802.1x/NAC na ACS czy NPS?

Wiadomość

pogrom · #1

Cześć.
Przymierzam się do wdrożenia 802.1x i stoję przed wyborem w które rozwiązanie pójść. Póki co rozkminiam tak:
ACS:
ZA: Już mam, do AAA.
Ponoć lepsze raportowanie
PRZECIW: wymaga dodatkowego agenta na stacji.

NPS:
ZA: Agent wbudowany w system
PRZECIW: Kosz Windowsów 2012 Standard.

Czy ma ktoś z Was ma to za sobą i mógłby coś w miarę obiektywnie doradzić?

#2

A skąd PRZECIW w ACS, że wymaga agenta na stacji?
Jeśli mowa o tzw. czystym 802.1x, bez posture assessment (czyli zaawansowany NAC), to po stronie klienta potrzebny jest suplikant. Kropka.
Może być Anyconnect, ale jak najbardziej działają też wbudowane opcje suplikanta per OS.

pogrom · #3

Dodam, że chciałbym też jakieś Heath Policies robić, nie tylko uwierzytelnianie.

konny · #4

Jesli szukasz rozwiazania Enterprise to polecam ISE , ale jest to mega drogie i dosyc ciezkie we wdrozeniu. Z tego co pamietam to mozna pobrac triala ze storny Cisco na 30 dni i do pewnej licznby endpointow. Dawniej bylo obostrzenie ze nie mozna bylo kupic tego produktu jak nie miales inzynierow z odpowiendim szkoleniem ( jak twoj reseller ma to nie ma problemu takie obejscie ) ze wzgledu na duza liczbe zlych wdrozen. W IV kwartale miala wyjsc nowa wersja

pogrom · #5

To zbyt duża kobyła będzie. Potrzebuję czegoś na ~1000 endpointów. z tego co już zauważyłem. Raportowanie i debugowanie NPSa praktycznie nie istnieje. Trzeba się posiłkować logowaniem do bazy MSSQL i jakimiś raportami. Czyli rzeźba.

#6

Ogólnie ISE rozwiąże wszystkie Twoje problemy, od wymagań funkcjonalnych z uwierzytelnianiem, poprzez analizę statusu stacji końcowej, aż po raportowanie - wdrożenie wcale nie jest takie ciężkie, chociaż jak zwykle diabeł tkwi w szczegółach i potrzeba zintegrowania kilku komponentów z racji silnej integracji np. z AD, pewno wymagania w odniesieniu do infrastruktury, etc.
BTW 1000 end pointów to jest całkiem spore wdrożenie i z praktyki wychodzi, że podejście półśrodkami na tzw. skróty, z różnymi łatkami, próbami rzeźbienia, etc najczęściej kończy się niepowodzeniem.