تكوين مصادقة وحدة التحكم في RAPN وتفويض ISE على FMC

خيارات التنزيل

  • PDF     (3.0 MB)
    عرض باستخدام Adobe Reader على مجموعة متنوعة من الأجهزة
  • ePub     (3.0 MB)
    العرض في تطبيقات مختلفة على iPhone أو iPad أو نظام تشغيل Android أو قارئ Sony أو نظام التشغيل Windows Phone
  • Mobi (Kindle)     (2.4 MB)
    عرض على جهاز Kindle أو تطبيق Kindle على أجهزة متعددة
تم التحديث:٢٩ أكتوبر ٢٠٢٤
معرّف المستند:222552

لغة خالية من التحيز

تسعى مجموعة الوثائق لهذا المنتج جاهدة لاستخدام لغة خالية من التحيز. لأغراض مجموعة الوثائق هذه، يتم تعريف "خالية من التحيز" على أنها لغة لا تعني التمييز على أساس العمر، والإعاقة، والجنس، والهوية العرقية، والهوية الإثنية، والتوجه الجنسي، والحالة الاجتماعية والاقتصادية، والتمييز متعدد الجوانب. قد تكون الاستثناءات موجودة في الوثائق بسبب اللغة التي يتم تشفيرها بشكل ثابت في واجهات المستخدم الخاصة ببرنامج المنتج، أو اللغة المستخدمة بناءً على وثائق RFP، أو اللغة التي يستخدمها منتج الجهة الخارجية المُشار إليه. تعرّف على المزيد حول كيفية استخدام Cisco للغة الشاملة.

حول هذه الترجمة

ترجمت Cisco هذا المستند باستخدام مجموعة من التقنيات الآلية والبشرية لتقديم محتوى دعم للمستخدمين في جميع أنحاء العالم بلغتهم الخاصة. يُرجى ملاحظة أن أفضل ترجمة آلية لن تكون دقيقة كما هو الحال مع الترجمة الاحترافية التي يقدمها مترجم محترف. تخلي Cisco Systems مسئوليتها عن دقة هذه الترجمات وتُوصي بالرجوع دائمًا إلى المستند الإنجليزي الأصلي (الرابط متوفر).

    المقدمة

    يصف هذا المستند تكوين سياسات تفويض خادم ISE لمصادقة الشهادة في إتصالات RAVPN المدارة بواسطة CSF على FMC.

    المتطلبات الأساسية

    المتطلبات

    توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

    • جدار الحماية الآمن (CSF) من Cisco
    • مركز إدارة جدار الحماية الآمن (FMC) من Cisco
    • محرك خدمات الهوية من Cisco (ISE)
    • تسجيل الشهادة وأساسيات SSL.
    • جهة منح الشهادة (CA)

    المكونات المستخدمة

    يستند محتوى هذا المستند إلى إصدارات البرامج والمكونات المادية التالية.

    • Cisco Secure Client، الإصدار 5.1.6
    • Cisco Secure Firewall، الإصدار 7.2.8
    • Cisco Secure Firewall Management Center، الإصدار 7.2.8

    تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

    التكوين

    الخطوة 1: تثبيت شهادة مرجع مصدق ثقة

    note-icon

    ملاحظة: يلزم اتباع هذه الخطوة إذا كانت شهادة CA مختلفة عن الشهادة المستخدمة لمصادقة الخادم. إذا أصدر نفس خادم المرجع المصدق شهادات المستخدمين فليس من الضروري إستيراد نفس شهادة المرجع المصدق مرة أخرى.

    Devices-Certificates-Different CAs

    أ. انتقل إلىDevices > Certificatesوانقر Add.

    ب. أدخل دليل trustpoint name وحدد كتيب كنوع تسجيل تحت معلومات CA.

    ج. فحصCA Onlyولصق شهادة المرجع المصدق (CA) الداخلية/الموثوق بها بتنسيق PEM.

    د. تحقق  Skip Check for CA flag in basic constraints of the CA Certificate  وانقر  Save.

    Check Internal-CA Skip CA-Flag

    ه. تحت Cert Enrollment، حدد trustpoint من القائمة المنسدلة التي تم إنشاؤها للتو وانقر فوق Add.

    Select Trustpoint-Click Add

    الخطوة 2: تكوين مجموعة خوادم ISE/RADIUS وملف تعريف الاتصال

    أ. انتقل إلى Objects > AAA Server > RADIUS Server Group  وانقر Add RADIUS Server Group. خيار Enable authorize only  التحقق.

    warning-icon

    تحذير: إذا لم يتم تحديد خيار تمكين التخويل فقط، يرسل جدار الحماية طلب مصادقة. ومع ذلك، يتوقع أن يستلم ISE اسم مستخدم وكلمة مرور مع ذلك الطلب، ولا يتم إستخدام كلمة مرور في الشهادات. ونتيجة لذلك، يقوم ISE بوضع علامة على الطلب عند فشل المصادقة.

    Enable Authorize Only

    ب. انقر فوق Add (+)  الرمز، ثم أضفRadius server/ISE serverاسم المضيف أو عنوان IP.

    Add ISE Server using IP Address-Hostname

    ج. انتقل إلى Devices > Remote Access configuration . قم بإنشاءnew connection profileأسلوب المصادقة وتعيينه علىClient Certificate Only. لخادم التخويل، أختر الخيار الذي تم إنشاؤه في الخطوات السابقة.

    تأكد من تحديد Allow connection only if user exists in authorization database  الخيار. يضمن هذا الإعداد إكمال الاتصال ب RAVPN فقط إذا كان التخويل مسموح به.

    Create Connection-Profilea and Set Auth-Certificate ISE-Authorization

    يشير اسم مستخدم الخريطة من شهادة العميل إلى المعلومات التي تم الحصول عليها من الشهادة لتعريف المستخدم. في هذا المثال، تحتفظ بالتكوين الافتراضي، ولكن يمكن تغييره على أساس المعلومات التي يتم إستخدامها لتعريف المستخدمين.

    انقر.Save

    د. انتقل إلى Advanced > Group Policies. انقر Add (+)  الأيقونة على الجانب الأيمن.

    Advanced Create Group Policy

    ه - إنشاء group policies. يتم تكوين كل نهج مجموعة استنادا إلى مجموعات المؤسسات والشبكات التي يمكن لكل مجموعة الوصول إليها.

    Create Group Policy

    و. في سياسة المجموعة، قم بتنفيذ التكوينات الخاصة بكل مجموعة. يمكن إضافة رسالة شعار لعرضها بعد اتصال ناجح.

    Create Group-Policy Settings-Section

    g. حدد الجانب group policies الأيسر وانقرAddلنقلهم إلى الجانب الأيمن. يحدد هذا الإجراء نهج المجموعة التي يتم إستخدامها في التكوين.

    Select Group-Policies To Used on FMC Remote-Access-Advanced-Settings

    ه - نشر التغييرات.

    الخطوة 3: تكوين ISE

    الخطوة 3.1: إنشاء مستخدمين ومجموعات وتوصيف مصادقة الشهادات

    أ. سجل الدخول إلى خادم ISE وانتقل إلى Administration > Network Resources > Network Devices.

    Navigate Administration-Network Resources-Network Device

    ب. انقر Add  لتكوين جدار الحماية كعميل AAA.

    Add Firewall as AAA Client

    ج. أدخل اسم جهاز الشبكة وحقلي عنوان IP ثم RADIUS Authentication Settings  حدد خانة الاختيار وأضف Shared Secret. هذه القيمة يجب أن تكون نفس القيمة التي تم إستخدامها عند إنشاء كائن خادم RADIUS على FMC. انقر.Save

    Name and IP Address of the Firewall on ISE

    Check Radius Authentication Settings and Set Shared Secret

    د. انتقل إلىAdministration > Identity Management > Groups.

    Navigate Administration-Identify Management-Groups

    ه - انقرUser Identity Groupsثم انقر Add.

    أدخل اسمالمجموعة وانقرSubmit.

    Add Groups on ISE

    Submit Groups on ISE

    note-icon

    ملاحظة: كرر لإنشاء العديد من المجموعات حسب الحاجة.

    د. انتقل إلى Administration > Identity Management > Identities.

    Navigate Administration-Identify Management-Identifies

    ه. انقرAddلإنشاء مستخدم جديد في قاعدة البيانات المحلية للخادم.

    أدخلUsernameو Login Password. ثم، انتقل إلى نهاية هذه الصفحة وحددUser Group.

    انقر.Save

    Create Users on ISE Network-Access-Users-Section

    Create Internal-User and Set-Password on ISE_Network-Access User-Section

    Select Users Group

    note-icon

    ملاحظة: من الضروري تكوين اسم مستخدم وكلمة مرور لإنشاء مستخدمين داخليين. على الرغم من أنها غير مطلوبة لمصادقة RAVPN، والتي يتم تنفيذها باستخدام الشهادات، يمكن إستخدام هؤلاء المستخدمين للخدمات الداخلية الأخرى التي تتطلب كلمة مرور. لذلك، تأكد من إستخدام كلمة مرور قوية.

    و. انتقل إلى Administration > Identity Management > External Identify Sources.

    Navigate Administration-Identifify Management-External Identify Sources

    g. انقرAddلإنشاء Certificate Authentication Profile.

    يحدد توصيف مصادقة الشهادة كيفية التحقق من صحة شهادات العميل، بما في ذلك أي الحقول في الشهادة يمكن فحصها (اسم الموضوع البديل، الاسم الشائع، وهكذا).

    Add Certificate-Authentication-Profile on ISE External-Identify-Sources

    Create Certificate Authentication Profile

    الخطوة 3.2: تكوين سياسة المصادقة

    يستخدم نهج المصادقة للمصادقة على أن الطلب تم إنشاؤه من جدار الحماية ومن ملف تعريف الاتصال المحدد.

    أ. انتقل إلى Policy > Policy Sets.

    Navigate Policy-Policy Sets

    حدد نهج التخويل الافتراضي بالنقر فوق السهم الموجود على الجانب الأيمن من الشاشة:

    Edit Default Policy

    ب. انقر فوق سهم القائمة المنسدلة المجاورAuthentication Policyلتوسيعه. ثم انقر فوق الأيقونة add (+)  لإضافة قاعدة جديدة.

    Add Authentication Policy to Check the Firewall

    أدخل اسم القاعدة وحدد رمزadd (+)تحت عمود الشروط.

    Name the Authentication Policy

    ج. انقر مربع نص محرر السمات وانقر فوقNAS-IP-Addressالأيقونة. أدخل عنوان IP لجدار الحماية.

    Add NAS IP Address Attribute

    د. انقر New ثم أضف السمةTunnel-Group-nameالأخرى . أدخلConnection Profileالاسم الذي تم تكوينه على FMC.

    Add Tunnel-Group-Name Attribute

    Authentication Policy on ISE

    ه. تحت عمود "إستخدام"، حدد العمود الذي Certificate Authentication Profile  تم إنشاؤه. وبذلك، فإنه يحدد المعلومات المحددة في ملف التعريف الذي يتم إستخدامه لتعريف المستخدمين.

    Select to Use the-Certificate-Authentication-Profile Authentication-Policy

    انقر.Save

    الخطوة 3.3: تكوين سياسة التخويل

    أ. انقر فوق سهم القائمة المنسدلة المجاورAuthorization Policyلتوسيعه. ثم انقر فوق الأيقونة add (+)  لإضافة قاعدة جديدة.

    Create-New-Authorization-Policy on ISE

    add (+)  أدخل اسم القاعدة وحدد الأيقونة تحت عمود الشروط.

    Name Authorization-Policy on ISE Rule-Name

    ب. انقر فوق مربع نص محرر السمات وانقر فوقIdentity groupالأيقونة. حدد Identity group - Name  السمة.

    Add Identify Group Attribute

    حددEqualsكعامل تشغيل بعد ذلك، انقر فوق سهم القائمة المنسدلة لإظهار الخيارات المتاحة وحدد User Identity Groups: .

    Equals Select User-Identify-Group on-the-Identify-Attribute

    ج. في عمود التوصيفات، انقر علىadd (+)أيقونة واختر Create a New Authorization Profile.

    Create a New Authorization Profile

    أدخل التوصيفName.

    Enter Authorization Profile Name

    انتقل إلى Common Tasks  وتحقق ASA VPN. بعد ذلك، اكتب group policy name، والذي يجب أن يكون نفس الذي تم إنشاؤه على FMC.

    Under Common-Tasks Check ASA-VPN Type Group-Policy-Name

    تم تعيين السمات التالية لكل مجموعة:

    ITGroup Attributes

    انقر فوق حفظ.

    note-icon

    ملاحظة: كرر الخطوة 3.3: تكوين نهج التخويل لكل مجموعة تم إنشاؤها.

    التحقق من الصحة

    1. قم بتشغيل الأمرshow vpn-sessiondb anyconnectوالتحقق مما إذا كان المستخدم يستخدم نهج المجموعة الصحيح.

    firepower# show vpn-sessiondb anyconnect

    Session Type : AnyConnect
    Username      : user1                  Index        : 64
    Assigned IP   : 192.168.55.2           Public IP    :
    Protocol      : AnyConnect-Parent
    License       : AnyConnect Premium
    Encryption    : AnyConnect-Parent: (1)none
    Hashing       : AnyConnect-Parent: (1)none
    Bytes Tx      : 15084                  Bytes Rx     : 99611
    Group Policy  : IT_Group               Tunnel Group : FTD_CertAuth
    Login Time    : 22:21:43 UTC Tue Oct 22 2024
    Duration      : 3h:03m:50s
    Inactivity    : 0h:41m:44s
    VLAN Mapping  : N/A                    VLAN         : none
    Audt Sess ID  : 96130a0f0004000067182577
    Security Grp  : none                   Tunnel Zone  : 0

    Username      : User2                  Index        : 70
    Assigned IP   : 192.168.55.3           Public IP    : 
    Protocol      : AnyConnect-Parent SSL-Tunnel DTLS-Tunnel
    License       : AnyConnect Premium
    Encryption    : AnyConnect-Parent: (1)none SSL-Tunnel: (1)AES-GCM-256 DTLS-Tunnel: (1)AES-GCM-256
    Hashing       : AnyConnect-Parent: (1)none SSL-Tunnel: (1)SHA384 DTLS-Tunnel: (1)SHA384
    Bytes Tx      : 15112                  Bytes Rx     : 19738
    Group Policy  : Marketing_Group        Tunnel Group : FTD_CertAuth
    Login Time    : 01:23:08 UTC Wed Oct 23 2024
    Duration      : 0h:02m:25s
    Inactivity    : 0h:00m:00s
    VLAN Mapping  : N/A                    VLAN         : none
    Audt Sess ID  : 96130a0f0004600067184ffc
    Security Grp  : none                   Tunnel Zone  : 0

    firepower#
    1. في نهج المجموعة، يمكنك تكوين رسالة شعار يتم عرضها عند اتصال المستخدم بنجاح. يمكن إستخدام كل شعار لتعريف المجموعة التي لديها تفويض.

    Remote Access-Connection is Success

    Marketing GroupTest Anyconnect

    1. في السجلات المباشرة، تحقق مما إذا كان الاتصال يستخدم نهج التخويل المناسب. انقر فوقDetailsوإظهار تقرير المصادقة.

    Verify Live Logs-Successful ConnectionVerify Authentication Report

    استكشاف الأخطاء وإصلاحها

    يوفر هذا القسم معلومات يمكنك إستخدامها لاستكشاف أخطاء التكوين وإصلاحها.

    1. يمكن تشغيل تصحيح الأخطاء من CLI التشخيصي ل CSF لمصادقة الشهادة.

    debug crypto ca 14
    debug webvpn anyconnect 255
    debug crypto ike-common 255

    2. أستخدم تصحيح أخطاء المصادقة والتفويض والمحاسبة (AAA) للتحقق من تعيين السمات المحلية و/أو البعيدة.

    debug aaa common 255
    debug aaa shim 255
    debug aaa authentication
    debug aaa authorization
    debug radius all

    على ISE:

    1. انتقل إلىOperations > RADIUS > Live Logs.

    ISE Radius Live Logs

    Radius-Live-Logs-Example Operations-Live-Logs-Section

    محفوظات المراجعة

    المراجعة تاريخ النشر التعليقات
    1.0
    29-Oct-2024
    الإصدار الأولي
    TAC Authored

    تمت المساهمة بواسطة مهندسو Cisco

    • Jesus Manuel Burgos Moreno
      Technical Consulting Engineer

    هل كان هذا المستند مفيدًا؟

    Feedbackالتعليقات

    اتصل بنا

    ينطبق هذا المستند على هذه المنتجات