Аутентификация в сети предприятия по учетной записи пользователя и компьютера в домене?

Question

[Марат Гатауллин]

Доброго времени суток. Имеем сеть предприятия, в сети развернуты Active Directory ( режим работы домена 2012), Центр сертификации, TMG. Все более-менее хорошо работало, но обнаружилось, что к локальной сети физически могут подключиться компьютеры, которые не имеют отношения к организации. Хочется обезопасить себя и настроить доступ к ресурсам сети только для компьютеров находящихся в домене. В данный момент, подключив компьютер/ноутбук к сети(не зарегистрированный в домене предприятия), и забив учетные данные доменного пользователя, можно получить доступ к файловым хранилища (разграничение по уровню доступа имеются), к серверам баз данных. Каким образом можно запретить доступ к ресурсам сети "левым" компьютерам? Правильно ли я смотрю в сторону EAP-TLS?

Comments

[NRinat]

Разверните 802.1x. Для этого, конечно, сама инфраструктура должна быть готова: поднят pki. Хотя, можно сделать авторизацию по паролям, но это не безопасно.

Answer 1

[Евгений Хлебников]

xgu.ru/wiki/NAC#802.1X
а вообще читайте по теме Network access control и network access protection

сетевики скорее всего более подробно расскажут про настройки оборудования(или хотя бы ткнут носом где копать) - я в проекте настраивал только NAP на windows 2008 =)

Comments

[Марат Гатауллин]

Спасибо, поверхностно рассматривал 802.1X, но не углубился. Попробую копнуть глубже в эту сторону

[Alex Suvoroff]

Divest: я бы предложил ограничиться настройками коммутатора, на запоминание мак адреса подключенного компьютера, блокирование порта при подключении компьютера с отличным маком + отключение открытых портов. Например в коммутаторах Cisco 3750 (как организовано на нашем предприятии) на портах настроена команда port-security
Ну и вариант, который предложил товарищ yellowmew правильный

[Евгений Хлебников]

Александр Лукьянов: я бы предложил вам выделить этот комментарий в отдельный ответ, поскольку мы реализовывали схему ограничения не только "левых" но "больных"(без винапдейта, без антивируса и т.п.) компьютеров.
Я специально уточнил что сетевики подскажут, возможно, более удобный, простой и более близкий к требованиям вариант - будет не очень наглядно, если ваш ответ будет просто комментарием к моему.

[Alex Suvoroff]

yellowmew: сейчас продублирую в ответ

Answer 2

[Alex Suvoroff]

я бы предложил ограничиться настройками коммутатора, на запоминание мак адреса подключенного компьютера, блокирование порта при подключении компьютера с отличным маком + отключение открытых портов.
Например в коммутаторах Cisco 3750 (как организовано на нашем предприятии) на портах настроена команда
port-security
Пример конфигурации порта доступа:

interface GigabitEthernet2/0/3
 description PORT_NAME
 switchport access vlan 20
 switchport mode access
 switchport port-security ! - активация port-security
 switchport port-security mac-address sticky ! - тип мак-адреса
 switchport port-security mac-address sticky 24be.050f.ee8d ! - собственно мак

Чуть больше информации port-security

Ну и вариант, который предложил товарищ yellowmew, смотреть в направлении 802,1х, правильный, это даст более гибкие возможности управления безопасностью

Answer 3

[Марат Гатауллин]

Ну и IPsec собственно. Инфраструктура сети достаточна обширна, 4 филиала в соседних областях. Боюсь, что половина служб может отвалиться