Exemple de configuration de l'intégration du mot de passe invité ISE avec la passerelle SMS basée sur Postfix et Kannel

Introduction

Ce document décrit comment intégrer des solutions open source (Postfix, Maildrop, Kannel) avec Cisco Identity Services Engine (ISE) afin de délivrer un message Short Message Service (SMS) aux utilisateurs disposant d'un compte invité.

Conditions préalables

Exigences

Cisco vous recommande de prendre connaissance des rubriques suivantes :

• Cisco ISE et accès invité
• Scripts Linux et Shell

Composants utilisés

Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

• Cisco ISE version 1.2 ou ultérieure
• Postfix Version 2.10
• Maildrop Version 2.6.0
• Canal version 1.5.0

Remarque : veuillez noter que Postfix, Maildrop et Kannel sont des solutions open source et que Cisco ne prend pas en charge ces produits. Cet exemple de configuration présente simplement comment ISE peut être intégré à d'autres produits afin de fournir une solution de bout en bout.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Informations générales

ISE vous permet de créer des comptes d'invité pour un accès réseau temporaire, généralement pour les invités, les visiteurs, les sous-traitants, les consultants et les clients. Ces comptes sont créés par les utilisateurs du sponsor via le portail du sponsor. Lorsque vous créez le compte, il est possible d'envoyer un mot de passe d'accès généré dynamiquement avec un SMS directement au téléphone mobile de l'utilisateur invité.

Cisco ISE peut envoyer ces informations d'identification par e-mail avec le protocole SMTP (Simple Mail Transfer Protocol) à la passerelle Mail2SMS. Cette passerelle est responsable de la remise des SMS.

Configurer

Avantages de la passerelle SMS

Il existe plusieurs solutions de passerelle Mail2SMS sur le marché. Ils peuvent généralement recevoir des données à l'aide de différents protocoles, tels que SMTP, SMTP (Short Message Peer-to-Peer), FTP, HTTP (Simple Object Access Protocol (SOAP), services Web) et envoyer un message SMS au téléphone mobile spécifique.

Il peut être préférable de créer votre propre passerelle SMS. Il permet :

• Plus grande flexibilité
• Possibilité de créer des règles composées sur le routage (basées sur le temps, les stratégies et le contenu)
• Intégration aux bases de données locales (par exemple, différentes stratégies de routage pour différents groupes Active Directory)
• Coûts d'exploitation potentiellement inférieurs (pas besoin de payer pour un service externe)
• La possibilité d'utiliser cette solution également pour les alertes de santé générées par ISE et envoyées par e-mail

Il peut être intéressant d'avoir un déploiement mixte - une passerelle SMS personnelle qui est également intégrée à un service externe.

Diagramme et flux du trafic du réseau

Voici le flux :

1. L'utilisateur sponsor crée un compte invité avec une notification par SMS et fournit le numéro de téléphone mobile de l'utilisateur. ISE envoie un e-mail au serveur SMTP configuré. L'adresse source (De) appartient à un utilisateur sponsor spécifique, tandis que l'adresse de destination (À) est configurée globalement sur ISE (dans cet exemple, sms@test-cisco.com). Tous les détails relatifs à l'utilisateur nouvellement créé, tels que le nom d'utilisateur et le mot de passe, se trouvent dans le corps de cet e-mail.
   
   
2. L'e-mail arrive sur le serveur Postfix, qui est configuré avec maildrop comme agent de remise local. Juste avant la livraison au répertoire maildir de l'utilisateur SMS, maildrop recherche mailfilter dans le répertoire home de l'utilisateur. Le script mailfilter analyse l'e-mail, et si toutes les données nécessaires sont trouvées, il utilise wget afin d'envoyer la requête HTTP GET à la smsbox Kannel. Cette requête HTTP GET contient le message texte, le nom d'utilisateur et le mot de passe, ainsi que le numéro de téléphone portable de l'utilisateur. Kannel smsbox est l'extrémité avant de Kannel qui est utilisé afin d'accepter toutes les demandes des utilisateurs afin d'envoyer des SMS (pour le passer à la boîte porteuse Kannel).
   
   
3. La boîte de messagerie Kannel envoie cette requête à la boîte au porteur Kannel, qui est chargée d'envoyer le SMS.
   
   
4. Plusieurs règles et SMSC (Short Message Service Centers) peuvent être configurés sur la zone de support. Cet exemple utilise un serveur SMPP externe. La configuration d'un téléphone mobile connecté localement est facile et sera présentée ultérieurement.

Chaque module de cette solution (Postfix, Kannel smsbox et Kannel earerbox) peut être installé sur un serveur distinct. Pour des raisons de simplicité, dans cet exemple, il est configuré sur le même serveur.

Configurations

ISE

Complétez ces étapes afin de configurer l'ISE.

1. Configurez l'utilisateur du portail sponsor. Dans cet exemple, la configuration ISE par défaut est utilisée et l'utilisateur est placé dans le groupe SponsorAllAccount :
   
   

   

   
   
   L'e-mail de l'utilisateur sponsor peut être configuré ultérieurement à partir du portail sponsor.
   
   
2. Afin de pouvoir envoyer des notifications par SMS, modifiez les privilèges par défaut pour le groupe SponsorAllAccount :
   
   

   

   
   
   Par défaut, le privilège Envoyer un SMS est désactivé.
   
   
3. Configurez le serveur SMTP et vérifiez que les paramètres DNS sont corrects.
   
   

   

   
   
   Tous les e-mails de notification sont envoyés à l'hôte smtp.test-cisco.com. ISE ne tente pas de vérifier les enregistrements DNS MX pour les domaines configurés (ce serveur SMTP est traité comme un relais).
   
   
4. Personnalisez l'e-mail envoyé en tant que notification par SMS.
   
   

   

   
   
   
5. Configurez l'adresse e-mail de destination, qui est le seul paramètre qui ne reste pas par défaut. Toutes les notifications sont envoyées via un serveur SMTP configuré précédemment avec le champ À défini sur sms@test-cisco.com.
   
   

   Remarque : il est possible de configurer ISE afin d'envoyer des notifications d'alerte par e-mail. Il peut également être intégré à la solution proposée afin d'envoyer les alertes sous forme de SMS aux téléphones mobiles. Cisco vous conseille d'utiliser un compte distinct sur le serveur Postfix pour cela (par exemple, alert@test-cisco.com).

   
   
   

   

Suffixe

Postfix est un serveur SMTP qui reçoit des e-mails d'ISE. La configuration par défaut est utilisée, à l'exception de quelques modifications mineures. Complétez ces étapes afin de le configurer.

1. Configurez Postfix afin d'être la destination locale pour le domaine test-cisco.com. Il est important de configurer également un agent de remise local : maildrop. Voici les changements nécessaires dans le fichier main.cf :
   
   

   myhostname = smtp.test-cisco.com
   mydomain = test-cisco.com
   mydestination = $myhostname, $mydomain, localhost
   local_transport = maildrop

   
   
   
2. L'étape suivante consiste à activer la suppression de messages dans le fichier master.cf. Modifiez la ligne correcte dans le fichier maître.cf :
   
   

   maildrop  unix  -       n       n       -       -       pipe
     flags=DRhu user=vmail argv=/usr/bin/maildrop -d ${user}

   
   
   Comme il s'agit d'un déploiement simple sans domaines virtuels, le paramètre {user} est utilisé à la place du paramètre {recipient} par défaut.
   
   
3. Configurez le compte local SMS qui est utilisé afin de recevoir les e-mails :
   
   

   neptun ~ # useradd sms
   neptun ~ # passwd sms
   New password: 
   BAD PASSWORD: it is too simplistic/systematic
   Retype new password: 
   passwd: password updated successfully
   neptun ~ # chown -R sms:sms /home/sms/

   
   
   

   À l'heure actuelle, tous les e-mails doivent être correctement remis à l'utilisateur de SMS. La structure maildir est créée automatiquement lors de la réception du premier e-mail.

Maildrop avec Mailfilter

Juste avant la livraison, maildrop recherche .mailfilter dans le répertoire d'accueil de l'utilisateur. Si ce fichier est trouvé, le script est exécuté. Les privilèges du fichier doivent être limités à l'utilisateur uniquement :

neptun sms # touch /home/sms/.mailfilter
neptun sms # chmod go-rwx /home/sms/.mailfilter

Voici le contenu du fichier :

# Mailfilter script for parsing ISE SMS messages
# Author: Michal Garcarz at cisco.com
# Date: 1 Dec 2013

#DEFAULT="$HOME/.maildir/"
DATE=`date`
SHELL="/bin/bash"

# Our log file
logfile "/home/sms/maildrop.log"

# Our verbosity in the log file
VERBOSE="5"

log "-------------SMS MAILFILTER LOG-----------"
log "Email received at: $DATE"

if (/^Subject:.*Guest.*Text.*Notification.*/)
{
        log "Email processed by script sending SMS via Kannel"

        USERNAME=""
        PASSWORD=""
        TO=""
        if (/^text:Username:(.*)/:b)
        {
            log "Username exists $MATCH1"
            USERNAME=$MATCH1
        }
        if (/^text:Password:(.*)/:b)
        {
            log "Password exists $MATCH1"
            PASSWORD=$MATCH1
        }
        if (/^to:(.*)/:b)
        {
            log "Mobile phone exists $MATCH1"
            TO=$MATCH1
        }

        if ($USERNAME ne "" && $PASSWORD ne "" && $TO ne "")
        {
            log "Sending via HTTP to kannel username=$USERNAME password=$PASSWORD to=$TO"    
            DATA="ISE Guest portal Username: $USERNAME Password: $PASSWORD"
                    
            #also curl can be used instead of wget
            xfilter "wget -O/dev/null \"http://192.168.112.100:13013/cgi-bin/sendsms?username=
            tester&password=foobar&to=$TO&text=$DATA\" >> /tmp/maildrop-kannel.log 2>> 
            /tmp/maildrop-kannel.log"
        }

        #deliver to maildir (not used since xfilter returns !=0)
        to $DEFAULT/
}

Le script :

• Vérifie si l'objet est le même que celui configuré sur l'ISE
  
  
• Lit le nom d'utilisateur et le mot de passe dans les champs du corps de l'e-mail (le modèle par défaut de l'ISE est utilisé)
  
  
• Appelle un programme externe si tous les champs existent : wget afin d'envoyer HTTP GET à Kannel smsbox avec tous les paramètres. Notez que des informations d'identification spécifiques sont utilisées dans l'URL (username=testeur&password=foobar). Il s'agit des informations d'identification de l'utilisateur configuré dans Kannel avec les privilèges d'envoi de SMS.

Il y a deux fichiers journaux ici :

• /home/sms/maildrop.log - journaux de l'exécution du script
• /tmp/maildrop-kannel.log - journaux de l'exécution de wget

Kannel

SMSBOX et Bearerbox peuvent être configurés à partir d'un seul fichier. Cette configuration utilise le serveur SMPP externe pour la livraison. Il est facile de trouver plusieurs services sur le Web si vous recherchez la phrase du fournisseur de services smpp sms. La configuration est simple, car il n'est pas nécessaire de recevoir et d'acheminer des messages SMS. Cette solution est destinée uniquement à l'envoi et utilise un fournisseur SMPP.

Voici un extrait de la page /etc/kannel/kannel.conf :

#bearerbox   
group = core
admin-port = 13000
admin-password = bar
smsbox-port = 13001
log-level = 0
log-file = "/var/log/kannel/kannel.log"
access-log = "/var/log/kannel/access.log"

# SMSC SMPP
group = smsc
smsc = smpp
host = ****.com
port = 1775
smsc-username = 4ljt7wi3
smsc-password = ******
system-type = 
address-range =

# SMSBOX SETUP
group = smsbox
bearerbox-host = localhost
sendsms-port = 13013
sendsms-chars = "0123456789 +-"
global-sender = 12345
log-file = "/var/log/kannel/smsbox.log"
log-level = 0
access-log = "/var/log/kannel/access.log"
white-list =
black-list =
reply-couldnotfetch = 
reply-couldnotrepresent = 
reply-requestfailed =
reply-emptymessage = 

# SEND-SMS USERS, this credentials has been used in wget script
group = sendsms-user
username = tester
password = foobar
user-deny-ip = "*.*.*.*"
user-allow-ip = "192.168.*.*"

# SMS SERVICE Default
# there should be default always (this is for receiving SMS messages - not used)
group = sms-service
keyword = default
text = "No service specified"

Il est possible de connecter un téléphone portable via USB et de configurer GSM SMSC :

group = smsc
smsc = at                  #type = GSM
smsc-id = usb0-modem
my-number = 1234
modemtype = auto           #types: wavecom, siemens, siemens-tc35, falcom,
nokiaphone, ericsson
device = /dev/ttyUSB0      #phone device seen on server 

Sur la plupart des téléphones, il est également nécessaire d'activer la fonctionnalité de modem ; par exemple, dans Android version 2.2 et ultérieure, il est activé dans les paramètres/connexion et connexion Hotspot portable/USB.

N'oubliez pas d'exécuter Bearerbox et smsbox. Voici un exemple :

neptun ~ # /etc/init.d/kannel-bearerbox start
 * Starting kannel bearerbox ...                                              [ ok ]
neptun ~ # /etc/init.d/kannel-smsbox start   
 * Starting kannel smsbox ...                                                 [ ok ]

neptun ~ # netstat -atcpn              
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address     Foreign Address    State    PID/Program name    
tcp        0      0 0.0.0.0:13013     0.0.0.0:*          LISTEN   24170/smsbox            
tcp        0      0 0.0.0.0:13000     0.0.0.0:*          LISTEN   24151/bearerbox     
tcp        0      0 0.0.0.0:13001     0.0.0.0:*          LISTEN   24151/bearerbox  

Pour démarrer, le boîtier d'ours doit avoir au moins un SMSC configuré.

Vérifier

Utilisez cette section pour confirmer que votre configuration fonctionne correctement.

ISE

Le port par défaut du portail de sponsor est utilisé (8443). Le sponsor se connecte à https://ise.test-cisco.com:8443/sponsorportal/.

Assurez-vous que le sponsor a une adresse e-mail attribuée dans Mes paramètres :

Créez le compte d'invité avec une notification par SMS :

Vous recevez la confirmation que le compte invité a été créé :

ISE doit envoyer un e-mail au serveur SMTP configuré.

Suffixe

Le serveur SMTP reçoit le message et utilise la fonction de dépôt de messages pour le remettre au compte local (sms@test-cisco.com). Voici un extrait de /var/log/messages :

Nov 30 22:39:47 neptun postfix/smtpd[18460]: connect from unknown[192.168.112.1]
Nov 30 22:39:47 neptun postfix/smtpd[18460]: 2B36030B32: client=unknown
[192.168.112.1]
Nov 30 22:39:47 neptun postfix/cleanup[18463]: 2B36030B32: message-id=
<563762958.941385847586377.JavaMail.root@ise2>
Nov 30 22:39:47 neptun postfix/qmgr[32658]: 2B36030B32: from=
     
     ,
size=689, nrcpt=1 (queue active)
Nov 30 22:39:47 neptun postfix/pipe[18464]: 2B36030B32: to=<sms@test-cisco.com>,
relay=maildrop, delay=0.18, delays=0.14/0/0/0.04, dsn=2.0.0, status=sent (delivered
via maildrop service)

Envoi postal

Avant d'envoyer l'e-mail au SMS, le répertoire maildir exécute /home/sms/.mailfilter, qui exécute une action spécifique.

Voici un extrait du fichier /home/sms/maildrop.log :

-------------SMS MAILFILTER LOG-----------
Email received at: Sat Nov 30 22:39:47 CET 2013
Email processed by script sending SMS via Kannel
Username exists  jsmith02
Password exists  t6ub79_6r
Mobile phone exists 4850xxxxxxx
Sending via HTTP to kannel username= jsmith02 password= t6ub79_6r to=4850xxxxxxx

Filtre courrier

Le script mailfilter lit toutes les données et exécute xfilter, qui appelle wget afin de passer tous les paramètres à Kannel.

Voici un extrait de la page /tmp/maildrop-kannel.log :

--2013-11-30 22:39:47--  http://192.168.112.100:13013/cgi-bin/sendsms?username=
tester&password=foobar&to=4850xxxxxxx&text=ISE%20Guest%20portal%20Username:
%20%20jsmith02%20Password:%20%20t6ub79_6r
Connecting to 192.168.112.100:13013... connected.
HTTP request sent, awaiting response... 202 Accepted
Length: 24 [text/html]
Saving to: `/dev/null'

     0K                                                       100% 1.14M=0s

2013-11-30 22:39:47 (1.14 MB/s) - `/dev/null' saved [24/24]

La requête HTTP GET est acceptée.

Kannel

La boîte de messagerie Kannel signale qu'elle a reçu une requête HTTP de wget et qu'elle a envoyé cette requête à la boîte de réception afin de remettre le SMS.

Voici un extrait de la page /var/log/kannel/smsbox.log :

2013-11-30 22:39:47 [18184] [5] INFO: smsbox: Got HTTP request </cgi-bin/sendsms>
from <192.168.112.100>
2013-11-30 22:39:47 [18184] [5] INFO: sendsms used by 
     
     
2013-11-30 22:39:47 [18184] [5] INFO: sendsms sender:<tester:12345>
(192.168.112.100) to:<4850xxxxxxx> msg:
     
     jsmith02 Password:  t6ub79_6r>
2013-11-30 22:39:47 [18184] [5] DEBUG: Stored UUID fd508632-9408-49e1-9eda-
3ce8d4b939d4
2013-11-30 22:39:47 [18184] [5] DEBUG: message length 57, sending 1 messages
2013-11-30 22:39:47 [18184] [5] DEBUG: Status: 202 Answer: <Sent.>
2013-11-30 22:39:47 [18184] [5] DEBUG: Delayed reply - wait for bearerbox
2013-11-30 22:39:47 [18184] [0] DEBUG: Got ACK (0) of fd508632-9408-49e1-9eda-
3ce8d4b939d4

La boîte porteuse Kannel se connecte au serveur SMPP distant et envoie le message avec succès.

Voici un extrait de la page /var/log/kannel/kannel.log :

2013-11-30 22:39:47 [18165] [8] DEBUG: boxc_receiver: sms received
2013-11-30 22:39:47 [18165] [8] DEBUG: send_msg: sending msg to box: <127.0.0.1>
2013-11-30 22:39:47 [18165] [6] DEBUG: SMPP[SMPP:*****.com:1775/0:4ljt7wi3:]:
throughput (0.00,0.00)
2013-11-30 22:39:47 [18165] [6] DEBUG: SMPP[SMPP:*****.com:1775/0:4ljt7wi3:]:
Sending PDU:
2013-11-30 22:39:47 [18165] [6] DEBUG: SMPP PDU 0x2056bf0 dump:
2013-11-30 22:39:47 [18165] [6] DEBUG:   type_name: submit_sm
2013-11-30 22:39:47 [18165] [6] DEBUG:   command_id: 4 = 0x00000004
2013-11-30 22:39:47 [18165] [6] DEBUG:   command_status: 0 = 0x00000000
2013-11-30 22:39:47 [18165] [6] DEBUG:   sequence_number: 5 = 0x00000005
2013-11-30 22:39:47 [18165] [6] DEBUG:   service_type: NULL
2013-11-30 22:39:47 [18165] [6] DEBUG:   source_addr_ton: 2 = 0x00000002
2013-11-30 22:39:47 [18165] [6] DEBUG:   source_addr_npi: 1 = 0x00000001
2013-11-30 22:39:47 [18165] [6] DEBUG:   source_addr: "12345"
2013-11-30 22:39:47 [18165] [6] DEBUG:   dest_addr_ton: 2 = 0x00000002
2013-11-30 22:39:47 [18165] [6] DEBUG:   dest_addr_npi: 1 = 0x00000001
2013-11-30 22:39:47 [18165] [6] DEBUG:   destination_addr: "4850xxxxxxx"
2013-11-30 22:39:47 [18165] [6] DEBUG:   esm_class: 3 = 0x00000003
2013-11-30 22:39:47 [18165] [6] DEBUG:   protocol_id: 0 = 0x00000000
2013-11-30 22:39:47 [18165] [6] DEBUG:   priority_flag: 0 = 0x00000000
2013-11-30 22:39:47 [18165] [6] DEBUG:   schedule_delivery_time: NULL
2013-11-30 22:39:47 [18165] [6] DEBUG:   validity_period: NULL
2013-11-30 22:39:47 [18165] [6] DEBUG:   registered_delivery: 0 = 0x00000000
2013-11-30 22:39:47 [18165] [6] DEBUG:   replace_if_present_flag: 0 = 0x00000000
2013-11-30 22:39:47 [18165] [6] DEBUG:   data_coding: 0 = 0x00000000
2013-11-30 22:39:47 [18165] [6] DEBUG:   sm_default_msg_id: 0 = 0x00000000
2013-11-30 22:39:47 [18165] [6] DEBUG:   sm_length: 57 = 0x00000039
2013-11-30 22:39:47 [18165] [6] DEBUG:   short_message:
2013-11-30 22:39:47 [18165] [6] DEBUG:    Octet string at 0x205ec70:
2013-11-30 22:39:47 [18165] [6] DEBUG:      len:  57
2013-11-30 22:39:47 [18165] [6] DEBUG:      size: 58
2013-11-30 22:39:47 [18165] [6] DEBUG:      immutable: 0
2013-11-30 22:39:47 [18165] [6] DEBUG:      data&colon; 49 53 45 20 47 75 65 73
74 20 70 6f 72 74 61 6c   ISE Guest portal
2013-11-30 22:39:47 [18165] [6] DEBUG:      data&colon; 20 55 73 65 72 6e 61 6d
65 3a 20 20 6a 73 6d 69    Username:  jsmi
2013-11-30 22:39:47 [18165] [6] DEBUG:      data&colon; 74 68 30 32 20 50 61 73
73 77 6f 72 64 3a 20 20   th02 Password:  
2013-11-30 22:39:47 [18165] [6] DEBUG:      data&colon; 74 36 75 62 37 39 11 36
72                        t6ub79.6r
2013-11-30 22:39:47 [18165] [6] DEBUG:    Octet string dump ends.
2013-11-30 22:39:47 [18165] [6] DEBUG: SMPP PDU dump ends.
2013-11-30 22:39:47 [18165] [6] DEBUG: SMPP[SMPP:******.com:1775/0:4ljt7wi3:]:
throughput (1.00,0.00)
2013-11-30 22:39:47 [18165] [6] DEBUG: SMPP[SMPP:******.com:1775/0:4ljt7wi3:]:
throughput (1.00,0.00)
2013-11-30 22:39:47 [18165] [6] DEBUG: SMPP[SMPP:******.com:1775/0:4ljt7wi3:]:
Got PDU:
2013-11-30 22:39:47 [18165] [6] DEBUG: SMPP PDU 0x2056bf0 dump:
2013-11-30 22:39:47 [18165] [6] DEBUG:   type_name: submit_sm_resp
2013-11-30 22:39:47 [18165] [6] DEBUG:   command_id: 2147483652 = 0x80000004
2013-11-30 22:39:47 [18165] [6] DEBUG:   command_status: 0 = 0x00000000
2013-11-30 22:39:47 [18165] [6] DEBUG:   sequence_number: 5 = 0x00000005
2013-11-30 22:39:47 [18165] [6] DEBUG:   message_id: "4128473611307259"
2013-11-30 22:39:47 [18165] [6] DEBUG: SMPP PDU dump ends.
2013-11-30 22:39:47 [18165] [6] DEBUG: SMPP[SMPP:******.com:1775/0:4ljt7wi3:]:
throughput (1.00,0.00)

Notez que l'adresse source est définie sur 12345. Ce paramètre n'a pas d'importance. Le serveur SMPP externe réécrit cette valeur. Il est possible d'acheter un service supplémentaire afin d'être présenté différemment.

Téléphone invité

L'utilisateur invité reçoit un SMS :

Dépannage

Cette section fournit des informations que vous pouvez utiliser pour dépanner votre configuration.

ISE

Cette erreur peut se produire lors de la création d'un compte invité : Impossible d'envoyer un message texte aux utilisateurs invités suivants : xxxx. Vous devez ajouter votre adresse e-mail à la page des paramètres. Si vous recevez ce message d'erreur, vérifiez l'adresse e-mail du sponsor.

Informations connexes

• Cisco Identity Services Engine - Guide de l'utilisateur 1.2
• documentation Kannel 
• Documentation Postfix 
• Assistance et documentation techniques - Cisco Systems