WIFI on Cisco Redes

BLOG – Cisco Meraki – Radius em Cloud

Thu, 31 Mar 2022 00:00:00 +0000

Olá Pessoal,

Já faz um tempo que não escrevo aqui para vocês, entretanto acabei ficando sumido devido a outras características e obviamente não podemos negar que nosso tempo fica cada vez mais escasso.

Enfim, não é lugar para “muro de lamentações” o importante que sempre estamos por aqui e tentando apresentar novos conteúdos para vocês e alguns produtos que vocês podem utilizar/pesquisar para ajudar no entendimento maior do seu dia-a-dia.

Radius no Meraki

Como todos sabem hoje cada vez mais, estamos procurando formas de amenizar os impactos relacionados a segurança, e claro não podemos esquecer de utilizar o protocolo 802.1x para garantir o acesso seguro de seus usuários ao ambiente de WI-FI.

Desta forma, fiz alguns testes para habilitar o Radius no Meraki fazendo com ele pudesse especificamente em um SSID, fazer autenticação através de Radius + 802.1x.

Entretanto, estava procurando algo em cloud free que eu pudesse testar e não precisasse trabalhar localmente com algum free radius. Hoje sabemos que temos o free-radius, que acredito que ainda vou escrever sobre ele em nosso BLOG, entretanto fui em algo talvez mais rápido para testar os recursos.

Configuração no Meraki

Para esses recursos temos parâmetros rápidos e práticos que podem ser visualizados conforme abaixo:

Baseado na figura acima, precisamos garantir que estamos configurando no modo “Enterprise”, porém com a definição de seu Radius Server.

Após configurar no drop-down, podemos observar as configurações adicionais que necessitam ser executadas, para que eu possa autenticar em um servidor Radius. Vale ressaltar, que devido ao ambiente Meraki ser em Cloud, as definições podem também serem executadas em seu ambiente on-prem, porém o acesso ao servidor precisa ser liberado para que a Cloud Meraki possa alcançar esse servidor.

As configurações de EAP+EAPOL foram mantidas em modo “default”, pois são ambientes de testes, entretanto caso necessite executar no ambiente de produção você pode adequar as suas necessidade do ambiente de produção.

Os endereços adquiridos da JumpCloud pode ser visualizados através dessa documentação.

OBS.: Existe uma limitação via JumpCloud que a porta Radius 1813(accounting) não é suportado.

Configuração no JumpCloud

Para quem deseja conhecer um pouco do portfolio da JumpCloud recomendo acessar o site deles e visualizar as possibilidades de atendimento.

Eu acabei encontrando por acaso, pesquisando sobre opções de integração com o Meraki, na qual achei bastante documentação para fazer não somente o uso de Radius mas de outras facilidades, ainda como sendo um plano free. Futuramente, vou trazer alguns conceitos de SSO(Single Sign On) entre as plataformas.

Para configurar o Radius, basicamente precisamos obter o IP Público, executar o “match” da senha que será adicionada em ambas plataformas.

Conforme pode ser visualizado acima, temos a opção de utilização de MFA, porém na característica de autenticação do WIFI pelos documentos não é recomendado e poderia ser um caso em utilizar essa autenticação para uma característica de VPN.

Após esses passos devemos cadastrar os usuários na plataforma(10 são free), ou seja, será através desse “user” que você deverá utilizar quando solicitado o “join” para o SSID escolhido.

OBS.: Pode observar que para esse usuário eu criei um MFA para eu logar no portal Jumpcloud, caso em futuros testes(VPN, SSO) eu possa utilizar ele para adicionar mais uma camada de segurança.

Talvez vocês já devem estar pensando em uma situação onde tenho IP dinâmico que fica atrelado ao acesso para o ambiente que esta nosso AP, ou seja, vou ficar trocando o IP? Sim. Porém, existe uma forma de fazer atualização deles via API :). Caso, tenham interesse avise nos comentário, pois posteriormente executo um post explicado como fiz esse processo.

Autenticação no WI-FI

Para executar autenticação podemos observar que nesse momento é solicitado “user+pwd”, ou seja, não estamos mais no modo PSK. 🙂

Após autorização será notificado sobre o certificado, pois devido a estarmos utilizando EAP-TTLS/PAP ou EAP-PEAP e deveremos usar essa autenticação para garantir maior segurança nos dados transmitidos entre as pontas (Meraki+JumpCloud).

Conforme abaixo será apresentado o certificado para que você confirme a autenticação, bem como garantir a validade do certificado.

Vale lembrar que você também poderia fazer o download desse certificado e fazer a instalação do mesmo em seu ambiente para garantir que não tenha essa validação ao seu usuário. Você pode obter mais informações sobre o certificado.

Logs

Após todo o processo de configuração e autenticação sempre é interessante avaliarmos os logs capturados nas plataformas, para verificar se de fato como poderemos fazer um futuro “troubleshooting” e consequentemente observar se funcionou da forma que deveria. 🙂

Logo abaixo, podemos observar log sendo exposto pela ferramenta JumpCloud que pode ser visualizada através do menu Insight->Directory. Desta forma, vimos que autenticação foi executada utilizando serviço de Radius com os parâmetros EAP-PEAP via usuário especifico.

Após isso podemos observar ao mesmo tempo essa notificação no portal Meraki, onde conseguimos observar EAP e a característica de sucesso do usuário sendo autenticado via 802.1x. Temos ainda uma possibilidade de fazer um “check” ao servidor radius através do portal Meraki, para assim garantirmos e identificarmos como está o tempo de resposta até o seu servidor na Cloud(JumpCloud)

Posteriormente podemos ainda consolidar através do menu “Clients” e avaliar como está sendo feita associação desse usuário e ao mesmo tempo garantir qual “user” foi autenticado, bem como garantir associação via 802.1x.

Conclusão

Observando a facilidade de efetuar as configurações em ambas as plataformas, na minha visão faz todo sentido termos algo de Radius como serviço em Cloud, ainda mais quando temos ambas as soluções sendo gerenciadas em cloud. Obviamente, ainda existe muita coisa que acaba acontecendo nos “bastidores” e que com certeza iremos analisar posteriormente, principalmente nas características de segurança observando na perspectiva de como esse usuário e hash estão sendo encaminhado entre as pontas.

Entretanto, vale ressaltar que baseado no protocolo 802.1x já podemos ter a garantia de algumas metodologias de segurança para garantir essa autenticidade, bem como evitar alguns “eavesdropping” localmente.

O que vocês acharam desses parâmetros? Desejam observar mais algum detalhe sobre o que foi apresentado? Deixe seus comentários.

Abs,
Rodrigo

BLOG – Certificação WIFI Juniper – MistAI

Wed, 17 Nov 2021 00:00:00 +0000

Olá Pessoal,

Recentemente fiz uma prova da Juniper, pois no final deste ano (2021), eu teria minhas duas certificações expiradas, portanto resolvi obter um conteúdo que acabou surgindo por acaso em minha “timeline” e acabei achando interessante estudar para agregar alguns pontos, que estava buscando para um melhor entendimento da tecnologia, ou seja, o famoso ditado “unir útil ou agradável”.

Trajetória para Re-Certificação

Conforme mencionei anteriormente, eu precisava renovar minhas certificações(Cloud e Design), com isso fui verificar quais os caminhos eu poderia seguir dentro da carreira de Juniper, na qual de momento não tenho intenções se crescer na pirâmide vertical, ou seja, queria andar mais lateralmente.

Como observo, esse modelo atual da Juniper é como estavamos anteriormente com a Cisco(em Fevereiro 2020), para qual eles criaram diferentes níveis de Associate para sua derminada torre de tecnologia (WIFI, Cloud, Security, R&S, Automation).

Com isso fiz a confirmação sobre a re-certificação, e através da confirmação para validação de mais 3 anos, eu obrigatoriamente precisaria passar em mais um exame da cadeia de associate, ou seja, tomado a decisão vamos agora perseguir os ítens.

Treinamento

Após essa decisão, acabei verificando através do Twitter, que a Juniper havia liberado os treinamentos de WIFI para certificação, ou seja, acredito que os pontos se uniram e acabei resolvendo de fato estudar um pouco sobre essa certificação.

Desta forma, como já faz parte de um programa da Juniper, esse treinamento está free, bem como o acesso ao treinamento, após sua inscrição, você terá até 6 meses para consumir todas as informações, inclusive após o término do treinamento e atingir a pontuação mínima no exame final de 70%, você ganha 75% desconto em seu voucher. Para os interessados segue o link para o treinamento da Juniper de WIFI.

Lembrando que a prova não terá um desconto 100%, como era feito anteriormente, porém após a conquista desse voucher você irá pagar $50 dólares, o que de uma certa forma é um investimento baixo com o valor atual das provas.

Juniper MistAI – WIFI

Acredito que todos devem saber, mas a Juniper fez aquisição da MistAI, se não me falha a memória em meados do ano de 2019, na qual agregou ao seu portfolio de produtos, principalmente devido a grande adesão que a plataforma estava tendo dentro do mercado de WIFI(trazendo o conceito de administração em Cloud).

Nesse atual momento, existem outros frentes de trabalho que a plataforma esta absorvendo e logicamente, alguns ítens dela esta sendo endereçado como ítens adicionais para sua composição.

Nessa linha temos hoje o dashboard MistAI já associando alguns equipamentos na linha de Switches(EX) e Firewall(SRX) para serem gerenciados através dessa mesma plataforma, e as intenções sobre o Marvis é estar se associando a plataforma de SDWAN denominada pela aquisição feita no inicio desse ano da 128Tecnology.

Caminhos para Estudo e Certificação

Conforme eu já havia mencionado anteriormente, o primeiro ítem para absorver o conteúdo foi executar o treinamento através da plataforma e inscrição já indicado acima.

Sinceramente, o treinamento deu uma abordagem bem interessante sobre os conceitos básicos da tecnologia, trouxe as principais menções sobre o produto, detalhando com evidências as formas básicas de configurações e entendimento da plataforma.

Infelizmente, eu não consegui identificar nenhuma forma de utilizar um ambiente demo para exercitar as características de cada menu, porém acredito que no meu entendimento não ia ajudar nos finalmente(prova de certificação), pois não caiu nenhuma questão nessa linha de identificação.

Após fazer todo o treinamento, resolvi ler as documentações do fabricante, que nos ajuda a entender outros conceitos não explorados ou inscritos de forma diferente, portanto conseguimos absorver tópicos distintos que nos leva a fomentar seu conteúdo. Com isso vou colocar abaixo, em cronologia como foi a metodologia e conteúdos que me ajudaram nessa trafetória.

Treinamento via Plataforma Juniper – MistAi
Leitura da documentação no site do MistAI
BLOGs espalhados para entendimento de conceitos:
1. Tópicos de WFI
2. Modulação
3. Influência de seu cliente no tráfego
4. Conceitos abordados pelo CWNA
5. Design e Troubleshooting – Nestes vídeos alguns conceitos seriam como revisão do treinamento, porém temos itens adicionais não abordados.
6. Revisões do teste executado no Learning Portal

Conclusão

Acredito que eu tenha exposto um pouco da experiência que obtive nos estudos para certificação, espero que isso possa clarificar um pouco a metodologia que você pode seguir para alcançar essa certificação.

Obviamente, talvez em seus estudos você possa encontrar novas fontes ou caminhos para estudar determinados tópicos, e claro sempre vale lembrar de consultar os tópicos que foram colocados no Blue Print

Caso você obtenha novos conteúdos que ajudaram em sua trajetória para essa certificação deixe em nosso comentários, pois podem ajudar aos outros alcançarem mais essa certificação.

O que acharam do resumo? Pode ajudar nessa trajetória? Gostaria de mais detalhes? Deixe seu recado! 🙂

Abs,
Rodrigo

Segurança – Analise de WIFI – Entendimento via Air-Crack

Mon, 03 Aug 2020 00:00:00 +0000

Olá Pessoal,

Como vocês sabem nosso BLOG acaba tendo uma diversidade de conteúdo e nem sempre seguimos uma linha, adicionando apenas conteúdo específico daquela tecnologia ou dedicado aquele fabricante.

Meu objetivo aqui é sempre compartilhar um pouco daquilo que eu estudo, aprendo, bem como ítens que preciso pesquisar e obviamente aprender, pois como sabem também leciono. Devido a isso, sempre precisamos encontrar maneiras para explicar conteúdo específicos ou até de criar laboratórios para explicar determinado funcionamento dentro de nosso ambiente.

Desta forma, hoje iremos ter um conteúdo totalmente diferente que é explicar um pouco sobre Wireless, utilizando algumas análises de ferramentas que ouviamos falar bastante em nosso meio. As ferramentas mencionadas, podem ser utilizadas para critérios de avaliação de segurança em sua infra, ou pode ser utilizada por pessoas mal-intecionadas para usufruir desse descuidado dos usuários em ambientes compartilhados.

Vale lembrar!!! O que iremos detalhar tem a intenção disseminar ítens para conhecimento no âmbito para entendimento do funcionamento da tecnologia, e correção de falhas para seu ambiente. Todo ato mal intencionado é por conta e risco de cada usuario e não temos nenhuma responsabilidade.

Para conhecimento a ferramenta que iremos utilizar será AirCrack-ng.

Talvez muito de vocês vão perguntar. Porque você não fez isso usando o Kali Linux? Porquê precisamos usar uma ferramenta de PenTest para aprender?

A ideia aqui é explorar os caminhos, pois essas bibliotecas não são exclusivas da distribuição Kali Linux, e sim pode ser instalada qualquer distribuição ( inclusive Windows ). Não necessariamente é uma ferramenta de pentest, mas sim algo que você possa entender o que de fato está ocorrendo em sua conectividade WIFI.

Instalação

Neste exemplo, vou executar a instalação “default” dos pacotes através disponibilização feita pela distribuição instalada na máquina virtual (XUBUNTU-18.04). Desta forma segue abaixo:

Podemos observar a versão instalada:

root@ubuntu:/home/rodrigo# aircrack-ng --help

Aircrack-ng 1.2 rc4 - (C) 2006-2015 Thomas d'Otreppe
http://www.aircrack-ng.org

usage: aircrack-ng [options] <.cap / .ivs file(s)>

Obviamente a melhor forma seria adicionar o repositório, porém algumas pessoas não gostam devido a não ter homologação da distribuição em seus respositórios. Entretanto, para que você possa sempre obter a última atualização do código, pode ser executado conforme abaixo. Caso tenha interesse de ler mais sobre esse desenvolvimento, recomendo olhar a documentação.

$curl -s https://packagecloud.io/install/repositories/aircrack-ng/git/script.deb.sh | sudo bash

root@ubuntu:/home/rodrigo# aircrack-ng --help

Aircrack-ng 1.6 rev cd77600 - (C) 2006-2020 Thomas d'Otreppe
https://www.aircrack-ng.org

usage: aircrack-ng [options] <input file(s)>

Funcionalidades

Após consolidação da instalação podemos observar algumas formas de avaliar os comandos disponivéis através dessa biblioteca, e para nosso exemplo iremos utilizar:

airmon-ng: Processo para consolidação sobre se nossa porta ( conectividade ) WIFI irá monitorar o tráfego, ou seja, trazer a concepção de que estou trabalhando em ” Monitor Mode ” ou ” Managed Mode “.
airodump-ng: Processo para capturar os pacotes que estão sendo escutados pela sua conectividade WIFI, em modo de ” Monitor Mode “.
aireplay-ng: Processo para gerar tráfego na rede, tendo o propósito de capturar pacotes de “deauthentication” para usufruir deles com intenção da visualização dos pacotes.
aircrack-ng: Processo para executar “brute-force” nos dados capturados e avaliar a segurança da conectividade.

Inicialização dos comandos

Para que você consiga monitorar através de sua conexão WIFI, já mencionado acima terá que iniciar sua placa ou USB em modo ” Monitor “, para validar é interessante executar as validações:

$ sudo airmon-ng check

Caso seja necessário você pode matar o processo para iniciar em modo monitor

$ sudo airmon-ng check kill

Consolidar iniciando

$ ip a ( para capturar o nome definido da placa )

$ sudo airmon-ng start wlan0

A nomenclatura wlan0 pode modificar validando o que de fato o seu SO ( Sistema Operacional ) identificou para essa conectividade WIFI. Baseado em seu output, você precisa nesse momento fazer a referência conforme evidenciado, na qual em meu caso ele definiu para **wlan0mon**

PS.: Pode ser que seu USB não suporte a menção para atuar como “monitor”, portanto terá que avaliar um novo dispositivo ou pesquisar sobre o device.

Capturar os BSSID co-relacionado com os APs próximos, e mapear o nome do SSID.

$ sudo airodump-ng wlan0mon

Para que possamos acelerar o processo de captura podemos forçar a DE-AUTH dos endpoints, mas faça com cautela pois isso pode impactar a rede e também existe a forma de captura de seu MAC-Address.

$ sudo aireplay-ng --deauth 1000 -a [ MAC AP Destino ] -c [ MAC Endpoint Destino ] wlan0mon --ignore-negative-one

Proximo passo é começar a capturar dados para obter o handshake entre o AP e o host ( usuario ). Observe para validar em qual canal esta operando essa comunicação.

$ sudo airodump-ng -c [ canal ] --bssid [ MAC AP Destino ] -w [ nome do arquivo salva a captura.pcap ] wlan0mon --ignore-negative-one

PS.: Depois de rodar por algum tempo devemos observar se iremos obter algo no sentido de **WPA handshake: BSSID**, ou seja, caso isso ocorra você já conseguiu obter a captura do pacote que esta contido o handshake de autenticação.

Outro lembrete que caso queira visualizar outras formas/combinações, é possivel também utilizar sempre o comando de ” help ” de cada comando para lembrar o que de fato você tem necessidade para visualizar.

E agora?

Obviamente sempre irá ter a pergunta. E agora o que faço com isso?

Na verdade temos um caminhão de informação capturada que irei explicar em outros post, pois vamos analisar através do Wireshark, mas de fato temos agora os dados e precisamos unicamente tentar fazer um ” brute-force “. Mas para isso existe milhões de opções para esse caso, e os mais tradicionais são as ” Word Lists “.

A mais conhecida seria chamada de ” John the Ripper “, onde tem listas com milhões de combinações.

Você pode fazer um teste criando uma lista rapida apenas para validar e entender o funcionamento, porém novamente, não temos a intenção aqui de trazer risco para vocês, então fique claro que isso fica a critério de cada usuario.

Para efetuar brute force, segue o exemplo:

$ aircrack-ng -w Downloads/teste.txt -b [ MAC AP Destino ] pacote_capturado.pcap

Esse processo pode demorar horas ou segundos, variando em relação ao tamanho de sua ” Word List “, ou a complexidade da senha criada. Lembrete, pode ser que depois de rodar horas você ainda não consiga obter a senha, pois não existe a senha no seu arquivo de teste. 🙂

Conclusão

Neste caso apenas quis compartilhar os ítens que foi pesquisado e também para alavancar novos conteúdos em relação essa tecnologia.

Como mencionado vou trazer nos post posteriores uma explicação sobre esses pacotes capturados, como eles são trafegados em nosso ambiente e também algumas dicas de como se prevenir para melhorar sua segurança.

Espero que tenha gostado e postem seus comentários abaixo se gostaram, se é valido explorarmos esse mundo.

Abs,
Rodrigo