تكوين ملف تعريف NAM الآمن للعميل على Windows باستخدام ISE

خيارات التنزيل

  • PDF     (3.3 MB)
    عرض باستخدام Adobe Reader على مجموعة متنوعة من الأجهزة
  • ePub     (3.4 MB)
    العرض في تطبيقات مختلفة على iPhone أو iPad أو نظام تشغيل Android أو قارئ Sony أو نظام التشغيل Windows Phone
  • Mobi (Kindle)     (2.4 MB)
    عرض على جهاز Kindle أو تطبيق Kindle على أجهزة متعددة
تم التحديث:٢٦ أغسطس ٢٠٢٦
معرّف المستند:222236

لغة خالية من التحيز

تسعى مجموعة الوثائق لهذا المنتج جاهدة لاستخدام لغة خالية من التحيز. لأغراض مجموعة الوثائق هذه، يتم تعريف "خالية من التحيز" على أنها لغة لا تعني التمييز على أساس العمر، والإعاقة، والجنس، والهوية العرقية، والهوية الإثنية، والتوجه الجنسي، والحالة الاجتماعية والاقتصادية، والتمييز متعدد الجوانب. قد تكون الاستثناءات موجودة في الوثائق بسبب اللغة التي يتم تشفيرها بشكل ثابت في واجهات المستخدم الخاصة ببرنامج المنتج، أو اللغة المستخدمة بناءً على وثائق RFP، أو اللغة التي يستخدمها منتج الجهة الخارجية المُشار إليه. تعرّف على المزيد حول كيفية استخدام Cisco للغة الشاملة.

حول هذه الترجمة

ترجمت Cisco هذا المستند باستخدام مجموعة من التقنيات الآلية والبشرية لتقديم محتوى دعم للمستخدمين في جميع أنحاء العالم بلغتهم الخاصة. يُرجى ملاحظة أن أفضل ترجمة آلية لن تكون دقيقة كما هو الحال مع الترجمة الاحترافية التي يقدمها مترجم محترف. تخلي Cisco Systems مسئوليتها عن دقة هذه الترجمات وتُوصي بالرجوع دائمًا إلى المستند الإنجليزي الأصلي (الرابط متوفر).

المقدمة

يوضح هذا المستند كيفية نشر ملف تعريف مدير الوصول إلى شبكة العميل الآمن (NAM) من Cisco من خلال محرك خدمات الهوية (ISE).

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

  • نهج الوضع
  • محرك خدمات كشف الهوية (ISE)
  • محرر ملف التعريف و AnyConnect NAM
  • تكوين Cisco Catalyst لخدمات 802.1x

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

  • Active Directory 2016
  • Cisco ISE، الإصدار 3.3 والإصدارات الأحدث
  • المحول Cisco Catalyst 9200 switch بنظام التشغيل Cisco IOS® XE 17.6.5 والإصدارات الأحدث
  • Windows 10 مع Cisco Secure Mobility Client 5.1.4.74 والإصدارات الأحدث

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

معلومات أساسية

تحدث مصادقة EAP-FAST في مرحلتين. في المرحلة الأولى، يستخدم EAP-FAST مصافحة TLS لتوفير ومصادقة مبادلات المفاتيح باستخدام كائنات قيم النوع الطول (TLV) لإنشاء نفق محمي. يتم إستخدام كائنات TLV هذه لنقل البيانات المتعلقة بالمصادقة بين العميل والخادم. وبمجرد إنشاء النفق، تبدأ المرحلة الثانية بانخراط عقدة العميل ومعهد خدمات الهوية (ISE) في مزيد من المحادثات لإنشاء سياسات المصادقة والتفويض المطلوبة.

يتم إعداد ملف تعريف تكوين NAM لاستخدام EAP-FAST كطريقة مصادقة ويتوفر للشبكات المعرفة إداريا. وبالإضافة إلى ذلك، يمكن تكوين كلا من أنواع اتصال الجهاز والمستخدم ضمن ملف تعريف تكوين NAM. يكتسب جهاز Windows الخاص بالشركة حق الوصول الكامل إلى الشركة باستخدام NAM مع فحص الوضع. يكتسب جهاز Windows الشخصي حق الوصول إلى شبكة مقيدة باستخدام نفس تكوين NAM.

يقدم هذا المستند تعليمات لنشر ملف تعريف Cisco Secure Client Network Access Manager (NAM) عبر مدخل وضعية محرك خدمات الهوية (ISE) باستخدام نشر الويب، بالإضافة إلى التحقق من توافق الوضع.

التكوين

الرسم التخطيطي للشبكة

Network Diagram

تدفق البيانات

عندما يتصل جهاز كمبيوتر بالشبكة، يوفر ISE نهج التخويل لإعادة التوجيه إلى مدخل الوضع. تتم إعادة توجيه حركة مرور بيانات HTTP على الكمبيوتر الشخصي إلى صفحة إمداد عميل ISE، حيث يتم تنزيل تطبيق NSA من ISE. ثم يقوم NSA بتثبيت الوحدات النمطية لوكيل العميل الآمن على الكمبيوتر الشخصي. بعد اكتمال تثبيت الوكيل، يقوم العميل بتنزيل ملف تعريف Posture (الوضع) ويتم تكوين ملف تعريف NAM على ISE.

يؤدي تثبيت وحدة NAM إلى تشغيل إعادة التشغيل على الكمبيوتر. بعد إعادة التشغيل، تقوم وحدة NAM بتنفيذ مصادقة EAP-FAST استنادا إلى ملف تعريف NAM.
يتم بعد ذلك تشغيل فحص Posture (وضعية محرك خدمات الهوية (ISE)) ويتم التحقق من التوافق استنادا إلى نهج وضع ISE.

تكوين المحول

قم بتكوين محول الوصول لمصادقة dot1x وإعادة التوجيه.

aaa new-model

نقطة مصادقة AAA1x نصف قطر المجموعة الافتراضية
نصف قطر المجموعة الافتراضية لشبكة تفويض AAA
نقطة محاسبة AAA1x لنصف قطر مجموعة بدء-إيقاف افتراضي
المؤلف الديناميكي لنصف قطر خادم AAA
client 10.127.197.53 server-key qwerty123
المصادقة-النوع Any

AAA جلسة-id مشترك
ip radius source-interface vlan1000
سمة خادم RADIUS 6 on-for-login-auth
سمة خادم RADIUS 8 تضمين-in-access-req
يتضمن طلب الوصول 25 سمة خادم radius
سمة خادم نصف القطر 31 تنسيق mac ietf من الحالة العليا
خادم RADIUS RAD1
عنوان IPv4 <ISE Server IP> المنفذ 1812 access-port 1813
المفتاح <secret-key>

dot1x system-auth-control

تكوين قائمة التحكم في الوصول لإعادة التوجيه لإعادة توجيه المستخدمين إلى مدخل إمداد عميل ISE:

قائمة التحكم في الوصول الموسعة ل ip access-list
10 رفض UDP أي مجال eq
20 رفض TCP أي مجال eq
30 رفض بروتوكول UDP لأي نظام تمهيد تشغيل EQ BOOTPC لأي أنظمة تمهيد تشغيل خاصة ب EQ
40 رفض IP لأي مضيف <ISE Server IP>
50 السماح باستخدام أي بروتوكول EQ www
60 تصريح TCP أي eq 443

تمكين تعقب الجهاز وإعادة توجيه HTTP على المحول:

نهج تعقب الأجهزة <اسم نهج تعقب الأجهزة>
 تمكين التعقب
قارن <interface name>
 <اسم نهج تعقب الجهاز> الخاص بإرفاق نهج الجهاز

ip http server
ip http secure-server

تنزيل حزمة Secure Client

قم بتنزيل محرر ملفات التعريف و Secure Client Windows و Compliance Module WebDeployment للملفات يدويا من صفحة تنزيل برامج Cisco. في شريط البحث عن اسم المنتج، اكتب Secure Client 5. صفحة التنزيلات الرئيسية > الأمان > أمان نقطة النهاية > Secure Client (بما في ذلك AnyConnect) > Secure Client 5 > برنامج AnyConnect VPN Client

  • Cisco-secure-client-win-5.1.x-webdeploy-k9.pkg
  • Cisco-secure-client-win-4.3.x-isecompliance-webdeploy-k9.pkg
  • tools-cisco-secure-client-win-5.1.x-profileeditor-k9.msi

تكوين ISE

الخطوة 1. تحميل الحزمة على ISE

1. لتحميل حزم نشر الويب الخاصة ب "العميل الآمن" و"التوافق" على ISE، انتقل إلى مركز العمل > Posture > إمداد العميل > الموارد > إضافة > موارد الوكيل من القرص المحلي.

Upload the Package on ISE

Resources

الخطوة 2. إنشاء ملف تعريف NAM من أداة محرر ملف التعريف

للحصول على معلومات حول كيفية تكوين ملف تعريف NAM، ارجع إلى تكوين Secure Client NAM ل Dot1x باستخدام دليل Windows و ISE 3.2.

الخطوة 3. تحميل ملف تعريف NAM على ISE

1. لتحميل ملف تعريف NAM Profile Configuration.xml على ISE كملف تعريف الوكيل، انتقل إلى إمداد العميل > الموارد > موارد الوكيل من القرص المحلي.

Upload the NAM Profile on ISE

الخطوة 4. إنشاء ملف تعريف للوضع 

Create a Posture Profile

Posture Profile Created

1. من قسم بروتوكول الوضع، لا تنس إضافة علامة نجمية (*) للسماح للوكيل بالاتصال بجميع الخوادم.

الخطوة 5. إنشاء تكوين الوكيل

Create Agent Configuration

1. حدد حزمة الوحدة النمطية الخاصة بالتوافق والعميل الآمن التي تم تحميلها ضمن تحديد الوحدة النمطية، حدد وحدات ISE Posture وNAM وDART.

Upload Secure Client and Compliance Module Package

2. تحت تحديد ملف التعريف، أختر الوضع وملف تعريف NAM وانقر فوق إرسال.

Choose Posture and NAM Profile

الخطوة 6. سياسة توفير العميل

1. قم بإنشاء نهج توفير عميل لنظام التشغيل Windows وحدد تكوين الوكيل الذي تم إنشاؤه في الخطوة السابقة.

Client Provisioning Policy

الخطوة 7. سياسة الوضع

للحصول على معلومات حول كيفية إنشاء سياسة الوضع وشروطه، ارجع إلى دليل النشر الإلزامي لوضعية محرك خدمات الهوية (ISE).

الخطوة 8. إضافة جهاز شبكة

لإضافة عنوان IP للمحول ومفتاح سر RADIUS المشترك، انتقل إلى إدارة > موارد الشبكة.

Add Network Device

Shared Secret

الخطوة 9. ملف تعريف التفويض

1. لإنشاء ملف تخصيص إعادة توجيه الوضع، انتقل إلى السياسة > عناصر السياسة > النتائج.

Authorization Profile

2. ضمن المهام المشتركة، حدد مدخل تزويد العميل مع قائمة التحكم في الوصول (ACL) المعاد توجيهها.

Select Client Provisioning Portal with Redirect ACL

الخطوة 10. البروتوكولات المسموح بها

1. انتقل إلى السياسة > عناصر السياسة > النتائج > المصادقة > البروتوكولات المسموح بها، حدد إعدادات تسلسل EAP.

Allowed Protocols

Allow EAP-FAST and Enable EAP Chaining

الخطوة 11. خدمة Active Directory

1. التحقق من انضمام ISE إلى مجال Active Directory وتحديد مجموعات المجالات، إذا لزم الأمر لشروط التخويل.

إدارة > إدارة الهوية > مصادر الهوية الخارجية > Active Directory

Active Directory

الخطوة 12 - مجموعات السياسات

1. قم بإنشاء مجموعة نهج على ISE لمصادقة طلب dot1x. انتقل إلى السياسة > مجموعات السياسات.

Policy Sets

2. حدد Active Directory كمصدر هوية لنهج المصادقة.

Select Active Directory

3. قم بتكوين قواعد التفويض المختلفة استنادا إلى حالة الوضع الخاصة بالأجهزة غير المعروفة وغير المتوافقة والمتوافقة.

في حالة الاستخدام هذه:

  • الوصول الأولي: إعادة التوجيه إلى بوابة إمداد عميل ISE لتثبيت "عميل العميل الآمن" وملف تعريف NAM.
  • وصول غير معروف: الوصول إلى مدخل توفير العميل لإعادة التوجيه استنادا إلى اكتشاف الوضع.
  • وصول متوافق: الوصول الكامل إلى الشبكة.
  • غير متوافق: رفض الوصول.

Authorization Rules

التحقق من الصحة

الخطوة 1. تنزيل وحدة Secure Client Posture/NAM النمطية من ISE وتثبيتها

1. حدد نقطة النهاية المصدق عليها من خلال dot1x، مع الضغط على قاعدة تفويض الوصول الأولي. انتقل إلى العمليات > RADIUS > السجلات المباشرة.

Download and Install Secure Client Posture/NAM Module from ISE

2. على المحول، حدد عنوان URL لإعادة التوجيه وقائمة التحكم في الوصول التي يتم تطبيقها على نقطة النهاية.

تفاصيل Switch#show Authentication Session Interface te1/0/24
الواجهة: TenGigabitEthernet1/0/24
IIF-ID: 0x19262768
عنوان MAC: x4x6.xxxx.xxx
عنوان IPv6: غير معروف
عنوان IPv4: <client-ip>
اسم المستخدم: host/DESKTOP-xxxxxx.xxx
الحالة: مُفوض
المجال: البيانات
وضع مضيف Oper: مضيف واحد
مفتاح التحكم DIR: كلاهما
مهلة انتهاء الجلسة: غير متوفر
معرف الجلسة المشتركة: 16D5C50A000002CF067366B
معرف جلسة العمل: 0x000001f
المقبض: 0x7a00017
النهج الحالي: Policy_TE1/0/24


السياسات المحلية:
قالب الخدمة: Default_Linksec_POLICY_SHOULD_SECURE (الأولوية 150)
نهج الأمان: يجب تأمينها
حالة الأمان: إرتباط غير آمن

نهج الخادم:
قائمة التحكم في الوصول لإعادة توجيه URL: قائمة التحكم في الوصول (ACL) المحولة
إعادة توجيه URL: https://ise33.xxxx:8443/portal/gateway?sessionId=16D5C50A0000002CF067366A&portal=ee39fd08-7180-4995-8aa2-9fb282645a8f&action=cpp&token=518f857900a37f9afc6d2da8b6fe3bc2
قائمة التحكم في الوصول (ACL) ل ACS: xACSACLx-IP-permit_all_IPV4_TRAFFIC-57f6b0d3


قائمة حالة الأسلوب:
حالة الأسلوب
dot1x Authc نجاح

واجهة قاعدة بيانات تعقب الجهاز Switch#sh1/0/24

طبقة عنوان الشبكة ربط طبقة عنوان قارن ن vlan عمر الحالة إلى اليسار
ARP X.X.X.X b496.91f9.568b TE1/0/24 1000 005 4mn Reachable 39 S يحاول 0

3. على نقطة النهاية، تحقق من حركة مرور البيانات التي تمت إعادة توجيهها إلى ISE Posture (وضعية محرك خدمات الهوية (ISE)) وانقر فوق بدء لتنزيل مساعد إعداد الشبكة على نقطة النهاية.

Device Security Check

Download and Install Agent

4. انقر فوق تشغيل لتثبيت تطبيق NSA.

Run Device Security Check

2. الآن، تقوم NSA باستدعاء تنزيل "عميل العميل الآمن" من ISE وتثبيت الوضع ووحدة NAM وتكوين ملف تعريف NAM.xml.

Secure Client Download in Progress

3. يتم تشغيل المطالبة بإعادة التشغيل بعد تثبيت NAM. طقطقة نعم.

Updates Completed, Restart Computer

الخطوة 2. EAP-FAST 

1. بمجرد إعادة تشغيل الكمبيوتر وتسجيل دخول المستخدم، تقوم NAM بمصادقة كل من المستخدم والجهاز من خلال EAP-FAST. إذا تمت مصادقة نقطة النهاية بشكل صحيح، فإن NAM تعرض أنها متصلة وتقوم الوحدة النمطية للوضع بتشغيل المسح الضوئي للوضعية.

Authentication in Progress

2. في سجلات ISE Live، تصل نقطة النهاية الآن إلى قاعدة الوصول غير المعروفة.

Endpoint is Hitting Unknown Access Rule

3. الآن، يكون بروتوكول المصادقة EAP-FAST بناء على تكوين ملف تعريف NAM وكانت نتيجة EAP-Sequence ناجحة.

Result is Success

الخطوة 3. المسح الضوئي للوضع

1. تقوم الوحدة النمطية "وضع العميل الآمن" بتشغيل الفحص Posture (وضعية العميل) ويتم وضع علامة كشكوى استنادا إلى سياسة وضعية ISE. 

Posture Scan

2. يتم تشغيل CoA بعد إجراء الفحص Posture والنقطة الطرفية تصل الآن إلى نهج الوصول إلى الشكوى.

CoA Triggered after the Posture Scan

استكشاف الأخطاء وإصلاحها

الخطوة 1. ملف تعريف NAM

1. تحقق من وجود تكوين ملف تعريف NAM.xml في هذا المسار على الكمبيوتر الشخصي بعد تثبيت وحدة NAM: C:\ProgramData\Cisco\Cisco Secure Client\Network Access Manager\System

NAM Profile

الخطوة 2. تسجيل الدخول الموسع ل NAM

1. انقر فوق رمز العميل الآمن من شريط المهام وحدد رمز الإعدادات.

NAM Extended Logging

2. انتقل إلى الشبكة > علامة التبويب إعدادات السجل. حدد خانة الاختيار تمكين التسجيل الموسع.

3. اضبط حجم ملف التقاط الحزمة على 100 ميغابايت. بعد إنتاج الإصدار، انقر التشخيص لإنشاء حزمة DART على نقطة النهاية.

Click Diagnostics to Create the DART Bundle on the Endpoint

4. يعرض قسم محفوظات الرسائل تفاصيل كل خطوة NAM مكتملة.

الخطوة 3. تصحيح الأخطاء على المحول

1. قم بتمكين عمليات تصحيح الأخطاء هذه على المحول لاستكشاف أخطاء dot1x وإصلاحها وتدفق إعادة التوجيه:

  • debug ip http all
  • حركات debug ip http
  • debug ip http url
  • set platform software trace smd switch active R0 aaa debug
  • set platform software trace smd مفتاح نشط R0 dot1x-all debug
  • set platform software trace smd switch active R0 radius debug
  • set platform software trace smd switch active R0 auth-mgr-all debug
  • set platform software trace smd switch active R0 eap-all debug
  • set platform software trace smd switch active R0 epm-all debug
  • ضبط تصحيح أخطاء إعادة توجيه SMD لتتبع برنامج النظام الأساسي نشط R0 EPM
  • set platform software trace smd switch active R0 webauth-aaa debug
  • set platform software trace smd switch active R0 webauth-httpd debug

لعرض السجلات:

  • show logging
  • show logging process smd داخلي

الخطوة 4. تصحيح الأخطاء على ISE

1. اجمع حزمة دعم ISE مع هذه الأجهزة التي سيتم تعيينها على مستوى تصحيح الأخطاء:

  • وضعية 
  • بوابة 
  • إمداد 
  • Runtime-AAA 
  • إن إس إف 
  • NSF-جلسة 
  • سويسري 
  • عميل-WebApp 

معلومات ذات صلة

محفوظات المراجعة

المراجعة تاريخ النشر التعليقات
3.0
26-Aug-2026
التدقيق الإملائي والنحو المحدث، إدراج خطوط أفقية لفصل المقاطع من أجل إمكانية القراءة.
2.0
30-May-2025
عنوان محدث، نص بديل، متطلبات النمط، والتنسيق.
1.0
29-Jul-2024
الإصدار الأولي
TAC Authored

تمت المساهمة بواسطة مهندسو Cisco

  • Praveenkumar Palanisamy
    Technical Consulting Engineer

هل كان هذا المستند مفيدًا؟

Feedbackالتعليقات

اتصل بنا

ينطبق هذا المستند على هذه المنتجات