どっといちえくーす https://dot1x.blog.shinobi.jp/ 認証ネットワークについて、SWITCHをベースにφ（．．）メモメモ．．．。 Fri, 13 Apr 2007 04:23:48 GMT ja © Ninja Tools Inc. windowsログオン前に802.1X？ http://www.soliton.co.jp/products/netattest_eps/supplicant/index.html

Soliton 1XGate（ワンエックスゲート）という802.1Xクライアントを使うと
Windowsログオンの前に802.1X認証ができるらしい。

windows標準の802.1xクライアントと何処が違うのか
評価版を落として今度試してみます。
]]> dot1x https://dot1x.blog.shinobi.jp/dot1x/windows%E3%83%AD%E3%82%B0%E3%82%AA%E3%83%B3%E5%89%8D%E3%81%AB802.1x%EF%BC%9F Fri, 13 Apr 2007 04:23:48 GMT dot1x.blog.shinobi.jp://entry/6 peapのキャッシュ（XP）
本日ワークグループ環境のXPにて認証方式はPEAPの802.1X認証を行う。
ドメインに参加している場合PEAPではログオン時のUserID、Password、Domain名を
802.1X認証時に自動的に送信してくれる便利な機能があるが今回は使えない。
初回ログオン時に資格情報入力画面が表示されUserID、Passwordを手動入力
→よっしゃ成功ー（いつも一発では成功せず切り分けが始る・・）。

じゃあ認証時の所属VLANでも変更しますかとRADIUSサーバの
RADIUSアトリビュート変更。（Tunnel-Private-Group-Id属性）

もう1回PCにケーブル接続・・・・・・・。
んー資格情報入力画面が出ないっ！！んんー？

サーバやSWで確認すると既に認証成功してました。
調べたところXPでは初回入力した資格情報（UserID、Password）を
キャッシュして次回以降の認証時に自動的に送信してくれるんですね。
ナイスシームレス、入力ミスが無くて助かるよー。

でもちょっと待て違うUserIDで802.1X認証を行いたい場合は？
運用時はそういう場面は少ないと思うが、今は検証中、
毎回資格情報入力画面を出したいのですが・・・。

今回とった方法
→ユーザ変更毎にレジストリエディタからキャッシュをクリアする・・・。
PATH：￥HKEY_CURRENT_USER￥Software￥Microsoft￥EAPOL￥UserEapInfoを削除
あぅーめんどくさい。






]]> dot1x https://dot1x.blog.shinobi.jp/dot1x/peap%E3%81%AE%E3%82%AD%E3%83%A3%E3%83%83%E3%82%B7%E3%83%A5%EF%BC%88xp%EF%BC%89 Thu, 15 Mar 2007 10:08:14 GMT dot1x.blog.shinobi.jp://entry/5 Windowsサプリカントのログオフ時の挙動 ではセキュリティ上好ましくない為着信装置で認証済みサプリカントの
離脱を速やかに検知しSTATEをクリアする必要があります。

例えば着信装置に直接接続されていれば、LinkDownを契機にStateをクリアや
再認証パケットをスイッチから送信し、決まった回数応答が無ければStateをクリアや
ARPテーブルから認証済みサプリカントのMACが消えればStateをクリア等
方法は色々ありますが、

サプリカントがログオフする時着信装置に離脱を教えてくれれば

着信装置（SW）では離脱の検知方法を考えず、
EAPOL-STARTを待てば良いだけになります。

XPでは
WinXPではログオフ時EAPOL-STARTを送信しますが、
着信装置（SW）からのEAP-request/Idを無視してしまいます。
その為着信装置（SW）ではXP端末ログオフ後も離脱を認識できません。

Vistaでは
ログオフ時EAPOL-STARTを送信し、
認証シーケンスを開始します、そして認証失敗させる事により
着信装置側にStateのクリアを促す事が出来ます。
]]> dot1x https://dot1x.blog.shinobi.jp/dot1x/windows%E3%82%B5%E3%83%97%E3%83%AA%E3%82%AB%E3%83%B3%E3%83%88%E3%81%AE%E3%83%AD%E3%82%B0%E3%82%AA%E3%83%95%E6%99%82%E3%81%AE%E6%8C%99%E5%8B%95 Mon, 12 Mar 2007 09:22:57 GMT dot1x.blog.shinobi.jp://entry/4 XPのサプリカントモード変更 サプリカント：Supplicant
IEEE802.1Xに準拠した認証を実現するために
クライアント側で必要なソフトウェア。

 

802.1X限定のクライアントの呼び方だったんですね。
先月あたりの打ち合わせでWEB認証端末の事をサプリカントと
書いた資料を提出しちゃったし。
しったかは良くない。反省。

現在Vista-UltimateとXPprofessionalでNAPしたりして遊んでます。
その中でデフォルトのサプリカントモードがVistaとXPとで違います。

Vistaであればケーブルのリンクと同時にEAPOL-STARTが
送信され認証のシーケンスが開始されます。
XPでは着信装置（このブログではほぼ認証SW）からのEAP-Request/Identityを
受信しないと認証シーケンスは開始されません。
ちなみにSW側でLINKと同時にEAPを送信する仕様があってもHUB等を挟むと無意味なので、大体タイマーでEAP送信間隔が決まってると思います。

そこで端末の動作モードを変更できます。
WindowsXP(SP2)標準サプリカントは


HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\EAPOL\Parameters
\General\Global\SupplicantMode


のレジストリの値を3にする事で端末からEAPOL-STARTを送信できるようになります。

これは覚えられません。φ（．．）メモメモ．．．

]]> dot1x https://dot1x.blog.shinobi.jp/dot1x/xp%E3%81%AE%E3%82%B5%E3%83%97%E3%83%AA%E3%82%AB%E3%83%B3%E3%83%88%E3%83%A2%E3%83%BC%E3%83%89%E5%A4%89%E6%9B%B4 Tue, 06 Mar 2007 05:03:17 GMT dot1x.blog.shinobi.jp://entry/3 認証検疫ネットワーク
検疫はまだまだ先のお話しで、認証がやっとちらほらって話を聞きます。
認証検疫があたりまえというネットワーク環境がくるかどうかは知りませんが、ここで残した事が先の自分１つのツールになれば御の字だと考えています。


まだまだ新入社員の未熟者である為、間違い等ありましたら優しめのご指摘お願い致します。]]> プライベート https://dot1x.blog.shinobi.jp/%E3%83%97%E3%83%A9%E3%82%A4%E3%83%99%E3%83%BC%E3%83%88/%E8%AA%8D%E8%A8%BC%E6%A4%9C%E7%96%AB%E3%83%8D%E3%83%83%E3%83%88%E3%83%AF%E3%83%BC%E3%82%AF Mon, 05 Mar 2007 07:33:02 GMT dot1x.blog.shinobi.jp://entry/2