CẤU HÌNH MÁY CHỦ XÁC THỰC RADIUS CHO CÁC THIẾT BỊ CISCO

12-CẤU HÌNH MÁY CHỦ XÁC THỰC RADIUS CHO CÁC THIẾT BỊ CISCO

I. ỨNG DỤNG CỦA MÁY CHỦ RADIUS

Máy chủ xác thực RADIUS (Remote Authentication Dial-In User Service) là một giao thức mạng chuẩn dòng doanh nghiệp, đóng vai trò như một "người gác cổng" trung tâm. Thay vì lưu trữ tài khoản và mật khẩu rải rác trên từng thiết bị, RADIUS tập trung toàn bộ quá trình AAA (Authentication - Xác thực, Authorization - Phân quyền, Accounting - Ghi nhật ký) về một nơi duy nhất.

Dưới đây là các ứng dụng thực tế và quan trọng nhất của máy chủ RADIUS trong hạ tầng mạng doanh nghiệp:

1. Xác thực bảo mật mạng Wi-Fi Doanh nghiệp (WPA2/WPA3-Enterprise)

Trong môi trường gia đình, chúng ta thường dùng một mật khẩu Wi-Fi chung (Pre-Shared Key). Nếu một nhân viên nghỉ việc, bạn sẽ phải đổi mật khẩu trên toàn bộ thiết bị của công ty — điều này bất khả thi ở quy mô lớn.

Ứng dụng thực tế: Kết nối các thiết bị Wi-Fi (Access Point - AP) về máy chủ RADIUS. Khi nhân viên kết nối Wi-Fi, họ phải nhập đúng Username/Password cá nhân (thường đồng bộ từ Active Directory/LDAP) hoặc sử dụng Chứng chỉ số (Digital Certificate).

Lợi ích: Kiểm soát chi tiết ai được phép vào mạng. Khi một nhân viên nghỉ việc, IT chỉ cần vô hiệu hóa tài khoản của người đó trên hệ thống trung tâm, lập tức quyền truy cập Wi-Fi của họ sẽ bị hủy bỏ mà không ảnh hưởng đến người khác.

2. Quản lý truy cập thiết bị mạng tập trung (Tacacs+ / RADIUS cho Network Devices)

Đối với các doanh nghiệp sở hữu hạ tầng mạng lớn với hàng chục, hàng trăm thiết bị như Switch, Router, Firewall, việc quản lý tài khoản quản trị (admin) cho đội ngũ IT là một thách thức.

Ứng dụng thực tế: Khi một kỹ sư IT muốn SSH hoặc Telnet vào Switch/Firewall để cấu hình, thiết bị mạng đó sẽ gửi yêu cầu xác thực về máy chủ RADIUS.

Lợi ích: * Không cần tạo thủ công tài khoản của từng IT trên từng con Switch.

*Phân quyền dựa trên vai trò (Role-Based Access Control): Kỹ sư cấp cao có quyền cấu hình (Read/Write), kỹ sư học việc chỉ có quyền xem (Read-Only).

Ghi nhật ký (Accounting): Ghi lại chính xác ai, ngày nào, giờ nào đã đăng nhập vào thiết bị nào và thực hiện những lệnh gì.

3. Xác thực người dùng VPN (Remote Access VPN/Site-to-Site)

Khi nhân viên làm việc từ xa (Work from Home) kết nối VPN về trung tâm, hoặc khi thiết lập các kết nối kết liên văn phòng, Firewall đóng vai trò là VPN Gateway nhưng nó cần một nơi để kiểm tra danh tính người dùng.

Ứng dụng thực tế: Firewall sẽ chuyển tiếp (forward) thông tin đăng nhập VPN của người dùng đến máy chủ RADIUS để xác minh.

Tích hợp nâng cao: RADIUS dễ dàng kết hợp với các hệ thống MFA/2FA (Xác thực hai yếu tố) như Cisco Duo, Google Authenticator, Microsoft Authenticator. Khi người dùng bật VPN, RADIUS sẽ kích hoạt yêu cầu OTP hoặc Push Notification về điện thoại của họ.

4. Kiểm soát truy cập mạng tại cổng vật lý (Chuẩn 802.1X Wired)

Không chỉ Wi-Fi, mạng dây (Wired) cũng cần được bảo mật để tránh việc người lạ hoặc hacker cắm cáp LAN trực tiếp vào ổ cắm trên tường trong văn phòng để xâm nhập nội bộ.

Ứng dụng thực tế: Triển khai giao thức IEEE 802.1X trên các Switch layer 2/layer 3 kết hợp với RADIUS. Khi máy tính cắm dây LAN vào Switch, cổng đó sẽ ở trạng thái bị khóa (Blocked) cho đến khi máy tính gửi thông tin xác thực hợp lệ về RADIUS.

Lợi ích: Ngăn chặn tuyệt đối các thiết bị lạ (Rogue Devices) tự ý kết nối vào mạng nội bộ.

5. Phân đoạn mạng động (Dynamic VLAN Assignment)

Đây là một tính năng cực kỳ cao cấp khi kết hợp Switch/Access Point với máy chủ RADIUS.

Ứng dụng thực tế: Thay vì cấu hình cố định cổng số 1 là VLAN Kế toán, cổng số 2 là VLAN Kỹ thuật, hệ thống sẽ nhận diện dựa trên tài khoản đăng nhập.

Cách vận hành: Khi nhân viên phòng Kế toán đăng nhập vào bất kỳ cổng LAN hoặc Wi-Fi nào trong công ty, máy chủ RADIUS sau khi xác thực sẽ trả về lệnh (Attribute) yêu cầu Switch/AP cấu hình động đưa thiết bị đó vào đúng VLAN 10 (Kế toán). Nếu là nhân viên Kỹ thuật, họ sẽ tự động được đưa vào VLAN 20 (Kỹ thuật).

Các giải pháp máy chủ RADIUS phổ biến hiện nay

Doanh nghiệp có thể triển khai RADIUS qua nhiều nền tảng tùy thuộc vào hạ tầng sẵn có:

Microsoft NPS (Network Policy Server): Tính năng đi kèm sẵn có trên Windows Server, cực kỳ tối ưu nếu doanh nghiệp đang dùng Active Directory (AD).

Cisco ISE (Identity Services Engine): Giải pháp quản lý danh tính toàn diện hàng đầu cho các hạ tầng lớn, bảo mật cao.

FreeRADIUS: Phần mềm mã nguồn mở mạnh mẽ, chạy trên Linux, tối ưu chi phí và có khả năng tùy biến rất cao.

FortiAuthenticator: Hệ sinh thái xác thực của Fortinet, phối hợp rất tốt với Firewall FortiGate.

II. CÁC BƯỚC CẤU HÌNH MÁY CHỦ RADIUS

Các bước cấu hình trên máy chủ RADIUS sẽ khác nhau tùy thuộc vào phần mềm RADIUS bạn đang sử dụng (ví dụ: FreeRADIUS, Cisco ISE, Microsoft NPS). Tuy nhiên, các thông tin cấu hình cơ bản bạn cần thực hiện thường bao gồm:

1. Cài đặt phần mềm RADIUS: Nếu bạn chưa cài đặt, hãy tiến hành cài đặt phần mềm RADIUS trên máy chủ của bạn.

2. Thêm Client RADIUS:

Bạn cần khai báo thiết bị Cisco (ví dụ: switch, router, firewall) như một "Client" trên máy chủ RADIUS.

Thông tin cần cung cấp bao gồm:

Tên hoặc địa chỉ IP của thiết bị Cisco: Để máy chủ RADIUS nhận biết yêu cầu từ thiết bị nào.

Secret Key (Shared Secret): Một chuỗi bí mật được chia sẻ giữa máy chủ RADIUS và thiết bị Cisco. Khóa này được sử dụng để mã hóa và xác thực thông tin liên lạc giữa hai bên. Hãy đảm bảo khóa này mạnh và được giữ bí mật.

3, Cấu hình User và Group (nếu cần):

Tạo tài khoản người dùng hoặc nhóm người dùng sẽ được xác thực thông qua RADIUS.

Thiết lập các thuộc tính liên quan đến người dùng hoặc nhóm (ví dụ: VLAN gán sau khi xác thực thành công, quyền truy cập).

4. Cấu hình Policies (nếu cần):

Xác định các chính sách xác thực và ủy quyền. Ví dụ: quy tắc về thời gian truy cập, phương thức xác thực (PAP, CHAP, MS-CHAPv2), các thuộc tính trả về cho thiết bị Cisco.

5. Khởi động/Khởi động lại dịch vụ RADIUS: Sau khi thực hiện các cấu hình, hãy đảm bảo dịch vụ RADIUS đã được khởi động hoặc khởi động lại để các thay đổi có hiệu lực.

Lưu ý quan trọng: Hãy tham khảo tài liệu hướng dẫn cụ thể của phần mềm RADIUS bạn đang sử dụng để có các bước cấu hình chi tiết và chính xác nhất.

III. CẤU HÌNH TRÊN THIẾT BỊ CISCO

Trên thiết bị Cisco, bạn cần cấu hình để nó sử dụng máy chủ RADIUS cho việc xác thực. Các bước chung bao gồm:

1. Kích hoạt tính năng AAA (Authentication, Authorization, and Accounting):

Đoạn mã

Ciscoasa> enable

Ciscoasa# configure terminal

Ciscoasa(config)# aaa new-model

2. Định nghĩa Máy chủ RADIUS:

Chỉ định địa chỉ IP của máy chủ RADIUS và khóa bí mật đã cấu hình trên máy chủ.

Bạn có thể cấu hình nhiều máy chủ RADIUS để dự phòng.

Đoạn mã

Ciscoasa(config)# radius server <tên-máy-chủ-radius>

Ciscoasa(config-radius)# address ipv4 <địa-chỉ-ip-máy-chủ> auth-port <cổng-auth> acct-port <cổng-acct>

Ciscoasa(config-radius)#  key <khóa-bí-mật>

<tên-máy-chủ-radius>: Một tên bạn tự đặt để tham chiếu đến máy chủ RADIUS này.

<địa-chỉ-ip-máy-chủ>: Địa chỉ IP của máy chủ RADIUS.

<cổng-auth>: Cổng xác thực RADIUS (thường là 1812 hoặc 1645).

<cổng-acct>: Cổng kế toán RADIUS (thường là 1813 hoặc 1646).

<khóa-bí-mật>: Khóa bí mật đã cấu hình trên máy chủ RADIUS. Đảm bảo khóa này trùng khớp.

3. Cấu hình Danh sách Phương thức Xác thực (Authentication Method List):

Tạo một danh sách các phương thức xác thực và thứ tự ưu tiên của chúng. Bạn sẽ chỉ định sử dụng RADIUS trong danh sách này.

Ciscoasa(config)# aaa authentication login <tên-danh-sách> group radius local

Ciscoasa(config)# aaa authentication enable <tên-danh-sách> group radius enable

Ciscoasa(config)# aaa authentication dot1x <tên-danh-sách> group radius

<tên-danh-sách>: Một tên bạn tự đặt cho danh sách phương thức xác thực (ví dụ: default, radius-auth).

group radius: Chỉ định sử dụng các máy chủ RADIUS đã định nghĩa.

local: Sử dụng cơ sở dữ liệu người dùng cục bộ của thiết bị Cisco nếu máy chủ RADIUS không khả dụng.

enable: Xác thực mật khẩu enable.

dot1x: Xác thực cho giao thức 802.1X (nếu bạn sử dụng xác thực cổng).

4. Cấu hình Danh sách Phương thức Ủy quyền (Authorization Method List) (tùy chọn):

Nếu bạn muốn ủy quyền quyền truy cập hoặc cấu hình dựa trên thông tin từ máy chủ RADIUS, hãy cấu hình danh sách ủy quyền.

Ciscoasa(config)# aaa authorization exec <tên-danh-sách> group radius local

Ciscoasa(config)# aaa authorization network <tên-danh-sách> group radius local

Ciscoasa(config)# aaa authorization commands <level> <tên-danh-sách> group radius local

<level>: Cấp độ đặc quyền (ví dụ: 1, 15).

exec: Ủy quyền cho quyền truy cập vào chế độ EXEC (ví dụ: enable).

network: Ủy quyền cho các dịch vụ mạng (ví dụ: gán VLAN).

commands: Ủy quyền cho việc thực hiện các lệnh cụ thể.

5. Cấu hình Danh sách Phương thức Kế toán (Accounting Method List) (tùy chọn):

Nếu bạn muốn theo dõi các hoạt động của người dùng (ví dụ: thời gian đăng nhập, lệnh đã thực hiện), hãy cấu hình danh sách kế toán.

Ciscoasa(config)# aaa accounting exec <tên-danh-sách> start-stop group radius

Ciscoasa(config)# aaa accounting network <tên-danh-sách> start-stop group radius

Ciscoasa(config)# aaa accounting commands <level> <tên-danh-sách> start-stop group radius

start-stop: Gửi thông tin bắt đầu và kết thúc phiên.

6. Áp dụng Danh sách Phương thức Xác thực cho các Giao diện hoặc VTY Lines:

Chỉ định danh sách phương thức xác thực bạn đã tạo cho các cổng console, AUX hoặc VTY lines (cho phép truy cập từ xa).

Ciscoasa(config)# line console 0

Ciscoasa(config-liconsole)# login authentication <tên-danh-sách>

Ciscoasa(config)# line aux 0

Ciscoasa(config-aux)#  login authentication <tên-danh-sách>

Ciscoasa(config)# line vty 0 4

Ciscoasa(config-linvty)# login authentication <tên-danh-sách>

Ciscoasa(config-linvty)# transport input ssh telnet

Đối với xác thực 802.1X trên các cổng Ethernet:

Ciscoasa(config)# interface GigabitEthernet0/1

Ciscoasa(config-if)# authentication port-control auto

Ciscoasa(config-if)# authentication host-mode multi-auth

Ciscoasa(config-if)# authentication order dot1x auth-proxy mab

Ciscoasa(config-if)# authentication priority dot1x auth-proxy mab

Ciscoasa(config-if)# dot1x pae authenticator

Ciscoasa(config-if)# dot1x system-auth-control

Và áp dụng danh sách xác thực dot1x:

Ciscoasa(config)# aaa authentication dot1x default group radius

7. Kiểm tra cấu hình:

Sử dụng các lệnh show running-config hoặc show aaa servers để kiểm tra cấu hình AAA và máy chủ RADIUS.

Thử đăng nhập vào thiết bị Cisco bằng tài khoản được quản lý bởi máy chủ RADIUS.

Sử dụng lệnh debug aaa authentication và debug radius (cẩn thận khi sử dụng lệnh debug trên hệ thống production) để theo dõi quá trình xác thực nếu có vấn đề xảy ra.

Ví dụ cấu hình cơ bản trên thiết bị Cisco:

Ciscoasa> enable

Ciscoasa# configure terminal

Ciscoasa(config)# aaa new-model

Ciscoasa(config)# radius server my-radius-server

Ciscoasa(config-radius)# address ipv4 192.168.1.10 auth-port 1812 acct-port 1813

Ciscoasa(config-radius)# key mysecretkey

Ciscoasa(config)# aaa authentication login default group radius local

Ciscoasa(config)# aaa authentication enable default group radius enable

Ciscoasa(config)# line vty 0 4

Ciscoasa(config-line)# login authentication default

Ciscoasa(config-line)#  transport input ssh