Configuración de la integración de Duo con AD e ISE para RAVPN 2FA

1. Autenticación principal iniciada en Cisco ISE.
2. Cisco ASA envía la solicitud de autenticación al proxy de autenticación Duo.
3. La autenticación principal utiliza Active Directory o RADIUS.
4. Se ha establecido una conexión de proxy de autenticación Duo con seguridad Duo a través del puerto TCP 443.
5. Autenticación secundaria a través del servicio Duo Security.
6. El proxy de autenticación Duo recibe una respuesta de autenticación.
7. Acceso a Cisco ISE concedido.

---

Cuentas de usuario:

• Administrador de Active Directory: Esto se utiliza como la cuenta de directorio para permitir que el proxy de autenticación Duo se enlace al servidor de Active Directory para la autenticación primaria.
• Usuario de prueba de Active Directory.
• Duo de prueba para 2FA secundario.

---

Configuraciones de Active Directory

Windows Server está preconfigurado con los servicios de dominio de Active Directory.

---

Nota: Si RADIUS Duo Auth Proxy Manager se ejecuta en el mismo equipo host de Active Directory, los roles del servidor de directivas de redes (NPS) deben desinstalarse/eliminarse. Si se ejecutan ambos servicios RADIUS, pueden entrar en conflicto y afectar al rendimiento. 

---

Para lograr la configuración de AD para la autenticación y la identidad de usuario en usuarios de VPN de acceso remoto, se requieren algunos valores. Todos estos detalles deben crearse o recopilarse en Microsoft Server antes de que la configuración pueda completarse en el servidor proxy ASA y Duo Auth.

---

Los valores principales son:

• Nombre de dominio: Este es el nombre de dominio del servidor. En esta guía de configuración, agarciam.cisco es el nombre de dominio.

• Dirección IP del servidor/nombre de dominio completo (FQDN): dirección IP o FQDN que se utiliza para alcanzar el servidor de Microsoft. Si se utiliza un FQDN, se debe configurar un servidor DNS dentro de ASA y el proxy Duo Auth para resolver el FQDN. En esta guía de configuración, este valor es agarciam.cisco, que resuelve 10.28.17.107.

• Puerto del servidor: El puerto utilizado por el servicio LDAP. De forma predeterminada, LDAP y STARTTLS utilizan el puerto TCP 389 para LDAP, y LDAP sobre SSL (LDAP) utiliza el puerto TCP 636.

• CA raíz: Si se utiliza LDAPS o STARTTLS, se requiere la CA raíz utilizada para firmar el certificado SSL utilizado por LDAPS.

• Nombre de usuario y contraseña del directorio: Esta es la cuenta utilizada por el servidor proxy Duo Auth para enlazar con el servidor LDAP y autenticar y buscar usuarios y grupos.

• Nombre distinguido (DN) de base y grupo: El DN base es el punto de partida para el proxy de Duo Auth y alerta a Active Directory para que comience a buscar y autenticar usuarios.

---

En esta guía de configuración, el dominio raíz agarciam.cisco se utiliza como DN base y el DN de grupo es Duo-USERS.

---

1. Para agregar un nuevo usuario Duo en Windows Server, navegue hasta el icono Windows en la parte inferior izquierda y haga clic en Windows Administrative Tools:

---

---

2. En la ventana Herramientas administrativas de Windows, acceda a Usuarios y equipos de Active Directory. 

---

3. En el panel Usuarios y equipos de Active Directory, expanda la opción de dominio y navegue hasta la carpeta Usuarios.

---

4. En este ejemplo de configuración, Duo-USERS se utiliza como el grupo de destino para la autenticación secundaria.

---

---

5. Haga clic con el botón derecho en la carpeta Users y seleccione New > User:

---

---

6. En la ventana Nuevo Usuario-Objeto, especifique los atributos de identidad del nuevo usuario y haga clic en Siguiente:

---

---

7. Confirme la contraseña y haga clic en Next y, a continuación, en Finish una vez verificada la información del usuario.

---

---

8. Asigne el nuevo usuario a un grupo específico, haga clic con el botón derecho y seleccione Agregar a un grupo:

---

---

9. En el panel Seleccionar grupos, escriba el nombre del grupo deseado y haga clic en Comprobar nombres. A continuación, seleccione el nombre que coincida con los criterios y haga clic en Aceptar.

---

---

10. Este es el usuario que se utiliza en este documento como ejemplo.

---

Configuraciones duales

1. Inicie sesión en el portal Duo Admin.

---

---

2.En el panel del lado izquierdo, navegue hasta Usuarios, haga clic en Agregar usuario y escriba el nombre del usuario que coincida con el nombre de usuario del dominio activo, luego haga clic en Agregar usuario.

---

---

3. En el nuevo panel de usuario, rellene toda la información necesaria.

---

---

4. En dispositivos de usuario, especifique el método de autenticación secundario.

---

Nota: En este documento, se utiliza el método Duo push para dispositivos móviles, por lo que se debe agregar un dispositivo telefónico.

---

5. Haga clic en Agregar teléfono.

---

---

6. Escriba el número de teléfono del usuario y haga clic en Agregar teléfono.

---

---

7. En el panel izquierdo Duo Admin, navegue hasta Users y haga clic en el nuevo usuario.

---

---

---

 8. Navegue hasta la sección Teléfonos y haga clic en Activar Duo Mobile.

---

---

9. Haga clic en Generar Duo Mobile Activation Code.

---

---

10. Seleccione Correo electrónico para recibir las instrucciones por correo electrónico, escriba su dirección de correo electrónico y haga clic en Enviar instrucciones por correo electrónico.

---

---

11. Recibirá un mensaje de correo electrónico con las instrucciones.

---

---

12. Abra Duo Mobile App desde su dispositivo móvil y haga clic en Agregar, luego seleccione Usar código QR y escanee el código del correo electrónico.

---

13. El nuevo usuario se añade a su Duo Mobile App.

---

Configuración de proxy de autenticación Duo

1. Descargue e instale Duo Auth Proxy Manager desde Cisco Duo Authentication.

---

Nota: En este documento, Duo Auth Proxy Manager se instala en el mismo servidor de Windows que aloja los servicios de Active Directory. 

---

2. En el panel Duo Admin, navegue hasta Aplicaciones y haga clic en Proteger una aplicación.

---

---

3. En la barra de búsqueda, busque Cisco ISE Radius.

---

---

4. Copie la clave de integración, la clave secreta y el nombre de host de la API. Necesita esta información para la configuración de Duo Authentication Proxy.

---

---

5. Ejecute la aplicación Duo Authentication Proxy Manager y complete la configuración para el cliente de Active Directory y el servidor ISE Radius y haga clic en Validar.

---

Nota: Si la validación no se realiza correctamente, consulte la ficha debug para obtener detalles y corrija en consecuencia.

---

---

Configuraciones de Cisco ISE

1. Inicie sesión en el portal ISE Admin.

---

2. Expanda la pestaña Cisco ISE y Navegue hasta Administración, luego haga clic en Recursos de red, y haga clic en Servidores RADIUS externos.

---

---

3. En la pestaña External Radius Servers, haga clic en Add.

---

---

4. Rellene el espacio en blanco con la configuración RADIUS utilizada en el Administrador de Proxy de Autenticación Duo y haga clic en Enviar.

---

---

5. Acceda a la pestaña Secuencias de Servidor RADIUS y haga clic en Agregar.

---

---

6. Especifique el nombre de la secuencia y asigne el nuevo servidor externo RADIUS. Haga clic en Enviar.

---

---

7. En el menú Panel, acceda a Política y haga clic en Juegos de Políticas.

---

---

8. Asigne la secuencia RADIUS a la política por defecto.

---

Nota: La secuencia dúo a todas las conexiones se aplica con la política predeterminada que se está utilizando; la asignación de directivas puede variar.

---

---

Configuración RADIUS/ISE de Cisco ASA

1. Para configurar el servidor RADIUS de ISE en Grupos de servidores AAA, navegue hasta Configuración, haga clic en Administración de dispositivos, expanda la sección Usuarios/AAA y seleccione Grupos de servidores AAA.

---

---

2. En el panel AAA Server Groups, haga clic en Add.

---

---

3. Seleccione el nombre del grupo de servidores y especifique RADIUS como el protocolo que desea utilizar y, a continuación, haga clic en Aceptar.

---

---

5. Seleccione el nuevo grupo de servidores y haga clic en Agregar en Servidores en el panel Grupo Seleccionado:

---

---

6. En la ventana Editar Servidor AAA, seleccione el Nombre de Interfaz, especifique la Dirección IP del Servidor ISE, escriba la Clave Secreta RADIUS y haga clic en Aceptar.

---

Nota: Toda la información debe coincidir con la especificada en Duo Authentication Proxy Manager.

---

---

Configuración de CLI

aaa-server ISE protocol radius
 dynamic-authorization
aaa-server ISE (outside) host 10.28.17.101
 key *****

---

Configuración de VPN de acceso remoto de Cisco ASA

ip local pool agarciam-pool 192.168.17.1-192.168.17.100 mask 255.255.255.0

group-policy DUO internal
group-policy DUO attributes
 banner value This connection is for DUO authorized users only!
 vpn-tunnel-protocol ikev2 ssl-client 
 split-tunnel-policy tunnelspecified
 split-tunnel-network-list value split-agarciam
 address-pools value agarciam-pool

tunnel-group ISE-users type remote-access
tunnel-group ISE-users general-attributes
 address-pool agarciam-pool
 authentication-server-group ISE
 default-group-policy DUO
tunnel-group ISE-users webvpn-attributes
 group-alias ISE enable
 dns-group DNS-CISCO

---

Prueba

1. Abra la aplicación Cisco Secure Client/AnyConnect en su PC. Especifique el nombre de host de la cabecera VPN ASA e inicie sesión con el usuario creado para la autenticación Duo secundaria y haga clic en Aceptar.

---

---

2. Recibe una notificación de inserción Duo en el dispositivo Duo Mobile del usuario especificado.

---

3. Abra la notificación de Duo Mobile App y haga clic en Aprobar.

---

---

4. Acepte el banner y se establecerá la conexión.

---

---

---

Troubleshoot

En esta sección encontrará información que puede utilizar para solucionar problemas de configuración. Duo Authentication Proxy incluye una herramienta de depuración que muestra los motivos de error y fallo.

---

Depuraciones en funcionamiento

---

Nota: La siguiente información se almacena en C:\Program Files\Duo Security Authentication Proxy\log\connectivity_tool.log.

---

---

Problemas Comunes

1. Problemas de conectividad, IP incorrecta, FQDN/nombre de host sin resolver en la configuración de Active Directory

---

2. Contraseña incorrecta para el usuario administrador en Active Directory

---

Depuraciones:

---

3. Dominio de base incorrecto

---

Depuraciones:

---

4. Valor de RADIUS iKey incorrecto

---

Depuraciones:

---

5. Verificar que el servidor ISE envía paquetes de solicitud de acceso

---

6. Utilice la utilidad NTRadPing para verificar que el proxy de autenticación Duo funciona

Para confirmar que el servidor proxy de autenticación Duo funciona, Duo proporciona la herramienta NTRadPing para simular paquetes de solicitud de acceso y respuestas con Duo.

     6.1 Instale NTRadPing en un equipo diferente y genere tráfico.

---

Nota: En este ejemplo, se utiliza la máquina Windows 10.28.17.3.

---

     6.2 Configure con los atributos utilizados en la configuración de ISE Radius.

---

     6.3 Configure el Duo Authentication Proxy Manager como en el siguiente ejemplo:

---

     6.4. Desplácese hasta la herramienta NTRadPing y haga clic en Enviar. Recibirá una notificación de inserción Duo en el dispositivo móvil asignado.