Esempio di configurazione dei profili 802.1x EAP-TLS con confronto dei certificati binari da AD e NAM

Introduzione

In questo documento viene descritta la configurazione 802.1x con EAP-TLS (Extensible Authentication Protocol-Transport Layer Security) e ACS (Access Control System) in quanto questi eseguono un confronto binario tra un certificato client fornito dal richiedente e lo stesso certificato conservato in Microsoft Active Directory (AD). Il profilo AnyConnect Network Access Manager (NAM) viene usato per la personalizzazione. La configurazione per tutti i componenti è illustrata in questo documento, insieme a scenari per la risoluzione dei problemi relativi alla configurazione.

Prerequisiti

Requisiti

Nessun requisito specifico previsto per questo documento.

Componenti usati

Il documento può essere consultato per tutte le versioni software o hardware.

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Convenzioni

Fare riferimento a Cisco Technical Tips Conventions per ulteriori informazioni sulle convenzioni dei documenti.

Configurazione

Topologia

• Supplicant 802.1x - Windows 7 con Cisco AnyConnect Secure Mobility Client release 3.1.01065 (modulo NAM)
• autenticatore 802.1x - switch 2960
• Server di autenticazione 802.1x - ACS release 5.4
• ACS integrato con Microsoft AD - Controller di dominio - Windows 2008 Server

Dettagli topologia

• ACS - 192.168.10.152
• 2960 - 192.168.10.10 (e0/0 - connessione supplicant)
• DC - 192.168.10.101
• Windows 7 - DHCP

Flusso

Sulla stazione di Windows 7 è installato AnyConnect NAM, che viene usato come supplicant per autenticarsi al server ACS con il metodo EAP-TLS. Lo switch con 802.1x funge da autenticatore. Il certificato utente viene verificato da ACS e l'autorizzazione criterio applica criteri basati sul nome comune (CN) del certificato. Inoltre, il servizio ACS recupera il certificato utente da AD ed esegue un confronto binario con il certificato fornito dal richiedente.

Configurazione degli switch

Lo switch ha una configurazione di base. Per impostazione predefinita, la porta è nella VLAN 666 in quarantena. Tale VLAN ha un accesso limitato. Dopo aver autorizzato l'utente, la porta VLAN viene riconfigurata.

aaa authentication login default group radius local
aaa authentication dot1x default group radius
aaa authorization network default group radius
dot1x system-auth-control

interface Ethernet0/0
  switchport access vlan 666
  switchport mode access
  ip device tracking maximum 10
  duplex auto
  authentication event fail action next-method
  authentication order dot1x mab
  authentication port-control auto
  dot1x pae authenticator
end

radius-server host 192.168.10.152 auth-port 1645 acct-port 1646 key cisco

Preparazione certificato

Per EAP-TLS, è necessario un certificato sia per il richiedente che per il server di autenticazione. Questo esempio si basa sui certificati generati con OpenSSL. È possibile utilizzare Microsoft Certificate Authority (CA) per semplificare la distribuzione nelle reti aziendali.

1. Per generare la CA, immettere i seguenti comandi:

   openssl genrsa -des3 -out ca.key 1024
   openssl req -new -key ca.key -out ca.csr
   cp ca.key ca.key.org
   openssl rsa -in ca.key.org -out ca.key
   openssl x509 -req -days 365 -in ca.csr -signkey ca.key -out ca.crt

   Il certificato CA viene conservato nel file ca.crt e la chiave privata (e non protetta) nel file ca.key.

2. Generare tre certificati utente e un certificato per ACS, tutti firmati da tale CA:
   • CN=prova1
   • CN=prova2
   • CN=prova3
   • CN=acs54

   Lo script per generare un singolo certificato firmato dalla CA di Cisco è:

   openssl genrsa -des3 -out server.key 1024
   openssl req -new -key server.key -out server.csr
   
   cp server.key server.key.org
   openssl rsa -in server.key.org -out server.key
   
   openssl x509 -req -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial
       -out server.crt -days 365 
   openssl pkcs12 -export -out server.pfx -inkey server.key -in server.crt
       -certfile ca.crt

   La chiave privata si trova nel file server.key e il certificato nel file server.crt. La versione di pkcs12 si trova nel file server.pfx.

3. Fare doppio clic su ogni certificato (file con estensione pfx) per importarlo nel controller di dominio. Nel controller di dominio tutti e tre i certificati devono essere attendibili.
   
   

   

Lo stesso processo può essere seguito in Windows 7 (supplicant) o utilizzare Active Directory per eseguire il push dei certificati utente.

Configurazione controller di dominio

È necessario mappare il certificato specifico all'utente specifico in AD.

1. Da Utenti e computer di Active Directory passare alla cartella Utenti.
   
2. Scegliere Caratteristiche avanzate dal menu Visualizza.
   

   

3. Aggiungi questi utenti:
   • test1
   • test2
   • test3

   Nota: La password non è importante.

4. Nella finestra Proprietà scegliere la scheda Certificati pubblicati. Scegliere il certificato specifico per il test. Ad esempio, per test1 l'utente CN è test1.

   Nota: Non utilizzare Mapping nomi (fare clic con il pulsante destro del mouse sul nome utente). Viene utilizzato per diversi servizi.

   

In questa fase il certificato è associato a un utente specifico in Active Directory. È possibile verificare questa condizione tramite ldapsearch:

ldapsearch -h 192.168.10.101 -D "CN=Administrator,CN=Users,DC=cisco-test,DC=com" -w 
   Adminpass -b "DC=cisco-test,DC=com"

Di seguito sono riportati alcuni risultati di esempio per test2.

# test2, Users, cisco-test.com
dn: CN=test2,CN=Users,DC=cisco-test,DC=com
..................
userCertificate:: MIICuDCCAiGgAwIBAgIJAP6cPWHhMc2yMA0GCSqGSIb3DQEBBQUAMFYxCzAJ
BgNVBAYTAlBMMQwwCgYDVQQIDANNYXoxDzANBgNVBAcMBldhcnNhdzEMMAoGA1UECgwDVEFDMQwwC
gYDVQQLDANSQUMxDDAKBgNVBAMMA1RBQzAeFw0xMzAzMDYxMjUzMjdaFw0xNDAzMDYxMjUzMjdaMF
oxCzAJBgNVBAYTAlBMMQswCQYDVQQIDAJQTDEPMA0GA1UEBwwGS3Jha293MQ4wDAYDVQQKDAVDaXN
jbzENMAsGA1UECwwEQ29yZTEOMAwGA1UEAwwFdGVzdDIwgZ8wDQYJKoZIhvcNAQEBBQADgY0AMIGJ
AoGBAMFQZywrGTQKL+LeI19ovNavCFSG2zt2HGs8qGPrf/h3o4IIvU+nN6aZPdkTdsjiuCeav8HYD
aRznaK1LURt1PeGtHlcTgcGZ1MwIGptimzG+h234GmPU59k4XSVQixARCDpMH8IBR9zOSWQLXe+kR
iZpXC444eKOh6wO/+yWb4bAgMBAAGjgYkwgYYwCwYDVR0PBAQDAgTwMHcGA1UdJQRwMG4GCCsGAQU
FBwMBBggrBgEFBQcDAgYKKwYBBAGCNwoDBAYLKwYBBAGCNwoDBAEGCCsGAQUFBwMBBggrBgEFBQgC
FQYKKwYBBAGCNwoDAQYKKwYBBAGCNxQCAQYJKwYBBAGCNxUGBggrBgEFBQcDAjANBgkqhkiG9w0BA
QUFAAOBgQCuXwAgcYqLNm6gEDTWm/OWmTFjPyA5KSDB76yVqZwr11ch7eZiNSmCtH7Pn+VILagf9o
tiFl5ttk9KX6tIvbeEC4X/mQVgAB3HuJH5sL1n/k2H10XCXKfMqMGrtsZrA64tMCcCeZRoxfAO94n
PulwF4nkcnu1xO/B7x+LpcjxjhQ==

Configurazione supplicant

1. Installare questo editor di profili, anyconnect-profileeditor-win-3.1.00495-k9.exe.
2. Aprire l'Editor profili di Network Access Manager e configurare il profilo specifico.
3. Creare una rete cablata specifica.
   
   

   

   
   In questa fase è molto importante offrire all'utente la possibilità di utilizzare il certificato per ogni autenticazione. Non memorizzare nella cache tale scelta. Utilizzare inoltre 'username' come ID non protetto. È importante ricordare che non si tratta dello stesso ID utilizzato da ACS per eseguire una query su AD per il certificato. L'ID verrà configurato in ACS.

   

4. Salvare il file con estensione xml come c:\Users\All Users\Cisco\Cisco AnyConnect Secure Mobility Client\Network Access Manager\system\configuration.xml.
5. Riavviare il servizio Cisco AnyConnect NAM.

Nell'esempio è illustrata una distribuzione manuale del profilo. AD potrebbe essere utilizzato per distribuire il file per tutti gli utenti. Inoltre, se integrata con le VPN, l'ASA può essere utilizzata per effettuare il provisioning del profilo.

Configurazione ACS

1. Aggiungere il computer al dominio Active Directory.

   

   ACS confronta i nomi utente AD con l'utilizzo del campo CN del certificato ricevuto dal richiedente (in questo caso test1, test2 o test3). È inoltre abilitato il confronto binario. In questo modo ACS ottiene il certificato utente da AD e lo confronta con lo stesso certificato ricevuto dal richiedente. Se non corrisponde, l'autenticazione non riesce.

   

2. Configurare le sequenze dell'archivio identità, che utilizza AD per l'autenticazione basata su certificati insieme al profilo del certificato.
   
   

   

   Utilizzato come origine identità nei criteri di identità RADIUS.

   

3. Configurare due criteri di autorizzazione. Il primo criterio viene utilizzato per test1 e nega l'accesso all'utente. Il secondo criterio viene utilizzato per il test 2 e consente l'accesso con il profilo VLAN2.

   

   VLAN2 è il profilo di autorizzazione che restituisce gli attributi RADIUS che associano l'utente alla VLAN2 sullo switch.

   

4. Installare il certificato CA su ACS.

   

5. Generare e installare il certificato (per l'utilizzo del protocollo Extensible Authentication Protocol) firmato dalla CA di Cisco per ACS.

   

Verifica

È buona norma disabilitare il servizio 802.1x nativo sul supplicant Windows 7 poiché viene utilizzato AnyConnect NAM. Con il profilo configurato, il client può selezionare un certificato specifico.

Quando si utilizza il certificato test2, lo switch riceve una risposta di esito positivo insieme agli attributi RADIUS.

00:02:51: %DOT1X-5-SUCCESS: Authentication successful for client
    (0800.277f.5f64) on Interface Et0/0
00:02:51: %AUTHMGR-7-RESULT: Authentication result 'success' from 'dot1x'
    for client (0800.277f.5f64) on Interface Et0/0
switch#
00:02:51: %EPM-6-POLICY_REQ: IP=0.0.0.0| MAC=0800.277f.5f64|
        AUDITSESID=C0A80A0A00000001000215F0| AUTHTYPE=DOT1X|
        EVENT=APPLY

switch#show authentication sessions interface e0/0
            Interface:  Ethernet0/0
            MAC Address:  0800.277f.5f64
            IP Address:  Unknown
            User-Name:  test2
            Status:  Authz Success
            Domain:  DATA
            Oper host mode:  single-host
            Oper control dir:  both
            Authorized By:  Authentication Server
            Vlan Policy:  2
            Session timeout:  N/A
            Idle timeout:  N/A
            Common Session ID:  C0A80A0A00000001000215F0
            Acct Session ID:  0x00000005
            Handle:  0xE8000002

Runnable methods list:
       Method   State
       dot1x    Authc Succes

Notare che la VLAN 2 è stata assegnata.  È possibile aggiungere altri attributi RADIUS a tale profilo di autorizzazione in ACS (ad esempio, Advanced Access Control List o timer di riautorizzazione).

I log su ACS sono i seguenti:

Risoluzione dei problemi

Impostazioni di ora non valide in ACS

Errore possibile - errore interno in ACS Active Directory

Nessun certificato configurato e associato al controller di dominio Active Directory

Errore possibile - impossibile recuperare il certificato utente da Active Directory

Personalizzazione del profilo NAM

Nelle reti aziendali, si consiglia di eseguire l'autenticazione con l'utilizzo di certificati sia del computer che dell'utente. In questo scenario, si consiglia di utilizzare la modalità 802.1x aperta sullo switch con VLAN limitata. Al riavvio del computer per 802.1x, la prima sessione di autenticazione viene avviata e autenticata con il certificato del computer AD. Quindi, dopo che l'utente ha fornito le credenziali e ha effettuato l'accesso al dominio, viene avviata la seconda sessione di autenticazione con il certificato utente. L'utente utilizza la VLAN corretta (attendibile) con accesso completo alla rete. Si integra perfettamente con Identity Services Engine (ISE).

È quindi possibile configurare autenticazioni separate dalle schede Autenticazione computer e Autenticazione utente.

Se la modalità 802.1x aperta non è accettabile sullo switch, è possibile utilizzare la modalità 802.1x prima che la funzionalità di accesso sia configurata nella policy del client.

Informazioni correlate

• Guida per l'utente di Cisco Secure Access Control System 5.3
• Guida dell'amministratore di Cisco AnyConnect Secure Mobility Client, versione 3.0
• AnyConnect Secure Mobility Client 3.0: Network Access Manager ed Editor di profili su Windows
• Documentazione e supporto tecnico – Cisco Systems