Konfigurieren der RAVPN-Zertifikatauthentifizierung und ISE-Autorisierung auf dem FMC

Einleitung

In diesem Dokument wird die Konfiguration von ISE-Server-Autorisierungsrichtlinien für die Zertifikatsauthentifizierung in RAVPN-Verbindungen beschrieben, die von CSF auf FMC verwaltet werden.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

• Cisco Secure Firewall (CSF)
• Cisco Secure Firewall Management Center (FMC)
• Cisco Identity Services Engine (ISE)
• Zertifikatregistrierung und SSL-Grundlagen
• Zertifizierungsstelle

Verwendete Komponenten

Der Inhalt dieses Dokuments basiert auf den Software- und Hardwareversionen.

• Cisco Secure Client Version 5.1.6
• Cisco Secure Firewall Version 7.2.8
• Cisco Secure Firewall Management Center Version 7.2.8
  

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Konfigurieren

Schritt 1: Installieren eines Zertifikats der vertrauenswürdigen Zertifizierungsstelle

a. Navigieren Sie zu ,Devices > Certificatesund klicken Sie auf Add.

b. Geben Sie einen Wert ein trustpoint name und wählen Sie unter "CA-Informationen" Manual als Registrierungstyp aus.

c. AktivierenCA OnlySie das vertrauenswürdige/interne Zertifizierungsstellenzertifikat, und fügen Sie es im PEM-Format ein.

d. Aktivieren  Skip Check for CA flag in basic constraints of the CA Certificate  und klicken Sie auf  Save.

e. Wählen Sie Cert Enrollmentunter die trustpoint aus dem Dropdown-Menü aus, die gerade erstellt wurde, und klicken Sie auf Add.

Schritt 2: Konfigurieren von ISE/Radius-Servergruppe und Verbindungsprofil

a. Navigieren Sie zu , Objects > AAA Server > RADIUS Server Group  und klicken Sie auf Add RADIUS Server Group. Aktivieren Sie Enable authorize only  Option.

b. Klicken Sie auf Add (+)  das Symbol, und fügen Sie dann dieRadius server/ISE serverunter Verwendung der IP-Adresse oder eines Hostnamens hinzu.

c. Navigieren Sie zu Devices > Remote Access configuration . Erstellen Sie einenew connection profile, und legen Sie die Authentifizierungsmethode aufClient Certificate Onlyfest. Wählen Sie für den Autorisierungsserver den Server aus, der mit den vorherigen Schritten erstellt wurde.

Stellen Sie sicher, dass Sie die Allow connection only if user exists in authorization database  Option aktivieren. Mit dieser Einstellung wird sichergestellt, dass die Verbindung zum RAVPN nur dann hergestellt wird, wenn die Autorisierung zulässig ist.

Der Zuordnungsbenutzername aus dem Clientzertifikat bezieht sich auf die Informationen, die aus dem Zertifikat abgerufen werden, um den Benutzer zu identifizieren. In diesem Beispiel behalten Sie die Standardkonfiguration bei, sie kann jedoch geändert werden, je nachdem, welche Informationen zum Identifizieren der Benutzer verwendet werden.

Klicken Sie auf .Save

d. Navigieren Sie zu Advanced > Group Policies. Klicken Sie auf Add (+)  das Symbol rechts.

e. Erstellen Sie die group policies. Jede Gruppenrichtlinie wird auf Grundlage der Organisationsgruppen und der Netzwerke konfiguriert, auf die jede Gruppe zugreifen kann.

f. Führen Sie in der Gruppenrichtlinie die für jede Gruppe spezifischen Konfigurationen aus. Eine Bannernachricht kann hinzugefügt werden, um sie nach einer erfolgreichen Verbindung anzuzeigen.

g. Wählen Sie die group policies auf der linken Seite aus, und klicken SieAddauf, um sie zur rechten Seite zu verschieben. Legt fest, welche Gruppenrichtlinien in der Konfiguration verwendet werden.

e. Stellen Sie die Änderungen bereit.

Schritt 3: Konfigurieren der ISE

Schritt 3.1: Erstellen von Benutzern, Gruppen und Zertifikatauthentifizierungsprofilen

a. Melden Sie sich beim ISE-Server an, und navigieren Sie zu Administration > Network Resources > Network Devices.

b. Klicken Sie auf Add  , um die Firewall als AAA-Client zu konfigurieren.

c. Geben Sie die Felder für den Netzwerkgerätenamen und die IP-Adresse ein, aktivieren Sie RADIUS Authentication Settings  dann das Kontrollkästchen, und fügen Sie den Shared Secret. Wert Dieser muss derselbe sein, der beim Erstellen des RADIUS-Serverobjekts auf dem FMC verwendet wurde. Klicken Sie auf .Save

d. Navigieren Sie zuAdministration > Identity Management > Groups.

e. Klicken Sie aufUser Identity Groupsund dann auf Add.

Geben Sie den Gruppennamenein, und klicken Sie aufSubmit.

d. Navigieren Sie zu Administration > Identity Management > Identities.

e. Klicken Sie aufAdd, um einen neuen Benutzer in der lokalen Serverdatenbank zu erstellen.

Geben Sie dasUsernameund Login Passwordein. Navigieren Sie dann zum Ende dieser Seite, und wählen Sie dieUser Group.

Klicken Sie auf .Save

f. Navigieren Sie zu Administration > Identity Management > External Identify Sources.

g. Klicken Sie aufAdd, um eine Certificate Authentication Profilezu erstellen.

Das Zertifikatauthentifizierungsprofil legt fest, wie Clientzertifikate validiert werden. Dazu gehört auch, welche Felder im Zertifikat überprüft werden können (alternativer Name des Antragstellers, allgemeiner Name usw.).

Schritt 3.2: Konfigurieren der Authentifizierungsrichtlinie

Die Authentifizierungsrichtlinie wird verwendet, um zu authentifizieren, dass die Anforderung von der Firewall und dem spezifischen Verbindungsprofil stammt.

a. Navigieren Sie zu Policy > Policy Sets.

Wählen Sie die Standard-Autorisierungsrichtlinie aus, indem Sie auf den Pfeil rechts im Bildschirm klicken:

b. Klicken Sie auf den Dropdown-Menüpfeil nebenAuthentication Policy, um ihn zu erweitern. Klicken Sie dann auf das add (+)  Symbol, um eine neue Regel hinzuzufügen.

add (+)Geben Sie den Namen für die Regel ein, und wählen Sie das Symbol in der Spalte Bedingungen aus.

c. Klicken Sie auf das Textfeld Attribute-Editor und anschließend auf dasNAS-IP-AddressSymbol. Geben Sie die IP-Adresse der Firewall ein.

d. Klicken Sie auf New , und fügen Sie dann das andere AttributTunnel-Group-namehinzu. Geben Sie denConnection ProfileNamen ein, der auf dem FMC konfiguriert wurde.

e. Wählen Sie in der Spalte "Verwenden" die Certificate Authentication Profile  erstellte aus. Auf diese Weise werden die im Profil definierten Informationen angegeben, die zur Identifizierung der Benutzer verwendet werden.

Klicken Sie auf .Save

Schritt 3.3: Konfigurieren der Autorisierungsrichtlinie

a. Klicken Sie auf den Dropdown-Menüpfeil nebenAuthorization Policy, um ihn zu erweitern. Klicken Sie dann auf das add (+)  Symbol, um eine neue Regel hinzuzufügen.

Geben Sie den Namen für die Regel ein, und wählen Sie das add (+)  Symbol in der Spalte Bedingungen aus.

b. Klicken Sie auf das Textfeld Attribute-Editor und anschließend auf dasIdentity groupSymbol. Wählen Sie das Identity group - Name  Attribut aus.

Wählen SieEqualsals Operator aus, klicken Sie auf den Pfeil des Dropdown-Menüs, um die verfügbaren Optionen anzuzeigen, und wählen Sie User Identity Groups: .

c. Klicken Sie in der Spalte Profile auf dasadd (+)Symbol, und wählen Sie Create a New Authorization Profile.

Geben Sie das Profil Nameein.

Navigieren Sie zu, Common Tasks  und aktivieren Sie ASA VPN. Geben Sie dann den Befehl group policy nameein, der mit dem auf dem FMC erstellten identisch sein muss.

Die Attribute, die als Nächstes folgen, wurden jeder Gruppe zugewiesen:

Klicken Sie auf Speichern.

Überprüfung

1. Führen Sie den Befehlshow vpn-sessiondb anyconnectaus, und überprüfen Sie, ob der Benutzer die richtige Gruppenrichtlinie verwendet.

firepower# show vpn-sessiondb anyconnect

Session Type : AnyConnect
Username      : user1                  Index        : 64
Assigned IP   : 192.168.55.2           Public IP    :
Protocol      : AnyConnect-Parent
License       : AnyConnect Premium
Encryption    : AnyConnect-Parent: (1)none
Hashing       : AnyConnect-Parent: (1)none
Bytes Tx      : 15084                  Bytes Rx     : 99611
Group Policy  : IT_Group               Tunnel Group : FTD_CertAuth
Login Time    : 22:21:43 UTC Tue Oct 22 2024
Duration      : 3h:03m:50s
Inactivity    : 0h:41m:44s
VLAN Mapping  : N/A                    VLAN         : none
Audt Sess ID  : 96130a0f0004000067182577
Security Grp  : none                   Tunnel Zone  : 0

Username      : User2                  Index        : 70
Assigned IP   : 192.168.55.3           Public IP    : 
Protocol      : AnyConnect-Parent SSL-Tunnel DTLS-Tunnel
License       : AnyConnect Premium
Encryption    : AnyConnect-Parent: (1)none SSL-Tunnel: (1)AES-GCM-256 DTLS-Tunnel: (1)AES-GCM-256
Hashing       : AnyConnect-Parent: (1)none SSL-Tunnel: (1)SHA384 DTLS-Tunnel: (1)SHA384
Bytes Tx      : 15112                  Bytes Rx     : 19738
Group Policy  : Marketing_Group        Tunnel Group : FTD_CertAuth
Login Time    : 01:23:08 UTC Wed Oct 23 2024
Duration      : 0h:02m:25s
Inactivity    : 0h:00m:00s
VLAN Mapping  : N/A                    VLAN         : none
Audt Sess ID  : 96130a0f0004600067184ffc
Security Grp  : none                   Tunnel Zone  : 0

firepower#

2. In der Gruppenrichtlinie können Sie eine Bannermeldung konfigurieren, die angezeigt wird, wenn der Benutzer eine Verbindung herstellen kann. Jedes Banner kann verwendet werden, um die Gruppe zu identifizieren, die über eine Autorisierung verfügt.

3. Überprüfen Sie in Live-Protokollen, ob für die Verbindung die entsprechende Autorisierungsrichtlinie verwendet wird. Klicken Sie auf,Detailsund zeigen Sie den Authentifizierungsbericht an.

Fehlerbehebung

In diesem Abschnitt erhalten Sie Informationen zur Behebung von Fehlern in Ihrer Konfiguration.

1. Debugs können über die Diagnose-CLI des CSF für die Zertifikatauthentifizierung ausgeführt werden.

debug crypto ca 14
debug webvpn anyconnect 255
debug crypto ike-common 255

2. Verwenden Sie AAA-Debugs, um die Zuweisung von lokalen und/oder Remote-Attributen zu überprüfen.

debug aaa common 255
debug aaa shim 255
debug aaa authentication
debug aaa authorization
debug radius all

Auf der ISE:

1. Navigieren Sie zuOperations > RADIUS > Live Logs.