تكوين الوصول عن بعد إلى SD-WAN (SDRA) من خلال مجموعات التكوين

المقدمة

يوضح هذا المستند كيفية تكوين الوصول عن بعد إلى SD-WAN (SDRA) باستخدام مجموعة تكوين موجودة. 

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

• شبكة منطقة واسعة معرفة بالبرامج من Cisco (SD-WAN)
• البنية الأساسية للمفتاح العام (PKI)
• FlexVPN
• خادم RADIUS

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

• C8000V الإصدار 17.12.03a
•  vManage الإصدار 20.12.03a
• خادم جهة منح الشهادة (CA) مع بروتوكول تسجيل الشهادة البسيط (SCEP) 
• AnyConnect Secure Mobility Client، الإصدار 4.10.04071

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

تكوين مرجع الشهادة (CA) على المدير

يرشدك هذا القسم من خلال تكوين خادم "المرجع المصدق" (CA) للتسجيل التلقائي المستند إلى SCEP عبر "مدير SD-WAN".

ملاحظة: تتلقى الأجهزة التي تم تمكينها للوصول عن بعد شهادة من مرجع الشهادات هذا. تستخدم الأجهزة الشهادة للمصادقة على عملاء الوصول عن بعد.

الخطوة 1. انتقل إلى مرجع مصدق للمؤسسة لتكوين شهادة المرجع المصدق من خلال vManage. من vManage GUI:

التكوين ->جهة منح الشهادة -> مرجع مصدق للمؤسسة

ملاحظة: لا تدعم خيارات CA الأخرى مثل Enterprise CA بدون SCEP و Cisco vManage as CA و Cisco vManage ك CA الوسيط لميزة SD-WAN RA

الخطوة 2. بمجرد عرض المرجع المصدق للمؤسسة، حدد SCEP خيار.

الخطوة 3. انسخ شهادة المرجع المصدق ولصقها في مربع شهادة الجذر.

الخطوة 4. املأ معلومات خادم CA لديك:

ملاحظة: تم وضع خادم CA في الخدمة VRF 1. يجب أن يكون خادم CA قابلا للوصول إليه من خلال VRF الخاص بالخدمة لجميع منافذ SD-WAN RA.

الخطوة 5. انقر على حفظ ترخيص لحفظ التكوين.

ملاحظة: يتم تطبيق إعدادات CA ذات الصلة بمجرد الانتهاء من تكوين الوصول عن بعد وتنفيذه على الجهاز.

إضافة ملف تعريف ميزة الوصول عن بعد إلى مجموعة تكوين موجودة.

إعداد الوصول عن بعد من خلال تعديل مجموعة تكوين موجودة.

ملاحظة: يمكن تكوين SDRA باستخدام قالب وظيفة CLI الإضافية أو مجموعات التكوين. ومع ذلك، فإنه لا يدعم إستخدام قوالب الميزات.

تمكين الوصول عن بعد على شبكة VPN للخدمة

تحذير: يعد تمكين الوصول عن بعد إلى شبكة VPN للخدمة خطوة مطلوبة. وبدون ذلك، لا يتم نشر أي تكوينات تالية لمعلمات الوصول عن بعد (ملف التعريف/الميزة) على الجهاز.

الخطوة 1. من واجهة المستخدم الرسومية vManage، انتقل إلى التكوين ->مجموعات التكوين. انقر فوق النقاط الثلاث (...) الموجودة على الجانب الأيمن من مجموعة التكوين الموجودة مسبقا وانقر فوق تحرير.

الخطوة 2. قم بالتمرير إلى ملف تعريف الخدمة:<name>، ثم قم بتوسيع المقطع. انقر على النقاط الثلاث (...) في الجانب الأيمن من ملف تعريف VPN المطلوب وانقر فوق تحرير الميزة.

الخطوة 3. 

حدد خانة الاختيار تمكين الوصول عن بعد عبر شبكة SD-WANإس إس

الخطوة 4. انقر فوق حفظ.

تكوين ميزة الوصول عن بعد 

الخطوة 1. من واجهة المستخدم الرسومية vManage، انتقل إلىConfiguration->مجموعات التكوين-> <config group name>. انقر النقاط الثلاث (...) على الجانب الأيمن وانقر فوق تحرير.

قم بتوسيع قسم ملف تعريف النظام:<name>. انقر فوق إضافة الميزات والبحث عن الوصول عن بعد.

بروتوكول SDRA

ملاحظة: يدعم SDRA كلا من IPSec و SSL؛ ومع ذلك، يحدد الدليل إستخدام IPSec لهذا المختبر، مع ملاحظة أن تكوين SSL إختياري ويتبع نفس الخطوات إلى حد كبير.

تكوين خادم RADIUS

الجزء الأول من التكوينات هو إعداد خادم RADIUS عند تكوين الوصول عن بعد. انقر إضافة مجموعة RADIUS لتوسيع نطاقه، ومن ثم إضافة مجموعة RADIUS.

توسيع خادم RADIUS مقطع، وانقر إضافة خادم RADIUS.

املأ تكوين خادم RADIUS بعنوان IPv4 ومفتاح RADIUS، وانقر إضافة كما يوضح المثال. 

توسيع مجموعة RADIUS مقطع، وانقر إضافة مجموعة RADIUS.

تحديد القائمة المنسدلة إلى على يسار شبكة VPN، وحدد عمومي.

إضافة خادم RADIUS الذي تم تكوينه مسبقا.

بمجرد تكوين Rمجموعة Adios كما هو موضح في الصورة، انقر فوق إضافة لحفظ مجموعة RADIUS.

هذا مثال على اكتمال تكوين RADIUS. انقر فوق حفظ.

ملاحظة: تستخدم منافذ SD-WAN RA خادم RADIUS/EAP لمصادقة عملاء الوصول عن بعد ولإدارة سياسة كل مستخدم. يجب أن يكون خادم RADIUS/EAP قابلا للوصول إليه من جميع منافذ SD-WAN RA الرئيسية في شبكة VPN للخدمة.

إعداد خادم CA

القسم التالي هو إعداد خادم CAومع ذلك، فنظرا لتكوين المرجع المصدق هذا على مهمة سابقة، فإنه يقوم بسحبه تلقائيا. لا يوجد تكوين مطلوب هنا.

تكوين إعداد AnyConnect EAP

القسم التالي هو إعداد AnyConnect EAP، وفي هذا السيناريو تتم مصادقة المستخدم، وبالتالي يكون مربع الاختيار مصادقة المستخدم هو الخيار المحدد (الافتراضي).

ملاحظة: إذا كانت المصادقة المزدوجة لكل من شهادة المستخدم/كلمة المرور وشهادة العميل مطلوبة، فحدد خيار مصادقة المستخدم والجهاز. يتوافق هذا التكوين مع أمر CLI:المصادقة عن بعد AnyConnect-eap aggregation-request

تكوين سياسة AAA

بالنسبة لدليل SDRA هذا، يحتوي المستخدمون البعيدين على مجال بريد إلكتروني، على سبيل المثال، sdra-user@test.com. لذلك، لتحقيق ذلك، حدد اسم OptionDerive من مجال هوية النظير.

في Policy PasswordField:Cisco12345

إعدادات IKEv2 و IPSec

يمكنك ترك كل هذه التكوينات كإعداد افتراضي والنقر فوق OnSave.

إقران الجهاز والنشر

بمجرد تكوين "الوصول عن بعد"، انتقل إلى نشر التكوين من خلال الأجهزة المقترنة علامة تبويب.

حدد خانة الاختيار للجهاز المطلوب و النشر. 

انقر فوق التالي

SelectPreview CLI

في الشاشة التالية، حدد النشر مرة أخرى.

التحقق من الصحة

طلب شهادات PKI

بعد اكتمال النشر، تحتاج إلى طلب شهادة معرف على وحدة الاستقبال والبث RA من خلال واجهة سطر الأوامر.

1. سجل الدخول إلى وحدة الاستقبال والبث الخاصة ب CLI RA.

2. التحقق من نشر تكوين TrustPoint بنجاح مع تشغيل العرض | sec crypto pki trustPoint أمر.

crypto pki trustpoint sdra_trustpoint
enrollment url http://192.168.6.3:80
fingerprint 8F0B275AA454891B706AC5F27610157C4BE4C277
subject-name CN=SDRA-6-10.0.0.6-Spoke4-CG
vrf 1
revocation-check none
rsakeypair sdra_trustpoint 2048
auto-enroll 80
hash sha256

3. تحقق مما إذا كانت شهادة CA (شهادة الجذر) مثبتة على sdra_trustPoint

show crypto pki cert sdra_trustpoint

4. في حالة عدم وجود شهادة CA مقترنة، قم بالمصادقة على خادم CA

crypto pki authenticate sdra_trustpoint

5. طلب شهادة المعرف للجهاز الطرفي المستخدم لاتصال الوصول عن بعد (RA)

ملاحظة: يرجى التحقق من تثبيت الشهادتين المدرجتين وإقرانهما بشكل صحيح ب sdra_trustPoint لضمان أن يؤدي الوصول عن بعد المهام المطلوبة.

crypto pki enroll sdra_trustpoint

Spoke4-CG#show crypto pki cert sdra_trustpoint 
Certificate
  Status: Available
  Certificate Serial Number (hex): 03
  Certificate Usage: General Purpose
  Issuer: 
    cn=CA-SERVER-SDRA-CLUS2024
  Subject:
    Name: Spoke4-CG
    hostname=Spoke4-CG
    cn=SDRA-6-10.0.0.6-Spoke4-CG
  Validity Date: 
    start date: 21:22:15 UTC Apr 26 2024
    end   date: 21:22:15 UTC Apr 26 2025
    renew date: 21:22:14 UTC Feb 12 2025
  Associated Trustpoints: sdra_trustpoint 
  Storage: nvram:CA-SERVER-SD#3.cer

CA Certificate
  Status: Available
  Certificate Serial Number (hex): 01
  Certificate Usage: Signature
  Issuer: 
    cn=CA-SERVER-SDRA-CLUS2024
  Subject: 
    cn=CA-SERVER-SDRA-CLUS2024
  Validity Date: 
    start date: 22:37:07 UTC Apr 22 2024
    end   date: 22:37:07 UTC Apr 22 2027
  Associated Trustpoints: sdra_trustpoint 
  Storage: nvram:CA-SERVER-SD#1CA.cer

أخطاء PKI المشفرة

إذا واجهت أي مشاكل أثناء طلب الشهادات، فيرجى تمكين أوامر تصحيح الأخطاء للمساعدة في أستكشاف الأخطاء وإصلاحها:

 debug crypto pki messages debug crypto pki scep debug crypto transactions

test.com Cleartext-Password := "cisco12345"
 Cisco-AVPair = "ip:interface-config=vrf forwarding 1",
 Cisco-AVPair += "ip:interface-config=ip unnumbered GigabitEthernet1",
 Cisco-AVPair += "ipsec:addr-pool=sdra_ip_pool",
 Cisco-AVPair += "ipsec:route-set=prefix 192.168.6.0/24"

 sdra_sslvpn_policy Cleartext-Password := "cisco"
 Cisco-AVPair = "ip:interface-config=vrf forwarding 1",
 Cisco-AVPair += "ip:interface-config=ip unnumbered GigabitEthernet1",
 Cisco-AVPair += "webvpn:addr-pool=sdra_ip_pool"

معلومات ذات صلة

• تكوين الوصول عن بعد إلى SD-WAN باستخدام خادم AnyConnect و ISE
• الدعم التقني والمستندات - Cisco Systems