Sécurité : Client à mobilité sécurisé Cisco AnyConnect

Authentification RSA SecurID pour des clients d'AnyConnect sur un exemple de configuration de Headend de Cisco IOS

18 octobre 2016 - Traduction automatique
Autres versions: PDFpdf | Anglais (6 novembre 2015) | Commentaires

Introduction

Ce document décrit comment configurer un périphérique de Cisco IOS® pour authentifier des clients d'AnyConnect avec des mots de passe d'une fois (OTPs) et l'utilisation d'un serveur de Rivest-Shamir-Addleman (RSA) SecurID.

Remarque: L'authentification OTP ne travaille pas sur les versions de Cisco IOS qui n'ont pas la difficulté pour les demandes d'amélioration CSCsw95673 et CSCue13902.

Contribué par Atri Basu, ingénieur TAC Cisco, et Vasavi Yellampalli, construction de Cisco.

Conditions préalables

Conditions requises

Cisco vous recommande de prendre connaissance des rubriques suivantes :

  • Configuration du serveur RSA SecurID
  • Configuration SSLVPN sur le headend de Cisco IOS
  • WEB-VPN

Composants utilisés

Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

  • CISCO2951/K9
  • Logiciel de Cisco IOS, logiciel C2951 (C2951-UNIVERSALK9-M), version 15.2(4)M4, LOGICIEL de VERSION (fc1)

Les informations contenues dans ce document ont été créées à partir des périphériques d'un environnement de laboratoire spécifique. Tous les périphériques utilisés dans ce document ont démarré avec une configuration effacée (par défaut). Si votre réseau est opérationnel, assurez-vous que vous comprenez l'effet potentiel de toute commande.

Informations générales

Bien que le client d'AnyConnect l'ait toujours pris en charge l'authentification basée sur OTP, avant la difficulté pour l'ID de bogue Cisco CSCsw95673, le headend de Cisco IOS n'a pas traité des messages d'Access-défi de RAYON. Après que la demande de procédure de connexion initiale (où les utilisateurs entrent leur des noms d'utilisateur et mot de passe) « permanents », RAYON envoie le message de « Access-défi » à la passerelle de Cisco IOS, qui demande à des utilisateurs d'écrire leur OTP :

 RADIUS/ENCODE: Best Local IP-Address 10.7.7.1 for Radius-Server 10.7.7.129
 RADIUS(0000001A): Sending a IPv4 Radius Packet
 RADIUS(0000001A): Send Access-Request to 10.7.7.129:1812 id 1645/17,len 78
 RADIUS:  authenticator C3 A1 B9 E1 06 95 8C 65 - 7A C3 01 70 E1 E1 7A 3A
 RADIUS:  User-Name           [1]   6   "atbasu"
 RADIUS:  User-Password       [2]   18  *
 RADIUS:  NAS-Port-Type       [61]  6   Virtual                   [5]
 RADIUS:  NAS-Port            [5]   6   6
 RADIUS:  NAS-Port-Id         [87]  16  "203.0.113.238"
 RADIUS:  NAS-IP-Address      [4]   6   10.7.7.1
 RADIUS(0000001A): Started 5 sec timeout
 RADIUS: Received from id 1645/17 10.7.7.129:1812, Access-Challenge, len 65
 RADIUS:  authenticator 5D A3 A6 9D 1A 38 E2 47 - 37 E8 EF A8 18 94 25 1C
 RADIUS:  Reply-Message       [18]  37
 RADIUS:   50 6C 65 61 73 65 20 65 6E 74 65 72 20 79 6F 75  [Please enter you]
 RADIUS:   72 20 6F 6E 65 2D 74 69 6D 65 20 70 61 73 73 77  [r one-time passw]
 RADIUS:   6F 72 64               [ ord]
 RADIUS:  State               [24]  8
 RADIUS:   49 68 36 76 38 7A            [ Ih6v8z]

En ce moment, on s'attend à ce que le client d'AnyConnect affiche une fenêtre externe supplémentaire qui demande des utilisateurs pour leur OTP, mais puisque le périphérique de Cisco IOS n'a pas traité le message d'Access-défi, ceci ne se produit jamais et le client repose l'inactif jusqu'aux temps de connexion.

Cependant, en date de Version15.2(4)M4, les périphériques de Cisco IOS devraient pouvoir traiter le mécanisme d'authentification basé sur défi.

Configurez

Diagramme du réseau

Une des différences entre les headends de l'appliance de sécurité adaptable (ASA) et du Cisco IOS est que le routeur Cisco IOS/Commutateurs/Points d'accès (aps) prennent en charge seulement le RAYON et le TACACS. Ils ne prennent en charge pas le SDI RSA-de propriété industrielle de protocole. Le serveur RSA cependant prend en charge le SDI et le RAYON. Par conséquent, afin d'utiliser l'authentification OTP sur un headend de Cisco IOS, le périphérique de Cisco IOS doit être configuré pour le protocole RADIUS et le serveur RSA en tant que serveur de jetons de RAYON.

Remarque: Pour plus de détails au sujet des différences entre le RAYON et le SDI, référez-vous à la section de théorie d'utilisation de serveur de jetons RSA et de Protocol de SDI pour l'ASA et l'ACS. Si le SDI est exigé, alors une ASA doit être utilisée.

Remarque: Utilisez l'Outil de recherche de commande (clients enregistrés seulement) pour obtenir plus d'informations sur les commandes utilisées dans cette section.

  1. Configurez la méthode d'authentification et le groupe de serveurs d'Authentification, autorisation et comptabilité (AAA) :
    aaa new-model
    !
    !
    aaa group server radius OTP-full
    server 10.7.7.129
    !
    aaa group server radius OTP-split
    server 10.7.7.129 auth-port 1812
    !
    aaa authentication login default local
    aaa authentication login webvpn-auth group OTP-split
    aaa authorization exec default local
    aaa authorization network webvpn-auth local
  2. Configurez le serveur de RAYON :
    radius-server host 10.7.7.129 auth-port 1812
    radius-server host 10.7.7.129
    radius-server key Cisco12345
  3. Configurez le routeur pour agir en tant que serveur de Secure Sockets Layer VPN (SSLVPN) :
    crypto pki trustpoint VPN-test2
    enrollment selfsigned
    revocation-check crl
    rsakeypair VPN-test2
    !
    !
    crypto pki certificate chain VPN-test2
    certificate self-signed 02
    3082021B 30820184 A0030201 02020102 300D0609 2A864886 F70D0101 05050030
    29312730 2506092A 864886F7 0D010902 1618494E 4E424545 2D524F30 312E636F
    7270726F 6F742E69 6E74301E 170D3133 30313134 31313434 32365A17 0D323030
    31303130 30303030 305A3029 31273025 06092A86 4886F70D 01090216 18494E4E
    4245452D 524F3031 2E636F72 70726F6F 742E696E 7430819F 300D0609 2A864886
    F70D0101 01050003 818D0030 81890281 8100B03E D15F7D2C DF84855F B1055ACD
    7BE43AAF EEB99472 50477348 45F641C6 5A244CEE 80B2A426 55CA223A 7F4F89DD
    FA0BD882 7DAA24EF 9EA66772 2CC5A065 584B9866 2530B67E EBDE8F57 A5E0FF19
    88C38FF2 D238A136 B32A114A 0187437C 488073E9 0E96FF75 F565D684 987F2CD1
    8CC7F53C 2D419F90 EF4B9678 6BDFCD4B C7130203 010001A3 53305130 0F060355
    1D130101 FF040530 030101FF 301F0603 551D2304 18301680 146B56E9 F770734C
    B0AB7360 B806E9E1 E1E15921 B3301D06 03551D0E 04160414 6B56E9F7 70734CB0
    AB7360B8 06E9E1E1 E15921B3 300D0609 2A864886 F70D0101 05050003 81810006
    0D68B990 4F927897 AFE746D8 4C9A7374 3CA6016B EFFA1CA7 7AAD4E3A 2A0DE989
    0BC09B17 5A4C75B6 D1F3AFDD F97DC74C D8834927 3F52A605 25518A42 9EA454AA
    C5DCBA20 A5DA7C7A 7CEB7FF1 C35F422A 7F060556 647E74D6 BBFE116F 1BF04D0F
    852768C3 2E972EEE DAD676F1 A3941BE6 99ECB9D0 F826C1F6 A944340D 14EA32
    quit
    ip cef
    !
    !
    crypto vpn anyconnect flash0:/webvpn/anyconnect-win-3.1.02026-k9.pkg sequence 1
    !
    interface Loopback1
    ip address 192.168.201.1 255.255.255.0
    !
    interface GigabitEthernet0/0
    description WAN 0/0 VODAFONE WAN
    ip address 203.0.113.63 255.255.255.240
    no ip redirects
    no ip unreachables
    duplex auto
    speed auto
    !
    !
    interface Virtual-Template3
    ip unnumbered Loopback1
    !
    ip local pool SSLVPN-pool 192.168.201.10 192.168.201.250
    !
    webvpn gateway gateway_1
    hostname vpn.cisco.com
    ip address 203.0.113.63 port 443
    http-redirect port 80
    ssl trustpoint VPN-test2
    inservice
    !
    webvpn context webvpn-context
    secondary-color white
    title-color #669999
    text-color black
    virtual-template 3
    aaa authentication list webvpn-auth
    gateway gateway_1
    !
    ssl authenticate verify all
    inservice
    !
    policy group policy_1
    functions svc-enabled
    svc address-pool "SSLVPN-pool" netmask 255.255.255.0
    svc keep-client-installed
    svc split include 192.168.174.0 255.255.255.0
    svc split include 192.168.91.0 255.255.255.0
    default-group-policy policy_1
    !
    end

Remarque: Pour le plus un guide de configuration détaillée sur la façon dont installer SSLVPN sur un périphérique de Cisco IOS, se réfèrent au client d'AnyConnect VPN (SSL) sur le routeur IOS avec l'exemple de configuration CCP.

Vérifiez

Aucune procédure de vérification n'est disponible pour cette configuration.

Dépannez

Afin de dépanner la procédure d'authentification entière pour une connexion client entrante d'AnyConnect, vous pouvez utiliser ces derniers met au point :

  • authentification de debug radius
  • debug aaa authentication
  • authentification de debug webvpn

L'Output Interpreter Tool (clients enregistrés seulement) prend en charge certaines commandes show. Utilisez l'Output Interpreter Tool afin de visualiser une analyse de sortie de commande show.

Remarque: Référez-vous aux informations importantes sur les commandes de débogage avant d'utiliser les commandes de débogage.



Document ID: 118778