使用ISE作为RADIUS服务器配置SWA第二因素身份验证

已更新: 2024 年 2 月 6 日
文档 ID:221634

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。 深入了解思科如何使用包容性语言。

关于此翻译

思科采用人工翻译与机器翻译相结合的方式将此文档翻译成不同语言，希望全球的用户都能通过各自的语言得到支持性的内容。 请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 Cisco Systems, Inc. 对于翻译的准确性不承担任何责任，并建议您总是参考英文原始文档（已提供链接）。

    简介

    本文档介绍如何在将思科身份服务引擎作为RADIUS服务器的安全Web设备上配置第二要素身份验证。

    先决条件

    要求

    Cisco 建议您了解以下主题：

    • SWA的基本知识。
    • 了解ISE上的身份验证和授权策略配置。
    • 基本RADIUS知识。

    思科建议您还应具备以下条件：

    • 安全网络设备(SWA)和思科身份服务引擎(ISE)管理访问。
    • 您的ISE已集成到Active Directory或LDAP。
    • Active Directory或LDAP配置用户名“admin”，以对SWA默认“admin”帐户进行身份验证。
    • 兼容的WSA和ISE版本。

    使用的组件

    本文档中的信息基于以下软件版本：

    • SWA 14.0.2-012
    • ISE 3.0.0。

    本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

    背景信息

    当您在SWA上为管理用户启用第二因素身份验证时，设备会在验证SWA中配置的凭证后第二次使用RADIUS服务器验证用户凭证。

    网络拓扑

    Image- Network Topology Diagram图像 — 网络拓扑图

    管理用户使用其凭证访问端口443上的SWA。SWA通过RADIUS服务器验证凭据以进行第二次身份验证。

    配置步骤

    ISE 配置

    步骤1: 添加新网络设备。导航到管理>网络资源>网络设备> +添加。

    Image- Add SWA as Network Device in ISE在ISE中将SWA添加为网络设备

    第二步：在ISE中配置网络设备。

    步骤 2.1为网络设备对象指定Name。

    步骤 2.2插入SWA IP地址。

    步骤 2.3选中RADIUS复选框。

    步骤 2.4定义共享密钥。

    note-icon

    注：稍后必须使用相同的密钥来配置SWA。

    Image- Configure SWA Network Device Shared Key配置SWA网络设备共享密钥

    步骤 2.5单击“Submit”。

    Submit Network Device Configuration提交网络设备配置

    第三步：您需要创建与SWA中配置的用户名匹配的网络访问用户。导航到管理>身份管理>身份> + Add。

    Image- Add Local Users in ISE在ISE中添加本地用户

    步骤 3.1指定名称。
    第3.2步(可选)输入用户的邮件地址。
    步骤 3.3设置密码.
    步骤 3.4Click Save.

    Image- Add a local User in ISE在ISE中添加本地用户

    第四步：创建与SWA IP地址匹配的策略集。这是为了防止使用这些用户凭证访问其他设备。

    导航到Policy > PolicySets，然后点击位于左上角的+图标。

    Image- Add Policy Set in ISE在ISE中添加策略集

    步骤 4.1 新行位于策略集的顶部。输入新策略的名称。

    步骤 4.2为RADIUS NAS-IP-Address属性添加条件以匹配SWA IP地址。

    步骤 4.3单击Use以保留更改并退出编辑器。

    Image- Add Policy to Map SWA Network Device添加策略以映射SWA网络设备

    步骤 4.4Click Save.

    Image - Policy Save策略保存

    note-icon

    注意：此示例允许Default Network Access Protocols列表。您可以创建新列表并根据需要缩小其范围。

    第五步：要查看新的Policy Sets，请点击View列中的“>”图标。

    步骤 5.1展开Authorization Policy菜单，然后单击+图标以添加新规则，以允许访问所有经过身份验证的用户。

    步骤 5.2设置名称。

    步骤 5.3设置条件以匹配Dictionary Network Access和Attribute AuthenticationStatus Equals AuthenticationPassed，然后单击Use。

    Image- Select Authorization Condition选择授权条件

    第六步： 将默认PermitAccess设置为Authorization Profile，然后单击Save。

    Image- Select Authorization Profile选择授权配置文件

    SWA配置

    步骤1:从SWA GUI导航到系统管理，然后单击用户。 

    第二步：单击Second Factor Authentication Settings中的Enable。

    Image- Enable Second Factor Authentication in SWA在SWA中启用第二因素身份验证

    第三步： 在RADIUS Server Hostname字段中输入ISE的IP地址，并输入ISE配置步骤2中配置的共享密钥。

    第四步： 选择需要启用第二个要素实施的预定义角色。

    caution-icon

    注意：如果在SWA中启用第二因素身份验证，则默认的“admin”帐户也通过第二因素实施启用。您必须将ISE与LDAP或Active Directory(AD)集成以对“admin”凭证进行身份验证，因为ISE不允许将“admin”配置为网络访问用户。

    Image- Enable Second Factor Authentication in SWA在SWA中启用第二因素身份验证

    caution-icon

    注意：如果在SWA中启用第二因素身份验证，则默认的“admin”帐户也通过第二因素实施启用。您必须将ISE与LDAP或Active Directory(AD)集成以对“admin”凭证进行身份验证，因为ISE不允许将“admin”配置为网络访问用户。

    Image- Configure Second Factor Authentication配置第二因素身份验证

    第5步：要在SWA中配置用户，请点击添加用户。输入User Name并选择所需角色所需的User Type。输入Passphrase和Retype Passphrase。

    Image- User configuration in SWASWA中的用户配置

    第6步：单击提交并提交更改。

    验证

    使用配置的用户凭证访问SWA GUI。身份验证成功后，您将重定向到辅助身份验证页面。此处，您需要输入在ISE中配置的辅助身份验证凭证。

    Image- Verify Second Factor Login验证第二次因子登录

    参考

    修订历史记录

    版本 发布日期 备注
    1.0
    06-Feb-2024
    初始版本
    TAC Authored

    由思科工程师提供

    • 安尼尔·拉詹
      思科TAC工程师

    此文档是否有帮助?

    Feedback反馈

    联系我们

    本文档适用于以下产品