Configurar a autenticação do segundo fator SWA com ISE como um servidor RADIUS

Atualizado:6 de fevereiro de 2024
ID do documento:221634

Linguagem imparcial

O conjunto de documentação deste produto faz o possível para usar uma linguagem imparcial. Para os fins deste conjunto de documentação, a imparcialidade é definida como uma linguagem que não implica em discriminação baseada em idade, deficiência, gênero, identidade racial, identidade étnica, orientação sexual, status socioeconômico e interseccionalidade. Pode haver exceções na documentação devido à linguagem codificada nas interfaces de usuário do software do produto, linguagem usada com base na documentação de RFP ou linguagem usada por um produto de terceiros referenciado. Saiba mais sobre como a Cisco está usando a linguagem inclusiva.

Sobre esta tradução

A Cisco traduziu este documento com a ajuda de tecnologias de tradução automática e humana para oferecer conteúdo de suporte aos seus usuários no seu próprio idioma, independentemente da localização. Observe que mesmo a melhor tradução automática não será tão precisa quanto as realizadas por um tradutor profissional. A Cisco Systems, Inc. não se responsabiliza pela precisão destas traduções e recomenda que o documento original em inglês (link fornecido) seja sempre consultado.

    Introdução

    Este documento descreve como configurar a autenticação de segundo fator no Secure Web Appliance com o Cisco Identity Service Engine como um servidor RADIUS.

    Pré-requisitos

    Requisitos

    A Cisco recomenda que você tenha conhecimento destes tópicos:

    • Conhecimentos básicos em SWA.
    • Conhecimento da configuração das políticas de autenticação e autorização no ISE.
    • Conhecimento RADIUS básico.

    A Cisco recomenda que você também tenha:

    • Acesso de administração do Secure Web Appliance (SWA) e do Cisco Identity Service Engine (ISE).
    • Seu ISE é integrado ao Ative Diretory ou LDAP.
    • O Ative Diretory ou LDAP está configurado com um nome de usuário 'admin' para autenticar a conta 'admin' padrão do SWA.
    • Versões compatíveis do WSA e do ISE.

    Componentes Utilizados

    As informações neste documento são baseadas nestas versões de software:

    • SWA 14.0.2-012
    • ISE 3.0.0

    As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

    Informações de Apoio

    Quando você habilita a autenticação de segundo fator para usuários administrativos no SWA, o dispositivo verifica a credencial do usuário com o servidor RADIUS pela segunda vez após verificar as credenciais configuradas no SWA.

    Topologia de rede

    Image- Network Topology DiagramImagem - Diagrama de topologia de rede

    Os usuários administrativos acessam o SWA na porta 443 com suas credenciais. O SWA verifica as credenciais com o servidor RADIUS para a autenticação de segundo fator.

    Configuration Steps

    Configuração do ISE

    Etapa 1. Adicione um novo dispositivo de rede. Navegue até Administração > Recursos de rede > Dispositivos de rede > +Adicionar.

    Image- Add SWA as Network Device in ISEAdicionar SWA como dispositivo de rede no ISE

    Etapa 2. Configure o dispositivo de rede no ISE.

    Etapa 2.1. Atribua um Nome ao objeto de dispositivo de rede.

    Etapa 2.2. Insira o endereço IP do SWA.

    Etapa 2.3. Marque a caixa de seleção RADIUS.

    Etapa 2.4. Defina um segredo compartilhado.

    note-icon

    Observação: a mesma chave deve ser usada posteriormente para configurar o SWA.

    Image- Configure SWA Network Device Shared KeyConfigurar chave compartilhada do dispositivo de rede SWA

    Etapa 2.5. Clique em Submit.

    Submit Network Device ConfigurationEnviar configuração do dispositivo de rede

    Etapa 3. Você precisa criar Usuários de acesso à rede que correspondam ao nome de usuário configurado no SWA. Navegue até Administração > Gerenciamento de identidades > Identidades > + Adicionar.

    Image- Add Local Users in ISEAdicionar usuários locais no ISE

    Etapa 3.1. Atribua um Nome.
    Etapa 3.2. (Opcional) Insira o endereço de e-mail do usuário.
    Etapa 3.3. Definir senha.
    Etapa 3.4. Click Save.

    Image- Add a local User in ISEAdicionar um usuário local no ISE

    Etapa 4. Crie um conjunto de políticas que corresponda ao endereço IP SWA. Isso evita o acesso a outros dispositivos com essas credenciais de usuário.

    Navegue até Policy > PolicySets e clique no ícone + no canto superior esquerdo.

    Image- Add Policy Set in ISEAdicionar conjunto de políticas no ISE

    Etapa 4.1. Uma nova linha é colocada na parte superior dos conjuntos de políticas. Digite o nome da nova política.

    Etapa 4.2. Adicione uma condição para o atributo RADIUS NAS-IP-Address corresponder ao endereço IP do SWA.

    Etapa 4.3. Clique em Usar para manter as alterações e sair do editor.

    Image- Add Policy to Map SWA Network DeviceAdicionar política para mapear o dispositivo de rede SWA

    Etapa 4.4. Click Save.

    Image - Policy SaveSalvamento de política

    note-icon

    Observação: este exemplo permitiu a lista Default Network Access Protocols. Você pode criar uma nova lista e restringi-la conforme necessário.

    Etapa 5. Para exibir os novos conjuntos de políticas, clique no ícone ">" na colunaExibir.

    Etapa 5.1. Expanda o menu Authorization Policy (Diretiva de autorização) e clique no ícone + para adicionar uma nova regra para permitir o acesso a todos os usuários autenticados.

    Etapa 5.2. Defina um nome.

    Etapa 5.3. Defina as condições para corresponder ao Acesso à Rede do Dicionário com o Atributo AuthenticationStatus Equals AuthenticationPassed e clique em Use.

    Image- Select Authorization ConditionSelecionar condição de autorização

    Etapa 6. Defina o PermitAccess padrão como Perfil de autorização e clique em Salvar.

    Image- Select Authorization ProfileSelecionar perfil de autorização

    Configuração de SWA

    Etapa 1. Na GUI do SWA, navegue para Administração do sistema e clique em Usuários. 

    Etapa 2. Clique em Enable em Second Fator Authentication Settings.

    Image- Enable Second Factor Authentication in SWAHabilitar segunda autenticação de fator em SWA

    Etapa 3. Insira o endereço IP do ISE no campo RADIUS Server Hostname e insira Shared Secret que está configurado na Etapa 2 da configuração do ISE.

    Etapa 4. Selecione as Funções Predefinidas necessárias que você precisa que a imposição do Segundo Fator esteja habilitada.

    caution-icon

    Cuidado: se você habilitar a autenticação de segundo fator no SWA, a conta 'admin' padrão também será habilitada com a aplicação de Segundo Fator. É necessário integrar o ISE com LDAP ou Ative Diretory (AD) para autenticar credenciais 'admin', pois o ISE não permite configurar 'admin' como um usuário de acesso à rede.

    Image- Enable Second Factor Authentication in SWAHabilitar segunda autenticação de fator em SWA

    caution-icon

    Cuidado: se você habilitar a autenticação de segundo fator no SWA, a conta 'admin' padrão também será habilitada com a aplicação de Segundo Fator. É necessário integrar o ISE com LDAP ou Ative Diretory (AD) para autenticar credenciais 'admin', pois o ISE não permite configurar 'admin' como um usuário de acesso à rede.

    Image- Configure Second Factor AuthenticationConfigurar Autenticação de Segundo Fator

    Etapa 5: Para configurar usuários no SWA, clique em Adicionar usuário. Insira User Name e selecione User Type necessário para a função desejada. Insira Passphrase e Redigite Passphrase.

    Image- User configuration in SWAConfiguração do usuário no SWA

    Etapa 6: Clique em Enviar e em Confirmar alterações.

    Verificar

    Acesse a GUI do SWA com as credenciais de usuário configuradas. Após a autenticação bem-sucedida, você será redirecionado para a página de autenticação secundária. Aqui, você precisa inserir as credenciais de autenticação secundária configuradas no ISE.

    Image- Verify Second Factor LoginVerificar o login do segundo fator

    Referências

    Histórico de revisões

    Revisão Data de publicação Comentários
    1.0
    06-Feb-2024
    Versão inicial
    TAC Authored

    Colaborado por engenheiros da Cisco

    • Anil Rajan
      Engenheiro do Cisco TAC

    Este documento lhe foi útil?

    FeedbackFeedback

    Contate a Cisco

    Este documento se refere a estes produtos