802.1X, TrustSec/SGT, MACsec, AAA & CoPP

Step 1

SW1 پر AAA آن کریں اور RADIUS سرور بتائیں۔ aaa new-model کے بغیر 802.1X کام نہیں کرے گا۔ سرور کا IP، ports اور key بالکل درست لکھیں۔SW1 par AAA on karo aur RADIUS server batao. aaa new-model ke baghair 802.1X kaam nahi karega. Server ka IP, ports aur key bilkul durust likho.Enable AAA on SW1 and define the RADIUS server. 802.1X won't work without aaa new-model. Write the server's IP, ports and key exactly.

enable
configure terminal
aaa new-model
radius server ISE
address ipv4 192.168.10.100 auth-port 1812 acct-port 1813
key SECRET123
exit
aaa authentication dot1x default group radius
aaa authorization network default group radius
exit

Step 2

پورٹ Fa0/1 پر 802.1X لگائیں۔ authentication port-control auto کا مطلب: پہلے authentication، پھر نیٹ ورک۔ PC پر 802.1X supplicant آن ہونا چاہیے۔Port Fa0/1 par 802.1X lagao. authentication port-control auto ka matlab: pehle authentication, phir network. PC par 802.1X supplicant on hona chahiye.Enable 802.1X on port Fa0/1. authentication port-control auto means: authentication first, then network. The 802.1X supplicant must be on on the PC.

configure terminal
dot1x system-auth-control
interface fa0/1
switchport mode access
authentication port-control auto
dot1x pae authenticator
exit
exit

Step 3

MACsec کا کانسیپٹ: سوئچ اور ڈیوائس کے درمیان تار پر encryption — Layer 2 پر۔ چابیاں MKA پروٹوکول سے بنتی ہیں۔ ENCOR میں صرف concept آتا ہے، کانفگ نہیں۔MACsec ka concept: switch aur device ke darmiyan taar par encryption — Layer 2 par. Chaabiyan MKA protocol se banti hain. ENCOR mein sirf concept aata hai, config nahi.MACsec concept: encryption on the wire between switch and device — at Layer 2. Keys are negotiated by the MKA protocol. ENCOR only asks the concept, not the config.

Step 4

TrustSec/SGT کا کانسیپٹ: ہر ڈیوائس/یوزر کو ایک ٹیگ (SGT نمبر) ملتا ہے، اور پالیسی IP کے بجائے ٹیگ پر لگتی ہے۔ ٹیگ ISE دیتا ہے، پالیسی پورے نیٹ ورک میں ٹیگ دیکھ کر لگتی ہے۔TrustSec/SGT ka concept: har device/user ko ek tag (SGT number) milta hai, aur policy IP ke bajaye tag par lagti hai. Tag ISE deta hai, policy pure network mein tag dekh kar lagti hai.TrustSec/SGT concept: every device/user gets a tag (SGT number), and policy applies to the tag instead of the IP. ISE assigns the tag; policy is enforced across the network based on the tag.

Step 5

CoPP لگائیں — کنٹرول پلین کی حفاظت۔ اہم ٹریفک (SSH، routing protocols) کو الگ class میں ڈال کر rate limit کریں تاکہ حملہ آور CPU نہ گرا سکے۔CoPP lagao — control plane ki hifazat. Ahem traffic (SSH, routing protocols) ko alag class mein daal kar rate limit karo taake hamlawar CPU na gira sake.Configure CoPP — protecting the control plane. Put important traffic (SSH, routing protocols) in a separate class and rate-limit it so an attacker can't bring down the CPU.

configure terminal
ip access-list extended COPP-CRITICAL
permit tcp any any eq 22
permit ospf any any
permit eigrp any any
exit
class-map match-all COPP-CLASS
match access-group name COPP-CRITICAL
exit
policy-map COPP-POLICY
class COPP-CLASS
police 8000 conform-action transmit exceed-action drop
exit
exit
control-plane
service-policy input COPP-POLICY
exit
exit

Step 6

ٹیسٹنگ: PC سے لاگ اِن کریں — RADIUS پر اکاؤنٹ ہو تو پورٹ authorized ہو۔ show authentication sessions سے سیشن دیکھیں۔Testing: PC se log in karo — RADIUS par account ho to port authorized ho. show authentication sessions se session dekho.Testing: log in from the PC — if the account exists on RADIUS, the port becomes authorized. View the session with show authentication sessions.

show dot1x all
show authentication sessions
show policy-map control-plane