المحتويات

المقدمة

المتطلبات الأساسية

المتطلبات

المكونات المستخدمة

معلومات أساسية

طوبولوجيا الشبكة

خطوات التكوين

تكوين ISE

تكوين SWA

التحقق من الصحة

المراجع

المقدمة

يصف هذا المستند كيفية تكوين مصادقة العامل الثاني على جهاز ويب الآمن باستخدام Cisco Identity Service Engine كخادم RADIUS.

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

- المعارف الأساسية في SWA.

- معرفة تكوين سياسات المصادقة والتفويض على ISE.

- معرفة RADIUS الأساسية.

توصي Cisco بأن يكون لديك أيضا:

- الوصول إلى إدارة جهاز الويب الآمن (SWA) ومحرك خدمة الهوية (ISE) من Cisco.

- تم دمج ISE الخاص بك في Active Directory أو LDAP.

- تم تكوين Active Direct أو LDAP باستخدام اسم المستخدم 'admin' لمصادقة حساب 'admin' الافتراضي ل SWA.

- إصدارات WSA و ISE المتوافقة.

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج التالية:

- SWA 14.0.2-012

- معيار ISE 3. 0. 0.

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

معلومات أساسية

عند تمكين مصادقة العامل الثاني للمستخدمين الإداريين على SWA، يتحقق الجهاز من بيانات اعتماد المستخدم مع خادم RADIUS للمرة الثانية بعد التحقق من بيانات الاعتماد المكونة في SWA.

طوبولوجيا الشبكة

الصورة- مخطط مخطط مخطط الشبكة

ينفذ المستخدمون الإداريون SWA على المنفذ 443 مع بيانات الاعتماد الخاصة بهم. يتحقق SWA من بيانات الاعتماد باستخدام خادم RADIUS لمصادقة العامل الثاني.

خطوات التكوين

تكوين ISE

الخطوة 1. إضافة جهاز شبكة جديد. انتقل إلى إدارة > موارد الشبكة > أجهزة الشبكة > +إضافة.

إضافة SWA كجهاز شبكة في ISE

الخطوة 2. تكوين جهاز الشبكة في ISE.

الخطوة 2.1. قم بتعيين اسم لكائن جهاز الشبكة.

الخطوة 2.2. إدراج عنوان IP ل SWA.

الخطوة 2.3. حدد خانة إختيار RADIUS.

الخطوة 2.4. قم بتحديد سر مشترك.

ملاحظة: يجب إستخدام المفتاح نفسه لاحقا لتكوين SWA.

تكوين المفتاح المشترك لجهاز شبكة SWA

الخطوة 2.5. انقر على إرسال.

إرسال تكوين جهاز الشبكة

الخطوة 3. أنت بحاجة إلى إنشاء مستخدمي Network Access المتطابقين مع اسم المستخدم المكون في SWA. انتقل إلى إدارة > إدارة الهوية > هويات > + إضافة.

إضافة مستخدمين محليين في ISE

الخطوة 3.1. قم بتعيين اسم.

الخطوة 3.2. (إختياري) أدخل عنوان البريد الإلكتروني للمستخدم.

الخطوة 3.3. تعيين كلمة المرور.

الخطوة 3.4. انقر فوق حفظ.

إضافة مستخدم محلي في ISE

الخطوة 4. قم بإنشاء مجموعة سياسات تطابق عنوان IP ل SWA. الغرض من ذلك هو منع الوصول إلى أجهزة أخرى باستخدام مسوغات المستخدم هذه.

انتقل إلى السياسة > مجموعات السياسات وانقر فوق + الأيقونة الموضوعة في الركن العلوي الأيسر.

إضافة مجموعة نهج في ISE

الخطوة 4.1. يتم وضع سطر جديد في أعلى مجموعات النهج. أدخل اسم للنهج الجديد.

الخطوة 4.2. أضفت شرط ل RADIUS NAS-IP عنوان سمة أن يطابق ال SWA عنوان.

الخطوة 4.3. انقر فوق إستخدام للاحتفاظ بالتغييرات والخروج من المحرر.

إضافة نهج إلى تعيين جهاز شبكة SWA

الخطوة 4.4. انقر فوق حفظ.

حفظ النهج

ملاحظة: سمح هذا المثال بقائمة بروتوكولات الوصول إلى الشبكة الافتراضية. يمكنك إنشاء قائمة جديدة وتضييق نطاقها حسب الحاجة.

الخطوة 5. لعرض مجموعات النهج الجديدة، انقر فوق الرمز >" في عمود عرض.

الخطوة 5.1. قم بتوسيع قائمة "نهج التخويل" وانقر فوق أيقونة + لإضافة قاعدة جديدة للسماح بالوصول إلى جميع المستخدمين المصادق عليهم.

الخطوة 5.2. قم بتعيين اسم.

الخطوة 5.3. قم بتعيين الشروط لمطابقة الوصول إلى شبكة القاموس مع مصادقة السمة تساوي المصادقة التي تم تمريرها وانقر فوق إستخدام.

تحديد شرط التخويل

الخطوة 6. ثبتت التقصير PermitAccess كتخويل توصيف وطقطقة حفظ.

تحديد ملف تعريف التخويل

تكوين SWA

الخطوة 1. من واجهة المستخدم الرسومية SWA، انتقل إلى إدارة النظام وانقر فوق المستخدمين.

الخطوة 2. انقر على تمكين في إعدادات مصادقة العامل الثاني.

تمكين مصادقة العامل الثاني في SWA

الخطوة 3. أدخل عنوان IP الخاص ب ISE في حقل اسم مضيف خادم RADIUS وأدخل سر المشترك الذي تم تكوينه في الخطوة 2 من تكوين ISE.

الخطوة 4. حدد الأدوار المحددة مسبقا المطلوبة والتي تحتاج إلى تطبيق عامل ثان ليتم تمكينها.

تحذير: إذا قمت بتمكين مصادقة العامل الثاني في SWA، فسيتم أيضا تمكين حساب 'admin' الافتراضي مع تطبيق العامل الثاني. يجب عليك دمج ISE مع LDAP أو Active Directory (AD) لمصادقة بيانات اعتماد 'admin' لأن ISE لا يسمح لك بتكوين 'admin' كمستخدم وصول إلى الشبكة.

تمكين مصادقة العامل الثاني في SWA

تحذير: إذا قمت بتمكين مصادقة العامل الثاني في SWA، فسيتم أيضا تمكين حساب 'admin' الافتراضي مع تطبيق العامل الثاني. يجب عليك دمج ISE مع LDAP أو Active Directory (AD) لمصادقة بيانات اعتماد 'admin' لأن ISE لا يسمح لك بتكوين 'admin' كمستخدم وصول إلى الشبكة.

تكوين مصادقة العامل الثاني

الخطوة 5: لتكوين المستخدمين في SWA، انقر فوق إضافة مستخدم. أدخل اسم المستخدم وحدد نوع المستخدم المطلوب للدور المطلوب. أدخل عبارة المرور وعبارة مرور إعادة الكتابة.

تكوين المستخدم في SWA

الخطوة 6: انقر فوق إرسال وتنفيذ التغييرات.

التحقق من الصحة

تمتع بالوصول إلى واجهة المستخدم الرسومية (GUI) عبر بيانات اعتماد المستخدم التي تم تكوينها. بعد المصادقة الناجحة، يتم إعادة توجيهك إلى صفحة المصادقة الثانوية. هنا، تحتاج إلى إدخال بيانات اعتماد المصادقة الثانوية المكونة في ISE.

التحقق من تسجيل دخول العامل الثاني

المراجع

- دليل المستخدم ل AsyncOS 14.0 لجهاز الويب الآمن من Cisco

- دليل مسؤول ISE 3.0

- مصفوفة توافق ISE لأجهزة الويب الآمنة

- دمج AD لسجل واجهة المستخدم الرسومية (GUI) عبر واجهة سطر الأوامر (CLI)