Konfigurieren der externen Authentifizierung in Catalyst Center mit Windows Server

Einleitung

In diesem Dokument wird beschrieben, wie die externe Authentifizierung im Cisco DNA Center mithilfe des Netzwerkrichtlinienservers (Network Policy Server, NPS) in Windows Server als RADIUS konfiguriert wird.

Voraussetzungen

Anforderungen

Grundlegendes Wissen zu:

• Cisco DNA Center - Benutzer und Rollen
• Windows Server-Netzwerkrichtlinienserver, RADIUS und Active Directory

Verwendete Komponenten

• Cisco DNA Center 2.3.5.x
• Microsoft Windows Server Version 2019 als Domänencontroller, DNS-Server, NPS und Active Directory

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Hinweis: Das Cisco Technical Assistance Center (TAC) bietet keinen technischen Support für Microsoft Windows Server. Wenn Probleme mit der Microsoft Windows Server-Konfiguration auftreten, wenden Sie sich an den Microsoft-Support, um technische Unterstützung zu erhalten.

Konfigurieren

Richtlinie für Administratorrolle

1. Klicken Sie in das Windows-Startmenü, und suchen Sie nach NPS. Wählen Sie dann Netzwerkrichtlinienserver aus:
   Windows-Startmenü
2. Klicken Sie im Navigationsbereich auf der linken Seite mit der rechten Maustaste auf die Option NPS (Lokal), und wählen Sie Server in Active Directory registrieren aus:
   Windows-Netzwerkrichtliniendienst
   
   
3. Klicken Sie zweimal auf OK.
   
   
4. Erweitern Sie RADIUS Clients and Servers, klicken Sie mit der rechten Maustaste auf RADIUS Clients, und wählen Sie Neu:
   RADIUS-Client hinzufügen
   
   
5. Geben Sie den Anzeigenamen, die IP-Adresse für das Management von Cisco DNA Center und einen gemeinsamen geheimen Schlüssel ein (dieser kann später verwendet werden):
   RADIUS-Client-Konfiguration
6. Klicken Sie auf OK, um sie zu speichern.
   
   
7. Erweitern Sie Richtlinien, klicken Sie mit der rechten Maustaste auf Netzwerkrichtlinien, und wählen Sie Neu aus:
   Neue Netzwerkrichtlinie hinzufügen
   
   
8. Geben Sie einen Richtliniennamen für die Regel ein, und klicken Sie auf Weiter:
   Richtlinienname
   
   
9. Um eine bestimmte Domänengruppe zuzulassen, fügen Sie diese beiden Bedingungen hinzu, und klicken Sie auf Weiter:
   • Benutzergruppe - Fügen Sie Ihre Domänengruppe hinzu, die im Cisco DNA Center eine Administratorrolle übernehmen kann (für dieses Beispiel wird die Gruppe Sup_Ad_NPS verwendet).
   • ClientIPv4Address - Fügen Sie Ihre Cisco DNA Center Management IP-Adresse hinzu.
     Richtlinienbedingungen
     
     
10. Wählen Sie Zugriff gewährt aus, und klicken Sie auf Weiter:
    Zugriff gewährt verwenden
    
    
11. Wählen Sie nur unverschlüsselte Authentifizierung (PAP, SPAP) aus:
    Unverschlüsselte Authentifizierung auswählen
    
    
12. Wählen Sie Weiter aus, da Standardwerte verwendet werden:
    Constraint-Fenster konfigurieren
    
    
13. Standardattribute entfernen:
    Zu verwendende Attribute definieren
    
    
14. Wählen Sie für RADIUS-Attribute "Herstellerspezifisch" aus, klicken Sie auf Hinzufügen, wählen Sie Cisco als Anbieter aus, und klicken Sie auf Hinzufügen:
    Cisco AV-Pair hinzufügen
    
    
15. Klicken Sie auf Hinzufügen, schreiben Sie Role=SUPER-ADMIN-ROLE und klicken Sie zweimal auf OK:
    Cisco AV-Pair-Attribut hinzugefügt
    
    
16. Wählen Sie Schließen und dann Weiter aus. 
17. Überprüfen Sie Ihre Richtlinieneinstellungen, und wählen Sie Beenden, um sie zu speichern.

Richtlinienübersicht

Richtlinie zur Beobachterrolle.

1. Klicken Sie in das Windows-Startmenü, und suchen Sie nach NPS. Wählen Sie dann Netzwerkrichtlinienserver aus.
2. Klicken Sie im Navigationsbereich auf der linken Seite mit der rechten Maustaste auf die Option NPS (Lokal), und wählen Sie Server in Active Directory registrieren aus.
3. Klicken Sie zweimal auf OK.
4. Erweitern Sie RADIUS Clients and Servers, klicken Sie mit der rechten Maustaste auf RADIUS Clients, und wählen Sie Neu.
5. Geben Sie einen Anzeigenamen, die IP-Adresse für das Management von Cisco DNA Center und einen gemeinsamen geheimen Schlüssel ein (dieser kann später verwendet werden).
6. Klicken Sie auf OK, um sie zu speichern.
7. Erweitern Sie Richtlinien, klicken Sie mit der rechten Maustaste auf Netzwerkrichtlinien, und wählen Sie Neu aus.
8. Geben Sie einen Richtliniennamen für die Regel ein, und klicken Sie auf Weiter.
9. Um eine bestimmte Domänengruppe zuzulassen, müssen Sie diese beiden Bedingungen hinzufügen und Weiter auswählen.
   • Benutzergruppe - Fügen Sie Ihre Domänengruppe hinzu, um eine Beobachterrolle im Cisco DNA Center zuzuweisen (in diesem Beispiel wird die Gruppe Observer_NPS verwendet).
   • ClientIPv4Address - Fügen Sie Ihre Cisco DNA Center Management-IP.
10. Wählen Sie Zugriff gewährt und dann Weiter aus.
11. Wählen Sie nur unverschlüsselte Authentifizierung (PAP, SPAP) aus.
12. Wählen Sie Weiter aus, da Standardwerte verwendet werden.
13. Entfernen Sie Standard-Attribute.
14. Wählen Sie unter RADIUS-Attribute die Option Herstellerspezifisch aus, klicken Sie dann auf Hinzufügen, wählen Sie Cisco als Anbieter aus, und klicken Sie auf Hinzufügen.
15. Wählen Sie Hinzufügen, schreiben Sie ROLE=OBSERVER-ROLE und OK zweimal.
16. Wählen Sie Schließen und dann Weiter aus.
17. Überprüfen Sie Ihre Richtlinieneinstellungen, und wählen Sie Beenden, um sie zu speichern.

Externe Authentifizierung aktivieren

1. Öffnen Sie die grafische Benutzeroberfläche (GUI) von Cisco DNA Center in einem Webbrowser, und melden Sie sich mit einem privilegierten Administratorkonto an:
   

   Cisco DNA Center Anmeldeseite

2. Navigieren Sie zu Menü > System > Setting > Authentication and Policy Servers, und wählen Sie Add > AAA aus:
   Windows-Server hinzufügen
   
   
3. Geben Sie Ihre Windows Server-IP-Adresse und den in den vorherigen Schritten verwendeten geheimen Schlüssel ein, und klicken Sie auf Speichern:
   Windows Server-Werte
   
   
4. Überprüfen Sie, ob Ihr Windows Server-Status Aktiv ist:
   Windows Server - Zusammenfassung
5. Navigieren Sie zu Menü > System > Benutzer & Rollen > Externe Authentifizierung, und wählen Sie Ihren AAA-Server aus:
   Windows Server als AAA-Server
   
   
6. Geben Sie Cisco-AVPair als AAA-Attribut ein, und klicken Sie auf Aktualisieren:
   AV-Pair auf externem Benutzer
   
   
7. Klicken Sie in das Kontrollkästchen Externen Benutzer aktivieren, um die externe Authentifizierung zu aktivieren:
   

Überprüfung

Sie können die grafische Benutzeroberfläche (GUI) von Cisco DNA Center in einem Webbrowser öffnen und sich mit einem externen Benutzer anmelden, der in Windows Server konfiguriert wurde, um zu überprüfen, ob Sie sich erfolgreich über die externe Authentifizierung anmelden können. 

Cisco DNA Center Anmeldeseite