Security of MAC authentication with IAS and Actuve Directory

[vova7777]

Привет всем. Собственно настроил MAC based authentication для устройств не поддерживающих 802.1x Но вот засада. Win IAS может аутентифицировать эти хосты только если найдёт account v Active Directory где вместо имени: МАС адрес каждого хоста. Проблема в том что и пароль тоже требует идентичный логину.
Эту дыру в security я не желаю оставлять открытой.

Вопрос: Есть ли варианты безопасной аутентикации мак хостов с IAS прежде чем я начну искать другой radius server?

мысли в слух:
1. Может как-то ограничить authentication этих мас хостов только с IAS IP адреса?
2. Есть какой нить плагин который позволит закинуть туда список МАСов и ткнуть IAS radius в эту таблицу вместо Active directory?

[vova7777]

Ув. модераторы, исправьте пожалуйста три буквы в названии темы IIS на IAS. Спасибо.

[vova7777]

Чё, никто 802.1x не ставил?

[vova7777]

Чувствую далеко я забрёл. В интернете максимум 2-3 человека реально понимали о чём идёт речь и давали ответы. Вообшем после нескольких дней моего research..
Вот несколько вариантов усиления безопасности такой системы(может пригодится кому):

1) Cisco switch который аутентицирует мак хосты via 802.1x посылает их в IAS как user and password = МАC address. Изменить это походу не возможно. Абыдна да?

2) В Win2k3 Можно также ensure that the MAC Addresses group is denied logon locally и login via terminal services это легко делается с GPO.

3) В менюшке каждого акаунта в AD есть опция ограничить доступ толко к указанным хостам. Там тоже можно указать на что-то несушиствующее и этим ограничить доступ. нам ведь нужна authentication not authorization

4) Еще отменил доступ к файлам этой группе мак хостов исключив их с domain users group.

5) Через ADSI залез в Active Directory Settings. Папка с мак акаунтами которую нужно ограничить доступ имеет primaryGroupID 513. Пробовал изменить это GroupID на другой номер. Это наверника вывело бы эту групу небезопасных акаунтов из Аctive directory. Просто изменить ID не поличилось но потом подумав - это ведь очень глубокая модификация которая может негативно отразится на упдейтах и т.д.

Ну и на последок добавлю что можно перенаправить мак аутентификацию на другой сервер. установить отдельный можно и виртуальный например Win2k8 с NPS и создать там группу хостов не подключая этот сервер к домену.

Дайте знать если есть еще какие мысли, варианты...