Wake on Lan com 802.1x Port-Security Multi-Auth

[Fabio Leitão]

Bom dia,

Atualmente estou com um projeto grande gerando sérios problemas por causa de incompatibilidade entre uma feature de Port-Security do 802.1x com o método para distribuição de Patches, Applications e Packages do SCCM utilizando Wake on Lan. 

No próprio material da Cisco diz que existe uma incompatibilidade entre o authentication host-mode multi-auth habilitado nas portas do switch e o Wake on Lan.

Sou da area automações e gostaria de saber se seria possivel alterar o port-security das portas para multi-domain sem afetar o atual ambiente de segurança entre porta / Vlan Data e Vlan Phone para ter embasamento e discutir isso com a area de segurança e infraestrutura a ponto de conseguir resolver ou gerar uma solução para este problema.

Não entendi qual seria a vantagem em termos de segurança entre usar o multi-auth e o multi-domain ou se existe uma correção, atualização ou feature que resolva esse problema de incompatibilidade.

Obrigado.

[Jaderson Pessoa]

@Fabio Leitão boa tarde

Qual á incompatibilidade você está enfrentando? Existe uma nota nos "procedures" da cisco, informando que para uso do wake on lan nas interfaces usando 802.1x é necessário alguns pre reqs. Veja abaixo;

Restrictions for IEEE 802.1X Wake on LAN Support

• O WoL é suportado apenas em portas configuradas nos modos 802.1X de single-host, multihost e multidomain.
• É suportado apenas em portas configuradas para o PortFast. Consulte o módulo “Configurando o PortFast da Spanning Tree, BPDU Guard, BPDU Filter, UplinkFast, BackboneFast e Loop Guard” para obter mais informações.
• É suportado apenas nos modos 802.1X AUTO.
• O WoL é suportado apenas nos roteadores Cisco 88x / 89x / 86x e nas placas de interface WAN de alta velocidade (HWIC).
• Esse recurso não suporta ACLs padrão na porta do switch.

Veja a diferença entre cada um dos métodos.

multi-host:

Portugues: Multiplos endereços mac podem ser para dominio de DADOS. Apenas o primeiro mac é autenticado

English: Multiple mac addresses can be in DATA domain. Only first mac is authenticated.

multi-domain:

Portugues: Apenas 1 endereço mac pode ser domionio de DADOS e 1 endereço mac pode ser dominio de VOZ.

English:Only 1 mac address can be in DATA domain and only 1 mac address can be in VOICE domain

multi-auth:

Portugues: Multiplus endereços mac pode ser dominio de DADOS (Todos autenticados individualmente) e apenas um endereço mac pode ser dominio de VOZ.

English:Multiple mac addresses can be in DATA domain (all authenticated individually) and only 1 MAC address can be in Voice

Espero que essas informações sejam úteis para você.

Para mais detalhes, veja aqui: https://www.cisco.com/c/en/us/td/docs/ios-xml/ios/sec_usr_8021x/configuration/xe-3se/3850/sec-user-8021x-xe-3se-3850-book/sec-ieee-wake-lan-supp.html