Network Access Control : Aruba ClearPass

Abstract

Opinnäytetyön tavoitteena oli selvittää, voidaanko Aruba ClearPassjärjestelmällä suorittaa Ethernet-verkkoon liitettävien päätelaitteiden VLAN-konfiguraation automatisointi. Selvityksen jälkeen järjestelmä toteutettiin tulostin- ja kiinteistövalvonnan verkkoihin. Kohdeympäristönä on Lahden kaupungin verkko, jota työn toimeksiantaja Lahden Tietotekniikka ylläpitää. Aruba ClearPass on verkkoon pääsyn hallinnassa käytettävä järjestelmä, joka suorittaa päätelaitteiden RADIUS-autentikointia. Järjestelmällä voidaan myös toteuttaa IEEE 802.1X -standardin mukaista porttikohtaista autentikointia. Porttikohtaisen autentikoinnin tavoitteena on estää luvattomien päätelaitteiden liikenne verkon liityntäpisteen kautta. RADIUS on AAA-mallin mukainen tietoliikenneprotokolla, jolla verkkoon pyrkivän päätelaitteen tunnistautumistiedot välitetään autentikointipalvelimelle autentikointia varten. Opinnäytetyön käytännön osuudessa tutkitaan jo kaupungin langattomissa verkoissa käytössä olevaa ClearPass-järjestelmää ja sitä, miten VLANkonfiguraation automatisointi voitaisiin sillä toteuttaa. Toteteutuksessa päädyttiin hyödyntämään IPAM-serverin tietokantaa olemassa olevista laitteista. Tietokannan avulla muodostettiin ClearPassiin palvelu, joka automatisoi verkkoon liitettävien tulostimien, kiinteistönvalvonnan ja vieraiden laitteiden VLAN-konfiguraation. Palvelussa hyödynnettiin IEEE 802.1X porttikohtaista autentikointia ja RADIUS-CoA toiminnon tarjoamaa kytkinportin VLANin muuttamista. Testiympäristössä järjestelmä saatiin toimimaan sunnitellulla tavalla. Verkkoon kytketyt laitteet saivat aikaan kytkinportin siirtymisen haluttuun VLANiin ja tuotantoon otettaessa järjestelmä säästäisi merkittävästi järjestelmän ylläpitoon käytettävää aikaa siirrettäessä laitteita tai lisättäessä uusia laitteita verkkoon.

The objective of this thesis was to examine whether the Aruba ClearPass system can be used for the automatization of VLAN configuration in network interfaces. The system was implemented into printer, guest and property monitoring networks. The network environment used in the implementation is the City of Lahti’s network. The network is managed by Lahden Tietotekniikka, which commissioned this thesis. Aruba ClearPass is a Network Access Control solution which provides RADIUS authentication to appliances. It is also used for IEEE 802.1X portbased authentication. The purpose of port-based authentication is to prevent unauthorized access to a network. RADIUS is a networking protocol providing AAA model authorization, authentication and accounting services. It is used for delivering supplicant’s authentication information between the network access device and the authentication server. Before implementing the solution to the network, the Aruba ClearPass system was thoroughly examined to determine whether it is suitable for automatization of VLAN configuration. The ClearPass system was chosen because it is already used in the network for authentication of wireless clients. During the implementation, it was discovered that using the database from the IPAM server, which contains the information of all devices in the network, would be the best solution. The database was used to make a service to the ClearPass system which configures a switch port where the device is connected to the correct VLAN according to the type of the device and its authorization status from the IPAM database. This service also utilized IEEE 802.1X RADIUS CoA property for changing switchport VLAN. While testing the system, it was found to be working as expected. Connecting a device to a switch triggered the correct ClearPass service and the switch port was automatically configured to the correct VLAN. If implemented into production, this solution would save a considerable amount of time from the IT management when new devices are introduced to the network or old devices are moved around.