Contenido

Introducción

Prerequisites

Requirements

Componentes Utilizados

Configurar

Diagrama de la red

ISE - Pasos de configuración

1. SGT para finanzas y marketing

2. ACL de grupo de seguridad para marketing de tráfico > Finanzas

3. Enlace de ACL en Matriz

4. Regla de autorización para acceso VPN Asignación de SGT = 3 (Marketing)

5. Regla de autorización para asignación de acceso 802.1x SGT = 2 (finanzas)

6. Adición de dispositivos de red, generación de PAC para ASA

7. Agregar dispositivo de red, configurar secreto para el aprovisionamiento automático de PAC del switch

ASA - Pasos de configuración

1. Acceso VPN básico

2. Importar PAC y habilitar cts

3. SGACL para la financiación del tráfico > Marketing

4. Habilitar cts en la interfaz interna

Switch - Pasos de configuración

1. Basic 802.1x

2. Configuración y aprovisionamiento de CTS

3. Habilitar cts en la interfaz a ASA

Verificación

Troubleshoot

Asignación de SGT

Aplicación en ASA

Aplicación de switches

Información Relacionada

Introducción

Este documento describe cómo utilizar la función implementada en Adaptive Security Appliance (ASA) Versión 9.3.1 - Etiquetado en línea TrustSec. Esta función permite que ASA reciba tramas TrustSec y que las envíe. De esta manera, ASA se puede integrar fácilmente en el dominio TrustSec sin necesidad de utilizar TrustSec SGT Exchange Protocol (SXP).

Este ejemplo presenta al usuario VPN remoto al que se ha asignado la etiqueta Security Group Tag (SGT) = 3 (Marketing) y 802.1x al usuario a los que se ha asignado la etiqueta SGT = 2 (Finanzas). La aplicación del tráfico es realizada tanto por ASA con el uso de la lista de control de acceso de grupo de seguridad (SGACL) definida localmente como por el switch Cisco IOS® mediante la lista de control de acceso basado en roles (RBACL) descargada de Identity Services Engine (ISE).

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

- Configuración de la CLI de ASA y configuración de VPN de capa de socket seguro (SSL)

- Configuración de VPN de acceso remoto en ASA

- Servicios de ISE y TrustSec

Componentes Utilizados

La información que contiene este documento se basa en estas versiones de software:

- Software Cisco ASA, versión 9.3.1 y posteriores

- Hardware Cisco ASA 55x5 o ASAv

- Windows 7 con Cisco AnyConnect Secure Mobility Client, versión 3.1

- Switch Cisco Catalyst 3750X con software 15.0.2 y posterior

- Cisco ISE, versión 1.2 y posteriores

Configurar

Nota: Use la Command Lookup Tool (clientes registrados solamente) para obtener más información sobre los comandos usados en esta sección.

Diagrama de la red

La conexión entre ASA y 3750X está configurada para cts manuales. Esto significa que ambos dispositivos pueden enviar y recibir tramas Ethernet modificadas con el campo de metadatos de Cisco (CMD). Ese campo incluye Security Group Tag (SGT) que describe el origen del paquete.

El usuario de VPN remota finaliza la sesión SSL en ASA y se le asigna la etiqueta SGT 3 (Marketing).

Usuario 802.1x corporativo local después de que se haya asignado la autenticación correcta a la etiqueta SGT 2 (Finanzas).

ASA tiene SGACL configurado en la interfaz interna que permite el tráfico ICMP iniciado desde Finanzas a Marketing.

ASA permite todo el tráfico iniciado desde el usuario de VPN de eliminación (debido a la configuración "sysopt connection permit-vpn").

SGACL en ASA es stateful, lo que significa que una vez que se crea el flujo, el paquete devuelto se acepta automáticamente (según la inspección).

El switch 3750 utiliza RBACL para controlar el tráfico recibido de Marketing a Finanzas.

RBACL es sin información de estado, lo que significa que todos los paquetes se comprueban, pero la aplicación de TrustSec en la plataforma 3750X se realiza en el destino. De esta manera, el switch es responsable de la aplicación del tráfico de marketing a finanzas.

Nota: Para el firewall con información de estado de Trustsec en Cisco IOS® se puede utilizar el firewall basado en zona, por ejemplo, consulte:

Nota: ASA podría tener SGACL controlando el tráfico que proviene del usuario VPN remoto. Para simplificar el escenario, no se ha presentado en este artículo. Por ejemplo, consulte Ejemplo de Configuración de Clasificación y Aplicación de ASA Versión 9.2 VPN SGT

ISE - Pasos de configuración

1. SGT para finanzas y marketing

Vaya a Policy > Results > Security Group Access > Security Groups y cree SGT para Finance and Marketing como se muestra en esta imagen.

2. ACL de grupo de seguridad para marketing de tráfico > Finanzas

Navegue hasta Policy > Results > Security Group Access > Security Group ACL y cree ACL que se utiliza para controlar el tráfico de Marketing a Finanzas. Solo se permite tcp/445 como se muestra en esta imagen.

3. Enlace de ACL en Matriz

Navegue hasta Política > Política de Salida > enlace de matriz para ACL configurada para el origen: Marketing y destino: Finanzas. También adjunte Deny IP como la última ACL en descartar el resto del tráfico como se muestra en la imagen. (sin esa política predeterminada, el valor predeterminado es permit any)

4. Regla de autorización para acceso VPN Asignación de SGT = 3 (Marketing)

Navegue hasta Política > Autorización y cree una regla para acceso VPN remoto. Todas las conexiones VPN establecidas a través del cliente AnyConnect 4.x tendrán acceso completo (PermitAccess) y se les asignará la etiqueta SGT 3 (Marketing). La condición es utilizar las Extensiones de identidad de AnyConnect (ACIDEX):

Rule name: VPN

Condition: Cisco:cisco-av-pair CONTAINS mdm-tlv=ac-user-agent=AnyConnect Windows 4

Permissions: PermitAccess AND Marketing

5. Regla de autorización para asignación de acceso 802.1x SGT = 2 (finanzas)

Navegue hasta Política > Autorización y cree una regla para el acceso 802.1x. El solicitante que finalice la sesión 802.1x en el switch 3750 con el nombre de usuario cisco obtendrá acceso completo (PermitAccess) y se le asignará la etiqueta SGT 2 (Finanzas).

Rule name: 802.1x

Condition: Radius:User-Name EQUALS cisco AND Radius:NAS-IP-Address EQUALS 192.168.1.10

Permissions: PermitAccess ANDFinance

6. Adición de dispositivos de red, generación de PAC para ASA

Para agregar ASA al dominio TrustSec, es necesario generar el archivo PAC manualmente. Ese archivo se importa en ASA.

Se puede configurar desde Administration (Administración) > Network Devices (Dispositivos de red). Después de agregar ASA, desplácese hacia abajo hasta TrustSec settings y Generate PAC como se muestra en esta imagen.

Los switches (3750X) admiten el aprovisionamiento automático de PAC, por lo que los pasos deben ejecutarse solo para ASA, que solo admite el aprovisionamiento manual de PAC.

7. Agregar dispositivo de red, configurar secreto para el aprovisionamiento automático de PAC del switch

Para el switch que utiliza aprovisionamiento PAC automático, se debe establecer un secreto correcto, como se muestra en esta imagen.

Nota: PAC se utiliza para autenticar ISE y descargar datos del entorno (p. ej. SGT) junto con la política (ACL). ASA sólo admite datos de entorno; las políticas deben configurarse manualmente en ASA. Cisco IOS® admite ambos, por lo que las políticas se pueden descargar de ISE.

ASA - Pasos de configuración

1. Acceso VPN básico

Configure el acceso SSL VPN básico para AnyConnect mediante ISE para la autenticación.

aaa-server ISE protocol radius

aaa-server ISE (inside) host 10.62.145.41

key cisco

webvpn

enable outside

anyconnect-essentials

anyconnect image disk0:/anyconnect-win-4.0.00051-k9.pkg 1

anyconnect enable

tunnel-group-list enable

error-recovery disable

tunnel-group TAC type remote-access

tunnel-group TAC general-attributes

address-pool (outside) POOL

authentication-server-group ISE

default-group-policy TAC

tunnel-group TAC webvpn-attributes

group-alias TAC enable

ip local pool POOL 192.168.100.50-192.168.100.60 mask 255.255.255.0

2. Importar PAC y habilitar cts

Importe PAC generado para ASA (desde el paso 6 de la configuración de ISE). Utilice la misma clave de cifrado:

BSNS-ASA5512-4# cts import-pac http://10.229.20.86/asa5512.pac password ciscocisco

PAC Imported Successfully

Para verificar:

BSNS-ASA5512-4# show cts pac

PAC-Info:

Valid until: Apr 11 2016 10:16:41

AID:         c2dcb10f6e5474529815aed11ed981bc

I-ID:        asa5512

A-ID-Info:   Identity Services Engine

PAC-type:    Cisco Trustsec

PAC-Opaque:

000200b00003000100040010c2dcb10f6e5474529815aed11ed981bc00060094000301

007915dcb81032f2fdf04bfe938547fad2000000135523ecb300093a8089ee0193bb2c

8bc5cfabf8bc7b9543161e6886ac27e5ba1208ce445018a6b07cc17688baf379d2f1f3

25301fffa98935ae5d219b9588bcb6656799917d2ade088c0a7e653ea1dca530e24274

4366ed375488c4ccc3d64c78a7fc8c62c148ceb58fad0b07d7222a2c02549179dbf2a7

4d4013e8fe

Habilitar cts:

cts server-group ISE

Después de habilitar cts, ASA debe descargar los datos del entorno de ISE:

BSNS-ASA5512-4# show cts environment-data

CTS Environment Data

====================

Status:                    Active

Last download attempt:     Successful

Environment Data Lifetime: 86400 secs

Last update time:          10:21:41 UTC Apr 11 2015

Env-data expires in:       0:00:37:31 (dd:hr:mm:sec)

Env-data refreshes in:     0:00:27:31 (dd:hr:mm:sec)

3. SGACL para la financiación del tráfico > Marketing

Configure SGACL en la interfaz interna. La ACL permite iniciar solamente el tráfico ICMP de Finanzas a Marketing.

access-list inside extended permit icmp security-group name Finance any security-group name Marketing any

access-group inside in interface inside

ASA debe expandir el nombre de la etiqueta a un número:

BSNS-ASA5512-4(config)# show access-list inside

access-list inside line 1 extended permit icmp security-group name Finance(tag=2) any security-group name Marketing(tag=3) any (hitcnt=47) 0x5633b153

4. Habilitar cts en la interfaz interna

Después de habilitar cts en la interfaz interna de ASA:

interface GigabitEthernet0/1

nameif inside

cts manual

policy static sgt 100 trusted

security-level 100

ip address 192.168.1.100 255.255.255.0

ASA puede enviar y recibir tramas TrustSec (tramas Ethernet con campo CMD). ASA asume que todas las tramas de ingreso sin etiqueta deben tratarse como con la etiqueta 100. Se confiarán en todas las tramas de ingreso que ya incluyen la etiqueta.

Switch - Pasos de configuración

1. Basic 802.1x

aaa new-model

aaa authentication dot1x default group radius

aaa authorization network default group radius

dot1x system-auth-control

interface GigabitEthernet1/0/2

description windows7

switchport access vlan 10

switchport mode access

authentication host-mode multi-domain

authentication port-control auto

dot1x pae authenticator

spanning-tree portfast

radius-server host 10.48.66.74 pac key cisco

Con esa configuración, después de una autorización 802.1x exitosa, al usuario (autorizado a través de ISE) se le debe asignar la etiqueta 2 (Finanzas).

2. Configuración y aprovisionamiento de CTS

Del mismo modo, en el caso de ASA, cts se configura y señala a ISE:

aaa authorization network ise group radius

cts authorization list ise

Además, la aplicación está habilitada tanto para la capa 3 como para la capa 2 (todas las vlan):

cts role-based enforcement

cts role-based enforcement vlan-list 1-1005,1008-4094

Para aprovisionar PAC automáticamente:

bsns-3750-5#cts credentials id 3750-5 password ciscocisco

Una vez más, la contraseña debe coincidir con la configuración correspondiente en ISE (Dispositivo de red > Switch > TrustSec). Ahora mismo, Cisco IOS® inicia la sesión EAP-FAST con ISE para obtener la PAC. Puede encontrar más detalles sobre este proceso aquí:

Ejemplo de configuración TrustSec de ASA y el Switch Catalyst Serie 3750X y guía de solución de problemas

Para verificar si PAC está instalado:

bsns-3750-5#show cts pacs

AID: EA48096688D96EF7B94C679A17BDAD6F

PAC-Info:

PAC-type = Cisco Trustsec

AID: EA48096688D96EF7B94C679A17BDAD6F

I-ID: 3750-5

A-ID-Info: Identity Services Engine

Credential Lifetime: 14:41:24 CEST Jul 10 2015

PAC-Opaque: 000200B00003000100040010EA48096688D96EF7B94C679A17BDAD6F0006009400030100365AB3133998C86C1BA1B418968C60690000001355261CCC00093A808F8A81F3F8C99A7CB83A8C3BFC4D573212C61CDCEB37ED279D683EE0DA60D86D5904C41701ACF07BE98B3B73C4275C98C19A1DD7E1D65E679F3E9D40662B409E58A9F139BAA3BA3818553152F28AE04B089E5B7CBB22A0D4BCEEF80F826A180B5227EAACBD07709DBDCD3CB42AA9F996829AE46F

Refresh timer is set for 4y14w

3. Habilitar cts en la interfaz a ASA

interface GigabitEthernet1/0/39

switchport access vlan 10

switchport mode access

cts manual

policy static sgt 101 trusted

A partir de ahora, el switch debe estar preparado para procesar y enviar tramas TrustSec y aplicar las políticas descargadas de ISE.

Verificación

Utilize esta sección para confirmar que su configuración funcione correctamente.

La verificación se trata en secciones individuales de este documento.

Troubleshoot

Asignación de SGT

Después de establecer la sesión VPN a ASA, se debe confirmar la asignación SGT correcta:

BSNS-ASA5512-4# show vpn-sessiondb anyconnect

Session Type: AnyConnect

Username     : cisco                  Index        : 13

Assigned IP  : 192.168.100.50         Public IP    : 10.229.20.86

Protocol     : AnyConnect-Parent SSL-Tunnel DTLS-Tunnel

License      : AnyConnect Essentials

Encryption   : AnyConnect-Parent: (1)none  SSL-Tunnel: (1)AES256  DTLS-Tunnel: (1)AES256

Hashing      : AnyConnect-Parent: (1)none  SSL-Tunnel: (1)SHA256  DTLS-Tunnel: (1)SHA1

Bytes Tx     : 10308                  Bytes Rx     : 10772

Group Policy : TAC                    Tunnel Group : TAC

Login Time   : 15:00:13 UTC Mon Apr 13 2015

Duration     : 0h:00m:25s

Inactivity   : 0h:00m:00s

VLAN Mapping : N/A                    VLAN         : none

Audt Sess ID : c0a801640000d000552bd9fd

Security Grp : 3:Marketing

Según las reglas de autorización de ISE, todos los usuarios de AnyConnect4 se han asignado a la etiqueta de marketing.

Lo mismo con la sesión 802.1x en el switch. Después de que finalice AnyConnect Network Analysis Module (NAM), el switch de autenticación aplicará la etiqueta correcta devuelta desde ISE:

bsns-3750-5#show authentication sessions interface g1/0/2 details

Interface:  GigabitEthernet1/0/2

MAC Address:  0050.5699.36ce

IPv6 Address:  Unknown

IPv4 Address:  192.168.1.203

User-Name:  cisco

Status:  Authorized

Domain:  DATA

Oper host mode:  multi-domain

Oper control dir:  both

Session timeout:  N/A

Common Session ID:  0A30426D000000130001B278

Acct Session ID:  Unknown

Handle:  0x53000002

Current Policy:  POLICY_Gi1/0/2

Local Policies:

Template: DEFAULT_LINKSEC_POLICY_SHOULD_SECURE (priority 150)

Security Policy:  Should Secure

Security Status:  Link Unsecure

Server Policies:

SGT Value:  2

Method status list:

Method           State

dot1x            Authc Success

mab              Stopped

Según las reglas de autorización de ISE, todos los usuarios conectados a ese switch deben asignarse a SGT = 2 (Finanzas).

Aplicación en ASA

Cuando intenta enviar un tráfico desde Finance (192.168.1.203) a Marketing (192.168.100.50), se encuentra en la interfaz interna de ASA. Para la solicitud de eco ICMP, crea la sesión:

Built outbound ICMP connection for faddr 192.168.100.50/0(LOCAL\cisco, 3:Marketing) gaddr 192.168.1.203/1 laddr 192.168.1.203/1(2)

y aumenta los contadores ACL:

BSNS-ASA5512-4(config)# sh access-list

access-list inside line 1 extended permit icmp security-group name Finance(tag=2) any security-group name Marketing(tag=3) any (hitcnt=138)

Esto también se puede confirmar mirando las capturas de paquetes. Tenga en cuenta que se muestran las etiquetas correctas:

BSNS-ASA5512-4(config)# capture CAP interface inside

BSNS-ASA5512-4(config)# show capture CAP

1: 15:13:05.736793       INLINE-TAG 2 192.168.1.203 > 192.168.100.50: icmp: echo request

2: 15:13:05.772237       INLINE-TAG 3 192.168.100.50 > 192.168.1.203: icmp: echo reply

3: 15:13:10.737236       INLINE-TAG 2 192.168.1.203 > 192.168.100.50: icmp: echo request

4: 15:13:10.772726       INLINE-TAG 3 192.168.100.50 > 192.168.1.203: icmp: echo reply

Hay una solicitud de eco ICMP entrante etiquetada con SGT = 2 (Finanzas) y luego una respuesta del usuario VPN que es etiquetada por ASA con SGT = 3 (Marketing). Otra herramienta de solución de problemas, packet-tracer también está preparada para TrustSec.

Desafortunadamente, el PC 802.1x no ve esa respuesta porque está bloqueado por RBACL sin estado en el switch (explicación en la siguiente sección).

Otra herramienta de solución de problemas, packet-tracer también está preparada para TrustSec. Confirmemos si se aceptará el paquete ICMP entrante de Finanzas:

BSNS-ASA5512-4# packet-tracer input inside icmp inline-tag 2 192.168.1.203 8 0 192.168.100.50

Mapping security-group 3:Marketing to IP address 192.168.100.50

Phase: 1

Type: CAPTURE

Subtype:

Result: ALLOW

Config:

Additional Information:

MAC Access list

Phase: 2

Type: ACCESS-LIST

Subtype:

Result: ALLOW

Config:

Implicit Rule

Additional Information:

MAC Access list

Phase: 3

Type: ROUTE-LOOKUP

Subtype: Resolve Egress Interface

Result: ALLOW

Config:

Additional Information:

found next-hop 10.48.66.1 using egress ifc  outside

Phase: 4

Type: ACCESS-LIST

Subtype: log

Result: ALLOW

Config:

access-group inside in interface inside

access-list inside extended permit icmp security-group name Finance any security-group name Marketing any

Additional Information:

<some output omitted for clarity>

Phase: 13

Type: FLOW-CREATION

Subtype:

Result: ALLOW

Config:

Additional Information:

New flow created with id 4830, packet dispatched to next module

Result:

input-interface: inside

input-status: up

input-line-status: up

output-interface: NP Identity Ifc

output-status: up

output-line-status: up

Action: allow

Intentemos también iniciar cualquier conexión TCP de Finanzas a Marketing, que debe ser bloqueada por el ASA:

Deny tcp src inside:192.168.1.203/49236 dst outside:192.168.100.50/445(LOCAL\cisco, 3:Marketing) by access-group "inside" [0x0, 0x0]

Aplicación de switches

Verifiquemos si el switch ha descargado las políticas de ISE correctamente:

bsns-3750-5#show cts role-based permissions

IPv4 Role-based permissions default:

Permit IP-00

IPv4 Role-based permissions from group 2:Finance to group Unknown:

test_deny-30

IPv4 Role-based permissions from group 8 to group Unknown:

permit_icmp-10

IPv4 Role-based permissions from group Unknown to group 2:Finance:

test_deny-30

Permit IP-00

IPv4 Role-based permissions from group 3:Marketing to group 2:Finance:

telnet445-60

Deny IP-00

RBACL Monitor All for Dynamic Policies : FALSE

RBACL Monitor All for Configured Policies : FALSE

La política que controla el tráfico de marketing a finanzas se instala correctamente. Solo se permite tcp/445 según RBACL:

bsns-3750-5#show cts rbacl telnet445

CTS RBACL Policy

================

RBACL IP Version Supported: IPv4

name   = telnet445-60

IP protocol version = IPV4

refcnt = 2

flag   = 0x41000000

stale  = FALSE

RBACL ACEs:

permit tcp dst eq 445

Esta es la razón por la que se ha descartado la respuesta de eco ICMP que proviene de Marketing a Finanzas. Esto puede confirmarse verificando los contadores para el tráfico de SGT 3 a SGT 2:

bsns-3750-5#show cts role-based counters

Role-based IPv4 counters

# '-' in hardware counters field indicates sharing among cells with identical policies

From    To      SW-Denied       HW-Denied       SW-Permitted    HW-Permitted

*       *       0               0               223613          3645233

0       2       0               0               0               122

3       2       0               65              0               0

2       0       0               0               179             0

8       0       0               0               0               0

El hardware ha descartado los paquetes (el contador actual es de 65 y aumenta cada 1 segundo).

¿Qué sucede si la conexión tcp/445 se inicia desde el marketing?

ASA lo permite (acepta todo el tráfico VPN debido a "sysopt connection permit-vpn"):

Built inbound TCP connection 4773 for outside:192.168.100.50/49181 (192.168.100.50/49181)(LOCAL\cisco, 3:Marketing) to inside:192.168.1.203/445 (192.168.1.203/445) (cisco)

Se crea la sesión correcta:

BSNS-ASA5512-4(config)#  show conn all | i 192.168.100.50

TCP outside  192.168.100.50:49181 inside  192.168.1.203:445, idle 0:00:51, bytes 0, flags UB

Y Cisco IOS® lo acepta porque coincide con telnet445 RBACL. Los contadores correctos aumentan:

bsns-3750-5#show cts role-based counters from 3 to 2

3       2       0               65             0               3

(la última columna es el tráfico permitido por el hardware). Se permite la sesión.

Este ejemplo se presenta a propósito para mostrar la diferencia en la configuración y aplicación de políticas TrustSec en ASA y Cisco IOS®.  Tenga en cuenta las diferencias entre las políticas de Cisco IOS® descargadas de ISE (RBACL sin estado) y el firewall basado en zona con estado TrustSec.

Información Relacionada

- Ejemplo de Configuración de la Postura VPN de ASA Versión 9.2.1 con ISE

- Ejemplo de configuración TrustSec de ASA y el Switch Catalyst Serie 3750X y guía de solución de problemas

- Guía de configuraicón del Switch Cisco TrustSec Comprensión Cisco TrustSec

- Configuración de un servidor externo para la autorización de usuario de dispositivo de seguridad

- Guía de configuración CLI VPN Cisco Serie ASA, 9.1

- Guía de usuario de Cisco Identity Services Engine, versión 1.2

- Soporte Técnico y Documentación - Cisco Systems