تكوين المصادقة الخارجية لنظام التشغيل AsyncOS باستخدام ISE (RADIUS)

المقدمة

يصف هذا المستند تكوين مصادقة RADIUS الخارجية بين عبارة البريد الإلكتروني الآمنة من Cisco ومحرك خدمات الهوية من Cisco.

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

• المصادقة والتفويض والمحاسبة (AAA)
• سمة فئة RADIUS. 
• إدارة هوية Cisco ISE وسياسات التفويض.
• أدوار مستخدم عبارة البريد الإلكتروني الآمن (ESA) و Secure Email و Web Manager (SMA) من Cisco

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

• Cisco ISE، الإصدار 2.4
• عبارة البريد الإلكتروني الآمن من Cisco (ESA) 13.5.1، 13.7.0
• Cisco Secure Email and Web Manager (SMA) 13.6.2

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

المنتجات ذات الصلة

لم يتم إختبار الإصدارات الموجودة خارج تلك المدرجة في قسم المكونات المستخدمة.

معلومات أساسية

سمة فئة RADIUS

سمة الفئة هي قيمة عشوائية يقوم خادم RADIUS بإرجاعها في إستجابة قبول الوصول وتضمينها في حزم المحاسبة. ويتم تكوينها في Cisco ISE على أساس كل مجموعة.

عندما يطابق مستخدم مجموعة ISE لها السمة 25 المرتبطة بها، ترجع ISE قيمة الفئة على Access-Accept. بعد ذلك، تقرأ "عبارة البريد الإلكتروني الآمنة" هذه القيمة وتطبق الدور المحلي المحدد في جدول التعيين الخاص بها.

التكوين

الرسم التخطيطي للشبكة

يقبل Cisco Identity Services Engine طلبات المصادقة من الجهاز ومطابقتها مقابل هوية مستخدم ومجموعة.

الخطوة 1. إنشاء مجموعة هوية للمصادقة

سجل الدخول إلى خادم ISE. انتقل إلى إدارة > إدارة الهوية > مجموعات > مجموعة هوية المستخدم وقم بإنشاء مجموعة هوية.

ملاحظة: توصي Cisco بمجموعة هوية واحدة في ISE لكل دور جهاز ليتم تعيينه.

الخطوة 2. إنشاء مستخدمين محليين للمصادقة

قم بإنشاء مستخدمين جدد، أو قم بتعيين مستخدمين حاليين، لمجموعة الهوية التي تم إنشاؤها في الخطوة 1. انتقل إلى إدارة > إدارة الهوية > الهويات وقم بإنشاء المستخدمين أو تعيينهم للمجموعة.

 

الخطوة 3. إنشاء ملفات تعريف التخويل

يمكن أن تنجح مصادقة RADIUS دون توصيف تخويل؛ ومع ذلك، لم يتم تعيين أي أدوار. لتعيين أدوار، انتقل إلى السياسة > عناصر السياسة > النتائج > التخويل > ملفات تخصيص التخويل.

ملاحظة: إنشاء ملف تعريف تفويض واحد لكل دور ليتم تعيينه.

ملاحظة: تأكد من إستخدام سمة فئة RADIUS 25 وأعطي اسما. يجب أن يتطابق هذا الاسم مع التكوين على AsyncOS (ESA/SMA). من Figure 3 Administrators هو اسم سمة الفئة.

الخطوة 4. إنشاء سياسة تخويل

تتيح هذه الخطوة ISE تعريف تسجيل الدخول إلى محاولات وتخطيطهم إلى ملف تعريف التخويل الصحيح. في حالة التطابق الناجح، يقوم ISE بإرجاع Access-Accept مع قيمة الفئة المحددة في ملف التعريف.

انتقل إلى السياسة > مجموعات السياسات وحدد إضافة (+ رمز).

قم بتعيين اسم وحدد رمز زائد لإضافة الشروط المطلوبة. تستخدم بيئة المعمل هذه حالة عنوان NAS-IP ل Radius. قم بحفظ النهج الجديد.

لمطابقة طلبات التخويل بشكل صحيح، قم بإضافة الشروط. حدد الرمز > وقم بإضافة الشروط. تستخدم بيئة المعمل هذه InternalUser-IdentityGroup وتطابق كل ملف تعريف تخويل.

الخطوة 5. تمكين المصادقة الخارجية على الجهاز

سجل الدخول إلى الجهاز. انتقل إلى إدارة النظام > المستخدمون > المصادقة الخارجية وحدد تمكين المصادقة الخارجية.

قم بإدخال القيم التالية:

• اسم مضيف خادم RADIUS
• المنفذ
• سر مشترك
• قيمة المهلة (بالثواني)
• بروتوكول المصادقة

حدد تعيين المستخدمين المصادق عليهم خارجيا للأدوار المحلية المتعددة (مستحسن).

ملاحظة: يجب أن تطابق قيمة فئة RADIUS القيمة المحددة في الخطوة 3 (التي يتم إدخالها ضمن المهمة المشتركة ASA VPN)، بما في ذلك الحالة.

إرسال التغييرات وتنفيذها.

التحقق من الصحة

أستخدم هذا القسم لتأكيد عمل التكوين بشكل صحيح.

1. سجل الدخول إلى الجهاز باستخدام مستخدم تتم مصادقته خارجيا.
2. تأكيد منح الوصول.
3. تأكيد الدور المعين يطابق الدور المتوقع من قيمة الفئة المرتجعة.
4. في ISE، تأكد من الوصول إلى قاعدة التخويل المتوقعة ومن إرجاع قيمة الفئة الصحيحة (العمليات > RADIUS > السجلات المباشرة).

استكشاف الأخطاء وإصلاحها

يوفر هذا القسم المعلومات التي يمكنك إستخدامها لاستكشاف أخطاء التكوين وإصلاحها.

العرض: يفشل تسجيل الدخول على الجهاز مع ظهور رسالة "اسم مستخدم أو كلمة مرور غير صحيحة".

السبب المحتمل: عدم تطابق في نهج التخويل أو قيمة الفئة التي تم إرجاعها أو بروتوكول المصادقة.

الدقة:

1. في إعدادات المصادقة الخارجية للجهاز، حدد بشكل مؤقت تعيين جميع المستخدمين المصادق عليهم خارجيا لدور المسؤول.(الصورة 11)
2. قم بإرسال التغييرات وتنفيذها، ثم حاول تسجيل دخول جديد.
3. إذا نجح تسجيل الدخول الآن، فإن المشكلة هي في تعيين الأدوار. أعد التحقق من ملف تعريف تخويل ISE (الفئة / السمة 25) وإعداد نهج التخويل.
4. ReviewOperations > RADIUS > Live Logsin ISE للتأكد من ملف تعريف التخويل الذي تمت مطابقته وقيمة الفئة التي تم إرجاعها.

معلومات ذات صلة

• دليل مستخدم ISE 2.4
• دليل مستخدم AsyncOS

محفوظات المراجعة

المراجعة	تاريخ النشر	التعليقات
2.0	21-Jul-2026	الترجمة الآلية المحدثة، SEO، النص البديل، متطلبات النمط، والتنسيق.
1.0	26-May-2021	الإصدار الأولي