Konfigurieren der Zwei-Faktor-Authentifizierung von SWA mit ISE RADIUS

Download-Optionen

  • PDF     (1.4 MB)
    Mit Adobe Reader auf verschiedenen Geräten anzeigen
  • ePub     (1.3 MB)
    In verschiedenen Apps auf iPhone, iPad, Android, Sony Reader oder Windows Phone anzeigen
  • Mobi (Kindle)     (1.3 MB)
    Auf einem Kindle-Gerät oder einer Kindle-App auf mehreren Geräten anzeigen
Aktualisiert:22. Oktober 2026
Dokument-ID:221634

Inklusive Sprache

In dem Dokumentationssatz für dieses Produkt wird die Verwendung inklusiver Sprache angestrebt. Für die Zwecke dieses Dokumentationssatzes wird Sprache als „inklusiv“ verstanden, wenn sie keine Diskriminierung aufgrund von Alter, körperlicher und/oder geistiger Behinderung, Geschlechtszugehörigkeit und -identität, ethnischer Identität, sexueller Orientierung, sozioökonomischem Status und Intersektionalität impliziert. Dennoch können in der Dokumentation stilistische Abweichungen von diesem Bemühen auftreten, wenn Text verwendet wird, der in Benutzeroberflächen der Produktsoftware fest codiert ist, auf RFP-Dokumentation basiert oder von einem genannten Drittanbieterprodukt verwendet wird. Hier erfahren Sie mehr darüber, wie Cisco inklusive Sprache verwendet.

Informationen zu dieser Übersetzung

Cisco hat dieses Dokument maschinell übersetzen und von einem menschlichen Übersetzer editieren und korrigieren lassen, um unseren Benutzern auf der ganzen Welt Support-Inhalte in ihrer eigenen Sprache zu bieten. Bitte beachten Sie, dass selbst die beste maschinelle Übersetzung nicht so genau ist wie eine von einem professionellen Übersetzer angefertigte. Cisco Systems, Inc. übernimmt keine Haftung für die Richtigkeit dieser Übersetzungen und empfiehlt, immer das englische Originaldokument (siehe bereitgestellter Link) heranzuziehen.

Einleitung

In diesem Dokument wird beschrieben, wie Sie die Authentifizierung des zweiten Faktors auf einer sicheren Web-Appliance mit der Cisco ISE® als RADIUS-Server konfigurieren.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

  • Grundlegendes RADIUS-Wissen
  • Grundkenntnisse der SWA
  • Kenntnisse der Konfiguration von Authentifizierungs- und Autorisierungsrichtlinien auf der Cisco Identity Service Engine (ISE)

Cisco empfiehlt außerdem Folgendes:

  • Kompatible Versionen von WSA und ISE
  • Ihre ISE ist in Active Directory oder LDAP integriert
  • Administrationszugriff über Secure Web Appliance (SWA) und Cisco Identity Service Engine (ISE)
  • Active Directory oder LDAP wird mit dem Benutzernamen "Admin" konfiguriert, um das SWA-Standardkonto "Admin" zu authentifizieren.

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf folgenden Software-Versionen:

  • ISE 3.0.0
  • SWA 14.0.2-012

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Hintergrundinformationen

Wenn Sie die zweite Faktor-Authentifizierung für administrative Benutzer auf SWA aktivieren, überprüft das Gerät die Benutzeranmeldeinformationen mit dem RADIUS-Server ein zweites Mal, nachdem die in SWA konfigurierten Anmeldeinformationen überprüft wurden.

Netzwerktopologie

Image- Network Topology DiagramBild - Netzwerktopologie-Diagramm

Administrative Benutzer greifen mit ihren Anmeldeinformationen auf Port 443 auf SWA zu, und SWA verifiziert die Anmeldeinformationen mit dem RADIUS-Server für die zweite Faktor-Authentifizierung.

Konfigurationsschritte

ISE-Konfiguration

1. Fügen Sie ein neues Netzwerkgerät hinzu, und navigieren Sie zu Administration > Network Resources > Network Devices > +Add.

Image - Add SWA as a Network Device in ISESWA als Netzwerkgerät in der ISE hinzufügen

2. Netzwerkgerät in der ISE konfigurieren

2.1. Weisen Sie dem Netzwerkgeräteobjekt einen Namen zu.

2.2. Geben Sie die SWA-IP-Adresse ein.

2.3. Aktivieren Sie das Kontrollkästchen RADIUS.

2.4. Definieren Sie einen gemeinsamen geheimen Schlüssel.

note-icon

Anmerkung: Derselbe Schlüssel muss später für die SWA-Konfiguration verwendet werden.

Image - Configure SWA Network Device Shared KeyGemeinsamer SWA-Schlüssel für Netzwerkgerät konfigurieren

2.5. Klicken Sie auf Senden.

Submit Network Device ConfigurationKonfiguration des Netzwerkgeräts senden

3. Sie müssen Netzwerkzugriffsbenutzer erstellen, die mit dem in SWA konfigurierten Benutzernamen übereinstimmen. Navigieren Sie zu Administration > Identity Management > Identities > +Add.

Image - Add Local Users in ISEHinzufügen lokaler Benutzer zur ISE

3.1. Zuweisen eines Namens.
3.2. (Optional) Geben Sie die E-Mail-Adresse des Benutzers ein.
3.3. Kennwort festlegen.
3.4. Klicken Sie auf Speichern.

Image - Add a local User in ISEHinzufügen eines lokalen Benutzers zur ISE

4. Erstellen Sie einen Richtliniensatz, der der SWA-IP-Adresse entspricht. Dadurch wird der Zugriff auf andere Geräte mit diesen Benutzeranmeldeinformationen verhindert.

4.1. Navigieren Sie zu Policy > Policy Sets, und klicken Sie auf das +-Symbol in der linken oberen Ecke.

Image - Add Policy Set in ISERichtliniensatz in ISE hinzufügen

4.2. Eine neue Zeile wird oben in Ihren Policy Sets platziert. Geben Sie einen Namen für die neue Richtlinie ein.

4.3. Fügen Sie eine Bedingung hinzu, damit das RADIUS NAS-IP-Address-Attribut mit der SWA IP Address übereinstimmt.

4.4. Klicken Sie auf Verwenden, um die Änderungen beizubehalten und den Editor zu beenden.

Image - Add Policy to Map SWA Network DeviceHinzufügen einer Richtlinie zum Zuordnen eines SWA-Netzwerkgeräts

4.5. Klicken Sie auf Speichern.

Image - Policy SaveRichtlinie speichern

note-icon

Anmerkung: In diesem Beispiel wird die Liste der Standardprotokolle für den Netzwerkzugriff verwendet. Sie können eine neue Liste erstellen und sie nach Bedarf eingrenzen.

5. Um die neuen Richtliniensätze anzuzeigen, klicken Sie in der Spalte Ansicht auf das Symbol >.

5.1. Erweitern Sie das Menü Autorisierungsrichtlinie, und klicken Sie auf das +-Symbol, um eine neue Regel hinzuzufügen, die allen authentifizierten Benutzern den Zugriff erlaubt.

5.2. Geben Sie einen Namen ein.

5.3. Legen Sie die Bedingungen so fest, dass sie mit dem Dictionary Network Access with Attribute AuthenticationStatus Equals AuthenticationPassed übereinstimmen, und klicken Sie auf Use (Verwenden).

Image - Select Authorization ConditionAutorisierungsbedingung auswählen

6. Legen Sie PermitAccess als Standard als Autorisierungsprofil fest, und klicken Sie auf Speichern.

Image - Select Authorization ProfileAutorisierungsprofil auswählen

SWA-Konfiguration

1. Navigieren Sie in der SWA-GUI zu Systemverwaltung, und wählen Sie Benutzer aus. 

2. Klicken Sie in den Second Factor Authentication Settings auf Enable.

Image - Enable Second Factor Authentication in SWASecond Factor Authentication in SWA aktivieren

3. Geben Sie die IP-Adresse der ISE in das Feld RADIUS Server-Hostname ein, und geben Sie den gemeinsamen geheimen Schlüssel ein, der in Schritt 2 der ISE-Konfiguration konfiguriert wurde.

4. Wählen Sie die vordefinierten Rollen aus, die Sie die Durchsetzung des zweiten Faktors aktivieren möchten.

caution-icon

Vorsicht: Wenn Sie die Second-Factor-Authentifizierung in SWA aktivieren, wird auch das Standard-Admin-Konto für die Second-Factor-Durchsetzung aktiviert. Sie müssen die ISE in LDAP oder Active Directory (AD) integrieren, um Anmeldeinformationen des Administrators zu authentifizieren, da die ISE nicht zulässt, Admin als Netzwerkzugriffsbenutzer zu konfigurieren.

Image - Enable Second Factor Authentication in SWASecond Factor Authentication in SWA aktivieren

Image - Configure Second Factor AuthenticationZweite Faktorauthentifizierung konfigurieren

5. Um Benutzer in SWA zu konfigurieren, klicken Sie auf Benutzer hinzufügen. Geben Sie den Benutzernamen ein, und wählen Sie den Benutzertyp aus, der für die gewünschte Rolle erforderlich ist. Geben Sie die Passphrase ein, und geben Sie die Passphrase erneut ein.

Image - User Configuration in SWABenutzerkonfiguration in SWA

6. Klicken Sie auf Senden und Änderungen bestätigen.

Überprüfung

Rufen Sie die SWA-GUI mit den konfigurierten Benutzeranmeldeinformationen auf. Nach erfolgreicher Authentifizierung werden Sie zu einer sekundären Authentifizierungsseite weitergeleitet. Sie müssen die sekundären Authentifizierungsinformationen eingeben, die in ISE konfiguriert wurden.

Image - Verify Second Factor Log inZweite Faktoranmeldung überprüfen

Verwandte Inhalte

Revisionsverlauf

Überarbeitung Veröffentlichungsdatum Kommentare
2.0
22-Oct-2026
Aktualisierte Einführung, Rechtschreibung, Grammatik, Abstände, eingefügte horizontale Linien in separate Abschnitte für Lesbarkeit, Alternativtext, feste URLs und CCW-Warnungen.
1.0
06-Feb-2024
Erstveröffentlichung
TAC Authored

Beiträge von Cisco Ingenieuren

  • Anil Rajan
    Cisco TAC Engineer

War dieses Dokument hilfreich?

FeedbackFeedback

Cisco kontaktieren

Dieses Dokument gilt für folgende Produkte.