MAC Authentication Bypass

[fictionk4k4]

Chào mọi người
Em có một số thắc mắc về MAC Authentication Bypass (MAB). Theo em tìm hiểu thì MAB là 1 cái dùng để failover cho 802.1X. 802.1X thực hiện xác thực dựa trên port vì vậy nếu xác thực thất bại thì không thể truy cập vào mạng. Một số trường hợp lại không cần phải xác thực 802.1X như là máy in, ip phone, các máy guest. Trong trường hợp này cần có MAB để giúp chúng có thể truy cập vào mạng. Nhưng nếu vậy thì tất cả các thiết bị tắt 802.1X đều truy cập được vào mạng và như thế sẽ không an toàn. Có cách nào kết hợp 802.1X để cho những thiết bị bật 802.1X xác và xác thực thành công sẽ được truy cập vào mạng với đặc quyền nhất định. Những thiết bị không bật 802.1X nhưng có MAC thuộc trong danh sách cho phep thì sẽ được truy cập mạng với quyền hạn chế hơn ( ví dụ như : nhận đc ip từ DHCP và được phép truy cập internet nhưng không được truy cập mạng nội bộ ). Còn các thiết bị không bật 802.1X và không nằm trog danh sách MAC được phép truy cập mạng thì sẽ bị cấm hoàn toàn( Không được cấp ip, không được truy cập internet cũng như mạng nội bộ )
Em đang triển khai thiết bị Cisco ISE. Nếu ai có kinh nghiệm gì về thiết bị này thì chia sẻ cho e với :D

[dongkhe]

Các thiết bị không hỗ trợ 802.1X như máy in, IP Phone,... bạn có thể dùng MAB, dùng chính địa chỉ MAC làm username và password cho thiết bị. RADIUS server dùng những địa chỉ MAC đó để thực hiện xác thực.

[fictionk4k4]

Cảm ơn anh, anh cho em hỏi thêm là username và password đó ta sẽ tạo trên RADIUS server đúng không, vì theo em tìm hiểu thì các lệnh cấu hình MAB trên Switch không có lệnh tạo USERNAME và PASSWORD.

[dongkhe]

Đúng rồi bạn. Username và Password nằm trên RADIUS server