Pergunte ao Especialista Forúm - Mitigação de ataques em redes de computadores utilizando 802.1X, TrustSec e MacSec

[Tiago Santos da Silva]

Seja bem vido ao forúm de “Perguntas e Respostas”.

Nessa sessão, nosso especialista convidado responderá todas as perguntas relacionadas com o tema em questão.

Especialista convidado

Luis Matos é Arquiteto de Soluções da área de serviços avançados, atua há 20 anos na área de segurança. Especialista em soluções complexas de Datacenter, Backbones Internet/MPLS e Segurança para o segmento de operadorasde telecomunicações, grandes bancos e aeroportos. Possui certificações técnicas da área de redes, dentre elas: PENTA CCIE (Routing & Switching, Service Provider, Security, Voice, Data Center), CCNA, CCDA, CCNP, DCNIS, CCDP, MCP, MCP+INTERNET e MCSE. Certificado CISCO há mais de 14 anos, é um dos 30 profissionais que detém este nível de certificação CISCO no mundo.

Clique no botão “perguntar” a continuação, para fazer a sua primeira pergunta. Depois de escrever sua pergunta na caixa de texto, clique em “envio”. Sua pergunta será respondida no transcurso do dia, volte em breve para revisar a resposta.

[Tiago Santos da Silva]

Quando mencionam sessões simultâneas, seriam hosts conectados ao mesmo tempo ou sessão TCP e UDP?

[lumatos]

Corresponde a sessões radius ativas de hosts que estão conectados naquele momento.

[Tiago Santos da Silva]

O ISE 2.6 já está estável?

[lumatos]

Sim, esta versão é considerada uma long-term release.

[Tiago Santos da Silva]

O balanceador seria para o radius (PSN)?

[lumatos]

Sim, a função do balanceador de carga seria a de distribuir a carga de autenticação/accounting radius entre os servidores PSN.

[Tiago Santos da Silva]

Para usar o anyconnect com EAP-Chaining é necessário licença adicional?

[lumatos]

Não, é necessária somente a licença para uso do próprio AnyConnect.

[Tiago Santos da Silva]

Quando usamos certificado de máquina e usuário, no momento do logon o usuário está logado com o certificado de máquina e depois do logon ele altera para logon com certificado de usuário e aplicando as regras baseada nele? Em um cenário onde um usuário novo que ainda não tem certificado instalado no computador, ou onde um segundo usuário nunca antes autenticado tenta fazer o logon.

[lumatos]

Quando é realizada dupla autenticação (máquina + usuário) utilizando EAP-TLS (certificado digital) é mandatório que os certificados de máquina e de usuário estejam presentes, caso o certificado de usuário esteja ausente o processo de autenticação não será concluído com sucesso. Este cenário apresenta problemas em clientes que compartilham estações de trabalho e neste caso talvez a implementação de um método que autentique usuários através de suas credenciais (usuário + senha - ex: EAP-PEAP) ao invés de certificado digital seria mais recomendado. Utilizando EAP Chaining seria possível autenticar a máquina através de EAP-TLS e o usuário através de EAP-PEAP.

[Tiago Santos da Silva]

Posso usar domínios diferentes no ISE? Posso usar domínio e subdomínios?

[lumatos]

Sim, podemos realizar o join do ISE em até 50 domínios diferentes.

[Tiago Santos da Silva]

O cliente consegue entrar usando machine authentication mas logo em seguida perde acesso a rede pois ao tentar autenticar via certificado de usuário a autenticação é negada por não ter o certificado. Qual é a melhor prática para solucionar esse problema?

[lumatos]

Quando é realizada dupla autenticação (máquina + usuário) utilizando EAP-TLS (certificado digital) é mandatório que os certificados de máquina e de usuário estejam presentes, caso o certificado de usuário esteja ausente o processo de autenticação não será concluído com sucesso. Este cenário apresenta problemas em clientes que compartilham estações de trabalho e neste caso talvez a implementação de um método que autentique usuários através de suas credenciais (usuário + senha - ex: EAP-PEAP) ao invés de certificado digital seria mais recomendado. Utilizando EAP Chaining seria possível autenticar a máquina através de EAP-TLS e o usuário através de EAP-PEAP

[Tiago Santos da Silva]

CWA roda na PAN ou MNT?