تكوين ISE كمصادقة خارجية لواجهة المستخدم الرسومية Catalyst SD-WAN

المقدمة

يصف هذا المستند كيفية تكوين محرك خدمات تعريف Cisco (ISE) كمصادقة خارجية لإدارة GUI ل Cisco Catalyst SD-WAN.

المتطلبات الأساسية

المتطلبات

cisco يوصي أن يتلقى أنت معرفة من هذا موضوع:

• بروتوكول TACACS+
• إدارة جهاز Cisco ISE
• إدارة Cisco Catalyst SD-WAN
• تقييم سياسة Cisco ISE

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

• Cisco Identity Services Engine (ISE)، الإصدار 3.4 Patch2
• Cisco Catalyst SD-WAN، الإصدار 20.15.3

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

قبل البدء

بدءا من الإصدار 20.9.1 من Cisco vManage، يتم إستخدام علامات جديدة في المصادقة:

• مجموعة مستخدمي Viptela: لتعريفات مجموعة المستخدمين بدلا من viptela-group-name.
• مجموعة الموارد الظاهرية: لتعريفات مجموعة الموارد.

التكوين - إستخدام TACACS+

تكوين Catalyst SD-WAN باستخدام TACACS+

الإجراء 

الخطوة 1. (إختياري) حدد الأدوار المخصصة.

قم بتكوين الأدوار المخصصة التي تفي بمتطلباتك، بدلا من ذلك، يمكنك إستخدام أدوار المستخدم الافتراضية. يمكن القيام بذلك من علامة التبويب Catalyst SD-WAN: الإدارة > المستخدمون والوصول > الأدوار.

إنشاء دورين مخصصين:

1. دور المسؤول: مسؤول كبير
2. دور للقراءة فقط: للقراءة فقط

يمكن القيام بذلك من علامة التبويب Catalyst SD-WAN: إدارة > مستخدمون والوصول > أدوار > انقر > إضافة دور.

دور المسؤول (المسؤول المتميز)دور للقراءة فقط (للقراءة فقط)

الخطوة 2. تكوين المصادقة الخارجية باستخدام TACACS+ (CLI).

واجهة سطر الأوامر (CLI) عبر برنامج vManager - تكوين TACACS+

تكوين ISE ل TACACS+

الخطوة 1. قم بتمكين خدمة إدارة الجهاز.
يمكن القيام بذلك من إدارة علامات التبويب > النظام > النشر >تحرير (ISE PSN Node)>التحقق من تمكين خدمة إدارة الأجهزة.

تمكين خدمة إدارة الجهاز

الخطوة 2. إضافة Catalyst SD-WAN كجهاز شبكة على ISE.

يمكن القيام بذلك من إدارة علامة التبويب > موارد الشبكة > أجهزة الشبكة.

الإجراء

أ. قم بتعريف (Catalyst SD-WAN) اسم جهاز الشبكة وIP.
ب. (إختياري) تصنيف نوع الجهاز لشرط مجموعة النهج.
ج. تمكين إعدادات مصادقة TACACS+.
د. تعيين سر TACACS+ المشترك.

جهاز شبكة ISE (Catalyst SD-WAN) ل TACACS+

الخطوة 3. إنشاء ملف تعريف TACACS+ لكل دور Catalyst SD-WAN.

إنشاء توصيفات TACACS+:

1. catalyst_sdwan_admin: لمستخدمي Super Admin.
2. Catalyst_SDWAN_ReadOnly: لمستخدمي القراءة فقط.

يمكن القيام بذلك من علامة التبويب مراكز العمل > إدارة الجهاز > عناصر السياسة > النتائج > ملفات تعريف TACACS > إضافة.

ملف تعريف TACACS+ - (Catalyst_SDWAN_Admin)ملف تعريف TACACS+ - (Catalyst_SDWAN_ReadOnly)

الخطوة 4. إنشاء مجموعة مستخدمين إضافة مستخدمين محليين كعضو.

يمكن القيام بذلك من علامة التبويب مراكز العمل > إدارة الجهاز > مجموعات هوية المستخدم.

إنشاء مجموعتين لهوية المستخدم:

1. Super_Admin_Group
2. ReadOnly_Group

مجموعة هوية المستخدم - (super_admin_group)مجموعة هوية المستخدم - (ReadOnly_Group)

الخطوة 5. (إختياري) أضف مجموعة نهج TACACS+.

يمكن القيام بذلك من نقاط التبويب Work Center (مراكز العمل) > إدارة الأجهزة > مجموعات نهج إدارة الأجهزة.

الإجراء

أ. انقر فوق عمليات واختر (إدراج صف جديد أعلاه).

ب. قم بتحديد اسم مجموعة السياسات.

ج. قم بتعيين شرط مجموعة السياسات لتحديد نوع الجهاز الذي قمت بإنشائه مسبقا في (الخطوة 2 > b).

د. قم بتعيين البروتوكولات المسموح بها.

هـ. انقر فوق حفظ.

و. انقر فوق (>) طريقة عرض مجموعة السياسات لتكوين قواعد المصادقة والتفويض.

مجموعة سياسات ISE

الخطوة 6. تكوين سياسة مصادقة TACACS+.

يمكن القيام بذلك من علامة التبويب مراكز العمل > إدارة الجهاز > مجموعات سياسات إدارة الأجهزة > انقر فوق (>).

الإجراء

أ. انقر فوق عمليات واختر (إدراج صف جديد أعلاه).

ب. قم بتحديد اسم نهج المصادقة.

ج. قم بتعيين شرط سياسة المصادقة وحدد نوع الجهاز الذي قمت بإنشائه مسبقا في (الخطوة 2 > b).

د. تعيين إستخدام نهج المصادقة لمصدر الهوية.

هـ. انقر فوق حفظ.

نهج المصادقة

الخطوة 7. تكوين سياسة تفويض TACACS+.

يمكن القيام بذلك من علامة التبويب مراكز العمل > إدارة الجهاز > مجموعات سياسات إدارة الأجهزة > انقر فوق (>).

هذه الخطوة لإنشاء نهج التخويل لكل دور Catalyst SD-WAN:

• Catalyst SD-WAN Authz (super-admin): مسؤول كبير
• Catalyst SD-WAN Authz (للقراءة فقط): للقراءة فقط

الإجراء

أ. انقر فوق عمليات واختر (إدراج صف جديد أعلاه).

ب. قم بتحديد اسم نهج التخويل.

ج. قم بتعيين شرط سياسة التخويل وحدد مجموعة المستخدمين التي قمت بإنشائها في (الخطوة 4).

د. قم بتعيين ملفات تعريف PolicyShell وتحديد ملفات تعريف TACACS التي قمت بإنشائها في (الخطوة 3).

هـ. انقر فوق حفظ.

سياسة التخويل

التحقق من تكوين TACACS+

1- عرض جلسات عمل مستخدم Catalyst SD-WAS Catalyst SD-WAN: الإدارة > المستخدمون والوصول > جلسات المستخدم.

يمكنك عرض قائمة المستخدمين الخارجيين الذين قاموا بتسجيل الدخول عبر RADIUS لأول مرة. وتتضمن المعلومات المعروضة أسماء المستخدمين والأدوار.

جلسات عمل مستخدم Catalyst SD-WAS

2- ISE - عمليات السجلات المباشرة ل TACACS > TACACS > السجلات المباشرة.

السجلات المباشرة

السجلات المباشرة التفصيلية - (للقراءة فقط)السجلات المباشرة التفصيلية - (المسؤول المتميز)

استكشاف الأخطاء وإصلاحها

هناك حاليا ما من معلومات تشخيص محددة يتوفر ل هذا تشكيل.

المراجع

• دليل مسؤول محرك خدمات الهوية من Cisco، الإصدار 3.4
• دليل تكوين الأنظمة والواجهات Cisco Catalyst SD-WAN، Cisco IOS XE Catalyst SD-WAN، الإصدار 17.x