تكوين NAM العميل الآمن ل Dot1x باستخدام Windows و ISE 3.2

تم التحديث:٢٩ أبريل ٢٠٢٤
معرّف المستند:221954

لغة خالية من التحيز

تسعى مجموعة الوثائق لهذا المنتج جاهدة لاستخدام لغة خالية من التحيز. لأغراض مجموعة الوثائق هذه، يتم تعريف "خالية من التحيز" على أنها لغة لا تعني التمييز على أساس العمر، والإعاقة، والجنس، والهوية العرقية، والهوية الإثنية، والتوجه الجنسي، والحالة الاجتماعية والاقتصادية، والتمييز متعدد الجوانب. قد تكون الاستثناءات موجودة في الوثائق بسبب اللغة التي يتم تشفيرها بشكل ثابت في واجهات المستخدم الخاصة ببرنامج المنتج، أو اللغة المستخدمة بناءً على وثائق RFP، أو اللغة التي يستخدمها منتج الجهة الخارجية المُشار إليه. تعرّف على المزيد حول كيفية استخدام Cisco للغة الشاملة.

حول هذه الترجمة

ترجمت Cisco هذا المستند باستخدام مجموعة من التقنيات الآلية والبشرية لتقديم محتوى دعم للمستخدمين في جميع أنحاء العالم بلغتهم الخاصة. يُرجى ملاحظة أن أفضل ترجمة آلية لن تكون دقيقة كما هو الحال مع الترجمة الاحترافية التي يقدمها مترجم محترف. تخلي Cisco Systems مسئوليتها عن دقة هذه الترجمات وتُوصي بالرجوع دائمًا إلى المستند الإنجليزي الأصلي (الرابط متوفر).

    المقدمة

    يوضح هذا المستند كيفية تكوين وحدة تحليل شبكة العميل الآمنة (NAM) على Windows.

    المتطلبات الأساسية

    المتطلبات

    توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

    • الفهم الأساسي لما هو متطلب RADIUS
    • Dot1x
    • خوخ
    • PKI

    المكونات المستخدمة

    تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

    • تم إنشاء Windows 10 Pro الإصدار 22H2 19045.3930
    • ISE 3.2
    • برنامج Cisco C1117 Cisco IOS® XE، الإصدار 17.12.02
    • Active Directory 2016

    تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

    معلومات أساسية

    يوضح هذا المستند كيفية تكوين NAM الخاصة بالعميل الآمن على Windows. يتم إستخدام خيار النشر المسبق ومحرر التوصيف لإجراء مصادقة dot1x. وتقدم أيضا بعض الأمثلة على كيفية تحقيق ذلك.

    في الاتصال الشبكي، يكون الطالب عبارة عن كيان يقع في أحد طرفي مقطع الشبكة المحلية من نقطة إلى نقطة ويسعى إلى التصديق عليه بواسطة مصدق مرتبط بالطرف الآخر من ذلك الرابط. يستخدم مقياس IEEE 802.1X مصطلح متلقي للإشارة إلى الأجهزة أو البرامج. في التطبيق العملي، الملخص هو تطبيق برمجي مثبت على كمبيوتر المستخدم النهائي. يقوم المستخدم باستدعاء الطالب وتسليم بيانات الاعتماد لتوصيل الكمبيوتر بشبكة آمنة. في حالة نجاح المصادقة، يسمح المصدق عادة للكمبيوتر بالاتصال بالشبكة.

    حول مدير الوصول إلى الشبكة

    Network Access Manager (مدير الوصول إلى الشبكة) هو برنامج عميل يوفر شبكة آمنة من الطبقة 2 وفقا لسياساتها. وتقوم باكتشاف شبكة الوصول المثالية من الطبقة 2 وتحديد هذه الشبكة، كما تقوم بإجراء مصادقة الجهاز للوصول إلى كل من الشبكات السلكية واللاسلكية. يدير Network Access Manager هوية المستخدم والجهاز وبروتوكولات الوصول إلى الشبكة المطلوبة للوصول الآمن. ويعمل هذا النظام بذكاء لمنع المستخدمين النهائيين من إجراء إتصالات تخالف السياسات التي يحددها المسؤول.

    تم تصميم "مدير الوصول إلى الشبكة" ليكون أحادي المركز، مما يسمح باتصال شبكة واحد فقط في كل مرة. كما أن التوصيلات السلكية لها أولوية أعلى من التوصيلات اللاسلكية، لذلك إذا كنت موصلا بالشبكة بتوصيل سلكي، يعطل المحول اللاسلكي بدون عنوان IP.

    التكوين

    الرسم التخطيطي للشبكة

    من المهم فهم أنه بالنسبة للمصادقة dot1x، يلزم 3 أجزاء؛ والمطالب الذي يمكنه القيام dot1x، والمصادقة المعروفة أيضا باسم NAS/NAD والتي تعمل كوكيل يغلف حركة مرور dot1x داخل RADIUS، وخادم المصادقة.

    في هذا المثال، يتم تثبيت المطالب وتكوينه بطرق مختلفة. وفيما بعد، يظهر سيناريو مع تكوين جهاز الشبكة وخادم المصادقة.

    الرسم التخطيطي للشبكةالرسم التخطيطي للشبكة

    التكوينات

    1. تنزيل Secure Client NAM (مدير الوصول إلى الشبكة) وتثبيته.
    1. تنزيل محرر ملف تعريف NAM الآمن وتثبيته.
    2. التكوينات الافتراضية العامة
    3. السيناريو 1: تكوين طالب NAM الآمن لمصادقة مستخدم PEAP (MS-CHAPv2).
    4. السيناريو 2: تكوين ملتمس NAM الآمن الخاص بالعميل ل EAP-FAST في وقت واحد عند تكوين مصادقة المستخدم والجهاز.
    5. السيناريو 3 الجزء 1: تكوين طالب NAM الآمن ل EAP-TLS.
    6. السيناريو 3 الجزء 2: تكوين بيان NAD و ISE.

    1. تنزيل Secure Client NAM (مدير الوصول إلى الشبكة) وتثبيته

    تنزيل برامج Cisco

    في نوع شريط البحث عن اسم المنتج العميل الآمن 5.

    منزل التنزيلات > الأمان > عملاء أمان النقطة الطرفية والشبكة الخاصة الظاهرية (VPN) > عميل آمن (بما في ذلك AnyConnect) > عميل آمن 5 > برنامج عميل AnyConnect VPN.

    في مثال التكوين هذا، الإصدار 5.1.2.42 هو المستخدم.

    هناك طرق متعددة لنشر "العميل الآمن" إلى أجهزة Windows، من SCCM ومن محرك خدمة الهوية ومن وحدة الاستقبال والبث الخاصة بشبكة VPN. ومع ذلك، في هذه المقالة، فإن طريقة التثبيت المستخدمة هي طريقة النشر المسبق.

    على الصفحة، ابحث عن الملف Cisco Secure Client Headend Deployment Package (في Windows).

    ملف MSI Zipملف MSI zip

    بمجرد تنزيلها واستخراجها، انقر فوق الإعداد.

    تأمين ملفات العميلتأمين ملفات العميل

    قم بتثبيت مدير الوصول إلى الشبكة والوحدات النمطية لأداة التشخيص وإعداد التقارير.

    أيقونة التحذير

    تحذير: إذا كنت تستخدم معالج "العميل الآمن من Cisco"، فسيتم تثبيت وحدة VPN النمطية تلقائيا، وإخفائها في واجهة المستخدم الرسومية. لا تعمل NAM إذا لم يتم تثبيت وحدة VPN النمطية. إذا كنت تستخدم ملفات MSI الفردية أو طريقة تثبيت مختلفة، فتأكد من تثبيت وحدة VPN النمطية.

    أداة تحديد التثبيتأداة تحديد التثبيت

    انقر على تثبيت العناصر المحددة.

    اقبل الإولا.

    اويلا باونداويلا باوند

    يجب إعادة التشغيل بعد تثبيت NAM.

    نافذة متطلبات إعادة التشغيلنافذة متطلبات إعادة التشغيل

    وبمجرد تثبيته، يمكن العثور عليه وفتحه من شريط Windows Search.

    برنامج العميل الآمنبرنامج العميل الآمن

    2. تنزيل محرر ملف تعريف NAM الآمن وتثبيته.

    مطلوب محرر ملف تعريف مدير الوصول إلى الشبكة من Cisco لتكوين تفضيلات Dot1x.

    من نفس الصفحة التي يتم فيها تنزيل Secure Client، يتم العثور على خيار محرر ملف التعريف.

    يستخدم هذا المثال الخيار مع الإصدار 5.1.2.42.

    محرر ملف التعريفمحرر ملف التعريف

    بمجرد تنزيله، استمر في التثبيت.

    قم بتشغيل ملف msi.

    نافذة إعداد محرر ملف التعريفنافذة إعداد محرر ملف التعريف

    أستخدم خيار الإعداد النموذجي.

    إعداد محرر ملف التعريفإعداد محرر ملف التعريف

    إطار التثبيتإطار التثبيت

    انقر فوق إنهاء.

    نهاية إعداد محرر ملف التعريفنهاية إعداد محرر ملف التعريف

    افتح محرر ملف تعريف مدير الوصول إلى الشبكة من شريط البحث بمجرد تثبيته.

    محرر ملف التعريف ل NAM على شريط البحثمحرر ملف التعريف ل NAM على شريط البحث

    اكتمل تثبيت مدير الوصول إلى الشبكة ومحرر ملف التعريف.

    3. تكوينات افتراضية عامة

    تحتوي كافة السيناريوهات المقدمة في هذه المقالة على تكوينات ل:

    • نهج العميل
    • نهج المصادقة
    • مجموعات الشبكات

    نهج عميل محرر ملف تعريف NAMنهج عميل محرر ملف تعريف NAM

    سياسة مصادقة محرر ملف تعريف NAMسياسة مصادقة محرر ملف تعريف NAM

    علامة تبويب مجموعات الشبكةعلامة تبويب مجموعات الشبكة

    4. السيناريو 1: تكوين عميل NAM الآمن لمصادقة مستخدم PEAP (MS-CHAPv2)

    انتقل إلى قسم الشبكات.

    يمكن حذف ملف تعريف الشبكة الافتراضي.

    انقر فوق إضافة (Add).

    إنشاء ملف تعريف الشبكةإنشاء ملف تعريف الشبكة

    قم بتسمية ملف تعريف الشبكة.

    حدد عمومي ل عضوية المجموعة. حدد وسائط الشبكة السلكية.

    قسم نوع وسائط ملف تعريف الشبكةقسم نوع وسائط ملف تعريف الشبكة

    انقر فوق Next (التالي).

    حدد مصادقة الشبكة واستخدم الافتراضي لباقي الخيارات في قسم مستوى الأمان.

    مستوى أمان توصيف الشبكةمستوى أمان توصيف الشبكة

    انقر على التالي لمتابعة إستخدام قسم نوع الاتصال.

    نوع اتصال ملف تعريف الشبكةنوع اتصال ملف تعريف الشبكة

    حدد نوع اتصال المستخدم.

    انقر على التالي لمتابعة قسم مصادقة المستخدم المتوفر الآن.

    حدد PEAP كطريقة EAP العامة.

    مصادقة مستخدم ملف تعريف الشبكةمصادقة مستخدم ملف تعريف الشبكة

    لا تغير القيم الافتراضية في إعدادات EAP-PEAP.

    تابع مع قسم الأساليب الداخلية المستندة إلى مصدر بيانات الاعتماد.

    من الأساليب الداخلية المتعددة الموجودة ل EAP PEAP، حدد المصادقة باستخدام كلمة مرور وحدد EAP-MSCHAPv2.

    انقر على التالي للاستمرار إلى قسم الشهادة.

    note-icon

    ملاحظة: يظهر قسم الشهادة لأنه قد تم تحديد الخيار التحقق من هوية الخادم في إعدادات EAP-PEAP. بالنسبة إلى EAP PEAP، فإنها تقوم بعملية التضمين باستخدام شهادة الخادم. 

    في قسم الشهادات، في قواعد خادم الشهادة الموثوق به، يتم إستخدام القاعدة نهاية الاسم الشائع ب c.com. يشير هذا القسم من التكوين إلى الشهادة التي يستخدمها الخادم أثناء تدفق EAP PEAP. إذا تم إستخدام محرك خدمة الهوية (ISE) على بيئتك، فيمكنك إستخدام الاسم الشائع لشهادة EAP لعقدة خادم النهج.

    قسم شهادة توصيف الشبكةقسم شهادة توصيف الشبكة

    يمكن تحديد خيارين في المرجع المصدق. لهذا السيناريو بدلا من إضافة شهادة مرجع مصدق محددة موقعة على شهادة RADIUS EAP، يتم إستخدام الخيار ثقة أي مرجع مصدق جذر (CA) مثبت على نظام التشغيل.

    مع هذا الخيار يثق جهاز Windows في أي شهادة EAP موقعة من قبل لجنة متضمنة في إدارة تراخيص برنامج تقييم المستخدمين — المستخدم الحالي > مراجع التصديق الجذر الموثوق فيها > الشهادات.

    انقر فوق Next (التالي).

    قسم بيانات اعتماد ملف تعريف الشبكةقسم بيانات اعتماد ملف تعريف الشبكة

    في قسم بيانات الاعتماد يتم تغيير قسم بيانات اعتماد المستخدم فقط.

    يتم تحديد الخيار مطالبة ببيانات الاعتماد > عدم التذكر أبدا، لذلك في كل مصادقة، يجب على المستخدم الذي يقوم بإجراء المصادقة إدخال بيانات الاعتماد الخاصة به.

    طقطقة تم.

    احفظ ملف تعريف Secure Client Network Access Manager، مثل configuration.xml باستخدام خيار ملف > حفظ باسم.

    لجعل "إدارة الوصول إلى شبكة العميل الآمنة" تستخدم ملف التعريف الذي تم إنشاؤه للتو، استبدل ملف configuration.xml في الدليل التالي بالدليل الجديد:

    C:\ProgramData\Cisco\CiscoSecure Client\Network Access Manager\System

    note-icon

    ملاحظة: يجب تسمية الملف configuration.xml، وإلا فلن يعمل.

    إستبدال مقطع الملفإستبدال مقطع الملف

    5. السيناريو 2: تكوين عميل NAM آمن لمصادقة EAP-FAST المتزامنة للمستخدم والآلة

    افتح محرر ملف تعريف NAM وانتقل إلى قسم الشبكات.

    انقر فوق إضافة (Add).

    علامة تبويب شبكة محرر ملف تعريف NAMعلامة تبويب شبكة محرر ملف تعريف NAM

    أدخل اسما في توصيف الشبكة.

    حدد عمومي ل عضوية المجموعة. تحديد وسائط الشبكة السلكية.

    قسم نوع الوسائطقسم نوع الوسائط

    انقر فوق Next (التالي).

    حدد مصادقة الشبكة ولا تغير القيم الافتراضية لبقية الخيارات في هذا القسم.

    قسم محرر ملف تعريف مستوى الأمانقسم محرر ملف تعريف مستوى الأمان

    انقر على التالي لمتابعة إستخدام قسم نوع الاتصال.

    قسم نوع الاتصالقسم نوع الاتصال

    قم بتكوين مصادقة المستخدم والآلة في آن واحد من خلال تحديد الخيار الثالث.

    انقر فوق Next (التالي).

    قسم مصادقة الآلةقسم مصادقة الآلة

    في قسم مصادقة الجهاز، حدد EAP-FAST كطريقة EAP. لا تغير قيم EAP FAST Settings الافتراضية. بالنسبة للطرق الداخلية المستندة إلى مصدر بيانات الاعتماد، حدد قسم المصادقة باستخدام كلمة المرور وEAP-MSCHAPv2 باعتباره الطريقة. ثم حدد خيار إستخدام مسوغات الوصول المحمي (PACs).

    انقر فوق Next (التالي).

    في قسم الشهادات، في قواعد خادم الشهادة الموثوق به ينتهي الاسم الشائع للقاعدة ب c.com. يشير هذا القسم إلى الشهادة التي يستخدمها الخادم أثناء تدفق EAP PEAP. في حالة إستخدام محرك خدمة الهوية (ISE) على بيئتك، يمكن إستخدام الاسم الشائع لشهادة EAP لعقدة خادم النهج.

    قسم الثقة بشهادة خادم المصادقة الآليةقسم الثقة بشهادة خادم المصادقة الآلية

    يمكن تحديد خيارين في المرجع المصدق. بالنسبة لهذا السيناريو، بدلا من إضافة شهادة مرجع مصدق محددة موقعة على شهادة RADIUS EAP، أستخدم الخيار الثقة في أي مرجع مصدق جذري (CA) مثبت على نظام التشغيل.

    باستخدام هذا الخيار، يثق Windows في أي شهادة EAP موقعة من قبل لجنة خبراء متضمنة في برنامج إدارة شهادة المستخدم (المستخدم الحالي > مراجع التصديق الجذر الموثوق فيها > الشهادات).

    انقر فوق Next (التالي).

    قسم بيانات اعتماد مصادقة Mahineقسم بيانات اعتماد مصادقة Mahine

    حدد إستخدام مسوغات الجهاز في قسم مسوغات الجهاز.

    انقر فوق Next (التالي).

    قسم مصادقة المستخدمقسم مصادقة المستخدم

    بالنسبة إلى مصادقة المستخدم، حدد EAP-FAST كطريقة EAP.

    لا تغير القيم الافتراضية في قسم إعدادات EAP-FAST.

    بالنسبة للأسلوب الداخلي المستند إلى قسم مصدر بيانات الاعتماد، حدد المصادقة باستخدام كلمة مرور وEAP-MSCHAPv2 كطريقة.

    حدد إستخدام مسوغات الوصول المحمي (PACs).

    انقر فوق Next (التالي).

    في قسم الشهادات، في قواعد خادم الشهادة الموثوق به، تنتهي القاعدة باسم عام ب c.com. وهذه التكوينات هي للشهادة التي يستخدمها الخادم أثناء تدفق EAP PEAP. إذا تم إستخدام ISE في بيئتك، يمكن إستخدام الاسم الشائع لشهادة EAP الخاصة بعقدة خادم النهج.

    قسم الثقة في شهادة خادم مصادقة المستخدمقسم الثقة في شهادة خادم مصادقة المستخدم

    يمكن تحديد خيارين في المرجع المصدق. لهذا السيناريو بدلا من إضافة شهادة مرجع مصدق محددة موقعة على شهادة RADIUS EAP، يتم إستخدام الخيار ثقة أي مرجع مصدق جذر (CA) مثبت على نظام التشغيل.

    انقر فوق Next (التالي).

    بيانات اعتماد مصادقة المستخدمبيانات اعتماد مصادقة المستخدم

    في قسم المسوغات، يتم تغيير قسم مسوغات المستخدم فقط.

    تم تحديد الخيار رسالة حث بيانات الاعتماد > عدم التذكر. لذلك في كل مصادقة، يجب أن تدخل مصادقة المستخدم بيانات الاعتماد الخاصة بهم.

    انقر فوق الزر تم".

    حدد ملف > حفظ باسم ثم احفظ ملف تعريف Secure Client Network Access Manager باسم Configuration.xml.

    لجعل Secure Client Network Access Manager يستخدم ملف التعريف الذي تم إنشاؤه للتو، استبدل ملف configuration.xml في الدليل التالي بالدليل الجديد:

    C:\ProgramData\Cisco\CiscoSecure Client\Network Access Manager\System

    note-icon

    ملاحظة: يجب تسمية الملف configuration.xml، وإلا فلن يعمل.

    6. السيناريو 3: تكوين طالب NAM الآمن لمصادقة شهادة مستخدم EAP TLS

    افتح محرر ملف تعريف NAM وانتقل إلى قسم الشبكات.

    انقر فوق إضافة (Add).

    قسم إنشاء الشبكةقسم إنشاء الشبكة

    قم بتسمية ملف تعريف الشبكة، وفي هذه الحالة يكون المسمى مع بروتوكول EAP المستخدم لهذا السيناريو.

    حدد عمومي ل عضوية المجموعة. وكذلك وسائط الشبكة السلكية.

    قسم نوع الوسائطقسم نوع الوسائط

    انقر فوق Next (التالي).

    حدد مصادقة الشبكة ولا تغير القيم الافتراضية لبقية الخيارات في قسم مستوى الأمان.

    مستوى الأمانمستوى الأمان

    هذا السيناريو لمصادقة المستخدم باستخدام شهادة. ولهذا السبب يتم إستخدام خيار اتصال المستخدم.

    نوع الاتصالنوع الاتصال

    قم بتكوين EAP-TLS كطريقة EAP. لا تغير القيم الافتراضية في قسم إعدادات EAP-TLS.

    قسم مصادقة المستخدمقسم مصادقة المستخدم

    بالنسبة لقسم الشهادات، قم بإنشاء قاعدة تطابق شهادة AAA EAP-TLS. إذا كنت تستخدم ISE، ابحث عن هذه القاعدة في قسم إدارة > نظام > شهادات.

    بالنسبة لقسم المرجع الموثوق به للشهادات، حدد الثقة بأي مرجع مصدق جذر (CA) مثبت على نظام التشغيل.

    إعدادات الثقة بشهادة خادم مصادقة المستخدمإعدادات الثقة بشهادة خادم مصادقة المستخدم

    انقر فوق Next (التالي).

    في قسم مسوغات المستخدم، لا تغير القيم الافتراضية في الجزء الأول.

    قسم بيانات اعتماد مصادقة المستخدمقسم بيانات اعتماد مصادقة المستخدم

    من المهم تكوين قاعدة تطابق شهادة الهوية التي يرسلها المستخدم أثناء عملية EAP TLS. للقيام بذلك، انقر فوق خانة الاختيار المجاورة لاستخدام قاعدة التحويل البرمجي للشهادات (الحد الأقصى 10).

    انقر فوق إضافة (Add).

    نافذة قاعدة مطابقة الشهادةنافذة قاعدة مطابقة الشهادة

    إستبدال القيمة بسلسلة CA.com الداخلية أو الخاصة بجهة خارجية ب CN لشهادة المستخدم.

    قسم بيانات اعتماد شهادة مصادقة المستخدمقسم بيانات اعتماد شهادة مصادقة المستخدم

    انقر فوق تم لإنهاء التكوين.

    حدد ملف > حفظ باسم لحفظ ملف تعريف Secure Client Network Access Manager باسم configuration.xml.

    لجعل Secure Client Network Access Manager يستخدم ملف التعريف الذي تم إنشاؤه للتو، استبدل ملف configuration.xml في الدليل التالي بالدليل الجديد:

    C:\ProgramData\Cisco\CiscoSecure Client\Network Access Manager\System

    note-icon

    ملاحظة: يجب تسمية الملف configuration.xml، وإلا فلن يعمل.

    7. قم بتكوين ISR 1100 و ISE للسماح بالمصادقة استنادا إلى السيناريو 1 PEAP MSCHAPv2

    قم بتكوين الموجه ISR 1100 Router.

       

    يغطي هذا القسم التكوين الأساسي الذي يجب على NAD جعله dot1x يعمل.

    note-icon

    ملاحظة: بالنسبة لنشر ISE متعدد العقد، أشر إلى أي عقدة تم تمكين عقدة Policy Server بشكل شخصي. يمكن التحقق من هذا بالانتقال إلى ISE في الإدارة > النظام > علامة التبويب النشر.

    aaa new-model
    aaa session-id common
    !
    aaa authentication dot1x default group ISE-CLUSTER
    aaa authorization network default group ISE-CLUSTER
    aaa accounting system default start-stop group ISE-CLUSTER
    aaa accounting dot1x default start-stop group ISE-CLUSTER
    !
    aaa server radius dynamic-author
     client A.B.C.D server-key  <Your shared secret>
    !
    !
    radius server  ISE-PSN-1
     address ipv4 A.B.C.D auth-port 1645 acct-port 1646
     timeout 15
     key <Your shared secret>
    !
    !
    aaa group server radius ISE-CLUSTER
     server name ISE-PSN-1
    !
    interface GigabitEthernet0/1/0
     description "Endpoint that supports dot1x"
     switchport access vlan 15
     switchport mode access
     authentication host-mode multi-auth
     authentication order dot1x mab
     authentication priority dot1x mab
     authentication port-control auto
     dot1x pae authenticator
     spanning-tree portfast

    تكوين Identity Service Engine 3.2.

    قم بتكوين جهاز الشبكة.

    أضف ISR NAD إلى إدارة ISE > موارد الشبكة > أجهزة الشبكة.

    انقر فوق إضافة (Add).

    قسم جهاز الشبكةقسم جهاز الشبكة

    قم بتعيين اسم إلى NAD الذي تقوم بإنشائه. إضافة IP لجهاز الشبكة.

    إنشاء جهاز الشبكةإنشاء جهاز الشبكة

    في أسفل نفس الصفحة أضف نفس السر المشترك الذي أستخدمته في تكوين جهاز الشبكة.

    إعدادات RADIUS لجهاز الشبكةإعدادات RADIUS لجهاز الشبكة

    قم بحفظ التغييرات.

    قم بتكوين الهوية التي يتم إستخدامها لمصادقة نقطة النهاية.

    يتم إستخدام مصادقة ISE المحلية. لا يتم شرح مصادقة ISE الخارجية في هذه المقالة.

    انتقل إلى علامة التبويب إدارة > إدارة الهوية > مجموعات" وقم بإنشاء المجموعة التي يعد المستخدم جزءا منها. مجموعة الهوية التي تم إنشاؤها لهذا العرض التوضيحي هي ISEusers.

    إنشاء مجموعة الهويةإنشاء مجموعة الهوية

    انقر على إرسال.

    انتقل إلى الإدارة > إدارة الهوية > تبويب الهوية.

    انقر فوق إضافة (Add).

    قسم مستخدمي الوصول إلى الشبكةقسم مستخدمي الوصول إلى الشبكة

    كجزء من الحقول الإلزامية، يبدأ باسم المستخدم. يتم إستخدام اسم المستخدم iseiscool في هذا المثال.

    إنشاء مستخدم الوصول إلى الشبكةإنشاء مستخدم الوصول إلى الشبكة

    قم بتعيين كلمة مرور للمستخدم. يتم إستخدام VainillaISE97.

    قسم كلمة مرور إنشاء المستخدمقسم كلمة مرور إنشاء المستخدم

    قم بتعيين المستخدم إلى مجموعة IseUsers.

    تعيين مجموعة المستخدمينتعيين مجموعة المستخدمين

    قم بتكوين مجموعة النهج.

    انتقل إلى قائمة ISE > السياسة > مجموعات السياسات.

    يمكن إستخدام مجموعة النهج الافتراضية. ومع ذلك، يتم إنشاء واحد يسمى Wired لهذا المثال.

    note-icon

    ملاحظة: يساعد تصنيف مجموعات السياسات والتمييز بينها عند أستكشاف الأخطاء وإصلاحها،

    note-icon

    ملاحظة: إذا كانت أيقونة إضافة أو زائد غير مرئية، يمكن النقر فوق رمز العتاد لأي مجموعة نهج، ثم حدد إدراج صف جديد أعلاه.

    خيارات أيقونة التروسخيارات أيقونة التروس

    الشرط المستخدم هو Wired 8021x. اسحبه ثم انقر فوق إستخدام.

    أستوديو شروط سياسة المصادقةأستوديو شروط سياسة المصادقة

    حدد الوصول الافتراضي للشبكة في قسم البروتوكولات المسموح بها.

    طريقة عرض عامة لمجموعات النهجطريقة عرض عامة لمجموعات النهج

    انقر فوق حفظ.

    2.د. قم بتكوين سياسات المصادقة والتفويض.

    انقر فوق أيقونة >.

    مجموعة السياسات السلكيةمجموعة السياسات السلكية

    قم بتوسيع قسم نهج المصادقة.

    انقر على أيقونة +.

    سياسة المصادقة 1نهج المصادقة

    قم بتعيين اسم لنهج المصادقة. يتم إستخدام المصادقة الداخلية في هذا المثال.

    انقر فوق أيقونة + في عمود الشروط لنهج المصادقة الجديد هذا.

    يتم إستخدام الشرط Wired Dot1x الذي تم تكوينه مسبقا.

    أخيرا، في عمود إستخدام حدد المستخدمين الداخليين.

    سياسة المصادقة 2نهج المصادقة

    نهج التخويل.

    يقع قسم نهج التخويل في أسفل الصفحة. قم بتمديده وانقر فوق أيقونة +.

    نهج التخويل 1سياسة التخويل

    قم بتسمية نهج التخويل الذي تم إنشاؤه مؤخرا. في مثال التكوين هذا، يتم إستخدام اسم مستخدمي ISE الداخليين.

    لإنشاء شرط لنهج التخويل هذا، انقر فوق أيقونة + في العمود شروط.

    يتم إستخدام المجموعة IseUsers.

    انقر فوق قسم السمة.

    حدد أيقونة IdentityGroup.

    من القاموس حدد قاموس InternalUser الذي يأتي مع سمة IdentityGroup.

    إنشاء الشرطإنشاء الشرط

    حدد المشغل يساوي.

    من مجموعات هوية المستخدم، حدد IseUsers للمجموعة.

    إنشاء الشرطإنشاء الشرط

    طقطقة إستعمال.

    إضافة ملف تعريف تخويل النتيجة.

    يتم إستخدام تصريح الوصول إلى ملف التعريف الذي تم تكوينه مسبقا.

    note-icon

    ملاحظة: الرجاء ملاحظة أن عمليات المصادقة الواردة إلى ISE التي تصل إلى مجموعة نهج Dot1x السلكية هذه التي لا تشكل جزءا من ISEUsers لمجموعة هوية المستخدمين، تصل إلى نهج التخويل الافتراضي، والذي ينتج عنه DenyAccess.

    نهج التخويل 2سياسة التخويل

    انقر فوق حفظ.

    التحقق من الصحة

    يطلب العميل الآمن فور انتهاء التكوين بيانات الاعتماد، ويحدد إستخدام ملف تعريف PEAP MSCHAPv2.

    يتم إدخال بيانات الاعتماد التي تم إنشاؤها مسبقا.

    Secure Client NAMSecure Client NAM

    إذا تمت مصادقة نقطة النهاية بشكل صحيح،. تظهر NAM أنها متصلة.

    Secure Client NAMSecure Client NAM

    بالنقر فوق رمز المعلومات والتنقل إلى قسم محفوظات الرسائل، يتم عرض تفاصيل كل خطوة قامت بها NAM.

    تأمين محفوظات رسائل العميلتأمين محفوظات رسائل العميل

    تأمين محفوظات رسائل العميلتأمين محفوظات رسائل العميل

    من ISE انتقل إلى العمليات > Radius LiveLog للاطلاع على تفاصيل المصادقة. كما هو موضح في الصورة التالية، يتم عرض اسم المستخدم الذي تم إستخدامه.

    تفاصيل أخرى مثل:

    • الطابع الزمني.
    • عنوان MAC.
    • مجموعة النهج المستخدمة.
    • نهج المصادقة.
    • نهج التخويل.
    • معلومات أخرى ذات صلة.

    سجلات ISE RADIUS Liveسجلات ISE RADIUS Live

    ونظرا لأنك ترى أنها تحقق السياسات الصحيحة، والنتيجة هي حالة مصادقة ناجحة، فإنها تستنتج أن التكوين صحيح.

    استكشاف الأخطاء وإصلاحها

    المشكلة: لا يستخدم العميل الآمن ملف تعريف NAM.

    إذا لم تستخدم NAM التوصيف الجديد الذي تم إنشاؤه في محرر ملف التعريف، فاستخدم خيار إصلاح الشبكة لعميل آمن.

    يمكنك العثور على هذا الخيار من خلال التنقل إلى شريط Windows > النقر فوق رمز Circumflex > النقر بزر الماوس الأيمن فوق رمز "العميل الآمن" > انقر فوق "إصلاح الشبكة".

    قسم إصلاح الشبكةقسم إصلاح الشبكة

    المشكلة 2: يلزم جمع السجلات لمزيد من التحليل.

    1. تمكين تسجيل NAM الموسع

    افتح NAM، وانقر أيقونة التروس.

    واجهة NAMواجهة NAM

    انتقل إلى علامة التبويب إعدادات السجل. حدد خانة الاختيار تمكين التسجيل الموسع.

    قم بتعيين حجم ملف التقاط الحزمة على 100 ميجابت.

    إعدادات سجل NAM الآمن للعميلإعدادات سجل NAM الآمن للعميل

    2 - إعادة طرح المسألة.

    بمجرد تمكين التسجيل الموسع، يتم إعادة إنتاج المشكلة عدة مرات لضمان إنشاء السجلات وقبض حركة المرور.

    3. تجميع حزمة DART الخاصة بالعميل الآمن.

    من Windows، انتقل إلى شريط البحث والنوع، أداة Cisco Secure Client Diagnostics and Reporting Tool.

    وحدة DARTوحدة DART

    أثناء عملية التثبيت، قمت أيضا بتثبيت هذه الوحدة النمطية. وهو أداة تساعد أثناء عملية أستكشاف الأخطاء وإصلاحها من خلال تجميع السجلات ومعلومات جلسة dot1x ذات الصلة.

    طقطقت بعد ذلك في أول نافذة.

    وحدة DARTوحدة DART

    انقر مرة أخرى فوق التالي، لذلك يمكن حفظ حزمة السجل على سطح المكتب.

    وحدة DARTوحدة DART

    إن أمكن فحصت ال checkbox enable حزمة تشفير.

    وحدة DARTوحدة DART

    تبدأ مجموعة سجلات DART.

    مجموعة سجل DARTمجموعة سجل DART

    قد يستغرق الأمر 10 دقائق أو أكثر حتى تنتهي العملية.

    نتيجة إنشاء حزمة DARTنتيجة إنشاء حزمة DART

    يمكن العثور على ملف نتائج DART في دليل سطح المكتب.

    ملف نتائج DARTملف نتائج DART

    معلومات ذات صلة

    محفوظات المراجعة

    المراجعة تاريخ النشر التعليقات
    1.0
    29-Apr-2024
    الإصدار الأولي
    TAC Authored

    تمت المساهمة بواسطة مهندسو Cisco

    • ديفيد ألبانيل دي كاستيلا
      مهندس الاستشارات التقنية الأمنية من Cisco

    هل كان هذا المستند مفيدًا؟

    Feedbackالتعليقات

    اتصل بنا

    ينطبق هذا المستند على هذه المنتجات