In diesem Artikel beschreibe ich die Konfiguration der RADIUS Authentifizierung im Alcatel-Lucent Enterprise OmniVista 8770 Network Management System.
Zu diesem Zweck habe ich zwei Systeme vorbereitet:
- Windows AD/NPS als RADIUS Server
- Windows PC für die Alcatel-Lucent Enterprise OmniVista 8770 Server Installation
OmniVista 8770 Network Management System
Es müssen folgende Konfigurationen im OV8770 vorgenommen werden:
- Authentication Server definieren
- Password Policy anpassen
- Authentifizierungsmodus umstellen
- Im OV Benutzer anlegen (Berechtigung)
Lizenz im OmniVista 8770
Im OmniVista 8770 muss die Security Lizenz vorhanden sein. Prüfen kannst du dies unter Help -> About
Authentication Server definieren
In der gleichnamigen Applikation unter Setup -> Security legen wir den Authentication Server an.
Rechtklick auf nmc -> Create -> Authentication server
Als Name tragen wir AD-Server ein.
In das Feld IP address tragen wir die IP-Adresse des Radius bzw. Authentication Servers ein.
Für den Shared Secret überlegen wir uns ein wirklich sicheres Passwort und tragen dieses in beide Felder ein. Zum Beispiel 12345678 🙂
Die restlichen Werte können wir auf default stehen lassen und drücken den grünen Haken.
Zu Redundanzzwecken könnte auch auf gleichem Weg ein zweiter Authentication Server hinzugefügt werden.
Password Policy anpassen
Unter Security muss noch die Password Policy angepasst werden.
Wir deaktivieren hier alle Checkboxen, auch das Aging der Passwörter muss deaktiviert werden.
Authentifizierungsmodus umstellen
Unter Setup -> Administration -> nmc -> OmniVista 8770 stellen wir den Authentication mode auf External authentication with local fallback.
So würde nach einem Timeout der Verbindung zwischen OV8770 und Authentication Server die lokale Benutzeranmeldung greifen und ein Zugriff wäre möglich. Bei External authentication only müsste man bei einem Wegfall des Authentication Servers, über den ALE Support den Zugriff wieder freischalten lassen.
Benutzer im OV8770 anlegen
Unter Security -> Administration legen wir einen neuen Benutzer an.
Wichtig ist, dass die User id dem Domänen-Login entspricht (Case sensitive). Das definierte Passwort ist temporär, da wir uns ja mit dem AD Zugang anmelden wollen und dieses durch das AD Passwort ersetzt wird, sobald man sich das erste mal erfolgreich darüber anmeldet.
Der Benutzer muss dann noch für die entsprechende Berechtigungsfreigabe den benötigten Gruppen im OV8770 zugewiesen. In meinem Fall der Gruppe Administratoren.
Wenn wir uns nun am OmniVista 8770 mit dem Benutzernamen dgawin und dem im OV definierten Passwort anmelden wollen, erhalten wir Zugang zum Server. Da auf dem externen Authentifizierungsserver ja noch kein Radius-Server eingerichtet ist, greift der Timeout und wir können uns lokal am OV8770 anmelden.
Konfiguration des Radius-Server (NPS)
In meinem Testaufbau richten wir den Netzwerkrichtlinienserver auf einem Windows Server 2012 R2 ein. Folgende Konfigurationsschritte müssen auf dem Windows NPS Server vorgenommen werden:
- OV8770 als Radius-Client hinzufügen
- Netzwerkrichtlinie hinzufügen
- Benutzer im AD anlegen
Radius Client anlegen
Zuerst definieren wir den RADIUS-Client (OmniVista 8770) damit dieser berechtigt ist Anfragen an den Radius-Server zu stellen.
Radius-Client -> Neu
Als Gemeinsamen geheimen Schlüssel tragen wir hier den gleichen Wert wie den Shared Secret aus der OV8770 Definition des Authentication server ein.
Netzwerkrichtlinie hinzufügen
Rechtsklick auf Netzwerkrichtlinien -> Neu
- Als Richtlinienname definiere ich OmniVista8770
- Als Bedingung nehme ich den NAS-Bezeichner OmniVista 8770
- Zugriffsberechtigung: Zugriff gewährt
- Als Authentifizierungsmethode definieren wir Unverschlüsselte Authentifizierung (PAP, SPAP)
- Die weiteren Punkte bis zum Schluss einfach durchklicken, Fertigstellen.
Der OmniVista 8770 kann auch zum Zeitpunkt dieses Artikels nur RADIUS Authentifzierung mittels PAP.
Ein erster Anmeldeversuch im OV8770
Der Login im OmniVista wird nun zumindest mit „Your password was not accepted.“ abgelehnt.
Hinzufügen des AD Benutzers
Ein zweiter Anmeldeversuch am OV8770
Der Login ist erfolgreich und wir erhalten entsprechend der Gruppen Berechtigung Zugang zu OV Applikationen. Im Wireshark sieht es dann wie folgt aus:
Was passiert wenn der Radius nicht verfügbar ist?
Testweise deaktiviere ich den NPS Dienst und versuche mich erneut einzuloggen.
Es klappt! Im Wireshark sehen wir zwar den Versuch des OV8770 sich zu authentifizieren, da der Radius aber nicht antwortet, nimmt er den lokalen fallback und kann so den Zugriff gewähren.
Bei Authentication mode: External authentification only wären wir jetzt ausgesperrt.
Weitere Möglichkeiten
Man könnte die Authentifizierung noch an die Mitgliedschaft einer Benutzergruppe im AD knüpfen.
Dazu einfach die Bedingung der Netzwerkrichtlinie noch um die Gruppen-Mitgliedschaft erweitern. Wobei sich eh nur Benutzer im OV8770 anmelden können, die auch dort lokal eingerichtet sind.
