Emprium in 802.1x Netzwerkumgebung

[hkraack]

Langsam, aber sicher, wird unser ganzes Office auf Radius Authentifizierung nach 802.1x umgestellt.
Bis jetzt habe ich es noch nicht geschafft, über dies Netz Rechner mit einem neuen OS zu betanken.
Ist das eigentlich generell möglich, der PXE-Disc einen Usernamen und Passwort zur 802.1x Authentifizierung mit zu geben?
Wie macht man das?

[Olaf Meuther]

Der Empirumserver befindet sich auch netztechnisch in dieser Umgebung?

Sind im Netzwerk alle benötigten Einstellungen gesetzt?

• DHCP Server ist erreichbar

• ip-directed broadcast (Switche)

• ip-helper adressen (Switche)

Einstellungen setzen, falls sie nicht gesetzt wurden

Sind die Dienste auf dem Empirumserver richtig?

• PXE-Server

• TFTP-Server

etc.

Dienste neu installieren!

Ich denke mal, dass es grundsätzlich an diesen Einstellung liegt. Den PXE broadcastet seine MAC-Adresse in das Netz und erhält dann von einem DHCP-Service eine IP-Adresse und ggf. auch weitere Informationen, an welchen Installationsserver er sich wenden soll um das Boot-Image zu ziehen. Es ist alles ganz rudimentär an dieser Stelle.
Eine Authentifizierung kann hier meines Erachtens nicht der Grund sein!

[hkraack]

Generell, ist aus unserem "Gäste-Netz", in dem jeder Rechner landet, der sich nicht authentifiziert, jeglicher Zugriff auf interne Systeme gesperrt.
Das heißt auch, daß der Empirum-Server nicht erreichbar ist.
Daher meine ich ja, daß ein Client sich während des PXE-Boots irgendwie authentifizieren muß.
Unsere Switche die wir einsetzen, sind von Cisco, falls das weitherhilft.
Diese authentifizieren dann auch die Clients gegenüber dem Radius Server

[Olaf Meuther]

Dann müsst ihr entweder einen separaten Empirumserver in das Gäste-Netz stellen oder den Empirumserver mit einem Beinchens ins "normale" und mt einem anderen Beinchen ins "Gäste"-Netz stellen.

[Hendrik_Ambrosius]

Dafür gibt es bei Cisco ein Feature namens MAC Authentication Bypass (MAB).
Damit kann man erreichen dass ein Client doch PXE-Boot machen darf wenn die MAC Adresse entsprechend eingetragen wird.
Sonst ist in der Tat kein PXE möglich.

[hkraack]

Danke für die Antworten.
Da unser Tisch hier, zum PCs aufsetzen aus dem 802.1x ausgenommen ist, geht das Neuinstallieren der Rechner wenigstens hier vor Ort.
Für Rest des Netzes, schauen wir mal, was wir da machen.

[MGrundl]

Da musst Du tief in die Trickkiste greifen.

Einen Trigger auf die Table DHCP_Entries erstellen, der auf das Flag IsActive 1 hört und dann ein Script erstellen, der die Mac Adresse am Radius freischaltet .

lg,
Manfred