تكوين NAM العميل الآمن ل Dot1x باستخدام Windows و ISE 3.2

خيارات التنزيل

  • PDF     (10.6 MB)
    عرض باستخدام Adobe Reader على مجموعة متنوعة من الأجهزة
  • ePub     (11.5 MB)
    العرض في تطبيقات مختلفة على iPhone أو iPad أو نظام تشغيل Android أو قارئ Sony أو نظام التشغيل Windows Phone
  • Mobi (Kindle)     (6.2 MB)
    عرض على جهاز Kindle أو تطبيق Kindle على أجهزة متعددة
تم التحديث:٢ يوليو ٢٠٢٦
معرّف المستند:221954

لغة خالية من التحيز

تسعى مجموعة الوثائق لهذا المنتج جاهدة لاستخدام لغة خالية من التحيز. لأغراض مجموعة الوثائق هذه، يتم تعريف "خالية من التحيز" على أنها لغة لا تعني التمييز على أساس العمر، والإعاقة، والجنس، والهوية العرقية، والهوية الإثنية، والتوجه الجنسي، والحالة الاجتماعية والاقتصادية، والتمييز متعدد الجوانب. قد تكون الاستثناءات موجودة في الوثائق بسبب اللغة التي يتم تشفيرها بشكل ثابت في واجهات المستخدم الخاصة ببرنامج المنتج، أو اللغة المستخدمة بناءً على وثائق RFP، أو اللغة التي يستخدمها منتج الجهة الخارجية المُشار إليه. تعرّف على المزيد حول كيفية استخدام Cisco للغة الشاملة.

حول هذه الترجمة

ترجمت Cisco هذا المستند باستخدام مجموعة من التقنيات الآلية والبشرية لتقديم محتوى دعم للمستخدمين في جميع أنحاء العالم بلغتهم الخاصة. يُرجى ملاحظة أن أفضل ترجمة آلية لن تكون دقيقة كما هو الحال مع الترجمة الاحترافية التي يقدمها مترجم محترف. تخلي Cisco Systems مسئوليتها عن دقة هذه الترجمات وتُوصي بالرجوع دائمًا إلى المستند الإنجليزي الأصلي (الرابط متوفر).

المقدمة

يوضح هذا المستند كيفية تكوين وحدة تحليل شبكة العميل الآمنة (NAM) على Windows.

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

  • الفهم الأساسي لمطالب RADIUS 
  • Dot1x
  • خوخ
  • PKI

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

  • تم إنشاء Windows 10 Pro الإصدار 22H2 19045.3930
  • ISE 3.2
  • برنامج Cisco C1117 IOS® XE، الإصدار 17.12.02
  • Active Directory 2016

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

معلومات أساسية

يوضح هذا المستند كيفية تكوين NAM الخاصة بالعميل الآمن على Windows. يتم إستخدام خيار النشر المسبق ومحرر التوصيف لإجراء مصادقة dot1x. وتقدم أيضا بعض الأمثلة على كيفية تحقيق ذلك.

في الاتصال الشبكي، يكون الطالب عبارة عن كيان يقع في أحد طرفي مقطع الشبكة المحلية من نقطة إلى نقطة، ويسعى إلى التصديق عليه بواسطة مصدق مرتبط بالطرف الآخر من ذلك الرابط.

يستخدم مقياس IEEE 802.1X مصطلح متلقي للإشارة إلى الأجهزة أو البرامج. في التطبيق العملي، الملخص هو تطبيق برمجي مثبت على كمبيوتر المستخدم النهائي. يقوم المستخدم باستدعاء الطالب وتسليم بيانات الاعتماد لتوصيل الكمبيوتر بشبكة آمنة. في حالة نجاح المصادقة، يسمح المصدق عادة للكمبيوتر بالاتصال بالشبكة.

مدير الوصول إلى الشبكة

Network Access Manager (مدير الوصول إلى الشبكة) هو برنامج عميل يوفر شبكة آمنة من الطبقة 2 وفقا لسياساتها. وتقوم باكتشاف شبكة الوصول المثالية من الطبقة 2 وتحديد هذه الشبكة، كما تقوم بإجراء مصادقة الجهاز للوصول إلى كل من الشبكات السلكية واللاسلكية. يدير مدير الوصول إلى الشبكة هوية المستخدم والجهاز وبروتوكولات الوصول إلى الشبكة المطلوبة للوصول الآمن. ويعمل هذا النظام بذكاء لمنع المستخدمين النهائيين من إجراء إتصالات تخالف السياسات التي يحددها المسؤول.

تم تصميم "مدير الوصول إلى الشبكة" على أنه أحادي المركز، مما يسمح باتصال شبكة واحد فقط في كل مرة. كما أن التوصيلات السلكية لها أولوية أعلى من اللاسلكي، لذلك إذا كنت موصلا بالشبكة بتوصيل سلكي، يعطل المحول اللاسلكي بدون عنوان IP.

التكوين

الرسم التخطيطي للشبكة

من المهم للغاية فهم مصادقة dot1x التي تتضمن 3 أجزاء مطلوبة:

  1. المطلوب الذي يمكنه إستخدام dot1x.
  2. المصدق المعروف أيضا باسم NAS/NAD، والذي يعمل كوكيل يغلف حركة مرور dot1x داخل RADIUS.
  3. وخادم المصادقة.

في هذا المثال، يتم تثبيت المطالب وتكوينه بطرق مختلفة. وفيما بعد، يظهر سيناريو مع تكوين جهاز الشبكة وخادم المصادقة.

Network Diagramالرسم التخطيطي للشبكة

التكوينات

  1. تنزيل Secure Client NAM (مدير الوصول إلى الشبكة) وتثبيته.
  2. تنزيل محرر ملف تعريف NAM الآمن وتثبيته.
  3. التكوينات الافتراضية العامة.
  4. السيناريو 1: قم بتكوين طالب NAM الآمن لمصادقة مستخدم PEAP (MS-CHAPv2).
  5. السيناريو الثاني: قم بتكوين ملتمس NAM الآمن ل EAP-FAST في نفس الوقت عند تكوين مصادقة المستخدم والجهاز.
  6. السيناريو 3 الجزء 1: قم بتكوين طالب NAM الآمن ل EAP-TLS.
  7. السيناريو 3 الجزء 2: قم بتكوين العرض التوضيحي NAD و ISE.

تنزيل Secure Client NAM (مدير الوصول إلى الشبكة) وتثبيته

تنزيل برامج Cisco

1. في شريط البحث عن اسم المنتج، اكتب Secure Client 5.

منزل التنزيلات > الأمان > عملاء أمان النقطة الطرفية والشبكة الخاصة الظاهرية (VPN) > عميل آمن (بما في ذلك AnyConnect) > عميل آمن 5 > برنامج عميل AnyConnect VPN.

2. في مثال التكوين هذا، يتم إستخدام الإصدار 5.1.2.42. 

هناك طرق متعددة لنشر "العميل الآمن" على أجهزة Windows؛ من SCCM ومن محرك خدمة الهوية ومن وحدة الاستقبال والبث الخاصة بالشبكة الخاصة الظاهرية (VPN). ومع ذلك، في هذه المقالة، فإن طريقة التثبيت المستخدمة هي طريقة النشر المسبق.

3. في هذه الصفحة، ابحث عن حزمة نشر وحدة الاستقبال والبث الآمن (Windows) للملف من Cisco.

Msi Zip Fileملف MSI zip

4. بمجرد تنزيلها واستخراجها، انقر فوق الإعداد.

Secure Client Filesتأمين ملفات العميل

5. قم بتثبيت مدير الوصول إلى الشبكة والوحدات النمطية لأداة التشخيص وإعداد التقارير.

warning-icon

تحذير: إن يستعمل أنت ال cisco يأمن زبون معالج، ال VPN ركبت وحدة نمطية تلقائيا، ومخفي في ال gui. لا تعمل NAM إذا لم يتم تثبيت وحدة VPN النمطية. إذا كنت تستخدم ملفات MSI الفردية أو طريقة تثبيت مختلفة، فتأكد من تثبيت وحدة VPN النمطية.

Install Selectorأداة تحديد التثبيت

6. انقر على تثبيت العناصر المحددة.

7 - قبول قانون تكافؤ الفرص.

EULA Windowاويلا باوند

8. يجب إعادة التشغيل بعد تثبيت NAM.

Reboot Requirement Windowنافذة متطلبات إعادة التشغيل

9. بمجرد تثبيته، يمكن العثور عليه وفتحه من شريط Windows Search.

Secure Client Programبرنامج العميل الآمن

تنزيل محرر ملف تعريف NAM الآمن وتثبيته

1. مطلوب محرر ملف تعريف مدير الوصول إلى الشبكة من Cisco لتكوين تفضيلات Dot1x.

2. من نفس الصفحة التي يتم فيها تنزيل العميل الآمن، يتم العثور على خيار محرر ملف التعريف.

3. يستخدم هذا المثال الخيار مع الإصدار 5.1.2.42.

Profile Editorمحرر ملف التعريف

4. بمجرد تنزيلها، تابع عملية التثبيت.

5. قم بتشغيل ملف msi.

Profile Editor Setup Windowنافذة إعداد محرر ملف التعريف

6. أستخدم خيار الإعداد النموذجي.

Profile Editor Setupإعداد محرر ملف التعريف

Installation Windowإطار التثبيت

7. انقر فوق إنهاء".

End of Profile Editor Setupنهاية إعداد محرر ملف التعريف

8. بمجرد التثبيت، افتح محرر ملف تعريف مدير الوصول إلى الشبكة من شريط البحث.

Profile Editor for NAM on Search Barمحرر ملف التعريف ل NAM على شريط البحث

9. اكتمل تثبيت مدير الوصول إلى الشبكة ومحرر ملف التعريف.

التكوينات الافتراضية العامة

1. تحتوي جميع السيناريوهات المقدمة في هذه المادة على تكوينات ل:

  • نهج العميل
  • نهج المصادقة
  • مجموعات الشبكات

NAM Profile Editor Client Policyنهج عميل محرر ملف تعريف NAM

NAM Profile Editor Authentication Policyسياسة مصادقة محرر ملف تعريف NAM

Network Groups Tabعلامة تبويب مجموعات الشبكة

السيناريو 1: تكوين عميل NAM الآمن لمصادقة مستخدم PEAP (MS-CHAPv2)

1. انتقل إلى قسم الشبكات.

2. يمكن حذف ملف تعريف الشبكة الافتراضي.

3. انقر فوق إضافة.

Network Profile Creationإنشاء ملف تعريف الشبكة

4. قم بتسمية ملف تعريف الشبكة.

5. حدد عمومي ل عضوية المجموعة. حدد وسائط الشبكة السلكية.

Network Profile Media Type Sectionقسم نوع وسائط ملف تعريف الشبكة

6. انقر فوق التالي.

7. حدد مصادقة الشبكة واستخدم الافتراضي لباقي الخيارات في قسم مستوى الأمان.

Network Profile Security Levelمستوى أمان توصيف الشبكة

8. انقر فوق التالي لمتابعة إستخدام قسم نوع الاتصال.

Netowork Profile Connection Typeنوع اتصال ملف تعريف الشبكة

9. حدد نوع اتصال المستخدم.

10. انقر فوق التالي لمتابعة قسم مصادقة المستخدم، والذي يتوفر الآن.

11. حدد PEAP كطريقة EAP العامة.

Netowork Profile User Authمصادقة مستخدم ملف تعريف الشبكة

12. لا تغير القيم الافتراضية في إعدادات EAP-PEAP.

13. تابع مع الطرق الداخلية المستندة إلى قسم مصدر بيانات الاعتماد.

14. حدد المصادقة باستخدام كلمة مرور من الطرق الداخلية المتعددة الموجودة ل EAP PEAP وحدد EAP-MSCHAPv2.

15. انقر فوق التالي للمتابعة إلى قسم الشهادة.

note-icon

ملاحظة: يظهر قسم الشهادة كخيار التحقق من هوية الخادم في إعدادات EAP-PEAP محددة. بالنسبة إلى EAP PEAP، فإنها تقوم بعملية التضمين باستخدام شهادة الخادم.

16. في قسم الشهادات، قواعد الخادم الموثوق به للشهادة، تنتهي القاعدة الاسم العام ب c.com ويتم إستخدام هذا القسم من التكوين يشير إلى الشهادة التي يستخدمها الخادم أثناء تدفق EAP PEAP. إذا تم إستخدام محرك خدمة الهوية (ISE) في بيئتك، فيمكنك إستخدام الاسم الشائع لشهادة EAP لعقدة خادم النهج.

Network Profile Certificate Sectionقسم شهادة توصيف الشبكة

17. يمكن تحديد خيارين في المرجع المصدق عليه للشهادة. بالنسبة لهذا السيناريو، بدلا من إضافة شهادة مرجع مصدق محددة موقعة على شهادة RADIUS EAP، يتم إستخدام الخيار "ثقة أي مرجع مصدق رئيسي (CA) مثبت على نظام التشغيل.

18. مع هذا الخيار يثق جهاز Windows في أي شهادة EAP موقعة من قبل لجنة متضمن في إدارة شهادات برنامج شهادة المستخدم — المستخدم الحالي > مراجع التصديق الجذر الموثوق بها > الشهادات.

19. انقر فوق التالي.

Network Profile Credentials Sectionقسم بيانات اعتماد ملف تعريف الشبكة

20. في قسم بيانات الاعتماد، يتم تغيير قسم بيانات اعتماد المستخدم فقط.

21. يتم تحديد الخيار مطالبة ببيانات الاعتماد > عدم تذكر أبدا، في كل مصادقة، يجب أن يدخل المستخدم الذي يحدد المصادقة بيانات الاعتماد الخاصة به.

22. انقر فوق تم.

23. احفظ ملف تعريف Secure Client Network Access Manager، كconfiguration.xml باستخدام خيار ملف > حفظ باسم.

24. لضمان إستخدام Secure Client Network Access Manager لملف التعريف الذي تم إنشاؤه للتو، استبدل ملف configuration.xml في الدليل التالي بالدليل الجديد:

C:\ProgramData\Cisco\CiscoSecure Client\Network Access Manager\System

note-icon

ملاحظة: يجب تسمية الملف configuration.xml، وإلا فلن يعمل.

Replace File Sectionإستبدال مقطع الملف

السيناريو الثاني: تكوين عميل NAM الآمن لمصادقة EAP-FAST المتزامنة للمستخدم والجهاز

1. افتح محرر ملف تعريف NAM وانتقل إلى قسم الشبكات.

2. انقر فوق إضافة.

NAM Profile Editor Network Tabعلامة تبويب شبكة محرر ملف تعريف NAM

3. أدخل اسما في ملف تعريف الشبكة.

4. حدد عمومي لعضوية المجموعة. تحديد وسائط الشبكة السلكية.

Media Type Sectionقسم نوع الوسائط

5. انقر فوق التالي.

6. حدد مصادقة الشبكة ولا تغير القيم الافتراضية لبقية الخيارات في هذا القسم.

Security Level Profile Editor Sectionقسم محرر ملف تعريف مستوى الأمان

7. انقر فوق التالي لمتابعة إستخدام قسم نوع الاتصال.

Connection Type Sectionقسم نوع الاتصال

8. قم بتكوين مصادقة المستخدم والآلة في آن واحد من خلال تحديد الخيار الثالث.

9. انقر فوق التالي.

Machine Auth Sectionقسم مصادقة الآلة

10. في قسم مصادقة الجهاز، حدد EAP-FAST كطريقة EAP. لا تغير قيم EAP FAST Settings الافتراضية.

11. بالنسبة للطرق الداخلية المستندة إلى قسم مصدر بيانات الاعتماد، حدد المصادقة باستخدام كلمة المرور وEAP-MSCHAPv2 كطريقة. ثم حدد خيار إستخدام مسوغات الوصول المحمي (PACs).

12. انقر فوق التالي.

13. في قسم الشهادات، قواعد الخادم الموثوق به للشهادة، تنتهي القاعدة باسم عام ب c.com. يشير هذا القسم إلى الشهادة التي يستخدمها الخادم أثناء تدفق EAP PEAP. في حالة إستخدام محرك خدمة الهوية (ISE) في بيئتك، يمكن إستخدام الاسم الشائع لشهادة EAP الخاصة بعقدة خادم النهج.

Machine Auth Server Certificate Trust sectionقسم الثقة بشهادة خادم المصادقة الآلية

14. يمكن تحديد خيارين في المرجع المصدق. في هذا السيناريو، بدلا من إضافة شهادة مرجع مصدق محددة موقعة على شهادة RADIUS EAP، أستخدم الخيار، وثق بأي مرجع مصدق جذري (CA) مثبت على نظام التشغيل.

15. مع هذا الخيار، يثق Windows في أي شهادة EAP موقعة من قبل لجنة خبراء متضمنة في برنامج إدارة شهادة المستخدم (المستخدم الحالي > مراجع التصديق الجذر الموثوق بها > الشهادات).

16. انقر فوق التالي.

Mahine Auth Credentials Sectionقسم بيانات اعتماد مصادقة Mahine

17. حدد إستخدام بيانات اعتماد الجهاز في قسم بيانات اعتماد الجهاز.

18. انقر فوق التالي.

User Authentication Sectionقسم مصادقة المستخدم

19. بالنسبة إلى مصادقة المستخدم، حدد EAP-FAST كطريقة EAP.

20. لا تغير القيم الافتراضية في قسم إعدادات EAP-FAST.

21. بالنسبة للأسلوب الداخلي المستند إلى قسم مصدر بيانات الاعتماد، حدد المصادقة باستخدام كلمة مرور وEAP-MSCHAPv2 كطريقة.

22. حدد إستخدام مسوغات الوصول المحمي (PACs).

23. انقر فوق التالي.

24. في قسم الشهادات، قواعد الخادم الموثوق به للشهادة، تنتهي القاعدة باسم عام ب c.com. تكون هذه التكوينات للشهادة التي يستخدمها الخادم أثناء تدفق EAP PEAP. في حالة إستخدام ISE في بيئتك، يمكن إستخدام الاسم الشائع لشهادة EAP الخاصة بعقدة خادم النهج.

User Auth Server Certificate Trust Sectionقسم الثقة في شهادة خادم مصادقة المستخدم

25. يمكن تحديد خيارين في المرجع المصدق. في هذا السيناريو، وبدلا من إضافة شهادة مرجع مصدق محددة موقعة على شهادة RADIUS EAP، يستخدم الخيار "ثقة أي مرجع مصدق جذري (CA) مثبت على نظام التشغيل".

26. انقر فوق التالي.

User Auth Credentialsبيانات اعتماد مصادقة المستخدم

27. في قسم بيانات الاعتماد، يتم تغيير قسم بيانات اعتماد المستخدم فقط.

28. يتم تحديد الخيار رسالة حث بيانات الاعتماد > لا تذكر أبدا. لذلك، في كل مصادقة، يجب أن تدخل مصادقة المستخدم بيانات الاعتماد الخاصة بهم.

29. انقر فوق الزر تم.

30. حدد ملف > حفظ باسم وحفظ ملف تعريف Secure Client Network Access ManagerProfile باسم configuration.xml.

31. لجعل Secure Client Network Access Manager، أستخدم ملف التعريف الذي قمت بإنشائه واستبدال ملف configuration.xml في الدليل التالي بالدليل الجديد:

C:\ProgramData\Cisco\CiscoSecure Client\Network Access Manager\System

note-icon

ملاحظة: يجب تسمية الملف configuration.xml، وإلا فلن يعمل.

السيناريو 3: تكوين طالب NAM الآمن لمصادقة شهادة مستخدم EAP TLS

1. افتح محرر ملف تعريف NAM وانتقل إلى قسم الشبكات.

2. انقر فوق إضافة.

Network Creation Sectionقسم إنشاء الشبكة

3. قم بتسمية ملف تعريف الشبكة، وفي هذه الحالة، يكون الاسم هو بروتوكول EAP.

4. حدد عمومي لعضوية المجموعة. وسائط الشبكة السلكية.

Media Type Sectionقسم نوع الوسائط

5. انقر فوق التالي.

6. حدد مصادقة الشبكة ولا تغير القيم الافتراضية لبقية الخيارات في قسم مستوى الأمان.

Security Levelمستوى الأمان

7. هذا السيناريو خاص بمصادقة المستخدم باستخدام شهادة. ولهذا السبب، يتم إستخدام اتصال المستخدم الاختياري.

Conenction Typeنوع الاتصال

8. قم بتكوين EAP-TLS كطريقة EAP ولا تقم بتغيير القيم الافتراضية في قسم إعدادات EAP-TLS.

User Auth Sectionقسم مصادقة المستخدم

9. بالنسبة لقسم الشهادات، قم بإنشاء قاعدة تطابق شهادة AAA EAP-TLS. إذا كنت تستخدم ISE، ابحث عن هذه القاعدة في قسم الإدارة > النظام > الشهادات.

10. بالنسبة لقسم المرجع المصدق عليه للشهادات، حدد الثقة في أي مرجع مصدق جذر (CA) مثبت على نظام التشغيل.

User Auth Server Certificate Trust Settingsإعدادات الثقة بشهادة خادم مصادقة المستخدم

11. انقر فوق التالي.

12، في قسم مسوغات المستخدم، لا تغير القيم الافتراضية في القسم الأول.

User Auth Credentials Sectionقسم بيانات اعتماد مصادقة المستخدم

13. من المهم تكوين قاعدة تطابق شهادة الهوية التي يرسلها المستخدم أثناء عملية EAP TLS. للقيام بذلك، انقر فوق خانة الاختيار المجاورة لقاعدة إستخدام مطابقة الشهادات (الحد الأقصى 10).

14. انقر فوق إضافة.

Certificate Matching Rule Windowنافذة قاعدة مطابقة الشهادة

15. استبدل قيمة سلسلة CA.com الداخلية أو الخارجية ب CN لشهادة المستخدم.

User Auth Certificate Credentials Sectionقسم بيانات اعتماد شهادة مصادقة المستخدم

16. انقر فوق تم لإنهاء التكوين.

17. حدد ملف > حفظ باسم لحفظ ملف تعريف Secure Client Network Access Manager باسم configuration.xml.

18. لإضافة Secure Client Network Access Manager، أستخدم ملف التعريف الذي قمت بإنشائه واستبدال ملف configuration.xml في الدليل التالي بالدليل الجديد:

C:\ProgramData\Cisco\CiscoSecure Client\Network Access Manager\System

note-icon

ملاحظة: يجب تسمية الملف configuration.xml، وإلا فلن يعمل.

قم بتكوين ISR 1100 و ISE للسماح بالمصادقة استنادا إلى السيناريو 1 PEAP MSCHAPv2

1. قم بتكوين الموجه ISR 1100 Router.

   

2. يغطي هذا القسم التكوين الأساسي الذي يجب أن يتطلبه NAD لضمان وظائف dot1x كما هو متوقع.

note-icon

ملاحظة: بالنسبة لعمليات نشر ISE المتعددة، قم بالإشارة إلى أي عقدة تم تمكين "عقدة خادم النهج". يمكن التحقق من هذا بالانتقال إلى ISE في الإدارة > النظام > علامة تبويب النشر.

aaa new-model
aaa session-id common
!
aaa authentication dot1x default group ISE-CLUSTER
aaa authorization network default group ISE-CLUSTER
aaa accounting system default start-stop group ISE-CLUSTER
aaa accounting dot1x default start-stop group ISE-CLUSTER
!
aaa server radius dynamic-author
 client A.B.C.D server-key  <Your shared secret>
!
!
radius server  ISE-PSN-1
 address ipv4 A.B.C.D auth-port 1645 acct-port 1646
 timeout 15
 key <Your shared secret>
!
!
aaa group server radius ISE-CLUSTER
 server name ISE-PSN-1
!
interface GigabitEthernet0/1/0
 description "Endpoint that supports dot1x"
 switchport access vlan 15
 switchport mode access
 authentication host-mode multi-auth
 authentication order dot1x mab
 authentication priority dot1x mab
 authentication port-control auto
 dot1x pae authenticator
 spanning-tree portfast

3. قم بتكوين Identity Service Engine 3.2.

4. تكوين جهاز الشبكة.

5. أضف ISR NAD إلى إدارة ISE > موارد الشبكة > أجهزة الشبكة.

6. انقر فوق إضافة.

Network Device Sectionقسم جهاز الشبكة

7. قم بتعيين اسم إلى NAD الذي تقوم بإنشائه. إضافة IP لجهاز الشبكة.

Network Device Creationإنشاء جهاز الشبكة

8. في أسفل الصفحة نفسها، أضف نفس السر المشترك المستخدم في تكوين جهاز الشبكة.

Network Device RADIUS Settingsإعدادات RADIUS لجهاز الشبكة

8. حفظ التغييرات.

9. قم بتكوين الهوية المستخدمة لمصادقة نقطة النهاية.

10. يتم إستخدام مصادقة ISE المحلية ولا يتم شرح مصادقة ISE الخارجية في هذه المقالة.

11. انتقل إلى الإدارة > إدارة الهوية > علامة التبويب المجموعات وقم بإنشاء المجموعة التي يعد المستخدم جزءا منها. مجموعة الهوية التي تم إنشاؤها لهذا المثال هي iseUsers.

Identity Group Creationإنشاء مجموعة الهوية

12. انقر فوق إرسال.

13. انتقل إلى الإدارة > إدارة الهوية > تبويب الهوية.

14. انقر فوق إضافة.

Network Access Users Sectionقسم مستخدمي الوصول إلى الشبكة

15. كجزء من الحقول الإلزامية. ابدأ باسم المستخدم. يتم إستخدام اسم المستخدم iseiscool في هذا المثال.

Network Access User Creationإنشاء مستخدم الوصول إلى الشبكة

16. قم بتعيين كلمة مرور للمستخدم، في هذا المثال، يتم إستخدام VainillaISE97.

User Creation Password Sectionقسم كلمة مرور إنشاء المستخدم

17. قم بتعيين المستخدم إلى مجموعة ISEusers.

User Group Assignationتعيين مجموعة المستخدمين

18. قم بتكوين مجموعة النهج.

19. انتقل إلى قائمة ISE > السياسة > مجموعات السياسات.

20. يمكن إستخدام مجموعة النهج الافتراضية. ومع ذلك، يتم إنشاء واحد يسمى Wired لهذا المثال.

note-icon

ملاحظة: تساعد عملية تصنيف مجموعات السياسات وتمييزها عند أستكشاف الأخطاء وإصلاحها،

إذا كانت أيقونة إضافة أو زائد +" غير مرئية، يمكن النقر فوق أيقونة العتاد لأي مجموعة نهج، ثم حدد إدراج صف جديد أعلاه.

Gear Icon Optionsخيارات أيقونة التروس

21. الشرط المستخدم هو Wired 8021x، واسحبه. ثم انقر فوق إستخدام.

Authentication Policy Condition Studioأستوديو شروط سياسة المصادقة

22. حدد الوصول الافتراضي إلى الشبكة في قسم البروتوكولات المسموح بها.

Policy Sets General Viewطريقة عرض عامة لمجموعات النهج

23. انقر فوق حفظ.

تكوين سياسات المصادقة والتفويض

1. انقر فوق أيقونة >.

Wired Policy Setمجموعة السياسات السلكية

2. توسيع قسم نهج المصادقة.

3. انقر فوق رمز +".

Authentication Policy 1نهج المصادقة

4. قم بتعيين اسم لنهج المصادقة؛ يتم إستخدام المصادقة الداخلية في هذا المثال.

5. انقر فوق رمز +" في عمود الشروط لنهج المصادقة الجديد هذا.

6. يتم إستخدام الشرط Wired Dot1x الذي تم تكوينه مسبقا.

7. في عمود إستخدام، حدد المستخدمين الداخليين.

Authentication Policy 2نهج المصادقة

سياسة التخويل

1. يقع قسم نهج التخويل في أسفل الصفحة. قم بتمديده وانقر فوق أيقونة +.

Authorization Policy 1سياسة التخويل

2. قم بتسمية نهج التخويل الذي تم إنشاؤه مؤخرا. في مثال التكوين هذا، يتم إستخدام اسم مستخدمي ISE الداخليين.

3. لإنشاء شرط ل نهج التخويل هذا، انقر فوق الرمز +" في العمود شروط.

4. يتم إستخدام مجموعة IseUsers.

5. انقر فوق قسم السمة.

6. حدد أيقونة IdentityGroup.

7. من القاموس، حدد قاموس InternalUser الذي يأتي مع سمة IdentityGroup.

Condition Creationإنشاء الشرط

8. من القائمة المنسدلة، حدد المشغل يساوي.

9. من القائمة المنسدلة مجموعات هوية المستخدم، حدد مجموعة IseUsers.

Condition Creation 2إنشاء الشرط

10. انقر فوق إستخدام.

11. إضافة ملف تعريف تخويل النتيجة.

12. يتم إستخدام تصريح الوصول المهيأ مسبقا إلى ملف التعريف.

note-icon

ملاحظة: لا تعد المصادقات التي تصل إلى ISE والتي تصل إلى مجموعة نهج Wired Dot1x جزءا من ISEUsers الخاص بمجموعة هوية المستخدمين. اضغط على نهج التخويل الافتراضي، الذي ينتج عنه DenyAccess.

Authorization Policy 2سياسة التخويل

13. انقر فوق حفظ.

التحقق من الصحة

1. بمجرد انتهاء التكوين، يطلب Secure Client بيانات الاعتماد ويحدد إستخدام ملف تعريف PEAP MSCHAPv2.

2. يتم إدخال بيانات الاعتماد التي تم إنشاؤها مسبقا.

Secure Client NAMSecure Client NAM

3. إذا تمت مصادقة نقطة النهاية بشكل صحيح، فإن NAM تعرض أنها متصلة.

Secure Client NAM 2Secure Client NAM

4. بالنقر فوق رمز المعلومات والتنقل إلى قسم محفوظات الرسائل، يتم عرض تفاصيل كل خطوة NAM مكملة.

Secure Client Message Historyتأمين محفوظات رسائل العميل

Secure Client Message Historyتأمين محفوظات رسائل العميل

5. من ISE، انتقل إلى العمليات > Radius LiveLog لعرض تفاصيل المصادقة. كما هو موضح في الصورة التالية، يتم عرض اسم المستخدم الذي تم إستخدامه.

تتوفر تفاصيل إضافية مثل:

  • طابع زمني
  • عنوان MAC
  • مجموعة النهج المستخدمة
  • نهج المصادقة
  • سياسة التخويل
  • معلومات أخرى ذات صلة

ISE RADIUS Live Logsسجلات ISE RADIUS Live

6. في طريقة العرض هذه، يتم عرض جميع السياسات الصحيحة، والنتيجة هي حالة مصادقة ناجحة. بهذا يخلص إلى أن التكوين صحيح.

استكشاف الأخطاء وإصلاحها

المشكلة 1: لا يستخدم العميل الآمن ملف تعريف NAM

1. إذا لم يتم إستخدام NAM لملف التعريف الجديد في محرر ملف التعريف، أستخدم خيار إصلاح الشبكة لعميل آمن.

2. يمكنك العثور على هذا الخيار من خلال التنقل إلى شريط Windows > النقر فوق رمز الالتفاف > انقر بزر الماوس الأيمن فوق رمز العميل الآمن > انقر فوق إصلاح الشبكة.

Network Repair Sectionقسم إصلاح الشبكة

المشكلة 2: يجب تجميع السجلات لمزيد من التحليل

1. تمكين تسجيل NAM الموسع

2. افتح NAM، وانقر فوق رمز التروس.

NAM Interfaceواجهة NAM

3. انتقل إلى علامة التبويب إعدادات السجل. حدد خانة الاختيار تمكين التسجيل الموسع.

4. تعيين حجم ملف التقاط الحزمة على 100 ميغابايت.

Secure Client NAM Log Settingsإعدادات سجل NAM الآمن للعميل

إعادة إنتاج المشكلة

5. بمجرد تمكين التسجيل الموسع، قم بإعادة إنتاج الإصدار عدة مرات لضمان إنشاء السجلات وتسجيل حركة المرور.

تجميع حزمة DART الخاصة بالعميل الآمن

6. من Windows، انتقل إلى شريط البحث والنوع: أداة Cisco Secure Client Diagnostics and Reporting Tool.

DART Moduleوحدة DART

7. أثناء عملية التثبيت، قمت أيضا بتثبيت هذه الوحدة النمطية. وهو أداة تساعد أثناء عمليات أستكشاف الأخطاء وإصلاحها من خلال تجميع السجلات ومعلومات جلسة dot1x ذات الصلة.

8. انقر فوق التالي في الإطار الأول.

DART Module 2وحدة DART

9. انقر فوق التالي، وهذا يسمح بحفظ حزمة السجل على سطح المكتب.

DART Module 3وحدة DART

10. إذا كان ضروريا، طقطقت ال checkbox يمكن حزمة تشفير.

DART Module 4وحدة DART

11. تبدأ عملية تجميع سجل DART.

DART Log Collectionمجموعة سجل DART

12. قد يستغرق الأمر 10 دقائق أو نحو ذلك حتى تنتهي العملية.

DART Bundle Creation Resultنتيجة إنشاء حزمة DART

13. يمكن العثور على ملف نتائج DART في دليل سطح المكتب.

DART Result Fileملف نتائج DART

معلومات ذات صلة

محفوظات المراجعة

المراجعة تاريخ النشر التعليقات
2.0
02-Jul-2026
تم تحديث التدقيق الإملائي، المسافات، النحوي، بنية الجملة، وتنبيهات CCW.
1.0
29-Apr-2024
الإصدار الأولي
TAC Authored

تمت المساهمة بواسطة مهندسو Cisco

  • David Albanil De Castilla
    Cisco Security Technical Consulting Engineer

هل كان هذا المستند مفيدًا؟

Feedbackالتعليقات

اتصل بنا

ينطبق هذا المستند على هذه المنتجات