Configuración de la autorización de ISE y la autenticación de certificados RAVPN en FMC

Introducción

Este documento describe la configuración de las políticas de autorización del servidor ISE para la autenticación de certificados en conexiones RAVPN administradas por CSF en FMC.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

• Firewall seguro de Cisco (CSF)
• Cisco Secure Firewall Management Center (FMC)
• Cisco Identity Services Engine (ISE)
• Conceptos básicos de Inscripción de certificados y SSL.
• Autoridad de certificación (CA)

Componentes Utilizados

El contenido de este documento se basa en estas versiones de software y hardware.

• Cisco Secure Client versión 5.1.6
• Cisco Secure Firewall versión 7.2.8
• Cisco Secure Firewall Management Center versión 7.2.8
  

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Configurar

Paso 1: Instalación de un certificado de CA de confianza

a. Desplácese hastaDevices > Certificatesy haga clic en Add.

b. Ingrese un trustpoint name y seleccione Manual como el tipo de inscripción en Información de CA.

c. CompruebeCA Onlyy pegue el certificado de CA interna/de confianza en formato pem.

d. Marque  Skip Check for CA flag in basic constraints of the CA Certificate  y haga clic en  Save.

e. En Cert Enrollment, seleccione el trustpoint de la lista desplegable que se acaba de crear y haga clic en Add.

Paso 2: Configuración del grupo de servidores ISE/Radius y el perfil de conexión

a. Desplácese hasta Objects > AAA Server > RADIUS Server Group  y haga clic en Add RADIUS Server Group. Marque la Enable authorize only  opción.

b. Haga clic en el Add (+)  icono y, a continuación, agregue elRadius server/ISE servermediante la dirección IP o un nombre de host.

c. Desplácese hasta Devices > Remote Access configuration . Cree unnew connection profiley establezca el método de autenticación enClient Certificate Only. Para el servidor de autorización, elija el que se creó en los pasos anteriores.

Asegúrese de marcar la Allow connection only if user exists in authorization database  opción. Esta configuración garantiza que la conexión a RAVPN se complete solo si se permite la autorización.

Map Username del certificado del cliente hace referencia a la información obtenida del certificado para identificar al usuario. En este ejemplo, se mantiene la configuración predeterminada, pero se puede cambiar en función de la información que se utilice para identificar a los usuarios.

Haga clic en Save.

d. Acceda a Advanced > Group Policies. Haga clic en el Add (+)  icono de la derecha.

e. Cree el group policies. Cada política de grupo se configura en función de los grupos de organización y las redes a las que cada grupo puede acceder.

f. En la directiva de grupo, realice las configuraciones específicas de cada grupo. Se puede agregar un mensaje de banner para mostrarlo después de una conexión correcta.

g. Seleccione el group policies en el lado izquierdo y haga clicAddpara moverlo al lado derecho. Esto especifica qué políticas de grupo se están utilizando en la configuración.

e. Implementar los cambios.

Paso 3: Configuración de ISE

Paso 3.1: Crear usuarios, grupos y perfiles de autenticación de certificados

a. Inicie sesión en el servidor ISE y navegue hasta Administration > Network Resources > Network Devices.

b. Haga clic Add  para configurar el firewall como cliente AAA.

c. Ingrese los campos Network Device Name y IP Address y luego marque la RADIUS Authentication Settings  casilla y agregue el valor Shared Secret. This debe ser el mismo que se utilizó cuando se creó el objeto RADIUS Server en FMC. Haga clic enSave.

d. Acceda aAdministration > Identity Management > Groups.

e. Haga clic enUser Identity Groupsy, a continuación, haga clic en Add.

Introduzca el nombredel grupo y haga clic enSubmit.

d. Acceda a Administration > Identity Management > Identities.

e. Haga clicAddpara crear un nuevo usuario en la base de datos local del servidor.

Introduzca elUsernamey Login Password. A continuación, desplácese hasta el final de esta página y seleccione la opciónUser Group.

Haga clic en Save.

f. Desplácese hasta Administration > Identity Management > External Identify Sources.

g. Haga clicAddpara crear una Certificate Authentication Profile.

El perfil de autenticación de certificados especifica cómo se validan los certificados de cliente, incluidos los campos del certificado que se pueden comprobar (nombre alternativo del sujeto, nombre común, etc.).

Paso 3.2: Configurar la política de autenticación

La directiva de autenticación se utiliza para autenticar que la solicitud se origina en el firewall y en el perfil de conexión específico.

a. Desplácese hasta Policy > Policy Sets.

Seleccione la política de autorización predeterminada haciendo clic en la flecha en el lado derecho de la pantalla:

b. Haga clic en la flecha del menú desplegable juntoAuthentication Policya para expandirlo. Luego, haga clic en el add (+)  icono para agregar una nueva regla.

Introduzca el nombre de la regla y seleccione eladd (+)icono en la columna Condiciones.

c. Haga clic en el cuadro de texto Attribute Editor y haga clic en elNAS-IP-Addressicono. Introduzca la dirección IP del firewall.

d. Haga clic New y, a continuación, agregue el otro atributoTunnel-Group-name. Introduzca elConnection Profilenombre configurado en el FMC.

e. En la columna Usar, seleccione el Certificate Authentication Profile  que se ha creado. Al hacerlo, especifica la información definida en el perfil que se utiliza para identificar a los usuarios.

Haga clic enSave.

Paso 3.3: Configuración de la política de autorización

a. Haga clic en la flecha del menú desplegable juntoAuthorization Policya para expandirlo. Luego, haga clic en el add (+)  icono para agregar una nueva regla.

Introduzca el nombre de la regla y seleccione el add (+)  icono en la columna Condiciones.

b. Haga clic en el cuadro de texto Attribute Editor y haga clic en elIdentity groupicono. Seleccione el Identity group - Name  atributo.

SeleccioneEqualscomo operador y, a continuación, haga clic en la flecha del menú desplegable para mostrar las opciones disponibles y seleccione User Identity Groups: .

c. En la columna Profiles, haga clic en eladd (+)icono y seleccione Create a New Authorization Profile.

Ingrese el perfilName.

Desplácese hasta Common Tasks  y active ASA VPN. A continuación, escriba el group policy name, que debe ser el mismo que el creado en el FMC.

Los atributos que vienen a continuación se asignaron a cada grupo:

Click Save.

Verificación

1. Ejecute el comandoshow vpn-sessiondb anyconnecty verifique si el usuario está utilizando la política de grupo correcta.

firepower# show vpn-sessiondb anyconnect

Session Type : AnyConnect
Username      : user1                  Index        : 64
Assigned IP   : 192.168.55.2           Public IP    :
Protocol      : AnyConnect-Parent
License       : AnyConnect Premium
Encryption    : AnyConnect-Parent: (1)none
Hashing       : AnyConnect-Parent: (1)none
Bytes Tx      : 15084                  Bytes Rx     : 99611
Group Policy  : IT_Group               Tunnel Group : FTD_CertAuth
Login Time    : 22:21:43 UTC Tue Oct 22 2024
Duration      : 3h:03m:50s
Inactivity    : 0h:41m:44s
VLAN Mapping  : N/A                    VLAN         : none
Audt Sess ID  : 96130a0f0004000067182577
Security Grp  : none                   Tunnel Zone  : 0

Username      : User2                  Index        : 70
Assigned IP   : 192.168.55.3           Public IP    : 
Protocol      : AnyConnect-Parent SSL-Tunnel DTLS-Tunnel
License       : AnyConnect Premium
Encryption    : AnyConnect-Parent: (1)none SSL-Tunnel: (1)AES-GCM-256 DTLS-Tunnel: (1)AES-GCM-256
Hashing       : AnyConnect-Parent: (1)none SSL-Tunnel: (1)SHA384 DTLS-Tunnel: (1)SHA384
Bytes Tx      : 15112                  Bytes Rx     : 19738
Group Policy  : Marketing_Group        Tunnel Group : FTD_CertAuth
Login Time    : 01:23:08 UTC Wed Oct 23 2024
Duration      : 0h:02m:25s
Inactivity    : 0h:00m:00s
VLAN Mapping  : N/A                    VLAN         : none
Audt Sess ID  : 96130a0f0004600067184ffc
Security Grp  : none                   Tunnel Zone  : 0

firepower#

2. En la directiva de grupo, puede configurar un mensaje de titular que se muestre cuando el usuario se conecte correctamente. Cada banner se puede utilizar para identificar el grupo que tiene autorización.

3. En los registros activos, compruebe si la conexión está utilizando la directiva de autorización adecuada. Haga clic enDetailsy muestre el informe de autenticación.

Troubleshoot

En esta sección se brinda información que puede utilizar para resolver problemas en su configuración.

1. Las depuraciones se pueden ejecutar desde la CLI de diagnóstico del CSF para la autenticación de certificados.

debug crypto ca 14
debug webvpn anyconnect 255
debug crypto ike-common 255

2. Utilice los debugs AAA para verificar la asignación de atributos locales y/o remotos.

debug aaa common 255
debug aaa shim 255
debug aaa authentication
debug aaa authorization
debug radius all

En ISE:

1. Acceda aOperations > RADIUS > Live Logs.