Konfigurieren eines sicheren SMTP-Servers auf der ISE

Einleitung

In diesem Dokument wird die Konfiguration des SMTP-Servers auf der Cisco ISE zur Unterstützung von E-Mail-Benachrichtigungen für mehrere Dienste beschrieben.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Grundkenntnisse der Cisco Identity Services Engine (ISE) und des Simple Mail Transfer Protocol (SMTP)-Servers verfügen. 

Verwendete Komponenten

Dieses Dokument ist nicht auf bestimmte Software- und Hardware-Versionen beschränkt. ISE Version 3.0 unterstützt sowohl gesicherte als auch ungesicherte Verbindungen zum SMTP-Server.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Konfiguration

In diesem Abschnitt wird die Konfiguration der ISE zur Unterstützung von E-Mail-Benachrichtigungen beschrieben, mit denen folgende Aufgaben durchgeführt werden:

• Senden Sie E-Mail-Warnmeldungen an alle internen Administratoren, wenn die Option Systemwarnungen in E-Mails einschließen aktiviert ist. Die E-Mail-Adresse des Absenders, an die Alarmmeldungen gesendet werden sollen, ist mit ise@<hostname> fest codiert.
• Ermöglichen Sie es Sponsoren, Gästen eine E-Mail-Benachrichtigung mit ihren Anmeldeinformationen und Anweisungen zum Zurücksetzen des Kennworts zu senden.
• Ermöglicht Gästen, ihre Anmeldeinformationen automatisch zu erhalten, nachdem sie sich erfolgreich registriert haben, und Maßnahmen zu ergreifen, bevor ihre Gastkonten ablaufen.
• Senden Sie Erinnerungs-E-Mails an ISE-Administratoren/interne Netzwerkbenutzer, die auf der ISE vor Ablauf ihres Kennworts konfiguriert wurden.

SMTP-Einstellungen

Bevor die ISE E-Mail-Services verwenden kann, muss ein SMTP-Relay-Server konfiguriert sein. Um die SMTP-Serverdetails zu aktualisieren, navigieren Sie zu Administration > System > Settings > Proxy > SMTP Server.

Diese Tabelle zeigt, welcher Knoten in einer verteilten ISE-Umgebung eine E-Mail sendet.

Zweck der E-Mail	Knoten, der die E-Mail sendet
Ablauf des Gastkontos	Primärer PAN
Alarme	Aktives MnT
Benachrichtigungen über Sponsoren- und Gastkonten aus den jeweiligen Portalen	PSN
Kennwortablaufzeiten	Primärer PAN

Konfigurieren Sie den SMTP-Server so, dass Sie E-Mails von der ISE mit oder ohne Authentifizierung oder Verschlüsselung je nach Anforderung annehmen können.

Unsichere SMTP-Kommunikationseinstellungen ohne Authentifizierung oder Verschlüsselung

1. Definieren Sie den Hostnamen des SMTP-Servers (ausgehender SMTP-Server).
2. SMTP-Port (dieser Port muss im Netzwerk offen sein, um eine Verbindung zum SMTP-Server herstellen zu können).
3. Connection Timeout (Verbindungszeitüberschreitung) (Geben Sie die maximale Zeit ein, die Cisco ISE auf eine Antwort vom SMTP-Server wartet.)
4. Klicken Sie auf Verbindung testen und speichern.

Die Paketerfassung zeigt die ISE-Kommunikation mit dem SMTP-Server ohne Authentifizierung oder Verschlüsselung:

Sichere SMTP-Kommunikationseinstellungen

Die gesicherte Verbindung kann auf zwei Arten erfolgen:

1. SSL-basiert
2. Benutzername/Kennwort-basiert

Der verwendete SMTP-Server muss eine SSL- und anmeldeinformationsbasierte Authentifizierung unterstützen. Eine sichere SMTP-Kommunikation kann mit einer der beiden Optionen oder mit beiden Optionen gleichzeitig verwendet werden.

Sichere SMTP-Kommunikation mit Verschlüsselung

1. Import Root CA Certificate of the SMTP server certificate in the ISE Trusted Certificates with usage: Trust for authentication within ISE and Trust for client authentication and Syslog.
2. Konfigurieren Sie den SMTP-Server, konfigurierten Port auf dem SMTP-Server für verschlüsselte Kommunikation, und aktivieren Sie die Option TLS/SSL-Verschlüsselung verwenden.

Die Testverbindung zeigt eine erfolgreiche Verbindung mit dem SMTP-Server an.

Paketerfassungen zeigen, dass der Server die STARTTLS-Option akzeptiert hat, wie von der ISE angefordert.

Sichere SMTP-Kommunikation mit aktivierten Authentifizierungseinstellungen

1. Konfigurieren Sie den SMTP-Server und den SMTP-Port.
2. Aktivieren Sie unter Authentication Settings die Option Use Password Authentication (Kennwortauthentifizierung verwenden), und geben Sie den Benutzernamen und das Kennwort ein.

Erfolgreiche Testverbindung bei passwortbasierter Authentifizierung:

Beispiel für die Paketerfassung, die eine erfolgreiche Authentifizierung mit Anmeldeinformationen anzeigt:

Überprüfung

Nutzen Sie diesen Abschnitt, um zu überprüfen, ob Ihre Konfiguration ordnungsgemäß funktioniert.

1. Verwenden Sie die Option "Verbindung testen", um die Verbindung zum konfigurierten SMTP-Server zu überprüfen.
2. Senden Sie eine Test-E-Mail vom Gastportal unter Work Centers > Guest Access > Portals & Components > Guest Portals > Self-Registered Guest Portal(default) > Portal Page Customization > Notifications > Email > Preview window Settings. Geben Sie eine gültige E-Mail-Adresse ein, und senden Sie eine Test-E-Mail. Der Empfänger muss die E-Mail von der konfigurierten E-Mail-Adresse in den Einstellungen für Gast-E-Mail erhalten.

Beispiel-E-Mail-Benachrichtigung für die Anmeldeinformationen des Gastkontos:

Beispiel für eine E-Mail-Benachrichtigung, die vom E-Mail-Empfänger empfangen wurde:

Fehlerbehebung

In diesem Abschnitt erhalten Sie Informationen zur Behebung von Fehlern in Ihrer Konfiguration:

Problem: Testverbindung zeigt Folgendes an: "Verbindung zum SMTP-Server konnte nicht hergestellt werden, SSL-Fehler. Bitte überprüfen Sie die vertrauenswürdigen Zertifikate".

Die Paketerfassung zeigt, dass das vom SMTP-Server bereitgestellte Zertifikat nicht vertrauenswürdig ist:

Lösung: Importieren Sie das Zertifikat der Stammzertifizierungsstelle des SMTP-Servers in die vertrauenswürdigen ISE-Zertifikate, und wenn auf dem Port die TLS-Unterstützung konfiguriert ist.

Problem: Testverbindung zeigt Folgendes an: "Authentifizierungsfehler: Verbindung zum SMTP-Server konnte nicht hergestellt werden, Benutzername oder Kennwort sind falsch".

Die Beispielpaketerfassung hier zeigt, dass die Authentifizierung nicht erfolgreich war.

Lösung: Validieren Sie den auf dem SMTP-Server konfigurierten Benutzernamen oder das Kennwort.

Problem: Testverbindung zeigt an: "Verbindung zum SMTP-Server fehlgeschlagen".

Lösung: Überprüfen der Konfiguration des SMTP-Server-Ports Überprüfen Sie, ob der SMTP-Servername vom konfigurierten DNS-Server auf der ISE aufgelöst werden kann.

Das Beispiel zeigt, dass ein Reset vom SMTP-Server an einem 587-Port gesendet wird, der nicht für den SMTP-Dienst konfiguriert ist.

Zugehörige Informationen

• Administratorleitfaden für die Cisco Identity Services Engine, Version 3.0

• Technischer Support und Dokumentation für Cisco Systeme