How to enable web-based authentication on Cisco Catalyst Series Switches

Use the web-based authentication feature, known as web authentication proxy, to authenticate end users on host systems that do not run the IEEE 802.1x supplicant. You can configure web-based authentication on Layer 2 and Layer 3 interfaces.

When you initiate an HTTP session, web-based authentication intercepts ingress HTTP packets from the host and sends an HTML login page to the users. The users enter their credentials, which the web-based authentication feature sends to the authentication, authorization, and accounting (AAA) server for authentication.
If authentication succeeds, web-based authentication sends a Login-Successful HTML page to the host and applies the access policies returned by the AAA server.
If authentication fails, web-based authentication forwards a Login-Fail HTML page to the user, prompting the user to retry the login. If the user exceeds the maximum number of attempts, web-based authentication forwards a Login-Expired HTML page to the host, and the user is placed on a watch list for a waiting period.

This example shows how to enable web-based authentication

Switch(config)# ip admission name webauth1 proxy http

Switch(config)# interface fastethernet 5/1

Switch(config-if)# ip admission webauth1

Switch(config-if)# exit

Switch(config)# ip device tracking

This example shows how to verify the configuration:

Switch# show ip admission configuration

Authentication Proxy Banner not configured

Authentication global cache time is 60 minutes

Authentication global absolute time is 0 minutes

Authentication global init state time is 2 minutes

Authentication Proxy Watch-list is disabled

Authentication Proxy Rule Configuration

Auth-proxy name webauth1

http list not specified inactivity-time 60 minutes

Authentication Proxy Auditing is disabled

Max Login attempts per user is 5

New 200/300 Series Switching Maintenance Release V.1.1

วันนี้ผมจะมาอัพเดทถึงตัว Feature ใหม่ๆ บน Switch ในกลุ่มของ SBTG Product หรือ Small Business Technology Group นะครับ ซึ่งทางซิสโก้ได้นำ Feature ใหม่หลักๆ มาให้ 2 ฟังก์ชั่น ที่ผมจะแจ้งมาตามด้านล่างนี้นะครับ

1. เรื่อง Voice Feature - สวิตซ์สามารถสร้าง Voice VLAN ได้ภายในตัว interface เดียวกันกับ Data vlan ผ่านทางโปรโตคอล CDP (Cisco Discovery Protocol) สามารถทำผ่านทาง smartport บนตัว CCA software (Cisco Configuration Assistance – ดาวน์โหลดได้ฟรี) ได้เลยครับ หรือบนตัว GUI ที่ Embedded มากับตัวสวิตซ์เลยก็ได้ครับ ตัว Feature นี้จะมีอยู่ทั้ง Cisco 200 (SLM Switch) และ Cisco 300 (SRW Swtich) นะครับ
2. เรื่องของ CLI (Cisco Textview) – หลายๆ ท่านที่เคย configure สวิตซ์ Cisco Classic ในตระกูล Catalyst switch แล้วใช้ command line ในการทำคำสั่งให้กับสวิตซ์มา คงรอ Feature นี้อยู่นะครับ ส่วนตัวผมมองว่า CLI (Command Line Interface) ช่วยให้เราเก็บรายละเอียด configure ได้ทั่วถึงกว่า ถ้าเป็น GUI (Graphic User Interface) อาจจะมีบางแง่มุมที่เราลืมเช็คได้ง่ายๆ

การทำ configuration template สำหรับ CLI ก็ง่ายกว่า แค่ text file เล็กๆ ไฟล์เดียว คนที่พอจะมีความรู้ความเข้าใจอยู่บ้าง ดู template แป๊บเดียวก็จะเก็บรายละเอียดเกือบจะทั้งหมดได้ในทันทีครับ และนี่คือประโยชน์ของการ Configure อุปกรณ์สวิตซ์บน Command Line ครับ ซึ่ง Cisco 300 Series (SRW Switch) ได้ให้มาในตัว firmware release 1.1 ใหม่แล้ว (ใครที่ใช้ release 1.0 อยู่สามารถ download release 1.1 มา upgrade firmware ให้กับ Switch ได้ครับ) และคำสั่งก็คล้ายๆ กับบนตัว Cisco Classic มากครับ ทำให้เราไม่ค่อยงงกับคำสั่ง ยกตัวอย่างเช่น show run ก็ไว้สำหรับดูรายละเอียดของ configuration ทั้งหมด เป็นต้นครับ

Enabling NetFlow on a Catalyst 6500

บทความนี้จะพูดถึง netflow ซึ่งเป็น protocol propietary ของ Cisco นะครับ ซึ่งก็คือ Cisco เป็น vendor เดียวที่พัฒนาโปรโตคอลนี้ขึ้นมาและนำมาใช้ในลักษณะการบริหารจัดการเครือข่ายผ่านอุปกรณ์ที่รองรับได้

เมื่อเราเปิดพอร์ตหรือ VLAN ให้เริ่มฟังก์ชั่นการทำงานของ Netflow ขึ้นบนอุปกรณ์ สิ่งที่เกิดขึ้นก็คือ พอร์ต หรือ VLAN นั้นๆ จะทำการพ่นข้อมูลตามตัวอย่างด้านล่างออกมาครับ

• IP source address
• IP destination address
• Source port
• Destination port
• Layer 3 protocol type
• Type of service
• Router or switch interface

ปัจจุบัน Netflow ได้ออก version มาหลายๆ version ได้แก่ V.1, 5, 7 (บน Cat6500) และ 9 ตามลำดับ ปกติแล้วทั่วๆ ไป admin มักจะเปิดการทำงาน version 5 ส่วน vesion 9 ก็จะเหมือน version 5 เกือบทุกอย่างครับ ยกเว้นสิ่งที่มันเพิ่มขึ้นมาก็คือ มันจะบอก Source และ Destination MAC Addresses ด้วยครับ

โดยปกติแล้ว Netflow สามารถ enable ได้บนเราเตอร์เกือบทุก Series ของ Cisco แต่บนสวิตซ์จะสามารถใช้งานได้บาง Series เท่านั้นนะครับ อย่างเช่นตระกูลของ Catalyst 4500+Sup V, Catalyst 4500+Sup IV+Netflow daughter card และ Catalyst 6500 Series เท่านั้นครับ

เอาหละครับ คราวนี้ก็เป็นตัวอย่างของการเปิด Netflow บน ios ของ Catalyst 6500 Series นะครับ ผมเชื่อว่าหลายๆ มหาวิทยาลัยก็ใช้งานกันอยู่เหมือนกัน เพราะ Netflow มันมีประโยชน์มากจริงๆ โดยเฉพาะหากเรามี Netflow Collector Software อยู่แล้วด้วย เช่น CS-MARS, Netflow Analyzer ของ Manage Engine เป็นต้น

IOS(config)# mls netflow
IOS(config)# mls flow ip interface-full
IOS(config)# mls flow ipv6 interface-full
IOS(config)# mls nde sender version 7
IOS(config)# ip flow-export source vlan 1
IOS(config)# ip flow-export destination 10.10.10.100 200

วิธีตรวจสอบบน ios นะครับ เราจะใช้คำสั่ง

IOS# sh mls netflow ip

ขอขอบคุณหนังสือ LAN Switching Security 2007 จาก Cisco Press ด้วยครับ :)

ทำไม Management VLAN ที่เป็น VLAN1 ถึงไม่ปลอดภัย?

เมื่อเราซื้อสวิตซ์มาใหม่แกะกล่อง สวิตซ์จะมี VLAN 1 ซึ่งเป็น default vlan ที่มาจากโรงงาน และทุกพอร์ตก็จะเป็นสมาชิกของ vlan1 ไปโดยปริยาย กรณีนี้ยังเหมารวมไปถึง unmanage switch ด้วยนะครับ

ที่ผ่านมาผมจะเจอลูกค้า ส่วนใหญ่มักจะเอา VLAN 1 เป็น Management VLAN ซึ่งส่งผลทำให้ เมื่อมีใครสักคน อาจจะเป็น attacker นำสวิตซ์ตัวใหม่มาเสียบเข้ากับสวิตซ์ที่มีอยู่เดิมในระบบ และทำเป็น trunk port เชื่อมต่อเข้าหากัน พอร์ตที่เหลือทั้งหมดบนสวิตซ์ตัวใหม่ของ attacker ก็จะอยู่ใน vlan1 ทั้งหมด อีกทั้งยังสามารถติดต่อ vlan อื่นๆ ผ่าน trunk line ไปได้ พอจะนึกออกแล้วใช่มั้ยครับว่า จะเกิดอะไรขึ้นตามมา ผลที่ตามมาก็คือ เป็นช่องโหว่ให้ Attacker เหล่านี้เข้ามาในระบบเราได้ง่าย สามารถเข้าถึงอุปกรณ์ของเราได้โดยตรง และสามารถสร้างความเสียหายแก่ระบบเครือข่ายตามมาได้ โดยเฉพาะ Layer2 attack เช่น
1. CAM table overflow attack จะทำให้ MAC Address Table ภายในสวิตซ์เต็ม และทำให้สวิตซ์หยุดชะงักในการทำงานได้
2. Rogue DHCP server เป็นการทำให้มี unauthorized IP เกิดขึ้นสู่ network ของเราได้
3. ARP attack ทำตัวเป็น MAN-In-the middle โดยจะเข้าไปบอกว่า IP ของผู้ใช้งานในระบบของเรา เป็น MAC Address ของ Attacker ดังนั้น Attacker ก็จะได้รับข้อมูลของผู้ใช้งานภายในไปด้วย
4.Spoofing Attack เป็นการกระทำของ Attacker พยายามหลอกระบบว่าตัวเองเป็น IP ที่อยู่ในระบบของเราด้วย

Note. วิธีแก้ไขแบบเบื้องต้นสุดๆ เลยก็คือ Management VLAN เราจะต้อง create ขึ้นมาใหม่ ซึ่งเราต้องย้ายอุปกรณ์สวิตซ์จาก vlan 1 เข้ามาอยู่ใน vlan วงนี้ และเปลี่ยน default-gateway ไปชี้ที่ interface vlan ที่เราสร้างขึ้นมาใหม่เช่นเดียวกันนะครับ ทำแบบนี้ก็เพื่อความปลอดภัยในการบริหารจัดการอุปกรณ์เครือข่ายของเรา แต่ก็ยังไม่ 100% ผมจึงขออนุญาตเสนอเพิ่มเติมโดยใช้ Access List ในการ filter อีกชั้นนึง ลองดูตัวอย่างที่ผมยกมาให้สัก 2 ตัวอย่างนะครับ

1.vty ACLs
switch(config)#access-list 10 permit host 192.168.1.77
switch(config)#line vty 0 4
switch(config-line)#access-class 10 in

ตามตัวอย่างด้านบนนี้เป็นการระบุให้เพียงไอพี 192.168.1.77 เท่านั้นที่สามารถ telnet เข้ามาที่ switch ได้

2.Restricting Web Interface Sessions with ACLs
switch(config)#access-list 10 permit host 192.168.1.77
switch(config)#ip http server
switch(config)#ip http access-class 10

ตามตัวอย่างที่ 2 เป็นการอนุญาตให้เพียงไอพี 192.168.1.77 เท่านั้น ที่สามารถ http เข้ามาบริหารจัดการสวิตซ์ได้

หวังว่าคงได้ไอเดียในการจัดการบริหารอุปกรณ์เครือข่ายของเราไม่มากก็น้อยนะครับ ผิดพลาดตรงไหนยังไง รบกวนแนะนำกลับมาได้เลยครับ ...

ส่วนวิธีใช้คำสั่งต่างๆ ในการแก้ไข Layer 2 attack จะมาเล่าเพิ่มเติมในครั้งต่อไปนะครับ