التمييز بين أنواع المصادقة على أنظمة ASA الأساسية لاتخاذ قرارات السياسة على ISE

المقدمة

يصف هذا المستند كيفية تكوين محرك خدمات الهوية من Cisco (ISE) لاستخدام سمة VSA الخاصة ببائع RADIUS من نوع العميل (VSA) للتمييز بين أنواع متعددة من المصادقة المستخدمة على جهاز الأمان القابل للتكيف (ASA) من Cisco. غالبا ما تتطلب المؤسسات قرارات تتعلق بالسياسات استنادا إلى الطريقة التي تتم بها مصادقة المستخدم على ASA. وهذا يتيح لك أيضا تطبيق السياسة على إتصالات الإدارة المستلمة على ASA، والتي تتيح لنا إستخدام RADIUS بدلا من TACACS+، عندما يكون ذلك حكيما.

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

• مصادقة ISE والتخويل.

• طرق مصادقة ASA وتكوين RADIUS.

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

• جهاز Cisco Adaptive Security Appliance، الإصدار 8.4.3.

• محرك خدمات تعريف Cisco الإصدار 1.1.

الاصطلاحات

راجع اصطلاحات تلميحات Cisco التقنية للحصول على مزيد من المعلومات حول اصطلاحات المستندات.

سمة نوع العميل ل RADIUS VSA 3076/150

تمت إضافة السمة نوع العميل في الإصدار 8.4.3 من ASA، والذي يسمح ل ASA بإرسال نوع العميل الذي يصدق على ISE في حزم طلب الوصول (و accounting-request)، ويسمح ل ISE باتخاذ قرارات السياسة استنادا إلى هذه السمة. لا تتطلب هذه السمة أي تكوين على ASA، ويتم إرسالها تلقائيا.

تم تعريف السمة Client-Type حاليا مع قيم العدد الصحيح التالية:

1. عميل Cisco VPN (إصدار تبادل مفتاح الإنترنت (IKEv1)

2. AnyConnect Client SSL VPN

3. ClientWithout SSL VPN

4. بروكسي قطع

5. L2TP/IPsec SSL VPN

6. AnyConnect Client IPsec VPN (IKEv2)

التكوين

في هذا القسم، يتم توفير المعلومات التي تحتاج إليها لتكوين ISE لاستخدام سمة نوع العميل الموضحة في هذا المستند.

الخطوة 1

إنشاء السمة المخصصة

لإضافة قيم سمة نوع العميل إلى ISE، قم بإنشاء السمة وتعميم قيمها كقاموس مخصص.

1. على ISE، انتقل إلى السياسة > عناصر السياسة > القواميس > النظام.

2. ضمن قواميس النظام، انتقل إلى RADIUS > بائعي RADIUS>Cisco-VPN3000.

3. يجب أن يكون معرف المورد على الشاشة هو 3076. انقر على صفحة خصائص القاموس.

   1. انقر فوق إضافة (راجع الشكل 1).

      شكل 1: خصائص القاموس

      

   2. ملء الحقول الموجودة في نموذج سمة مورد RADIUS المخصص كما هو موضح في الشكل 2.

      شكل 2: سمة مورد RADIUS

      

   3. انقر فوق زر حفظ في أسفل الشاشة.

الخطوة 2

إضافة سمة نوع العميل

لاستخدام السمة الجديدة لقرارات النهج، قم بإضافة السمة إلى قاعدة تخويل في قسم الشروط.

1. في ISE، انتقل إلى السياسة > التفويض.

2. إنشاء قاعدة جديدة أو تعديل سياسة موجودة.

3. في قسم الشروط من القاعدة، قم بتوسيع جزء الشروط وحدد إما إنشاء شرط جديد (لقاعدة جديدة) أو إضافة سمة/قيمة (لقاعدة موجودة مسبقا).

4. في حقل تحديد سمة، انتقل إلى Cisco-VPN3000 > Cisco-VPN3000:CVPN3000/ASA/PIX7x-client-type.

5. أختر المشغل المناسب (يساوي أو لا يساوي) لبيئتك.

6. أختر نوع المصادقة الذي تريد مطابقته.

7. قم بتعيين نتيجة تخويل مناسبة للنهج الخاص بك.

8. طقطقة تم.

9. طقطقة حفظ.

بعد إنشاء القاعدة، يجب أن يبدو شرط التخويل مماثلا للمثال الموجود في الشكل 3.

التحقق من الصحة

للتحقق من أن السمة Client-Type قيد الاستخدام، قم بفحص المصادقة من ASA في ISE.

1. انتقل إلى العمليات > المصادقة

2. طقطقت التفاصيل زر للمصادقة من ال ASA.

3. قم بالتمرير إلى سمات أخرى وابحث عن CVPN3000/ASA/PIX7x-client-type= (راجع الشكل 4)

   الشكل 4: تفاصيل السمات الأخرى

   

4. يجب أن يشير حقل السمات الأخرى إلى القيمة المستلمة للمصادقة. يجب أن تتطابق القاعدة مع السياسة المحددة في الخطوة 2 من قسم التكوين.

معلومات ذات صلة

• محرك خدمات الهوية من Cisco
• أجهزة الأمان المعدلة Cisco 5500 Series جدران الحماية من الجيل التالي
• الدعم التقني والمستندات - Cisco Systems