تكوين البوابة المقيدة في Azure Entra على جدار الحماية الآمن

المقدمة

يصف هذا المستند تكوين معرف Microsoft Azure Entra للاستخدام مع البوابة المقيدة (المصادقة النشطة) على جدار الحماية الآمن من Cisco.

المتطلبات الأساسية

المتطلبات

توصي Cisco بمعرفة الموضوعات التالية:

• لغة ترميز تأكيد الأمان (SAML)
• Microsoft Azure
• مركز إدارة جدار الحماية الآمن (FMC) من Cisco
• الدفاع الآمن عن تهديد جدار الحماية (FTD) من Cisco

يجب أن يكون لديك طبقة التسعير القياسي المتوفرة في Azure لإنشاء مركز الأحداث. وبالإضافة إلى ذلك، يجب تنشيط الأجهزة باستخدام "الترخيص الذكي" الذي يتم تمكينه مع الوظائف التي يتم التحكم فيها بواسطة التصدير.

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

• Cisco Secure FTD، الإصدار 10.0
• Cisco Secure FMC، الإصدار 10.0

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

معلومات أساسية

في الوقت الذي تصارع فيه بنى الأمان التقليدية القائمة على بروتوكول الإنترنت (IP) لمواكبة بيئات العمل الديناميكية والهجين، توفر المصادقة النشطة لجدار الحماية الآمن من Cisco مع دمج SAML حلا قويا يرتكز على الهوية. من خلال الاستفادة من معرف Microsoft Entra (Azure AD) كموفر هوية مركزي، يتيح هذا التكوين للمسؤولين إمكانية تجاوز قواعد الشبكة الثابتة وفرض التحكم في الوصول متعدد المستويات استنادا إلى هوية المستخدم التي تم التحقق منها بدلا من عناوين الشبكة المتقلبة. يعمل هذا الدمج على تسهيل تجربة المستخدم من خلال تسجيل الدخول الأحادي بسلاسة تامة (SSO) والمصادقة متعددة العوامل الإلزامية (MFA)، مع ضمان توفر وضع أمان موحد يحافظ على إمكانية رؤية فائقة وإنفاذ السياسات عبر شبكة لا تحتاج إلى أي نطاق.

الرسم التخطيطي

البوابة المقيدة بين نقطة النهاية و FTD و Azure Entra

البوابة المقيدة بين EndPoint و Azure Entra

التكوين

المرحلة الأولى: تكوين FMC و DNS الأولي

ملاحظة: يستخدم هذا المختبر مركز إدارة جدار الحماية الذي تم توصيله عبر السحابة (CDfmc)؛ ومع ذلك، تبقى الخطوات نفسها بالنسبة ل FMC المحلية.

الخطوة 1: تمكين موصل السمات الديناميكية (CSDAC) من Cisco

1) أختر عمليات التكامل > موصل السمات الديناميكية.

أختر موصل السمات الديناميكية لعمليات التكامل

2) انقر فوق عنصر التحكم المجاور لسلسلة معطل لتمكين CSDAC.

تمكين موصل السمات الديناميكية من Cisco

ج) انقر فوق تم بمجرد اكتمال تمكين CSDAC.

تمكين حالة موصل السمات الديناميكية من Cisco

الخطوة 2: قم بإنشاء ممثل كائن شبكة اسم مجال مؤهل بالكامل لواجهة مدخل FTD

1) أختر كائنات > إضافة شبكة > إضافة كائن.

إنشاء كائن شبكة اسم مجال مؤهل بالكامل جديد

2) قم بتسمية كائن الشبكة الذي تم تكوينه باستخدام اسم المجال المؤهل بالكامل (FQDN). أدخل FQDN، وقم بتعيين كائن الشبكة كنوع FQDN بالنقر فوق الزر التبادلي المناسب. انقر فوق حفظ.

تكوين متغيرات كائن شبكة FQDN

الخطوة 3: تكوين سجل DNS

1) المثال المبين هنا يستخدم نظام التشغيل Windows Server 2025؛ راجع الوثائق الخاصة بخادم دقة الاسم المحدد حسب الحاجة. 

DNS الخاص ب Windows Server تكوين سجل

ملاحظة: يجب أن يكون العميل الذي يقوم بتنفيذ المصادقة النشطة قادرا على حل سجل DNS A هذا.

المرحلة الثانية: تكوين البنية الأساسية للمفتاح العام

يمكن إستخدام مرجع شهادة داخلي (CA) كالبنية الأساسية للمفتاح العام (PKI) لتكوين المصادقة النشطة. يتطلب كل من Cisco FMC و FTD تحميل مفتاح CA العام الداخلي والمفتاح الخاص المقترن به ككائن CA داخلي لتنفيذ عمليات اعتراض SSL الضرورية وفك تشفيرها. بالإضافة إلى ذلك، يجب الوثوق ب CA الداخلي داخل مستعرض العميل الذي يتم إجراء المصادقة النشطة منه. راجع وثائق مستعرض العميل للتحقق من كيفية تأكيد أن المستعرض يثق في الشهادة.

الخطوة 1: إستيراد شهادة CA الداخلية إلى FMC

1) أختر الكائنات > PKI > مصدات الوصول (CAs) الداخلية. انقر على إستيراد مرجع مصدق.

ملاحظة: كما يمكن إنشاء المرجع المصدق الداخلي مباشرة على FMC.

إستيراد مرجع الشهادة الداخلي إلى مركز إدارة الجدار الناري

ملاحظة: ضمن محتوى هذا المستند، يظهر الفراغ الأبيض الذي يغطي قيم الحقل المختلفة في الصور وهو مقصود لكل نشر لهذا المستند. يتم انعكاس القيم الفعلية لبيئتك أثناء عملية التكوين.

الخطوة 2: توقيع شهادة مزود الخدمة مع المرجع المصدق

1) يجب توقيع شهادة مزود الخدمة (SP) من قبل مرجع مصدق موثوق به (CA) وإعادتها بتنسيق PKCS#12 (.p12).

ملاحظة: يمكن توقيع هذا المرجع المصدق داخليا. التنبيه الوحيد هو أن المرجع المصدق الداخلي يجب أن يكون موثوقا به بواسطة جهاز العميل.

الخطوة 3: نشر شهادة SP إلى FTD

1) أختر أجهزة > شهادات.

انتقل إلى الأجهزة والشهادات

2) انقر إضافة شهادات.

إضافة شهادة جهاز جديدة

3) انقر على الجهاز من القائمة المنسدلة التي تقوم بتنفيذ المصادقة النشطة، ثم انقر على أيقونة + لإنشاء تسجيل شهادة جديد.

حدد FTD وأضف تسجيل شهادة جديد

4) قم بتسمية تسجيل الشهادة، ومن القائمة المنسدلة نوع التسجيل، أختر ملف PKCS12.

إعدادات تسجيل الشهادة والنوع

5) قم باستيراد ملف PKCS#12 بالنقر على إستعراض ملف PKCS12 وأدخل عبارة المرور المطلوبة. انقر فوق حفظ.

إستعراض واستيراد ملف PKCS12

6) تأكد من أن تفاصيل التسجيل صحيحة وانقر فوق إضافة.

تأكيد تفاصيل تسجيل الشهادة

7) يعكس الاستيراد قيد التقدم.

بمجرد اكتمال الاستيراد، يمكن التحقق من معلومات شهادة SP بالنقر فوق رمز المعرف الخاص بالشهادة التي تم تكوينها.

إستيراد الشهادة قيد التقدم

المرحلة الثالثة: تكوين Azure

الخطوة 1: إنشاء تطبيق Entra Enterprise لمجموعة أدوات SAML

1) ابحث عن تطبيقات المؤسسات وانقر فوقها.

البحث والوصول إلى تطبيقات المؤسسة

2) انقر فوق + تطبيق جديد.

حدد تطبيقا جديدا ضمن تطبيقات المؤسسة

3) ابحث عن Microsoft Entra SAML Toolkit وانقر فوق الصورة المصغرة له.

بحث وتحديد Microsoft Entra SAML Toolkit

4) قم بتخصيص اسم لتطبيق Microsoft Entra SAML Toolkit Enterprise وانقر فوق إنشاء. (مرجع من Microsoft: اقرأ تعليمنا المدروس لتكامل مجموعة أدوات Microsoft Entra SAML خطوة بخطوة).

تعيين اسم لتطبيق مجموعة أدوات SAML

5) في صفحة النظرة العامة، قم بتعيين مستخدمين محددين ومجموعات معينة إلى تطبيق SAML Toolkit Enterprise. في هذا المثال، يعد حساب الاختبار (Captive-Portal-user) عضوا في مجموعة Active-Auth-lab.

تعيين مستخدمين ومجموعات للتطبيق

6) يستمر تكوين تطبيق المؤسسة هذا في الخطوات اللاحقة.

الخطوة 2: تكوين تسجيلات تطبيق معرف الإنترا

1) انتقل للخلف إلى معرف Entra ومن قائمة التنقل اليسرى، أختر تسجيلات التطبيق. انقر فوق عامل تصفية جميع التطبيقات وابحث عن الاسم المعطى لتطبيق المؤسسة. انقر فوق التطبيق المناسب.

انتقل إلى تسجيلات التطبيقات وجميع التطبيقات

2) تجميع القيم الأساسية وإعلامها ضمن تسجيل تطبيقات المؤسسة.

هام: قم بالمرور فوق القيم للكشف عن نسخ إلى الحافظة وتجميع القيم تحت الأساسيات في صفحة نظرة عامة:

• اسم العرض
• معرف التطبيق (العميل)
• معرف الدليل (المستأجر)

تجميع قيم العرض والتطبيق ومعرف الدليل

3) انقر على إضافة شهادة أو رابط تشعبي سري.

إضافة شهادة أو إرتباط تشعبي سري

4) انقر فوق + سر عميل جديد.

إضافة سر عميل جديد

5) توفير وصف للسر وضبط انتهاء الصلاحية حسب الضرورة. انقر فوق إضافة (Add).

توفير وصف لسر العميل

6) انسخ السر.

هام: لاحظ القيمة السرية المنسوخة إلى الحافظة.

نسخ القيمة السرية للعميل

الخطوة 3. تكوين أذونات واجهة برمجة التطبيقات (API) ل Microsoft Graph لتسجيل التطبيق.

1) أختر أذونات واجهة برمجة التطبيقات من قائمة التنقل اليسرى، ثم انقر فوق + إضافة إذن.

تكوين أذونات واجهة برمجة التطبيقات

2) انقر فوق واجهة برمجة تطبيقات Microsoft Graph.

تحديد واجهة برمجة تطبيقات Microsoft Graph

3) منح أذونات المستخدم المفوض.القراءة، ثم انقر فوق إضافة الأذونات.

منح أذونات القراءة المفوضة للمستخدم

4) منح User.Read.All لأذونات التطبيق (حدد خانة الاختيار).

منح التطبيق قراءة كافة الأذونات

5) ابحث عن خانة الاختيار Group.Read.All (المجموعة) وحدد هذه خانة الاختيار لمنح أذونات القراءة للمجموعة أيضا. انقر فوق إضافة أذون.

حفظ أذونات واجهة برمجة التطبيقات

6) تأكد من توافق الأذونات التي تم تكوينها، وأمنح الموافقة الإدارية لها.

منح الموافقة الإدارية للأذونات

7) يتم عرض الناتج بمجرد منح موافقة المسؤول.

تم منح الإخراج بالموافقة الإدارية

الخطوة 4: تكوين مساحة اسم موزع الأحداث (EH)

1) ابحث عن مراكز الأحداث وانقر فوقها.

تكوين موزع أحداث البحث

2) إنشاء مساحة اسم جديدة EH.

إنشاء مساحة اسم موزع الأحداث

3) قم بتكوين مساحة اسم EH.

ملاحظة: يجب إختيار طبقة التسعير القياسية أو أعلى. تمنع طبقة التسعير الأساسية إستخدام النطاق.

راجع وثائق مركز أحداث Azure للحصول على مزيد من التقييم للإعدادات المتقدمة وقابلية التطبيق وفقا لاحتياجات معينة.

انقر فوق مراجعة + إنشاء.

تكوين إعدادات مساحة اسم موزع الأحداث

4) بمجرد نجاح التحقق من الصحة، انقر فوق إنشاء.

إنشاء نشر مساحة اسم موزع الأحداث

5) تأكد من اكتمال النشر، ثم انقر فوق انتقال إلى المورد.

الانتقال إلى مورد مساحة اسم موزع الأحداث

الخطوة 5: إختيار نهج الوصول المشترك أو إنشاؤها في مساحة اسم موزع الأحداث

1) من قائمة التنقل اليسرى، أختر إعدادات > سياسات الوصول المشترك.

انتقل إلى سياسات الوصول المشترك

2) انقر فوق + إضافة وأدخل اسم النهج الجديد، وحدد خانة الاختيار إدارة. انقر فوق إنشاء" في أسفل لوحة قائمة إضافة سياسة SAS.

إضافة نهج وصول مشترك جديد

إنشاء نهج وصول مشترك

الخطوة 6: تجميع معلومات توقيع الوصول المشترك (SAS) وملاحظتها من مساحة اسم EH

1) انقر فوق سياسة الوصول المشترك الجديدة؛ تظهر سياسة EH SAS في اللوحة الجانبية إلى اليمين.

نسخ سلسلة الاتصال الأساسية

هام: قم بنسخ سلسلة الاتصال الأساسية وملاحظتها.

الخطوة 7: إنشاء مثيل موزع أحداث داخل مساحة اسم موزع الأحداث

1) من قائمة مساحة الاسم، أختر كيانات > محاور الأحداث. انقر فوق + Event Hub لإنشاء مثيل EH جديد.

إنشاء مثيل موزع أحداث جديد

2) قم بتعيين اسم لمثيل EH الجديد، ثم انقر فوق مراجعة + إنشاء.

تعيين اسم لمثيل موزع الأحداث

3) بمجرد نجاح عملية التحقق من الصحة، انقر فوق إنشاء لتوفير مثيل مركز الأحداث.

مثيل Provision Event Hub

هام: قم بنسخ اسم مثيل Event Hub وملاحظته.

الخطوة 8: إنشاء مجموعة إستهلاكية لمثيل موزع الأحداث داخل مساحة اسم موزع الأحداث

1) انقر فوق مثيل EH الجديد المكون في الخطوة السابقة.

تكوين مثيل Access Event Hub

2) من مثال EH، أختر الكيانات > مجموعات المستهلكين، وقم بإنشاء مجموعة مستهلكين جديدة.

إنشاء مجموعة مستهلكين

3) قم بتسمية مجموعة المستهلكين وانقر فوق إنشاء.

تعيين اسم لمجموعة المستهلكين

هام: قم بنسخ اسم مجموعة المستهلكين لمثيل Event Hub وملاحظته.

الخطوة 9: التحقق من القيم المجمعة

1) في هذه المرحلة، يتعين ملاحظة هذه القيم التي تم الحصول عليها من الخطوات السابقة. إذا لم يتم تسجيل أي قيمة، فراجع الخطوة السارية حيث يتم تجميعها:

• المرحلة 3 الخطوة 2 - تسجيل التطبيق (لتطبيق المؤسسة الذي تم إنشاؤه لهذه العملية، المشار إليه بواسطة اسم العرض الذي تم تجميعه)
  • الخطوة 2، الخطوة الفرعية 2
    • اسم العرض 
    • معرف التطبيق (العميل)
    • معرف الدليل (المستأجر)
  • الخطوة 2، الخطوة الفرعية 6
    • سر العميل
• المرحلة الثالثة الخطوة 6 - مركز الأحداث
  • الخطوة 6، الخطوة الفرعية 1
    • مساحة اسم EH
      • سلسلة الاتصال الأساسية
  • الخطوة 7، الخطوة الفرعية 3
    • اسم مثيل EH (Event Hub)
  • الخطوة 8، الخطوة الفرعية 3
    • اسم مجموعة مستهلكي EH

الخطوة 10: تكوين دفق سجل تدقيق معرف الإنترا إلى مركز الأحداث

1) قم بالتنقل للخلف إلى تكوين مستأجر معرف الإنترا.

البحث والانتقال إلى تكوين مستأجر معرف الإنترا

2) من القائمة اليسرى، أختر مراقبة > إعدادات التشخيص.

مراقبة إعدادات التشخيص

3) أختر إعدادات التشخيص > عام وانقر فوق + إضافة إعداد تشخيص.

إضافة إعداد تشخيص جديد

4) قم بتعيين الاسم المطلوب إلى إعداد التشخيص، وحدد خانة الاختيار AuditLog لتسجيل الدخول، وحدد خانة الاختيار تدفق إلى مركز أحداث. راجع القيم التي تمت ملاحظتها من التكوينات السابقة، وانقر فوق حفظ عند الاكتمال.

تدفق سجلات التدقيق إلى مركز الأحداث

المرحلة 4: دمج تكوين المصادقة النشطة ل Azure و FMC/FTD

الخطوة 1: تكوين نطاق معرف Azure SAML/Entra باستخدام معالج FMC

1) ضمن FMC، أختر عمليات التكامل > الهوية > الروابط.

تكوين مجالات الهوية

2) انقر فوق إضافة القائمة المنسدلة مجال، واختر SAML - Azure AD.

إضافة SAML Azure AD Realm

3) قم بتعيين اسم ووصف لحقل Azure لوصف إستخدامه، وتأكد من إختيار المصادقة بشكل سلبي باستخدام Azure AD أو إستخدام مدخل أسير مع Azure AD من القائمة المنسدلة نوع التكوين. انقر فوق Next (التالي).

تكوين إعدادات نطاق Azure AD

4) أختر كائن FQDN الذي تم تكوينه مسبقا ليكون عنوان URL الأساسي. أدخل معرف الكيان بتنسيق السلسلة الموضح:

https://<fqdn-base-url>/<uniqueSuffix>

• عند تكوين لاحقة معرف كيان SAML (التي يتم تحتها بالأخضر في مثال التكوين التالي)، تأكد من أن اللاحقة فريدة بين عمليات تنفيذ SSO الأخرى داخل البيئة. يجب أن تتطابق هذه القيمة مع تكوين Azure SAML أيضا. يبقى URL الأساسي كما هو خلال التكوين.
• يتم ملء عنوان URL لخدمات العملاء المؤكدة (ACS) تلقائيا وهو غير قابل للتغيير.
• أختر شهادة مزود الخدمة (SP) المسجلة في خطوات سير العمل السابقة في FMC تحت الأجهزة > الشهادات.
• بعد إدخال هذه القيم، انقر فوق تنزيل بيانات تعريف موفر الخدمة لتسهيل عملية التكوين والتأكيد على أن القيم المتوقعة قد تمت كتابتها إلى Azure.

تكوين عنوان URL الأساسي ومعرف الوحدة وتنزيل بيانات تعريف SAML

5) انقر فوق التالي للانتقال إلى التسلسل 3 من تكوين النطاق.

الخطوة 2: تنفيذ بيانات تعريف SAML SP المكونة ل FMC في تطبيق Azure Enterprise

1) انتقل للخلف إلى Azure واختر معرف Entra > إدارة > تطبيقات المؤسسة. ابحث عن المثيل الذي تم إنشاؤه مسبقا لتطبيق Microsoft Entra SAML Toolkit Enterprise.

تحديد موقع تطبيق Microsoft Entra SAML Toolkit

2) من قائمة التنقل الجانبي، أختر إدارة > تسجيل الدخول الأحادي.

إدارة تكوين تسجيل الدخول الأحادي

3) انقر على وضع تسجيل الدخول الأحادي SAML (SSO).

تحديد وضع تسجيل الدخول الأحادي SAML

4) انقر فوق تحميل ملف بيانات التعريف وانقر فوق أيقونة المجلد الأزرق لاستعراض نظام الملفات المحلي الخاص بك للوصول إلى ملف بيانات تعريف SAML الذي تم تنزيله من FMC.

تحميل ملف بيانات التعريف من مركز إدارة جدار الحماية

5) بمجرد اكتمال التحميل، انقر فوق إضافة.

إضافة تطبيق تكوين SAML

6) تظهر اللوحة الجانبية لتكوين SAML الأساسي، ويتم إستخراج قيم مثل المعرف (معرف الوحدة) وعنوان ACS URL من ملف SP التعريفي الذي تم إنشاؤه بواسطة FMC والذي تم تحميله وتطبيقه تلقائيا. ومع ذلك، لم يتم ملء عنوان URL لتسجيل الدخول وهو مطلوب قبل الحفظ.

إستخراج تكوين SAML الأساسي

7) أستخدم نمط عنوان URL لتسجيل الدخول الممنوح، وقم بنسخ القيمة ولصقها، وانقر حفظ في الأعلى عند الإكمال.

تسجيل الدخول إلى إدخال تكوين URL

قم بالتمرير لأسفل إلى شهادات SAML، وأصدر ملف XML لبيانات تعريف الاتحاد الذي تم إنشاؤه من قبل Azure لاستيراده إلى FMC الآمن من Cisco.

تصدير ملف XML لبيانات تعريف الاتحاد

الخطوة 3: تكوين نطاق معرف Azure SAML/Entra باستخدام معالج FMC (تابع)

1) انتقل للخلف إلى وحدة التحكم في إدارة اللوحة الأساسية (FMC). تحت التسلسل 3، بيانات تعريف موفر هوية SAML (IdP)، قم بتحميل ملف بيانات تعريف الاتحاد XML الذي تم تصديره من Azure إلى FMC لملء القيم الضرورية تلقائيا.

تحميل ملف XML لبيانات تعريف الاتحاد

2) بمجرد تحميلها، يتم تعميم القيم كما هو موضح.

قيم موفر هوية SAML التي تم تعبئتها تلقائيا

ملاحظة: يتم عرض الإخراج الجزئي في الصورة.

3) إدخال القيم المجمعة خلال عملية التنفيذ حتى هذه النقطة:

• تسجيل التطبيق
  • معرف التطبيق (العميل)
  • سر العميل
  • معرف الدليل (المستأجر)
• مركز الأحداث
  • اسم المضيف لمساحة اسم EH
    • سلسلة الاتصال الأساسية لمساحة اسم EH
  • اسم مثيل EH (Event Hub)
    • اسم مجموعة مستهلكي EH

إدخال معلومات التطبيق ومركز الأحداث

بمجرد إدخال Azure، انقر فوق Test للتحقق من الاتصال وتأكد من إمكانية الوصول إلى Azure باستخدام المعلومات المتوفرة.

ملاحظة: إن أمكن، تأكد من أن مجموعات المستخدمين المستبعدة/المضمنة تتوافق مع تكوين النسخة

4) تتيح لك الخطوة الأخيرة للمعالج إمكانية تكوين مهلة مستخدمي مدخل SAML المأسورين. الافتراضي هو 1440 دقيقة.

تكوين مهلة المدخل المتنقل

5) انقر فوق التالي للمتابعة.

التقدم مع تكوين Azure AD Realm

6) يقدم المعالج ملخصا للتكوين الذي تم تنفيذه. انقر فوق حفظ في نهاية الملخص بعد التحقق من صحة القيم التي تم إدخالها وتأكيدها.

زر حفظ ملخص تكوين النطاق

الخطوة 4: التحقق من المستخدمين الذين تم تنزيلهم

1) تأكد من إمكانية تنزيل المستخدمين من Azure Entra باستخدام زر التنزيل الآن ضمن عمليات التكامل > الهوية > سير عمل RealMS.

تنزيل المستخدمين من Azure AD

2) انقر فوق نعم إستجابة لمطالبة مربع الحوار.

تأكيد تنزيل المستخدمين من Azure AD

3) ينتج عن مهمة التنزيل مستخدم واحد ومجموعة واحدة تم تنزيلها، كما هو مؤكد ضمن إعلامات > مهام.

إدخال الإعلام لتنزيل المستخدمين من Azure AD

المرحلة 5: تكوين السياسات في FMC

الخطوة 1: تكوين نهج فك التشفير

1) في FMC، أختر سياسات > سياسات التأمين > فك التشفير.

الانتقال إلى نهج فك التشفير

2) انقر فوق إنشاء قائمة منسدلة جديدة واختر سياسة فك التشفير (قائمة على القواعد).

إنشاء نهج فك تشفير جديد يستند إلى قواعد

3) قم بتعيين اسم، وإذا كان ذلك مطلوبا، وصف لسياسة فك التشفير الجديدة المستندة إلى القواعد، وانقر فوق خيار علامة التبويب الاتصالات الصادرة (حماية المستخدم) لتنفيذ وظيفة فك التشفير-الاستقالة المطلوبة لمصادقة البوابة المقيدة (المصادقة النشطة). 

تنفيذ تفاصيل سياسة الاتصالات الصادرة

4) أختر المرجع المصدق الداخلي الذي تم تطبيقه مسبقا من القائمة المنسدلة السارية الخاصة به في نفس الحوار. انقر فوق Next (التالي).

5) تخصيص الخيارات حسب الحاجة.

تخصيص خيارات نهج فك التشفير

6) في هذا المثال، يتم إستخدام الافتراضيات باستثناء تفاصيل السياسة المطلوبة. أكمل معالج التكوين بالنقر فوق إنشاء نهج.

إنشاء نهج فك الترميز النهائي

الخطوة 2: تكوين قواعد سياسة فك التشفير

1) يتم عرض التخطيط الافتراضي لسياسة فك الترميز المستندة إلى قواعد هنا. حركة المرور التي لا تطابق القواعد الافتراضية الممكنة، مثل القاعدة 3 (التي تشير إلى قائمة مخصصة مسبقا لأسماء المجالات غير المشفرة) والقاعدة 6 (التي تشير إلى التطبيقات التي تم وضع علامة عليها كغير مشفرة)، تخضع لإجراء فك التشفير - إلغاء التشفير - إلغاء التشفير بموجب القاعدة 7. يمكن تعديل هذه الافتراضيات، بالإضافة إلى الإجراء الافتراضي، حسب الحاجة. بشكل افتراضي، يتم تكوين حركة المرور التي لا تتطابق مع أي قاعدة أخرى على أنها لا تقوم بفك التشفير.

يجب عدم فك تشفير حركة مرور خدمة مصادقة Azure للفحص، لذلك يتم إنشاء قاعدة مخصصة لها. انقر فوق + إضافة قاعدة للبدء.

إضافة قاعدة وإظهار تخطيط فك تشفير مستند إلى قاعدة افتراضية

2) قم بتعيين اسم لإدخال قاعدة سياسة فك التشفير الجديدة، واختر عدم فك التشفير من القائمة المنسدلة "الإجراء"، ووضع القاعدة في أعلى القواعد الأقل تحديدا. كما يتم تنفيذ مناطق المصدر/الوجهة لتضييق القاعدة بشكل أكبر.

تكوين قاعدة عدم فك التشفير

3) قبل إضافة القاعدة، انقر فوق علامة التبويب تطبيقات، ابحث عن تطبيق خدمة مصادقة Azure وانقر فوق إضافة إلى القاعدة، ثم انقر فوق إضافة.

إضافة قاعدة تطبيق خدمة مصادقة Azure

4) انقر فوق حفظ.

حفظ نهج فك التشفير

الخطوة 3: إنشاء سياسة الهوية

1) أختر سياسات > سياسات التأمين > الهوية لإنشاء سياسة هوية.

إنشاء سياسة الهوية

2) قم بإنشاء نهج هوية جديد وانقر فوق إضافة نهج جديد.

إضافة تكوين نهج هوية جديد

3) قم بتعيين اسم، وإذا أمكن، وصف لنهج الهوية الجديد. انقر فوق حفظ.

تسمية نهج الهوية الجديدة

الخطوة 4: تكوين قواعد نهج الهوية

1) أضف قاعدة جديدة بالنقر فوق + إضافة قاعدة.

إضافة قاعدة نهج هوية جديدة

2) قم بتسمية القاعدة الجديدة، واختر المصادقة النشطة من القائمة المنسدلة الإجراء، وتضييق المناطق/الشبكات المحددة التي يجب أن تطابق القاعدة لتنفيذ المصادقة النشطة.

تكوين إعدادات قاعدة المصادقة النشطة

3) قبل النقر فوق إضافة، انقر فوق علامة التبويب النطاق والإعدادات ضمن محرر القواعد. تأكد من إختيار النطاق الذي تم تكوينه في الخطوات السابقة كحقل المصادقة، ثم انقر فوق إضافة.

تكوين النطاق والإعدادات لقاعدة الهوية

4) تتم إضافة القاعدة وتكوينها. انقر فوق حفظ.

حفظ تكوين قاعدة سياسة الهوية

الخطوة 5: تكوين سياسة التحكم في الوصول

1) أختر سياسات > سياسات الأمان > التحكم في الوصول، وانقر فوق سياسة التحكم في الوصول التي تم تعيين FTD لها.

تكوين سياسة التحكم في الوصول

2) تأكد من تطبيق سياسة فك التشفير التي تم تكوينها في الخطوات السابقة على نهج التحكم في الوصول.

تطبيق سياسة فك التشفير على التحكم في الوصول

3) تأكد من تطبيق سياسة الهوية التي تم تكوينها في الخطوات السابقة أيضا على نهج التحكم في الوصول. حفظ تغييرات النهج.

تطبيق سياسة الهوية على التحكم في الوصول

4) تأكد من وجود قواعد تسمح لحركة مرور مستوى بيانات العميل من خلال جدار الحماية الآمن بعد المصادقة النشطة الناجحة. يستخدم المثال الموضح هنا مجموعة قواعد أوسع في بيئة المعمل.

مجموعة قواعد حركة مرور مستوى بيانات المستخدم

الخطوة 6: نشر التكوينات إلى أجهزة جدار الحماية الآمنة من Cisco

بمجرد النشر، تتم مطالبة العملاء الذين يقومون بإرسال حركة مرور البيانات باستخدام صفحة ويب لتسجيل الدخول إلى Microsoft لإجراء المصادقة النشطة باستخدام Azure Entra.

للحصول على سياق إضافي على العملية الموثقة هنا، راجع إنشاء نطاق Microsoft Azure AD (SAML) للمصادقة النشطة (مدخل أسير) - الفصل: دليل تكوين جهاز FMC 10.x.

التحقق من الصحة

أستخدم هذا القسم للمساعدة في التأكد من أن التكوين يعمل بشكل صحيح.

واجهة المستخدم الرسومية

التحقق من صحة جلسات عمل المستخدم والنشاط في FMC:

• أختر عمليات التكامل > المستخدمين > جلسات العمل النشطة.

إخراج جلسات العمل النشطة ل FMC

• أختر عمليات التكامل > المستخدمين > نشاط المستخدم.

إخراج نشاط مستخدم FMC

في Azure، انتقل إلى مركز إدارة Microsoft Entra:

• قم بتصفية تطبيقات المؤسسات، ابحث عن/انقر فوق التطبيق القابل للتطبيق.

تنقل تطبيقات Enterprise لمركز إدارة Azure Entra

• أختر نشاط > سجلات تسجيل الدخول.

سجلات نشاط تسجيل دخول تطبيق Azure Enterprise

CLI

• في واجهة سطر أوامر (CLI) واجهة سطر الأوامر (FTD)، يمكنك رؤية الإحصائيات المتعلقة باستجابات مدخل SAML والمدخل الموقوف:

> debug menu captive-portal 6
SAML passed requests captive-portal 14
SAML failed requests captive-portal 0
SAML passed responses captive-portal 4
SAML failed responses captive-portal 0
Total captive-portal bee-client messages processed 4
Total captive-portal bee-client messages successful 4
Total captive-portal bee-client messages failed 0
Total bee-client reconnects 0

استكشاف الأخطاء وإصلاحها

تصحيح أخطاء البوابة المقيد

• يمكن إستخدام الأمر system support captive-portal-debug على FTD. يوضح الإخراج كيفية تمكين تصحيح الأخطاء ويلاحظ أيضا الأجزاء الأساسية للإخراج للمساعدة في فهم تدفق المدخل المضمن.

> system support captive-portal-debug

Enable firewall-debug too? [n]: y  
Enable identity-debug too? [n]: y  
Please specify an IP protocol: tcp  
Please specify a client IP address: 192.168.20.200  
Please specify a client port:  
Please specify a server IP address:  
Please specify a server port:  
Enable daq-debug too? (WARNING: current packet debug configs and logs will be overwritten) [n]:  
Monitoring captive_portal and firewall and identity debug messages

!--- Baseline output pending user Captive Portal authentication
...
192.168.20.200 53650 -> 198.51.100.1 443 6 AS=0 ID=1 GR=1-1 match rule order 1, id 1 action Captive portal, active auth realm id 2

192.168.20.200 53650 -> 198.51.100.1 443 6 AS=0 ID=1 GR=1-1 didn't find active binding, initiating captive portal

192.168.20.200 53650 -> 198.51.100.1 443 6 AS=0 ID=1 GR=1-1 captive portal authentication started

192.168.20.200 53650 -> 198.51.100.1 443 6 AS=0 ID=1 GR=1-1 defer trust until captive portal redirect is sent.

192.168.20.200 53650 -> 198.51.100.1 443 6 AS=0 ID=1 GR=1-1 Current state = S_INIT, Event = EVT_CP_RULE, Next state = S_PENDING_USER
...
!--- Captive Portal probe intercepted and redirected to SAML IdP (generate_204)
...
192.168.20.200 53659 -> 198.51.100.2 80 6 AS=0 ID=1 GR=1-1 AppID session with service_id: 676, url: http://browserportal.example.com

192.168.20.200 53659 -> 198.51.100.2 80 6 AS=0 ID=1 GR=1-1 Current state = S_PENDING_USER, Event = EVT_APPID_HTTP_HEADERS, Next state = S_REDIRECTING

192.168.20.200 53659 -> 198.51.100.2 80 6 AS=0 ID=1 GR=1-1 app event changes: service, client, host, url, user-agent, client-info

192.168.20.200 53659 -> 198.51.100.2 80 6 AS=0 ID=1 GR=1-1 using ipv4 address 192.168.20.1 for redirect

192.168.20.200 53659 -> 198.51.100.2 80 6 AS=0 ID=1 GR=1-1 encrypted redirect url: https://ftd-inside.example.com/+CSCOE+/saml/sp/login?tgname=azure-entra-saml&s=xxxx=http%3A%2F%2Fbrowserportal.example.com%2Fgenerate_204

192.168.20.200 53659 -> 198.51.100.2 80 6 AS=0 ID=1 GR=1-1 Current state = S_REDIRECTING, Event = EVT_FINALIZE, Next state = S_REDIRECTED
...
!--- SAML authentication completes, identity binding created 
...

192.168.20.200 54023 -> 198.51.100.2 80 6 AS=0 ID=2 GR=1-1 looked for user_id with realm_id 2 auth_type 2, returning realm_id 2 auth_type 8 user_id 0

192.168.20.200 54023 -> 198.51.100.280 6 AS=0 ID=2 GR=1-1 found active binding for user_id 0 usernames azure-entra-saml\captive-portal-user@onmicrosoft.example.com in realm 2

192.168.20.200 54023 -> 198.51.100.2 80 6 AS=0 ID=2 GR=1-1 IdentityFlowSetupEventHandler Retrieved identity info: user_id 0, username azure-entra-saml\captive-portal-user@onmicrosoft.example.com, authRealmId 2, src sgt 0, src sgt type unknown, dst sgt 0, dst sgt type unknown, deviceType 0, locationIP ::

192.168.20.200 54023 -> 198.51.100.2 80 6 AS=0 ID=2 GR=1-1 New firewall session

192.168.20.200 54023 -> 198.51.100.2 80 6 AS=0 ID=2 GR=1-1 allow action
...
!--- Authenticated binding persists across subsequent, unrelated destinations (no further redirects)
...
192.168.20.200 54024 -> 198.51.100.2 80 6 AS=0 ID=2 GR=1-1 found active binding for user_id 0 usernames azure-entra-saml\captive-portal-user@onmicrosoft.example.com in realm 2

192.168.20.200 54025 ->  198.51.100.1 443 6 AS=0 ID=1 GR=1-1 found active binding for user_id 0 usernames azure-entra-saml\captive-portal-user@onmicrosoft.example.com in realm 2

192.168.20.200 54026 ->  198.51.100.2 80 6 AS=0 ID=1 GR=1-1 found active binding for user_id 0 usernames azure-entra-saml\captive-portal-user@onmicrosoft.example.com in realm 2

192.168.20.200 54027 ->  198.51.100.3 443 6 AS=0 ID=1 GR=1-1 found active binding for user_id 0 usernames azure-entra-saml\captive-portal-user@onmicrosoft.example.com in realm 2

192.168.20.200 19935 ->  198.51.100.4 443 6 AS=0 ID=1 GR=1-1 found active binding for user_id 0 usernames azure-entra-saml\captive-portal-user@onmicrosoft.example.com in realm 2
...

تفريغ هوية المستخدم

• لأخذ لقطة لبيانات حالة هوية المستخدم الحالية على FTD، قم بتشغيل الأمر system support firewall-engine-dump-user-identity-data على واجهة سطر الأوامر (CLI) الخاصة ب FTD:

> system support firewall-engine-dump-user-identity-data

Successfully commanded snort.

>

• في واجهة سطر الأوامر (CLI) في وضع الخبير، أثناء تسجيل الدخول باستخدام بيانات اعتماد المسؤول المحلي لجهاز FTD، اعرض محتويات الملف المهمل في /ngfw/var/sf/user_enforcement/user_identity.dump

> expert
admin@ftd:~$ sudo su
Password:
root@ftd:/home/admin#
root@ftd:/home/admin# ls -lah /ngfw/var/sf/user_enforcement/user_identity.dump
-rw------- 1 root root 5.6K Oct  7 07:51 /ngfw/var/sf/user_enforcement/user_identity.dump
root@ftd:/home/admin# 
root@ftd:/home/admin# less /ngfw/var/sf/user_enforcement/user_identity.dump
...
----------------
IP:USER
----------------

!--- Host IP is aligned with the user authenticated via Captive Portal/Active Authentication
----------------
Host ::ffff:192.168.20.200
----------------
::ffff:192.168.20.200:0 realm 2 type 8, username azure-entra-saml\captive-portal-user@onmicrosoft.example.com
::ffff:192.168.20.200: SXP initialized 0 sgt 0
ABP values: None

-------------------
SXP MAPPING:
-------------------

...

القضايا المحتملة

سلطة شهادات غير معروفة للمدخل الموجود في الأسر

المشكلة: يقوم مستعرض العميل بإرجاع خطأ مصدر غير معروف عند محاولة المصادقة.

السبب المحتمل: المرجع المصدق الداخلي غير موثوق به داخل مستعرض العميل.

الدقة: تأكد من أن المرجع المصدق موثوق به داخل المستعرض. يؤكد المثال الظاهر هنا أن شهادة CA الداخلية موثوق بها.

البوابة المقيدة لم يتم العثور على الخادم

المشكلة: عندما يحاول مستعرض العميل تحميل البوابة المقيدة، فإنه يرجع "الخادم غير موجود" لعنوان URL الأساسي أثناء محاولة الوصول إلى URL الأساسي أو ما شابه.

السبب المحتمل: إمكانية الوصول إلى DNS أو تكوين DNS غير صحيح.

الدقة: تأكد من أن العميل لديه خادم DNS المناسب الذي تم تكوينه لحل السجل A. تأكد من أن الخادم لديه سجل تم تعيينه على FQDN وأنه قابل للوصول والاستجابة.

معلومات ذات صلة

• إنشاء نطاق Microsoft Azure AD (SAML) للمصادقة النشطة (مدخل أسير) - دليل تكوين جهاز FMC 10.x
• وثائق Azure Event Hub
• الدعم التقني والمستندات - Cisco Systems