Beiträge

Fehlerseite bei zufälligen MAC-Adressen mit ClearPass anzeigen

In einem vorherigen Beitrag haben wir die Auswirkung zufälliger MAC-Adressen im Netz (MAC-Address Randomization) beschrieben. In diesem Artikel zeigen wir, wie Nutzern bei zufälligen MAC-Adressen mit ClearPass eine Fehlerseite angezeigt werden kann. Dabei werden ein Aruba-WLAN mit Controller und Aruba ClearPass eingesetzt. Bitte beachten Sie, dass zufällige MAC-Adressen durchaus sinnvoll sind und in vielen Fällen nicht verboten werden müssen. Ein Beispiel, bei dem es nötig ist, zufällige MAC-Adressen zu verbieten, sind Abfragen von ClearPass bei MDM-Systemen.

Erkennen von zufälligen MAC-Adressen

Auch wenn das zunächst verwunderlich klingt, folgen zufällige MAC-Adressen einem gewissen Schema. Sie haben an der zweiten Stelle die Ziffer 2 oder 6, oder den Buchstaben A oder E. Damit ist es möglich, eine zufällige MAC-Adresse eindeutig zu erkennen. Auf dieser Grundlage können wir das ClearPass Role Mapping nutzen, um einen Benutzer mit zufälliger MAC Adresse zu kennzeichnen. Die folgende Abbildung zeigt den ClearPass Regeleditor und eine Regel, die hierzu einen regulären Ausdruck einsetzt.

Alle Geräte, die sich jetzt mit einer zufälligen MAC-Adresse anmelden, bekommen die Rolle ING_Random_MAC zugewiesen. Das ist die erste Voraussetzung dafür, dass wir eine Fehlerseite anzeigen können.

Fehlerseite im ClearPass konfigurieren

Als Nächstes müssen Sie eine Fehlerseite im ClearPass anlegen. Dazu kann im Gast-Modul von ClearPass eine bereits existierende Seite kopiert und angepasst werden.

Hier ist ein Beispiel wie die Fehlerseite aussehen kann:

Passende Rolle im Controller anlegen

Damit Benutzer auf die Fehlerseite umgeleitet werden, müssen Sie im Controller eine neue Rolle anlegen. Als Policies müssen hier logon-control und captiveportal hinzugefügt werden.

Unter Captive Portal müssen die URL des ClearPass Servers und die entsprechende Fehlerseite angegeben werden. Auch ein Authentifizierung-Server muss angegeben werden. Da hier keine Anmeldung stattfindet, kann der interne Server angegeben werden.

Ein Benutzer, der die Rolle ing-random-mac zugewiesen bekommt, darf per DHCP eine IP-Adresse bekommen, DNS Anfragen stellen und wird beim Aufruf einer http Seite auf die entsprechende Fehlerseite umgeleitet.

ClearPass Enforcement Profile und Enforcement Policies anlegen

Damit Clearpass einem User die Rolle ing-random-mac zuweist, müssen Sie zunächst ein Enforcement Profile dafür anlegen:

Diese Rolle kann dann in einer Policy zugewiesen werden:

Damit können Sie einem User mit ClearPass eine Fehlerseite anzeigen, falls diese versuchen, sich mit zufälligen MAC-Adressen im WLAN anzumelden.

Role Based Access Control mit Aruba WLAN

Role Based Access Control (RBAC) ist tief in Aruba WLAN integriert. Es ist nicht möglich, ein Aruba WLAN ohne RBAC zu nutzen. Jede SSID hat eine default Rolle, die ein Benutzer zugewiesen bekommt, sobald er sich verbindet.

Rollen im Aruba WLAN

Eine Rolle im Aruba WLAN kann mehrere Eigenschaften enthalten. Dazu gehören:

  • Firewall Regeln
  • VLAN Zuweisung
  • Bandbreitenbeschränkungen
  • Einstellungen zu Captive Portals

Durch die in einem Aruba WLAN Controller integrierte Firewall können hiermit unterschiedliche Beschränkungen für Benutzer im gleichen WLAN durchgesetzt werden. Das ist möglich, da die Firewall in den Traffic eingreift, bevor er die WLAN Infrastruktur verlässt. Die Filterung findet damit direkt am Netzzugangspunkt statt.

Konfiguration von Access Control Rollen im Aruba Controller

Rollen werden auf dem Aruba Controller unter Configuration -> Roles & Policies -> Roles angelegt.

Controller Einstellungen Role Based Access Control mit Aruba WLAN

Mit einem Klick auf das blaue “Plus” können Sie  eine neue Rolle hinzugefügen. Dabei sollten Sie einen “sprechenden” Name wählen:

Rolleneinstellungen Role Based Access Control mit Aruba WLAN

Danach kann Sie die neuangelegte Rolle aus der Liste der Rollen ausgewählen, um sich weitere Details anzeigen zu lassen. Dabei ist es wichtig, den sogenannten Advanced View zu nutzen.

Rolleneinstellungen Role Based Access Control mit Aruba WLAN

Nur so werden alle Details zu den Rollen angezeigt.

Rolleneinstellungen

Hier können Sie zum Beispiel Firewall Regeln oder Bandbreitenlimitierungen konfigurieren. Damit können Sie Zugangsbeschränkungen für die WLAN Benutzer granular definieren. Eine Unterscheidung von Usern im selben VLAN ist ebenfalls möglich.

Zuweisen von Rollen

Rollen können auf verschiedene Weise zugewiesen werden. Zunächst besteht die Möglichkeit, die Rollen von einem RADIUS Server mittels eines RADIUS Attributes zuzuweisen. Das ist insbesondere in Verbindung mit Aruba ClearPass verbreitet.

Eine weitere Möglichkeit ist die Verwendung von Server Rules. Diese werden häufig in Verbindung mit LDAP Servern genutzt und können anhand verschiedener Rückgabewerte des LDAP Servers Rollen zuweisen. So können Sie zum Beispiel das Attribut memberOf nutzen um Rollen zuzuweisen.

Server Regeleinstellungen Role Based Access Control mit Aruba WLAN