Tinh chỉnh port access trên AOS-CX: giới hạn client, vi phạm, timer và lệnh vận hành

Ghi chú đọc tài liệu, không phải kết quả thử trên hệ thật. Nguồn chính: ArubaOS-CX 10.04 Security Guide của HPE. Mỗi ý có chú thích số trang ở cuối bài; đoạn nào chưa kiểm chứng được thì ghi rõ.

Port access (802.1X và MAC-Auth) trên switch AOS-CX có một loạt tham số mà tài liệu sản phẩm ghi thành giá trị mặc định — biết chúng trước khi triển khai hàng loạt¹:

• Mỗi cổng mặc định chỉ nhận 1 client.
• Cổng bật xác thực mà chưa có client nào qua thì switch không cho lưu lượng flood (broadcast, multicast, unicast không rõ đích) đi ra cổng đó, nên Wake-on-LAN không tới được máy.
• MAC-Auth, MAC lockout và port security loại trừ nhau trên cùng một cổng, và cổng có các phương thức này phải tắt LACP.

Nguồn là tài liệu sản phẩm AOS-CX 10.04 cho dòng 6200/6300/6400. Con số và cú pháp có thể đã đổi ở bản mới hơn.

Chuẩn bị

• Switch chạy AOS-CX đã khai máy chủ RADIUS, và 802.1X hoặc MAC-Auth đã bật ở cả mức toàn cục lẫn trên cổng¹.

Các bước

1. Số client trên một cổng, và việc xảy ra khi vượt

Tham số	Mặc định	Dải
aaa authentication port-access client-limit	1	1–256 trên 6300/6400, 1–32 trên 6200
Trần cứng	256 client mỗi cổng, 16.384 client cả switch, tính gộp mọi phương thức	hết 16.384 thì không cổng nào nhận thêm client, bằng bất kỳ phương thức nào

Vượt giới hạn là một vi phạm bảo mật, và switch xử lý theo port-access security violation action¹:

Hành động	Nghĩa
notify (mặc định)	chỉ ghi sự kiện, gửi syslog
shutdown	tắt cổng. Cổng chỉ tự bật lại khi đã bật shutdown auto-recovery (mặc định tắt), sau recovery-timer (mặc định 10 giây, dải 10–600)

Xem cổng nào đã vi phạm bao nhiêu lần: show port-access security violation client-limit-exceeded interface all¹.

Nhận định (chưa kiểm chứng): Cổng có điện thoại IP và máy tính nối chuỗi phía sau là hai client trên một cổng. Với mặc định client-limit 1 của bản 10.04, cổng kiểu đó phải được nâng giới hạn lên ít nhất 2, không thì thiết bị thứ hai là vi phạm: với notify nó chỉ không vào được, với shutdown thì cả cổng tắt kéo theo thiết bị đầu tiên.

2. Thứ tự 802.1X và MAC-Auth

Cả hai bật cùng lúc được trên một cổng. Mặc định 802.1X trước, MAC-Auth sau; đổi theo từng cổng bằng aaa authentication port-access auth-precedence mac-auth dot1x, dạng no đưa về mặc định¹.

⚠️ MAC-Auth, MAC lockout và port security loại trừ nhau trên cùng một cổng, và cổng cấu hình bất kỳ phương thức nào trong số đó phải tắt LACP¹. Port security là cơ chế khác, xem port security trên AOS-CX.

3. Lưu lượng flood tới cổng chưa ai xác thực

Mặc định switch không cho broadcast, multicast và unicast không rõ đích đi qua một cổng bật bảo mật mà chưa có client nào xác thực. Cần Wake-on-LAN đánh thức máy trước khi nó kịp xác thực thì bật port-access allow-flood-traffic enable trên cổng đó¹.

4. Timer của 802.1X

Tham số (aaa authentication port-access dot1x authenticator …)	Nghĩa	Mặc định	Dải
discovery-period	chờ bao lâu rồi gửi lại EAPOL Request-Identity trên cổng chưa có client nào xác thực	30 s	1–65535
eapol-timeout	chờ client trả lời bao lâu rồi gửi lại EAPOL	tính theo RFC 2988: lần đầu 3 s, nhân đôi mỗi lần, trần 20 s	1–65535 (0 = dùng cách tính RFC)
max-eapol-requests	gửi bao nhiêu EAPOL request không được trả lời thì coi là thất bại, kết thúc phiên	5	1–10
max-retries	thử xác thực bao nhiêu lần rồi mới đánh dấu client chưa xác thực	2	1–10
quiet-period	sau lần thử cuối thất bại, cổng ngừng tìm supplicant trong bao lâu	60 s	0–65535
reauth + reauth-period	xác thực lại định kỳ; mặc định tắt, phải bật reauth trước rồi mới đặt chu kỳ	3600 s	1–65535
cached-reauth + cached-reauth-period	lúc xác thực lại mà RADIUS không với tới, client đã xác thực giữ nguyên thuộc tính đang có trong bao lâu	tắt; 30 s	30–86400
radius server-group	nhóm máy chủ RADIUS dùng cho 802.1X	radius	—

auth-method chỉ có một giá trị là eap-radius¹.

⚠️ Hết max-retries là cổng ngừng hẳn việc tìm supplicant trong suốt quiet-period (mặc định 60 giây), rồi mới thử lại¹.

5. Tham số riêng của MAC-Auth

Tham số (aaa authentication port-access mac-auth …)	Mặc định	Ghi chú
addr-format	no-delimiter (chữ thường, không dấu phân cách)	8 kiểu: không dấu, một gạch, nhiều gạch, dấu hai chấm, mỗi kiểu có bản chữ hoa. Phải khớp cách phía RADIUS lưu MAC
auth-method	chap	chọn được pap. Không hỗ trợ PEAP-MSCHAPv2
password	không đặt	đặt một mật khẩu chung cho mọi thiết bị MAC-Auth, dạng plaintext hoặc ciphertext
quiet-period	60 s	thời gian không thử lại một client vừa bị từ chối
reauth / reauth-period	tắt / 3600 s	như 802.1X
cached-reauth / cached-reauth-period	tắt / 30 s	như 802.1X

Tài liệu tả MAC-Auth là cách cho thiết bị không có supplicant (máy in, điện thoại, AP, IoT) và trường hợp truy cập tạm; switch gửi MAC lên, máy chủ RADIUS dùng MAC làm cả tên lẫn mật khẩu¹. VLAN do RADIUS gán thắng VLAN untagged tĩnh của cổng¹.

Nhận định (chưa kiểm chứng): Tham số password là cách phía switch để mật khẩu trong yêu cầu MAC-Auth không còn trùng với MAC, đúng chỗ RFC 5080 không khuyến nghị. Tài liệu hãng không nối hai chuyện này với nhau, và không nói ClearPass phải khai gì cho khớp. Thử trên lab trước khi đổi hàng loạt, vì phía máy chủ đang kiểm “mật khẩu = MAC” sẽ từ chối toàn bộ.

6. Tham số gắn vào role

Mỗi role cục bộ (port-access role <tên>) mang được các thiết lập sau; client vào role nào thì nhận thiết lập của role đó¹:

Thiết lập	Mặc định / dải	Ghi chú
client-inactivity timeout	300 s, dải 300–4294967295, hoặc none	im lặng quá hạn thì client bị gỡ khỏi role
reauth-period	không đặt; 1–86400 s	đè lên chu kỳ khai ở cổng. Dưới 60 s không được khuyến nghị
session-timeout	1–4294967295 s	hết hạn là ngắt phiên. Dưới 60 s không được khuyến nghị
auth-mode	client-mode / device-mode	đè lên chế độ của cổng
vlan access / vlan trunk native / vlan trunk allowed	—	VLAN cho client của role
associate policy	—	chỉ gắn được policy tạo bằng port-access policy; policy tạo bằng lệnh policy thường và policy loại tải về đều không gắn được vào role cục bộ
associate captive-portal-profile	—	profile phải có sẵn trên switch
gateway-zone zone … gateway-role …	—	cho UBT (User-Based Tunneling)
poe-priority, mtu (68–9198), trust-mode (dscp/cos/none)	—	PoE, MTU và QoS theo role

⚠️ Role đang dùng chỉ được dựng khi TCAM của switch còn chỗ¹.

Pre-auth role ở bản 10.04 khá hẹp.

Tài liệu 10.04 đặt cho pre-auth role mấy giới hạn cụ thể¹:

• Chỉ áp cho client MAC-Auth, không cho phương thức khác.
• Trên một cổng chỉ khai được hoặc VLAN pre-auth (voice và/hoặc data) hoặc pre-auth role, không cả hai.
• Không hỗ trợ quá một VLAN tagged hoặc untagged.
• Không cấu hình được qua WebUI, Menu hay REST, chỉ CLI.
• Bật RADIUS tracking mà không còn máy chủ RADIUS nào thì cổng chuyển từ VLAN pre-auth sang VLAN critical.

Kiểm tra

Các lệnh xem và tác động theo tài liệu¹:

Lệnh	Dùng để
show aaa authentication port-access interface all client-status [mac <MAC>]	từng client: cổng, thời gian phiên, phương thức nào đã xác thực (dòng Auth Precedence ghi trạng thái của cả hai), role và role đã Applied chưa
show aaa authentication port-access dot1x authenticator interface <cổng> port-statistics	bộ đếm EAPOL của cổng: số khung nhận/gửi, Start, Logoff, Request-Identity, khung lỗi
show aaa authentication port-access mac-auth interface <cổng> client-status	trạng thái client MAC-Auth
show port-access policy <tên> hitcounts {port | client}	số gói khớp từng dòng của port access policy
port-access reauthenticate interface <cổng>	ép mọi client trên cổng xác thực lại; client đang ở trạng thái HELD bị bỏ qua
port-access log-off client mac <MAC>	đá một client ra khỏi cổng
clear dot1x authenticator statistics / clear mac-auth statistics	xoá bộ đếm trước khi thử lại cho dễ đọc

Nhận định (chưa kiểm chứng): Thứ tự đọc hợp lý khi một máy không vào được: xem client-status để biết switch đã thử phương thức nào và role có Applied không; nếu client không hiện ra thì xem bộ đếm EAPOL của cổng để biết supplicant có trả lời không, rồi mới sang Access Tracker phía ClearPass.

Quay lui

Các tham số ở trên có dạng no đưa về giá trị mặc định ghi trong bảng (ví dụ no port-access security violation action về notify, no aaa authentication port-access auth-precedence về 802.1X trước)¹.

Nhận định (chưa kiểm chứng): Đổi security violation action sang shutdown là thay đổi dễ gây sự cố nhất trong ghi chú này, vì cổng tắt kéo theo cả thiết bị hợp lệ. Nếu phải dùng, bật luôn auto-recovery để cổng tự lên lại, và giữ notify trên các cổng có thiết bị nối chuỗi.

Liên quan

• Port security trên AOS-CX

Nguồn

Footnotes

1. ArubaOS-CX 10.04 Security Guide (6300, 6400 Switch Series) — tài liệu sản phẩm chính thức của HPE, chương 16 (Port access), tr. PDF 179–237 ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸ ↩⁹ ↩¹⁰ ↩¹¹ ↩¹² ↩¹³ ↩¹⁴ ↩¹⁵ ↩¹⁶