Ejemplo de Configuración de ISE Guest Password Integration with SMS Gateway Based on Postfix and Channel

Introducción

Este documento describe cómo integrar soluciones de código abierto (Postfix, Maildrop, Kannel) con Cisco Identity Services Engine (ISE) para entregar un mensaje SMS (Servicio de mensajes cortos) a usuarios con cuentas de invitado.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

• Cisco ISE y acceso de invitados
• Scripting de Linux y Shell

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

• Cisco ISE versión 1.2 o posterior
• Postfix Versión 2.10
• Maildrop Versión 2.6.0
• Versión del canal 1.5.0

Nota: Tenga en cuenta que Postfix, Maildrop y Kannel son soluciones de código abierto y que Cisco no admite estos productos. En este ejemplo de configuración simplemente se muestra cómo ISE se puede integrar con otros productos para ofrecer una solución integral.

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). If your network is live, make sure that you understand the potential impact of any command.

Antecedentes

ISE permite crear cuentas de invitados para el acceso temporal a la red, normalmente para invitados, visitantes, contratistas, consultores y clientes. Dichas cuentas son creadas por los usuarios patrocinadores a través del Portal del patrocinador. Al crear la cuenta, es posible enviar una contraseña de acceso generada dinámicamente con un SMS directamente al teléfono móvil del usuario invitado.

Cisco ISE puede enviar estas credenciales por correo electrónico con el protocolo simple de transferencia de correo (SMTP) al gateway Mail2SMS. Este gateway es responsable de la entrega de SMS.

Configurar

Ventajas del gateway SMS

Hay varias soluciones de gateway Mail2SMS en el mercado. Por lo general, pueden recibir datos con el uso de diferentes protocolos, como SMTP, mensajes cortos de igual a igual (SMTP), FTP, HTTP (protocolo simple de acceso a objetos [SOAP], servicios web) y enviar un mensaje SMS al teléfono móvil específico.

Puede que sea mejor crear su propio gateway SMS. Permite lo siguiente:

• Mayor flexibilidad
• Capacidad para crear reglas compuestas sobre routing (basado en tiempo, en políticas y en contenido)
• Integración con bases de datos locales (por ejemplo, diferentes directivas de enrutamiento para diferentes grupos de Active Directory)
• Costes operativos potencialmente más bajos (no es necesario pagar por un servicio externo)
• La posibilidad de utilizar esta solución también para las alertas de estado generadas por ISE y enviadas como correos electrónicos

Puede que valga la pena tener una implementación mixta: un gateway SMS personal que también se integre con un servicio externo.

Diagrama de red y flujo de tráfico

Este es el flujo:

1. El usuario patrocinador crea una cuenta de invitado con una notificación SMS y proporciona el número de teléfono móvil del usuario. ISE envía un correo electrónico al servidor SMTP configurado. La dirección de origen (From) pertenece a un usuario patrocinador específico, mientras que la dirección de destino (To) se configura globalmente en ISE (en este ejemplo, sms@test-cisco.com). Todos los detalles sobre el usuario recién creado, como el nombre de usuario y la contraseña, están dentro del cuerpo de ese correo electrónico.
   
   
2. El correo electrónico llega al servidor Postfix, que está configurado con maildrop como agente de entrega local. Justo antes de la entrega al directorio maildir del usuario de SMS, maildrop busca mailfilter en el directorio de inicio para el usuario. El script mailfilter analiza el correo electrónico, y si se encuentran todos los datos necesarios, utiliza wget para enviar la solicitud GET HTTP al smsbox del canal. Las solicitudes GET HTTP contienen el mensaje de texto junto con el nombre de usuario y la contraseña, así como el número de teléfono móvil del usuario. Kannel smsbox es la parte frontal de Kannel que se utiliza para aceptar todas las solicitudes de los usuarios con el fin de enviar SMS (para pasarlo a la portadora de Kannel).
   
   
3. El smsbox de Kannel envía esa solicitud al portador de Kannel, que tiene la responsabilidad de enviar el SMS.
   
   
4. Puede haber varias reglas y centros de servicio de mensajes cortos (SMSC) configurados en la caja portadora. Este ejemplo utiliza un servidor SMTP externo. La configuración de un teléfono móvil conectado localmente es sencilla y se presenta más adelante.

Cada módulo de esta solución (Postfix, Kannel smsbox y Kannel bearerbox) se puede instalar en un servidor independiente. Para simplificar este ejemplo, se configura en el mismo servidor.

Configuraciones

ISE

Complete estos pasos para configurar el ISE.

1. Configure el usuario del portal de patrocinadores. En este ejemplo, se utiliza la configuración predeterminada de ISE y el usuario se coloca en el grupo SponsorAllAccount:
   
   

   

   
   
   El correo electrónico del usuario patrocinador se puede configurar más adelante desde el portal del patrocinador.
   
   
2. Para poder enviar notificaciones SMS, edite los privilegios predeterminados para el grupo SponsorAllAccount:
   
   

   

   
   
   De forma predeterminada, el privilegio Send SMS está inhabilitado.
   
   
3. Configure el servidor SMTP y asegúrese de que la configuración de DNS es correcta.
   
   

   

   
   
   Todos los correos electrónicos de notificación se envían al host smtp.test-cisco.com. ISE no intenta comprobar los registros DNS MX para los dominios configurados (este servidor SMTP se trata como un relay).
   
   
4. Personalice el correo electrónico que se envía como notificación de SMS.
   
   

   

   
   
   
5. Configure la dirección de correo electrónico de destino, que es la única opción que no se deja como predeterminada. Todas las notificaciones se envían a través de un servidor SMTP configurado anteriormente con el campo To establecido como sms@test-cisco.com.
   
   

   Nota: es posible configurar ISE para enviar notificaciones de alerta por correo electrónico. Esto también se puede integrar con la solución propuesta para enviar las alertas como SMS a los teléfonos móviles. Cisco recomienda que utilice una cuenta independiente en el servidor Postfix para esto (por ejemplo, alert@test-cisco.com).

   
   
   

   

Postfijo

Postfix es un servidor SMTP que recibe correos electrónicos de ISE. Se utiliza la configuración predeterminada, excepto para algunos cambios menores. Complete estos pasos para configurarlo.

1. Configure Postfix para que sea el destino local para el dominio test-cisco.com. También es importante configurar un agente de entrega local: maildrop. Aquí están los cambios necesarios en el main.cf:
   
   

   myhostname = smtp.test-cisco.com
   mydomain = test-cisco.com
   mydestination = $myhostname, $mydomain, localhost
   local_transport = maildrop

   
   
   
2. El siguiente paso es activar el maildrop en el master.cf. Cambie la línea correcta en el master.cf:
   
   

   maildrop  unix  -       n       n       -       -       pipe
     flags=DRhu user=vmail argv=/usr/bin/maildrop -d ${user}

   
   
   Debido a que es una implementación simple sin dominios virtuales, se utiliza el parámetro {user} en lugar del parámetro {recipient} predeterminado.
   
   
3. Configure el SMS de cuenta local que se utiliza para recibir los correos electrónicos:
   
   

   neptun ~ # useradd sms
   neptun ~ # passwd sms
   New password: 
   BAD PASSWORD: it is too simplistic/systematic
   Retype new password: 
   passwd: password updated successfully
   neptun ~ # chown -R sms:sms /home/sms/

   
   
   

   En este momento, todos los correos electrónicos deben entregarse correctamente al usuario de SMS. La estructura maildir se crea automáticamente cuando recibe correo electrónico por primera vez.

Maildrop con Mailfilter

Justo antes de la entrega, maildrop busca .mailfilter en el directorio de inicio para el usuario. Si se encuentra ese archivo, se ejecuta la secuencia de comandos. Los privilegios para el archivo deben estar limitados a usuario solamente:

neptun sms # touch /home/sms/.mailfilter
neptun sms # chmod go-rwx /home/sms/.mailfilter

Aquí está el contenido del archivo:

# Mailfilter script for parsing ISE SMS messages
# Author: Michal Garcarz at cisco.com
# Date: 1 Dec 2013

#DEFAULT="$HOME/.maildir/"
DATE=`date`
SHELL="/bin/bash"

# Our log file
logfile "/home/sms/maildrop.log"

# Our verbosity in the log file
VERBOSE="5"

log "-------------SMS MAILFILTER LOG-----------"
log "Email received at: $DATE"

if (/^Subject:.*Guest.*Text.*Notification.*/)
{
        log "Email processed by script sending SMS via Kannel"

        USERNAME=""
        PASSWORD=""
        TO=""
        if (/^text:Username:(.*)/:b)
        {
            log "Username exists $MATCH1"
            USERNAME=$MATCH1
        }
        if (/^text:Password:(.*)/:b)
        {
            log "Password exists $MATCH1"
            PASSWORD=$MATCH1
        }
        if (/^to:(.*)/:b)
        {
            log "Mobile phone exists $MATCH1"
            TO=$MATCH1
        }

        if ($USERNAME ne "" && $PASSWORD ne "" && $TO ne "")
        {
            log "Sending via HTTP to kannel username=$USERNAME password=$PASSWORD to=$TO"    
            DATA="ISE Guest portal Username: $USERNAME Password: $PASSWORD"
                    
            #also curl can be used instead of wget
            xfilter "wget -O/dev/null \"http://192.168.112.100:13013/cgi-bin/sendsms?username=
            tester&password=foobar&to=$TO&text=$DATA\" >> /tmp/maildrop-kannel.log 2>> 
            /tmp/maildrop-kannel.log"
        }

        #deliver to maildir (not used since xfilter returns !=0)
        to $DEFAULT/
}

El guión:

• Comprueba si el asunto es el mismo que el configurado en ISE
  
  
• Lee el nombre de usuario y la contraseña de los campos del cuerpo del correo electrónico (se utiliza la plantilla predeterminada de ISE).
  
  
• Llama a un programa externo si todos los campos existen: wget para enviar HTTP GET a Kannel smsbox con todos los parámetros. Observe que se utilizan credenciales específicas en la URL (username=tester&password=foobar). Estas son las credenciales del usuario configurado en el Canal con los privilegios para enviar SMS.

Hay dos archivos de registro aquí:

• /home/sms/maildrop.log: registros desde la ejecución del script
• /tmp/maildrop-kannel.log: registros de la ejecución de wget

Canal

Tanto smsbox como bearerbox se pueden configurar desde el único archivo. Esta configuración utiliza el servidor SMTP externo para la entrega. Es fácil encontrar varios servicios en la web si busca la frase del proveedor de servicios smpp sms. La configuración es sencilla, ya que no es necesario recibir ni enrutar mensajes SMS. Esta solución es sólo para el envío y utiliza un proveedor de SMTP.

A continuación se muestra un extracto de /etc/kannel/kannel.conf:

#bearerbox   
group = core
admin-port = 13000
admin-password = bar
smsbox-port = 13001
log-level = 0
log-file = "/var/log/kannel/kannel.log"
access-log = "/var/log/kannel/access.log"

# SMSC SMPP
group = smsc
smsc = smpp
host = ****.com
port = 1775
smsc-username = 4ljt7wi3
smsc-password = ******
system-type = 
address-range =

# SMSBOX SETUP
group = smsbox
bearerbox-host = localhost
sendsms-port = 13013
sendsms-chars = "0123456789 +-"
global-sender = 12345
log-file = "/var/log/kannel/smsbox.log"
log-level = 0
access-log = "/var/log/kannel/access.log"
white-list =
black-list =
reply-couldnotfetch = 
reply-couldnotrepresent = 
reply-requestfailed =
reply-emptymessage = 

# SEND-SMS USERS, this credentials has been used in wget script
group = sendsms-user
username = tester
password = foobar
user-deny-ip = "*.*.*.*"
user-allow-ip = "192.168.*.*"

# SMS SERVICE Default
# there should be default always (this is for receiving SMS messages - not used)
group = sms-service
keyword = default
text = "No service specified"

Es posible conectar un teléfono móvil a través de USB y configurar GSM SMSC:

group = smsc
smsc = at                  #type = GSM
smsc-id = usb0-modem
my-number = 1234
modemtype = auto           #types: wavecom, siemens, siemens-tc35, falcom,
nokiaphone, ericsson
device = /dev/ttyUSB0      #phone device seen on server 

En la mayoría de los teléfonos, también es necesario activar la funcionalidad del módem; por ejemplo, en la versión 2.2 y posteriores de Android, se habilita en Configuración/anclaje y anclaje de punto de conexión portátil/USB.

Recuerde ejecutar tanto bearerbox como smsbox. Aquí tiene un ejemplo:

neptun ~ # /etc/init.d/kannel-bearerbox start
 * Starting kannel bearerbox ...                                              [ ok ]
neptun ~ # /etc/init.d/kannel-smsbox start   
 * Starting kannel smsbox ...                                                 [ ok ]

neptun ~ # netstat -atcpn              
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address     Foreign Address    State    PID/Program name    
tcp        0      0 0.0.0.0:13013     0.0.0.0:*          LISTEN   24170/smsbox            
tcp        0      0 0.0.0.0:13000     0.0.0.0:*          LISTEN   24151/bearerbox     
tcp        0      0 0.0.0.0:13001     0.0.0.0:*          LISTEN   24151/bearerbox  

Bearerbox debe tener al menos un SMSC configurado para iniciarse.

Verificación

Utilize esta sección para confirmar que su configuración funcione correctamente.

ISE

Se utiliza el puerto predeterminado del portal de patrocinadores (8443). El patrocinador inicia sesión en https://ise.test-cisco.com:8443/sponsorportal/.

Asegúrese de que el patrocinador tenga una dirección de correo electrónico asignada en Mi configuración:

Cree la cuenta de invitado con una notificación SMS:

Recibe confirmación de que la cuenta de invitado se ha creado correctamente:

ISE debe enviar un correo electrónico al servidor SMTP configurado.

Postfijo

El servidor SMTP recibe el mensaje y utiliza maildrop para enviarlo a la cuenta local (sms@test-cisco.com). Aquí hay un extracto de /var/log/messages:

Nov 30 22:39:47 neptun postfix/smtpd[18460]: connect from unknown[192.168.112.1]
Nov 30 22:39:47 neptun postfix/smtpd[18460]: 2B36030B32: client=unknown
[192.168.112.1]
Nov 30 22:39:47 neptun postfix/cleanup[18463]: 2B36030B32: message-id=
<563762958.941385847586377.JavaMail.root@ise2>
Nov 30 22:39:47 neptun postfix/qmgr[32658]: 2B36030B32: from=
     
     ,
size=689, nrcpt=1 (queue active)
Nov 30 22:39:47 neptun postfix/pipe[18464]: 2B36030B32: to=<sms@test-cisco.com>,
relay=maildrop, delay=0.18, delays=0.14/0/0/0.04, dsn=2.0.0, status=sent (delivered
via maildrop service)

Correo

Antes de enviar el correo electrónico al SMS, el directorio maildir ejecuta /home/sms/.mailfilter, que realiza una acción específica.

A continuación se muestra un extracto de /home/sms/maildrop.log:

-------------SMS MAILFILTER LOG-----------
Email received at: Sat Nov 30 22:39:47 CET 2013
Email processed by script sending SMS via Kannel
Username exists  jsmith02
Password exists  t6ub79_6r
Mobile phone exists 4850xxxxxxx
Sending via HTTP to kannel username= jsmith02 password= t6ub79_6r to=4850xxxxxxx

Mailfilter

El script mailfilter lee todos los datos y ejecuta xfilter, que llama a wget para pasar todos los parámetros al canal.

A continuación se muestra un extracto de /tmp/maildrop-kannel.log:

--2013-11-30 22:39:47--  http://192.168.112.100:13013/cgi-bin/sendsms?username=
tester&password=foobar&to=4850xxxxxxx&text=ISE%20Guest%20portal%20Username:
%20%20jsmith02%20Password:%20%20t6ub79_6r
Connecting to 192.168.112.100:13013... connected.
HTTP request sent, awaiting response... 202 Accepted
Length: 24 [text/html]
Saving to: `/dev/null'

     0K                                                       100% 1.14M=0s

2013-11-30 22:39:47 (1.14 MB/s) - `/dev/null' saved [24/24]

Se acepta la solicitud GET HTTP.

Canal

El smsbox del canal informa que recibió una solicitud HTTP de wget y envió esa solicitud al bearerbox para entregar el SMS.

A continuación se muestra un extracto de /var/log/kannel/smsbox.log:

2013-11-30 22:39:47 [18184] [5] INFO: smsbox: Got HTTP request </cgi-bin/sendsms>
from <192.168.112.100>
2013-11-30 22:39:47 [18184] [5] INFO: sendsms used by 
     
     
2013-11-30 22:39:47 [18184] [5] INFO: sendsms sender:<tester:12345>
(192.168.112.100) to:<4850xxxxxxx> msg:
     
     jsmith02 Password:  t6ub79_6r>
2013-11-30 22:39:47 [18184] [5] DEBUG: Stored UUID fd508632-9408-49e1-9eda-
3ce8d4b939d4
2013-11-30 22:39:47 [18184] [5] DEBUG: message length 57, sending 1 messages
2013-11-30 22:39:47 [18184] [5] DEBUG: Status: 202 Answer: <Sent.>
2013-11-30 22:39:47 [18184] [5] DEBUG: Delayed reply - wait for bearerbox
2013-11-30 22:39:47 [18184] [0] DEBUG: Got ACK (0) of fd508632-9408-49e1-9eda-
3ce8d4b939d4

El portador de canal se conecta al servidor SMTP remoto y envía el mensaje correctamente.

A continuación se muestra un extracto de /var/log/kannel/kannel.log:

2013-11-30 22:39:47 [18165] [8] DEBUG: boxc_receiver: sms received
2013-11-30 22:39:47 [18165] [8] DEBUG: send_msg: sending msg to box: <127.0.0.1>
2013-11-30 22:39:47 [18165] [6] DEBUG: SMPP[SMPP:*****.com:1775/0:4ljt7wi3:]:
throughput (0.00,0.00)
2013-11-30 22:39:47 [18165] [6] DEBUG: SMPP[SMPP:*****.com:1775/0:4ljt7wi3:]:
Sending PDU:
2013-11-30 22:39:47 [18165] [6] DEBUG: SMPP PDU 0x2056bf0 dump:
2013-11-30 22:39:47 [18165] [6] DEBUG:   type_name: submit_sm
2013-11-30 22:39:47 [18165] [6] DEBUG:   command_id: 4 = 0x00000004
2013-11-30 22:39:47 [18165] [6] DEBUG:   command_status: 0 = 0x00000000
2013-11-30 22:39:47 [18165] [6] DEBUG:   sequence_number: 5 = 0x00000005
2013-11-30 22:39:47 [18165] [6] DEBUG:   service_type: NULL
2013-11-30 22:39:47 [18165] [6] DEBUG:   source_addr_ton: 2 = 0x00000002
2013-11-30 22:39:47 [18165] [6] DEBUG:   source_addr_npi: 1 = 0x00000001
2013-11-30 22:39:47 [18165] [6] DEBUG:   source_addr: "12345"
2013-11-30 22:39:47 [18165] [6] DEBUG:   dest_addr_ton: 2 = 0x00000002
2013-11-30 22:39:47 [18165] [6] DEBUG:   dest_addr_npi: 1 = 0x00000001
2013-11-30 22:39:47 [18165] [6] DEBUG:   destination_addr: "4850xxxxxxx"
2013-11-30 22:39:47 [18165] [6] DEBUG:   esm_class: 3 = 0x00000003
2013-11-30 22:39:47 [18165] [6] DEBUG:   protocol_id: 0 = 0x00000000
2013-11-30 22:39:47 [18165] [6] DEBUG:   priority_flag: 0 = 0x00000000
2013-11-30 22:39:47 [18165] [6] DEBUG:   schedule_delivery_time: NULL
2013-11-30 22:39:47 [18165] [6] DEBUG:   validity_period: NULL
2013-11-30 22:39:47 [18165] [6] DEBUG:   registered_delivery: 0 = 0x00000000
2013-11-30 22:39:47 [18165] [6] DEBUG:   replace_if_present_flag: 0 = 0x00000000
2013-11-30 22:39:47 [18165] [6] DEBUG:   data_coding: 0 = 0x00000000
2013-11-30 22:39:47 [18165] [6] DEBUG:   sm_default_msg_id: 0 = 0x00000000
2013-11-30 22:39:47 [18165] [6] DEBUG:   sm_length: 57 = 0x00000039
2013-11-30 22:39:47 [18165] [6] DEBUG:   short_message:
2013-11-30 22:39:47 [18165] [6] DEBUG:    Octet string at 0x205ec70:
2013-11-30 22:39:47 [18165] [6] DEBUG:      len:  57
2013-11-30 22:39:47 [18165] [6] DEBUG:      size: 58
2013-11-30 22:39:47 [18165] [6] DEBUG:      immutable: 0
2013-11-30 22:39:47 [18165] [6] DEBUG:      data&colon; 49 53 45 20 47 75 65 73
74 20 70 6f 72 74 61 6c   ISE Guest portal
2013-11-30 22:39:47 [18165] [6] DEBUG:      data&colon; 20 55 73 65 72 6e 61 6d
65 3a 20 20 6a 73 6d 69    Username:  jsmi
2013-11-30 22:39:47 [18165] [6] DEBUG:      data&colon; 74 68 30 32 20 50 61 73
73 77 6f 72 64 3a 20 20   th02 Password:  
2013-11-30 22:39:47 [18165] [6] DEBUG:      data&colon; 74 36 75 62 37 39 11 36
72                        t6ub79.6r
2013-11-30 22:39:47 [18165] [6] DEBUG:    Octet string dump ends.
2013-11-30 22:39:47 [18165] [6] DEBUG: SMPP PDU dump ends.
2013-11-30 22:39:47 [18165] [6] DEBUG: SMPP[SMPP:******.com:1775/0:4ljt7wi3:]:
throughput (1.00,0.00)
2013-11-30 22:39:47 [18165] [6] DEBUG: SMPP[SMPP:******.com:1775/0:4ljt7wi3:]:
throughput (1.00,0.00)
2013-11-30 22:39:47 [18165] [6] DEBUG: SMPP[SMPP:******.com:1775/0:4ljt7wi3:]:
Got PDU:
2013-11-30 22:39:47 [18165] [6] DEBUG: SMPP PDU 0x2056bf0 dump:
2013-11-30 22:39:47 [18165] [6] DEBUG:   type_name: submit_sm_resp
2013-11-30 22:39:47 [18165] [6] DEBUG:   command_id: 2147483652 = 0x80000004
2013-11-30 22:39:47 [18165] [6] DEBUG:   command_status: 0 = 0x00000000
2013-11-30 22:39:47 [18165] [6] DEBUG:   sequence_number: 5 = 0x00000005
2013-11-30 22:39:47 [18165] [6] DEBUG:   message_id: "4128473611307259"
2013-11-30 22:39:47 [18165] [6] DEBUG: SMPP PDU dump ends.
2013-11-30 22:39:47 [18165] [6] DEBUG: SMPP[SMPP:******.com:1775/0:4ljt7wi3:]:
throughput (1.00,0.00)

Observe que la dirección de origen está establecida como 12345. Esta configuración no importa. El servidor SMTP externo vuelve a escribir ese valor. Es posible comprar servicio adicional para ser presentado de manera diferente.

Teléfono de invitado

El usuario invitado recibe un SMS:

Troubleshoot

En esta sección se brinda información que puede utilizar para resolver problemas en su configuración.

ISE

Es posible que se produzca este error al crear una cuenta de invitado: No se puede enviar un mensaje de texto a los siguientes usuarios invitados: xxxx. Debe agregar su dirección de correo electrónico a la página de configuración. Si recibe ese mensaje de error, compruebe la dirección de correo electrónico del patrocinador.

Información Relacionada

• Cisco Identity Services Engine: Guía del usuario 1.2
• Documentación del canal 
• documentación de Postfix 
• Soporte Técnico y Documentación - Cisco Systems