Contenido

Introducción

prerrequisitos

Requisitos

Componentes Utilizados

Configurar

Configuraciones

1. Agregue el dispositivo de red en ISE y active el protocolo DTL.

2. Configure los DTL viran y están desocupado el descanso hacia el lado de babor.

3. Exporte el emisor del certificado DTL RADIUS del almacén de la confianza ISE.

4. Configure la punta de la confianza y Import Certificate (Importar certificado) al authenticator.

5. Certificado de exportación del conmutador.

6. Certificado del conmutador de la importación al almacén de la confianza ISE.

7. Configure el RADIUS en el conmutador.

8. Configure las directivas en ISE.

Verificación

Troubleshooting

1. ISE no recibe ninguna peticiones.

2. El apretón de manos DTL falla.

Introducción

Este documento describe la configuración y el troubleshooting del RADIUS sobre el protocolo de Transport Layer Security del datagrama (DTL). Los DTL proporcionan los servicios de encripción para el RADIUS, que se transporta sobre un túnel seguro.

Prerrequisitos

Requisitos

Cisco recomienda que tenga conocimiento sobre estos temas:

- Cisco Identity Services Engine (ISE)

- Protocolo RADIUS

- IOS de Cisco

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

- Cisco Identity Services Engine 2.2

- Catalizador 3650 con IOS 16.6.1

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si la red está funcionando, asegúrese de haber comprendido el impacto que puede tener cualquier comando.

Configurar

Configuraciones

1. Agregue el dispositivo de red en ISE y active el protocolo DTL.

Navegue a la administración > a los recursos de red > a los dispositivos de red. El tecleo agrega y proporciona por lo menos a los campos obligatorios:

- Nombre - Un nombre descriptivo del dispositivo se agrega.

- Dirección IP - Dirección IP, que el authenticator utiliza para entrar en contacto con ISE. Es posible configurar un rango de los dispositivos. Para hacer eso, especifique la máscara apropiada (más pequeño de 32).

- Perfil del dispositivo - Opciones generales para el dispositivo. Permite especificar se manejan qué protocolos, cambio detallado de las configuraciones de la autorización (CoA) y de la configuración de los atributos de RADIUS. Para más detalles, navegue a la administración > a los recursos de red > a los perfiles del dispositivo de red.

- Grupo de dispositivos de red - Fije el tipo de dispositivo, IPSec las capacidades y la ubicación del dispositivo. Esta configuración no es obligatoria. Si usted no selecciona los valores en aduana, se asumen las configuraciones por defecto.

Las configuraciones selectas de la autenticación de RADIUS del checkbox y bajo configuraciones RADIUS DTL seleccionan el checkbox DTL requerido. Esto permite la comunicación RADIUS con el authenticator solamente vía los DTL asegura el túnel. Observe que el textbox del secreto compartido es grayed hacia fuera. Este valor en caso de RADIUS DTL es fijo y la misma cadena se configura en el lado del authenticator.

2. Configure los DTL viran y están desocupado el descanso hacia el lado de babor.

Usted puede configurar el puerto que se utiliza para la comunicación DTL y el descanso ocioso en la administración > el sistema > las configuraciones > los protocolos > el RADIUS > RADIUS DTL.

Observe que el puerto DTL es diferente de los puertos RADIUS. Por abandono, un RADIUS utiliza los pares 1645, 1646 y 1812, 1813. Por abandono DTL para la autenticación, la autorización, las estadísticas y puerto 2083 de las aplicaciones CoA. El descanso ocioso especifica cuánto tiempo ISE y el authenticator mantienen el túnel sin ninguna comunicación real que pasa con ella. Este descanso se mide en los segundos y se extiende a partir del 60 a 600 segundos.

3. Exporte el emisor del certificado DTL RADIUS del almacén de la confianza ISE.

Para establecer el túnel entre ISE y el authenticator, ambas entidades necesitan intercambiar y verificar los Certificados. El Authenticator tiene que confiar en el certificado ISE RADIUS DTL, así que significa que su emisor tiene que estar presente en el almacén de la confianza del authenticator. Para exportar al firmante del certificado ISE, navegue a la administración > al sistema > a los Certificados, tal y como se muestra en de la imagen:

Localice el certificado con el papel RADIUS DTL asignado y controle publicado por el campo para saber si hay este certificado. Éste es el nombre común del certificado que tiene que ser exportado del almacén de la confianza ISE. Para hacer eso, navegue a la administración > al sistema > a los Certificados de CertificatesTrusted. Seleccione el checkbox al lado del certificado apropiado y haga clic la exportación.

4. Configure la punta de la confianza y Import Certificate (Importar certificado) al authenticator.

Para configurar el trustpoint, ábrase una sesión al conmutador y ejecute los comandos:

configure terminal

crypto pki trustpoint isetp

enrollment terminal

revocation-check none

exit

Import Certificate (Importar certificado) con el pki del comando crypto autentique el isetp. Cuando está incitado para validar el certificado, tipo sí.

Switch3650(config)#crypto pki authenticate isetp

Enter the base 64 encoded CA certificate.

End with a blank line or the word "quit" on a line by itself

-----BEGIN CERTIFICATE-----

MIIDWTCCAkGgAwIBAgIQL9s4RrhtWLpJjBYB5v0dtTANBgkqhkiG9w0BAQUFADA/

MRMwEQYKCZImiZPyLGQBGRYDY29tMRcwFQYKCZImiZPyLGQBGRYHZXhhbXBsZTEP

MA0GA1UEAxMGTEFCIENBMB4XDTE1MDIxMjA3MzgxM1oXDTI1MDIxMjA3NDgxMlow

PzETMBEGCgmSJomT8ixkARkWA2NvbTEXMBUGCgmSJomT8ixkARkWB2V4YW1wbGUx

DzANBgNVBAMTBkxBQiBDQTCCASIwDQYJKoZIhvcNAQEBBQADggEPADCCAQoCggEB

AMDSfJwvbJLHHJf4vDTalGjKrDI73c/y269IMZV48xpCruNhglcU8CW/T9Ysj6xk

Oogtx2vpG4XJt7KebDZ/ac1Ymjg7sPBPcnyDZCd2a1b39XakD2puE8lVi4RVkjBH

pss2fTWeuor9dzgb/kWb0YqIsgw1sRKQ2Veh1IXmuhX+wDqELHPIzgXn/DOBF0qN

vWlevrAlmBTxC04t1aPwyRk6b6ptjMeaIv2nqy8tOrldMVYKsPDj8aOrFEQ2d/wg

HDvd6C6LKRBpmAvtrqyDtinEl/CRaEFH7dZpvUSJBNuh7st3JIG8gVFstweoMmTE

zxUONQw8QrZmXDGTKgqvisECAwEAAaNRME8wCwYDVR0PBAQDAgGGMA8GA1UdEwEB

/wQFMAMBAf8wHQYDVR0OBBYEFO0TzYQ4kQ3fN6x6JzCit3/l0qoHMBAGCSsGAQQB

gjcVAQQDAgEAMA0GCSqGSIb3DQEBBQUAA4IBAQAWbWGBeqE2u6IGdKEPhv+t/rVi

xhn7KrEyWxLkWaLsbU2ixsfTeJDCM8pxQItsj6B0Ey6A05c3YNcvW1iNpupGgc7v

9lMt4/TB6aRLVLijBPB9/p2/3SJadCe/YBaOn/vpmfBPPhxUQVPiBM9fy/Al+zsh

t66bcO3WcD8ZaKaER0oT8Pt/4GHZA0Unx+UxpcNuRRz4COArINXE0ULRfBxpIkkF

pWNjH0rlV55edOga0/r60Cg1/J9VAHh3qK2/3zXJE53N+A0h9whpG4LYgIFLB9ep

ZDim7KGsf+P3zk7SsKioGB4kqidHnm34XjlkWFnrCMQH4HC1oEymakV3Kq24

-----END CERTIFICATE-----

Certificate has the following attributes:

Fingerprint MD5: B33EAD49 87F18924 590616B9 C8880D9D

Fingerprint SHA1: FD729A3B B533726F F8450358 A2F7EB27 EC8A1178

% Do you accept this certificate? [yes/no]: yes

Trustpoint CA certificate accepted.

% Certificate successfully imported

5. Certificado de exportación del conmutador.

Seleccione el trustpoint y certifiqúelo para ser utilizado para los DTL en el conmutador y expórtelo:

Switch3650(config)#crypto pki export TP-self-signed-721943660 pem terminal

% Self-signed CA certificate:

-----BEGIN CERTIFICATE-----

MIICKTCCAZKgAwIBAgIBATANBgkqhkiG9w0BAQUFADAwMS4wLAYDVQQDEyVJT1Mt

U2VsZi1TaWduZWQtQ2VydGlmaWNhdGUtNzIxOTQzNjYwMB4XDTE2MDQyNzExNDYw

NloXDTIwMDEwMTAwMDAwMFowMDEuMCwGA1UEAxMlSU9TLVNlbGYtU2lnbmVkLUNl

cnRpZmljYXRlLTcyMTk0MzY2MDCBnzANBgkqhkiG9w0BAQEFAAOBjQAwgYkCgYEA

xRybTGD526rPYuD2puMJu8ANcDqQnwunIERgvIWoLwBovuAu7WcRmzw1IDTDryOH

PXt1n5GcQSAOgn+9QdvKl1Z43ZkRWK5E7EGmjM/aL1287mg4/NlrWr4KMSwDQBJI

noJ52CABXUoApuiiJ8Ya4gOYeP0TmsZtxP1N+s+wqjMCAwEAAaNTMFEwDwYDVR0T

AQH/BAUwAwEB/zAfBgNVHSMEGDAWgBSEOKlAPAHBPedwichXL+qUM+1riTAdBgNV

HQ4EFgQUhDipQDwBwT3ncInIVy/qlDPta4kwDQYJKoZIhvcNAQEFBQADgYEAlBNN

wKSS8yBuOH0/jUV7sy3Y9/oV7Z9bW8WFV9QiTQ1lZelvWMTbewozwX2LJvxobGcj

Pi+n99RIH8dBhWwoYl9GTN2LVI22GIPX12jNLqps+Mq/u2qxVm0964Sajs5OlKjQ

69XFfCVot1NA6z2eEP/69oL9x0uaJDZa+6ileh0=

-----END CERTIFICATE-----

Para enumerar todos los trustpoints configurados, ejecute los trustpoints del pki del comando show crypto. Una vez que el certificado se imprime para consolar, copíelo a un fichero y sálvelo en su PC.

6. Importe el certificado del conmutador al almacén de la confianza ISE.

En ISE, navegue a la administración > a los Certificados > a los certificados confiables y haga clic la importación.

Ahora el tecleo hojea y selecciona el certificado del conmutador. Proporcione (opcionalmente) al nombre descriptivo y seleccione la confianza de los checkboxes para la autenticación dentro de ISE y confíe en para la autenticación y el Syslog de cliente. Entonces haga clic someten, tal y como se muestra en de la imagen:

7. Configure el RADIUS en el conmutador.

Agregue la configuración de RADIUS en el conmutador. Para configurar el conmutador para comunicar con ISE sobre los DTL, utilice los comandos:

radius server ISE22

address ipv4 10.48.23.86

key radius/dtls

dtls port 2083

dtls trustpoint client TP-self-signed-721943660

dtls trustpoint server isetp

El resto de la configuración específica AAA depende de sus requisitos y diseño. Trate esta configuración como un ejemplo:

aaa group server radius ISE

server name ISE22

radius-server attribute 6 on-for-login-auth

radius-server attribute 8 include-in-access-req

radius-server attribute 25 access-request include

aaa authentication dot1x default group ISE

aaa authorization network default group ISE

8. Configure las directivas en ISE.

Configure las directivas de la autenticación y de la autorización en ISE. Este paso depende de su diseño y requisitos también.

Verificación

Para verificar que los usuarios puedan autenticar, utilizar el comando aaa de la prueba en el conmutador:

Switch3650#test aaa group ISE alice Krakow123 new-code

User successfully authenticated

USER ATTRIBUTES

username             0   "alice"

Switch3650#

Usted debe ver mensajes que los usuarios autenticado con éxito. Navegue a las operaciones ISE > al RADIUS > a LiveLog y a los detalles selectos para el registro apropiado (haga clic en la lupa):

A la derecha del informe, hay una lista de pasos. Controle que el primer paso en la lista es paquete RADIUS está cifrado.

Además, usted puede comenzar a la captura de paquetes en ISE y ejecutar el comando aaa de la prueba una vez más. Para comenzar la captura, navegue a las operaciones > al Troubleshooting > a las herramientas de diagnóstico > las herramientas generales > volcado TCP. Seleccione el nodo del servicio de la directiva usado para la autenticación y haga clic el comienzo:

Cuando se acaba la autenticación, haga clic la parada y descargúela. Cuando usted abre a la captura de paquetes, usted debe poder ver el tráfico cifrado con los DTL:

Los paquetes #813 - #822 son apretón de manos de la parte de DTL. Cuando el apretón de manos se negocia con éxito, se transfieren los datos de aplicación. Observe que el número de paquetes puede variar y depende por ejemplo del método de autenticación usado (PAP, EAP-PEAP, EAP-TLS, etc). El contenido de cada paquete se cifra:

Cuando se transmiten todos los datos, el túnel no se derriba inmediatamente. IdleTimeout configuró en ISE determina cuánto tiempo el túnel se puede establecer sin la comunicación que pasa a través de él. Si expira el temporizador y la nueva Acceso-petición tiene que ser enviada a ISE, se realiza el apretón de manos DTL y se reconstruye el túnel.

Troubleshooting

1. ISE no recibe ninguna peticiones.

Observe que el puerto del valor por defecto DTL es 2083. Los puertos RADIUS del valor por defecto son 1645,1646 y 1812,1813. Asegúrese de que el Firewall no bloquee el tráfico UDP/2083.

2. El apretón de manos DTL falla.

En el informe detallado sobre ISE usted puede ver que el apretón de manos DTL falló:

La razón posible es que lo hace el conmutador o ISE no certificado de confianza enviado durante el apretón de manos. Verifique la configuración del certificado. Verifique que el certificado apropiado esté asignado al papel RADIUS DTL en ISE y a los trustpoints en el conmutador.