Integration von Duo SAML SSO mit AnyConnect Secure Remote Access mit ISE-Status

Einleitung

In diesem Dokument wird ein Konfigurationsbeispiel für die Integration von Duo SAML SSO mit Adaptive Security Appliance (ASA) Cisco AnyConnect Secure Mobility Client für eine detaillierte Statusüberprüfung mithilfe der Cisco ISE beschrieben. Duo SAML SSO wird mithilfe von Duo Access Gateway (DAG) implementiert, das zur erstmaligen Benutzerauthentifizierung mit dem Active Directory kommuniziert und dann zur mehrstufigen Authentifizierung mit Duo Security (Cloud) kommuniziert. Die Cisco ISE wird als Autorisierungsserver für die Endpunktverifizierung mittels Statusüberprüfung verwendet.

Beitrag von Dinesh Moudgil und Pulkit Saxena, Cisco HTTS Engineer.

Voraussetzungen

Anforderungen

•     Grundlagen zu Duo Access Gateway und Duo Security 
•     Grundkenntnisse der VPN-Konfiguration für Remote-Zugriff auf der ASA
•     Grundkenntnisse der ISE und Statusservices
  
  

Verwendete Komponenten

• Cisco Adaptive Security Appliance-Software Version 9.12(3)12
• Duo Access-Gateway
• Duo Security 
• Cisco Identity Services Engine Version 2.6 und höher
• Microsoft Windows 10 mit AnyConnect Version 4.8.03052
  
  

Hinweis: Für jeden in dieser Implementierung verwendeten Embedded Browser von AnyConnect ist die ASA Version 9.7(1)24, 9.8(2)28, 9.9(2)1 oder eine höhere Version jeder Version sowie die AnyConnect-Version 4.6 oder höher erforderlich.

Konfigurieren

Netzwerkdiagramm

Datenverkehrsfluss

1. AnyConnect-Client initiiert eine SSL VPN-Verbindung zur Cisco ASA
   
   
2. Cisco ASA, die für die primäre Authentifizierung mit Duo Access Gateway (DAG) konfiguriert ist, leitet den eingebetteten Browser in Anyconnect Client zur SAML-Authentifizierung an DAG um
   
   
3. AnyConnect-Client wird auf Duo Access Gateway umgeleitet
   
   
4. Sobald der AnyConnect-Client die Anmeldeinformationen eingegeben hat, wird eine SAML-Authentifizierungsanforderung erstellt und von Cisco ASA an Duo Access Gateway ausgegeben
   
   
5. Duo Access Gateway nutzt die Integration mit Active Directory vor Ort, um die primäre Authentifizierung für den AnyConnect-Client durchzuführen
   
   
6. Sobald die primäre Authentifizierung erfolgreich ist, sendet das Duo Access Gateway über den TCP-Port 443 eine Anforderung an Duo Security, um die Zwei-Faktor-Authentifizierung zu starten.
   
   
7. Der AnyConnect-Client präsentiert sich mit "Duo Interactive Prompt" und der Benutzer vollendet Duo Zwei-Faktor-Authentifizierung mit seiner bevorzugten Methode (Push oder Passcode)
   
   
8. Duo Security erhält eine Authentifizierungsantwort und sendet die Informationen an das Duo Access Gateway
   
   
9. Auf Basis der Authentifizierungsantwort erstellt Duo Access Gateway eine SAML-Authentifizierungsantwort, die eine SAML-Assertion enthält und auf den AnyConnect-Client reagiert
   
   
10. AnyConnect-Client authentifiziert erfolgreich SSL VPN-Verbindungen mit Cisco ASA
    
    
11. Nach erfolgreicher Authentifizierung sendet die Cisco ASA eine Autorisierungsanfrage an die Cisco ISE
    

    Hinweis: Cisco ISE ist nur für die Autorisierung konfiguriert, da Duo Access Gateway die erforderliche Authentifizierung bereitstellt.

12. Die Cisco ISE verarbeitet die Autorisierungsanfrage und gibt, da der Status des Clients "Unbekannt" lautet, eine Statusumleitung mit eingeschränktem Zugriff auf den AnyConnect-Client über die Cisco ASA zurück.
    
    
13. Wenn der Anyconnect-Client über kein Compliance-Modul verfügt, wird er aufgefordert, das Modul herunterzuladen, um die Statusüberprüfung fortzusetzen.
    
    
14. Wenn der AnyConnect-Client über ein Compliance-Modul verfügt, stellt er eine TLS-Verbindung mit der Cisco ASA her, und der Statusfluss beginnt
    
    
15. Abhängig von den auf der ISE konfigurierten Statusbedingungen werden Statusüberprüfungen durchgeführt, und die Details werden vom AnyConnect-Client an die Cisco ISE gesendet.
    
    
16. Wenn sich der Status des Clients von Unbekannt zu Konformität ändert, wird von der Cisco ISE eine Anforderung zur Autorisierung (Change of Authorization, CoA) an die Cisco ASA gesendet, um dem Client den vollen Zugriff zu gewähren. Das VPN ist dann vollständig eingerichtet.
    
    

Konfigurationen

- Duo Admin-Portal-Konfiguration

Konfigurieren Sie in diesem Abschnitt die ASA-Anwendung auf dem Duo-Administratorportal.

1. Melden Sie sich bei "Duo Admin Portal" an, navigieren Sie zu "Applications > Protect an Application" (Anwendungen > Schutz einer Anwendung), und suchen Sie nach "ASA" mit dem Schutztyp "2FA with Duo Access Gateway, self-hosted" (2FA mit Duo Access Gateway, selbst gehostet). Klicken Sie ganz rechts auf "Schützen", um die Cisco ASA zu konfigurieren.

2. Konfigurieren Sie unter "Service Provider" die folgenden Attribute für die geschützte Anwendung ASA.

Basis-URL	firebird.cisco.com
Tunnelgruppe	TG_SAML
Mail-Attribut	sAMAccountName, E-Mail

Klicken Sie unten auf der Seite auf "Speichern"

In diesem Dokument werden für die restliche Konfiguration Standardparameter verwendet. Sie können jedoch entsprechend den Anforderungen des Kunden festgelegt werden.
Zu diesem Zeitpunkt können zusätzliche Einstellungen für die neue SAML-Anwendung angepasst werden, z. B. das Ändern des Anwendungsnamens vom Standardwert, das Aktivieren der Self-Service-Funktion oder das Zuweisen einer Gruppenrichtlinie.

3. Klicken Sie auf den Link "Download your configuration file" (Konfigurationsdatei herunterladen), um die Einstellungen der Cisco ASA-Anwendung (als JSON-Datei) abzurufen. Diese Datei wird in späteren Schritten auf das Duo Access Gateway hochgeladen.

4. Unter "Dashboard > Anwendungen" sieht die neu erstellte ASA-Anwendung wie in der Abbildung unten dargestellt aus:

5. Navigieren Sie zu "Benutzer > Benutzer hinzufügen", wie in der Abbildung dargestellt:

Erstellen Sie einen Benutzer namens "duouser", der für die AnyConnect Remote Access-Authentifizierung verwendet werden soll, und aktivieren Sie Duo Mobile auf dem Endbenutzergerät.


Um die Telefonnummer hinzuzufügen, wie im Bild gezeigt, wählen Sie die Option "Telefon hinzufügen".

Aktivieren Sie "Duo Mobile" für den jeweiligen Benutzer

Hinweis: Stellen Sie sicher, dass "Duo Mobile" auf dem Endbenutzergerät installiert ist.
Manuelle Installation der Duo Anwendung für IOS Geräte
Manuelle Installation der Duo Anwendung für Android Geräte

Wählen Sie "Duo-Aktivierungscode generieren" wie im Bild gezeigt:

Wählen Sie "Send Instructions by SMS" (Anweisungen per SMS senden) wie im Bild gezeigt:

Klicken Sie auf den Link in der SMS, und die Duo App wird mit dem Benutzerkonto im Abschnitt "Geräteinformationen" verknüpft, wie im Bild gezeigt:

- Duo Access Gateway (DAG)-Konfiguration

1. Bereitstellung von Duo Access Gateway (DAG) auf einem Server in Ihrem Netzwerk
   
   

   Hinweis: Befolgen Sie zur Bereitstellung die folgenden Dokumente:
   
   Duo Access Gateway für Linux
   https://duo.com/docs/dag-linux
   
   Duo Access Gateway für Windows
   https://duo.com/docs/dag-windows

2. Navigieren Sie auf der Startseite von Duo Access Gateway zu "Authentication Source"
   
   
3. Geben Sie unter "Quellen konfigurieren" die folgenden Attribute für Ihr Active Directory ein, und klicken Sie auf "Einstellungen speichern".
   
   
   
   

   
   
   

4. Wählen Sie unter "Set Active Source" den Quelltyp als "Active Directory" aus, und klicken Sie auf "Set Active Source".
   
   
5. Navigieren Sie zu "Applications" (Anwendungen hinzufügen), und laden Sie im Untermenü "Add Application" (Anwendung hinzufügen) die JSON-Datei hoch, die Sie von der Duo Admin Console im Abschnitt "Configuration file" (Konfigurationsdatei) heruntergeladen haben. Die entsprechende JSON-Datei wurde in Schritt 3 unter Duo Admin Portal Configuration heruntergeladen.
   
   
6. Sobald die Anwendung erfolgreich hinzugefügt wurde, wird sie im Untermenü "Anwendungen" angezeigt.
   
   
7. Laden Sie im Untermenü "Metadaten" die XML-Metadaten und das IdP-Zertifikat herunter, und notieren Sie sich die folgenden URLs, die später auf der ASA konfiguriert werden:
   
   
   1. SSO-URL
   2. Abmelde-URL
   3. Entitäts-ID
   4. Fehler-URL
      
      

-ASA-Konfiguration

Dieser Abschnitt enthält Informationen zur Konfiguration von ASA für die SAML-IDP-Authentifizierung und die grundlegende AnyConnect-Konfiguration. Das Dokument enthält die ASDM-Konfigurationsschritte und die CLI-Konfiguration, die für die Übersicht ausgeführt wird.

1. Duo Access Gateway-Zertifikat hochladen

A. Navigieren Sie zu "Konfiguration > Gerätemanagement > Zertifikatsverwaltung > Zertifizierungsstellenzertifikate", und klicken Sie auf "Hinzufügen".

B. Konfigurieren Sie auf der Seite "Install Certificate" (Zertifikat installieren) den Trustpoint-Namen: Duo_Access_Gateway.

C. Klicken Sie auf "Durchsuchen", um den Pfad für das DAG-Zertifikat auszuwählen, und klicken Sie nach der Auswahl auf "Zertifikat installieren".

2. Erstellen Sie einen lokalen IP-Pool für AnyConnect-Benutzer.

Navigieren Sie zu "Configuration > Remote Access VPN > Network (Client) Access > Address Assignment > Address Pools", und klicken Sie auf "Add".

3. Konfigurieren der AAA-Servergruppe

A.: Konfigurieren Sie in diesem Abschnitt die AAA-Servergruppe, und geben Sie Details zum AAA-Server an, der die Autorisierung durchführt.

B. Navigieren Sie zu "Configuration > Remote Access VPN > AAA/Local Users > AAA Server Groups", und klicken Sie auf "Add" (Hinzufügen).

C. Klicken Sie auf derselben Seite im Abschnitt "Server in der ausgewählten Gruppe" auf "Hinzufügen", und geben Sie die IP-Adresse des AAA-Servers an.

4. AnyConnect-Clientsoftware zuordnen

A. Map the AnyConnect client software webdeploy image 4.8.03052 for windows to be used for WebVPN

B. Navigieren Sie zu "Konfiguration > Remotezugriff-VPN > Netzwerkzugriff (Client) > AnyConnect-Clientsoftware", und klicken Sie auf "Hinzufügen".

5. Konfigurieren Sie die als Ergebnis der ISE weitergeleitete ACL.

A. Navigieren Sie zu "Configuration > Firewall > Advanced > ACL Manager", und klicken Sie auf Add, um die Umleitungszugriffskontrollliste hinzuzufügen. Die Einträge sehen nach der Konfiguration wie folgt aus:

6. Bestehende Gruppenrichtlinie validieren

A. Bei dieser Konfiguration wird die standardmäßige Gruppenrichtlinie verwendet. Diese kann angezeigt werden unter: "Konfiguration > Remotezugriff-VPN > Netzwerkzugriff (Client) > Gruppenrichtlinien"

7. Verbindungsprofil konfigurieren

A. Erstellen Sie ein neues Verbindungsprofil, mit dem AnyConnect-Benutzer eine Verbindung herstellen.

B. Navigieren Sie zu "Konfiguration > Remotezugriff-VPN > Netzwerkzugriff (Client) > AnyConnect-Verbindungsprofile", und klicken Sie auf "Hinzufügen".

C. Konfigurieren Sie die folgenden Details für das Verbindungsprofil:

Name	TG_SAML
Aliase	SAML_Benutzer
Methode	SAML
AAA-Servergruppe	Lokal
Client-Adresspools	AC-Pool
Gruppenrichtlinie	DfltGrpPolicy

D. Konfigurieren Sie auf derselben Seite die Details des SAML Identity Providers, die wie folgt aussehen:

ID der IDP-Einheit	https://explorer.cisco.com/dag/saml2/idp/metadata.php
Anmelde-URL	https://explorer.cisco.com/dag/saml2/idp/SSOService.php
Abmelde-URL	https://explorer.cisco.com/dag/saml2/idp/SingleLogoutService.php?ReturnTo=https://explorer.cisco.com/dag/module.php/duosecurity/logout.php
Basis-URL	https://firebird.cisco.com

E. Klicken Sie auf "Verwalten > Hinzufügen"

F. Definieren Sie im Abschnitt "Erweitert" für das Verbindungsprofil den AAA-Server für die Autorisierung.

Navigieren Sie zu "Erweitert > Autorisierung", und klicken Sie auf "Hinzufügen".

G. Definieren Sie unter Gruppenalias den Verbindungsalias.

Navigieren Sie zu "Erweitert > Gruppenalias/Gruppen-URL", und klicken Sie auf "Hinzufügen".

H. Damit ist die ASA-Konfiguration abgeschlossen. Dies sieht wie unten auf der Befehlszeilenschnittstelle (CLI) aus.

!
hostname firebird
domain-name cisco.com
!
!
name 10.197.164.7 explorer.cisco.com
name 10.197.164.3 firebird.cisco.com
!
!--------------------Client pool configuration--------------------
!
ip local pool AC_Pool 10.197.164.6-explorer.cisco.com mask 255.255.255.0
!
!--------------------Redirect Access-list-------------------------
!
access-list redirect extended deny udp any any eq domain 
access-list redirect extended deny ip any host 10.197.243.116 
access-list redirect extended deny icmp any any 
access-list redirect extended permit ip any any 
access-list redirect extended permit tcp any any eq www 
!
!--------------------AAA server configuration---------------------
!
aaa-server ISE protocol radius
 authorize-only
 interim-accounting-update periodic 1
 dynamic-authorization
aaa-server ISE (outside) host 10.106.44.77
 key *****
!
!-----Configure Trustpoint for Duo Access Gateway Certificate-----
!
crypto ca trustpoint Duo_Access_Gateway
 enrollment terminal
 crl configure
!
!-------Configure Trustpoint for ASA Identity Certificate---------
!
crypto ca trustpoint ID_CERT
 enrollment terminal
 fqdn firebird.cisco.com
 subject-name CN=firebird.cisco.com
 ip-address 10.197.164.3
 keypair ID_RSA_KEYS
 no ca-check
 crl configure
!
!------Enable AnyConnect and configuring SAML authentication------
!
webvpn
 enable outside
 hsts
  enable
  max-age 31536000
  include-sub-domains
  no preload  
 anyconnect image disk0:/anyconnect-win-4.8.03052-webdeploy-k9.pkg 1
 anyconnect enable
 saml idp https://explorer.cisco.com/dag/saml2/idp/metadata.php
  url sign-in https://explorer.cisco.com/dag/saml2/idp/SSOService.php
  url sign-out https://explorer.cisco.com/dag/saml2/idp/SingleLogoutService.php?ReturnTo=https://explorer.cisco.com/dag/module.php/duosecurity/logout.php
  base-url https://firebird.cisco.com
  trustpoint idp Duo_Access_Gateway
  trustpoint sp ID_CERT
  no signature
  no force re-authentication
  timeout assertion 1200
 tunnel-group-list enable
 cache
  disable
 error-recovery disable
!
!--------------------Group Policy configuration--------------------
!
group-policy DfltGrpPolicy attributes
 vpn-tunnel-protocol ikev1 ikev2 l2tp-ipsec ssl-client ssl-clientless
!
!----------Tunnel-Group (Connection Profile) Configuraiton----------
!
tunnel-group TG_SAML type remote-access
tunnel-group TG_SAML general-attributes
 address-pool AC_Pool
 authorization-server-group ISE
 accounting-server-group ISE
tunnel-group TG_SAML webvpn-attributes
 authentication saml
 group-alias SAML_Users enable
 saml identity-provider https://explorer.cisco.com/dag/saml2/idp/metadata.php
!

-ISE-Konfiguration

1. Cisco ASA als Netzwerkgerät hinzufügen

Klicken Sie unter "Administration > Network Resources > Network Devices" auf "Add" (Hinzufügen).
Konfigurieren Sie den Namen des Netzwerkgeräts, die zugehörige IP-Adresse, und konfigurieren Sie unter "Radius Authentication Settings" den "Shared Secret", und klicken Sie auf "Save" (Speichern).

2. Installation der neuesten Statusaktualisierungen

Navigieren Sie zu "Administration > System > Settings > Posture > Updates", und klicken Sie auf "Update Now" (Jetzt aktualisieren).

3. Laden Sie das Compliance-Modul und das AnyConnect Headend-Bereitstellungspaket auf die ISE hoch.

Navigieren Sie zu "Richtlinie > Richtlinienelemente > Ergebnisse > Client-Bereitstellung > Ressourcen". Klicken Sie auf "Hinzufügen", und wählen Sie je nachdem, ob die Dateien von der lokalen Workstation oder von der Cisco Website abgerufen werden sollen, "Agenten-Ressourcen von der lokalen Festplatte" oder "Agenten-Ressourcen von der Cisco Website" aus.

In diesem Fall wählen Sie zum Hochladen von Dateien von der lokalen Workstation unter Kategorie "Von Cisco bereitgestellte Pakete" aus, klicken auf "Durchsuchen", wählen die erforderlichen Pakete aus und klicken auf "Senden".

In diesem Dokument wird "anyconnect-win-4.3.1012.6145-isecompliance-webdeploy-k9.pkg" als Compliance-Modul und "anyconnect-win-4.8.03052-webdeploy-k9.pkg" als AnyConnect Headend-Bereitstellungspaket verwendet.

4. AnyConnect-Posture-Profil erstellen

A. Navigieren Sie zu "Richtlinie > Richtlinienelemente > Ergebnisse > Client-Bereitstellung > Ressourcen". Klicken Sie auf "Hinzufügen", und wählen Sie "AnyConnect Posture Profile" aus.

B. Geben Sie den Namen für AnyConnect Posture Profile ein, und konfigurieren Sie den Servernamen als "*" unter "Servernamen", und klicken Sie auf "Speichern".

5. AnyConnect-Konfiguration erstellen

A. Navigieren Sie zu "Richtlinie > Richtlinienelemente > Ergebnisse > Client-Bereitstellung > Ressourcen". Klicken Sie auf "Hinzufügen", und wählen Sie "AnyConnect-Konfiguration" aus.

B. Wählen Sie AnyConnect-Paket, geben Sie den Konfigurationsnamen ein, und wählen Sie das erforderliche Compliance-Modul aus.

C. Aktivieren Sie unter "AnyConnect Module Selection" das Kontrollkästchen "Diagnostic and Reporting Tool".

D. Wählen Sie unter "Profile Selection" (Profilauswahl) die Option Posture Profile und klicken Sie auf "Save" (Speichern).

6. Client-Bereitstellungsrichtlinie erstellen

A. Navigieren Sie zu "Richtlinie > Client-Bereitstellung"

B. Klicken Sie auf "Bearbeiten" und wählen Sie "Regel oben einfügen".

C. Geben Sie den Regelnamen ein, wählen Sie das erforderliche Betriebssystem aus, und wählen Sie unter Results (unter "Agent" > "Agentenkonfiguration" ) die in Schritt 5 erstellte AnyConnect-Konfiguration aus, und klicken Sie auf "Speichern".

7. Eine Statusbedingung erstellen

A. Navigieren Sie zu "Richtlinie > Richtlinienelemente > Bedingungen > Status > Dateibedingung".

B. Klicken Sie auf "Hinzufügen", und konfigurieren Sie den Bedingungsnamen "VPN_Posture_File_Check", das erforderliche Betriebssystem als "Windows 10(All)", den Dateityp als "FileExistence", den Dateipfad als "ABSOLUTE_PATH" und den vollständigen Pfad und Dateinamen als "C:\custom.txt". Wählen Sie Dateioperator als "Exists" aus.

C. In diesem Beispiel wird das Vorhandensein einer Datei mit dem Namen "custom.txt" unter Laufwerk C: als Dateibedingung verwendet.

8. Aktion zur Statusbehebung erstellen

Navigieren Sie zu "Policy > Policy Elements > Results > Posture > Remediation Actions" (Richtlinie > Richtlinienelemente > Ergebnisse > Status > Korrekturmaßnahmen), um eine entsprechende Dateibereinigungsaktion zu erstellen. Dieses Dokument verwendet "Nur Nachrichtentext" als Korrekturmaßnahmen, die im nächsten Schritt konfiguriert werden.

9. Statusanforderungsregel erstellen

A. Navigieren Sie zu "Richtlinie > Richtlinienelemente > Ergebnisse > Status > Anforderungen".

B. Klicken Sie auf "Bearbeiten" und wählen Sie dann "Neue Anforderung einfügen".

C. Konfigurieren Sie den Bedingungsnamen "VPN_Posture_Requirement", das erforderliche Betriebssystem als "Windows 10(Alle)", das Compliance-Modul als "4.x oder höher", den Statustyp als "AnyConnect".

D. Bedingungen wie "VPN_Posture_File_Check" (erstellt in Schritt 7) und unter "Korrekturmaßnahmen" Aktion als "Nur Nachrichtentext" auswählen und die benutzerdefinierte Nachricht für Agent-Benutzer eingeben

10. Erstellen einer Statusrichtlinie

A. Navigieren Sie zu "Policys > Status"

B. Konfigurieren Sie den Regelnamen als "VPN_Posture_Policy_Win", das erforderliche Betriebssystem als "Windows 10(Alle)", das Kompatibilitätsmodul als "4.x oder höher", den Statustyp als "AnyConnect" und die Anforderungen als "VPN_Posture_Requirement", wie in Schritt 9 konfiguriert

11. Erstellen dynamischer Zugriffskontrolllisten (DACLs)

Navigieren Sie zu "Policy > Policy Elements > Results > Authorization > Downlodable ACLS" (Richtlinie > Richtlinienelemente > Ergebnisse > Autorisierung > herunterladbare ACLS), und erstellen Sie die DACLs für verschiedene Statusstatus.

In diesem Dokument werden die folgenden DACLs verwendet.

A. Status unbekannt: Ermöglicht Datenverkehr zu DNS-, PSN- und HTTP- sowie HTTPS-Datenverkehr

B. Status nicht konform: Verweigert den Zugriff auf private Subnetze und lässt nur Internetdatenverkehr zu

C. Posture Compliant: Ermöglicht den gesamten Datenverkehr für Endbenutzer, die Posture Compliant sind

12. Autorisierungsprofile erstellen

Navigieren Sie zu "Richtlinie > Richtlinienelemente > Ergebnisse > Autorisierung > Autorisierungsprofile".

A. Autorisierungsprofil für unbekannten Status

Wählen Sie DACL "PostureUnknown" (Status unbekannt), aktivieren Sie die Option Web Redirection (Webumleitung), wählen Sie Client Provisioning (Status) aus, konfigurieren Sie den Namen der Umleitungs-ACL "redirect" (Umleitung) (auf dem ASA zu konfigurieren), und wählen Sie das Client Provisioning Portal (Standard) aus.

B. Autorisierungsprofil für nicht konforme Haltung

Wählen Sie DACL "PostureNonCompliant" aus, um den Zugriff auf das Netzwerk einzuschränken.

C. Autorisierungsprofil für Posture Compliant

Wählen Sie DACL "PostureCompliant" aus, um vollständigen Zugriff auf das Netzwerk zu ermöglichen.

12. Autorisierungsrichtlinien konfigurieren

Verwenden Sie die im vorherigen Schritt konfigurierten Autorisierungsprofile, um drei Autorisierungsrichtlinien für "Posture Compliant", "Posture Non-Compliant" und "Posture Unknown" zu konfigurieren.

Die allgemeine Bedingung "Session: Posture Status" wird verwendet, um die Ergebnisse der einzelnen Richtlinien zu bestimmen.

Überprüfung

Verwenden Sie diesen Abschnitt, um zu überprüfen, ob Ihre Konfiguration ordnungsgemäß funktioniert.

Führen Sie den folgenden Befehl auf der ASA aus, um zu überprüfen, ob der Benutzer erfolgreich authentifiziert wurde.

firebird(config)# show vpn-sess detail anyconnect 

Session Type: AnyConnect Detailed

Username     : _585b5291f01484dfd16f394be7031d456d314e3e62
Index        : 125
Assigned IP  : explorer.cisco.com     Public IP    : 10.197.243.143
Protocol     : AnyConnect-Parent SSL-Tunnel DTLS-Tunnel
License      : AnyConnect Premium
Encryption   : AnyConnect-Parent: (1)none  SSL-Tunnel: (1)AES-GCM-256  DTLS-Tunnel: (1)AES-GCM-256
Hashing      : AnyConnect-Parent: (1)none  SSL-Tunnel: (1)SHA384  DTLS-Tunnel: (1)SHA384
Bytes Tx     : 16404                  Bytes Rx     : 381
Pkts Tx      : 16                     Pkts Rx      : 6
Pkts Tx Drop : 0                      Pkts Rx Drop : 0
Group Policy : DfltGrpPolicy                Tunnel Group : TG_SAML
Login Time   : 07:05:45 UTC Sun Jun 14 2020
Duration     : 0h:00m:16s
Inactivity   : 0h:00m:00s
VLAN Mapping : N/A                    VLAN         : none
Audt Sess ID : 0ac5a4030007d0005ee5cc49
Security Grp : none                   

AnyConnect-Parent Tunnels: 1
SSL-Tunnel Tunnels: 1
DTLS-Tunnel Tunnels: 1
              
AnyConnect-Parent:
  Tunnel ID    : 125.1
  Public IP    : 10.197.243.143
  Encryption   : none                   Hashing      : none                   
  TCP Src Port : 57244                  TCP Dst Port : 443                    
  Auth Mode    : SAML                   
  Idle Time Out: 30 Minutes             Idle TO Left : 29 Minutes             
  Client OS    : win                    
  Client OS Ver: 10.0.15063             
  Client Type  : AnyConnect
  Client Ver   : Cisco AnyConnect VPN Agent for Windows 4.8.03052
  Bytes Tx     : 7973                   Bytes Rx     : 0                      
  Pkts Tx      : 6                      Pkts Rx      : 0                      
  Pkts Tx Drop : 0                      Pkts Rx Drop : 0                      
  
SSL-Tunnel:
  Tunnel ID    : 125.2
  Assigned IP  : explorer.cisco.com     Public IP    : 10.197.243.143
  Encryption   : AES-GCM-256            Hashing      : SHA384                 
  Ciphersuite  : ECDHE-RSA-AES256-GCM-SHA384                       
  Encapsulation: TLSv1.2                TCP Src Port : 57248                  
  TCP Dst Port : 443                    Auth Mode    : SAML                   
  Idle Time Out: 30 Minutes             Idle TO Left : 29 Minutes             
  Client OS    : Windows                
  Client Type  : SSL VPN Client
  Client Ver   : Cisco AnyConnect VPN Agent for Windows 4.8.03052
  Bytes Tx     : 7973                   Bytes Rx     : 0                      
  Pkts Tx      : 6                      Pkts Rx      : 0                      
  Pkts Tx Drop : 0                      Pkts Rx Drop : 0                      
  Filter Name  : #ACSACL#-IP-PostureUnknown-5ee45b05
  
DTLS-Tunnel:
  Tunnel ID    : 125.3
  Assigned IP  : explorer.cisco.com     Public IP    : 10.197.243.143
  Encryption   : AES-GCM-256            Hashing      : SHA384                 
  Ciphersuite  : ECDHE-ECDSA-AES256-GCM-SHA384                     
  Encapsulation: DTLSv1.2               UDP Src Port : 49175                  
  UDP Dst Port : 443                    Auth Mode    : SAML                   
  Idle Time Out: 30 Minutes             Idle TO Left : 29 Minutes             
  Client OS    : Windows                
  Client Type  : DTLS VPN Client
  Client Ver   : Cisco AnyConnect VPN Agent for Windows 4.8.03052
  Bytes Tx     : 458                    Bytes Rx     : 381                    
  Pkts Tx      : 4                      Pkts Rx      : 6                      
  Pkts Tx Drop : 0                      Pkts Rx Drop : 0                      
  Filter Name  : #ACSACL#-IP-PostureUnknown-5ee45b05
  
ISE Posture:
  Redirect URL : https://ise261.pusaxena.local:8443/portal/gateway?sessionId=0ac5a4030007d0005ee5cc49&portal=27b1bc30-2...
  Redirect ACL : redirect

Nach Abschluss der Statusüberprüfung wird der Benutzerzugriff auf den vollständigen Zugriff geändert, wie in der DACL im Feld "Filter Name" (Filtername) gezeigt.

firebird(config)# show vpn-sess detail anyconnect 

Session Type: AnyConnect Detailed

Username     : _585b5291f01484dfd16f394be7031d456d314e3e62
Index        : 125
Assigned IP  : explorer.cisco.com     Public IP    : 10.197.243.143
Protocol     : AnyConnect-Parent SSL-Tunnel DTLS-Tunnel
License      : AnyConnect Premium
Encryption   : AnyConnect-Parent: (1)none  SSL-Tunnel: (1)AES-GCM-256  DTLS-Tunnel: (1)AES-GCM-256
Hashing      : AnyConnect-Parent: (1)none  SSL-Tunnel: (1)SHA384  DTLS-Tunnel: (1)SHA384
Bytes Tx     : 16404                  Bytes Rx     : 381
Pkts Tx      : 16                     Pkts Rx      : 6
Pkts Tx Drop : 0                      Pkts Rx Drop : 0
Group Policy : DfltGrpPolicy                Tunnel Group : TG_SAML
Login Time   : 07:05:45 UTC Sun Jun 14 2020
Duration     : 0h:00m:36s
Inactivity   : 0h:00m:00s
VLAN Mapping : N/A                    VLAN         : none
Audt Sess ID : 0ac5a4030007d0005ee5cc49
Security Grp : none                   

AnyConnect-Parent Tunnels: 1
SSL-Tunnel Tunnels: 1
DTLS-Tunnel Tunnels: 1
              
AnyConnect-Parent:
  Tunnel ID    : 125.1
  Public IP    : 10.197.243.143
  Encryption   : none                   Hashing      : none                   
  TCP Src Port : 57244                  TCP Dst Port : 443                    
  Auth Mode    : SAML                   
  Idle Time Out: 30 Minutes             Idle TO Left : 29 Minutes             
  Client OS    : win                    
  Client OS Ver: 10.0.15063             
  Client Type  : AnyConnect
  Client Ver   : Cisco AnyConnect VPN Agent for Windows 4.8.03052
  Bytes Tx     : 7973                   Bytes Rx     : 0                      
  Pkts Tx      : 6                      Pkts Rx      : 0                      
  Pkts Tx Drop : 0                      Pkts Rx Drop : 0                      
  
SSL-Tunnel:
  Tunnel ID    : 125.2
  Assigned IP  : explorer.cisco.com     Public IP    : 10.197.243.143
  Encryption   : AES-GCM-256            Hashing      : SHA384                 
  Ciphersuite  : ECDHE-RSA-AES256-GCM-SHA384                       
  Encapsulation: TLSv1.2                TCP Src Port : 57248                  
  TCP Dst Port : 443                    Auth Mode    : SAML                   
  Idle Time Out: 30 Minutes             Idle TO Left : 29 Minutes             
  Client OS    : Windows                
  Client Type  : SSL VPN Client
  Client Ver   : Cisco AnyConnect VPN Agent for Windows 4.8.03052
  Bytes Tx     : 7973                   Bytes Rx     : 0                      
  Pkts Tx      : 6                      Pkts Rx      : 0                      
  Pkts Tx Drop : 0                      Pkts Rx Drop : 0                      
  Filter Name  : #ACSACL#-IP-PERMIT_ALL_IPV4_TRAFFIC-57f6b0d3
  
DTLS-Tunnel:
  Tunnel ID    : 125.3
  Assigned IP  : explorer.cisco.com     Public IP    : 10.197.243.143
  Encryption   : AES-GCM-256            Hashing      : SHA384                 
  Ciphersuite  : ECDHE-ECDSA-AES256-GCM-SHA384                     
  Encapsulation: DTLSv1.2               UDP Src Port : 49175                  
  UDP Dst Port : 443                    Auth Mode    : SAML                   
  Idle Time Out: 30 Minutes             Idle TO Left : 29 Minutes             
  Client OS    : Windows                
  Client Type  : DTLS VPN Client
  Client Ver   : Cisco AnyConnect VPN Agent for Windows 4.8.03052
  Bytes Tx     : 458                    Bytes Rx     : 381                    
  Pkts Tx      : 4                      Pkts Rx      : 6                      
  Pkts Tx Drop : 0                      Pkts Rx Drop : 0                      
  Filter Name  : #ACSACL#-IP-PERMIT_ALL_IPV4_TRAFFIC-57f6b0d3

Um zu überprüfen, ob die Autorisierung auf der ISE erfolgreich durchgeführt wurde, navigieren Sie zu "Operations > RADIUS > Live Logs" (Vorgänge > RADIUS > Live-Protokolle).

In diesem Abschnitt werden die relevanten Informationen zum autorisierten Benutzer angezeigt, z. B. Identität, Autorisierungsprofil, Autorisierungsrichtlinie und Status.

Hinweis: Weitere Informationen zur Statusüberprüfung auf der ISE finden Sie in der folgenden Dokumentation:
https://www.cisco.com/c/en/us/support/docs/security/identity-services-engine/215236-ise-posture-over-anyconnect-remote-acces.html#anc7

Um den Authentifizierungsstatus auf dem Duo Admin Portal zu überprüfen, klicken Sie auf "Reports" auf der linken Seite des Admin Panels, das das Authentifizierungsprotokoll anzeigt.
Weitere Informationen: https://duo.com/docs/administration#reports

Um die Debug-Protokollierung für Duo Access Gateway anzuzeigen, verwenden Sie den folgenden Link:
https://help.duo.com/s/article/1623?language=en_US

Benutzerfreundlichkeit

Fehlerbehebung

In diesem Abschnitt erhalten Sie Informationen zur Behebung von Fehlern in Ihrer Konfiguration.

Hinweis: Lesen Sie den Artikel Important Information on Debug Commands (Wichtige Informationen zu Debug-Befehlen), bevor Sie debug-Befehle verwenden.

Vorsicht: Auf der ASA können Sie verschiedene Debug-Ebenen festlegen. Standardmäßig wird Ebene 1 verwendet. Wenn Sie die Debug-Ebene ändern, kann die Ausführlichkeit der Debugs zunehmen. Gehen Sie dabei besonders in Produktionsumgebungen vorsichtig vor.

Bei den meisten SAML-Fehlerbehebungen kommt es zu Fehlkonfigurationen, die durch Überprüfen der SAML-Konfiguration oder durch Ausführen von Debugs ermittelt werden können.

"debug webvpn saml 255" kann verwendet werden, um die meisten Probleme zu beheben. In Szenarien, in denen dieses Debuggen keine nützlichen Informationen liefert, können jedoch zusätzliche Debugs ausgeführt werden:

debug webvpn 255
debug webvpn anyconnect 255
debug webvpn session 255
debug webvpn request 255 

Verwenden Sie zur Behebung von Authentifizierungs- und Autorisierungsproblemen auf ASA die folgenden Debug-Befehle:

debug radius all
debug aaa authentication
debug aaa authorization To troubleshoot Posture related issues on ISE, set the following attributes to debug level: 

posture (ise-psc.log)
portal (guest.log)
provisioning (ise-psc.log)
runtime-AAA (prrt-server.log)
nsf (ise-psc.log)
nsf-session (ise-psc.log)
swiss (ise-psc.log)

Hinweis: Detaillierte Informationen zum Statusverlauf und zur Fehlerbehebung bei AnyConnect und ISE finden Sie unter dem folgenden Link:
ISE Posture Style Comparison for Pre and Post 2.2

So interpretieren Sie Duo Access Gateway-Debug-Protokolle und beheben Fehler
https://help.duo.com/s/article/5016?language=en_US

Zugehörige Informationen

https://www.youtube.com/watch?v=W6bE2GTU0Is&
https://duo.com/docs/cisco#asa-ssl-vpn-using-saml
https://www.cisco.com/c/en/us/support/docs/security/identity-services-engine/215236-ise-posture-over-anyconnect-remote-acces.html#anc0