在ISE上配置安全SMTP伺服器

簡介

本文檔介紹如何在思科ISE上配置SMTP伺服器以支援多個服務的電子郵件通知。

必要條件

需求

思科建議您瞭解思科身份服務引擎(ISE)和簡單郵件傳輸協定(SMTP)伺服器功能的基本知識。 

採用元件

本文件所述內容不限於特定軟體和硬體版本。 ISE版本3.0支援與SMTP伺服器的安全和不安全連線。

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

組態

本節介紹ISE的配置以支援用於以下操作的電子郵件通知：

• 在啟用郵件中包含系統警報選項的情況下，向任何內部管理員使用者傳送電子郵件警報通知。傳送警報通知的發件人的電子郵件地址被硬編碼為ise@<hostname>。
• 允許發起人向訪客傳送電子郵件通知，告知其登入憑證和密碼重置說明。
• 使訪客能夠在成功註冊自身後自動接收其登入憑證，並在訪客帳戶過期之前執行操作。
• 在密碼到期日期之前，向ISE管理員使用者/在ISE上配置的內部網路使用者傳送提醒電子郵件。

SMTP設定

在ISE可以使用任何電子郵件服務之前，它必須配置SMTP中繼伺服器。要更新SMTP伺服器詳細資訊，請導航到管理>系統>設定>代理> SMTP伺服器。

此表顯示了分散式ISE環境中的哪個節點傳送電子郵件。

電子郵件用途	傳送電子郵件的節點
訪客帳戶過期	主要PAN
警報	活動MnT
來自相應門戶的發起人和訪客帳戶通知	PSN
密碼過期	主要PAN

配置SMTP伺服器，以便能夠根據您的要求接受來自ISE的任何電子郵件，無論是否進行身份驗證或加密。

不進行身份驗證或加密的不安全SMTP通訊設定

1. 定義SMTP伺服器主機名（出站SMTP伺服器）。
2. SMTP埠（此埠必須在網路中開啟才能連線到SMTP伺服器）。
3. 連線超時（輸入思科ISE等待來自SMTP伺服器的響應的最長時間）。
4. 按一下「Test Connection」和「Save」。

資料包捕獲顯示ISE與SMTP伺服器之間的通訊（無身份驗證或加密）：

安全SMTP通訊設定

可通過兩種方式建立安全連線：

1. 基於SSL
2. 使用者名稱/基於密碼

使用的SMTP伺服器必須支援基於SSL和憑據的身份驗證。安全SMTP通訊可與同時啟用的任一選項或同時啟用的兩個選項一起使用。

已啟用加密的安全SMTP通訊

1. 在ISE受信任證書中匯入SMTP伺服器證書的根CA證書，使用：信任在ISE中進行身份驗證，信任客戶端身份驗證和系統日誌。
2. 配置SMTP伺服器，在SMTP伺服器上為加密通訊配置的埠，並選中使用TLS/SSL加密選項。

「測試連線」顯示與SMTP伺服器的連線成功。

資料包捕獲顯示伺服器已接受ISE請求的STARTTLS選項。

已啟用身份驗證設定的安全SMTP通訊

1. 配置SMTP伺服器和SMTP埠。
2. 在Authentication Settings下，選中Use Password Authentication選項並提供使用者名稱和密碼。

當基於密碼的身份驗證工作正常時，測試連線成功：

顯示成功使用憑據進行身份驗證的資料包捕獲示例：

驗證

使用本節內容，確認您的組態是否正常運作。

1. 使用「測試連線」選項驗證與已配置SMTP伺服器的連線。
2. 從訪客門戶傳送測試電子郵件，地址為：Work Centers > Guest Access > Portals & Components > Guest Portals > Self-Registered Guest Portal(default)> Portal Page Customization > Notifications > Email > Preview window Settings。 輸入有效的電子郵件地址並傳送測試電子郵件。收件人必須從「訪客郵件設定」下的已配置電子郵件地址接收電子郵件。

為訪客帳戶憑據傳送的示例電子郵件通知：

電子郵件收件人接收的示例電子郵件通知：

疑難排解

本節提供的資訊可用於對組態進行疑難排解：

問題：測試連線顯示：「無法連線到SMTP伺服器，SSL錯誤。請檢查受信任的證書"。

資料包捕獲顯示SMTP伺服器提供的證書不受信任：

解決方案：在ISE受信任證書中匯入SMTP伺服器的根CA證書，並在埠上配置TLS支援。

問題：測試連線顯示：「身份驗證失敗：無法連線到SMTP伺服器，使用者名稱或密碼不正確」。

此處資料包捕獲示例顯示身份驗證未成功。

解決方案：驗證SMTP伺服器上配置的使用者名稱或密碼。

問題：測試連線顯示：「Connection to SMTP server failed（連線到SMTP伺服器失敗）」。

解決方案：驗證SMTP伺服器埠配置。檢查SMTP伺服器名稱是否可由ISE上配置的DNS伺服器解析。

該示例顯示SMTP伺服器在未為SMTP服務配置的587埠上傳送重置消息。

相關資訊

• 思科身份服務引擎管理員指南3.0版

• 技術支援與文件 - Cisco Systems