تكوين ملف تعريف NAM الآمن للعميل على Windows باستخدام ISE

خيارات التنزيل

  • PDF     (3.3 MB)
    عرض باستخدام Adobe Reader على مجموعة متنوعة من الأجهزة
  • ePub     (3.5 MB)
    العرض في تطبيقات مختلفة على iPhone أو iPad أو نظام تشغيل Android أو قارئ Sony أو نظام التشغيل Windows Phone
  • Mobi (Kindle)     (2.4 MB)
    عرض على جهاز Kindle أو تطبيق Kindle على أجهزة متعددة
تم التحديث:٣٠ مايو ٢٠٢٥
معرّف المستند:222236

لغة خالية من التحيز

تسعى مجموعة الوثائق لهذا المنتج جاهدة لاستخدام لغة خالية من التحيز. لأغراض مجموعة الوثائق هذه، يتم تعريف "خالية من التحيز" على أنها لغة لا تعني التمييز على أساس العمر، والإعاقة، والجنس، والهوية العرقية، والهوية الإثنية، والتوجه الجنسي، والحالة الاجتماعية والاقتصادية، والتمييز متعدد الجوانب. قد تكون الاستثناءات موجودة في الوثائق بسبب اللغة التي يتم تشفيرها بشكل ثابت في واجهات المستخدم الخاصة ببرنامج المنتج، أو اللغة المستخدمة بناءً على وثائق RFP، أو اللغة التي يستخدمها منتج الجهة الخارجية المُشار إليه. تعرّف على المزيد حول كيفية استخدام Cisco للغة الشاملة.

حول هذه الترجمة

ترجمت Cisco هذا المستند باستخدام مجموعة من التقنيات الآلية والبشرية لتقديم محتوى دعم للمستخدمين في جميع أنحاء العالم بلغتهم الخاصة. يُرجى ملاحظة أن أفضل ترجمة آلية لن تكون دقيقة كما هو الحال مع الترجمة الاحترافية التي يقدمها مترجم محترف. تخلي Cisco Systems مسئوليتها عن دقة هذه الترجمات وتُوصي بالرجوع دائمًا إلى المستند الإنجليزي الأصلي (الرابط متوفر).

    المقدمة

    يوضح هذا المستند كيفية نشر ملف تعريف مدير الوصول إلى شبكة العميل الآمن (NAM) من Cisco من خلال محرك خدمات الهوية (ISE).

    المتطلبات الأساسية

    المتطلبات

    توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

    • محرك خدمات كشف الهوية (ISE)
    • محرر ملف التعريف و AnyConnect NAM
    • نهج الوضع
    • تكوين Cisco Catalyst لخدمات 802.1x

    المكونات المستخدمة

    تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

    • Cisco ISE، الإصدار 3.3 والإصدارات الأحدث
    • Windows 10 مع Cisco Secure Mobility Client 5.1.4.74 والإصدارات الأحدث
    • المحول Cisco Catalyst 9200 switch ببرنامج Cisco IOS® XE 17.6.5 والإصدارات الأحدث
    • Active Directory 2016

    تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

    معلومات أساسية

    تحدث مصادقة EAP-FAST في مرحلتين. في المرحلة الأولى، يستخدم EAP-FAST مصافحة TLS لتوفير ومصادقة مبادلات المفاتيح باستخدام كائنات قيم النوع الطول (TLV) لإنشاء نفق محمي. يتم إستخدام كائنات TLV هذه لنقل البيانات المتعلقة بالمصادقة بين العميل والخادم. وبمجرد إنشاء النفق، تبدأ المرحلة الثانية بانخراط عقدة العميل ومعهد خدمات الهوية (ISE) في مزيد من المحادثات لإنشاء سياسات المصادقة والتفويض المطلوبة.

    يتم إعداد ملف تعريف تكوين NAM لاستخدام EAP-FAST كطريقة مصادقة ويتوفر للشبكات المعرفة إداريا.
    وبالإضافة إلى ذلك، يمكن تكوين كلا من أنواع اتصال الجهاز والمستخدم ضمن ملف تعريف تكوين NAM.
    يكتسب جهاز Windows الخاص بالشركة حق الوصول الكامل إلى الشركة باستخدام NAM مع فحص Posture.
    يكتسب جهاز Windows الشخصي حق الوصول إلى شبكة مقيدة باستخدام نفس تكوين NAM.

    يقدم هذا المستند تعليمات لنشر ملف تعريف Cisco Secure Client Network Access Manager (NAM) عبر مدخل وضعية محرك خدمات الهوية (ISE) باستخدام نشر الويب، بالإضافة إلى التحقق من توافق الوضع.

    التكوين

    الرسم التخطيطي للشبكة

    Network Diagram

    تدفق البيانات

    عندما يتصل جهاز كمبيوتر بالشبكة، يوفر ISE نهج التخويل لإعادة التوجيه إلى مدخل الوضع.
    تتم إعادة توجيه حركة مرور بيانات HTTP على الكمبيوتر الشخصي إلى صفحة إمداد عميل ISE، حيث يتم تنزيل تطبيق NSA من ISE.
    ثم يقوم NSA بتثبيت الوحدات النمطية لوكيل العميل الآمن على الكمبيوتر الشخصي.
    بعد اكتمال تثبيت البرنامج العميل، يقوم البرنامج العميل بتنزيل ملف تعريف Posture (الوضع) وملف تعريف NAM الذي تم تكوينه على ISE.
    يؤدي تثبيت وحدة NAM إلى تشغيل إعادة التشغيل على الكمبيوتر.
    بعد إعادة التشغيل، تقوم وحدة NAM بتنفيذ مصادقة EAP-FAST استنادا إلى ملف تعريف NAM.
    يتم بعد ذلك تشغيل فحص Posture (وضعية محرك خدمات الهوية (ISE)) ويتم التحقق من التوافق استنادا إلى نهج وضع ISE.

    تكوين المحول

    قم بتكوين محول الوصول لمصادقة dot1x وإعادة التوجيه.

    aaa new-model

    نقطة مصادقة AAA1x نصف قطر المجموعة الافتراضية
    نصف قطر المجموعة الافتراضية لشبكة تفويض AAA
    نقطة محاسبة AAA1x لنصف قطر مجموعة بدء-إيقاف افتراضي
    المؤلف الديناميكي لنصف قطر خادم AAA
    client 10.127.197.53 server-key qwerty123
    المصادقة-النوع Any

    AAA جلسة-id مشترك
    ip radius source-interface vlan1000
    سمة خادم RADIUS 6 on-for-login-auth
    سمة خادم RADIUS 8 تضمين-in-access-req
    يتضمن طلب الوصول 25 سمة خادم radius
    سمة خادم نصف القطر 31 تنسيق mac ietf من الحالة العليا
    خادم RADIUS RAD1
    عنوان IPv4 <ISE Server IP> المنفذ 1812 access-port 1813
    المفتاح <secret-key>

    dot1x system-auth-control

    تكوين قائمة التحكم في الوصول لإعادة التوجيه للمستخدم المراد إعادة توجيهه إلى مدخل إمداد عميل ISE.

    قائمة التحكم في الوصول الموسعة ل ip access-list
    10 رفض UDP أي مجال eq
    20 رفض TCP أي مجال eq
    30 رفض بروتوكول UDP لأي نظام تمهيد تشغيل EQ BOOTPC لأي أنظمة تمهيد تشغيل خاصة ب EQ
    40 رفض IP لأي مضيف <ISE Server IP>
    50 السماح باستخدام أي بروتوكول EQ www
    60 تصريح TCP أي eq 443

    قم بتمكين تعقب الجهاز وإعادة توجيه HTTP على المحول.

    نهج تعقب الأجهزة <اسم نهج تعقب الأجهزة>
     تمكين التعقب
    قارن <interface name>
     <اسم نهج تعقب الجهاز> الخاص بإرفاق نهج الجهاز

    ip http server
    ip http secure-server

    تنزيل حزمة Secure Client

    قم بتنزيل Profile Editor و Secure Client Windows و Compliance Module Webdeploy Files يدويا من software.cisco.com 

    في شريط البحث عن اسم المنتج، اكتب Secure Client 5.

    الصفحة الرئيسية للتنزيلات > الأمان > أمان نقطة النهاية > العميل الآمن (بما في ذلك AnyConnect) > العميل الآمن 5 > برنامج عميل AnyConnect VPN

    • Cisco-secure-client-win-5.1.x-webdeploy-k9.pkg
    • Cisco-secure-client-win-4.3.x-isecompliance-webdeploy-k9.pkg
    • tools-cisco-secure-client-win-5.1.x-profileeditor-k9.msi

    تكوين ISE

    الخطوة 1. تحميل الحزمة على ISE

    لتحميل حزم نشر الويب الخاصة ب Secure Client و Compliance Module على ISE، انتقل إلى مركز العمل > Posture > Client Provisioning > Resources > Add > Agent Resources (موارد الوكيل) من القرص المحلي.

    Upload the Package on ISE

    Resources

    الخطوة 2. إنشاء ملف تعريف NAM من أداة محرر ملف التعريف

    أحلت لمعلومة على كيف أن يشكل NAM profile أن هذا مرشد يشكل يأمن زبون NAM ل dot1x يستعمل Windows و ISE 3.2

    الخطوة 3. تحميل ملف تعريف NAM على ISE

    لتحميل ملف تعريف NAM Configuration.xml على ISE كملف تعريف الوكيل، انتقل إلى إمداد العميل > الموارد > موارد الوكيل من القرص المحلي.

    Upload the NAM Profile on ISE

    الخطوة 4. إنشاء ملف تعريف للوضع 

    Create a Posture Profile

    Posture Profile Created

    من قسم بروتوكول الوضع، لا تنس إضافة * للسماح للوكيل بالاتصال بجميع الخوادم.

    الخطوة 5. إنشاء تكوين الوكيل

    Create Agent Configuration

    حدد حزمة الوحدة النمطية للتوافق والعميل الآمن التي تم تحميلها ضمن تحديد الوحدة النمطية، حدد وحدات ISE Posture وNAM و DART.

    Upload Secure Client and Compliance Module Package

    تحت تحديد ملف التعريف، أختر الوضع وملف تعريف NAM وانقر فوق إرسال.

    Choose Posture and NAM Profile

    الخطوة 6. سياسة توفير العميل

    قم بإنشاء نهج توفير عميل لنظام التشغيل Windows وحدد تكوين الوكيل الذي تم إنشاؤه في الخطوة السابقة.

    Client Provisioning Policy

    الخطوة 7. سياسة الوضع

    للحصول على معلومات حول كيفية إنشاء سياسة الوضع وشروطه، ارجع إلى دليل النشر الوضعي ل ISE هذا.

    الخطوة 8. إضافة جهاز شبكة

    لإضافة عنوان IP للمحول ومفتاح سر RADIUS المشترك، انتقل إلى إدارة > موارد الشبكة.

    Add Network Device

    Shared Secret

    الخطوة 9. ملف تعريف التفويض

    لإنشاء ملف تخصيص إعادة توجيه للوضعية، انتقل إلى السياسة > عناصر السياسة > النتائج.

    Authorization Profile

    تحت المهام المشتركة، حدد مدخل تزويد العميل مع قائمة التحكم في الوصول (ACL) لإعادة التوجيه.

    Select Client Provisioning Portal with Redirect ACL

    الخطوة 10. البروتوكولات المسموح بها

    انتقل إلى السياسة > عناصر السياسة > النتائج > المصادقة > البروتوكولات المسموح بها، حدد إعدادات تسلسل EAP.

    Allowed Protocols

    Allow EAP-FAST and Enable EAP Chaining

    الخطوة 11. خدمة Active Directory

    تم انضمام التحقق من صحة ISE إلى مجال Active Directory وتم تحديد مجموعات المجالات، إذا لزم الأمر لشروط التخويل.

    إدارة > إدارة الهوية > مصادر الهوية الخارجية > Active Directory

    Active Directory

    الخطوة 12 - مجموعات السياسات

    قم بإنشاء مجموعة نهج على ISE لمصادقة طلب dot1x. انتقل إلى السياسة > مجموعات السياسات.

    Policy Sets

    حدد Active Directory كمصدر هوية لنهج المصادقة.

    Select Active Directory

    قم بتكوين قواعد تخويل مختلفة استنادا إلى حالة الوضع غير معروفة وغير متوافقة ومتوافقة.

    في حالة الاستخدام هذه.

    • الوصول الأولي: إعادة التوجيه إلى بوابة إمداد عميل ISE لتثبيت عميل آمن وملف تعريف NAM.
    • وصول غير معروف: الوصول إلى مدخل إمداد العميل لاكتشاف الوضع المستند إلى إعادة التوجيه.
    • وصول متوافق: الوصول الكامل إلى الشبكة.
    • غير متوافق: رفض الوصول.

    Authorization Rules

    التحقق من الصحة

    الخطوة 1. تنزيل وحدة Secure Client Posture/NAM النمطية من ISE وتثبيتها

    حدد نقطة النهاية التي تمت مصادقتها من خلال dot1x، مع الوصول إلى قاعدة تفويض الوصول الأولي. انتقل إلى العمليات > RADIUS > السجلات المباشرة.

    Download and Install Secure Client Posture/NAM Module from ISE

    على المحول، حدد عنوان URL لإعادة التوجيه وقائمة التحكم في الوصول التي سيتم تطبيقها على نقطة النهاية.

    تفاصيل Switch#show Authentication Session Interface te1/0/24
    الواجهة: TenGigabitEthernet1/0/24
    IIF-ID: 0x19262768
    عنوان MAC: x4x6.xxxx.xxx
    عنوان IPv6: غير معروف
    عنوان IPv4: <client-ip>
    اسم المستخدم: host/DESKTOP-xxxxxx.xxx
    الحالة: مُفوض
    المجال: البيانات
    وضع مضيف Oper: مضيف واحد
    مفتاح التحكم DIR: كلاهما
    مهلة انتهاء الجلسة: غير متوفر
    معرف الجلسة المشتركة: 16D5C50A000002CF067366B
    معرف جلسة العمل: 0x000001f
    المقبض: 0x7a00017
    النهج الحالي: Policy_TE1/0/24


    السياسات المحلية:
    قالب الخدمة: Default_Linksec_POLICY_SHOULD_SECURE (الأولوية 150)
    نهج الأمان: يجب تأمينها
    حالة الأمان: إرتباط غير آمن

    نهج الخادم:
    قائمة التحكم في الوصول لإعادة توجيه URL: قائمة التحكم في الوصول (ACL) المحولة
    إعادة توجيه URL: https://ise33.xxxx:8443/portal/gateway?sessionId=16D5C50A0000002CF067366A&portal=ee39fd08-7180-4995-8aa2-9fb282645a8f&action=cpp&token=518f857900a37f9afc6d2da8b6fe3bc2
    قائمة التحكم في الوصول (ACL) ل ACS: xACSACLx-IP-permit_all_IPV4_TRAFFIC-57f6b0d3


    قائمة حالة الأسلوب:
    حالة الأسلوب
    dot1x Authc نجاح

    واجهة قاعدة بيانات تعقب الجهاز Switch#sh1/0/24

    طبقة عنوان الشبكة ربط طبقة عنوان قارن ن vlan عمر الحالة إلى اليسار
    ARP X.X.X.X b496.91f9.568b TE1/0/24 1000 005 4mn Reachable 39 S يحاول 0

    على نقطة النهاية، تحقق من حركة مرور البيانات التي تمت إعادة توجيهها إلى ISE Posture (وضعية محرك خدمات الهوية (ISE)) وانقر فوق بدء لتنزيل مساعد إعداد الشبكة على نقطة النهاية.

    Device Security Check

    Download and Install Agent

    انقر على تشغيل لتثبيت تطبيق NSA.

    Run Device Security Check

    والآن، تقوم NSA باستدعاء تنزيل "عميل العميل الآمن" من ISE وتثبيت الوضع ووحدة NAM وتكوين ملف تعريف NAM.xml.

    Secure Client Download in Progress

    تم تشغيل مطالبة إعادة التشغيل بعد تثبيت NAM. طقطقة نعم.

    Updates Completed, Restart Computer

    الخطوة 2. EAP-FAST 

    بمجرد إعادة تشغيل الكمبيوتر وتسجيل دخول المستخدم، تقوم NAM بمصادقة كل من المستخدم والجهاز من خلال EAP-FAST.

    إذا تمت مصادقة نقطة النهاية بشكل صحيح، فإن NAM يعرض أنها متصلة وأن الوحدة النمطية للوضع تقوم بتشغيل المسح الضوئي للوضعية.

    Authentication in Progress

    على سجلات ISE Live، تقوم نقطة النهاية الآن بالوصول إلى قاعدة الوصول غير المعروفة.

    Endpoint is Hitting Unknown Access Rule

    الآن يكون بروتوكول المصادقة EAP-FAST استنادا إلى تكوين ملف تعريف NAM ونجاح نتيجة EAP-Sequence.

    Result is Success

    الخطوة 3. المسح الضوئي للوضع

    تقوم الوحدة النمطية Secure Client Posture (وضعية العميل الآمنة) بتشغيل الفحص Posture (وضعية العميل) ويتم وضع علامة كشكوى استنادا إلى نهج وضعية ISE. 

    Posture Scan

    يتم تشغيل CoA بعد مسح Posture (وضعية) والآن تقوم نقطة النهاية بالوصول إلى نهج الوصول إلى الشكوى.

    CoA Triggered after the Posture Scan

    استكشاف الأخطاء وإصلاحها

    الخطوة 1. ملف تعريف NAM

    تحقق من وجود تكوين ملف تعريف NAM.xml في هذا المسار على الكمبيوتر الشخصي بعد تثبيت وحدة NAM النمطية.

    C:\ProgramData\Cisco\CiscoSecure Client\Network Access Manager\System

    NAM Profile

    الخطوة 2. تسجيل الدخول الموسع ل NAM

    انقر على رمز العميل الآمن من شريط المهام وحدد رمز الإعدادات.

    NAM Extended Logging

    انتقل إلى الشبكة > علامة التبويب إعدادات السجل. حدد خانة الاختيار تمكين التسجيل الموسع.
    اضبط حجم ملف التقاط الحزمة على 100 ميغابايت.

    بعد إنتاج الإصدار، انقر التشخيص لإنشاء حزمة DART على نقطة النهاية.

    Click Diagnostics to Create the DART Bundle on the Endpoint

    يعرض قسم محفوظات الرسائل تفاصيل كل خطوة قامت NAM بتنفيذها.

    الخطوة 3. تصحيح الأخطاء على المحول

    مكنت هذا يضبط على المفتاح أن يتحرى dot1x و redirection تدفق.

    debug ip http all

    حركات debug ip http

    debug ip http url

    set platform software trace smd switch active R0 aaa debug
    set platform software trace smd مفتاح نشط R0 dot1x-all debug
    set platform software trace smd switch active R0 radius debug
    set platform software trace smd switch active R0 auth-mgr-all debug
    set platform software trace smd switch active R0 eap-all debug
    set platform software trace smd switch active R0 epm-all debug

    ضبط تصحيح أخطاء إعادة توجيه SMD لتتبع برنامج النظام الأساسي نشط R0 EPM

    set platform software trace smd switch active R0 webauth-aaa debug

    set platform software trace smd switch active R0 webauth-httpd debug

    لعرض السجلات

    show logging

    show logging process smd داخلي

    الخطوة 4. تصحيح الأخطاء على ISE

    تجمع حزمة دعم ISE مع هذه الأجهزة التي سيتم تعيينها على مستوى تصحيح الأخطاء:

    • وضعية 
    • بوابة 
    • إمداد 
    • Runtime-AAA 
    • إن إس إف 
    • NSF-جلسة 
    • سويسري 
    • عميل-WebApp 

    معلومات ذات صلة

    تكوين NAM العميل الآمن ل Dot1x باستخدام Windows و ISE 3.2

    دليل النشر الوضعي ل ISE Posture

    أستكشاف أخطاء Dot1x وإصلاحها على المحولات Cisco IOS® XE Catalyst 9000 Series Switches

    محفوظات المراجعة

    المراجعة تاريخ النشر التعليقات
    2.0
    30-May-2025
    عنوان محدث، نص بديل، متطلبات النمط، والتنسيق.
    1.0
    29-Jul-2024
    الإصدار الأولي
    TAC Authored

    تمت المساهمة بواسطة مهندسو Cisco

    • Praveenkumar Palanisamy
      Technical Consulting Engineer

    هل كان هذا المستند مفيدًا؟

    Feedbackالتعليقات

    اتصل بنا

    ينطبق هذا المستند على هذه المنتجات