Sistema operativo ampliable FirePOWER (FXOS) 2.2: Autenticación y autorización de chasis para administración remota con ACS mediante RADIUS

Introducción

Este documento describe cómo configurar la autenticación y autorización RADIUS para el chasis del sistema operativo ampliable Firepower (FXOS) a través de Access Control Server (ACS).

El chasis FXOS incluye las siguientes funciones de usuario:

• Administrador: complete el acceso de lectura y escritura a todo el sistema. La cuenta de administrador predeterminada tiene asignada esta función de forma predeterminada y no se puede cambiar.
• Sólo lectura: acceso de sólo lectura a la configuración del sistema sin privilegios para modificar el estado del sistema.
• Operaciones: acceso de lectura y escritura a la configuración de NTP, configuración de Smart Call Home para Smart Licensing y registros del sistema, incluidos los servidores y fallos de syslog. Lea el acceso al resto del sistema.
• AAA: acceso de lectura y escritura a usuarios, funciones y configuración AAA. Lea el acceso al resto del sistema.

A través de CLI, esto puede verse de la siguiente manera:

fpr4120-TAC-A /security* # show role

Función:        

    Nombre de rol Priv

    — —

    aaa aaa

    admin

    operaciones

    sólo lectura

Colaborado por Tony Remirez, Jose Soto, Ingenieros del TAC de Cisco.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

• Conocimiento de Firepower eXtensible Operating System (FXOS)
• Conocimiento de la configuración ACS

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

• Cisco Firepower 4120 Security Appliance versión 2.2
• Cisco Access Control Server virtual versión 5.8.0.32

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command. 

Configurar

El objetivo de la configuración es:

• Autentique a los usuarios que inician sesión en la GUI basada en Web y SSH de FXOS mediante ACS.
• Autorice a los usuarios a iniciar sesión en la GUI basada en Web y SSH de FXOS según su respectivo rol de usuario mediante ACS.
• Verifique el correcto funcionamiento de la autenticación y autorización en el FXOS mediante ACS.

Diagrama de la red

Configuraciones

Configuración del chasis FXOS

Creación de un Proveedor RADIUS con el Administrador de Chasis

Paso 1. Vaya a Configuración de plataforma > AAA.

Paso 2. Haga clic en la pestaña RADIUS.

Paso 3. Para cada proveedor RADIUS que desee agregar (hasta 16 proveedores).

            3.1. En el área Proveedores RADIUS, haga clic en Agregar.

            3.2. En el cuadro de diálogo Agregar proveedor RADIUS, introduzca los valores necesarios.

            3.3. Haga clic en Aceptar para cerrar el cuadro de diálogo Agregar proveedor RADIUS.

Paso 4. Click Save.

Paso 5. Vaya a System > User Management > Settings.

Paso 6. En Default Authentication (Autenticación predeterminada), elija RADIUS.

Creación de un Proveedor RADIUS con CLI

Paso 1. Para habilitar la autenticación RADIUS, ejecute los siguientes comandos.

seguridad de alcance fpr4120-TAC-A#

fpr4120-TAC-A /security # scope default-auth

fpr4120-TAC-A /security/default-auth # set realm radius

Paso 2. Utilice el comando show detail para mostrar los resultados.

fpr4120-TAC-A /security/default-auth # show detail

Autenticación predeterminada:

    Rango de administración: Radius

    Rango operativo: Radius

    Período de actualización de la sesión web(en segundos): 600

    Tiempo de espera de sesión(en segundos) para sesiones web, ssh, telnet: 600

    Tiempo de espera de sesión absoluto(en segundos) para sesiones web, ssh, telnet: 3600

    Tiempo de espera de la sesión de la consola serie(en segundos): 600

    Tiempo de espera de la sesión absoluta de la consola serie(en segundos): 3600

    Grupo de servidores de autenticación de administrador:

    Grupo de servidores de autenticación operativa:

    Uso del segundo factor: No

Paso 3. Para configurar los parámetros del servidor RADIUS, ejecute los siguientes comandos.

seguridad de alcance fpr4120-TAC-A#

fpr4120-TAC-A /security # scope radius

fpr4120-TAC-A /security/radius # ingrese servidor 10.88.244.16

fpr4120-TAC-A /security/radius/server # set descr "ISE Server"

fpr4120-TAC-A /security/radius/server* # set key

Introduzca la clave: *****

Confirme la clave: *****

Paso 4. Utilice el comando show detail para mostrar los resultados.

fpr4120-TAC-A /security/radius/server* # show detail

Servidor RADIUS:

    Nombre de host, FQDN o dirección IP: 10.88.244.16

    Descr:

    Pedido: 1

    Puerto de autenticación: 1812

    Clave: ***

    timeout (tiempo de espera): 5

Configuración del servidor ACS

Adición de FXOS como recurso de red

Paso 1. Navegue hasta Recursos de Red > Dispositivos de Red y Clientes AAA.

Paso 2. Haga clic en Crear.

Paso 3. Introduzca los valores necesarios (Nombre, Dirección IP, Tipo de dispositivo y Activar RADIUS y agregue la CLAVE).

Paso 4. Haga clic en Submit (Enviar).

Creación de grupos de identidad y usuarios

Paso 1. Vaya a Usuarios y Almacenes de Identidad > Grupos de Identidad.

Paso 2. Haga clic en Crear.

Paso 3. Introduzca el valor para Name y haga clic en Submit.

Paso 4. Repita los pasos 2 y 3 para todas las funciones de usuario necesarias.

Paso 5. Navegue hasta Usuarios y Almacenes de Identidad > Almacenes de Identidad Internos > Usuarios.

Paso 6. Haga clic en Crear.

Paso 7. Introduzca los valores necesarios (Nombre, Grupo de identidad, Contraseña).

Paso 8. Repita los pasos 6 y 7 para todos los usuarios requeridos.

Creación del perfil de autorización para cada función de usuario

Paso 1. Vaya a Elementos de directivas > Autorización y permisos > Acceso a red > Perfiles de autorización > Haga clic en Crear.

Paso 2. Rellene todos los atributos del perfil de autorización.

        2.1. Configure el nombre del perfil en la ficha General.

        2.2. En la pestaña Atributos RADIUS configure el siguiente CISCO-AV-PAIR

cisco-av-pair=shell:roles="aaa"

        2.3. Haga clic en ADD /\ y luego Submit.

Paso 3. Repita los pasos 1 y 2 para las restantes funciones de usuario utilizando los siguientes pares AV-Cisco

cisco-av-pair=shell:roles="admin"

cisco-av-pair=shell:roles="operaciones"

cisco-av-pair=shell:roles="sólo lectura"

Creación de la política de acceso a la red

Paso 1. Vaya a Access Policies > Access Services > Default Network Access > Authorization > Click Create .

Paso 2. Rellene los parámetros necesarios (Grupo de identidad, Tipo de dispositivo y Perfil de autorización) y haga clic en Aceptar.

Paso 3. Repita los pasos 1 y 2 para todas las funciones de usuario.

Paso 4. Haga clic en Guardar cambios en la parte inferior de la página.

Verificación

Ahora puede probar cada usuario y verificar la función de usuario asignada.

Verificación del chasis FXOS

1. Telnet o SSH al chasis FXOS e inicie sesión con cualquiera de los usuarios creados en ISE.

Nombre de usuario: fxosadmin

Contraseña

fpr4120-TAC-A# scope security

fpr4120-TAC-A /security # show remote-user detail

Usuario remoto fxosaaa:

    Descripción:

    Funciones de usuario:

        Nombre: aaa

        Nombre: sólo lectura

Usuario remoto fxosadmin:

    Descripción:

    Funciones de usuario:

        Nombre: admin

        Nombre: sólo lectura

Fxosoper Usuario remoto:

    Descripción:

    Funciones de usuario:

        Nombre: operaciones

        Nombre: sólo lectura

Usuario remoto fxosro:

    Descripción:

    Funciones de usuario:

        Nombre: sólo lectura

Según el nombre de usuario introducido, la cli del chasis FXOS sólo mostrará los comandos autorizados para el rol de usuario asignado.

Admin User Role (Función de usuario de administrador).

fpr4120-TAC-A /security # ?

  Reconocimiento

  clear-user-sessions Clear User Sessions

  Crear objetos administrados

  eliminar objetos administrados

  inhabilitar servicios

  enable Habilita servicios

  introducir un objeto administrado

  scope Cambia el modo actual

  establecer valores de propiedad

  show Show system information

  finalizar sesiones cimc activas

fpr4120-TAC-A# connect fxos

fpr4120-TAC-A (fxos)# debug aaa-requests

fpr4120-TAC-A (fxos)#

Función de usuario de sólo lectura.

fpr4120-TAC-A /security # ?

  scope Cambia el modo actual

  establecer valores de propiedad

  show Show system information

fpr4120-TAC-A# connect fxos

fpr4120-TAC-A (fxos)# debug aaa-requests

% Permiso denegado para la función

2. Busque la dirección IP del chasis FXOS e inicie sesión con cualquiera de los usuarios creados en ISE.

Admin User Role (Función de usuario de administrador).

Usuario de sólo lectura:

Nota: Observe que el botón ADD está atenuado.

Verificación de ACS

1. Navegue hasta Monitoreo e Informes > Monitoreo de Inicio y Visor de Informes > Informes > Protocolo AAA > Autenticación Radius > Haga Clic En Ejecutar. Debería poder ver intentos exitosos y fallidos.

Troubleshoot

Para depurar la autenticación y autorización AAA, ejecute los siguientes comandos en el cli FXOS.

fpr4120-TAC-A# connect fxos

fpr4120-TAC-A (fxos)# debug aaa-requests

fpr4120-TAC-A (fxos)# debug aaa event

fpr4120-TAC-A (fxos)# debug aaa errors

fpr4120-TAC-A (fxos)# plazo mon

Después de un intento de autenticación exitoso, verá el siguiente resultado.

2018 5 feb 14:21:30.017289 aaa: aaa_req_process para autenticación. session no 0

2018 5 feb 14:21:30.017330 aaa: aaa_req_process: Solicitud AAA general de appln: login appln_subtype: predeterminado

2018 5 feb 14:21:30.017360 aaa: try_next_aaa_method

2018 5 feb 14:21:30.017395 aaa: total de métodos configurados es 1, el índice actual que se probará es 0

2018 5 feb 14:21:30.017425 aaa: handle_req_using_method

2018 5 feb 14:21:30.017451 aaa: AAA_METHOD_SERVER_GROUP

2018 5 feb 14:21:30.017479 aaa: aaa_sg_method_handler group = radius

2018 5 feb 14:21:30.017506 aaa: Uso de sg_protocol que se pasa a esta función

2018 5 feb 14:21:30.017537 aaa: Envío de una solicitud al servicio RADIUS

2018 5 feb 14:21:30.017707 aaa: Grupo de métodos configurado correctamente

2018 5 feb 14:21:30.123584 aaa: aaa_process_fd_set: mtscallback en aaa_q

2018 5 feb 14:21:30.123625 aaa: mts_message_response_handler: una respuesta mts

2018 5 feb 14:21:30.123654 aaa: prot_daemon_reponse_handler

2018 5 feb 14:21:30.123713 aaa: is_aaa_resp_status_éxito status = 1

2018 5 feb 14:21:30.123741 aaa: is_aaa_resp_status_éxito es VERDADERO

2018 5 feb 14:21:30.123768 aaa: aaa_send_client_response para autenticación. session->indicadores=21. aaa_resp->indicadores=0.

2018 5 feb 14:21:30.123795 aaa: AAA_REQ_FLAG_NORMAL 

2018 5 feb 14:21:30.123880 aaa: mts_send_response satisfactoria

2018 5 feb 14:21:30.290059 aaa: ANTIGUO OPCODE: accounting_interina_update

2018 5 feb 14:21:30.290087 aaa: aaa_create_local_acct_req: user=, session_id=, log=user fxosro agregado 

2018 5 feb 14:21:30.29012 aaa: aaa_req_process para contabilidad. session no 0

2018 5 feb 14:21:30.290148 aaa: La referencia de solicitud MTS es NULL. solicitud LOCAL

2018 5 feb 14:21:30.290174 aaa: Configuración de AAA_REQ_RESPONSE_NOT_NEEDED

2018 5 feb 14:21:30.290202 aaa: aaa_req_process: Solicitud AAA general de appln: appln_subtype predeterminado: predeterminado

2018 5 feb 14:21:30.290230 aaa: try_next_aaa_method

2018 5 feb 14:21:30.290270 aaa: no hay métodos configurados para el valor predeterminado

2018 5 feb 14:21:30.290299 aaa: no hay configuración disponible para esta solicitud

2018 5 feb 14:21:30.29033 aaa: try_fallback_method

2018 5 feb 14:21:30.290364 aaa: handle_req_using_method

2018 5 feb 14:21:30.290391 aaa: local_method_handler

2018 5 feb 14:21:30.290419 aaa: aaa_local_accounting_msg

2018 5 feb 14:21:30.290448 aaa: actualización::usuario agregado fxosro

2018 5 feb 14:21:30.290475 aaa: La lista av es nula. No hay id de vsan

2018 5 feb 14:21:30.290607 aaa: aaa_send_client_response para contabilidad. session->indicadores=254. aaa_resp->indicadores=0.

2018 5 feb 14:21:30.290635 aaa: respuesta para la solicitud de contabilidad de la biblioteca antigua se enviará como SUCCESS

2018 5 feb 14:21:30.290659 aaa: no se necesita respuesta para esta solicitud

2018 5 feb 14:21:30.290684 aaa: AAA_REQ_FLAG_LOCAL_RESP 

2018 5 feb 14:21:30.290708 aaa: aaa_cleanup_session

2018 5 feb 14:21:30.290732 aaa: aaa_req debe ser liberado. 

2018 5 feb 14:21:30.290757 aaa: Método de retorno local exitoso

2018 5 feb 14:21:30.312898 aaa: aaa_process_fd_set

2018 5 feb 14:21:30.312932 aaa: aaa_process_fd_set: mtscallback en aaa_accounting_q

2018 5 feb 14:21:30.312977 aaa: ANTIGUO OPCODE: accounting_interina_update

2018 5 feb 14:21:30.313007 aaa: aaa_create_local_acct_req: user=, session_id=, log=user:fxosro agregado a la función:read-only 

2018 5 feb 14:21:30.313044 aaa: aaa_req_process para contabilidad. session no 0

2018 5 feb 14:21:30.313071 aaa: La referencia de solicitud MTS es NULL. solicitud LOCAL

2018 5 feb 14:21:30.313099 aaa: Configuración de AAA_REQ_RESPONSE_NOT_NEEDED

2018 5 feb 14:21:30.313125 aaa: aaa_req_process: Solicitud AAA general de appln: appln_subtype predeterminado: predeterminado

2018 5 feb 14:21:30.313149 aaa: try_next_aaa_method

2018 5 feb 14:21:30.313185 aaa: no hay métodos configurados para el valor predeterminado

2018 5 feb 14:21:30.313213 aaa: no hay configuración disponible para esta solicitud

2018 5 feb 14:21:30.313240 aaa: try_fallback_method

2018 5 feb 14:21:30.313267 aaa: handle_req_using_method

2018 5 feb 14:21:30.313294 aaa: local_method_handler

2018 5 feb 14:21:30.313321 aaa: aaa_local_accounting_msg

2018 5 feb 14:21:30.313493 aaa: actualización::usuario agregado:fxosro a la función:sólo lectura

2018 5 feb 14:21:30.313520 aaa: La lista av es nula. No hay id de vsan

2018 5 feb 14:21:30.313670 aaa: aaa_send_client_response para contabilidad. session->indicadores=254. aaa_resp->indicadores=0.

2018 5 feb 14:21:30.313698 aaa: respuesta para la solicitud de contabilidad de la biblioteca antigua se enviará como SUCCESS

2018 5 feb 14:21:30.313722 aaa: no se necesita respuesta para esta solicitud

2018 5 feb 14:21:30.313747 aaa: AAA_REQ_FLAG_LOCAL_RESP 

2018 5 feb 14:21:30.313770 aaa: aaa_cleanup_session

2018 5 feb 14:21:30.313793 aaa: aaa_req debe ser liberado. 

2018 5 feb 14:21:30.313818 aaa: Método de retorno local exitoso

2018 5 feb 14:21:30.313865 aaa: aaa_process_fd_set

2018 5 feb 14:21:30.313890 aaa: aaa_process_fd_set: mtscallback en aaa_q

2018 5 feb 14:21:32.339136 aaa: aaa_process_fd_set

2018 5 feb 14:21:32.339177 aaa: aaa_process_fd_set: mtscallback en aaa_q

2018 5 feb 14:21:32.339218 aaa: mts_aaa_req_process

2018 5 feb 14:21:32.339252 aaa: aaa_req_process para contabilidad. session no 0

2018 5 feb 14:21:32.339280 aaa: Configuración de AAA_REQ_RESPONSE_NOT_NEEDED

2018 5 feb 14:21:32.339307 aaa: aaa_req_process: Solicitud AAA general de appln: appln_subtype predeterminado: predeterminado

2018 5 feb 14:21:32.339335 aaa: try_next_aaa_method

2018 5 feb 14:21:32.339374 aaa: no hay métodos configurados para el valor predeterminado

2018 5 feb 14:21:32.339401 aaa: no hay configuración disponible para esta solicitud

2018 5 feb 14:21:32.339429 aaa: try_fallback_method

2018 5 feb 14:21:32.339456 aaa: handle_req_using_method

2018 5 feb 14:21:32.339482 aaa: local_method_handler

2018 5 feb 14:21:32.339506 aaa: aaa_local_accounting_msg

2018 5 feb 14:21:32.339533 aaa: actualización::enabled (null)

2018 5 feb 14:21:32.339558 aaa: La lista av es nula. No hay id de vsan

2018 5 feb 14:21:32.339680 aaa: aaa_send_client_response para contabilidad. session->indicadores=211. aaa_resp->indicadores=0.

2018 5 feb 14:21:32.339707 aaa: no se necesita respuesta para esta solicitud

2018 5 feb 14:21:32.339732 aaa: AAA_REQ_FLAG_LOCAL_RESP 

2018 5 feb 14:21:32.339756 aaa: aaa_cleanup_session

2018 5 feb 14:21:32.339780 aaa: mts_drop of request msg

2018 5 feb 14:21:32.339821 aaa: Método de retorno local exitoso

Después de un intento fallido de autenticación, verá el siguiente resultado.

2018 5 feb 14:16:13.899605 aaa: mts_aaa_req_process

2018 5 feb 14:16:13.899625 aaa: aaa_req_process para autenticación. session no 0

2018 5 feb 14:16:13.899645 aaa: aaa_enable_info_config: GET_REQ para solicitud dirigida del servidor RADIUS

2018 5 feb 14:16:13.89966 aaa: devuelve el valor devuelto de la operación de configuración:elemento de seguridad desconocido

2018 5 feb 14:16:13.899685 aaa: aaa_enable_info_config: GET_REQ para solicitud dirigida de tacacs+ Server

2018 5 feb 14:16:13.899712 aaa: devuelve el valor devuelto de la operación de configuración:elemento de seguridad desconocido

2018 5 feb 14:16:13.899736 aaa: aaa_req_process: Solicitud AAA general de appln: login appln_subtype: predeterminado

2018 5 feb 14:16:13.899755 aaa: try_next_aaa_method

2018 5 feb 14:16:13.899776 aaa: aaa_method_config: GET request for authentication login default

2018 5 feb 14:16:13.899798 aaa: aaa_method_config: RADIUS de grupo de métodos GET 

2018 5 feb 14:16:13.899817 aaa: devuelve el valor devuelto de la operación de configuración del método aaa:SUCCESS

2018 5 feb 14:16:13.899841 aaa: total de métodos configurados es 1, el índice actual que se probará es 0

2018 5 feb 14:16:13.899862 aaa: handle_req_using_method

2018 5 feb 14:16:13.909905 aaa: AAA_METHOD_SERVER_GROUP

2018 5 feb 14:16:13.909937 aaa: aaa_sg_method_handler group = radius

2018 5 feb 14:16:13.909967 aaa: Uso de sg_protocol que se pasa a esta función

2018 5 feb 14:16:13.909998 aaa: Envío de una solicitud al servicio RADIUS

2018 5 feb 14:16:13.910085 aaa: mts_send_msg_to_prot_daemon: Longitud de carga útil = 368

2018 5 feb 14:16:13.910142 aaa: sesión: 0x85c1c54 agregado a la tabla de sesiones 1

2018 5 feb 14:16:13.910174 aaa: Grupo de métodos configurado correctamente

2018 5 feb 14:16:13.995770 aaa: aaa_process_fd_set

2018 5 feb 14:16:13.995809 aaa: aaa_process_fd_set: mtscallback en aaa_q

2018 5 feb 14:16:13.995848 aaa: mts_message_response_handler: una respuesta mts

2018 5 feb 14:16:13.997143 aaa: prot_daemon_reponse_handler

2018 5 feb 14:16:13.997171 aaa: sesión: 0x85c1c54 eliminado de la tabla de sesiones 0

2018 5 feb 14:16:13.997201 aaa: is_aaa_resp_status_éxito status = 2

2018 5 feb 14:16:13.997229 aaa: is_aaa_resp_status_éxito es VERDADERO

2018 5 feb 14:16:13.997256 aaa: aaa_send_client_response para autenticación. session->indicadores=21. aaa_resp->indicadores=0.

2018 5 feb 14:16:13.997283 aaa: AAA_REQ_FLAG_NORMAL 

2018 5 feb 14:16:13.997369 aaa: mts_send_response satisfactoria

2018 5 feb 14:16:13.998845 aaa: aaa_cleanup_session

2018 5 feb 14:16:13.998875 aaa: mts_drop of request msg

2018 5 feb 14:16:13.998921 aaa: aaa_req debe ser liberado. 

2018 5 feb 14:16:13.998974 aaa: aaa_process_fd_set

2018 5 feb 14:16:13.999003 aaa: aaa_process_fd_set: mtscallback en aaa_q

2018 5 feb 14:16:13.999341 aaa: aaa_enable_info_config: mensaje de error GET_REQ for aaa login

2018 5 feb 14:16:13.999378 aaa: devuelve el valor devuelto de la operación de configuración:elemento de seguridad desconocido

Información Relacionada

El comando Ethanalyzer en FX-OS cli solicitará una contraseña cuando la autenticación TACACS/RADIUS esté habilitada. Este comportamiento es causado por un error.

Id. de error: CSCvg87518