processo de autenticação na Web

    O processo de autenticação na Web é o seguinte:

    • Um usuário não autenticado envia uma solicitação HTTP ou HTTPS. Quando o dispositivo de acesso recebe a solicitação HTTP ou HTTPS em uma interface Ethernet de camada 2 habilitada com autenticação da Web, ele redireciona a solicitação para a página de autenticação da Web. O usuário digita o nome de usuário e a senha na página de autenticação da Web.

      • Se o usuário solicitar a página de autenticação da Web ou recursos gratuitos da Web, o dispositivo de acesso permitirá a solicitação. Nenhuma autenticação na Web é executada.

    • O dispositivo de acesso e o servidor AAA trocam pacotes RADIUS para autenticar o usuário.
    • Se o usuário for aprovado na autenticação RADIUS, o servidor da Web do portal local enviará uma página de sucesso de login para o cliente de autenticação.

      • Se o usuário falhar na autenticação RADIUS, o servidor da Web do portal local enviará uma página de falha de login para o cliente de autenticação.

    Suporte à autenticação da Web para atribuição de VLAN

    VLAN de autorização

    A autenticação na Web usa VLANs autorizadas pelo servidor AAA ou pelo dispositivo de acesso para controlar o acesso a recursos de rede de usuários autenticados.

    Depois que um usuário passa pela autenticação da Web, o servidor AAA ou o dispositivo de acesso autoriza o usuário a acessar uma VLAN. Se a VLAN de autorização não existir, o dispositivo de acesso primeiro criará a VLAN e, em seguida, atribuirá a interface de acesso do usuário como um membro sem marcação à VLAN. Se a VLAN de autorização já existir, o dispositivo de acesso atribuirá diretamente a interface de acesso do usuário como um membro sem marcação à VLAN. Em seguida, o usuário pode acessar os recursos na VLAN de autorização.

    A Tabela 1 descreve a maneira como o dispositivo de acesso lida com as VLANs de autorização para usuários autenticados na Web .

    Tabela 1 Manipulação de VLAN

    Tipo de porta Manipulação de VLAN
    • Porta Access
    • Porta Trunk
    • Porta híbrida com VLAN baseada em MAC desativada
    		 O dispositivo atribui a porta à VLAN de autorização do primeiro usuário autenticado. A VLAN de autorização torna-se o PVID. Todos os usuários de autenticação da Web na porta devem receber a mesma VLAN de autorização. Se uma VLAN de autorização diferente for atribuída a um usuário subsequente, o usuário não poderá passar na autenticação da Web.
    Porta híbrida com VLAN baseada em MAC ativada O dispositivo mapeia o endereço MAC de cada usuário para sua própria VLAN de autorização, independentemente de a porta ser um membro marcado. O PVID da porta não é alterado.

    Auth-Fail VLAN

    Uma VLAN de falha de autenticação é uma VLAN atribuída a usuários que falham na autenticação. A VLAN Auth-Fail fornece aos usuários recursos de rede, como o servidor de patches, o servidor de definições de vírus, o servidor de software cliente e o servidor de software antivírus. Os usuários podem usar esses recursos para atualizar seu software cliente ou outros programas.

    A autenticação da Web oferece suporte à VLAN Auth-Fail em uma interface que executa o controle de acesso baseado em MAC. Se um usuário na interface falhar na autenticação, os dispositivos de acesso criarão uma entrada de VLAN MAC com base no endereço MAC do usuário e adicionarão o usuário à VLAN Auth-Fail. Em seguida, o usuário pode acessar os recursos de IP sem portal na VLAN Auth-Fail. Todas as solicitações HTTP ou HTTPS para recursos IP sem portal serão redirecionadas para a página de autenticação. Se o usuário ainda falhar na autenticação, a interface permanecerá na VLAN Auth-Fail. Se o usuário for aprovado na autenticação, o dispositivo de acesso removerá a interface da VLAN Auth-Fail e atribuirá a interface a uma VLAN da seguinte forma:

    • Se o servidor de autenticação atribuir uma VLAN de autorização ao usuário, o dispositivo de acesso atribuirá a interface à VLAN de autorização.
    • Se o servidor de autenticação não atribuir uma VLAN de autorização ao usuário, o dispositivo de acesso atribuirá a interface à VLAN padrão.

    Suporte à autenticação da Web para ACLs de autorização

    A autenticação na Web usa ACLs autorizadas pelo servidor AAA ou pelo dispositivo de acesso para controlar o acesso do usuário aos recursos da rede e limitar os direitos de acesso do usuário. Quando um usuário passa na autenticação, o servidor AAA e o dispositivo de acesso atribuem uma ACL de autorização à interface de acesso do usuário. O dispositivo de acesso filtra o tráfego do usuário na interface de acesso de acordo com a ACL autorizada.

    Você deve configurar as ACLs de autorização no dispositivo de acesso se especificar ACLs de autorização no servidor de autenticação.

    Para alterar os critérios de controle de acesso do usuário, é possível especificar uma ACL de autorização diferente no servidor de autenticação ou alterar as regras na ACL de autorização no dispositivo de acesso.

    O dispositivo é compatível com os seguintes tipos de ACLs de autorização:

    • ACLs básicas (ACL 2000 a ACL 2999).
    • ACLs avançadas (ACL 3000 a ACL 3999).
    • ACLs de camada 2 (ACL 4000 a ACL 4999).

    Para que uma ACL de autorização tenha efeito, certifique-se de que a ACL exista e tenha regras de ACL, excluindo as regras configuradas com a palavra-chave counting, established, fragment, source-mac ou logging. Para obter mais informações sobre regras de ACL, consulte Comandos de ACL em Referência de comandos de ACL e QoS.

    Restrições e diretrizes: Configuração da autenticação da Web

    Para redirecionar corretamente as solicitações de HTTPS para usuários não autenticados, certifique-se de que as VLANs de entrada de pacotes tenham interfaces de camada 3 (interfaces de VLAN) configuradas.

    Para acessar os recursos na VLAN de autorização ou de falha de autenticação, um usuário deve atualizar o endereço IP do cliente após ser atribuído à VLAN de autorização ou de falha de autenticação.

    Como prática recomendada, execute a autenticação da Web em usuários diretamente conectados ao dispositivo. Conforme mostrado na Figura 3, se você ativar a autenticação da Web na Porta B para autenticar usuários não conectados diretamente (os hosts), deverá seguir estas restrições e diretrizes:

    • Se o servidor RADIUS atribuir uma VLAN de autorização aos usuários, verifique se as seguintes condições foram atendidas:
      • O link entre o Dispositivo A e o Dispositivo B é um link de tronco.
      • Os PVIDs da Porta A1 e da Porta B são os mesmos da VLAN ID de autorização.
    • Se o servidor RADIUS não atribuir uma VLAN de autorização aos usuários, verifique se os PVIDs da Porta A1 e da Porta B são os mesmos.

    Figura 3 Autenticação na Web para usuários não conectados diretamente

    Visão geral das tarefas de autenticação na Web

    Para configurar a autenticação da Web, execute as seguintes tarefas:

    • Configuração de um servidor de autenticação da Web
    • Configuração de um serviço de portal local
    • Ativação da autenticação da Web
    • (Opcional.) Especificação de um domínio de autenticação da Web
    • (Opcional.) Configuração do tempo de espera do redirecionamento
    • (Opcional.) Configuração do cronômetro de envelhecimento para entradas temporárias de endereço MAC para autenticação na Web
    • (Opcional.) Configuração de uma sub-rede sem autenticação da Web
    • (Opcional.) Definição do número máximo de usuários de autenticação da Web
    • (Opcional.) Configuração da detecção de usuário de autenticação da Web on-line
    • (Opcional.) Configuração de uma VLAN de falha de autenticação
    • (Opcional.) Configuração da autenticação da Web para oferecer suporte ao proxy da Web

    Pré-requisitos para autenticação na Web

    O dispositivo oferece suporte a dois métodos de autenticação na Web, que são a autenticação local e a autenticação RADIUS.

    Para usar o método de autenticação RADIUS, você deve concluir as seguintes tarefas:

    • Instale um servidor RADIUS e configure-o adequadamente.
    • Certifique-se de que o cliente de autenticação, o dispositivo de acesso e o servidor RADIUS possam se comunicar entre si.
    • Configure as contas de usuário no servidor RADIUS e configure as informações do cliente RADIUS no dispositivo de acesso.

    Para usar o método de autenticação local, é necessário configurar os usuários locais no dispositivo de acesso. Para obter mais informações sobre clientes RADIUS e usuários locais, consulte "Configuração de AAA".

    Configuração de um servidor de autenticação da Web

    Restrições e diretrizes

    Especifique o endereço IP de uma interface de Camada 3 no dispositivo que possa ser roteada para o cliente Web como o endereço IP de escuta do servidor de autenticação da Web. Como prática recomendada, use o endereço IP de uma interface de loopback em vez do endereço IP de uma interface de Camada 3. Uma interface de loopback tem as seguintes vantagens:

    • O status de uma interface de loopback é estável. Não haverá falhas de acesso à página de autenticação causadas por falhas na interface.
    • Uma interface de loopback não encaminha os pacotes recebidos para nenhuma rede, evitando o impacto no desempenho do sistema quando há muitas solicitações de acesso à rede.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Crie um servidor de autenticação da Web e insira sua visualização.
      • web-auth server server-name
    • Especifique o endereço IP e o número da porta do servidor de autenticação da Web.
      • ip ipv4-address port port-number

      O número da porta do servidor de autenticação da Web deve ser o mesmo da porta de escuta do serviço da Web do portal local .

    • Especifique o URL de redirecionamento para o servidor de autenticação da Web.
      • url url-string

      O endereço IP e o número da porta no URL de redirecionamento especificado devem ser iguais aos do servidor de autenticação da Web.

    • (Opcional.) Adicione parâmetros ao URL de redirecionamento do servidor de autenticação da Web.
      • url-parameter parameter-name { original-url | source-address | source-mac | value expression }

      Por padrão, nenhum parâmetro é adicionado ao URL de redirecionamento de um servidor de autenticação da Web.

    Configuração de um serviço de portal local

    Para obter informações sobre a configuração do serviço de portal local, consulte "Configuração da autenticação do portal".

    Ativação da autenticação da Web

    Restrições e diretrizes

    Para que a autenticação da Web funcione corretamente, não ative a segurança da porta nem configure o modo de segurança da porta na interface Ethernet de camada 2 ativada com a autenticação da Web. Para obter mais informações sobre a segurança da porta, consulte "Configuração da segurança da porta".

    Para redirecionar os pacotes HTTPS dos usuários de autenticação da Web, verifique se o número da porta de escuta de redirecionamento de HTTPS especificado (o padrão é 6654) está disponível. Para obter mais informações sobre como alterar

    o número da porta de escuta do redirecionamento de HTTPS, consulte Configuração do redirecionamento de HTTPS no Guia de configuração de serviços da camada 3IP.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Ative a autenticação da Web e especifique o servidor de autenticação da Web.
      • web-auth enable apply server server-name

      Por padrão, a autenticação da Web está desativada.

    Especificação de um domínio de autenticação da Web

    Sobre o domínio de autenticação da Web

    É possível especificar diferentes domínios de autenticação para usuários de autenticação da Web em diferentes interfaces. Depois de especificar um domínio de autenticação da Web em uma interface, o dispositivo usa o domínio de autenticação para AAA de todos os usuários de autenticação da Web na interface, ignorando os nomes de domínio contidos nos nomes de usuário.

    O dispositivo seleciona o domínio de autenticação para um usuário de autenticação da Web em uma interface nesta ordem:

    • O domínio de autenticação especificado para a interface.
    • O domínio de autenticação contido no nome de usuário.
    • O domínio de autenticação padrão do sistema.
    • O domínio do ISP configurado para acomodar usuários atribuídos a domínios inexistentes.

    Se o domínio selecionado não existir no dispositivo, a autenticação do usuário falhará. Para obter informações sobre domínios ISP, consulte "Configuração de AAA".

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Especifique um domínio de autenticação para usuários de autenticação da Web na interface.
      • web-auth domain domain-name

      Por padrão, nenhum domínio de autenticação é especificado para usuários de autenticação da Web.

    Configuração do tempo de espera do redirecionamento

    Sobre o tempo de espera do redirecionamento

    O tempo de espera de redirecionamento determina o período de tempo que o dispositivo espera para redirecionar um usuário para a página da Web especificada depois que o usuário passa pela autenticação na Web.

    É necessário alterar o tempo de espera do redirecionamento em alguns cenários, por exemplo, quando um usuário precisa atualizar o endereço IP do cliente depois de passar pela autenticação na Web. Para garantir que a página da Web especificada possa ser aberta com êxito, defina o tempo de espera de redirecionamento como sendo maior do que o tempo que o usuário leva para atualizar o endereço IP do cliente.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização do servidor de autenticação da Web.
      • web-auth server server-name
    • Defina o tempo de espera do redirecionamento.
      • redirect-wait-time period

      Por padrão, o tempo de espera do redirecionamento para usuários autenticados é de 5 segundos.

    Configuração do temporizador de envelhecimento para entradas temporárias de endereço MAC para autenticação na Web

    Sobre o cronômetro de envelhecimento

    Se a autenticação na Web estiver ativada, o dispositivo gerará uma entrada temporária de endereço MAC quando detectar o tráfego de um usuário pela primeira vez. A entrada registra o endereço MAC, a interface de acesso e a ID da VLAN do usuário, bem como o tempo de envelhecimento da entrada.

    O cronômetro de envelhecimento funciona da seguinte forma:

    • Se o usuário não iniciar a autenticação quando o timer de envelhecimento expirar, o dispositivo excluirá a entrada temporária.
    • Se o usuário for aprovado na autenticação antes que o timer de envelhecimento expire, o dispositivo excluirá o timer de envelhecimento e registrará as informações on-line do usuário de autenticação da Web.
    • Se o usuário falhar na autenticação antes que o timer de envelhecimento expire e uma VLAN de falha de autenticação for especificada para a autenticação da Web, o dispositivo associará o endereço MAC do usuário à

    VLAN Auth-Fail e redefinir o cronômetro de envelhecimento. Se o usuário ainda falhar na autenticação quando o temporizador de envelhecimento expirar, o dispositivo excluirá a entrada temporária do usuário.

    Compatibilidade de recursos e versões de software

    Esse recurso é compatível apenas com a versão 6343P08 e posteriores.

    Restrições e diretrizes

    Como prática recomendada, altere o cronômetro de envelhecimento para um valor maior nos seguintes casos:

    • Os usuários de autenticação da Web sem direitos de acesso enviam tráfego com frequência em um curto espaço de tempo. Como resultado, o dispositivo de acesso inicia continuamente o processo de autenticação na Web, aumentando a carga no dispositivo.
    • Quando um usuário falha na autenticação, ele não tem tempo suficiente para obter recursos da VLAN Auth-Fail, por exemplo, ele não conseguiu fazer o download dos patches de vírus.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Configure o cronômetro de envelhecimento para entradas temporárias de endereço MAC.
      • web-auth timer temp-entry-aging aging-time-value

      Por padrão, o cronômetro de envelhecimento para entradas temporárias de endereço MAC é de 60 segundos.

    Configuração de uma sub-rede sem autenticação da Web

    Sobre sub-redes sem autenticação da Web

    É possível configurar uma sub-rede sem autenticação da Web para que os usuários possam acessar livremente os recursos da rede na sub-rede sem serem autenticados.

    Restrições e diretrizes

    Como prática recomendada, não configure o mesmo valor de endereço para uma sub-rede livre de autenticação da Web e um IP livre de 802.1X. Caso contrário, quando você cancelar uma das configurações, a outra configuração também não terá efeito.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Configure uma sub-rede sem autenticação da Web.
      • web-auth free-ip ip-address { mask-length | mask }

    Definição do número máximo de usuários de autenticação da Web

    Restrições e diretrizes

    Se o número máximo de usuários de autenticação on-line na Web definido for menor do que o número de usuários atuais de autenticação on-line na Web, o limite poderá ser definido com êxito e não afetará os usuários de autenticação on-line na Web. No entanto, o sistema não permite que novos usuários de autenticação na Web façam login até que o número caia abaixo do limite.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Defina o número máximo de usuários de autenticação da Web na interface.
      • web-auth max-user max-number

      Por padrão, o número máximo de usuários de autenticação da Web é 1024.

    Configuração da detecção de usuário de autenticação on-line na Web

    Sobre a detecção de usuário de autenticação on-line na Web

    Esse recurso permite que o dispositivo detecte pacotes de um usuário on-line no intervalo de detecção especificado. Se nenhum pacote do usuário for recebido dentro do intervalo, o dispositivo fará o logout do usuário e notificará o servidor RADIUS para interromper a contabilização do usuário.

    Restrições e diretrizes

    Para evitar que o dispositivo faça o logout de usuários por engano, defina o intervalo de detecção como sendo o mesmo que o tempo de envelhecimento das entradas de endereço MAC.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Habilite a detecção de usuário de autenticação da Web on-line.
      • web-auth offline-detect interval interval

      Por padrão, a detecção de usuários com autenticação on-line na Web está desativada.

    Configuração de uma VLAN de falha de autenticação

    Restrições e diretrizes

    Para que a VLAN Auth-Fail tenha efeito, você também deve ativar a VLAN baseada em MAC na interface e definir a sub-rede da VLAN Auth-Fail como a sub-rede livre de autenticação da Web.

    Como a VLAN baseada em MAC entra em vigor somente nas portas híbridas, a VLAN Auth-Fail também entra em vigor somente nas portas híbridas.

    Não exclua a VLAN que foi configurada como uma VLAN de falha de autenticação. Para excluir essa VLAN, primeiro cancele a configuração da VLAN de falha de autenticação usando o comando undo web-auth auth-fail vlan.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Entre na visualização da interface.
      • interface interface-type interface-number
    • Configure uma VLAN Auth-Fail.
      • web-auth auth-fail vlan authfail-vlan-id

      Por padrão, nenhuma VLAN Auth-Fail é configurada em uma interface.

    Configuração da autenticação da Web para oferecer suporte ao proxy da Web

    Sobre o suporte do proxy da Web para autenticação na Web

    Por padrão, as solicitações HTTP com proxy não podem acionar a autenticação na Web, mas são silenciosamente descartadas. Para permitir que essas solicitações HTTP acionem a autenticação na Web, especifique os números das portas dos servidores proxy da Web no dispositivo.

    Restrições e diretrizes

    Se o navegador de um usuário usar o protocolo WPAD (Web Proxy Auto-Discovery) para descobrir servidores proxy da Web, você deverá executar as seguintes tarefas:

    • Adicione os números de porta dos servidores proxy da Web no dispositivo.
    • Configure regras sem autenticação para permitir que os pacotes de usuários destinados ao endereço IP do servidor WPAD passem sem autenticação.

      • Para que a autenticação da Web seja compatível com o proxy da Web:

    • Você deve adicionar os números de porta dos servidores proxy da Web no dispositivo.
    • Os usuários devem certificar-se de que seus navegadores que usam um servidor proxy da Web não usem o servidor proxy para o endereço IP de escuta do servidor da Web do portal local. Assim, os pacotes HTTP que o usuário da autenticação da Web envia para o servidor da Web do portal local não são enviados para o servidor proxy da Web.

    Procedimento

    • Entre na visualização do sistema.
      • system view
    • Adicione um número de porta do servidor proxy da Web.
      • web-auth proxy port port-number

      Você pode executar esse comando várias vezes para especificar vários números de porta de servidores proxy da Web.

    Comandos de exibição e manutenção para autenticação na Web

    Executar comandos de exibição em qualquer visualização.

    Tarefa Comando
    Exibir informações de configuração de autenticação da Web nas interfaces. display web-auth [ interface interface-type interface-number ]
    Exibir sub-redes sem autenticação da Web. display web-auth free-ip
    Exibir informações do servidor de autenticação da Web. display web-auth server [ server-name ]
    Exibir informações do usuário de autenticação da Web. display web-auth user [ interface interface-type interface-number | slot slot-number ]

    Exemplos de configuração de autenticação da Web

    Exemplo: Configuração da autenticação da Web usando o método de autenticação local

    Configuração de rede

    Conforme mostrado na Figura 4, o host está diretamente conectado ao dispositivo por meio da GigabitEthernet 1/0/1.

    Configure a autenticação da Web na GigabitEthernet 1/0/1 e use autenticação e autorização locais para os usuários.

    Configure o dispositivo para enviar páginas personalizadas de autenticação da Web aos usuários e usar HTTP para transferir os dados de autenticação.

    Figura 4 Diagrama de rede

    Procedimento

    • Personalize as páginas de autenticação, compacte-as em um arquivo e carregue o arquivo no diretório raiz da mídia de armazenamento do dispositivo. Neste exemplo, o arquivo é abc.zip. (Detalhes não mostrados).
    • Atribua endereços IP ao host e ao dispositivo, conforme mostrado na Figura 4, e certifique-se de que o host e o dispositivo possam se comunicar.
    • Configure um usuário local:

      • # Crie um usuário de acesso à rede local chamado localuser.

      <Dispositivo>system-view
                     [Device] local-user localuser class network

      # Defina a senha como localpass em formato de texto simples para o usuário localuser. [Device-luser-network-localuser] password simple localpass

      [Device-luser-network-localuser] password simple localpass

      # Autorize o usuário a usar os serviços de acesso à LAN.

      [Device-luser-network-localuser] service-type lan-access
                     [Device-luser-network-localuser] quit
    • Configurar um domínio ISP:

      • # Crie um domínio ISP chamado local.

      [Device] domain local

      # Configure o domínio ISP para executar autenticação, autorização e contabilidade locais para usuários de acesso à LAN.

      [Device-isp-local] authentication lan-access local
                     [Device-isp-local] authorization lan-access local
                     [Device-isp-local] accounting lan-access local
                     [Device-isp-local] quit
    • Configure um serviço da Web do portal local:

      • # Crie um serviço da Web de portal local baseado em HTTP e insira sua visualização.

      [Device] portal local-web-server http

      # Especifique o arquivo abc.zip como o arquivo de página de autenticação padrão para o serviço da Web do portal local. (Esse arquivo deve existir no diretório raiz do dispositivo).

      [Device-portal-local-websvr-http] default-logon-page abc.zip

      # Especifique o número da porta de escuta HTTP como 80 para o serviço da Web do portal.

      [Device–portal-local-websvr-http] tcp-port 80
                     [Device-portal-local-websvr-http] quit
    • Configurar a autenticação da Web:

      • # Crie um servidor de autenticação da Web chamado usuário.

      [Device] web-auth server user

      # Configure o URL de redirecionamento para o servidor de autenticação da Web como http://20.20.0.1/portal/.

      [Device-web-auth-server-user] url http://20.20.0.1/portal/

      # Especifique 20.20.0.1 como o endereço IP e 80 como o número da porta do servidor de autenticação da Web.

      [Device-web-auth-server-user] ip 20.20.0.1 port 80
                     [Device-web-auth-server-user] quit

      # Especifique o domínio local do ISP como o domínio de autenticação da Web.

      [Device] interface gigabitethernet 1/0/1
                     [Device-GigabitEthernet1/0/1] web-auth domain local

      # Habilite a autenticação da Web usando o usuário do servidor de autenticação da Web.

      [Device-GigabitEthernet1/0/1] web-auth enable apply server user
                     [Device-GigabitEthernet1/0/1] quit

    Verificação da configuração

    # Exibir informações de usuário de autenticação on-line da Web depois que o usuário localuser for aprovado na autenticação da Web.

    <Device> display web-auth user
                     Total online web-auth users: 1

                     User Name: localuser
                     MAC address: acf1-df6c-f9ad
                     Access interface: GigabitEthernet1/0/1
                     Initial VLAN: 100
                     Authorization VLAN: N/A
                     Authorization ACL ID: N/A
                     Authorization user profile: N/A

    Exemplo: Configuração da autenticação na Web usando o método de autenticação RADIUS

    Configuração de rede

    Conforme mostrado na Figura 5, o host está diretamente conectado ao dispositivo por meio da GigabitEthernet 1/0/1.

    Configure a autenticação da Web na GigabitEthernet 1/0/1 e use um servidor RADIUS para realizar a autenticação e a autorização dos usuários.

    Configure o dispositivo para enviar páginas personalizadas de autenticação da Web aos usuários e usar HTTP para transferir os dados de autenticação.

    Figura 5 Diagrama de rede

    Procedimento

    • Configure o servidor RADIUS adequadamente para fornecer funções de autenticação e contabilidade para os usuários. Neste exemplo, o nome de usuário é configurado como user1 no servidor RADIUS. (Detalhes não mostrados.)
    • Personalize as páginas de autenticação, compacte-as em um arquivo e carregue o arquivo no diretório raiz da mídia de armazenamento do switch. Neste exemplo, o arquivo é abc.zip.
    • Crie VLANs, atribua endereços IP às interfaces de VLAN e atribua interfaces às VLANs. Certifique-se de que o host, o servidor RADIUS e o dispositivo possam se comunicar entre si. (Detalhes não mostrados.)
    • Configurar um esquema RADIUS:

      • # Crie um esquema RADIUS chamado rs1.

      <Device> system-view
                     [Device] radius scheme rs1

      # Especifique o servidor de autenticação principal e o servidor de contabilidade principal e configure o chaves para comunicação com os servidores.

      [Device-radius-rs1] primary authentication 192.168.0.112
                     [Device-radius-rs1] primary accounting 192.168.0.112
                     [Device-radius-rs1] key authentication simple radius
                     [Device-radius-rs1] key accounting simple radius

      # Excluir o nome de domínio do ISP do nome de usuário enviado ao servidor RADIUS.

      [Device-radius-rs1] user-name-format without-domain
                     [Device-radius-rs1] quit
    • Configure um domínio de autenticação:

      • # Crie um domínio ISP chamado dm1.

      [Device] domain dm1

      # Configurar métodos AAA para o domínio ISP

      [Device-isp-dm1] authentication lan-access radius-scheme rs1
                     [Device-isp-dm1] authorization lan-access radius-scheme rs1
                     [Device-isp-dm1] accounting lan-access radius-scheme rs1
                     [Device-isp-dm1] quit
    • Configure um serviço da Web do portal local:

      • # Criar um serviço da Web de portal local baseado em HTTP.

      [Device] portal local-web-server http

      # Especifique o arquivo abc.zip como o arquivo de página de autenticação padrão para o serviço da Web do portal local. (Esse arquivo deve existir diretamente no diretório raiz da mídia de armazenamento).

      [Device-portal-local-websvr-http] default-logon-page abc.zip

      # Especifique 80 como o número da porta ouvida pelo serviço da Web do portal local.

      [Device–portal-local-websvr-http] tcp-port 80
                     [Device-portal-local-websvr-http] quit
    • Configurar a autenticação da Web:

      • # Crie um servidor de autenticação da Web chamado usuário.

      [Device] web-auth server user

      # Especifique http://20.20.0.1/portal/ como o URL de redirecionamento para o servidor de autenticação da Web.

      [Device-web-auth-server-user] url http://20.20.0.1/portal/

      # Especifique o endereço IP do servidor de autenticação da Web como 20.20.0.1 (o endereço IP do Loopback 0) e o número da porta como 80.

      [Device-web-auth-server-user] ip 20.20.0.1 port 80
                     [Device-web-auth-server-user] quit

      # Especifique o domínio dml como o domínio de autenticação da Web.

      [Device] interface gigabitethernet 1/0/1
                     [Device-GigabitEthernet1/0/1] web-auth domain dm1

      # Habilite a autenticação da Web usando o usuário do servidor de autenticação da Web.

      [Device-GigabitEthernet1/0/1] web-auth enable apply server user
                     [Device-GigabitEthernet1/0/1] quit

      Verificação da configuração

      # Exibir informações do usuário de autenticação da Web depois que o usuário user1 for aprovado na autenticação da Web.

      <Device> display web-auth user
                     Total online web-auth users: 1

                     User Name: user1
                     MAC address: acf1-df6c-f9ad
                     Access interface: GigabitEthernet1/0/1
                     Initial VLAN: 100
                     Authorization VLAN: N/A
                     Authorization ACL ID: N/A
                     Authorization user profile: N/A

    Solução de problemas de autenticação da Web

    Falha ao ficar on-line (interface de autenticação local usando o domínio padrão do ISP)

    Sintoma

    Nenhum domínio de autenticação foi especificado para a interface de autenticação local. Um usuário não consegue passar na autenticação da Web para ficar on-line.

    Análise

    Se nenhum domínio de autenticação da Web for especificado, o domínio ISP padrão do sistema (sistema de domínio) será usado para autenticação da Web. O domínio padrão do sistema usa o método de autenticação local por

    padrão. Usando essas configurações de domínio padrão, a autenticação local deve ter funcionado corretamente.

    A falha na autenticação local pode ocorrer porque o método de autenticação do domínio padrão do sistema foi alterado ou porque o domínio padrão do sistema foi alterado.

    Solução

    Para resolver o problema, execute as seguintes tarefas:

    • Use o comando display domain para identificar se os métodos AAA para usuários da Web no domínio padrão do sistema são locais.
    • Se os métodos AAA para usuários da Web no domínio padrão do sistema não forem locais, reconfigure os métodos AAA como locais.

    Configuração da autenticação tripla

    Sobre a autenticação tripla

    A autenticação tripla permite que uma porta de acesso execute a autenticação Web, MAC e 802.1X. Um terminal pode acessar a rede se for aprovado em um tipo de autenticação. Para obter mais informações sobre autenticação 802.1X, autenticação MAC e autenticação Web, consulte "Configuração da autenticação 802.1X ", "Configuração da autenticação MAC" e "Configuração da autenticação Web".

    Rede típica de autenticação tripla

    A autenticação tripla é adequada para uma LAN que inclui terminais que exigem diferentes serviços de autenticação, conforme mostrado na Figura 1. A porta de acesso habilitada para autenticação tripla pode executar a autenticação MAC para a impressora, a autenticação 802.1X para o PC instalado com o cliente 802.1X e a autenticação Web para o usuário da Web.

    Figura 1 Diagrama de rede de autenticação tripla

    Mecanismo de autenticação tripla

    Os três tipos de autenticação são acionados por pacotes diferentes:

    • A porta de acesso executa a autenticação MAC para um terminal quando recebe um pacote de difusão ARP ou DHCP do terminal pela primeira vez. Se o terminal for aprovado na autenticação MAC, ele poderá acessar a rede. Se a autenticação MAC falhar, a porta de acesso executará a autenticação 802.1X ou Web.
    • A porta de acesso executa a autenticação 802.1X quando recebe um pacote EAP de um cliente 802.1X ou de um cliente de terceiros. Se o recurso de acionamento unicast do 802.1X estiver ativado na porta de acesso, qualquer pacote do cliente poderá acionar uma autenticação 802.1X.
    • A porta de acesso realiza a autenticação da Web quando recebe um pacote HTTP de um terminal.

      • Se um terminal acionar diferentes tipos de autenticação, as autenticações serão processadas ao mesmo tempo. A falha de um tipo de autenticação não afeta os outros. Quando um terminal passa em um tipo de autenticação, os outros tipos de autenticação são processados da seguinte forma:

    • Se o terminal passar primeiro na autenticação MAC, a autenticação Web será encerrada imediatamente, mas a autenticação 802.1X continuará. Se o terminal também passar na autenticação 802.1X, as informações de autenticação 802.1X substituirão as informações de autenticação MAC para o terminal.

      • terminal. Se o terminal falhar na autenticação 802.1X, o usuário permanecerá on-line como um usuário de autenticação MAC e somente a autenticação 802.1X poderá ser acionada novamente.

    • Se o terminal passar primeiro pela autenticação 802.1X ou Web, os outros tipos de autenticação serão encerrados imediatamente e não poderão ser acionados novamente.

    Suporte à autenticação tripla para atribuição de VLAN

    VLAN de autorização

    Depois que um usuário passa pela autenticação, o servidor de autenticação atribui uma VLAN de autorização à porta de acesso do usuário. O usuário pode então acessar os recursos de rede na VLAN autorizada.

    Falha de autenticação VLAN

    A porta de acesso adiciona um usuário a uma VLAN de falha de autenticação configurada na porta depois que o usuário falha na autenticação.

    • Para um usuário de autenticação 802.1X - Adiciona o usuário à VLAN Auth-Fail configurada para autenticação 802.1X.
    • Para um usuário de autenticação da Web - Adiciona o usuário à VLAN Auth-Fail configurada para autenticação da Web.
    • Para um usuário de autenticação MAC - Adiciona o usuário à VLAN de convidado configurada para autenticação MAC.

      • A porta de acesso suporta a configuração de todos os tipos de VLANs de falha de autenticação ao mesmo tempo. Se um usuário falhar em mais de um tipo de autenticação, a VLAN de falha de autenticação do usuário será alterada da seguinte forma:

    • Se um usuário na VLAN Web Auth-Fail falhar na autenticação MAC, o usuário será movido para a VLAN guest de autenticação MAC.
    • Se um usuário na VLAN Web Auth-Fail ou na VLAN guest de autenticação MAC falhar na autenticação 802.1X, o usuário será movido para a VLAN 802.1X Auth-Fail.
    • Se um usuário na VLAN 802.1X Auth-Fail falhar na autenticação MAC ou na autenticação Web, o usuário ainda estará na VLAN 802.1X Auth-Fail.

    VLAN sem acesso ao servidor

    Se um usuário falhar na autenticação devido a um servidor inacessível, a porta de acesso adicionará o usuário a uma VLAN de servidor inacessível.

    • Para um usuário de autenticação 802.1X - Adiciona o usuário à VLAN crítica configurada para autenticação 802.1X.
    • Para um usuário de autenticação da Web - Adiciona o usuário à VLAN Auth-Fail configurada para autenticação da Web.
    • Para um usuário de autenticação MAC - Adiciona o usuário à VLAN crítica configurada para autenticação MAC.

      • A porta de acesso suporta a configuração de todos os tipos de VLANs inacessíveis ao servidor ao mesmo tempo. Um usuário é adicionado à VLAN de servidor inalcançável da seguinte forma:

    • Se o usuário não for submetido à autenticação 802.1X, ele será adicionado à VLAN inacessível ao servidor configurada para a última autenticação.
    • Se o usuário na VLAN Web Auth-Fail ou na VLAN crítica de autenticação MAC também falhar na autenticação 802.1X, o usuário será adicionado à VLAN crítica de autenticação 802.1X.

    Suporte à autenticação tripla para autorização de ACL

    Depois que um usuário passa pela autenticação, o servidor de autenticação atribui uma ACL de autorização à porta de acesso do usuário. A porta de acesso usa a ACL para filtrar o tráfego do usuário.

    Para usar a autorização ACL, você deve especificar ACLs de autorização no servidor de autenticação e configurar as ACLs no dispositivo de acesso. É possível alterar a autorização de acesso do usuário alterando a ACL de autorização no servidor de autenticação ou alterando as regras da ACL de autorização no dispositivo de acesso.

    Suporte à autenticação tripla para detecção de usuários on-line

    É possível configurar os seguintes recursos para detectar o status on-line dos usuários:

    • Habilite a detecção de usuários on-line para usuários de autenticação da Web.
    • Habilite o handshake de usuário on-line ou o recurso de reautenticação periódica de usuário on-line para usuários 802.1X.
    • Habilite a detecção off-line para usuários de autenticação MAC.

    Restrições e diretrizes: Autenticação tripla

    Na autenticação tripla, a autenticação 802.1X deve usar o método de controle de acesso baseado em MAC.

    Se a autenticação na Web estiver ativada em uma porta, configure as sub-redes das VLANs de falha de autenticação e das VLANs inacessíveis ao servidor da porta como sub-redes livres de autenticação na Web. Isso garante que um usuário com falha de autenticação possa acessar a VLAN de falha de autenticação ou a VLAN inacessível ao servidor.

    Não configure IPs livres de autenticação da Web e IPs livres de 802.1X. Se você fizer isso, somente os IPs livres do 802.1X terão efeito.

    Visão geral das tarefas de autenticação tripla

    Escolha as seguintes tarefas, conforme necessário:

    • Configurar a autenticação 802.1X

      • Para obter mais informações, consulte "Configuração do 802.1X".

    • Configurar a autenticação MAC

      • Para obter mais informações, consulte "Configuração da autenticação MAC".

    • Configurar a autenticação da Web

      • Para obter mais informações, consulte "Configuração da autenticação da Web".

    Exemplos de configuração de autenticação tripla

    Exemplo: Configuração da autenticação tripla básica

    Configuração de rede

    Conforme mostrado na Figura 2, os terminais estão conectados ao dispositivo para acessar a rede IP. Configure a autenticação tripla na interface de camada 2 do dispositivo que se conecta aos terminais. Um terminal que passa por um dos três métodos de autenticação, autenticação 802.1X, autenticação Web e autenticação MAC, pode acessar a rede IP.

    • Atribua endereços IP na sub-rede 192.168.1.0/24 aos terminais.
    • Use o servidor RADIUS remoto para realizar autenticação, autorização e contabilidade. Configure o dispositivo para enviar nomes de usuário que não contenham nomes de domínio do ISP para o servidor RADIUS.
    • Configure o servidor local de autenticação da Web no dispositivo para usar o endereço IP de escuta 4.4.4.4. Configure o dispositivo para enviar uma página de autenticação padrão para o usuário da Web e encaminhar os dados de autenticação usando HTTP.

    Figura 2 Diagrama de rede

    Procedimento

    • Certifique-se de que os terminais, o servidor e o dispositivo possam se comunicar entre si. (Detalhes não mostrados).
    • Configure o servidor RADIUS para fornecer autenticação, autorização e contabilidade normais para os usuários. Neste exemplo, configure o seguinte no servidor RADIUS:
      • Um usuário 802.1X com nome de usuário userdot.
      • Um usuário de autenticação da Web com nome de usuário userpt.
      • Um usuário de autenticação MAC com nome de usuário e senha, sendo ambos o endereço MAC de a impressora f07d6870725f.
    • Configurar a autenticação da Web:

      • # Configure VLANs e endereços IP para as interfaces de VLAN e adicione portas a VLANs específicas. (Detalhes não mostrados).

      # Edite as páginas de autenticação, comprima as páginas em um arquivo .zip chamado abc e carregue o arquivo .zip no dispositivo por FTP. (Detalhes não mostrados.)

      # Crie um serviço da Web de portal local baseado em HTTP e especifique o arquivo abc.zip como o arquivo de página de autenticação padrão do serviço da Web de portal local.

      <Device> system-view
                     [Device] portal local-web-server http
                     [Device-portal-local-websvr-http] default-logon-page abc.zip
                     [Device-portal-local-websvr-http] quit

      # Atribua o endereço IP 4.4.4.4 ao Loopback 0.

      [Device] interface loopback 0
                     [Device-LoopBack0] ip address 4.4.4.4 32
                     [Device-LoopBack0] quit

      # Crie um servidor de autenticação da Web chamado webserver e entre em sua exibição.

      [Device] web-auth server webserver

      # Configure o URL de redirecionamento para o servidor de autenticação da Web como http://4.4.4.4/portal/.

      [Device-web-auth-server-webserver] url http://4.4.4.4/portal/

      # Especifique 4.4.4.4 como o endereço IP e 80 como o número da porta do servidor de autenticação da Web.

      [Device-web-auth-server-webserver] ip 4.4.4.4 port 80
                     [Device-web-auth-server-webserver] quit

      # Habilite a autenticação da Web na GigabitEthernet 1/0/1 e especifique o servidor de autenticação da Web servidor da Web na interface.

      [Device] interface gigabitethernet 1/0/1
                     [Device–GigabitEthernet1/0/1] web-auth enable apply server webserver
                     [Device–GigabitEthernet1/0/1] quit
    • Configurar a autenticação 802.1X:

      • # Habilite a autenticação 802.1X globalmente.

      [Device] dot1x

      # Habilite a autenticação 802.1X (é necessário o controle de acesso baseado em MAC) na GigabitEthernet 1/0/1.

      [Device] interface gigabitethernet 1/0/1
                     [Device–GigabitEthernet1/0/1] dot1x port-method macbased
                     [Device–GigabitEthernet1/0/1] dot1x
                     [Device–GigabitEthernet1/0/1] quit
    • Configurar a autenticação MAC:

      • # Habilite a autenticação MAC globalmente.

      [Device] mac-authentication

      # Habilite a autenticação MAC na GigabitEthernet 1/0/1.

      [Device] interface gigabitethernet 1/0/1
                     [Device–GigabitEthernet1/0/1] mac-authentication
                     [Device–GigabitEthernet1/0/1] quit
    • Configurar um esquema RADIUS:

      • # Crie um esquema RADIUS chamado rs1.

      [Device] radius scheme rs1

      # Especifique os servidores e chaves de autenticação e contabilidade primários.

      [Device-radius-rs1] primary authentication 1.1.1.2
                     [Device-radius-rs1] primary accounting 1.1.1.2
                     [Device-radius-rs1] key authentication simple radius
                     [Device-radius-rs1] key accounting simple radius

      # Especifique os nomes de usuário enviados ao servidor RADIUS para que não contenham nomes de domínio.

      [Device-radius-rs1] user-name-format without-domain
                     [Device-radius-rs1] quit
    • Configurar um domínio ISP:

      • # Criar um domínio ISP chamado triplo.

      [Device] domain triple

      # Configure o domínio para usar o esquema RADIUS rs1 para autenticação, autorização e contabilidade de usuários de acesso à LAN.

      [Device-isp-triple] authentication lan-access radius-scheme rs1
                     [Device-isp-triple] authorization lan-access radius-scheme rs1
                     [Device-isp-triple] accounting lan-access radius-scheme rs1
                     [Device-isp-triple] quit

      # Configure o domínio triplo como o domínio padrão. Se um nome de usuário inserido por um usuário não incluir um nome de domínio ISP, será usado o método AAA do domínio padrão.

      [Device] domain default enable triple

    Verificação da configuração

    • Verifique se o usuário da Web pode ser aprovado na autenticação da Web.

      • # No terminal do usuário da Web, use um navegador da Web para acessar uma rede externa e, em seguida, digite o nome de usuário e a senha corretos na página de autenticação http://4.4.4.4/portal/logon.html. (Detalhes não mostrados.)

      # Exibir informações sobre usuários de autenticação on-line na Web.

      [Device] display web-auth user
                     Total online web-auth users: 1
                     User Name: localuser
                     MAC address: acf1-df6c-f9ad
                     Access interface: GigabitEthernet1/0/1
                     Initial VLAN: 8
                     Authorization VLAN: N/A
                     Authorization ACL ID: N/A
                     Authorization user profile: N/A
    • Verifique se a impressora pode passar pela autenticação MAC.

      • # Conecte a impressora à rede. (Detalhes não mostrados.)

      # Exibir informações sobre usuários de autenticação MAC on-line.

      [Device] display mac-authentication connection
                     Total connections: 1
                     Slot ID: 1
                     User MAC address: f07d-6870-725f
                     Access interface: GigabitEthernet1/0/1
                     Username: f07d6870725f
                     User access state: Successful
                     Authentication domain: triple
                     Initial VLAN: 8
                     Authorization untagged VLAN: N/A
                     Authorization tagged VLAN: N/A
                     Authorization VSI: N/A
                     Authorization ACL ID: N/A
                     Authorization user profile: N/A
                     Authorization CAR: N/A
                     Authorization URL: N/A
                     Termination action: Default
                     Session timeout period: N/A
                     Online from: 2015/01/04 18:01:43
                     Online duration: 0h 0m 2s
    • Verifique se o cliente 802.1X pode passar pela autenticação 802.1X.

      • # No cliente 802.1X, inicie a autenticação 802.1X e, em seguida, digite o nome de usuário e a senha corretos. (Os detalhes não são mostrados.)

      # Exibir informações sobre usuários 802.1X on-line.

      [Device] display dot1x connection
                     Total connections: 1
                     Slot ID: 1
                     User MAC address: 7446-a091-84fe
                     Access interface: GigabitEthernet1/0/1
                     Username: userdot
                     User access state: Successful
                     Authentication domain: triple
                     IPv4 address: 192.168.1.2
                     Authentication method: CHAP
                     Initial VLAN: 8
                     Authorization untagged VLAN: N/A
                     Authorization tagged VLAN list: N/A
                     Authorization VSI: N/A
                     Authorization ACL ID: N/A
                     Authorization user profile: N/A
                     Authorization CAR: N/A
                     Authorization URL: N/A
                     Termination action: Default
                     Session timeout period: N/A
                     Online from: 2015/01/04 18:13:01
                     Online duration: 0h 0m 14s

    Exemplo: Configuração da autenticação tripla para suportar a VLAN de autorização e a VLAN de falha de autenticação

    Configuração de rede

    Conforme mostrado na Figura 3, os terminais estão conectados ao dispositivo para acessar a rede IP. Configure a autenticação tripla na interface de camada 2 do dispositivo conectada aos terminais. Um terminal que passa por um dos três métodos de autenticação, autenticação 802.1X, autenticação Web e autenticação MAC, pode acessar a rede IP.

    • O terminal de autenticação da Web usa o DHCP para obter um endereço IP em 192.168.1.0/24 antes da autenticação e em 3.3.3.0/24 depois de passar na autenticação. Se o terminal falhar na autenticação, ele solicitará endereços IP em 2.2.2.0/24 por meio do DHCP.

      • Você pode usar o dispositivo de acesso ou um dispositivo conectado como servidor DHCP. Neste exemplo, o dispositivo de acesso (o dispositivo) fornece o serviço DHCP.

    • O terminal 802.1X usa o DHCP para obter um endereço IP em 192.168.1.0/24 antes da autenticação e em 3.3.3.0/24 depois de passar pela autenticação. Se o terminal falhar na autenticação, ele solicitará endereços IP em 2.2.2.0/24 por meio do DHCP.
    • Depois de passar pela autenticação, a impressora obtém o endereço IP 3.3.3.111/24, que é vinculado ao seu endereço MAC por meio do DHCP.
    • Use o servidor RADIUS remoto para realizar autenticação, autorização e contabilidade. Configure o dispositivo para remover os nomes de domínio do ISP dos nomes de usuário enviados ao servidor RADIUS.
    • Configure o servidor local de autenticação da Web no dispositivo para usar o endereço IP de escuta 4.4.4.4. Configure o dispositivo para enviar uma página de autenticação padrão para o usuário da Web e encaminhar os dados de autenticação usando HTTP.
    • Configure a VLAN 3 como a VLAN de autorização. Os usuários que passam pela autenticação são adicionados a essa VLAN.
    • Configure a VLAN 2 como a VLAN de falha de autenticação. Os usuários que falham na autenticação são adicionados a essa VLAN.

    Figura 3 Diagrama de rede

    Procedimento

    • Certifique-se de que os terminais, os servidores e o dispositivo possam se comunicar entre si. (Detalhes não mostrados.)
    • Configure o servidor RADIUS para fornecer autenticação, autorização e contabilidade normais para os usuários. Neste exemplo, configure o seguinte no servidor RADIUS:
      • Um usuário 802.1X com nome de usuário userdot.
      • Um usuário de autenticação da Web com nome de usuário userpt.
      • Um usuário de autenticação MAC com nome de usuário e senha, sendo ambos o endereço MAC da impressora f07d6870725f.
      • Uma VLAN de autorização (VLAN 3).
      • Configure o endereço IP do servidor de atualização como um endereço IP sem autenticação.
      <Device> system-view
                     [web-auth free-ip 2.2.2.2.2 24
    • Edite as páginas de autenticação, comprima as páginas em um arquivo .zip chamado defaultfile e carregue o arquivo .zip no dispositivo por FTP. (Detalhes não mostrados.)
    • Configurar DHCP:

    # Configure VLANs e endereços IP para as interfaces de VLAN e adicione portas a VLANs específicas. (Detalhes não mostrados).

    # Habilite o DHCP.

    [Device] dhcp enable

    # Excluir o endereço IP do servidor de atualização da atribuição dinâmica de endereços.

    [dhcp server forbidden-ip 2.2.2.2

    # Configure o pool de endereços DHCP 1 para atribuir endereços IP e outros parâmetros de configuração a clientes na sub-rede 192.168.1.0.

    [Device] dhcp server ip-pool 1
                     [Device-dhcp-pool-1] network 192.168.1.0 mask 255.255.255.0
                     [Device-dhcp-pool-1] expired day 0 hour 0 minute 1
                     [Device-dhcp-pool-1] gateway-list 192.168.1.1
                     [Device-dhcp-pool-1] quit

    # Configure o pool de endereços DHCP 2 para atribuir o endereço IP e outros parâmetros de configuração aos clientes na sub-rede 2.2.2.0.

    [Device] dhcp server ip-pool 2
                     [Device-dhcp-pool-2] network 2.2.2.0 mask 255.255.255.0
                     [Device-dhcp-pool-2] expired day 0 hour 0 minute 1
                     [Device-dhcp-pool-2] gateway-list 2.2.2.1
                     [Device-dhcp-pool-2] quit

    # Configure o pool de endereços DHCP 3 para atribuir o endereço IP e outros parâmetros de configuração aos clientes na sub-rede 3.3.3.0.

    [Device] dhcp server ip-pool 3
                     [Device-dhcp-pool-3] network 3.3.3.0 mask 255.255.255.0
                     [Device-dhcp-pool-3] expired day 0 hour 0 minute 1
                     [Device-dhcp-pool-3] gateway-list 3.3.3.1
                     [Device-dhcp-pool-3] quit

    # Configure o pool de endereços DHCP 4 e associe o endereço MAC da impressora f07d-6870-725f ao IP

    endereço 3.3.3.111/24 nesse pool de endereços.

    [Device] dhcp server ip-pool 4
                     [Device-dhcp-pool-4] static-bind ip-address 3.3.3.111 mask 255.255.255.0 
                     client-identifier f07d-6870-725f
                     [Device-dhcp-pool-4] quit
    • Configurar a autenticação da Web:

    # Crie um serviço da Web de portal local baseado em HTTP e especifique o arquivo defaultfile.zip como o arquivo de página de autenticação padrão do serviço da Web de portal local.

    [Device] portal local-web-server http
                     [Device-portal-local-websvr-http] default-logon-page defaultfile.zip
                     [Device-portal-local-websvr-http] quit

    # Atribua o endereço IP 4.4.4.4 ao Loopback 0.

    [Device] interface loopback 0
                     [Device-LoopBack0] ip address 4.4.4.4 32
                     [Device-LoopBack0] quit

    # Crie um servidor de autenticação da Web chamado webserver.

    [Device] web-auth server webserver

    # Configure o URL de redirecionamento do servidor de autenticação da Web como http://4.4.4.4/portal/.

    [Device-web-auth-server-webserver] url http://4.4.4.4/portal/

    # Especifique 4.4.4.4 como o endereço IP e 80 como o número da porta do servidor de autenticação da Web.

    [Device-web-auth-server-webserver] ip 4.4.4.4 port 80
                     [Device-web-auth-server-webserver] quit

    # Configure o endereço IP do servidor de atualização como um endereço IP sem autenticação.

    [Device] web-auth free-ip 2.2.2.2 24

    # Habilite a autenticação da Web na GigabitEthernet 1/0/1 e especifique a VLAN 2 como a VLAN Auth-Fail.

    [Device] interface gigabitethernet 1/0/1
                     [Device–GigabitEthernet1/0/1] port link-type hybrid
                     [Device–GigabitEthernet1/0/1] mac-vlan enable
                     [Device–GigabitEthernet1/0/1] web-auth enable apply server webserver
                     [Device–GigabitEthernet1/0/1] web-auth auth-fail vlan 2
                     [Device–GigabitEthernet1/0/1] quit
    • Configurar a autenticação 802.1X:

    # Habilite a autenticação 802.1X globalmente.

    [Device] dot1x

    # Habilite a autenticação 802.1X (requer controle de acesso baseado em MAC) na GigabitEthernet 1/0/1 e especifique a VLAN 2 como a VLAN Auth-Fail.

    [Device] interface gigabitethernet 1/0/1
                     [Device–GigabitEthernet1/0/1] dot1x port-method macbased
                     [Device–GigabitEthernet1/0/1] dot1x
                     [Device–GigabitEthernet1/0/1] dot1x auth-fail vlan 2
                     [Device–GigabitEthernet1/0/1] quit
    • Configurar a autenticação MAC:

    # Habilite a autenticação MAC globalmente.

    [Device] mac-authentication

    # Habilite a autenticação MAC na GigabitEthernet 1/0/1 e especifique a VLAN 2 como a VLAN de convidado.

    [Device] interface gigabitethernet 1/0/1
                     [Device–GigabitEthernet1/0/1] mac-authentication
                     [Device–GigabitEthernet1/0/1] mac-authentication guest-vlan 2
                     [Device–GigabitEthernet1/0/1] quit
    • Configurar um esquema RADIUS:

    # Crie um esquema RADIUS chamado rs1.

    [Device] radius scheme rs1

    # Especifique os servidores e chaves de autenticação e contabilidade primários.

    [Device-radius-rs1] primary authentication 1.1.1.2
                     [Device-radius-rs1] primary accounting 1.1.1.2
                     [Device-radius-rs1] key authentication simple radius
                     [Device-radius-rs1] key accounting simple radius

    # Especifique os nomes de usuário enviados ao servidor RADIUS para que não contenham nomes de domínio.

    [Device-radius-rs1] user-name-format without-domain
                     [Device-radius-rs1] quit
    • Configurar um domínio ISP:

    # Criar um domínio ISP chamado triplo.

    [Device] domain triple

    # Configure o domínio para usar o esquema RADIUS rs1 para autenticação, autorização e contabilidade de usuários de acesso à LAN.

    [Device-isp-triple] authentication lan-access radius-scheme rs1
                     [Device-isp-triple] authorization lan-access radius-scheme rs1
                     [Device-isp-triple] accounting lan-access radius-scheme rs1
                     [Device-isp-triple] quit

    # Configure o domínio triplo como o domínio padrão. Se um nome de usuário inserido por um usuário não incluir um nome de domínio ISP, serão usados os métodos AAA do domínio padrão.

    [Device] domain default enable triple

    Verificação da configuração

    • Verifique se o usuário da Web pode ser aprovado na autenticação da Web.

    # No terminal do usuário da Web, use um navegador da Web para acessar uma rede externa e, em seguida, digite o nome de usuário e a senha corretos na página de autenticação http://4.4.4.4/portal/logon.html. (Detalhes não mostrados.)

    # Use o comando display web-auth user para exibir informações sobre os usuários on-line.

    [Device] display web-auth user
                     Total online web-auth users: 1
                     User Name: userpt
                     MAC address: 6805-ca17-4a0b
                     Access interface: GigabitEthernet1/0/1
                     Initial VLAN: 8
                     Authorization VLAN: 3
                     Authorization ACL ID: N/A
                     Authorization user profile: N/A
    • Verifique se a impressora pode passar pela autenticação MAC.

    # Conecte a impressora à rede. (Detalhes não mostrados.)

    # Exibir informações sobre usuários de autenticação MAC on-line.

    [Device] display mac-authentication connection
                     Total connections: 1
                     Slot ID: 1
                     User MAC address: f07d-6870-725f
                     Access interface: GigabitEthernet1/0/1
                     Username: f07d6870725f
                     User access state: Successful
                     Authentication domain: triple
                     Initial VLAN: 8
                     Authorization untagged VLAN: 3
                     Authorization tagged VLAN: N/A
                     Authorization VSI: N/A
                     Authorization ACL ID: N/A
                     Authorization user profile: N/A
                     Authorization CAR: N/A
                     Authorization URL: N/A
                     Termination action: Default
                     Session timeout period: N/A
                     Online from: 2015/01/04 18:01:43
                     Online duration: 0h 0m 2s
    • Verifique se o usuário 802.1X pode passar pela autenticação 802.1X.

    # No cliente 802.1X, inicie a autenticação 802.1X e digite o nome de usuário e a senha corretos. (Os detalhes não são mostrados.)

    # Exibir informações sobre usuários 802.1X on-line.

    [Device] display dot1x connection
                     Total connections: 1
                     Slot ID: 1
                     User MAC address: 7446-a091-84fe
                     Access interface: GigabitEthernet1/0/1
                     Username: userdot
                     User access state: Successful
                     Authentication domain: triple
                     IPv4 address: 3.3.3.3
                     Authentication method: CHAP
                     Initial VLAN: 8
                     Authorization untagged VLAN: 3
                     Authorization tagged VLAN list: N/A
                     Authorization VSI: N/A
                     Authorization ACL ID: N/A
                     Authorization user profile: N/A
                     Authorization CAR: N/A
                     Authorization URL: N/A
                     Termination action: Default
                     Session timeout period: N/A
                     Online from: 2015/01/04 18:13:01
                     Online duration: 0h 0m 14s
    • Verifique se os usuários que passaram na autenticação receberam VLANs de autorização. # Exibir entradas de MAC-VLAN de usuários on-line.
    [Device] display mac-vlan all
                     The following MAC VLAN addresses exist:
                     S:Static D:Dynamic
                     MAC ADDR       MASK          VLAN ID   PRIO STATE
                     --------------------------------------------------------
                     6805-ca17-4a0b ffff-ffff-ffff  3        0   D
                     f07d-6870-725f ffff-ffff-ffff  3        0   D
                     7446-a091-84fe ffff-ffff-ffff  3        0   D
                     Total MAC VLAN address count:3
    • Verifique se foram atribuídos endereços IP aos usuários on-line.
    [Device] display dhcp server ip-in-use
                     IP address  Client-identifier/     Lease expiration     Type
                           Hardware address
                     3.3.3.111   01f0-7d68-7072-5f      Jan 4 18:14:17 2015  Auto:(C)
                     3.3.3.2     0168-05ca-174a-0b      Jan 4 18:15:01 2015  Auto:(C)
                     3.3.3.3     0174-46a0-9184-fe      Jan 4 18:15:03 2015  Auto:(C)
    • Quando um terminal falha na autenticação, ele é adicionado à VLAN 2. Você pode usar os comandos de exibição anteriores para exibir a entrada MAC-VLAN e o endereço IP do terminal. (Detalhes não mostrados).

    Configuração da segurança da porta

    Sobre a segurança das portas

    A segurança da porta combina e estende a autenticação 802.1X e MAC para fornecer controle de acesso à rede baseado em MAC . O recurso se aplica a portas que usam métodos de autenticação diferentes para os usuários.

    Principais funções

    A segurança da porta oferece as seguintes funções:

    • Evita o acesso não autorizado a uma rede verificando o endereço MAC de origem do tráfego de entrada.
    • Impede o acesso a dispositivos ou hosts não autorizados, verificando o endereço MAC de destino do tráfego de saída.
    • Controla o aprendizado e a autenticação de endereços MAC em uma porta para garantir que a porta aprenda apenas endereços MAC confiáveis de origem.

    Recursos de segurança da porta

    NTK

    O recurso need to know (NTK) impede a interceptação de tráfego verificando o endereço MAC de destino nos quadros de saída. O recurso garante que os quadros sejam enviados somente para os seguintes hosts:

    • Hosts que foram aprovados na autenticação.
    • Hosts cujos endereços MAC foram aprendidos ou configurados no dispositivo de acesso.

    Proteção contra intrusões

    O recurso de proteção contra intrusão verifica se há quadros ilegais no endereço MAC de origem nos quadros de entrada e executa uma ação predefinida em cada quadro ilegal detectado. A ação pode ser desativar a porta temporariamente, desativar a porta permanentemente ou bloquear os quadros do endereço MAC ilegal por 3 minutos (não configurável pelo usuário).

    Um quadro é ilegal se o endereço MAC de origem não puder ser aprendido em um modo de segurança de porta ou se for de um cliente que falhou na autenticação 802.1X ou MAC.

    Modos de segurança da porta

    A segurança da porta é compatível com as seguintes categorias de modos de segurança:

    • Controle de aprendizagem de MAC - Inclui dois modos: autoLearn e seguro. O aprendizado de endereço MAC é permitido em uma porta no modo autoLearn e desativado no modo seguro.
    • Autenticação - Os modos de segurança dessa categoria implementam a autenticação MAC, a autenticação 802.1X ou uma combinação desses dois métodos de autenticação.

    Ao receber um quadro, a porta em um modo de segurança procura o endereço MAC de origem na tabela de endereços MAC. Se for encontrada uma correspondência, a porta encaminha o quadro. Se não houver correspondência, a porta aprende o endereço MAC ou executa a autenticação, dependendo do modo de segurança. Se o quadro for ilegal, a porta tomará a ação predefinida de NTK ou de proteção contra intrusão ou enviará notificações de SNMP. Os quadros de saída não são restringidos pela ação NTK da segurança da porta, a menos que acionem o recurso NTK.

    A Tabela 1 descreve os modos de segurança da porta e os recursos de segurança.

    Tabela 1 Modos de segurança da porta

    Finalidade Modo de segurança Recursos que podem ser acionados
    Desativação do recurso de segurança da porta noRestrictions (o modo padrão) Nesse modo, a segurança da porta é desativada na porta e o acesso a ela não é restrito. N/A
    Controle do aprendizado de endereço MAC autoLearn NTK/proteção contra intrusão
    seguro
    Execução da autenticação 802.1X userLogin N/A
    userLoginSecure NTK/proteção contra intrusão
    userLoginSecureExt
    userLoginWithOUI
    Realização de autenticação MAC macAddressWithRadius NTK/proteção contra intrusão
    Realização de uma combinação de autenticação MAC e autenticação 802.1X Ou macAddressOrUserLoginSecure NTK/proteção contra intrusão
    macAddressOrUserLoginSecureExt
    Além disso macAddressElseUserLoginSecure
    macAddressElseUserLoginSecureE xt

    Os nomes dos modos são ilustrados a seguir:

    • userLogin especifica a autenticação 802.1X e o controle de acesso baseado em porta. userLogin with Secure especifica a autenticação 802.1X e o controle de acesso baseado em MAC. Ext indica que permite que vários usuários 802.1X sejam autenticados e atendidos ao mesmo tempo. Um modo de segurança sem Ext permite que apenas um usuário passe pela autenticação 802.1X.
    • macAddress especifica a autenticação MAC.
    • Else especifica que o método de autenticação anterior a Else é aplicado primeiro. Se a autenticação falhar, o fato de passar ou não para o método de autenticação após Else depende do tipo de protocolo da solicitação de autenticação.
    • Or especifica que o método de autenticação que segue Or é aplicado primeiro. Se a autenticação falhar, o método de autenticação anterior a Or será aplicado.

    Controle do aprendizado de endereço MAC

    • autoLearn.

    Uma porta nesse modo pode aprender endereços MAC. Os endereços MAC aprendidos automaticamente não são adicionados à tabela de endereços MAC como endereço MAC dinâmico. Em vez disso, esses endereços MAC são adicionados à tabela de endereços MAC seguros como endereços MAC seguros. Você também pode configurar endereços MAC seguros usando o comando port-security mac-address security.

    Uma porta no modo autoLearn permite a passagem de quadros originados dos seguintes endereços MAC:

    • Endereços MAC seguros.
    • Endereços MAC configurados usando os comandos mac-address dynamic e mac-address static.

    Quando o número de endereços MAC seguros atinge o limite superior, a porta passa para o modo seguro.

    • seguro.

    O aprendizado de endereço MAC é desativado em uma porta no modo seguro. Você configura os endereços MAC usando os comandos mac-address static e mac-address dynamic. Para obter mais informações sobre a configuração das entradas da tabela de endereços MAC, consulte o Guia de configuração de switching de camada 2-LAN.

    Uma porta em modo seguro permite a passagem apenas de quadros originados dos seguintes endereços MAC:

    • Endereços MAC seguros.
    • Endereços MAC configurados usando os comandos mac-address dynamic e mac-address static.

    Execução da autenticação 802.1X

    • userLogin.

    Uma porta nesse modo executa a autenticação 802.1X e implementa o controle de acesso baseado em porta. A porta pode atender a vários usuários 802.1X. Quando um usuário 802.1X passa pela autenticação na porta, qualquer usuário 802.1X subsequente pode acessar a rede pela porta sem autenticação.

    • userLoginSecure.

    Uma porta nesse modo executa a autenticação 802.1X e implementa o controle de acesso baseado em MAC. A porta atende a apenas um usuário que passa pela autenticação 802.1X.

    • userLoginSecureExt.

    Esse modo é semelhante ao modo userLoginSecure, exceto pelo fato de que esse modo é compatível com vários usuários 802.1X on-line.

    • userLoginWithOUI.

    Esse modo é semelhante ao modo userLoginSecure. A diferença é que uma porta nesse modo também permite quadros de um usuário cujo endereço MAC contém uma OUI específica.

    Nesse modo, a porta executa primeiro a verificação da OUI. Se a verificação da OUI falhar, a porta executará a autenticação 802.1X. A porta permite quadros que passam pela verificação OUI ou pela autenticação 802.1X.

    OBSERVAÇÃO:

    Um OUI é um número de 24 bits que identifica de forma exclusiva um fornecedor, fabricante ou organização. Nos endereços MAC, os três primeiros octetos são o OUI.

    Realização de autenticação MAC

    macAddressWithRadius: Uma porta nesse modo executa a autenticação MAC e atende a vários usuários.

    Realização de uma combinação de autenticação MAC e autenticação 802.1X

    • macAddressOrUserLoginSecure.

    Esse modo é a combinação dos modos macAddressWithRadius e userLoginSecure. O modo permite que um usuário de autenticação 802.1X e vários usuários de autenticação MAC façam login.

    Nesse modo, a porta executa primeiro a autenticação 802.1X. Por padrão, se a autenticação 802.1X falhar, a autenticação MAC será executada.

    No entanto, a porta nesse modo processa a autenticação de forma diferente quando existem as seguintes condições:

    • A porta está habilitada com processamento paralelo de autenticação MAC e autenticação 802.1X.
    • A porta está ativada com o acionador unicast 802.1X.
    • A porta recebe um pacote de um endereço MAC desconhecido.

    Nessas condições, a porta envia um pacote unicast EAP-Request/Identity para o endereço MAC para iniciar a autenticação 802.1X. Depois disso, a porta processa imediatamente a autenticação MAC sem aguardar o resultado da autenticação 802.1X.

    • macAddressOrUserLoginSecureExt.

    Esse modo é semelhante ao modo macAddressOrUserLoginSecure, exceto pelo fato de que esse modo é compatível com vários usuários de autenticação 802.1X e MAC.

    • macAddressElseUserLoginSecure.

    Esse modo é a combinação dos modos macAddressWithRadius e userLoginSecure, sendo que a autenticação MAC tem uma prioridade mais alta, como indica a palavra-chave Else. O modo permite que um usuário de autenticação 802.1X e vários usuários de autenticação MAC façam login.

    Nesse modo, a porta executa a autenticação MAC ao receber quadros não 802.1X. Ao receber quadros 802.1X, a porta executa a autenticação MAC e, em seguida, se a autenticação falhar, a autenticação 802.1X.

    • macAddressElseUserLoginSecureExt.

    Esse modo é semelhante ao modo macAddressElseUserLoginSecure, exceto pelo fato de que esse modo é compatível com vários usuários de autenticação 802.1X e MAC, como a palavra-chave Ext indica.

    Restrições e diretrizes: Configuração da segurança da porta

    Esse recurso se aplica a redes, como uma WLAN, que exigem diferentes métodos de autenticação para diferentes usuários em uma porta.

    Como prática recomendada, use o recurso de autenticação 802.1X ou autenticação MAC em vez de segurança de porta para cenários que exigem apenas autenticação 802.1X ou autenticação MAC. Para obter mais informações sobre a autenticação 802.1X e MAC, consulte "Configuração do 802.1X" e "Configuração da autenticação MAC".

    As configurações de segurança da porta são compatíveis apenas com as interfaces Ethernet de camada 2 que não pertencem a um grupo de agregação de camada 2.

    Para garantir um redirecionamento de HTTPS bem-sucedido para os usuários aos quais foi atribuído um URL de redirecionamento, certifique-se de que existam interfaces de VLAN para as VLANs que transportam seus pacotes.

    Visão geral das tarefas de segurança da porta

    Para configurar a segurança da porta, execute as seguintes tarefas:

    • Configuração de recursos básicos de segurança de porta
      • Ativação da segurança da porta
      • Configuração do modo de segurança da porta
      • Definição do limite de segurança da porta para o número de endereços MAC seguros em uma porta
      • Configuração de endereços MAC seguros
      • (Opcional.) Configuração do NTK
      • (Opcional.) Configuração da proteção contra intrusão
      • (Opcional.) Configuração de recursos estendidos de segurança de porta
      • Ignorar informações de autorização do servidor
      • Configuração da movimentação de MAC
      • Ativação do recurso authorization-fail-offline
      • Definição do limite de segurança da porta quanto ao número de endereços MAC para VLANs específicas em uma porta
      • Ativação do modo de autenticação aberta
      • Configuração de VLANs livres para segurança da porta
      • Aplicação de um perfil NAS-ID à segurança da porta
    • Ativação de estatísticas de tráfego para autenticação MAC e usuários 802.1X
    • Especificar um endereço IP e uma máscara para calcular o IP de origem dos pacotes de detecção de ARP Os recursos de segurança estendida da porta também podem entrar em vigor quando a segurança da porta está desativada, mas a autenticação 802.1X ou MAC está ativada.
    • (Opcional.) Ativação de notificações SNMP para segurança de porta
  • (Opcional.) Ativação do registro de usuário de segurança da porta

    • Ativação da segurança da porta

    Restrições e diretrizes

    Quando você configurar a segurança da porta, siga estas restrições e diretrizes:

    • Quando a segurança da porta está ativada, não é possível ativar a autenticação 802.1X ou MAC, nem alterar o modo de controle de acesso ou o estado de autorização da porta. A segurança da porta modifica automaticamente essas configurações em diferentes modos de segurança.
    • Você pode usar o comando undo port-security enable para desativar a segurança da porta. Como o comando faz logoff de usuários on-line, certifique-se de que nenhum usuário on-line esteja presente.
    • A ativação ou desativação da segurança da porta redefine as seguintes configurações de segurança para o padrão:
      • Modo de controle de acesso 802.1X, que é baseado em MAC.
      • Estado de autorização da porta, que é automático.

    Para obter mais informações sobre a autenticação 802.1X e a configuração da autenticação MAC, consulte "Configuração do 802.1X" e "Configuração da autenticação MAC".

    Pré-requisitos

    Antes de ativar a segurança da porta, desative a autenticação 802.1X e MAC globalmente.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Ativar a segurança da porta.
    port-security enable

    Por padrão, a segurança da porta está desativada.

    Configuração do modo de segurança da porta

    Restrições e diretrizes

    Você pode especificar um modo de segurança de porta quando a segurança de porta estiver desativada, mas sua configuração não poderá ter efeito.

    A alteração do modo de segurança de uma porta faz o logoff dos usuários on-line da porta.

    Não habilite a autenticação 802.1X ou a autenticação MAC em uma porta em que a segurança da porta esteja habilitada.

    Depois de ativar a segurança da porta, você pode alterar o modo de segurança de uma porta somente quando ela estiver operando no modo noRestrictions (padrão). Para alterar o modo de segurança da porta de uma porta em qualquer outro modo, primeiro use o comando undo port-security port-mode para restaurar o modo de segurança da porta padrão.

    O dispositivo suporta o atributo de URL atribuído por um servidor RADIUS nos seguintes modos de segurança de porta:

    • mac-authentication.
    • mac-else-userlogin-secure.
    • mac-else-userlogin-secure-ext.
    • login de usuário seguro.
    • userlogin-secure-ext.
    • userlogin-secure-or-mac.
    • userlogin-secure-or-mac-ext.
    • login de usuário sem.

    Durante a autenticação, as solicitações HTTP ou HTTPS de um usuário são redirecionadas para a interface da Web especificada pelo atributo URL atribuído pelo servidor. Depois que o usuário passa pela autenticação na Web, o servidor RADIUS registra o endereço MAC do usuário e usa uma DM (Disconnect Message) para fazer logoff do usuário. Quando o usuário iniciar novamente a autenticação 802.1X ou MAC, ele será aprovado na autenticação e ficará on-line com êxito.

    Para redirecionar as solicitações de HTTPS dos usuários de segurança de porta, especifique a porta de escuta de redirecionamento de HTTPS em o dispositivo. Para obter mais informações, consulte Redirecionamento de HTTP no Guia de Configuração de Serviços de Camada 3 IP.

    Pré-requisitos

    Antes de definir um modo de segurança de porta para uma porta, conclua as seguintes tarefas:

    • Desativar a autenticação 802.1X e MAC.
    • Se você estiver configurando o modo autoLearn, defina o limite da segurança da porta para o número de endereços MAC seguros. Não é possível alterar a configuração quando a porta estiver operando no modo autoLearn.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Defina um valor OUI para autenticação de usuário.

    port-security oui index index-value mac-address oui-value

    Por padrão, nenhum valor OUI é configurado para autenticação de usuário. Esse comando é necessário apenas para o modo userlogin-withoui.

    É possível definir várias OUIs, mas quando o modo de segurança da porta é userlogin-withoui, a porta permite um usuário 802.1X e somente um usuário que corresponda a uma das OUIs especificadas.

    • Entre na visualização da interface.
    interface interface-type interface-number
    • Definir o modo de segurança da porta.
    port-security port-mode { autolearn | mac-authentication |
                  mac-else-userlogin-secure | mac-else-userlogin-secure-ext | secure
                  | userlogin | userlogin-secure | userlogin-secure-ext |
                  userlogin-secure-or-mac | userlogin-secure-or-mac-ext |
                  userlogin-withoui }

    Por padrão, uma porta opera no modo noRestrictions.

    Definição do limite de segurança da porta para o número de endereços MAC seguros em uma porta

    Sobre o limite da segurança da porta quanto ao número de endereços MAC seguros em uma porta

    Você pode definir o número máximo de endereços MAC seguros que a segurança de porta permite em uma porta para as seguintes finalidades:

    • Controle do número de usuários simultâneos na porta.

    Para uma porta operando em um modo de segurança (exceto para autoLearn e secure), o limite superior é igual ao menor dos seguintes valores:

    • O limite de endereços MAC seguros que a segurança da porta permite.
    • O limite de usuários simultâneos permitido pelo modo de autenticação em uso.
    • Controle do número de endereços MAC seguros na porta no modo autoLearn.

    Você também pode definir o número máximo de endereços MAC seguros que a segurança da porta permite para VLANs específicas ou para cada VLAN em uma porta.

    O limite do Port Security para o número de endereços MAC seguros em uma porta é independente do limite de aprendizagem de MAC descrito na configuração da tabela de endereços MAC. Para obter mais informações sobre a configuração da tabela de endereços MAC, consulte o Layer 2-LAN Switching Configuration Guide.

    Procedimento

  • Entre na visualização do sistema.
    • system view
    • Entre na visualização da interface.
    interface interface-type interface-number
    • Defina o número máximo de endereços MAC seguros permitidos em uma porta.

    port-security max-mac-count max-count[ vlan [ vlan-id-list ] ]

    Por padrão, a segurança da porta não limita o número de endereços MAC seguros em uma porta.

    Configuração de endereços MAC seguros

    Sobre endereços MAC seguros

    Os endereços MAC seguros são configurados ou aprendidos no modo autoLearn. Se os endereços MAC seguros forem salvos, eles podem sobreviver a uma reinicialização do dispositivo. É possível associar um endereço MAC seguro somente a uma porta em uma VLAN.

    Os endereços MAC seguros incluem endereços MAC seguros estáticos, fixos e dinâmicos.

    Tabela 2 Comparação de endereços MAC seguros estáticos, fixos e dinâmicos

    Tipo Fontes de endereço Mecanismo de envelhecimento Pode ser salvo e sobreviver a uma reinicialização do dispositivo?
    Estático Adicionado manualmente (usando o comando port-security mac-address security sem a palavra-chave sticky). Não disponível. Os endereços MAC estáticos seguros nunca envelhecem, a menos que você execute uma das seguintes tarefas: Remova manualmente esses endereços MAC. Alterar o modo de segurança da porta. Desative o recurso de segurança da porta. Sim.
    Adesivo Adicionado manualmente (usando o comando de segurança port-security mac-address com a palavra-chave sticky). Convertido de MAC seguro dinâmico Por padrão, os endereços MAC fixos não envelhecem. No entanto, você pode configurar um timer de envelhecimento ou usar o timer de envelhecimento junto com o recurso de envelhecimento por inatividade para remover endereços MAC fixos antigos. Se apenas o temporizador de envelhecimento estiver configurado, o temporizador de envelhecimento contará independentemente do fato de os dados de tráfego terem sido enviados do sticky Sim. O temporizador de envelhecimento seguro do MAC é reiniciado em uma reinicialização.
    Tipo Fontes de endereço Mecanismo de envelhecimento Pode ser salvo e sobreviver a uma reinicialização do dispositivo?
    endereços. Endereços MAC.
    Aprendido automaticamente quando o recurso de MAC seguro dinâmico está desativado. Se o timer de envelhecimento e o recurso de envelhecimento por inatividade estiverem configurados, o timer de envelhecimento será reiniciado assim que os dados de tráfego forem detectados nos endereços MAC fixos.
    Convertido de endereços MAC fixos. Não.
    Dinâmico Aprendido automaticamente depois que o recurso de MAC seguro dinâmico é ativado. Igual aos endereços MAC fixos. Todos os endereços MAC dinâmicos seguros são perdidos na reinicialização.

    Quando o número máximo de entradas de endereço MAC seguro é atingido, a porta muda para o modo seguro. No modo seguro, a porta não pode adicionar ou aprender mais endereços MAC seguros. A porta permite apenas a passagem de quadros originados de endereços MAC seguros ou de endereços MAC configurados com o uso do comando mac-address dynamic ou mac-address static.

    Pré-requisitos

    Antes de configurar endereços MAC seguros, conclua as seguintes tarefas:

    • Definir o limite da segurança da porta para o número de endereços MAC na porta. Execute essa tarefa antes de ativar o modo autoLearn.
    • Defina o modo de segurança da porta como autoLearn.
    • Configure a porta para permitir a passagem de pacotes da VLAN especificada ou adicione a porta à VLAN. Certifique-se de que a VLAN já exista.

    Adição de endereços MAC seguros

    • Entre na visualização do sistema.
    system view
    • Defina o cronômetro de envelhecimento do MAC seguro.
    port-security timer autolearn aging [ second ] time-value

    Por padrão, os endereços MAC seguros não envelhecem.

    • Configure um endereço MAC seguro.
      • Configure um endereço MAC seguro na visualização do sistema.
    port-security mac-address security [ sticky ] mac-address interface
                     interface-type interface-number vlan vlan-id
    • Execute os seguintes comandos em sequência para configurar um endereço MAC seguro na visualização da interface:
    interface interface-type interface-number
    interface interface-type interface-number
                     port-security mac-address security [ sticky ] mac-address vlan
                     vlan-id

    Por padrão, não existem endereços MAC seguros configurados manualmente.

    Em uma VLAN, um endereço MAC não pode ser especificado como um endereço MAC estático seguro e como um endereço MAC fixo.

    Ativação do envelhecimento por inatividade para endereços MAC seguros

    • Entre na visualização do sistema.
    system view
    • Entre na visualização da interface.
    interface interface-type interface-number
    • Habilite o envelhecimento por inatividade para endereços MAC seguros.
    port-security mac-address aging-type inactivity

    Por padrão, o recurso de envelhecimento por inatividade é desativado para endereços MAC seguros.

    Ativação do recurso MAC seguro dinâmico

    • Entre na visualização do sistema.
    system view
    • Entre na visualização da interface.
    interface interface-type interface-number
    • Habilite o recurso de MAC seguro dinâmico.
    port-security mac-address dynamic

    Por padrão, o recurso de MAC seguro dinâmico está desativado. Os endereços MAC fixos podem ser salvos no arquivo de configuração. Uma vez salvos, eles podem sobreviver a uma reinicialização do dispositivo.

    Configuração do NTK

    Sobre o recurso NTK

    O recurso NTK verifica o endereço MAC de destino nos quadros de saída para garantir que os quadros sejam encaminhados somente para dispositivos confiáveis.

    O recurso NTK é compatível com os seguintes modos:

    • ntkonly - encaminha somente quadros unicast com um endereço MAC de destino autenticado.
    • ntk-withbroadcasts - Encaminha somente quadros de broadcast e unicast com um endereço MAC de destino autenticado.
    • ntk-withmulticasts - Encaminha somente quadros de broadcast, multicast e unicast com um endereço MAC de destino autenticado.
    • ntkauto - Encaminha somente quadros de broadcast, multicast e unicast com um endereço MAC de destino autenticado e somente quando a porta tem usuários on-line.

    Restrições e diretrizes

    O recurso NTK descarta qualquer quadro unicast com um endereço MAC de destino desconhecido.

    Nem todos os modos de segurança de porta suportam o acionamento do recurso NTK. Para obter mais informações, consulte a Tabela 1.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Entre na visualização da interface.
    interface interface-type interface-number
    • Configurar o recurso NTK.
    port-security ntk-mode { ntk-withbroadcasts | ntk-withmulticasts |
                  ntkauto | ntkonly }

    Por padrão, o NTK está desativado em uma porta e todos os quadros podem ser enviados.

    Configuração da proteção contra intrusão

    Sobre a proteção contra intrusão

    A proteção contra intrusões executa uma das seguintes ações em uma porta em resposta a quadros ilegais:

    • blockmac - Adiciona os endereços MAC de origem de quadros ilegais à lista de endereços MAC bloqueados e descarta os quadros. Um endereço MAC bloqueado será desbloqueado em 3 minutos. Esse intervalo não pode ser configurado pelo usuário.
    • disableport - desativa a porta até que você a abra manualmente.
    • disableport-temporarily-Desabilita a porta por um período de tempo. O período pode ser configurado com o comando port-security timer disableport.

    Restrições e diretrizes

    Em uma porta operando no modo macAddressElseUserLoginSecure ou no modo macAddressElseUserLoginSecureExt, a proteção contra intrusão é acionada somente depois que a autenticação MAC e a autenticação 802.1X falharem no mesmo quadro.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Entre na visualização da interface.
    interface interface-type interface-number
    • Configure o recurso de proteção contra intrusão.
    port-security intrusion-mode { blockmac | disableport |
                  disableport-temporarily }

    Por padrão, a proteção contra intrusão está desativada.

    • (Opcional.) Defina o período de tempo limite de silêncio durante o qual uma porta permanece desativada.
      • quit
      • port-security timer disableport time-value

    Por padrão, o período de tempo limite de silêncio da porta é de 20 segundos.

    Ignorar informações de autorização do servidor

    Sobre ignorar informações de autorização do servidor

    É possível configurar uma porta para ignorar as informações de autorização recebidas do servidor (local ou remoto) depois que um usuário de autenticação 802.1X ou MAC for aprovado na autenticação.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Entre na visualização da interface.
    interface interface-type interface-number
    • Ignorar as informações de autorização recebidas do servidor de autenticação.
    port-security authorization ignore

    Por padrão, uma porta usa as informações de autorização recebidas do servidor de autenticação.

    Configuração da movimentação de MAC

    Sobre a mudança da MAC

    O movimento MAC de segurança de porta entra em vigor nos seguintes cenários:

    • Movimentação entre portas em um dispositivo - Um usuário on-line autenticado por meio da autenticação 802.1X ou MAC se movimenta entre as portas do dispositivo. A VLAN do usuário ou o método de autenticação pode mudar ou permanecer inalterado após a mudança.
    • Movimentação inter-VLAN em uma porta - Um usuário on-line autenticado por meio da autenticação 802.1X ou MAC se movimenta entre VLANs em uma porta híbrida ou tronco. Além disso, os pacotes que acionam a autenticação têm tags de VLAN.

    O Port Security MAC move permite que um usuário on-line autenticado por meio da autenticação 802.1X ou MAC em uma porta ou VLAN seja reautenticado e fique on-line em outra porta ou VLAN sem ficar off-line primeiro. Depois que o usuário passa pela autenticação na nova porta ou VLAN, o sistema remove a sessão de autenticação do usuário na porta ou VLAN original.

    OBSERVAÇÃO:

    Para a autenticação MAC, o recurso de movimentação de MAC aplica-se somente quando o modo de autenticação MAC de VLAN única é usado. O recurso de movimentação de MAC não se aplica a usuários de autenticação de MAC que se movimentam entre VLANs em uma porta com o modo multi-VLAN de autenticação de MAC ativado.

    Se esse recurso estiver desativado, os usuários autenticados por 802.1X ou MAC deverão ficar off-line antes de poderem ser reautenticados com êxito em uma nova porta ou VLAN para ficar on-line.

    Para um usuário que se desloca entre portas, a porta da qual o usuário se desloca é chamada de porta de origem e a porta para a qual o usuário se desloca é chamada de porta de destino.

    Na porta de destino, um usuário de autenticação 802.1X ou MAC será reautenticado na VLAN autorizada na porta de origem se a porta de origem estiver habilitada com VLAN baseada em MAC. Se essa VLAN não tiver permissão para passar pela porta de destino, a reautenticação falhará. Para evitar essa situação, ative o desvio de verificação de VLAN na porta de destino. Esse recurso ignora a verificação das informações de VLAN em os pacotes que acionam a autenticação 802.1X ou a autenticação MAC para os usuários que se deslocam para a porta.

    Restrições e diretrizes

    Como prática recomendada para minimizar os riscos de segurança, ative o MAC move somente se for necessário o roaming do usuário entre as portas.

    • Os usuários autenticados por X ou MAC não podem se mover entre portas em um dispositivo ou entre VLANs em uma porta se o número máximo de usuários on-line no servidor de autenticação tiver sido atingido.

    O modo multi-VLAN de autenticação MAC tem prioridade mais alta do que o MAC move para usuários que se deslocam entre VLANs em uma porta. Se o modo multi-VLAN de autenticação MAC estiver ativado, esses usuários poderão ficar on-line na nova VLAN sem serem reautenticados. Para ativar o modo multi-VLAN de autenticação MAC, use o comando mac-authentication host-mode multi-vlan. Para obter mais informações sobre o modo multi-VLAN de autenticação MAC, consulte "Configuração da autenticação MAC".

    Ao configurar o desvio de verificação de VLAN para usuários que se deslocam entre portas, siga estas diretrizes:

    • Para garantir uma reautenticação bem-sucedida, ative o desvio de verificação de VLAN em uma porta de destino se a porta de origem estiver ativada com VLAN baseada em MAC.
    • Se a porta de destino for uma porta tronco habilitada para 802.1X, você deverá configurá-la para enviar pacotes do protocolo 802.1X sem tags de VLAN. Para obter mais informações, consulte "Configuração do 802.1X".

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Habilitar a movimentação de MAC.
    port-security mac-move permit

    Por padrão, a movimentação de MAC está desativada.

    • (Opcional.) Ative o bypass de verificação de VLAN na porta para os usuários que se deslocam para ela.
      • Entre na visualização da interface.
    interface interface-type interface-number
    • Ativar o desvio de verificação de VLAN.
    port-security mac-move bypass-vlan-check

    Por padrão, o recurso de desvio de verificação de VLAN está desativado.

    Esse comando é compatível apenas com a versão 6318P01 e posteriores.

    Ativação do recurso authorization-fail-offline

    Sobre o recurso authorization-fail-offline

    IMPORTANTE:

    O recurso authorization-fail-offline entra em vigor somente nos usuários de segurança de porta que falharam na autorização de ACL ou de perfil de usuário.

    O recurso authorization-fail-offline faz o logoff dos usuários do port security que não obtiveram autorização. Um usuário falha na autorização nas seguintes situações:

    • O dispositivo ou servidor não consegue atribuir o atributo de autorização especificado ao usuário.
    • O dispositivo ou servidor atribui ao usuário informações de autorização que não existem no dispositivo.

    Esse recurso não se aplica a usuários que não obtiveram autorização de VLAN. O dispositivo faz o logoff desses usuários diretamente.

    Você também pode ativar o recurso de quiet timer para usuários de autenticação 802.1X ou MAC que foram desconectados pelo recurso authorization-fail-offline. O dispositivo adiciona esses usuários à fila de silêncio da autenticação 802.1X ou MAC. Dentro do quiet timer, o dispositivo não processa os pacotes desses usuários nem os autentica. Se você não ativar o recurso quiet timer, o dispositivo imediatamente autenticará esses usuários ao receber pacotes deles.

    Pré-requisitos

    Para que o recurso do timer de silêncio entre em vigor, conclua as seguintes tarefas:

    • Para usuários 802.1X, use o comando dot1x quiet-period para ativar o timer de silêncio e use o comando dot1x timer quiet-period para definir o timer.
    • Para usuários de autenticação MAC, use o comando mac-authentication timer quiet para definir o timer de silêncio para a autenticação MAC.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Habilite o recurso authorization-fail-offline.
    port-security authorization-fail offline [ quiet-period ]

    Por padrão, esse recurso está desativado e o dispositivo não faz logoff dos usuários que não obtiveram autorização.

    Definição do limite de segurança da porta quanto ao número de endereços MAC para VLANs específicas em uma porta

    Sobre o limite do port security no número de endereços MAC para VLANs específicas em uma porta

    Normalmente, a segurança da porta permite o acesso dos seguintes tipos de endereços MAC em uma porta:

    • Endereços MAC que passam pela autenticação 802.1X ou MAC.
    • Endereços MAC na VLAN de convidado de autenticação MAC ou na VLAN crítica de autenticação MAC.
    • Endereços MAC na VLAN de convidado 802.1X, na VLAN 802.1X Auth-Fail ou na VLAN crítica 802.1X.

    Esse recurso limita o número de endereços MAC que a segurança da porta permite acessar em uma porta por meio de VLANs específicas. Use esse recurso para evitar disputas de recursos entre endereços MAC e garantir um desempenho confiável para cada usuário de acesso na porta. Quando o número de endereços MAC em uma VLAN na porta atinge o limite superior, o dispositivo nega qualquer endereço MAC subsequente em a VLAN na porta.

    Restrições e diretrizes

    Em uma porta, o número máximo de endereços MAC em uma VLAN não pode ser menor do que o número de endereços MAC existentes na VLAN. Se o número máximo especificado for menor, a configuração não terá efeito.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Entre na visualização da interface.
    interface interface-type interface-number
    • Definir o limite de segurança da porta para o número de endereços MAC para VLANs específicas na porta.
    port-security mac-limit max-number per-vlan vlan-id-list

    A configuração padrão é 2147483647.

    Ativação do modo de autenticação aberta

    Sobre o modo de autenticação aberta

    Esse recurso permite que os usuários de acesso (usuários de autenticação 802.1X ou MAC) de uma porta fiquem on-line e acessem a rede, mesmo que usem nomes de usuário inexistentes ou senhas incorretas.

    Os usuários de acesso que ficam on-line no modo de autenticação aberta são chamados de usuários abertos. A autorização e a contabilidade não estão disponíveis para usuários abertos. Para exibir informações sobre usuários abertos, use os seguintes comandos:

    • exibir conexão dot1x aberta.
    • exibir conexão de autenticação mac aberta.

    Esse recurso não afeta o acesso de usuários que usam informações de usuário corretas.

    Restrições e diretrizes

    Quando você configurar o modo de autenticação aberta, siga estas restrições e diretrizes:

    • Se o modo de autenticação aberta global estiver ativado, todas as portas serão ativadas com o modo de autenticação aberta, independentemente da configuração do modo de autenticação aberta específica da porta. Se o modo de autenticação aberta global estiver desativado, o fato de uma porta estar ativada com o modo de autenticação aberta depende da configuração do modo de autenticação aberta específica da porta.
    • A configuração do modo de autenticação aberta tem prioridade mais baixa do que a VLAN 802.1X Auth-Fail e a VLAN de convidado de autenticação MAC. O modo de autenticação aberta não entrará em vigor em uma porta se ela também estiver configurada com a VLAN 802.1X Auth-Fail ou com a VLAN guest de autenticação MAC. Para obter informações sobre a autenticação 802.1X e a autenticação MAC, consulte "Visão geral do 802.1X", "Configuração do 802.1X" e "Configuração da autenticação MAC".

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Ativar o modo de autenticação aberta global.
    display dot1x connection open

    Por padrão, o modo de autenticação aberta global está desativado.

    • Entre na visualização da interface.
    interface interface-type interface-number
    • Ativar o modo de autenticação aberta na porta.
    display mac-authentication connection open

    Por padrão, o modo de autenticação aberta está desativado em uma porta.

    Configuração de VLANs livres para segurança da porta

    Sobre esta tarefa

    Esse recurso permite que os pacotes das VLANs especificadas não acionem a autenticação 802.1X ou MAC em uma porta configurada com qualquer um dos seguintes recursos:

    • Autenticação 802.1X.
    • Autenticação MAC.
    • Um dos seguintes modos de segurança de porta:
      • userLogin.
      • userLoginSecure.
      • userLoginWithOUI.
      • userLoginSecureExt.
      • macAddressWithRadius.
      • macAddressOrUserLoginSecure.
      • macAddressElseUserLoginSecure.
      • macAddressOrUserLoginSecureExt.
      • macAddressElseUserLoginSecureExt.

    Compatibilidade de software e recursos

    Esse recurso é compatível apenas com a versão 6328 e posteriores.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Entre na visualização da interface.
    interface interface-type interface-number
    • Configure VLANs livres para a segurança da porta.
    port-security free-vlan vlan-id-list

    Por padrão, não há VLANs livres para segurança de porta em uma porta.

    Aplicação de um perfil NAS-ID à segurança da porta

    Sobre os perfis NAS-ID

    Por padrão, o dispositivo envia o nome do dispositivo no atributo NAS-Identifier de todas as solicitações RADIUS.

    Um perfil NAS-ID permite que você envie diferentes cadeias de atributos NAS-Identifier em solicitações RADIUS de diferentes VLANs. As cadeias de caracteres podem ser nomes de organizações, nomes de serviços ou qualquer critério de categorização de usuários, dependendo dos requisitos administrativos.

    Por exemplo, mapeie o NAS-ID companyA para todas as VLANs da empresa A. O dispositivo enviará companyA no atributo NAS-Identifier para que o servidor RADIUS identifique as solicitações de qualquer usuário da empresa A.

    Restrições e diretrizes

    Você pode aplicar um perfil NAS-ID à segurança da porta globalmente ou em uma porta. Em uma porta, o dispositivo seleciona um perfil NAS-ID na seguinte ordem:

    • O perfil NAS-ID específico da porta.
    • O perfil NAS-ID aplicado globalmente.

    Se nenhum perfil de NAS-ID for aplicado ou se nenhuma associação correspondente for encontrada no perfil selecionado, o dispositivo usará o nome do dispositivo como NAS-ID.

    Para obter mais informações sobre a configuração do perfil NAS-ID, consulte "Configuração de AAA".

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Aplicar um perfil NAS-ID.
      • Aplique um perfil NAS-ID globalmente.
    port-security nas-id-profile profile-name
    • Execute os seguintes comandos em sequência para aplicar um perfil NAS-ID a uma interface:
    interface interface-type interface-number
    port-security nas-id-profile profile-name

    Por padrão, nenhum perfil NAS-ID é aplicado na visualização do sistema ou na visualização da interface.

    Ativação de estatísticas de tráfego para autenticação MAC e usuários 802.1X

    Sobre esta tarefa

    Por padrão, as estatísticas de usuários de autenticação 802.1X e MAC coletadas e enviadas ao servidor de contabilidade incluem apenas a duração on-line dos usuários. Para coletar e enviar suas estatísticas de tráfego para o servidor de contabilidade, além da duração on-line, execute esta tarefa.

    Esse recurso entra em vigor para os usuários de autenticação 802.1X e MAC quando a segurança da porta está ativada ou quando a autenticação 802.1X e MAC estão ativadas separadamente no dispositivo.

    Se uma porta executar a autenticação MAC ou a autenticação 802.1X no modo de controle de acesso baseado em MAC, esse recurso coletará estatísticas de tráfego de usuários por MAC na porta.

    Se uma porta executar a autenticação 802.1X no modo de controle de acesso baseado em porta, esse recurso coletará estatísticas de tráfego de usuários por porta.

    Com esse recurso ativado, o dispositivo requer mais recursos de ACL para novos usuários de autenticação 802.1X ou MAC. Se o dispositivo ficar sem recursos de ACL, a autenticação falhará para novos usuários de autenticação 802.1X ou MAC.

    Restrições e diretrizes

    Esse recurso está disponível na versão 6312 e posteriores.

    Esse recurso entra em vigor apenas para os usuários que ficam on-line depois que o recurso é ativado.

    Ative esse recurso somente se a contabilização do tráfego for necessária e somente se houver recursos suficientes de ACL. Se a rede tiver um grande número de usuários de autenticação 802.1X e MAC on-line quando esse recurso estiver ativado, os recursos de ACL poderão se tornar insuficientes. Esse problema causa falha na autenticação de novos usuários de autenticação 802.1X e MAC. Para obter mais informações sobre a autenticação 802.1X e MAC, consulte "Configuração do 802.1X" e "Configuração da autenticação MAC".

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Habilite as estatísticas de tráfego para usuários de autenticação 802.1X e MAC.
    port-security traffic-statistics enable

    Por padrão, o dispositivo não coleta estatísticas de tráfego para usuários de autenticação 802.1X e MAC.

    Especificar um endereço IP e uma máscara para calcular o IP de origem dos pacotes de detecção de ARP

    Sobre esta tarefa

    Por padrão, o dispositivo usa 0.0.0.0 como endereço IP de origem dos pacotes de detecção de ARP. A rede pode ter usuários que não conseguem responder aos pacotes de detecção de ARP com o endereço IP de origem 0.0.0.0. Como resultado, o dispositivo determina inadequadamente que esses usuários ficaram off-line. Para resolver o problema, use esse recurso para especificar um endereço IP e uma máscara para calcular o IP de origem dos pacotes de detecção de ARP enviados a um usuário em conjunto com o endereço IP do usuário.

    O dispositivo usa a seguinte fórmula para calcular o endereço IP de origem dos pacotes de detecção de ARP: IP de origem = (IP do usuário e máscara especificada) | (IP especificado e ~máscara especificada). O parâmetro ~máscara representa o inverso de uma máscara. Por exemplo, a máscara inversa de 255.255.255.0 é 0.0.0.255. Se o endereço IP de um usuário for 192.168.8.1/24 e o endereço IP e a máscara especificados pelo uso desse recurso forem 1.1.1.11/255.255.255.0, o endereço IP de origem dos pacotes de detecção de ARP será 192.168.8.11/24.

    Compatibilidade de recursos e versões de software

    Esse recurso é compatível apenas com a versão 6348P01 e posteriores.

    Restrições e diretrizes

    Esse recurso entra em vigor apenas para os usuários que ficam on-line depois que ele é configurado.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Especifique um endereço IP e uma máscara para calcular o IP de origem dos pacotes de detecção de ARP.
    port-security packet-detect arp-source-ip factor ip-address { mask
                  | mask-length }

    Por padrão, nenhum endereço IP ou máscara é especificado para calcular o IP de origem dos pacotes de detecção de ARP. O IP de origem dos pacotes de detecção de ARP é 0.0.0.0.

    Ativação de notificações SNMP para segurança da porta

    Sobre as notificações SNMP para segurança de porta

    Use esse recurso para relatar eventos críticos de segurança de porta a um NMS. Para que as notificações de eventos de segurança de porta sejam enviadas corretamente, você também deve configurar o SNMP no dispositivo. Para obter mais informações sobre a configuração de SNMP, consulte o Guia de configuração de monitoramento e gerenciamento de rede.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Habilite as notificações SNMP para segurança da porta.
    snmp-agent trap enable port-security [ address-learned | dot1x-failure | dot1x-logoff | dot1x-logon | intrusion | mac-auth-failure | mac-auth-logoff | mac-auth-logon ] *

    Por padrão, as notificações de SNMP são desativadas para a segurança da porta.

    Ativação do registro de usuário de segurança de porta

    Sobre o registro de usuários de segurança de porta

    Esse recurso permite que o dispositivo gere logs sobre os usuários de segurança de porta e envie os logs para o centro de informações. Para que os logs sejam gerados corretamente, você também deve configurar o centro de informações no dispositivo. Para obter mais informações sobre a configuração da central de informações, consulte o Guia de configuração de monitoramento e gerenciamento de rede.

    Restrições e diretrizes

    Para evitar entradas excessivas de registro de usuário de segurança de porta, use esse recurso somente se precisar analisar eventos anormais de usuário de segurança de porta.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Habilite o registro de usuário de segurança da porta.
    port-security access-user log enable [ failed-authorization | mac-learning | violation | vlan-mac-limit ] *

    Por padrão, o registro de usuário de segurança de porta está desativado.

    Se você não especificar nenhum parâmetro, esse comando habilitará todos os tipos de logs de usuário de segurança de porta.

    Comandos de exibição e manutenção para segurança de porta

    Executar comandos de exibição em qualquer visualização:

    Tarefa Comando
    Exibir a configuração de segurança da porta, as informações de operação e as estatísticas. exibir port-security [ interface interface-type interface-number ]
    Exibir informações sobre endereços MAC bloqueados. display port-security mac-address block [ tipo de interface
    Tarefa Comando
    interface-número ] [ vlan vlan-id ] [ count ]
    Exibir informações sobre endereços MAC seguros. display port-security mac-address security [ tipo de interface interface-número ] [ vlan vlan-id ] [ count ]

    Exemplos de configuração de segurança de porta

    Exemplo: Configuração da segurança da porta no modo autoLearn

    Configuração de rede

    Conforme mostrado na Figura 1, configure a GigabitEthernet 1/0/1 no dispositivo para atender aos seguintes requisitos:

    • Aceite até 64 usuários sem autenticação.
    • Ter permissão para aprender e adicionar endereços MAC como endereços MAC fixos e definir o cronômetro de envelhecimento seguro do MAC para 30 minutos.
    • Pare de aprender os endereços MAC quando o número de endereços MAC seguros chegar a 64. Se chegar algum quadro com um endereço MAC desconhecido, a proteção contra intrusão será iniciada e a porta será desligada e permanecerá em silêncio por 30 segundos.

    Figura 1 Diagrama de rede

    Procedimento

    # Ativar a segurança da porta.

    <Device> system-view
                     [Device] port-security enable

    # Defina o cronômetro de envelhecimento do MAC seguro para 30 minutos.

    [Device] port-security timer autolearn aging 30

    # Defina o limite da segurança da porta para o número de endereços MAC seguros como 64 na GigabitEthernet 1/0/1.

    [Device] interface gigabitethernet 1/0/1
                     [Device-GigabitEthernet1/0/1] port-security max-mac-count 64

    # Defina o modo de segurança da porta como autoLearn.

    [Device-GigabitEthernet1/0/1] port-security port-mode autolearn

    # Configure a porta para ficar em silêncio por 30 segundos depois que o recurso de proteção contra intrusão for acionado.

    [Device-GigabitEthernet1/0/1] port-security intrusion-mode disableport-temporarily
                     [Device-GigabitEthernet1/0/1] quit
                     [Device] port-security timer disableport 30

    Verificação da configuração

    # Verificar a configuração de segurança da porta.

    [Device] display port-security interface gigabitethernet 1/0/1
                     Global port security parameters:
                     Port security : Enabled
                     AutoLearn aging time : 30 min
                     Disableport timeout : 30 s
                     Blockmac timeout : 180 s
                     MAC move : Denied
                     Authorization fail : Online
                     NAS-ID profile : Not configured
                     Dot1x-failure trap : Disabled
                     Dot1x-logon trap : Disabled
                     Dot1x-logoff trap : Disabled
                     Intrusion trap : Disabled
                     Address-learned trap : Disabled
                     Mac-auth-failure trap : Disabled
                     Mac-auth-logon trap : Disabled
                     Mac-auth-logoff trap : Disabled
                     Open authentication : Disabled
                     OUI value list :
                     Index : 1 Value : 123401
                     GigabitEthernet1/0/1 is link-up
                     Port mode : autoLearn
                     NeedToKnow mode : Disabled
                     Intrusion protection mode : DisablePortTemporarily
                     Security MAC address attribute
                     Learning mode : Sticky
                     Aging type : Periodical
                     Max secure MAC addresses : 64
                     Current secure MAC addresses : 0
                     Authorization : Permitted
                     NAS-ID profile : Not configured
                     Free VLANs : Not configured
                     Open authentication : Disabled
                     MAC-move VLAN check bypass : Disabled

    A porta permite o aprendizado de endereços MAC, e você pode visualizar o número de endereços MAC aprendidos no campo Current secure MAC addresses (Endereços MAC seguros atuais).

    # Exibir informações adicionais sobre os endereços MAC aprendidos.

    [Device] interface gigabitethernet 1/0/1
                     [Device-GigabitEthernet1/0/1] display this
                     #
                     interface GigabitEthernet1/0/1
                     port-security max-mac-count 64
                     port-security port-mode autolearn
                     port-security mac-address security sticky 0002-0000-0015 vlan 1
                     port-security mac-address security sticky 0002-0000-0014 vlan 1
                     20
                     port-security mac-address security sticky 0002-0000-0013 vlan 1
                     port-security mac-address security sticky 0002-0000-0012 vlan 1
                     port-security mac-address security sticky 0002-0000-0011 vlan 1
                     #
                     [Device-GigabitEthernet1/0/1] quit

    # Verifique se o modo de segurança da porta muda para seguro depois que o número de endereços MAC aprendidos pela porta chega a 64.

    [Device] display port-security interface gigabitethernet 1/0/1

    # Verifique se a porta será desativada por 30 segundos após receber um quadro com um endereço MAC desconhecido. (Detalhes não mostrados.)

    # Depois que a porta for reativada, exclua vários endereços MAC seguros.

    [Device] undo port-security mac-address security sticky 0002-0000-0015 vlan 1
                     [Device] undo port-security mac-address security sticky 0002-0000-0014 vlan 1
                     ...

    # Verifique se o modo de segurança da porta muda para autoLearn e se a porta pode aprender os endereços MAC novamente. (Detalhes não mostrados.)

    Exemplo: Configuração da segurança da porta no modo userLoginWithOUI

    Configuração de rede

    Conforme mostrado na Figura 2, um cliente está conectado ao dispositivo por meio da GigabitEthernet 1/0/1. O dispositivo autentica o cliente com um servidor RADIUS no domínio sun do ISP. Se a autenticação for bem-sucedida, o cliente estará autorizado a acessar a Internet.

    • O servidor RADIUS em 192.168.1.2 atua como o servidor de autenticação primário e o servidor de contabilidade secundário. O servidor RADIUS em 192.168.1.3 atua como servidor de autenticação secundário e servidor de contabilidade primário. A chave compartilhada para autenticação é name, e a chave compartilhada para contabilidade é money.
    • Todos os usuários usam os métodos de autenticação, autorização e contabilidade do domínio sun do ISP.
    • O tempo limite de resposta do servidor RADIUS é de 5 segundos. O número máximo de tentativas de retransmissão de pacotes RADIUS é 5. O dispositivo envia pacotes de contabilidade em tempo real para o servidor RADIUS em intervalos de 15 minutos e envia nomes de usuário sem nomes de domínio para o servidor RADIUS.

    Configure a GigabitEthernet 1/0/1 para permitir a autenticação de apenas um usuário 802.1X e de um usuário que use um dos valores OUI especificados.

    Figura 2 Diagrama de rede

    Procedimento

    As etapas de configuração a seguir abrangem alguns comandos de configuração AAA/RADIUS. Para obter mais informações sobre os comandos, consulte Referência de comandos de segurança.

    Certifique-se de que o host e o servidor RADIUS possam se comunicar.

    • Configurar AAA:

    # Configure um esquema RADIUS chamado radsun.

    <Device> system-view
                     [Device] radius scheme radsun
                     [Device-radius-radsun] primary authentication 192.168.1.2
                     [Device-radius-radsun] primary accounting 192.168.1.3
                     [Device-radius-radsun] secondary authentication 192.168.1.3
                     [Device-radius-radsun] secondary accounting 192.168.1.2
                     [Device-radius-radsun] key authentication simple name
                     [Device-radius-radsun] key accounting simple money
                     [Device-radius-radsun] timer response-timeout 5
                     [Device-radius-radsun] retry 5
                     [Device-radius-radsun] timer realtime-accounting 15
                     [Device-radius-radsun] user-name-format without-domain
                     [Device-radius-radsun] quit

    # Configurar o domínio sun do ISP.

    [Device] domain sun
                     [Device-isp-sun] authentication lan-access radius-scheme radsun
                     [Device-isp-sun] authorization lan-access radius-scheme radsun
                     [Device-isp-sun] accounting lan-access radius-scheme radsun
                     [Device-isp-sun] quit
    • Configurar o 802.1X:

    # Defina o método de autenticação 802.1X como CHAP. Por padrão, o método de autenticação para 802.1X é CHAP.

    [Device] dot1x authentication-method chap

    # Especifique o domínio sun do ISP como o domínio de autenticação obrigatório para usuários 802.1X na GigabitEthernet 1/0/1.

    [Device] interface gigabitethernet 1/0/1
                     [Device-GigabitEthernet1/0/1] dot1x mandatory-domain sun
                     [Device-GigabitEthernet1/0/1] quit
    • Configurar a segurança da porta:

    # Ativar a segurança da porta.

    [Device] port-security enable

    # Adicione cinco valores de OUI. (Você pode adicionar até 16 valores de OUI. A porta permite que apenas um usuário correspondente a uma das OUIs passe pela autenticação).

    [Device] port-security oui index 1 mac-address 1234-0100-1111
                     [Device] port-security oui index 2 mac-address 1234-0200-1111
                     [Device] port-security oui index 3 mac-address 1234-0300-1111
                     [Device] port-security oui index 4 mac-address 1234-0400-1111
                     [Device] port-security oui index 5 mac-address 1234-0500-1111

    Verificação da configuração

    # Verifique se a GigabitEthernet 1/0/1 permite que apenas um usuário 802.1X seja autenticado.

    [Device] display port-security interface gigabitethernet 1/0/1
                     Global port security parameters:
                     Port security : Enabled
                     AutoLearn aging time : 30 min
                     Disableport timeout : 30 s
                     Blockmac timeout : 180 s
                     MAC move : Denied
                     Authorization fail : Online
                     NAS-ID profile : Not configured
                     Dot1x-failure trap : Disabled
                     Dot1x-logon trap : Disabled
                     Dot1x-logoff trap : Disabled
                     Intrusion trap : Disabled
                     Address-learned trap : Disabled
                     Mac-auth-failure trap : Disabled
                     Mac-auth-logon trap : Disabled
                     Mac-auth-logoff trap : Disabled
                     Open authentication : Disabled
                     OUI     value     list :
                     Index : 1 Value : 123401
                     Index : 2 Value : 123402
                     Index : 3 Value : 123403
                     Index : 4 Value : 123404
                     Index : 5 Value : 123405
                     GigabitEthernet1/0/1 is link-up
                     Port mode : userLoginWithOUI
                     NeedToKnow mode : Disabled
                     Intrusion protection mode : NoAction
                     Security MAC address attribute 
                     Learning mode : Sticky
                     Aging type : Periodical
                     Max secure MAC addresses : Not configured
                     Current secure MAC addresses : 1
                     Authorization :Permitted
                     NAS-ID profile : Not configured
                     Free VLANs : Not configured
                     Open authentication : Disabled
                     MAC-move VLAN check bypass : Disabled

    # Exibir informações sobre o usuário 802.1X on-line para verificar a configuração 802.1X.

    [Device] display dot1x

    # Verifique se a porta também permite que um usuário cujo endereço MAC tenha uma OUI entre as OUIs especificadas passe na autenticação.

    [Device] display mac-address interface gigabitethernet 1/0/1
                     MAC Address    VLAN ID    State      Port/NickName       Aging
                     1234-0300-0011 1          Learned    GE1/0/1             Y

    Exemplo: Configuração da segurança da porta no modo macAddressElseUserLoginSecure

    Configuração de rede

    Conforme mostrado na Figura 3, um cliente está conectado ao dispositivo por meio da GigabitEthernet 1/0/1. O dispositivo autentica o cliente por um servidor RADIUS no domínio sun do ISP. Se a autenticação for bem-sucedida, o cliente estará autorizado a acessar a Internet.

    Configure a GigabitEthernet 1/0/1 do dispositivo para atender aos seguintes requisitos:

    • Permitir que mais de um usuário autenticado por MAC faça logon.
    • Para usuários 802.1X, execute primeiro a autenticação MAC e, em seguida, se a autenticação MAC falhar,

    Autenticação 802.1X. Permitir que apenas um usuário 802.1X faça logon.

    • Use o endereço MAC de cada usuário como nome de usuário e senha para autenticação MAC. Os endereços MAC estão em notação hexadecimal com hífens e as letras estão em maiúsculas.
    • Defina o número total de usuários autenticados por MAC e usuários autenticados por 802.1X como 64.
    • Habilite o NTK (modo ntkonly) para evitar o envio de quadros para endereços MAC desconhecidos.

    Figura 3 Diagrama de rede

    Procedimento

    Certifique-se de que o host e o servidor RADIUS possam se comunicar.

    • Configure a autenticação/contabilidade RADIUS e as configurações de domínio do ISP. (Consulte "Exemplo: Configuração da segurança da porta no modo userLoginWithOUI").
    • Configurar a segurança da porta: # Habilitar a segurança da porta.
    <Device> system-view
                     [Device] port-security enable

    # Use o endereço MAC de cada usuário como nome de usuário e senha para autenticação MAC. Os endereços MAC estão em notação hexadecimal com hífens e as letras estão em maiúsculas.

    [Device] mac-authentication user-name-format mac-address with-hyphen uppercase

    # Especifique o domínio de autenticação MAC.

    [Device] mac-authentication domain sun

    # Defina o método de autenticação 802.1X como CHAP. Por padrão, o método de autenticação para 802.1X é CHAP.

    [Device] dot1x authentication-method chap

    # Defina o limite da segurança da porta para o número de endereços MAC para 64 na porta.

    [Device] interface gigabitethernet 1/0/1
                     [Device-GigabitEthernet1/0/1] port-security max-mac-count 64

    # Defina o modo de segurança da porta como macAddressElseUserLoginSecure.

    [Device-GigabitEthernet1/0/1] port-security port-mode mac-else-userlogin-secure

    # Defina o modo NTK da porta como ntkonly.

    [Device-GigabitEthernet1/0/1] port-security ntk-mode ntkonly
                     [Device-GigabitEthernet1/0/1] quit

    Verificação da configuração

    # Verificar a configuração de segurança da porta.

    [Device] display port-security interface gigabitethernet 1/0/1
                     Global port security parameters:
                     Port security : Enabled
                     AutoLearn aging time : 30 min
                     Disableport timeout : 30 s
                     Blockmac timeout : 180 s
                     MAC move : Denied
                     Authorization fail : Online
                     NAS-ID profile : Not configured
                     Dot1x-failure trap : Disabled
                     Dot1x-logon trap : Disabled
                     Dot1x-logoff trap : Disabled
                     Intrusion trap : Disabled
                     Address-learned trap : Disabled
                     Mac-auth-failure trap : Disabled
                     Mac-auth-logon trap : Disabled
                     Mac-auth-logoff trap : Disabled
                     Open authentication : Disabled
                     OUI value list
                     GigabitEthernet1/0/1 is link-up
                     Port mode : macAddressElseUserLoginSecure
                     NeedToKnow mode : NeedToKnowOnly
                     Intrusion protection mode : NoAction
                     Security MAC address attribute
                     Learning mode : Sticky 
                     Aging type : Periodical
                     Max secure MAC addresses : 64
                     Current secure MAC addresses : 0
                     Authorization : Permitted
                     NAS-ID profile : Not configured
                     Free VLANs : Not configured
                     Open authentication : Disabled
                     MAC-move VLAN check bypass : Disabled

    # Depois que os usuários passarem pela autenticação, exiba as informações de autenticação MAC. Verifique se a GigabitEthernet 1/0/1 permite que vários usuários de autenticação MAC sejam autenticados.

    [Device] display mac-authentication interface gigabitethernet 1/0/1
                     Global MAC authentication parameters:
                     MAC authentication : Enabled
                     Authentication method : PAP
                     User name format : MAC address in uppercase(XX-XX-XX-XX-XX-XX)
                     Username : mac
                     Password : Not configured
                     Offline detect period : 300 s
                     Quiet period : 180 s
                     Server timeout : 100 s
                     Reauth period : 3600 s
                     User aging period for critical VLAN : 1000 s
                     User aging period for guest VLAN : 1000 s
                     Authentication domain : sun
                     Online MAC-auth wired users : 3
                     Silent MAC users:
                     MAC address VLAN ID From port Port index
                     GigabitEthernet1/0/1 is link-up
                     MAC authentication : Enabled
                     Carry User-IP : Disabled
                     Authentication domain : Not configured
                     Auth-delay timer : Disabled
                     Periodic reauth : Disabled
                     Re-auth server-unreachable : Logoff
                     Guest VLAN : Not configured
                     Guest VLAN auth-period : 30 s
                     Critical VLAN : Not configured
                     Critical voice VLAN : Disabled
                     Host mode : Single VLAN
                     Offline detection : Enabled
                     Authentication order : Default
                     User aging : Enabled
                     Server-recovery online-user-sync : Enabled
                     Auto-tag feature : Disabled
                     VLAN tag configuration ignoring : Disabled
                     Max online users : 4294967295
                     Authentication attempts : successful 3, failed 7
                     Current online users : 3
                     MAC address Auth state
                     1234-0300-0011 Authenticated
                     1234-0300-0012 Authenticated
                     1234-0300-0013 Authenticated

    # Exibir informações de autenticação 802.1X. Verifique se a GigabitEthernet 1/0/1 permite apenas um

    [Device] display dot1x interface gigabitethernet 1/0/1
                     Global 802.1X parameters:
                     802.1X authentication : Enabled
                     CHAP authentication : Enabled
                     26
                     Max-tx period : 30 s
                     Handshake period : 15 s
                     Quiet timer : Disabled
                     Quiet period : 60 s
                     Supp timeout : 30 s
                     Server timeout : 100 s
                     Reauth period : 3600 s
                     Max auth requests : 2
                     User aging period for Auth-Fail VLAN : 1000 s
                     User aging period for critical VLAN : 1000 s
                     User aging period for guest VLAN : 1000 s
                     EAD assistant function : Disabled
                     EAD timeout : 30 min
                     Domain delimiter : @
                     Online 802.1X wired users : 1
                     GigabitEthernet1/0/1 is link-up
                     802.1X authentication : Enabled
                     Handshake : Enabled
                     Handshake reply : Disabled
                     Handshake security : Disabled
                     Unicast trigger : Disabled
                     Periodic reauth : Disabled
                     Port role : Authenticator
                     Authorization mode : Auto
                     Port access control : MAC-based
                     Multicast trigger : Enabled
                     Mandatory auth domain : sun
                     Guest VLAN : Not configured
                     Auth-Fail VLAN : Not configured
                     Critical VLAN : Not configured
                     Critical voice VLAN : Disabled
                     Add Guest VLAN delay : Disabled
                     Re-auth server-unreachable : Logoff
                     Max online users : 4294967295
                     User IP freezing : Disabled
                     Reauth period : 60 s
                     Send Packets Without Tag : Disabled
                     Max Attempts Fail Number : 0
                     User aging : Enabled
                     Server-recovery online-user-sync : Enabled
                     EAPOL packets: Tx 16331, Rx 102
                     Sent EAP Request/Identity packets : 16316
                     EAP Request/Challenge packets: 6
                     EAP Success packets: 4
                     EAP Failure packets: 5
                     Received EAPOL Start packets : 6
                     27
                     EAPOL LogOff packets: 2
                     EAP Response/Identity packets : 80
                     EAP Response/Challenge packets: 6
                     Error packets: 0
                     Online 802.1X users: 1
                     MAC address Auth state
                     0002-0000-0011 Authenticated

    # Verifique se os quadros com endereço MAC de destino desconhecido, endereço multicast ou endereço de broadcast são descartados. (Detalhes não mostrados.)

    Solução de problemas de segurança da porta

    Não é possível definir o modo de segurança da porta

    Sintoma

    Não é possível definir o modo de segurança da porta para uma porta.

    Análise

    Para uma porta que esteja operando em um modo de segurança de porta diferente de noRestrictions, não é possível alterar o modo de segurança da porta usando o comando port-security port-mode.

    Solução

    Para resolver o problema:

    • Defina o modo de segurança da porta como noRestrictions.
    [Device-GigabitEthernet1/0/1] undo port-security port-mode
    • Defina um novo modo de segurança de porta para a porta, por exemplo, autoLearn.
    [Device-GigabitEthernet1/0/1] port-security port-mode autolearn
    • Se o problema persistir, entre em contato com o Suporte da Intelbras.

    Não é possível configurar endereços MAC seguros

    Sintoma

    Não é possível configurar endereços MAC seguros.

    Análise

    Nenhum endereço MAC seguro pode ser configurado em uma porta que esteja operando em um modo de segurança de porta diferente de autoLearn.

    Solução

    Para resolver o problema:

    • Defina o modo de segurança da porta como autoLearn.
    [Device-GigabitEthernet1/0/1] undo port-security port-mode
                     [Device-GigabitEthernet1/0/1] port-security max-mac-count 64
                     [Device-GigabitEthernet1/0/1] port-security port-mode autolearn
                     [Device-GigabitEthernet1/0/1] port-security mac-address security 1-1-2 vlan 1
    • Se o problema persistir, entre em contato com o Suporte da Intelbras.

    Configuração de perfis de usuário

    Sobre perfis de usuário

    Um perfil de usuário define um conjunto de parâmetros, como uma política de QoS, para um usuário ou uma classe de usuários. Um perfil de usuário pode ser reutilizado quando um usuário se conecta à rede em uma interface diferente.

    O aplicativo de perfil de usuário permite o policiamento flexível do tráfego por usuário. Sempre que um usuário passa pela autenticação, o servidor envia ao dispositivo o nome do perfil de usuário especificado para o usuário. O dispositivo aplica os parâmetros do perfil de usuário ao usuário.

    Os perfis de usuário são normalmente usados para alocação de recursos por usuário. Por exemplo, o policiamento de tráfego baseado em interface limita a quantidade total de largura de banda disponível para um grupo de usuários. No entanto, o policiamento de tráfego baseado no perfil do usuário pode limitar a quantidade de largura de banda disponível para um único usuário.

    Pré-requisitos para o perfil de usuário

    Um perfil de usuário funciona com métodos de autenticação. Você deve configurar a autenticação para um perfil de usuário. Para obter informações sobre os métodos de autenticação compatíveis, consulte os guias de configuração dos módulos de autenticação relacionados em .

    Configuração de um perfil de usuário

    • Entre na visualização do sistema.
    system view
    • Crie um perfil de usuário e entre na visualização do perfil de usuário.
    user-profile profile-name
    • Aplique uma política de QoS existente ao perfil do usuário.
    qos apply policy policy-name { inbound | outbound }

    Por padrão, nenhuma política de QoS é aplicada a um perfil de usuário.

    Para obter informações sobre políticas de QoS, consulte o Guia de configuração de ACL e QoS.

    Comandos de exibição e manutenção de perfis de usuário

    Executar comandos de exibição em qualquer visualização.

    Tarefa Comando
    Exibir informações de configuração e de usuário on-line para o perfil de usuário especificado ou para todos os perfis de usuário. display user-profile [ name profile-name ] [ slot slot-number ]

    Exemplos de configuração de perfil de usuário

    Exemplo: Configuração de perfis de usuário e políticas de QoS

    Requisitos de rede

    Conforme mostrado na Figura 1, o dispositivo executa a autenticação 802.1X local nos usuários do domínio user

    para eficiência de autenticação e autorização.

    Configure perfis de usuário e políticas de QoS no dispositivo para atender aos seguintes requisitos:

    • O usuário A não pode acessar a Internet entre 8:30 e 12:00 todos os dias, mesmo que o usuário A seja aprovado na autenticação 802.1X.
    • O usuário B tem uma velocidade de upload de 2 Mbps depois de passar pela autenticação 802.1X.
    • O usuário C tem uma velocidade de download de 4 Mbps depois de passar pela autenticação 802.1X.

    Figura 1 Diagrama de rede

    Procedimento de configuração

    • Configure uma política de QoS para o usuário A:

    # Crie um intervalo de tempo periódico das 8:30 às 12:00 todos os dias.

    <Device> system-view
                     [Device] time-range for_usera 8:30 to 12:00 daily

    # Crie a ACL 2000 básica IPv4 e configure uma regra para corresponder a todos os pacotes durante o intervalo de tempo

    para_usar.

    [Device] acl basic 2000
                     [Device-acl-basic-2000] rule permit time-range for_usera
                     [Device-acl-basic-2000] quit

    # Crie uma classe de tráfego chamada for_usera e use a ACL 2000 como critério de correspondência.

    [Device] traffic classifier for_usera
                     [Device-classifier-for_usera] if-match acl 2000
                     [Device-classifier-for_usera] quit

    # Crie um comportamento de tráfego chamado for_usera e configure a ação de negação.

    [Device] traffic behavior for_usera
                     [Device-behavior-for_usera] filter deny
                     [Device-behavior-for_usera] quit

    # Crie uma política de QoS chamada for_usera e associe a classe de tráfego for_usera e o comportamento de tráfego for_usera na política de QoS.

    [Device] qos policy for_usera
                     [Device-qospolicy-for_usera] classifier for_usera behavior for_usera
                     [Device-qospolicy-for_usera] quit
    • Crie um perfil de usuário para o usuário A e aplique a política de QoS ao perfil de usuário:

      • # Crie um perfil de usuário chamadousera

      . 
    [Device] user-profile usera

    # Aplique a política de QoS for_usera à direção de entrada do perfil de usuário usera. 

    [[Device-user-profile-usera] qos apply policy for_usera inbound
                     [Device-user-profile-usera] quit
    • Configure uma política de QoS para limitar a taxa de tráfego do usuário B: # Crie uma classe de tráfego chamada class para corresponder a todos os pacotes.
    [Device] traffic classifier class
                     [Device-classifier-class] if-match any
                     [Device-classifier-class] quit

    # Crie um comportamento de tráfego chamado for_userb e configure uma ação de policiamento de tráfego (CIR 2000

    kbps).

    [Device] traffic behavior for_userb
                     [Device-behavior-for_userb] car cir 2000
                     [Device-behavior-for_userb] quit

    # Criar uma política de QoS chamada for_userb e associar a classe de tráfego e o comportamento do tráfego

    for_userb na política de QoS.

    [Device] qos policy for_userb
                     [Device-qospolicy-for_userb] classifier class behavior for_userb
                     [Device-qospolicy-for_userb] quit
    • Crie um perfil de usuário para o Usuário B e aplique a política de QoS ao perfil de usuário: # Crie um perfil de usuário chamado userb.
    [Device] user-profile userb

    # Aplicar a política de QoS for_userb à direção de entrada do perfil de usuário userb. [Device-user-profile-userb] qos apply policy for_userb inbound [Device-user-profile-userb] quit

    • Configure uma política de QoS para limitar a taxa de tráfego do usuário C:

    # Crie um comportamento de tráfego chamado for_userc e configure uma ação de policiamento de tráfego (CIR 4000 kbps).

    [Device-user-profile-userb] qos apply policy for_userb inbound
                     [Device-user-profile-userb] quit

    # Criar uma política de QoS chamada for_userc e associar a classe de tráfego e o comportamento do tráfego

    for_userc na política de QoS.

    [Device] traffic behavior for_userc
                     [Device-behavior-for_userc] car cir 4000
                     [Device-behavior-for_userc] quit
    • Crie um perfil de usuário para o Usuário C e aplique a política de QoS ao perfil de usuário:

    # Crie um perfil de usuário chamado userc.

    [Device] user-profile userc

    # Aplique a política de QoS for_userc à direção de saída do perfil de usuário userc.

    [Device-user-profile-userc] qos apply policy for_userc outbound
                     [Device-user-profile-userc] quit
    • Configure os usuários locais:

    # Crie um usuário local chamado usera.

    [Device] local-user usera class network

    Novo usuário local adicionado.

    # Defina a senha como a12345 para o usuário usera.

    [Device-luser-network-usera] password simple a12345

    # Autorize o usuário usera a usar o serviço de acesso à LAN. 

    [Device-luser-network-usera] service-type lan-access

    # Especifique o perfil de usuário usera como o perfil de usuário de autorização para o usuário usera.

    [Device-luser-network-usera] authorization-attribute user-profile usera
                     [Device-luser-network-usera] quit

    # Crie um usuário local chamado userb. 

    [Device] local-user userb class network
                     New local user added.

    # Defina a senha como b12345 para o usuário userb.

    [Device-luser-network-userb] password simple b12345

    # Autorize o usuário userb a usar o serviço de acesso à LAN.

    [Device-luser-network-userb] service-type lan-access

    # Especifique o perfil de usuário userb como o perfil de usuário de autorização para o usuário userb.

    [Device-luser-network-userb] authorization-attribute user-profile userb
                     [Device-luser-network-userb] quit

    # Crie um usuário local chamado userc.

    [Device] local-user userc class network
                     New local user added.

    # Defina a senha como c12345 para o usuário userc.

    [Device-luser-network-userc] password simple c12345

    # Autorize o usuário userc a usar o serviço de acesso à LAN.

    [Device-luser-network-userc] service-type lan-access

    # Especifique o perfil de usuário userc como o perfil de usuário de autorização para o usuário userc.

    [Device-luser-network-userc] authorization-attribute user-profile userc
                     [Device-luser-network-userc] quit
    • Configure os métodos de autenticação, autorização e contabilidade para usuários locais:
    [Device] domain user
                     [Device-isp-user] authentication lan-access local
                     [Device-isp-user] authorization lan-access local
                     [Device-isp-user] accounting login none
                     [Device-isp-user] quit
    • Configurar o 802.1X:

    # Habilite o 802.1X na GigabitEthernet 1/0/1. 

    [Device] interface gigabitethernet 1/0/1
                     [Device-GigabitEthernet1/0/1] dot1x

    # Habilite o controle de acesso baseado em MAC na porta. Por padrão, uma porta usa o controle de acesso baseado em MAC.

    [Device-GigabitEthernet1/0/1] dot1x port-method macbased
                     [Device-GigabitEthernet1/0/1] quit

    # Habilite o 802.1X globalmente.

    [Device] dot1x

    Verificação da configuração

    # Verifique se os três usuários podem passar pela autenticação 802.1X e se as políticas de QoS têm efeito sobre esses usuários. (Detalhes não mostrados).

    # Exibir informações do perfil do usuário.

    <Device> display user-profile
                     User-Profile: usera
                     Inbound:
                     Policy: for_usera
                     slot 1: 
                     User -:
                     Authentication type: 802.1X
                     Network attributes:
                     Interface : GigabitEthernet1/0/1
                     MAC address : 6805-ca06-557b
                     Service VLAN : 1
                     User-Profile: userb
                     Inbound:
                     Policy: for_userb
                     slot 1:
                     User -:
                     Authentication type: 802.1X
                     Network attributes:
                     Interface : GigabitEthernet1/0/1
                     MAC address : 80c1-6ee0-2664
                     Service VLAN : 1
                     User-Profile: userc
                     Outbound:
                     Policy: for_userc
                     slot 1:
                     User -:
                     Authentication type: 802.1X
                     Network attributes:
                     Interface : GigabitEthernet1/0/1
                     MAC address : 6805-ca05-3efa
                     Service VLAN : 1

    Configuração do controle de senhas

    Sobre o controle de senhas

    O controle de senha permite implementar os seguintes recursos:

    • Gerencie a configuração de login e super senha, expirações e atualizações para usuários locais.
    • Controle o status de login do usuário com base em políticas predefinidas.

    Para obter mais informações sobre usuários locais, consulte "Configuração de AAA". Para obter informações sobre super senhas, consulte RBAC no Fundamentals Configuration Guide.

    Configuração de senha

    Comprimento mínimo da senha

    É possível definir o tamanho mínimo das senhas de usuário. O sistema rejeita a configuração de uma senha que seja menor do que o tamanho mínimo configurado.

    Política de composição de senhas

    Uma senha pode ser uma combinação de caracteres dos seguintes tipos:

    • Letras maiúsculas de A a Z.
    • Letras minúsculas de a a z.
    • Dígitos de 0 a 9.
    • Caracteres especiais na Tabela 1. Para obter mais informações sobre caracteres especiais, consulte CLI em

    Guia de configuração de fundamentos.

    Tabela 1 Caracteres especiais

    Nome do personagem Símbolo Nome do personagem Símbolo
    Sinal de E comercial & Apóstrofe '
    Asterisco * No sinal @
    Citação anterior ` Corte traseiro \
    Espaço em branco N/A Caret ^
    Cólon : Vírgula ,
    Sinal de dólar $ Ponto .
    Sinal de igual = Ponto de exclamação !
    Suporte de ângulo esquerdo < Braçadeira esquerda {
    Suporte esquerdo [ Parêntese esquerdo (
    Sinal de menos - Sinal de porcentagem %
    Sinal de mais + Sinal de libra #
    Aspas " Suporte de ângulo reto >
    Braçadeira direita } Suporte direito ]
    Parêntese direito ) Ponto e vírgula ;
    Nome do personagem Símbolo Nome do personagem Símbolo
    Faixa / Tilde ~
    Underscore _ Barra vertical |

    Dependendo dos requisitos de segurança do sistema, você pode definir o número mínimo de tipos de caracteres que uma senha deve conter e o número mínimo de caracteres para cada tipo, conforme mostrado na Tabela 2.

    Tabela 2 Política de composição de senhas

    Nível de combinação de senha Número mínimo de tipos de caracteres Número mínimo de caracteres para cada tipo
    Nível 1 Um Um
    Nível 2 Dois Um
    Nível 3 Três Um
    Nível 4 Quatro Um

    Quando um usuário define ou altera uma senha, o sistema verifica se a senha atende ao requisito de combinação. Se não atender, a operação falhará.

    Política de verificação da complexidade da senha

    Uma senha menos complicada tem maior probabilidade de ser quebrada, como uma senha que contenha o nome de usuário ou caracteres repetidos. Para aumentar a segurança, você pode configurar uma política de verificação da complexidade da senha para garantir que todas as senhas de usuários sejam relativamente complicadas. Quando um usuário configura uma senha, o sistema verifica a complexidade da senha. Se a senha for incompatível com a complexidade, a configuração falhará.

    Você pode aplicar os seguintes requisitos de complexidade de senha:

    • Uma senha não pode conter o nome de usuário ou o inverso do nome de usuário. Por exemplo, se o nome de usuário for abc, uma senha como abc982 ou 2cba não é suficientemente complexa.
    • Não é permitido um mínimo de três caracteres consecutivos idênticos. Por exemplo, senha

    a111 não é suficientemente complexo.

    Atualização e expiração de senhas

    Atualização de senha

    Esse recurso permite definir o intervalo mínimo em que os usuários podem alterar suas senhas. Um usuário só pode alterar a senha uma vez dentro do intervalo especificado.

    O intervalo mínimo não se aplica às seguintes situações:

    • Um usuário é solicitado a alterar a senha no primeiro login.
    • O tempo de envelhecimento da senha expira.

    Expiração da senha

    A expiração da senha impõe um ciclo de vida a uma senha de usuário. Após a expiração da senha, o usuário precisa alterá-la.

    O sistema exibe uma mensagem de erro para uma tentativa de login com uma senha expirada. O usuário é solicitado a fornecer uma nova senha. A nova senha deve ser válida e o usuário deve digitar exatamente a mesma senha ao confirmá-la.

    Os usuários da Web, usuários de Telnet, usuários de SSH e usuários de console podem alterar suas próprias senhas. Os usuários de FTP devem ter suas senhas alteradas pelo administrador.

    Aviso antecipado sobre a expiração pendente da senha

    Quando um usuário faz login, o sistema verifica se a senha expirará em um tempo igual ou inferior ao período de notificação especificado. Em caso afirmativo, o sistema notifica o usuário quando a senha expirará e oferece uma opção para o usuário alterar a senha.

    • Se o usuário definir uma nova senha válida, o sistema registrará a nova senha e o tempo de configuração.
    • Se o usuário não alterar a senha ou não conseguir alterá-la, o sistema permitirá que o usuário faça login usando a senha atual até que ela expire.

    Usuários da Web, usuários de Telnet, usuários de SSH e usuários de console podem alterar suas próprias senhas. Os usuários de FTP devem ter suas senhas alteradas pelo administrador.

    Login com uma senha expirada

    Você pode permitir que um usuário faça login um determinado número de vezes dentro de um período de tempo após a expiração da senha. Por exemplo, se você definir o número máximo de logins com uma senha expirada como 3 e o período de tempo como 15 dias, um usuário poderá fazer logon três vezes dentro de 15 dias após a expiração da senha.

    Histórico de senhas

    Esse recurso permite que o sistema armazene as senhas que um usuário usou.

    Quando um usuário de acesso à rede altera a senha, o sistema compara a nova senha com a senha atual e com as armazenadas nos registros do histórico de senhas. A nova senha deve ser diferente da atual e das armazenadas nos registros do histórico em, no mínimo, quatro caracteres diferentes. Caso contrário, o sistema exibirá uma mensagem de erro e a nova senha não será definida com êxito.

    As senhas locais e as super senhas dos usuários de gerenciamento de dispositivos são armazenadas em forma de hash e não podem ser convertidas em textos simples. Quando um usuário de gerenciamento de dispositivos alterar uma senha local ou uma super senha, siga estas regras:

    • Se a nova senha for definida usando o método hash, o sistema não comparará a nova senha com a atual e com as armazenadas nos registros de histórico de senhas.
    • Se a nova senha for definida em texto simples, o sistema comparará a nova senha com a senha atual e com as armazenadas nos registros do histórico de senhas. Uma nova senha deve ser diferente das armazenadas nos registros de histórico de senhas. Se a senha atual for necessária, a nova senha também deverá ser diferente da atual em um mínimo de quatro caracteres diferentes. Caso contrário, o sistema exibirá uma mensagem de erro e a nova senha não será definida com êxito.

    É possível definir o número máximo de registros de histórico de senhas que o sistema manterá para cada usuário. Quando o número de registros de histórico de senhas exceder a configuração, o registro mais recente substituirá o mais antigo.

    As senhas de login atuais não são armazenadas no histórico de senhas dos usuários de gerenciamento de dispositivos. Os usuários de gerenciamento de dispositivos têm suas senhas salvas em texto cifrado, que não pode ser recuperado para senhas de texto simples.

    Controle de login do usuário

    Primeiro login

    Por padrão, se o recurso de controle de senha global estiver ativado, os usuários deverão alterar a senha no primeiro login antes de poderem acessar o sistema. Nessa situação, as alterações de senha não estão sujeitas ao intervalo mínimo de atualização de senha. Se não for necessário que os usuários alterem a senha no primeiro login, desative o recurso de alteração de senha no primeiro login.

    Limite de tentativas de login

    Limitar o número de falhas de login consecutivas pode impedir efetivamente a adivinhação de senhas.

    O limite de tentativas de login entra em vigor para usuários de FTP, Web e VTY. Ele não tem efeito sobre os seguintes tipos de usuários:

    • Usuários inexistentes (usuários não configurados no dispositivo).
    • Usuários que fazem login no dispositivo por meio de portas de console.

    Se um usuário não conseguir fazer login, o sistema adicionará a conta de usuário e o endereço IP do usuário à lista negra de controle de senhas. Quando o usuário não consegue fazer login depois de fazer o número máximo de tentativas consecutivas, o limite de tentativas de login limita o usuário e a conta de usuário de uma das seguintes maneiras:

    • Desativa a conta de usuário até que a conta seja removida manualmente da lista negra de controle de senhas.
    • Permite que o usuário continue usando a conta de usuário. O endereço IP e a conta de usuário do usuário são removidos da lista negra de controle de senhas quando o usuário usa essa conta para fazer login com êxito no dispositivo.
    • Desativa a conta de usuário por um período de tempo.

    O usuário pode usar a conta para fazer login quando houver uma das seguintes condições:

    • O cronômetro de bloqueio expira.
    • A conta é removida manualmente da lista negra de controle de senhas antes que o tempo de bloqueio expire.

    OBSERVAÇÃO:

    Essa conta é bloqueada somente para esse usuário. Outros usuários ainda podem usar essa conta, e o usuário na lista negra pode usar outras contas de usuário.

    Tempo máximo de inatividade da conta

    É possível definir o tempo máximo de inatividade da conta para as contas de usuário. Quando uma conta fica inativa por esse período de tempo desde o último login bem-sucedido, a conta se torna inválida.

    Controle de login com uma senha fraca

    Esse recurso está disponível somente na versão 6318P01 e posteriores.

    O sistema verifica se há senhas fracas para usuários de gerenciamento de dispositivos Telnet, SSH, HTTP ou HTTPS. Uma senha é fraca se não atender aos seguintes requisitos:

    • Restrição de composição de senha.
    • Restrição de comprimento mínimo da senha.
    • Política de verificação da complexidade da senha.

    Por padrão, o sistema exibe uma mensagem sobre uma senha fraca, mas não força o usuário a alterá-la. Para aumentar a segurança do dispositivo, você pode ativar o recurso de alteração obrigatória de senha fraca, que força os usuários a alterar as senhas fracas identificadas. Os usuários podem fazer login no dispositivo somente depois que suas senhas atenderem aos requisitos de senha.

    A senha não é exibida em nenhum formato

    Por motivos de segurança, nada é exibido quando um usuário digita uma senha.

    Registro em log

    O sistema gera um log sempre que um usuário altera sua senha com êxito ou é adicionado à lista negra de controle de senhas devido a falhas de login.

    Conformidade com FIPS

    O dispositivo é compatível com o modo FIPS que atende aos requisitos do NIST FIPS 140-2. O suporte a recursos, comandos e parâmetros pode ser diferente no modo FIPS (consulte "Configuração de FIPS") e no modo não-FIPS.

    Restrições e diretrizes: Configuração do controle de senhas

    IMPORTANTE:

    Para ativar com êxito o recurso de controle de senha global e permitir que os usuários de gerenciamento de dispositivos façam login no dispositivo, certifique-se de que o dispositivo tenha espaço de armazenamento suficiente.

    Os recursos de controle de senha podem ser configurados em várias exibições diferentes, e diferentes exibições suportam diferentes recursos. As configurações definidas em diferentes visualizações ou para diferentes objetos têm os seguintes intervalos de aplicação:

    • As configurações para super senhas se aplicam somente a super senhas.
    • As configurações na visualização do usuário local se aplicam apenas à senha do usuário local.
    • As configurações na visualização de grupo de usuários se aplicam às senhas dos usuários locais no grupo de usuários se você não configurar políticas de senha para esses usuários na visualização de usuário local.
    • As configurações globais na visualização do sistema se aplicam às senhas dos usuários locais em todos os grupos de usuários se você não configurar políticas de senha para esses usuários na visualização do usuário local e na visualização do grupo de usuários.

    Para senhas de usuários locais, as configurações com um escopo de aplicativo menor têm prioridade mais alta.

    Visão geral das tarefas de controle de senhas

    Para configurar o controle de senha, execute as seguintes tarefas:

    • Ativação do controle de senha
    • (Opcional.) Configuração dos parâmetros globais de controle de senha
    • (Opcional.) Configuração dos parâmetros de controle de senha do grupo de usuários
    • (Opcional.) Configuração dos parâmetros de controle da senha do usuário local
    • (Opcional.) Configuração dos parâmetros de controle da super senha

    Ativação do controle de senha

    Sobre o controle de senhas

    Em versões anteriores à versão 6318P01:

    Ative o controle de senha global para que todas as configurações de controle de senha entrem em vigor. Para que um recurso específico de controle de senha entre em vigor, ative seu próprio recurso de controle de senha.

    Na versão 6318P01 e versões posteriores:

    O recurso de expiração de senha e o recurso de gerenciamento do histórico de senhas entram em vigor somente depois que o recurso de controle de senha global também estiver ativado.

    Restrições e diretrizes

    Depois que o controle de senha global for ativado, siga estas restrições e diretrizes:

    • Não é possível exibir as configurações de senha e super senha para usuários de gerenciamento de dispositivos usando os comandos de exibição correspondentes.
    • Não é possível exibir a configuração de senha para usuários de acesso à rede usando o comando display correspondente.
    • As senhas configuradas para usuários locais devem conter no mínimo quatro caracteres diferentes.
    • No modo FIPS, o recurso de controle de senha global é ativado para usuários de gerenciamento de dispositivos e não pode ser desativado para eles.
    • Para garantir o funcionamento correto do controle de senha, configure o dispositivo para usar o NTP para obter a hora UTC. Depois que o controle de senha global for ativado, o controle de senha registrará a hora UTC quando a senha for definida. A hora UTC registrada pode não ser consistente com a hora UTC real devido a uma falha de energia ou reinicialização do dispositivo. A inconsistência fará com que o recurso de expiração de senha não funcione corretamente. Para obter informações sobre NTP, consulte o Guia de configuração de monitoramento e gerenciamento de rede.
    • O dispositivo gera automaticamente um arquivo .dat e o salva na mídia de armazenamento. O arquivo é usado para registrar as informações de autenticação e login dos usuários locais. Não exclua ou modifique manualmente o arquivo.
    • O recurso de controle de senha global permite que o sistema registre as senhas do histórico. Quando o número de registros de senhas do histórico de um usuário atinge o número máximo, o registro mais recente do histórico substitui o mais antigo. Para excluir os registros de histórico de senhas existentes, use um dos métodos a seguir:
      • Use o comando undo password-control enable para desativar o recurso de controle de senha globalmente.
      • Use o comando reset password-control history-record para limpar manualmente as senhas do site .

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Ative o recurso de controle de senha global. No modo não-FIPS:
    password-control enable [ network-class ]

    Por padrão, o recurso de controle de senha global está desativado para usuários de gerenciamento de dispositivos e acesso à rede.

    No modo FIPS:

    password-control enable [ network-class ]

    Por padrão, o recurso de controle de senha global é ativado para usuários de gerenciamento de dispositivos e não pode ser desativado. O recurso de controle de senha global é desativado para usuários de acesso à rede.

    • (Opcional.) Habilite um recurso específico de controle de senha.
    password-control { aging | composition | history | length } enable

    Por padrão, todos os quatro recursos de controle de senha estão ativados.

    Configuração dos parâmetros globais de controle de senha

    Restrições e diretrizes

    Os parâmetros globais de controle de senha na visualização do sistema se aplicam a todos os usuários locais de gerenciamento de dispositivos e acesso à rede.

    É possível configurar todos os recursos de controle de senha para usuários de gerenciamento de dispositivos. O tempo de envelhecimento da senha, o comprimento mínimo da senha, a política de complexidade da senha, a política de composição da senha e o limite de tentativas de login do usuário podem ser configurados na visualização do sistema, na visualização do grupo de usuários e na visualização do usuário local.

    É possível configurar apenas os seguintes recursos de controle de senha para usuários de acesso à rede:

    • Comprimento mínimo da senha.
    • Política de complexidade de senha.
    • Política de composição de senhas.
    • Intervalo mínimo de atualização de senha.
    • Número máximo de registros de histórico de senhas para cada usuário.

    O comprimento mínimo da senha, a política de complexidade da senha e a política de composição da senha podem ser configurados na visualização do sistema, na visualização do grupo de usuários e na visualização do usuário local.

    As configurações de senha com um escopo de aplicativo menor têm prioridade mais alta. Para usuários locais, as configurações de senha definidas na visualização do usuário local têm a prioridade mais alta e as configurações globais na visualização do sistema têm a prioridade mais baixa.

    O comando password-control login-attempt entra em vigor imediatamente e pode afetar os usuários que já estão na lista negra de controle de senhas. Outras configurações de controle de senha não têm efeito sobre os usuários que efetuaram login ou sobre as senhas que foram configuradas.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Configurar as definições de senha.
      • Defina o comprimento mínimo da senha. No modo não-FIPS:
    password-control length length

    A configuração padrão é de 10 caracteres. No modo FIPS:

    password-control length length

    O comprimento padrão é de 15 caracteres.

    • Configure a política de composição de senhas. No modo não-FIPS:
    password-control composition type-number type-number [ type-length type-length ]

    Por padrão:

    - Em versões anteriores à Versão 6318P01, uma senha deve conter no mínimo um tipo de caractere e no mínimo um caractere para cada tipo.

    - Na versão 6318P01 e posteriores, a senha deve conter no mínimo dois tipos de caracteres e um mínimo de um caractere para cada tipo.

    No modo FIPS:

    password-control composition type-number type-number [ type-length type-length ]

    Por padrão, uma senha deve conter um mínimo de quatro tipos de caracteres e um mínimo de um caractere para cada tipo.

    • Configure a política de verificação da complexidade da senha.
    password-control complexity { same-character | user-name } check

    Nas versões anteriores à Versão 6318P01, o sistema não executa a verificação da complexidade da senha por padrão.

    Na versão 6318P01 e posteriores, as configurações padrão são as seguintes:

    - No modo não-FIPS, a verificação de nome de usuário está ativada e a verificação de caracteres repetidos está desativada.

    - No modo FIPS, o sistema não executa a verificação da complexidade da senha.

    • Defina o número máximo de registros de histórico de senhas para cada usuário.

    histórico de controle de senha número máximo de registros

    A configuração padrão é 4.

    • Configure a atualização e a expiração da senha.
      • Defina o intervalo mínimo de atualização da senha.
    password-control aging aging-time

    A configuração padrão é 24 horas.

    • Defina o tempo de envelhecimento da senha.
    password-control aging aging-time

    A configuração padrão é 90 dias.

    • Defina o número de dias durante os quais um usuário é notificado sobre a expiração pendente da senha.
    password-control alert-before-expire alert-time

    A configuração padrão é 7 dias.

    • Defina o número máximo de dias e o número máximo de vezes que um usuário pode fazer login após a expiração da senha.
    password-control expired-user-login delay delay times times

    Por padrão, um usuário pode fazer login três vezes dentro de 30 dias após a expiração da senha.

    • Configure o controle de login do usuário.
      • Configure o limite de tentativas de login.
    password-control login-attempt login-times [ exceed { lock | lock-time time | unlock } ]

    Por padrão, o número máximo de tentativas de login é 3 e um usuário que não conseguir fazer login após o número especificado de tentativas deverá aguardar 1 minuto antes de tentar novamente.

    • Defina o tempo máximo de inatividade da conta.
    password-control login idle-time idle-time

    A configuração padrão é 90 dias.

    Se uma conta de usuário ficar inativa por esse período de tempo, ela se tornará inválida e não poderá mais ser usada para fazer login no dispositivo. Para desativar a restrição do tempo de inatividade da conta, defina o valor do tempo de inatividade como 0.

    • Defina o tempo limite de autenticação do usuário.
    password-control authentication-timeout timeout

    A configuração padrão é 600 segundos.

    Esse comando tem efeito apenas em usuários de Telnet e terminais.

    • Desative a alteração de senha no primeiro login.
    undo password-control change-password first-login enable

    Por padrão, o recurso de alteração de senha no primeiro login está ativado.

    No modo FIPS, o recurso de alteração de senha no primeiro login não pode ser desativado.

    • Ativar a alteração obrigatória de senha fraca.
    password-control change-password weak-password enable

    Por padrão, o recurso de alteração obrigatória de senha fraca está desativado. Esse recurso está disponível somente na versão 6318P01 e posteriores.

    Configuração dos parâmetros de controle de senha do grupo de usuários

    • Entre na visualização do sistema.
    system view
    • Crie um grupo de usuários e insira sua visualização.
    user-group group-name

    Para obter informações sobre como configurar um grupo de usuários, consulte "Configuração de AAA".

    • Configure o tempo de envelhecimento da senha para o grupo de usuários.
    password-control aging aging-time

    Por padrão, o tempo de envelhecimento da senha do grupo de usuários é igual ao tempo de envelhecimento da senha global.

    • Configure o tamanho mínimo da senha para o grupo de usuários.
    password-control length length

    Por padrão, o comprimento mínimo da senha do grupo de usuários é igual ao comprimento mínimo global da senha .

    • Configure a política de composição de senhas para o grupo de usuários.
    password-control composition type-number type-number [ type-length type-length ]

    Por padrão, a política de composição de senha do grupo de usuários é igual à política de composição de senha global.

    • Configure a política de verificação da complexidade da senha para o grupo de usuários.
    password-control login-attempt login-times [ exceed { lock | lock-time time | unlock } ]

    Por padrão, a política de verificação de complexidade de senha do grupo de usuários é igual à política de verificação de complexidade de senha global.

    • Configure o limite de tentativas de login.
    password-control login-attempt login-times [ exceed { lock | lock-time time | unlock } ]

    Por padrão, a política de tentativa de login do grupo de usuários é igual à política global de tentativa de login.

    Configuração dos parâmetros de controle de senha do usuário local

    • Entre na visualização do sistema.
    system view
    • Crie um usuário de gerenciamento de dispositivos ou de acesso à rede e insira sua visualização.
      • Crie um usuário de gerenciamento de dispositivos e insira sua visualização.
    local-user user-name class manage
    • Crie um usuário de acesso à rede e insira sua visualização.
    local-user user-name class network

    Para obter informações sobre a configuração do usuário local, consulte "Configuração de AAA".

    • Configure o tempo de envelhecimento da senha para o usuário local.
    password-control aging aging-time

    Por padrão, a configuração é igual à do grupo de usuários ao qual o usuário local pertence. Se nenhum tempo de envelhecimento for configurado para o grupo de usuários, a configuração global se aplicará ao usuário local.

    Esse comando está disponível apenas para usuários de gerenciamento de dispositivos.

    • Configure o tamanho mínimo da senha para o usuário local.
    password-control length length

    Por padrão, a configuração é igual à do grupo de usuários ao qual o usuário local pertence. Se não houver comprimento mínimo de senha configurado para o grupo de usuários, a configuração global será aplicada ao usuário local.

    • Configure a política de composição de senhas para o usuário local.
    password-control composition type-number type-number [ type-length type-length ]

    Por padrão, as configurações são iguais às do grupo de usuários ao qual o usuário local pertence. Se nenhuma política de composição de senhas estiver configurada para o grupo de usuários, as configurações globais serão aplicadas ao usuário local.

    • Configure a política de verificação da complexidade da senha para o usuário local.
    password-control login-attempt login-times [ exceed { lock | lock-time time | unlock } ]

    Por padrão, as configurações são iguais às do grupo de usuários ao qual o usuário local pertence. Se nenhuma política de verificação de complexidade de senha estiver configurada para o grupo de usuários, as configurações globais serão aplicadas ao usuário local.

    • Configure o limite de tentativas de login.
    password-control login-attempt login-times [ exceed { lock | lock-time time | unlock } ]

    Por padrão, as configurações são iguais às do grupo de usuários ao qual o usuário local pertence. Se nenhuma política de tentativa de login estiver configurada para o grupo de usuários, as configurações globais serão aplicadas ao usuário local.

    Esse comando está disponível apenas para usuários de gerenciamento de dispositivos.

    Configuração dos parâmetros de controle da super senha

    • Entre na visualização do sistema.
    system view
    • Defina o tempo de envelhecimento da senha para as super senhas.
      • password-control super aging aging-time

      A configuração padrão é 90 dias.

    • Configure o tamanho mínimo das super senhas. No modo não-FIPS:
    password-control super length length

    A configuração padrão é de 10 caracteres. No modo FIPS:

    password-control super length length

    A configuração padrão é de 15 caracteres.

    • Configure a política de composição de senhas para super senhas. No modo não-FIPS:
    password-control super composition type-number type-number
                  [ type-length type-length ]

    Por padrão:

    • Em versões anteriores à Versão 6318P01, uma super senha deve conter no mínimo um tipo de caractere e um mínimo de um caractere para cada tipo.
    • Na versão 6318P01 e posteriores, uma super senha deve conter no mínimo dois tipos de caracteres e no mínimo um caractere para cada tipo.

    No modo FIPS:

    password-control super composition type-number type-number
                  [ type-length type-length ]

    Por padrão, uma super senha deve conter um mínimo de quatro tipos de caracteres e um mínimo de um caractere para cada tipo.

    Comandos de exibição e manutenção para controle de senha

    Execute comandos de exibição em qualquer visualização e redefina comandos na visualização do usuário.

    Tarefa Comando
    Exibir a configuração do controle de senha. exibir controle de senha [ super ]
    Exibir informações sobre usuários na lista negra de controle de senhas. exibir lista negra de controle de senhas [ user-name user-name | ip ipv4-address | ipv6 ipv6-address]
    Exclua usuários da lista negra de controle de senhas. redefinir lista negra de controle de senha [ nome do usuário nome do usuário ]
    Limpar registros de senha do histórico. reset password-control history-record [ user-name user-name | super [ role role-name ] | network-class [ user-name user-name ] ] ]

    OBSERVAÇÃO:

    O comando reset password-control history-record pode excluir os registros de histórico de senhas de um ou de todos os usuários, mesmo quando o recurso de gerenciamento de histórico de senhas estiver desativado.

    Exemplos de configuração de controle de senha

    Exemplo: Configuração do controle de senhas

    Configuração de rede

    Configure uma política global de controle de senhas para atender aos seguintes requisitos:

    • A senha deve conter um mínimo de 16 caracteres.
    • Uma senha deve conter um mínimo de quatro tipos de caracteres e um mínimo de quatro caracteres para cada tipo.
    • Um usuário de FTP ou VTY que não fornecer a senha correta em duas tentativas sucessivas de login será permanentemente proibido de fazer login.
    • Um usuário pode fazer login cinco vezes dentro de 60 dias após a expiração da senha.
    • Uma senha expira após 30 dias.
    • O intervalo mínimo de atualização da senha é de 36 horas.
    • O tempo máximo de inatividade da conta é de 30 dias.
    • Uma senha não pode conter o nome de usuário ou o inverso do nome de usuário.
    • Não é permitido um mínimo de três caracteres consecutivos idênticos em uma senha.

    Configure uma política de controle de super senha para a função de usuário network-operator para atender aos seguintes requisitos:

    • Uma super senha deve conter um mínimo de 24 caracteres.
    • Uma super senha deve conter um mínimo de quatro tipos de caracteres e um mínimo de cinco caracteres para cada tipo.

    Configure uma política de controle de senha para o teste de usuário Telnet local para atender aos seguintes requisitos:

    • A senha deve conter um mínimo de 24 caracteres.
    • A senha deve conter um mínimo de quatro tipos de caracteres e um mínimo de cinco caracteres para cada tipo.
    • A senha do usuário local expira após 20 dias.

    Procedimento

    # Habilite o recurso de controle de senha globalmente.

    <Sysname>  system-view
                     [Sysname] password-control enable

    # Desative uma conta de usuário permanentemente se um usuário falhar em duas tentativas consecutivas de login na conta de usuário.

    [Sysname] password-control login-attempt 2 exceed lock

    # Defina todas as senhas para expirar após 30 dias.

    [Sysname] password-control login-attempt 2 exceed lock

    # Defina globalmente o comprimento mínimo da senha para 16 caracteres.

    [Sysname] password-control length 16

    # Defina o intervalo mínimo de atualização da senha para 36 horas.

    [Sysname] password-control update-interval 36

    # Especifique que um usuário pode fazer login cinco vezes dentro de 60 dias após a expiração da senha.

    [Sysname] password-control expired-user-login delay 60 times 5

    # Defina o tempo máximo de inatividade da conta como 30 dias.

    [Sysname] password-control login idle-time 30

    # Recusar qualquer senha que contenha o nome de usuário ou o inverso do nome de usuário.

    [Sysname] password-control complexity user-name check

    # Recuse uma senha que contenha um mínimo de três caracteres consecutivos idênticos.

    [Sysname] password-control complexity same-character check

    # Especifique globalmente que todas as senhas devem conter um mínimo de quatro tipos de caracteres e um mínimo de quatro caracteres para cada tipo.

    [Sysname] password-control composition type-number 4 type-length 4

    # Defina o comprimento mínimo da super senha para 24 caracteres.

    [Sysname] password-control super length 24

    # Especifique que uma super senha deve conter um mínimo de quatro tipos de caracteres e um mínimo de cinco caracteres para cada tipo.

    [Sysname] password-control super composition type-number 4 type-length 5

    # Configure uma super senha usada para mudar para a função de usuário network-operator como

    123456789ABGFTweuix@#$%! em texto simples.

    [Sysname] super password role network-operator simple 123456789ABGFTweuix@#$%!

    # Crie um usuário de gerenciamento de dispositivos chamado test.

    [Sysname] local-user test class manage

    # Defina o tipo de serviço do usuário como Telnet.

    [Sysname-luser-manage-test] service-type telnet

    # Defina o comprimento mínimo da senha como 24 para o usuário local.

    [Sysname-luser-manage-test] password-control length 24

    # Especifique que a senha do usuário local deve conter um mínimo de quatro tipos de caracteres e um mínimo de cinco caracteres para cada tipo.

    [Sysname-luser-manage-test] password-control composition type-number 4 type-length 5

    # Defina a senha do usuário local para expirar após 20 dias.

    [Sysname-luser-manage-test] password-control aging 20

    # Configure a senha do usuário local no modo interativo.

    [Sysname-luser-manage-test] password
                     Password:
                     Confirm :
                     Updating user information. Please wait ... ...
                     [Sysname-luser-manage-test] quit

    Verificação da configuração

    # Exibir a configuração do controle de senha global.

    <Sysname>  display password-control
                     Global password control configurations:
                     Password control: Enabled(device management users)
                     Disabled (network access users)
                     Password aging: Enabled (30 days)
                     Password length: Enabled (16 characters)
                     Password composition: Enabled (4 types, 4 characters per type)
                     Password history: Enabled (max history record:4)
                     Early notice on password expiration: 7 days
                     Maximum login attempts: 2
                     User authentication timeout: 600 seconds
                     Action for exceeding login attempts: Lock
                     Minimum interval between two updates: 36 hours
                     User account idle time: 30 days
                     Logins with aged password: 5 times in 60 days
                     Password complexity: Enabled (username checking)
                     Enabled (repeated characters checking)
                     Password change: Enabled (first login)
                     Disabled (mandatory weak password change)

    # Exibir a configuração de controle de senha para super senhas.

    <Sysname> display password-control super
                     Super password control configurations:
                     Password aging: Enabled (90 days)
                     Password length: Enabled (24 characters)
                     Password composition: Enabled (4 types, 5 characters per type)

    # Exibir a configuração de controle de senha para o teste de usuário local.

    <Sysname> display local-user user-name test class manage
                     Total 1 local users matched.
                     Device management user test:
                     State: Active
                     Service type: Telnet
                     User group: system
                     Bind attributes:
                     Authorization attributes:
                     Work directory: flash:
                     User role list: network-operator
                     Password control configurations:
                     Password aging: 20 days
                     Password length: 24 characters
                     Password composition: 4 types, 5 characters per type

    Gerenciamento de chaves públicas

    Sobre o gerenciamento de chaves públicas

    Este capítulo descreve o gerenciamento de chaves públicas para os seguintes algoritmos de chaves assimétricas:

    • Algoritmo Revest-Shamir-Adleman (RSA).
    • Algoritmo de assinatura digital (DSA).
    • Algoritmo de assinatura digital de curva elíptica (ECDSA).

    Visão geral do algoritmo de chave assimétrica

    Os algoritmos de chave assimétrica são usados por aplicativos de segurança para proteger as comunicações entre duas partes, conforme mostrado na Figura 1. Os algoritmos de chave assimétrica usam duas chaves separadas (uma pública e uma privada) para criptografia e descriptografia. Os algoritmos de chave simétrica usam apenas uma chave.

    Figura 1 Criptografia e descriptografia

    O proprietário da chave pode distribuir a chave pública em texto simples na rede, mas deve manter a chave privada em privacidade. É matematicamente inviável calcular a chave privada, mesmo que um invasor conheça o algoritmo e a chave pública.

    Uso de algoritmos de chave assimétrica

    Os aplicativos de segurança (como SSH, SSL e PKI) usam os algoritmos de chave assimétrica para as seguintes finalidades:

    • Criptografia e descriptografia - Qualquer receptor de chave pública pode usar a chave pública para criptografar informações, mas somente o proprietário da chave privada pode descriptografar as informações.
    • Assinatura digital - O proprietário da chave usa a chave privada para assinar digitalmente as informações a serem enviadas. O receptor descriptografa as informações com a chave pública do remetente para verificar a autenticidade das informações.

    RSA, DSA e ECDSA podem realizar assinatura digital, mas somente o RSA pode realizar criptografia e descriptografia.

    Conformidade com FIPS

    O dispositivo é compatível com o modo FIPS que atende aos requisitos do NIST FIPS 140-2. O suporte a recursos, comandos e parâmetros pode ser diferente no modo FIPS (consulte "Configuração de FIPS") e no modo não-FIPS.

    Visão geral das tarefas de gerenciamento de chaves públicas

    Para gerenciar chaves públicas, execute as seguintes tarefas:

    • Criação de um par de chaves local
    • Distribuir uma chave pública de host local Escolha uma das tarefas a seguir:
      • Exportação de uma chave pública de host
      • Exibição de uma chave pública de host

    Para permitir que o dispositivo par autentique o dispositivo local, você deve distribuir a chave pública do dispositivo local para o dispositivo par.

    • Configuração de uma chave pública de host de par Escolha uma das tarefas a seguir:
      • Importação de uma chave pública de host de par a partir de um arquivo de chave pública
      • Inserção de uma chave pública de host de par

    Para criptografar informações enviadas a um dispositivo par ou autenticar a assinatura digital do dispositivo par, você deve configurar a chave pública do dispositivo par no dispositivo local.

    • (Opcional.) Destruição de um par de chaves local

    Criação de um par de chaves local

    Restrições e diretrizes

    Quando você criar um par de chaves locais, siga estas diretrizes:

    • O algoritmo de chave deve ser o mesmo exigido pelo aplicativo de segurança.
    • Quando você criar um par de chaves RSA ou DSA, insira um comprimento de módulo de chave apropriado no prompt. Quanto maior for o comprimento do módulo da chave, maior será a segurança e maior será o tempo de geração da chave.

    Quando você criar um par de chaves ECDSA, escolha a curva elíptica apropriada. A curva elíptica determina o comprimento da chave ECDSA. Quanto maior for o comprimento da chave, maior será a segurança e maior será o tempo de geração da chave.

    Consulte a Tabela 1 para obter mais informações sobre comprimentos de módulo de chave e comprimentos de chave.

    • Se você não atribuir um nome ao par de chaves, o sistema atribuirá o nome padrão ao par de chaves e marcará o par de chaves como padrão. Você também pode atribuir o nome padrão a outro par de chaves, mas o sistema não marcará o par de chaves como padrão. O nome do par de chaves deve ser exclusivo entre todos os pares de chaves nomeados manualmente que usam o mesmo algoritmo de chaves. Se ocorrer um conflito de nomes, o sistema perguntará se você deseja substituir o par de chaves existente.
    • Os pares de chaves são salvos automaticamente e podem sobreviver às reinicializações do sistema.

    Tabela 1 Uma comparação de diferentes tipos de algoritmos de chave assimétrica

    Tipo Pares de chaves gerados Comprimento do módulo/chave
    RSA No modo não-FIPS: Um par de chaves de host, se você especificar um nome de par de chaves. Um par de chaves de servidor e um par de chaves de host, se você não especificar um nome de par de chaves. Ambos os pares de chaves usam seus nomes padrão. No modo FIPS: Um par de chaves do host. OBSERVAÇÃO: Somente o SSH 1.5 usa o par de chaves do servidor RSA. Comprimento do módulo da chave RSA: No modo não-FIPS: 512 a 4096 bits, 1024 bits por padrão. Para garantir a segurança, use um mínimo de 768 bits. No modo FIPS: Um múltiplo de 256 bits no intervalo de 2048 a 4096 bits, 2048 bits por padrão.
    Tipo Pares de chaves gerados Comprimento do módulo/chave
    DSA Um par de chaves de host. Comprimento do módulo da chave DSA: No modo não-FIPS: 512 a 2048 bits, 1024 bits por padrão. Para garantir a segurança, use um mínimo de 768 bits. No modo FIPS: 2048 bits.
    ECDSA Um par de chaves de host. Comprimento da chave ECDSA: No modo não-FIPS: 192, 256, 384 ou 521 bits. No modo FIPS: 256, 384 ou 521 bits.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Crie um par de chaves local. No modo não-FIPS:
    public-key local create { dsa | ecdsa [ secp192r1 | secp256r1 | secp384r1
                  | secp521r1 ] | rsa } [ name key-name ]

    No modo FIPS:

    public-key local create { dsa | ecdsa [ secp256r1 | secp384r1 |
                  secp521r1 ] | rsa } [ name key-name ]

    Distribuição de uma chave pública de host local

    Sobre a distribuição de chaves públicas do host local

    Você deve distribuir uma chave pública de host local a um dispositivo par para que ele possa realizar as seguintes operações:

    • Use a chave pública para criptografar as informações enviadas ao dispositivo local.
    • Autenticar a assinatura digital assinada pelo dispositivo local.

    Para distribuir uma chave pública de host local, você deve primeiro exportar ou exibir a chave.

    • Exportar uma chave pública do host:
      • Exportar uma chave pública de host para um arquivo.
      • Exporte uma chave pública de host para a tela do monitor e salve-a em um arquivo.

    Depois que a chave for exportada para um arquivo, transfira o arquivo para o dispositivo par. No dispositivo par, importe a chave do arquivo.

    • Exibir uma chave pública de host.

    Depois que a chave for exibida, registre-a; por exemplo, copie-a em um arquivo não formatado. No dispositivo par , você deve digitar literalmente a chave.

    Exportação de uma chave pública de host

    Restrições e diretrizes

    Quando você exportar uma chave pública de host, siga estas restrições e diretrizes:

    • Se você especificar um nome de arquivo no comando, o comando exportará a chave para o arquivo especificado.
    • Se você não especificar um nome de arquivo, o comando exportará a chave para a tela do monitor. Você deve salvar manualmente a chave exportada em um arquivo.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Exportar uma chave pública de host local.
      • Exportar uma chave pública de host RSA: No modo não-FIPS:
    public-key local export rsa [ name key-name ] { openssh | ssh1 | ssh2 }
                     [ filename ]

    No modo FIPS:

    public-key local export rsa [ name key-name ] { openssh | ssh2 }
                     [ filename ]
    • Exportar uma chave pública de host ECDSA.
    public-key local export ecdsa [ name key-name ] { openssh | ssh2 }
                     [ filename ]
    • Exportar uma chave pública de host DSA.
    public-key local export dsa [ name key-name ] { openssh | ssh2 }
                     [ filename ]

    Exibição de uma chave pública de host

    Execute as seguintes tarefas em qualquer visualização:

    • Exibir chaves públicas RSA locais.
    display public-key local rsa public [ name key-name ]

    Não distribua a chave pública do servidor RSA serverkey (padrão) para um dispositivo par.

    • Exibir chaves públicas ECDSA locais.
    display public-key local ecdsa public [ name key-name ]
    • Exibir chaves públicas DSA locais.
    display public-key local dsa public [ name key-name ]

    Configuração de uma chave pública de host de par

    Sobre a configuração da chave pública do host par

    Para criptografar informações enviadas a um dispositivo par ou autenticar a assinatura digital do dispositivo par, você deve configurar a chave pública do dispositivo par no dispositivo local.

    Você pode configurar a chave pública do host par usando os seguintes métodos:

    • Importe a chave pública do host do par de um arquivo de chave pública (recomendado).
    • Insira manualmente (digite ou copie) a chave pública do host do par.

    Para obter informações sobre como obter a chave pública do host de um dispositivo, consulte "Distribuição de uma chave pública do host local".

    Restrições e diretrizes para a configuração da chave pública do host par

    Quando você configurar uma chave pública de host par, siga estas restrições e diretrizes:

    • Quando você inserir manualmente a chave pública do host par, verifique se a chave inserida está no formato correto. Para obter a chave pública do host par no formato correto, use a tela

    public-key local public para exibir a chave pública no dispositivo par e registrar a chave. O formato da chave pública exibida de qualquer outra forma pode estar incorreto. Se a chave não estiver no formato correto, o sistema descartará a chave e exibirá uma mensagem de erro.

    • Sempre importe em vez de inserir a chave pública do host par se não tiver certeza de que o dispositivo é compatível com o formato da chave pública do host par gravada.

    Importação de uma chave pública de host de par a partir de um arquivo de chave pública

    Sobre a importação de uma chave pública de host par

    Antes de executar essa tarefa, certifique-se de ter exportado a chave pública do host para um arquivo no dispositivo par e de ter obtido o arquivo do dispositivo par. Para obter informações sobre a exportação de uma chave pública de host, consulte "Exportação de uma chave pública de host".

    Depois que você importar a chave, o sistema converterá automaticamente a chave pública importada em uma cadeia de caracteres no formato PKCS (Public Key Cryptography Standards).

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Importar uma chave pública de host de par a partir de um arquivo de chave pública.
    public-key peer keyname import sshkey filename

    Por padrão, não existem chaves públicas de host de pares.

    Inserção de uma chave pública de host de par

    Sobre a inserção de uma chave pública de host de par

    Antes de executar essa tarefa, certifique-se de ter exibido a chave no dispositivo par e gravado a chave. Para obter informações sobre a exibição de uma chave pública de host, consulte "Exibição de uma chave pública de host".

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Especifique um nome para a chave pública do host par e entre no modo de exibição de chave pública.
    public-key peer keyname
    • Digite ou copie a chave.

    Você pode usar espaços e retornos de carro, mas o sistema não os salva.

    • Sair da visualização da chave pública.
    peer-public-key end

    Quando você sai da visualização da chave pública, o sistema salva automaticamente a chave pública do host par.

    Destruição de um par de chaves local

    Sobre a destruição de um par de chaves local

    Para garantir a segurança, destrua o par de chaves local e gere um novo par de chaves em qualquer uma das seguintes situações:

    • Houve vazamento da chave local. Pode ocorrer um evento de intrusão.
    • A mídia de armazenamento do dispositivo é substituída.
    • O certificado local expirou. Para obter mais informações sobre certificados locais, consulte "Configuração da PKI do site ".

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Destruir um par de chaves local.
    public-key local destroy { dsa | ecdsa | rsa } [ name key-name ]

    Comandos de exibição e manutenção de chaves públicas

    Executar comandos de exibição em qualquer visualização.

    Tarefa Comando
    Exibir chaves públicas locais. display public-key local { dsa | ecdsa | rsa } public [ name key-name ]
    Exibir chaves públicas do host par. display public-key peer [ brief | name publickey-name ]

    Exemplos de gerenciamento de chaves públicas

    Exemplo: Inserção de uma chave pública de host de par

    Configuração de rede

    Conforme mostrado na Figura 2, para evitar acesso ilegal, o Dispositivo B autentica o Dispositivo A por meio de uma assinatura digital. Antes de configurar os parâmetros de autenticação no Dispositivo B, use o procedimento a seguir para configurar a chave pública do Dispositivo A no Dispositivo B:

    • Crie pares de chaves RSA no Dispositivo A e exiba as chaves públicas dos pares de chaves RSA.
    • Especifique manualmente a chave pública do host RSA do Dispositivo A no Dispositivo B.

    Figura 2 Diagrama de rede

    Procedimento

    • Configurar o dispositivo A:

    # Crie pares de chaves RSA locais com os nomes padrão no Dispositivo A e use o comprimento do módulo de chave padrão (1024 bits).

    [DeviceA] display public-key local rsa public
                     =============================================
                     Key name: hostkey (default)
                     Key type: RSA
                     Time when key pair created: 16:48:31 2011/05/12
                     Key code:
                     30819F300D06092A864886F70D010101050003818D0030818902818100DA3B90F59237347B
                     8D41B58F8143512880139EC9111BFD31EB84B6B7C7A1470027AC8F04A827B30C2CAF79242E
                     45FDFF51A9C7E917DB818D54CB7AEF538AB261557524A7441D288EC54A5D31EFAE4F681257
                     6D7796490AF87A8C78F4A7E31F0793D8BA06FB95D54EBB9F94EB1F2D561BF66EA27DFD4788
                     CB47440AF6BB25ACA50203010001
                     =============================================
                     Key name: serverkey (default)
                     Key type: RSA
                     Time when key pair created: 16:48:31 2011/05/12
                     Key code:
                     307C300D06092A864886F70D0101010500036B003068026100C9451A80F7F0A9BA1A90C7BC
                     1C02522D194A2B19F19A75D9EF02219068BD7FD90FCC2AF3634EEB9FA060478DD0A1A49ACE
                     E1362A4371549ECD85BA04DEE4D6BB8BE53B6AED7F1401EE88733CA3C4CED391BAE633028A
                     AC41C80A15953FB22AA30203010001
    • Configurar o dispositivo B:

    # Digite a chave pública do host do Dispositivo A na exibição de chave pública. A chave deve ser literalmente a mesma exibida no Dispositivo A.

    <DeviceB> system-view
                     [DeviceB] public-key peer devicea
                     Enter public key view. Return to system view with "peer-public-key end" command.
                     [DeviceB-pkey-public-key-devicea]30819F300D06092A864886F70D010101050003818D003081
                     8902818100DA3B90F59237347B
                     [DeviceB-pkey-public-key-devicea]8D41B58F8143512880139EC9111BFD31EB84B6B7C7A14700
                     27AC8F04A827B30C2CAF79242E
                     [DeviceB-pkey-public-key-devicea]45FDFF51A9C7E917DB818D54CB7AEF538AB261557524A744
                     1D288EC54A5D31EFAE4F681257
                     [DeviceB-pkey-public-key-devicea]6D7796490AF87A8C78F4A7E31F0793D8BA06FB95D54EBB9F
                     94EB1F2D561BF66EA27DFD4788
                     [DeviceB-pkey-public-key-devicea]CB47440AF6BB25ACA50203010001

    Verificação da configuração

    # Verifique se a chave pública do host par configurada no Dispositivo B é a mesma que a chave exibida no Dispositivo A.

    [DeviceB] display public-key peer name devicea
                     =============================================
                     Key name: devicea
                     Key type: RSA
                     Key modulus: 1024
                     Key code:
                     30819F300D06092A864886F70D010101050003818D0030818902818100DA3B90F59237347B
                     8D41B58F8143512880139EC9111BFD31EB84B6B7C7A1470027AC8F04A827B30C2CAF79242E
                     45FDFF51A9C7E917DB818D54CB7AEF538AB261557524A7441D288EC54A5D31EFAE4F681257
                     6D7796490AF87A8C78F4A7E31F0793D8BA06FB95D54EBB9F94EB1F2D561BF66EA27DFD4788
                     CB47440AF6BB25ACA50203010001

    Exemplo: Importação de uma chave pública de um arquivo de chave pública

    Configuração de rede

    Conforme mostrado na Figura 3, o Dispositivo B autentica o Dispositivo A por meio de uma assinatura digital. Antes de configurar os parâmetros de autenticação no Dispositivo B, use o procedimento a seguir para configurar a chave pública do Dispositivo A no Dispositivo B:

    • Crie pares de chaves RSA no Dispositivo A e exporte a chave pública do host RSA para um arquivo.
    • Importe a chave pública do host RSA do Dispositivo A do arquivo de chave pública para o Dispositivo B.

    Figura 3 Diagrama de rede

    Procedimento

    • Configurar o dispositivo A:

    # Crie pares de chaves RSA locais com os nomes padrão no Dispositivo A e use o comprimento do módulo de chave padrão (1024 bits).

    <DeviceA> system-view
                     [DeviceA] public-key local create rsa
                     The range of public key modulus is (512 ~ 4096).
                     If the key modulus is greater than 512, it will take a few minutes.
                     Press CTRL+C to abort.
                     Input the modulus length [default = 1024]:
                     Generating Keys...
                     ...
                     Create the key pair successfully.

    # Exibir todas as chaves públicas RSA locais.

    [DeviceA] display public-key local rsa public
                     =============================================
                     Device A Device B
                     10.1.1.1/24 10.1.1.2/24
                     9
                     Key name: hostkey (default)
                     Key type: RSA
                     Time when key pair created: 16:48:31 2011/05/12
                     Key code:
                     30819F300D06092A864886F70D010101050003818D0030818902818100DA3B90F59237347B
                     8D41B58F8143512880139EC9111BFD31EB84B6B7C7A1470027AC8F04A827B30C2CAF79242E
                     45FDFF51A9C7E917DB818D54CB7AEF538AB261557524A7441D288EC54A5D31EFAE4F681257
                     6D7796490AF87A8C78F4A7E31F0793D8BA06FB95D54EBB9F94EB1F2D561BF66EA27DFD4788
                     CB47440AF6BB25ACA50203010001
                     =============================================
                     Key name: serverkey (default)
                     Key type: RSA
                     Time when key pair created: 16:48:31 2011/05/12
                     Key code:
                     307C300D06092A864886F70D0101010500036B003068026100C9451A80F7F0A9BA1A90C7BC
                     1C02522D194A2B19F19A75D9EF02219068BD7FD90FCC2AF3634EEB9FA060478DD0A1A49ACE
                     E1362A4371549ECD85BA04DEE4D6BB8BE53B6AED7F1401EE88733CA3C4CED391BAE633028A
                     AC41C80A15953FB22AA30203010001

    # Exporte a chave pública do host RSA para o arquivo devicea.pub.

    [DeviceA] public-key local export rsa ssh2 devicea.pub

    # Habilite o servidor FTP, crie um usuário FTP com nome de usuário ftp e senha hello12345 e configure a função do usuário FTP como network-admin.

    [DeviceA] ftp server enable
                     [DeviceA] local-user ftp
                     [DeviceA-luser-manage-ftp] password simple hello12345
                     [DeviceA-luser-manage-ftp] service-type ftp
                     [DeviceA-luser-manage-ftp] authorization-attribute user-role network-admin
                     [DeviceA-luser-manage-ftp] quit
    • Configurar o dispositivo B:

    # Use o FTP no modo binário para obter o arquivo de chave pública devicea.pub do dispositivo A.

    <DeviceB> ftp 10.1.1.1
                     Connected to 10.1.1.1 (10.1.1.1).
                     220 FTP service ready.
                     User(10.1.1.1:(none)):ftp
                     331 Password required for ftp.
                     Password:
                     230 User logged in.
                     Remote system type is UNIX.
                     Using binary mode to transfer files.
                     ftp> binary
                     200 TYPE is now 8-bit binary
                     ftp> get devicea.pub
                     227 Entering Passive Mode (10,1,1,1,118,252)
                     150 Accepted data connection
                     226 File successfully transferred
                     301 bytes received in 0.003 seconds (98.0 kbyte/s)
                     ftp> quit
                     221-Goodbye. You uploaded 0 and downloaded 1 kbytes.
                     10
                     221 Logout

    # Importe a chave pública do host do arquivo de chaves devicea.pub.

    <DeviceB> system-view
                     [DeviceB] public-key peer devicea import sshkey devicea.pub

    Verificação da configuração

    # Verifique se a chave pública do host par configurada no Dispositivo B é a mesma que a chave exibida no Dispositivo A.

    [DeviceB] display public-key peer name devicea
                     =============================================
                     Key name: devicea
                     Key type: RSA
                     Key modulus: 1024
                     Key code:
                     30819F300D06092A864886F70D010101050003818D0030818902818100DA3B90F59237347B
                     8D41B58F8143512880139EC9111BFD31EB84B6B7C7A1470027AC8F04A827B30C2CAF79242E
                     45FDFF51A9C7E917DB818D54CB7AEF538AB261557524A7441D288EC54A5D31EFAE4F681257
                     6D7796490AF87A8C78F4A7E31F0793D8BA06FB95D54EBB9F94EB1F2D561BF66EA27DFD4788
                     CB47440AF6BB25ACA50203010001

    Configuração de PKI

    Sobre a PKI

    A infraestrutura de chave pública (PKI) é uma infraestrutura de chave assimétrica para criptografar e descriptografar dados para proteger os serviços de rede.

    A PKI usa certificados digitais para distribuir e empregar chaves públicas e fornece comunicação de rede e comércio eletrônico com serviços de segurança, como autenticação de usuário, confidencialidade de dados e integridade de dados. Para obter mais informações sobre chaves públicas, consulte "Gerenciamento de chaves públicas ".

    Terminologia da PKI

    Certificado digital

    Um certificado digital é um documento eletrônico assinado por uma CA que vincula uma chave pública à identidade de seu proprietário.

    Um certificado digital inclui as seguintes informações:

    • Nome do emissor (nome da CA que emitiu o certificado).
    • Nome do titular (nome do indivíduo ou grupo para o qual o certificado é emitido).
    • Informações de identidade do sujeito.
    • Chave pública do sujeito.
    • Assinatura do CA.
    • Período de validade.

    Um certificado digital deve estar em conformidade com os padrões internacionais do ITU-T X.509, dos quais o X.509 v3 é o mais comumente usado.

    Este capítulo aborda os seguintes tipos de certificados:

    • Certificado de CA - Certificado de uma CA. Várias CAs em um sistema de PKI formam uma árvore de CAs, com a CA raiz no topo. A CA raiz gera um certificado autoassinado, e cada CA de nível inferior possui um certificado de CA emitido pela CA imediatamente acima dela. A cadeia desses certificados forma uma cadeia de confiança.
    • Certificado de autoridade de registro (RA) - Certificado emitido por uma AC para uma RA. As RAs atuam como proxies das CAs para processar solicitações de registro em um sistema PKI.
    • Certificado local - certificado digital emitido por uma CA para uma entidade de PKI local, que contém a chave pública da entidade.
    • Certificado de par - certificado digital assinado por CA de um par, que contém a chave pública do par.

    Impressão digital do certificado da CA raiz

    Cada certificado de CA raiz tem uma impressão digital exclusiva, que é o valor de hash do conteúdo do certificado. A impressão digital de um certificado de CA raiz pode ser usada para autenticar a validade da CA raiz.

    Lista de revogação de certificados

    Uma lista de revogação de certificados (LCR) é uma lista de números de série de certificados que foram revogados. Uma LCR é criada e assinada pela CA que originalmente emitiu os certificados.

    A CA publica CRLs periodicamente para revogar certificados. As entidades associadas aos certificados revogados não devem ser confiáveis.

    A CA deve revogar um certificado quando ocorrer uma das seguintes condições:

    • O nome do assunto do certificado é alterado.
    • A chave privada está comprometida.
    • A associação entre o sujeito e o CA é alterada. Por exemplo, quando um funcionário deixa de trabalhar em uma organização.

    Política da CA

    Uma política de AC é um conjunto de critérios que uma AC segue para processar solicitações de certificados, emitir e revogar certificados e publicar LCRs. Normalmente, uma AC anuncia sua política em uma declaração de prática de certificação (CPS). Você pode obter uma política de AC por meios externos, como telefone, disco e e-mail. Certifique-se de entender a política da CA antes de selecionar uma CA confiável para solicitação de certificado, pois diferentes CAs podem usar políticas diferentes.

    Arquitetura de PKI

    Um sistema de PKI consiste em entidades de PKI, ACs, RAs e um repositório de certificados/CRLs, conforme mostrado na Figura 1.

    Figura 1 Arquitetura de PKI

    Entidade PKI

    Uma entidade de PKI é um usuário final que usa certificados de PKI. A entidade de PKI pode ser um operador, uma organização, um dispositivo como um roteador ou um switch, ou um processo em execução em um computador. As entidades de PKI usam o SCEP para se comunicar com a CA ou RA.

    CA

    Autoridade de certificação que concede e gerencia certificados. Uma CA emite certificados, define os períodos de validade do certificado e revoga certificados publicando LCRs.

    RA

    Autoridade de registro, que descarrega a CA ao processar solicitações de inscrição de certificados. A RA aceita solicitações de certificados, verifica a identidade do usuário e determina se deve solicitar à CA a emissão de certificados.

    O RA é opcional em um sistema de PKI. Nos casos em que houver preocupação com a segurança de expor a CA ao acesso direto à rede, é aconselhável delegar algumas das tarefas a um RA. Assim, a AC pode se concentrar em suas tarefas principais de assinar certificados e LCRs.

    Repositório de certificados/CRLs

    Um ponto de distribuição de certificados que armazena certificados e LCRs e distribui esses certificados e LCRs para entidades de PKI. Ele também fornece a função de consulta. Um repositório de PKI pode ser um servidor de diretório que usa o protocolo LDAP ou HTTP, sendo que o LDAP é comumente usado.

    Recuperação, uso e manutenção de um certificado digital

    O fluxo de trabalho a seguir descreve a recuperação, o uso e a manutenção de um certificado digital. Este exemplo de usa uma CA que tem uma RA para processar solicitações de registro de certificados.

    • Uma entidade de PKI gera um par de chaves assimétricas e envia uma solicitação de certificado à RA. A solicitação de certificado contém a chave pública e suas informações de identidade.
    • A RA verifica a identidade da entidade e envia uma assinatura digital contendo as informações de identidade e a chave pública para a CA.
    • A CA verifica a assinatura digital, aprova a solicitação e emite um certificado.
    • Após receber o certificado da CA, a RA envia o certificado para o repositório de certificados e notifica a entidade PKI de que o certificado foi emitido.
    • A entidade PKI obtém o certificado do repositório de certificados.
    • Para estabelecer uma conexão segura para comunicação, duas entidades de PKI trocam certificados locais para autenticar uma à outra. A conexão só pode ser estabelecida se ambas as entidades verificarem que o certificado do par é válido.
    • Você pode remover o certificado local de uma entidade PKI e solicitar um novo quando ocorrer uma das seguintes condições:
      • O certificado local está prestes a expirar.
      • A chave privada do certificado está comprometida.

    Aplicativos de PKI

    VPN

    A tecnologia PKI pode atender aos requisitos de segurança das transações on-line. Como uma infraestrutura, a PKI tem uma ampla gama de aplicações. O sistema de PKI da Intelbras pode fornecer gerenciamento de certificados para IPsec e SSL.

    Veja a seguir alguns exemplos de aplicativos.

    Uma VPN é uma rede privada de comunicação de dados construída sobre a infraestrutura de comunicação pública. Uma VPN pode usar protocolos de segurança de camada de rede (por exemplo, IPsec) em conjunto com criptografia baseada em PKI e tecnologias de assinatura digital para confidencialidade.

    E-mails seguros

    A PKI pode atender aos requisitos de confidencialidade, integridade, autenticação e não repúdio do e-mail. Um protocolo de e-mail seguro comum é o Secure/Multipurpose Internet Mail Extensions (S/MIME), que se baseia na PKI e permite a transferência de e-mails criptografados com assinatura.

    Segurança na Web

    A PKI pode ser usada na fase de handshake do SSL para verificar as identidades das partes comunicantes por meio de certificados digitais.

    Conformidade com FIPS

    O dispositivo é compatível com o modo FIPS que atende aos requisitos do NIST FIPS 140-2. O suporte a recursos, comandos e parâmetros pode ser diferente no modo FIPS (consulte "Configuração de FIPS") e no modo não-FIPS.

    Visão geral das tarefas de PKI

    Para configurar a PKI, execute as seguintes tarefas:

    • Configuração de uma entidade PKI
    • Configuração de um domínio PKI
    • (Opcional.) Especificar o caminho de armazenamento para certificados e LCRs
    • Solicitação de um certificado

    Escolha uma das seguintes tarefas:

    • Ativação do modo de solicitação automática de certificado on-line
    • Envio manual de uma solicitação de certificado on-line
    • Envio manual de uma solicitação de certificado no modo off-line
    • (Opcional.) Abortar uma solicitação de certificado
  • (Opcional.) Obtenção de certificados

    • Você pode obter o certificado da CA, os certificados locais e os certificados de pares relacionados a um domínio PKI de uma CA e salvá-los localmente para aumentar a eficiência da pesquisa.

    • (Opcional.) Verificação de certificados PKI
    • (Opcional.) Exportação de certificados
    • (Opcional.) Remoção de um certificado
    • (Opcional.) Configuração de uma política de controle de acesso baseada em certificado

    As políticas de controle de acesso baseadas em certificados permitem autorizar o acesso a um dispositivo (por exemplo, um servidor HTTPS) com base nos atributos do certificado de um cliente autenticado.

    Configuração de uma entidade PKI

    Sobre as entidades de PKI

    Um solicitante de certificado usa uma entidade para fornecer suas informações de identidade a uma AC. Uma entidade PKI válida deve incluir uma ou mais das seguintes categorias de identidade:

    • Nome distinto (DN) da entidade, que inclui ainda o nome comum, o código do país, a localidade, a organização, a unidade na organização e o estado. Se você configurar o DN para uma entidade, será necessário um nome comum.
    • FQDN da entidade.
    • Endereço IP da entidade.

    Restrições e diretrizes

    Siga estas restrições e diretrizes ao configurar uma entidade de PKI:

    • O fato de as categorias de identidade serem obrigatórias ou opcionais depende da política da CA. Siga a política da CA para definir as configurações da entidade. Por exemplo, se a política da CA exigir o DN da entidade, mas você configurar apenas o endereço IP, a CA rejeitará a solicitação de certificado da entidade.
    • O complemento SCEP no servidor CA do Windows 2000 tem restrições quanto ao comprimento dos dados de uma solicitação de certificado. Se uma solicitação de uma entidade PKI exceder o limite de comprimento de dados, o servidor CA não responderá à solicitação de certificado. Nesse caso, você pode usar um meio fora de banda para enviar a solicitação. Outros tipos de servidores de CA, como servidores RSA e servidores OpenCA, não têm essas restrições.

    Procedimento

    • Entre na visualização do sistema.
    system-view
    • Crie uma entidade PKI e insira sua visualização.
    pki entity entity-name
    • Definir um nome comum para a entidade.
    common-name common-name-sting

    Por padrão, o nome comum não é definido.

    • Definir o código do país da entidade.
      • country country-code-string

      Por padrão, o código do país não é definido.

    • Define a localidade da entidade.
      • locality locality-name

      Por padrão, a localidade não é definida.

    • Definir a organização da entidade.
    organization org-name

    Por padrão, a organização não é definida.

    • Defina a unidade da entidade na organização.
      • organization-unit org-unit-name

      Por padrão, a unidade não é definida.

    • Define o estado em que a entidade reside.
    state state-name

    Por padrão, o estado não é definido.

    • Define o FQDN da entidade. 
      • fqdn fqdn-name-string

      Por padrão, o FQDN não é definido.

    • Configure o endereço IP da entidade.
    ip { ip-address | interface interface-type interface-number }

    Por padrão, o endereço IP não está configurado.

    Configuração de um domínio PKI

    Sobre o domínio PKI

    Um domínio de PKI contém informações de registro para uma entidade de PKI. Ele é localmente significativo e destina-se apenas ao uso por outros aplicativos, como IKE e SSL.

    Visão geral das tarefas do domínio PKI

    Para configurar um domínio PKI, execute as seguintes tarefas:

    • Criação de um domínio PKI
    • Especificando a CA confiável
    • Especificando o nome da entidade PKI
    • Especificação da autoridade de recepção da solicitação de certificado
    • Especificação do URL de solicitação de certificado
    • (Opcional.) Configuração do intervalo de sondagem SCEP e do número máximo de tentativas de sondagem
    • Especificação do servidor LDAP

    Essa tarefa é necessária quando uma das seguintes condições for atendida:

    • O dispositivo deve obter certificados da CA usando o protocolo LDAP.
    • Um URL LDAP que não contém o nome do host do servidor LDAP é especificado como o URL do repositório de LCR.
    • Especificação da impressão digital para verificação do certificado da CA raiz

    Essa etapa é necessária se o modo de solicitação automática de certificado estiver configurado no domínio da PKI.

    Se o modo de solicitação manual de certificado estiver configurado, você poderá ignorar essa etapa e verificar manualmente a impressão digital exibida durante a verificação do certificado da CA raiz.

  • Especificação do par de chaves para solicitação de certificado
  • (Opcional.) Especificar a finalidade pretendida para o certificado
  • (Opcional.) Especificar o endereço IP de origem dos pacotes do protocolo PKI

    • Criação de um domínio PKI

    • Entre na visualização do sistema.
    system-view
    • Crie um domínio PKI e insira sua visualização.
    pki domain domain-name

    Especificando a CA confiável

    Sobre a especificação da CA confiável

    O domínio PKI deve ter um certificado de CA antes que você possa solicitar um certificado local. Para obter um certificado de CA, o nome da CA confiável deve ser especificado. O nome da CA confiável identifica exclusivamente a CA a ser usada se houver várias CAs no servidor de CA.

    Procedimento

    • Entre na visualização do sistema.
    system-view
    • Entre na visualização do domínio PKI.
    pki domain domain-name
    • Especifique o nome da CA confiável.
    ca identifier name

    Por padrão, nenhum nome de CA confiável é especificado.

    Especificando o nome da entidade PKI

    • Entre na visualização do sistema.
    system-view
    • Entre na visualização do domínio PKI.
    pki domain domain-name
    • Especifique o nome da entidade PKI.
    certificate request entity entity-name

    Por padrão, nenhum nome de entidade PKI é especificado.

    Especificação da autoridade de recepção da solicitação de certificado

    • Entre na visualização do sistema.
    system-view
    • Entre na visualização do domínio PKI.
    pki domain domain-name
    • Especifique a autoridade de recepção da solicitação de certificado.
    certificate request from { ca | ra }

    Por padrão, nenhuma autoridade de recepção de solicitação de certificado é especificada.

    Especificação do URL de solicitação de certificado

    • Entre na visualização do sistema.
    system-view
    • Entre na visualização do domínio PKI.
    pki domain domain-name
    • Especifique o URL da autoridade de recepção de solicitação de certificado para a qual o dispositivo envia solicitações de certificado.
    certificate request url url-string

    Por padrão, o URL de solicitação de certificado não é especificado.

    Configuração do intervalo de sondagem SCEP e do número máximo de tentativas de sondagem

    • Entre na visualização do sistema.
    system-view
    • Entre na visualização do domínio PKI.
    pki domain domain-name
    • Defina o intervalo de sondagem SCEP e o número máximo de tentativas de sondagem.
    certificate request polling { count count | interval interval }

    Por padrão, o dispositivo pesquisa o servidor CA para obter o status da solicitação de certificado a cada 20 minutos. O número máximo de tentativas de sondagem é 50.

    Especificação do servidor LDAP

    • Entre na visualização do sistema.
    system-view
    • Entre na visualização do domínio PKI.
    pki domain domain-name
    • Especifique o servidor LDAP.
    ldap-server host hostname [ port port-number ]

    Por padrão, nenhum servidor LDAP é especificado.

    Especificação da impressão digital para verificação do certificado da CA raiz

    • Entre na visualização do sistema.
    system-view
    • Entre na visualização do domínio PKI.
    pki domain domain-name
    • Configure a impressão digital para verificar o certificado de CA raiz. No modo não-FIPS:
    root-certificate fingerprint { md5 | sha1 } string

    No modo FIPS:

    root-certificate fingerprint sha1 string

    Por padrão, nenhuma impressão digital é configurada.

    Especificação do par de chaves para solicitação de certificado

    Restrições e diretrizes

    Você pode especificar um par de chaves inexistente para a solicitação de certificado. A entidade PKI cria automaticamente o par de chaves antes de enviar uma solicitação de certificado.

    Procedimento

    • Entre na visualização do sistema.
    system-view
    • Entre na visualização do domínio PKI.
    pki domain domain-name
    • Especifique o par de chaves para a solicitação de certificado.
      • Especifique um par de chaves RSA.
    public-key rsa { { encryption name encryption-key-name [ length
                     key-length ] | signature name signature-key-name [ length key-length ] }
                     * | general name key-name [ length key-length ] }
    • Especifique um par de chaves ECDSA. No modo não-FIPS:
    public-key ecdsa name key-name [ secp192r1 | secp256r1 | secp384r1 | 
                     secp521r1 ]

    No modo FIPS:

    public-key ecdsa name key-name [ secp256r1 | secp384r1 | secp521r1 ]
    • Especifique um par de chaves DSA.
    public-key dsa name key-name [ length key-length ]

    Por padrão, nenhum par de chaves é especificado.

    Especificar a finalidade pretendida para o certificado

    Sobre a especificação da finalidade pretendida para um certificado

    Um certificado emitido contém as extensões que restringem o uso do certificado a finalidades específicas. Você pode especificar as finalidades pretendidas para um certificado, que serão incluídas na solicitação de certificado enviada à autoridade certificadora. Entretanto, as extensões reais contidas em um certificado emitido dependem da política da CA e podem ser diferentes das especificadas no domínio da PKI. O fato de um aplicativo usar o certificado durante a autenticação depende da política do aplicativo.

    As extensões de certificado compatíveis incluem:

    • ike-Certificates com essa extensão podem ser usados por pares IKE.
    • ssl-client - Certificados com essa extensão podem ser usados por clientes SSL.
    • ssl-server - Certificados com essa extensão podem ser usados por servidores SSL.

    Procedimento

    • Entre na visualização do sistema.
    system-view
    • Entre na visualização do domínio PKI.
    pki domain domain-name
    • Especifique o uso pretendido para o certificado.
    usage { ike | ssl-client | ssl-server } *

    Por padrão, o certificado pode ser usado por todos os aplicativos compatíveis, incluindo IKE, cliente SSL, e servidor SSL.

    Especificação do endereço IP de origem para pacotes do protocolo PKI

    Sobre a especificação do endereço IP de origem para pacotes do protocolo PKI

    Essa tarefa é necessária se a política da CA exigir que o servidor da CA aceite solicitações de certificado de um endereço IP ou de uma sub-rede específica.

    Procedimento

    • Entre na visualização do sistema.
    system-view
    • Entre na visualização do domínio PKI.
    pki domain domain-name
    • Especifique um endereço IP de origem para os pacotes do protocolo PKI. IPv4:
    source ip { ip-address | interface interface-type interface-number }

    IPv6:

    source ipv6 { ipv6-address | interface interface-type interface-number }

    Por padrão, o endereço IP de origem dos pacotes do protocolo PKI é o endereço IP da interface de saída .

    Especificação do caminho de armazenamento para certificados e LCRs

    Sobre a especificação do caminho de armazenamento para certificados e LCRs

    O dispositivo tem um caminho de armazenamento padrão para certificados e CRLs. Você pode alterar o caminho de armazenamento e especificar caminhos diferentes para os certificados e as CRLs.

    Depois de alterar o caminho de armazenamento de certificados ou LCRs, os arquivos de certificado e os arquivos de LCR no caminho original são movidos para o novo caminho. Os arquivos de certificado usam a extensão de arquivo .cer ou .p12 e os arquivos de CRL usam a extensão de arquivo .crl.

    Restrições e diretrizes

    Se você alterar o caminho de armazenamento, salve a configuração antes de reiniciar ou desligar o dispositivo para evitar a perda de certificados ou CRLs.

    Procedimento

    • Entre na visualização do sistema.
    system-view
    • Especifique o caminho de armazenamento para certificados e CRLs.
    pki storage { certificates | crls } dir-path

    Por padrão, o dispositivo armazena certificados e CRLs no diretório PKI na mídia de armazenamento do dispositivo.

    Solicitação de um certificado

    Sobre a configuração da solicitação de certificado

    Para solicitar um certificado, uma entidade de PKI deve fornecer suas informações de identidade e sua chave pública a uma AC. Uma solicitação de certificado pode ser enviada a uma CA no modo off-line ou on-line.

    • Modo off-line - Uma solicitação de certificado é enviada por meio de um método fora de banda, como

    telefone, disco ou e-mail.

    • Modo on-line - Uma solicitação de certificado pode ser enviada automática ou manualmente a uma AC por meio do protocolo SCEP (Simple Certificate Enrollment Protocol).

    Restrições e diretrizes para a configuração da solicitação de certificado

    Ao solicitar um certificado local em um domínio PKI, siga estas restrições e diretrizes:

    • Para evitar que um certificado local existente se torne inválido, não execute as seguintes tarefas:
      • Crie um par de chaves com o mesmo nome do par de chaves contido no certificado. Para criar um par de chaves, use o comando public-key local create.
      • Destrua o par de chaves contido no certificado.

    Para destruir um par de chaves, use o comando public-key local destroy.

    • Para solicitar manualmente um novo certificado em um domínio PKI que já tenha um certificado local, use o procedimento a seguir:
    • Use o comando pki delete-certificate para excluir o certificado local existente.
  • Use o comando public-key local create para gerar um novo par de chaves.
  • Enviar manualmente uma solicitação de certificado.
    • Um domínio de PKI pode ter certificados locais usando apenas um tipo de algoritmo criptográfico (DSA, ECDSA ou RSA). Se DSA ou ECDSA for usado, um domínio de PKI poderá ter apenas um certificado local. Se for usado RSA, um domínio PKI poderá ter um certificado local para assinatura e um certificado local para criptografia.

    Pré-requisitos para a configuração da solicitação de certificado

    Certifique-se de que o dispositivo esteja sincronizado com o servidor CA. Se o dispositivo não estiver sincronizado com a hora do servidor CA, a solicitação de certificado poderá falhar porque o certificado poderá ser considerado fora do período de validade. Para obter informações sobre como configurar a hora do sistema, consulte Fundamentals Configuration Guide.

    Ativação do modo de solicitação automática de certificado on-line

    Sobre o modo de solicitação automática de certificado on-line

    No modo de solicitação automática, uma entidade PKI sem certificados locais envia automaticamente uma solicitação de certificado à CA quando um aplicativo trabalha com a entidade PKI. Por exemplo, quando a negociação IKE usa uma assinatura digital para autenticação de identidade, mas nenhum certificado local está disponível, a entidade envia automaticamente uma solicitação de certificado. Ela salva o certificado localmente após obter o certificado da CA.

    Um certificado de CA deve estar presente antes de você solicitar um certificado local. Se não houver nenhum certificado de CA no domínio da PKI, a entidade PKI obterá automaticamente um certificado de CA antes de enviar uma solicitação de certificado.

    Restrições e diretrizes

    No modo de solicitação automática, o dispositivo não solicita automaticamente um novo certificado se o certificado atual estiver prestes a expirar ou tiver expirado, o que pode causar interrupções no serviço.

    Procedimento

    • Entre na visualização do sistema.
    system-view
    • Entre na visualização do domínio PKI.
    pki domain domain-name
    • Ative o modo de solicitação automática de certificado on-line.
    certificate request mode auto [ password { cipher | simple } string ]

    Por padrão, aplica-se o modo de solicitação manual.

    Se a política da CA exigir uma senha para a revogação do certificado, especifique a senha neste comando .

    Envio manual de uma solicitação de certificado on-line

    Sobre o modo de solicitação manual de certificado on-line

    No modo de solicitação manual, você deve executar o comando pki request-certificate domain para solicitar um certificado local em um domínio de PKI. O certificado será salvo no domínio após ser obtido da CA.

    Procedimento

    • Entre na visualização do sistema.
    system-view
    • Entre na visualização do domínio PKI.
    pki domain domain-name
    • Defina o modo de solicitação de certificado como manual. modo de solicitação de certificado manual Por padrão, aplica-se o modo de solicitação manual.
    • Retornar à visualização do sistema.
    quit
    • Obter um certificado CA.

    Consulte "Obtenção de certificados".

    Essa etapa é necessária se o domínio PKI não tiver um certificado de CA. O certificado da CA é usado para verificar a autenticidade e a validade do certificado local obtido.

    • Enviar manualmente uma solicitação de certificado SCEP.
    <
    pki request-certificate domain domain-name [ password password ]

    Esse comando não é salvo no arquivo de configuração.

    Se a política da CA exigir uma senha para a revogação do certificado, especifique a senha nesse comando.

    Envio manual de uma solicitação de certificado no modo off-line

    Sobre o envio de solicitação de certificado no modo off-line

    Use esse método se a CA não for compatível com o SCEP ou se não for possível estabelecer uma conexão de rede entre o dispositivo e a CA.

    Procedimento

    • Entre na visualização do sistema.
    system-view
    • Entre na visualização do domínio PKI.
    pki domain domain-name
    • Defina o modo de solicitação de certificado como manual. modo de solicitação de certificado manual Por padrão, aplica-se o modo de solicitação manual.
    • Retornar à visualização do sistema.
    quit
    • Obtenha o certificado da CA. Consulte "Obtenção de certificados".

    Essa etapa é necessária se o domínio PKI não tiver um certificado de CA. O certificado da CA é usado para verificar a autenticidade e a validade do certificado local obtido.

    • Imprima a solicitação de certificado no formato PKCS10 no terminal ou salve a solicitação de certificado em um arquivo PKCS10.
    pki request-certificate domain domain-name pkcs10 [ filename filename ]

    Esse comando não é salvo no arquivo de configuração.

    • Transferir informações de solicitação de certificado para a CA usando um método fora de banda.
    • Transfira o certificado local emitido da CA para o dispositivo local usando um método fora de banda.
    • Importar o certificado local para o domínio PKI.
    pki import domain domain-name { der local filename filename | p12 local 
                     filename filename | pem local } [ filename filename ]

    Abortar uma solicitação de certificado

    Sobre como abortar uma solicitação de certificado

    Antes de a CA emitir um certificado, você pode abortar uma solicitação de certificado e alterar seus parâmetros, como o nome comum, o código do país ou o FQDN. Você pode usar o comando display pki certificate request-status para exibir o status de uma solicitação de certificado.

    Como alternativa, você também pode remover um domínio PKI para abortar a solicitação de certificado associada.

    Procedimento

    • Entre na visualização do sistema.
    system-view
    • Abortar uma solicitação de certificado.
    pki abort-certificate-request domain domain-name

    Esse comando não é salvo no arquivo de configuração.

    Obtenção de certificados

    Sobre a obtenção de certificados

    Você pode obter o certificado da CA, os certificados locais e os certificados de pares relacionados a um domínio PKI de uma CA e salvá-los localmente para aumentar a eficiência da pesquisa. Para isso, use o modo off-line ou o modo on-line:

    • No modo off-line, obtenha os certificados por um meio fora de banda, como FTP, disco ou e-mail, e importe-os localmente. Use esse modo quando o repositório de CRL não for especificado, o servidor CA não for compatível com o SCEP ou o servidor CA gerar o par de chaves para os certificados.
    • No modo on-line, você pode obter o certificado CA por meio do SCEP e obter certificados locais ou certificados de pares por meio do LDAP.

    Restrições e diretrizes

    Siga estas restrições e diretrizes ao obter certificados de uma AC

    • Se um certificado de CA já existir localmente, você não poderá obtê-lo novamente no modo on-line. Se você quiser obter um novo certificado CA, use o comando pki delete-certificate para excluir primeiro o certificado CA existente e os certificados locais.
    • Se já existirem certificados locais ou de pares, você poderá obter novos certificados locais ou de pares para substituir os existentes. Se for usado RSA, um domínio PKI poderá ter dois certificados locais, um para assinatura e outro para criptografia.
    • Se a verificação da LCR estiver ativada, a obtenção de um certificado aciona a verificação da LCR. Se o certificado a ser obtido tiver sido revogado, o certificado não poderá ser obtido.
    • O dispositivo compara o período de validade de um certificado com a hora do sistema local para determinar se o certificado é válido. Certifique-se de que a hora do sistema do dispositivo esteja sincronizada com o servidor CA.

    Pré-requisitos

    • Antes de obter certificados locais ou de pares no modo on-line, certifique-se de que um servidor LDAP esteja configurado corretamente no domínio da PKI.
    • Antes de importar certificados no modo off-line, conclua as seguintes tarefas:
      • Use FTP ou TFTP para carregar os arquivos de certificado na mídia de armazenamento do dispositivo.

    Se o FTP ou TFTP não estiver disponível, exiba e copie o conteúdo de um certificado em um arquivo no dispositivo. Certifique-se de que o certificado esteja no formato PEM, pois somente certificados no formato PEM podem ser importados.

    • Antes de importar um certificado local ou um certificado de par, obtenha a cadeia de certificados da CA que assina o certificado.

    Essa etapa é necessária somente se a cadeia de certificados da CA não estiver disponível no domínio da PKI nem contida no certificado a ser importado.

    • Antes de importar um certificado local que contenha um par de chaves criptografadas, entre em contato com o administrador da CA para obter a senha necessária para importar o certificado.

    Procedimento

    • Entre na visualização do sistema.
    system-view
    • Obter certificados.
      • Importar certificados no modo off-line.
    pki import domain domain-name { der { ca | local | peer } filename 
                  filename | p12 local filename filename | pem { ca | local | peer }
                  [ filename filename ] }
    • Obter certificados no modo on-line.
    pki retrieve-certificate domain domain-name { ca | local | peer
                  entity-name }

    Esse comando não é salvo no arquivo de configuração.

    Verificação de certificados de PKI

    Sobre a verificação da certificação

    Um certificado é verificado automaticamente quando é solicitado, obtido ou usado por um aplicativo. Se o certificado expirar, se não for emitido por uma CA confiável ou se for revogado, o certificado não poderá ser usado.

    Você pode ativar ou desativar a verificação da CRL em um domínio de PKI. A verificação da CRL verifica se um certificado está na CRL. Se estiver, o certificado foi revogado e sua entidade de origem não é confiável.

    Para usar a verificação de CRL, uma CRL deve ser obtida de um repositório de CRL. O dispositivo seleciona um repositório de LCR na seguinte ordem:

    • Repositório de CRL especificado no domínio PKI usando o comando crl url.
    • repositório de CRL no certificado que está sendo verificado.
    • Repositório de LCR no certificado de CA ou repositório de LCR no certificado de CA de nível superior se o certificado que estiver sendo verificado for um certificado de CA

    Se nenhum repositório de CRL for encontrado após o processo de seleção, o dispositivo obterá a CRL por meio do SCEP. Nesse cenário, o certificado da CA e os certificados locais devem ter sido obtidos.

    Um certificado falha na verificação da LCR nas seguintes situações:

    • Uma LCR não pode ser obtida durante a verificação da LCR do certificado.
    • A verificação da CRL verifica se o certificado foi revogado.

    Restrições e diretrizes para verificação de certificados

    Ao verificar o certificado de CA de um domínio de PKI, o sistema precisa verificar todos os certificados na cadeia de certificados de CA. Para garantir um processo bem-sucedido de verificação de certificado, o dispositivo deve ter todos os domínios de PKI aos quais pertencem os certificados de CA na cadeia de certificados.

    O sistema verifica os certificados da CA na cadeia de certificados da CA da seguinte forma:

    • Identifica o certificado pai do certificado de nível mais baixo.

    Cada certificado CA contém um campo de emissor que identifica a CA principal que emitiu o certificado .

    • Localiza o domínio PKI ao qual pertence o certificado pai.
    • Executa a verificação de CRL no domínio PKI para verificar se o certificado pai foi revogado. Se ele tiver sido revogado, o certificado não poderá ser usado.

    Essa etapa não será executada quando a verificação da CRL estiver desativada no domínio da PKI.

    • Repete as etapas anteriores para os certificados de nível superior na cadeia de certificados CA até chegar ao certificado CA raiz .
    • Verifica se cada certificado de CA na cadeia de certificados é emitido pela CA pai nomeada, começando pela CA raiz.

    Verificação de certificados com verificação de CRL

    • Entre na visualização do sistema.
    system-view
    • Entre na visualização do domínio PKI.
    pki domain domain-name
    • (Opcional.) Especifique o URL do repositório de LCR.
    crl url url-string

    Por padrão, o URL do repositório de CRL não é especificado.

    • Ativar a verificação de CRL.
    crl check enable

    Por padrão, a verificação de CRL está ativada.

    • Retornar à visualização do sistema.
    quit
    • Obtenha o certificado da CA. Consulte "Obtenção de certificados".

    O domínio PKI deve ter um certificado CA antes que você possa verificar os certificados nele.

    • (Opcional.) Obtenha a CRL e salve-a localmente.
    pki retrieve-crl domain domain-name

    Para verificar um certificado de CA não raiz e certificados locais, o dispositivo recupera automaticamente a CRL se o domínio PKI não tiver CRL.

    A nova CRL obtida substitui a antiga, se houver.

    A LCR obtida é emitida por uma AC na cadeia de certificados da AC armazenada no domínio da PKI.

    • Verificar manualmente a validade dos certificados.
    pki validate-certificate domain domain-name { ca | local }

    Verificação de certificados sem verificação de CRL

    • Entre na visualização do sistema.
    system-view
    • Entre na visualização do domínio PKI.
    pki domain domain-name
    • Desativar a verificação de CRL.

    undo crl check enable

    Por padrão, a verificação de CRL está ativada.

    • Retornar à visualização do sistema.
    quit
    • Obtenha um certificado de CA para o domínio PKI. Consulte "Obtenção de certificados".

    O domínio PKI deve ter um certificado CA antes que você possa verificar os certificados nele.

    • Verificar manualmente a validade do certificado.
    pki validate-certificate domain domain-name { ca | local }

    Esse comando não é salvo no arquivo de configuração.

    Exportação de certificados

    Sobre certificados de exportação

    É possível exportar o certificado CA e os certificados locais em um domínio PKI para arquivos de certificado. Os arquivos de certificado exportados podem então ser importados de volta para o dispositivo ou para outros aplicativos PKI.

    Restrições e diretrizes

    Para exportar todos os certificados no formato PKCS12, o domínio PKI deve ter no mínimo um certificado local. Se o domínio PKI não tiver nenhum certificado local, os certificados no domínio PKI não poderão ser exportados.

    Se você não especificar um nome de arquivo ao exportar um certificado no formato PEM, esse comando exibirá o conteúdo do certificado no terminal.

    Quando você exporta um certificado local com pares de chaves RSA para um arquivo, o nome do arquivo do certificado pode ser diferente do nome do arquivo especificado no comando. O nome real do arquivo de certificado depende da finalidade do par de chaves contido no certificado. Para obter mais informações sobre a regra de nomeação de arquivo, consulte o comando pki export na Referência de comandos de segurança.

    Procedimento

    • Entre na visualização do sistema.
    system-view
    • Certificados de exportação.
      • Exportar certificados no formato DER.
    pki export domain domain-name der { all | ca | local } filename filename
    • Exportar certificados no formato PKCS12.
    pki export domain domain-name p12 { all | local } passphrase p12-key
                  filename filename
    • Exportar certificados no formato PEM.
    pki export domain domain-name pem { { all | local } [ { 3des-cbc |
                  aes-128-cbc | aes-192-cbc | aes-256-cbc | des-cbc } pem-key ] | ca }
                  [ filename filename ]

    Remoção de um certificado

    Sobre a remoção de certificados

    Você pode remover certificados de um domínio PKI nas seguintes situações:

    • Remova um certificado CA, um certificado local ou um certificado de par se o certificado tiver expirado ou estiver prestes a expirar.
    • Remova um certificado local se a chave privada do certificado estiver comprometida ou se você quiser solicitar um novo certificado local para substituir o existente.

    Restrições e diretrizes

    Depois que você remover o certificado CA, o sistema removerá automaticamente os certificados locais, os certificados de pares e as LCRs do domínio.

    Para remover um certificado local e solicitar um novo certificado, execute as seguintes tarefas:

    • Remova o certificado local.
    • Use o comando public-key local destroy para destruir o par de chaves local existente.
    • Use o comando public-key local create para gerar um novo par de chaves.
    • Solicitar um novo certificado.

    Para obter mais informações sobre as opções public-key local destroy e public-key local create

    consulte Referência de comandos de segurança.

    Procedimento

    • Entre na visualização do sistema.
    system-view
    • Remover um certificado.
    pki delete-certificate domain domain-name { ca | local | peer [ serial
                  serial-num ] }

    Se você usar a palavra-chave peer sem especificar um número de série, esse comando removerá todos os certificados peer .

    Configuração de uma política de controle de acesso baseada em certificado

    Sobre políticas de controle de acesso baseadas em certificados

    As políticas de controle de acesso baseadas em certificados permitem autorizar o acesso a um dispositivo (por exemplo, um servidor HTTPS) com base nos atributos do certificado de um cliente autenticado.

    Regras de controle de acesso e grupos de atributos de certificados

    Uma política de controle de acesso baseada em certificado é um conjunto de regras de controle de acesso (instruções de permissão ou negação), cada uma associada a um grupo de atributos de certificado. Um grupo de atributos de certificado contém várias regras de atributos, cada uma definindo um critério de correspondência para um atributo no campo de nome do emissor do certificado, nome do assunto ou nome do assunto alternativo.

    Mecanismo de correspondência de certificados

    Se um certificado corresponder a todas as regras de atributo em um grupo de atributos de certificado associado a uma regra de controle de acesso, o sistema determinará que o certificado corresponde à regra de controle de acesso. Nesse cenário, o processo de correspondência é interrompido e o sistema executa a ação de controle de acesso definida na regra de controle de acesso.

    As condições a seguir descrevem como uma política de controle de acesso baseada em certificado verifica a validade de um certificado:

    • Se um certificado corresponder a uma declaração de permissão, o certificado será aprovado na verificação.
    • Se um certificado corresponder a uma declaração de negação ou não corresponder a nenhuma declaração na política, o certificado será considerado inválido.
    • Se uma declaração estiver associada a um grupo de atributos inexistente, ou se o grupo de atributos não tiver regras de atributos, o certificado corresponderá à declaração.
    • Se a política de controle de acesso baseada em certificado especificada para um aplicativo de segurança (por exemplo, HTTPS) não existir, todos os certificados do aplicativo serão aprovados na verificação.

    Procedimento

    • Entre na visualização do sistema.
    system-view
    • Crie um grupo de atributos de certificado e insira sua visualização.
    pki certificate attribute-group group-name
    • Configure uma regra de atributo para o nome do emissor, nome do assunto ou nome alternativo do assunto.
    attribute id { alt-subject-name { fqdn | ip } | { issuer-name | subject-name }
                     { dn | fqdn | ip } } { ctn | equ | nctn | nequ} attribute-value

    Por padrão, nenhuma regra de atributo é configurada.

    • Retornar à visualização do sistema.
    quit
    • Crie uma política de controle de acesso baseada em certificado e insira sua visualização.
    pki certificate access-control-policy policy-name

    Por padrão, não existem políticas de controle de acesso baseadas em certificados.

    • Crie uma regra de controle de acesso a certificados.
    rule [ id ] { deny | permit } group-name

    Por padrão, nenhuma regra de controle de acesso a certificados é configurada, e todos os certificados podem passar na verificação.

    É possível criar várias regras de controle de acesso a certificados para uma política de controle de acesso baseada em certificados.

    Comandos de exibição e manutenção para PKI

    Executar comandos de exibição em qualquer visualização.

    Tarefa Comando
    Exibir informações sobre a política de controle de acesso baseada em certificados. exibir pki certificate access-control-policy [ policy-name ]
    Exibição certificado atributo informações do grupo de certificados. tela pki grupo de atributos de certificado [ nome-do-grupo ]
    Exibir o conteúdo de um certificado. exibir domínio do certificado pki nome do domínio { ca | local | peer [ serial serial-num ] }
    Exibir o status da solicitação de certificado. exibir pki certificate request-status [ domínio nome-do-domínio ]
    Exibir CRLs armazenadas localmente em um domínio PKI. exibir pki crl domain nome do domínio

    Exemplos de configuração de PKI

    Você pode usar diferentes aplicativos de software, como o Windows Server, o RSA Keon e o OpenCA, para atuar como servidor de CA.

    Se você usar o Windows Server ou o OpenCA, deverá instalar o complemento SCEP para o Windows Server ou ativar o SCEP para o OpenCA. Em ambos os casos, quando você configurar um domínio PKI, deverá usar o comando certificate request from ra para especificar o RA para aceitar solicitações de certificado.

    Se você usar o RSA Keon, o complemento SCEP não será necessário. Ao configurar um domínio PKI, você deve usar o comando certificate request from ca para especificar a CA que aceitará solicitações de certificado .

    Exemplo: Solicitação de um certificado de um servidor RSA Keon CA

    Configuração de rede

    Configure a entidade PKI (o dispositivo) para solicitar um certificado local do servidor CA.

    Figura 2 Diagrama de rede

    Configuração do servidor RSA Keon CA

    • Crie um servidor CA chamado myca:

    Neste exemplo, você deve configurar esses atributos básicos no servidor CA:

    • Apelido-Nome da CA confiável.
    • Atributos DN-DN do sujeito da AC, incluindo o nome comum (CN), a unidade organizacional (OU), a organização (O) e o país (C).

    Você pode usar os valores padrão para outros atributos.

    • Configurar atributos estendidos:

    Configure os parâmetros na seção Jurisdiction Configuration (Configuração de jurisdição) na página de gerenciamento do servidor CA:

    • Selecione os perfis de extensão corretos.
    • Ative a função de autovetting do SCEP para permitir que o servidor CA aprove automaticamente as solicitações de certificado sem intervenção manual.
    • Especifique a lista de endereços IP para autovetting do SCEP.

    Configuração do dispositivo

    • Sincronize a hora do sistema do dispositivo com o servidor CA para que o dispositivo solicite corretamente certificados ou obtenha LCRs. (Detalhes não mostrados.)
    • Crie uma entidade chamada aaa e defina o nome comum como Device.
    <Device> system-view
                        [Device] pki entity aaa
                        [Device-pki-entity-aaa] common-name Device
                        [Device-pki-entity-aaa] quit
    • Configure um domínio PKI:

    # Crie um domínio PKI chamado torsa e insira sua visualização.

    [Device] pki domain torsa

    # Especifique o nome da CA confiável. A configuração deve ser a mesma do nome da CA configurada no servidor CA. Este exemplo usa myca.

    [Device-pki-domain-torsa] ca identifier myca

    # Configure o URL do servidor CA. O formato do URL é http://host:port/Issuing Jurisdiction ID, em que Issuing Jurisdiction ID é uma cadeia hexadecimal gerada no servidor da CA.

    [Device-pki-domain-torsa] certificate request url 
                        http://1.1.2.22:446/80f6214aa8865301d07929ae481c7ceed99f95bd

    # Configure o dispositivo para enviar solicitações de certificado para ca.

    [Device-pki-domain-torsa] certificate request from ca

    # Defina o nome da entidade PKI como aaa.

    [Device-pki-domain-torsa] certificate request entity aaa

    # Especifique o URL do repositório de CRL.

    [Device-pki-domain-torsa] crl url ldap://1.1.2.22:389/CN=myca

    # Especifique um par de chaves RSA de uso geral de 1024 bits chamado abc para solicitação de certificado.

    [Device-pki-domain-torsa] public-key rsa general name abc length 1024
                        [Device-pki-domain-torsa] quit
    • Gerar o par de chaves RSA.
    [Device] public-key local create rsa name abc
                        The range of public key modulus is (512 ~ 4096).
                        If the key modulus is greater than 512,it will take a few minutes.
                        Press CTRL+C to abort.
                        Input the modulus length [default = 1024]:
                        Generating Keys...
                        ..........................++++++
                        .....................................++++++
                        Create the key pair successfully.
    • Solicitar um certificado local:

    # Obtenha o certificado CA e salve-o localmente.

    [Device] pki retrieve-certificate domain torsa ca
                        The trusted CA's finger print is:
                        MD5 fingerprint:EDE9 0394 A273 B61A F1B3 0072 A0B1 F9AB
                        SHA1 fingerprint: 77F9 A077 2FB8 088C 550B A33C 2410 D354 23B2 73A8
                        Is the finger print correct?(Y/N):y
                        Retrieved the certificates successfully.

    # Envie uma solicitação de certificado manualmente e defina a senha de revogação do certificado como 1111.

    A senha de revogação de certificado é necessária quando um servidor RSA Keon CA é usado.

    [Device] pki request-certificate domain torsa password 1111
                        Start to request general certificate ...
                        ……
                        Request certificate of domain torsa successfully

    Verificação da configuração

    # Exibir informações sobre o certificado local no domínio PKI torsa.

    [Device] display pki certificate domain torsa local
                        Certificate:
                        Data:
                        Version: 3 (0x2)
                        Serial Number:
                        15:79:75:ec:d2:33:af:5e:46:35:83:bc:bd:6e:e3:b8
                        Signature Algorithm: sha1WithRSAEncryption
                        Issuer: CN=myca
                        Validity
                        Not Before: Jan 6 03:10:58 2013 GMT
                        Not After : Jan 6 03:10:58 2014 GMT
                        Subject: CN=Device
                        Subject Public Key Info:
                        Public Key Algorithm: rsaEncryption
                        Public-Key: (1024 bit)
                        Modulus:
                        00:ab:45:64:a8:6c:10:70:3b:b9:46:34:8d:eb:1a:
                        a1:b3:64:b2:37:27:37:9d:15:bd:1a:69:1d:22:0f:
                        3a:5a:64:0c:8f:93:e5:f0:70:67:dc:cd:c1:6f:7a:
                        0c:b1:57:48:55:81:35:d7:36:d5:3c:37:1f:ce:16:
   
                        7e:f8:18:30:f6:6b:00:d6:50:48:23:5c:8c:05:30:
                        6f:35:04:37:1a:95:56:96:21:95:85:53:6f:f2:5a:
                        dc:f8:ec:42:4a:6d:5c:c8:43:08:bb:f1:f7:46:d5:
                        f1:9c:22:be:f3:1b:37:73:44:f5:2d:2c:5e:8f:40:
                        3e:36:36:0d:c8:33:90:f3:9b
                        Exponent: 65537 (0x10001)
                        X509v3 extensions:
                        X509v3 CRL Distribution Points:
                        Full Name:
                        DirName: CN = myca
                        Signature Algorithm: sha1WithRSAEncryption
                        b0:9d:d9:ac:a0:9b:83:99:bf:9d:0a:ca:12:99:58:60:d8:aa:
                        73:54:61:4b:a2:4c:09:bb:9f:f9:70:c7:f8:81:82:f5:6c:af:
                        25:64:a5:99:d1:f6:ec:4f:22:e8:6a:96:58:6c:c9:47:46:8c:
                        f1:ba:89:b8:af:fa:63:c6:c9:77:10:45:0d:8f:a6:7f:b9:e8:
                        25:90:4a:8e:c6:cc:b8:1a:f8:e0:bc:17:e0:6a:11:ae:e7:36:
                        87:c4:b0:49:83:1c:79:ce:e2:a3:4b:15:40:dd:fe:e0:35:52:
                        ed:6d:83:31:2c:c2:de:7c:e0:a7:92:61:bc:03:ab:40:bd:69:
                        1b:f5

    Para exibir informações detalhadas sobre o certificado CA, use o comando display pki certificate domain.

    Exemplo: Solicitação de um certificado de um servidor CA do Windows Server 2003

    Configuração de rede

    Configure a entidade PKI (o dispositivo) para solicitar um certificado local de um servidor CA do Windows Server 2003.

    Figura 3 Diagrama de rede

    Configuração do servidor CA do Windows Server 2003

    • Instale o componente de serviço de certificado:
      • Selecione Painel de controle > Adicionar ou remover programas no menu Iniciar.
      • Selecione Adicionar/Remover componentes do Windows > Serviços de certificado.
      • Clique em Next para iniciar a instalação.
      • Defina o nome da CA. Neste exemplo, defina o nome da CA como myca.
      • Instale o complemento SCEP:

      Por padrão, o Windows Server 2003 não oferece suporte ao SCEP. É necessário instalar o complemento SCEP no servidor para que uma entidade de PKI registre e obtenha um certificado do servidor. Depois que o SCEP

      Quando a instalação do add-on estiver concluída, você verá um URL. Especifique esse URL como o URL de solicitação de certificado no dispositivo.

    • Modifique os atributos do serviço de certificado:
      • Selecione Painel de controle > Ferramentas administrativas > Autoridade de certificação no menu Iniciar.

    Se o componente de serviço de certificado e o complemento SCEP tiverem sido instalados com êxito, deverá haver dois certificados emitidos pela CA para o RA.

    • Clique com o botão direito do mouse no servidor CA na árvore de navegação e selecione Propriedades > Módulo de política.
    • Clique em Propriedades e selecione Seguir as configurações no modelo de certificado, se aplicável. Caso contrário, emita o certificado automaticamente.
    • Modificar os atributos dos serviços de informações da Internet:
    • Selecione Painel de Controle > Ferramentas Administrativas > Serviços de Informações da Internet (IIS) Manager no menu Iniciar.
    • Selecione Web Sites na árvore de navegação.
    • Clique com o botão direito do mouse em Default Web Site e selecione Properties > Home Directory.
    • Especifique o caminho para o serviço de certificado no campo Caminho local.
    • Especifique um número de porta TCP exclusivo para o site padrão para evitar conflitos com os serviços existentes. Este exemplo usa a porta 8080.

    Configuração do dispositivo

    • Sincronize a hora do sistema do dispositivo com o servidor CA para que o dispositivo solicite certificados corretamente. (Detalhes não mostrados.)
    • Crie uma entidade chamada aaa e defina o nome comum como teste.
    <Device> system-view
                        [Device] pki entity aaa
                        [Device-pki-entity-aaa] common-name test
                        [Device-pki-entity-aaa] quit
    • Configure um domínio PKI:

    # Crie um domínio PKI chamado winserver e insira sua visualização.

    [Device] pki domain winserver

    # Defina o nome da CA confiável como myca.

    [Device-pki-domain-winserver] ca identifier myca

    # Configure o URL de solicitação de certificado. O formato do URL é http://host:port/certsrv/mscep/mscep.dll, em que host:port é o endereço IP do host e o número da porta do servidor CA.

    [Device-pki-domain-winserver] certificate request url 
                        http://4.4.4.1:8080/certsrv/mscep/mscep.dll

    # Configure o dispositivo para enviar solicitações de certificado para ra.

    [Device-pki-domain-winserver] certificate request from ra

    # Defina o nome da entidade PKI como aaa.

    [Device-pki-domain-winserver] certificate request entity aaa

    # Configure um par de chaves RSA de uso geral de 1024 bits chamado abc para solicitação de certificado. [Device-pki-domain-winserver] public-key rsa general name abc length 1024 [Device-pki-domain-winserver] quit

    • Gerar o par de chaves RSA abc.
    [Device] public-key local create rsa name abc
                        The range of public key modulus is (512 ~ 4096).
                        If the key modulus is greater than 512,it will take a few minutes.
                        Press CTRL+C to abort.
                        Input the modulus length [default = 1024]:
                        Generating Keys...
                        ..........................++++++
                        .....................................++++++
                        Create the key pair successfully.
    • Solicitar um certificado local:

    # Obtenha o certificado CA e salve-o localmente.

    [Device] pki retrieve-certificate domain winserver ca
                        The trusted CA's finger print is:
                        MD5 fingerprint:766C D2C8 9E46 845B 4DCE 439C 1C1F 83AB
                        SHA1 fingerprint:97E5 DDED AB39 3141 75FB DB5C E7F8 D7D7 7C9B 97B4
                        Is the finger print correct?(Y/N):y
                        Retrieved the certificates successfully

    # Envie uma solicitação de certificado manualmente.

    [Device] pki request-certificate domain winserver
                        Start to request general certificate ...
                        …
                        Request certificate of domain winserver successfully

    Verificação da configuração

    # Exibir informações sobre o certificado local no winserver do domínio PKI.

    [Device] display pki certificate domain winserver local
                        Certificate:
                        Data:
                        Version: 3 (0x2)
                        Serial Number:
                        (Negative)01:03:99:ff:ff:ff:ff:fd:11
                        Signature Algorithm: sha1WithRSAEncryption
                        Issuer: CN=sec
                        Validity
                        Not Before: Dec 24 07:09:42 2012 GMT
                        Not After : Dec 24 07:19:42 2013 GMT
                        Subject: CN=test
                        Subject Public Key Info:
                        Public Key Algorithm: rsaEncryption
                        Public-Key: (2048 bit)
                        Modulus:
                        00:c3:b5:23:a0:2d:46:0b:68:2f:71:d2:14:e1:5a:
                        55:6e:c5:5e:26:86:c1:5a:d6:24:68:02:bf:29:ac:
                        dc:31:41:3f:5d:5b:36:9e:53:dc:3a:bc:0d:11:fb:
                        d6:7d:4f:94:3c:c1:90:4a:50:ce:db:54:e0:b3:27:
                        a9:6a:8e:97:fb:20:c7:44:70:8f:f0:b9:ca:5b:94:
                        f0:56:a5:2b:87:ac:80:c5:cc:04:07:65:02:39:fc:
                        db:61:f7:07:c6:65:4c:e4:5c:57:30:35:b4:2e:ed:
                        9c:ca:0b:c1:5e:8d:2e:91:89:2f:11:e3:1e:12:8a:
                        f8:dd:f8:a7:2a:94:58:d9:c7:f8:1a:78:bd:f5:42:
                        51:3b:31:5d:ac:3e:c3:af:fa:33:2c:fc:c2:ed:b9:
                        ee:60:83:b3:d3:e5:8e:e5:02:cf:b0:c8:f0:3a:a4:
                        b7:ac:a0:2c:4d:47:5f:39:4b:2c:87:f2:ee:ea:d0:
                        c3:d0:8e:2c:80:83:6f:39:86:92:98:1f:d2:56:3b:
                        d7:94:d2:22:f4:df:e3:f8:d1:b8:92:27:9c:50:57:
                        f3:a1:18:8b:1c:41:ba:db:69:07:52:c1:9a:3d:b1:
                        2d:78:ab:e3:97:47:e2:70:14:30:88:af:f8:8e:cb:
                        68:f9:6f:07:6e:34:b6:38:6a:a2:a8:29:47:91:0e:
                        25:39
                        Exponent: 65537 (0x10001)
                        X509v3 extensions:
                        X509v3 Key Usage:
                        Digital Signature, Non Repudiation, Key Encipherment, Data Encipherment
                        X509v3 Subject Key Identifier:
                        C9:BB:D5:8B:02:1D:20:5B:40:94:15:EC:9C:16:E8:9D:6D:FD:9F:34
                        X509v3 Authority Key Identifier:
                        keyid:32:F1:40:BA:9E:F1:09:81:BD:A8:49:66:FF:F8:AB:99:4A:30:21:9B
                        X509v3 CRL Distribution Points:
                        Full Name:
                        URI:file://\\g07904c\CertEnroll\sec.crl
                        Authority Information Access:
                        CA Issuers - URI:http://gc/CertEnroll/gc_sec.crt
                        CA Issuers - URI:file://\\gc\CertEnroll\gc_sec.crt
                        1.3.6.1.4.1.311.20.2:
                        .0.I.P.S.E.C.I.n.t.e.r.m.e.d.i.a.t.e.O.f.f.l.i.n.e
                        Signature Algorithm: sha1WithRSAEncryption
                        76:f0:6c:2c:4d:bc:22:59:a7:39:88:0b:5c:50:2e:7a:5c:9d:
                        6c:28:3c:c0:32:07:5a:9c:4c:b6:31:32:62:a9:45:51:d5:f5:
                        36:8f:47:3d:47:ae:74:6c:54:92:f2:54:9f:1a:80:8a:3f:b2:
                        14:47:fa:dc:1e:4d:03:d5:d3:f5:9d:ad:9b:8d:03:7f:be:1e:
                        29:28:87:f7:ad:88:1c:8f:98:41:9a:db:59:ba:0a:eb:33:ec:
                        cf:aa:9b:fc:0f:69:3a:70:f2:fa:73:ab:c1:3e:4d:12:fb:99:
                        31:51:ab:c2:84:c0:2f:e5:f6:a7:c3:20:3c:9a:b0:ce:5a:bc:
                        0f:d9:34:56:bc:1e:6f:ee:11:3f:7c:b2:52:f9:45:77:52:fb:
                        46:8a:ca:b7:9d:02:0d:4e:c3:19:8f:81:46:4e:03:1f:58:03:
                        bf:53:c6:c4:85:95:fb:32:70:e6:1b:f3:e4:10:ed:7f:93:27:
                        90:6b:30:e7:81:36:bb:e2:ec:f2:dd:2b:bb:b9:03:1c:54:0a:
                        00:3f:14:88:de:b8:92:63:1e:f5:b3:c2:cf:0a:d5:f4:80:47:
                        6f:fa:7e:2d:e3:a7:38:46:f6:9e:c7:57:9d:7f:82:c7:46:06:
                        7d:7c:39:c4:94:41:bd:9e:5c:97:86:c8:48:de:35:1e:80:14:
                        02:09:ad:08

    Para exibir informações detalhadas sobre o certificado CA, use o comando display pki certificate domain.

    Exemplo: Solicitação de um certificado de um servidor OpenCA

    Configuração de rede

    Configure a entidade PKI (o dispositivo) para solicitar um certificado local do servidor CA.

    Figura 4 Diagrama de rede

    Configuração do servidor OpenCA

    Configure o servidor OpenCA conforme as instruções dos manuais relacionados. (Detalhes não mostrados.)

    Certifique-se de que a versão do servidor OpenCA seja posterior à versão 0.9.2, pois as versões anteriores não são compatíveis com o SCEP.

    Configuração do dispositivo

    • Sincronize a hora do sistema do dispositivo com o servidor CA para que o dispositivo solicite certificados corretamente. (Detalhes não mostrados.)
    • Crie uma entidade PKI chamada aaa e configure o nome comum, o código do país, o nome da organização e a UO para a entidade.
    <Device> system-view
                        [Device] pki entity aaa
                        [Device-pki-entity-aaa] common-name rnd
                        [Device-pki-entity-aaa] country CN
                        [Device-pki-entity-aaa] organization test
                        [Device-pki-entity-aaa] organization-unit software
                        [Device-pki-entity-aaa] quit
    • Configure um domínio PKI:

    # Crie um domínio PKI chamado openca e entre em sua exibição.

    [Device] pki domain openca

    # Defina o nome da CA confiável como myca.

    [Device-pki-domain-openca] ca identifier myca

    # Configure o URL de solicitação de certificado. O URL está no formato http://host/cgi-bin/pki/scep, em que host é o endereço IP do host do servidor OpenCA.

    [Device-pki-domain-openca] certificate request url 
                        http://192.168.222.218/cgi-bin/pki/scep

    # Configure o dispositivo para enviar solicitações de certificado para a RA.

    [Device-pki-domain-openca] certificate request from ra

    Especifique a entidade PKI aaa para a solicitação de certificado.

    [Device-pki-domain-openca] certificate request entity aaa

    # Configure um par de chaves RSA de uso geral de 1024 bits chamado abc para solicitação de certificado.

    [Device-pki-domain-openca] public-key rsa general name abc length 1024
                        [Device-pki-domain-openca] quit
    • Gerar o par de chaves RSA abc.
    [Device] public-key local create rsa name abc
                        The range of public key modulus is (512 ~ 4096).
                        If the key modulus is greater than 512,it will take a few minutes.
                        Press CTRL+C to abort.
                        Input the modulus length [default = 1024]:
                        Generating Keys...
                        ..........................++++++
                        .....................................++++++
                        Create the key pair successfully.
    • Solicitar um certificado local:

    # Obtenha o certificado CA e salve-o localmente.

    [Device] pki retrieve-certificate domain openca ca
                        The trusted CA's finger print is:
                        MD5 fingerprint:5AA3 DEFD 7B23 2A25 16A3 14F4 C81C C0FA
                        SHA1 fingerprint:9668 4E63 D742 4B09 90E0 4C78 E213 F15F DC8E 9122
                        Is the finger print correct?(Y/N):y
                        Retrieved the certificates successfully

    # Envie uma solicitação de certificado manualmente.

    [Device] pki request-certificate domain openca
                        Start to request general certificate ...
                        …
                        Request certificate of domain openca successfully

    Verificação da configuração

    # Exibir informações sobre o certificado local no domínio PKI openca.

    [Device] display pki certificate domain openca local
                        Certificate:
                        Data:
                        Version: 3 (0x2)
                        Serial Number:
                        21:1d:b8:d2:e4:a9:21:28:e4:de
                        Signature Algorithm: sha256WithRSAEncryption
                        Issuer: C=CN, L=shangdi, ST=pukras, O=OpenCA Labs, OU=mysubUnit, CN=sub-ca, 
                        DC=pki-subdomain, DC=mydomain-sub, DC=com
                        Validity
                        Not Before: Jun 30 09:09:09 2011 GMT
                        Not After : May 1 09:09:09 2012 GMT
                        Subject: CN=rnd, O=test, OU=software, C=CN
                        Subject Public Key Info:
                        Public Key Algorithm: rsaEncryption
                        Public-Key: (1024 bit)
                        Modulus:
                        00:b8:7a:9a:b8:59:eb:fc:70:3e:bf:19:54:0c:7e:
                        c3:90:a5:d3:fd:ee:ff:c6:28:c6:32:fb:04:6e:9c:
                        d6:5a:4f:aa:bb:50:c4:10:5c:eb:97:1d:a7:9e:7d:
                        53:d5:31:ff:99:ab:b6:41:f7:6d:71:61:58:97:84:
                        37:98:c7:7c:79:02:ac:a6:85:f3:21:4d:3c:8e:63:
                        8d:f8:71:7d:28:a1:15:23:99:ed:f9:a1:c3:be:74:
                        0d:f7:64:cf:0a:dd:39:49:d7:3f:25:35:18:f4:1c:
                        59:46:2b:ec:0d:21:1d:00:05:8a:bf:ee:ac:61:03:
                        6c:1f:35:b5:b4:cd:86:9f:45
   
                        Exponent: 65537 (0x10001)
                        X509v3 extensions:
                        X509v3 Basic Constraints:
                        CA:FALSE
                        Netscape Cert Type:
                        SSL Client, S/MIME
                        X509v3 Key Usage:
                        Digital Signature, Non Repudiation, Key Encipherment
                        X509v3 Extended Key Usage:
                        TLS Web Client Authentication, E-mail Protection, Microsoft 
                        Smartcardlogin
                        Netscape Comment:
                        User Certificate of OpenCA Labs
                        X509v3 Subject Key Identifier:
                        24:71:C9:B8:AD:E1:FE:54:9A:EA:E9:14:1B:CD:D9:45:F4:B2:7A:1B
                        X509v3 Authority Key Identifier:
                        keyid:85:EB:D5:F7:C9:97:2F:4B:7A:6D:DD:1B:4D:DD:00:EE:53:CF:FD:5B
                        X509v3 Issuer Alternative Name:
                        DNS:root@docm.com, DNS:, IP Address:192.168.154.145, IP 
                        Address:192.168.154.138
                        Authority Information Access:
                        CA Issuers - URI:http://192.168.222.218/pki/pub/cacert/cacert.crt
                        OCSP - URI:http://192.168.222.218:2560/
                        1.3.6.1.5.5.7.48.12 - URI:http://192.168.222.218:830/
                        X509v3 CRL Distribution Points:
                        Full Name:
                        URI:http://192.168.222.218/pki/pub/crl/cacrl.crl
                        Signature Algorithm: sha256WithRSAEncryption
                        5c:4c:ba:d0:a1:35:79:e6:e5:98:69:91:f6:66:2a:4f:7f:8b:
                        0e:80:de:79:45:b9:d9:12:5e:13:28:17:36:42:d5:ae:fc:4e:
                        ba:b9:61:f1:0a:76:42:e7:a6:34:43:3e:2d:02:5e:c7:32:f7:
                        6b:64:bb:2d:f5:10:6c:68:4d:e7:69:f7:47:25:f5:dc:97:af:
                        ae:33:40:44:f3:ab:e4:5a:a0:06:8f:af:22:a9:05:74:43:b6:
                        e4:96:a5:d4:52:32:c2:a8:53:37:58:c7:2f:75:cf:3e:8e:ed:
                        46:c9:5a:24:b1:f5:51:1d:0f:5a:07:e6:15:7a:02:31:05:8c:
                        03:72:52:7c:ff:28:37:1e:7e:14:97:80:0b:4e:b9:51:2d:50:
                        98:f2:e4:5a:60:be:25:06:f6:ea:7c:aa:df:7b:8d:59:79:57:
                        8f:d4:3e:4f:51:c1:34:e6:c1:1e:71:b5:0d:85:86:a5:ed:63:
                        1e:08:7f:d2:50:ac:a0:a3:9e:88:48:10:0b:4a:7d:ed:c1:03:
                        9f:87:97:a3:5e:7d:75:1d:ac:7b:6f:bb:43:4d:12:17:9a:76:
                        b0:bf:2f:6a:cc:4b:cd:3d:a1:dd:e0:dc:5a:f3:7c:fb:c3:29:
                        b0:12:49:5c:12:4c:51:6e:62:43:8b:73:b9:26:2a:f9:3d:a4:
                        81:99:31:89

    Para exibir informações detalhadas sobre o certificado CA, use o comando display pki certificate domain.

    Exemplo: Configuração da negociação IKE com assinatura digital RSA de um servidor CA do Windows Server 2003

    Configuração de rede

    Conforme mostrado na Figura 5, é necessário estabelecer um túnel IPsec entre o Dispositivo A e o Dispositivo B. O túnel IPsec protege o tráfego entre o Host A na sub-rede 10.1.1.0/24 e o Host B na sub-rede 1.1.1.0/24.

    O dispositivo A e o dispositivo B usam o IKE para configurar SAs, e a proposta do IKE usa assinatura digital RSA para autenticação de identidade.

    O dispositivo A e o dispositivo B usam a mesma CA.

    Figura 5 Diagrama de rede

    Configuração do servidor CA do Windows Server 2003

    Consulte "Exemplo: Solicitação de um certificado de um servidor CA do Windows Server 2003".

    Configuração do dispositivo A

    # Configurar uma entidade PKI.

    <DeviceA> system-view
                        [DeviceA] pki entity en
                        [DeviceA-pki-entity-en] ip 2.2.2.1
                        [DeviceA-pki-entity-en] common-name devicea
                        [DeviceA-pki-entity-en] quit

    # Configure um domínio PKI.

    [DeviceA] pki domain 1
                        [DeviceA-pki-domain-1] ca identifier CA1
                        [DeviceA-pki-domain-1] certificate request url http://1.1.1.100/certsrv/mscep/mscep.dll
                        [DeviceA-pki-domain-1] certificate request entity en
                        [DeviceA-pki-domain-1] ldap-server host 1.1.1.102

    # Configure o dispositivo para enviar solicitações de certificado para ra.

    [DeviceA-pki-domain-1] certificate request from ra

    # Configure um par de chaves RSA de uso geral de 1024 bits chamado abc para solicitação de certificado.

    [DeviceA-pki-domain-1] public-key rsa general name abc length 1024
                        [DeviceA-pki-domain-1] quit

    # Gerar o par de chaves RSA.

    [DeviceA] public-key local create rsa name abc
                        The range of public key modulus is (512 ~ 4096).
                        If the key modulus is greater than 512,it will take a few minutes.
                        Press CTRL+C to abort.
                        Input the modulus length [default = 1024]:
                        Generating Keys...
                        ..........................++++++
                        .....................................++++++
                        Create the key pair successfully.

    # Obtenha o certificado CA e salve-o localmente.

    [DeviceA] pki retrieve-certificate domain 1 ca

    # Envie uma solicitação de certificado manualmente.

    [DeviceA] pki request-certificate domain 1

    # Crie a proposta 1 do IKE e configure o método de autenticação como assinatura digital RSA.

    [DeviceA] ike proposal 1
                        [DeviceA-ike-proposal-1] authentication-method rsa-signature
                        [DeviceA-ike-proposal-1] quit

    # Especifique o domínio PKI usado na negociação IKE para o par de perfis IKE.

    [DeviceA] ike profile peer
                        [DeviceA-ike-profile-peer] certificate domain 1

    Configuração do dispositivo B

    # Configurar uma entidade PKI.

    <DeviceB> system-view
                        [DeviceB] pki entity en
                        [DeviceB-pki-entity-en] ip 3.3.3.1
                        [DeviceB-pki-entity-en] common-name deviceb
                        [DeviceB-pki-entity-en] quit

    # Configure um domínio PKI.

    [DeviceB] pki domain 1
                        [DeviceB-pki-domain-1] ca identifier CA1
                        [DeviceB-pki-domain-1] certificate request url http://1.1.1.100/certsrv/mscep/mscep.dll
                        [DeviceB-pki-domain-1] certificate request entity en
                        [DeviceB-pki-domain-1] ldap-server host 1.1.1.102

    # Configure o dispositivo para enviar solicitações de certificado para ra.

    [DeviceB-pki-domain-1] certificate request from ra

    # Configure um par de chaves RSA de uso geral de 1024 bits chamado abc para solicitação de certificado.

    [DeviceB-pki-domain-1] public-key rsa general name abc length 1024
                        [DeviceB-pki-domain-1] quit

    # Gerar o par de chaves RSA.

    [DeviceB] public-key local create rsa name abc
                        The range of public key modulus is (512 ~ 4096).
                        If the key modulus is greater than 512,it will take a few minutes.
                        Press CTRL+C to abort.
                        Input the modulus length [default = 1024]:
                        Generating Keys...
                        ..........................++++++
                        .....................................++++++
                        Create the key pair successfully.

    # Obtenha o certificado da CA e salve-o localmente. 

    [DeviceB] pki retrieve-certificate domain 1 ca
                        The trusted CA's finger print is:
                        MD5 fingerprint:5C41 E657 A0D6 ECB4 6BD6 1823 7473 AABC
                        SHA1 fingerprint:1616 E7A5 D89A 2A99 9419 1C12 D696 8228 87BC C266
                        Is the finger print correct?(Y/N):y
                        Retrieved the certificates successfully.

    # Envie uma solicitação de certificado manualmente.

    [DeviceB] pki request-certificate domain 1
                        Start to request general certificate ...
                        ...
                        Certificate requested successfully.

    # Crie a proposta 1 do IKE e configure o método de autenticação como assinatura digital RSA.

    [DeviceB] ike proposal 1
                        [DeviceB-ike-proposal-1] authentication-method rsa-signature
                        [DeviceB-ike-proposal-1] quit

    # Especifique o domínio PKI usado na negociação IKE para o par de perfis IKE.

    [DeviceB] ike profile peer
                        [DeviceB-ike-profile-peer] certificate domain 1

    As configurações são para negociação IKE com assinatura digital RSA. Para obter informações sobre como configurar as SAs do IPsec, consulte "Configuração do IPsec".

    Exemplo: Configuração de uma política de controle de acesso baseada em certificado

    Configuração de rede

    Conforme mostrado na Figura 6, o host acessa o dispositivo por meio de HTTPS.

    Configure uma política de controle de acesso baseada em certificado no dispositivo para autenticar o host e verificar a validade do certificado do host.

    Figura 6 Diagrama de rede

    Procedimento

    • Crie o domínio PKI domain1 para ser usado pelo SSL. (Detalhes não mostrados).
    • Solicite um certificado de servidor SSL para o dispositivo do servidor CA. (Detalhes não mostrados).
    • Configure o servidor HTTPS:

    # Configure uma política de servidor SSL chamada abc.

    <Device> system-view
                        [Device] ssl server-policy abc
                        [Device-ssl-server-policy-abc] pki-domain domain1
                        [Device-ssl-server-policy-abc] client-verify enable
                        [Device-ssl-server-policy-abc] quit

    # Aplique a política de servidor SSL abc ao servidor HTTPS.

    [Device] ip https ssl-server-policy abc

    # Habilite o servidor HTTPS.

    [Device] ip https enable
    • Configurar grupos de atributos de certificados:

    # Crie um grupo de atributos de certificado chamado mygroup1 e adicione duas regras de atributos. A primeira regra define que o DN no DN do assunto contém a cadeia de caracteres aabbcc. A segunda regra define que o endereço IP do emissor do certificado é 10.0.0.1.

    [Device] pki certificate attribute-group mygroup1
                        [Device-pki-cert-attribute-group-mygroup1] attribute 1 subject-name dn ctn aabbcc
                        [Device-pki-cert-attribute-group-mygroup1] attribute 2 issuer-name ip equ 10.0.0.1
                        [Device-pki-cert-attribute-group-mygroup1] quit

    # Crie um grupo de atributos de certificado chamado mygroup2 e adicione duas regras de atributos. A primeira regra define que o FQDN no nome do assunto alternativo não contém a cadeia de caracteres apple. A segunda regra define que o DN do nome do emissor do certificado contém a cadeia de caracteres aabbcc.

    [Device] pki certificate attribute-group mygroup2
                        [Device-pki-cert-attribute-group-mygroup2] attribute 1 alt-subject-name fqdn nctn 
                        apple
                        [Device-pki-cert-attribute-group-mygroup2] attribute 2 issuer-name dn ctn aabbcc
                        [Device-pki-cert-attribute-group-mygroup2] quit
    • Configure uma política de controle de acesso baseada em certificado:

    # Crie uma política de controle de acesso baseada em certificado chamada myacp.

    [Device] pki certificate access-control-policy myacp

    # Defina uma declaração para negar os certificados que correspondem às regras de atributo no grupo de atributo de certificado mygroup1.

    [Device-pki-cert-acp-myacp] rule 1 deny mygroup1

    # Defina uma instrução para permitir os certificados que correspondem às regras de atributo no grupo de atributo de certificado mygroup2.

    [Device-pki-cert-acp-myacp] rule 2 permit mygroup2
                        [Device-pki-cert-acp-myacp] quit

    # Aplique a política de controle de acesso baseada em certificado myacp ao servidor HTTPS.

    [Device] ip https certificate access-control-policy myacp

    Verificação da configuração

    # No host, acesse o servidor HTTPS por meio de um navegador da Web.

    O servidor primeiro verifica a validade do certificado do host de acordo com a política de controle de acesso baseada em certificado configurada. No certificado do host, o DN do assunto é aabbcc, o endereço IP do emissor do certificado é 1.1.1.1 e o FQDN do nome alternativo do assunto é banaba.

    O certificado do host não corresponde ao grupo de atributos de certificado mygroup1 especificado na regra 1 da política de controle de acesso baseada em certificado. O certificado continua a corresponder à regra 2.

    O certificado do host corresponde ao grupo de atributos de certificado mygroup2 especificado na regra 2. Como a regra 2 é uma instrução de permissão, o certificado passa na verificação e o host pode acessar o servidor HTTPS.

    Exemplo: Importação e exportação de certificados

    Configuração de rede

    Conforme mostrado na Figura 7, o Dispositivo B substituirá o Dispositivo A na rede. O domínio PKI exportdomain no Dispositivo A tem dois certificados locais que contêm a chave privada e um certificado de CA. Para garantir que os certificados ainda sejam válidos depois que o Dispositivo B substituir o Dispositivo A, copie os certificados do Dispositivo A para o Dispositivo B da seguinte forma:

    • Exporte os certificados no domínio PKI exportdomain no Dispositivo A para arquivos de certificado .pem.

    Durante a exportação, criptografe a chave privada nos certificados locais usando 3DES_CBC com a senha 11111.

    • Transfira os arquivos de certificado do Dispositivo A para o Dispositivo B por meio do host FTP.
    • Importe os arquivos de certificado para o domínio PKI importdomain no Dispositivo B.

    Figura 7 Diagrama de rede

    Procedimento

    • Exportar os certificados no Dispositivo A:

    # Exportar o certificado da CA para um arquivo .pem.

    <DeviceA> system-view
                        [DeviceA] pki export domain exportdomain pem ca filename pkicachain.pem

    # Exporte o certificado local para um arquivo chamado pkilocal.pem no formato PEM e use 3DES_CBC para criptografar a chave privada com a senha 111111.

    [DeviceA] pki export domain exportdomain pem local 3des-cbc 111111 filename 
                        pkilocal.pem

    Agora, o Dispositivo A tem três arquivos de certificado no formato PEM:

    • Um arquivo de certificado de CA chamado pkicachain.pem.
    • Um arquivo de certificado local chamado pkilocal.pem-signature, que contém a chave privada para assinatura.
    • Um arquivo de certificado local chamado pkilocal.pem-encryption, que contém a chave privada para criptografia.

    # Exibir o arquivo de certificado local pkilocal.pem-signature.

    [DeviceA] quit
                        <DeviceA> more pkilocal.pem-signature
                        Bag Attributes
                        friendlyName:
                        localKeyID: 90 C6 DC 1D 20 49 4F 24 70 F5 17 17 20 2B 9E AC 20 F3 99 89
                        subject=/C=CN/O=OpenCA Labs/OU=Users/CN=subsign 11
                        issuer=/C=CN/L=shangdi/ST=pukras/O=OpenCA Labs/OU=docm/CN=subca1
                        -----BEGIN CERTIFICATE-----
                        MIIEgjCCA2qgAwIBAgILAJgsebpejZc5UwAwDQYJKoZIhvcNAQELBQAwZjELMAkG
                        …
                        -----END CERTIFICATE-----
                        Bag Attributes
                        friendlyName:
                        localKeyID: 90 C6 DC 1D 20 49 4F 24 70 F5 17 17 20 2B 9E AC 20 F3 99 89
                        Key Attributes: <No Attributes>
                        -----BEGIN ENCRYPTED PRIVATE KEY-----
                        MIICxjBABgkqhkiG9w0BBQ0wMzAbBgkqhkiG9w0BBQwwDgQIZtjSjfslJCoCAggA
                        …
                        -----END ENCRYPTED PRIVATE KEY-----
    # Exibir o arquivo de certificado local pkilocal.pem-encryption. 
    
                        <DeviceA> more pkilocal.pem-encryption
                        Bag Attributes
                        friendlyName:
                        localKeyID: D5 DF 29 28 C8 B9 D9 49 6C B5 44 4B C2 BC 66 75 FE D6 6C C8
                        subject=/C=CN/O=OpenCA Labs/OU=Users/CN=subencr 11
                        issuer=/C=CN/L=shangdi/ST=pukras/O=OpenCA Labs/OU=docm/CN=subca1
                        -----BEGIN CERTIFICATE-----
                        MIIEUDCCAzigAwIBAgIKCHxnAVyzWhIPLzANBgkqhkiG9w0BAQsFADBmMQswCQYD
                        …
                        -----END CERTIFICATE-----
                        Bag Attributes
                        friendlyName:
                        localKeyID: D5 DF 29 28 C8 B9 D9 49 6C B5 44 4B C2 BC 66 75 FE D6 6C C8
                        Key Attributes: <No Attributes>
                        -----BEGIN ENCRYPTED PRIVATE KEY-----
                        MIICxjBABgkqhkiG9w0BBQ0wMzAbBgkqhkiG9w0BBQwwDgQI7H0mb4O7/GACAggA
                        …
                        -----END ENCRYPTED PRIVATE KEY-----
    • Faça o download dos arquivos de certificado pkicachain.pem, pkilocal.pem-signature e

    pkilocal.pem-encryption do Dispositivo A para o host por meio de FTP. (Detalhes não mostrados.)

    • Faça upload dos arquivos de certificado pkicachain.pem, pkilocal.pem-signature e

    pkilocal.pem-encryption do host para o Dispositivo B por meio de FTP. (Detalhes não mostrados.)

    • Importe os arquivos de certificado para o Dispositivo B:

    # Desativar a verificação de CRL. (Você pode configurar a verificação de CRL conforme necessário. Este exemplo pressupõe que a verificação de CRL não é necessária).

    <DeviceB> system-view
                        [DeviceB] pki domain importdomain
                        [DeviceB-pki-domain-importdomain] undo crl check enable

    # Especifique o sinal do par de chaves RSA para assinatura e o par de chaves RSA encr para criptografia.

    [DeviceB-pki-domain-importdomain] public-key rsa signature name sign encryption name 
                        encr
                        [DeviceB-pki-domain-importdomain] quit

    # Importar o arquivo de certificado da CA pkicachain.pem no formato PEM para o domínio PKI.

    [DeviceB] pki import domain importdomain pem ca filename pkicachain.pem

    # Importar o arquivo de certificado local pkilocal.pem-signature no formato PEM para o domínio PKI. O arquivo de certificado contém um par de chaves.

    [DeviceB] pki import domain importdomain pem local filename pkilocal.pem-signature
                        Please input the password:******

    # Importar o arquivo de certificado local pkilocal.pem-encryption no formato PEM para o domínio PKI. O arquivo de certificado contém um par de chaves.

    [DeviceB] pki import domain importdomain pem local filename pkilocal.pem-encryption
                        Please input the password:******

    # Exibir as informações do certificado local importado no Dispositivo B. 

    [DeviceB] display pki certificate domain importdomain local
                        Certificate:
                        Data:
                        Version: 3 (0x2)
                        Serial Number:
                        98:2c:79:ba:5e:8d:97:39:53:00
                        Signature Algorithm: sha256WithRSAEncryption
                        Issuer: C=CN, L=shangdi, ST=pukras, O=OpenCA Labs, OU=docm, CN=subca1
                        Validity
                        Not Before: May 26 05:56:49 2011 GMT
                        Not After : Nov 22 05:56:49 2012 GMT
                        Subject: C=CN, O=OpenCA Labs, OU=Users, CN=subsign 11
                        Subject Public Key Info:
                        Public Key Algorithm: rsaEncryption
                        Public-Key: (1024 bit)
                        Modulus:
                        00:9f:6e:2f:f6:cb:3d:08:19:9a:4a:ac:b4:ac:63:
                        ce:8d:6a:4c:3a:30:19:3c:14:ff:a9:50:04:f5:00:
                        ee:a3:aa:03:cb:b3:49:c4:f8:ae:55:ee:43:93:69:
                        6c:bf:0d:8c:f4:4e:ca:69:e5:3f:37:5c:83:ea:83:
                        ad:16:b8:99:37:cb:86:10:6b:a0:4d:03:95:06:42:
                        ef:ef:0d:4e:53:08:0a:c9:29:dd:94:28:02:6e:e2:
                        9b:87:c1:38:2d:a4:90:a2:13:5f:a4:e3:24:d3:2c:
                        bf:98:db:a7:c2:36:e2:86:90:55:c7:8c:c5:ea:12:
                        01:31:69:bf:e3:91:71:ec:21
                        Exponent: 65537 (0x10001)
                        X509v3 extensions:
                        X509v3 Basic Constraints:
                        CA:FALSE
                        Netscape Cert Type:
                        SSL Client, S/MIME
                        X509v3 Key Usage:
                        Digital Signature, Non Repudiation
                        X509v3 Extended Key Usage:
                        TLS Web Client Authentication, E-mail Protection, Microsoft 
                        Smartcardlogin
                        Netscape Comment:
                        User Certificate of OpenCA Labs
                        X509v3 Subject Key Identifier:
                        AA:45:54:29:5A:50:2B:89:AB:06:E5:BD:0D:07:8C:D9:79:35:B1:F5
                        X509v3 Authority Key Identifier:
                        keyid:70:54:40:61:71:31:02:06:8C:62:11:0A:CC:A5:DB:0E:7E:74:DE:DD
                        X509v3 Subject Alternative Name:
                        email:subsign@docm.com
                        X509v3 Issuer Alternative Name:
                        DNS:subca1@docm.com, DNS:, IP Address:1.1.2.2, IP Address:2.2.1.1
                        Authority Information Access:
                        CA Issuers - URI:http://titan/pki/pub/cacert/cacert.crt
                        OCSP - URI:http://titan:2560/
                        1.3.6.1.5.5.7.48.12 - URI:http://titan:830/
                        X509v3 CRL Distribution Points:
                        Full Name:
                        URI:http://192.168.40.130/pki/pub/crl/cacrl.crl
                        Signature Algorithm: sha256WithRSAEncryption
                        18:e7:39:9a:ad:84:64:7b:a3:85:62:49:e5:c9:12:56:a6:d2:
                        46:91:53:8e:84:ba:4a:0a:6f:28:b9:43:bc:e7:b0:ca:9e:d4:
                        1f:d2:6f:48:c4:b9:ba:c5:69:4d:90:f3:15:c4:4e:4b:1e:ef:
                        2b:1b:2d:cb:47:1e:60:a9:0f:81:dc:f2:65:6b:5f:7a:e2:36:
                        29:5d:d4:52:32:ef:87:50:7c:9f:30:4a:83:de:98:8b:6a:c9:
                        3e:9d:54:ee:61:a4:26:f3:9a:40:8f:a6:6b:2b:06:53:df:b6:
                        5f:67:5e:34:c8:c3:b5:9b:30:ee:01:b5:a9:51:f9:b1:29:37:
                        02:1a:05:02:e7:cc:1c:fe:73:d3:3e:fa:7e:91:63:da:1d:f1:
                        db:28:6b:6c:94:84:ad:fc:63:1b:ba:53:af:b3:5d:eb:08:b3:
                        5b:d7:22:3a:86:c3:97:ef:ac:25:eb:4a:60:f8:2b:a3:3b:da:
                        5d:6f:a5:cf:cb:5a:0b:c5:2b:45:b7:3e:6e:39:e9:d9:66:6d:
                        ef:d3:a0:f6:2a:2d:86:a3:01:c4:94:09:c0:99:ce:22:19:84:
                        2b:f0:db:3e:1e:18:fb:df:56:cb:6f:a2:56:35:0d:39:94:34:
                        6d:19:1d:46:d7:bf:1a:86:22:78:87:3e:67:fe:4b:ed:37:3d:
                        d6:0a:1c:0b
                        Certificate:
                        Data:
                        Version: 3 (0x2)
                        Serial Number:
                        08:7c:67:01:5c:b3:5a:12:0f:2f
                        Signature Algorithm: sha256WithRSAEncryption
                        Issuer: C=CN, L=shangdi, ST=pukras, O=OpenCA Labs, OU=docm, CN=subca1
                        Validity
                        Not Before: May 26 05:58:26 2011 GMT
                        Not After : Nov 22 05:58:26 2012 GMT
                        Subject: C=CN, O=OpenCA Labs, OU=Users, CN=subencr 11
                        Subject Public Key Info:
                        Public Key Algorithm: rsaEncryption
                        Public-Key: (1024 bit)
                        Modulus:
                        00:db:26:13:d3:d1:a4:af:11:f3:6d:37:cf:d0:d4:
                        48:50:4e:0f:7d:54:76:ed:50:28:c6:71:d4:48:ae:
                        4d:e7:3d:23:78:70:63:18:33:f6:94:98:aa:fa:f6:
                        62:ed:8a:50:c6:fd:2e:f4:20:0c:14:f7:54:88:36:
                        2f:e6:e2:88:3f:c2:88:1d:bf:8d:9f:45:6c:5a:f5:
                        94:71:f3:10:e9:ec:81:00:28:60:a9:02:bb:35:8b:
                        bf:85:75:6f:24:ab:26:de:47:6c:ba:1d:ee:0d:35:
                        75:58:10:e5:e8:55:d1:43:ae:85:f8:ff:75:81:03:
                        8c:2e:00:d1:e9:a4:5b:18:39
                        Exponent: 65537 (0x10001)
                        X509v3 extensions:
                        X509v3 Basic Constraints:
                        CA:FALSE
                        Netscape Cert Type:
                        SSL Server
                        X509v3 Key Usage:
                        Key Encipherment, Data Encipherment
                        Netscape Comment:
                        VPN Server of OpenCA Labs
                        X509v3 Subject Key Identifier:
                        CC:96:03:2F:FC:74:74:45:61:38:1F:48:C0:E8:AA:18:24:F0:2B:AB
                        X509v3 Authority Key Identifier:
                        keyid:70:54:40:61:71:31:02:06:8C:62:11:0A:CC:A5:DB:0E:7E:74:DE:DD
                        X509v3 Subject Alternative Name:
                        email:subencr@docm.com
                        X509v3 Issuer Alternative Name:
                        DNS:subca1@docm.com, DNS:, IP Address:1.1.2.2, IP Address:2.2.1.1
                        Authority Information Access:
                        CA Issuers - URI:http://titan/pki/pub/cacert/cacert.crt
                        OCSP - URI:http://titan:2560/
                        1.3.6.1.5.5.7.48.12 - URI:http://titan:830/
                        X509v3 CRL Distribution Points:
                        Full Name:
                        URI:http://192.168.40.130/pki/pub/crl/cacrl.crl
                        Signature Algorithm: sha256WithRSAEncryption
                        53:69:66:5f:93:f0:2f:8c:54:24:8f:a2:f2:f1:29:fa:15:16:
                        90:71:e2:98:e3:5c:c6:e3:d4:5f:7a:f6:a9:4f:a2:7f:ca:af:
                        c4:c8:c7:2c:c0:51:0a:45:d4:56:e2:81:30:41:be:9f:67:a1:
                        23:a6:09:50:99:a1:40:5f:44:6f:be:ff:00:67:9d:64:98:fb:
                        72:77:9e:fd:f2:4c:3a:b2:43:d8:50:5c:48:08:e7:77:df:fb:
                        25:9f:4a:ea:de:37:1e:fb:bc:42:12:0a:98:11:f2:d9:5b:60:
                        bc:59:72:04:48:59:cc:50:39:a5:40:12:ff:9d:d0:69:3a:5e:
                        3a:09:5a:79:e0:54:67:a0:32:df:bf:72:a0:74:63:f9:05:6f:
                        5e:28:d2:e8:65:49:e6:c7:b5:48:7d:95:47:46:c1:61:5a:29:
                        90:65:45:4a:88:96:e4:88:bd:59:25:44:3f:61:c6:b1:08:5b:
                        86:d2:4f:61:4c:20:38:1c:f4:a1:0b:ea:65:87:7d:1c:22:be:
                        b6:17:17:8a:5a:0f:35:4c:b8:b3:73:03:03:63:b1:fc:c4:f5:
                        e9:6e:7c:11:e8:17:5a:fb:39:e7:33:93:5b:2b:54:72:57:72:
                        5e:78:d6:97:ef:b8:d8:6d:0c:05:28:ea:81:3a:06:a0:2e:c3:
                        79:05:cd:c3

    Para exibir informações detalhadas sobre o certificado CA, use o comando display pki certificate domain.

    Solução de problemas de configuração de PKI

    Esta seção fornece informações de solução de problemas comuns com a PKI.

    Falha ao obter o certificado CA

    Sintoma

    O certificado CA não pode ser obtido.

    Análise

    • A conexão de rede está inoperante, por exemplo, porque o cabo de rede está danificado ou os conectores estão com mau contato.
    • Nenhuma CA confiável foi especificada.
    • O URL de solicitação de certificado está incorreto ou não foi especificado.
    • A hora do sistema do dispositivo não está sincronizada com o servidor CA.
    • O servidor CA não aceita o endereço IP de origem especificado no domínio PKI ou nenhum endereço IP de origem foi especificado.
    • A impressão digital do certificado da CA raiz é ilegal.

    Solução

    • Corrija os problemas de conexão de rede, se houver.
    • Configure a CA confiável e todos os outros parâmetros necessários no domínio da PKI.
    • Use o comando ping para verificar se o servidor CA pode ser acessado.
    • Sincronize a hora do sistema do dispositivo com o servidor CA.
    • Especifique o endereço IP de origem correto que o servidor da CA pode aceitar. Para obter as configurações corretas, entre em contato com o administrador da CA.
    • Verifique a impressão digital do certificado CA no servidor CA.
    • Se o problema persistir, entre em contato com o Suporte da Intelbras.

    Falha ao obter certificados locais

    Sintoma

    Os certificados locais podem ser obtidos.

    Análise

    • A conexão de rede está inoperante.
    • O domínio PKI não tem um certificado de CA antes de você enviar a solicitação de certificado local.
    • O servidor LDAP não está configurado ou está configurado incorretamente.
    • Nenhum par de chaves é especificado para a solicitação de certificado no domínio PKI, ou o par de chaves especificado não corresponde ao contido nos certificados locais obtidos.
    • Nenhuma entidade PKI está configurada no domínio PKI ou a configuração da entidade PKI está incorreta.
    • A verificação da CRL está ativada, mas o domínio PKI não tem uma CRL e não pode obter uma.
    • O servidor CA não aceita o endereço IP de origem especificado no domínio PKI ou nenhum endereço IP de origem foi especificado.
    • A hora do sistema do dispositivo não está sincronizada com o servidor CA.

    Solução

    • Corrija os problemas de conexão de rede, se houver.
    • Obter ou importar o certificado CA.
    • Configure os parâmetros corretos do servidor LDAP.
    • Especifique o par de chaves para a solicitação de certificado ou remova o par de chaves existente, especifique um novo par de chaves e envie novamente uma solicitação de certificado local.
    • Verifique a política de registro na CA ou RA e certifique-se de que os atributos da entidade PKI atendam aos requisitos da política.
    • Obtenha a LCR no repositório de LCR.
    • Especifique o endereço IP de origem correto que o servidor da CA pode aceitar. Para obter as configurações corretas, entre em contato com o administrador da CA.
    • Sincronize a hora do sistema do dispositivo com o servidor CA.
    • Se o problema persistir, entre em contato com o Suporte da Intelbras.

    Falha ao solicitar certificados locais

    Sintoma

    Não é possível enviar solicitações de certificados locais.

    Análise

    • A conexão de rede está inoperante, por exemplo, porque o cabo de rede está danificado ou os conectores estão com mau contato.
    • O domínio PKI não tem um certificado de CA antes do envio da solicitação de certificado local.
    • O URL de solicitação de certificado está incorreto ou não foi especificado.
    • A autoridade de recepção da solicitação de certificado está incorreta ou não foi especificada.
    • Os parâmetros necessários da entidade PKI não estão configurados ou estão configurados incorretamente.
    • Nenhum par de chaves é especificado no domínio PKI para solicitação de certificado ou o par de chaves é alterado durante um processo de solicitação de certificado.
    • Aplicativos exclusivos de solicitação de certificado estão sendo executados no domínio da PKI.
    • O servidor CA não aceita o endereço IP de origem especificado no domínio PKI ou nenhum endereço IP de origem foi especificado.
    • A hora do sistema do dispositivo não está sincronizada com o servidor CA.

    Solução

    • Corrija os problemas de conexão de rede, se houver.
    • Obter ou importar o certificado CA.
    • Use o comando ping para verificar se o servidor de registro pode ser acessado.
    • Use o comando certificate request from para especificar a autoridade de recepção correta da solicitação de certificado .
    • Configure os parâmetros da entidade PKI conforme exigido pela política de registro na CA ou RA.
    • Especifique o par de chaves para a solicitação de certificado ou remova o par de chaves existente, especifique um novo par de chaves e envie novamente uma solicitação de certificado local.
    • Use o comando pki abort-certificate-request domain para abortar a solicitação de certificado.
    • Especifique o endereço IP de origem correto que o servidor da CA pode aceitar. Para obter as configurações corretas, entre em contato com o administrador da CA.
    • Sincronize a hora do sistema do dispositivo com o servidor CA.
    • Se o problema persistir, entre em contato com o Suporte da Intelbras.

    Falha na obtenção de CRLs

    Sintoma

    As CRLs não podem ser obtidas.

    Análise

    • A conexão de rede está inoperante, por exemplo, porque o cabo de rede está danificado ou os conectores estão com mau contato.
    • O domínio da PKI não tem um certificado de CA antes de você tentar obter as LCRs.
    • A URL do repositório de CRL não está configurada e não pode ser obtida do certificado da CA ou dos certificados locais no domínio da PKI.
    • O URL especificado do repositório de LCR está incorreto.
    • O dispositivo tenta obter CRLs por meio do SCEP, mas apresenta os seguintes problemas:
      • O domínio PKI não possui certificados locais.
      • Os pares de chaves nos certificados foram alterados.
      • O domínio PKI tem URL incorreto para solicitação de certificado.
      • O repositório de CRLs usa LDAP para a distribuição de CRLs. No entanto, o endereço IP ou o nome do host do servidor LDAP não está contido no URL do repositório de LCR nem configurado no domínio da PKI.
    • A CA não emite CRLs.
    • O servidor CA não aceita o endereço IP de origem especificado no domínio PKI ou nenhum endereço IP de origem foi especificado.

    Solução

    • Corrija os problemas de conexão de rede, se houver.
    • Obter ou importar o certificado CA.
    • Se o URL do repositório de LCR não puder ser obtido, verifique se as seguintes condições existem:
      • O URL da solicitação de certificado é válido.
      • Um certificado local foi obtido com sucesso.
      • O certificado local contém uma chave pública que corresponde ao par de chaves armazenado localmente.
      • Verifique se o endereço do servidor LDAP está contido no URL do repositório de LCR ou se está configurado em no domínio da PKI.
    • Verifique se o servidor CA suporta a publicação de CRLs.
    • Especifique um endereço IP de origem correto que o servidor da CA possa aceitar. Para obter as configurações corretas, entre em contato com o administrador da CA.
    • Se o problema persistir, entre em contato com o Suporte da Intelbras.

    Falha ao importar o certificado CA

    Sintoma

    O certificado CA não pode ser importado.

    Análise

    • A verificação da CRL está ativada, mas o dispositivo não tem uma CRL no domínio da PKI e não pode obter uma.
    • O formato especificado no qual o arquivo de certificado da CA deve ser importado não corresponde ao formato real do arquivo de certificado.

    Solução

    • Use o comando undo crl check enable para desativar a verificação de CRL no domínio PKI.
    • Verifique se o formato do arquivo importado está correto.
    • Se o problema persistir, entre em contato com o Suporte da Intelbras.

    Falha ao importar o certificado local

    Sintoma

    O certificado local não pode ser importado.

    Análise

    • O domínio PKI não tem um certificado CA e o arquivo de certificado local a ser importado não contém a cadeia de certificados CA.
    • A verificação da CRL está ativada, mas o dispositivo não tem uma CRL no domínio da PKI e não pode obter uma.
    • O formato especificado no qual o arquivo de certificado local deve ser importado não corresponde ao formato real do arquivo de certificado.
    • O dispositivo e o certificado não têm o par de chaves local.
    • O certificado foi revogado.
    • O certificado está fora do período de validade.
    • A hora do sistema está incorreta.

    Solução

    • Obter ou importar o certificado CA.
    • Use o comando undo crl check enable para desativar a verificação de CRL ou obtenha a CRL correta antes de importar certificados.
    • Certifique-se de que o formato do arquivo a ser importado esteja correto.
    • Certifique-se de que o arquivo de certificado contenha a chave privada.
    • Certifique-se de que o certificado não tenha sido revogado.
    • Verifique se o certificado é válido.
    • Configure a hora correta do sistema para o dispositivo.
    • Se o problema persistir, entre em contato com o Suporte da Intelbras.

    Falha ao exportar certificados

    Sintoma

    Os certificados não podem ser exportados.

    Análise

    • O domínio PKI não tem certificados locais quando você exporta todos os certificados no formato PKCS12.
    • O caminho de exportação especificado não existe.
    • O caminho de exportação especificado é ilegal.
    • A chave pública do certificado local a ser exportado não corresponde à chave pública do par de chaves configurado no domínio PKI.
    • O espaço de armazenamento do dispositivo está cheio.

    Solução

    • Obtenha ou solicite certificados locais primeiro.
    • Use o comando mkdir para criar o caminho necessário.
    • Especifique um caminho de exportação correto.
    • Configure o par de chaves correto no domínio da PKI.
    • Limpe o espaço de armazenamento do dispositivo.
    • Se o problema persistir, entre em contato com o Suporte da Intelbras.

    Falha ao definir o caminho de armazenamento

    Sintoma

    O caminho de armazenamento de certificados ou LCRs não pode ser definido.

    Análise

    • O caminho de armazenamento especificado não existe.
    • O caminho de armazenamento especificado é ilegal.
    • O espaço de armazenamento do dispositivo está cheio.

    Solução

    • Use o comando mkdir para criar o caminho.
    • Especifique um caminho de armazenamento válido para certificados ou CRLs.
    • Limpe o espaço de armazenamento do dispositivo.
    • Se o problema persistir, entre em contato com o Suporte da Intelbras.

    A negociação IKEv2 falhou porque não foram encontradas propostas IKEv2 correspondentes 72

    A negociação do IPsec SA falhou porque não foram encontrados conjuntos de transformação IPsec correspondentes 72

    Falha no estabelecimento do túnel IPsec 73

    Configuração do IPsec

    Sobre o IPsec

    A segurança IP (IPsec) é definida pela IETF para fornecer segurança interoperável, de alta qualidade e baseada em criptografia para comunicações IP. É uma tecnologia de VPN de camada 3 que transmite dados em um canal seguro estabelecido entre dois pontos finais (como dois gateways de segurança). Esse canal seguro é normalmente chamado de túnel IPsec.

    Estrutura IPsec

    O IPsec é uma estrutura de segurança que possui os seguintes protocolos e algoritmos:

    • Cabeçalho de autenticação (AH).
    • Encapsulating Security Payload (ESP).
    • Internet Key Exchange (IKE).
    • Algoritmos para autenticação e criptografia.

    AH e ESP são protocolos de segurança que fornecem serviços de segurança. O IKE executa a troca automática de chaves . Para obter mais informações sobre o IKE, consulte "Configuração do IKE".

    Serviços de segurança IPsec

    O IPsec fornece os seguintes serviços de segurança para pacotes de dados na camada IP:

    • Confidencialidade: o remetente criptografa os pacotes antes de transmiti-los pela Internet, protegendo-os contra interceptação durante o trajeto.
    • Integridade dos dados: o receptor verifica os pacotes recebidos do remetente para garantir que não tenham sido adulterados durante a transmissão.
    • Autenticação da origem dos dados - O receptor verifica a autenticidade do remetente.
    • Anti-repetição - O receptor examina os pacotes e descarta pacotes desatualizados e duplicados.

    Benefícios do IPsec

    O IPsec oferece os seguintes benefícios:

    • Redução da sobrecarga de negociação de chaves e manutenção simplificada com o suporte do protocolo IKE. O IKE oferece negociação automática de chaves e configuração e manutenção automáticas de associações de segurança (SA) IPsec.
    • Boa compatibilidade. Você pode aplicar o IPsec a todos os sistemas e serviços de aplicativos baseados em IP sem modificá-los.
    • Criptografia por pacote em vez de por fluxo. A criptografia por pacote permite flexibilidade e aumenta muito a segurança do IP.

    Protocolos de segurança

    O IPsec vem com dois protocolos de segurança, AH e ESP. Eles definem como encapsular os pacotes IP e os serviços de segurança que podem oferecer.

    • O AH (protocolo 51) define o encapsulamento do cabeçalho AH em um pacote IP, conforme mostrado na Figura 3. O AH pode fornecer serviços de autenticação de origem de dados, integridade de dados e anti-repetição para

    impede a adulteração de dados, mas não pode impedir a espionagem. Portanto, ele é adequado para a transmissão de dados não confidenciais. Os algoritmos de autenticação suportados pelo AH incluem HMAC-MD5 e HMAC-SHA1.

    • O ESP (protocolo 50) define o encapsulamento do cabeçalho e do trailer do ESP em um pacote IP, conforme mostrado na Figura 3. O ESP pode fornecer serviços de criptografia de dados, autenticação de origem de dados, integridade de dados e anti-repetição. Diferentemente do AH, o ESP pode garantir a confidencialidade dos dados porque pode criptografá-los antes de encapsulá-los em pacotes IP. Os algoritmos de criptografia compatíveis com o ESP incluem DES, 3DES e AES, e os algoritmos de autenticação incluem HMAC-MD5 e HMAC-SHA1.

    Tanto o AH quanto o ESP fornecem serviços de autenticação, mas o serviço de autenticação fornecido pelo AH é mais forte. Na prática, você pode escolher um ou ambos os protocolos de segurança. Quando o AH e o ESP são usados, um pacote IP é encapsulado primeiro pelo ESP e depois pelo AH.

    Modos de encapsulamento

    O IPsec oferece suporte aos seguintes modos de encapsulamento: modo de transporte e modo de túnel.

    Modo de transporte

    Os protocolos de segurança protegem os dados da camada superior de um pacote IP. Somente os dados da camada de transporte são usados para calcular os cabeçalhos do protocolo de segurança. Os cabeçalhos de protocolo de segurança calculados e os dados criptografados (somente para encapsulamento ESP) são colocados após o cabeçalho IP original. Você pode usar o modo de transporte quando a proteção de segurança de ponta a ponta for necessária (os pontos de início e fim da transmissão segura são os pontos de início e fim reais dos dados). O modo de transporte é normalmente usado para proteger as comunicações entre hosts, conforme mostrado na Figura 1.

    Figura 1 Proteção IPsec no modo de transporte

    Modo túnel

    Os protocolos de segurança protegem todo o pacote IP. O pacote IP inteiro é usado para calcular os cabeçalhos do protocolo de segurança. Os cabeçalhos de protocolo de segurança calculados e os dados criptografados (somente para encapsulamento ESP) são encapsulados em um novo pacote IP. Nesse modo, o pacote encapsulado tem dois cabeçalhos IP. O cabeçalho IP interno é o cabeçalho IP original. O cabeçalho IP externo é adicionado pelo dispositivo de rede que fornece o serviço IPsec. Você deve usar o modo de túnel quando os pontos de início e fim da transmissão protegida não forem os pontos de início e fim reais dos pacotes de dados (por exemplo, quando dois gateways fornecem IPsec, mas os pontos de início e fim dos dados são dois hosts atrás dos gateways). O modo de túnel é normalmente usado para proteger as comunicações de gateway para gateway, conforme mostrado na Figura 2.

    Figura 2 Proteção IPsec no modo túnel

    A Figura 3 mostra como os protocolos de segurança encapsulam um pacote IP em diferentes modos de encapsulamento.

    Figura 3 Encapsulamentos do protocolo de segurança em diferentes modos

    Associação de segurança

    Uma associação de segurança (SA) é um acordo negociado entre duas partes comunicantes chamadas pares IPsec. Uma SA inclui os seguintes parâmetros para proteção de dados:

    • Protocolos de segurança (AH, ESP ou ambos).
    • Modo de encapsulamento (modo de transporte ou modo de túnel).
    • Algoritmo de autenticação (HMAC-MD5 ou HMAC-SHA1).
    • Algoritmo de criptografia (DES, 3DES ou AES).
    • Chaves compartilhadas e suas vidas úteis.

    Uma SA é unidirecional. São necessárias pelo menos duas SAs para proteger os fluxos de dados em uma comunicação bidirecional. Se dois pares quiserem usar AH e ESP para proteger os fluxos de dados entre eles, eles constroem uma SA independente para cada protocolo em cada direção.

    Uma SA é identificada exclusivamente por um tripleto, que consiste no índice do parâmetro de segurança (SPI), no endereço IP de destino e no identificador do protocolo de segurança. Um SPI é um número de 32 bits. Ele é transmitido no cabeçalho AH/ESP.

    Uma SA pode ser configurada manualmente ou por meio do IKE.

    • Modo manual - Configure todos os parâmetros da SA por meio de comandos. Esse modo de configuração é complexo e não oferece suporte a alguns recursos avançados (como atualização periódica de chaves), mas pode implementar o IPsec sem o IKE. Esse modo é usado principalmente em redes pequenas e estáticas ou quando o número de pares IPsec na rede é pequeno.
    • Modo de negociação IKE - Os pares negociam e mantêm a SA por meio do IKE. Esse modo de configuração é simples e tem boa capacidade de expansão. Como prática recomendada, configure SAs por meio de negociações IKE em redes dinâmicas de médio e grande porte.

    Uma SA configurada manualmente nunca se esgota. Uma SA criada pelo IKE tem um tempo de vida útil, que pode ser de dois tipos:

    • Tempo de vida baseado em tempo - Define por quanto tempo a SA pode ser válida após ser criada.
    • Vida útil baseada em tráfego - Define o tráfego máximo que a SA pode processar.

    Se ambos os cronômetros de tempo de vida forem configurados para uma SA, ela se tornará inválida quando um dos cronômetros de tempo de vida expirar. Antes que a SA expire, o IKE negocia uma nova SA, que assume o controle imediatamente após sua criação.

    Autenticação e criptografia

    Algoritmos de autenticação

    O IPsec usa algoritmos de hash para realizar a autenticação. Um algoritmo de hash produz um resumo de comprimento fixo para uma mensagem de comprimento arbitrário. Os pares IPsec calculam respectivamente os resumos de mensagens para cada pacote. O receptor compara o resumo local com o resumo recebido do remetente. Se os resumos forem

    idênticos, o receptor considera o pacote intacto e a identidade do remetente válida. O IPsec usa os algoritmos de autenticação baseados em HMAC (Hash-based Message Authentication Code), incluindo o HMAC-MD5 e o HMAC-SHA1. Em comparação com o HMAC-SHA1, o HMAC-MD5 é mais rápido, mas menos seguro.

    Algoritmos de criptografia

    O IPsec usa algoritmos de criptografia simétrica, que criptografam e descriptografam dados usando as mesmas chaves. Os seguintes algoritmos de criptografia estão disponíveis para o IPsec no dispositivo:

    • DES - criptografa um bloco de texto simples de 64 bits com uma chave de 56 bits. O DES é o algoritmo menos seguro, mas o mais rápido.
    • 3DES - criptografa dados de texto simples com três chaves DES de 56 bits. O comprimento da chave totaliza até 168 bits. Ele oferece força de segurança moderada e é mais lento que o DES.
    • AES - criptografa dados de texto simples com uma chave de 128 bits, 192 bits ou 256 bits. O AES oferece a maior força de segurança e é mais lento que o 3DES.

    Tráfego protegido por IPsec

    Os túneis IPsec podem proteger os seguintes tipos de tráfego:

    • Pacotes que correspondem a ACLs específicas.
    • Pacotes roteados para uma interface de túnel.
    • Pacotes de protocolos de roteamento IPv6.

    Dois pares usam políticas de segurança (políticas IPsec ou perfis IPsec) para proteger os pacotes entre eles. Uma política de segurança define o intervalo de pacotes a serem protegidos pelo IPsec e os parâmetros de segurança usados para a proteção. Para obter mais informações sobre políticas IPsec e perfis IPsec, consulte "Política IPsec e perfil IPsec".

    As informações a seguir descrevem como o IPsec protege os pacotes:

    • Quando um par IPsec identifica os pacotes a serem protegidos de acordo com a política de segurança, ele configura um túnel IPsec e envia o pacote para o par remoto por meio do túnel. O túnel IPsec pode ser configurado manualmente com antecedência ou pode ser configurado por meio da negociação IKE acionada pelo pacote. Os túneis IPsec são, na verdade, as SAs IPsec. Os pacotes de entrada são protegidos pela SA de entrada e os pacotes de saída são protegidos pela SA de saída.
    • Quando o par IPsec remoto recebe o pacote, ele descarta, desencapsula ou encaminha diretamente o pacote de acordo com a política de segurança configurada.

    IPsec baseado em ACL

    Para implementar o IPsec baseado em ACL, configure uma ACL para definir os fluxos de dados a serem protegidos, especifique a ACL em uma política de IPsec e, em seguida, aplique a política de IPsec a uma interface. Você pode aplicar uma política IPsec a interfaces físicas, como interfaces seriais e interfaces Ethernet, ou a interfaces virtuais, como interfaces de túnel e interfaces de modelo virtual.

    O IPsec baseado em ACL funciona da seguinte forma:

    • Quando os pacotes enviados pela interface correspondem a uma regra de permissão da ACL, os pacotes são protegidos pela SA IPsec de saída e encapsulados com IPsec.
    • Quando a interface recebe um pacote IPsec destinado ao dispositivo local, ela procura o SA IPsec de entrada de acordo com o SPI no cabeçalho do pacote IPsec para desencapsulamento. Se o pacote desencapsulado corresponder a uma regra de permissão da ACL, o dispositivo processará o pacote. Se o pacote desencapsulado não corresponder a nenhuma regra de permissão da ACL, o dispositivo descartará o pacote.

    O dispositivo suporta os seguintes modos de proteção de fluxo de dados:

    • Modo padrão - Um túnel IPsec protege um fluxo de dados. O fluxo de dados permitido por uma regra de ACL é protegido por um túnel IPsec estabelecido exclusivamente para ele.
    • Modo de agregação - Um túnel IPsec protege todos os fluxos de dados permitidos por todas as regras de uma ACL. Esse modo só é usado para se comunicar com dispositivos de versões antigas.
    • Modo por host - Um túnel IPsec protege um fluxo de dados de host para host. Um fluxo de dados de host para host é identificado por uma regra de ACL e protegido por um túnel IPsec estabelecido exclusivamente para ele. Esse modo consome mais recursos do sistema quando existem vários fluxos de dados entre duas sub-redes a serem protegidas.

    IPsec baseado em protocolo de roteamento IPv6

    Você pode implementar o IPsec baseado em protocolo de roteamento IPv6 vinculando um perfil IPsec a um protocolo de roteamento IPv6. Todos os pacotes do protocolo são encapsulados com IPsec. Os protocolos de roteamento IPv6 compatíveis incluem OSPFv3 e RIPng.

    Todos os pacotes dos aplicativos que não estão vinculados ao IPsec e os pacotes IPsec que não conseguiram ser desencapsulados são descartados.

    Em cenários de comunicação um-para-muitos, você deve configurar as SAs IPsec para um protocolo de roteamento IPv6 no modo manual devido aos seguintes motivos:

    • O mecanismo de troca automática de chaves protege as comunicações entre dois pontos. Em cenários de comunicação de um para muitos, a troca automática de chaves não pode ser implementada.
    • Os cenários de comunicação de um para muitos exigem que todos os dispositivos usem os mesmos parâmetros de SA (SPI e chave) para receber e enviar pacotes. As SAs negociadas pelo IKE não podem atender a esse requisito.

    Política IPsec e perfil IPsec

    As políticas e os perfis IPsec definem os parâmetros usados para estabelecer túneis IPsec entre dois pares e o intervalo de pacotes a serem protegidos.

    Política de IPsec

    Uma política IPsec é um conjunto de entradas de política IPsec que têm o mesmo nome, mas números de sequência diferentes.

    Uma política IPsec contém as seguintes configurações:

    • Uma ACL que define o intervalo de fluxos de dados a serem protegidos.
    • Um conjunto de transformação IPsec que define os parâmetros de segurança usados para a proteção IPsec.
    • Modo de estabelecimento de SA IPsec.

    Os modos de estabelecimento de SA IPsec compatíveis são a configuração manual e a negociação IKE.

    • Endereços IP locais e remotos que definem os pontos inicial e final do túnel IPsec.

    Na mesma política IPsec, uma entrada de política IPsec com um número de sequência menor tem uma prioridade mais alta. Ao enviar um pacote, a interface aplicada com uma política IPsec examina as entradas da política IPsec em ordem crescente de números de sequência. Se o pacote corresponder à ACL de uma entrada de política IPsec, a interface encapsulará o pacote de acordo com a entrada de política IPsec. Se nenhuma correspondência for encontrada, a interface enviará o pacote sem a proteção IPsec.

    Quando a interface recebe um pacote IPsec destinado ao dispositivo local, ela procura o SA IPsec de entrada de acordo com o SPI no cabeçalho do pacote IPsec para desencapsulamento. Se o pacote desencapsulado corresponder a uma regra de permissão da ACL, o dispositivo processará o pacote. Se o pacote desencapsulado não corresponder a uma regra de permissão da ACL, o dispositivo descartará o pacote.

    Perfil IPsec

    Um perfil IPsec tem configurações semelhantes às de uma política IPsec. Ele é identificado exclusivamente por um nome e não oferece suporte à configuração de ACL.

    Os perfis IPsec podem ser classificados nos seguintes tipos:

    • Perfil IPsec manual - Um perfil IPsec manual é usado para proteger os protocolos de roteamento IPv6. Ele especifica o conjunto de transformação IPsec usado para proteger os fluxos de dados e os SPIs e chaves usados pelas SAs.
    • Perfil IPsec baseado em IKE - Um perfil IPsec baseado em IKE é aplicado a interfaces de túnel para proteger o tráfego em túnel. Ele especifica os conjuntos de transformação IPsec usados para proteger os fluxos de dados e o perfil IKE usado para a negociação IKE.

    IPsec RRI

    O IPsec Reverse Route Injection (RRI) permite que um gateway de túnel IPsec adicione e exclua automaticamente rotas estáticas destinadas às redes privadas protegidas. Ele adiciona automaticamente as rotas estáticas quando as SAs IPsec são estabelecidas e exclui as rotas estáticas quando as SAs IPsec são excluídas. Isso reduz bastante a carga de trabalho de configuração de rota estática no gateway e aumenta a escalabilidade da VPN IPsec.

    O IPsec RRI é aplicável a gateways que precisam fornecer muitos túneis IPsec (por exemplo, um gateway de sede).

    Conforme mostrado na Figura 4, o tráfego entre o centro da empresa e as filiais é protegido pelo IPsec. O gateway no centro da empresa é configurado com rotas estáticas para rotear o tráfego para as interfaces protegidas por IPsec. É difícil adicionar ou modificar rotas estáticas no gateway do centro da empresa se a VPN IPsec tiver um grande número de filiais ou se a estrutura da rede mudar.

    Figura 4 VPN IPsec

    Depois que você ativar o IPsec RRI no gateway, ele adicionará automaticamente uma rota estática à tabela de roteamento sempre que um túnel IPsec for estabelecido. O endereço IP de destino é a rede privada protegida e o próximo salto é o endereço IP remoto do túnel IPsec. O tráfego destinado à extremidade do par é roteado para a interface do túnel IPsec e, portanto, protegido pelo IPsec.

    Você pode anunciar as rotas estáticas criadas pelo IPsec RRI na rede interna, e o dispositivo de rede interna pode usá-las para encaminhar o tráfego na VPN IPsec.

    Você pode definir preferências para as rotas estáticas criadas pelo IPsec RRI para implementar um gerenciamento flexível de rotas. Por exemplo, você pode definir a mesma preferência para várias rotas para o mesmo destino para implementar o compartilhamento de carga ou pode definir preferências diferentes para implementar o backup de rotas.

    Também é possível definir tags para as rotas estáticas criadas pelo IPsec RRI para implementar o controle flexível de rotas por meio de políticas de roteamento.

    Protocolos e padrões

    • RFC 2401, Arquitetura de segurança para o protocolo da Internet
    • RFC 2402, Cabeçalho de autenticação IP
    • RFC 2406, IP Encapsulating Security Payload
    • RFC 4552, Autenticação/Confidencialidade para OSPFv3

    Conformidade com FIPS

    O dispositivo é compatível com o modo FIPS que atende aos requisitos do NIST FIPS 140-2. O suporte a recursos, comandos e parâmetros pode ser diferente no modo FIPS (consulte "Configuração de FIPS") e no modo não-FIPS.

    Restrições e diretrizes: Configuração do IPsec

    Normalmente, o IKE usa a porta UDP 500 para comunicação, e o AH e o ESP usam os números de protocolo 51 e 50, respectivamente. Certifique-se de que o tráfego desses protocolos não seja negado nas interfaces com IKE ou IPsec configurados.

    Implementação do IPsec baseado em ACL

    As ACLs para IPsec têm efeito apenas no tráfego gerado pelo dispositivo e no tráfego destinado ao dispositivo. Elas não têm efeito sobre o tráfego encaminhado pelo dispositivo. Por exemplo, um túnel IPsec baseado em ACL pode proteger as mensagens de registro que o dispositivo envia a um servidor de registro, mas não protege os fluxos de dados e os fluxos de voz que são encaminhados pelo dispositivo.

    Visão geral das tarefas IPsec baseadas em ACL

    Para configurar o IPsec baseado em ACL, execute as seguintes tarefas:

    • Configuração de uma ACL
    • Configuração de um conjunto de transformação IPsec
    • Configuração de uma política IPsec Escolha uma das tarefas a seguir:
      • Configuração de uma política IPsec manual
      • Configuração de uma política IPsec baseada em IKE
      • Aplicação de uma política IPsec a uma interface
    • (Opcional.) Configuração de recursos de acessibilidade para IPsec baseado em ACL
      • Ativação da verificação de ACL para pacotes não encapsulados
      • Configuração do IPsec anti-replay
      • Configuração da redundância anti-repetição do IPsec
      • Vinculação de uma interface de origem a uma política IPsec
      • Ativação da pré-classificação de QoS
      • Configuração do bit DF dos pacotes IPsec
      • Configuração do IPsec RRI
      • Configuração do tempo de vida e do tempo limite de inatividade da SA IPsec global
      • Configuração da fragmentação do IPsec
    • Definição do número máximo de túneis IPsec
    • (Opcional.) Configuração de registro e notificação SNMP para IPsec.
    • Ativação de registro para pacotes IPsec
    • Configuração de notificações SNMP para IPsec

    Configuração de uma ACL

    O IPsec usa ACLs para identificar o tráfego a ser protegido.

    Palavras-chave nas regras de ACL

    Uma ACL é uma coleção de regras de ACL. Cada regra de ACL é uma instrução de negação ou permissão. Uma instrução de permissão identifica um fluxo de dados protegido pelo IPsec, e uma instrução de negação identifica um fluxo de dados que não é protegido pelo IPsec. O IPsec compara um pacote com as regras da ACL e processa o pacote de acordo com a primeira regra correspondente.

    • Cada regra ACL corresponde tanto ao tráfego de saída quanto ao tráfego de entrada retornado. Suponha que haja uma regra 0 que permita a origem ip 1.1.1.0 0.0.0.255 e o destino 2.2.2.0 0.0.0.0.255. Essa regra corresponde tanto ao tráfego de 1.1.1.0 para 2.2.2.0 quanto ao tráfego de 2.2.2.0 para 1.1.1.0.
    • Na direção de saída, se uma instrução de permissão for correspondida, o IPsec considerará que o pacote requer proteção e continuará a processá-lo. Se uma instrução deny for correspondida ou se não for encontrada nenhuma correspondência, o IPsec considerará que o pacote não requer proteção e o entregará ao próximo módulo.
    • Na direção de entrada:
      • Os pacotes não IPsec que correspondem a uma instrução de permissão são descartados.
      • Os pacotes IPsec destinados ao próprio dispositivo são desencapsulados. Por padrão, o

    Os pacotes desencapsulados são comparados com as regras da ACL. Somente aqueles que correspondem a uma

    são processados. Os outros pacotes são descartados. Se a verificação de ACL para

    se estiver desativado, os pacotes IPsec desencapsulados não serão comparados com as regras da ACL e serão processados diretamente por outros módulos.

    Ao definir regras de ACL para IPsec, siga estas diretrizes:

    • Permita apenas os fluxos de dados que precisam ser protegidos e use a palavra-chave any com cautela. Com a palavra-chave any especificada em uma instrução de permissão, todo o tráfego de saída que corresponder à instrução de permissão será protegido pelo IPsec. Todos os pacotes IPsec de entrada que corresponderem à instrução de permissão serão recebidos e processados, mas todos os pacotes não IPsec de entrada serão descartados. Isso fará com que todo o tráfego de entrada que não precisa de proteção IPsec seja descartado.
    • Evite conflitos de instruções no escopo das entradas de política IPsec. Ao criar uma instrução deny, tenha cuidado com seu escopo e ordem de correspondência em relação às instruções permit. As entradas de política em uma política IPsec têm diferentes prioridades de correspondência. Os conflitos de regras de ACL entre elas podem causar mau tratamento dos pacotes. Por exemplo, ao configurar uma instrução de permissão para uma entrada de política IPsec para proteger um fluxo de tráfego de saída, é preciso evitar que o fluxo de tráfego corresponda a uma instrução de negação em uma entrada de política IPsec de prioridade mais alta. Caso contrário, os pacotes serão enviados como pacotes normais. Se corresponderem a uma instrução de permissão na extremidade receptora, serão descartados pelo IPsec.

    O exemplo a seguir mostra como uma declaração incorreta causa o descarte inesperado de pacotes. Somente a configuração relacionada à ACL é apresentada.

    Suponha que o Roteador A esteja conectado à sub-rede 1.1.2.0/24 e que o Roteador B esteja conectado à sub-rede 3.3.3.0/24, e que a configuração da política IPsec no Roteador A e no Roteador B seja a seguinte:

    • Configuração do IPsec no Roteador A:
    acl advanced 3000
                     rule 0 permit ip source 1.1.1.0 0.0.0.255 destination 2.2.2.0 0.0.0.255
                     rule 1 deny ip
                     acl advanced 3001
                     9
                     rule 0 permit ip source 1.1.2.0 0.0.0.255 destination 3.3.3.0 0.0.0.255
                     rule 1 deny ip
                     #
                     ipsec policy testa 1 isakmp <---IPsec policy entry with a higher priority
                     security acl 3000
                     ike-profile aa
                     transform-set 1
                     #
                     ipsec policy testa 2 isakmp <---IPsec policy entry with a lower priority
                     security acl 3001
                     ike-profile bb
                     transform-set 1
    • Configuração do IPsec no Roteador B:
    acl advanced 3001
                     rule 0 permit ip source 3.3.3.0 0.0.0.255 destination 1.1.2.0 0.0.0.255
                     rule 1 deny ip
                     #
                     ipsec policy testb 1 isakmp
                     security acl 3001
                     ike-profile aa
                     transform-set 1

    No Roteador A, aplique a política IPsec testa à interface de saída do Roteador A. A política IPsec contém duas entradas de política, testa 1 e testa 2. As ACLs usadas pelas duas entradas de política contêm, cada uma, uma regra que corresponde ao tráfego de 1.1.2.0/24 a 3.3.3.0/24. A regra usada na entrada de política testa 1 é uma instrução deny e a usada na entrada de política testa 2 é uma instrução permit. Como a testa 1 é correspondida antes da testa 2, o tráfego de 1.1.2.0/24 para 3.3.3.0/24 corresponderá à instrução deny e será enviado como tráfego normal. Quando o tráfego chega ao Roteador B, ele corresponde à regra 0 (uma instrução de permissão) na ACL 3001 usada no teste da política IPsec aplicada. Como o tráfego não IPsec que corresponde a uma instrução de permissão deve ser descartado na interface de entrada, o Roteador B descarta o tráfego.

    Para garantir que a sub-rede 1.1.2.0/24 possa acessar a sub-rede 3.3.3.0/24, você pode excluir a regra de negação na ACL 3000 no Roteador A.

    ACLs de imagem espelhada

    Para garantir que as SAs possam ser configuradas e que o tráfego protegido pelo IPsec possa ser processado corretamente entre dois pares IPsec, crie ACLs de imagem espelhada nos pares IPsec. Conforme mostrado na Figura 5, as regras de ACL no Roteador B são imagens espelhadas das regras no Roteador A. Dessa forma, as SAs podem ser criadas com êxito para o tráfego entre o Host A e o Host C e para o tráfego entre a Rede 1 e a Rede 2.

    Figura 5 ACLs de imagem espelhada

    Se as regras de ACL nos pares IPsec não formarem imagens espelhadas umas das outras, as SAs poderão ser configuradas somente quando os dois requisitos a seguir forem atendidos:

    • O intervalo especificado por uma regra ACL em um par é coberto por sua regra ACL equivalente no outro par. Conforme mostrado na Figura 6, o intervalo especificado pela regra ACL configurada no Roteador A é coberto por sua contraparte no Roteador B.
    • O par com a regra mais restrita inicia a negociação da SA. Se uma regra de ACL mais ampla for usada pelo iniciador da SA, a solicitação de negociação poderá ser rejeitada porque o tráfego correspondente está além do escopo do respondente. Conforme mostrado na Figura 6, a negociação SA iniciada pelo Host A para o Host C é aceita, mas as negociações SA do Host C para o Host A, do Host C para o Host B e do Host D para o Host A são rejeitadas.

    Figura 6 ACLs de imagens não espelhadas

    Configuração de um conjunto de transformação IPsec

    Sobre o conjunto de transformação IPsec

    Um conjunto de transformação IPsec, parte de uma política IPsec, define os parâmetros de segurança para a negociação de SA IPsec, incluindo o protocolo de segurança, os algoritmos de criptografia e os algoritmos de autenticação.

    Restrições e diretrizes

    As alterações em um conjunto de transformação IPsec afetam somente as SAs negociadas após as alterações. Para aplicar as alterações às SAs existentes, execute o comando reset ipsec sa para limpar as SAs, de modo que elas possam ser configuradas usando os parâmetros atualizados.

    No modo FIPS, você deve especificar o algoritmo de criptografia ESP e o algoritmo de autenticação ESP para um conjunto de transformação IPsec que usa o protocolo de segurança ESP.

    Quando você definir o modo de encapsulamento de pacotes (túnel ou transporte) para um conjunto de transformação IPsec, siga estas diretrizes:

    • O modo de transporte se aplica somente quando os endereços IP de origem e destino dos fluxos de dados correspondem aos do túnel IPsec.
    • O IPsec para protocolos de roteamento IPv6 suporta apenas o modo de transporte.

    Quando você configurar o recurso Perfect Forward Secrecy (PFS) em um conjunto de transformação IPsec, siga estas diretrizes:

    • No IKEv1, o nível de segurança do grupo DH do iniciador deve ser maior ou igual ao do respondente. Essa restrição não se aplica ao IKEv2.
    • A extremidade sem o recurso PFS realiza a negociação de SA de acordo com os requisitos de PFS da extremidade do par.

    É possível especificar vários algoritmos de autenticação ou criptografia para o mesmo protocolo de segurança. O algoritmo especificado anteriormente tem prioridade mais alta.

    Alguns algoritmos estão disponíveis somente para o IKEv2. Consulte a Tabela 1.

    Tabela 1 Algoritmos disponíveis somente para o IKEv2

    Tipo Algoritmos
    Algoritmo de criptografia aes-ctr-128 aes-ctr-192 aes-ctr-256 camellia-cbc-128 camellia-cbc-192 camellia-cbc-256 gmac-128 gmac-192 gmac-256 gcm-128 gcm-192 gcm-256
    Algoritmo de autenticação aes-xcbc-mac
    Algoritmo PFS dh-group19 dh-group20

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Crie um conjunto de transformação IPsec e entre em sua visualização.
    ipsec transform-set transform-set-name
    • Especifique o protocolo de segurança para o conjunto de transformação IPsec.
    protocol { ah | ah-esp | esp }

    Por padrão, o protocolo de segurança ESP é usado.

    • Especifique os algoritmos de criptografia para ESP. Ignore esta etapa se o comando protocol ah estiver configurado.

    No modo não-FIPS:

    esp encryption-algorithm { 3des-cbc | aes-cbc-128 | aes-cbc-192 |
                     aes-cbc-256 | aes-ctr-128 | aes-ctr-192 | aes-ctr-256 | camellia-cbc-128 | camellia-cbc-192 | camellia-cbc-256 | des-cbc |
                     gmac-128 | gmac-192 | gmac-256 | gcm-128 | gcm-192 | gcm-256 | null } *

    Por padrão, nenhum algoritmo de criptografia é especificado para o ESP. No modo FIPS:

    esp encryption-algorithm { aes-cbc-128 | aes-cbc-192 | aes-cbc-256 |
                     aes-ctr-128 | aes-ctr-192 | aes-ctr-256 | gmac-128 | gmac-192 | gmac-256
                     | gcm-128 | gcm-192 | gcm-256 } *

    Por padrão, nenhum algoritmo de criptografia é especificado para o ESP.

    • Especifique os algoritmos de autenticação para ESP. Ignore esta etapa se o comando protocol ah estiver configurado.

    No modo não-FIPS:

    esp authentication-algorithm { aes-xcbc-mac | md5 | sha1 | sha256 |
                     sha384 | sha512 } *

    Por padrão, nenhum algoritmo de autenticação é especificado para o ESP. O algoritmo aes-xcbc-mac está disponível somente para o IKEv2. No modo FIPS:

    esp authentication-algorithm { sha1 | sha256 | sha384 | sha512 } *

    Por padrão, nenhum algoritmo de autenticação é especificado para o ESP.

    • Especifique os algoritmos de autenticação para AH. Ignore esta etapa se o comando protocol esp estiver configurado.

    No modo não-FIPS:

    ah authentication-algorithm { aes-xcbc-mac | md5 | sha1 | sha256 |
                     sha384 | sha512 } *

    Por padrão, nenhum algoritmo de autenticação é especificado para o AH. O algoritmo aes-xcbc-mac está disponível somente para o IKEv2. No modo FIPS:

    ah authentication-algorithm { aes-xcbc-mac | md5 | sha1 | sha256 |
                     sha384 | sha512 } *

    Por padrão, nenhum algoritmo de autenticação é especificado para o AH.

    • Especifique o modo de encapsulamento de pacotes.
    encapsulation-mode { transport | tunnel }

    Por padrão, o protocolo de segurança encapsula os pacotes IP no modo túnel.

    • (Opcional.) Habilite o recurso PFS. No modo não-FIPS:
    pfs { dh-group1 | dh-group2 | dh-group5 | dh-group14 | dh-group24 |
                     dh-group19 | dh-group20 }

    No modo FIPS:

    pfs { dh-group14 | dh-group19 | dh-group20 }

    Por padrão, o recurso PFS está desativado.

    Para obter mais informações sobre o PFS, consulte "Configuração do IKE".

    • (Opcional.) Ative o recurso ESN (Extended Sequence Number, número de sequência estendido).
    esn enable [ both ]

    Por padrão, o recurso ESN está desativado.

    Configuração de uma política IPsec manual

    Em uma política IPsec manual, os parâmetros são configurados manualmente, como as chaves, os SPIs e os endereços IP das duas extremidades no modo túnel.

    Restrições e diretrizes

    Quando você configurar uma política IPsec manual, certifique-se de que a configuração IPsec em ambas as extremidades do túnel IPsec atenda aos seguintes requisitos:

    • As políticas IPsec nas duas extremidades devem ter conjuntos de transformação IPsec que usem os mesmos protocolos de segurança, algoritmos de segurança e modo de encapsulamento.
    • O endereço IPv4 remoto configurado na extremidade local deve ser o mesmo que o endereço IPv4 primário da interface aplicada com a política IPsec na extremidade remota. O endereço IPv6 remoto configurado na extremidade local deve ser o mesmo que o primeiro endereço IPv6 da interface aplicada com a política IPsec na extremidade remota.
    • Em cada extremidade, configure os parâmetros para a SA de entrada e a SA de saída e certifique-se de que as SAs em cada direção sejam exclusivas: Para uma SA de saída, certifique-se de que seu tripleto (endereço IP remoto, protocolo de segurança e SPI) seja exclusivo. Para uma SA de entrada, certifique-se de que seu SPI seja exclusivo.
    • A SA de entrada local deve usar o mesmo SPI e as mesmas chaves que a SA de saída remota. O mesmo se aplica à SA de saída local e à SA de entrada remota.
    • As chaves para as SAs IPsec nas duas extremidades do túnel devem ser configuradas no mesmo formato. Por exemplo, se a extremidade local usar uma chave no formato hexadecimal, a extremidade remota também deverá usar uma chave no formato hexadecimal. Se você configurar uma chave nos formatos de caractere e hexadecimal, somente a configuração mais recente terá efeito.
    • Se você configurar uma chave em formato de caractere para ESP, o dispositivo gerará automaticamente uma chave de autenticação e uma chave de criptografia para ESP.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Crie uma entrada de política IPsec manual e insira sua visualização.
    ipsec { ipv6-policy | policy } policy-name seq-number manual
    • (Opcional.) Configure uma descrição para a política IPsec.
    description text

    Por padrão, nenhuma descrição é configurada.

    • Especifique uma ACL para a política IPsec.
    security acl [ ipv6 ] { acl-number | name acl-name }

    Por padrão, nenhuma ACL é especificada para uma política IPsec. Você pode especificar apenas uma ACL para uma política IPsec.

    • Especifique um conjunto de transformação IPsec para a política IPsec.
    transform-set transform-set-name

    Por padrão, nenhum conjunto de transformação IPsec é especificado para uma política IPsec.

    Você pode especificar apenas um conjunto de transformação IPsec para uma política IPsec manual.

    • Especifique o endereço IP remoto do túnel IPsec.
    remote-address { ipv4-address | ipv6 ipv6-address }

    Por padrão, o endereço IP remoto do túnel IPsec não é especificado.

    • Configure um SPI para a SA IPsec de entrada.
    sa spi inbound { ah | esp } spi-number

    Por padrão, nenhum SPI é configurado para a SA IPsec de entrada.

    • Configure um SPI para a SA IPsec de saída.
    sa spi outbound { ah | esp } spi-number

    Por padrão, nenhum SPI é configurado para a SA IPsec de saída.

    • Configurar chaves para a SA IPsec.
      • Configure uma chave de autenticação em formato hexadecimal para AH.
    sa hex-key authentication { inbound | outbound } ah { cipher | simple } 
                     string
    • Configure uma chave de autenticação em formato de caractere para AH.
    sa string-key { inbound | outbound } ah { cipher | simple } string
    • Configure uma chave em formato de caractere para o ESP.
    sa string-key { inbound | outbound } esp { cipher | simple } string
    • Configure uma chave de autenticação em formato hexadecimal para ESP.
    sa hex-key authentication { inbound | outbound } esp { cipher |
                     simple }
    • Configure uma chave de criptografia em formato hexadecimal para ESP.
    sa hex-key encryption { inbound | outbound } esp { cipher | simple } 
                     string

    Por padrão, nenhuma chave é configurada para a SA IPsec.

    Configure as chaves corretamente para o protocolo de segurança (AH, ESP ou ambos) que você especificou no conjunto de transformação IPsec usado pela política IPsec.

    Configuração de uma política IPsec baseada em IKE

    Sobre a configuração da política IPsec baseada em IKE

    Em uma política de IPsec baseada em IKE, os parâmetros são negociados automaticamente por meio de IKE. Para configurar uma política IPsec baseada em IKE, use um dos métodos a seguir:

    • Configure-o diretamente, configurando os parâmetros na visualização da política IPsec.
    • Configure-o usando um modelo de política IPsec existente com os parâmetros a serem negociados configurados.

    Um dispositivo que usa uma política IPsec configurada dessa forma não pode iniciar uma negociação SA, mas pode responder a uma solicitação de negociação. Os parâmetros não definidos no modelo são determinados pelo iniciador. Por exemplo, em um modelo de política IPsec, a ACL é opcional. Se você não especificar uma ACL, o intervalo de proteção IPsec não terá limite. Portanto, o dispositivo aceita todas as configurações de ACL do iniciador da negociação.

    Quando as informações da extremidade remota (como o endereço IP) são desconhecidas, esse método permite que a extremidade remota inicie negociações com a extremidade local.

    Os parâmetros configuráveis para um modelo de política IPsec são os mesmos de quando você configura diretamente uma política IPsec baseada em IKE. A diferença é que mais parâmetros são opcionais para um modelo de política IPsec. Exceto os conjuntos de transformação IPsec e o perfil IKE, todos os outros parâmetros são opcionais.

    Restrições e diretrizes para a configuração da política IPsec baseada em IKE

    As políticas IPsec nas duas extremidades do túnel devem ter conjuntos de transformação IPsec que usem os mesmos protocolos de segurança, algoritmos de segurança e modo de encapsulamento.

    As políticas IPsec nas duas extremidades do túnel devem ter os mesmos parâmetros de perfil IKE.

    Uma política IPsec baseada em IKE pode usar no máximo seis conjuntos de transformação IPsec. Durante uma negociação IKE, a IKE procura um conjunto de transformação IPsec totalmente compatível nas duas extremidades do túnel IPsec. Se nenhuma correspondência for encontrada, nenhuma SA poderá ser configurada e os pacotes que esperam ser protegidos serão descartados.

    O endereço IP remoto do túnel IPsec é obrigatório em um iniciador de negociação IKE e é opcional no respondente. O endereço IP remoto especificado na extremidade local deve ser o mesmo que o endereço IP local especificado na extremidade remota.

    A SA IPsec usa as configurações locais de tempo de vida ou as propostas pelo par, o que for menor.

    A SA IPsec pode ter um tempo de vida baseado em tempo e um tempo de vida baseado em tráfego. A SA IPsec expira quando o tempo de vida expira.

    Se você especificar um perfil IKEv1 e um perfil IKEv2 para uma política IPsec, o perfil IKEv2 será usado preferencialmente. Para obter mais informações sobre os perfis IKEv1 e IKEv2, consulte "Configuração do IKE" e "Configuração do IKEv2".

    Configuração direta de uma política IPsec baseada em IKE

    • Entre na visualização do sistema.
    system view
    • Crie uma entrada de política IPsec baseada em IKE e entre em sua visualização.
    ipsec { ipv6-policy | policy } policy-name seq-number isakmp
    • (Opcional.) Configure uma descrição para a política IPsec.
    description text

    Por padrão, nenhuma descrição é configurada.

    • Especifique uma ACL para a política IPsec.
    security acl [ ipv6 ] { acl-number | name acl-name } [ aggregation |
                     per-host ]

    Por padrão, nenhuma ACL é especificada para uma política IPsec. Você pode especificar apenas uma ACL para uma política IPsec.

    • Especifique os conjuntos de transformação IPsec para a política IPsec.
    transform-set transform-set-name&<1-6>

    Por padrão, nenhum conjunto de transformação IPsec é especificado para uma política IPsec.

    • Especifique um perfil IKE ou IKEv2 para a política IPsec.
      • Especifique um perfil IKE.
    ike-profile profile-name

    Por padrão, nenhum perfil IKE é especificado para uma política IPsec.

    • Especifique um perfil IKEv2.
    ikev2-profile profile-name

    Por padrão, nenhum perfil IKEv2 é especificado para uma política IPsec.

    • Especifique o endereço IP local do túnel IPsec.
    local-address { ipv4-address | ipv6 ipv6-address }

    Por padrão, o endereço IPv4 local do túnel IPsec é o endereço IPv4 primário da interface à qual a política IPsec é aplicada. O endereço IPv6 local do túnel IPsec é o primeiro endereço IPv6 da interface à qual a política IPsec é aplicada.

    O endereço IP local especificado por esse comando deve ser o mesmo que o endereço IP usado como identidade IKE local.

    Em uma rede VRRP, o endereço IP local deve ser o endereço IP virtual do grupo VRRP ao qual pertence a interface aplicada ao IPsec.

    • Especifique o endereço IP remoto do túnel IPsec.
    remote-address { [ ipv6 ] host-name | ipv4-address | ipv6 ipv6-address }

    Por padrão, o endereço IP remoto do túnel IPsec não é especificado.

    • (Opcional.) Defina o tempo de vida ou o tempo limite de inatividade para a SA IPsec.
    • Definir o tempo de vida da SA IPsec.
    sa duration { time-based seconds | traffic-based kilobytes }

    Por padrão, o tempo de vida da SA global é usado.

    • Defina o tempo limite de inatividade da SA IPsec.
    sa idle-time seconds

    Por padrão, é usado o tempo limite ocioso da SA IPsec global.

    • (Opcional.) Ative o recurso de preenchimento de confidencialidade do fluxo de tráfego (TFC).
    tfc enable

    Por padrão, o recurso de preenchimento de TFC está desativado.

    Configuração de uma política IPsec baseada em IKE usando um modelo de política IPsec

    • Entre na visualização do sistema.
    system view
    • Crie um modelo de política IPsec e entre em sua visualização.
    ipsec { ipv6-policy-template | policy-template } template-name
                     seq-number
    • (Opcional.) Configure uma descrição para o modelo de política IPsec.
    description text

    Por padrão, nenhuma descrição é configurada.

    • (Opcional.) Especifique uma ACL para o modelo de política IPsec.
    security acl [ ipv6 ] { acl-number | name acl-name } [ aggregation |
                     per-host ]

    Por padrão, nenhuma ACL é especificada para um modelo de política IPsec. Você pode especificar apenas uma ACL para um modelo de política IPsec.

    • Especifique os conjuntos de transformação IPsec para o modelo de política IPsec.
    transform-set transform-set-name&<1-6>

    Por padrão, nenhum conjunto de transformação IPsec é especificado para um modelo de política IPsec.

    • Especifique um perfil IKE ou IKEv2 para o modelo de política IPsec.
      • Especifique um perfil IKE.
    ike-profile profile-name

    Por padrão, nenhum perfil IKE é especificado para um modelo de política IPsec.

    Certifique-se de que o perfil IKE especificado não seja usado por outra política IPsec ou modelo de política IPsec.

    • Especifique um perfil IKEv2.
    ikev2-profile profile-name

    Por padrão, nenhum perfil IKEv2 é especificado para um modelo de política IPsec.

    • Especifique o endereço IP local do túnel IPsec.
    local-address { ipv4-address | ipv6 ipv6-address }

    O endereço IPv4 e o endereço IPv6 locais padrão são o endereço IPv4 primário e o primeiro endereço IPv6 da interface em que a política IPsec é aplicada.

    O endereço IP local especificado por esse comando deve ser o mesmo que o endereço IP usado como identidade IKE local.

    Em uma rede VRRP, o endereço IP local deve ser o endereço IP virtual do grupo VRRP ao qual pertence a interface aplicada ao IPsec.

    • Especifique o endereço IP remoto do túnel IPsec.
    remote-address { [ ipv6 ] host-name | ipv4-address | ipv6 ipv6-address }

    Por padrão, o endereço IP remoto do túnel IPsec não é especificado.

    • (Opcional.) Defina o tempo de vida e o tempo limite de inatividade para a SA IPsec.
      • Definir o tempo de vida da SA IPsec.
    sa duration { time-based seconds | traffic-based kilobytes }

    Por padrão, o tempo de vida da SA global é usado.

    • Defina o tempo limite de inatividade da SA IPsec.
    sa duration { time-based seconds | traffic-based kilobytes }

    Por padrão, é usado o tempo limite ocioso da SA IPsec global.

    • (Opcional.) Ative o recurso de preenchimento de confidencialidade do fluxo de tráfego (TFC).
    tfc enable

    Por padrão, o recurso de preenchimento de TFC está desativado.

    • Retornar à visualização do sistema.
    quit
    • Crie uma política IPsec usando o modelo de política IPsec.
    ipsec { ipv6-policy | policy } policy-name seq-number isakmp template
                     template-name

    Aplicação de uma política IPsec a uma interface

    Restrições e diretrizes

    Você pode aplicar uma política IPsec às interfaces para proteger os fluxos de dados.

    • Uma política de IPsec baseada em IKE pode ser aplicada a várias interfaces. Como prática recomendada, aplique uma política IPsec baseada em IKE a apenas uma interface.
    • Uma política IPsec manual pode ser aplicada a apenas uma interface.

    Para cancelar a proteção IPsec, remova a aplicação da política IPsec.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Entre na visualização da interface.
    interface interface-type interface-number
    • Aplicar uma política IPsec à interface.
    ipsec apply { ipv6-policy | policy } policy-name

    Por padrão, nenhuma política IPsec é aplicada a uma interface.

    Em uma interface, você pode aplicar apenas uma política IPv4 IPsec e uma política IPv6 IPsec.

    Ativação da verificação de ACL para pacotes não encapsulados

    Sobre a verificação de ACL para pacotes não encapsulados

    Esse recurso compara os pacotes IPsec de entrada não encapsulados com a ACL na política IPsec e descarta aqueles que não correspondem a nenhuma regra de permissão da ACL. Esse recurso pode proteger as redes contra ataques que usam pacotes IPsec falsificados.

    Esse recurso se aplica somente ao IPsec no modo túnel.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Ativar a verificação de ACL para pacotes desencapsulados.
    ipsec decrypt-check enable

    Por padrão, a verificação de ACL para pacotes não encapsulados está ativada.

    Configuração do IPsec anti-replay

    Sobre o IPsec anti-replay

    O IPsec anti-replay protege as redes contra ataques anti-replay usando um mecanismo de janela deslizante chamado janela anti-replay. Esse recurso verifica o número de sequência de cada pacote IPsec recebido em relação ao intervalo atual de números de sequência de pacotes IPsec da janela deslizante. Se o número de sequência não estiver no intervalo de números de sequência atual, o pacote será considerado um pacote de repetição e será descartado.

    O desencapsulamento de pacotes IPsec envolve cálculos complicados. O desencapsulamento de pacotes reproduzidos não é necessário, e o processo de desencapsulamento consome grandes quantidades de recursos e prejudica o desempenho, resultando em DoS. O anti-reprodução do IPsec pode verificar e descartar os pacotes reproduzidos antes do desencapsulamento.

    Em algumas situações, os pacotes de dados de serviço são recebidos em uma ordem diferente da ordem original. O recurso anti-repetição do IPsec os descarta como pacotes repetidos, o que afeta as comunicações. Se isso acontecer, desative a verificação anti-reprodução do IPsec ou ajuste o tamanho da janela anti-reprodução conforme necessário.

    Restrições e diretrizes

    O anti-reprodução do IPsec não afeta as SAs do IPsec criadas manualmente. De acordo com o protocolo IPsec, somente as SAs IPsec baseadas em IKE suportam o anti-replay.

    Defina o tamanho da janela anti-reprodução como o menor possível para reduzir o impacto no desempenho do sistema.

    A não detecção de ataques anti-repetição pode resultar em negação de serviços. Se você quiser desativar o anti-repetição do IPsec, certifique-se de compreender o impacto da operação na segurança da rede.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Ativar o anti-repetição IPsec.
    ipsec anti-replay check

    Por padrão, o anti-repetição do IPsec está ativado.

    • Defina o tamanho da janela anti-repetição do IPsec.
    ipsec anti-replay window width

    O tamanho padrão é 64.

    Configuração da redundância anti-repetição do IPsec

    Sobre a redundância anti-repetição do IPsec

    Esse recurso sincroniza as seguintes informações do dispositivo ativo para o dispositivo em espera em intervalos configuráveis baseados em pacotes:

    • Valores de limite inferior da janela anti-repetição do IPsec para pacotes de entrada.
    • Números de sequência anti-repetição do IPsec para pacotes de saída.

    Esse recurso, usado junto com a redundância IPsec, garante o encaminhamento ininterrupto do tráfego IPsec e a proteção anti-repetição quando o dispositivo ativo falha.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Ativar a redundância do IPsec.
    ipsec redundancy enable

    Por padrão, a redundância do IPsec está desativada.

    • Entre na visualização de política IPsec ou na visualização de modelo de política IPsec.
      • Entre no modo de exibição da política IPsec.
    ipsec { ipv6-policy | policy } policy-name seq-number [ isakmp |
                     manual ]
    • Entre na visualização do modelo de política IPsec.
    ipsec { ipv6-policy-template | policy-template } template-name
                     seq-number
    • Defina o intervalo de sincronização da janela anti-repetição para pacotes de entrada e o intervalo de sincronização do número de sequência para pacotes de saída.
    redundancy replay-interval inbound inbound-interval outbound 
                     outbound-interval

    Por padrão, o dispositivo ativo sincroniza a janela anti-repetição toda vez que recebe 1.000 pacotes e sincroniza o número de sequência toda vez que envia 100.000 pacotes.

    Vinculação de uma interface de origem a uma política IPsec

    Sobre a interface de origem e a vinculação de políticas IPsec

    Para alta disponibilidade, um dispositivo central geralmente é conectado a um ISP por meio de dois links, que operam em modo de backup ou compartilhamento de carga. As duas interfaces negociam com seus pares para estabelecer SAs IPsec, respectivamente. Quando uma interface falha e ocorre um failover de link, a outra interface precisa levar algum tempo para renegociar SAs, o que resulta em interrupção do serviço.

    Para resolver esses problemas, vincule uma interface de origem a uma política IPsec e aplique a política a ambas as interfaces. Isso permite que as duas interfaces físicas usem a mesma interface de origem para negociar SAs IPsec. Enquanto a interface de origem estiver ativa, as SAs IPsec negociadas não serão removidas e continuarão funcionando, independentemente do failover do link.

    Restrições e diretrizes

    Somente as políticas IPsec baseadas em IKE podem ser vinculadas a uma interface de origem. Uma política IPsec pode ser vinculada a apenas uma interface de origem.

    Uma interface de origem pode ser vinculada a várias políticas IPsec.

    Se a interface de origem vinculada a uma política IPsec for removida, a política IPsec se tornará uma política IPsec comum.

    Se nenhum endereço local for especificado para uma política IPsec que tenha sido vinculada a uma interface de origem, a política IPsec usará o endereço IP da interface de origem vinculada para realizar a negociação IKE. Se for especificado um endereço local, a política IPsec usará o endereço local para realizar a negociação IKE.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Vincular uma interface de origem a uma política IPsec.
    ipsec { ipv6-policy | policy } policy-name local-address
                     interface-type interface-number

    Por padrão, nenhuma interface de origem está vinculada a uma política IPsec.

    Ativação da pré-classificação de QoS

    Sobre a pré-classificação de QoS

    Quando uma política de IPsec e uma política de QoS são aplicadas a uma interface, a QoS classifica os pacotes usando os novos cabeçalhos adicionados pelo IPsec. Se você quiser que a QoS classifique os pacotes usando os cabeçalhos dos pacotes IP originais, ative o recurso de pré-classificação da QoS.

    Restrições e diretrizes

    Se você configurar o IPsec e o QoS em uma interface, verifique se as regras de classificação de tráfego do IPsec correspondem às regras de classificação de tráfego do QoS. Se as regras não corresponderem, a QoS poderá classificar os pacotes de uma SA IPsec em filas diferentes, fazendo com que os pacotes sejam enviados fora de ordem. Quando o IPsec anti-replay estiver ativado, o IPsec descartará os pacotes de entrada que estiverem fora da janela anti-replay, resultando em perda de pacotes.

    As regras de classificação do tráfego IPsec são determinadas pelas regras da ACL especificada. Para obter mais informações sobre política e classificação de QoS, consulte o Guia de configuração de ACL e QoS.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Entre na visualização da política IPsec ou na visualização do modelo de política IPsec.
      • Entre no modo de exibição da política IPsec.
    ipsec { ipv6-policy | policy } policy-name seq-number [ isakmp |
                     manual ]
    • Entre na visualização do modelo de política IPsec.
    ipsec { ipv6-policy-template | policy-template } template-name
                     seq-number
    • Habilitar a pré-classificação de QoS.
    qos pre-classify

    Por padrão, a pré-classificação de QoS está desativada.

    Configuração do bit DF dos pacotes IPsec

    Sobre a configuração de bits DF para pacotes IPsec

    Execute esta tarefa para configurar o bit Don't Fragment (DF) no novo cabeçalho IP dos pacotes IPsec de uma das seguintes maneiras:

    • clear - Limpa o bit DF no novo cabeçalho.
    • set - Define o bit DF no novo cabeçalho.
    • copy-Copia o bit DF no cabeçalho IP original para o novo cabeçalho IP.

    Você pode configurar o bit DF na visualização do sistema e na visualização da interface. A configuração do bit DF na visualização da interface tem precedência sobre a configuração do bit DF na visualização do sistema. Se a configuração de bit DF na visualização da interface não estiver configurada, a interface usará a configuração de bit DF na visualização do sistema.

    Restrições e diretrizes para a configuração de bits DF para pacotes IPsec

    A configuração do bit DF tem efeito somente no modo túnel e altera o bit DF no novo cabeçalho IP em vez do cabeçalho IP original.

    Configure a mesma definição de bit DF nas interfaces em que a mesma política IPsec vinculada a uma interface de origem é aplicada.

    Se o bit DF estiver definido, os dispositivos no caminho não poderão fragmentar os pacotes IPsec. Para evitar que os pacotes IPsec sejam descartados, certifique-se de que o MTU do caminho seja maior que o tamanho do pacote IPsec. Como prática recomendada, limpe o bit DF se você não puder se certificar de que o MTU do caminho seja maior que o tamanho do pacote IPsec.

    Configuração do bit DF dos pacotes IPsec em uma interface

    • Entre na visualização do sistema.
    system view
    • Entre na visualização da interface.
    interface interface-type interface-number
    • Configure o bit DF dos pacotes IPsec na interface.
    ipsec global-df-bit { clear | copy | set }

    Por padrão, a interface usa a configuração global de bits DF.

    Configuração do bit DF dos pacotes IPsec globalmente

    • Entre na visualização do sistema.
    system view
    • Configure o bit DF dos pacotes IPsec globalmente.
    ipsec global-df-bit { clear | copy | set }

    Por padrão, o IPsec copia o bit DF do cabeçalho IP original para o novo cabeçalho IP.

    Configuração do IPsec RRI

    Restrições e diretrizes

    A ativação do IPsec RRI para uma política IPsec exclui todas as SAs IPsec existentes criadas por essa política IPsec. O IPsec RRI cria rotas estáticas de acordo com as novas SAs IPsec.

    A desativação do IPsec RRI para uma política IPsec exclui todos os SAs IPsec existentes criados por essa política IPsec e as rotas estáticas associadas.

    O IPsec RRI é compatível com o modo túnel e o modo transporte.

    Se você alterar o valor de preferência ou o valor de tag de uma política IPsec, o dispositivo excluirá todos os SAs IPsec criados por essa política IPsec e as rotas estáticas associadas. A alteração entra em vigor para futuras rotas estáticas criadas pelo IPsec RRI.

    O IPsec RRI não gera uma rota estática para um endereço de destino a ser protegido se o endereço de destino não estiver definido na ACL usada por uma política IPsec ou por um modelo de política IPsec. Você deve configurar manualmente uma rota estática para o endereço de destino.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Entre na visualização de política IPsec ou na visualização de modelo de política IPsec.
      • Entre no modo de exibição da política IPsec.
    ipsec { policy | ipv6-policy } policy-name seq-number isakmp
    • Entre na visualização do modelo de política IPsec.
    ipsec { ipv6-policy-template | policy-template } template-name
                     seq-number
    • Ativar IPsec RRI.
    reverse-route dynamic

    Por padrão, o IPsec RRI está desativado.

    • (Opcional.) Defina o valor de preferência para as rotas estáticas criadas pelo IPsec RRI.
    reverse-route preference number

    O valor padrão é 60.

    • (Opcional.) Defina o valor da tag para as rotas estáticas criadas pelo IPsec RRI.
    reverse-route tag tag-value

    O valor padrão é 0.

    Configuração do IPsec para protocolos de roteamento IPv6

    Visão geral das tarefas de proteção IPsec para protocolos de roteamento IPv6

    Para configurar a proteção IPsec para protocolos de roteamento IPv6, execute as seguintes tarefas:

    • Configuração de um conjunto de transformação IPsec
    • Configuração de um perfil IPsec manual
    • Aplicação do perfil IPsec a um protocolo de roteamento IPv6
    • (Opcional.) Configuração da fragmentação do IPsec
    • (Opcional.) Configuração do número máximo de túneis IPsec
    • (Opcional.) Ativação de registro para pacotes IPsec
    • (Opcional.) Configuração de notificações SNMP para IPsec

    Configuração de um perfil IPsec manual

    Sobre o perfil IPsec manual

    Um perfil IPsec manual especifica o conjunto de transformação IPsec usado para proteger os fluxos de dados e os SPIs e chaves usados pelas SAs.

    Restrições e diretrizes

    Quando você configurar um perfil IPsec manual, verifique se a configuração do perfil IPsec em ambas as extremidades do túnel atende aos seguintes requisitos:

    • O conjunto de transformação IPsec especificado no perfil IPsec nas duas extremidades do túnel deve ter o mesmo protocolo de segurança, algoritmos de criptografia e autenticação e modo de encapsulamento de pacotes.
    • As SAs IPsec de entrada e saída locais devem ter o mesmo SPI e a mesma chave.
    • As SAs IPsec nos dispositivos no mesmo escopo devem ter a mesma chave. O escopo é definido por protocolos. Para o OSPFv3, o escopo consiste em vizinhos do OSPFv3 ou em uma área do OSPFv3. Para o RIPng, o escopo consiste em vizinhos diretamente conectados ou em um processo RIPng.
    • As chaves para as SAs IPsec nas duas extremidades do túnel devem ser configuradas no mesmo formato. Por exemplo, se a extremidade local usar uma chave no formato hexadecimal, a extremidade remota também deverá usar uma chave no formato hexadecimal. Se você configurar uma chave nos formatos de caractere e hexadecimal, somente a configuração mais recente terá efeito.
    • Se você configurar uma chave em formato de caractere para ESP, o dispositivo gerará automaticamente uma chave de autenticação e uma chave de criptografia para ESP.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Crie um perfil IPsec manual e insira sua visualização.
    ipsec profile profile-name manual

    A palavra-chave manual não é necessária se você inserir a visualização de um perfil IPsec existente.

    • (Opcional.) Configure uma descrição para o perfil IPsec.
    description text

    Por padrão, nenhuma descrição é configurada.

    • Especifique um conjunto de transformação IPsec.
    transform-set transform-set-name

    Por padrão, nenhum conjunto de transformação IPsec é especificado em um perfil IPsec. O conjunto de transformação IPsec especificado deve usar o modo de transporte.

    • Configurar um SPI para uma SA.

    sa spi { inbound | outbound } { ah | esp } spi-number

    Por padrão, nenhum SPI é configurado para uma SA.

    • Configure as chaves para a SA IPsec.
      • Configure uma chave de autenticação em formato hexadecimal para AH.
    sa hex-key authentication { inbound | outbound } ah { cipher | simple } 
                     string
    • Configure uma chave de autenticação em formato de caractere para AH.
    sa string-key { inbound | outbound } ah { cipher | simple } string
    • Configure uma chave em formato de caractere para o ESP.
    sa string-key { inbound | outbound } esp { cipher | simple } string
    • Configure uma chave de autenticação em formato hexadecimal para ESP.
    sa hex-key authentication { inbound | outbound } esp { cipher |
                     simple }
    • Configure uma chave de criptografia em formato hexadecimal para ESP.
    sa hex-key encryption { inbound | outbound } esp { cipher | simple } 
                     string

    Por padrão, nenhuma chave é configurada para a SA IPsec.

    Configure uma chave para o protocolo de segurança (AH, ESP ou ambos) que você especificou.

    Aplicação do perfil IPsec a um protocolo de roteamento IPv6

    Para obter informações sobre o procedimento de configuração, consulte Configuração de OSPFv3 e RIPng no Guia de configuração de roteamento de camada 3 IP.

    Configuração do tempo de vida e do tempo limite de inatividade da SA IPsec global

    Sobre a duração da SA IPsec global e o tempo limite de inatividade

    Se o tempo de vida da SA IPsec e o tempo limite de inatividade não estiverem configurados em uma política IPsec, modelo de política IPsec ou perfil IPsec, serão usadas as configurações globais.

    Quando o IKE negocia SAs IPsec, ele usa as configurações locais de tempo de vida ou as propostas pelo par, o que for menor.

    Uma SA IPsec pode ter um tempo de vida baseado em tempo e um tempo de vida baseado em tráfego. A SA IPsec expira quando o tempo de vida expira.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Defina o tempo de vida ou o tempo limite de inatividade da SA IPsec global.
      • Definir o tempo de vida da SA IPsec global.
    ipsec sa global-duration { time-based seconds | traffic-based
                  kilobytes }

    Por padrão, o tempo de vida da SA baseada em tempo é de 3600 segundos e o tempo de vida da SA baseada em tráfego é de 1843200 kilobytes.

    • Definir o tempo limite de inatividade da SA global.
    ipsec sa idle-time seconds

    Por padrão, o recurso de tempo limite ocioso do IPsec SA global está desativado.

    Configuração da fragmentação do IPsec

    Sobre a fragmentação do IPsec

    Execute esta tarefa para configurar o dispositivo para fragmentar os pacotes antes ou depois do encapsulamento IPsec.

    Se você configurar o dispositivo para fragmentar os pacotes antes do encapsulamento IPsec, o dispositivo predeterminará o tamanho do pacote encapsulado antes do encapsulamento real. Se o tamanho do pacote encapsulado exceder o MTU da interface de saída, o dispositivo fragmentará os pacotes antes do encapsulamento. Se o bit DF de um pacote for definido, o dispositivo descartará o pacote e enviará uma mensagem de erro ICMP.

    Se você configurar o dispositivo para fragmentar os pacotes após o encapsulamento IPsec, o dispositivo encapsulará diretamente os pacotes e fragmentará os pacotes encapsulados nos módulos de serviço subsequentes.

    Restrições e diretrizes

    Esse recurso entra em vigor em pacotes IPv4 protegidos por IPsec.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Configurar a fragmentação do IPsec.
    ipsec fragmentation { after-encryption | before-encryption }

    Por padrão, o dispositivo fragmenta os pacotes antes do encapsulamento IPsec.

    Definição do número máximo de túneis IPsec

    Restrições e diretrizes

    Para maximizar o desempenho simultâneo do IPsec quando a memória for suficiente, aumente o número máximo de túneis IPsec. Para garantir a disponibilidade do serviço quando a memória for insuficiente, diminua o número máximo de túneis IPsec.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Defina o número máximo de túneis IPsec.
    ipsec limit max-tunnel tunnel-limit

    O número de túneis IPsec não é limitado.

    Ativação de registro para pacotes IPsec

    Sobre o registro de pacotes IPsec

    Execute esta tarefa para ativar o registro em log de pacotes IPsec que são descartados por motivos como falha na pesquisa de SA IPsec, falha na autenticação AH-ESP e falha na criptografia ESP. As informações de registro incluem os endereços IP de origem e destino, o valor SPI e o número de sequência de um pacote IPsec descartado, além do motivo do descarte.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Ativar o registro de pacotes IPsec.
    ipsec logging packet enablet

    Por padrão, o registro de pacotes IPsec está desativado.

    Configuração de notificações SNMP para IPsec

    Sobre as notificações SNMP para IPsec

    Depois que você ativar as notificações SNMP para IPsec, o módulo IPsec notificará o NMS sobre eventos importantes do módulo. As notificações são enviadas ao módulo SNMP do dispositivo. Para que as notificações sejam enviadas corretamente, você também deve configurar o SNMP no dispositivo. Para obter mais informações sobre as notificações de SNMP, consulte o Guia de configuração de monitoramento e gerenciamento de rede.

    Para gerar e emitir notificações SNMP para um tipo específico de evento ou falha do IPsec, execute as seguintes tarefas:

    • Ative as notificações SNMP para IPsec globalmente.
    • Ative as notificações SNMP para o tipo de falha ou evento.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Ative as notificações SNMP para IPsec globalmente.
    snmp-agent trap enable ipsec global

    Por padrão, as notificações SNMP para IPsec estão desativadas.

    • Ative as notificações SNMP para os tipos de falha ou evento especificados.
    snmp-agent trap enable ipsec [ auth-failure | decrypt-failure |
                  encrypt-failure | invalid-sa-failure | no-sa-failure | policy-add |
                  policy-attach | policy-delete | policy-detach | tunnel-start |
                  tunnel-stop ] *

    Por padrão, as notificações SNMP para todos os tipos de falhas e eventos estão desativadas.

    Comandos de exibição e manutenção para IPsec

    Execute comandos de exibição em qualquer visualização e redefina comandos na visualização do usuário.

    Tarefa Comando
    Exibir informações sobre a política IPsec. exibir ipsec { ipv6-policy | policy } [ policy-name [ seq-number ] ]
    Exibir informações do modelo de política IPsec. display ipsec { ipv6-policy-template | policy-template } [ nome-do-modelo [ seq-número ] ]
    Exibir informações do perfil IPsec. exibir perfil ipsec [ nome-do-perfil ]
    Exibir informações de SA IPsec. display ipsec sa [ brief | count | interface interface-type interface-number | { ipv6-policy | policy } policy-name [ seq-number ] | profile profile-name | remote [ ipv6 ] ip-address ]
    Exibir estatísticas de IPsec. display ipsec statistics [ tunnel-id tunnel-id ]
    Exibir informações do conjunto de transformação IPsec. exibir ipsec transform-set [ transform-set-name ]
    Exibir informações sobre o túnel IPsec. display ipsec tunnel { brief | count | tunnel-id tunnel-id }
    Limpar SAs IPsec. reset ipsec sa [ { ipv6-policy | policy } policy-name [ seq-number ] | profile policy-name | remote { ipv4-address | ipv6 ipv6-address } | spi { ipv4-address | ipv6 ipv6-address } { ah | esp } spi-num ]
    Limpar estatísticas do IPsec. reset ipsec statistics [ tunnel-id tunnel-id ]

    Exemplos de configuração do IPsec

    Exemplo: Configuração de um túnel IPsec em modo manual para pacotes IPv4

    Configuração de rede

    Conforme mostrado na Figura 7, estabeleça um túnel IPsec entre o Switch A e o Switch B para proteger os fluxos de dados entre os switches. Configure o túnel da seguinte forma:

    • Especifique o modo de encapsulamento como túnel, o protocolo de segurança como ESP, o algoritmo de criptografia como AES-CBC-192 e o algoritmo de autenticação como HMAC-SHA1.
    • Configurar manualmente SAs IPsec.

    Figura 7 Diagrama de rede

    Procedimento

    • Configure o Switch A:

    # Configure um endereço IP para a interface VLAN 1.

    <SwitchA>  system-view
                     [SwitchA] interface vlan-interface 1
                     [SwitchA-Vlan-interface1] ip address 2.2.2.1 255.255.255.0
                     [SwitchA-Vlan-interface1] quit

    # Configure uma ACL avançada de IPv4 para identificar os fluxos de dados entre o Switch A e o Switch B.

    [SwitchA] acl advanced 3101
                     [SwitchA-acl-ipv4-adv-3101] rule 0 permit ip source 2.2.2.1 0 destination 2.2.3.1 0
                     [SwitchA-acl-ipv4-adv-3101] quit

    # Crie um conjunto de transformação IPsec chamado tran1.

    [SwitchA] ipsec transform-set tran1

    # Especifique o modo de encapsulamento como túnel.

    [SwitchA-ipsec-transform-set-tran1] encapsulation-mode tunnel

    # Especifique o protocolo de segurança como ESP.

    [RouterA-ipsec-transform-set-tran1] protocol esp

    # Especifique os algoritmos de criptografia e autenticação ESP.

    [SwitchA-ipsec-transform-set-tran1] esp encryption-algorithm aes-cbc-192
                     [SwitchA-ipsec-transform-set-tran1] esp authentication-algorithm sha1
                     [SwitchA-ipsec-transform-set-tran1] quit

    # Crie uma entrada de política IPsec manual. Especifique o nome da política como map1 e defina o número de sequência como 10.

    [SwitchA] ipsec policy map1 10 manual

    # Especifique a ACL 3101.

    [SwitchA-ipsec-policy-manual-map1-10] security acl 3101

    # Especifique o conjunto de transformação IPsec tran1.

    [SwitchA-ipsec-policy-manual-map1-10] transform-set tran1

    # Especifique o endereço IP remoto do túnel IPsec como 2.2.3.1.

    [SwitchA-ipsec-policy-manual-map1-10] remote-address 2.2.3.1

    # Configure SPIs de entrada e saída para ESP.

    <
    [SwitchA-ipsec-policy-manual-map1-10] sa spi outbound esp 12345
                     [SwitchA-ipsec-policy-manual-map1-10] sa spi inbound esp 54321

    # Configure as chaves SA de entrada e saída para ESP.

    [SwitchA-ipsec-policy-manual-map1-10] sa string-key outbound esp simple abcdefg
                     [SwitchA-ipsec-policy-manual-map1-10] sa string-key inbound esp simple gfedcba
                     [SwitchA-ipsec-policy-manual-map1-10] quit

    # Aplique o mapa de política IPsec1 à interface VLAN 1.

    [SwitchA] interface vlan-interface 1
                     [SwitchA-Vlan-interface1] ipsec apply policy map1
    • Configurar o Switch B:

    # Configure um endereço IP para a interface VLAN 1.

    <SwitchB> system-view
                     [SwitchB] interface vlan-interface 1
                     [SwitchB-Vlan-interface1] ip address 2.2.3.1 255.255.255.0
                     [SwitchB-Vlan-interface1] quit

    # Configure uma ACL avançada de IPv4 para identificar os fluxos de dados entre o Switch B e o Switch A.

    [SwitchB] acl advanced 3101
                     [SwitchB-acl-ipv4-adv-3101] rule 0 permit ip source 2.2.3.1 0 destination 2.2.2.1 0
                     [SwitchB-acl-ipv4-adv-3101] quit

    # Crie um conjunto de transformação IPsec chamado tran1.

    [SwitchB] ipsec transform-set tran1

    # Especifique o modo de encapsulamento como túnel.

    [SwitchB-ipsec-transform-set-tran1] encapsulation-mode tunnel

    # Especifique o protocolo de segurança como ESP.

    [SwitchB-ipsec-transform-set-tran1] protocol esp

    # Especifique os algoritmos de criptografia e autenticação ESP.

    [SwitchB-ipsec-transform-set-tran1] esp encryption-algorithm aes-cbc-192
                     [SwitchB-ipsec-transform-set-tran1] esp authentication-algorithm sha1
                     [SwitchB-ipsec-transform-set-tran1] quit

    # Criar uma entrada de política IPsec manual. Especifique o nome da política como use1 e defina a sequência

    número para 10.

    [SwitchB] ipsec policy use1 10 manual

    # Especifique a ACL 3101.

    [SwitchB-ipsec-policy-manual-use1-10] security acl 3101

    # Especifique o conjunto de transformação IPsec tran1.

    [SwitchB-ipsec-policy-manual-use1-10] transform-set tran1

    # Especifique o endereço IP remoto do túnel IPsec como 2.2.2.1.

    [SwitchB-ipsec-policy-manual-use1-10] remote-address 2.2.2.1

    # Configure os SPIs de entrada e saída para ESP.

    [SwitchB-ipsec-policy-manual-use1-10] sa spi outbound esp 54321
                     [SwitchB-ipsec-policy-manual-use1-10] sa spi inbound esp 12345

    # Configure as chaves SA de entrada e saída para ESP.

    [SwitchB-ipsec-policy-manual-use1-10] sa string-key outbound esp simple gfedcba
                     [SwitchB-ipsec-policy-manual-use1-10] sa string-key inbound esp simple abcdefg
                     [SwitchB-ipsec-policy-manual-use1-10] quit

    # Aplique a política IPsec use1 à interface VLAN 1.

    [SwitchB] interface vlan-interface 1
                     [SwitchB-Vlan-interface1] ipsec apply policy use1

    Verificação da configuração

    Após a conclusão da configuração, é estabelecido um túnel IPsec entre o Switch A e o Switch B, e o tráfego entre os switches é protegido por IPsec. Este exemplo usa o Switch A para verificar a configuração.

    # Use o comando display ipsec sa para exibir os SAs IPsec no Switch A.

    [SwitchA] display ipsec sa
                     -------------------------------
                     Interface: Vlan-interface 1
                     -------------------------------
                     -----------------------------
                     IPsec policy: map1
                     Sequence number: 10
                     Mode: manual
                     -----------------------------
                     Tunnel id: 549
                     Encapsulation mode: tunnel
                     Path MTU: 1443
                     Tunnel:
                     local address: 2.2.2.1
                     remote address: 2.2.3.1
                     Flow:
                     as defined in ACL 3101
                     [Inbound ESP SA]
                     SPI: 54321 (0x0000d431)
                     Transform set: ESP-ENCRYPT-AES-CBC-192 ESP-AUTH-SHA1
                     No duration limit for this SA
                     [Outbound ESP SA]
                     SPI: 12345 (0x00003039)
                     Transform set: ESP-ENCRYPT-AES-CBC-192 ESP-AUTH-SHA1
                     No duration limit for this SA

    Exemplo: Configuração de um túnel IPsec baseado em IKE para pacotes IPv4

    Configuração de rede

    Conforme mostrado na Figura 8, estabeleça um túnel IPsec entre o Switch A e o Switch B para proteger os fluxos de dados entre eles. Configure o túnel IPsec da seguinte forma:

    • Especifique o modo de encapsulamento como túnel, o protocolo de segurança como ESP, o algoritmo de criptografia como AES-CBC-192 e o algoritmo de autenticação como HMAC-SHA1.
    • Configurar SAs por meio de negociação IKE.

    Figura 8 Diagrama de rede

    Procedimento

    • Configure o Switch A:

    # Configure um endereço IP para a interface VLAN 1.

    <SwitchA>  system-view
                     [SwitchA] interface vlan-interface 1
                     [SwitchA-Vlan-interface1] ip address 2.2.2.1 255.255.255.0
                     [SwitchA-Vlan-interface1] quit

    # Configure uma ACL avançada IPv4 para identificar fluxos de dados do Switch A para o Switch B.

    [SwitchA] acl number 3101
                     [SwitchA-acl-adv-3101] rule 0 permit ip source 2.2.2.1 0 destination 2.2.3.1 0
                     [SwitchA-acl-adv-3101] quit

    # Crie um conjunto de transformação IPsec chamado tran1.

    [SwitchA] ipsec transform-set tran1

    # Especifique o modo de encapsulamento como túnel.

    [SwitchA-ipsec-transform-set-tran1] encapsulation-mode tunnel

    # Especifique o protocolo de segurança como ESP.

    [SwitchA-ipsec-transform-set-tran1] protocol esp

    # Especifique os algoritmos de criptografia e autenticação ESP.

    [SwitchA-ipsec-transform-set-tran1] esp encryption-algorithm aes-cbc-192
                     [SwitchA-ipsec-transform-set-tran1] esp authentication-algorithm sha1
                     [SwitchA-ipsec-transform-set-tran1] quit

    # Crie um keychain IKE chamado keychain1.

    [SwitchA] ike keychain keychain1

    # Especifique 12345zxcvb!@#$%ZXCVB em texto simples como a chave pré-compartilhada a ser usada com o par remoto em 2.2.3.1.

    [SwitchA-ike-keychain-keychain1] pre-shared-key address 2.2.3.1 255.255.255.0 key 
                     simple 12345zxcvb!@#$%ZXCVB
                     [SwitchA-ike-keychain-keychain1] quit

    # Criar e configurar o perfil IKE chamado profile1.

    [SwitchA] ike profile profile1
                     [SwitchA-ike-profile-profile1] keychain keychain1
                     [SwitchA-ike-profile-profile1] match remote identity address 2.2.3.1 255.255.255.0
                     [SwitchA-ike-profile-profile1] quit

    # Criar uma entrada de política IPsec baseada em IKE. Especifique o nome da política como map1 e defina o parâmetro

    número de sequência para 10.

    [SwitchA] ipsec policy map1 10 isakmp

    # Aplique a ACL 3101.

    [SwitchA-ipsec-policy-isakmp-map1-10] security acl 3101

    # Aplicar o conjunto de transformação IPsec tran1.

    [SwitchA-ipsec-policy-isakmp-map1-10] transform-set tran1

    # Especifique os endereços IP locais e remotos do túnel IPsec como 2.2.2.1 e 2.2.3.1.

    [SwitchA-ipsec-policy-isakmp-map1-10] local-address 2.2.2.1
                     [SwitchA-ipsec-policy-isakmp-map1-10] remote-address 2.2.3.1

    # Aplicar o perfil IKE profile1.

    [SwitchA-ipsec-policy-isakmp-map1-10] ike-profile profile1
                     [SwitchA-ipsec-policy-isakmp-map1-10] quit

    # Aplique o mapa de política IPsec1 à interface VLAN 1.

    [SwitchA] interface vlan-interface 1
                     [SwitchA-Vlan-interface1] ipsec apply policy map1
    • Configurar o Switch B:

    # Configure um endereço IP para a interface VLAN 1.

    <SwitchB> system-view
                     [SwitchB] interface vlan-interface 1
                     [SwitchB-Vlan-interface1] ip address 2.2.3.1 255.255.255.0
                     [SwitchB-Vlan-interface1] quit

    # Configure uma ACL avançada IPv4 para identificar fluxos de dados do Switch B para o Switch A.

    [SwitchB] acl number 3101
                     [SwitchB-acl-adv-3101] rule 0 permit ip source 2.2.3.1 0 destination 2.2.2.1 0
                     [SwitchB-acl-adv-3101] quit

    # Crie um conjunto de transformação IPsec chamado tran1.

    [SwitchB] ipsec transform-set tran1

    # Especifique o modo de encapsulamento como túnel.

    [SwitchB-ipsec-transform-set-tran1] encapsulation-mode tunnel

    # Especifique o protocolo de segurança como ESP.

    [SwitchB-ipsec-transform-set-tran1] protocol esp

    # Especifique os algoritmos de criptografia e autenticação ESP.

    [SwitchB-ipsec-transform-set-tran1] esp encryption-algorithm aes-cbc-192
                     [SwitchB-ipsec-transform-set-tran1] esp authentication-algorithm sha1
                     [SwitchB-ipsec-transform-set-tran1] quit

    # Crie um keychain IKE chamado keychain1.

    [SwitchB] ike keychain keychain1

    # Especifique 12345zxcvb!@#$%ZXCVB em texto simples como a chave pré-compartilhada a ser usada com o par remoto em 2.2.2.1.

    [SwitchB-ike-keychain-keychain1] pre-shared-key address 2.2.2.1 255.255.255.0 key 
                     simple 12345zxcvb!@#$%ZXCVB
                     [SwitchB-ike-keychain-keychain1] quit

    # Criar e configurar o perfil IKE chamado profile1.

    [SwitchB] ike profile profile1
                     [SwitchB-ike-profile-profile1] keychain keychain1
                     [SwitchB-ike-profile-profile1] match remote identity address 2.2.2.1 255.255.255.0
                     [SwitchB-ike-profile-profile1] quit

    # Crie uma entrada de política IPsec baseada em IKE. Especifique o nome da política como use1 e defina o parâmetro

    número de sequência para 10.

    [SwitchB] ipsec policy use1 10 isakmp

    # Aplique a ACL 3101.

    [SwitchB-ipsec-policy-isakmp-use1-10] security acl 3101

    # Aplicar o conjunto de transformação IPsec tran1.

    [SwitchB-ipsec-policy-isakmp-use1-10] transform-set tran1

    # Especifique os endereços IP locais e remotos do túnel IPsec como 2.2.3.1 e 2.2.2.1.

    [SwitchB-ipsec-policy-isakmp-use1-10] local-address 2.2.3.1
                     [SwitchB-ipsec-policy-isakmp-use1-10] remote-address 2.2.2.1

    # Aplicar o perfil IKE profile1.

    [SwitchB-ipsec-policy-isakmp-use1-10] ike-profile profile1
                     [SwitchB-ipsec-policy-isakmp-use1-10] quit

    # Aplique a política IPsec use1 à interface VLAN 1.

    [SwitchB] interface vlan-interface 1
                     [SwitchB-Vlan-interface1] ipsec apply policy use1

    Verificação da configuração

    # Iniciar uma conexão entre o Switch A e o Switch B para acionar a negociação IKE. Depois que as SAs do IPsec são negociadas com sucesso pelo IKE, o tráfego entre os dois switches é protegido pelo IPsec.

    Exemplo: Configuração de IPsec para RIPng

    Configuração de rede

    Conforme mostrado na Figura 9, o Switch A, o Switch B e o Switch C aprendem rotas IPv6 por meio do RIPng.

    Estabeleça um túnel IPsec entre os switches para proteger os pacotes RIPng transmitidos entre eles. Especifique o protocolo de segurança como ESP, o algoritmo de criptografia como AES de 128 bits e o algoritmo de autenticação como HMAC-SHA1 para o túnel IPsec.

    Figura 9 Diagrama de rede

    Análise de requisitos

    Para atender aos requisitos de configuração de rede, execute as seguintes tarefas:

    • Configurar o RIPng básico.

    Para obter mais informações sobre as configurações de RIPng, consulte o Guia de Configuração de Roteamento de Camada 3 IP.

    • Configurar um perfil IPsec.
      • Os perfis IPsec em todos os switches devem ter conjuntos de transformação IPsec que usem o mesmo protocolo de segurança, algoritmos de autenticação e criptografia e modo de encapsulamento.
      • O SPI e a chave configurados para a SA de entrada e para a SA de saída devem ser os mesmos em cada switch.
      • O SPI e a chave configurados para as SAs em todos os switches devem ser os mesmos.
      • Aplique o perfil IPsec a um processo RIPng ou a uma interface.

      Procedimento

    • Configure o Switch A:

    # Configurar endereços IPv6 para interfaces. (Detalhes não mostrados.)

    # Configurar o RIPng básico.

    <SwitchA> system-view
                     [SwitchA] ripng 1
                     [SwitchA-ripng-1] quit
                     [SwitchA] interface vlan-interface 100
                     [SwitchA-Vlan-interface100] ripng 1 enable
                     [SwitchA-Vlan-interface100] quit

    # Crie e configure o conjunto de transformação IPsec chamado tran1.

    [SwitchA] ipsec transform-set tran1
                     [SwitchA-ipsec-transform-set-tran1] encapsulation-mode transport
                     [SwitchA-ipsec-transform-set-tran1] protocol esp
                     [SwitchA-ipsec-transform-set-tran1] esp encryption-algorithm aes-cbc-128
                     [SwitchA-ipsec-transform-set-tran1] esp authentication-algorithm sha1
                     [SwitchA-ipsec-transform-set-tran1] quit

    # Criar e configurar o perfil IPsec chamado profile001.

    [SwitchA] ipsec profile profile001 manual
                     [SwitchA-ipsec-profile-manual-profile001] transform-set tran1
                     [SwitchA-ipsec-profile-manual-profile001] sa spi outbound esp 123456
                     [SwitchA-ipsec-profile-manual-profile001] sa spi inbound esp 123456
                     [SwitchA-ipsec-profile-manual-profile001] sa string-key outbound esp simple abcdefg
                     [SwitchA-ipsec-profile-manual-profile001] sa string-key inbound esp simple abcdefg
                     [SwitchA-ipsec-profile-manual-profile001] quit

    # Aplique o perfil IPsec ao processo 1 do RIPng.

    [SwitchA] ripng 1
                     [SwitchA-ripng-1] enable ipsec-profile profile001
                     [SwitchA-ripng-1] quit
    • Configurar o Switch B:

    # Configurar endereços IPv6 para interfaces. (Detalhes não mostrados.)

    # Configurar o RIPng básico.

    <SwitchB> system-view
                     [SwitchB] ripng 1
                     [SwitchB-ripng-1] quit
                     [SwitchB] interface vlan-interface 200
                     [SwitchB-Vlan-interface200] ripng 1 enable
                     [SwitchB-Vlan-interface200] quit
                     [SwitchB] interface vlan-interface 100
                     [SwitchB-Vlan-interface100] ripng 1 enable
                     [SwitchB-Vlan-interface100] quit

    # Crie e configure o conjunto de transformação IPsec chamado tran1.

    [SwitchB] ipsec transform-set tran1
                     [SwitchB-ipsec-transform-set-tran1] encapsulation-mode transport
                     [SwitchB-ipsec-transform-set-tran1] protocol esp
                     [SwitchB-ipsec-transform-set-tran1] esp encryption-algorithm aes-cbc-128
                     [SwitchB-ipsec-transform-set-tran1] esp authentication-algorithm sha1
                     [SwitchB-ipsec-transform-set-tran1] quit

    # Criar e configurar o perfil IPsec chamado profile001.

    [SwitchB] ipsec profile profile001 manual
                     [SwitchB-ipsec-profile-manual-profile001] transform-set tran1
                     [SwitchB-ipsec-profile-manual-profile001] sa spi outbound esp 123456
                     [SwitchB-ipsec-profile-manual-profile001] sa spi inbound esp 123456
                     [SwitchB-ipsec-profile-manual-profile001] sa string-key outbound esp simple abcdefg
                     [SwitchB-ipsec-profile-manual-profile001] sa string-key inbound esp simple abcdefg
                     [SwitchB-ipsec-profile-manual-profile001] quit

    # Aplique o perfil IPsec ao processo 1 do RIPng.

    [SwitchB] ripng 1
                     [SwitchB-ripng-1] enable ipsec-profile profile001
                     [SwitchB-ripng-1] quit
    • Configurar o switch C:

    # Configurar endereços IPv6 para interfaces. (Detalhes não mostrados.)

    # Configurar o RIPng básico.

    <SwitchC> system-view
                     [SwitchC] ripng 1
                     [SwitchC-ripng-1] quit
                     [SwitchC] interface vlan-interface 200
                     [SwitchC-Vlan-interface200] ripng 1 enable
                     [SwitchC-Vlan-interface200] quit

    # Crie e configure o conjunto de transformação IPsec chamado tran1.

    [SwitchC] ipsec transform-set tran1
                     [SwitchC-ipsec-transform-set-tran1] encapsulation-mode transport
                     [SwitchC-ipsec-transform-set-tran1] protocol esp
                     [SwitchC-ipsec-transform-set-tran1] esp encryption-algorithm aes-cbc-128
                     [SwitchC-ipsec-transform-set-tran1] esp authentication-algorithm sha1
                     [SwitchC-ipsec-transform-set-tran1] quit

    # Criar e configurar o perfil IPsec chamado profile001.

    [SwitchC] ipsec profile profile001 manual
                     [SwitchC-ipsec-profile-manual-profile001] transform-set tran1
                     [SwitchC-ipsec-profile-manual-profile001] sa spi outbound esp 123456
                     [SwitchC-ipsec-profile-manual-profile001] sa spi inbound esp 123456
                     [SwitchC-ipsec-profile-manual-profile001] sa string-key outbound esp simple abcdefg
                     [SwitchC-ipsec-profile-manual-profile001] sa string-key inbound esp simple abcdefg
                     [SwitchC-ipsec-profile-manual-profile001] quit

    # Aplique o perfil IPsec ao processo 1 do RIPng.

    [SwitchC] ripng 1
                     [SwitchC-ripng-1] enable ipsec-profile profile001
                     [SwitchC-ripng-1] quit

    Verificação da configuração

    Após a conclusão da configuração, o Switch A, o Switch B e o Switch C obtêm informações de roteamento IPv6 por meio do RIPng. As SAs IPsec são configuradas com sucesso nos switches para proteger os pacotes RIPng. Este exemplo usa o Switch A para verificar a configuração.

    # Exibir a configuração do RIPng. A saída mostra que o perfil IPsec profile001 foi aplicado ao processo 1 do RIPng.

    [SwitchA] display ripng 1
                     RIPng process : 1
                     Preference : 100
                     Checkzero : Enabled
                     Default Cost : 0
                     Maximum number of load balanced routes : 8
                     Update time : 30 secs Timeout time : 180 secs
                     Suppress time : 120 secs Garbage-Collect time : 120 secs
                     Update output delay: 20(ms) Output count: 3 
                     Graceful-restart interval: 60 secs 
                     Triggered Interval : 5 50 200 
                     Number of periodic updates sent : 186
                     Number of triggered updates sent : 1
                     IPsec profile name: profile001

    # Exibir as SAs IPsec estabelecidas.

    [SwitchA] display ipsec sa
                     -------------------------------
                     Global IPsec SA
                     -------------------------------
                     -----------------------------
                     IPsec profile: profile001
                     Mode: Manual
                     -----------------------------
                     Encapsulation mode: transport
                     [Inbound ESP SA]
                     SPI: 123456 (0x3039)
                     Connection ID: 90194313219
                     Transform set: ESP-ENCRYPT-AES-CBC-128 ESP-AUTH-SHA1
                     No duration limit for this SA
                     [Outbound ESP SA]
                     SPI: 123456 (0x3039)
                     Connection ID: 64424509441
                     Transform set: ESP-ENCRYPT-AES-CBC-128ESP-AUTH-SHA1
                     No duration limit for this SA

    Exemplo: Configuração do IPsec RRI

    Configuração de rede

    Conforme mostrado na Figura 10, as filiais acessam o centro corporativo por meio de uma VPN IPsec. Configure a VPN IPsec da seguinte forma:

    • Configure um túnel IPsec entre o Switch A e cada gateway de filial (Switch B, Switch C e Switch D) para proteger o tráfego entre as sub-redes 4.4.4.0/24 e 5.5.5.0/24.
      • Configure os túneis para usar o protocolo de segurança ESP, o algoritmo de criptografia DES e o algoritmo de autenticação SHA1-HMAC-96. Use IKE para negociação de SA IPsec.
      • Configure a proposta IKE para usar o método de autenticação de chave pré-compartilhada, o algoritmo de criptografia 3DES e o algoritmo de autenticação HMAC-SHA1.
      • Configure o IPsec RRI no Switch A para criar automaticamente rotas estáticas para as filiais com base nas SAs IPsec estabelecidas.

      Figura 10 Diagrama de rede

      Procedimento

      • Atribua endereços IPv4 às interfaces nos switches de acordo com a Figura 10. (Os detalhes não são mostrados).
      • Configure o Switch A:

      # Crie um conjunto de transformação IPsec chamado tran1 e especifique ESP como o protocolo de segurança, DES

      como o algoritmo de criptografia e HMAC-SHA-1-96 como o algoritmo de autenticação.

      <SwitchA> system-view
                     [SwitchA] ipsec transform-set tran1
                     [SwitchA-ipsec-transform-set-tran1] encapsulation-mode tunnel
                     [SwitchA-ipsec-transform-set-tran1] protocol esp
                     [SwitchA-ipsec-transform-set-tran1] esp encryption-algorithm des
                     [SwitchA-ipsec-transform-set-tran1] esp authentication-algorithm sha1
                     [SwitchA-ipsec-transform-set-tran1] quit

      # Criar e configurar o perfil IKE chamado profile1.

      [SwitchA] ike profile profile1
                     [SwitchA-ike-profile-profile1] keychain key1
                     [SwitchA-ike-profile-profile1] match remote identity address 2.2.2.2 255.255.255.0
                     [SwitchA-ike-profile-profile1] quit

      # Crie um modelo de política IPsec chamado temp1. Especifique o conjunto de transformação IPsec tran1 e o perfil IKE profile1 para o modelo de política IPsec.

      [SwitchA] ipsec policy-template temp1 1
                     [SwitchA-ipsec-policy-template-temp1-1] transform-set tran1
                     [SwitchA-ipsec-policy-template-temp1-1] ike-profile profile1

      # Habilite o IPsec RRI, defina a preferência como 100 e a tag como 1000 para as rotas estáticas criadas pelo IPsec RRI.

      [SwitchA-ipsec-policy-template-temp1-1] reverse-route dynamic
                     [SwitchA-ipsec-policy-template-temp1-1] reverse-route preference 100
                     [SwitchA-ipsec-policy-template-temp1-1] reverse-route tag 1000
                     [SwitchA-ipsec-policy-template-temp1-1] quit

      # Crie uma entrada de política IPsec baseada em IKE usando o modelo de política IPsec temp1. Especifique o nome da política como map1 e defina o número de sequência como 10.

      [SwitchA] ipsec policy map1 10 isakmp template temp1

      # Crie uma proposta IKE chamada 1 e especifique 3DES como o algoritmo de criptografia,

      HMAC-SHA1 como algoritmo de autenticação e pré-compartilhamento como método de autenticação.

      [SwitchA] ike proposal 1
                     [SwitchA-ike-proposal-1] encryption-algorithm 3des-cbc
                     [SwitchA-ike-proposal-1] authentication-algorithm sha
                     [SwitchA-ike-proposal-1] authentication-method pre-share
                     [SwitchA-ike-proposal-1] quit

      # Crie um chaveiro IKE chamado key1 e especifique 123 em texto simples como a chave pré-compartilhada a ser usada com o par remoto em 2.2.2.2.

      [SwitchA] ike keychain key1
                     [SwitchA-ike-keychain-key1] pre-shared-key address 2.2.2.2 key simple 123
                     [SwitchA-ike-keychain-key1] quit

      # Aplique o mapa de política IPsec1 à interface VLAN 100.

      [SwitchA] interface vlan-interface 100
                     [SwitchA-Vlan-interface100] ipsec apply policy map1
                     [SwitchA-Vlan-interface100] quit
      • Configurar o Switch B:

      # Crie um conjunto de transformação IPsec chamado tran1 e especifique ESP como o protocolo de segurança, DES

      como o algoritmo de criptografia e HMAC-SHA-1-96 como o algoritmo de autenticação.

      [SwitchB] ipsec transform-set tran1
                     [SwitchB-ipsec-transform-set-tran1] encapsulation-mode tunnel
                     [SwitchB-ipsec-transform-set-tran1] protocol esp
                     [SwitchB-ipsec-transform-set-tran1] esp encryption-algorithm des
                     [SwitchB-ipsec-transform-set-tran1] esp authentication-algorithm sha1
                     [SwitchB-ipsec-transform-set-tran1] quit

      # Configure a ACL 3000 avançada IPv4 para identificar o tráfego da sub-rede 5.5.5.0/24 para a sub-rede 4.4.4.0/24.

      <
      [SwitchB] acl advanced 3000
                     [SwitchB-acl-ipv4-adv-3000] rule permit ip source 5.5.5.0 0.0.0.255 destination 
                     4.4.4.0 0.0.0.255
                     [SwitchB-acl-ipv4-adv-3000] quit

      # Criar e configurar o perfil IKE chamado profile1.

      [SwitchB] ike profile profile1
                     [SwitchB-ike-profile-profile1] keychain key1
                     [SwitchB-ike-profile-profile1] match remote identity address 1.1.1.1 255.255.255.0
                     [SwitchB-ike-profile-profile1] quit

      # Crie uma entrada de política IPsec baseada em IKE chamada map1 e defina as seguintes configurações para a entrada de política:

      • Defina o número de sequência como 10.
      • Especifique o conjunto de transformação tran1 e a ACL 3000.
      • Especifique o endereço IP remoto do túnel como 1.1.1.1.
      • Especifique o perfil IKE profile1.
      [SwitchB] ipsec policy map1 10 isakmp
                     [SwitchB-ipsec-policy-isakmp-map1-10] transform-set tran1
                     [SwitchB-ipsec-policy-isakmp-map1-10] security acl 3000
                     [SwitchB-ipsec-policy-isakmp-map1-10] remote-address 1.1.1.1
                     [SwitchB-ipsec-policy-isakmp-map1-10] ike-profile profile1
                     [SwitchB-ipsec-policy-isakmp-map1-10] quit

      # Crie uma proposta IKE chamada 1 e especifique 3DES como o algoritmo de criptografia,

      HMAC-SHA1 como algoritmo de autenticação e pré-compartilhamento como método de autenticação.

      [SwitchB] ike proposal 1
                     [SwitchB-ike-proposal-1] encryption-algorithm 3des-cbc
                     [SwitchB-ike-proposal-1] authentication-algorithm sha
                     [SwitchB-ike-proposal-1] authentication-method pre-share
                     [SwitchB-ike-proposal-1] quit

      # Crie um chaveiro IKE chamado key1 e especifique 123 em texto simples como a chave pré-compartilhada a ser usada com o par remoto em 1.1.1.1.

      [SwitchB] ike keychain key1
                     [SwitchB-ike-keychain-key1] pre-shared-key address 1.1.1.1 key simple 123
                     [SwitchB-ike-keychain-key1] quit

      # Aplique o mapa de política IPsec1 à interface VLAN 100.

      [SwitchB] interface vlan-interface 100
                     [SwitchB-Vlan-interface100] ipsec apply policy map1
                     [SwitchB-Vlan-interface100] quit

      Certifique-se de que o Switch B tenha uma rota para a rede privada do par, com a interface de saída como VLAN-interface 100.

      • Configure o Switch C e o Switch D da mesma forma que o Switch B está configurado.

      Verificação da configuração

      • Verifique se o IPsec RRI pode criar automaticamente uma rota estática do Switch A para o Switch B:

      # Iniciar uma conexão da sub-rede 5.5.5.0/24 com a sub-rede 4.4.4.0/24. A negociação IKE é acionada para estabelecer SAs IPsec entre o Switch A e o Switch B. (Detalhes não mostrados).

      # Verifique se as SAs IPsec estão estabelecidas no Switch A.

      [SwitchA] display ipsec sa
                     -------------------------------
                     Interface: Vlan-interface100
                     -------------------------------
                     -----------------------------
                     IPsec policy: map1
                     Sequence number: 10
                     Mode: Template
                     -----------------------------
                     Tunnel id: 0
                     Encapsulation mode: tunnel
                     Perfect Forward Secrecy:
                     Inside VPN: 
                     Extended Sequence Numbers enable: N
                     Traffic Flow Confidentiality enable: N
                     Path MTU: 1463
                     Tunnel:
                     local address: 1.1.1.1
                     remote address: 2.2.2.2
                     Flow:
                     sour addr: 4.4.4.0/255.255.255.0 port: 0 protocol: ip
                     dest addr: 5.5.5.0/255.255.255.0 port: 0 protocol: ip
                     [Inbound ESP SAs]
                     SPI: 1014286405 (0x3c74c845)
                     Connection ID: 90194313219
                     Transform set: ESP-ENCRYPT-DES-CBC ESP-AUTH-SHA1
                     SA duration (kilobytes/sec): 1843200/3600
                     SA remaining duration (kilobytes/sec): 1843199/3590
                     Max received sequence-number: 4
                     Anti-replay check enable: Y
                     Anti-replay window size: 64
                     UDP encapsulation used for NAT traversal: N
                     Status: Active
                     [Outbound ESP SAs]
                     SPI: 4011716027 (0xef1dedbb)
                     Connection ID: 64424509441
                     Transform set: ESP-ENCRYPT-DES-CBC ESP-AUTH-SHA1
                     SA duration (kilobytes/sec): 1843200/3600
                     SA remaining duration (kilobytes/sec): 1843199/3590
                     Max sent sequence-number: 4
                     UDP encapsulation used for NAT traversal: N
                     Status: Active

      # Verifique se o IPsec RRI criou uma rota estática para chegar ao Switch B.

      [SwitchA] display ip routing-table verbose
      • Verifique se o Switch A pode criar automaticamente rotas estáticas para o Switch C e o Switch D da mesma forma que você verifica o recurso IPsec RRI usando o Switch A e o Switch B. (Detalhes não mostrados).

    Configuração do IKE

    Sobre a IKE

    Criado com base em uma estrutura definida pelo ISAKMP, o Internet Key Exchange (IKE) fornece negociação automática de chaves e serviços de estabelecimento de SA para o IPsec.

    Benefícios do IKE

    O IKE oferece os seguintes benefícios para o IPsec:

    • Negocia automaticamente os parâmetros do IPsec.
    • Realiza trocas de DH para calcular chaves compartilhadas, garantindo que cada SA tenha uma chave independente de outras chaves.
    • Negocia automaticamente as SAs quando o número de sequência no cabeçalho AH ou ESP transborda, garantindo que o IPsec possa fornecer o serviço anti-repetição usando o número de sequência.

    Relação entre IPsec e IKE

    Conforme mostrado na Figura 11, o IKE negocia SAs para o IPsec e transfere as SAs para o IPsec, e o IPsec usa as SAs para proteger os pacotes IP.

    Figura 11 Relação entre IKE e IPsec

    Processo de negociação IKE

    O IKE negocia chaves e SAs para IPsec em duas fases:

    • Fase 1 - Os dois pares estabelecem uma SA IKE, um canal seguro e autenticado para comunicação.
    • Fase 2 - Usando a SA IKE estabelecida na fase 1, os dois pares negociam para estabelecer SAs IPsec.

    A negociação da fase 1 pode usar o modo principal ou o modo agressivo.

    Processo de troca IKE no modo principal

    Conforme mostrado na Figura 12, o modo principal de negociação do IKE na fase 1 envolve três pares de mensagens:

    • Troca de SA - Usada para negociar a política de segurança do IKE.
    • Troca de chaves - Usada para trocar o valor público do DH e outros valores, como o número aleatório. Os dois pares usam os dados trocados para gerar dados-chave e usam a chave de criptografia e a chave de autenticação para garantir a segurança dos pacotes IP.
    • Intercâmbio de dados de ID e autenticação - Usado para autenticação de identidade.

    Figura 12 Processo de troca IKE no modo principal

    Processo de troca IKE em modo agressivo

    Conforme mostrado na Figura 13, o processo de negociação da fase 1 do IKE no modo agressivo é o seguinte:

    • O iniciador (par 1) envia uma mensagem contendo as informações locais do IKE para o par 2. A mensagem inclui parâmetros usados para o estabelecimento de SA IKE, dados de chaveamento e informações de identidade do par 1.
    • O par 2 escolhe os parâmetros de estabelecimento do IKE a serem usados, gera a chave e autentica a identidade do par 1. Em seguida, ele envia os dados do IKE para o par 1.
    • O par 1 gera a chave, autentica a identidade do par 2 e envia os resultados para o par 1. Após o processo anterior, uma IKE SA é estabelecida entre o par 1 e o par 2.

    O modo agressivo é mais rápido que o modo principal, mas não oferece proteção de informações de identidade. O modo principal oferece proteção de informações de identidade, mas é mais lento. Escolha o modo de negociação apropriado de acordo com seus requisitos.

    Figura 13 Processo de troca IKE em modo agressivo

    Mecanismo de segurança IKE

    O IKE tem uma série de mecanismos de autoproteção e oferece suporte à autenticação segura de identidade, à distribuição de chaves e ao estabelecimento de SAs IPsec em redes inseguras.

    Autenticação de identidade

    O mecanismo de autenticação de identidade IKE é usado para autenticar a identidade dos pares em comunicação. O dispositivo é compatível com os seguintes métodos de autenticação de identidade:

    • Autenticação de chave pré-compartilhada - Dois pares em comunicação usam a chave compartilhada pré-configurada para autenticação de identidade.
    • Autenticação de assinatura RSA e autenticação de assinatura DSA - Dois pares em comunicação usam os certificados digitais emitidos pela CA para autenticação de identidade.

    O método de autenticação de chave pré-compartilhada não requer certificados e é fácil de configurar. Geralmente, ele é implantado em redes pequenas.

    Os métodos de autenticação de assinatura oferecem maior segurança e geralmente são implementados em redes com a sede e algumas filiais. Quando implantado em uma rede com muitas filiais, um método de autenticação de assinatura pode simplificar a configuração, pois é necessário apenas um domínio de PKI. Se você usar o método de autenticação de chave pré-compartilhada, deverá configurar uma chave pré-compartilhada para cada filial no nó da sede.

    Algoritmo DH

    O algoritmo DH é um algoritmo de chave pública. Com esse algoritmo, dois pares podem trocar material de chaveamento e, em seguida, usar o material para calcular as chaves compartilhadas. Devido à complexidade da descriptografia, um terceiro não pode descriptografar as chaves mesmo depois de interceptar todos os materiais de chaveamento.

    PFS

    O recurso Perfect Forward Secrecy (PFS) é um recurso de segurança baseado no algoritmo DH. Depois que o PFS é ativado, uma troca adicional de DH é realizada na fase 2 do IKE para garantir que as chaves IPsec não tenham relações derivadas com as chaves IKE e que uma chave quebrada não traga ameaças a outras chaves.

    Protocolos e padrões

    • RFC 2408, Associação de Segurança da Internet e Protocolo de Gerenciamento de Chaves (ISAKMP)
    • RFC 2409, Troca de chaves da Internet (IKE)
    • RFC 2412, O protocolo de determinação de chaves OAKLEY
    • Rascunho da Internet, draft-ietf-ipsec-isakmp-xauth-06
    • Rascunho da Internet, draft-dukes-ike-mode-cfg-02

    Conformidade com FIPS

    O dispositivo é compatível com o modo FIPS que atende aos requisitos do NIST FIPS 140-2. O suporte a recursos, comandos e parâmetros pode ser diferente no modo FIPS (consulte "Configuração de FIPS") e no modo não-FIPS.

    Visão geral das tarefas IKE

    Para configurar o IKE, execute as seguintes tarefas:

    • (Opcional.) Configuração de um perfil IKE
      • Criação de um perfil IKE
      • Configuração de IDs de pares para o perfil IKE
      • Especificação do conjunto de chaves IKE ou do domínio PKI
      • Configuração do modo de negociação da fase 1 do IKE
      • Especificação de propostas IKE para o perfil IKE
      • Configuração da ID local para o perfil IKE
      • Configuração de recursos opcionais para o perfil IKE
      • Configuração de uma proposta IKE
    • Configuração de um chaveiro IKE
    • (Opcional.)Configuração das informações de identidade global
    • (Opcional.)Configuração do recurso IKE keepalive
    • (Opcional.)Configuração do recurso IKE NAT keepalive
    • (Opcional.)Configuração do IKE DPD global
    • (Opcional.)Ativação da recuperação de SPI inválido
    • (Opcional.)Configuração do número máximo de SAs IKE
    • (Opcional.)Configuração de notificações SNMP para IKE

    Pré-requisitos para a configuração do IKE

    Determine os seguintes parâmetros antes da configuração do IKE:

    • Os algoritmos a serem usados durante a negociação IKE, incluindo o método de autenticação de identidade, o algoritmo de criptografia, o algoritmo de autenticação e o grupo DH.
      • Algoritmos diferentes oferecem níveis diferentes de proteção. Um algoritmo mais forte oferece mais resistência à descriptografia, mas usa mais recursos.
      • Um grupo DH que usa mais bits oferece maior segurança, mas precisa de mais tempo para o processamento.
      • A chave pré-compartilhada ou o domínio de PKI para negociação IKE. Para obter mais informações sobre PKI, consulte "Configuração de PKI".
    • As políticas de IPsec baseadas em IKE para os pares em comunicação. Se você não especificar um perfil IKE em uma política IPsec, o dispositivo selecionará um perfil IKE para a política IPsec. Se nenhum perfil IKE estiver configurado, serão usadas as configurações IKE definidas globalmente. Para obter mais informações sobre o IPsec, consulte "Configuração do IPsec".

    Configuração de um perfil IKE

    Criação de um perfil IKE

    Sobre o perfil IKE

    Execute esta tarefa para criar um perfil IKE.

    O objetivo de um perfil IKE é fornecer um conjunto de parâmetros para a negociação IKE.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Crie um perfil IKE e entre em sua visualização.
    ike profile profile-name

    Configuração de IDs de pares para o perfil IKE

    Sobre a configuração do ID de par

    Execute esta tarefa para configurar os IDs de pares para correspondência de perfis IKE. Quando o dispositivo precisa selecionar um perfil IKE para a negociação IKE com um par, ele compara o ID de par recebido com os IDs de par de seus perfis IKE locais. Se for encontrada uma correspondência, ele usará o perfil IKE com a ID de par correspondente para a negociação IKE.

    Restrições e diretrizes

    Para um perfil IKE, você pode configurar várias IDs de pares. Uma ID de par configurada anteriormente tem uma prioridade mais alta.

    Dois pares IKE devem ter ou não IDs de pares configurados.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Entre na visualização do perfil IKE.
    ike profile profile-name
    • Configure uma ID de par para o perfil IKE.
    match remote { certificate policy-name | identity { address
                     { { ipv4-address [ mask | mask-length ] | range low-ipv4-address 
                     high-ipv4-address } | ipv6 { ipv6-address [ prefix-length ] | range
                     low-ipv6-address high-ipv6-address } } | fqdn fqdn-name | user-fqdn
                     user-fqdn-name } }

    Especificação do conjunto de chaves IKE ou do domínio PKI

    Restrições e diretrizes

    Configure o chaveiro IKE ou o domínio PKI para as propostas IKE a serem usadas. Para usar a autenticação de assinatura digital, configure um domínio de PKI. Para usar a autenticação de chave pré-compartilhada, configure um chaveiro IKE .

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Entre na visualização do perfil IKE.
    ike profile profile-name
    • Especifique o keychain para autenticação de chave pré-compartilhada ou o domínio PKI usado para solicitar um certificado para autenticação de assinatura digital.
      • Especifique o chaveiro.
    keychain keychain-name
    • Especifique o domínio PKI.
    certificate domain domain-name

    Por padrão, nenhum conjunto de chaves IKE ou domínio PKI é especificado em um perfil IKE.

    Configuração do modo de negociação da fase 1 do IKE

    Restrições e diretrizes

    Especifique o modo de negociação da fase 1 do IKE (principal ou agressivo) que o dispositivo usa como iniciador. Quando o dispositivo atua como respondedor, ele usa o modo de negociação IKE do iniciador.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Entre na visualização do perfil IKE.
    ike profile profile-name
    • Especifique o modo de negociação IKE para a fase 1. No modo não-FIPS:
    exchange-mode { aggressive | main }

    No modo FIPS:

    exchange-mode main

    Por padrão, a negociação IKE na fase 1 usa o modo principal.

    Especificação de propostas IKE para o perfil IKE

    Restrições e diretrizes

    Especifique as propostas de IKE que o dispositivo pode usar como iniciador. Uma proposta IKE especificada anteriormente tem uma prioridade mais alta. Quando o dispositivo atua como respondedor, ele usa as propostas IKE configuradas na visualização do sistema para corresponder às propostas IKE recebidas do iniciador. Se nenhuma proposta correspondente for encontrada, a negociação falhará.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Entre na visualização do perfil IKE.
    ike profile profile-name
    • Especificar propostas IKE para o perfil IKE.
    proposal proposal-number&<1-6>

    Por padrão, nenhuma proposta IKE é especificada para um perfil IKE e as propostas IKE configuradas na visualização do sistema são usadas para a negociação IKE.

    Configuração da ID local para o perfil IKE

    Restrições e diretrizes

    Para autenticação de assinatura digital, o dispositivo pode usar um ID de qualquer tipo. Se a ID local for um endereço IP diferente do endereço IP no certificado local, o dispositivo usará o FQDN (o nome do dispositivo configurado com o comando sysname).

    Para autenticação de chave pré-compartilhada, o dispositivo pode usar uma ID de qualquer tipo que não seja o DN.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Entre na visualização do perfil IKE.
    ike profile profile-name
    • Configure a ID local.
    local-identity { address { ipv4-address | ipv6 ipv6-address } | dn |
                     fqdn [ fqdn-name ] | user-fqdn [ user-fqdn-name ] }

    Por padrão, nenhuma ID local é configurada para um perfil IKE, e um perfil IKE usa a ID local configurada na visualização do sistema. Se a ID local não estiver configurada na visualização do sistema, o perfil IKE usará o endereço IP da interface à qual a política IPsec ou o modelo de política IPsec é aplicado como ID local.

    Configuração de recursos opcionais para o perfil IKE

    • Entre na visualização do sistema.
    system view
    • Entre na visualização do perfil IKE.
    ike profile profile-name
    • Configure os recursos opcionais conforme necessário.
      • Configurar o IKE DPD.
    dpd interval interval [ retry seconds ] { on-demand | periodic }

    Por padrão, o IKE DPD não está configurado para um perfil IKE e um perfil IKE usa as configurações de DPD definidas na visualização do sistema. Se o IKE DPD também não estiver configurado na visualização do sistema, o dispositivo não realizará a detecção de pares IKE mortos.

    As configurações do IKE DPD definidas na visualização do perfil IKE têm precedência sobre as definidas na visualização do sistema.

    • Especifique a interface local ou o endereço IP ao qual o perfil IKE pode ser aplicado.
    match local address { interface-type interface-number |
                     { ipv4-address | ipv6 ipv6-address } }

    Por padrão, um perfil IKE pode ser aplicado a qualquer interface local ou endereço IP.

    Um perfil IKE configurado com esse comando tem prioridade mais alta do que aqueles não configurados com esse comando.

    • Especifique uma prioridade para o perfil IKE.
    priority priority

    Por padrão, a prioridade de um perfil IKE é 100.

    O dispositivo seleciona um perfil IKE local para negociação IKE da seguinte forma:

    - Primeiro, ele seleciona um perfil IKE com o comando match local address configurado.

    - Se houver empate, ele seleciona o perfil IKE com um número de prioridade menor.

    - Se ainda houver empate, ele seleciona o perfil IKE configurado anteriormente.

    Configuração de uma proposta IKE

    Sobre a proposta IKE

    Uma proposta IKE define um conjunto de atributos que descrevem como deve ocorrer a negociação IKE na fase 1. Você pode criar várias propostas IKE com prioridades diferentes. A prioridade de uma proposta IKE é representada por seu número de sequência. Quanto menor o número de sequência, maior a prioridade.

    Dois pares devem ter pelo menos uma proposta IKE correspondente para que a negociação IKE seja bem-sucedida. Durante a negociação IKE:

    • O iniciador envia suas propostas IKE para o par.
      • Se o iniciador estiver usando uma política IPsec com um perfil IKE, o iniciador enviará todas as propostas IKE especificadas no perfil IKE para o par. Uma proposta IKE especificada anteriormente para o perfil IKE tem uma prioridade mais alta.
      • Se o iniciador estiver usando uma política IPsec sem perfil IKE, o iniciador enviará todas as suas propostas IKE para o par. Uma proposta IKE com um número menor tem uma prioridade mais alta.
      • O par pesquisa suas próprias propostas IKE em busca de uma correspondência. A pesquisa começa na proposta IKE com a prioridade mais alta e prossegue em ordem decrescente de prioridade até que uma correspondência seja encontrada. As propostas IKE correspondentes são usadas para estabelecer a SA IKE. Se todas as propostas IKE definidas pelo usuário não corresponderem, os dois pares usarão suas propostas IKE padrão para estabelecer a SA IKE.

      Duas propostas IKE correspondentes têm o mesmo algoritmo de criptografia, método de autenticação, algoritmo de autenticação e grupo DH. O tempo de vida da SA assume a menor das configurações de tempo de vida da SA das duas propostas.

      Procedimento

    • Entre na visualização do sistema.
    system view
    • Crie uma proposta IKE e insira sua visualização.
    ike proposal proposal-number

    Por padrão, existe uma proposta IKE padrão.

    • Configure uma descrição para a proposta IKE.
    description

    Por padrão, uma proposta IKE não tem uma descrição.

    • Especifique um algoritmo de criptografia para a proposta IKE.

    No modo não-FIPS:

    encryption-algorithm { 3des-cbc | aes-cbc-128 | aes-cbc-192 |
                  aes-cbc-256 | des-cbc }

    Por padrão, é usado o algoritmo de criptografia DES de 56 bits no modo CBC.

    No modo FIPS:

    encryption-algorithm { aes-cbc-128 | aes-cbc-192 | aes-cbc-256 }

    Por padrão, é usado o algoritmo de criptografia AES de 128 bits no modo CBC.

    • Especifique um método de autenticação para a proposta IKE.
    authentication-method{ dsa-signature | ecdsa-signature | pre-share |
                  rsa-signature }

    Por padrão, é usado o método de autenticação de chave pré-compartilhada.

    • Especifique um algoritmo de autenticação para a proposta IKE.

    No modo não-FIPS:

    authentication-algorithm { md5 | sha | sha256 | sha384 | sha512 }

    Por padrão, é usado o algoritmo de autenticação HMAC-SHA1.

    No modo FIPS:

    authentication-algorithm { sha | sha256 | sha384 | sha512 }

    Por padrão, é usado o algoritmo de autenticação HMAC-SHA256.

    • Especifique um grupo DH para negociação de chaves na fase 1.

    No modo não-FIPS:

    dh{ group1 | group14 | group19 | group2 | group20 | group24 | group5 }

    O grupo DH 1 (o grupo DH de 768 bits) é usado por padrão.

    No modo FIPS:

    dh{ group14 | group19 | group20 | group24 }

    O grupo DH 14 (o grupo DH de 2048 bits) é usado por padrão.

    • (Opcional.) Defina o tempo de vida da SA IKE para a proposta IKE.
    sa duration seconds

    Por padrão, o tempo de vida da IKE SA é de 86400 segundos.

    Configuração de um chaveiro IKE

    Sobre o chaveiro IKE

    Execute essa tarefa quando você configurar o IKE para usar a chave pré-compartilhada para autenticação. Siga estas diretrizes ao configurar um conjunto de chaves IKE:

    • Dois pares devem ser configurados com a mesma chave pré-compartilhada para passar a chave pré-compartilhada

    autenticação.

    • Você pode especificar o endereço local configurado na visualização da política IPsec ou do modelo de política IPsec (usando o comando local-address) para que o chaveiro IKE seja aplicado. Se nenhum endereço local estiver configurado, especifique o endereço IP da interface que usa a política IPsec.
    • O dispositivo determina a prioridade de um chaveiro IKE da seguinte forma:
      • O dispositivo examina a existência do comando match local address. Um chaveiro IKE com o comando match local address configurado tem uma prioridade mais alta.
      • Se houver empate, o dispositivo compara os números de prioridade. Um chaveiro IKE com um número de prioridade menor tem uma prioridade mais alta.
      • Se ainda houver empate, o dispositivo preferirá um chaveiro IKE configurado anteriormente.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Crie um chaveiro IKE e entre em sua visualização.

    chaveiro ike nome do chaveiro

    • Configure uma chave pré-compartilhada. No modo não-FIPS:
    pre-shared-key { address { ipv4-address [ mask | mask-length ] | ipv6 
                  ipv6-address [ prefix-length ] } | hostname host-name } key { cipher |
                  simple } string

    No modo FIPS:

    pre-shared-key { address { ipv4-address [ mask | mask-length ] | ipv6 
                  ipv6-address [ prefix-length ] } | hostname host-name } key [ cipher 
                  string ]

    Por padrão, nenhuma chave pré-compartilhada é configurada.

    • (Opcional.) Especifique uma interface local ou um endereço IP ao qual o chaveiro IKE pode ser aplicado.
    match local address { interface-type interface-number | { ipv4-address
                  | ipv6 ipv6-address } }

    Por padrão, um chaveiro IKE pode ser aplicado a qualquer interface local ou endereço IP.

    • (Opcional.) Especifique uma prioridade para o chaveiro IKE.
    priority priority

    A prioridade padrão é 100.

    Configuração das informações de identidade global

    Restrições e diretrizes

    A identidade global pode ser usada pelo dispositivo para todas as negociações de SA IKE, e a identidade local (definida pelo comando local-identity) pode ser usada somente pelo dispositivo que usa o perfil IKE.

    Quando a autenticação por assinatura é usada, você pode definir qualquer tipo de informação de identidade. Quando a autenticação de chave pré-compartilhada é usada, você não pode definir o DN como a identidade.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Configure a identidade global a ser usada pela extremidade local.
    ike identity { address { ipv4-address | ipv6 ipv6-address }| dn | fqdn
                  [ fqdn-name ] | user-fqdn [ user-fqdn-name ] }

    Por padrão, o endereço IP da interface à qual a política IPsec ou o modelo de política IPsec é aplicado é usado como a identidade IKE.

    • (Opcional.) Configure o dispositivo local para sempre obter as informações de identidade do certificado local para autenticação de assinatura.
    ike signature-identity from-certificate

    Por padrão, a extremidade local usa as informações de identidade especificadas por local-identity ou ike identity para autenticação de assinatura.

    Configure esse comando quando o modo agressivo e a autenticação por assinatura forem usados e o dispositivo se interconectar com um dispositivo par baseado no Comware 5. O Comware 5 suporta apenas DN para autenticação de assinatura.

    Configuração do recurso IKE keepalive

    Sobre o recurso IKE keepalive

    O IKE envia pacotes keepalive para consultar a vivacidade do par. Se o par estiver configurado com o tempo limite de comunicação contínua, você deverá configurar o intervalo de comunicação contínua no dispositivo local. Se o par não receber nenhum pacote keepalive durante o tempo limite, a SA do IKE será excluída junto com as SAs do IPsec negociadas.

    Restrições e diretrizes

    Configure o IKE DPD em vez do IKE keepalive, a menos que o IKE DPD não seja compatível com o par. O recurso IKE keepalive envia keepalives em intervalos regulares, o que consome largura de banda e recursos da rede.

    O tempo limite do keepalive configurado no dispositivo local deve ser maior do que o intervalo do keepalive configurado no par. Como raramente ocorre a perda de mais de três pacotes consecutivos em uma rede , você pode definir o tempo limite de keepalive três vezes mais longo que o intervalo de keepalive.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Defina o intervalo de manutenção da IKE SA.
    ike keepalive interval interval

    Por padrão, nenhum keepalives é enviado ao par.

    • Defina o tempo limite do IKE SA keepalive.
    ike keepalive timeout seconds

    Por padrão, o IKE SA keepalive nunca atinge o tempo limite.

    Configuração do recurso IKE NAT keepalive

    Sobre o recurso IKE NAT keepalive

    Se o tráfego IPsec passar por um dispositivo NAT, você deverá configurar o recurso de passagem de NAT. Se nenhum pacote atravessar um túnel IPsec em um período de tempo, as sessões NAT serão envelhecidas e excluídas, impedindo que o túnel transmita dados para a extremidade pretendida. Para evitar que as sessões NAT sejam envelhecidas, configure o recurso NAT keepalive no gateway IKE atrás do dispositivo NAT para enviar pacotes NAT keepalive ao seu par periodicamente para manter a sessão NAT ativa.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Defina o intervalo IKE NAT keepalive.
    ike nat-keepalive seconds

    O intervalo padrão é de 20 segundos.

    Configuração do IKE DPD global

    Sobre o IKE DPD

    O DPD detecta pares mortos. Ele pode operar no modo periódico ou no modo sob demanda.

    • DPD periódico - Envia uma mensagem DPD em intervalos regulares. Ele permite a detecção antecipada de pares mortos, mas consome mais largura de banda e CPU.
    • DPD sob demanda - Envia uma mensagem DPD com base no tráfego. Quando o dispositivo tem tráfego para enviar e não está ciente da vivacidade do par, ele envia uma mensagem DPD para consultar o status do par. Se o dispositivo não tiver tráfego para enviar, ele nunca enviará mensagens DPD. Como prática recomendada, use o modo on-demand.

    O IKE DPD funciona da seguinte forma:

    • O dispositivo local envia uma mensagem DPD para o par e aguarda uma resposta do par.
    • Se o par não responder dentro do intervalo de repetição especificado pelo parâmetro retry seconds, o dispositivo local reenviará a mensagem.
    • Se nenhuma resposta for recebida dentro do intervalo de nova tentativa, a extremidade local enviará a mensagem DPD novamente. O sistema permite um máximo de duas tentativas.
    • Se o dispositivo local não receber resposta após duas tentativas, o dispositivo considerará o par como morto e excluirá a SA IKE juntamente com as SAs IPsec negociadas.
    • Se o dispositivo local receber uma resposta do par durante o processo de detecção, o par será considerado vivo. O dispositivo local executa uma detecção DPD novamente quando o intervalo de acionamento é atingido ou quando tem tráfego para enviar, dependendo do modo DPD.

    Restrições e diretrizes

    Quando as configurações de DPD são definidas na visualização de perfil IKE e na visualização do sistema, aplicam-se as configurações de DPD na visualização de perfil IKE. Se o DPD não estiver configurado na visualização de perfil IKE, serão aplicadas as configurações de DPD na visualização do sistema.

    É uma boa prática definir o intervalo de acionamento maior que o intervalo de repetição para que uma detecção de DPD não seja acionada durante uma nova tentativa de DPD.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Ativar o envio de mensagens IKE DPD.
    ike dpd interval interval [ retry seconds ] { on-demand | periodic }

    Por padrão, o IKE DPD está desativado.

    Ativação da recuperação de SPI inválido

    Sobre a recuperação de SPI inválido

    Um "buraco negro" do IPsec ocorre quando um par do IPsec falha (por exemplo, um par pode falhar se ocorrer uma reinicialização). Um par falha e perde suas SAs com o outro par. Quando um par IPsec recebe um pacote de dados para o qual não consegue encontrar uma SA, é encontrado um SPI inválido. O par descarta o pacote de dados e tenta enviar uma notificação de SPI inválido para o originador dos dados. Essa notificação é enviada usando a SA IKE. Como nenhuma IKE SA está disponível, a notificação não é enviada. O par de origem continua enviando os dados usando a IPsec SA que tem o SPI inválido, e o par receptor continua descartando o tráfego.

    O recurso de recuperação de SPI inválido permite que o par receptor configure uma IKE SA com o originador para que uma notificação de SPI inválido possa ser enviada. Ao receber a notificação, o par de origem exclui a SA IPsec que tem o SPI inválido. Se o originador tiver dados para enviar, novas SAs serão configuradas.

    Restrições e diretrizes

    Tenha cuidado ao ativar o recurso de recuperação de SPI inválido, pois o uso desse recurso pode resultar em um ataque de DoS. Os invasores podem fazer um grande número de notificações de SPI inválido para o mesmo par.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Habilita a recuperação de SPI inválido.
    ike invalid-spi-recovery enable

    Por padrão, a recuperação de SPI inválido está desativada.

    Configuração do número máximo de SAs IKE

    Sobre a configuração do número máximo de SAs IKE

    Você pode definir o número máximo de SAs IKE semiabertas e o número máximo de SAs IKE estabelecidas.

    • O número máximo suportado de SAs IKE semiabertas depende da capacidade de processamento do dispositivo. Ajuste o número máximo de SAs IKE entreabertas para utilizar totalmente a capacidade de processamento do dispositivo sem afetar a eficiência da negociação da SA IKE.
    • O número máximo suportado de SAs IKE estabelecidas depende do espaço de memória do dispositivo. Ajuste o número máximo de SAs IKE estabelecidas para fazer uso total do espaço de memória do dispositivo sem afetar outros aplicativos do sistema.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Defina o número máximo de SAs IKE semiabertas e o número máximo de SAs IKE estabelecidas.
    ike limit { max-negotiating-sa negotiation-limit | max-sa sa-limit }

    Por padrão, não há limite para o número máximo de IKE SAs.

    Configuração de notificações SNMP para IKE

    Sobre a configuração de notificação SNMP para IKE

    Depois que você ativar as notificações SNMP para o IKE, o módulo IKE notificará o NMS sobre eventos importantes do módulo. As notificações são enviadas ao módulo SNMP do dispositivo. Para que as notificações sejam enviadas corretamente, você também deve configurar o SNMP no dispositivo. Para obter mais informações sobre as notificações de SNMP, consulte o Guia de configuração de monitoramento e gerenciamento de rede.

    Para gerar e emitir notificações SNMP para um tipo específico de evento ou falha IKE, execute as seguintes tarefas:

    • Ative as notificações SNMP para IKE globalmente.
    • Ative as notificações SNMP para o tipo de falha ou evento.

    Procedimento

    • Entrar na visualização do sistema
    system view
    • Ative as notificações SNMP para IKE globalmente.
    snmp-agent trap enable ike global

    Por padrão, as notificações SNMP para IKE estão desativadas.

    • Ative as notificações SNMP para os tipos de falha ou evento especificados.
    snmp-agent trap enable ike [ attr-not-support | auth-failure |
                  cert-type-unsupport | cert-unavailable | decrypt-failure |
                  encrypt-failure | invalid-cert-auth | invalid-cookie | invalid-id |
                  invalid-proposal | invalid-protocol | invalid-sign | no-sa-failure |
                  proposal-add | proposal–delete | tunnel-start | tunnel-stop |
                  unsupport-exch-type ] *

    Por padrão, as notificações SNMP para todos os tipos de falhas e eventos estão desativadas.

    Comandos de exibição e manutenção para IKE

    Execute comandos de exibição em qualquer visualização e redefina comandos na visualização do usuário.

    Tarefa Comando
    Exibir informações de configuração sobre todas as propostas IKE. proposta de exibição ike
    Exibir informações sobre as SAs IKE atuais. display ike sa [ verbose [ connection-id connection-id | endereço remoto [ ipv6 ] remote-address ] ]
    Exibir estatísticas IKE. exibir estatísticas ike
    Excluir SAs IKE. reset ike sa [ connection-id connection-id ]
    Limpar estatísticas do IKE MIB. reset ike statistics

    Exemplos de configuração do IKE

    Exemplo: Configuração do IKE no modo principal com autenticação de chave pré-compartilhada

    Configuração de rede

    Conforme mostrado na Figura 14, configure um túnel IPsec baseado em IKE entre o Switch A e o Switch B para proteger a comunicação entre os switches.

    • Configure os dois switches para usar a proposta IKE padrão para a negociação IKE.
    • Configure os dois switches para usar o método de autenticação de chave pré-compartilhada para a negociação IKE.

    Figura 14 Diagrama de rede

    Procedimento

    • Certifique-se de que o Switch A e o Switch B possam se comunicar.
    • Configure o Switch A:

    # Configure um endereço IP para a interface VLAN 1.

    <SwitchA> system-view
                     [SwitchA] interface vlan-interface 1
                     [SwitchA-vlan-interface1] ip address 1.1.1.1 255.255.0.0
                     [SwitchA-vlan-interface1] quit

    # Configure o IPv4 advanced ACL 3101 para identificar o tráfego do Switch A para o Switch B.

    [SwitchA] acl advanced 3101
                     [SwitchA-acl-ipv4-adv-3101] rule 0 permit ip source 1.1.1.1 0 destination 2.2.2.2 0
                     [SwitchA-acl-ipv4-adv-3101] quit

    # Crie um conjunto de transformação IPsec chamado tran1.

    [SwitchA] ipsec transform-set tran1

    # Defina o modo de encapsulamento de pacotes como túnel.

    [SwitchA-ipsec-transform-set-tran1] encapsulation-mode tunnel

    # Use o protocolo ESP para o conjunto de transformação IPsec. [Especifique os algoritmos de criptografia e autenticação.

    [SwitchA-ipsec-transform-set-tran1] esp encryption-algorithm aes-cbc-192
                     [SwitchA-ipsec-transform-set-tran1] esp authentication-algorithm sha1
                     [SwitchA-ipsec-transform-set-tran1] quit

    # Crie um keychain IKE chamado keychain1.

    [SwitchA] ike keychain keychain1

    # Especifique 12345zxcvb!@#$%ZXCVB em texto simples como a chave pré-compartilhada a ser usada com o par remoto em 2.2.2.2.

    [SwitchA-ike-keychain-keychain1] pre-shared-key address 2.2.2.2.2 255.255.0.0 key simple 12345zxcvb!@#$%ZXCVB

    Criar um perfil IKE chamado profile1.

    [SwitchA] ike profile profile1

    # Especifique o chaveiro IKE keychain keychain1.

    [SwitchA-ike-profile-profile1] keychain keychain1

    # Configure um ID de par com o tipo de identidade como endereço IP e o valor como 2.2.2.2/16. [SwitchA-ike-profile-profile1] match remote identity address 2.2.2.2 255.255.0.0 [SwitchA-ike-profile-profile1] quit

    # Crie uma entrada de política IPsec baseada em IKE. Especifique o nome da política como map1 e defina o número de sequência como 10.

    [SwitchA] ipsec policy map1 10 isakmp

    # Especifique o endereço IP remoto 2.2.2.2 para o túnel IPsec. [SwitchA-ipsec-policy-isakmp-map1-10] remote-address 2.2.2.2 # Especifique a ACL 3101 para identificar o tráfego a ser protegido.

    [SwitchA-ipsec-policy-isakmp-map1-10] security acl 3101

    # Especifique o conjunto de transformação IPsec tran1 para a política IPsec.

    [SwitchA-ipsec-policy-isakmp-map1-10] transform-set tran1

    # Especifique o perfil IKE profile1 para a política IPsec.

    [SwitchA-ipsec-policy-isakmp-map1-10] ike-profile profile1
                     [SwitchA-ipsec-policy-isakmp-map1-10] quit

    # Aplique o mapa de política IPsec1 à interface VLAN 1.

    [SwitchA] interface vlan-interface 1
                     [SwitchA-Vlan-interface1] ipsec apply policy map1
    • Configure o Switch B:

    # Configure um endereço IP para a interface VLAN 1.

    <SwitchB> system-view
                     [SwitchB] interface Vlan-interface1
                     [SwitchB-Vlan-interface1] ip address 2.2.2.2 255.255.0.0
                     [SwitchB-Vlan-interface1] quit

    # Crie um conjunto de transformação IPsec chamado tran1.

    [SwitchB] ipsec transform-set tran1

    # Defina o modo de encapsulamento de pacotes como túnel.

    [SwitchB-ipsec-transform-set-tran1] encapsulation-mode tunnel

    # Use o protocolo ESP para o conjunto de transformação IPsec. [Especifique os algoritmos de criptografia e autenticação.

    [SwitchB-ipsec-transform-set-tran1] esp encryption-algorithm aes-cbc-192
                     [SwitchB-ipsec-transform-set-tran1] esp authentication-algorithm sha1
                     [SwitchB-ipsec-transform-set-tran1] quit

    # Crie um keychain IKE chamado keychain1.

    [SwitchB]ike keychain keychain1

    # Especifique 12345zxcvb!@#$%ZXCVB em texto simples como a chave pré-compartilhada a ser usada com o par remoto em 1.1.1.1.

    [SwitchB-ike-keychain-keychain1] pre-shared-key address 2.2.2.2 255.255.0.0 key 
                     simple 12345zxcvb!@#$%ZXCVB
                     [SwitchA-ike-keychain-keychain1] quit

    Criar um perfil IKE chamado profile1. 

    [SwitchB] ike profile profile1

    # Especificar o chaveiro IKE keychain keychain1

    [SwitchB] ike keychain keychain1

    # Configure um ID de par com o tipo de identidade como endereço IP e o valor como 1.1.1.1/16. [SwitchB-ike-profile-profile1] match remote identity address 1.1.1.1 255.255.0.0 [SwitchB-ike-profile-profile1] quit

    # Crie uma entrada de política IPsec baseada em IKE. Especifique o nome da política como use1 e defina o número de sequência como 10.

    [SwitchB] ipsec policy use1 10 isakmp

    # Especifique o endereço IP remoto 1.1.1.1 para o túnel IPsec. [SwitchB-ipsec-policy-isakmp-use1-10] remote-address 1.1.1.1 # Especifique a ACL 3101 para identificar o tráfego a ser protegido.

    [SwitchB-ipsec-policy-isakmp-use1-10] security acl 3101

    # Especifique o conjunto de transformação IPsec tran1 para a política IPsec.

    [SwitchB-ipsec-policy-isakmp-use1-10] transform-set tran1

    # Especifique o perfil IKE profile1 para a política IPsec.

    [SwitchB-ipsec-policy-isakmp-use1-10] ike-profile profile1
                     [SwitchB-ipsec-policy-isakmp-use1-10] quit

    # Aplique a política IPsec use1 à interface VLAN 1.

    [SwitchB] interface vlan-interface 1
                     [SwitchB-Vlan-interface1] ipsec apply policy use1

    Verificação da configuração

    # Iniciar uma conexão entre o Switch A e o Switch B para acionar a negociação IKE. Depois que as SAs do IPsec são negociadas com sucesso pelo IKE, o tráfego entre os dois switches é protegido pelo IPsec.

    Exemplo: Configuração de um túnel IPsec baseado em IKE para pacotes IPv4

    Configuração de rede

    Conforme mostrado na Figura 15, estabeleça um túnel IPsec entre o Switch A e o Switch B para proteger os fluxos de dados entre os switches. Configure o túnel IPsec da seguinte forma:

    • Especifique o modo de encapsulamento como túnel, o protocolo de segurança como ESP, o algoritmo de criptografia como AES-CBC-192 e o algoritmo de autenticação como HMAC-SHA1.
    • Configurar SAs por meio de negociação IKE.

    Figura 15 Diagrama de rede

    Procedimento

    • Configure o Switch A:

    # Configure um endereço IP para a interface VLAN 1.

    <SwitchA>  system-view
                     [SwitchA] interface vlan-interface 1
                     [SwitchA-Vlan-interface1] ip address 2.2.2.1 255.255.255.0
                     [SwitchA-Vlan-interface1] quit

    # Configure uma ACL avançada de IPv4 para identificar os fluxos de dados do Switch A para o Switch B.

    [SwitchA] acl advanced 3101
                     [SwitchA-acl-ipv4-adv-3101] rule 0 permit ip source 2.2.2.1 0 destination 2.2.3.1 0
                     [SwitchA-acl-ipv4-adv-3101] quit

    # Crie um conjunto de transformação IPsec chamado tran1.

    [SwitchA] ipsec transform-set tran1

    # Especifique o modo de encapsulamento como túnel.

    [SwitchA-ipsec-transform-set-tran1] encapsulation-mode tunnel

    # Especifique o protocolo de segurança como ESP.

    [SwitchA-ipsec-transform-set-tran1] protocol esp

    # Especifique os algoritmos de criptografia e autenticação ESP.

    [SwitchA-ipsec-transform-set-tran1] esp encryption-algorithm aes-cbc-192
                     [SwitchA-ipsec-transform-set-tran1] esp authentication-algorithm sha1
                     [SwitchA-ipsec-transform-set-tran1] quit

    # Crie um keychain IKE chamado keychain1.

    [SwitchA] ike keychain keychain1

    # Especifique 12345zxcvb!@#$%ZXCVB em texto simples como a chave pré-compartilhada a ser usada com o par remoto em 2.2.3.1.

    [SwitchA-ike-keychain-keychain1] pre-shared-key address 2.2.3.1 255.255.255.0 key 
                     simple 12345zxcvb!@#$%ZXCVB
                     [SwitchA-ike-keychain-keychain1] quit

    # Criar e configurar um perfil IKE chamado profile1.

    [SwitchA] ike profile profile1
                     [SwitchA-ike-profile-profile1] keychain keychain1
                     [SwitchA-ike-profile-profile1] match remote identity address 2.2.3.1 255.255.255.0
                     [SwitchA-ike-profile-profile1] quit

    # Crie uma entrada de política IPsec baseada em IKE. Especifique o nome da política como map1 e defina o número de sequência como 10.

    [SwitchA] ipsec policy map1 10 isakmp

    # Especifique a ACL 3101.

    [SwitchA-ipsec-policy-isakmp-map1-10] security acl 3101

    # Especifique o conjunto de transformação IPsec tran1.

    [SwitchA-ipsec-policy-isakmp-map1-10] transform-set tran1

    # Especifique os endereços IP locais e remotos do túnel IPsec como 2.2.2.1 e 2.2.3.1.

    [SwitchA-ipsec-policy-isakmp-map1-10] local-address 2.2.2.1
                     [SwitchA-ipsec-policy-isakmp-map1-10] remote-address 2.2.3.1

    # Especifique o perfil IKE profile1.

    [SwitchA-ipsec-policy-isakmp-map1-10] ike-profile profile1
                     [SwitchA-ipsec-policy-isakmp-map1-10] quit

    # Aplique o mapa de política IPsec1 à interface VLAN 1.

    [SwitchA] interface vlan-interface 1
                     [SwitchA-Vlan-interface1] ipsec apply policy map1
    • Configurar o Switch B:

    # Configure um endereço IP para a interface VLAN 1.

    <SwitchB> system-view
                     [SwitchB] interface vlan-interface 1
                     [SwitchB-Vlan-interface1] ip address 2.2.3.1 255.255.255.0
                     [SwitchB-Vlan-interface1] quit

    # Configure uma ACL avançada de IPv4 para identificar os fluxos de dados do Switch B para o Switch A.

    [SwitchB] acl advanced 3101
                     [SwitchB-acl-ipv4-adv-3101] rule 0 permit ip source 2.2.3.1 0 destination 2.2.2.1 0
                     [SwitchB-acl-ipv4-adv-3101] quit

    # Crie um conjunto de transformação IPsec chamado tran1.

    [SwitchB] ipsec transform-set tran1

    # Especifique o modo de encapsulamento como túnel.

    [SwitchB-ipsec-transform-set-tran1] encapsulation-mode tunnel

    # Especifique o protocolo de segurança como ESP.

    [SwitchB-ipsec-transform-set-tran1] protocol esp

    # Especifique os algoritmos de criptografia e autenticação ESP.

    [SwitchB-ipsec-transform-set-tran1] esp encryption-algorithm aes-cbc-192
                     [SwitchB-ipsec-transform-set-tran1] esp authentication-algorithm sha1
                     [SwitchB-ipsec-transform-set-tran1] quit

    # Crie um keychain IKE chamado keychain1.

    [SwitchA] ike keychain keychain1

    # Especifique 12345zxcvb!@#$%ZXCVB em texto simples como a chave pré-compartilhada a ser usada com o par remoto em 2.2.2.1.

    [SwitchB-ike-keychain-keychain1] pre-shared-key address 2.2.2.1 255.255.255.0 key 
                     simple 12345zxcvb!@#$%ZXCVB
                     [SwitchB-ike-keychain-keychain1] quit

    # Criar e configurar um perfil IKE chamado profile1.

    [SwitchB] ike profile profile1
                     [SwitchB-ike-profile-profile1] keychain keychain1
                     [SwitchB-ike-profile-profile1] match remote identity address 2.2.2.1 255.255.255.0
                     [SwitchB-ike-profile-profile1] quit

    # Crie uma entrada de política IPsec baseada em IKE. Especifique o nome da política como use1 e defina o parâmetro

    número de sequência para 10.

    [SwitchB] ipsec policy use1 10 isakmp

    # Especifique a ACL 3101.

    [SwitchB-ipsec-policy-isakmp-use1-10] security acl 3101

    # Especifique o conjunto de transformação IPsec tran1.

    [SwitchB-ipsec-policy-isakmp-use1-10] transform-set tran1

    # Especifique os endereços IP locais e remotos do túnel IPsec como 2.2.3.1 e 2.2.2.1.

    [SwitchB-ipsec-policy-isakmp-use1-10] local-address 2.2.3.1
                     [SwitchB-ipsec-policy-isakmp-use1-10] remote-address 2.2.2.1

    # Especifique o perfil IKE profile1.

    [SwitchB-ipsec-policy-isakmp-use1-10] ike-profile profile1
                     [SwitchB-ipsec-policy-isakmp-use1-10] quit

    # Aplique a política IPsec use1 à interface VLAN 1.

    [SwitchB] interface vlan-interface 1
                     [SwitchB-Vlan-interface1] ipsec apply policy use1

    Verificação da configuração

    # Iniciar uma conexão entre o Switch A e o Switch B para acionar a negociação IKE. Depois que as SAs do IPsec são negociadas com sucesso pelo IKE, o tráfego entre os dois switches é protegido pelo IPsec.

    Solução de problemas do IKE

    A negociação IKE falhou porque não foram encontradas propostas IKE correspondentes

    Sintoma

    <Sysname> display ike sa
                     Connection-ID Remote Flag DOI
                     ------------------------------------------------------------------
                     1 192.168.222.5 Unknown IPsec
                     Flags:
                     RD--READY RL--REPLACED FD-FADING RK-REKEY

    2. Quando a depuração de eventos IKE e a depuração de pacotes estão ativadas, as seguintes mensagens são exibidas:

    Mensagem de depuração de evento IKE:

    The attributes are unacceptable.

    Mensagem de depuração do pacote IKE:

    Construct notification packet: NO_PROPOSAL_CHOSEN.

    Análise

    Determinadas configurações de proposta IKE estão incorretas.

    Solução

    • Examine a configuração da proposta IKE para ver se as duas extremidades têm propostas IKE correspondentes.
    • Modifique a configuração da proposta IKE para garantir que as duas extremidades tenham propostas IKE correspondentes.

    A negociação IKE falhou porque nenhuma proposta IKE ou chaveiro IKE foi especificado corretamente

    Sintoma

    <Sysname>  display ike sa
                     Connection-ID Remote Flag DOI
                     ------------------------------------------------------------------
                     1 192.168.222.5 Unknown IPsec
                     Flags:
                     RD--READY RL--REPLACED FD-FADING RK-REKEY
    • A seguinte mensagem de depuração de evento IKE ou de depuração de pacote é exibida: Mensagem de depuração de evento IKE:
    Notification PAYLOAD_MALFORMED is received.

    Mensagem de depuração do pacote IKE:

    Construct notification packet: PAYLOAD_MALFORMED.

    Análise

    • Se as seguintes informações de depuração forem exibidas, o perfil IKE correspondente não está usando a proposta IKE correspondente:
    Failed to find proposal 1 in profile profile1.
    • Se as seguintes informações de depuração forem exibidas, o perfil IKE correspondente não está usando o chaveiro IKE correspondente:
    Failed to find keychain keychain1 in profile profile1.

    Solução

    • Verifique se a proposta IKE correspondente (proposta IKE 1 neste exemplo de mensagem de depuração) está especificada para o perfil IKE (perfil IKE 1 no exemplo).
    • Verifique se o chaveiro IKE correspondente (chaveiro IKE 1 neste exemplo de mensagem de depuração) está especificado para o perfil IKE (perfil IKE 1 no exemplo).

    A negociação da SA IPsec falhou porque não foram encontrados conjuntos de transformação IPsec correspondentes

    Sintoma

    • O comando display ike sa mostra que a negociação da IKE SA foi bem-sucedida e que a IKE SA está no estado RD, mas o comando display ipsec sa mostra que a IPsec SA esperada ainda não foi negociada.
    • A seguinte mensagem de depuração do IKE é exibida:
    The attributes are unacceptable.

    Ou:

    Construct notification packet: NO_PROPOSAL_CHOSEN.

    Análise

    Algumas configurações da política IPsec estão incorretas.

    Solução

    • Examine a configuração do IPsec para ver se as duas extremidades têm conjuntos correspondentes de transformação do IPsec .
    • Modifique a configuração do IPsec para garantir que as duas extremidades tenham conjuntos de transformação IPsec correspondentes.

    Falha na negociação de SA IPsec devido a informações de identidade inválidas

    Sintoma

    • O comando display ike sa mostra que a negociação da IKE SA foi bem-sucedida e que a IKE SA está no estado RD, mas o comando display ipsec sa mostra que a IPsec SA esperada ainda não foi negociada.
    • A seguinte mensagem de depuração do IKE foi exibida: 
    Notification INVALID_ID_INFORMATION is received.

    Ou:

    Failed to get IPsec policy when renegotiating IPsec SA. Delete IPsec SA.
                     Construct notification packet: INVALID_ID_INFORMATION

    Análise

    Algumas configurações de política IPsec do respondedor estão incorretas. Verifique as configurações da seguinte forma:

    • Use o comando display ike sa verbose para verificar se os perfis IKE correspondentes foram encontrados na fase 1 da negociação IKE. Se não forem encontrados perfis IKE correspondentes e a política IPsec estiver usando um perfil IKE, a negociação da SA IPsec falhará.

    # Identificar se foram encontrados perfis IKE correspondentes na fase 1 da negociação IKE. A saída a seguir mostra que não foi encontrado nenhum perfil IKE correspondente:

     display ike sa verbose
                     -----------------------------------------------
                     Connection ID: 3
                     Outside VPN:
                     Inside VPN:
                     Profile:
                     Transmitting entity: Responder
                     -----------------------------------------------
                     Local IP: 192.168.222.5
                     Local ID type: IPV4_ADDR
                     Local ID: 192.168.222.5
                     Remote IP: 192.168.222.71
                     Remote ID type: IPV4_ADDR
                     Remote ID: 192.168.222.71
                     Authentication-method: PRE-SHARED-KEY
                     Authentication-algorithm: MD5
                     Encryption-algorithm: 3DES-CBC
                     Life duration(sec): 86400
                     Remaining key duration(sec): 85847
                     Exchange-mode: Main
                     Diffie-Hellman group: Group 1
                     NAT traversal: Not detected

    # Identifique se a política IPsec está usando um perfil IKE. A saída a seguir mostra que um perfil IKE é usado pela política IPsec.

    [Sysname] display ipsec policy
                     -------------------------------------------
                     IPsec Policy: policy1
                     Interface: GigabitEthernet1/0/1
                     -------------------------------------------
                     -----------------------------
                     Sequence number: 1
                     Mode: ISAKMP
                     -----------------------------
                     Description:
                     Security data flow: 3000
                     Selector mode: aggregation
                     Local address: 192.168.222.5
                     Remote address: 192.168.222.71
                     Transform set: transform1
                     IKE profile: profile1
                     SA duration(time based):
                     SA duration(traffic based):
                     SA idle time:
    • Verifique se a ACL especificada para a política IPsec está configurada corretamente. Se o intervalo de fluxo definido pela ACL do respondente for menor do que o definido pela ACL do iniciador, haverá falha na correspondência da proposta IPsec.

    Por exemplo, se a ACL do iniciador definir um fluxo de um segmento de rede para outro, mas a ACL do respondente definir um fluxo de um host para outro host, a correspondência de propostas IPsec falhará.

    # No iniciador:

    [Sysname] display acl 3000
                     Advanced IPv4 ACL 3000, 1 rule,
                     ACL's step is 5
                     rule 0 permit ip source 192.168.222.0 0.0.0.255 destination 192.168.222.0 0.0.0.255

    # No respondedor:

    [Sysname] display acl 3000
                     Advanced IPv4 ACL 3000, 1 rule,
                     ACL's step is 5
                     rule 0 permit ip source 192.168.222.71 0 destination 192.168.222.5 0
    • Verifique se a política IPsec tem um endereço remoto e um conjunto de transformação IPsec configurados e se o conjunto de transformação IPsec tem todas as configurações necessárias definidas.

    Se, por exemplo, a política IPsec não tiver um endereço remoto configurado, a negociação da SA IPsec falhará:

    [Sysname] display ipsec policy
                     -------------------------------------------
                     IPsec Policy: policy1
                     Interface: GigabitEthernet1/0/1
                     -------------------------------------------
                     -----------------------------
                     Sequence number: 1
                     Mode: ISAKMP
                     -----------------------------
                     Security data flow: 3000
                     Selector mode: aggregation
                     Local address: 192.168.222.5
                     Remote address: 
                     Transform set: transform1
                     IKE profile: profile1
                     SA duration(time based):
                     SA duration(traffic based):
                     SA idle time:
    • Se a política IPsec especificar um perfil IKE, mas nenhum perfil IKE correspondente tiver sido encontrado na negociação IKE, execute uma das seguintes tarefas no respondente:
      • Remover o perfil IKE especificado da política IPsec.
      • Modificar o perfil IKE especificado para corresponder ao perfil IKE do iniciador.
      • Se o intervalo de fluxo definido pela ACL do respondente for menor do que o definido pela ACL do iniciador, modifique a ACL do respondente para que ela defina um intervalo de fluxo igual ou maior do que o da ACL do iniciador.

      Por exemplo:

      [Sysname] display acl 3000
                     Advanced IPv4 ACL 3000, 2 rules,
                     ACL's step is 5
                     rule 0 permit ip source 192.168.222.0 0.0.0.255 destination 192.168.222.0 0.0.0.255
    • Configure as definições que estão faltando (por exemplo, o endereço remoto).

    Configuração do IKEv2

    Sobre o IKEv2

    O Internet Key Exchange versão 2 (IKEv2) é uma versão aprimorada do IKEv1. Da mesma forma que o IKEv1, o IKEv2 tem um conjunto de mecanismos de autoproteção e pode ser usado em redes inseguras para autenticação de identidade confiável, distribuição de chaves e negociação de SA IPsec. O IKEv2 oferece proteção mais forte contra ataques e maior capacidade de troca de chaves, além de precisar de menos trocas de mensagens do que o IKEv1.

    Processo de negociação IKEv2

    Em comparação com o IKEv1, o IKEv2 simplifica o processo de negociação e é muito mais eficiente.

    O IKEv2 define três tipos de trocas: trocas iniciais, troca CREATE_CHILD_SA e troca INFORMATIONAL.

    Conforme mostrado na Figura 16, o IKEv2 usa duas trocas durante o processo de troca inicial: IKE_SA_INIT e IKE_AUTH, cada uma com duas mensagens.

    • IKE_SA_INIT exchange - Negocia os parâmetros do IKE SA e troca as chaves.
    • Troca IKE_AUTH - Autentica a identidade do par e estabelece SAs IPsec.

    Após as trocas iniciais de quatro mensagens, o IKEv2 configura uma IKE SA e um par de IPsec SAs. Para que o IKEv1 configure uma IKE SA e um par de IPsec SAs, ele deve passar por duas fases que usam um mínimo de seis mensagens.

    Para configurar mais um par de IPsec SAs dentro da IKE SA, o IKEv2 executa uma troca adicional de duas mensagens - a troca CREATE_CHILD_SA. Uma troca CREATE_CHILD_SA cria um par de IPsec SAs. O IKEv2 também usa a troca CREATE_CHILD_SA para rechavear as IKE SAs e as Child SAs.

    O IKEv2 usa a troca INFORMATIONAL para transmitir mensagens de controle sobre erros e notificações.

    Figura 16 IKEv2 Processo de troca inicial

    Novos recursos no IKEv2

    DH adivinhando

    Na troca IKE_SA_INIT, o iniciador adivinha o grupo DH que o respondente provavelmente usará e o envia em uma mensagem de solicitação IKE_SA_INIT. Se a estimativa do iniciador estiver correta, o respondente responde com uma mensagem de resposta IKE_SA_INIT e a troca IKE_SA_INIT é concluída. Se a suposição estiver errada, o respondente responde com uma mensagem INVALID_KE_PAYLOAD que contém o grupo DH que ele deseja usar. O iniciador usa então o grupo DH selecionado pelo respondente para reiniciar a troca IKE_SA_INIT. O mecanismo de adivinhação de DH permite uma configuração mais flexível do grupo DH e permite que o iniciador se adapte a diferentes respondentes.

    Desafio de cookies

    As mensagens para a troca IKE_SA_INIT estão em texto simples. Um respondedor IKEv1 não pode confirmar a validade dos iniciadores e deve manter SAs IKE semiabertas, o que torna o respondedor suscetível a ataques DoS. Um invasor pode enviar um grande número de solicitações IKE_SA_INIT com endereços IP de origem falsos para o respondedor, esgotando os recursos do sistema do respondedor.

    O IKEv2 introduz o mecanismo de desafio de cookie para evitar esses ataques DoS. Quando um respondente IKEv2 mantém um número limite de SAs IKE semiabertas, ele inicia o mecanismo de desafio de cookie. O respondente gera um cookie e o inclui na resposta enviada ao iniciador. Se o iniciador iniciar uma nova solicitação IKE_SA_INIT que contenha o cookie correto, o respondedor considerará o iniciador válido e prosseguirá com a negociação. Se o cookie carregado estiver incorreto, o respondente encerrará a negociação.

    O mecanismo de desafio de cookies para de funcionar automaticamente quando o número de IKE SAs entreabertas cai abaixo do limite.

    Rekeying de SA IKEv2

    Para fins de segurança, tanto as SAs IKE quanto as SAs IPsec têm um tempo de vida útil e devem ser rechaveadas quando esse tempo expirar. O tempo de vida de uma SA IKEv1 é negociado. O tempo de vida de uma SA IKEv2, por outro lado, é configurado. Se dois pares forem configurados com tempos de vida diferentes, o par com o tempo de vida mais curto sempre iniciará o rechaveamento da SA. Esse mecanismo reduz a possibilidade de dois pares iniciarem simultaneamente uma rechaveamento. O rekeying simultâneo resulta em SAs redundantes e inconsistência de status de SA nos dois pares.

    Retransmissão de mensagens IKEv2

    Diferentemente das mensagens IKEv1, as mensagens IKEv2 aparecem em pares de solicitação/resposta. O IKEv2 usa o campo Message ID no cabeçalho da mensagem para identificar o par solicitação/resposta. Se um iniciador enviar uma solicitação, mas não receber nenhuma resposta com o mesmo valor de ID de mensagem em um período específico, o iniciador retransmitirá a solicitação.

    É sempre o iniciador do IKEv2 que inicia a retransmissão, e a mensagem retransmitida deve usar o mesmo valor de ID de mensagem.

    Protocolos e padrões

    • RFC 2408, Associação de Segurança da Internet e Protocolo de Gerenciamento de Chaves (ISAKMP)
    • RFC 4306, Protocolo de troca de chaves da Internet (IKEv2)
    • RFC 4718, Esclarecimentos e diretrizes de implementação do IKEv2
    • RFC 2412, O protocolo de determinação de chaves OAKLEY
    • RFC 5996, Protocolo de troca de chaves da Internet versão 2 (IKEv2)

    Visão geral das tarefas do IKEv2

    Para configurar o IKEv2, execute as seguintes tarefas:

    • Configuração de um perfil IKEv2
      • Criação de um perfil IKEv2
      • Especificação dos métodos de autenticação de identidade local e remota
      • Configuração do conjunto de chaves IKEv2 ou do domínio PKI
      • Configuração da ID local para o perfil IKEv2
      • Configuração de IDs de pares para o perfil IKEv2
      • Configuração de recursos opcionais para o perfil IKEv2
      • Configuração de uma política IKEv2
    • Configuração de uma proposta IKEv2

    Se você especificar uma proposta IKEv2 em uma política IKEv2, deverá configurar a proposta IKEv2.

    • Configuração de um chaveiro IKEv2

    Essa tarefa é necessária quando uma ou ambas as extremidades usam o método de autenticação de chave pré-compartilhada.

    • (Opcional.) Ativação do recurso de desafio de cookies

    O recurso de desafio de cookies tem efeito somente nos respondedores IKEv2.

    • (Opcional.) Configuração do recurso IKEv2 DPD
    • (Opcional.) Configuração do recurso IKEv2 NAT keepalive

    Pré-requisitos para a configuração do IKEv2

    Determine os seguintes parâmetros antes da configuração do IKEv2:

    • A força dos algoritmos para negociação IKEv2, incluindo os algoritmos de criptografia, os algoritmos de proteção de integridade, os algoritmos PRF e os grupos DH. Algoritmos diferentes fornecem níveis diferentes de proteção. Um algoritmo mais forte significa melhor resistência à descriptografia de dados protegidos, mas exige mais recursos. Normalmente, quanto mais longa a chave, mais forte é o algoritmo.
    • Os métodos de autenticação de identidade local e remota.
      • Para usar o método de autenticação de chave pré-compartilhada, você deve determinar a chave pré-compartilhada.
      • Para usar o método de autenticação de assinatura digital RSA, você deve determinar o domínio de PKI a ser usado pela extremidade local. Para obter informações sobre a PKI, consulte "Configuração da PKI".

    Configuração de um perfil IKEv2

    Criação de um perfil IKEv2

    Sobre o perfil IKEv2

    O objetivo de um perfil IKEv2 é fornecer um conjunto de parâmetros para a negociação IKEv2.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Crie um perfil IKEv2 e entre em sua visualização.
    ikev2 profile profile-name

    Especificação dos métodos de autenticação de identidade local e remota

    Restrições e diretrizes

    Os métodos de autenticação de identidade local e remota devem ser especificados e podem ser diferentes. Você pode especificar apenas um método de autenticação de identidade local e vários métodos de autenticação de identidade remota.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Entre na visualização do perfil IKEv2.
    ikev2 profile profile-name
    • Especifique os métodos de autenticação de identidade local e remota.
    authentication-method { local | remote } { dsa-signature |
                     ecdsa-signature | pre-share | rsa-signature }

    Por padrão, nenhum método de autenticação de identidade local ou remota é configurado.

    Configuração do chaveiro IKEv2 ou do domínio PKI

    Restrições e diretrizes

    Configure o chaveiro IKEv2 ou o domínio PKI para o perfil IKEv2 a ser usado. Para usar a autenticação de assinatura digital, configure um domínio PKI. Para usar a autenticação de chave pré-compartilhada, configure um chaveiro IKEv2.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Entre na visualização do perfil IKEv2.
    ikev2 profile profile-name
    • Especifique o keychain para autenticação de chave pré-compartilhada ou o domínio PKI usado para solicitar um certificado para autenticação de assinatura digital.
      • Especifique o chaveiro.
    keychain keychain-name
    • Especifique o domínio PKI.
    certificate domain domain-name

    Por padrão, nenhum domínio de PKI ou chaveiro IKEv2 é especificado para um perfil IKEv2.

    Configuração da ID local para o perfil IKEv2

    Restrições e diretrizes

    Para autenticação de assinatura digital, o dispositivo pode usar um ID de qualquer tipo. Se o ID local for um endereço IP diferente do endereço IP no certificado local, o dispositivo usará o FQDN como ID local. O FQDN é o nome do dispositivo configurado usando o comando sysname.

    Para autenticação de chave pré-compartilhada, o dispositivo pode usar uma ID de qualquer tipo que não seja o DN.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Entre na visualização do perfil IKEv2.
    ikev2 profile profile-name
    • Configure a ID local.
    identity local { address { ipv4-address | ipv6 ipv6-address } | dn |
                     email email-string | fqdn fqdn-name | key-id key-id-string }

    Por padrão, nenhuma ID local é configurada, e o dispositivo usa o endereço IP da interface em que a política IPsec se aplica como ID local.

    Configuração de IDs de pares para o perfil IKEv2

    Sobre a configuração do ID de par

    Execute esta tarefa para configurar o ID do par para correspondência de perfil IKEv2. Quando o dispositivo precisa selecionar um perfil IKEv2 para negociação IKEv2 com um par, ele compara o ID de par recebido com os IDs de par de seus perfis IKE locais. Se for encontrada uma correspondência, ele usará o perfil IKEv2 com a ID de par correspondente para negociação. Os perfis IKEv2 serão comparados em ordem decrescente de suas prioridades.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Entre na visualização do perfil IKEv2.
    ikev2 profile profile-name
    • Configure uma ID de par.
    match remote { certificate policy-name | identity { address
                     { { ipv4-address [ mask | mask-length ] | range low-ipv4-address 
                     high-ipv4-address } | ipv6 { ipv6-address [ prefix-length ] | range
                     low-ipv6-address high-ipv6-address } } | fqdn fqdn-name | email
                     email-string | key-id key-id-string } }

    Você deve configurar no mínimo uma ID de par em cada um dos dois pares.

    Configuração de recursos opcionais para o perfil IKEv2

    • Entre na visualização do sistema.
    system view
    • Entre na visualização do perfil IKEv2.
    ikev2 profile profile-name
    • Configure os recursos opcionais conforme necessário.
      • Configurar o IKEv2 DPD.
    dpd interval interval [ retry seconds ] { on-demand | periodic }

    Por padrão, o IKEv2 DPD não está configurado para um perfil IKEv2 e um perfil IKEv2 usa as configurações de DPD definidas na visualização do sistema. Se o IKEv2 DPD também não estiver configurado na visualização do sistema, o dispositivo não realizará a detecção de pares IKEv2 mortos.

    • Especifique a interface local ou o endereço IP ao qual o perfil IKEv2 pode ser aplicado. match local address { interface-type interface-number | ipv4-address | ipv6 ipv6-address }

    Por padrão, um perfil IKEv2 pode ser aplicado a qualquer interface local ou endereço IP local.

    Use esse comando para especificar qual endereço ou interface pode usar o perfil IKEv2 para negociação IKEv2. Especifique o endereço local configurado na visualização da política IPsec ou do modelo de política IPsec (usando o comando local-address) para esse comando. Se nenhum endereço local estiver configurado, especifique o endereço IP da interface que usa a política IPsec.

    • Especifique uma prioridade para o perfil IKEv2.
    priority priority

    Por padrão, a prioridade de um perfil IKEv2 é 100.

    Quando o dispositivo precisa selecionar um perfil IKEv2 para negociação IKEv2 com um par, ele compara a ID do par recebida com a ID do par de seus perfis IKEv2 locais em ordem decrescente de prioridades

    • Defina o tempo de vida da SA IKEv2 para o perfil IKEv2.
    sa duration seconds

    Por padrão, o tempo de vida da SA do IKEv2 é de 86400 segundos.

    As extremidades local e remota podem usar diferentes tempos de vida da SA IKEv2 e não negociam o tempo de vida. A extremidade com um tempo de vida de SA menor iniciará uma negociação de SA quando o tempo de vida expirar.

    • Defina o intervalo IKEv2 NAT keepalive.
    nat-keepalive seconds

    Por padrão, é usada a configuração global IKEv2 NAT keepalive.

    Configure esse comando quando o dispositivo estiver atrás de um gateway NAT. O dispositivo envia pacotes NAT keepalive regularmente ao seu par para evitar que a sessão NAT seja envelhecida por não haver tráfego correspondente.

    • Ative o recurso de troca de configuração.
    config-exchange { request | set { accept | send } }

    Por padrão, todas as opções de troca de configuração estão desativadas.

    Esse recurso se aplica a cenários em que a sede e as filiais se comunicam por meio de túneis virtuais. Ele permite a troca de mensagens de solicitação e definição de endereço IP entre o gateway IPsec em uma filial e o gateway IPsec na sede.

    Tabela 2 Descrições dos parâmetros

    Parâmetro Descrição
    solicitação Permite que o gateway IPsec em uma filial envie mensagens de solicitação de endereço IP para o gateway IPsec na sede.
    definir aceitar Permite que o gateway IPsec em uma filial aceite os endereços IP enviados pelo gateway IPsec na sede.
    definir enviar Permite que o gateway IPsec da sede envie endereços IP para os gateways IPsec das filiais.

    Configuração de uma política IKEv2

    Sobre o mecanismo de seleção de políticas IKEv2

    Durante a troca IKE_SA_INIT, cada extremidade tenta encontrar uma política IKEv2 correspondente, usando o endereço IP do gateway de segurança local como critério de correspondência.

    • Se as políticas do IKEv2 estiverem configuradas, o IKEv2 procurará uma política do IKEv2 que use o endereço IP do gateway de segurança local. Se nenhuma política IKEv2 usar o endereço IP ou se a política estiver usando uma proposta incompleta, a troca IKE_SA_INIT falhará.
    • Se nenhuma política IKEv2 estiver configurada, o IKEv2 usará a política IKEv2 padrão do sistema.

    O dispositivo corresponde às políticas IKEv2 na ordem decrescente de suas prioridades. Para determinar a prioridade de uma política IKEv2:

    • Primeiro, o dispositivo examina a existência do comando match local address. Uma política IKEv2 com o comando match local address configurado tem uma prioridade mais alta.
    • Se houver empate, o dispositivo comparará os números de prioridade. Uma política IKEv2 com um número de prioridade menor tem uma prioridade mais alta.
    • Se ainda houver empate, o dispositivo dará preferência a uma política IKEv2 configurada anteriormente.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Crie uma política IKEv2 e entre em sua visualização.
    ikev2 policy policy-name

    Por padrão, existe uma política IKEv2 denominada default.

    • Especifique a interface ou o endereço local usado para a correspondência de políticas IKEv2.
    match local address { interface-type interface-number | ipv4-address |
                  ipv6 ipv6-address }

    Por padrão, nenhuma interface ou endereço local é usado para correspondência de política IKEv2, e a política corresponde a qualquer interface ou endereço local.

    • Especifique uma proposta IKEv2 para a política IKEv2.
    proposal proposal-name

    Por padrão, nenhuma proposta IKEv2 é especificada para uma política IKEv2.

    • Especifique uma prioridade para a política IKEv2.
    priority priority

    Por padrão, a prioridade de uma política IKEv2 é 100.

    Configuração de uma proposta IKEv2

    Sobre a proposta IKEv2

    Uma proposta IKEv2 contém parâmetros de segurança usados nas trocas IKE_SA_INIT, incluindo os algoritmos de criptografia, os algoritmos de proteção de integridade, os algoritmos PRF e os grupos DH. Um algoritmo especificado anteriormente tem uma prioridade mais alta.

    Restrições e diretrizes

    Uma proposta IKEv2 completa deve ter pelo menos um conjunto de parâmetros de segurança, incluindo um algoritmo de criptografia, um algoritmo de proteção de integridade, um algoritmo PRF e um grupo DH.

    Você pode especificar várias propostas IKEv2 para uma política IKEv2. Uma proposta especificada anteriormente tem uma prioridade mais alta.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Crie uma proposta IKEv2 e entre em sua visualização.
    ikev2 proposal proposal-name

    Por padrão, existe uma proposta IKEv2 denominada default.

    No modo não-FIPS, a proposta padrão usa as seguintes configurações:

    • Algoritmos de criptografia AES-CBC-128 e 3DES.
    • Algoritmos de proteção de integridade HMAC-SHA1 e HMAC-MD5.
    • Algoritmos PRF HMAC-SHA1 e HMAC-MD5.
    • Grupos DH 2 e 5.

    No modo FIPS, a proposta padrão usa as seguintes configurações:

    • Algoritmos de criptografia AES-CBC-128 e AES-CTR-128.
    • Algoritmos de proteção de integridade HMAC-SHA1 e HMAC-SHA256.
    • Algoritmos PRF HMAC-SHA1 e HMAC-SHA256.
    • Grupos DH 14 e 19.
    • Especifique os algoritmos de criptografia.

    No modo não-FIPS:

    encryption { 3des-cbc | aes-cbc-128 | aes-cbc-192 | aes-cbc-256 |
                  aes-ctr-128 | aes-ctr-192 | aes-ctr-256 | camellia-cbc-128 |
                  camellia-cbc-192 | camellia-cbc-256 | des-cbc } *

    No modo FIPS:

    encryption { aes-cbc-128 | aes-cbc-192 | aes-cbc-256 | aes-ctr-128 |
                  aes-ctr-192 | aes-ctr-256 } *

    Por padrão, uma proposta IKEv2 não tem nenhum algoritmo de criptografia.

  • Especifique os algoritmos de proteção de integridade.

    • No modo não-FIPS:

    integrity { aes-xcbc-mac | md5 | sha1 | sha256 | sha384 | sha512 }*

    No modo FIPS:

    integrity { sha1 | sha256 | sha384 | sha512 } *

    Por padrão, uma proposta IKEv2 não tem nenhum algoritmo de proteção de integridade.

    • Especifique os grupos DH.

    No modo não-FIPS:

    dh { group1 | group14 | group2 | group24 | group5 | group19 | group20 } *

    No modo FIPS:

    dh { group14 | group19 | group20 } *

    Por padrão, uma proposta IKEv2 não tem nenhum grupo DH.

    • Especifique os algoritmos PRF.

    No modo não-FIPS:

    prf { aes-xcbc-mac | md5 | sha1 | sha256 | sha384 | sha512 } *

    No modo FIPS:

    prf { sha1 | sha256 | sha384 | sha512 } *

    Por padrão, uma proposta IKEv2 usa os algoritmos de proteção de integridade como algoritmos PRF.

    Configuração de um chaveiro IKEv2

    Sobre o chaveiro IKEv2

    Um keychain IKEv2 especifica as chaves pré-compartilhadas usadas para a negociação IKEv2.

    Um chaveiro IKEv2 pode ter vários pares IKEv2. Cada par tem uma chave pré-compartilhada simétrica ou um par de chaves pré-compartilhadas assimétricas e informações para identificar o par (como o nome do host do par, o endereço IP ou o intervalo de endereços ou o ID).

    Um iniciador de negociação IKEv2 usa o nome do host do par ou o endereço IP/intervalo de endereços como critério de correspondência para procurar um par. Um respondente usa o endereço IP/intervalo de endereços ou ID do host do par como critério de correspondência para procurar um par.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Crie um chaveiro IKEv2 e entre em sua visualização.
    ikev2 keychain keychain-name
    • Crie um par IKEv2 e entre em sua visualização.
    peer name
    • Configure um nome de host para o par:
    hostname name

    Por padrão, nenhum nome de host é configurado para um par IKEv2.

    • Configure um endereço IP de host ou um intervalo de endereços para o par:
    address { ipv4-address [ mask | mask-length ] | ipv6 ipv6-address
                  [ prefix-length ] }

    Por padrão, nenhum endereço IP de host ou intervalo de endereços é configurado para um par IKEv2. Você deve configurar diferentes endereços IP de host/intervalos de endereços para diferentes pares.

    • Configure uma ID para o par:
    identity { address { ipv4-address | ipv6 { ipv6-address } } | fqdn
                  fqdn-name | email email-string | key-id key-id-string }

    Por padrão, nenhuma informação de identidade é configurada para um par IKEv2.

    • Configure uma chave pré-compartilhada para o par.
    pre-shared-key [ local | remote ] { ciphertext | plaintext } string

    Por padrão, um par IKEv2 não tem uma chave pré-compartilhada.

    Configurar parâmetros globais do IKEv2

    Ativação do recurso de desafio de cookies

    Sobre o recurso de desafio de cookies

    Habilite o desafio de cookies nos respondentes para protegê-los contra ataques de DoS que usam um grande número de endereços IP de origem para forjar solicitações IKE_SA_INIT.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Ativar o desafio do cookie IKEv2.
    ikev2 cookie-challenge number

    Por padrão, o desafio de cookies IKEv2 está desativado.

    Configuração do recurso IKEv2 DPD

    Sobre o IKEv2 DPD

    O IKEv2 DPD detecta pares IKEv2 mortos no modo periódico ou sob demanda.

    • DPD IKEv2 periódico - Verifica a vivacidade de um par IKEv2 enviando mensagens DPD em intervalos regulares.
    • IKEv2 DPD sob demanda - Verifica a vivacidade de um par IKEv2 enviando mensagens DPD antes de enviar dados.
      • Antes de enviar dados, o dispositivo identifica o intervalo de tempo em que o último pacote IPsec foi recebido do par. Se o intervalo de tempo exceder o intervalo DPD, ele enviará uma mensagem DPD ao par para detectar sua vivacidade.
      • Se o dispositivo não tiver dados para enviar, ele nunca enviará mensagens DPD.

    Restrições e diretrizes

    Se você configurar o IKEv2 DPD na visualização de perfil IKEv2 e na visualização do sistema, serão aplicadas as configurações do IKEv2 DPD na visualização de perfil IKEv2. Se você não configurar o IKEv2 DPD na visualização de perfil do IKEv2, serão aplicadas as configurações do IKEv2 DPD na visualização do sistema.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Configurar o IKEv2 DPD global.
    ikev2 dpd interval interval [ retry seconds ] { on-demand | periodic }

    Por padrão, o DPD global está desativado.

    Configuração do recurso IKEv2 NAT keepalive

    Sobre o recurso IKEv2 NAT keepalive

    Configure esse recurso no gateway IKEv2 atrás do dispositivo NAT. O gateway envia pacotes NAT keepalive regularmente ao seu par para manter a sessão NAT ativa, de modo que o par possa acessar o dispositivo.

    O intervalo NAT keepalive deve ser menor que o tempo de vida da sessão NAT. Esse recurso entra em vigor depois que o dispositivo detecta o dispositivo NAT.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Defina o intervalo IKEv2 NAT keepalive.
    ikev2 nat-keepalive seconds

    Por padrão, o intervalo IKEv2 NAT keepalive é de 10 segundos.

    Comandos de exibição e manutenção para IKEv2

    Execute comandos de exibição em qualquer visualização e redefina comandos na visualização do usuário.

    Tarefa Comando
    Exibir a configuração da política IKEv2. exibir política ikev2 [ nome da política | padrão ]
    Exibir a configuração do perfil IKEv2. exibir perfil ikev2 [ nome-do-perfil ]
    Tarefa Comando
    Exibir a configuração da proposta IKEv2. exibir proposta ikev2 [ nome | padrão ]
    Exibir as informações do IKEv2 SA. display ikev2 sa [ count | [ { local | remoto } { ipv4-address | ipv6 ipv6-address } ] [ verbose [ tunnel tunnel-id ] ] ]
    Exibir estatísticas do IKEv2. exibir estatísticas ikev2
    Excluir SAs IKEv2 e as SAs secundárias negociadas por meio das SAs IKEv2. reset ikev2 sa [ [ { local | remoto } { ipv4-address | ipv6 ipv6-address } ] | tunnel tunnel-id ] [ fast ]
    Limpar estatísticas do IKEv2. reset ikev2 statistics

    Solução de problemas do IKEv2

    A negociação IKEv2 falhou porque não foram encontradas propostas IKEv2 correspondentes

    Sintoma

    A SA do IKEv2 está no status IN-NEGO.

    <Sysname> display ikev2 sa
                     Tunnel ID Local Remote Status
                     ---------------------------------------------------------------------------
                     5 123.234.234.124/500 123.234.234.123/500 IN-NEGO
                     Status:
                     IN-NEGO: Negotiating, EST: Established, DEL:Deleting

    Análise

    Determinadas configurações de proposta IKEv2 estão incorretas.

    Solução

    • Examine a configuração da proposta IKEv2 para ver se as duas extremidades têm propostas IKEv2 correspondentes.
    • Modifique a configuração da proposta IKEv2 para garantir que as duas extremidades tenham propostas IKEv2 correspondentes.

    A negociação da SA IPsec falhou porque não foram encontrados conjuntos de transformação IPsec correspondentes

    Sintoma

    O comando display ikev2 sa mostra que a negociação da SA IKEv2 foi bem-sucedida e que a SA IKEv2 está no status EST. O comando display ipsec sa mostra que as SAs IPsec esperadas ainda não foram negociadas.

    Análise

    Algumas configurações da política IPsec estão incorretas.

    Solução

    • Examine a configuração do IPsec para ver se as duas extremidades têm conjuntos correspondentes de transformação do IPsec .
    • Modifique a configuração do IPsec para garantir que as duas extremidades tenham conjuntos de transformação IPsec correspondentes.

    Falha no estabelecimento do túnel IPsec

    Sintoma

    As ACLs e as propostas IKEv2 estão configuradas corretamente em ambas as extremidades. As duas extremidades não podem estabelecer um túnel IPsec ou não podem se comunicar por meio do túnel IPsec estabelecido.

    Análise

    As SAs IKEv2 ou IPsec em ambas as extremidades são perdidas. O motivo pode ser o fato de a rede estar instável e o dispositivo ser reinicializado.

    Solução

    • Use o comando display ikev2 sa para examinar se existe uma SA IKEv2 em ambas as extremidades. Se a SA IKEv2 em uma extremidade for perdida, exclua a SA IKEv2 na outra extremidade usando o comando reset ikev2 sa e acione uma nova negociação. Se houver uma SA IKEv2 em ambas as extremidades, vá para a próxima etapa.
    • Use o comando display ipsec sa para examinar se existem SAs IPsec em ambas as extremidades. Se as SAs de IPsec em uma extremidade forem perdidas, exclua as SAs de IPsec na outra extremidade usando o comando reset ipsec sa e acione uma nova negociação.

    Configuração de SSH

    Sobre o SSH

    O Secure Shell (SSH) é um protocolo de segurança de rede. Usando criptografia e autenticação, o SSH pode implementar acesso remoto seguro e transferência de arquivos em uma rede insegura.

    O SSH usa o modelo cliente-servidor típico para estabelecer um canal para transferência segura de dados com base no TCP.

    O SSH inclui duas versões: SSH1.x e SSH2.0 (doravante denominadas SSH1 e SSH2), que não são compatíveis. O SSH2 é melhor que o SSH1 em termos de desempenho e segurança.

    Aplicativos SSH

    O dispositivo é compatível com os seguintes aplicativos SSH:

    • Telnet seguro - O Stelnet fornece serviços de acesso a terminais de rede seguros e confiáveis. Por meio da Stelnet, um usuário pode fazer login com segurança em um servidor remoto. A Stelnet pode proteger os dispositivos contra ataques, como falsificação de IP e interceptação de senhas de texto simples. O dispositivo pode atuar como um servidor Stelnet ou um cliente Stelnet.
    • Protocolo de transferência segura de arquivos - Baseado no SSH2, o SFTP usa conexões SSH para oferecer transferência segura de arquivos. O dispositivo pode atuar como um servidor SFTP, permitindo que um usuário remoto faça login no servidor SFTP para gerenciamento e transferência seguros de arquivos. O dispositivo também pode atuar como um cliente SFTP, permitindo que um usuário faça login do dispositivo em um dispositivo remoto para transferência segura de arquivos.
    • Cópia segura - Baseado no SSH2, o SCP oferece um método seguro para copiar arquivos. O dispositivo pode atuar como um servidor SCP, permitindo que um usuário faça login no dispositivo para fazer upload e download de arquivos. O dispositivo também pode atuar como um cliente SCP, permitindo que um usuário faça login no dispositivo para um dispositivo remoto para transferência segura de arquivos.
    • NETCONF sobre SSH - Baseado no SSH2, ele permite que os usuários façam login com segurança no dispositivo por meio do SSH e executem operações NETCONF no dispositivo por meio do

    Conexões NETCONF-over-SSH. O dispositivo pode atuar apenas como um servidor NETCONF-over-SSH. Para obter mais informações sobre o NETCONF, consulte o Guia de configuração de monitoramento e gerenciamento de rede.

    Ao atuar como um servidor ou cliente SSH, o dispositivo é compatível com as seguintes versões de SSH:

    • Ao atuar como servidor Stelnet, SFTP ou SCP, o dispositivo suporta SSH2 e SSH1 no modo não-FIPS e somente SSH2 no modo FIPS.
    • Ao atuar como um cliente SSH, o dispositivo suporta apenas SSH2.
    • Ao atuar como um servidor NETCONF-over-SSH, o dispositivo suporta apenas SSH2.

    Como o SSH funciona

    Esta seção usa o SSH2 como exemplo para descrever as etapas para estabelecer uma sessão SSH.

    Tabela 1 Etapas para estabelecer uma sessão SSH

    Estágios Descrição
    Estabelecimento de conexão O servidor SSH escuta as solicitações de conexão na porta 22. Depois que um cliente inicia uma solicitação de conexão, o servidor e o cliente estabelecem uma conexão TCP.
    Negociação de versão As duas partes determinam uma versão a ser usada.
    Estágios Descrição
    Negociação de algoritmos O SSH é compatível com vários algoritmos. Com base nos algoritmos locais, as duas partes negociam os seguintes algoritmos: Algoritmo de troca de chaves para gerar chaves de sessão. Algoritmo de criptografia para criptografar dados. Algoritmo de chave pública para assinatura digital e autenticação. Algoritmo HMAC para proteger a integridade dos dados.
    Troca de chaves As duas partes usam o algoritmo de troca de DH para gerar dinamicamente as chaves de sessão e o ID da sessão. As chaves de sessão são usadas para proteger a transferência de dados. A ID da sessão é usada para identificar a conexão SSH. Nesse estágio, o cliente também autentica o servidor.
    Autenticação O servidor SSH autentica o cliente em resposta à solicitação de autenticação do cliente.
    Solicitação de sessão Depois de passar pela autenticação, o cliente envia uma solicitação de sessão ao servidor para solicitar o estabelecimento de uma sessão (ou solicitar o serviço Stelnet, SFTP, SCP ou NETCONF).
    Interação Depois que o servidor concede a solicitação, o cliente e o servidor começam a se comunicar um com o outro na sessão. Nesse estágio, você pode colar comandos em formato de texto e executá-los na CLI. O texto colado de uma só vez não deve ter mais de 2000 bytes. Como prática recomendada para garantir a execução correta dos comandos, cole comandos que estejam na mesma visualização. Para executar comandos com mais de 2000 bytes, salve os comandos em um arquivo de configuração, carregue o arquivo no servidor por meio de SFTP e use-o para reiniciar o servidor.

    Métodos de autenticação SSH

    Esta seção descreve os métodos de autenticação que são compatíveis com o dispositivo quando ele atua como um servidor SSH.

    Autenticação por senha

    O servidor SSH autentica um cliente por meio do mecanismo AAA. O processo de autenticação de senha é o seguinte:

    • O cliente envia ao servidor uma solicitação de autenticação que inclui o nome de usuário criptografado e a senha.
    • O servidor executa as seguintes operações:
      • Descriptografa a solicitação para obter o nome de usuário e a senha em texto simples.
      • Verifica o nome de usuário e a senha localmente ou por meio de autenticação AAA remota.
      • Informa o cliente sobre o resultado da autenticação.

    Se o servidor AAA remoto exigir que o usuário digite uma senha para autenticação secundária, ele enviará ao servidor SSH uma resposta de autenticação com um prompt. O prompt é transmitido de forma transparente ao cliente para notificar o usuário a digitar uma senha específica. Quando o usuário digita a senha correta, o servidor AAA examina a validade da senha. Se a senha for válida, o servidor SSH retorna uma mensagem de sucesso de autenticação para o cliente.

    Os clientes SSH1 não são compatíveis com a autenticação de senha secundária iniciada pelo servidor AAA. Para obter mais informações sobre o AAA, consulte "Configuração do AAA".

    Autenticação interativa do teclado

    Na autenticação interativa por teclado, o servidor de autenticação remota e o usuário trocam informações sobre para autenticação da seguinte forma:

    • O servidor de autenticação remota envia um prompt para o servidor SSH em uma resposta de autenticação .

    O prompt indica as informações que devem ser fornecidas pelo usuário.

    • O servidor SSH transmite de forma transparente o prompt para o terminal do cliente.
    • O usuário insere as informações necessárias conforme solicitado.

    Esse processo se repete várias vezes se o servidor de autenticação remota exigir mais informações interativas. O servidor de autenticação remota retorna uma mensagem de sucesso de autenticação depois que o usuário fornece todas as informações interativas necessárias.

    Se o servidor de autenticação remota não exigir informações interativas, o processo de autenticação interativa por teclado será igual ao da autenticação por senha.

    Autenticação de chave pública

    O servidor autentica um cliente verificando a assinatura digital do cliente. O processo de autenticação de chave pública é o seguinte:

    • O cliente envia ao servidor uma solicitação de autenticação de chave pública que inclui o nome de usuário, a chave pública e o nome do algoritmo da chave pública.

    Se o certificado digital do cliente for exigido na autenticação, o cliente também encapsulará o certificado digital na solicitação de autenticação. O certificado digital contém as informações da chave pública do cliente.

    • O servidor verifica a chave pública do cliente.
      • Se a chave pública for inválida, o servidor informará ao cliente sobre a falha na autenticação.
      • Se a chave pública for válida, o servidor solicitará a assinatura digital do cliente. Após receber a assinatura, o servidor usa a chave pública para verificar a assinatura e informa ao cliente o resultado da autenticação.

    Ao atuar como um servidor SSH, o dispositivo suporta o uso dos algoritmos de chave pública DSA, ECDSA e RSA para verificar assinaturas digitais.

    Ao atuar como um cliente SSH, o dispositivo suporta o uso dos algoritmos de chave pública DSA, ECDSA e RSA para gerar assinaturas digitais.

    Para obter mais informações sobre a configuração de chaves públicas, consulte "Gerenciamento de chaves públicas".

    Autenticação por senha e chave pública

    O servidor exige que os clientes SSH2 passem tanto pela autenticação de senha quanto pela autenticação de chave pública. No entanto, um cliente SSH1 só precisa passar por uma das autenticações.

    Qualquer autenticação

    O servidor exige que os clientes passem pela autenticação interativa de teclado, autenticação de senha ou autenticação de chave pública. O sucesso com qualquer um dos métodos de autenticação é suficiente para a conexão com o servidor.

    Suporte SSH para a Suíte B

    O Suite B contém um conjunto de algoritmos de criptografia e autenticação que atendem a requisitos de alta segurança. A Tabela 2 lista todos os algoritmos do Suite B.

    O servidor e o cliente SSH suportam o uso do certificado X.509v3 para autenticação de identidade em conformidade com as especificações de algoritmo, negociação e autenticação definidas na RFC 6239.

    Tabela 2 Algoritmos do conjunto B

    Nível de segurança Algoritmo de troca de chaves Algoritmo de criptografia e algoritmo HMAC Algoritmo de chave pública
    128 bits ecdh-sha2-nistp256 AES128-GCM x509v3-ecdsa-sha2-nistp256
    192 bits ecdh-sha2-nistp384 AES256-GCM x509v3-ecdsa-sha2-nistp384
    Ambos ecdh-sha2-nistp256 ecdh-sha2-nistp384 AES128-GCM AES256-GCM x509v3-ecdsa-sha2-nistp256 x509v3-ecdsa-sha2-nistp384

    Conformidade com FIPS

    O dispositivo é compatível com o modo FIPS que atende aos requisitos do NIST FIPS 140-2. O suporte a recursos, comandos e parâmetros pode ser diferente no modo FIPS e no modo não-FIPS. Para obter mais informações sobre o modo FIPS, consulte "Configuração de FIPS".

    Configuração do dispositivo como um servidor SSH

    Visão geral das tarefas do servidor SSH

    Para configurar um servidor SSH, execute as seguintes tarefas:

    • Geração de pares de chaves locais
    • (Opcional.) Especificação da porta de serviço SSH
    • Ativação do servidor SSH
      • Ativação do servidor Stelnet
      • Ativação do servidor SFTP
      • Ativação do servidor SCP
      • Habilitação do NETCONF por SSH
      • Configuração das linhas de usuário para login SSH

      Necessário somente para servidores Stelnet e NETCONF-over-SSH.

    • Configuração da chave pública do host de um cliente

    Necessário para o método de autenticação publickey, password-publickey ou any.

    • Configuração de um usuário SSH
      • Necessário para o método de autenticação keyboard-interactive, publickey, password-publickey ou any.
      • Opcional para o método de autenticação por senha.
      • (Opcional.) Configuração dos parâmetros de gerenciamento de SSH

      As configurações de gerenciamento de SSH, como as de autenticação e controle de conexão, ajudam a melhorar a segurança das conexões SSH.

    • (Opcional.) Especificação de um domínio PKI para o servidor SSH
    • (Opcional.) Desconectar sessões SSH

    Geração de pares de chaves locais

    Sobre pares de chaves locais

    Os pares de chaves DSA, ECDSA ou RSA no servidor SSH são necessários para gerar as chaves de sessão e o ID da sessão no estágio de troca de chaves. Eles também podem ser usados por um cliente para autenticar o servidor. Quando um cliente autentica o servidor, ele compara a chave pública recebida do servidor com a chave pública do servidor que o cliente salvou localmente. Se as chaves forem consistentes, o cliente usará a chave pública do servidor salva localmente para descriptografar a assinatura digital recebida do servidor. Se a descriptografia for bem-sucedida, o servidor será aprovado na autenticação.

    Para oferecer suporte a clientes SSH que usam diferentes tipos de pares de chaves, gere pares de chaves DSA, ECDSA e RSA no servidor SSH.

    • Pares de chaves RSA - O servidor SSH gera um par de chaves de servidor e um par de chaves de host para RSA. O par de chaves do servidor RSA é usado somente no SSH1 para criptografar a chave de sessão para a transmissão segura da chave de sessão. Ele não é usado no SSH2, pois não é necessária nenhuma transmissão de chave de sessão no SSH2.
    • Par de chaves DSA - O servidor SSH gera somente um par de chaves de host DSA. O SSH1 não é compatível com o algoritmo DSA.
    • Par de chaves ECDSA - O servidor SSH gera apenas um par de chaves de host ECDSA.

    Restrições e diretrizes

    Os pares de chaves locais DSA, ECDSA e RSA para SSH usam nomes padrão. Não é possível atribuir nomes aos pares de chaves.

    Se o dispositivo não tiver pares de chaves RSA com nomes padrão, ele gerará automaticamente um par de chaves de servidor RSA e um par de chaves de host RSA quando o SSH for iniciado. Os dois pares de chaves usam seus nomes padrão. O aplicativo SSH é iniciado quando você executa um comando de servidor SSH no dispositivo.

    O comprimento do módulo da chave deve ser inferior a 2048 bits quando você gerar o par de chaves DSA no servidor SSH.

    Ao gerar um par de chaves ECDSA, você pode gerar apenas um par de chaves ECDSA secp256r1 ou secp384r1.

    O servidor SSH operando no modo FIPS suporta apenas pares de chaves ECDSA e RSA. Não gere um par de chaves DSA no servidor SSH no modo FIPS.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Gerar pares de chaves locais.
    public-key local create { dsa | ecdsa { secp256r1 | secp384r1 } | rsa }

    Especificação da porta de serviço SSH

    Sobre a porta de serviço SSH

    A porta padrão do serviço SSH é 22. Você pode especificar outra porta para o serviço SSH para melhorar a segurança das conexões SSH.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Especifique a porta do serviço SSH.
    ssh server port port-number

    CUIDADO:

    • Se você modificar o número da porta SSH quando o servidor SSH estiver ativado, o serviço SSH será reiniciado e todas as conexões SSH serão encerradas após a modificação. Os usuários de SSH devem se reconectar ao servidor SSH para acessar o servidor.
    • Se você definir a porta SSH como um número de porta conhecido, o serviço que usa o número de porta conhecido

    pode não iniciar. Os números de porta bem conhecidos estão no intervalo de 1 a 1024.

    Por padrão, a porta de serviço SSH é 22.

    Ativação do servidor Stelnet

    Sobre a ativação do servidor Stelnet

    Depois que você ativar o servidor Stelnet no dispositivo, um cliente poderá fazer login no dispositivo por meio do Stelnet.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Habilite o servidor Stelnet.
    ssh server enable

    Por padrão, o servidor Stelnet está desativado.

    Ativação do servidor SFTP

    Sobre a ativação do servidor SFTP

    Depois que você ativar o servidor SFTP no dispositivo, um cliente poderá fazer login no dispositivo por meio do SFTP.

    Restrições e diretrizes

    Ao atuar como um servidor SFTP, o dispositivo não oferece suporte a conexões SFTP iniciadas por clientes SSH1.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Habilite o servidor SFTP.
    sftp server enable

    Por padrão, o servidor SFTP está desativado.

    Ativação do servidor SCP

    Sobre a ativação do servidor SCP

    Depois que você ativar o servidor SCP no dispositivo, um cliente poderá fazer login no dispositivo por meio do SCP.

    Restrições e diretrizes

    Ao atuar como um servidor SCP, o dispositivo não oferece suporte a conexões SCP iniciadas por clientes SSH1 .

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Habilite o servidor SCP.
    scp server enable

    Por padrão, o servidor SCP está desativado.

    Habilitação do NETCONF por SSH

    Sobre a ativação do NETCONF por SSH

    Depois que você ativar o NETCONF sobre SSH no dispositivo, um cliente poderá executar operações do NETCONF no dispositivo por meio de uma conexão NETCONF sobre SSH.

    Restrições e diretrizes

    Ao atuar como servidor na conexão NETCONF-over-SSH, o dispositivo não é compatível com as solicitações de conexão iniciadas por clientes SSH1.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Habilite o NETCONF por SSH.
    netconf ssh server enable

    Por padrão, o NETCONF sobre SSH está desativado.

    Para obter mais informações sobre os comandos NETCONF sobre SSH, consulte Gerenciamento de rede e Referência de comandos de monitoramento.

    Configuração das linhas de usuário para login SSH

    Sobre a configuração da linha do usuário para login SSH

    Dependendo do aplicativo SSH, um cliente SSH pode ser um cliente Stelnet, cliente SFTP, cliente SCP ou cliente NETCONF-over-SSH.

    Somente os clientes Stelnet e NETCONF-over-SSH exigem a configuração da linha do usuário. A configuração da linha do usuário entra em vigor nos clientes no próximo login.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Entre na visualização de linha de usuário VTY.
    line vty number [ ending-number ]
    • Defina o modo de autenticação de login como esquema.
    authentication-mode scheme

    Por padrão, o modo de autenticação é a senha.

    Para obter mais informações sobre esse comando, consulte Referência de comandos dos fundamentos.

    Configuração da chave pública do host de um cliente

    Sobre a chave pública do host do cliente

    Na autenticação de chave pública, o servidor compara o nome de usuário SSH e a chave pública do host do cliente recebidos do cliente com o nome de usuário SSH salvo localmente e a chave pública do host do cliente. Se forem iguais, o servidor verifica a assinatura digital que o cliente envia. O cliente gera a assinatura digital usando a chave privada que está emparelhada com a chave pública do host do cliente.

    Para autenticação por chave pública, autenticação por senha e chave pública ou qualquer autenticação, você deve executar as seguintes tarefas:

    • Configure a chave pública do host DSA, ECDSA ou RSA do cliente no servidor.
    • Especifique a chave privada do host associada no cliente para gerar a assinatura digital.

    Se o dispositivo atuar como um cliente SSH, especifique o algoritmo de chave pública no cliente. O algoritmo determina a chave privada do host associada para gerar a assinatura digital.

    Métodos de configuração da chave pública do cliente

    Você pode configurar a chave pública do host cliente usando os seguintes métodos:

    • Insira manualmente o conteúdo da chave pública do host de um cliente no servidor.
      • Exiba a chave pública do host no cliente e registre a chave.
      • Digite a chave pública do host do cliente, caractere por caractere, no servidor, ou use o método de copiar e colar.

    A chave inserida manualmente deve estar no formato DER sem ser convertida. Para que a chave exibida atenda ao requisito quando o cliente for um dispositivo Intelbras, use a opção de exibição

    comando public-key local public. O formato da chave pública exibido de qualquer outra forma (por exemplo, usando o comando public-key local export) pode estar incorreto. Se a chave não estiver no formato correto, o sistema a descartará.

    • Importar a chave pública do host do cliente de um arquivo de chave pública.
      • Salve o arquivo de chave pública do cliente no servidor. Por exemplo, transfira o arquivo de chave pública do cliente para o servidor em modo binário por meio de FTP ou TFTP.
      • Importe a chave pública do cliente do arquivo de chave pública salvo localmente.

    Durante o processo de importação, o servidor converte automaticamente a chave pública do host em uma cadeia de caracteres no formato PKCS.

    Restrições e diretrizes

    Como prática recomendada, configure não mais do que 20 chaves públicas de host de clientes SSH em um servidor SSH. Importe a chave pública do host do cliente como prática recomendada.

    Inserção da chave pública do host de um cliente

    • Entre na visualização do sistema.
    system view
    • Digite a visualização da chave pública.
    public-key peer keyname
    • Configurar a chave pública do host de um cliente.

    Digite o conteúdo da chave pública do host do cliente, caractere por caractere, ou use o método de copiar e colar.

    Ao inserir o conteúdo da chave pública do host de um cliente, você pode usar espaços e retornos de carro entre os caracteres, mas o sistema não os salva. Para obter mais informações, consulte "Gerenciamento de chaves públicas".

    • Saia da visualização da chave pública e salve a chave.
    peer-public-key end

    Importar a chave pública do host de um cliente do arquivo de chave pública

    • Entre na visualização do sistema.
    system view
    • Importar a chave pública de um cliente do arquivo de chave pública.
    public-key peer keyname import sshkey filename

    Configuração de um usuário SSH

    Sobre o usuário SSH

    Configure um usuário SSH e um usuário local, dependendo do método de autenticação.

    • Se o método de autenticação for publickey, você deverá criar um usuário SSH e um usuário local no servidor SSH. Os dois usuários devem ter o mesmo nome de usuário, para que o usuário SSH possa receber o diretório de trabalho e a função de usuário corretos.
    • Se o método de autenticação for a senha, você deverá executar uma das seguintes tarefas:
      • Para autenticação local, configure um usuário local no servidor SSH.
      • Para autenticação remota, configure um usuário SSH em um servidor de autenticação remota, por exemplo, um servidor RADIUS.

    Não é necessário criar um usuário SSH usando o comando ssh user. No entanto, se quiser exibir todos os usuários SSH, inclusive os usuários SSH somente com senha, para gerenciamento centralizado, poderá usar esse comando para criá-los. Se esse usuário SSH tiver sido criado, certifique-se de ter especificado o tipo de serviço e o método de autenticação corretos.

    • Se o método de autenticação for teclado-interativo, senha-chave pública ou qualquer outro, você deverá criar um usuário SSH no servidor SSH e executar uma das seguintes tarefas:
      • Para autenticação local, configure um usuário local no servidor SSH.
      • Para autenticação remota, configure um usuário SSH em um servidor de autenticação remota, por exemplo, um servidor RADIUS.

    Em ambos os casos, o usuário local ou o usuário SSH configurado no servidor de autenticação remoto deve ter o mesmo nome de usuário que o usuário SSH.

    Para obter informações sobre a configuração de usuários locais e autenticação remota, consulte "Configuração de AAA".

    Restrições e diretrizes

    Se você alterar os parâmetros de autenticação de um usuário SSH conectado, a alteração entrará em vigor para o usuário no próximo login.

    Quando o dispositivo opera como um servidor SSH no modo FIPS, ele não oferece suporte ao método de autenticação any ou publickey.

    Para um usuário SFTP ou SCP, o diretório de trabalho depende do método de autenticação.

    • Se o método de autenticação for publickey ou password-publickey, a pasta de trabalho será especificada pelo comando authorization-attribute na visualização do usuário local associado.
    • Se o método de autenticação for teclado-interativo ou senha, o diretório de trabalho será autorizado pelo AAA.

    Para um usuário SSH, a função do usuário também depende do método de autenticação.

    • Se o método de autenticação for publickey ou password-publickey, a função do usuário será especificada pelo comando authorization-attribute na visualização do usuário local associado.
    • Se o método de autenticação for teclado-interativo ou senha, a função do usuário será autorizada pelo AAA.

    Para todos os métodos de autenticação, exceto a autenticação interativa por teclado e a autenticação por senha, você deve especificar a chave pública ou o certificado digital do host do cliente.

    • Para um cliente que envia as informações da chave pública do usuário diretamente para o servidor, especifique a chave pública do host do cliente no servidor. A chave pública especificada já deve existir. Para obter mais informações sobre chaves públicas, consulte "Configuração da chave pública do host de um cliente". Se você especificar várias chaves públicas de cliente, o dispositivo verificará a identidade do usuário usando as chaves públicas na ordem em que foram especificadas. O usuário é válido se for aprovado em uma verificação de chave pública.
    • Para um cliente que envia as informações da chave pública do usuário para o servidor por meio de um certificado digital, especifique o domínio de PKI no servidor. Esse domínio de PKI verifica o certificado digital do cliente. Para que a verificação seja bem-sucedida, o domínio PKI especificado deve ter o certificado CA correto. Para

    Procedimento

    Especifique o domínio da PKI, use o comando ssh user ou ssh server pki-domain. Para obter mais informações sobre a configuração de um domínio de PKI, consulte "Configuração de PKI".

    • Entre na visualização do sistema.
    system view
    • Crie um usuário SSH e especifique o tipo de serviço e o método de autenticação. No modo não-FIPS:
    ssh user username service-type { all | netconf | scp | sftp | stelnet }
                     authentication-type { keyboard-interactive | password | { any |
                     password-publickey | publickey } [ assign { pki-domain domain-name |
                     publickey keyname&<1-6> } ] }

    No modo FIPS:

    ssh user username service-type { all | netconf | scp | sftp | stelnet }

    ssh user username service-type { all | netconf | scp | sftp | stelnet }
                     authentication-type { keyboard-interactive | password |
                     password-publickey [ assign { pki-domain domain-name | publickey
                     keyname&<1-6> } ] }

    Um servidor SSH suporta até 1024 usuários SSH.

    Configuração dos parâmetros de gerenciamento de SSH

    Ativação do servidor SSH para dar suporte a clientes SSH1

    • Entre na visualização do sistema.
    system view
    • Habilite o servidor SSH para oferecer suporte a clientes SSH1.
    ssh server compatible-ssh1x enable

    Por padrão, o servidor SSH não oferece suporte a clientes SSH1. Esse comando não está disponível no modo FIPS.

    Ativação da renegociação do algoritmo SSH e da troca de chaves

    • Entre na visualização do sistema.
    system view
    • Habilite a renegociação do algoritmo SSH e a troca de chaves.
    ssh server key-re-exchange enable [ interval interval ]

    Por padrão, a renegociação do algoritmo SSH e a troca de chaves estão desativadas. Esse comando não está disponível no modo FIPS.

    O comando entra em vigor somente em novas conexões SSH estabelecidas depois que o comando é configurado e não afeta as conexões SSH existentes.

    Definição do intervalo mínimo para atualização do par de chaves do servidor RSA

    • Entre na visualização do sistema.
    system view
    • Defina o intervalo mínimo para atualizar o par de chaves do servidor RSA.
    ssh server rekey-interval interval

    Por padrão, o dispositivo não atualiza o par de chaves do servidor RSA. Esse comando não está disponível no modo FIPS.

    Essa configuração entra em vigor somente em clientes SSH1.

    Configuração do timer de tempo limite de autenticação do usuário SSH

    • Entre na visualização do sistema.
    system view
    • Defina o temporizador de tempo limite de autenticação do usuário SSH.
    ssh server authentication-timeout time-out-value

    A configuração padrão é 60 segundos.

    Execute essa tarefa para evitar a ocupação mal-intencionada de conexões TCP. Se um usuário não terminar a autenticação quando o timer de tempo limite expirar, a conexão não poderá ser estabelecida.

    Definição do número máximo de tentativas de autenticação SSH

    • Entre na visualização do sistema.
    system view
    • Defina o número máximo de tentativas de autenticação SSH. 
    ssh server authentication-retries retries

    A configuração padrão é 3.

    Execute essa tarefa para evitar a invasão mal-intencionada de nomes de usuário e senhas. Se o método de autenticação for qualquer um, o número total de tentativas de autenticação de chave pública e de autenticação de senha não poderá exceder o limite superior.

    Especificação de uma ACL de controle de login SSH

    • Entre na visualização do sistema.
    system view
    • Especifique uma ACL de controle de login SSH. IPv4:
    ssh server acl { advanced-acl-number | basic-acl-number | mac
                     mac-acl-number }

    IPv6:

    ssh server ipv6 acl { ipv6 { advanced-acl-number | basic-acl-number }
                     | mac mac-acl-number }

    Esse recurso usa uma ACL para filtrar clientes SSH que iniciam conexões SSH com o servidor. Por padrão, nenhuma ACL é especificada e todos os usuários de SSH podem iniciar conexões SSH com o servidor.

    Ativação do registro de tentativas de login SSH que são negadas pela ACL de controle de login SSH

    • Entre na visualização do sistema.
    system view
    • Ative o registro de tentativas de login de SSH que são negadas pela ACL de controle de login de SSH.
    ssh server acl-deny-log enable

    Por padrão, o registro é desativado para tentativas de login que são negadas pela ACL de controle de login do SSH.

    Esse comando permite que o SSH gere mensagens de log para tentativas de login do SSH que são negadas pela ACL de controle de login do SSH e envie as mensagens para o centro de informações.

    Configuração do valor DSCP nos pacotes que o servidor SSH envia aos clientes SSH

    • Entre na visualização do sistema.
    system view
    • Defina o valor DSCP nos pacotes que o servidor SSH envia para os clientes SSH. IPv4:
    ssh server dscp dscp-value

    IPv6:

    ssh server ipv6 dscp dscp-value

    Por padrão, o valor DSCP dos pacotes SSH é 48.

    O valor DSCP de um pacote define a prioridade do pacote e afeta a prioridade de transmissão do pacote. Um valor DSCP maior representa uma prioridade mais alta.

    Configuração do temporizador de tempo limite ocioso da conexão SFTP

    • Entre na visualização do sistema.
    system view
    • Defina o temporizador de tempo limite de inatividade da conexão SFTP.
    <
    sftp server idle-timeout time-out-value

    Por padrão, o tempo limite de inatividade da conexão SFTP é de 10 minutos.

    Quando o cronômetro de tempo limite de ociosidade da conexão SFTP expira, o sistema automaticamente interrompe a conexão e libera os recursos da conexão.

    Definição do número máximo de usuários SSH on-line

    • Entre na visualização do sistema.
    system view
    • Defina o número máximo de usuários SSH on-line. 
    aaa session-limit ssh max-sessions

    A configuração padrão é 32.

    Quando o número de usuários de SSH on-line atinge o limite superior, o sistema nega novas solicitações de conexão SSH. A alteração do limite superior não afeta os usuários de SSH on-line.

    Para obter mais informações sobre esse comando, consulte Comandos AAA em Referência de comandos de segurança.

    Especificação de um domínio PKI para o servidor SSH

    Sobre a especificação de um domínio PKI para o servidor SSH

    O domínio PKI especificado para o servidor SSH tem as seguintes funções:

    • O servidor SSH usa o domínio PKI para enviar seu certificado ao cliente no estágio de troca de chaves.
    • O servidor SSH usa o domínio PKI para autenticar o certificado do cliente se nenhum domínio PKI for especificado para a autenticação do cliente usando o comando ssh user.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Especifique um domínio PKI para o servidor SSH.
    ssh server pki-domain domain-name

    Por padrão, nenhum domínio PKI é especificado para o servidor SSH.

    Desconexão de sessões SSH

    Sobre a desconexão de sessões SSH

    O dispositivo suporta sessões de login simultâneas. Para evitar que um usuário de login SSH interfira na sua configuração, você pode desconectar esse usuário de login SSH.

    Procedimento

    Execute o seguinte comando na visualização do usuário para desconectar as sessões SSH:

    free ssh { user-ip { ip-address | ipv6 ipv6-address } [ port port-number ] |
                     user-pid pid-number | username username }

    Configuração do dispositivo como um cliente Stelnet

    Visão geral das tarefas do cliente Stelnet

    Para configurar um cliente Stelnet, execute as seguintes tarefas:

    • Geração de pares de chaves locais

    Necessário somente para o método de autenticação publickey, password-publickey ou any.

    • (Opcional.) Especificar o endereço IP de origem para pacotes SSH de saída
    • Estabelecimento de uma conexão com um servidor Stelnet
    • (Opcional.) Exclusão das chaves públicas do servidor salvas no arquivo de chaves públicas no cliente Stelnet
    • (Opcional.) Estabelecimento de uma conexão com um servidor Stelnet baseado na Suíte B

    Geração de pares de chaves locais

    Sobre a geração de pares de chaves locais

    Você deve gerar pares de chaves locais em clientes Stelnet quando o servidor Stelnet usar publickey, password-publickey ou qualquer outro método de autenticação.

    Restrições e diretrizes

    Os pares de chaves locais DSA, ECDSA e RSA para SSH usam nomes padrão. Não é possível atribuir nomes aos pares de chaves.

    O comprimento do módulo da chave deve ser inferior a 2048 bits quando você gera um par de chaves DSA.

    Ao gerar um par de chaves ECDSA, você pode gerar apenas um par de chaves ECDSA secp256r1 ou secp384r1.

    O cliente Stelnet operando no modo FIPS suporta apenas pares de chaves ECDSA e RSA.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Gerar pares de chaves locais.
    public-key local create { dsa | ecdsa { secp256r1 | secp384r1 } | rsa }

    Especificação do endereço IP de origem para pacotes SSH de saída

    Sobre a especificação do endereço IP de origem para pacotes SSH de saída

    Depois que você especificar o endereço IP de origem para os pacotes SSH de saída em um cliente Stelnet, o cliente usará o endereço IP especificado para se comunicar com o servidor Stelnet.

    Restrições e diretrizes

    Como prática recomendada, especifique o endereço IP de uma interface de loopback como o endereço de origem dos pacotes SSH de saída para as seguintes finalidades:

    • Garantir a comunicação entre o cliente Stelnet e o servidor Stelnet.
    • Aprimoramento da capacidade de gerenciamento dos clientes Stelnet no serviço de autenticação.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Especifique o endereço de origem dos pacotes SSH de saída. IPv4:
    ssh client source { interface interface-type interface-number | ip
                     ip-address }

    Por padrão, um cliente Stelnet IPv4 usa o endereço IPv4 primário da interface de saída na rota correspondente como o endereço de origem dos pacotes SSH de saída.

    IPv6:

    ssh client ipv6 source { interface interface-type interface-number |
                     ipv6 ipv6-address }

    Por padrão, um cliente Stelnet IPv6 seleciona automaticamente um endereço IPv6 de origem para pacotes SSH de saída, em conformidade com a RFC 3484.

    Estabelecimento de uma conexão com um servidor Stelnet

    Sobre como estabelecer uma conexão com um servidor Stelnet

    Execute esta tarefa para ativar o recurso de cliente Stelnet no dispositivo e estabelecer uma conexão com o servidor Stelnet. Você pode especificar o algoritmo de chave pública e os algoritmos preferenciais de criptografia, HMAC e troca de chaves a serem usados durante a conexão.

    Para acessar o servidor, um cliente deve usar a chave pública do host do servidor para autenticar o servidor. Como prática recomendada, configure a chave pública do host do servidor no dispositivo em uma rede insegura. Se a chave pública do host do servidor não estiver configurada no cliente, o cliente o notificará para confirmar se deseja continuar com o acesso.

    • Se você optar por continuar, o cliente acessará o servidor e fará o download da chave pública do host do servidor. A chave pública baixada será usada para autenticar o servidor nos acessos subsequentes.

    Se a chave pública do servidor não for especificada, quando você se conectar ao servidor, o dispositivo salvará a chave pública do servidor no arquivo de chave pública. Ele não salva a chave pública do servidor no arquivo de configuração.

    • Se você optar por não continuar, a conexão não poderá ser estabelecida.

    Restrições e diretrizes para estabelecer uma conexão com um servidor Stelnet

    Um cliente Stelnet não pode estabelecer conexões com servidores Stelnet IPv4 e IPv6.

    Estabelecimento de uma conexão com um servidor Stelnet IPv4

    Execute o seguinte comando na visualização do usuário para estabelecer uma conexão com um servidor Stelnet IPv4: No modo não-FIPS:

    <
    ssh2 server [ port-number ] [ identity-key { dsa | ecdsa-sha2-nistp256 |
                     ecdsa-sha2-nistp384 | rsa | { x509v3-ecdsa-sha2-nistp256 |
                     x509v3-ecdsa-sha2-nistp384 } pki-domain domain-name } | prefer-compress
                     zlib | prefer-ctos-cipher { 3des-cbc | aes128-cbc | aes128-ctr | aes128-gcm
                     | aes192-ctr | aes256-cbc | aes256-ctr | aes256-gcm | des-cbc } |
                     prefer-ctos-hmac { md5 | md5-96 | sha1 | sha1-96 | sha2-256 | sha2-512 } |
                     prefer-kex { dh-group-exchange-sha1 | dh-group1-sha1 | dh-group14-sha1 |
                     ecdh-sha2-nistp256 | ecdh-sha2-nistp384 } | prefer-stoc-cipher { 3des-cbc
                     | aes128-cbc | aes128-ctr | aes128-gcm | aes192-ctr | aes256-cbc |
                     aes256-ctr | aes256-gcm | des-cbc } | prefer-stoc-hmac { md5 | md5-96 | sha1
                     | sha1-96 | sha2-256 | sha2-512 } ] * [ dscp dscp-value | escape character |
                     { public-key keyname | server-pki-domain domain-name } | source { interface
                     interface-type interface-number | ip ip-address } ] *

    No modo FIPS:

    ssh2 server [ port-number ] [ identity-key { ecdsa-sha2-nistp256 |
                     ecdsa-sha2-nistp384 | rsa | { x509v3-ecdsa-sha2-nistp256 |
                     x509v3-ecdsa-sha2-nistp384 } pki-domain domain-name } | prefer-compress
                     zlib | prefer-ctos-cipher { aes128-cbc | aes128-ctr | aes128-gcm |
                     aes192-ctr | aes256-cbc | aes256-ctr | aes256-gcm } | prefer-ctos-hmac
                     { sha1 | sha1-96 | sha2-256 | sha2-512 } | prefer-kex { dh-group14-sha1 |
                     ecdh-sha2-nistp256 | ecdh-sha2-nistp384 } | prefer-stoc-cipher
                     { aes128-cbc | aes128-ctr | aes128-gcm | aes192-ctr | aes256-cbc |
                     aes256-ctr | aes256-gcm } | prefer-stoc-hmac { sha1 | sha1-96 | sha2-256 |
                     sha2-512 } ] * [ escape character | { public-key keyname | server-pki-domain
                     domain-name } | source { interface interface-type interface-number | ip
                     ip-address } ] *

    Estabelecimento de uma conexão com um servidor Stelnet IPv6

    Execute o seguinte comando na visualização do usuário para estabelecer uma conexão com um servidor Stelnet IPv6: No modo não-FIPS:

    ssh2 ipv6 server [ port-number ] [ -i interface-type interface-number ]
                     [ identity-key { dsa | ecdsa-sha2-nistp256 | ecdsa-sha2-nistp384 | rsa |
                     { x509v3-ecdsa-sha2-nistp256 | x509v3-ecdsa-sha2-nistp384 } pki-domain
                     domain-name } | prefer-compress zlib | prefer-ctos-cipher { 3des-cbc |
                     aes128-cbc | aes128-ctr | aes128-gcm | aes192-ctr | aes256-cbc | aes256-ctr
                     | aes256-gcm | des-cbc } | prefer-ctos-hmac { md5 | md5-96 | sha1 | sha1-96 |
                     sha2-256 | sha2-512 } | prefer-kex { dh-group-exchange-sha1 |
                     dh-group1-sha1 | dh-group14-sha1 | ecdh-sha2-nistp256 |
                     ecdh-sha2-nistp384 } | prefer-stoc-cipher { 3des-cbc | aes128-cbc |
                     aes128-ctr | aes128-gcm | aes192-ctr | aes256-cbc | aes256-ctr | aes256-gcm
                     | des-cbc } | prefer-stoc-hmac { md5 | md5-96 | sha1 | sha1-96 | sha2-256 |
                     sha2-512 } ] * [ dscp dscp-value | escape character | { public-key keyname |
                     server-pki-domain domain-name } | source { interface interface-type 
                     interface-number | ipv6 ipv6-address } ] *

    No modo FIPS:

    ssh2 ipv6 server [ port-number ] [ -i interface-type interface-number ]
                     [ identity-key { ecdsa-sha2-nistp256 | ecdsa-sha2-nistp384 | rsa |
                     { x509v3-ecdsa-sha2-nistp256 | x509v3-ecdsa-sha2-nistp384 } pki-domain
                     domain-name } | prefer-compress zlib | prefer-ctos-cipher { aes128-cbc |
                     aes128-ctr | aes128-gcm | aes192-ctr | aes256-cbc | aes256-ctr | aes256-gcm }
                     | prefer-ctos-hmac { sha1 | sha1-96 | sha2-256 | sha2-512 } | prefer-kex
                     { dh-group14-sha1 | ecdh-sha2-nistp256 | ecdh-sha2-nistp384 } |
                     prefer-stoc-cipher { aes128-cbc | aes128-ctr | aes128-gcm | aes192-ctr |
                     aes256-cbc | aes256-ctr | aes256-gcm } | prefer-stoc-hmac { sha1 | sha1-96
                     | sha2-256 | sha2-512 } ] * [ escape character | { public-key keyname |
                     server-pki-domain domain-name } | source { interface interface-type 
                     interface-number | ipv6 ipv6-address } ] *

    Exclusão das chaves públicas do servidor salvas no arquivo de chaves públicas no cliente Stelnet

    Sobre a exclusão de chaves públicas do servidor salvas no arquivo de chaves públicas no cliente Stelnet

    Quando o cliente Stelnet alterna para o modo FIPS, mas a chave pública do servidor salva localmente não está em conformidade com o FIPS, o cliente não pode se conectar ao servidor. Para se conectar ao servidor, exclua a chave pública do servidor salva no cliente e certifique-se de que uma chave pública compatível com FIPS tenha sido gerada no servidor.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Exclua as chaves públicas do servidor salvas no arquivo de chaves públicas no cliente Stelnet.
    delete ssh client server-public-key [ server-ip ip-address ]

    Estabelecimento de uma conexão com um servidor Stelnet baseado no Suite B

    Execute o seguinte comando na visualização do usuário para estabelecer uma conexão com um servidor Stelnet baseado no Suite B:

    IPv4:

    ssh2 server [ port-number ] suite-b [ 128-bit | 192-bit ] pki-domain
                     domain-name [ server-pki-domain domain-name ] [ prefer-compress zlib ]
                     [ dscp dscp-value | escape character | source { interface interface-type
                     interface-number | ip ip-address } ] *

    IPv6:

    ssh2 ipv6 server [ port-number ] [ -i interface-type interface-number ]
                     suite-b [ 128-bit | 192-bit ] pki-domain domain-name [ server-pki-domain
                     domain-name ] [ prefer-compress zlib ] [ dscp dscp-value | escape character |
                     source { interface interface-type interface-number | ipv6 ipv6-address } ] *

    Configuração do dispositivo como um cliente SFTP

    Visão geral das tarefas do cliente SFTP

    Para configurar um cliente SFTP, execute as seguintes tarefas:

    • Geração de pares de chaves locais

    Necessário apenas para o método de autenticação publickey, password-publickey ou any.

    • (Opcional.) Especificar o endereço IP de origem para pacotes SFTP de saída
    • Estabelecimento de uma conexão com um servidor SFTP
    • (Opcional.) Exclusão das chaves públicas do servidor salvas no arquivo de chaves públicas no cliente SFTP
    • (Opcional.) Estabelecimento de uma conexão com um servidor SFTP baseado na Suíte B
    • (Opcional.) Trabalho com diretórios SFTP
    • (Opcional.) Trabalho com arquivos SFTP
    • (Opcional.) Exibir informações de ajuda
    • (Opcional.) Encerrar a conexão com o servidor SFTP

    Geração de pares de chaves locais

    Sobre a geração de pares de chaves locais

    Você deve gerar pares de chaves locais nos clientes SFTP quando o servidor SFTP usar a chave pública, a senha-chave pública ou qualquer outro método de autenticação.

    Restrições e diretrizes

    Os pares de chaves locais DSA, ECDSA e RSA para SSH usam nomes padrão. Não é possível atribuir nomes aos pares de chaves.

    O comprimento do módulo da chave deve ser inferior a 2048 bits quando você gera um par de chaves DSA.

    Ao gerar um par de chaves ECDSA, você pode gerar apenas um secp256r1 ou secp384r1

    Par de chaves ECDSA.

    O cliente SFTP operando no modo FIPS suporta apenas pares de chaves ECDSA e RSA.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Gerar pares de chaves locais.
    public-key local create { dsa | ecdsa { secp256r1 | secp384r1 } | rsa }

    Especificação do endereço IP de origem para pacotes SFTP de saída

    Sobre a especificação do endereço IP de origem para pacotes SFTP de saída

    Depois que você especificar o endereço IP de origem para os pacotes SFTP de saída em um cliente SFTP, o cliente usará o endereço IP especificado para se comunicar com o servidor SFTP.

    Restrições e diretrizes

    Como prática recomendada, especifique o endereço IP de uma interface de loopback como o endereço de origem dos pacotes SFTP de saída para as seguintes finalidades:

    • Garantir a comunicação entre o cliente SFTP e o servidor SFTP.
    • Aprimoramento da capacidade de gerenciamento de clientes SFTP no serviço de autenticação.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Especifique o endereço de origem dos pacotes SFTP de saída. IPv4:
    sftp client source { ip ip-address | interface interface-type
                     interface-number }

    Por padrão, um cliente SFTP usa o endereço IPv4 primário da interface de saída na rota correspondente como o endereço de origem dos pacotes SFTP de saída.

    IPv6:

    sftp client ipv6 source { ipv6 ipv6-address | interface interface-type 
                     interface-number }

    Por padrão, um cliente SFTP IPv6 seleciona automaticamente um endereço IPv6 de origem para os pacotes SFTP de saída, em conformidade com a RFC 3484.

    Estabelecimento de uma conexão com um servidor SFTP

    Sobre como estabelecer uma conexão com um servidor SFTP

    Execute esta tarefa para ativar o recurso de cliente SFTP no dispositivo e estabelecer uma conexão com o servidor SFTP. Você pode especificar o algoritmo de chave pública e os algoritmos preferenciais de criptografia, HMAC e troca de chaves a serem usados durante a conexão.

    Para acessar o servidor, um cliente deve usar a chave pública do host do servidor para autenticar o servidor. Como prática recomendada, configure a chave pública do host do servidor no dispositivo em uma rede insegura. Se a chave pública do host do servidor não estiver configurada no cliente, o cliente o notificará para confirmar se deseja continuar com o acesso.

    • Se você optar por continuar, o cliente acessará o servidor e fará o download da chave pública do host do servidor. A chave pública baixada será usada para autenticar o servidor nos acessos subsequentes.

    Se a chave pública do servidor não for especificada quando você se conectar ao servidor, o dispositivo salvará a chave pública do servidor no arquivo de chave pública. Ele não salva a chave pública do servidor no arquivo de configuração.

    • Se você optar por não continuar, a conexão não poderá ser estabelecida.

    Restrições e diretrizes para estabelecer uma conexão com um servidor SFTP

    Um cliente SFTP não pode estabelecer conexões com servidores SFTP IPv4 e IPv6.

    Estabelecimento de uma conexão com um servidor SFTP IPv4

    Execute o seguinte comando na visualização do usuário para estabelecer uma conexão com um servidor SFTP IPv4: No modo não-FIPS:

    sftp server [ port-number ] [ identity-key { dsa | ecdsa-sha2-nistp256 |
                     ecdsa-sha2-nistp384 | rsa | { x509v3-ecdsa-sha2-nistp256 |
                     x509v3-ecdsa-sha2-nistp384 } pki-domain domain-name } | prefer-compress
                     zlib | prefer-ctos-cipher { 3des-cbc | aes128-cbc | aes128-ctr | aes128-gcm
                     | aes192-ctr | aes256-cbc | aes256-ctr | aes256-gcm | des-cbc } |
                     prefer-ctos-hmac { md5 | md5-96 | sha1 | sha1-96 | sha2-256 | sha2-512 } |
                     prefer-kex { dh-group-exchange-sha1 | dh-group1-sha1 | dh-group14-sha1 |
                     ecdh-sha2-nistp256 | ecdh-sha2-nistp384 } | prefer-stoc-cipher { 3des-cbc
                     | aes128-cbc | aes128-ctr | aes128-gcm | aes192-ctr | aes256-cbc |
                     aes256-ctr | aes256-gcm | des-cbc } | prefer-stoc-hmac { md5 | md5-96 | sha1
                     | sha1-96 | sha2-256 | sha2-512 } ] * [ dscp dscp-value | { public-key keyname
                     | server-pki-domain domain-name } | source { interface interface-type 
                     interface-number | ip ip-address } ] *}

    No modo FIPS:

    sftp server [ port-number ] [ identity-key { ecdsa-sha2-nistp256 |
                     ecdsa-sha2-nistp384 | rsa | { x509v3-ecdsa-sha2-nistp256 |
                     x509v3-ecdsa-sha2-nistp384 } pki-domain domain-name } | prefer-compress
                     zlib | prefer-ctos-cipher { aes128-cbc | aes128-ctr | aes128-gcm |
                     aes192-ctr | aes256-cbc | aes256-ctr | aes256-gcm } | prefer-ctos-hmac
                     { sha1 | sha1-96 | sha2-256 | sha2-512 } | prefer-kex { dh-group14-sha1 |
                     ecdh-sha2-nistp256 | ecdh-sha2-nistp384 } | prefer-stoc-cipher
                     { aes128-cbc | aes128-ctr | aes128-gcm | aes192-ctr | aes256-cbc |
                     aes256-ctr | aes256-gcm } | prefer-stoc-hmac { sha1 | sha1-96 | sha2-256 |
                     sha2-512 } ] * [ { public-key keyname | server-pki-domain domain-name } |
                     source { interface interface-type interface-number | ip ip-address } ] *

    Estabelecimento de uma conexão com um servidor SFTP IPv6

    Execute o seguinte comando na visualização do usuário para estabelecer uma conexão com um servidor SFTP IPv6:

    No modo não-FIPS:

    sftp ipv6 server [ port-number ] [ -i interface-type interface-number ]
                     [ identity-key { dsa | ecdsa-sha2-nistp256 | ecdsa-sha2-nistp384 | rsa |
                     { x509v3-ecdsa-sha2-nistp256 | x509v3-ecdsa-sha2-nistp384 } pki-domain
                     domain-name } | prefer-compress zlib | prefer-ctos-cipher { 3des-cbc |
                     aes128-cbc | aes128-ctr | aes128-gcm | aes192-ctr | aes256-cbc | aes256-ctr
                     | aes256-gcm | des-cbc } | prefer-ctos-hmac { md5 | md5-96 | sha1 | sha1-96 |
                     sha2-256 | sha2-512 } | prefer-kex { dh-group-exchange-sha1 |
                     dh-group1-sha1 | dh-group14-sha1 | ecdh-sha2-nistp256 |
                     ecdh-sha2-nistp384 } | prefer-stoc-cipher { 3des-cbc | aes128-cbc |
                     aes128-ctr | aes128-gcm | aes192-ctr | aes256-cbc | aes256-ctr | aes256-gcm
                     | des-cbc } | prefer-stoc-hmac { md5 | md5-96 | sha1 | sha1-96 | sha2-256 |
                     sha2-512 } ] * [ dscp dscp-value | { public-key keyname | server-pki-domain
                     domain-name } | source { interface interface-type interface-number | ipv6
                     ipv6-address } ] *

    No modo FIPS:

    sftp ipv6 server [ port-number ] [ -i interface-type interface-number ]
                     [ identity-key { ecdsa-sha2-nistp256 | ecdsa-sha2-nistp384 | rsa |
                     { x509v3-ecdsa-sha2-nistp256 | x509v3-ecdsa-sha2-nistp384 } pki-domain
                     domain-name } | prefer-compress zlib | prefer-ctos-cipher { aes128-cbc |
                     aes128-ctr | aes128-gcm | aes192-ctr | aes256-cbc | aes256-ctr | aes256-gcm }
                     | prefer-ctos-hmac { sha1 | sha1-96 | sha2-256 | sha2-512 } | prefer-kex
                     { dh-group14-sha1 | ecdh-sha2-nistp256 | ecdh-sha2-nistp384 } |
                     prefer-stoc-cipher { aes128-cbc | aes128-ctr | aes128-gcm | aes192-ctr |
                     aes256-cbc | aes256-ctr | aes256-gcm } | prefer-stoc-hmac { sha1 | sha1-96 |
                     sha2-256 | sha2-512 } ] * [ { public-key keyname | server-pki-domain
                     domain-name } | source { interface interface-type interface-number | ipv6
                     ipv6-address } ] *

    Exclusão das chaves públicas do servidor salvas no arquivo de chaves públicas no cliente SFTP

    Sobre a exclusão de chaves públicas do servidor salvas no arquivo de chaves públicas no cliente SFTP

    Quando o cliente SFTP alterna para o modo FIPS, mas a chave pública do servidor salva localmente não está em conformidade com o FIPS, o cliente não pode se conectar ao servidor. Para se conectar ao servidor, exclua a chave pública do servidor salva no cliente e certifique-se de que uma chave pública compatível com FIPS tenha sido gerada no servidor.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Exclua as chaves públicas do servidor salvas no arquivo de chaves públicas no cliente SFTP.
    delete ssh client server-public-key [ server-ip ip-address ]

    Estabelecimento de uma conexão com um servidor SFTP baseado no Suite B

    Execute o seguinte comando na visualização do usuário para estabelecer uma conexão com um servidor SFTP baseado no Suite B:

    IPv4:

    sftp server [ port-number ] suite-b [ 128-bit | 192-bit ] pki-domain
                     domain-name [ server-pki-domain domain-name ] [ prefer-compress zlib ]
                     [ dscp dscp-value | source { interface interface-type interface-number | ip
                     ip-address } ] *

    IPv6:

    sftp ipv6 server [ port-number ] [ -i interface-type interface-number ]
                     suite-b [ 128-bit | 192-bit ] pki-domain domain-name [ server-pki-domain
                     domain-name ] [ prefer-compress zlib ] [ dscp dscp-value | escape character |
                     source { interface interface-type interface-number | ipv6 ipv6-address } ] *

    Trabalho com diretórios SFTP

    Sobre as operações de diretório SFTP

    Depois de estabelecer uma conexão com um servidor SFTP, você pode operar os diretórios do servidor SFTP.

    Alteração do diretório de trabalho no servidor SFTP

    • Entre na visualização do cliente SFTP.

    Para obter mais informações, consulte "Estabelecimento de uma conexão com um servidor SFTP".

    • Altere o diretório de trabalho no servidor SFTP.
    cd [ remote-path ]
    • (Opcional.) Retorne ao diretório de nível superior.
    cdup

    Exibição do diretório de trabalho atual no servidor SFTP

    • Entre na visualização do cliente SFTP.

    Para obter mais informações, consulte "Estabelecimento de uma conexão com um servidor SFTP".

    • Exibir o diretório de trabalho atual no servidor SFTP.
    pwd

    Exibição de arquivos em um diretório

    • Entre na visualização do cliente SFTP.

    Para obter mais informações, consulte "Estabelecimento de uma conexão com um servidor SFTP".

    • Exibir arquivos em um diretório.
      • dir [ -a | -l ] [ caminho remoto ]
      • ls [ -a | -l ] [ caminho remoto ]

    O comando dir tem a mesma função que o comando ls.

    Alteração do nome de um diretório no servidor SFTP

    • Entre na visualização do cliente SFTP.

    Para obter mais informações, consulte "Estabelecimento de uma conexão com um servidor SFTP".

    • Altere o nome de um diretório no servidor SFTP.
    rename oldname newname

    Criação de um novo diretório no servidor SFTP

    • Entre na visualização do cliente SFTP.

    Para obter mais informações, consulte "Estabelecimento de uma conexão com um servidor SFTP".

    • Crie um novo diretório no servidor SFTP.
    mkdir remote-path

    Exclusão de diretórios no servidor SFTP

    • Entre na visualização do cliente SFTP.

    Para obter mais informações, consulte "Estabelecimento de uma conexão com um servidor SFTP".

    • Excluir um ou mais diretórios do servidor SFTP.
    rmdir remote-path

    Trabalho com arquivos SFTP

    Sobre as operações de arquivos SFTP

    Depois de estabelecer uma conexão com um servidor SFTP, você pode operar arquivos no servidor SFTP.

    Alteração do nome de um arquivo no servidor SFTP

    • Entre na visualização do cliente SFTP.

    Para obter mais informações, consulte "Estabelecimento de uma conexão com um servidor SFTP".

    • Alterar o nome de um arquivo no servidor SFTP.
    rename old-name new-name

    Fazer download de um arquivo do servidor SFTP e salvá-lo localmente

    • Entre na visualização do cliente SFTP.

    Para obter mais informações, consulte "Estabelecimento de uma conexão com um servidor SFTP".

    • Faça o download de um arquivo do servidor SFTP e salve-o localmente.
    get remote-file [ local-file ]

    Carregamento de um arquivo local para o servidor SFTP

    • Entre na visualização do cliente SFTP.

    Para obter mais informações, consulte "Estabelecimento de uma conexão com um servidor SFTP".

    • Faça upload de um arquivo local para o servidor SFTP.
    put local-file [ remote-file ]

    Exibir arquivos em um diretório

    • Entre na visualização do cliente SFTP.

    Para obter mais informações, consulte "Estabelecimento de uma conexão com um servidor SFTP".

    • Exibir arquivos em um diretório.
      • dir [ -a | -l ] [ caminho remoto ]
      • ls [ -a | -l ] [ caminho remoto ]

    O comando dir tem a mesma função que o comando ls.

    Exclusão de um arquivo do servidor SFTP

    • Entre na visualização do cliente SFTP.

    Para obter mais informações, consulte "Estabelecimento de uma conexão com um servidor SFTP".

    • Excluir um arquivo do servidor SFTP.
      • delete remote-file
      • remove remote-file

        • O comando delete tem a mesma função que o comando remove.

    Exibição de informações de ajuda

    Sobre a exibição de informações de ajuda

    Depois de estabelecer uma conexão com o servidor SFTP, você pode exibir as informações de ajuda dos comandos do cliente SFTP, inclusive a sintaxe do comando e a configuração dos parâmetros.

    Procedimento

    • Entre na visualização do cliente SFTP.

    Para obter mais informações, consulte "Estabelecimento de uma conexão com um servidor SFTP".

    • Exibir informações de ajuda do comando do cliente SFTP.
      • help
      • ?

    O comando de ajuda tem a mesma função que o comando ?

    Encerrar a conexão com o servidor SFTP

    • Entre na visualização do cliente SFTP.

    Para obter mais informações, consulte "Estabelecimento de uma conexão com um servidor SFTP".

    • Encerre a conexão com o servidor SFTP e retorne à visualização do usuário.
      • bye
      • exit
      • quit

    Os três comandos têm a mesma função.

    Configuração do dispositivo como um cliente SCP

    Visão geral das tarefas do cliente SCP

    Para configurar um cliente SCP, execute as seguintes tarefas:

    • Geração de pares de chaves locais

    Necessário somente para publickey, password-publickey ou qualquer método de autenticação.

    • (Opcional.) Especificar o endereço IP de origem para pacotes SCP de saída
    • Estabelecimento de uma conexão com um servidor SCP
    • (Opcional.) Exclusão das chaves públicas do servidor salvas no arquivo de chaves públicas no cliente SCP
    • (Opcional.) Estabelecimento de uma conexão com um servidor SCP com base na Suíte B

    Geração de pares de chaves locais

    Sobre a geração de pares de chaves locais

    Você deve gerar pares de chaves locais nos clientes SCP quando o servidor SCP usar a chave pública, a senha-chave pública ou qualquer outro método de autenticação.

    Restrições e diretrizes

    Os pares de chaves locais DSA, ECDSA e RSA para SSH usam nomes padrão. Não é possível atribuir nomes aos pares de chaves.

    O comprimento do módulo da chave deve ser inferior a 2048 bits quando você gera um par de chaves DSA.

    Ao gerar um par de chaves ECDSA, você pode gerar apenas um secp256r1 ou secp384r1

    Par de chaves ECDSA.

    O cliente SCP operando no modo FIPS suporta apenas pares de chaves ECDSA e RSA.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Gerar pares de chaves locais.
    public-key local create { dsa | ecdsa { secp256r1 | secp384r1 } | rsa }

    Especificação do endereço IP de origem para pacotes SCP de saída

    Sobre a especificação do endereço IP de origem para pacotes SCP de saída

    Depois que você especificar o endereço IP de origem para os pacotes SCP de saída em um cliente SCP, o cliente usará o endereço IP especificado para se comunicar com o servidor SCP.

    Restrições e diretrizes

    Como prática recomendada, especifique o endereço IP de uma interface de loopback como o endereço de origem dos pacotes SCP de saída para as seguintes finalidades:

    • Garantir a comunicação entre o cliente SCP e o servidor SCP.
    • Aprimoramento da capacidade de gerenciamento de clientes SCP no serviço de autenticação.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Especifique o endereço de origem dos pacotes SCP de saída. IPv4:
    scp client source { interface interface-type interface-number | ip
                     ip-address }

    Por padrão, um cliente SCP usa o endereço IPv4 primário da interface de saída na rota correspondente como o endereço de origem dos pacotes SCP de saída.

    IPv6:

    scp client ipv6 source { interface interface-type interface-number
                     | ipv6 ipv6-address }

    Por padrão, um cliente SCP seleciona automaticamente um endereço IPv6 como o endereço de origem dos pacotes de saída, em conformidade com a RFC 3484.

    Estabelecimento de uma conexão com um servidor SCP

    Sobre como estabelecer uma conexão com um servidor SCP

    Execute esta tarefa para ativar o recurso de cliente SCP no dispositivo, estabelecer uma conexão com o servidor SCP e transferir arquivos com o servidor. Você pode especificar o algoritmo de chave pública e os algoritmos preferenciais de criptografia, HMAC e troca de chaves a serem usados durante a conexão.

    Para acessar o servidor, um cliente deve usar a chave pública do host do servidor para autenticar o servidor. Como prática recomendada, configure a chave pública do host do servidor no dispositivo em uma rede insegura. Se a chave pública do host do servidor não estiver configurada no cliente, o cliente o notificará para confirmar se deseja continuar com o acesso.

    • Se você optar por continuar, o cliente acessará o servidor e fará o download da chave pública do host do servidor. A chave pública baixada será usada para autenticar o servidor nos acessos subsequentes.

    Se a chave pública do servidor não for especificada quando você se conectar ao servidor, o dispositivo salvará a chave pública do servidor no arquivo de chave pública. Ele não salva a chave pública do servidor no arquivo de configuração.

    • Se você optar por não continuar, a conexão não poderá ser estabelecida.

    Restrições e diretrizes para estabelecer uma conexão com um servidor SCP

    Um cliente SCP não pode estabelecer conexões com servidores SCP IPv4 e IPv6.

    Estabelecimento de uma conexão com um servidor SCP IPv4

    Execute o seguinte comando na visualização do usuário para se conectar a um servidor SCP IPv4 e transferir arquivos com o servidor:

    No modo não-FIPS:

    scp server [ port-number ] { put | get } source-file-name
                     [ destination-file-name ] [ identity-key { dsa | ecdsa-sha2-nistp256 |
                     ecdsa-sha2-nistp384 | rsa | { x509v3-ecdsa-sha2-nistp256 |
                     x509v3-ecdsa-sha2-nistp384 } pki-domain domain-name } | prefer-compress
                     zlib | prefer-ctos-cipher { 3des-cbc | aes128-cbc | aes128-ctr | aes128-gcm
                     | aes192-ctr | aes256-cbc | aes256-ctr | aes256-gcm | des-cbc } |
                     prefer-ctos-hmac { md5 | md5-96 | sha1 | sha1-96 | sha2-256 | sha2-512 } |
                     prefer-kex { dh-group-exchange-sha1 | dh-group1-sha1 | dh-group14-sha1 |
                     ecdh-sha2-nistp256 | ecdh-sha2-nistp384 } | prefer-stoc-cipher { 3des-cbc
                     | aes128-cbc | aes128-ctr | aes128-gcm | aes192-ctr | aes256-cbc |
                     aes256-ctr | aes256-gcm | des-cbc } | prefer-stoc-hmac { md5 | md5-96 | sha1
                     | sha1-96 | sha2-256 | sha2-512 } ] * [ { public-key keyname |
                     server-pki-domain domain-name } | source { interface interface-type 
                     interface-number | ip ip-address } ] * [ user username [ password password ] ]

    No modo FIPS:

    [ destination-file-name ] [ identity-key { ecdsa-sha2-nistp256 |
                     ecdsa-sha2-nistp384 | rsa | { x509v3-ecdsa-sha2-nistp256 |
                     x509v3-ecdsa-sha2-nistp384 } pki-domain domain-name } | prefer-compress
                     zlib | prefer-ctos-cipher { aes128-cbc | aes128-ctr | aes128-gcm |
                     aes192-ctr | aes256-cbc | aes256-ctr | aes256-gcm } | prefer-ctos-hmac
                     { sha1 | sha1-96 | sha2-256 | sha2-512 } | prefer-kex { dh-group14-sha1 |
                     ecdh-sha2-nistp256 | ecdh-sha2-nistp384 } | prefer-stoc-cipher
                     { aes128-cbc | aes128-ctr | aes128-gcm | aes192-ctr | aes256-cbc |
                     aes256-ctr | aes256-gcm } | prefer-stoc-hmac { sha1 | sha1-96 | sha2-256 |
                     sha2-512 } ] * [ { public-key keyname | server-pki-domain domain-name } |
                     source { interface interface-type interface-number | ip ip-address } ] *
                     [ user username [ password password ] ]

    Estabelecimento de uma conexão com um servidor SCP IPv6

    Execute o seguinte comando na visualização do usuário para se conectar a um servidor SCP IPv6 e transferir arquivos com o servidor.

    No modo não-FIPS:

    scp ipv6 server [ port-number ] [ -i interface-type interface-number ] { put
                     | get } source-file-name [ destination-file-name ] [ identity-key { dsa |
                     ecdsa-sha2-nistp256 | ecdsa-sha2-nistp384 | rsa |
                     { x509v3-ecdsa-sha2-nistp256 | x509v3-ecdsa-sha2-nistp384 } pki-domain
                     domain-name } | prefer-compress zlib | prefer-ctos-cipher { 3des-cbc |
                     aes128-cbc | aes128-ctr | aes128-gcm | aes192-ctr | aes256-cbc | aes256-ctr
                     | aes256-gcm | des-cbc } | prefer-ctos-hmac { md5 | md5-96 | sha1 | sha1-96 |
                     sha2-256 | sha2-512 } | prefer-kex { dh-group-exchange-sha1 |
                     dh-group1-sha1 | dh-group14-sha1 | ecdh-sha2-nistp256 |
                     ecdh-sha2-nistp384 } | prefer-stoc-cipher { 3des-cbc | aes128-cbc |
                     aes128-ctr | aes128-gcm | aes192-ctr | aes256-cbc | aes256-ctr | aes256-gcm
                     | des-cbc } | prefer-stoc-hmac { md5 | md5-96 | sha1 | sha1-96 | sha2-256 |
                     sha2-512 } ] * [ { public-key keyname | server-pki-domain domain-name } |
                     source { interface interface-type interface-number | ipv6 ipv6-address } ]
                     * [ user username [ password password ] ]

    No modo FIPS:

    scp ipv6 server [ port-number ] [ -i interface-type interface-number ] { put
                     | get } source-file-name [ destination-file-name ] [ identity-key
                     { ecdsa-sha2-nistp256 | ecdsa-sha2-nistp384 | rsa |
                     { x509v3-ecdsa-sha2-nistp256 | x509v3-ecdsa-sha2-nistp384 } pki-domain
                     domain-name } | prefer-compress zlib | prefer-ctos-cipher { aes128-cbc |
                     aes128-ctr | aes128-gcm | aes192-ctr | aes256-cbc | aes256-ctr | aes256-gcm }
                     | prefer-ctos-hmac { sha1 | sha1-96 | sha2-256 | sha2-512 } | prefer-kex
                     { dh-group14-sha1 | ecdh-sha2-nistp256 | ecdh-sha2-nistp384 } |
                     prefer-stoc-cipher { aes128-cbc | aes128-ctr | aes128-gcm | aes192-ctr |
                     aes256-cbc | aes256-ctr | aes256-gcm } | prefer-stoc-hmac { sha1 | sha1-96
                     | sha2-256 | sha2-512 } ] * [ { public-key keyname | server-pki-domain
                     domain-name } | source { interface interface-type interface-number | ipv6
                     ipv6-address } ] * [ user username [ password password ] ]

    Exclusão das chaves públicas do servidor salvas no arquivo de chaves públicas no cliente SCP

    Sobre a exclusão de chaves públicas do servidor salvas no arquivo de chaves públicas no cliente SCP

    Quando o cliente SCP alterna para o modo FIPS, mas a chave pública do servidor salva localmente não está em conformidade com o FIPS, o cliente não pode se conectar ao servidor. Para se conectar ao servidor, exclua a chave pública do servidor salva no cliente e certifique-se de que uma chave pública em conformidade com o FIPS tenha sido gerada no servidor.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Exclua as chaves públicas do servidor salvas no arquivo de chaves públicas no cliente SCP.
    delete ssh client server-public-key [ server-ip ip-address ]

    Estabelecimento de uma conexão com um servidor SCP baseado no Suite B

    Execute o seguinte comando na visualização do usuário para estabelecer uma conexão com um servidor SCP baseado no Suite B:

    IPv4:

    scp server [ port-number ] { put | get } source-file-name
                     [ destination-file-name ] suite-b [ 128-bit | 192-bit ] pki-domain
                     domain-name [ server-pki-domain domain-name ] [ prefer-compress zlib ]
                     [ source { interface interface-type interface-number | ip ip-address } ] *
                     [ user username [ password password ] ]

    IPv6:

    scp ipv6 server [ port-number ] [ -i interface-type interface-number ] { put
                     | get } source-file-name [ destination-file-name ] suite-b [ 128-bit |
                     192-bit ] pki-domain domain-name [ server-pki-domain domain-name ]
                     [ prefer-compress zlib ] [ source { interface interface-type
                     interface-number | ipv6 ipv6-address } ] * [ user username [ password
                     password ] ]

    Especificação de algoritmos para SSH2

    Sobre algoritmos para SSH2

    O cliente e o servidor SSH2 usam os seguintes tipos de algoritmos para negociação de algoritmos durante o estabelecimento da sessão Stelnet, SFTP ou SCP:

    • Algoritmos de troca de chaves.
    • Algoritmos de chave pública.
    • Algoritmos de criptografia.
    • Algoritmos MAC.

    Se você especificar os algoritmos, o SSH2 usará somente os algoritmos especificados para a negociação de algoritmos. O cliente usa os algoritmos especificados para iniciar a negociação, e o servidor usa os algoritmos correspondentes para negociar com o cliente. Se forem especificados vários algoritmos do mesmo tipo, o algoritmo especificado anteriormente terá prioridade mais alta durante a negociação.

    Especificação de algoritmos de troca de chaves para SSH2

    • Entre na visualização do sistema.
    system view
    • Especifique os algoritmos de troca de chaves para SSH2. No modo não-FIPS:
    ssh2 algorithm key-exchange { dh-group-exchange-sha1 | dh-group1-sha1 
                     | dh-group14-sha1 | ecdh-sha2-nistp256 | ecdh-sha2-nistp384 } *

    Por padrão, o SSH2 usa o ecdh-sha2-nistp256, ecdh-sha2-nistp384,

    algoritmos de troca de chaves dh-group-exchange-sha1, dh-group14-sha1 e dh-group1-sha1 em ordem decrescente de prioridade para negociação de algoritmos.

    No modo FIPS:

    ssh2 algorithm key-exchange { dh-group14-sha1 | ecdh-sha2-nistp256 |
                     ecdh-sha2-nistp384 } **

    Por padrão, o SSH2 usa os protocolos ecdh-sha2-nistp256, ecdh-sha2-nistp384 e

    algoritmos de troca de chaves dh-group14-sha1 em ordem decrescente de prioridade para negociação de algoritmos.

    Especificação de algoritmos de chave pública para SSH2

    • Entre na visualização do sistema.
    system view
    • Especifique os algoritmos de chave pública para SSH2. No modo não-FIPS:
    ssh2 algorithm public-key { dsa | ecdsa-sha2-nistp256 |
                     ecdsa-sha2-nistp384 | rsa | x509v3-ecdsa-sha2-nistp256 |
                     x509v3-ecdsa-sha2-nistp384 } *

    Por padrão, o SSH2 usa o x509v3-ecdsa-sha2-nistp256,

    Os algoritmos de chave pública x509v3-ecdsa-sha2-nistp384, ecdsa-sha2-nistp256, ecdsa-sha2-nistp384, rsa e dsa em ordem decrescente de prioridade para negociação de algoritmos.

    No modo FIPS:

    ssh2 algorithm public-key { ecdsa-sha2-nistp256 | ecdsa-sha2-nistp384 
                     | rsa | x509v3-ecdsa-sha2-nistp256 | x509v3-ecdsa-sha2-nistp384 } *

    Por padrão, o SSH2 usa o x509v3-ecdsa-sha2-nistp256,

    x509v3-ecdsa-sha2-nistp384, ecdsa-sha2-nistp256, ecdsa-sha2-nistp384 e algoritmos de chave pública rsa em ordem decrescente de prioridade para negociação de algoritmos.

    Especificação de algoritmos de criptografia para SSH2

    • Entre na visualização do sistema.
    system view
    • Especifique os algoritmos de criptografia para SSH2. No modo não-FIPS:
    ssh2 algorithm cipher { 3des-cbc | aes128-cbc | aes128-ctr | aes128-gcm
                     | aes192-ctr | aes256-cbc | aes256-ctr | aes256-gcm | des-cbc } *

    Por padrão, o SSH2 usa os algoritmos de criptografia aes128-ctr, aes192-ctr, aes256-ctr, aes128-gcm, aes256-gcm, aes128-cbc, 3des-cbc, aes256-cbc e des-cbc em ordem decrescente de prioridade para negociação de algoritmo.

    No modo FIPS:

    ssh2 algorithm cipher { aes128-cbc | aes128-ctr | aes128-gcm |
                     aes192-ctr | aes256-cbc | aes256-ctr | aes256-gcm } *

    Por padrão, o SSH2 usa os algoritmos de criptografia aes128-ctr, aes192-ctr, aes256-ctr, aes128-gcm, aes256-gcm, aes128-cbc e aes256-cbc em ordem decrescente de prioridade para negociação de algoritmo.

    Especificação de algoritmos MAC para SSH2

    • Entre na visualização do sistema.
    system view
    • Especifique os algoritmos MAC para SSH2. No modo não-FIPS:
    ssh2 algorithm mac { md5 | md5-96 | sha1 | sha1-96 | sha2-256 | sha2-512 }
                     *

    Por padrão, o SSH2 usa os padrões sha2-256, sha2-512, sha1, md5, sha1-96 e md5-96

    Algoritmos MAC em ordem decrescente de prioridade para negociação de algoritmos. No modo FIPS:

    ssh2 algorithm mac { sha1 | sha1-96 | sha2-256 | sha2-512 } *

    Por padrão, o SSH2 usa os algoritmos MAC sha2-256, sha2-512, sha1 e sha1-96 em ordem decrescente de prioridade para negociação de algoritmo.

    Comandos de exibição e manutenção para SSH

    Executar comandos de exibição em qualquer visualização.

    Tarefa Comando
    Exibe as chaves públicas dos pares de chaves locais. display public-key local { dsa | ecdsa | rsa } public [ name publickey-name ]
    Exibir informações sobre chaves públicas de pares. display public-key peer [ brief | name publickey-name ]
    Exibir a configuração do endereço IP de origem do cliente SCP. exibir fonte do cliente scp
    Exibir a configuração do endereço IP de origem do cliente SFTP. exibir a origem do cliente sftp
    Exibir informações da chave pública do servidor salvas no arquivo de chave pública no cliente SSH. exibir ssh client server-public-key [ server-ip ip-address ]
    Exibir a configuração do endereço IP de origem do cliente Stelnet. exibir a origem do cliente ssh
    Exibir o status ou as sessões do servidor SSH. display ssh server { session | status }
    Exibir informações do usuário SSH no servidor SSH. exibir informações de usuário ssh [ nome de usuário ]
    Exibir algoritmos usados pelo SSH2 no estágio de negociação de algoritmos. exibir algoritmo ssh2

    Para obter mais informações sobre os comandos display public-key local e display public-key peer, consulte comandos de gerenciamento de chaves públicas em Referência de comandos de segurança.

    Exemplos de configuração da Stelnet

    Salvo indicação em contrário, os dispositivos nos exemplos de configuração operam no modo não-FIPS.

    Quando o dispositivo atua como um servidor Stelnet operando no modo FIPS, somente os pares de chaves ECDSA e RSA são compatíveis. Não gere um par de chaves DSA no servidor Stelnet.

    Exemplo: Configuração do dispositivo como um servidor Stelnet (autenticação por senha)

    Configuração de rede

    Conforme mostrado na Figura 1:

    • O switch atua como servidor Stelnet e usa a autenticação por senha para autenticar o cliente Stelnet. O nome de usuário e a senha do cliente são salvos no switch.
    • O host atua como cliente Stelnet, usando o software cliente Stelnet (SSH2). Depois que o usuário no host faz login no switch por meio do Stelnet, ele pode configurar e gerenciar o switch como administrador de rede.

    Figura 1 Diagrama de rede

    Procedimento

    • Configure o servidor Stelnet: # Gerar pares de chaves RSA.
    <Switch> system-view
                     [Switch] public-key local create rsa
                     The range of public key modulus is (512 ~ 4096).
                     If the key modulus is greater than 512, it will take a few minutes.
                     Press CTRL+C to abort.
                     Input the modulus length [default = 1024]:
                     Generating Keys...
                     ........................++++++
                     ...................++++++
                     ..++++++++
                     ............++++++++
                     Create the key pair successfully.

    # Gerar um par de chaves DSA.

    [Switch] public-key local create dsa
                     The range of public key modulus is (512 ~ 2048).
                     If the key modulus is greater than 512, it will take a few minutes.
                     Press CTRL+C to abort.
                     Input the modulus length [default = 1024]:
                     Generating Keys...
                     .++++++++++++++++++++++++++++++++++++++++++++++++++*
                     ........+......+.....+......................................+
                     ...+.................+..........+...+.
                     Create the key pair successfully.

    # Gerar um par de chaves ECDSA.

    [Switch] public-key local create ecdsa secp256r1
                     Generating Keys...
                     .
                     Create the key pair successfully.

    # Habilite o servidor Stelnet.

    [Switch] ssh server enable

    # Atribuir um endereço IP à interface VLAN 2. O cliente Stelnet usa esse endereço como destino da conexão SSH.

    [Switch] interface vlan-interface 2
                     [Switch-Vlan-interface2] ip address 192.168.1.40 255.255.255.0
                     [Switch-Vlan-interface2] quit

    # Defina o modo de autenticação como AAA para linhas de usuário.

    [Switch] line vty 0 63
                     [Switch-line-vty0-63] authentication-mode scheme
                     [Switch-line-vty0-63] quit

    # Crie um usuário de gerenciamento de dispositivo local chamado client001.

    [Switch] local-user client001 class manage

    # Defina a senha como hello12345 em texto simples para o usuário local client001.

    [Switch-luser-manage-client001] password simple hello12345

    # Autorize o usuário local client001 a usar o serviço SSH.

    [Switch-luser-manage-client001] service-type ssh

    # Atribua a função de usuário administrador de rede ao usuário local client001.

    [Switch-luser-manage-client001] authorization-attribute user-role network-admin
                     [Switch-luser-manage-client001] quit

    # Crie um usuário SSH chamado client001. Especifique o tipo de serviço como stelnet e o

    como senha para o usuário.

    [Switch] ssh user client001 service-type stelnet authentication-type password
    • Estabeleça uma conexão com o servidor Stelnet:

    Há diferentes tipos de software cliente Stelnet, como o PuTTY e o OpenSSH. Este exemplo usa um cliente Stelnet que executa o PuTTY versão 0.58.

    Para estabelecer uma conexão com o servidor Stelnet:

    • Inicie o PuTTY.exe para acessar a interface mostrada na Figura 2.
    • No campo Nome do host (ou endereço IP), digite o endereço IP 192.168.1.40 do servidor Stelnet.
    • Clique em Open.

    Figura 2 Especificação do nome do host (ou endereço IP)

    • Digite o nome de usuário client001 e a senha hello12345 para fazer login no servidor Stelnet.

    Exemplo: Configuração do dispositivo como um servidor Stelnet (autenticação de chave pública)

    Configuração de rede

    Conforme mostrado na Figura 3:

    • O switch atua como servidor Stelnet e usa autenticação de chave pública e o algoritmo de chave pública RSA.
    • O host atua como cliente Stelnet, usando o software cliente Stelnet (SSH2). Depois que o usuário no host faz login no switch por meio da Stelnet, ele pode configurar e gerenciar o switch como um administrador de rede .

    Figura 3 Diagrama de rede

    Procedimento

    Na configuração do servidor, é necessária a chave pública do host do cliente. Use o software do cliente para gerar pares de chaves RSA no cliente antes de configurar o servidor Stelnet.

    Há diferentes tipos de software cliente Stelnet, como o PuTTY e o OpenSSH. Este exemplo usa um cliente Stelnet que executa o PuTTY versão 0.58.

    O procedimento de configuração é o seguinte:

    • Gerar pares de chaves RSA no cliente Stelnet:
      • Execute o PuTTYGen.exe no cliente, selecione SSH-2 RSA e clique em Generate (Gerar).

    Figura 4 Geração de um par de chaves no cliente

    • Continue movendo o mouse durante o processo de geração de chaves, mas não coloque o mouse sobre a barra de progresso verde mostrada na Figura 5. Caso contrário, a barra de progresso para de se mover e o progresso da geração do par de chaves é interrompido.

    Figura 5 Processo de geração

    • Depois que o par de chaves for gerado, clique em Save public key (Salvar chave pública) para salvar a chave pública. É exibida uma janela de salvamento de arquivo.

    Figura 6 Salvando um par de chaves no cliente

    • Digite um nome de arquivo (key.pub, neste exemplo) e clique em Salvar.
    • Na página mostrada na Figura 6, clique em Save private key (Salvar chave privada) para salvar a chave privada. É exibida uma caixa de diálogo de confirmação.
    • Clique em Yes.

    É exibida uma janela de salvamento de arquivo.

    • Digite um nome de arquivo (private.ppk, neste exemplo) e clique em Save (Salvar).
    • Transmita o arquivo de chave pública para o servidor por meio de FTP ou TFTP. (Detalhes não mostrados.)
    • Configure o servidor Stelnet:

    # Gerar pares de chaves RSA.

    <Switch> system-view
                     [Switch] public-key local create rsa
                     The range of public key modulus is (512 ~ 4096).
                     If the key modulus is greater than 512, it will take a few minutes.
                     Press CTRL+C to abort.
                     Input the modulus length [default = 1024]:
                     Generating Keys...
                     ........................++++++
                     ...................++++++
                     ..++++++++
                     ............++++++++
                     Create the key pair successfully.

    # Gerar um par de chaves DSA.

    [Switch] public-key local create dsa
                     The range of public key modulus is (512 ~ 2048).
                     If the key modulus is greater than 512, it will take a few minutes.
                     Press CTRL+C to abort.
                     Input the modulus length [default = 1024]:
                     Generating Keys...
                     .++++++++++++++++++++++++++++++++++++++++++++++++++*
                     ........+......+.....+......................................+
                     ...+.................+..........+...+
                     Create the key pair successfully

    # Gerar um par de chaves ECDSA.

    [Switch] public-key local create ecdsa secp256r1
                     Generating Keys...
                     .
                     Create the key pair successfully.

    # Habilite o servidor Stelnet.

    [Switch] ssh server enable

    # Atribuir um endereço IP à interface VLAN 2. O cliente Stelnet usa esse endereço IP como destino da conexão SSH.

    [Switch] interface vlan-interface 2
                     [Switch-Vlan-interface2] ip address 192.168.1.40 255.255.255.0
                     [Switch-Vlan-interface2] quit

    # Defina o modo de autenticação como AAA para linhas de usuário.

    [Switch] line vty 0 63
                     [Switch-line-vty0-63] authentication-mode scheme
                     [Switch-line-vty0-63] quit

    # Importe a chave pública do cliente do arquivo de chave pública key.pub e nomeie-a como switchkey.

    [Switch] public-key peer switchkey import sshkey key.pub

    # Crie um usuário SSH chamado client002. Especifique o método de autenticação como publickey para o usuário e atribua a chave pública switchkey ao usuário.

    [Switch] ssh user client002 service-type stelnet authentication-type publickey assign 
                     publickey switchkey

    # Crie um usuário de gerenciamento de dispositivo local chamado client002.

    [Switch] local-user client002 class manage

    # Autorize o usuário local client002 a usar o serviço SSH.

    [Switch-luser-manage-client002] service-type ssh

    # Atribua a função de usuário administrador de rede ao usuário local client002.

    [Switch-luser-manage-client002] authorization-attribute user-role network-admin
                     [Switch-luser-manage-client002] quit
  • Especifique o arquivo de chave privada e estabeleça uma conexão com o servidor Stelnet:
    • Inicie o PuTTY.exe no cliente Stelnet para acessar a interface mostrada na Figura 7.
    • No campo Nome do host (ou endereço IP), digite o endereço IP 192.168.1.40 do servidor Stelnet.

    Figura 7 Especificação do nome do host (ou endereço IP)

    • Na árvore de navegação, selecione Conexão > SSH. A janela mostrada na Figura 8 é exibida.
    • Defina a versão preferencial do protocolo SSH como 2.

      • Figura 8 Configuração da versão preferencial do SSH

    • Na árvore de navegação, selecione Conexão > SSH > Autenticação. A janela mostrada na Figura 9 é exibida.
    • Clique em Browse... para abrir a janela de seleção de arquivos e selecione o arquivo de chave privada (private.ppk neste exemplo).
    • Clique em Open.

    Figura 9 Especificação do arquivo de chave privada

    • Digite o nome de usuário client002 para fazer login no servidor Stelnet.

    Exemplo: Configuração do dispositivo como um cliente Stelnet (autenticação por senha)

    Configuração de rede

    Conforme mostrado na Figura 10:

    • O Switch B atua como servidor Stelnet e usa autenticação por senha para autenticar o cliente Stelnet. O nome de usuário e a senha do cliente são salvos no Switch B.
    • O Switch A atua como cliente Stelnet. Depois que o usuário no Switch A fizer login no Switch B por meio da Stelnet, o usuário poderá configurar e gerenciar o Switch B como administrador de rede.

    Figura 10 Diagrama de rede

    Procedimento

    • Configure o servidor Stelnet: # Gerar pares de chaves RSA.
    <SwitchB> system-view
                     [SwitchB] public-key local create rsa
                     The range of public key modulus is (512 ~ 4096).
                     If the key modulus is greater than 512, it will take a few minutes.
                     Press CTRL+C to abort.
                     Input the modulus length [default = 1024]:
                     Generating Keys...
                     ........................++++++
                     ...................++++++
                     ..++++++++
                     ............++++++++
                     Create the key pair successfully.

    # Gerar um par de chaves DSA.

    [SwitchB] public-key local create dsa
                     The range of public key modulus is (512 ~ 2048).
                     If the key modulus is greater than 512, it will take a few minutes.
                     Press CTRL+C to abort.
                     Input the modulus length [default = 1024]:
                     Generating Keys...
                     .++++++++++++++++++++++++++++++++++++++++++++++++++*
                     ........+......+.....+......................................+
                     ...+.................+..........+...+
                     Create the key pair successfully.

    # Gerar um par de chaves ECDSA.

    [SwitchB] public-key local create ecdsa secp256r1
                     Generating Keys...
                     .
                     Create the key pair successfully.

    # Habilite o servidor Stelnet. 

    [SwitchB] ssh server enable.

    # Atribuir um endereço IP à interface VLAN 2. O cliente Stelnet usa esse endereço como o endereço de destino da conexão SSH.

    [SwitchB] interface vlan-interface 2
                     [SwitchB-Vlan-interface2] ip address 192.168.1.40 255.255.255.0
                     [SwitchB-Vlan-interface2] quit

    # Defina o modo de autenticação como AAA para linhas de usuário.

    [SwitchB] line vty 0 63
                     [SwitchB-line-vty0-63] authentication-mode scheme
                     [SwitchB-line-vty0-63] quit

    # Crie um usuário de gerenciamento de dispositivo local chamado client001.

    [SwitchB] local-user client001 class manage

    # Defina a senha como hello12345 em texto simples para o usuário local client001.

    [SwitchB-luser-manage-client001] password simple hello12345

    # Autorize o usuário local client001 a usar o serviço SSH.

    [SwitchB-luser-manage-client001] service-type ssh

    # Atribua a função de usuário administrador de rede ao usuário local client001.

    [SwitchB-luser-manage-client001] authorization-attribute user-role network-admin
                     [SwitchB-luser-manage-client001] quit

    # Crie um usuário SSH chamado client001. Especifique o tipo de serviço como stelnet e o método de autenticação como senha para o usuário.

    [SwitchB] ssh user client001 service-type stelnet authentication-type password
    • Estabeleça uma conexão com o servidor Stelnet: # Atribuir um endereço IP à interface VLAN 2.
    <SwitchA> system-view
                     [SwitchA] interface vlan-interface 2
                     [SwitchA-Vlan-interface2] ip address 192.168.1.56 255.255.255.0
                     [SwitchA-Vlan-interface2] quit
                     [SwitchA] quit

    Antes de estabelecer uma conexão com o servidor, você pode configurar a chave pública do host do servidor no cliente para autenticar o servidor.

    • Para configurar a chave pública do host do servidor no cliente, execute as seguintes tarefas:

    # Use o comando display public-key local dsa public no servidor para exibir a chave pública do host do servidor. (Os detalhes não são mostrados).

    # Entre na visualização da chave pública do cliente e copie a chave pública do host do servidor para o cliente.

    [SwitchA] public-key peer key1
                     Enter public key view. Return to system view with "peer-public-key end" command.
                     [SwitchA-pkey-public-key-key1]308201B73082012C06072A8648CE3804013082011F028181
                     0
                     0D757262C4584C44C211F18BD96E5F0
                     [SwitchA-pkey-public-key-key1]61C4F0A423F7FE6B6B85B34CEF72CE14A0D3A5222FE08CEC
                     E
                     65BE6C265854889DC1EDBD13EC8B274
                     [SwitchA-pkey-public-key-key1]DA9F75BA26CCB987723602787E922BA84421F22C3C89CB9B
                     0
                     6FD60FE01941DDD77FE6B12893DA76E
                     [SwitchA-pkey-public-key-key1]EBC1D128D97F0678D7722B5341C8506F358214B16A2FAC4B
                     3
                     68950387811C7DA33021500C773218C
                     [SwitchA-pkey-public-key-key1]737EC8EE993B4F2DED30F48EDACE915F0281810082269009
                     E
                     14EC474BAF2932E69D3B1F18517AD95
                     [SwitchA-pkey-public-key-key1]94184CCDFCEAE96EC4D5EF93133E84B47093C52B20CD35D0
                     2
                     492B3959EC6499625BC4FA5082E22C5
                     [SwitchA-pkey-public-key-key1]B374E16DD00132CE71B020217091AC717B612391C76C1FB2
                     E
                     88317C1BD8171D41ECB83E210C03CC9
                     [SwitchA-pkey-public-key-key1]B32E810561C21621C73D6DAAC028F4B1585DA7F42519718C
                     C
                     9B09EEF0381840002818000AF995917
                     [SwitchA-pkey-public-key-key1]E1E570A3F6B1C2411948B3B4FFA256699B3BF871221CC9C5
                     D
                     F257523777D033BEE77FC378145F2AD
                     [SwitchA-pkey-public-key-key1]D716D7DB9FCABB4ADBF6FB4FDB0CA25C761B308EF53009F7
                     1
                     01F7C62621216D5A572C379A32AC290
                     [SwitchA-pkey-public-key-key1]E55B394A217DA38B65B77F0185C8DB8095522D1EF044B465
                     E
                     8716261214A5A3B493E866991113B2D
                     [SwitchA-pkey-public-key-key1]485348
                     [SwitchA-pkey-public-key-key1] peer-public-key end
                     [SwitchA] quit

    # Estabeleça uma conexão SSH com o servidor e especifique a chave pública do host do servidor.

    <SwitchA> ssh2 192.168.1.40 public-key key1
                     Username: client001
                     Press CTRL+C to abort.
                     Connecting to 192.168.1.40 port 22.
                     client001@192.168.1.40's password:
                     Enter a character ~ and a dot to abort.
                     ******************************************************************************
                     * Copyright (c) 2004-2017 New Intelbras Technologies Co., Ltd. All rights reserved.*
                     * Without the owner's prior written consent, *
                     * no decompiling or reverse-engineering shall be allowed. *
                     ******************************************************************************
                     <SwitchB>

    Depois de digitar o nome de usuário client001 e a senha hello12345, você poderá se conectar com sucesso ao Switch B.

    • Se o cliente não tiver a chave pública do host do servidor, digite o nome de usuário client001 e, em seguida, digite y para acessar o servidor e fazer download da chave pública do host do servidor.
    <SwitchA> ssh2 192.168.1.40
                     Username: client001
                     Press CTRL+C to abort.
                     Connecting to 192.168.1.40 port 22.
                     The server is not authenticated. Continue? [Y/N]:y
                     Do you want to save the server public key? [Y/N]:y
                     client001@192.168.1.40's password:
                     Enter a character ~ and a dot to abort.
                     ******************************************************************************
                     * Copyright (c) 2004-2017 New Intelbras Technologies Co., Ltd. All rights reserved.*
                     * Without the owner's prior written consent, *
                     * no decompiling or reverse-engineering shall be allowed. *
                     ******************************************************************************
                     <SwitchB>

    Depois de digitar a senha hello12345, você poderá acessar o Switch B com sucesso. Na próxima tentativa de conexão, o cliente autentica o servidor usando a chave pública do host do servidor salva no cliente.

    Exemplo: Configuração do dispositivo como um cliente Stelnet (autenticação de chave pública)

    Configuração de rede

    Conforme mostrado na Figura 11:

    • O switch B atua como servidor Stelnet e usa autenticação de chave pública e o algoritmo de chave pública DSA.
    • O Switch A atua como cliente Stelnet. Depois que o usuário no Switch A fizer login no Switch B por meio da Stelnet, o usuário poderá configurar e gerenciar o Switch B como administrador de rede.

    Figura 11 Diagrama de rede

    Procedimento

    Na configuração do servidor, é necessária a chave pública do host do cliente. Gere um par de chaves DSA no cliente antes de configurar o servidor Stelnet.

    • Configure o cliente Stelnet:

    # Atribuir um endereço IP à interface VLAN 2.

    <SwitchA>  system-view
                     [SwitchA] interface vlan-interface 2
                     [SwitchA-Vlan-interface2] ip address 192.168.1.56 255.255.255.0
                     [SwitchA-Vlan-interface2] quit

    # Gerar um par de chaves DSA.

    [SwitchA] public-key local create dsa
                     The range of public key modulus is (512 ~ 2048).
                     If the key modulus is greater than 512, it will take a few minutes.
                     Press CTRL+C to abort.
                     Input the modulus length [default = 1024]:
                     Generating Keys...
                     .++++++++++++++++++++++++++++++++++++++++++++++++++*
                     ........+......+.....+......................................+
                     ...+.................+..........+...+
                     Create the key pair successfully.

    # Exporte a chave pública do host DSA para um arquivo de chave pública chamado key.pub. 

    [SwitchA] public-key local export dsa ssh2 key.pub
                     [SwitchA] quit

    # Transmita o arquivo de chave pública key.pub para o servidor por meio de FTP ou TFTP. (Detalhes não mostrados.)

    • Configure o servidor Stelnet: # Gerar pares de chaves RSA.
    <SwitchB> system-view
                     [SwitchB] public-key local create rsa
                     The range of public key modulus is (512 ~ 4096)
                     If the key modulus is greater than 512, it will take a few minutes.
                     Press CTRL+C to abort.
                     Switch A Switch B
                     Vlan-int2
                     192.168.1.56/24
                     Vlan-int2
                     192.168.1.40/24
                     Stelnet client Stelnet server
                     41
                     Input the modulus length [default = 1024]:
                     Generating Keys...
                     ........................++++++
                     ...................++++++
                     ..++++++++
                     ............++++++++
                     Create the key pair successfully.

    # Gerar um par de chaves DSA.

    [SwitchB] public-key local create dsa
                     The range of public key modulus is (512 ~ 2048).
                     If the key modulus is greater than 512, it will take a few minutes.
                     Press CTRL+C to abort.
                     Input the modulus length [default = 1024]:
                     Generating Keys...
                     .++++++++++++++++++++++++++++++++++++++++++++++++++*
                     ........+......+.....+......................................+
                     ...+.................+..........+...+
                     Create the key pair successfully.

    # Gerar um par de chaves ECDSA.

    [SwitchB] public-key local create ecdsa secp256r1
                     Generating Keys...
                     .
                     Create the key pair successfully.

    # Habilite o servidor Stelnet.

    [SwitchB] ssh server enable.

    # Atribuir um endereço IP à interface VLAN 2. O cliente Stelnet usa esse endereço como o endereço de destino para a conexão SSH.

    [SwitchB] interface vlan-interface 2
                     [SwitchB-Vlan-interface2] ip address 192.168.1.40 255.255.255.0
                     [SwitchB-Vlan-interface2] quit

    # Defina o modo de autenticação como AAA para linhas de usuário.

    [SwitchB] line vty 0 63
                     [SwitchB-line-vty0-63] authentication-mode scheme
                     [SwitchB-line-vty0-63] quit

    # Importe a chave pública do par do arquivo de chave pública key.pub e nomeie-a como switchkey.

    [SwitchB] public-key peer switchkey import sshkey key.pub.

    # Crie um usuário SSH chamado client002. Especifique o método de autenticação como publickey para o usuário. Atribua a chave pública switchkey ao usuário.

    [SwitchB] ssh user client002 service-type stelnet authentication-type publickey 
                     assign publickey switchkey

    # Crie um usuário de gerenciamento de dispositivo local chamado client002.

    [Switch] local-user client002 class manage

    # Autorize o usuário local client002 a usar o serviço SSH.

    [SwitchB-luser-manage-client002] service-type ssh

    # Atribua a função de usuário administrador de rede ao usuário local client002.

    [SwitchB-luser-manage-client002] authorization-attribute user-role network-admin
                     [SwitchB-luser-manage-client002] quit
    • Estabeleça uma conexão SSH com o servidor Stelnet.
    <SwitchA> ssh2 192.168.1.40 identity-key dsa
                     Username: client002
                     Press CTRL+C to abort.
                     Connecting to 192.168.1.40 port 22.
                     The server is not authenticated. Continue? [Y/N]:y
                     Do you want to save the server public key? [Y/N]:n
                     Enter a character ~ and a dot to abort.
                     ******************************************************************************
                     * Copyright (c) 2004-2017 New Intelbras Technologies Co., Ltd. All rights reserved.*
                     * Without the owner's prior written consent, *
                     * no decompiling or reverse-engineering shall be allowed. *
                     ******************************************************************************
                     <SwitchB>

    Depois de digitar o nome de usuário client002 e, em seguida, digitar y para continuar acessando o servidor, você poderá fazer login no servidor com êxito.

    Exemplo: Configuração de Stelnet com base em algoritmos Suite B de 128 bits

    Configuração de rede

    Conforme mostrado na Figura 12:

    • O switch B atua como servidor Stelnet Suite B (SSH2) e usa autenticação de chave pública para autenticar o cliente Stelnet.
    • O Switch A atua como um cliente do Stelnet Suite B (SSH2). Depois que o usuário do Switch A faz login no Switch B por meio do software cliente Stelnet Suite B, ele pode configurar e gerenciar o Switch B como administrador.

    Figura 12 Diagrama de rede

    Procedimento

    • Gerar o certificado do cliente e o certificado do servidor. (Detalhes não mostrados).

    Primeiro, você deve configurar os certificados do servidor e do cliente, pois eles são necessários para a autenticação de identidade entre as duas partes.

    Neste exemplo, o arquivo de certificado do servidor é ssh-server-ecdsa256.p12 e o arquivo de certificado do cliente é ssh-client-ecdsa256.p12.

    • Configure o cliente Stelnet:

    Você pode modificar a versão pkix do software cliente OpenSSH para oferecer suporte ao Suite B. Este exemplo usa um switch Intelbras como cliente Stelnet.

    # Fazer upload do arquivo de certificado do servidor ssh-server-ecdsa256.p12 e do arquivo de certificado do cliente

    ssh-client-ecdsa256.p12 para o cliente Stelnet por meio de FTP ou TFTP. (Detalhes não mostrados).

    # Crie um domínio PKI chamado server256 para verificar o certificado do servidor e insira sua visualização.

    <SwitchA> system-view
                     [SwitchA] pki domain server256

    # Desativar a verificação de CRL.

    [SwitchA-pki-domain-server256] undo crl check enable
                     [SwitchA-pki-domain-server256] quit

    # Importar o arquivo de certificado local ssh-server-ecdsa256.p12 para o servidor de domínio PKI256.

    [SwitchA] pki import domain server256 p12 local filename ssh-server-ecdsa256.p12
                     The system is going to save the key pair. You must specify a key pair name, which is 
                     a case-insensitive string of 1 to 64 characters. Valid characters include a to z, A
                     to Z, 0 to 9, and hyphens (-).
                     Please enter the key pair name[default name: server256]:

    # Exibir informações sobre os certificados locais no servidor de domínio PKI256.

    [SwitchA] display pki certificate domain server256 local
                     Certificate:
                     Data:
                     Version: 3 (0x2)
                     Serial Number: 3 (0x3)
                     Signature Algorithm: ecdsa-with-SHA256
                     Issuer: C=CN, ST=Beijing, L=Beijing, O=Intelbras, OU=Software, CN=SuiteB CA
                     Validity
                     Not Before: Aug 21 08:39:51 2015 GMT
                     Not After : Aug 20 08:39:51 2016 GMT
                     Subject: C=CN, ST=Beijing, O=Intelbras, OU=Software, CN=SSH Server secp256
                     Subject Public Key Info:
                     Public Key Algorithm: id-ecPublicKey
                     Public-Key: (256 bit)
                     pub:
                     04:a2:b4:b4:66:1e:3b:d5:50:50:0e:55:19:8d:52:
                     6d:47:8c:3d:3d:96:75:88:2f:9a:ba:a2:a7:f9:ef:
                     0a:a9:20:b7:b6:6a:90:0e:f8:c6:de:15:a2:23:81:
                     3c:9e:a2:b7:83:87:b9:ad:28:c8:2a:5e:58:11:8e:
                     c7:61:4a:52:51
                     ASN1 OID: prime256v1
                     NIST CURVE: P-256
                     X509v3 extensions:
                     X509v3 Basic Constraints:
                     CA:FALSE
                     Netscape Comment:
                     OpenSSL Generated Certificate
                     X509v3 Subject Key Identifier:
                     08:C1:F1:AA:97:45:19:6A:DA:4A:F2:87:A1:1A:E8:30:BD:31:30:D7
                     X509v3 Authority Key Identifier:
                     keyid:5A:BE:85:49:16:E5:EB:33:80:25:EB:D8:91:50:B4:E6:3E:4F:B8:22
                     Signature Algorithm: ecdsa-with-SHA256
                     30:65:02:31:00:a9:16:e9:c1:76:f0:32:fc:4b:f9:8f:b6:7f:
                     31:a0:9f:de:a7:cc:33:29:27:2c:71:2e:f9:0d:74:cb:25:c9:
                     00:d2:52:18:7f:58:3f:cc:7e:8b:d3:42:65:00:cb:63:f8:02:
                     30:01:a2:f6:a1:51:04:1c:61:78:f6:6b:7e:f9:f9:42:8d:7c:
                     a7:bb:47:7c:2a:85:67:0d:81:12:0b:02:98:bc:06:1f:c1:3c:
                     9b:c2:1b:4c:44:38:5a:14:b2:48:63:02:2b

    # Crie um domínio PKI chamado client256 para o certificado do cliente e insira sua visualização.

    [SwitchA] pki domain client256

    # Desativar a verificação de CRL.

    [SwitchA-pki-domain-client256] undo crl check enable
                     [SwitchA-pki-domain-client256] quit

    # Importar o arquivo de certificado local ssh-client-ecdsa256.p12 para o domínio PKI client256.

    [SwitchA] pki import domain client256 p12 local filename ssh-client-ecdsa256.p12
                     The system is going to save the key pair. You must specify a key pair name, which is 
                     a case-insensitive string of 1 to 64 characters. Valid characters include a to z, A 
                     to Z, 0 to 9, and hyphens (-).
                     Please enter the key pair name[default name: client256]:

    # Exibir informações sobre certificados locais no domínio PKI client256. 

    [SwitchA] display pki certificate domain client256 local
                     Certificate:
                     Data:
                     Version: 3 (0x2)
                     Serial Number: 4 (0x4)
                     Signature Algorithm: ecdsa-with-SHA256
                     Issuer: C=CN, ST=Beijing, L=Beijing, O=Intelbras, OU=Software, CN=SuiteB CA
                     Validity
                     Not Before: Aug 21 08:41:09 2015 GMT
                     Not After : Aug 20 08:41:09 2016 GMT
                     Subject: C=CN, ST=Beijing, O=Intelbras, OU=Software, CN=SSH Client secp256
                     Subject Public Key Info:
                     Public Key Algorithm: id-ecPublicKey
                     Public-Key: (256 bit)
                     pub:
                     04:da:e2:26:45:87:7a:63:20:e7:ca:7f:82:19:f5:
                     96:88:3e:25:46:f8:2f:9a:4c:70:61:35:db:e4:39:
                     b8:38:c4:60:4a:65:28:49:14:32:3c:cc:6d:cd:34:
                     29:83:84:74:a7:2d:0e:75:1c:c2:52:58:1e:22:16:
                     12:d0:b4:8a:92
                     ASN1 OID: prime256v1
                     NIST CURVE: P-256
                     X509v3 extensions:
                     X509v3 Basic Constraints:
                     CA:FALSE
                     Netscape Comment:
                     OpenSSL Generated Certificate
                     X509v3 Subject Key Identifier:
                     1A:61:60:4D:76:40:B8:BA:5D:A1:3C:60:BC:57:98:35:20:79:80:FC
                     X509v3 Authority Key Identifier:
                     keyid:5A:BE:85:49:16:E5:EB:33:80:25:EB:D8:91:50:B4:E6:3E:4F:B8:22
                     Signature Algorithm: ecdsa-with-SHA256
                     30:66:02:31:00:9a:6d:fd:7d:ab:ae:54:9a:81:71:e6:bb:ad:
                     5a:2e:dc:1d:b3:8a:bf:ce:ee:71:4e:8f:d9:93:7f:a3:48:a1:
                     5c:17:cb:22:fa:8f:b3:e5:76:89:06:9f:96:47:dc:34:87:02:
                     31:00:e3:af:2a:8f:d6:8d:1f:3a:2b:ae:2f:97:b3:52:63:b6:
                     18:67:70:2c:93:2a:41:c0:e7:fa:93:20:09:4d:f4:bf:d0:11:
                     66:0f:48:56:01:1e:c3:be:37:4e:49:19:cf:c6

    # Atribuir um endereço IP à interface VLAN 2.

    <SwitchA>  system-view
                     [SwitchA] interface vlan-interface 2
                     [SwitchA-Vlan-interface2] ip address 192.168.1.56 255.255.255.0
                     [SwitchA-Vlan-interface2] quit
    • Configure o servidor Stelnet:

    # Fazer upload do arquivo de certificado do servidor ssh-server-ecdsa256.p12 e do arquivo de certificado do cliente

    ssh-client-ecdsa256.p12 para o servidor Stelnet por meio de FTP ou TFTP. (Detalhes não mostrados.)

    # Crie um domínio PKI chamado client256 para verificar o certificado do cliente e importe o arquivo do certificado do cliente para esse domínio. (Detalhes não mostrados.)

    # Crie um domínio PKI chamado server256 para o certificado do servidor e importe o arquivo do certificado do servidor para esse domínio. (Detalhes não mostrados.)

    # Especifique os algoritmos do Suite B para negociação de algoritmos.

     system-view
                     [SwitchB] ssh2 algorithm key-exchange ecdh-sha2-nistp256
                     [SwitchB] ssh2 algorithm cipher aes128-gcm
                     [SwitchB] ssh2 algorithm public-key x509v3-ecdsa-sha2-nistp256 
                     x509v3-ecdsa-sha2-nistp384

    # Especifique server256 como o domínio PKI do certificado do servidor.

    [SwitchB] ssh server pki-domain server256

    # Habilite o servidor Stelnet.

    [SwitchB] ssh server enable.

    # Atribuir um endereço IP à interface VLAN 2.

    [SwitchB] interface vlan-interface 2
                     [SwitchB-Vlan-interface2] ip address 192.168.1.40 255.255.255.0
                     [SwitchB-Vlan-interface2] quit

    # Defina o modo de autenticação como AAA para linhas de usuário.

    [SwitchB] line vty 0 63
                     [SwitchB-line-vty0-63] authentication-mode scheme
                     [SwitchB-line-vty0-63] quit

    # Crie um usuário de gerenciamento de dispositivo local chamado client001. Autorize o usuário a usar o SSH

    e atribua a função de usuário administrador de rede ao usuário.

    [SwitchB] local-user client001 class manage [SwitchB-luser-manage-client001] service-type ssh

    [SwitchB-luser-manage-client001] authorization-attribute user-role network-admin
                     [SwitchB-luser-manage-client001] quit

    # Crie um usuário SSH chamado client001. Especifique o método de autenticação de chave pública para o usuário

    e especifique client256 como o domínio PKI para verificar o certificado do cliente. 

    [SwitchB] ssh user client001 service-type stelnet authentication-type publickey 
                     assign pki-domain client256
    • Estabeleça uma conexão SSH com o servidor Stelnet com base nos algoritmos Suite B de 128 bits: # Estabeleça uma conexão SSH com o servidor em 192.168.1.40.
     ssh2 192.168.1.40 suite-b 128-bit pki-domain client256 server-pki-domain 
                     server256
                     Username: client001
                     Press CTRL+C to abort.
                     Connecting to 192.168.1.40 port 22.
                     Enter a character ~ and a dot to abort.
                     ******************************************************************************
                     * Copyright (c) 2004-2017 New Intelbras Technologies Co., Ltd. All rights reserved.*
                     * Without the owner's prior written consent, *
                     * no decompiling or reverse-engineering shall be allowed. *
                     ******************************************************************************

    Exemplos de configuração de SFTP

    Salvo indicação em contrário, os dispositivos nos exemplos de configuração operam no modo não-FIPS.

    Quando o dispositivo atua como um servidor SFTP operando no modo FIPS, somente os pares de chaves ECDSA e RSA são compatíveis. Não gere um par de chaves DSA no servidor SFTP.

    Exemplo: Configuração do dispositivo como um servidor SFTP (autenticação por senha)

    Configuração de rede

    Conforme mostrado na Figura 13:

    • O switch atua como servidor SFTP e usa a autenticação por senha para autenticar o cliente SFTP. O nome de usuário e a senha do cliente são salvos no switch.
    • O host atua como cliente SFTP. Depois que o usuário no cliente faz login no switch por meio do SFTP, ele pode executar operações de gerenciamento e transferência de arquivos no switch como administrador de rede.

    Figura 13 Diagrama de rede

    Procedimento

    • Configure o servidor SFTP:

    # Gerar pares de chaves RSA.

     system-view
                     [Switch] public-key local create rsa
                     The range of public key modulus is (512 ~ 4096).
                     If the key modulus is greater than 512, it will take a few minutes.
                     Press CTRL+C to abort.
                     Input the modulus length [default = 1024]:
                     SFTP client SFTP server
                     Generating Keys...
                     ........................++++++
                     ...................++++++
                     ..++++++++
                     ............++++++++
                     Create the key pair successfully.

    # Gerar um par de chaves DSA.

    [Switch] public-key local create dsa
                     The range of public key modulus is (512 ~ 2048).
                     If the key modulus is greater than 512, it will take a few minutes.
                     Press CTRL+C to abort.
                     Input the modulus length [default = 1024]:
                     Generating Keys...
                     .++++++++++++++++++++++++++++++++++++++++++++++++++*
                     ........+......+.....+......................................+
                     ...+.................+..........+...+
                     Create the key pair successfully.

    # Gerar um par de chaves ECDSA.

    [Switch] public-key local create ecdsa secp256r1
                     Generating Keys...
                     .
                     Create the key pair successfully.

    # Habilite o servidor SFTP.

    [Switch] sftp server enable

    # Atribua um endereço IP à interface VLAN 2. O cliente usa esse endereço como o destino da conexão SSH.

    [Switch] interface vlan-interface 2
                     [Switch-Vlan-interface2] ip address 192.168.1.45 255.255.255.0
                     [Switch-Vlan-interface2] quit

    # Crie um usuário de gerenciamento de dispositivo local chamado client002.

    [Switch] local-user client002 class manage

    # Defina a senha como hello12345 em texto simples para o usuário local client002.

    [Switch-luser-manage-client002] password simple hello12345

    # Autorize o usuário local client002 a usar o serviço SSH.

    [Switch-luser-manage-client002] service-type ssh

    # Atribua a função de usuário network-admin e o diretório de trabalho flash:/ ao usuário local client002.

    [Switch-luser-manage-client002] authorization-attribute user-role network-admin 
                     work-directory flash:/
                     [Switch-luser-manage-client002] quit

    # Crie um usuário SSH chamado client002. Especifique o método de autenticação como senha e o tipo de serviço como sftp para o usuário.

    [Switch] ssh user client002 service-type sftp authentication-type password
    • Estabeleça uma conexão entre o cliente SFTP e o servidor SFTP:

    Este exemplo usa um cliente SFTP que executa o PSFTP do PuTTy versão 0.58. O PSFTP suporta apenas autenticação por senha.

    Para estabelecer uma conexão com o servidor SFTP:

    • Execute o psftp.exe para iniciar a interface do cliente mostrada na Figura 14 e digite o seguinte comando:

    abrir 192.168.1.45

    • Digite o nome de usuário client002 e a senha hello12345 para fazer login no servidor SFTP.

    Figura 14 Interface do cliente SFTP

    Exemplo: Configuração do dispositivo como um cliente SFTP (autenticação de chave pública)

    Configuração de rede

    Conforme mostrado na Figura 15:

    • O switch B atua como servidor SFTP e usa autenticação de chave pública e o algoritmo de chave pública RSA.
    • O Switch A atua como cliente SFTP. Depois que o usuário do Switch A fizer login no Switch B por meio do SFTP, ele poderá executar operações de gerenciamento e transferência de arquivos no Switch B como administrador da rede .

    Figura 15 Diagrama de rede

    Procedimento

    Na configuração do servidor, é necessária a chave pública do host do cliente. Gere pares de chaves RSA no cliente antes de configurar o servidor SFTP.

    • Configure o cliente SFTP:

    # Atribuir um endereço IP à interface VLAN 2.

     system-view
                     [SwitchA] interface vlan-interface 2
                     [SwitchA-Vlan-interface2] ip address 192.168.0.2 255.255.255.0
                     [SwitchA-Vlan-interface2] quit

    # Gerar pares de chaves RSA.

    [SwitchA] public-key local create rsa
                     The range of public key size is (512 ~ 4096).
                     If the key modulus is greater than 512, it will take a few minutes.
                     Press CTRL+C to abort.
                     Input the modulus length [default = 1024]:
                     Generating Keys...
                     ........................++++++
                     ...................++++++
                     ..++++++++
                     ............++++++++
                     Create the key pair successfully.

    # Exporte a chave pública do host para um arquivo de chave pública chamado pubkey. 

    [SwitchA] public-key local export rsa ssh2 pubkey
                     [SwitchA] quit

    # Transmita o arquivo de chave pública pubkey para o servidor por meio de FTP ou TFTP. (Detalhes não mostrados.)

    • Configure o servidor SFTP: # Gerar pares de chaves RSA.
     system-view
                     [SwitchB] public-key local create rsa
                     The range of public key size is (512 ~ 4096).
                     If the key modulus is greater than 512, it will take a few minutes.
                     Press CTRL+C to abort.
                     Input the modulus length [default = 1024]:
                     Generating Keys...
                     ........................++++++
                     ...................++++++
                     ..++++++++
                     ............++++++++
                     Create the key pair successfully.

    # Gerar um par de chaves DSA.

    [SwitchB] public-key local create dsa
                     The range of public key size is (512 ~ 2048).
                     If the key modulus is greater than 512, it will take a few minutes.
                     Press CTRL+C to abort.
                     Input the modulus length [default = 1024]:
                     Generating Keys...
                     .++++++++++++++++++++++++++++++++++++++++++++++++++*
                     ........+......+.....+......................................+
                     ...+.................+..........+...+
                     Create the key pair successfully.

    # Gerar um par de chaves ECDSA.

    [SwitchB] public-key local create ecdsa secp256r1
                     Generating Keys...
                     .
                     Create the key pair successfully.

    # Habilite o servidor SFTP.

    [SwitchB] sftp server enable

    # Atribua um endereço IP à interface VLAN 2. O cliente SSH usa esse endereço como o destino da conexão SSH.

    [SwitchB] interface vlan-interface 2
                     [SwitchB-Vlan-interface2] ip address 192.168.0.1 255.255.255.0
                     [SwitchB-Vlan-interface2] quit

    # Importe a chave pública do par do arquivo de chave pública pubkey e nomeie-a como switchkey.

    [SwitchB] public-key peer switchkey import sshkey pubkey

    # Crie um usuário SSH chamado client001. Especifique o tipo de serviço como sftp e o método de autenticação como publickey para o usuário. Atribua a chave pública switchkey ao usuário.

    [SwitchB] ssh user client001 service-type sftp authentication-type publickey assign 
                     publickey switchkey

    # Crie um usuário de gerenciamento de dispositivo local chamado client001.

    [SwitchB] local-user client001 class manage

    # Autorize o usuário local client001 a usar o serviço SSH.

    [SwitchB-luser-manage-client001] service-type ssh

    # Atribua a função de usuário network-admin e o diretório de trabalho flash:/ ao usuário local client001. 

    [SwitchB-luser-manage-client001] authorization-attribute user-role network-admin 
                     work-directory flash:/
                     [SwitchB-luser-manage-client001] quit
    • Estabeleça uma conexão com o servidor SFTP:

    # Estabeleça uma conexão com o servidor SFTP e entre na exibição do cliente SFTP.

     sftp 192.168.0.1 identity-key rsa
                     Username: client001
                     Press CTRL+C to abort.
                     Connecting to 192.168.0.1 port 22.
                     The server is not authenticated. Continue? [Y/N]:y
                     Do you want to save the server public key? [Y/N]:n
                     sftp>

    # Exibir arquivos no diretório atual do servidor, excluir o arquivo z e verificar o resultado.

    sftp> dir -l
                     -rwxrwxrwx 1 noone nogroup 1759 Aug 23 06:52 config.cfg
                     -rwxrwxrwx 1 noone nogroup 225 Aug 24 08:01 pubkey2
                     -rwxrwxrwx 1 noone nogroup 283 Aug 24 07:39 pubkey
                     drwxrwxrwx 1 noone nogroup 0 Sep 01 06:22 new
                     -rwxrwxrwx 1 noone nogroup 225 Sep 01 06:55 pub
                     -rwxrwxrwx 1 noone nogroup 0 Sep 01 08:00 z
                     sftp> delete z
                     Removing /z
                     sftp> dir -l
                     -rwxrwxrwx 1 noone nogroup 1759 Aug 23 06:52 config.cfg
                     -rwxrwxrwx 1 noone nogroup 225 Aug 24 08:01 pubkey2
                     -rwxrwxrwx 1 noone nogroup 283 Aug 24 07:39 pubkey
                     drwxrwxrwx 1 noone nogroup 0 Sep 01 06:22 new
                     -rwxrwxrwx 1 noone nogroup 225 Sep 01 06:55 pub

    # Adicione um diretório chamado new1 e verifique o resultado.

    sftp> mkdir new1
                     sftp> dir -l
                     51
                     -rwxrwxrwx 1 noone nogroup 1759 Aug 23 06:52 config.cfg
                     -rwxrwxrwx 1 noone nogroup 225 Aug 24 08:01 pubkey2
                     -rwxrwxrwx 1 noone nogroup 283 Aug 24 07:39 pubkey
                     drwxrwxrwx 1 noone nogroup 0 Sep 01 06:22 new
                     -rwxrwxrwx 1 noone nogroup 225 Sep 01 06:55 pub
                     drwxrwxrwx 1 noone nogroup 0 Sep 02 06:30 new1

    # Altere o nome do diretório new1 para new2 e verifique o resultado.

    sftp> rename new1 new2
                     sftp> dir -l
                     -rwxrwxrwx 1 noone nogroup 1759 Aug 23 06:52 config.cfg
                     -rwxrwxrwx 1 noone nogroup 225 Aug 24 08:01 pubkey2
                     -rwxrwxrwx 1 noone nogroup 283 Aug 24 07:39 pubkey
                     drwxrwxrwx 1 noone nogroup 0 Sep 01 06:22 new
                     -rwxrwxrwx 1 noone nogroup 225 Sep 01 06:55 pub
                     drwxrwxrwx 1 noone nogroup 0 Sep 02 06:33 new2

    # Faça o download do arquivo pubkey2 do servidor e salve-o como um arquivo local chamado public.

    sftp> sftp> get pubkey2 public
                     Fetching / pubkey2 to public
                     /pubkey2 100% 225 1.4KB/s 00:00

    Fazendo upload do pu para / puk sftp> dir -l

    sftp> put pu puk
                     Uploading pu to / puk
                     sftp> dir -l
                     -rwxrwxrwx 1 noone nogroup 1759 Aug 23 06:52 config.cfg
                     -rwxrwxrwx 1 noone nogroup 225 Aug 24 08:01 pubkey2
                     -rwxrwxrwx 1 noone nogroup 283 Aug 24 07:39 pubkey
                     drwxrwxrwx 1 noone nogroup 0 Sep 01 06:22 new
                     drwxrwxrwx 1 noone nogroup 0 Sep 02 06:33 new2
                     -rwxrwxrwx 1 noone nogroup 283 Sep 02 06:35 pub
                     -rwxrwxrwx 1 noone nogroup 283 Sep 02 06:36 puk
                     sftp>

    # Sair da exibição do cliente SFTP.

    sftp> quit

    Exemplo: Configuração de SFTP com base em algoritmos Suite B de 192 bits

    Configuração de rede

    Conforme mostrado na Figura 16:

    • O switch B atua como servidor SFTP Suite B (SSH2) e usa autenticação de chave pública para autenticar o cliente SFTP.
    • O Switch A atua como um cliente do SFTP Suite B (SSH2). Depois que o usuário do Switch A fizer login no Switch B com base no software cliente SFTP Suite B, ele poderá gerenciar e transferir arquivos no Switch B como administrador.

    Figura 16 Diagrama de rede

    Procedimento

    • Gerar o certificado do cliente e o certificado do servidor. (Detalhes não mostrados).

    Primeiro, você deve configurar os certificados do servidor e do cliente, pois eles são necessários para a autenticação de identidade entre as duas partes.

    Neste exemplo, o arquivo de certificado do servidor é ssh-server-ecdsa384.p12 e o arquivo de certificado do cliente é ssh-client-ecdsa384.p12.

    • Configure o cliente SFTP:

    Você pode modificar a versão pkix do software cliente OpenSSH para oferecer suporte ao Suite B. Este exemplo usa um switch Intelbras como cliente SFTP.

    # Fazer upload do arquivo de certificado do servidor ssh-server-ecdsa384.p12 e do arquivo de certificado do cliente

    ssh-client-ecdsa384.p12 para o cliente SFTP por meio de FTP ou TFTP. (Detalhes não mostrados.)

    # Crie um domínio PKI chamado server384 para verificar o certificado do servidor e insira sua visualização.

    <SwitchA> system-view
                     [SwitchA] pki domain server384

    # Desabilita a verificação de CRL.

    [SwitchA-pki-domain-server384] undo crl check enable
                     [SwitchA-pki-domain-server384] quit

    # Importar o arquivo de certificado local ssh-server-ecdsa384.p12 para o servidor de domínio PKI384.

    [SwitchA] pki import domain server384 p12 local filename ssh-server-ecdsa384.p12
                     The system is going to save the key pair. You must specify a key pair name, which is 
                     a case-insensitive string of 1 to 64 characters. Valid characters include a to z, A 
                     to Z, 0 to 9, and hyphens (-).
                     Please enter the key pair name[default name: server384]:

    # Exibir informações sobre os certificados locais no servidor de domínio PKI384. 

    [SwitchA] display pki certificate domain server384 local
                     Certificate:
                     Data:
                     Version: 3 (0x2)
                     Serial Number: 1 (0x1)
                     Signature Algorithm: ecdsa-with-SHA384
                     Issuer: C=CN, ST=Beijing, L=Beijing, O=Intelbras, OU=Software, CN=SuiteB CA
                     Validity
                     Not Before: Aug 20 10:08:41 2015 GMT
                     Not After : Aug 19 10:08:41 2016 GMT
                     Subject: C=CN, ST=Beijing, O=Intelbras, OU=Software, CN=ssh server
                     Subject Public Key Info:
                     Public Key Algorithm: id-ecPublicKey
                     Public-Key: (384 bit)
                     pub:
                     04:4a:33:e5:99:8d:49:45:a7:a3:24:7b:32:6a:ed:
                     b6:36:e1:4d:cc:8c:05:22:f4:3a:7c:5d:b7:be:d1:
                     e6:9e:f0:ce:95:39:ca:fd:a0:86:cd:54:ab:49:60:
                     SFTP client SFTP server
                     Switch A Switch B
                     Vlan-int2
                     192.168.0.2/24
                     Vlan-int2
                     192.168.0.1/24
                     10:be:67:9f:90:3a:18:e2:7d:d9:5f:72:27:09:e7:
                     bf:7e:64:0a:59:bb:b3:7d:ae:88:14:94:45:b9:34:
                     d2:f3:93:e1:ba:b4:50:15:eb:e5:45:24:31:10:c7:
                     07:01:f9:dc:a5:6f:81
                     ASN1 OID: secp384r1
                     NIST CURVE: P-384
                     X509v3 extensions:
                     X509v3 Basic Constraints:
                     CA:FALSE
                     Netscape Comment:
                     OpenSSL Generated Certificate
                     X509v3 Subject Key Identifier:
                     10:16:64:2C:DA:C1:D1:29:CD:C0:74:40:A9:70:BD:62:8A:BB:F4:D5
                     X509v3 Authority Key Identifier:
                     keyid:5A:BE:85:49:16:E5:EB:33:80:25:EB:D8:91:50:B4:E6:3E:4F:B8:22
                     Signature Algorithm: ecdsa-with-SHA384
                     30:65:02:31:00:80:50:7a:4f:c5:cd:6a:c3:57:13:7f:e9:da:
                     c1:72:7f:45:30:17:c2:a7:d3:ec:73:3d:5f:4d:e3:96:f6:a3:
                     33:fb:e4:b9:ff:47:f1:af:9d:e3:03:d2:24:53:40:09:5b:02:
                     30:45:d1:bf:51:fd:da:22:11:90:03:f9:d4:05:ec:d6:7c:41:
                     fc:9d:a1:fd:5b:8c:73:f8:b6:4c:c3:41:f7:c6:7f:2f:05:2d:
                     37:f8:52:52:26:99:28:97:ac:6e:f9:c7:01

    # Crie um domínio PKI chamado client384 para o certificado do cliente e insira sua visualização.

    [SwitchA] pki domain client384

    # Desativar a verificação de CRL.

    [SwitchA-pki-domain-client384] undo crl check enable
                     [SwitchA-pki-domain-client384] quit

    # Importar o arquivo de certificado local ssh-client-ecdsa384.p12 para o domínio PKI client384.

    [SwitchA] pki import domain client384 p12 local filename ssh-client-ecdsa384.p12
                     The system is going to save the key pair. You must specify a key pair name, which is 
                     a case-insensitive string of 1 to 64 characters. Valid characters include a to z, A 
                     to Z, 0 to 9, and hyphens (-).
                     Please enter the key pair name[default name: client384]:

    # Exibir informações sobre certificados locais no domínio PKI client384.

    [SwitchA]display pki certificate domain client384 local
                     Certificate:
                     Data:
                     Version: 3 (0x2)
                     Serial Number: 2 (0x2)
                     Signature Algorithm: ecdsa-with-SHA384
                     Issuer: C=CN, ST=Beijing, L=Beijing, O=Intelbras, OU=Software, CN=SuiteB CA
                     Validity
                     Not Before: Aug 20 10:10:59 2015 GMT
                     Not After : Aug 19 10:10:59 2016 GMT
                     Subject: C=CN, ST=Beijing, O=Intelbras, OU=Software, CN=ssh client
                     Subject Public Key Info:
                     Public Key Algorithm: id-ecPublicKey
                     54
                     Public-Key: (384 bit)
                     pub:
                     04:85:7c:8b:f4:7a:36:bf:74:f6:7c:72:f9:08:69:
                     d0:b9:ac:89:98:17:c9:fc:89:94:43:da:9a:a6:89:
                     41:d3:72:24:9b:9a:29:a8:d1:ba:b4:e5:77:ba:fc:
                     df:ae:c6:dd:46:72:ab:bc:d1:7f:18:7d:54:88:f6:
                     b4:06:54:7e:e7:4d:49:b4:07:dc:30:54:4b:b6:5b:
                     01:10:51:6b:0c:6d:a3:b1:4b:c9:d9:6c:d6:be:13:
                     91:70:31:2a:92:00:76
                     ASN1 OID: secp384r1
                     NIST CURVE: P-384
                     X509v3 extensions:
                     X509v3 Basic Constraints:
                     CA:FALSE
                     Netscape Comment:
                     OpenSSL Generated Certificate
                     X509v3 Subject Key Identifier:
                     BD:5F:8E:4F:7B:FE:74:03:5A:D1:94:DB:CA:A7:82:D6:F7:78:A1:B0
                     X509v3 Authority Key Identifier:
                     keyid:5A:BE:85:49:16:E5:EB:33:80:25:EB:D8:91:50:B4:E6:3E:4F:B8:22
                     Signature Algorithm: ecdsa-with-SHA384
                     30:66:02:31:00:d2:06:fa:2c:0b:0d:f0:81:90:01:c3:3d:bf:
                     97:b3:79:d8:25:a0:e2:0e:ed:00:c9:48:3e:c9:71:43:c9:b4:
                     2a:a6:0a:27:80:9e:d4:0f:f2:db:db:5b:40:b1:a9:0a:e4:02:
                     31:00:ee:00:e1:07:c0:2f:12:3f:88:ea:fe:19:05:ef:56:ca:
                     33:71:75:5e:11:c9:a6:51:4b:3e:7c:eb:2a:4d:87:2b:71:7c:
                     30:64:fe:14:ce:06:d5:0a:e2:cf:9a:69:19:ff
    • Configure o servidor SFTP:

    # Fazer upload do arquivo de certificado do servidor ssh-server-ecdsa384.p12 e do arquivo de certificado do cliente

    [SwitchA] interface vlan-interface 2
                     [SwitchA-Vlan-interface2] ip address 192.168.0.2 255.255.255.0
                     [SwitchA-Vlan-interface2] quit
                     [SwitchA] quit

    # Crie um domínio PKI chamado client384 para verificar o certificado do cliente e importe o arquivo do certificado do cliente para esse domínio. (Detalhes não mostrados.)

    # Crie um domínio PKI chamado server384 para o certificado do servidor e importe o arquivo do certificado do servidor para esse domínio. (Detalhes não mostrados.)

    # Especifique os algoritmos da Suíte B para a negociação de algoritmos. [SwitchB] ssh2 algorithm key-exchange ecdh-sha2-nistp384 [SwitchB] ssh2 algorithm cipher aes256-gcm

    [SwitchB] ssh2 algorithm public-key x509v3-ecdsa-sha2-nistp384 # Especifique server384 como o domínio PKI do certificado do servidor. [SwitchB] ssh server pki-domain server384

    # Habilite o servidor SFTP.

    [SwitchB] sftp server enable

    # Atribuir um endereço IP à interface VLAN 2.

    [SwitchB] interface vlan-interface 2
                     [SwitchB-Vlan-interface2] ip address 192.168.0.1 255.255.255.0
                     [SwitchB-Vlan-interface2] quit

    # Defina o modo de autenticação como AAA para linhas de usuário.

    [SwitchB] line vty 0 63
                     [SwitchB-line-vty0-63] authentication-mode scheme
                     [SwitchB-line-vty0-63] quit

    # Crie um usuário de gerenciamento de dispositivo local chamado client001. Autorize o usuário a usar o SSH

    e atribua a função de usuário administrador de rede ao usuário.

    [SwitchB] local-user client001 class manage
                     [SwitchB-luser-manage-client001] service-type ssh
                     [SwitchB-luser-manage-client001] authorization-attribute user-role network-admin
                     [SwitchB-luser-manage-client001] quit

    # Crie um usuário SSH chamado client001. Especifique o método de autenticação de chave pública para o usuário e especifique client384 como o domínio PKI para verificar o certificado do cliente.

    [SwitchB] ssh user client001 service-type sftp authentication-type publickey assign 
                     pki-domain client384
    • Estabeleça uma conexão SFTP com o servidor SFTP com base nos algoritmos 192-bit Suite B: # Estabeleça uma conexão SFTP com o servidor em 192.168.0.1.
     sftp 192.168.0.1 suite-b 192-bit pki-domain client384 server-pki-domain 
                     server384
                     Username: client001
                     Press CTRL+C to abort.
                     Connecting to 192.168.0.1 port 22.
                     sftp>

    Exemplos de configuração do SCP

    Salvo indicação em contrário, os dispositivos nos exemplos de configuração operam no modo não-FIPS.

    Quando o dispositivo atua como um servidor SCP operando no modo FIPS, somente os pares de chaves ECDSA e RSA são suportados. Não gere um par de chaves DSA no servidor SCP.

    Exemplo: Configuração do SCP com autenticação por senha

    Configuração de rede

    Conforme mostrado na Figura 17:

    • O Switch B atua como servidor SCP e usa autenticação por senha para autenticar o cliente SCP. O nome de usuário e a senha do cliente são salvos no Switch B.
    • O switch A atua como cliente SCP. Depois que o usuário do Switch A fizer login no Switch B por meio do SCP, o usuário do poderá transferir arquivos entre os switches como administrador de rede.

    Figura 17 Diagrama de rede

    Procedimento

    • Configure o servidor SCP: # Gerar pares de chaves RSA.
     system-view
                     [SwitchB] public-key local create rsa
                     The range of public key modulus is (512 ~ 4096).
                     If the key modulus is greater than 512, it will take a few minutes.
                     Press CTRL+C to abort.
                     Input the modulus length [default = 1024]:
                     Generating Keys...
                     ........................++++++
                     ...................++++++
                     ..++++++++
                     ............++++++++
                     Create the key pair successfully.

    # Gerar um par de chaves DSA.

    [SwitchB] public-key local create dsa
                     The range of public key modulus is (512 ~ 2048).
                     If the key modulus is greater than 512, it will take a few minutes.
                     Press CTRL+C to abort.
                     Input the modulus length [default = 1024]:
                     Generating Keys...
                     .++++++++++++++++++++++++++++++++++++++++++++++++++*
                     ........+......+.....+......................................+
                     ...+.................+..........+...+.
                     Create the key pair successfully.

    # Gerar um par de chaves ECDSA.

    [SwitchB] public-key local create ecdsa secp256r1
                     Generating Keys...
                     .
                     Create the key pair successfully.

    # Habilite o servidor SCP.

    [SwitchB] scp server enable

    # Configure um endereço IP para a interface VLAN 2. O cliente usa esse endereço como o destino da conexão SCP.

    [SwitchB] interface vlan-interface 2
                     [SwitchB-Vlan-interface2] ip address 192.168.0.1 255.255.255.0
                     [SwitchB-Vlan-interface2] quit

    # Crie um usuário de gerenciamento de dispositivo local chamado client001.

    [SwitchB] local-user client001 class manage

    # Defina a senha como hello12345 em texto simples para o usuário local client001.

    [SwitchB-luser-manage-client001] password simple hello12345

    # Autorize o usuário local client001 a usar o serviço SSH.

    [SwitchB-luser-manage-client001] service-type ssh

    # Atribua a função de usuário administrador de rede ao usuário local client001.

    [SwitchB-luser-manage-client001] authorization-attribute user-role network-admin
                     [SwitchB-luser-manage-client001] quit

    # Crie um usuário SSH chamado client001. Especifique o tipo de serviço como scp e o método de autenticação como senha para o usuário.

    [SwitchB] ssh user client001 service-type scp authentication-type password
    • Configure um endereço IP para a interface VLAN 2 no cliente SCP.
     system-view
                     [SwitchA] interface vlan-interface 2
                     [SwitchA-Vlan-interface2] ip address 192.168.0.2 255.255.255.0
                     [SwitchA-Vlan-interface2] quit
                     [SwitchA] quit
    • Conecte-se ao servidor SCP, faça o download do arquivo remote.bin do servidor e salve-o como um arquivo local chamado local.bin.
     scp 192.168.0.1 get remote.bin local.bin
                     Username: client001
                     Press CTRL+C to abort.
                     Connecting to 192.168.0.1 port 22.
                     The server is not authenticated. Continue? [Y/N]:y
                     Do you want to save the server public key? [Y/N]:n
                     client001@192.168.0.1’s password:
                     remote.bin 100% 2875 2.8KB/s 00:00

    Exemplo: Configuração do SCP com base nos algoritmos do Suite B

    Configuração de rede

    Conforme mostrado na Figura 18:

    • O switch B atua como servidor SCP Suite B (SSH2) e usa autenticação de chave pública para autenticar o cliente SCP.
    • O comutador A atua como um cliente do SCP Suite B (SSH2). Depois que o usuário do Switch A fizer login no Switch B por meio do software cliente SCP Suite B, ele poderá transferir arquivos entre os switches como administrador de rede.

    Figura 18 Diagrama de rede

    Procedimento

    • Gerar os certificados do cliente e os certificados do servidor. (Detalhes não mostrados).

    Primeiro, você deve configurar os certificados do servidor e do cliente, pois eles são necessários para a autenticação de identidade entre as duas partes.

    Neste exemplo, os arquivos de certificado do servidor são ssh-server-ecdsa256.p12 e

    ssh-server-ecdsa384.p12. Os arquivos de certificado do cliente são ssh-client-ecdsa256.p12 e

    ssh-client-ecdsa384.p12.

    • Configure o cliente SCP:

    Você pode modificar a versão pkix do software cliente OpenSSH para oferecer suporte ao Suite B. Este exemplo usa um switch Intelbras como cliente SCP.

    # Faça upload dos arquivos de certificado do servidor (ssh-server-ecdsa256.p12 e

    ssh-server-ecdsa384.p12) e os arquivos de certificado do cliente (ssh-client-ecdsa256.p12 e

    ssh-client-ecdsa384.p12) para o cliente SCP por meio de FTP ou TFTP. (Detalhes não mostrados.)

    # Crie um domínio PKI chamado server256 para verificar o certificado ecdsa256 do servidor e insira sua visualização.

     system-view
                     [SwitchA] pki domain server256

    # Desabilita a verificação de CRL.

    [SwitchA-pki-domain-server256] undo crl check enable
                     [SwitchA-pki-domain-server256] quit

    # Importar o arquivo de certificado local ssh-server-ecdsa256.p12 para o servidor de domínio PKI256.

    [SwitchA] pki import domain server256 p12 local filename ssh-server-ecdsa256.p12

    [SwitchA] pki import domain server256 p12 local filename ssh-server-ecdsa256.p12
                     The system is going to save the key pair. You must specify a key pair name, which is 
                     a case-insensitive string of 1 to 64 characters. Valid characters include a to z, A 
                     to Z, 0 to 9, and hyphens (-).
                     Please enter the key pair name[default name: server256]:

    # Exibir informações sobre certificados locais no servidor de domínio PKI256. 

    [SwitchA] display pki certificate domain server256 local
                     Certificate:
                     Data:
                     Version: 3 (0x2)
                     Serial Number: 3 (0x3)
                     Signature Algorithm: ecdsa-with-SHA256
                     Issuer: C=CN, ST=Beijing, L=Beijing, O=Intelbras, OU=Software, CN=SuiteB CA
                     Validity
                     Not Before: Aug 21 08:39:51 2015 GMT
                     Not After : Aug 20 08:39:51 2016 GMT
                     Subject: C=CN, ST=Beijing, O=Intelbras, OU=Software, CN=SSH Server secp256
                     Subject Public Key Info:
                     Public Key Algorithm: id-ecPublicKey
                     Public-Key: (256 bit)
                     pub:
                     04:a2:b4:b4:66:1e:3b:d5:50:50:0e:55:19:8d:52:
                     6d:47:8c:3d:3d:96:75:88:2f:9a:ba:a2:a7:f9:ef:
                     0a:a9:20:b7:b6:6a:90:0e:f8:c6:de:15:a2:23:81:
                     3c:9e:a2:b7:83:87:b9:ad:28:c8:2a:5e:58:11:8e:
                     c7:61:4a:52:51
                     ASN1 OID: prime256v1
                     NIST CURVE: P-256
                     X509v3 extensions:
                     X509v3 Basic Constraints:
                     CA:FALSE
                     Netscape Comment:
                     OpenSSL Generated Certificate
                     X509v3 Subject Key Identifier:
                     08:C1:F1:AA:97:45:19:6A:DA:4A:F2:87:A1:1A:E8:30:BD:31:30:D7
                     X509v3 Authority Key Identifier:
                     keyid:5A:BE:85:49:16:E5:EB:33:80:25:EB:D8:91:50:B4:E6:3E:4F:B8:22
                     Signature Algorithm: ecdsa-with-SHA256
                     30:65:02:31:00:a9:16:e9:c1:76:f0:32:fc:4b:f9:8f:b6:7f:
                     31:a0:9f:de:a7:cc:33:29:27:2c:71:2e:f9:0d:74:cb:25:c9:
                     00:d2:52:18:7f:58:3f:cc:7e:8b:d3:42:65:00:cb:63:f8:02:
                     30:01:a2:f6:a1:51:04:1c:61:78:f6:6b:7e:f9:f9:42:8d:7c:
                     a7:bb:47:7c:2a:85:67:0d:81:12:0b:02:98:bc:06:1f:c1:3c:
                     9b:c2:1b:4c:44:38:5a:14:b2:48:63:02:2b

    # Crie um domínio PKI chamado client256 para o certificado ecdsa256 do cliente e insira sua visualização.

    [SwitchA] pki domain client256

    # Desativar a verificação de CRL.

    [SwitchA-pki-domain-client256] undo crl check enable
                     [SwitchA-pki-domain-client256] quit

    # Importar o arquivo de certificado local ssh-client-ecdsa256.p12 para o domínio PKI client256.

    [SwitchA] pki import domain client256 p12 local filename ssh-client-ecdsa256.p12
                     The system is going to save the key pair. You must specify a key pair name, which is 
                     a case-insensitive string of 1 to 64 characters. Valid characters include a to z, A 
                     to Z, 0 to 9, and hyphens (-).
                     Please enter the key pair name[default name: client256]:

    # Exibir informações sobre certificados locais no domínio PKI client256. 

    [SwitchA] display pki certificate domain client256 local
                     Certificate:
                     Data:
                     Version: 3 (0x2)
                     Serial Number: 4 (0x4)
                     Signature Algorithm: ecdsa-with-SHA256
                     Issuer: C=CN, ST=Beijing, L=Beijing, O=Intelbras, OU=Software, CN=SuiteB CA
                     Validity
                     Not Before: Aug 21 08:41:09 2015 GMT
                     Not After : Aug 20 08:41:09 2016 GMT
                     Subject: C=CN, ST=Beijing, O=Intelbras, OU=Software, CN=SSH Client secp256
                     Subject Public Key Info:
                     Public Key Algorithm: id-ecPublicKey
                     Public-Key: (256 bit)
                     pub:
                     04:da:e2:26:45:87:7a:63:20:e7:ca:7f:82:19:f5:
                     96:88:3e:25:46:f8:2f:9a:4c:70:61:35:db:e4:39:
                     b8:38:c4:60:4a:65:28:49:14:32:3c:cc:6d:cd:34:
                     29:83:84:74:a7:2d:0e:75:1c:c2:52:58:1e:22:16:
                     12:d0:b4:8a:92
                     ASN1 OID: prime256v1
                     NIST CURVE: P-256
                     X509v3 extensions:
                     X509v3 Basic Constraints:
                     CA:FALSE
                     Netscape Comment:
                     OpenSSL Generated Certificate
                     X509v3 Subject Key Identifier:
                     1A:61:60:4D:76:40:B8:BA:5D:A1:3C:60:BC:57:98:35:20:79:80:FC
                     X509v3 Authority Key Identifier:
                     keyid:5A:BE:85:49:16:E5:EB:33:80:25:EB:D8:91:50:B4:E6:3E:4F:B8:22
                     60
                     Signature Algorithm: ecdsa-with-SHA256
                     30:66:02:31:00:9a:6d:fd:7d:ab:ae:54:9a:81:71:e6:bb:ad:
                     5a:2e:dc:1d:b3:8a:bf:ce:ee:71:4e:8f:d9:93:7f:a3:48:a1:
                     5c:17:cb:22:fa:8f:b3:e5:76:89:06:9f:96:47:dc:34:87:02:
                     31:00:e3:af:2a:8f:d6:8d:1f:3a:2b:ae:2f:97:b3:52:63:b6:
                     18:67:70:2c:93:2a:41:c0:e7:fa:93:20:09:4d:f4:bf:d0:11:
                     66:0f:48:56:01:1e:c3:be:37:4e:49:19:cf:c6

    # Crie um domínio PKI chamado server384 para verificar o certificado ecdsa384 do servidor e insira sua visualização.

    [SwitchA] pki domain server384

    # Desativar a verificação de CRL.

    [SwitchA-pki-domain-server384] undo crl check enable
                     [SwitchA-pki-domain-server384] quit

    # Importar o arquivo de certificado local ssh-server-ecdsa384.p12 para o servidor de domínio PKI384.

    [SwitchA] pki import domain server384 p12 local filename ssh-server-ecdsa384.p12
                     The system is going to save the key pair. You must specify a key pair name, which is 
                     a case-insensitive string of 1 to 64 characters. Valid characters include a to z, A 
                     to Z, 0 to 9, and hyphens (-).
                     Please enter the key pair name[default name: server384]:

    # Exibir informações sobre os certificados locais no servidor de domínio PKI384. 

    [SwitchA] display pki certificate domain server384 local
                     Certificate:
                     Data:
                     Version: 3 (0x2)
                     Serial Number: 1 (0x1)
                     Signature Algorithm: ecdsa-with-SHA384
                     Issuer: C=CN, ST=Beijing, L=Beijing, O=Intelbras, OU=Software, CN=SuiteB CA
                     Validity
                     Not Before: Aug 20 10:08:41 2015 GMT
                     Not After : Aug 19 10:08:41 2016 GMT
                     Subject: C=CN, ST=Beijing, O=Intelbras, OU=Software, CN=ssh server
                     Subject Public Key Info:
                     Public Key Algorithm: id-ecPublicKey
                     Public-Key: (384 bit)
                     pub:
                     04:4a:33:e5:99:8d:49:45:a7:a3:24:7b:32:6a:ed:
                     b6:36:e1:4d:cc:8c:05:22:f4:3a:7c:5d:b7:be:d1:
                     e6:9e:f0:ce:95:39:ca:fd:a0:86:cd:54:ab:49:60:
                     10:be:67:9f:90:3a:18:e2:7d:d9:5f:72:27:09:e7:
                     bf:7e:64:0a:59:bb:b3:7d:ae:88:14:94:45:b9:34:
                     d2:f3:93:e1:ba:b4:50:15:eb:e5:45:24:31:10:c7:
                     07:01:f9:dc:a5:6f:81
                     ASN1 OID: secp384r1
                     NIST CURVE: P-384
                     X509v3 extensions:
                     X509v3 Basic Constraints:
                     CA:FALSE
                     Netscape Comment:
                     OpenSSL Generated Certificate
                     X509v3 Subject Key Identifier:
                     10:16:64:2C:DA:C1:D1:29:CD:C0:74:40:A9:70:BD:62:8A:BB:F4:D5
                     X509v3 Authority Key Identifier:
                     keyid:5A:BE:85:49:16:E5:EB:33:80:25:EB:D8:91:50:B4:E6:3E:4F:B8:22
                     Signature Algorithm: ecdsa-with-SHA384
                     30:65:02:31:00:80:50:7a:4f:c5:cd:6a:c3:57:13:7f:e9:da:
                     c1:72:7f:45:30:17:c2:a7:d3:ec:73:3d:5f:4d:e3:96:f6:a3:
                     33:fb:e4:b9:ff:47:f1:af:9d:e3:03:d2:24:53:40:09:5b:02:
                     30:45:d1:bf:51:fd:da:22:11:90:03:f9:d4:05:ec:d6:7c:41:
                     fc:9d:a1:fd:5b:8c:73:f8:b6:4c:c3:41:f7:c6:7f:2f:05:2d:
                     37:f8:52:52:26:99:28:97:ac:6e:f9:c7:01

    # Crie um domínio PKI chamado client384 para o certificado ecdsa384 do cliente e insira sua visualização.

    [SwitchA] pki domain client384

    # Desativar a verificação de CRL.

    [SwitchA-pki-domain-client384] undo crl check enable
                     [SwitchA-pki-domain-client384] quit

    # Importar o arquivo de certificado local ssh-client-ecdsa384.p12 para o domínio PKI client384.

    [SwitchA] pki import domain client384 p12 local filename ssh-client-ecdsa384.p12
                     The system is going to save the key pair. You must specify a key pair name, which is 
                     a case-insensitive string of 1 to 64 characters. Valid characters include a to z, A 
                     to Z, 0 to 9, and hyphens (-).
                     Please enter the key pair name[default name: client384]:

    # Exibir informações sobre certificados locais no domínio PKI client384.

    [SwitchA] display pki certificate domain client384 local
                     Certificate:
                     Data:
                     Version: 3 (0x2)
                     Serial Number: 2 (0x2)
                     Signature Algorithm: ecdsa-with-SHA384
                     Issuer: C=CN, ST=Beijing, L=Beijing, O=Intelbras, OU=Software, CN=SuiteB CA
                     Validity
                     Not Before: Aug 20 10:10:59 2015 GMT
                     Not After : Aug 19 10:10:59 2016 GMT
                     Subject: C=CN, ST=Beijing, O=Intelbras, OU=Software, CN=ssh client
                     Subject Public Key Info:
                     Public Key Algorithm: id-ecPublicKey
                     Public-Key: (384 bit)
                     pub:
                     04:85:7c:8b:f4:7a:36:bf:74:f6:7c:72:f9:08:69:
                     d0:b9:ac:89:98:17:c9:fc:89:94:43:da:9a:a6:89:
                     41:d3:72:24:9b:9a:29:a8:d1:ba:b4:e5:77:ba:fc:
                     df:ae:c6:dd:46:72:ab:bc:d1:7f:18:7d:54:88:f6:
                     b4:06:54:7e:e7:4d:49:b4:07:dc:30:54:4b:b6:5b:
                     01:10:51:6b:0c:6d:a3:b1:4b:c9:d9:6c:d6:be:13:
                     91:70:31:2a:92:00:76
                     ASN1 OID: secp384r1
                     62
                     NIST CURVE: P-384
                     X509v3 extensions:
                     X509v3 Basic Constraints:
                     CA:FALSE
                     Netscape Comment:
                     OpenSSL Generated Certificate
                     X509v3 Subject Key Identifier:
                     BD:5F:8E:4F:7B:FE:74:03:5A:D1:94:DB:CA:A7:82:D6:F7:78:A1:B0
                     X509v3 Authority Key Identifier:
                     keyid:5A:BE:85:49:16:E5:EB:33:80:25:EB:D8:91:50:B4:E6:3E:4F:B8:22
                     Signature Algorithm: ecdsa-with-SHA384
                     30:66:02:31:00:d2:06:fa:2c:0b:0d:f0:81:90:01:c3:3d:bf:
                     97:b3:79:d8:25:a0:e2:0e:ed:00:c9:48:3e:c9:71:43:c9:b4:
                     2a:a6:0a:27:80:9e:d4:0f:f2:db:db:5b:40:b1:a9:0a:e4:02:
                     31:00:ee:00:e1:07:c0:2f:12:3f:88:ea:fe:19:05:ef:56:ca:
                     33:71:75:5e:11:c9:a6:51:4b:3e:7c:eb:2a:4d:87:2b:71:7c:
                     30:64:fe:14:ce:06:d5:0a:e2:cf:9a:69:19:ff

    # Atribuir um endereço IP à interface VLAN 2.

    [SwitchA] interface vlan-interface 2
                     [SwitchA-Vlan-interface2] ip address 192.168.0.2 255.255.255.0
                     [SwitchA-Vlan-interface2] quit
    • Configure o servidor SCP:

    # Faça upload dos arquivos de certificado do servidor (ssh-server-ecdsa256.p12 e

    ssh-server-ecdsa384.p12) e os arquivos de certificado do cliente (ssh-client-ecdsa256.p12 e

    ssh-client-ecdsa384.p12) para o servidor SCP por meio de FTP ou TFTP. (Detalhes não mostrados.)

    # Crie um domínio de PKI chamado client256 para verificar o certificado ecdsa256 do cliente e importe o arquivo desse certificado para esse domínio. Crie um domínio de PKI chamado server256 para o certificado ecdsa256 do servidor e importe o arquivo desse certificado para esse domínio. (Detalhes não mostrados.)

    # Crie um domínio de PKI chamado client384 para verificar o certificado ecdsa384 do cliente e importe o arquivo desse certificado para esse domínio. Crie um domínio de PKI chamado server384 para o certificado ecdsa384 do servidor e importe o arquivo desse certificado para esse domínio. (Detalhes não mostrados.)

    # Especifique os algoritmos do Suite B para negociação de algoritmos.

     system-view
                     [SwitchB] ssh2 algorithm key-exchange ecdh-sha2-nistp256 ecdh-sha2-nistp384
                     [SwitchB] ssh2 algorithm cipher aes128-gcm aes256-gcm
                     [SwitchB] ssh2 algorithm public-key x509v3-ecdsa-sha2-nistp256 
                     x509v3-ecdsa-sha2-nistp384

    # Habilitar o servidor SCP.

    [SwitchB] scp server enable

    # Atribuir um endereço IP à interface VLAN 2.

    [SwitchB] interface vlan-interface 2
                     [SwitchB-Vlan-interface2] ip address 192.168.0.1 255.255.255.0
                     [SwitchB-Vlan-interface2] quit

    # Defina o modo de autenticação como AAA para linhas de usuário.

    [SwitchB] line vty 0 63
                     [SwitchB-line-vty0-63] authentication-mode scheme
                     [SwitchB-line-vty0-63] quit

    # Crie um usuário de gerenciamento de dispositivo local chamado client001. Autorize o usuário a usar o SSH

    e atribua a função de usuário administrador de rede ao usuário.

    [SwitchB] local-user client001 class manage
                     [SwitchB-luser-manage-client001] service-type ssh
                     [SwitchB-luser-manage-client001] authorization-attribute user-role network-admin
                     [SwitchB-luser-manage-client001] quit

    # Crie um usuário de gerenciamento de dispositivo local chamado client002. Autorize o usuário a usar o SSH

    e atribua a função de usuário administrador de rede ao usuário.

    [SwitchB] local-user client001 class manage
                     [SwitchB-luser-manage-client001] service-type ssh
                     [SwitchB-luser-manage-client001] authorization-attribute user-role network-admin
                     [SwitchB-luser-manage-client001] quit
    • Estabeleça uma conexão SCP com o servidor SCP:
      • Baseado nos algoritmos Suite B de 128 bits:

    # Especifique server256 como o domínio PKI do certificado do servidor.

    [SwitchB]ssh server pki-domain server256

    # Crie um usuário SSH client001. Especifique o método de autenticação de chave pública para o usuário e especifique client256 como o domínio PKI para verificar o certificado do cliente.

    [SwitchB] ssh user client001 service-type scp authentication-type publickey assign 
                     pki-domain client256

    # Estabeleça uma conexão SCP com o servidor SCP em 192.168.0.1 com base nos algoritmos de 128 bits do Suite B.

     scp 192.168.0.1 get src.cfg suite-b 128-bit pki-domain client256
                     server-pki
                     -domain server256
                     Username: client001
                     Press CTRL+C to abort.
                     Connecting to 192.168.0.1 port 22.
                     src.cfg 100% 4814 4.7KB/s 00:00
    • Com base nos algoritmos do Suite B de 192 bits:

    # Especifique server384 como o domínio PKI do certificado do servidor.

    [SwitchB] ssh server pki-domain server384

    # Crie um usuário SSH client002. Especifique o método de autenticação de chave pública para o usuário e especifique client384 como o domínio PKI para verificar o certificado do cliente.

    [Switch] ssh user client002 service-type scp authentication-type publickey assign 
                     pki-domain client384

    # Estabeleça uma conexão SCP com o servidor SCP em 192.168.0.1 com base nos algoritmos 192-bit Suite B.

     scp 192.168.0.1 get src.cfg suite-b 192-bit pki-domain client384
                     server-pki
                     -domain server384
                     Username: client002
                     Press CTRL+C to abort.
                     Connecting to 192.168.0.1 port 22.
                     src.cfg 100% 4814 4.7KB/s 00:00

    Exemplos de configuração do NETCONF sobre SSH

    Salvo indicação em contrário, os dispositivos nos exemplos de configuração estão no modo não-FIPS.

    Quando o dispositivo atua como um servidor NETCONF-over-SSH operando no modo FIPS, somente os pares de chaves ECDSA e RSA são compatíveis. Não gere um par de chaves DSA no servidor NETCONF-over-SSH.

    Exemplo: Configuração do NETCONF por SSH com autenticação por senha

    Configuração de rede

    Conforme mostrado na Figura 19:

    • O switch atua como servidor NETCONF-over-SSH e usa a autenticação por senha para autenticar o cliente. O nome de usuário e a senha do cliente são salvos no switch.
    • O host atua como cliente NETCONF-over-SSH, usando o software cliente SSH2. Depois que o usuário no host faz login no switch por meio do NETCONF sobre SSH, ele pode executar operações do NETCONF no switch como administrador de rede.

    Figura 19 Diagrama de rede

    Procedimento

    # Gerar pares de chaves RSA.

    <Switch> system-view
                     [Switch] public-key local create rsa
                     The range of public key modulus is (512 ~ 4096).
                     If the key modulus is greater than 512, it will take a few minutes.
                     Press CTRL+C to abort.
                     Input the modulus length [default = 1024]:
                     Generating Keys...
                     ........................++++++
                     ...................++++++
                     ..++++++++
                     ............++++++++
                     Create the key pair successfully.

    # Gerar um par de chaves DSA.

    [Switch] public-key local create dsa
                     The range of public key modulus is (512 ~ 2048).
                     If the key modulus is greater than 512, it will take a few minutes.
                     Press CTRL+C to abort.
                     Input the modulus length [default = 1024]:
                     Generating Keys...
                     .++++++++++++++++++++++++++++++++++++++++++++++++++*
                     ........+......+.....+......................................+
                     ...+.................+..........+...+.
                     Create the key pair successfully.

    # Gerar um par de chaves ECDSA.

    [Switch] public-key local create ecdsa secp256r1
                     Generating Keys...
                     .
                     Create the key pair successfully.

    # Habilite o NETCONF por SSH.

    [Switch] ssh server enable

    # Configure um endereço IP para a interface VLAN 2. O cliente usa esse endereço como destino da conexão NETCONF-over-SSH.

    [Switch] interface vlan-interface 2
                     [Switch-Vlan-interface2] ip address 192.168.1.40 255.255.255.0
                     [Switch-Vlan-interface2] quit

    # Defina o modo de autenticação como AAA para linhas de usuário.

    [Switch] line vty 0 63
                     [Switch-line-vty0-63] authentication-mode scheme
                     [Switch-line-vty0-63] quit

    # Crie um usuário de gerenciamento de dispositivo local chamado client001.

    [Switch] local-user client001 class manage

    # Defina a senha como hello12345 em texto simples para o usuário local client001.

    [Switch-luser-manage-client001] password simple hello12345

    # Autorize o usuário local client001 a usar o serviço SSH.

    [Switch-luser-manage-client001] service-type ssh

    # Atribua a função de usuário administrador de rede ao usuário local client001.

    [Switch-luser-manage-client001] authorization-attribute user-role network-admin
                     [Switch-luser-manage-client001] quit

    # Crie um usuário SSH chamado client001. Especifique o tipo de serviço como NETCONF e o método de autenticação como senha para o usuário.

    [Switch] ssh user client001 service-type netconf authentication-type password

    Verificação da configuração

    # Verifique se você pode realizar operações NETCONF após fazer login no switch. (Detalhes não mostrados).

    Configuração de SSL

    Sobre a SSL

    O Secure Sockets Layer (SSL) é um protocolo criptográfico que oferece segurança de comunicação para protocolos de camada de aplicativos baseados em TCP, como o HTTP. O SSL tem sido amplamente usado em aplicativos como comércio eletrônico e serviços bancários on-line para fornecer transmissão segura de dados pela Internet.

    Serviços de segurança SSL

    O SSL fornece os seguintes serviços de segurança:

    • A Privacy-SSL usa um algoritmo de criptografia simétrica para criptografar dados. Ele usa o algoritmo de chave assimétrica do RSA para criptografar a chave usada pelo algoritmo de criptografia simétrica. Para obter mais informações sobre o RSA, consulte "Gerenciamento de chaves públicas".
    • Autenticação - o SSL usa assinaturas digitais baseadas em certificados para autenticar o servidor e o cliente SSL. O servidor e o cliente SSL obtêm certificados digitais por meio de PKI. Para obter mais informações sobre PKI e certificados digitais, consulte "Configuração de PKI".
    • Integridade - a SSL usa o código de autenticação de mensagem (MAC) para verificar a integridade da mensagem. Ele usa um algoritmo MAC e uma chave para transformar uma mensagem de qualquer comprimento em uma mensagem de comprimento fixo. Qualquer alteração na mensagem original resultará em uma alteração na mensagem calculada

    mensagem de comprimento fixo. Conforme mostrado na Figura 1, o processo de verificação da integridade da mensagem é o seguinte:

    • O remetente usa um algoritmo MAC e uma chave para calcular um valor MAC para uma mensagem. Em seguida, ele anexa o valor MAC à mensagem e a envia ao receptor.
    • O receptor usa a mesma chave e o mesmo algoritmo MAC para calcular um valor MAC para a mensagem recebida e o compara com o valor MAC anexado à mensagem.
    • Se os dois valores MAC coincidirem, o receptor considera a mensagem intacta. Caso contrário, o receptor considera que a mensagem foi adulterada e a descarta.

    Figura 1 Diagrama do algoritmo MAC

    Pilha de protocolos SSL

    A pilha de protocolos SSL inclui os seguintes protocolos:

    • Protocolo de registro SSL na camada inferior.
    • Protocolo de handshake SSL, protocolo de especificação de cifra de alteração SSL e protocolo de alerta SSL na camada superior.

    Figura 2 Pilha de protocolos SSL

    A seguir, descrevemos as principais funções dos protocolos SSL:

    • Protocolo de registro SSL - fragmenta os dados recebidos da camada superior, calcula e adiciona MAC aos dados e criptografa os dados.
    • Protocolo de handshake SSL - negocia o pacote de criptografia usado para comunicação segura, autentica o servidor e o cliente e troca com segurança as chaves entre o servidor e o cliente. O conjunto de cifras que precisa ser negociado inclui o algoritmo de criptografia simétrica, o algoritmo de troca de chaves e o algoritmo MAC.
    • Protocolo SSL change cipher spec - Notifica o receptor de que os pacotes subsequentes devem ser protegidos com base no conjunto de cifras e na chave negociados.
    • Protocolo de alerta SSL - Envia mensagens de alerta para a parte receptora. Uma mensagem de alerta contém o nível de gravidade do alerta e uma descrição.

    Versões do protocolo SSL

    As versões do protocolo SSL incluem SSL 2.0, SSL 3.0, TLS 1.0 (ou SSL 3.1), TLS 1.1 e TLS 1.2. Como o SSL 3.0 é conhecido por ser inseguro, você pode desativar o SSL 3.0 para o servidor SSL a fim de garantir a segurança.

    Conformidade com FIPS

    O dispositivo é compatível com o modo FIPS que atende aos requisitos do NIST FIPS 140-2. O suporte a recursos, comandos e parâmetros pode ser diferente no modo FIPS (consulte "Configuração de FIPS") e no modo não-FIPS.

    Restrições e diretrizes: Configuração de SSL

    Por padrão, o servidor SSL pode se comunicar com clientes que executam todas as versões do protocolo SSL. Quando o servidor recebe uma mensagem Client Hello do SSL 2.0 de um cliente, ele notifica o cliente para usar uma versão mais recente para comunicação.

    Visão geral das tarefas de SSL

    Configuração do servidor SSL

    • Configuração de uma política de servidor SSL
    • (Opcional.) Desativar versões do protocolo SSL para o servidor SSL
    • (Opcional.) Desativar a renegociação da sessão SSL

    Configuração do cliente SSL

    Configuração de uma política de cliente SSL

    Configuração de uma política de servidor SSL

    Sobre as políticas de servidor SSL

    Uma política de servidor SSL é um conjunto de parâmetros SSL usados pelo dispositivo quando ele atua como servidor SSL. Uma política de servidor SSL entra em vigor somente depois de ser associada a um aplicativo, como o HTTPS.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Crie uma política de servidor SSL e insira sua visualização.
    ssl server-policy policy-name
    • Especifique um domínio PKI para a política de servidor SSL.
    pki-domain domain-name

    Por padrão, nenhum domínio PKI é especificado para uma política de servidor SSL.

    Se a autenticação do servidor SSL for necessária, você deverá especificar um domínio PKI e solicitar um certificado local para o servidor SSL no domínio.

    Para obter informações sobre a configuração de um domínio de PKI, consulte "Configuração de PKI".

    • Especifique os conjuntos de códigos que a política do servidor SSL suporta. No modo não-FIPS:
    ciphersuite { dhe_rsa_aes_128_cbc_sha | dhe_rsa_aes_128_cbc_sha256 |
                  dhe_rsa_aes_256_cbc_sha | dhe_rsa_aes_256_cbc_sha256 |
                  ecdhe_ecdsa_aes_128_cbc_sha256 | ecdhe_ecdsa_aes_128_gcm_sha256 |
                  ecdhe_ecdsa_aes_256_cbc_sha384 | ecdhe_ecdsa_aes_256_gcm_sha384 |
                  ecdhe_rsa_aes_128_cbc_sha256 | ecdhe_rsa_aes_128_gcm_sha256 |
                  ecdhe_rsa_aes_256_cbc_sha384 | ecdhe_rsa_aes_256_gcm_sha384 |
                  exp_rsa_des_cbc_sha | exp_rsa_rc2_md5 | exp_rsa_rc4_md5 |
                  rsa_3des_ede_cbc_sha | rsa_aes_128_cbc_sha | rsa_aes_128_cbc_sha256 |
                  rsa_aes_256_cbc_sha | rsa_aes_256_cbc_sha256 | rsa_des_cbc_sha |
                  rsa_rc4_128_md5 | rsa_rc4_128_sha } *

    No modo FIPS:

    ciphersuite { ecdhe_ecdsa_aes_128_cbc_sha256 |
                  ecdhe_ecdsa_aes_256_cbc_sha384 | ecdhe_ecdsa_aes_128_gcm_sha256 |
                  ecdhe_ecdsa_aes_256_gcm_sha384 | ecdhe_rsa_aes_128_cbc_sha256 |
                  ecdhe_rsa_aes_128_gcm_sha256 | ecdhe_rsa_aes_256_cbc_sha384 |
                  ecdhe_rsa_aes_256_gcm_sha384 | rsa_aes_128_cbc_sha |
                  rsa_aes_128_cbc_sha256 | rsa_aes_256_cbc_sha |
                  rsa_aes_256_cbc_sha256 } *

    Por padrão, uma política de servidor SSL oferece suporte a todos os pacotes de cifras.

    • (Opcional.) Defina o número máximo de sessões que o servidor SSL pode armazenar em cache e o tempo limite do cache de sessão.
    session { cachesize size | timeout time } *

    Por padrão, o servidor SSL pode armazenar em cache um máximo de 500 sessões, e o tempo limite do cache de sessão é de 3600 segundos.

    • Habilite a autenticação obrigatória ou opcional do cliente SSL.
    client-verify { enable | optional }

    Por padrão, a autenticação do cliente SSL está desativada. O servidor SSL não executa autenticação baseada em certificado digital em clientes SSL.

    Ao autenticar um cliente usando o certificado digital, o servidor SSL verifica a cadeia de certificados apresentada pelo cliente. Ele também verifica se os certificados da cadeia de certificados (exceto o certificado da CA raiz) não foram revogados.

    • (Opcional.) Permita que o servidor SSL envie a cadeia completa de certificados para o cliente durante a negociação SSL.
    certificate-chain-sending enable

    Por padrão, o servidor SSL envia o certificado do servidor em vez da cadeia completa de certificados para o cliente durante a negociação.

    Configuração de uma política de cliente SSL

    Sobre as políticas de cliente SSL

    Uma política de cliente SSL é um conjunto de parâmetros SSL usados pelo dispositivo quando ele atua como cliente SSL. O cliente SSL usa as configurações da política de cliente para estabelecer uma conexão com o servidor. Uma política de cliente SSL entra em vigor somente depois de ser associada a um aplicativo.

    Restrições e diretrizes

    Como prática recomendada para aumentar a segurança do sistema, não especifique SSL 3.0 para a política de cliente SSL.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Crie uma política de cliente SSL e insira sua visualização.
    ssl client-policy policy-name
    • Especifique um domínio PKI para a política de cliente SSL.
    pki-domain domain-name

    Por padrão, nenhum domínio PKI é especificado para uma política de cliente SSL.

    Se a autenticação do cliente SSL for necessária, você deverá especificar um domínio de PKI e solicitar um certificado local para o cliente SSL no domínio de PKI.

    Para obter informações sobre a configuração de um domínio de PKI, consulte "Configuração de PKI".

    • Especifique o conjunto de cifras preferido para a política de cliente SSL. No modo não-FIPS:
    prefer-cipher { dhe_rsa_aes_128_cbc_sha | dhe_rsa_aes_128_cbc_sha256 
                  | dhe_rsa_aes_256_cbc_sha | dhe_rsa_aes_256_cbc_sha256 |
                  ecdhe_ecdsa_aes_128_cbc_sha256 | ecdhe_ecdsa_aes_128_gcm_sha256 |
                  ecdhe_ecdsa_aes_256_cbc_sha384 | ecdhe_ecdsa_aes_256_gcm_sha384 |
                  ecdhe_rsa_aes_128_cbc_sha256 | ecdhe_rsa_aes_128_gcm_sha256 |
                  ecdhe_rsa_aes_256_cbc_sha384 | ecdhe_rsa_aes_256_gcm_sha384 |
                  exp_rsa_des_cbc_sha | exp_rsa_rc2_md5 | exp_rsa_rc4_md5 |
                  rsa_3des_ede_cbc_sha | rsa_aes_128_cbc_sha | rsa_aes_128_cbc_sha256 
                  | rsa_aes_256_cbc_sha | rsa_aes_256_cbc_sha256 | rsa_des_cbc_sha |
                  rsa_rc4_128_md5 | rsa_rc4_128_sha }

    O conjunto de cifras preferido padrão no modo não-FIPS é rsa_rc4_128_md5. No modo FIPS:

    prefer-cipher { ecdhe_ecdsa_aes_128_cbc_sha256 |
                  ecdhe_ecdsa_aes_128_gcm_sha256 | ecdhe_ecdsa_aes_256_cbc_sha384 |
                  ecdhe_ecdsa_aes_256_gcm_sha384 | ecdhe_rsa_aes_128_cbc_sha256 |
                  ecdhe_rsa_aes_128_gcm_sha256 | ecdhe_rsa_aes_256_cbc_sha384 |
                  ecdhe_rsa_aes_256_gcm_sha384 | rsa_aes_128_cbc_sha |
                  rsa_aes_128_cbc_sha256 | rsa_aes_256_cbc_sha |
                  rsa_aes_256_cbc_sha256 }

    O conjunto de cifras preferido padrão no modo FIPS é rsa_aes_128_cbc_sha.

    • Especifique a versão do protocolo SSL para a política de cliente SSL. No modo não-FIPS:
    version { ssl3.0 | tls1.0 | tls1.1 | tls1.2 }

    No modo FIPS:

    version { tls1.0 | tls1.1 | tls1.2 }

    Por padrão, uma política de cliente SSL usa TLS 1.0.

    • Habilite o cliente SSL para autenticar servidores por meio de certificados digitais.
    server-verify enable

    Por padrão, a autenticação do servidor SSL está ativada.

    Desativação de versões do protocolo SSL para o servidor SSL

    Sobre a desativação de versões do protocolo SSL para o servidor SSL

    Para aumentar a segurança do sistema, você pode impedir que o servidor SSL use versões específicas do protocolo SSL (SSL 3.0, TLS 1.0 e TLS 1.1) para negociação de sessão.

    Restrições e diretrizes

    A desativação de uma versão do protocolo SSL não afeta a disponibilidade de versões anteriores do protocolo SSL. Por exemplo, se você executar o comando ssl version tls1.1 disable, o TLS 1.1 será desativado, mas o TLS 1.0 ainda estará disponível para o servidor SSL.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Desative as versões do protocolo SSL para o servidor SSL. No modo não-FIPS:
    ssl version { ssl3.0 | tls1.0 | tls1.1 } * disable

    Por padrão, o servidor SSL é compatível com SSL 3.0, TLS 1.0, TLS 1.1 e TLS 1.2. No modo FIPS:

    ssl version { tls1.0 | tls1.1 } * disable

    Por padrão, o servidor SSL é compatível com TLS 1.0, TLS 1.1 e TLS 1.2.

    Desativação da renegociação de sessão SSL

    Sobre a desativação da renegociação de sessão SSL

    O recurso de renegociação de sessão SSL permite que o cliente e o servidor SSL reutilizem uma sessão SSL negociada anteriormente para um handshake abreviado.

    A desativação da renegociação de sessão causa mais sobrecarga computacional ao sistema, mas pode evitar possíveis riscos.

    Restrições e diretrizes

    Desative a renegociação de sessão SSL somente quando for explicitamente necessário.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Desativar a renegociação de sessão SSL.
    ssl renegotiation disable

    Por padrão, a renegociação de sessão SSL está ativada.

    Comandos de exibição e manutenção para SSL

    Executar comandos de exibição em qualquer visualização.

    Tarefa Comando
    Exibir informações sobre a política do cliente SSL. exibir política de cliente ssl [ policy-name ]
    Exibir informações sobre a política do servidor SSL. exibir ssl server-policy [ policy-name ]

    Exemplos de configuração da política do servidor SSL

    Exemplo: Configuração de uma política de servidor SSL

    Configuração de rede

    Conforme mostrado na Figura 3, os usuários precisam acessar e gerenciar o dispositivo por meio da página da Web.

    Para proteger o dispositivo e evitar que os dados sejam espionados ou adulterados, configure o dispositivo para ser acessado somente por HTTPS.

    Neste exemplo, o servidor CA executa o Windows Server e tem o plug-in SCEP instalado. Para atender aos requisitos de rede, execute as seguintes tarefas:

    • Configure o dispositivo como o servidor HTTPS e solicite um certificado de servidor para o dispositivo. Para

    Mais informações sobre HTTPS, consulte o Fundamentals Configuration Guide.

    • Solicite um certificado de cliente para o host para que o dispositivo possa autenticar a identidade do host .

    Figura 3 Diagrama de rede

    Procedimento

    • Certifique-se de que o dispositivo, o host e o servidor CA possam se comunicar entre si. (Detalhes não mostrados.)
    • Configure o servidor HTTPS no dispositivo:

    # Crie uma entidade PKI chamada en. Defina o nome comum e o FQDN para a entidade.

     system-view
                     [Device] pki entity en
                     [Device-pki-entity-en] common-name http-server1
                     [Device-pki-entity-en] fqdn ssl.security.com
                     [Device-pki-entity-en] quit

    # Crie o domínio PKI 1 e especifique o servidor CA como o nome da CA confiável. Defina o URL do servidor de registro como http://10.1.2.2/certsrv/mscep/mscep.dll, a autoridade para solicitação de certificado como RA e a entidade para solicitação de certificado como en. Defina o URL do repositório de CRL como http://10.1.2.2/CertEnroll/caserver.crl.

    [Device] pki domain 1
                     [Device-pki-domain-1] ca identifier CA server
                     [Device-pki-domain-1] certificate request url 
                     http://10.1.2.2/certsrv/mscep/mscep.dll
                     [Device-pki-domain-1] certificate request from ra
                     [Device-pki-domain-1] certificate request entity en
                     [Device-pki-domain-1] crl url http://10.1.2.2/CertEnroll/caserver.crl

    # Configure um par de chaves RSA de uso geral chamado abc e defina o comprimento do módulo da chave como 1024 bits.

    [Device-pki-domain-1] public-key rsa general name abc length 1024
                     [Device-pki-domain-1] quit

    # Gerar par de chaves RSA abc.

    [Device] public-key local create rsa name abc
                     The range of public key size is (512 ~ 4096).
                     If the key modulus is greater than 512,it will take a few minutes.
                     Press CTRL+C to abort.
                     Input the modulus length [default = 1024]:
                     Generating Keys...
                     ..........................++++++
                     .....................................++++++
                     Create the key pair successfully.

    # Obter o certificado CA.

    [Device] pki retrieve-certificate domain 1 ca
                     The trusted CA's finger print is:
                     MD5 fingerprint:7682 5865 ACC2 7B16 6F52 D60F D998 4484
                     SHA1 fingerprint:DF6B C53A E645 5C81 D6FC 09B0 3459 DFD1 94F6 3DDE
                     Is the finger print correct?(Y/N):y
                     Retrieved the certificates successfully.

    # Solicite um certificado de servidor para o dispositivo. 

    [Device] pki request-certificate domain 1
                     Start to request general certificate ...
                     Certificate requested successfully.

    # Crie uma política de servidor SSL chamada myssl.

    [Device] ssl server-policy myssl

    # Especifique o domínio PKI 1 para a política do servidor SSL.

    [Device-ssl-server-policy-myssl] pki-domain 1

    # Habilitar a autenticação do cliente.

    [Device-ssl-server-policy-myssl] client-verify enable
                     [Device-ssl-server-policy-myssl] quit

    # Configure o serviço HTTPS para usar a política de servidor SSL myssl.

    [Device] ip https ssl-server-policy myssl

    # Habilite o serviço HTTPS.

    [Device] ip https enable

    # Crie um usuário local chamado usera. Defina a senha como hello12345, o tipo de serviço como https e a função do usuário como network-admin.

    [Device] local-user usera
                     [Device-luser-usera] password simple hello12345
                     [Device-luser-usera] service-type https
                     [Device-luser-usera] authorization-attribute user-role network-admin
    • Solicitar um certificado de cliente para o host:
      • Inicie o IE no host e digite http://10.1.2.2/certsrv na barra de endereços.
      • Solicita um certificado de cliente para o host. (Detalhes não mostrados).

    Verificação da configuração

    Execute as seguintes tarefas no host:

    • Inicie o IE e digite https://10.1.1.1 na barra de endereços.
    • Selecione o certificado emitido pelo servidor CA para o host. A página de login do dispositivo deve ser exibida.
    • Digite o nome de usuário usera e a senha 123.

    Verifique se agora você pode fazer login na interface da Web para acessar e gerenciar o dispositivo.

    Configuração da detecção e prevenção de ataques

    Visão geral

    A detecção e a prevenção de ataques permitem que um dispositivo detecte ataques inspecionando os pacotes que chegam e tome medidas de prevenção (como o descarte de pacotes) para proteger uma rede privada.

    Ataques que o dispositivo pode evitar

    Esta seção descreve os ataques que o dispositivo pode detectar e evitar.

    Ataque de fragmento TCP

    Um invasor lança ataques de fragmentos TCP enviando fragmentos TCP de ataque definidos na RFC 1858:

    • Primeiros fragmentos nos quais o cabeçalho TCP é menor que 20 bytes.
    • Fragmentos não-primeiro com um deslocamento de fragmento de 8 bytes (FO=1).

    Normalmente, o filtro de pacotes detecta os endereços IP de origem e destino, as portas de origem e destino e o protocolo da camada de transporte do primeiro fragmento de um pacote TCP. Se o primeiro fragmento for aprovado na detecção, todos os fragmentos subsequentes do pacote TCP terão permissão para passar.

    Como o primeiro fragmento de pacotes TCP de ataque não atinge nenhuma correspondência no filtro de pacotes, todos os fragmentos subsequentes podem passar. Depois que o host receptor remonta os fragmentos, ocorre um ataque de fragmento TCP.

    Para evitar ataques de fragmentos TCP, ative a prevenção de ataques de fragmentos TCP para descartar fragmentos TCP de ataque .

    Ataque de dicionário de login

    O ataque de dicionário de login é um processo automatizado para tentar fazer login experimentando todas as senhas possíveis de uma lista pré-arranjada de valores (o dicionário). Várias tentativas de login podem ocorrer em um curto período de tempo.

    Você pode configurar o recurso de atraso de login para reduzir a velocidade dos ataques de dicionário de login. Esse recurso permite que o dispositivo atrase a aceitação de outra solicitação de login depois de detectar uma tentativa de login fracassada de um usuário.

    Configuração da prevenção de ataques de fragmentos TCP

    Sobre a prevenção de ataques de fragmentos TCP

    O recurso de prevenção de ataques de fragmentos TCP detecta o comprimento e o deslocamento de fragmentos dos fragmentos TCP recebidos e descarta os fragmentos TCP de ataque.

    Restrições e diretrizes

    A prevenção de ataques de fragmentos TCP tem precedência sobre a prevenção de ataques de pacote único. Quando ambos são usados, os pacotes TCP de entrada são processados primeiro pela prevenção contra ataques de fragmentos TCP e, em seguida, pela política de defesa contra ataques de pacote único.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Ativar a prevenção de ataques de fragmentos TCP.
    attack-defense tcp fragment enable

    Por padrão, a prevenção de ataques de fragmentos TCP está ativada.

    Ativação do atraso de login

    Sobre o atraso no login

    O recurso de atraso de login faz com que o dispositivo deixe de aceitar uma solicitação de login de um usuário depois que ele falha em uma tentativa de login. Esse recurso pode retardar os ataques de dicionário de login.

    O recurso de atraso de login é independente do recurso de prevenção de ataques de login.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Ative o recurso de atraso de login.
    attack-defense login reauthentication-delay seconds

    Por padrão, o recurso de atraso de login está desativado. O dispositivo não atrasa a aceitação de uma solicitação de login de um usuário que tenha falhado em uma tentativa de login.

    Configuração da prevenção de ataques TCP

    Sobre a prevenção de ataques TCP

    A prevenção de ataques TCP pode detectar e impedir ataques que exploram o processo de estabelecimento de conexão TCP .

    Configuração da prevenção de ataques Naptha

    Sobre a prevenção de ataques de Naptha

    O Naptha é um ataque DDoS que tem como alvo os sistemas operacionais. Ele explora a vulnerabilidade de consumo de recursos na pilha TCP/IP e no processo de aplicativos de rede. O invasor estabelece um grande número de conexões TCP em um curto período de tempo e as deixa em determinados estados sem solicitar nenhum dado. Essas conexões TCP deixam a vítima sem recursos do sistema, o que resulta em um colapso do sistema.

    Depois que você ativar a prevenção de ataques Naptha, o dispositivo verificará periodicamente o número de conexões TCP em cada estado (CLOSING, ESTABLISHED, FIN_WAIT_1, FIN_WAIT_2 e LAST_ACK). Se o número de conexões TCP em um estado exceder o limite, o dispositivo acelerará o envelhecimento das conexões TCP nesse estado para atenuar o ataque Naptha.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Habilite a prevenção de ataques Naptha.
    tcp anti-naptha enable

    Por padrão, a prevenção de ataques Naptha está desativada.

    • (Opcional.) Defina o número máximo de conexões TCP em um estado.
    tcp state { closing | established | fin-wait-1 | fin-wait-2 | last-ack }
                  connection-limit number

    Por padrão, o número máximo de conexões TCP em cada estado (CLOSING, ESTABLISHED, FIN_WAIT_1, FIN_WAIT_2 e LAST_ACK) é 50.

    Para desativar o dispositivo de acelerar o envelhecimento das conexões TCP em um estado, defina o valor como 0.

    • (Opcional.) Defina o intervalo para verificar o número de conexões TCP em cada estado.
    tcp check-state interval interval

    Por padrão, o intervalo para verificar o número de conexões TCP em cada estado é de 30 segundos.

    Configuração da proteção de origem IP

    Sobre o IPSG

    O IPSG (IP source guard) evita ataques de spoofing usando uma tabela de vinculação IPSG para filtrar pacotes ilegítimos. Normalmente, esse recurso é configurado em interfaces do lado do usuário.

    Mecanismo operacional do IPSG

    A tabela de associação do IPSG contém associações que associam endereço IP, endereço MAC, VLAN ou qualquer combinação. O IPSG usa as associações para corresponder a um pacote de entrada. Se for encontrada uma correspondência, o pacote será encaminhado. Se não houver correspondência, o pacote será descartado.

    Os vínculos IPSG podem ser estáticos ou dinâmicos.

    Conforme mostrado na Figura 1, o IPSG encaminha apenas os pacotes que correspondem a uma associação do IPSG.

    Figura 1 Aplicativo IPSG

    Vinculações IPSG estáticas

    Os vínculos IPSG estáticos são configurados manualmente. Elas são adequadas para cenários em que existem poucos hosts em uma LAN e seus endereços IP são configurados manualmente. Por exemplo, você pode configurar uma associação IPSG estática em uma interface que se conecta a um servidor. Essa associação permite que a interface receba pacotes somente do servidor.

    Os vínculos IPSG estáticos em uma interface implementam as seguintes funções:

    • Filtre os pacotes IPv4 ou IPv6 recebidos na interface.
    • Cooperar com a detecção de ataque ARP no IPv4 para verificação da validade do usuário. Para obter informações sobre a detecção de ataques ARP, consulte "Configuração da proteção contra ataques ARP".
    • Cooperar com a detecção de ataque ND no IPv6 para verificação da validade do usuário. Para obter informações sobre a detecção de ataques ND, consulte "Configuração da defesa contra ataques ND".

    As associações estáticas de IPSG podem ser globais ou específicas da interface.

    • Vinculação estática global - Vincula o endereço IP e o endereço MAC na visualização do sistema. A associação entra em vigor em todas as interfaces para filtrar pacotes e evitar ataques de falsificação de usuário.
    • Vinculação estática específica da interface - Vincula o endereço IP, o endereço MAC, a VLAN ou qualquer combinação dos itens na visualização da interface. A associação entra em vigor somente na interface para verificar a validade dos usuários que estão tentando acessar a interface.

    Vinculações dinâmicas de IPSG

    O IPSG obtém automaticamente informações do usuário de outros módulos para gerar associações dinâmicas. Uma associação dinâmica do IPSG pode conter endereço MAC, endereço IPv4 ou IPv6, etiqueta de VLAN, interface de entrada e tipo de associação. O tipo de associação identifica o módulo de origem da associação, como DHCP snooping, DHCPv6 snooping, agente de retransmissão DHCP ou agente de retransmissão DHCPv6.

    Por exemplo, as associações de IPSG baseadas em DHCP são adequadas para cenários em que os hosts em uma LAN obtêm endereços IP por meio de DHCP. O IPSG é configurado no servidor DHCP, no dispositivo de snooping DHCP ou no agente de retransmissão DHCP. Ele gera associações dinâmicas com base nas associações de clientes no servidor DHCP, nas entradas de snooping DHCP ou nas entradas de retransmissão DHCP. O IPSG permite apenas a passagem de pacotes dos clientes DHCP.

    IPv4SG dinâmico

    Os vínculos dinâmicos gerados com base em diferentes módulos de origem destinam-se a diferentes usos:

    Tipos de interface Módulos de origem Uso de encadernação
    Porta Ethernet de camada 2 DHCP snooping 802.1X Filtragem de pacotes.
    ARP snooping Para cooperação com módulos (como o módulo MFF) para fornecer serviços de segurança.
    Interface VLAN Agente de retransmissão DHCP Filtragem de pacotes.
    Servidor DHCP Para cooperação com módulos (como o módulo ARP autorizado) para fornecer serviços de segurança.

    Para obter mais informações sobre o 802.1X, consulte "Configuração do 802.1X". Para obter informações sobre snooping de ARP, snooping de DHCP, retransmissão de DHCP e servidor DHCP, consulte o Guia de configuração de serviços de IP de camada 3.

    IPv6SG dinâmico

    Os vínculos dinâmicos do IPv6SG gerados com base em diferentes módulos de origem destinam-se a diferentes usos:

    Tipos de interface Módulos de origem Uso de encadernação
    Porta Ethernet de camada 2 DHCPv6 snooping ND snooping 802.1X Filtragem de pacotes.
    Interface VLAN Agente de retransmissão DHCPv6 Filtragem de pacotes.

    Para obter mais informações sobre o snooping DHCPv6, consulte o Guia de Configuração de Serviços de Camada 3 IP. Para obter mais informações sobre o snooping ND, consulte Configuração básica de IPv6 no Guia de configuração de serviços de camada 3 IP. Para obter mais informações sobre o registro de entrada de prefixo ND RA, consulte Descoberta de vizinhos IPv6 no Guia de configuração de serviços da camada 3IP. Para obter mais informações sobre o agente de retransmissão DHCPv6, consulte o Guia de configuração de serviços da camada 3-IP. Para obter mais informações sobre o servidor DHCPv6, consulte o Guia de configuração de serviços da camada 3-IP.

    Visão geral das tarefas do IPSG

    Para configurar o IPv4SG, execute as seguintes tarefas:

    • Ativação do IPv4SG
    • (Opcional.) Configuração de uma ligação IPv4SG estática
    • (Opcional.) Exclusão de pacotes IPv4 da filtragem IPSG

    Para configurar o IPv6SG, execute as seguintes tarefas:

    • Ativação do IPv6SG
    • (Opcional.) Configuração de uma ligação IPv6SG estática

    Configuração do recurso IPv4SG

    Ativação do IPv4SG

    Sobre o recurso IPv4SG em uma interface

    Quando você ativa o IPSG em uma interface, o IPSG estático e o dinâmico são ativados.

    • O IPv4SG estático usa associações estáticas configuradas com o comando ip source binding. Para obter mais informações, consulte "Configuração de uma associação IPv4SG estática".
    • Dynamic O IPv4SG gera associações dinâmicas a partir de módulos de origem relacionados. O IPv4SG usa as associações para filtrar os pacotes IPv4 de entrada com base nos critérios de correspondência especificados no comando ip verify source.

    Restrições e diretrizes

    Para implementar o IPv4SG dinâmico, certifique-se de que o 802.1X, o ARP snooping, o DHCP snooping, o agente de retransmissão DHCP ou o servidor DHCP estejam funcionando corretamente na rede.

    Ativação do IPv4SG em uma interface

    • Entre na visualização do sistema.
    system view
    • Entre na visualização da interface.
    interface interface-type interface-number

    Os seguintes tipos de interface são compatíveis:

    • Interface Ethernet de camada 2.
    • Interface VLAN.
    • Habilite o IPv4SG na interface.
    ip verify source { ip-address | ip-address mac-address | mac-address }

    Por padrão, o IPv4SG está desativado em uma interface.

    ip verify source trust

    Configuração de uma associação IPv4SG estática

    Sobre os vínculos IPv4SG estáticos

    Você pode configurar associações IPv4SG estáticas globais e estáticas específicas da interface. As associações estáticas globais têm prioridade sobre as associações estáticas e dinâmicas específicas da interface. Uma interface usa primeiro as associações estáticas globais para fazer a correspondência de pacotes. Se não for encontrada nenhuma correspondência, a interface usará as associações estáticas e dinâmicas da interface para fazer a correspondência dos pacotes.

    Restrições e diretrizes

    Os vínculos estáticos globais entram em vigor em todas as interfaces do dispositivo.

    Para configurar uma associação IPv4SG estática para o recurso de detecção de ataque ARP, certifique-se de que as seguintes condições sejam atendidas:

  • A opção ip-address ip-address, a opção mac-address mac-address e a opção

    • A opção vlan vlan-id deve ser especificada.

    • A detecção de ataques ARP deve estar ativada para a VLAN especificada.

    Configuração de uma associação IPv4SG estática global

    • Entre na visualização do sistema.
    system view
    • Configure uma associação IPv4SG estática global.
    ip source binding ip-address ip-address mac-address mac-address

    Configuração de uma associação IPv4SG estática em uma interface

    • Entre na visualização do sistema.
    system view
    • Entre na visualização da interface.
    interface interface-type interface-number

    Os seguintes tipos de interface são compatíveis:

    • Interface Ethernet de camada 2.
    • Interface VLAN.
    • Configurar uma ligação IPv4SG estática.
    ip source binding { ip-address ip-address | ip-address ip-address
                     mac-address mac-address | mac-address mac-address } [ vlan vlan-id ]

    Você pode configurar a mesma associação IPv4SG estática em diferentes interfaces.

    Exclusão de pacotes IPv4 da filtragem IPSG

    Sobre a exclusão de pacotes IPv4 da filtragem IPSG

    Por padrão, o IPv4SG processa todos os pacotes IPv4 de entrada em uma interface e descarta os pacotes que não correspondem às associações do IPSG. Para permitir que pacotes IPv4 específicos que não correspondem a nenhuma associação do IPSG passem pela interface, você pode especificar os itens de origem dos pacotes para isenção de filtragem do IPSG. Todos os pacotes IPv4 com os itens de origem especificados são encaminhados sem serem processados pelo IPSG.

    Procedimento

  • Entre na visualização do sistema.
    • system view
    • Exclui da filtragem IPSG os pacotes IPv4 com os itens de origem especificados.
    ip verify source exclude vlan start-vlan-id [ to end-vlan-id ]

    Por padrão, nenhum item de origem excluído é configurado.

    Você pode executar esse comando várias vezes para especificar várias VLANs excluídas. As VLANs excluídas especificadas não podem se sobrepor.

    Configuração do recurso IPv6SG

    Ativação do IPv6SG

    Sobre o recurso IPv6SG em uma interface

    Quando você ativa o IPv6SG em uma interface, o IPv6SG estático e o dinâmico são ativados.

    • O IPv6SG estático usa associações estáticas configuradas usando a associação de origem ipv6

    comando. Para obter mais informações, consulte "Configuração de uma associação IPv6SG estática".

    • Dinâmico O IPv6SG gera associações dinâmicas a partir de módulos de origem relacionados. O IPv6SG usa as associações para filtrar os pacotes IPv6 de entrada com base nos critérios de correspondência especificados no comando ipv6 verify source.

    Restrições e diretrizes

    Para implementar o IPv6SG dinâmico, certifique-se de que o snooping DHCPv6, o agente de retransmissão DHCPv6 ou o snooping ND estejam funcionando corretamente na rede.

    Ativação do IPv6SG em uma interface

    • Entre na visualização do sistema.
    system view
    • Entre na visualização da interface.
    interface interface-type interface-number

    Há suporte para os seguintes tipos de interface:

    • Interface Ethernet de camada 2.
    • Interface VLAN.
    • Habilite o IPv6SG na interface.
    ipv6 verify source { ip-address | ip-address mac-address |
                     mac-address }

    Por padrão, o IPv6SG está desativado em uma interface.

    Configuração de uma associação IPv6SG estática

    Sobre as associações IPv6SG estáticas

    Você pode configurar associações IPv6SG estáticas globais e estáticas específicas da interface. As associações estáticas globais têm prioridade sobre as associações estáticas e dinâmicas específicas da interface. Uma interface usa primeiro as associações estáticas globais para corresponder aos pacotes. Se não for encontrada nenhuma correspondência, a interface usará as associações estáticas e dinâmicas na interface para fazer a correspondência dos pacotes.

    Restrições e diretrizes

    Os vínculos estáticos globais entram em vigor em todas as interfaces do dispositivo.

    Para configurar uma ligação IPv6SG estática para o recurso de detecção de ataque ND, a opção vlan vlan-id deve ser especificada e a detecção de ataque ND deve estar ativada para a VLAN especificada.

    Configuração de uma associação IPv6SG estática global

  • Entre na visualização do sistema.
    • system view
    • Configure uma associação IPv6SG estática global.
    ipv6 source binding ip-address ipv6-address mac-address mac-address

    Configuração de uma associação IPv6SG estática em uma interface

    • Entre na visualização do sistema.
    system view
    • Entre na visualização da interface.
    interface interface-type interface-number

    Os seguintes tipos de interface são compatíveis:

    • Interface Ethernet de camada 2.
    • Interface VLAN.
    • Configurar uma ligação IPv6SG estática.
    ipv6 source binding { ip-address ipv6-address | ip-address ipv6-address
                     mac-address mac-address | mac-address mac-address } [ vlan vlan-id ]

    Você pode configurar a mesma associação IPv6SG estática em diferentes interfaces.

    Comandos de exibição e manutenção para IPSG

    Execute comandos de exibição em qualquer visualização e redefina comandos na visualização do usuário.

    Tarefa Comando
    Exibir vínculos IPv4SG. display ip source binding [ static | [ arp-snooping-vlan | dhcp-relay | dhcp-server | dhcp-snooping | dot1x ] ] [ ip-address ip-address ] [ mac-address mac-address ] [ vlan vlan-id ] [ interface tipo interface-número da interface ] [ slot slot-number ]
    Exibir itens de origem que foram configurados para serem excluídos da filtragem de IPSG. display ip verify source excluded [ vlan start-vlan-id [ to end-vlan-id ] ] ] [ slot slot-número ]
    Exibir associações de endereços IPv6SG. display ipv6 source binding [ static | [ dhcpv6-server | dhcpv6-snooping | dot1x ] ] [ ip-address ipv6-address ] [ mac-address mac-address ] [ vlan vlan-id ] [ interface interface-type interface-number ] [ slot slot-number ]
    Exibir as associações de prefixo IPv6SG. display ipv6 source binding pd [ prefix prefix/prefix-length ] [ mac-address mac-address ] [ vlan vlan-id ] [ interface-type interface-number ] [ slot slot-number ]

    Exemplos de configuração do IPSG

    Exemplo: Configuração de IPv4SG estático

    Configuração de rede

    Conforme mostrado na Figura 2, todos os hosts usam endereços IP estáticos.

    Configure as associações IPv4SG estáticas no Dispositivo A e no Dispositivo B para atender aos seguintes requisitos:

  • Todas as interfaces do Dispositivo A permitem a passagem de pacotes IP do Host A.
  • A GigabitEthernet 1/0/1 do Dispositivo A permite a passagem de pacotes IP do Host B.

    • Figura 2 Diagrama de rede

    Procedimento

    # Configure endereços IP para as interfaces. (Detalhes não mostrados.) # Habilite o IPv4SG na GigabitEthernet 1/0/2.

     system-view
                     [DeviceA] interface gigabitethernet 1/0/2
                     [DeviceA-GigabitEthernet1/0/2] ip verify source ip-address mac-address
                     [DeviceA-GigabitEthernet1/0/2] quit

    # Configure uma associação IPv4SG estática para o Host A.

    [DeviceA] ip source binding ip-address 192.168.0.1 mac-address 0001-0203-0406

    # Habilite o IPv4SG na GigabitEthernet 1/0/1.

    [DeviceA] interface gigabitethernet 1/0/1
                     [DeviceA-GigabitEthernet1/0/1] ip verify source ip-address mac-address

    # Na GigabitEthernet 1/0/1, configure uma associação IPv4SG estática para o Host B.

    [DeviceA-GigabitEthernet1/0/1] ip source binding mac-address 0001-0203-0407
                     [DeviceA-GigabitEthernet1/0/1] quit

    Verificação da configuração

    # Verifique se os vínculos IPv4SG estáticos foram configurados com êxito no Dispositivo A.

     display ip source binding static
                     Total entries found: 2
                     IP Address MAC Address Interface VLAN Type
                     192.168.0.1 0001-0203-0406 N/A N/A Static
                     N/A 0001-0203-0407 GE1/0/1 N/A Static

    Exemplo: Configuração do IPv4SG dinâmico baseado em DHCP snooping

    Configuração de rede

    Conforme mostrado na Figura 3, o host (o cliente DHCP) obtém um endereço IP do servidor DHCP. Execute as seguintes tarefas:

    • Ative o snooping de DHCP no dispositivo para garantir que o cliente DHCP obtenha um endereço IP do servidor DHCP autorizado. Para gerar uma entrada de snooping DHCP para o cliente DHCP, ative o registro das informações do cliente nas entradas de snooping DHCP.
    • Habilite o IPv4SG dinâmico na GigabitEthernet 1/0/1 para filtrar os pacotes de entrada usando as associações IPv4SG geradas com base nas entradas do DHCP snooping. Somente os pacotes do cliente DHCP têm permissão para passar.

    Figura 3 Diagrama de rede

    Procedimento

    • Configure o servidor DHCP.

    Para obter informações sobre a configuração do servidor DHCP, consulte o Guia de Configuração de Serviços de Camada 3 IP .

    • Configure o dispositivo:

    # Configure endereços IP para as interfaces. (Detalhes não mostrados.) # Habilite o DHCP snooping.

     system-view
                     [Device] dhcp snooping enable

    # Configure a GigabitEthernet 1/0/2 como uma interface confiável.

    [Device] interface gigabitethernet 1/0/2
                     [Device-GigabitEthernet1/0/2] dhcp snooping trust
                     [Device-GigabitEthernet1/0/2] quit

    # Habilite o IPv4SG na GigabitEthernet 1/0/1 e verifique o endereço IP de origem e o endereço MAC para o IPSG dinâmico.

    [Device] interface gigabitethernet 1/0/1
                     [Device-GigabitEthernet1/0/1] ip verify source ip-address mac-address

    # Habilite o registro das informações do cliente nas entradas do DHCP snooping na GigabitEthernet 1/0/1.

    [Device-GigabitEthernet1/0/1] dhcp snooping binding record
                     [Device-GigabitEthernet1/0/1] quit

    Verificação da configuração

    # Exibir as associações dinâmicas de IPv4SG geradas com base nas entradas de DHCP snooping.

    [Device] display ip source binding dhcp-snooping
                     Total entries found: 1
                     IP Address MAC Address Interface VLAN Type
                     192.168.0.1 0001-0203-0406 GE1/0/1 1 DHCP snooping

    Exemplo: Configuração do IPv4SG dinâmico baseado em agente de retransmissão DHCP

    Configuração de rede

    Conforme mostrado na Figura 4, o agente de retransmissão DHCP está ativado no switch. O host obtém um endereço IP do servidor DHCP por meio do agente de retransmissão DHCP.

    Habilite o IPv4SG dinâmico na interface VLAN 100 para filtrar os pacotes de entrada usando as associações IPv4SG geradas com base nas entradas de retransmissão DHCP.

    Figura 4 Diagrama de rede

    Procedimento

    • Configurar o IPv4SG dinâmico:

    # Configure os endereços IP para as interfaces. (Detalhes não mostrados).

    # Habilite o IPv4SG na interface VLAN 100 e verifique o endereço IP de origem e o endereço MAC para o IPSG dinâmico.

     system-view
                     [Switch] interface vlan-interface 100
                     [Switch-Vlan-interface100] ip verify source ip-address mac-address
                     [Switch-Vlan-interface100] quit
    • Configure o agente de retransmissão DHCP:

    # Habilite o serviço DHCP. 

    [Switch] dhcp enable

    # Habilite o registro de entradas de retransmissão DHCP.

    [Switch] dhcp relay client-information record

    # Configure a interface VLAN 100 para operar no modo de retransmissão DHCP.

    [Switch] interface vlan-interface 100
                     [Switch-Vlan-interface100] dhcp select relay

    # Especifique o endereço IP do servidor DHCP.

    [Switch-Vlan-interface100] dhcp relay server-address 10.1.1.1
                     [Switch-Vlan-interface100] quit

    Verificação da configuração

    # Exibir associações dinâmicas de IPv4SG geradas com base em entradas de retransmissão DHCP.

    [Switch] display ip source binding dhcp-relay
                     Total entries found: 1
                     IP Address MAC Address Interface VLAN Type
                     192.168.0.1 0001-0203-0406 Vlan100 100 DHCP relay

    A interface VLAN 100 filtrará os pacotes com base na associação IPv4SG.

    Exemplo: Configuração de IPv6SG estático

    Configuração de rede

    Conforme mostrado na Figura 5, configure uma associação IPv6SG estática na GigabitEthernet 1/0/1 do dispositivo para permitir a passagem apenas de pacotes IPv6 do host.

    Figura 5 Diagrama de rede

    Procedimento

    # Habilite o IPv6SG na GigabitEthernet 1/0/1.

     system-view
                     [Device] interface gigabitethernet 1/0/1
                     [Device-GigabitEthernet1/0/1] ipv6 verify source ip-address mac-address

    # Na GigabitEthernet 1/0/1, configure uma associação IPv6SG estática para o host.

    [Device-GigabitEthernet1/0/1] ipv6 source binding ip-address 2001::1 mac-address 
                     0001-0202-0202
                     [Device-GigabitEthernet1/0/1] quit

    Verificação da configuração

    # Verifique se a associação IPv6SG estática foi configurada com êxito no dispositivo.

    [Device] display ipv6 source binding static
                     Total entries found: 1
                     IPv6 Address MAC Address Interface VLAN Type
                     2001::1 0001-0202-0202 GE1/0/1 N/A Static

    Exemplo: Configuração de associações de endereços IPv6SG dinâmicos baseados em DHCPv6 snooping

    Configuração de rede

    Conforme mostrado na Figura 6, o host (o cliente DHCPv6) obtém um endereço IP do servidor DHCPv6. Execute as seguintes tarefas:

    • Ative o snooping DHCPv6 no dispositivo para garantir que o cliente DHCPv6 obtenha um endereço IPv6 do servidor DHCPv6 autorizado. Para gerar uma entrada de snooping DHCPv6 para o cliente DHCPv6, ative o registro das informações do cliente nas entradas de snooping DHCPv6.
    • Habilite o IPv6SG dinâmico na GigabitEthernet 1/0/1 para filtrar os pacotes de entrada usando as associações IPv6SG geradas com base nas entradas do DHCPv6 snooping. Somente os pacotes do cliente DHCPv6 têm permissão para passar.

    Figura 6 Diagrama de rede

    Procedimento

    • Configurar o DHCPv6 snooping:

    # Habilite o DHCPv6 snooping globalmente.

     system-view
                     [Device] ipv6 dhcp snooping enable

    # Configure a GigabitEthernet 1/0/2 como uma interface confiável.

    [Device] interface gigabitethernet 1/0/2
                     [Device-GigabitEthernet1/0/2] ipv6 dhcp snooping trust
                     [Device-GigabitEthernet1/0/2] quit
    • Ativar o IPv6SG:

    # Habilite o IPv6SG na GigabitEthernet 1/0/1 e verifique o endereço IP de origem e o endereço MAC para o IPv6SG dinâmico.

    [Device] interface gigabitethernet 1/0/1
                     [Device-GigabitEthernet1/0/1] ipv6 verify source ip-address mac-address

    # Habilite o registro das informações do cliente nas entradas do DHCPv6 snooping na GigabitEthernet 1/0/1.

    [Device-GigabitEthernet1/0/1] ipv6 dhcp snooping binding record
                     [Device-GigabitEthernet1/0/1] quit

    Verificação da configuração

    # Exibir as associações dinâmicas de IPv6SG geradas com base nas entradas de DHCPv6 snooping.

    [Device] display ipv6 source binding dhcpv6-snooping
                     Total entries found: 1
                     IPv6 Address MAC Address Interface VLAN Type
                     2001::1 040a-0000-0001 GE1/0/1 1 DHCPv6 snooping

    A GigabitEthernet 1/0/1 filtrará os pacotes com base na associação IPv6SG.

    Exemplo: Configuração de ligações dinâmicas de prefixo IPv6SG baseadas em DHCPv6 snooping

    Configuração de rede

    Conforme mostrado na Figura 7, o host (o cliente DHCPv6) obtém um prefixo IPv6 do servidor DHCPv6. Execute as seguintes tarefas:

    • Ative o snooping DHCPv6 no dispositivo para garantir que o cliente DHCPv6 obtenha um prefixo IPv6 do servidor DHCPv6 autorizado. Para gerar uma entrada de prefixo de snooping DHCPv6 para o cliente DHCPv6, ative o registro de informações de prefixo IPv6 nas entradas de snooping DHCPv6.
    • Habilite o IPv6SG dinâmico na GigabitEthernet 1/0/1 para filtrar os pacotes de entrada usando as associações IPv6SG geradas com base nas entradas de prefixo do DHCPv6 snooping. Somente os pacotes do cliente DHCPv6 têm permissão para passar.

    Figura 7 Diagrama de rede

    Procedimento

    • Configurar o DHCPv6 snooping.

    # Habilite o DHCPv6 snooping globalmente.

     system-view
                     [Device] ipv6 dhcp snooping enable

    # Configure a GigabitEthernet 1/0/2 como uma interface confiável.

    [Device] interface gigabitethernet 1/0/2
                     [Device-GigabitEthernet1/0/2] ipv6 dhcp snooping trust
                     [Device-GigabitEthernet1/0/2] quit

    # Habilite o registro de entradas de prefixo do DHCPv6 snooping na GigabitEthernet 1/0/1.

    [Device] interface gigabitethernet 1/0/1
                     [Device-GigabitEthernet1/0/1] ipv6 dhcp snooping pd binding record
    • Ativar o IPv6SG.

    # Habilite o IPv6SG na GigabitEthernet 1/0/1 e verifique o endereço IP de origem e o endereço MAC para o IPv6SG dinâmico.

    [Device-GigabitEthernet1/0/1] ipv6 verify source ip-address mac-address
                     [Device-GigabitEthernet1/0/1] quit

    Verificação da configuração

    # Exibir as associações dinâmicas de IPv6SG geradas com base nas entradas de DHCPv6 snooping.

    [Device] display ipv6 source binding pd
                     Total entries found: 1
                     IPv6 prefix MAC address Interface VLAN
                     2001:410:1::/48 0010-9400-0004 GE1/0/1 1

    A GigabitEthernet 1/0/1 filtrará os pacotes com base na associação IPv6SG.

    Exemplo: Configuração do IPv6SG dinâmico baseado em agente de retransmissão DHCPv6

    Configuração de rede

    Conforme mostrado na Figura 8, o agente de retransmissão DHCPv6 está ativado no switch. Os clientes obtêm endereços IPv6 do servidor DHCPv6 por meio do agente de retransmissão DHCPv6.

    Habilite o IPv6SG dinâmico na interface VLAN 3 para filtrar os pacotes de entrada usando as associações IPv6SG geradas com base nas entradas de retransmissão DHCPv6.

    Figura 8 Diagrama de rede

    Procedimento

    • Configure o agente de retransmissão DHCPv6:

    # Crie a VLAN 2 e a VLAN 3, atribua interfaces às VLANs e especifique endereços IP para a interface VLAN 2 e a interface VLAN 3. (Detalhes não mostrados.)

    # Habilite o agente de retransmissão DHCPv6 na interface VLAN 3.

    [Switch] interface vlan-interface 3
                     [Switch-Vlan-interface3] ipv6 dhcp select relay

    # Habilite o registro de entradas de retransmissão de DHCPv6 na interface.

    [Switch-Vlan-interface3] ipv6 dhcp relay client-information record

    # Especifique o endereço do servidor DHCPv6 2::2 no agente de retransmissão. 

    [Switch-Vlan-interface3] ipv6 dhcp relay server-address 2::2
                     [Switch-Vlan-interface3] quit
    • Habilite o IPv6SG na interface VLAN 3 e verifique o endereço IP de origem e o endereço MAC do IPv6SG dinâmico.
     system-view
                     [Switch] interface vlan-interface 3
                     [Switch-Vlan-interface3] ipv6 verify source ip-address mac-address
                     [Switch-Vlan-interface3] quit

    Verificação da configuração

    # Exibir associações dinâmicas de IPv6SG geradas com base em entradas de retransmissão DHCPv6.

    [Switch] display ipv6 source binding dhcpv6-relay
                     Total entries found: 1
                     IP Address MAC Address Interface VLAN Type
                     1::2 0001-0203-0406 Vlan3 3 DHCPv6 relay

    A interface VLAN 3 filtrará os pacotes com base na associação IPv6SG.

    Configuração da proteção contra ataques ARP

    Sobre a proteção contra ataques ARP

    O dispositivo pode fornecer vários recursos para detectar e impedir ataques de ARP e vírus na LAN. Um invasor pode explorar as vulnerabilidades do ARP para atacar dispositivos de rede das seguintes maneiras:

    • Envia um grande número de pacotes IP não resolvíveis para manter o dispositivo receptor ocupado com a resolução de endereços IP até que sua CPU fique sobrecarregada. Os pacotes IP não resolvíveis referem-se a pacotes IP para os quais o ARP não consegue encontrar os endereços MAC correspondentes.
    • Envia um grande número de pacotes ARP para sobrecarregar a CPU do dispositivo receptor.
    • Atua como um usuário ou gateway confiável para enviar pacotes ARP para que os dispositivos receptores obtenham entradas ARP incorretas.

    Visão geral das tarefas de proteção contra ataques ARP

    Todas as tarefas de proteção contra ataques ARP são opcionais.

    • Prevenção de ataques de inundação
      • Configuração da proteção contra ataques de IP não resolvíveis
      • Configuração do limite de taxa de pacotes ARP
      • Configuração da detecção de ataques ARP baseados em MAC de origem
      • Prevenção de ataques de spoofing de usuários e gateways
      • Configuração da verificação de consistência do MAC de origem do pacote ARP
      • Configuração da confirmação ativa de ARP
      • Configuração de ARP autorizado
      • Configuração da detecção de ataques ARP
      • Configuração da verificação de validade do pacote ARP
      • Configuração do encaminhamento restrito de ARP
      • Ignorando portas de entrada de pacotes ARP durante a verificação de validade do usuário
      • Ativação do registro de detecção de ataques ARP
      • Configuração da varredura de ARP e do ARP fixo
      • Configuração da proteção de gateway ARP
      • Exemplo: Configuração da proteção de gateway ARP
      • Configuração da filtragem de ARP

    Configuração da proteção contra ataques de IP não resolvíveis

    Sobre a proteção contra ataques de IP sem solução

    Se um dispositivo receber um grande número de pacotes IP não resolvíveis de um host, poderão ocorrer as seguintes situações:

    • O dispositivo envia um grande número de solicitações ARP, sobrecarregando as sub-redes de destino.
    • O dispositivo continua tentando resolver os endereços IP de destino, sobrecarregando sua CPU. Para proteger o dispositivo contra esses ataques de IP, você pode configurar os seguintes recursos:
    • Supressão de fonte ARP - Interrompe a resolução de pacotes de um endereço IP se o número de pacotes IP não resolvíveis do endereço IP exceder o limite superior em 5 segundos. O dispositivo continua a resolução de ARP quando o intervalo termina. Esse recurso é aplicável se os pacotes de ataque tiverem os mesmos endereços de origem.
    • Roteamento ARP blackhole - Cria uma rota blackhole destinada a um endereço IP não resolvido. O dispositivo descarta todos os pacotes correspondentes até que a rota blackhole seja excluída. Uma rota de blackhole é excluída quando seu cronômetro de envelhecimento é atingido ou quando a rota se torna acessível.

    Depois que uma rota blackhole é criada para um endereço IP não resolvido, o dispositivo inicia imediatamente a primeira sondagem de rota blackhole ARP enviando uma solicitação ARP. Se a resolução falhar, o dispositivo continuará a sondagem de acordo com as configurações da sonda. Se a resolução do endereço IP for bem-sucedida em uma sondagem, o dispositivo converterá a rota de blackhole em uma rota normal. Se uma rota de blackhole ARP envelhecer antes de o dispositivo concluir todas as sondagens, o dispositivo excluirá a rota de blackhole e não executará as sondagens restantes.

    Esse recurso é aplicável independentemente do fato de os pacotes de ataque terem os mesmos endereços de origem .

    Configuração da supressão de fonte ARP

    • Entre na visualização do sistema.
    system view
    • Ativar a supressão da fonte ARP.
    arp source-suppression enable

    Por padrão, a supressão de fonte ARP está desativada.

    • Defina o número máximo de pacotes não resolvíveis que o dispositivo pode processar por endereço IP de origem em 5 segundos.
    arp source-suppression limit limit-value

    Por padrão, o número máximo é 10.

    Configuração do roteamento de blackhole ARP

    Restrições e diretrizes

    Defina a contagem da sonda de rota de blackhole ARP para um valor alto, por exemplo, 25. Se o dispositivo não conseguir alcançar o endereço IP de destino temporariamente e a contagem de sondas for muito pequena, todas as sondas poderão ser concluídas antes que o problema seja resolvido. Como resultado, os pacotes que não forem de ataque serão descartados. Essa configuração pode evitar essa situação.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Ativar o roteamento ARP blackhole.
    arp resolving-route enable

    Por padrão, o roteamento ARP blackhole está ativado.

    • (Opcional.) Defina o número de sondas de rota ARP blackhole para cada endereço IP não resolvido.
    arp resolving-route probe-count count

    A configuração padrão é de três sondas.

    • (Opcional.) Defina o intervalo em que o dispositivo sonda as rotas ARP blackhole.
    arp resolving-route probe-interval interval

    A configuração padrão é 1 segundo.

    Comandos de exibição e manutenção para proteção contra ataques de IP não resolvíveis

    Executar comandos de exibição em qualquer visualização.

    Tarefa Comando
    Exibir informações de configuração de supressão de fonte ARP. exibir arp source-suppression

    Exemplo: Configuração da proteção contra ataques de IP não resolvíveis

    Configuração de rede

    Conforme mostrado na Figura 1, uma LAN contém duas áreas: uma área de P&D na VLAN 10 e uma área de escritório na VLAN 20. Cada área se conecta ao gateway (Device) por meio de um switch de acesso.

    Um grande número de solicitações ARP é detectado na área do escritório e é considerado um ataque causado por pacotes IP não solucionáveis. Para evitar o ataque, configure a supressão da origem do ARP ou o roteamento de blackhole do ARP .

    Figura 1 Diagrama de rede

    Procedimento

    • Se os pacotes de ataque tiverem o mesmo endereço de origem, configure a supressão de origem ARP:

    # Habilite a supressão de fonte ARP.

     system-view
                     [Device] arp source-suppression enable

    # Configure o dispositivo para processar um máximo de 100 pacotes não resolvíveis por endereço IP de origem em 5 segundos.

    [Device] arp source-suppression limit 100
    • Se os pacotes de ataque tiverem endereços de origem diferentes, configure o roteamento de blackhole ARP:

    # Habilite o roteamento de blackhole ARP.

    [Device] arp resolving-route enable

    Configuração do limite de taxa de pacotes ARP

    Sobre o limite de taxa de pacotes ARP

    O recurso de limite de taxa de pacotes ARP permite que você limite a taxa de pacotes ARP entregues à CPU. Um dispositivo habilitado para detecção de ataque ARP enviará todos os pacotes ARP recebidos à CPU para inspeção. O processamento excessivo de pacotes ARP fará com que o dispositivo funcione mal ou até mesmo trave. Para resolver esse problema, configure o limite de taxa de pacotes ARP. Quando a taxa de recebimento de pacotes ARP na interface exceder o limite de taxa, esses pacotes serão descartados.

    Você pode ativar o envio de notificações para o módulo SNMP ou ativar o registro para o limite de taxa de pacotes ARP.

    • Se o envio de notificações estiver ativado, o dispositivo enviará a maior taxa de pacotes ARP cruzada no limite dentro do intervalo de envio em uma notificação para o módulo SNMP. Você deve usar a opção

    comando snmp-agent target-host para definir o tipo de notificação e o host de destino. Para obter mais informações sobre notificações, consulte Referência de comandos de monitoramento e gerenciamento de rede.

    • Se o registro em log para o limite de taxa de pacotes ARP estiver ativado, o dispositivo enviará a taxa de pacotes ARP mais alta cruzada pelo limite dentro do intervalo de envio em uma mensagem de registro para o centro de informações. Você pode configurar o módulo do centro de informações para definir as regras de saída de registro. Para obter mais informações sobre a central de informações, consulte o Guia de configuração de monitoramento e gerenciamento de rede.

    Restrições e diretrizes

    Como prática recomendada, configure esse recurso quando a detecção de ataque ARP, o ARP snooping ou o MFF estiver ativado ou quando forem detectados ataques de inundação ARP.

    Se forem enviadas notificações e mensagens de registro excessivas para o limite de taxa de pacotes ARP, é possível aumentar o intervalo de envio de notificações e mensagens de registro.

    Se você ativar o envio e o registro de notificações para o limite de taxa de pacotes ARP em uma interface agregada de camada 2 , os recursos se aplicarão a todas as portas membros da agregação.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • (Opcional.) Habilite as notificações SNMP para o limite de taxa de pacotes ARP.
    snmp-agent trap enable arp [ rate-limit ]

    Por padrão, as notificações SNMP para o limite de taxa de pacotes ARP estão desativadas.

    • (Opcional.) Ative o registro para o limite de taxa de pacotes ARP.
    arp rate-limit log enable

    Por padrão, o registro em log do limite de taxa de pacotes ARP está desativado.

    • (Opcional.) Defina o intervalo de envio de mensagens de notificação e de registro.
    arp rate-limit log interval interval

    Por padrão, o dispositivo envia notificações e mensagens de registro a cada 60 segundos.

    • Entre na visualização da interface.
    interface interface-type interface-number

    Os tipos de interface compatíveis incluem interface Ethernet de camada 2 e interface agregada de camada 2.

    • Ativar o limite de taxa de pacotes ARP.
    arp rate-limit [ pps ]

    Por padrão, o limite de taxa de pacotes ARP está ativado.

    Configuração da detecção de ataques ARP baseados em MAC de origem

    Sobre a detecção de ataques ARP baseados em MAC de origem

    Esse recurso verifica o número de pacotes ARP entregues à CPU. Se o número de pacotes do mesmo endereço MAC dentro de 5 segundos exceder um limite, o dispositivo gerará uma entrada de ataque ARP para o endereço MAC. Se o recurso de registro de ARP estiver ativado, o dispositivo tratará o ataque usando um dos seguintes métodos antes que a entrada de ataque ARP se esgote:

    • Monitor-Only gera mensagens de registro.
    • Filter - Gera mensagens de registro e filtra os pacotes ARP subsequentes do endereço MAC e os pacotes de dados originados ou destinados ao endereço MAC.

    Para ativar o recurso de registro de ARP, use o comando arp source-mac log enable. Para obter informações sobre o recurso de registro de ARP, consulte ARP no Guia de Configuração de Serviços de Camada 3 IP.

    Quando uma entrada de ataque ARP se esgota, os pacotes ARP originados do endereço MAC na entrada podem ser processados corretamente.

    Restrições e diretrizes

    Quando você altera o método de tratamento de monitor para filtro, a configuração entra em vigor imediatamente. Quando você altera o método de tratamento de filtro para monitor, o dispositivo continua filtrando os pacotes que correspondem às entradas de ataque existentes.

    Você pode excluir os endereços MAC de alguns gateways e servidores dessa detecção. Esse recurso não inspeciona os pacotes ARP desses dispositivos, mesmo que eles sejam atacantes.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Habilite a detecção de ataques ARP baseados em MAC de origem e especifique o método de tratamento.
    arp source-mac { filter | monitor }

    Por padrão, esse recurso está desativado.

    • Defina o limite.
    arp source-mac threshold threshold-value

    Por padrão, o limite é 30.

    • Defina o cronômetro de envelhecimento para entradas de ataque ARP.
      • arp source-mac aging-time time

      Por padrão, o tempo de vida é de 300 segundos.

    • (Opcional.) Exclua endereços MAC específicos dessa detecção.
      • arp source-mac exclude-mac mac-address&<1-10>

      Por padrão, nenhum endereço MAC é excluído.

    • Habilite o registro em log para detecção de ataques ARP baseados em MAC de origem.
    arp source-mac log enable

    Por padrão, o registro em log da detecção de ataques ARP baseados em MAC de origem está desativado.

    Comandos de exibição e manutenção para detecção de ataques ARP baseados em MAC de origem

    Executar comandos de exibição em qualquer visualização.

    Tarefa Comando
    Exibir entradas de ataque ARP detectadas pela detecção de ataque ARP baseado em MAC de origem. display arp source-mac { interface interface-type interface-number [ slot slot-number ] | slot slot-number }

    Exemplo: Configuração da detecção de ataques ARP baseados em MAC de origem

    Configuração de rede

    Conforme mostrado na Figura 2, os hosts acessam a Internet por meio de um gateway (dispositivo). Se os usuários mal-intencionados enviarem um grande número de solicitações ARP ao gateway, este poderá falhar e não conseguirá processar as solicitações dos clientes. Para resolver esse problema, configure a detecção de ataques ARP com base no MAC de origem no gateway.

    Figura 2 Diagrama de rede

    Procedimento

    # Habilite a detecção de ataques ARP baseados em MAC de origem e especifique o método de tratamento como filtro.

     system-view
                     [Device] arp source-mac filter

    # Defina o limite como 30.

    [Device] arp source-mac threshold 30

    # Defina o tempo de vida das entradas de ataque ARP como 60 segundos.

    [Device] arp source-mac aging-time 60

    # Excluir o endereço MAC 0012-3f86-e94c dessa detecção.

    [Device] arp source-mac exclude-mac 0012-3f86-e94c

    Configuração da verificação de consistência do MAC de origem do pacote ARP

    Sobre a verificação de consistência do MAC de origem do pacote ARP

    Esse recurso permite que um gateway filtre os pacotes ARP cujo endereço MAC de origem no cabeçalho Ethernet seja diferente do endereço MAC do remetente no corpo da mensagem. Esse recurso permite que o gateway aprenda as entradas ARP corretas.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Ativar a verificação de consistência do endereço MAC de origem do pacote ARP.
    arp valid-check enable

    Por padrão, a verificação de consistência do endereço MAC de origem do pacote ARP está desativada.

    Configuração da confirmação ativa de ARP

    Sobre a confirmação ativa de ARP

    Configure esse recurso nos gateways para evitar falsificação de usuário.

    A confirmação ativa de ARP impede que um gateway gere entradas ARP incorretas. No modo estrito, um gateway executa verificações de validade mais rigorosas antes de criar uma entrada ARP:

    • Ao receber uma solicitação ARP destinada ao gateway, o gateway envia uma resposta ARP, mas

    não cria uma entrada ARP.

    • Ao receber uma resposta ARP, o gateway determina se resolveu o endereço IP do remetente:
      • Em caso afirmativo, o gateway executa a confirmação ativa. Quando a resposta ARP é verificada como válida, o gateway cria uma entrada ARP.
      • Se não, o gateway descarta o pacote.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Habilite o recurso de confirmação ativa de ARP.
    arp active-ack [ strict ] enable

    Por padrão, esse recurso está desativado.

    Para que a confirmação ativa do ARP tenha efeito no modo estrito, certifique-se de que o roteamento ARP blackhole esteja ativado.

    Configuração de ARP autorizado

    Sobre a ARP autorizada

    As entradas ARP autorizadas são geradas com base nas concessões de endereço dos clientes DHCP no servidor DHCP ou nas entradas de cliente dinâmico no agente de retransmissão DHCP. Para obter mais informações sobre o servidor DHCP e o agente de retransmissão DHCP, consulte o Guia de Configuração de Serviços de Camada 3IP.

    Use esse recurso para evitar a falsificação de usuários e permitir que apenas clientes autorizados acessem os recursos da rede.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Entre na visualização da interface.
    interface interface-type interface-number

    Somente interfaces VLAN são compatíveis.

    • Habilite o ARP autorizado na interface.
    arp authorized enable

    Por padrão, o ARP autorizado está desativado.

    Configuração da detecção de ataques ARP

    Sobre a detecção de ataques ARP

    A detecção de ataques ARP permite que os dispositivos de acesso bloqueiem pacotes ARP de clientes não autorizados para evitar ataques de falsificação de usuário e de gateway.

    A detecção de ataques ARP oferece os seguintes recursos:

    • Verificação da validade do usuário.
    • Verificação da validade do pacote ARP.
    • Encaminhamento restrito por ARP.
    • Ignoração da porta de entrada do pacote ARP durante a verificação de validade do usuário
    • Registro de detecção de ataque ARP.

    Se a verificação de validade do pacote ARP e a verificação de validade do usuário estiverem ativadas, a primeira será aplicada primeiro e, em seguida, a segunda.

    Não configure a detecção de ataque ARP junto com o ARP snooping. Caso contrário, as entradas do ARP snooping não poderão ser geradas.

    Configuração da verificação de validade do usuário

    Sobre a verificação da validade do usuário

    A verificação de validade do usuário não verifica os pacotes ARP recebidos em interfaces confiáveis de ARP. Esse recurso compara o IP do remetente e o MAC do remetente no pacote ARP recebido em uma interface ARP não confiável com os critérios de correspondência na seguinte ordem:

    • Regras de verificação de validade do usuário.
    • Se for encontrada uma correspondência, o dispositivo processará o pacote ARP de acordo com a regra.
    • Se não for encontrada nenhuma correspondência ou se nenhuma regra de verificação de validade do usuário estiver configurada, prossiga para a etapa 2.
    • Ligações IPSG estáticas, entradas de segurança 802.1X e entradas de DHCP snooping.
    • Se for encontrada uma correspondência, o dispositivo determinará que o pacote ARP é válido. Em seguida, o dispositivo encaminha o pacote procurando uma entrada que contenha o endereço IP de destino.

    - Se for encontrada uma correspondência e a interface de recebimento for igual à interface na entrada com um endereço IP de remetente correspondente, o dispositivo executará o encaminhamento da Camada 3.

    - Se for encontrada uma correspondência, mas a interface de recebimento for diferente da interface na entrada com um endereço IP de remetente correspondente, o dispositivo executará o encaminhamento da Camada 2.

    - Se nenhuma correspondência for encontrada, o dispositivo executará o encaminhamento da Camada 2.

    • Se nenhuma correspondência for encontrada, o dispositivo descartará o pacote ARP.

    As associações estáticas de proteção de origem de IP são criadas com o comando ip source binding. Para obter mais informações, consulte "Configuração da proteção de origem de IP".

    As entradas do DHCP snooping são geradas automaticamente pelo DHCP snooping. Para obter mais informações, consulte

    Guia de configuração de serviços de camada 3-IP.

    • As entradas de segurança X registram os mapeamentos de IP para MAC dos clientes 802.1X. Depois que um cliente passa pela autenticação 802.1X e carrega seu endereço IP em um dispositivo habilitado para detecção de ataques ARP, o dispositivo gera automaticamente uma entrada de segurança 802.1X. O cliente 802.1X deve estar ativado para carregar seu endereço IP no dispositivo. Para obter mais informações, consulte "Configuração do 802.1X".

    Restrições e diretrizes

    Ao configurar a verificação de validade do usuário, certifique-se de que um ou mais dos itens a seguir estejam configurados:

    • Regras de verificação de validade do usuário.
    • Ligações de proteção de origem de IP estático.
    • DHCP snooping.
    • 802.1X.

    Se nenhum dos itens estiver configurado, o dispositivo não realizará a verificação de validade do usuário e não poderá encaminhar corretamente todos os pacotes ARP de entrada em interfaces não confiáveis de ARP.

    Especifique um endereço IP, um endereço MAC e uma VLAN em que a detecção de ataque ARP esteja ativada para uma ligação de proteção de origem de IP . Caso contrário, nenhum pacote ARP poderá corresponder à ligação de proteção de origem de IP.

    Configuração das regras de verificação de validade do usuário

    • Entre na visualização do sistema.
    system view
    • Configure uma regra de verificação de validade do usuário.
    arp detection rule rule-id { deny | permit } ip { ip-address [ mask ] | any }
                     mac { mac-address [ mask ] | any } [ vlan vlan-id ]

    Por padrão, nenhuma regra de verificação de validade do usuário é configurada.

    Ativação da detecção de ataques ARP em uma VLAN

    • Entre na visualização do sistema.
    system view
    • Entre na visualização de VLAN.
    vlan vlan-id
    • Ativar a detecção de ataques ARP.
    arp detection enable

    Por padrão, a detecção de ataques ARP está desativada. O dispositivo não executa a verificação de validade do usuário.

    • (Opcional.) Configure uma interface que não exija a verificação de validade do usuário ARP como uma interface confiável.
      • Retornar à visualização do sistema.
    quit
    • Entre na visualização da interface.
    interface interface-type interface-number

    Os tipos de interface compatíveis incluem a interface Ethernet de camada 2 e a interface agregada de camada 2.

    • Configure a interface como uma interface confiável excluída da detecção de ataques ARP.
    arp detection trust

    Por padrão, uma interface não é confiável.

    Configuração da verificação de validade do pacote ARP

    Sobre a verificação da validade do pacote ARP

    A verificação da validade do pacote ARP não verifica os pacotes ARP recebidos em interfaces confiáveis de ARP. Para verificar os pacotes ARP recebidos em interfaces não confiáveis, você pode especificar os seguintes objetos a serem verificados:

    • src-mac - Verifica se o endereço MAC do remetente no corpo da mensagem é idêntico ao endereço MAC de origem no cabeçalho Ethernet. Se forem idênticos, o pacote será encaminhado. Caso contrário, o pacote será descartado.
    • dst-mac - Verifica o endereço MAC de destino das respostas ARP. Se o endereço MAC de destino for totalmente zero, totalmente um ou inconsistente com o endereço MAC de destino no cabeçalho da Ethernet, o pacote será considerado inválido e descartado.
    • ip - Verifica os endereços IP do remetente e do destino das respostas ARP e o endereço IP do remetente das solicitações ARP. Os endereços IP all-one ou multicast são considerados inválidos e os pacotes correspondentes são descartados.

    Pré-requisitos

    Antes de configurar a verificação de validade do pacote ARP, é necessário configurar primeiro a verificação de validade do usuário. Para mais informações sobre a configuração da verificação de validade do usuário, consulte "Configuração da verificação de validade do usuário".

    Ativação da verificação de validade do pacote ARP

    • Entre na visualização do sistema.
    system view
    • Habilite a verificação da validade do pacote ARP e especifique os objetos a serem verificados.
    arp detection validate { dst-mac | ip | src-mac } *

    Por padrão, a verificação de validade do pacote ARP está desativada.

    Ativação da detecção de ataques ARP em uma VLAN

    • Entre na visualização do sistema.
    system view
    • Entre na visualização de VLAN.
    vlan vlan-id
    • Ativar a detecção de ataques ARP.
    arp detection enable

    Por padrão, a detecção de ataques ARP está desativada. O dispositivo não executa a verificação de validade do pacote ARP.

    • (Opcional.) Execute os seguintes comandos em sequência para configurar a interface que não exige a verificação de validade do pacote ARP como uma interface confiável:
      • Retornar à visualização do sistema.
    quit
    • Entre na visualização da interface.
    interface interface-type interface-number

    Os tipos de interface compatíveis incluem a interface Ethernet de camada 2 e a interface agregada de camada 2.

    • Configure a interface como uma interface confiável excluída da detecção de ataques ARP.
    arp detection trust

    Por padrão, uma interface não é confiável.

    Configuração do encaminhamento restrito de ARP

    Sobre o encaminhamento restrito de ARP

    O encaminhamento restrito de ARP não tem efeito sobre os pacotes ARP recebidos em interfaces confiáveis de ARP e encaminha os pacotes ARP corretamente. Esse recurso controla o encaminhamento de pacotes ARP recebidos em interfaces não confiáveis e que passaram pela verificação de validade do usuário da seguinte forma:

    • Se os pacotes forem solicitações ARP, eles serão encaminhados pela interface confiável.
    • Se os pacotes forem respostas de ARP, eles serão encaminhados de acordo com o endereço MAC de destino. Se não for encontrada nenhuma correspondência na tabela de endereços MAC, eles serão encaminhados pela interface confiável.

    Restrições e diretrizes

    O encaminhamento restrito de ARP não se aplica a pacotes ARP que usam endereços MAC de destino multiportas.

    Pré-requisitos

    Configure a verificação de validade do usuário antes de configurar o encaminhamento restrito de ARP. Para obter informações sobre a configuração da verificação de validade do usuário, consulte "Configuração da verificação de validade do usuário".

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Entre na visualização de VLAN.
    vlan vlan-id
    • Ativar o encaminhamento restrito de ARP.
    arp restricted-forwarding enable

    Por padrão, o encaminhamento restrito de ARP está desativado.

    Ignorando portas de entrada de pacotes ARP durante a verificação de validade do usuário

    Sobre ignorar portas de entrada de pacotes ARP durante a verificação de validade do usuário

    A detecção de ataques ARP executa a verificação da validade do usuário em pacotes ARP de interfaces não confiáveis ARP. O IP do remetente e o MAC do remetente no pacote ARP recebido são comparados com as entradas usadas para a verificação da validade do usuário. Além disso, a verificação da validade do usuário compara a porta de entrada do pacote ARP com a porta nas entradas. Se não for encontrada nenhuma porta correspondente, o pacote ARP será descartado. Para obter mais informações sobre a verificação de validade do usuário, consulte "Configuração da verificação de validade do usuário".

    É possível configurar o dispositivo para ignorar as portas de entrada dos pacotes ARP durante a verificação de validade do usuário. Se um pacote ARP for aprovado na verificação de validade do usuário, o dispositivo executará diretamente o encaminhamento da Camada 2 para o pacote. Ele não procura mais uma ligação IPSG estática correspondente, uma entrada de segurança 802.1X ou uma entrada DHCP snooping pelo endereço IP de destino do pacote ARP.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Ignorar portas de entrada de pacotes ARP durante a verificação de validade do usuário.
    arp detection port-match-ignore

    Por padrão, as portas de entrada dos pacotes ARP são verificadas durante a invalidade do usuário.

    Ativação do registro de detecção de ataques ARP

    Sobre o registro de detecção de ataques ARP

    O recurso de registro de detecção de ataque ARP permite que um dispositivo gere mensagens de registro de detecção de ataque ARP quando pacotes ARP ilegais são detectados. Uma mensagem de registro de detecção de ataque ARP contém as seguintes informações:

    • Interface de recebimento dos pacotes ARP.
    • Endereço IP do remetente.
    • Número total de pacotes ARP descartados.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Habilite o registro de detecção de ataques ARP.
    arp detection log enable [ interval interval | number number ]

    Por padrão, o registro de detecção de ataques ARP está desativado.

    Comandos de exibição e manutenção para detecção de ataques ARP

    Execute comandos de exibição em qualquer visualização e redefina comandos na visualização do usuário.

    Tarefa Comando
    Exibir as VLANs ativadas com detecção de ataque ARP. exibir detecção de arp
    Exibir estatísticas de origem de ataque ARP. display arp detection statistics attack-source slot slot-number
    Exibir estatísticas de pacotes descartados pela detecção de ataques ARP. exibir estatísticas de detecção de arp packet-drop [ interface tipo interface-número da interface ]
    Limpar estatísticas de origem de ataque ARP. reset arp detection statistics attack-source [ slot slot-número ]
    Limpar estatísticas de pacotes descartados pela detecção de ataques ARP. reset arp detection statistics packet-drop [ interface tipo interface-número da interface ]

    Exemplo: Configuração da verificação de validade do usuário

    Configuração de rede

    Conforme mostrado na Figura 3, configure o Dispositivo B para executar a verificação de validade do usuário com base nas entradas de segurança 802.1X dos hosts conectados.

    Figura 3 Diagrama de rede

    Procedimento

    • Adicione todas as interfaces do Dispositivo B à VLAN 10 e especifique o endereço IP da interface VLAN 10 no Dispositivo A. (Os detalhes não são mostrados).
    • Configure o servidor DHCP no Dispositivo A e configure o pool de endereços DHCP 0.
     system-view
                     [DeviceA] dhcp enable
                     [DeviceA] dhcp server ip-pool 0
                     [DeviceA-dhcp-pool-0] network 10.1.1.0 mask 255.255.255.0
    • Configure o Host A e o Host B como clientes 802.1X e configure-os para carregar endereços IP para detecção de ataque ARP . (Detalhes não mostrados.)
    • Configure o dispositivo B:

    # Habilite o 802.1X.

     system-view
                     [DeviceB] dot1x
                     [DeviceB] interface gigabitethernet 1/0/1
                     [DeviceB-GigabitEthernet1/0/1] dot1x
                     [DeviceB-GigabitEthernet1/0/1] quit
                     [DeviceB] interface gigabitethernet 1/0/2
                     [DeviceB-GigabitEthernet1/0/2] dot1x
                     [DeviceB-GigabitEthernet1/0/2] quit

    # Adicione um teste de usuário local.

    [DeviceB] local-user test
                     [DeviceB-luser-test] service-type lan-access
                     [DeviceB-luser-test] password simple test
                     [DeviceB-luser-test] quit

    # Habilite a detecção de ataque ARP para a VLAN 10 para verificar a validade do usuário com base nas entradas 802.1X.

    [DeviceB] vlan 10
                     [DeviceB-vlan10] arp detection enable

    # Configure a interface upstream como uma interface ARP confiável. Por padrão, uma interface é uma interface não confiável.

    [DeviceB-vlan10] interface gigabitethernet 1/0/3
                     [DeviceB-GigabitEthernet1/0/3] arp detection trust
                     [DeviceB-GigabitEthernet1/0/3] quit

    Verificação da configuração

    # Verifique se os pacotes ARP recebidos nas interfaces GigabitEthernet 1/0/1 e GigabitEthernet 1/0/2 são verificados em relação às entradas 802.1X.

    Exemplo: Configuração da verificação de validade do usuário e da verificação de validade do pacote ARP

    Configuração de rede

    Conforme mostrado na Figura 4, configure o Dispositivo B para executar a verificação de validade do pacote ARP e a verificação de validade do usuário com base em associações de proteção de fonte IP estática e entradas de DHCP snooping para hosts conectados.

    Figura 4 Diagrama de rede

    Procedimento

    • Adicione todas as interfaces do Dispositivo B à VLAN 10 e especifique o endereço IP da interface VLAN 10 no Dispositivo A. (Os detalhes não são mostrados.)
    • Configure o servidor DHCP no Dispositivo A e configure o pool de endereços DHCP 0.
     system-view
                     [DeviceA] dhcp enable
                     [DeviceA] dhcp server ip-pool 0
                     [DeviceA-dhcp-pool-0] network 10.1.1.0 mask 255.255.255.0
    • Configure o Host A (cliente DHCP) e o Host B. (Detalhes não mostrados.)
    • Configurar o dispositivo B:

    # Habilite o DHCP snooping.

     system-view
                     [DeviceB] dhcp snooping enable
                     [DeviceB] interface gigabitethernet 1/0/3
                     [DeviceB-GigabitEthernet1/0/3] dhcp snooping trust
                     [DeviceB-GigabitEthernet1/0/3] quit

    # Habilite o registro das informações do cliente nas entradas do DHCP snooping na GigabitEthernet 1/0/1.

    [DeviceB] interface gigabitethernet 1/0/1
                     [DeviceB-GigabitEthernet1/0/1] dhcp snooping binding record
                     [DeviceB-GigabitEthernet1/0/1] quit

    # Habilite a detecção de ataques ARP para a VLAN 10.

    [DeviceB] vlan 10
                     [DeviceB-vlan10] arp detection enable

    # Configure a interface upstream como uma interface confiável. Por padrão, uma interface é uma interface não confiável.

    [DeviceB-vlan10] interface gigabitethernet 1/0/3
                     [DeviceB-GigabitEthernet1/0/3] arp detection trust
                     [DeviceB-GigabitEthernet1/0/3] quit

    # Configure uma entrada de ligação de proteção de fonte IP estática na interface GigabitEthernet 1/0/2 para verificação de validade do usuário.

    [DeviceB] interface gigabitethernet 1/0/2
                     [DeviceB-GigabitEthernet1/0/2] ip source binding ip-address 10.1.1.6 mac-address 
                     0001-0203-0607 vlan 10
                     [DeviceB-GigabitEthernet1/0/2] quit

    # Habilite a verificação de validade do pacote ARP verificando os endereços MAC e IP dos pacotes ARP.

    [DeviceB] arp detection validate dst-mac ip src-mac

    Verificação da configuração

    # Verifique se o Dispositivo B verifica primeiro a validade dos pacotes ARP recebidos na GigabitEthernet 1/0/1 e na GigabitEthernet 1/0/2. Se os pacotes ARP forem confirmados como válidos, o Dispositivo B executará a verificação de validade do usuário usando os vínculos estáticos de proteção da fonte IP e, finalmente, as entradas de DHCP snooping.

    Exemplo: Configuração do encaminhamento restrito de ARP

    Configuração de rede

    Conforme mostrado na Figura 5, configure o encaminhamento restrito de ARP no Dispositivo B, onde a detecção de ataque ARP está configurada. O isolamento de portas configurado no Dispositivo B pode entrar em vigor para solicitações de ARP de difusão.

    Figura 5 Diagrama de rede

    Procedimento

    • Configure a VLAN 10, adicione interfaces à VLAN 10 e especifique o endereço IP da interface VLAN 10 no Dispositivo A. (Os detalhes não são mostrados).
    • Configure o servidor DHCP no Dispositivo A e configure o pool de endereços DHCP 0.
     system-view
                     [DeviceA] dhcp enable
                     [DeviceA] dhcp server ip-pool 0
                     [DeviceA-dhcp-pool-0] network 10.1.1.0 mask 255.255.255.0
    • Configure o Host A (cliente DHCP) e o Host B. (Detalhes não mostrados.)
    • Configurar o dispositivo B:

    # Habilite o DHCP snooping e configure a GigabitEthernet 1/0/3 como uma interface confiável de DHCP.

     system-view
                     [DeviceB] dhcp snooping enable
                     [DeviceB] interface gigabitethernet 1/0/3
                     [DeviceB-GigabitEthernet1/0/3] dhcp snooping trust
                     [DeviceB-GigabitEthernet1/0/3] quit

    # Habilite a detecção de ataque ARP para verificação da validade do usuário.

    [DeviceB] vlan 10
                     [DeviceB-vlan10] arp detection enable

    # Configure a GigabitEthernet 1/0/3 como uma interface confiável de ARP. [DeviceB-vlan10] interface gigabitethernet 1/0/3 [DeviceB-GigabitEthernet1/0/3] arp detection trust [DeviceB-GigabitEthernet1/0/3] quit

    # Configure uma entrada de proteção de fonte IP estática na interface GigabitEthernet 1/0/2.

    [DeviceB] interface gigabitethernet 1/0/2
                     [DeviceB-GigabitEthernet1/0/2] ip source binding ip-address 10.1.1.6 mac-address 
                     0001-0203-0607 vlan 10
                     [DeviceB-GigabitEthernet1/0/2] quit

    # Habilite a verificação de validade do pacote ARP verificando os endereços MAC e IP dos pacotes ARP.

    [DeviceB] arp detection validate dst-mac ip src-mac

    # Configurar o isolamento da porta.

    [DeviceB] port-isolate group 1
                     [DeviceB] interface gigabitethernet 1/0/1
                     [DeviceB-GigabitEthernet1/0/1] port-isolate enable group 1
                     [DeviceB-GigabitEthernet1/0/1] quit
                     [DeviceB] interface gigabitethernet 1/0/2
                     [DeviceB-GigabitEthernet1/0/2] port-isolate enable group 1
                     [DeviceB-GigabitEthernet1/0/2] quit

    Depois que as configurações são concluídas, o Dispositivo B primeiro verifica a validade dos pacotes ARP recebidos na GigabitEthernet 1/0/1 e na GigabitEthernet 1/0/2. Se os pacotes ARP forem confirmados como válidos, o Dispositivo B executará a verificação de validade do usuário usando os vínculos de proteção de origem de IP estático e, finalmente, as entradas de DHCP snooping. No entanto, as solicitações de difusão ARP enviadas do Host A podem passar pela verificação no Dispositivo B e chegar ao Host B. O isolamento da porta falha.

    # Habilite o encaminhamento restrito de ARP.

    [DeviceB] vlan 10
                     [DeviceB-vlan10] arp restricted-forwarding enable
                     [DeviceB-vlan10] quit

    Verificação da configuração

    # Verifique se o dispositivo B encaminha solicitações de difusão ARP do host A para o dispositivo A por meio da interface confiável GigabitEthernet 1/0/3. O host B não pode receber esses pacotes. O isolamento da porta está funcionando corretamente.

    Configuração da varredura de ARP e do ARP fixo

    Sobre a varredura de ARP e o ARP fixo

    A varredura ARP é normalmente usada junto com o recurso ARP fixo em redes estáveis e de pequena escala.

    A varredura ARP cria automaticamente entradas ARP para dispositivos em um intervalo de endereços. O dispositivo executa a varredura de ARP nas etapas a seguir:

    • Envia solicitações ARP para cada endereço IP no intervalo de endereços.
    • Obtém seus endereços MAC por meio de respostas ARP recebidas.
    • Cria entradas ARP dinâmicas.

    O ARP fixo converte as entradas ARP dinâmicas existentes (inclusive as geradas pela varredura ARP) em entradas ARP estáticas. Essas entradas ARP estáticas têm os mesmos atributos das entradas ARP configuradas manualmente. Esse recurso impede que as entradas ARP sejam modificadas por invasores.

    Você pode definir a taxa de envio de pacotes ARP se o intervalo de varredura tiver um grande número de endereços IP. Essa configuração pode evitar o alto uso da CPU e a carga pesada da rede causada por uma explosão de tráfego ARP.

    Restrições e diretrizes

    Os endereços IP em entradas ARP existentes não são verificados.

    Devido ao limite do número total de entradas de ARP estático, algumas entradas de ARP dinâmico podem falhar na conversão.

    O comando arp fixup é uma operação única. Você pode usar esse comando novamente para converter as entradas ARP dinâmicas aprendidas posteriormente em estáticas.

    Para excluir uma entrada ARP estática convertida de uma dinâmica, use o comando undo arp ip-address. Você também pode usar o comando reset arp all para excluir todas as entradas ARP ou o comando reset arp static para excluir todas as entradas ARP estáticas.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Entre na visualização da interface.
    interface interface-type interface-number
    • Acionar uma varredura ARP.
    arp scan [ start-ip-address to end-ip-address ] [ send-rate pps ]

    CUIDADO:

    A varredura de ARP levará algum tempo. Para interromper uma varredura em andamento, pressione Ctrl + C. As entradas ARP dinâmicas são criadas com base nas respostas ARP recebidas antes do término da varredura.

    • Retornar à visualização do sistema.
    quit
    • Converter entradas ARP dinâmicas existentes em entradas ARP estáticas.
    arp fixup

    Configuração da proteção de gateway ARP

    Sobre a proteção de gateway ARP

    Configure esse recurso em interfaces não conectadas a um gateway para evitar ataques de spoofing de gateway.

    Quando uma interface desse tipo recebe um pacote ARP, ela verifica se o endereço IP do remetente no pacote é consistente com o de qualquer gateway protegido. Em caso afirmativo, ela descarta o pacote. Caso contrário, ela trata o pacote corretamente.

    Restrições e diretrizes

    É possível ativar a proteção de gateway ARP para um máximo de oito gateways em uma interface.

    Não configure os comandos arp filter source e arp filter binding em uma interface.

    Se a proteção de gateway ARP funcionar com detecção de ataque ARP, MFF e ARP snooping, a proteção de gateway ARP será aplicada primeiro.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Entre na visualização da interface.
    interface interface-type interface-number

    Os tipos de interface compatíveis incluem interface Ethernet de camada 2 e interface agregada de camada 2.

    • Ativar a proteção de gateway ARP para o gateway especificado.
    aarp filter source ip-address

    Por padrão, a proteção de gateway ARP está desativada.

    Exemplo: Configuração da proteção de gateway ARP

    Configuração de rede

    Conforme mostrado na Figura 6, o Host B lança ataques de falsificação de gateway ao Device B. Como resultado, o tráfego que o Device B pretende enviar ao Device A é enviado ao Host B.

    Configure o Dispositivo B para bloquear esses ataques.

    Figura 6 Diagrama de rede

    Procedimento

    # Configure a proteção de gateway ARP no dispositivo B.

     system-view
                     [DeviceB] interface gigabitethernet 1/0/1
                     [DeviceB-GigabitEthernet1/0/1] arp filter source 10.1.1.1
                     [DeviceB-GigabitEthernet1/0/1] quit
                     [DeviceB] interface gigabitethernet 1/0/2
                     [DeviceB-GigabitEthernet1/0/2] arp filter source 10.1.1.1

    Verificação da configuração

    # Verifique se a GigabitEthernet 1/0/1 e a GigabitEthernet 1/0/2 descartam os pacotes ARP de entrada cujo endereço IP do remetente é o endereço IP do gateway.

    Configuração da filtragem de ARP

    Filtragem de ARP

    O recurso de filtragem de ARP pode evitar ataques de falsificação de gateway e de usuário.

    Uma interface ativada com esse recurso verifica os endereços IP e MAC do remetente em um pacote ARP recebido em relação às entradas permitidas. Se for encontrada uma correspondência, o pacote será tratado corretamente. Caso contrário, o pacote será descartado.

    Restrições e diretrizes

    É possível configurar um máximo de oito entradas permitidas em uma interface.

    Não configure os comandos arp filter source e arp filter binding em uma interface.

    Se a filtragem de ARP funcionar com a detecção de ataques ARP, MFF e ARP snooping, a filtragem de ARP será aplicada primeiro.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Entre na visualização da interface.
    interface interface-type interface-number

    Os tipos de interface compatíveis incluem interface Ethernet e interface agregada de camada 2.

    • Habilite a filtragem de ARP e configure uma entrada permitida. arp filter binding ip-address mac-address Por padrão, a filtragem de ARP está desabilitada.

    Exemplo: Configuração da filtragem de ARP

    Configuração de rede

    Conforme mostrado na Figura 7, os endereços IP e MAC do Host A são 10.1.1.2 e 000f-e349-1233, respectivamente. Os endereços IP e MAC do Host B são 10.1.1.3 e 000f-e349-1234, respectivamente.

    Configure a filtragem de ARP na GigabitEthernet 1/0/1 e na GigabitEthernet 1/0/2 do Dispositivo B para permitir pacotes ARP somente do Host A e do Host B.

    Figura 7 Diagrama de rede

    Procedimento

    # Configure a filtragem de ARP no dispositivo B.

     system-view
                     [DeviceB] interface gigabitethernet 1/0/1
                     [DeviceB-GigabitEthernet1/0/1] arp filter binding 10.1.1.2 000f-e349-1233
                     [DeviceB-GigabitEthernet1/0/1] quit
                     [DeviceB] interface gigabitethernet 1/0/2
                     [DeviceB-GigabitEthernet1/0/2] arp filter binding 10.1.1.3 000f-e349-1234

    Verificação da configuração

    # Verifique se a GigabitEthernet 1/0/1 permite pacotes ARP do host A e descarta outros pacotes ARP.

    # Verifique se a GigabitEthernet 1/0/2 permite pacotes ARP do Host B e descarta outros pacotes ARP.

    Configuração da defesa contra ataques ND

    Sobre a defesa de ataque do ND

    A defesa contra ataques ND (Neighbor Discovery) do IPv6 é capaz de identificar mensagens ND forjadas para evitar ataques ND.

    O protocolo IPv6 ND não oferece nenhum mecanismo de segurança e é vulnerável a ataques de rede. Conforme mostrado na Figura 1, um invasor pode enviar as seguintes mensagens ICMPv6 forjadas para realizar ataques ND:

    • Mensagens NS/NA/RS forjadas com um endereço IPv6 de um host vítima. O gateway e outros hosts atualizam a entrada ND da vítima com informações de endereço incorretas. Como resultado, todos os pacotes destinados à vítima são enviados ao terminal atacante.
    • Mensagens RA forjadas com o endereço IPv6 de um gateway vítima. Como resultado, todos os hosts conectados ao gateway vítima mantêm parâmetros de configuração IPv6 e entradas ND incorretos.

    Figura 1 Diagrama de ataque ND

    Visão geral das tarefas de ataque e defesa da ND

    Todas as tarefas de defesa de ataque ND são opcionais.

    • Ativação da verificação de consistência do MAC de origem para mensagens ND
    • Configuração da detecção de ataques ND
    • Configuração da proteção RA

    Ativação da verificação de consistência do MAC de origem para mensagens ND

    Sobre a verificação de consistência do MAC de origem

    O recurso de verificação de consistência do MAC de origem é normalmente configurado nos gateways para evitar ataques ND.

    Esse recurso verifica a consistência do endereço MAC de origem e do endereço da camada de link de origem para cada mensagem ND que chega.

    • Se o endereço MAC de origem e o endereço da camada de link de origem não forem os mesmos, o dispositivo descartará o pacote.
    • Se os endereços forem os mesmos, o dispositivo continuará aprendendo as entradas ND.

    O recurso de registro de ND registra eventos de inconsistência de MAC de origem e envia as mensagens de registro para o centro de informações. O centro de informações pode então enviar mensagens de registro de diferentes módulos de origem para diferentes destinos. Para obter mais informações sobre o centro de informações, consulte o Guia de configuração de monitoramento e gerenciamento de rede.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Ativar a verificação de consistência do MAC de origem para mensagens ND.
    ipv6 nd mac-check enable

    Por padrão, a verificação de consistência do MAC de origem está desativada para mensagens ND.

    • (Opcional.) Ative o recurso de registro de ND.
    ipv6 nd check log enable

    Por padrão, o recurso de registro ND está desativado.

    Como prática recomendada, desative o recurso de registro de ND para evitar o excesso de registros de ND.

    Configuração da detecção de ataques ND

    Sobre a detecção de ataques ND

    A detecção de ataques ND verifica as mensagens ND recebidas quanto à validade do usuário para evitar ataques de falsificação. Normalmente, é configurada em dispositivos de acesso. É compatível com os seguintes recursos:

    • Verificação da validade do usuário.
    • Registro de detecção de ataques ND.

    A detecção de ataques ND define os seguintes tipos de interfaces:

    • Interface confiável ND - O dispositivo encaminha diretamente as mensagens ND ou os pacotes de dados recebidos pelas interfaces confiáveis ND. Ele não executa a verificação de validade do usuário.
    • Interface ND não confiável - O dispositivo descarta as mensagens RA e de redirecionamento recebidas pelas interfaces ND não confiáveis. Para outros tipos de mensagens ND recebidas pelas interfaces ND não confiáveis, o dispositivo verifica a validade do usuário.

    A detecção de ataques ND compara o endereço IPv6 de origem e o endereço MAC de origem em uma mensagem ND recebida com entradas de segurança de outros módulos.

    • Se for encontrada uma correspondência, o dispositivo verificará se o usuário é legal na VLAN receptora e encaminhará o pacote.
    • Se nenhuma correspondência for encontrada, o dispositivo verifica se o usuário é ilegal e descarta a mensagem ND.

    A detecção de ataque ND usa entradas estáticas de vinculação de proteção de origem IPv6, entradas de snooping ND e entradas de snooping DHCPv6 para verificação da validade do usuário.

    As entradas estáticas de vinculação de proteção de origem IPv6 são criadas usando o comando ipv6 source binding. Para obter informações sobre a proteção de origem IPv6, consulte "Configuração da proteção de origem IP". Para obter informações sobre o snooping DHCPv6, consulte o Guia de Configuração de Serviços de Camada 3 IP. Para obter informações sobre o snooping de ND, consulte o Guia de configuração de serviços da camada 3-IP.

    Restrições e diretrizes

    Quando você configurar a detecção de ataques ND, siga estas restrições e diretrizes:

    • Para evitar que as interfaces não confiáveis de ND descartem todas as mensagens ND recebidas, certifique-se de que um ou mais desses recursos estejam configurados: IPv6 source guard static bindings, DHCPv6 snooping e ND snooping.
    • Para tornar os vínculos estáticos de proteção de origem IPv6 eficazes para a detecção de ataques ND, você deve executar as seguintes operações:
      • Especifique a opção vlan vlan-id no comando ipv6 source binding.
      • Habilite a detecção de ataques ND para a mesma VLAN.

    Ativação da detecção de ND em uma VLAN

    • Entre na visualização do sistema.
    system view
    • Entre na visualização de VLAN.
    vlan vlan-id
    • Ativar a detecção de ataques ND.
    ipv6 nd check log enable

    Por padrão, a detecção de ataques ND está desativada.

    • (Opcional.) Configure a interface como interface confiável ND:
      • Retornar à visualização do sistema.
    quit
    • Entre na visualização da interface agregada ou Ethernet de camada 2.
    interface interface-type interface-number
    • Configure a interface como interface confiável ND.
    ipv6 nd detection trust

    Por padrão, todas as interfaces são interfaces não confiáveis ND.

    Ativação do registro de detecção de ataques ND

    Sobre o registro de detecção de ataques ND

    Esse recurso permite que um dispositivo gere registros quando detecta pacotes ND inválidos. As informações de registro ajudam os administradores a localizar e resolver problemas. Cada log registra as seguintes informações:

    • Números de porta da vítima em uma VLAN.
    • Endereço IP de origem dos pacotes ND inválidos.
    • Endereço MAC de origem dos pacotes ND inválidos.
    • VLAN ID dos pacotes ND inválidos.
    • Número total de pacotes ND descartados.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Habilite o registro de detecção de ataques ND.
    ipv6 nd detection log enable

    Por padrão, o registro de detecção de ataques ND está desativado.

    Comandos de exibição e manutenção para detecção de ataques ND

    Execute comandos de exibição em qualquer visualização e redefina comandos na visualização do usuário.

    Tarefa Comando
    Exibir estatísticas de mensagens ND descartadas pela detecção de ataques ND. exibir estatísticas de detecção de ipv6 nd [ interface tipo interface-número da interface ]
    Limpar as estatísticas de detecção de ataques ND. reset ipv6 nd detection statistics [ interface interface-type interface-number ]

    Exemplo: Configuração da detecção de ataques ND

    Configuração de rede

    Conforme mostrado na Figura 2, configure a detecção de ataque ND no Dispositivo B para verificar a validade do usuário para mensagens ND do Host A e do Host B.

    Figura 2 Diagrama de rede

    Procedimento

    • Configurar o dispositivo A:

    # Criar a VLAN 10.

     system-view
                     [DeviceA] vlan 10
                     [DeviceA-vlan10] quit

    # Configure a GigabitEthernet 1/0/3 para a VLAN 10 do tronco.

    [DeviceA] interface gigabitethernet 1/0/3
                     [DeviceA-GigabitEthernet1/0/3] port link-type trunk
                     [DeviceA-GigabitEthernet1/0/3] port trunk permit vlan 10
                     [DeviceA-GigabitEthernet1/0/3] quit

    # Atribuir o endereço IPv6 10::1/64 à interface VLAN 10.

    [DeviceA] interface vlan-interface 10
                     [DeviceA-Vlan-interface10] ipv6 address 10::1/64
                     [DeviceA-Vlan-interface10] quit
    • Configure o dispositivo B:

    # Criar VLAN 10.

     system-view
                     [DeviceB] vlan 10
                     [DeviceB-vlan10] quit

    # Configure a GigabitEthernet 1/0/1, a GigabitEthernet 1/0/2 e a GigabitEthernet 1/0/3 para a VLAN 10 do tronco.

    [DeviceB] interface gigabitethernet 1/0/1
                     [DeviceB-GigabitEthernet1/0/1] port link-type access
                     [DeviceB-GigabitEthernet1/0/1] port access vlan 10
                     [DeviceB-GigabitEthernet1/0/1] quit
                     [DeviceB] interface gigabitethernet 1/0/2
                     [DeviceB-GigabitEthernet1/0/2] port link-type access
                     [DeviceB-GigabitEthernet1/0/2] port access vlan 10
                     [DeviceB-GigabitEthernet1/0/2] quit
                     [DeviceB] interface gigabitethernet 1/0/3
                     [DeviceB-GigabitEthernet1/0/3] port link-type trunk
                     [DeviceB-GigabitEthernet1/0/3] port trunk permit vlan 10
                     [DeviceB-GigabitEthernet1/0/3] quit

    # Ativar a detecção de ataque ND para a VLAN 10.

    [DeviceB] vlan 10
                     [DeviceB-vlan10] ipv6 nd detection enable

    # Habilite o snooping ND para endereços unicast globais IPv6 e o snooping ND para endereços IPv6 link-local na VLAN 10.

    [DeviceB-vlan10] ipv6 nd snooping enable global
                     [DeviceB-vlan10] ipv6 nd snooping enable link-local
                     [DeviceB-vlan10] quit

    # Configure a GigabitEthernet 1/0/3 como interface confiável ND.

    [DeviceB] interface gigabitethernet 1/0/3
                     [DeviceB-GigabitEthernet1/0/3] ipv6 nd detection trust

    Verificação da configuração

    Verifique se o Dispositivo B inspeciona todas as mensagens ND recebidas pela GigabitEthernet 1/0/1 e GigabitEthernet 1/0/2 com base nas entradas de snooping ND. (Detalhes não mostrados.)

    Configuração do RA guard

    Sobre o RA guard

    O RA guard permite que os dispositivos de acesso da Camada 2 analisem e bloqueiem mensagens RA indesejadas e forjadas.

    Ao receber uma mensagem RA, o dispositivo toma a decisão de encaminhamento ou descarte com base na função do dispositivo conectado ou na política de proteção RA.

    • Se a função do dispositivo conectado à interface receptora for roteador, o dispositivo encaminhará a mensagem RA. Se a função for host, o dispositivo descartará a mensagem RA.
    • Se nenhuma função de dispositivo anexado for definida, o dispositivo usará a política de proteção de RA aplicada à VLAN da interface receptora para corresponder à mensagem RA.
      • Se a política não contiver critérios de correspondência, ela não entrará em vigor e o dispositivo encaminhará a mensagem RA.
      • Se o conteúdo da mensagem RA corresponder a todos os critérios da política, o dispositivo encaminhará a mensagem. Caso contrário, o dispositivo descarta a mensagem.

    Especificar a função do dispositivo conectado

    Restrições e diretrizes

    Certifique-se de que sua configuração seja consistente com o tipo do dispositivo conectado. Se você não tiver conhecimento do tipo de dispositivo, não especifique uma função para o dispositivo.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Entre na visualização da interface.
      • Entre na visualização da interface Ethernet de camada 2.
    interface interface-type interface-number
    • Entre na visualização da interface agregada.
    interface bridge-aggregation interface-number
    • Especifique a função do dispositivo conectado à interface.
    ipv6 nd raguard role { host | router }

    Por padrão, a função do dispositivo conectado à interface não é especificada.

    Configuração e aplicação de uma política de proteção RA

    Sobre a configuração da política de proteção RA

    Configure uma política de proteção RA se você não especificar uma função para o dispositivo conectado ou se quiser filtrar as mensagens RA enviadas por um roteador.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Crie uma política de proteção RA e entre em sua visualização.
    if-match acl { ipv6-acl-number | name ipv6-acl-name }
    • Configure a política de proteção RA. Escolha as seguintes tarefas, conforme necessário:
      • Especifique um critério de correspondência de ACL.
    if-match prefix acl { ipv6-acl-number | name ipv6-acl-name }
    • Especifique um critério de correspondência de prefixo.
    if-match prefix acl { ipv6-acl-number | name ipv6-acl-name }
    • Especifique um critério de correspondência de preferência de roteador.
    if-match router-preference maximum { high | low | medium }
    • Especifique um critério de correspondência de sinalizador M.
    if-match autoconfig managed-address-flag { off | on }
    • Especifique um critério de correspondência de sinalizador O.
    if-match autoconfig other-flag { off | on }
    • Especifique um critério de correspondência de limite de salto máximo ou mínimo.
    if-match hop-limit { maximum | minimum } limit

    Por padrão, a política de proteção RA não está configurada.

    • Sair da visualização da política de proteção RA.
    quit
    • Entre na visualização de VLAN.
    vlan vlan-number
    • Aplique uma política de proteção RA à VLAN.
    ipv6 nd raguard apply policy [ policy-name ]

    Por padrão, nenhuma política de RA guard é aplicada à VLAN.

    Ativação do recurso de registro de proteção RA

    Sobre o registro de proteção RA

    Esse recurso permite que um dispositivo gere registros quando detecta mensagens RA forjadas. As informações de registro ajudam os administradores a localizar e resolver problemas. Cada log registra as seguintes informações:

    • Nome da interface que recebeu a mensagem RA forjada.
    • Endereço IP de origem da mensagem RA forjada.
    • Número de mensagens RA descartadas na interface.

    O recurso de registro de proteção RA envia as mensagens de registro para o centro de informações. O centro de informações pode então enviar mensagens de registro de diferentes módulos de origem para diferentes destinos. Para obter mais informações sobre o centro de informações, consulte o Guia de configuração de monitoramento e gerenciamento de rede.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Ative o recurso de registro de proteção RA.
    ipv6 nd raguard log enable

    Por padrão, o recurso de registro de proteção RA está desativado.

    Comandos de exibição e manutenção para a proteção RA

    Executar comandos de exibição em qualquer visualização.

    Tarefa Comando
    Exibir a configuração da política de proteção de RA. exibir a política de proteção de dados ipv6 nd [ policy-name ]
    Exibir estatísticas de proteção RA. display ipv6 nd raguard statistics [ interface interface-type interface-number ]
    Limpar estatísticas de proteção RA. reset ipv6 nd raguard statistics [ interface interface-type interface-number ]

    Exemplo: Configuração do RA guard

    Configuração de rede

    Conforme mostrado na Figura 3, a GigabitEthernet 1/0/1, a GigabitEthernet 1/0/2 e a GigabitEthernet 1/0/3 do Dispositivo B estão na VLAN 10.

    Configure o RA guard no Dispositivo B para filtrar mensagens RA forjadas e indesejadas.

    • Configure uma política RA na VLAN 10 para a GigabitEthernet 1/0/2 para filtrar todas as mensagens RA recebidas do dispositivo desconhecido.
    • Especifique host como a função do host. Todas as mensagens RA recebidas na GigabitEthernet 1/0/1 são descartadas.
    • Especifique roteador como a função do Dispositivo A. Todas as mensagens RA recebidas na GigabitEthernet 1/0/3 são encaminhadas.

    Figura 3 Diagrama de rede

    Procedimento

    # Criar uma política de proteção RA chamada policy1.

     system-view
                  [DeviceB] ipv6 nd raguard policy policy1

    # Defina a preferência máxima do roteador como alta para a política de proteção de RA.

    [DeviceB-raguard-policy-policy1] if-match router-preference maximum high

    # Especifique on como o critério de correspondência do sinalizador M para a política de proteção RA.

    [DeviceB-raguard-policy-policy1] if-match autoconfig managed-address-flag on

    # Especifique on como o critério de correspondência do sinalizador O para a política de proteção RA.

    [DeviceB-raguard-policy-policy1] if-match autoconfig other-flag on

    # Defina o limite máximo de saltos anunciados como 120 para a política de proteção RA.

    [DeviceB-raguard-policy-policy1] if-match hop-limit maximum 120

    # Defina o limite mínimo de salto anunciado como 100 para a política de proteção RA. 

    [DeviceB-raguard-policy-policy1] if-match hop-limit minimum 100
                  [DeviceB-raguard-policy-policy1] quit

    # Atribua a GigabitEthernet 1/0/1 e a GigabitEthernet 1/0/2 à VLAN 10.

    [DeviceB] interface gigabitethernet 1/0/1
                  [DeviceB-GigabitEthernet1/0/1] port link-type access
                  [DeviceB-GigabitEthernet1/0/1] port access vlan 10
                  [DeviceB-GigabitEthernet1/0/1] quit
                  [DeviceB] interface gigabitethernet 1/0/2
                  [DeviceB-GigabitEthernet1/0/2] port link-type access
                  [DeviceB-GigabitEthernet1/0/2] port access vlan 10
                  [DeviceB-GigabitEthernet1/0/2] quit

    # Configure a GigabitEthernet 1/0/3 para a VLAN 10 do tronco.

    [DeviceB] interface gigabitethernet 1/0/3
                  [DeviceB-GigabitEthernet1/0/3] port link-type trunk
                  [DeviceB-GigabitEthernet1/0/3] port trunk permit vlan 10
                  [DeviceB-GigabitEthernet1/0/3] quit

    # Aplique a política de proteção RA policy1 à VLAN 10.

    [DeviceB] vlan 10
                  [DeviceB-vlan10] ipv6 nd raguard apply policy policy1
                  [DeviceB-vlan10] quit

    # Especifique host como a função do dispositivo conectado à GigabitEthernet 1/0/1.

    [DeviceB] interface gigabitethernet 1/0/1
                  [DeviceB-GigabitEthernet1/0/1] ipv6 nd raguard role host
                  [DeviceB-GigabitEthernet1/0/1] quit

    # Especifique roteador como a função do dispositivo conectado à GigabitEthernet 1/0/3.

    [DeviceB] interface gigabitethernet 1/0/3
                  [DeviceB-GigabitEthernet1/0/3] ipv6 nd raguard role router
                  [DeviceB-GigabitEthernet1/0/3] quit

    Verificação da configuração

    # Verifique se o dispositivo encaminha ou descarta as mensagens RA recebidas na GigabitEthernet 1/0/2 com base na política de proteção RA. (Detalhes não mostrados.)

    # Verifique se o dispositivo descarta as mensagens RA recebidas na GigabitEthernet 1/0/1. (Detalhes não mostrados.)

    # Verifique se o dispositivo encaminha as mensagens RA recebidas na GigabitEthernet 1/0/3 para outras interfaces na VLAN 10. (Detalhes não mostrados.)

    Configuração do SAVI

    Sobre a SAVI

    O SAVI (Source Address Validation Improvement) verifica a validade dos endereços de origem dos pacotes IPv6 unicast globais. Ele implementa a verificação de validade usando os recursos de snooping ND, snooping DHCPv6, detecção de ataque ND e proteção de origem IP. O SAVI verifica apenas os endereços unicast globais e encaminha os pacotes que passam pela verificação de validade. Os pacotes originados de um endereço inválido são descartados.

    Cenários de aplicação do SAVI

    Somente DHCPv6

    Os hosts conectados ao dispositivo habilitado para SAVI obtêm endereços somente por meio de DHCPv6. As mensagens DHCPv6, as mensagens ND (excluindo as mensagens RA e RR) e os pacotes de dados IPv6 são verificados com base nas entradas de snooping do DHCPv6 e nas entradas de vinculação de proteção de origem IPv6 estática.

    Somente SLAAC

    Os hosts conectados ao dispositivo habilitado para SAVI obtêm endereços somente por meio do SLAAC (Stateless Address Autoconfiguration). Nesse cenário, o SAVI descarta todas as mensagens DHCPv6. Somente as mensagens ND e os pacotes de dados IPv6 são verificados com base nas entradas de snooping do DHCPv6 e nas entradas de vinculação de proteção de origem IPv6 estática.

    DHCPv6+SLAAC

    Os hosts conectados ao dispositivo habilitado para SAVI obtêm endereços por meio de DHCPv6 e SLAAC. Nesse cenário, o SAVI verifica todas as mensagens DHCPv6, mensagens ND e pacotes de dados IPv6 com base nas entradas de snooping DHCPv6, entradas de snooping ND e entradas de vinculação de proteção de origem IPv6 estática.

    Visão geral das tarefas SAVI

    Para configurar o SAVI, execute as seguintes tarefas:

    • Habilitando a SAVI
    • Configuração da proteção de origem IPv6
    • Configuração do DHCPv6 snooping
    • Configuração dos parâmetros de ND
    • (Opcional.) Configuração do atraso na exclusão de entradas
    • (Opcional.) Ativação do registro de falsificação de pacotes e do registro de entrada de filtragem

    Habilitando a SAVI

    • Entre na visualização do sistema.
    system view
    • Ativar SAVI.
    ipv6 savi strict

    Por padrão, o SAVI está desativado.

    Configuração da proteção de origem IPv6

    • Ativar a proteção de origem IPv6 em uma interface.
    • (Opcional.) Configure as associações IPv6SG estáticas.

    Para obter mais informações sobre a configuração da proteção de origem IPv6, consulte "Configuração da proteção de origem IP".

    Configuração do DHCPv6 snooping

    Restrições e diretrizes

    Habilite somente o snooping DHCPv6 para o cenário somente SLAAC.

    Procedimento

    • Ativar o snooping DHCPv6.
    • Especifique as portas confiáveis do DHCPv6 snooping.
    • Habilite o registro de informações do cliente nas entradas do DHCPv6 snooping.

    Para obter mais informações sobre a configuração do DHCPv6 snooping, consulte o Guia de Configuração de Serviços de Camada 3 IP.

    Configuração dos parâmetros de ND

    Restrições e diretrizes

    Habilite somente a detecção de ataque ND para o cenário somente DHCPv6.

    Procedimento

    • Habilite o snooping ND para endereços unicast globais.

    Para obter mais informações sobre o ND snooping, consulte Noções básicas de IPv6 no Layer 3-IP Services Configuration Guide.

    • Ativar a detecção de ataques ND.

    Para obter mais informações sobre a detecção de ataques ND, consulte "Configuração da defesa contra ataques ND".

    • Especifique as portas confiáveis ND.

    Para obter mais informações sobre portas confiáveis ND, consulte "Configuração da defesa contra ataques ND".

    Configuração do atraso de exclusão de entrada

    Sobre o atraso na exclusão de entradas

    O atraso de exclusão de entrada é o período de tempo que o dispositivo aguarda antes de excluir as entradas de snooping DHCPv6 e as entradas de snooping ND de uma porta inativa.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Definir o atraso de exclusão de entrada.
    ipv6 savi down-delay delay-time

    Por padrão, o atraso na exclusão de entradas é de 30 segundos.

    Ativação do registro de falsificação de pacotes e do registro de entradas de filtragem

    Sobre esta tarefa

    O registro de falsificação de pacotes permite que o dispositivo gere mensagens de registro para os pacotes falsificados detectados pelo SAVI.

    As entradas de filtragem são associações efetivas usadas para filtrar pacotes IPv6 pelo endereço IPv6 de origem. O registro de entrada de filtragem permite que o dispositivo gere mensagens de registro para entradas de filtragem. Uma mensagem de registro contém o endereço IPv6, o endereço MAC, a VLAN e a interface de uma entrada de filtragem.

    O dispositivo envia mensagens de registro de entrada de filtragem e falsificação de pacotes para o centro de informações. Com o centro de informações, é possível definir regras de filtragem e saída de mensagens de registro, inclusive destinos de saída. Para obter mais informações sobre como usar a central de informações, consulte o Guia de configuração de monitoramento e gerenciamento de rede.

    Versão do software e compatibilidade de recursos

    Esse recurso é compatível apenas com a versão 6328 e posteriores.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Habilite o registro de falsificação de pacotes.
    ipv6 savi log enable spoofing-packet [ interval interval |
                  total-number number ] *

    Por padrão, o registro de falsificação de pacotes está desativado.

    • Ativar o registro de entrada de filtragem.
    ipv6 savi log enable filter-entry

    Por padrão, o registro de entrada de filtragem está desativado.

    Exemplos de configuração do SAVI

    Exemplo: Configuração de SAVI somente DHCPv6

    Configuração de rede

    Conforme mostrado na Figura 1, configure o SAVI no switch para atender aos seguintes requisitos:

    • Os clientes obtêm endereços IPv6 somente por meio do DHCPv6.
    • O SAVI verifica os endereços de origem das mensagens DHCPv6, das mensagens ND (excluindo as mensagens RA e RR) e dos pacotes de dados IPv6 na GigabitEthernet 1/0/2 e na GigabitEthernet 1/0/3.

    Figura 1 Diagrama de rede

    Procedimento

    # Habilite o SAVI.

     system-view
                     [Switch] ipv6 savi strict

    # Atribuir GigabitEthernet 1/0/1 a GigabitEthernet 1/0/3 à VLAN 2.

    [Switch] vlan 2
                     [Switch-vlan2] port gigabitethernet 1/0/1 gigabitethernet 1/0/2 gigabitethernet 1/0/3
                     [Switch-vlan2] quit

    # Habilite o DHCPv6 snooping.

    [Switch] ipv6 dhcp snooping enable

    # Configure a GigabitEthernet 1/0/1 como uma porta confiável de DHCPv6 snooping.

    [Switch] interface gigabitethernet 1/0/1
                     [Switch-GigabitEthernet1/0/1] ipv6 dhcp snooping trust
                     [Switch-GigabitEthernet1/0/1] quit

    # Habilite o registro de entradas de DHCPv6 snooping na GigabitEthernet 1/0/2 e na GigabitEthernet 1/0/3.

    [Switch] interface gigabitethernet 1/0/2
                     [Switch-GigabitEthernet1/0/2] ipv6 dhcp snooping binding record
                     [Switch-GigabitEthernet1/0/2] quit
                     [Switch] interface gigabitethernet 1/0/3
                     [Switch-GigabitEthernet1/0/3] ipv6 dhcp snooping binding record
                     [Switch-GigabitEthernet1/0/3] quit

    # Ativar a detecção de ataques ND.

    [Switch] vlan 2
                     [Switch-vlan2] ipv6 nd detection enable
                     [Switch-vlan2] quit

    # Habilite a proteção de origem IPv6 na GigabitEthernet 1/0/2 e na GigabitEthernet 1/0/3.

    [Switch] interface gigabitethernet 1/0/2
                     [Switch-GigabitEthernet1/0/2] ipv6 verify source ip-address mac-address
                     [Switch-GigabitEthernet1/0/2] quit
                     [Switch] interface gigabitethernet 1/0/3
                     [Switch-GigabitEthernet1/0/3] ipv6 verify source ip-address mac-address
                     [Switch-GigabitEthernet1/0/3] quit

    Exemplo: Configuração de SAVI somente com SLAAC

    Configuração de rede

    Conforme mostrado na Figura 2, configure o SAVI no Switch B para atender aos seguintes requisitos:

    • Os hosts obtêm endereços IPv6 somente por meio do SLAAC.
    • As mensagens DHCPv6 são descartadas na GigabitEthernet 1/0/1 até a GigabitEthernet 1/0/3 na VLAN 2.
    • O SAVI verifica os endereços de origem das mensagens ND e dos pacotes de dados IPv6 na GigabitEthernet 1/0/1 e na GigabitEthernet 1/0/2.

    Figura 2 Diagrama de rede

    Procedimento

    # Habilite o SAVI.

     system-view
                     [SwitchB] ipv6 savi strict

    # Atribuir GigabitEthernet 1/0/1 a GigabitEthernet 1/0/3 à VLAN 2.

    [SwitchB] vlan 2
                     [SwitchB-vlan2] port gigabitethernet 1/0/1 gigabitethernet 1/0/2 gigabitethernet 1/0/3
                     [SwitchB-vlan2] quit

    # Habilite o snooping ND para endereços unicast globais na VLAN 2.

    [SwitchB] vlan 2
                     [SwitchB-vlan2] ipv6 nd snooping enable global

    # Habilite a detecção de ataques ND para a VLAN 2. 

    [SwitchB-vlan2] ipv6 nd detection enable
                     [SwitchB-vlan2] quit

    # Habilite o DHCPv6 snooping.

    <
    [SwitchB] ipv6 dhcp snooping enable

    # Configure a GigabitEthernet 1/0/3 como uma porta confiável ND.

    [SwitchB] interface gigabitethernet 1/0/3
                     [SwitchB-GigabitEthernet1/0/3] ipv6 nd detection trust
                     [SwitchB-GigabitEthernet1/0/3] quit

    # Habilite a proteção de origem IPv6 na GigabitEthernet 1/0/1 e na GigabitEthernet 1/0/2.

    [SwitchB] interface gigabitethernet 1/0/1
                     [SwitchB-GigabitEthernet1/0/1] ipv6 verify source ip-address mac-address
                     [SwitchB-GigabitEthernet1/0/1] quit
                     [SwitchB] interface gigabitethernet 1/0/2
                     [SwitchB-GigabitEthernet1/0/2] ipv6 verify source ip-address mac-address
                     [SwitchB-GigabitEthernet1/0/2] quit

    Exemplo: Configuração de DHCPv6+SLAAC SAVI

    Configuração de rede

    Conforme mostrado na Figura 3, configure o SAVI no Switch B para atender aos seguintes requisitos:

    • Os hosts obtêm endereços IP por meio de DHCPv6 ou SLAAC.
    • O SAVI verifica os endereços de origem das mensagens DHCPv6, das mensagens ND e dos pacotes de dados IPv6 na GigabitEthernet 1/0/3 até a GigabitEthernet 1/0/5.

    Figura 3 Diagrama de rede

    Procedimento

    # Habilite o SAVI.

     system-view
                     [SwitchB] ipv6 savi strict

    # Atribuir GigabitEthernet 1/0/1 a GigabitEthernet 1/0/5 à VLAN 2.

    [SwitchB] vlan 2
                     [SwitchB-vlan2] port gigabitethernet 1/0/1 gigabitethernet 1/0/2 gigabitethernet 1/0/3
                     gigabitethernet 1/0/4 gigabitethernet 1/0/5

    # Habilite o DHCPv6 snooping.

    [SwitchB] ipv6 dhcp snooping enable

    # Habilite o registro de entradas de DHCPv6 snooping na GigabitEthernet 1/0/3 até a GigabitEthernet 1/0/5.

    [SwitchB] interface gigabitethernet 1/0/3
                     [SwitchB-GigabitEthernet1/0/3] ipv6 dhcp snooping binding record
                     [SwitchB-GigabitEthernet1/0/3] quit
                     [SwitchB] interface gigabitethernet 1/0/4
                     [SwitchB-GigabitEthernet1/0/4] ipv6 dhcp snooping binding record
                     [SwitchB-GigabitEthernet1/0/4] quit
                     [SwitchB] interface gigabitethernet 1/0/5
                     [SwitchB-GigabitEthernet1/0/5] ipv6 dhcp snooping binding record
                     [SwitchB-GigabitEthernet1/0/5] quit

    # Configure a GigabitEthernet 1/0/1 como uma porta confiável de DHCPv6 snooping.

    [SwitchB] interface gigabitethernet 1/0/1
                     [SwitchB-GigabitEthernet1/0/1] ipv6 dhcp snooping trust
                     [SwitchB-GigabitEthernet1/0/1] quit

    # Habilite o snooping ND para endereços unicast globais na VLAN 2.

    [SwitchB] vlan 2
                     [SwitchB-vlan2] ipv6 nd snooping enable global

    # Habilite a detecção de ataques ND para a VLAN 2. 

    [SwitchB-vlan2] ipv6 nd detection enable
                     [SwitchB-vlan2] quit

    # Configure a GigabitEthernet 1/0/2 como uma porta confiável ND.

    [SwitchB] interface gigabitethernet 1/0/2
                     [SwitchB-GigabitEthernet1/0/2] ipv6 nd detection trust
                     [SwitchB-GigabitEthernet1/0/2] quit

    # Habilite a proteção de origem IPv6 na GigabitEthernet 1/0/3 até a GigabitEthernet 1/0/5.

    [SwitchB] interface gigabitethernet 1/0/3
                     [SwitchB-GigabitEthernet1/0/3] ipv6 verify source ip-address mac-address
                     [SwitchB-GigabitEthernet1/0/3] quit
                     [SwitchB] interface gigabitethernet 1/0/4
                     [SwitchB-GigabitEthernet1/0/4] ipv6 verify source ip-address mac-address
                     [SwitchB-GigabitEthernet1/0/4] quit
                     [SwitchB] interface gigabitethernet 1/0/5
                     [SwitchB-GigabitEthernet1/0/5] ipv6 verify source ip-address mac-address

    Configuração do MFF

    Sobre a MFF

    O encaminhamento forçado por MAC (MFF) implementa o isolamento da Camada 2 e a comunicação da Camada 3 entre hosts no mesmo domínio de broadcast.

    Um dispositivo habilitado para MFF intercepta solicitações ARP e retorna o endereço MAC de um gateway (ou servidor) para os remetentes. Dessa forma, os remetentes são forçados a enviar pacotes para o gateway para monitoramento de tráfego e prevenção de ataques.

    Modelo de rede MFF

    Conforme mostrado na Figura 1, os hosts são conectados ao Switch C por meio do Switch A e do Switch B, que são chamados de nós de acesso Ethernet (EANs). Os EANs habilitados para MFF encaminham os pacotes dos hosts para o gateway para posterior encaminhamento. Os hosts estão isolados na Camada 2, mas podem se comunicar na Camada 3.

    Figura 1 Diagrama de rede para MFF

    O MFF funciona com qualquer um dos seguintes recursos para implementar a filtragem de tráfego e o isolamento da Camada 2 nos EANs:

    • ARP snooping (consulte o Guia de Configuração de Serviços de Camada 3 IP).
    • Proteção da fonte de IP (consulte "Configuração da proteção da fonte de IP").
    • Detecção de ARP (consulte "Configuração da proteção contra ataques ARP").
    • Mapeamento de VLAN (consulte o Guia de configuração de comutação de LAN de camada 2).

    Funções de porta

    Existem dois tipos de portas, a porta do usuário e a porta da rede, em uma VLAN habilitada para MFF.

    Porta do usuário

    Uma porta de usuário MFF está diretamente conectada a um host e processa os seguintes pacotes de forma diferente:

    • Permite a passagem de pacotes multicast.
    • Entrega pacotes ARP à CPU.
    • Processa os pacotes unicast da seguinte forma:
      • Se os endereços MAC dos gateways tiverem sido aprendidos, a porta do usuário permitirá a passagem apenas dos pacotes unicast com os endereços MAC dos gateways como endereços MAC de destino.
      • Se nenhum endereço MAC de gateways tiver sido aprendido, a porta do usuário descartará todos os pacotes unicast recebidos.

    Porta de rede

    Uma porta de rede MFF está conectada a qualquer um dos seguintes dispositivos de rede:

    • Um switch de acesso.
    • Um switch de distribuição.
    • Uma porta de entrada.
    • Um servidor.

    Uma porta de rede processa os seguintes pacotes de forma diferente:

    • Permite a passagem de pacotes multicast.
    • Entrega pacotes ARP à CPU.
    • Nega pacotes de difusão que não sejam pacotes DHCP e ARP.

    Processamento de pacotes ARP no MFF

    Um dispositivo habilitado para MFF implementa a comunicação da Camada 3 entre hosts interceptando solicitações ARP dos hosts e respondendo com o endereço MAC de um gateway. Esse mecanismo ajuda a reduzir o número de mensagens de difusão.

    O dispositivo MFF processa os pacotes ARP da seguinte forma:

    • Depois de receber uma solicitação ARP de um host, o dispositivo MFF envia o endereço MAC do gateway correspondente para o host. Dessa forma, os hosts da rede precisam se comunicar na Camada 3 por meio de um gateway.
    • Após receber uma solicitação ARP de um gateway, o dispositivo MFF envia o endereço MAC do host solicitado para o gateway se a entrada correspondente estiver disponível. Se a entrada não estiver disponível, o dispositivo MFF encaminhará a solicitação ARP.
    • O dispositivo MFF encaminha respostas ARP entre hosts e gateways.
    • Se os endereços MAC de origem das solicitações ARP dos gateways forem diferentes dos registrados, o dispositivo MFF atualiza e transmite os endereços IP e MAC dos gateways.

    Gateway padrão MFF

    O MFF aplica-se somente a redes em que os endereços IP dos hosts são configurados manualmente. Como os hosts não podem obter as informações do gateway por meio do DHCP, o gateway padrão deve ser especificado pelo comando mac-forced-forwarding default-gateway. A MFF mantém apenas um gateway padrão para cada VLAN. A MFF atualiza o endereço MAC do gateway padrão ao receber um pacote ARP com um endereço MAC de remetente diferente do gateway padrão.

    Protocolos e padrões

    RFC 4562, Encaminhamento forçado por MAC

    Visão geral das tarefas do MFF

    Para configurar o MFF, execute as seguintes tarefas:

    • Habilitação de MFF
    • Configuração de uma porta de rede
    • (Opcional.) Ativação da sonda periódica de gateway
    • Especificação dos endereços IP dos servidores

    Se houver servidores na rede, você deverá executar essa tarefa para garantir a comunicação entre os servidores e os hosts.

    Habilitação de MFF

    Restrições e diretrizes

    • Um dispositivo habilitado para MFF e um host não podem fazer ping entre si.
    • Quando a MFF trabalha com associações estáticas de proteção de origem de IP, você deve configurar IDs de VLAN nas associações estáticas. Caso contrário, os pacotes IP permitidos pela proteção de origem de IP serão permitidos mesmo que seus endereços MAC de destino não sejam o endereço MAC do gateway.
    • O MFF não é suportado em uma rede em que o modo de balanceamento de carga VRRP esteja configurado.

    Pré-requisitos

    Para que o MFF entre em vigor, verifique se o ARP snooping está ativado na VLAN em que o MFF está ativado.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Entre na visualização de VLAN.
    vlan vlan-id
    • Ativar MFF.
    mac-forced-forwarding default-gateway gateway-ip

    Por padrão, o MFF está desativado.

    Configuração de uma porta de rede

    Restrições e diretrizes

    Em uma VLAN com MFF ativado, é necessário configurar as seguintes portas como portas de rede:

    • Portas upstream conectadas ao gateway.
    • Portas conectadas a outros dispositivos MFF.

    A agregação de links é suportada pelas portas de rede em uma VLAN habilitada para MFF, mas não é suportada pelas portas de usuário na VLAN. Você pode adicionar as portas de rede a grupos de agregação de links, mas não pode adicionar as portas de usuário a grupos de agregação de links. Para obter mais informações sobre agregação de links, consulte o Layer 2-LAN Switching Configuration Guide.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Entre na visualização da interface.
    interface interface-type interface-number
    • Configure a porta como uma porta de rede.
    mac-forced-forwarding network-port

    Por padrão, a porta é uma porta de usuário.

    Ativação da sonda periódica de gateway

    Sobre a sonda periódica de gateway

    Você pode configurar o dispositivo MFF para detectar gateways a cada 30 segundos quanto à alteração de endereços MAC enviando pacotes ARP forjados. Os pacotes ARP usam 0.0.0.0 como o endereço IP do remetente e o endereço MAC da ponte como o endereço MAC do remetente.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Entre na visualização de VLAN.
    vlan vlan-id
    • Ativar a sonda periódica de gateway.
    mac-forced-forwarding gateway probe

    Por padrão, esse recurso está desativado.

    Especificação dos endereços IP dos servidores

    Sobre o endereço IP do servidor

    Os endereços IP do servidor podem ser os das interfaces em um roteador em um grupo VRRP e os dos servidores que colaboram com a MFF, como um servidor RADIUS.

    Quando o dispositivo MFF recebe uma solicitação ARP de um servidor, o dispositivo pesquisa as entradas de endereço IP para MAC que armazenou. Em seguida, o dispositivo responde ao servidor com o endereço MAC solicitado.

    Como resultado, os pacotes de um host para um servidor são encaminhados pelo gateway. Entretanto, os pacotes de um servidor para um host não são encaminhados pelo gateway.

    O MFF não verifica se o endereço IP de um servidor está no mesmo segmento de rede que o de um gateway. Em vez disso, ele verifica se o endereço IP de um servidor é totalmente zero ou totalmente um. Um endereço IP de servidor totalmente zero ou totalmente um é inválido.

    Restrições e diretrizes

    Se a interface do servidor que se conecta ao dispositivo MFF usar endereços IP secundários para enviar pacotes ARP , inclua todos esses endereços IP na lista de endereços IP do servidor.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Entre na visualização de VLAN.
    vlan vlan-id
    • Especifique os endereços IP dos servidores.
    mac-forced-forwarding server server-ip&<1-10>

    Por padrão, nenhum endereço IP do servidor é especificado.

    Comandos de exibição e manutenção para MFF

    Executar comandos de exibição em qualquer visualização.

    Tarefa Comando
    Exibir a configuração da porta MFF. exibir interface de encaminhamento forçado de mac
    Exibir a configuração da MFF para uma VLAN. display mac-forced-forwarding vlan vlan-id

    Exemplos de configuração de MFF

    Exemplo: Configuração de MFF em uma rede em árvore

    Configuração de rede

    Conforme mostrado na Figura 2, todos os dispositivos estão na VLAN 100. Os hosts A, B e C recebem endereços IP manualmente.

    Configure a MFF para isolar os hosts na Camada 2 e permitir que eles se comuniquem entre si por meio do gateway na Camada 3.

    Figura 2 Diagrama de rede

    Procedimento

    • Configure os endereços IP dos hosts e do gateway, conforme mostrado na Figura 2.
    • Configure o Switch A:

    # Configure o MFF na VLAN 100.

    [SwitchA] vlan 100
                     [SwitchA-vlan100] mac-forced-forwarding default-gateway 10.1.1.100

    # Especifique o endereço IP do servidor.

    [SwitchA-vlan100] mac-forced-forwarding server 10.1.1.200

    # Habilite o ARP snooping na VLAN 100. 

    [SwitchA-vlan100] arp snooping enable
                     [SwitchA-vlan100] quit

    # Configure a GigabitEthernet 1/0/1 como uma porta de rede.

    [SwitchA-vlan100] arp snooping enable
                     [SwitchA-vlan100] quit
    • Configure o Switch B:

    # Configure o MFF na VLAN 100.

    [SwitchB] vlan 100
                     [SwitchB-vlan100] mac-forced-forwarding default-gateway 10.1.1.100

    # Especifique o endereço IP do servidor.

    [SwitchB-vlan100] mac-forced-forwarding server 10.1.1.200

    # Habilite o ARP snooping na VLAN 100. 

    [SwitchB-vlan100] arp snooping enable
                     [SwitchB-vlan100] quit

    # Configure a GigabitEthernet 1/0/2 como uma porta de rede.

    [SwitchB] interface gigabitethernet 1/0/2 1/0/6
                     [SwitchB-GigabitEthernet1/0/2] mac-forced-forwarding network-port

    Exemplo: Configuração de MFF em uma rede em anel

    Configuração de rede

    Conforme mostrado na Figura 3, todos os dispositivos estão na VLAN 100 e os switches formam um anel. Os hosts A, B e C recebem endereços IP manualmente.

    Configure a MFF para isolar os hosts na Camada 2 e permitir que eles se comuniquem entre si por meio do gateway na Camada 3.

    Figura 3 Diagrama de rede

    Procedimento

    • Configure os endereços IP dos hosts e do gateway, conforme mostrado na Figura 3.
    • Configure o Switch A:

    # Habilite o STP globalmente para garantir que o STP esteja habilitado nas interfaces.

    Configure o MFF na VLAN 100.

    [SwitchA] vlan 100
                     [SwitchA-vlan100] mac-forced-forwarding default-gateway 10.1.1.100

    # Especifique o endereço IP do servidor.

    [SwitchA-vlan100] mac-forced-forwarding server 10.1.1.200

    # Habilite o ARP snooping na VLAN 100.

    [SwitchA-vlan100] arp snooping enable
                     [SwitchA-vlan100] quit

    # Configure a GigabitEthernet 1/0/2 e a GigabitEthernet 1/0/3 como portas de rede.

    [SwitchA] interface gigabitethernet 1/0/2
                     [SwitchA-GigabitEthernet1/0/2] mac-forced-forwarding network-port
                     [SwitchA-GigabitEthernet1/0/2] quit
                     [SwitchA] interface gigabitethernet 1/0/3
                     [SwitchA-GigabitEthernet1/0/3] mac-forced-forwarding network-port
    • Configurar o Switch B:

    # Habilite o STP globalmente para garantir que o STP esteja habilitado nas interfaces.

    [SwitchB] stp global enable

    Configure o MFF na VLAN 100. 

    [SwitchB] vlan 100
                     [SwitchB-vlan100] mac-forced-forwarding default-gateway 10.1.1.100

    # Especifique o endereço IP do servidor.

    [SwitchB-vlan100] mac-forced-forwarding server 10.1.1.200

    # Habilite o ARP snooping na VLAN 100. 

    [SwitchB-vlan100] arp snooping enable
                     [SwitchB-vlan100] quit

    # Configure a GigabitEthernet 1/0/1 e a GigabitEthernet 1/0/3 como portas de rede.

    [SwitchB] interface gigabitethernet 1/0/1
                     [SwitchB-GigabitEthernet1/0/1] mac-forced-forwarding network-port
                     [SwitchB-GigabitEthernet1/0/1] quit
                     [SwitchB] interface gigabitethernet 1/0/3
                     [SwitchB-GigabitEthernet1/0/3] mac-forced-forwarding network-port
    • Habilite o STP no Switch C globalmente para garantir que o STP esteja habilitado nas interfaces.
     system-view
                     [SwitchC] stp global enable

    Configuração de mecanismos de criptografia

    Sobre mecanismos de criptografia

    Os mecanismos de criptografia criptografam e descriptografam dados para módulos de serviço.

    O dispositivo suporta apenas um mecanismo de criptografia de software, que é um conjunto de algoritmos de criptografia de software. O mecanismo de criptografia de software está sempre ativado.

    Quando um módulo de serviço requer criptografia/descriptografia de dados, ele envia os dados desejados para o mecanismo de criptografia. Depois que o mecanismo de criptografia conclui a criptografia/descriptografia de dados, ele envia os dados de volta para o módulo de serviço .

    Comandos de exibição e manutenção para mecanismos de criptografia

    Execute comandos de exibição em qualquer visualização e redefina comandos na visualização do usuário.

    Tarefa Comando
    Exibir informações do mecanismo de criptografia. exibir o mecanismo de criptografia
    Exibir estatísticas do mecanismo de criptografia. exibir estatísticas do mecanismo de criptografia [ slot de ID do motor ID do motor slot-number ]
    Limpar estatísticas do mecanismo de criptografia. reset crypto-engine statistics [ engine-id engine-id slot slot-number ]

    Configuração do FIPS

    Sobre o FIPS

    O Federal Information Processing Standards (FIPS) foi desenvolvido pelo National Institute of Standards and Technology (NIST) dos Estados Unidos. O FIPS especifica os requisitos para módulos criptográficos.

    Níveis de segurança FIPS

    O FIPS 140-2 define quatro níveis de segurança, denominados Nível 1 a Nível 4, de baixo a alto. O dispositivo é compatível com o Nível 2.

    Salvo indicação em contrário, o termo "FIPS" refere-se ao Nível 2 FIPS 140-2 neste documento.

    Funcionalidade FIPS

    No modo FIPS, o dispositivo tem requisitos de segurança rigorosos. Ele executa autotestes nos módulos de criptografia para verificar se os módulos estão funcionando corretamente.

    Um dispositivo FIPS também atende aos requisitos de funcionalidade definidos no Network Device Protection Profile (NDPP) do Common Criteria (CC).

    Autotestes FIPS

    Para garantir a operação correta dos módulos de criptografia, o FIPS fornece mecanismos de autoteste, incluindo autotestes de inicialização e autotestes condicionais.

    Se um autoteste de inicialização falhar, o dispositivo em que existe o processo de autoteste será reinicializado. Se um autoteste condicional falhar, o sistema emitirá uma mensagem de falha de autoteste.

    OBSERVAÇÃO:

    Se o autoteste falhar, entre em contato com o Suporte da Intelbras.

    Autotestes de inicialização

    O autoteste de inicialização examina a disponibilidade dos algoritmos criptográficos permitidos pelo FIPS. O dispositivo suporta os seguintes tipos de autotestes de inicialização:

    • Teste de conhecimento e resposta (KAT)

    Um algoritmo criptográfico é executado em dados para os quais a saída correta já é conhecida. O resultado calculado é comparado com a resposta conhecida. Se elas não forem idênticas, o teste KAT falha.

    • Teste condicional par a par (PWCT)
      • Teste de assinatura e autenticação - O teste é executado quando um par de chaves assimétricas DSA, RSA ou ECDSA é gerado. O sistema usa a chave privada para assinar os dados específicos e, em seguida, usa a chave pública para autenticar os dados assinados. Se a autenticação for bem-sucedida, o teste será bem-sucedido.
      • Teste de criptografia e descriptografia - O teste é executado quando um par de chaves assimétricas RSA é gerado. O sistema usa a chave pública para criptografar uma cadeia de texto simples e, em seguida, usa a chave privada para descriptografar o texto criptografado. Se o resultado da descriptografia for o mesmo da cadeia de texto simples original, o teste será bem-sucedido.

    O autoteste de inicialização examina os algoritmos criptográficos listados na Tabela 1.

    Tabela 1 Lista de autotestes de inicialização

    Tipo Operações
    KAT Testa os seguintes algoritmos: SHA1, SHA224, SHA256, SHA384 e SHA512. HMAC-SHA1, HMAC-SHA224, HMAC-SHA256, HMAC-SHA384 e HMAC-SHA512. AES. RSA (assinatura e autenticação). ECDH. DRBG. GCM. GMAC.
    PWCT Testa os seguintes algoritmos: RSA (assinatura e autenticação). RSA (criptografia e descriptografia). DSA (assinatura e autenticação). ECDSA (assinatura e autenticação).

    Autotestes condicionais

    Um autoteste condicional é executado quando um módulo criptográfico assimétrico ou um módulo gerador de números aleatórios é chamado. Os autotestes condicionais incluem os seguintes tipos:

    • Assinatura e autenticação PWCT - Esse teste é executado quando um par de chaves assimétricas DSA ou RSA é gerado. O sistema usa a chave privada para assinar os dados específicos e, em seguida, usa a chave pública para autenticar os dados assinados. Se a autenticação for bem-sucedida, o teste será bem-sucedido.
    • Teste do gerador de números aleatórios contínuos - É executado quando um número aleatório é gerado. O sistema compara o número aleatório gerado com o número aleatório gerado anteriormente. Se os dois números forem iguais, o teste falhará. Esse teste também é executado quando um par de chaves assimétricas DSA ou RSA é gerado.

    Restrições e diretrizes: FIPS

    Requisitos para pares de chaves e senhas

    Antes de você reinicializar o dispositivo para entrar no modo FIPS, o sistema remove automaticamente todos os pares de chaves configurados no modo não-FIPS e todos os certificados digitais em conformidade com o FIPS. Os certificados digitais em conformidade com o FIPS são certificados baseados em MD5 com um comprimento de módulo de chave inferior a 2048 bits. Não é possível fazer login no dispositivo por meio de SSH depois que o dispositivo entra no modo FIPS. Para fazer login no dispositivo no modo FIPS por meio de SSH, faça login no dispositivo por meio de uma porta de console e crie um par de chaves para o servidor SSH.

    A senha para entrar no dispositivo no modo FIPS deve estar em conformidade com as políticas de controle de senha, como comprimento, complexidade e política de envelhecimento da senha. Quando o cronômetro de envelhecimento de uma senha expira, o sistema solicita que você altere a senha. Se você ajustar a hora do sistema depois que o dispositivo entrar no modo FIPS, a senha de login poderá expirar antes do próximo login, pois a hora original do sistema normalmente é muito anterior à hora real.

    Diretrizes de reversão de configuração

    A reversão da configuração é suportada no modo FIPS e também durante uma alternância entre o modo FIPS e o modo não-FIPS. Após uma reversão da configuração entre o modo FIPS e o modo não-FIPS, execute as seguintes tarefas:

    • Exclua o usuário local e configure um novo usuário local. Os atributos do usuário local incluem senha, função do usuário e tipo de serviço.
    • Salvar o arquivo de configuração atual.
    • Especifique o arquivo de configuração atual como o arquivo de configuração de inicialização.
    • Reinicialize o dispositivo. A nova configuração entra em vigor após a reinicialização. Durante esse processo, não saia do sistema nem realize outras operações.

    Se um dispositivo entrar no modo FIPS ou não-FIPS por meio de reinicialização automática, a reversão da configuração falhará. Para dar suporte à reversão da configuração, você deve executar o comando save depois que o dispositivo entrar no modo FIPS ou não-FIPS.

    Compatibilidade com IRF

    Todos os dispositivos em uma malha IRF devem estar operando no mesmo modo, seja no modo FIPS ou no modo não-FIPS.

    Para ativar o modo FIPS em uma malha IRF, você deve reinicializar toda a malha IRF.

    Alterações de recursos no modo FIPS

    Depois que o sistema entra no modo FIPS, ocorrem as seguintes alterações de recursos:

    • O modo de autenticação de login do usuário só pode ser um esquema.
    • O servidor e o cliente FTP/TFTP estão desativados.
    • O servidor e o cliente Telnet estão desativados.
    • O servidor HTTP está desativado.
    • SNMPv1 e SNMPv2c estão desativados. Somente o SNMPv3 está disponível.
    • O servidor SSL é compatível apenas com TLS1.0, TLS1.1 e TLS1.2.
    • O servidor SSH não é compatível com clientes SSHv1 ou pares de chaves DSA.
    • Os pares de chaves RSA e DSA gerados devem ter um comprimento de módulo de 2048 bits.

    Quando o dispositivo atua como um servidor para autenticar um cliente por meio da chave pública, o par de chaves do cliente também deve ter um comprimento de módulo de 2048 bits.

    • Os pares de chaves ECDSA gerados devem ter um comprimento de módulo de mais de 256 bits.

    Quando o dispositivo atua como um servidor para autenticar um cliente por meio da chave pública, o par de chaves do cliente também deve ter um comprimento de módulo superior a 256 bits.

    • SSH, SNMPv3, IPsec e SSL não são compatíveis com DES, 3DES, RC4 ou MD5.
    • O recurso de controle de senha não pode ser desativado globalmente. O comando undo password-control enable não tem efeito.
    • Uma chave compartilhada AAA, uma chave pré-compartilhada IKE ou uma chave de autenticação SNMPv3 deve ter pelo menos 15 caracteres e conter letras maiúsculas e minúsculas, dígitos e caracteres especiais.
    • A senha de um usuário local de gerenciamento de dispositivos e a senha para alternar funções de usuário devem estar em conformidade com as políticas de controle de senha. Por padrão, a senha deve ter pelo menos 15 caracteres e deve conter letras maiúsculas e minúsculas, dígitos e caracteres especiais.

    Entrando no modo FIPS

    Sobre como entrar no modo FIPS

    Para que o dispositivo entre no modo FIPS, você pode usar um dos seguintes métodos:

    • Reinicialização automática - O sistema executa automaticamente as seguintes operações:
      • Solicita que você especifique o nome de usuário e a senha para o próximo login.
      • Cria um arquivo de configuração padrão do FIPS chamado fips-startup.cfg.
      • Especifica o arquivo de configuração padrão do FIPS como o arquivo de configuração de inicialização.
      • Reinicializa e carrega o arquivo de configuração padrão do FIPS para entrar no modo FIPS.
    • Reinicialização manual - Você deve concluir as tarefas de configuração necessárias e reinicializar o dispositivo manualmente.

    Restrições e diretrizes

    Depois de executar o comando fips mode enable, o sistema solicita que você escolha um método de reinicialização.

    • Se você não fizer uma escolha dentro de 30 segundos ou pressionar Ctrl+C, o sistema ativará o modo FIPS e aguardará que você conclua manualmente as tarefas de configuração do modo FIPS.
    • Se você selecionar o método de reinicialização automática, poderá pressionar Ctrl+C para cancelar o processo de configuração do modo FIPS interativo e o comando fips mode enable.

    Uso do método de reinicialização automática para entrar no modo FIPS

    Pré-requisitos

    Para garantir a eficácia da senha de login de acordo com as políticas de controle de senha, defina a hora correta do sistema.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Ativar o modo FIPS.
    fips mode enable

    Por padrão, o modo FIPS está desativado.

    • Depois que o prompt de escolha do método de reinicialização for exibido, digite Y dentro de 30 minutos. O sistema inicia o processo interativo de configuração do modo FIPS.

    CUIDADO:

    A reinicialização do sistema pode interromper os serviços em andamento. Execute as operações anteriores com cuidado.

    • Digite o nome de usuário e a senha de login conforme solicitado.

    A senha deve ter no mínimo 15 caracteres e deve conter letras maiúsculas e minúsculas, dígitos e caracteres especiais. Depois de inserir o nome de usuário e a senha, o dispositivo executa as seguintes operações:

    • Cria um usuário local de gerenciamento de dispositivos que usa o nome de usuário e a senha inseridos.
    • Atribui ao usuário o serviço de terminal e a função de usuário administrador de rede.
    • Salva a configuração em execução e especifica o arquivo de configuração como o arquivo de configuração de inicialização.
    • Reinicializa, carrega o arquivo de configuração de inicialização e entra no modo FIPS.

    Para fazer login no dispositivo, é necessário inserir o nome de usuário e a senha configurados. Após o login, você será identificado como o oficial de criptografia do modo FIPS.

    Uso do método de reinicialização manual para entrar no modo FIPS

    Pré-requisitos

    • Para garantir a eficácia da senha de login de acordo com as políticas de controle de senha, defina a hora correta do sistema.
    • Configure o recurso de controle de senha.
      • Habilite o recurso de controle de senha globalmente.
      • Configure políticas de controle de senhas.

    - Defina o número de tipos de caracteres que uma senha deve conter como 4.

    - Defina o número mínimo de caracteres para cada tipo como um caractere.

    - Defina o comprimento mínimo de uma senha de usuário para 15 caracteres.

    Para obter mais informações sobre o recurso de controle de senha, consulte controle de senha no Security Configuration Guide.

    • Configure um usuário local.
    • Crie um usuário local de gerenciamento de dispositivos.
    • Especifique uma senha que esteja em conformidade com as políticas de controle de senha.
    • Atribua o serviço de terminal ao usuário.
    • Atribua a função de usuário administrador de rede ao usuário.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Ativar o modo FIPS.
    fips mode enable

    Por padrão, o modo FIPS está desativado.

    • Depois que o prompt de escolha do método de reinicialização for exibido, digite N.

    O sistema ativa o modo FIPS e aguarda que você conclua as tarefas de configuração do modo FIPS. Antes de reinicializar o dispositivo para entrar no modo FIPS, não execute nenhum comando, exceto salvar e comandos usados para preparar a entrada no modo FIPS. Se você executar qualquer outro comando, os comandos poderão não ter efeito.

    CUIDADO:

    • A reinicialização do sistema pode interromper os serviços em andamento. Execute as operações anteriores com cuidado.
    • Se você selecionar o método de reinicialização manual para entrar no modo FIPS, deverá concluir manualmente as configurações para entrar no modo FIPS. Se você não fizer isso, o dispositivo entrará no modo FIPS após a inicialização

    mas não é possível fazer login no dispositivo.

    • Salve a configuração em execução e especifique o arquivo de configuração como o arquivo de configuração de inicialização.
    • Exclua o arquivo de configuração de inicialização .mdb.

    Ao carregar um arquivo de configuração .mdb, o dispositivo carrega todas as configurações do arquivo. As configurações que não são compatíveis com o modo FIPS podem afetar a operação do dispositivo.

    • Reinicie o dispositivo.

    O dispositivo é reinicializado, carrega o arquivo de configuração de inicialização e entra no modo FIPS. Para fazer login no dispositivo, é necessário digitar o nome de usuário e a senha configurados. Após o login, você é identificado como o oficial de criptografia do modo FIPS.

    Acionamento manual de autotestes

    Sobre o acionamento de autotestes

    Você pode acionar manualmente os autotestes FIPS para verificar a operação dos módulos de criptografia a qualquer momento, conforme necessário. Os autotestes acionados são os mesmos que os autotestes de inicialização.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Autotestes de acionamento.
    fips self-test

    CUIDADO:

    Um autoteste bem-sucedido exige que todos os algoritmos criptográficos sejam aprovados no autoteste. Se o autoteste falhar, o dispositivo em que existe o processo de autoteste será reinicializado.

    Sair do modo FIPS

    Sobre como sair do modo FIPS

    Depois que você desativar o modo FIPS e reiniciar o dispositivo, ele funcionará no modo não-FIPS. Para que o dispositivo saia do modo FIPS, você pode usar um dos seguintes métodos de reinicialização:

    • Reinicialização automática - O sistema cria automaticamente um arquivo de configuração padrão não-FIPS

    O arquivo de configuração de inicialização é chamado non-fips-startup.cfg, especifica o arquivo como o arquivo de configuração de inicialização e é reinicializado para entrar no modo não FIPS. Você pode fazer login no dispositivo sem fornecer nome de usuário ou senha.

    • Reinicialização manual - Você deve concluir manualmente as tarefas de configuração para entrar no modo não-FIPS e, em seguida, reinicializar o dispositivo. Para fazer login no dispositivo após a reinicialização, é necessário inserir as informações do usuário conforme exigido pelas configurações do modo de autenticação.

    A seguir estão as configurações padrão do modo de autenticação:

    • Linha VTY - autenticação por senha.
    • Linha AUX - A autenticação está desativada.

    Você pode modificar as configurações de autenticação conforme necessário.

    Uso do método de reinicialização automática para sair do modo FIPS

    • Entre na visualização do sistema.
    system view
    • Desativar o modo FIPS.
    undo fips mode enable

    Por padrão, o modo FIPS está desativado.

    • Selecione o método de reinicialização automática.

    CUIDADO:

    A reinicialização do sistema pode interromper os serviços em andamento. Execute as operações anteriores com cuidado.

    Uso do método de reinicialização manual para sair do modo FIPS

    • Entre na visualização do sistema.
    system view
    • Desativar o modo FIPS.
    undo fips mode enable

    Por padrão, o modo FIPS está desativado.

    • Selecione o método de reinicialização manual.

    CUIDADO:

    A reinicialização do sistema pode interromper os serviços em andamento. Execute as operações anteriores com cuidado.

    • Configurar as definições de autenticação de login.
      • Se você fez login no dispositivo por meio de SSH, execute as seguintes tarefas sem desconectar a linha do usuário atual:

    - Definir o modo de autenticação como esquema para linhas VTY.

    - Especifique o nome de usuário e a senha. Se você não especificar o nome de usuário ou a senha, o dispositivo usará o nome de usuário e a senha atuais.

    • Se tiver feito login no dispositivo por meio de uma porta de console, defina as configurações de autenticação de login para o tipo atual de linhas de usuário, conforme descrito na tabela a seguir:
    Método de login atual Requisitos de autenticação de login
    Esquema Defina a autenticação como esquema e especifique o nome de usuário e a senha. Se você não especificar o nome de usuário ou a senha, o dispositivo usará o nome de usuário e a senha atuais.
    Senha Defina a autenticação como senha e especifique a senha. Se você não especificar a senha, o dispositivo usará a senha atual.
    Nenhum Defina a autenticação como nenhuma.
    • Salve a configuração em execução e especifique o arquivo como o arquivo de configuração de inicialização.
    • Exclua o arquivo de configuração de inicialização .mdb.
    • Reinicie o dispositivo.

    Comandos de exibição e manutenção para FIPS

    Executar comandos de exibição em qualquer visualização.

    Tarefa Comando
    Exibe o número da versão da base de algoritmos do dispositivo. exibir versão de criptografia
    Exibir o estado do modo FIPS. exibir status fips

    Exemplos de configuração de FIPS

    Exemplo: Entrada no modo FIPS por meio de reinicialização automática

    Configuração de rede

    Use o método de reinicialização automática para entrar no modo FIPS e use uma porta de console para fazer login no dispositivo no modo FIPS.

    Procedimento

    # Se você quiser salvar a configuração atual, execute o comando save antes de ativar o modo FIPS.

    # Habilite o modo FIPS e escolha o método de reinicialização automática para entrar no modo FIPS. Defina o nome de usuário como root e a senha como 12345zxcvb!@#$%ZXCVB.

     system-view
                     [Sysname] fips mode enable
                     FIPS mode change requires a device reboot. Continue? [Y/N]:y
                     Reboot the device automatically? [Y/N]:y
                     The system will create a new startup configuration file for FIPS mode. After you set the 
                     login username and password for FIPS mode, the device will reboot automatically.
                     Enter username(1-55 characters):root
                     Enter password(15-63 characters):
                     Confirm password:
                     Waiting for reboot... After reboot, the device will enter FIPS mode.

    Verificação da configuração

    Após a reinicialização do dispositivo, digite o nome de usuário root e a senha 12345zxcvb!@#$%ZXCVB. O sistema solicita que você configure uma nova senha. Depois que você configurar a nova senha, o dispositivo entrará no modo FIPS. A nova senha deve ser diferente da senha anterior. Ela deve ter pelo menos 15 caracteres e conter letras maiúsculas e minúsculas, dígitos e caracteres especiais. Para obter mais informações sobre os requisitos da senha, consulte a saída do sistema.

    Press ENTER to get started.
                     login: root
                     Password:
                     First login or password reset. For security reason, you need to change your password. Please 
                     enter your password.
                     old password:
                     new password:
                     confirm:
                     Updating user information. Please wait ... ...
                     …
                     <Sysname>

    # Exibir o estado do modo FIPS.

     display fips status
                     FIPS mode is enabled.

    # Exibir o arquivo de configuração padrão.

     more fips-startup.cfg
                     #
                     password-control enable
                     #
                     local-user root class manage
                     service-type terminal
                     authorization-attribute user-role network-admin
                     #
                     fips mode enable
                     #
                     return

    Exemplo: Entrada no modo FIPS por meio de reinicialização manual

    Configuração de rede

    Use o método de reinicialização manual para entrar no modo FIPS e use uma porta de console para fazer login no dispositivo no modo FIPS.

    Procedimento

    # Habilite o recurso de controle de senha globalmente.

    <Sysname>  system-view
                     [Sysname] password-control enable

    # Defina o número de tipos de caracteres que uma senha deve conter como 4 e defina o número mínimo de caracteres para cada tipo como um caractere.

    [Sysname] password-control composition type-number 4 type-length 1

    # Defina o tamanho mínimo das senhas de usuário para 15 caracteres.

    [Sysname] password-control length 15

    # Adicione uma conta de usuário local para o gerenciamento do dispositivo, incluindo um nome de usuário de teste, uma senha de

    [Sysname] local-user test class manage
                     [Sysname-luser-manage-test] password simple 12345zxcvb!@#$%ZXCVB
                     [Sysname-luser-manage-test] authorization-attribute user-role network-admin
                     [Sysname-luser-manage-test] service-type terminal
                     [Sysname-luser-manage-test] quit

    # Habilite o modo FIPS e escolha o método de reinicialização manual para entrar no modo FIPS.

    [Sysname] fips mode enable
                     FIPS mode change requires a device reboot. Continue? [Y/N]:y
                     Reboot the device automatically? [Y/N]:n
                     Change the configuration to meet FIPS mode requirements, save the configuration to the 
                     next-startup configuration file, and then reboot to enter FIPS mode.

    # Salve a configuração atual no diretório raiz da mídia de armazenamento e especifique-a como o arquivo de configuração de inicialização.

    [Sysname] save
                     The current configuration will be written to the device. Are you sure? [Y/N]:y
                     Please input the file name(*.cfg)[flash:/startup.cfg]
                     (To leave the existing filename unchanged, press the enter key):
                     flash:/startup.cfg exists, overwrite? [Y/N]:y
                     Validating file. Please wait...
                     Saved the current configuration to mainboard device successfully.
                     [Sysname] quit

    # Exclua o arquivo de configuração de inicialização em formato binário.

     delete flash:/startup.mdb
                     Delete flash:/startup.mdb?[Y/N]:y
                     Deleting file flash:/startup.mdb...Done.

    # Reinicie o dispositivo.

     reboot

    Verificação da configuração

    Depois que o dispositivo for reinicializado, digite um nome de usuário de teste e uma senha de 12345zxcvb!@#$%ZXCVB. O sistema solicita que você configure uma nova senha. Depois que você configurar a nova senha, o

    O dispositivo entra no modo FIPS. A nova senha deve ser diferente da senha anterior. Ela deve ter pelo menos 15 caracteres e conter letras maiúsculas e minúsculas, dígitos e caracteres especiais. Para obter mais informações sobre os requisitos da senha, consulte a saída do sistema.

    Press ENTER to get started.
                     login: test
                     Password:
                     First login or password reset. For security reason, you need to change your pass
                     word. Please enter your password.
                     old password:
                     new password:
                     confirm:
                     Updating user information. Please wait ... ...
                     …

    # Exibir o estado do modo FIPS.

     display fips status
                     FIPS mode is enabled.

    Exemplo: Saída do modo FIPS por meio de reinicialização automática

    Configuração de rede

    Depois de fazer login no dispositivo no modo FIPS por meio de uma porta de console, use o método de reinicialização automática para sair do modo FIPS.

    Procedimento

    # Desativar o modo FIPS.

    [Sysname] undo fips mode enable
                     FIPS mode change requires a device reboot. Continue? [Y/N]:y
                     The system will create a new startup configuration file for non-FIPS mode and then reboot
                     automatically. Continue? [Y/N]:y
                     Waiting for reboot... After reboot, the device will enter non-FIPS mode.

    Verificação da configuração

    Depois que o dispositivo for reinicializado, você poderá entrar no sistema.

    # Exibir o estado do modo FIPS.

     display fips status
                     FIPS mode is disabled.

    Exemplo: Saída do modo FIPS por meio de reinicialização manual

    Configuração de rede

    Depois de fazer login no dispositivo no modo FIPS pela porta do console com o nome de usuário test e a senha 12345zxcvb!@#$%ZXCVB, use o método de reinicialização manual para sair do modo FIPS.

    Procedimento

    # Desativar o modo FIPS.

    [Sysname] undo fips mode enable
                     FIPS mode change requires a device reboot. Continue? [Y/N]:y
                     The system will create a new startup configuration file for non-FIPS mode, and then reboot 
                     automatically. Continue? [Y/N]:n
                     Change the configuration to meet non-FIPS mode requirements, save the configuration to 
                     the next-startup configuration file, and then reboot to enter non-FIPS mode.

    # Salve a configuração atual no diretório raiz da mídia de armazenamento e especifique-a como o arquivo de configuração de inicialização.

    [Sysname] save
                     The current configuration will be written to the device. Are you sure? [Y/N]:y
                     Please input the file name(*.cfg)[flash:/startup.cfg]
                     (To leave the existing filename unchanged, press the enter key):
                     flash:/startup.cfg exists, overwrite? [Y/N]:y
                     Validating file. Please wait...
                     Saved the current configuration to mainboard device successfully.
                     [Sysname] quit

    # Exclua o arquivo de configuração de inicialização em formato binário.

     delete flash:/startup.mdb
                     Delete flash:/startup.mdb?[Y/N]:y
                     Deleting file flash:/startup.mdb...Done.

    # Reinicie o dispositivo.

     reboot

    Verificação da configuração

    Após a reinicialização do dispositivo, a autenticação é desativada para o login do console por padrão. 

    Press ENTER to get started.
                     login: test
                     Password:
                     Last successfully login time:…
                     …

    # Exibir o estado do modo FIPS.

     display fips status
                     FIPS mode is disabled.

    Configuração de um cliente 802.1X

    Sobre os clientes 802.1X

    Conforme mostrado na Figura 1, o recurso de cliente 802.1X permite que o dispositivo de acesso atue como suplicante em a arquitetura 802.1X. Para obter informações sobre a arquitetura 802.1X, consulte "Visão geral do 802.1X".

    Figura 1 Diagrama de rede do cliente 802.1X

    • Visão geral das tarefas do cliente X

    Para configurar um cliente 802.1X, execute as seguintes tarefas:

    • Ativação do recurso de cliente 802.1X
    • Configuração de um nome de usuário e senha de cliente 802.1X
    • Especificação de um método de autenticação EAP de cliente 802.1X
    • (Opcional.) Configuração de um endereço MAC de cliente 802.1X
    • (Opcional.) Especificação de um modo de cliente 802.1X para o envio de pacotes EAP-Response e EAPOL-Logoff
    • (Opcional.) Configuração de um identificador anônimo de cliente 802.1X
    • Especificação de uma política de cliente SSL

    Essa tarefa é necessária quando você especifica a autenticação PEAP-MSCHAPv2, PEAP-GTC, TTLS-MSCHAPv2 ou TTLS-GTC como o método de autenticação EAP do cliente 802.1X.

    Ativação do recurso de cliente 802.1X

    • Entre na visualização do sistema.
    system view
    • Entre na visualização da interface Ethernet.
    interface interface-type interface-number
    • Ativar o recurso de cliente 802.1X.
    dot1x supplicant enable

    Por padrão, o recurso de cliente 802.1X está desativado.

    Configuração de um nome de usuário e senha de cliente 802.1X

    Restrições e diretrizes

    Para garantir que a autenticação seja bem-sucedida, certifique-se de que o nome de usuário e a senha configurados no dispositivo sejam consistentes com o nome de usuário e a senha configurados no servidor de autenticação.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Entre na visualização da interface Ethernet.
    interface interface-type interface-number
    • Configure um nome de usuário de cliente 802.1X.
    dot1x supplicant username username

    Por padrão, nenhum nome de usuário de cliente 802.1X é configurado.

    • Definir uma senha de cliente 802.1X.
    dot1x supplicant password { cipher | simple } string

    Por padrão, nenhuma senha de cliente 802.1X é configurada.

    Especificação de um método de autenticação EAP de cliente 802.1X

    Sobre os métodos de autenticação EAP do cliente 802.1X

    Os clientes 802.1X no dispositivo são compatíveis com os seguintes métodos de autenticação EAP:

    • MD5-Challenge.
    • PEAP-MSCHAPv2.
    • PEAP-GTC.
    • TTLS-MSCHAPv2.
    • TTLS-GTC.

    Restrições e diretrizes

    A matriz a seguir mostra as restrições para a seleção de métodos de autenticação no cliente 802.1X e no autenticador:

    Método de autenticação especificado no cliente 802.1X Método de troca de pacotes especificado no autenticador
    Desafio MD5 Retransmissão EAP Encerramento do EAP
    PEAP-MSCHAPv2 PEAP-GTC TTLS-MSCHAPv2 TTLS-GTC Retransmissão EAP

    Para obter informações sobre os métodos de troca de pacotes 802.1X, consulte "Configuração do 802.1X".

    Certifique-se de que o método de autenticação EAP do cliente 802.1X especificado seja compatível com o servidor de autenticação.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Entre na visualização da interface Ethernet.
    interface interface-type interface-number
    • Especifique um método de autenticação EAP de cliente 802.1X.
    dot1x supplicant eap-method { md5 | peap-gtc | peap-mschapv2 |
                  ttls-gtc | ttls-mschapv2 }

    Por padrão, uma interface habilitada para cliente 802.1X usa a autenticação EAP MD5-Challenge.

    Configuração de um endereço MAC de cliente 802.1X

    Sobre os endereços MAC de clientes 802.1X

    O autenticador adiciona o endereço MAC de um cliente 802.1X autenticado à tabela de endereços MAC e, em seguida, atribui direitos de acesso ao cliente.

    Se várias interfaces Ethernet no dispositivo atuarem como clientes 802.1X, configure um endereço MAC exclusivo para cada interface a fim de garantir o sucesso da autenticação 802.1X.

    Você pode usar um dos métodos a seguir para configurar um endereço MAC exclusivo para cada interface:

    • Execute o comando mac-address na visualização da interface Ethernet. Para obter informações sobre esse comando, consulte Referência de comandos de comutação de Layer 2-LAN.
    • Configurar um endereço MAC de cliente 802.1X.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Entre na visualização da interface Ethernet.
    interface interface-type interface-number
    • Configurar um endereço MAC de cliente 802.1X.
    dot1x supplicant mac-address mac-address

    Por padrão, o cliente 802.1X em uma interface Ethernet usa o endereço MAC da interface para a autenticação 802.1X. Se o endereço MAC da interface não estiver disponível, o cliente 802.1X usará o endereço MAC do dispositivo para a autenticação 802.1X.

    Especificação de um modo de cliente 802.1X para o envio de pacotes EAP-Response e EAPOL-Logoff

    Sobre a especificação de um modo de cliente 802.1X para o envio de pacotes EAP-Response e EAPOL-Logoff

    A autenticação 802.1X suporta os modos unicast e multicast para enviar pacotes EAP-Response e EAPOL-Logoff. Como prática recomendada, use o modo multicast para evitar falhas de autenticação 802.1X se o dispositivo NAS na rede não suportar o recebimento de pacotes EAP-Response ou EAPOL-Logoff unicast.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Entre na visualização da interface Ethernet.
    interface interface-type interface-number
    • Especifique um modo de autenticação 802.1X para enviar pacotes EAP-Response e EAPOL-Logoff.
    dot1x supplicant transmit-mode { multicast | unicast }

    Por padrão, a autenticação 802.1X usa o modo unicast para enviar pacotes EAP-Response e EAPOL-Logoff.

    Configuração de um identificador anônimo de cliente 802.1X

    Sobre os identificadores anônimos de clientes 802.1X

    Na primeira fase de autenticação, os pacotes enviados ao autenticador não são criptografados. O uso de um identificador anônimo de cliente 802.1X impede que o nome de usuário do cliente 802.1X seja divulgado na primeira fase. O dispositivo habilitado para cliente 802.1X envia o identificador anônimo para o autenticador em vez do nome de usuário do cliente 802.1X. O nome de usuário do cliente 802.1X será enviado ao autenticador em pacotes criptografados na segunda fase.

    Se nenhum identificador anônimo de cliente 802.1X estiver configurado, o dispositivo enviará o nome de usuário do cliente 802.1X na primeira fase de autenticação.

    O identificador anônimo de cliente 802.1X configurado entra em vigor somente se um dos seguintes métodos de autenticação EAP for usado:

    • PEAP-MSCHAPv2.
    • PEAP-GTC.
    • TTLS-MSCHAPv2.
    • TTLS-GTC.

    Se a autenticação EAP MD5-Challenge for usada, o identificador anônimo do cliente 802.1X configurado não terá efeito. O dispositivo usa o nome de usuário do cliente 802.1X na primeira fase de autenticação.

    Restrições e diretrizes

    Não configure o identificador anônimo do cliente 802.1X se o servidor de autenticação específico do fornecedor não puder identificar identificadores anônimos.

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Entre na visualização da interface Ethernet.
    interface interface-type interface-number
    • Configure um identificador anônimo de cliente 802.1X.
    dot1x supplicant anonymous identify identifier

    Por padrão, nenhum identificador anônimo de cliente 802.1X é configurado.

    Especificação de uma política de cliente SSL

    Sobre as políticas de cliente SSL

    Se a autenticação PEAP-MSCHAPv2, PEAP-GTC, TTLS-MSCHAPv2 ou TTLS-GTC for usada, o processo de autenticação 802.1X será o seguinte:

    • A primeira fase - O dispositivo atua como um cliente SSL para negociar com o servidor SSL.

    O cliente SSL usa os parâmetros SSL definidos na política de cliente SSL especificada para estabelecer uma conexão com o servidor SSL para negociação. Os parâmetros SSL incluem um domínio PKI, conjuntos de cifras compatíveis e a versão SSL. Para obter informações sobre a configuração da política do cliente SSL, consulte "Configuração de SSL".

    • A segunda fase - O dispositivo usa o resultado negociado para criptografar e transmitir os pacotes de autenticação trocados.

    Se a autenticação MD5-Challenge for usada, o dispositivo não usará uma política de cliente SSL durante o processo de autenticação .

    Procedimento

    • Entre na visualização do sistema.
    system view
    • Entre na visualização da interface Ethernet.
    interface interface-type interface-number
    • Especifique uma política de cliente SSL.
    dot1x supplicant ssl-client-policy policy-name

    Por padrão, uma interface habilitada para cliente 802.1X usa a política de cliente SSL padrão.

    Comandos de exibição e manutenção para o cliente 802.1X

    Executar comandos de exibição em qualquer visualização.

    Tarefa Comando
    Exibir informações do cliente 802.1X. exibir dot1x supplicant [ interface interface-type interface-number ]