Contenido

Introducción

Prerequisites

Requirements

Componentes Utilizados

Antecedentes

Configurar

Diagrama de la red

Configuración de RA VPN con autenticación AAA/RADIUS a través de FMC

Configuración de ISE para Soportar MS-CHAPv2 como protocolo de autenticación

Verificación

Troubleshoot

Introducción

Este documento describe cómo habilitar Microsoft Challenge Handshake Authentication Protocol versión 2 (MS-CHAPv2) como el método de autenticación a través de Firepower Management Center (FMC) para clientes VPN de acceso remoto con autenticación RADIUS (servicio de usuario de acceso telefónico de autenticación remota).

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

- Firepower Threat Defense (FTD)

- Firepower Management Center (FMC)

- Identity Services Engine (ISE)

- Cisco AnyConnect Secure Mobility Client

- protocolo RADIUS

Componentes Utilizados

La información que contiene este documento se basa en estas versiones de software:

- FMCv - 7.0.0 (compilación 94)

- FTDv - 7.0.0 (Compilación 94)

- ISE - 2.7.0.356

- AnyConnect: 4.10.02086

- Windows 10 Pro

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Antecedentes

De forma predeterminada, FTD utiliza el protocolo de autenticación de contraseña (PAP) como método de autenticación con los servidores RADIUS para las conexiones VPN de AnyConnect.

PAP proporciona un método sencillo para que los usuarios establezcan su identidad con un intercambio de señales bidireccional. La contraseña PAP se cifra con un secreto compartido y es el protocolo de autenticación menos sofisticado. PAP no es un método de autenticación sólido porque ofrece poca protección contra los repetidos ataques de prueba y error.

La autenticación MS-CHAPv2 introduce la autenticación mutua entre pares y una función de cambio de contraseña.

Para habilitar MS-CHAPv2 como el protocolo utilizado entre el ASA y el servidor RADIUS para una conexión VPN, la administración de contraseñas debe estar habilitada en el perfil de conexión. Al habilitar la administración de contraseñas, se genera una solicitud de autenticación MS-CHAPv2 desde el FTD al servidor RADIUS.

Configurar

Diagrama de la red

Configuración de RA VPN con autenticación AAA/RADIUS a través de FMC

Para ver un procedimiento paso a paso, consulte este documento y este vídeo:

- Configuración de VPN de acceso remoto AnyConnect en FTD

- Configuración de AnyConnect inicial para FTD gestionada por FMC

Paso 1. Una vez configurada la VPN de acceso remoto, navegue hasta Dispositivos > Acceso remoto, edite el perfil de conexión recién creado y luego navegue a la pestaña AAA.

Expanda la sección Advanced Settings y haga clic en la casilla de verificación Enable Password Management . Click Save.

Guardar e implementar.

La configuración de VPN de acceso remoto en la CLI de FTD es:

ip local pool AC_Pool 10.0.50.1-10.0.50.100 mask 255.255.255.0

interface GigabitEthernet0/0

nameif Outside_Int

security-level 0

ip address 192.168.0.100 255.255.255.0

aaa-server ISE_Server protocol radius

aaa-server ISE_Server host 172.16.0.8

key *****

authentication-port 1812

accounting-port 1813

crypto ca trustpoint RAVPN_Self-Signed_Cert

enrollment self

fqdn none

subject-name CN=192.168.0.100

keypair <Default-RSA-Key>

crl configure

ssl trust-point RAVPN_Self-Signed_Cert

webvpn

enable Outside_Int

http-headers

hsts-server

enable

max-age 31536000

include-sub-domains

no preload

hsts-client

enable

x-content-type-options

x-xss-protection

content-security-policy

anyconnect image disk0:/csm/anyconnect-win-4.10.02086-webdeploy-k9.pkg 1 regex "Windows"

anyconnect enable

tunnel-group-list enable

cache

no disable

error-recovery disable

group-policy DfltGrpPolicy attributes

vpn-tunnel-protocol ikev2 ssl-client

user-authentication-idle-timeout none

webvpn

anyconnect keep-installer none

anyconnect modules value none

anyconnect ask none default anyconnect

http-comp none

activex-relay disable

file-entry disable

file-browsing disable

url-entry disable

deny-message none

tunnel-group RA_VPN type remote-access

tunnel-group RA_VPN general-attributes

address-pool AC_Pool

authentication-server-group ISE_Server

password-management

tunnel-group RA_VPN webvpn-attributes

group-alias RA_VPN enable

Configuración de ISE para Soportar MS-CHAPv2 como protocolo de autenticación

Se supone que:

1. El FTD ya se agrega como dispositivo de red en ISE para que pueda procesar las solicitudes de acceso RADIUS desde el FTD.

2. ISE dispone de al menos un usuario para autenticar el cliente AnyConnect.

Paso 2. Navegue hasta Política > Conjuntos de políticas y busque la política de Protocolos permitidos asociada al Conjunto de políticas donde se autentican los usuarios de AnyConnect. En este ejemplo, sólo hay un conjunto de políticas, por lo que la política en cuestión es Acceso de red predeterminado.

Paso 3. Vaya a Política > Elementos de política > Resultados. En Authentication > Allowed Protocols elija y edite Default Network Access.

Asegúrese de que la casilla de verificación Allow MS-CHAPv2 esté marcada. Desplácese hasta abajo y guárdelo.

Verificación

Desplácese hasta el equipo cliente en el que está instalado el cliente Cisco AnyConnect Secure Mobility. Conéctese a la cabecera FTD (en este ejemplo se utiliza una máquina Windows) y escriba las credenciales del usuario.

Los registros en directo de RADIUS en ISE muestran:

Nota: El comando test aaa-server authentication siempre utiliza PAP para enviar solicitudes de autenticación al servidor RADIUS, no hay forma de forzar al firewall a utilizar MS-CHAPv2 con este comando.

firepower# test aaa-server authentication ISE_Server host 172.16.0.8 username user1 password XXXXXX

INFO: Intentando la prueba de autenticación a la dirección IP (172.16.0.8) (tiempo de espera: 12 segundos)

INFO: Authentication Successful (Autenticación exitosa)

Nota: No modifique los atributos ppp del grupo de túnel mediante Flex-config, ya que esto no tiene efecto en los protocolos de autenticación negociados sobre RADIUS para las conexiones VPN de AnyConnect (SSL e IPSec).

tunnel-group RA_VPN ppp-Attributes

no authentication pap

authentication chap

authentication ms-chap-v1

no authentication ms-chap-v2

no authentication eap-proxy

Troubleshoot

Esta sección proporciona la información que puede utilizar para resolver problemas de su configuración.

On FTD:

- debug radius all

En ISE:

- Registros activos RADIUS