cela dépend vraiment de comment tu configures ton réseau avec packet fence.
Je suis en train de l'installer, et je répond à ton poste car malgré toute les recherches faites sur le web, je n'ai trouvé nul part d'explication simple pour ceux qui ne sont pas familiers avec les NAC.
Voici donc une explication basique:
-ton poste démarre
-le lien Ethernet sur le switch passe en status "up"
-le switch envoie l'info à PF (Packet Fence): il fait cela via SNMP (en tout cas dans cet exemple)
-PF demande au switch de passer ce port dans un VLAN Mac Detection
-le switch trouve l'adresse MAC de ton poste et l'envoie à PF
-PF regarde dans sa base, et ne trouve pas ton poste, et donc demande de passer le port dans un VLAN registration
-le switch passe le port de ton poste dans ce VLAN
-PF est présent dans ce VLAN, et fait serveur DNS. Il redirige tes requêtes sur portail captif, via lequel tu peux te loguer (via LDAP, AD...). Ton poste est maintenant enregistré
-en fonction de la configuration de PF (role associé à login + poste enregistré), PF te passe dans un VLAN de production, adéquate: par exemple, un VLAN guest qui n'a qu'un accès à internet, et à aucun serveur interne, ou un VLAN admin, qui te permet d'atteindre certaines interfaces autrement inaccessibles.
Note: Selon la configuration utilisée (802.1x ou SNMP, type de trappes SNMP supportée etc...), ce que j'ai décrit peut varier.
Quand tu te reconnectes, ton poste est reconnu, et si sa sessions est toujours ok, il est remis dans le VLAN adéquat directement (en imaginant que tu ai changé de port sur le switch, ou bien que le port ai été éteint et rallumé)
Pour répondre à ta question: si PF est en panne, il ne se passe rien au niveau du switch (il envoie ses infos sur le changement d'état, il ne reçoit rien de PF comme commande à effectuer).
Donc si tu étais sur un VLAN et que PF tombe en panne, tu restes 'bloqué' sur ce VLAN.
Ce n'est pas si gênant, car tu t'authentifie en général 1 fois (pour une durée configurable, voire 1 fois pour toute). Donc tant que ton équipement reste connecté, il garde ses accès réseau.
Voilà grosso modo comment ça se passe.
Il doit bien y avoir des nuances que je n'ai pas saisi, et des questions se posent d'elles mêmes: quid tu MAC spoofing dans notre cas ? Et dans le cas d'utilisation du 802.1x ?
en tout cas j'espère que cela a éclairé un peu les novices :)
[^] # Re: Retour d'expérience
Posté par Alex M1N05 (site web personnel) . En réponse à la dépêche PacketFence v4.2 maintenant disponible. Évalué à 0.
Salut,
cela dépend vraiment de comment tu configures ton réseau avec packet fence.
Je suis en train de l'installer, et je répond à ton poste car malgré toute les recherches faites sur le web, je n'ai trouvé nul part d'explication simple pour ceux qui ne sont pas familiers avec les NAC.
Voici donc une explication basique:
-ton poste démarre
-le lien Ethernet sur le switch passe en status "up"
-le switch envoie l'info à PF (Packet Fence): il fait cela via SNMP (en tout cas dans cet exemple)
-PF demande au switch de passer ce port dans un VLAN Mac Detection
-le switch trouve l'adresse MAC de ton poste et l'envoie à PF
-PF regarde dans sa base, et ne trouve pas ton poste, et donc demande de passer le port dans un VLAN registration
-le switch passe le port de ton poste dans ce VLAN
-PF est présent dans ce VLAN, et fait serveur DNS. Il redirige tes requêtes sur portail captif, via lequel tu peux te loguer (via LDAP, AD...). Ton poste est maintenant enregistré
-en fonction de la configuration de PF (role associé à login + poste enregistré), PF te passe dans un VLAN de production, adéquate: par exemple, un VLAN guest qui n'a qu'un accès à internet, et à aucun serveur interne, ou un VLAN admin, qui te permet d'atteindre certaines interfaces autrement inaccessibles.
Note: Selon la configuration utilisée (802.1x ou SNMP, type de trappes SNMP supportée etc...), ce que j'ai décrit peut varier.
Quand tu te reconnectes, ton poste est reconnu, et si sa sessions est toujours ok, il est remis dans le VLAN adéquat directement (en imaginant que tu ai changé de port sur le switch, ou bien que le port ai été éteint et rallumé)
Pour répondre à ta question: si PF est en panne, il ne se passe rien au niveau du switch (il envoie ses infos sur le changement d'état, il ne reçoit rien de PF comme commande à effectuer).
Donc si tu étais sur un VLAN et que PF tombe en panne, tu restes 'bloqué' sur ce VLAN.
Ce n'est pas si gênant, car tu t'authentifie en général 1 fois (pour une durée configurable, voire 1 fois pour toute). Donc tant que ton équipement reste connecté, il garde ses accès réseau.
Voilà grosso modo comment ça se passe.
Il doit bien y avoir des nuances que je n'ai pas saisi, et des questions se posent d'elles mêmes: quid tu MAC spoofing dans notre cas ? Et dans le cas d'utilisation du 802.1x ?
en tout cas j'espère que cela a éclairé un peu les novices :)