Località San Martino 53025 Piancastagnaio (SI) ITALY RADIUS - ACCESSO DA TELNET E DA CONSOLE How to Documento non pubblicato. Copyright Elsag Datamat SpA. Tutti i diritti riservati. Il contenuto del presente documento, di proprietà di Elsag Datamat, è riservato e viene reso disponibile senza alcuna responsabilità per eventuali errori ed omissioni. Ne è vietata la riproduzione, la divulgazione e l utilizzo, anche parziali, in mancanza di una espressa autorizzazione scritta di Elsag Datamat. Il diritto d autore relativo e la presente restrizione d uso debbono ritenersi estesi a qualsiasi forma o modalità espositiva delle informazioni contenute.
Codice: 6sr-mh000150-i Rev.0 HOW TO Radius: Accesso da Telnet e da Console Pagina 2 di 10 Il contenuto di questa linea guida è soggetto a modifiche senza obbligo alcuno di avvertenze verso persone o organizzazioni. Tutti i diritti sono riservati. Nessuna parte di questo manuale può essere riprodotta o trasmessa in una qualunque forma o mezzo, elettronico o meccanico, incluse fotocopie e registrazioni senza il permesso scritto della AMTEC S.p.A. TUTTI I DIRITTI RISERVATI AMTEC S.p.A. Località San Martino 53025 Piancastagnaio (SI) ITALY
Codice: 6sr-mh000150-i Rev.0 HOW TO Radius: Accesso da Telnet e da Console Pagina 3 di 10 INDICE 1. INTRODUZIONE...4 2. SPECIFICHE FUNZIONALI...5 3. PRESUPPOSTI...6 1. REQUISITI...6 2. OBIETTIVO...6 4. SCENARIO DI CONFIGURAZIONE...7 5. APPLICAZIONI...10
Codice: 6sr-mh000150-i Rev.0 HOW TO Radius: Accesso da Telnet e da Console Pagina 4 di 10 1. INTRODUZIONE Questa linea guida mostra i passi necessari alla configurazione del protocollo Radius tramite l utilizzo di esempi e piattaforme illustrate che le chiariranno come installare e realizzare tale funzionalità nella sua azienda. Nel presente documento si fa riferimento alle funzionalità del radius in caso di accesso via telnet e/o console. RADIUS: Remote Authentication Dial-In User Service. Il Radius è un protocollo standard per il controllo degli accessi all apparato tramite l uso di username e password utilizzando come gestore degli account un apposito Sever. NAS: Network Access Device. Un qualunque dispositivo l accesso al quale è regolato tramite protocollo Radius. SERVER RADIUS: E un dispositivo che registra dati di autenticazione e accounting per l accesso ad un Client Radius (NAS). Il Server deve essere opportunamento configurato dall amministratore di rete affinchè tenga in memoria i dati relativi ai Client gestiti e ad i loro utenti. Il server utilizza il protocollo di trasporto UDP ed in particolare la porta 1812 per la funzionalità di Authentication e 1813 per quella di Accounting (è tuttavia possibile modificare tali parametri in fase di configurazione) SEGRETO CONDIVISO: Un segreto condiviso è una stringa di testo utilizzata come password per l autenticazione tra il client RADIUS ed un server RADIUS. Tale stringa viene utilizzata per la cifratura del campo user-password contenuto nel pacchetto che il NAS invia al Server in caso di richiesta di autenticazione.
Codice: 6sr-mh000150-i Rev.0 HOW TO Radius: Accesso da Telnet e da Console Pagina 5 di 10 2. SPECIFICHE FUNZIONALI PC-Utente Server Radius SAS/NAS Quando un utente vuole accedere ad un apparato con protocollo RADIUS configurato, l utente stesso è invitato ad inserire lo username e la password che gli sono stati forniti dall amministratore di sistema. Per verificare se l utente è abilitato ad accedere o meno, il Client RADIUS invia un apposito pacchetto di richiesta al Server Radius specificando alcuni attributi tra cui lo username e la password (precedentemente cifrata) inseriti dall utente. Il Server che riceve il pacchetto, verifica di possedere la chiave segreta del client per la decifratura del campo user-password. In caso negativo, il pacchetto viene ignorato altrimenti il Server ricerca nel proprio database i dati di accesso inseriti dell utente in questione. Se la ricerca non va a buon fine il Server invia un pacchetto di rifiuto al NAS che bloccherà l accesso all utente; se la ricerca va a buon fine il Server invia un pacchetto di Access-Accept al NAS che abiliterà l utente all accesso consentendogli tutte e sole le operazioni specificate da un eventuale profilo configurato sul Server. In caso di mancata raggiungibilità del Server primario si può configurare un Server di backup e/o far riferimento ad una autenticazione locale tramite l uso dei profili di configurazione per la descrizione dei quali rimandiamo a How To Gestione e profili di configurazione.
Codice: 6sr-mh000150-i Rev.0 HOW TO Radius: Accesso da Telnet e da Console Pagina 6 di 10 3. PRESUPPOSTI 1. Requisiti L apparato Sas deve essere dotato di almeno un interfaccia ethernet che può essere presente on board o come modulo di espansione in base al tipo ed alla versione della macchina utilizzata. 2. Obiettivo Questo documento ha lo scopo di mostrare i passi necessari per la gestione controllata degli accessi all apparato via telnet e/o console tramite protocollo Radius.
Codice: 6sr-mh000150-i Rev.0 HOW TO Radius: Accesso da Telnet e da Console Pagina 7 di 10 4. SCENARIO DI CONFIGURAZIONE Schema di piattaforma Server 10.0.4.253 Eth1 SAS/NAS 10.0.3.254 Eth2 10.0.4.254 10.0.4.252 In questo esempio ci si propone di mostrare come configurare il protocollo Radius affinchè un utente che voglia accedere all apparato SAS da telnet e/o console, venga sottoposto ad un controllo tramite username e password. Nell esempio riportato il NAS è collegato direttamente al Server Radius e c è la possibilità di configurare un server di backup da utilizzare in caso di fault del primario. Connessione fisica: Nel caso della piattaforma riportata il Pc Utente è collegato all apparato tramite cavo di rete. Perché ci sia raggiungibilità tra il PC ed il SAS occorre configurare opportunamente la scheda di rete del PC come mostrato in How To Configrazione Ethernet Configurazione dell apparato SAS Per caricare la configurazione nell apparato si faccia riferimento al relativo How To. COMANDI DA INSERIRE PER LA CONFIGURAZIONE DELL APPARATO ETHERNET1 IP ON 10.0.3.254 255.255.255.0 ETHERNET2 IP ON 10.0.4.254 255.255.255.0 RADIUS ON RADIUS PRIMARY AUTH_ON 10.0.4.252 Amtec RADIUS BACKUP AUTH_ON 10.0.4.253 AMTEC NAS DISABLE PRIMARY SERVER TMO 3600 SET USER pippo PASSWORD pippopippo CONFIGURATOR RO SET USER pluto PASSWORD plutopluto CONFIGURATOR RW AL TERMINE DIGITARE WRITE E RESET DELL APPARATO (COME SPECIFICATO NELL HOW TO CARICAMENTO CONFIGURAZIONE)
Codice: 6sr-mh000150-i Rev.0 HOW TO Radius: Accesso da Telnet e da Console Pagina 8 di 10 Comandi IP comando ETHERNET1 IP ON 10.0.3.254 255.255.255.0 ETHERNET2 IP ON 10.0.4.254 255.255.255.0 Questo comando permette di configurare l indirizzo IP delle interfacce Ethernet1 ed Ethernet2 a cui sono connessi rispettivamente PC-Utente e i server Radius. Comandi RADIUS comando RADIUS ON Questo comando è necessario per l attivazione del protocollo Radius. Esso è propedeutico per tutti quelli successivi. RADIUS PRIMARY AUTH_ON 10.0.4.252 Amtec Questo comando è utilizzato per la configurazione del Server Radius principale del quale vengono specificati l indirizzo IP ed il segreto condiviso. Nel caso specifico il Server è utilizzato per le sole funzionalità di authentication. Per le funzionalità di Accounting occorre utilizzare il medisimo comando sostituendo la variabile AUTH_ON con ACCT_ON. RADIUS BACKUP AUTH_ON 10.0.4.253 AMTEC Questo comando è utilizzato per la configurazione del Server di backup del quale vengono specificati l indirizzo IP ed il segreto condiviso. Nel caso specifico il Server è utilizzato per le sole funzionalità di authentication. Per le funzionalità di Accounting occorre utilizzare il medisimo comando sostituendo la variabile AUTH_ON con ACCT_ON. Il comportamento di default prevede che il NAS effettui fino ad un massimo di 3 tentativi di connessione con il server intervallati di 5 secondi l uno dall altro. Se anche il terzo tentativo fallisce le richieste d accesso vengono inoltrate verso il server di backup o, in mancanza di questo, si passa ad un autenticazione di tipo locale. Questi parametri possono eventualmente essere modificati in fase di configurazione. Per questo si rimanda al manuale tecnico del Gaia. NAS DISABLE PRIMARY SERVER TMO 3600 Questo comando permette di configurare un intervallo di tempo durante il quale le autenticazioni tramite Radius vengano inoltrate direttamente al Server di Backup senza passare dal Primary nel caso questo sia down. Scaduto tale intervallo di tempo, il NAS torna ad inoltrare le richieste verso il Sever primario. SET USER pippo PASSWORD pippopippo CONFIGURATOR RO SET USER pluto PASSWORD plutopluto CONFIGURATOR RW
Codice: 6sr-mh000150-i Rev.0 HOW TO Radius: Accesso da Telnet e da Console Pagina 9 di 10 Nel caso in cui il server Radius non risponda, l autenticazione può essere effettuata in locale qualora l apparato sia configurato opportunamente. I comandi precedenti consentono di configuare due utenti, pippo e pluto, che possono accedere all apparato con diritti rispettivamente di sola lettura e lettura/scrittura in caso di mancata raggiungibilità dei Server.
Codice: 6sr-mh000150-i Rev.0 HOW TO Radius: Accesso da Telnet e da Console Pagina 10 di 10 5. APPLICAZIONI Il protocollo RADIUS offre un meccanismo per la sicurezza della rete fornendo un sistema di autenticazione centralizzato attraverso l utilizzo di un unico repository per la gestione dei dati. Il RADIUS consente di controllare l accesso all apparato attraverso servizi di Autenticazione: verifica l identità di un utente o di un dispositivo tramite Username e Password. Autorizzazione: definisce un profilo per l utente specificando le operazioni che questo può compiere. Il server Radius distingue su base utente o gruppo di utenti ed assegna a questi i livelli di operatività. La medesima distinzione può essere effettuata in base a gruppi di Device assegnando indirizzi IP, Access List dinamiche ed entry statiche in tabella di Routing. Accounting: realizza una registrazione dell attività degli utenti. I parametri di accesso possono essere inseriti da prompt, oppure nel caso di determinati protocolli (ad esempio il PPP o I802.1x) sono estrapolati direttamente dai pacchetti di autenticazione (PAP /CHAP, EAP-RESPONSE). Per una trattazione più dettagliata del RADIUS con PPP e RADIUS con IEEE802.1x si rimanda ai realativi How To. Fine del documento