سياسة وصول مبسطة باستخدام ODBC و ISE DB (سمة مخصصة) لشبكة مجموعات كبيرة

المقدمة

يصف هذا المستند النشر الواسع النطاق للمجمعات دون التضحية بميزاته وفرض الأمان عليه. يعمل حل أمان نقطة النهاية من Cisco ومحرك خدمات الهوية (ISE) على معالجة هذا المتطلب مع الدمج مع مصدر هوية خارجي.

بالنسبة للشبكات واسعة النطاق التي تحتوي على أكثر من 50 موقعا جغرافيا و 4000+ بيانات مختلفة للمستخدمين و 600000 نقطة نهاية أو أكثر، يجب النظر إلى حلول IBN التقليدية من منظور مختلف - أكثر من مجرد ميزات، سواء تم تطويرها باستخدام جميع الميزات. يتطلب حل الشبكة القائمة على النية (IBN) في الشبكات التقليدية واسعة النطاق الحالية تركيزا إضافيا على قابلية التطوير وسهولة الإدارة وليس فقط الميزات الخاصة به.

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

• مصادقة Dot1x/MAB
• محرك خدمة الهوية من Cisco (CiscoISE)
• Cisco TrustSec (CTS)

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

• Cisco Identity Services Engine (ISE)، الإصدار 2.6 Patch 2 و Version 3.0
• Windows Active Directory (AD) Server 2008 الإصدار 2
• Microsoft SQL Server 2012

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت الشبكة مباشرة، فتأكد من فهم التأثير المحتمل لأي تكوين.

معلومات أساسية

في حل الشبكة المستندة إلى الهوية (IBN)، تكون العناصر الأساسية هي ملحق ومصادقة وخادم مصادقة (AAA). المطلوب هو عميل على نقطة النهاية يوفر بيانات الاعتماد عند تحديها للوصول إلى الشبكة. المصدق أو NAS (خادم الوصول إلى الشبكة) هو طبقة الوصول، والتي تتضمن محولات الشبكة ووحدات التحكم في الشبكة المحلية اللاسلكية (WLCs) التي تحمل بيانات الاعتماد إلى خادم AAA. يتحقق خادم المصادقة من صحة طلب مصادقة المستخدم مقابل مخزن معرفات ويخول إما بقبول الوصول أو رفض الوصول. يمكن أن يكون مخزن المعرفات داخل خادم AAA أو على خادم خارجي مخصص.

تظهر هذه الصورة العناصر الأساسية ل IBN.

أما RADIUS فهو بروتوكول يستند إلى بروتوكول مخطط بيانات المستخدم (UDP) مع دمج المصادقة والتخويل معا. في حل Cisco BIN لمجمع المؤسسات، تعمل عقدة خدمة سياسة ISE (PSN) بشكل شخصي كخادم AAA الذي يصادق نقاط النهاية مقابل مخزن معرف المؤسسة ويخول استنادا إلى شرط.

في Cisco ISE، يتم تكوين سياسات المصادقة والتفويض لتلبية هذه المتطلبات. تتكون سياسات المصادقة من نوع الوسائط السلكية أو اللاسلكية وبروتوكولات EAP للتحقق من صحة المستخدم. تتألف سياسات التفويض من شروط تحدد المعايير الخاصة بنقاط النهاية المختلفة للمطابقة ونتائج الوصول إلى الشبكة التي يمكن أن تكون شبكة VLAN أو قائمة تحكم في الوصول (ACL) قابلة للتنزيل أو علامة مجموعة آمنة (SGT).  وهذه هي الحد الأقصى من أرقام المقاييس للنهج التي يمكن تكوين ISE بها.

يوضح هذا الجدول مقياس سياسات Cisco ISE.

سمة	رقم المقياس
الحد الأقصى لعدد قواعد المصادقة	1000 (وضع مجموعة السياسات)
الحد الأقصى لعدد قواعد التخويل	3000 (وضع مجموعة النهج) مع 3200 ملفات تعريف AUTHZ

أتجاهات التقنية

لقد أصبحت التجزئة أحد عناصر الأمان الأساسية لشبكات المؤسسات في الوقت الحالي دون الحاجة إلى شبكة طرفية فعلية. يسمح لنقاط النهاية بالتجوال بين الشبكات الداخلية والخارجية. تساعد التجزئة في إحتواء أي هجوم أمان على مقطع معين لتمتد عبر الشبكة. يوفر حل الوصول المعرف بالبرامج (SDA) اليوم بمساعدة Cisco ISE TrustSec طريقة للقطع استنادا إلى نموذج أعمال العميل لتجنب التبعيات على عناصر الشبكة مثل شبكات VLAN أو شبكات IP الفرعية.

المشكلة 

تهيئة سياسة ISE لشبكات المؤسسات واسعة النطاق التي تحتوي على أكثر من 500 ملف تعريف نقطة نهاية مختلف، يمكن زيادة عدد سياسات التخويل إلى نقطة غير قابلة للإدارة. حتى إذا كان Cisco ISE يدعم شروط تخويل مخصصة لتلبية مثل هذا الحجم من ملفات تعريف المستخدم، فهناك تحد لإدارة هذه الأعداد العديدة من السياسات من قبل المسؤولين.

بالإضافة إلى ذلك، قد يحتاج العملاء إلى سياسات تفويض مشتركة بدلا من سياسات مخصصة لتجنب التكاليف الإضافية للإدارة، كما أنهم يتمتعون بوصول مختلف إلى الشبكة لنقاط النهاية استنادا إلى معاييرهم.

على سبيل المثال، اعتبر شبكة مؤسسة مع Active Directory (AD) مصدرا للحقيقة والمفاضلة الفريدة لنقطة النهاية هي إحدى السمات في AD. في مثل هذه الحالة، تحتوي الطريقة التقليدية لتكوين النهج على مزيد من سياسات التخويل لكل ملف تعريف نقطة نهاية فريد.

بهذه الطريقة، يتم تمييز كل ملف تعريف نقطة نهاية بسمة AD تحت domain.com. وبالتالي، يلزم تكوين سياسة تخويل مخصصة.

يعرض هذا الجدول سياسات AuthZ التقليدية.

سياسة ألفبائية	إذا كان AnyConnect يساوي تمرير كلا من المستخدم والآلة و إذا كانت AD-Group تساوي domain.com/groups/ABC ثم الرقيب:C2S-ABC و VLAN:1021
سياسة تحرير البيانات	إذا كان AnyConnect يساوي تمرير كلا من المستخدم والآلة و إذا كانت AD-Group تساوي domain.com/groups/DEF ثم رقيب:C2S-def و VLAN:1022
سياسة GHI	إذا كان AnyConnect يساوي تمرير كلا من المستخدم والآلة و إذا كانت AD-Group تساوي domain.com/groups/GHI ثم الرقيب:C2S-GHI والشبكة المحلية الظاهرية (VLAN):1023
XYZ-policy	إذا كان AnyConnect يساوي تمرير كلا من المستخدم والآلة و إذا كانت AD-Group تساوي domain.com/groups/XYZ ثم الرقيب:C2S-XYZ و VLAN:1024

حل مقترح

للتحايل على الخرق على الحد الأقصى لعدد سياسات التخويل المدعومة القابلة للتطوير على Cisco ISE، يتمثل الحل المقترح في إستخدام قاعدة بيانات خارجية تخول كل نقطة نهاية مع الحصول على نتيجة التخويل من سماتها. على سبيل المثال، إذا تم إستخدام AD كقاعدة بيانات خارجية للتخويل، يمكن الإشارة إلى أي سمات مستخدم غير مستخدمة (مثل كود القسم أو رقم التعريف الشخصي (PIN) لتوفير النتائج المعتمدة التي تم تعيينها مع SGT أو VLAN.

ويتم تحقيق ذلك من خلال دمج Cisco ISE مع قاعدة بيانات بيانات (DB) خارجية أو داخل قاعدة بيانات إدارة (DB) الداخلية ل ISE التي تم تكوينها بسمات مخصصة. يشرح هذا القسم نشر هذين السيناريوهين:

ملاحظة: في كلا الخيارين، يحتوي قاعدة البيانات على معرف المستخدم ولكن ليس كلمة المرور لنقاط النهاية DOT1X. يتم إستخدام قاعدة البيانات كنقطة تخويل فقط. لا يزال من الممكن أن تستمر المصادقة في كونها مخزن معرف العميل الموجود في معظم الحالات على خادم Active Directory (AD).

التكوين باستخدام DB الخارجي

يتم دمج Cisco ISE مع قاعدة بيانات (DB) خارجية للتحقق من صحة بيانات اعتماد نقطة النهاية:

يوضح هذا الجدول مصادر الهوية الخارجية التي تم التحقق من صحتها.

مصدر الهوية الخارجية	نظام التشغيل/الإصدار
خدمة Active Directory
Microsoft Windows Active Directory 2003	—
Microsoft Windows Active Directory 2003 R2	—
Microsoft Windows Active Directory 2008	—
Microsoft Windows Active Directory 2008 R2	—
Microsoft Windows Active Directory 2012	—
Microsoft Windows Active Directory 2012 R2	—
Microsoft Windows Active Directory 2016	—
خوادم LDAP
خادم دليل SunONE LDAP	الإصدار 5.2
خادم دليل OpenLDAP	الإصدار 2.4.23
أي خادم متوافق مع LDAP v3	—
خوادم الرمز المميز
RSA ACE/الخادم	سلسلة 6.x
مدير مصادقة RSA	السلسلة 7.x و 8.x
أي خادم رمز مميز متوافق مع RADIUS RFC 2865	—
تسجيل الدخول الأحادي للغة تأكيد الأمان (SAML) (SSO)
Microsoft Azure	—
مدير الوصول إلى Oracle (OAM)	الإصدار 11.1.2.2.0
إتحاد Oracle للهوية (OIF)	الإصدار 11.1.1.2.0
خادم PingFederate	الإصدار 6.10.0.4
سحابة PingOne	—
مصادقة آمنة	8.1.1
أي موفر هوية متوافق مع SAMLv2	—
مصدر هوية اتصال قاعدة البيانات المفتوح (ODBC)
Microsoft SQL Server (MS SQL)	Microsoft SQL Server 2012
أوراكل	Enterprise Edition، الإصدار 12.1.0.2.0
PostgreSQL	9
سايبيز	16
MySQL	6.3
تسجيل الدخول الاجتماعي (لحسابات المستخدمين الضيوف)
فيس بوك	—

نماذج تكوينات ODBC

يتم إجراء هذا التكوين على Microsoft SQL لإنشاء الحل:

الخطوة 1. فتح SQL Server Management Studio (القائمة "ابدأ" > Microsoft SQL Server) لإنشاء قاعدة بيانات:

الخطوة 2. قم بتوفير اسم وإنشاء قاعدة البيانات.

الخطوة 3. إنشاء جدول جديد بالأعمدة المطلوبة كمعلمات لنقاط النهاية للحصول على ترخيص.

الخطوة 4. قم بإنشاء إجراء للتحقق من وجود اسم المستخدم.

الخطوة 5. قم بإنشاء إجراء لجلب السمات (الرقيب) من الجدول.

في هذا المستند، يتم دمج Cisco ISE مع حل Microsoft SQL لتلبية متطلبات نطاق التفويض على شبكات المؤسسات الكبيرة.

سير عمل الحل (ISE 2.7 وما قبله)

في هذا الحل، يتم دمج Cisco ISE مع Active Directory (AD) و Microsoft SQL. يتم إستخدام AD كمخزن معرف مصادقة و MS SQL للتخويل. أثناء عملية المصادقة، يرسل جهاز الوصول إلى الشبكة (NAD) بيانات اعتماد المستخدم إلى PSN - خادم AAA في حل IBN. يتحقق PSN من بيانات اعتماد نقطة النهاية باستخدام مخزن معرف Active Directory ويصادق المستخدم. يشير نهج التخويل إلى MS SQL DB لجلب النتائج المعتمدة مثل SGT / VLAN التي يتم إستخدام معرف المستخدم كمرجع لها.

المزايا

ويتميز هذا الحل بالمزايا التالية، التي تجعله مرنا:

• يمكن أن يعمل نظام الإدخال والإخراج (ISE) من Cisco على الاستفادة من جميع الميزات الإضافية المحتملة التي تقدمها قاعدة البيانات الخارجية.
• لا يعتمد هذا الحل على أي حدود لحجم Cisco ISE.

مساوئ

هذا الحل له هذه المساوئ:

• يتطلب برمجة إضافية لملء قاعدة البيانات الخارجية مع بيانات اعتماد نقطة النهاية.
• إذا لم يكن DB الخارجي موجودا محليا مثل PSN، يعتمد هذا الحل على شبكة WAN التي تجعله النقطة ^{الثالثة} للفشل في تدفق بيانات AAA لنقطة النهاية.
• يتطلب معرفة إضافية للحفاظ على العمليات والإجراءات الخارجية لقاعدة البيانات.
• يجب مراعاة الأخطاء الناتجة عن التكوين اليدوي لمعرف المستخدم إلى قاعدة البيانات.

عمليات تهيئة نموذج قاعدة بيانات (DB) الخارجية

في هذا المستند، يتم عرض Microsoft SQL ك DB الخارجي المستخدم كنقطة تخويل.

الخطوة 1. قم بإنشاء مخزن هوية ODBC في Cisco ISE من إدارة القائمة > مصدر الهوية الخارجية > ODBC واختبر الاتصالات.

الخطوة 2. انتقل إلى علامة التبويب "الإجراءات المخزنة" في صفحة ODBC لتكوين الإجراءات التي تم إنشاؤها في Cisco ISE.

الخطوة 3. إحضار السمات لمعرف المستخدم من مصدر معرف ODBC للتحقق.

الخطوة 4. إنشاء ملف تعريف تخويل وتكوينه. في Cisco ISE، انتقل إلى السياسة > النتائج > ملف تعريف التفويض > إعدادات الخصائص المتقدمة وحدد السمة على هيئة Cisco:Cisco:AV-pair. حدد القيم ك <اسم قاعدة بيانات ODBC>:Sgt ثم احفظها.

الخطوة 5. قم بإنشاء نهج تخويل وتكوينه. في Cisco ISE، انتقل إلى سياسة > مجموعات سياسات > سياسة التفويض > إضافة. وضع الشرط كمصدر هوية هو خادم SQL. حدد ملف تعريف النتيجة كملف تعريف التخويل الذي تم إنشاؤه مسبقا.

الخطوة 6. وبمجرد التصديق على المستخدم والتصديق عليه، يجب أن تحتوي السجلات على الرقيب المعين للمستخدم للتحقق.

سير عمل الحل (Post ISE 2.7)

بعد ISE 2.7، يمكن إحضار سمات التفويض من ODBC مثل الشبكة المحلية الظاهرية (VLAN) والرقيب وقوائم التحكم في الوصول (ACL) وهذه السمات يمكن إستهلاكها في السياسات.

في هذا الحل، يتم دمج Cisco ISE مع Microsoft SQL. يتم إستخدام MS SQL كمخزن معرف للمصادقة وكذلك للتخويل. عند توفير بيانات الاعتماد من نقاط النهاية إلى PSN، فإنه يقوم بالتحقق من بيانات الاعتماد مقابل MS SQL DB. يشير نهج التخويل إلى MS SQL DB لجلب النتائج المعتمدة مثل SGT / VLAN التي يتم إستخدام معرف المستخدم كمرجع لها.

عمليات تهيئة نموذج قاعدة بيانات (DB) الخارجية

اتبع الإجراء الوارد سابقا في هذا المستند لإنشاء MS SQL DB مع اسم المستخدم وكلمة المرور ومعرف الشبكة المحلية الظاهرية (VLAN) والرقيب.

الخطوة 1. قم بإنشاء مخزن هوية ODBC في Cisco ISE من إدارة القائمة > مصدر الهوية الخارجية > ODBC واختبر الاتصالات.

الخطوة 2. انتقل إلى علامة التبويب "الإجراءات المخزنة" في صفحة ODBC لتكوين الإجراءات التي تم إنشاؤها في Cisco ISE.

الخطوة 3. إحضار السمات لمعرف المستخدم من مصدر معرف ODBC للتحقق.

الخطوة 4. إنشاء ملف تعريف تخويل وتكوينه. في Cisco ISE، انتقل إلى السياسة > النتائج > ملف تعريف التفويض > إعدادات الخصائص المتقدمة وحدد السمة على هيئة Cisco:Cisco:AV-pair. حدد القيم ك <name of ODBC database>:Sgt. ضمن المهام المشتركة، حدد VLAN بمعرف/اسم <name of ODBC database>:vlan واحفظها

الخطوة 5. قم بإنشاء نهج تخويل وتكوينه. في Cisco ISE، انتقل إلى سياسة > مجموعات سياسات > سياسة التفويض > إضافة. وضع الشرط كمصدر هوية هو خادم SQL. حدد ملف تعريف النتيجة كملف تعريف التخويل الذي تم إنشاؤه مسبقا.

إستخدام قاعدة بيانات داخلية

تحتوي Cisco ISE نفسها على قاعدة بيانات مدمجة يمكن إستخدامها للحصول على معرفات المستخدم للتخويل.

سير عمل الحل

في هذا الحل، يتم إستخدام قاعدة بيانات المحول (DB) الداخلية من Cisco ISE كنقطة اعتماد بينما يستمر Active Directory (AD) في كونه مصدر المصادقة. يتم تضمين معرف المستخدم لنقاط النهاية في قاعدة بيانات الإصدار (DB) من Cisco ISE مع السمات المخصصة التي ترجع بالنتائج المعتمدة مثل الرقيب أو الشبكة المحلية الظاهرية (VLAN). عندما يتم توفير بيانات الاعتماد من نقاط النهاية إلى PSN، فإنها تتحقق من صحة بيانات اعتماد نقاط النهاية مع مخزن معرف Active Directory وتصادق نقطة النهاية. يشير نهج التخويل إلى ISE DB لجلب النتائج المعتمدة مثل SGT / VLAN التي يتم إستخدام معرف المستخدم كمرجع لها.

المزايا

ويتميز هذا الحل بميزات عديدة، مما يجعله حلا مرنا:

• يعد Cisco ISE DB حلا مدمجا وبالتالي فهو لا يحتوي على نقطة ^ثالثة للفشل، على عكس حل DB الخارجي.
• بما أن نظام مجموعة Cisco ISE يضمن المزامنة في الوقت الفعلي بين جميع الشخصيات، فلا توجد تبعية شبكة WAN حيث تحتوي شبكة PSN على جميع معرفات المستخدم والسمات المخصصة التي يتم دفعها من شبكة PAN في الوقت الفعلي.
• يمكن أن يعمل نظام الإدخال والإخراج (ISE) من Cisco على الاستفادة من جميع الميزات الإضافية المحتملة التي تقدمها قاعدة البيانات الخارجية.
• لا يعتمد هذا الحل على أي حدود لحجم Cisco ISE.

مساوئ

هذا الحل له هذه المساوئ:

• الحد الأقصى لعدد معرفات المستخدمين الذي يمكن أن يمتنع Cisco ISE DB عنه هو 300000.
• يجب مراعاة الأخطاء الناتجة عن التكوين اليدوي لمعرف المستخدم إلى قاعدة البيانات.

عمليات تهيئة قاعدة بيانات (DB) داخلية نموذجية

يمكن تهيئة الشبكة المحلية الافتراضية (VLAN) لكل مستخدم والجهاز المساعد (SGT) لأي مستخدم في مخزن المعرفات الداخلي بسمة مستخدم مخصصة.

الخطوة 1. قم بإنشاء سمات مخصصة جديدة للمستخدم لتمثيل قيمة الشبكة المحلية الظاهرية (VLAN) والرقيب الخاصة بالمستخدمين المتميزين. انتقل إلى إدارة > إدارة الهوية > إعدادات > سمات المستخدم المخصصة. إنشاء سمات مخصصة جديدة للمستخدم كما هو موضح في هذا الجدول.

هنا يتم عرض جدول ISE DB بالسمات المخصصة.

اسم السمة	نوع البيانات	المعلمات(الطول)	القيمة الافتراضية
vlan	السلسلة	100	C2S (اسم شبكة VLAN الافتراضي)
رقيب	السلسلة	100	cts:security-group-tag=0003-0 (قيمة الرقيب الافتراضية)

• في هذا السيناريو، تمثل قيمة شبكة VLAN اسم شبكة VLAN وقيمة الرقيب تمثل سمة زوج-Cisco AV للرقيب في hex.

الخطوة 2. قم بإنشاء ملف تعريف تفويض بسمات مخصصة للمستخدم لتضمين قيم الشبكة المحلية الظاهرية والرقمية الخاصة بالمستخدمين المتميزين. انتقل إلى السياسة > عناصر السياسة > النتائج > التخويل > ملفات تخصيص التخويل > إضافة. قم بإضافة السمات المذكورة أدناه تحت إعدادات الخصائص المتقدمة.

يوضح هذا الجدول ملف تعريف AuthZ للمستخدم الداخلي.

سمة	القيمة
Cisco:زوج-av من Cisco	المستخدم الداخلي:الرقيب
RADIUS:Tunnel-private-group-id	InternalUser:vlan
RADIUS:Tunnel-Medium-type	802
RADIUS:نوع النفق	VLAN

كما هو موضح في الصورة، بالنسبة للمستخدمين الداخليين، يتم تكوين ملف التعريف internal_user باستخدام SGT & VLAN التي تم تكوينها على InternalUser:Sgt & InternalUser:vlan على التوالي.

الخطوة 3. قم بإنشاء نهج التخويل، انتقل إلى السياسة > مجموعات السياسات > النهج -1 > التخويل. قم بإنشاء سياسات ترخيص مع الشروط المذكورة أدناه، وقم بتخطيطها على توصيفات التخويل الخاصة بها.

يعرض هذا الجدول نهج AuthZ للمستخدم الداخلي.

اسم القاعدة	الشرط	ملف تعريف Result Authz
internal_user_authz	إذا كان Network Access.EapChainingResults يساوي User و Machine فقد نجح كلاهما	Internal_user
machine_only_authz	إذا كانت MyAD.ExternalGroups تساوي gdc.security.com/Users/Domain كمبيوتر	PermitAccess

الخطوة 4. قم بإنشاء هويات مستخدم مجمع بسمات مخصصة مع تفاصيل المستخدم والسمات المخصصة الخاصة بهم في قالب CSV. قم بإدراج CSV بالتصفح إلى إدارة > إدارة الهوية > هويات > مستخدمين > إستيراد > إختيار الملف > إستيراد.

تعرض هذه الصورة عينة مستخدم لديه تفاصيل سمة مخصصة. حدد المستخدم وانقر فوق تحرير لعرض تفاصيل السمة المخصصة المعينة للمستخدم المعني.

الخطوة 5: التحقق من السجلات المباشرة:

تحقق من قسم النتائج للتحقق من ما إذا تم إرسال سمة VLAN وSGT كجزء من قبول الوصول.

القرار

يتيح هذا الحل لبعض عملاء المؤسسات الكبيرة إمكانية التطوير وفقا لمتطلباتهم. يجب توخي الحذر عند إضافة/حذف معرفات المستخدمين. قد تؤدي الأخطاء عند تشغيلها إلى وصول غير مصرح به للمستخدمين الأصليين أو العكس.

معلومات ذات صلة

تكوين Cisco ISE مع MS SQL عبر ODBC:

https://www.cisco.com/c/en/us/support/docs/security/identity-services-engine-21/200544-Configure-ISE-2-1-with-MS-SQL-using-ODBC.html

مسرد المصطلحات

AAA	محاسبة تفويض المصادقة
إعلان	خدمة Active Directory
AuthC	المصادقة
AuthZ	الاعتماد
DB	قاعدة بيانات
DOT1X	معيار 802.1X
ابن	شبكة مستندة إلى الهوية
معرف	قاعدة بيانات الهوية
محرك خدمات كشف الهوية (ISE)	محرك خدمات الهوية
MNt	المراقبة واستكشاف الأخطاء وإصلاحها
MsSQL	Microsoft SQL
ODBC	اتصال DataBase المفتوح
طاحونة	عقدة مسؤول النهج
PSN	عقدة خدمات النهج
رقيب	علامة المجموعة الآمنة
SQL	لغة الاستعلام المهيكلة
VLAN	شبكة LAN الظاهرية
WAN	شبكة واسعة النطاق