Aruba ClearPass [Lab 8] Cấu hình tính năng Device Fingerprinting

Trong ClearPass Policy Manager, Fingerprint Dictionary là cơ sở dữ liệu dùng để nhận diện và phân loại thiết bị đầu cuối dựa trên những đặc điểm mà thiết bị thể hiện trong quá trình kết nối mạng. Dictionary được quản lý tại Administration > Dictionaries > Fingerprints và chứa nhiều rule nhận diện được xây dựng sẵn.
Các rule này cho phép ClearPass đối chiếu những thông tin thu thập được từ thiết bị với các đặc điểm đã biết, từ đó xác định thiết bị thuộc nhóm nào. Kết quả phân loại được thể hiện theo nhiều mức độ khác nhau, từ nhóm thiết bị tổng quát đến hệ điều hành và tên thiết bị cụ thể:
Có thể hiểu đơn giản, Fingerprint Dictionary đóng vai trò như một bộ quy tắc nhận diện. ClearPass không chỉ dựa vào một thông tin duy nhất mà có thể kết hợp nhiều đặc điểm quan sát được từ thiết bị. Khi các thông tin này phù hợp với một rule trong Dictionary, ClearPass sẽ sử dụng kết quả của rule đó để xác định loại thiết bị.
Điều này đặc biệt hữu ích trong các mô hình NAC, bởi việc xác thực thành công chưa cho biết thiết bị đang sử dụng là máy tính, camera, máy in hay một thiết bị IoT khác. Sau khi xác định được loại thiết bị, ClearPass có thể sử dụng thông tin này làm cơ sở để xây dựng chính sách truy cập phù hợp.

Triển khai


1. Kích hoạt Profiler trên ClearPass Services
vào Configuration > Services.
Chọn Service DOT1X_Wired_Authentication - Đã cấu hình trước đó

Tại tab Service: Tích chọn ô Profile Endpoints.

Chuyển sang tab Profiler:

• Endpoint Classification: Chọn Any Category / OS Family / Name.
• RADIUS CoA Action: Chọn [Cisco - Bounce-Host-Port].

Nhấn Save.

Chọn Service MAB_IoT_Wired_Service:
Tại tab Service: Tích chọn ô Profile Endpoints.
Chuyển sang tab Profiler:

• Endpoint Classification: Chọn Any Category / OS Family / Name.
• RADIUS CoA Action: Chọn [Cisco - Bounce-Host-Port].

Nhấn Save.

2. Kích hoạt gửi lưu lượng nhận diện từ Endpoint

Để ClearPass bắt được các gói tin mang Fingerprint (DHCP Option 55/60, Hostname, ARP):
Trước tiên cấu hình SW cấp dhcp
Chuyển máy win A sang DHCP, xong cmd gõ ipconfig /renew để lấy địa chỉ mới


Tương tự trên Linux - mở terminal gõ sudo dhclient -r && sudo dhclient


Kiểm tra
Vào Monitoring > Profile and Network Scan > Endpoint Profiler: Sẽ thấy 2 thiết bị win và Linux