Configuration de l'authentification passive avec connexion VPN d'accès à distance sur Firepower Device Manager

Options de téléchargement

  • PDF     (867.5 KB)
    Consulter à l'aide d'Adobe Reader sur un grand nombre d'appareils
  • ePub     (881.2 KB)
    Consulter à l’aide de différentes applications sur iPhone, iPad, Android ou Windows Phone
  • Mobi (Kindle)     (763.4 KB)
    Consulter sur un appareil Kindle ou à l’aide d’une application Kindle sur plusieurs appareils
Mis à jour:11 août 2021
ID du document:217299

Langage exempt de préjugés

Dans le cadre de la documentation associée à ce produit, nous nous efforçons d’utiliser un langage exempt de préjugés. Dans cet ensemble de documents, le langage exempt de discrimination renvoie à une langue qui exclut la discrimination en fonction de l’âge, des handicaps, du genre, de l’appartenance raciale de l’identité ethnique, de l’orientation sexuelle, de la situation socio-économique et de l’intersectionnalité. Des exceptions peuvent s’appliquer dans les documents si le langage est codé en dur dans les interfaces utilisateurs du produit logiciel, si le langage utilisé est basé sur la documentation RFP ou si le langage utilisé provient d’un produit tiers référencé. Découvrez comment Cisco utilise le langage inclusif.

À propos de cette traduction

Cisco a traduit ce document en traduction automatisée vérifiée par une personne dans le cadre d’un service mondial permettant à nos utilisateurs d’obtenir le contenu d’assistance dans leur propre langue. Il convient cependant de noter que même la meilleure traduction automatisée ne sera pas aussi précise que celle fournie par un traducteur professionnel.

    Introduction

    Ce document décrit comment configurer l'authentification passive sur le pare-feu FTD (Firepower Threat Defense) via le Firepower Device Manager (FDM) avec des connexions VPN d'accès distant (RA VPN) avec AnyConnect.

    Conditions préalables

    Conditions requises

    Cisco vous recommande de prendre connaissance des rubriques suivantes :

    • Firepower Device Manager.
    • VPN d'accès à distance.
    • Stratégie d'identité.

    Components Used

    Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

    • Firepower Threat Defense (FTD) version 7.0
    • Cisco AnyConnect Secure Mobility Client version 4.10
    • Active Directory (AD)

    The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

    Informations générales

    La stratégie d'identité peut détecter les utilisateurs associés à une connexion. La méthode utilisée est l'authentification passive, car l'identité de l'utilisateur est obtenue à partir d'autres services d'authentification (LDAP).

    Dans FDM, l'authentification passive peut fonctionner avec deux options différentes :

    • Connexions VPN d'accès à distance
    • Cisco Identity Services Engine (ISE)

    Configuration

    Diagramme du réseau

    VPN

    Cette section décrit comment configurer l'authentification passive sur FDM.

    Étape 1. Configurer la source d'identité

    Que vous collectiez l'identité de l'utilisateur activement (par l'invite d'authentification de l'utilisateur) ou passivement, vous devez configurer le serveur Active Directory (AD) qui possède les informations d'identité de l'utilisateur.

    Naviguez vers Objets >Services d'identité et sélectionnez l'optionADpour ajouter Active Directory.

    Ajouter la configuration Active Directory :

    Identity_Source

    Étape 2. Configurer le VPN RA

    La configuration du VPN d'accès à distance peut être examinée dans cette liaison

    Étape 3. Configurez la méthode d'authentification pour les utilisateurs VPN RA

    Dans la configuration du VPN RA, sélectionnez la méthode d'authentification. La source d'indeité principale pour l'authentification de l'utilisateur doit être AD. 

    ra_VPN

    Note: Dans les paramètres globaux du VPN RA, décochez l'option Bypass Access Control Policy pour le trafic déchiffré (sysopt permit-vpn) afin de permettre la possibilité d'utiliser la politique de contrôle d'accès pour inspecter le trafic provenant des utilisateurs AnyConnect.

    Bypass

    Étape 4. Configurer la stratégie d'identité pour l'authentification passive

    Vous devez créer la stratégie d'identité afin de configurer l'authentification passive, la stratégie doit comporter les éléments suivants :

    • Source de l'identité AD : Identique à l'étape 1
    • Action : AUTH PASSIVE

    Afin de configurer la règle d'identité, naviguez versPolicies>Identity >select [+] pour ajouter une nouvelle règle d'identité.

    • Définissez les sous-réseaux source et de destination auxquels s’applique l’authentification passive.

    identity policy

    Étape 5. Créer la règle de contrôle d'accès dans la stratégie de contrôle d'accès

    Configurez la règle de contrôle d'accès pour autoriser ou bloquer le trafic en fonction des utilisateurs.

    acp

    Afin de configurer les utilisateurs ou le groupe d'utilisateurs pour qu'ils disposent d'une authentification passive, sélectionnez l'onglet Utilisateurs. Vous pouvez ajouter un groupe d'utilisateurs ou un utilisateur individuel.

    user

    Déployez les modifications.

    Vérification

    Vérifiez que la connexion de test avec AD a réussi

    test

    Vérifiez que l'utilisateur distant peut se connecter avec le client AnyConnect avec ses informations d'identification Active Directory.

    vpn

    login

    Vérifier que l'utilisateur obtient une adresse IP du pool VPN

    user_annyconnect

    Dépannage

    Vous pouvez utiliser user_map_query.plscript pour valider que le FDM possède le mappage ip utilisateur

    user_map

    En mode clish, vous pouvez configurer :

    prise en charge du système identity-debugpour vérifier si la redirection a réussi.

    > system support identity-debug
    Enable firewall-engine-debug too? [n]: y
    Please specify an IP protocol:
    Please specify a client IP address: 192.168.19.1
    Please specify a client port:
    Please specify a server IP address:
    Please specify a server port:
    Monitoring identity and firewall debug messages

    192.168.19.1-62757 > 72.163.47.11-53 17 AS 1-1 I 0 Starting authentication (sfAuthCheckRules params) with zones 2 -> 2, port 62757 -> 53, geo 14467064 -> 14467082
    192.168.19.1-62757 > 72.163.47.11-53 17 AS 1-1 I 0 Retrieved ABP info:
    192.168.19.1-62757 > 72.163.47.11-53 17 AS 1-1 I 0 abp src 
    192.168.19.1-62757 > 72.163.47.11-53 17 AS 1-1 I 0 abp dst 
    192.168.19.1-62757 > 72.163.47.11-53 17 AS 1-1 I 0 matched auth rule id = 130027046 user_id = 5 realm_id = 3
    192.168.19.1-62757 > 72.163.47.11-53 17 AS 1-1 I 0 new firewall session
    192.168.19.1-62757 > 72.163.47.11-53 17 AS 1-1 I 0 using HW or preset rule order 2, 'Inside_Outside_Rule', action Allow and prefilter rule 0
    192.168.19.1-62757 > 72.163.47.11-53 17 AS 1-1 I 0 HitCount data sent for rule id: 268435458,
    192.168.19.1-62757 > 72.163.47.11-53 17 AS 1-1 I 0 allow action
    192.168.19.1-62757 > 8.8.8.8-53 17 AS 1-1 I 1 Starting authentication (sfAuthCheckRules params) with zones 2 -> 2, port 62757 -> 53, geo 14467064 -> 14467082
    192.168.19.1-62757 > 8.8.8.8-53 17 AS 1-1 I 1 Retrieved ABP info:
    192.168.19.1-62757 > 8.8.8.8-53 17 AS 1-1 I 1 abp src 
    192.168.19.1-62757 > 8.8.8.8-53 17 AS 1-1 I 1 abp dst 
    192.168.19.1-62757 > 8.8.8.8-53 17 AS 1-1 I 1 matched auth rule id = 130027046 user_id = 5 realm_id = 3
    192.168.19.1-62757 > 8.8.8.8-53 17 AS 1-1 I 1 new firewall session
    192.168.19.1-62757 > 8.8.8.8-53 17 AS 1-1 I 1 using HW or preset rule order 2, 'Inside_Outside_Rule', action Allow and prefilter rule 0
    192.168.19.1-62757 > 8.8.8.8-53 17 AS 1-1 I 1 HitCount data sent for rule id: 268435458,
    192.168.19.1-62757 > 8.8.8.8-53 17 AS 1-1 I 1 allow action
    192.168.19.1-53015 > 20.42.0.16-443 6 AS 1-1 I 0 Starting authentication (sfAuthCheckRules params) with zones 2 -> 2, port 53015 -> 443, geo 14467064 -> 14467082
    192.168.19.1-53015 > 20.42.0.16-443 6 AS 1-1 I 0 Retrieved ABP info:
    192.168.19.1-53015 > 20.42.0.16-443 6 AS 1-1 I 0 abp src 
    192.168.19.1-53015 > 20.42.0.16-443 6 AS 1-1 I 0 abp dst 
    192.168.19.1-53015 > 20.42.0.16-443 6 AS 1-1 I 0 matched auth rule id = 130027046 user_id = 5 realm_id = 3
    192.168.19.1-53015 > 20.42.0.16-443 6 AS 1-1 I 0 new firewall session
    192.168.19.1-53015 > 20.42.0.16-443 6 AS 1-1 I 0 using HW or preset rule order 2, 'Inside_Outside_Rule', action Allow and prefilter rule 0
    192.168.19.1-53015 > 20.42.0.16-443 6 AS 1-1 I 0 HitCount data sent for rule id: 268435458,
    192.168.19.1-53015 > 20.42.0.16-443 6 AS 1-1 I 0 allow action
    192.168.19.1-52166 > 20.42.0.16-443 6 AS 1-1 I 1 deleting firewall session flags = 0x10001, fwFlags = 0x102, session->logFlags = 010001
    192.168.19.1-65207 > 72.163.47.11-53 17 AS 1-1 I 1 Starting authentication (sfAuthCheckRules params) with zones 2 -> 2, port 65207 -> 53, geo 14467064 -> 14467082
    192.168.19.1-65207 > 72.163.47.11-53 17 AS 1-1 I 1 Retrieved ABP info:
    192.168.19.1-65207 > 72.163.47.11-53 17 AS 1-1 I 1 abp src 
    192.168.19.1-65207 > 72.163.47.11-53 17 AS 1-1 I 1 abp dst 
    192.168.19.1-65207 > 72.163.47.11-53 17 AS 1-1 I 1 matched auth rule id = 130027046 user_id = 5 realm_id = 3
    192.168.19.1-65207 > 72.163.47.11-53 17 AS 1-1 I 1 new firewall session
    192.168.19.1-65207 > 72.163.47.11-53 17 AS 1-1 I 1 using HW or preset rule order 2, 'Inside_Outside_Rule', action Allow and prefilter rule 0
    192.168.19.1-65207 > 72.163.47.11-53 17 AS 1-1 I 1 HitCount data sent for rule id: 268435458,
    192.168.19.1-65207 > 72.163.47.11-53 17 AS 1-1 I 1 allow action
    192.168.19.1-65207 > 8.8.8.8-53 17 AS 1-1 I 0 Starting authentication (sfAuthCheckRules params) with zones 2 -> 2, port 65207 -> 53, geo 14467064 -> 14467082
    192.168.19.1-65207 > 8.8.8.8-53 17 AS 1-1 I 0 Retrieved ABP info:
    192.168.19.1-65207 > 8.8.8.8-53 17 AS 1-1 I 0 abp src 
    192.168.19.1-65207 > 8.8.8.8-53 17 AS 1-1 I 0 abp dst 
    192.168.19.1-65207 > 8.8.8.8-53 17 AS 1-1 I 0 matched auth rule id = 130027046 user_id = 5 realm_id = 3
    192.168.19.1-65207 > 8.8.8.8-53 17 AS 1-1 I 0 new firewall session
    192.168.19.1-65207 > 8.8.8.8-53 17 AS 1-1 I 0 using HW or preset rule order 2, 'Inside_Outside_Rule', action Allow and prefilter rule 0
    192.168.19.1-65207 > 8.8.8.8-53 17 AS 1-1 I 0 HitCount data sent for rule id: 268435458,
    192.168.19.1-65207 > 8.8.8.8-53 17 AS 1-1 I 0 allow action
    192.168.19.1-65209 > 8.8.8.8-53 17 AS 1-1 I 0 Starting authentication (sfAuthCheckRules params) with zones 2 -> 2, port 65209 -> 53, geo 14467064 -> 14467082
    192.168.19.1-65209 > 8.8.8.8-53 17 AS 1-1 I 0 Retrieved ABP info:
    192.168.19.1-65209 > 8.8.8.8-53 17 AS 1-1 I 0 abp src 
    192.168.19.1-65209 > 8.8.8.8-53 17 AS 1-1 I 0 abp dst 
    192.168.19.1-65209 > 8.8.8.8-53 17 AS 1-1 I 0 matched auth rule id = 130027046 user_id = 5 realm_id = 3
    192.168.19.1-65209 > 8.8.8.8-53 17 AS 1-1 I 0 new firewall session
    192.168.19.1-65209 > 8.8.8.8-53 17 AS 1-1 I 0 using HW or preset rule order 2, 'Inside_Outside_Rule', action Allow and prefilter rule 0
    192.168.19.1-65209 > 8.8.8.8-53 17 AS 1-1 I 0 HitCount data sent for rule id: 268435458,
    192.168.19.1-65209 > 8.8.8.8-53 17 AS 1-1 I 0 allow action
    192.168.19.1-65211 > 72.163.47.11-53 17 AS 1-1 I 1 Starting authentication (sfAuthCheckRules params) with zones 2 -> 2, port 65211 -> 53, geo 14467064 -> 14467082
    192.168.19.1-65211 > 72.163.47.11-53 17 AS 1-1 I 1 Retrieved ABP info:
    192.168.19.1-65211 > 72.163.47.11-53 17 AS 1-1 I 1 abp src 
    192.168.19.1-65211 > 72.163.47.11-53 17 AS 1-1 I 1 abp dst 
    192.168.19.1-65211 > 72.163.47.11-53 17 AS 1-1 I 1 matched auth rule id = 130027046 user_id = 5 realm_id = 3
    192.168.19.1-65211 > 72.163.47.11-53 17 AS 1-1 I 1 new firewall session
    192.168.19.1-65211 > 72.163.47.11-53 17 AS 1-1 I 1 using HW or preset rule order 2, 'Inside_Outside_Rule', action Allow and prefilter rule 0
    192.168.19.1-65211 > 72.163.47.11-53 17 AS 1-1 I 1 HitCount data sent for rule id: 268435458,
    192.168.19.1-65211 > 72.163.47.11-53 17 AS 1-1 I 1 allow action
    192.168.19.1-61823 > 72.163.47.11-53 17 AS 1-1 I 1 Starting authentication (sfAuthCheckRules params) with zones 2 -> 2, port 61823 -> 53, geo 14467064 -> 14467082
    192.168.19.1-61823 > 72.163.47.11-53 17 AS 1-1 I 1 Retrieved ABP info:
    192.168.19.1-61823 > 72.163.47.11-53 17 AS 1-1 I 1 abp src 
    192.168.19.1-61823 > 72.163.47.11-53 17 AS 1-1 I 1 abp dst 
    192.168.19.1-61823 > 72.163.47.11-53 17 AS 1-1 I 1 matched auth rule id = 130027046 user_id = 5 realm_id = 3
    192.168.19.1-61823 > 72.163.47.11-53 17 AS 1-1 I 1 new firewall session
    192.168.19.1-61823 > 72.163.47.11-53 17 AS 1-1 I 1 using HW or preset rule order 2, 'Inside_Outside_Rule', action Allow and prefilter rule 0
    192.168.19.1-61823 > 72.163.47.11-53 17 AS 1-1 I 1 HitCount data sent for rule id: 268435458,
    192.168.19.1-61823 > 72.163.47.11-53 17 AS 1-1 I 1 allow action
    192.168.19.1-61823 > 8.8.8.8-53 17 AS 1-1 I 0 Starting authentication (sfAuthCheckRules params) with zones 2 -> 2, port 61823 -> 53, geo 14467064 -> 14467082
    192.168.19.1-61823 > 8.8.8.8-53 17 AS 1-1 I 0 Retrieved ABP info:
    192.168.19.1-61823 > 8.8.8.8-53 17 AS 1-1 I 0 abp src 
    192.168.19.1-61823 > 8.8.8.8-53 17 AS 1-1 I 0 abp dst 
    192.168.19.1-61823 > 8.8.8.8-53 17 AS 1-1 I 0 matched auth rule id = 130027046 user_id = 5 realm_id = 3
    192.168.19.1-61823 > 8.8.8.8-53 17 AS 1-1 I 0 new firewall session
    192.168.19.1-61823 > 8.8.8.8-53 17 AS 1-1 I 0 using HW or preset rule order 2, 'Inside_Outside_Rule', action Allow and prefilter rule 0
    192.168.19.1-61823 > 8.8.8.8-53 17 AS 1-1 I 0 HitCount data sent for rule id: 268435458,
    192.168.19.1-61823 > 8.8.8.8-53 17 AS 1-1 I 0 allow action
    192.168.19.1-57747 > 72.163.47.11-53 17 AS 1-1 I 1 deleting firewall session flags = 0x10001, fwFlags = 0x102, session->logFlags = 010001
    192.168.19.1-57747 > 72.163.47.11-53 17 AS 1-1 I 1 Logging EOF as part of session delete with rule_id = 268435458 ruleAction = 2 ruleReason = 0 
    192.168.19.1-57747 > 8.8.8.8-53 17 AS 1-1 I 0 deleting firewall session flags = 0x10001, fwFlags = 0x102, session->logFlags = 010001
    192.168.19.1-57747 > 8.8.8.8-53 17 AS 1-1 I 0 Logging EOF as part of session delete with rule_id = 268435458 ruleAction = 2 ruleReason = 0 
    192.168.19.1-53038 > 20.42.0.16-443 6 AS 1-1 I 0 Starting authentication (sfAuthCheckRules params) with zones 2 -> 2, port 53038 -> 443, geo 14467064 -> 14467082
    192.168.19.1-53038 > 20.42.0.16-443 6 AS 1-1 I 0 Retrieved ABP info:
    192.168.19.1-53038 > 20.42.0.16-443 6 AS 1-1 I 0 abp src 
    192.168.19.1-53038 > 20.42.0.16-443 6 AS 1-1 I 0 abp dst 
    192.168.19.1-53038 > 20.42.0.16-443 6 AS 1-1 I 0 matched auth rule id = 130027046 user_id = 5 realm_id = 3
    192.168.19.1-53038 > 20.42.0.16-443 6 AS 1-1 I 0 new firewall session
    192.168.19.1-53038 > 20.42.0.16-443 6 AS 1-1 I 0 using HW or preset rule order 2, 'Inside_Outside_Rule', action Allow and prefilter rule 0
    192.168.19.1-53038 > 20.42.0.16-443 6 AS 1-1 I 0 HitCount data sent for rule id: 268435458,
    192.168.19.1-53038 > 20.42.0.16-443 6 AS 1-1 I 0 allow action
    192.168.19.1-57841 > 72.163.47.11-53 17 AS 1-1 I 1 deleting firewall session flags = 0x10001, fwFlags = 0x102, session->logFlags = 010001
    192.168.19.1-57841 > 72.163.47.11-53 17 AS 1-1 I 1 Logging EOF as part of session delete with rule_id = 268435458 ruleAction = 2 ruleReason = 0 
    192.168.19.1-57841 > 8.8.8.8-53 17 AS 1-1 I 0 deleting firewall session flags = 0x10001, fwFlags = 0x102, session->logFlags = 010001
    192.168.19.1-57841 > 8.8.8.8-53 17 AS 1-1 I 0 Logging EOF as part of session delete with rule_id = 268435458 ruleAction = 2 ruleReason = 0 
    192.168.19.1-64773 > 8.8.8.8-53 17 AS 1-1 I 0 Starting authentication (sfAuthCheckRules params) with zones 2 -> 2, port 64773 -> 53, geo 14467064 -> 14467082
    192.168.19.1-64773 > 8.8.8.8-53 17 AS 1-1 I 0 Retrieved ABP info:
    192.168.19.1-64773 > 8.8.8.8-53 17 AS 1-1 I 0 abp src 
    192.168.19.1-64773 > 8.8.8.8-53 17 AS 1-1 I 0 abp dst 
    192.168.19.1-64773 > 8.8.8.8-53 17 AS 1-1 I 0 matched auth rule id = 130027046 user_id = 5 realm_id = 3
    192.168.19.1-64773 > 8.8.8.8-53 17 AS 1-1 I 0 new firewall session
    192.168.19.1-64773 > 8.8.8.8-53 17 AS 1-1 I 0 using HW or preset rule order 2, 'Inside_Outside_Rule', action Allow and prefilter rule 0
    192.168.19.1-64773 > 8.8.8.8-53 17 AS 1-1 I 0 HitCount data sent for rule id: 268435458,
    192.168.19.1-64773 > 8.8.8.8-53 17 AS 1-1 I 0 allow action

    Informations connexes


    Configuration du VPN d'accès à distance sur FTD géré par FDM
    https://www.cisco.com/c/en/us/support/docs/security/anyconnect-secure-mobility-client/215532-configure-remote-access-vpn-on-ftd-manag.html

    Historique de révision

    Révision Date de publication Commentaires
    1.0
    10-Aug-2021
    Première publication
    TAC Authored

    Contribution d’experts de Cisco

    • Oscar Montoya Torres
      Cisco TAC Engineer
    • Juan Enrique Ruiz
      Cisco TAC Engineer

    Ce document vous est-il utile?

    FeedbackCommentaires

    Contacter Cisco

    Ce document s’applique à ces produits