Mit Aruba Clearpass können unterschiedliche Methoden der Portabsicherung für Switches realisiert werden. Die empfehlenswerteste Variante unter einem sicherheitstechnischen Blickpunkt ist die Authentifizierung gegen den Switchport mittels EAP-TLS und Zertifikaten. Bei dieser Methode können die Anmeldeparameter in der Regel weder exportiert noch gefälscht werden. Das Problem mit EAP-TLS und anderen EAP-Methoden ist, dass auf allen Geräten im Netzwerk der Netzwerkadapter entsprechend konfiguriert werden muss. In der Praxis gibt es allerdings eine Vielzahl an Geräten, welche jegliche Form von EAP-Methoden nicht unterstützen. Diesen Geräten muss in der Regel trotzdem ein Zugang zum Netzwerk gewährt werden. Für kabelgebundene Netzwerke, existiert in der Regel die Möglichkeit, eine MAC-Authentication einzurichten. Dabei authentifiziert der Switch das am Port angeschlossenen Gerät mit der MAC-Adresse. Der Nachteil bei dieser Methode ist die kaum vorhandene Fälschungssicherheit. Bei vielen Geräten steht die MAC-Adresse auf Etiketten auf dem Gerät. Diese kann von potenziellen Angreifern abgelesen und somit zur Authentifizierung gegen das Netzwerk kopiert werden. Empfehlenswert ist eine MAC-Authentifizierung nur als Fallback-Authentifizierungs-Methode in einem Netzwerk. Der Vorteil jedoch ist, dass bei der MAC-Authentifizierung der Client nicht gesondert konfiguriert werden muss. Die Authentifizierung wird vom Switch gegen einen Radius-Server wie Aruba Clearpass ausgeführt. Ein entsprechender Switch verwendete bei der Authentifizierung die MAC-Adresse eines am Port angeschlossenen Clients als Username und Passwort.
Während ein Client für MAC-Authentifizierung nicht gesondert konfiguriert werden muss, muss der Radius-Server über eine Liste von MAC-Adressen verfügen, für die eine MAC-Authentifizierung zulässig ist. Mit Aruba Clearpass haben wir unterschiedliche Herangehensweisen, um das Bekanntmachen einer MAC-Adresse zu erleichtern.
Aruba Clearpass sammelt alle MAC-Adressen in der Endpoint-Datenbank. Immer wenn eine Radius- oder TACACS-Anfrage an Clearpass gestellt wird, erzeugt Aruba Clearpass einen entsprechenden Endpoint-Eintrag des Clients in seiner Datenbank. Diese können dann für eine MAC-Authentication verwendet werden, wenn ein entsprechender Service konfiguriert ist.
Die herkömmliche Methode die _Endpoint_ Datenbank zu füllen, ist alle MAC-Adressen einzeln oder mittels einer Datei hinzuzufügen. Dazu können wir in Clearpass in der _Endpoint_-Datenbank entweder _Add_ zum einzelnen Hinzufügen oder _Import_ zum Dateiupload anklicken. Um eine Datei im Clearpass hochzuladen, exportiert man am besten die bestehende Datenbank. Die dadurch heruntergeladene Datei beinhaltet die entsprechende Syntax.
Für größere Umgebungen mit vielen Clients skaliert dieser Ansatz allerdings nur schlecht. Deshalb gibt es weitere Methoden, um die _Endpoint_-Datenbank automatisch zu befüllen. Eine Methode, um dies zu tun, ist einen Service für MAC-Authentication einzurichten, welcher alle Clients ungeachtet jeglicher Details in das Netzwerk lässt. Danach können alle Switchports im Netzwerk mit MAC-Authentifizierung abgesichert werden und die Datenbank füllt sich. Sind alle Geräte angelernt, wird der Service umgestellt, sodass nur noch _Endpoint_-Einträge mit dem _Known_-Flag per MAC-Authentifizierung ins Netzwerk gelassen werden. Da es sich hierbei um nicht allzu viele Geräte handeln sollte, ist entweder ein händisches Setzen des Flags gefordert oder die Einrichtung eines MAC-Learning Ports. Hierbei wird ein einzelner oder einige wenige Switchports definiert, welche angeschlossene Clients automatisch mit dem _Known_-Flag versehen und somit für die MAC-Authentifizierung zulassen. Sollen also neue Geräte für die MAC-Authentifizierung eingerichtet werden, müssen diese nur einmal an den entsprechenden Port angeschlossen werden. Dieser sollte sich in einem Bereich befinden, in dem er nur für IT-Mitarbeiter mit entsprechender Berechtigung zugänglich ist.
Für einen MAC-Learning Port fügen wir zunächst einen neuen Service im Clearpass hinzu. Diese muss vom Typ _MAC Authentication_ sein. Unter _More Options_ wählen wir _Authorization_. Als _Service Rules_ fügen wir zu den automatisch Hinzugefügten noch Folgendes hinzu:
Dadurch stellen wir sicher, dass nur Anfragen des Switches mit der IP-Adresse unter 4. und von dem unter 5. aufgelisteten Port in diesem Service abgearbeitet werden.
Im Reiter _Authentication_ wählen wir als Methode _[Allow All MAC AUTH]_ und als _Authentication Source_ die _Endpoint_-Datenbank. Die Methode _[Allow All MAC AUTH]_ unterscheidet sich von der Methode _[MAC AUTH]_ nur hinsichtlich der Tatsache, dass bei Verwendung von _[MAC AUTH]_ das _Known_-Flag gesetzt sein muss. Die Reiter _Authorization_ und _Roles_ können wir überspringen. Unter _Enforcement_ fügen wir eine neue _Policy_ hinzu. Das können wir über die Schaltfläche _Add New Enforcement Policy_.
In der _Policy_ wählen wir Typ _RADIUS_ und als Default Profile das _[Deny Access Profile]_. Unter Rules konfigurieren wir eine Regel entsprechend der folgenden Abbildung:
Diese Regel wird immer erfüllt und lässt zum einen den Client ins Netzwerk und zum anderen wird das _Known_-Flag gesetzt. Außerdem können wir dem Port hier auch ein entsprechendes VLAN zuweisen, damit ein neuer Client eingerichtet werden kann. Tun wir dies nicht, greift das auf dem Port konfigurierte VLAN. Im Anschluss können wir die Regel sowie die Policy und den Service speichern. Vergesst nicht, den Service mittels _Reorder_ an die richtige Stelle in euerer Service-Liste zu rücken. Da der Service nur für den entsprechenden Port ausgeführt wird, kann er ruhig etwas höher in der Liste stehen.