نظام التشغيل Firepower Xsible Operating System (المعروف إختصارا باسم FXOS) 2.2: مصادقة/تفويض الهيكل للإدارة عن بعد باستخدام RADIUS

المقدمة

يوضح هذا المستند كيفية تكوين مصادقة RADIUS والتخويل لهيكل نظام التشغيل القابل للتشغيل (FXOS) عبر محرك خدمات الهوية (ISE).

يتضمن هيكل FXOS أدوار المستخدم التالية:

• المسؤول - وصول كامل للقراءة والكتابة إلى النظام بالكامل. يتم تعيين هذا الدور بشكل افتراضي لحساب المسؤول الافتراضي ولا يمكن تغييره.
• للقراءة فقط - وصول للقراءة فقط إلى تكوين النظام بدون امتيازات لتعديل حالة النظام.
• العمليات - الوصول للقراءة والكتابة إلى تكوين NTP، والتكوين الذكي ل Call Home للترخيص الذكي، وسجلات النظام، بما في ذلك خوادم syslog والأعطال. قراءة الوصول إلى باقي النظام.
• الوصول إلى المصادقة والتفويض والمحاسبة (AAA) - وصول للقراءة والكتابة إلى المستخدمين والأدوار وتكوين المصادقة والتفويض والمحاسبة (AAA). قراءة الوصول إلى باقي النظام.

يمكن ملاحظة ذلك عبر واجهة سطر الأوامر (CLI) على النحو التالي:

دور العرض FPR4120-TAC-A /security* #

الدور:        

    اسم الدور Priv

    — —

    aaa aaa

    مسؤول

    عمليات العمليات

    للقراءة فقط

تمت المساهمة من قبل توني ريميريز، خوسيه سوتو، مهندسي TAC من Cisco.

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

• معرفة نظام التشغيل Firepower Xsible (FXOS)
• معرفة تكوين ISE

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

• جهاز الأمان Cisco Firepower 4120، الإصدار 2.2
• Virtual Cisco Identity Services Engine 2.2.0.470

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك مباشرة، فتأكد من فهمك للتأثير المحتمل لأي أمر. 

التكوين

الهدف من التكوين هو:

• مصادقة المستخدمين الذين يقومون بتسجيل الدخول إلى واجهة المستخدم الرسومية (GUI) المستندة إلى الويب و SSH باستخدام ISE
• السماح للمستخدمين بتسجيل الدخول إلى واجهة المستخدم الرسومية (GUI) المستندة إلى الويب و SSH القائمة على FXOS وفقا لدور المستخدم الخاص بهم من خلال ISE.
• التحقق من التشغيل السليم للمصادقة والتفويض على FXOS باستخدام ISE

الرسم التخطيطي للشبكة

التكوينات

تهيئة هيكل FXOS

إنشاء موفر RADIUS باستخدام Chassis Manager

الخطوة 1. انتقل إلى إعدادات النظام الأساسي > AAA.

الخطوة 2. انقر فوق علامة التبويب RADIUS.

الخطوة 3. لكل موفر RADIUS تريد إضافته (حتى 16 موفرا).

            3.1. في منطقة موفري RADIUS، انقر فوق إضافة.

            3.2. بمجرد فتح شاشة إضافة مزود RADIUS، قم بإدخال القيم المطلوبة.

            3.3. انقر فوق موافق لإغلاق مربع الحوار إضافة موفر RADIUS.

الخطوة 4. انقر فوق حفظ.

الخطوة 5. انتقل إلى النظام > إدارة المستخدم > إعدادات.

الخطوة 6. تحت المصادقة الافتراضية أختر RADIUS.

إنشاء موفر RADIUS باستخدام CLI (واجهة سطر الأوامر)

الخطوة 1. لتمكين مصادقة RADIUS، قم بتشغيل الأوامر التالية.

أمان النطاق FPR4120-TAC-A#

FPR4120-TAC-A /security # scope default-auth

FPR4120-TAC-A /security/default-auth # set مجال

الخطوة 2. أستخدم الأمر show detail لعرض النتائج.

تفاصيل العرض FPR4120-TAC-A /security/default-auth #

المصادقة الافتراضية:

    مجال الإدارة: RADIUS

    النطاق التشغيلي: RADIUS

    فترة تحديث جلسة ويب (بالثواني): 600

    مهلة جلسة العمل (بالثواني) للويب و ssh و telnet جلسات: 600

    مهلة جلسة العمل المطلقة (بالثواني) للويب و SSH و telnet جلسات: 3600

    مهلة جلسة عمل وحدة التحكم التسلسلية (بالثواني): 600

    مهلة الجلسة المطلقة لوحدة التحكم التسلسلية (بالثواني): 3600

    مجموعة خوادم مصادقة المسؤول:

    مجموعة خوادم المصادقة التشغيلية:

    إستخدام العامل الثاني: لا

الخطوة 3. لتكوين معلمات خادم RADIUS، قم بتشغيل الأوامر التالية.

أمان النطاق FPR4120-TAC-A#

FPR4120-TAC-A /security # radius

يدخل FPR4120-TAC-A /security/radius # الخادم 10.88.244.50

FPR4120-TAC-A /security/radius/server # مجموعة DESCR "ISE Server"

FPR4120-TAC-A /security/radius/server* # مفتاح المجموعة

أدخل المفتاح: *****

تأكيد المفتاح: *****

الخطوة 4. أستخدم الأمر show detail لعرض النتائج.

FPR4120-TAC-A /security/radius/server* # تفاصيل العرض

خادم RADIUS:

    اسم المضيف أو FQDN أو عنوان IP: 10.88.244.50

    إدارة الحقوق:

    الطلب: 1

    منفذ المصادقة: 1812

    المفتاح: ***

    المهلة: 5

تكوين خادم ISE

إضافة FXOS كمورد شبكة

الخطوة 1. انتقل إلى إدارة > موارد الشبكة > أجهزة الشبكة.

الخطوة 2. طقطقة يضيف

الخطوة 3. أدخل القيم المطلوبة (الاسم وعنوان IP ونوع الجهاز وتمكين RADIUS وإضافة المفتاح)، انقر فوق إرسال.

إنشاء مجموعات الهوية والمستخدمين

الخطوة 1. انتقل إلى إدارة > إدارة الهوية > مجموعات > مجموعات هوية المستخدم.

الخطوة 2. انقر فوق إضافة (Add).

الخطوة 3. أدخل قيمة الاسم وانقر فوق إرسال.

الخطوة 4. كرر الخطوة 3 لجميع أدوار المستخدم المطلوبة.

الخطوة 5. انتقل إلى إدارة > إدارة الهوية > هوية > مستخدمون.

الخطوة 6. انقر فوق إضافة (Add).

الخطوة 7. أدخل القيم المطلوبة (الاسم ومجموعة المستخدمين وكلمة المرور).

الخطوة 8. كرر الخطوة 6 لجميع المستخدمين المطلوبين.

إنشاء ملف تعريف التخويل لكل دور مستخدم

الخطوة 1. انتقل إلى السياسة > عناصر السياسة > النتائج > التفويض > ملفات تخصيص التفويض.

الخطوة 2. قم بتعبئة كل السمات لملف تعريف التخويل.

        2.1. قم بتكوين اسم ملف التعريف.

        2.2. في إعدادات السمات المتقدمة، قم بتكوين زوج Cisco-AV التالي

cisco-av-pair=shell:roles="admin"

        2.3. انقر فوق حفظ.

الخطوة 3. كرر الخطوة 2 لأدوار المستخدم المتبقية باستخدام أزواج Cisco-AV التالية

cisco-av-pair=shell:roles="aaa"

cisco-av-pair=shell:roles="operations"

cisco-av-pair=shell:roles="read-only"

إنشاء سياسة المصادقة

الخطوة 1. انتقل إلى سياسة > مصادقة > وانقر فوق السهم المجاور للتحرير حيث تريد إنشاء القاعدة.

الخطوة 2. الإعداد بسيط، ويمكن تنفيذه بدقة أكبر، ولكن لهذا المثال سنستخدم نوع الجهاز:

الاسم: قاعدة مصادقة FXOS

إذا حددت سمة/قيمة جديدة: الجهاز:نوع الجهاز يساوي جميع أنواع الأجهزة #FXOS

السماح بالبروتوكولات: الوصول الافتراضي إلى الشبكة

الاستخدام: المستخدمون الداخليون

إنشاء نهج التخويل

الخطوة 1. انتقل إلى نهج > تخويل > وانقر فوق شبكة الأسهم لتحرير المكان الذي تريد إنشاء القاعدة فيه.

الخطوة 2. أدخل قيم قاعدة التخويل مع المعلمات المطلوبة.

        2.1. اسم القاعدة: قاعدة <USER ROLE> fxos.

        2.2. إذا: مجموعات هوية المستخدم > تحديد <دور المستخدم>.

        2.3. و: إنشاء شرط جديد > الجهاز:نوع الجهاز يساوي جميع أنواع الأجهزة #FXOS.

        2.4. الأذونات: قياسي > إختيار ملف تعريف دور المستخدم

الخطوة 3. كرر الخطوة 2 لجميع أدوار المستخدمين.

الخطوة 4. انقر فوق حفظ في الجزء السفلي من الصفحة.

التحقق من الصحة

يمكنك الآن إختبار كل مستخدم والتحقق من دور المستخدم المعين.

التحقق من هيكل FXOS

1. Telnet أو SSH إلى هيكل FXOS وتسجيل الدخول باستخدام أي من المستخدمين الذين تم إنشاؤها على ISE.

اسم المستخدم: fxosadmin

كلمة المرور:

أمان النطاق FPR4120-TAC-A# أمان النطاق

FPR4120-TAC-A /security # إظهار تفاصيل المستخدم عن بعد

المستخدم البعيد fxosaaa:

    الوصف:

    أدوار المستخدم:

        الاسم: AAA

        الاسم: للقراءة فقط

المستخدم البعيد fxOsadmin:

    الوصف:

    أدوار المستخدم:

        الاسم: المسؤول

        الاسم: للقراءة فقط

المستخدم البعيد fxosoper:

    الوصف:

    أدوار المستخدم:

        الاسم: العمليات

        الاسم: للقراءة فقط

المستخدم البعيد fxosro:

    الوصف:

    أدوار المستخدم:

        الاسم: للقراءة فقط

حسب اسم المستخدم الذي تم إدخاله، لن تعرض واجهة سطر الأوامر (CLI) الخاصة بهيكل FXOS إلا الأوامر المصرح بها لدور المستخدم المعين.

دور مستخدم المسؤول.

FPR4120-TAC-A /security # ؟

  نصرح

  مسح جلسات المستخدم لجلسات عمل المستخدم

  إنشاء كائنات تتم إدارتها

  حذف حذف كائنات مدارة

  تعطيل الخدمات

  تمكين الخدمات

  إدخال كائن مدار

  النطاق يغير الوضع الحالي

  تعيين قيم الخاصية

  إظهار معلومات النظام

  إنهاء جلسات عمل CIMC النشطة

FPR4120-TAC-A#connect fxos

FPR4120-TAC-A (fxos)# debug aaa-requests

fpr4120-TAC-A (fxos)#

دور مستخدم للقراءة فقط.

FPR4120-TAC-A /security # ؟

  النطاق يغير الوضع الحالي

  تعيين قيم الخاصية

  إظهار معلومات النظام

FPR4120-TAC-A#connect fxos

FPR4120-TAC-A (fxos)# debug aaa-requests

٪ الإذن المرفوض للدور

2. تصفح إلى عنوان IP الخاص بهيكل FXOS ودخول باستخدام أي من المستخدمين الذين تم إنشاؤها على ISE.

دور مستخدم المسؤول.

دور مستخدم للقراءة فقط.

ملاحظة: لاحظ أن الزر ADD مصقول. 

التحقق من ISE 2.0

1. انتقل إلى العمليات > RADIUS > السجلات المباشرة. يجب أن تكون قادرا على رؤية المحاولات الناجحة والفاشلة.

استكشاف الأخطاء وإصلاحها

من أجل تصحيح أخطاء مصادقة AAA والتفويض عنها، قم بتشغيل الأوامر التالية في واجهة سطر الأوامر (CLI) ل FXOS.

FPR4120-TAC-A#connect fxos

FPR4120-TAC-A (fxos)# debug aaa-requests

الحدث FPR4120-TAC-A (fxos)#debug aaa

أخطاء تصحيح الأخطاء FPR4120-TAC-A (fxos)#

FPR4120-TAC-A (fxos)# term mon

بعد محاولة المصادقة الناجحة، سترى الإخراج التالي.

2018 يناير 20 17:18:02.410275 aaa: aaa_req_process للمصادقة، الجلسة رقم 0

2018 يناير 20:17:18:02.410297 aaa: aaa_req_process: طلب AAA عام من التطبيق: تسجيل الدخول إلى التطبيق_subtype: الافتراضي

2018 يناير 20:17:18:02.410310 aaa: try_next_aaa_method

2018 يناير 20 17:18:02.410330 aaa: إجمالي الطرق التي تم تكوينها هو 1، الفهرس الحالي الذي يجب تجربته هو 0

2018 يناير 20 17:18:02.410344aaa: handle_req_using_method

2018 يناير 20 17:18:02.410356 aaa: aaa_method_server_group

2018 يناير 20:17:18:02.410367 aaa: aaa_sg_method_handler group = radius

2018 يناير 20 17:18:02.410379 aaa: إستخدام sg_protocol الذي تم تمريره إلى هذه الدالة

2018 يناير 20 17:18:02.410393 aaa: إرسال الطلب إلى خدمة RADIUS

2018 يناير 20: 17:18:02.412944 aaa: mts_send_msg_to_prot_daemon: طول الحمولة = 374

2018 كانون الثاني/يناير 20: 17:18:02.412973 aaa: الجلسة: 0x8dfd68c مضافة إلى جدول الجلسة 1

2018 يناير 20:17:18:02.412987 aaa: تم تكوين مجموعة الطرق بنجاح

2018 يناير 20 17:18:02.656425 aaa: aaa_process_fd_set

2018 يناير 20:17:18:02.656447 aaa: aaa_process_fd_set: mtscallback على aaa_q

2018 يناير 20:17:18:02.656470 aaa: mts_message_response_handler: إستجابة MTS

2018 يناير 20 17:18:02.656483 aaa: prot_daemon_reponse_handler

2018 يناير 20: 17:18:02.656497 aaa: جلسة: 0x8dfd68c تمت إزالتها من جدول جلسة العمل 0

2018 يناير 20:17:18:02.656512 aaa: is_aaa_resp_status_success status = 1

2018 يناير 20 17:18:02.656525 aaa: is_aaa_resp_status_success true

2018 يناير 20 17:18:02.656538 aaa: aaa_send_client_response للمصادقة. session->العلامات=21. aaa_resp->العلامات=0.

2018 يناير 20:17:18:02.656550 aaa: aaa_req_flag_normal 

2018 يناير 20:17:18:02.656577 aaa: mts_send_response ناجح

2018 يناير 20:17:18:02.700520 aaa: aaa_process_fd_set: تصحيح الأخطاء على aaa_accounting_q

2018 يناير 20 17:18:02.700688 aaa: كود التشغيل القديم: accounting_interim_update

2018 يناير 20:17:18:02.700702 aaa: aaa_create_local_acct_req: user=، session_id=، log=added user fxosro 

2018 يناير 20 17:18:02.700725 aaa: aaa_req_process للمحاسبة، الجلسة رقم 0

2018 يناير 20:17:18:02.700738 aaa: مرجع طلب MTS هو NULL. طلب محلي

2018 يناير 20 17:18:02.700749 aaa: إعداد AAA_REQ_RESPONSE_NOT_NEEDED

2018 يناير 20:17:18:02.700762 aaa: aaa_req_process: طلب AAA عام من التطبيق: الافتراضي apple_subtype: الافتراضي

2018 يناير 20 17:18:02.700774 aaa: try_next_aaa_method

2018 يناير 20 17:18:02.700798 aaa: لا توجد طرق تم تكوينها للإعدادات الافتراضية

2018 يناير 20:17:18:02.700810 aaa: لا يتوفر تكوين لهذا الطلب

2018 يناير 20 17:18:02.700997 aaa: aaa_send_client_response for accounting. session->flags=254. aaa_resp->flags=0.

2018 يناير 20 17:18:02.701010 aaa: سيتم إرسال الرد على طلب المحاسبة الخاص بالمكتبة القديمة بنجاح

2018 يناير 20 17:18:02.701021 aaa: الاستجابة غير ضرورية لهذا الطلب

2018 يناير 20 17:18:02.701033 aaa: aaa_req_flag_local_resp 

2018 يناير 20 17:18:02.701044 aaa: aaa_cleanup_session

2018 يناير 20:17:18:02.701055 aaa: يجب تحرير aaa_req. 

2018 يناير 20:17:18:02.701067 aaa: نجح أسلوب التراجع المحلي

2018 يناير 20 17:18:02.706922 aaa: aaa_process_fd_set

2018 يناير 20:17:18:02.706937 aaa: aaa_process_fd_set: mtscallback على aaa_accounting_q

2018 يناير 20 17:18:02.706959 aaa: الرمز التشغيلي القديم: accounting_interim_update

2018 يناير 20:17:18:02.706972 aaa: aaa_create_local_acct_req: user=، session_id=، log=added user:fxosro to role:read-only 

بعد محاولة مصادقة فاشلة، سترى الإخراج التالي.

2018 يناير 20 17:15:18.102130 aaa: aaa_process_fd_set

2018 يناير 20:17:15:18.102149 aaa: aaa_process_fd_set: mtscallback على aaa_q

2018 يناير 20 17:15:18.102267 aaa: aaa_process_fd_set

2018 يناير 20:17:15:18.102281 aaa: aaa_process_fd_set: mtscallback على aaa_q

2018 يناير 20 17:15:18.102363 aaa: aaa_process_fd_set

2018 يناير 20:17:15:18.102377 aaa: aaa_process_fd_set: mtscallback على aaa_q

2018 يناير 20 17:15:18.102456 aaa: aaa_process_fd_set

2018 يناير 20:17:15:18.102468 aaa: aaa_process_fd_set: mtscallback على aaa_q

2018 يناير 20 17:15:18.102489 aaa: mts_aaa_req_process

2018 يناير 20 17:15:18.102503 aaa: aaa_req_process للمصادقة، الجلسة رقم 0

2018 يناير 20: 17:15:18.102526 aaa: aaa_req_process: طلب AAA عام من التطبيق: تسجيل الدخول إلى التطبيق_subtype: الافتراضي

2018 يناير 20 17:15:18.102540 aaa: try_next_aaa_method

2018 يناير 20 17:15:18.102562 aaa: إجمالي الطرق التي تم تكوينها هو 1، الفهرس الحالي الذي يجب تجربته هو 0

2018 يناير 20 17:15:18.102575 aaa: handle_req_using_method

2018 يناير 20 17:15:18.102586 aaa: aaa_method_server_group

2018 يناير 20 17:15:18.102598 aaa: aaa_sg_method_handler group = radius

2018 يناير 20 17:15:18.102610 aaa: إستخدام sg_protocol الذي تم تمريره إلى هذه الدالة

2018 يناير 20 17:15:18.102625 aaa: إرسال الطلب إلى خدمة RADIUS

2018 يناير 20: 17:15:18.102658 aaa: mts_send_msg_to_prot_daemon: طول الحمولة = 371

2018 كانون الثاني/يناير 20: 17:15:18.102684 aaa: الجلسة: 0x8dfd68c مضافة إلى جدول الجلسة 1

2018 يناير 20:17:15:18.102698 aaa: تم تكوين مجموعة الطرق بنجاح

2018 يناير 20 17:15:18.273682 aaa: aaa_process_fd_set

2018 يناير 20 17:15:18.273724 aaa: aaa_process_fd_set: mtscallback على aaa_q

2018 يناير 20 17:15:18.273753 aaa: mts_message_response_handler: إستجابة MTS

2018 يناير 20 17:15:18.273768 aaa: prot_daemon_reponse_handler

2018 يناير 20 تمت إزالة 17:15:18.273783 aaa: الجلسة: 0x8dfd68c من جدول الجلسة 0

2018 يناير 20:17:15:18.273801 aaa: is_aaa_resp_status_success status = 2

2018 يناير 20 17:15:18.273815 aaa: is_aaa_resp_status_success true

2018 يناير 20 17:15:18.273829 aaa: aaa_send_client_response للمصادقة. session->العلامات=21. aaa_resp->العلامات=0.

2018 يناير 20 17:15:18.273843 aaa: aaa_req_flag_normal 

2018 يناير 20:17:15:18.273877 aaa: mts_send_response ناجح

2018 يناير 20 17:15:18.273902 aaa: aaa_cleanup_session

2018 يناير 20:17:15:18.273916 aaa: mts_drop من الطلب msg

2018 يناير 20:17:15:18.273935 aaa: يجب تحرير aaa_req. 

2018 يناير 20 17:15:18.280416 aaa: aaa_process_fd_set

2018 يناير 20:17:15:18.280443 aaa: aaa_process_fd_set: mtscallback على aaa_q

2018 يناير 20:17:15:18.280454 aaa: aaa_enable_info_config: GET_REQ لرسالة خطأ تسجيل الدخول إلى المصادقة والتفويض والمحاسبة (AAA)

2018 يناير 20 17:15:18.280460 aaa: إستعادة قيمة الإرجاع لعملية التكوين:عنصر أمان غير معروف

معلومات ذات صلة

سيطالب أمر ethanalyzer على FX-OS CLI بكلمة مرور عند تمكين مصادقة TACACS/RADIUS. يحدث هذا السلوك بسبب خطأ.

معرف الخطأ: CSCvg87518