Configuración de la autenticación externa de AsyncOS con ISE (RADIUS)

Introducción

Este documento describe la configuración de la autenticación externa de RADIUS entre Cisco Secure Email Gateway y Cisco Identity Services Engine.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

• Autenticación, autorización y administración (AAA)
• Atributo CLASE RADIUS. 
• Políticas de autorización y gestión de identidades de Cisco ISE.
• Funciones de usuario de Cisco Secure Email Gateway (ESA) y Secure Email and Web Manager (SMA)

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

• Cisco ISE 2.4
• Cisco Secure Email Gateway (ESA) 13.5.1, 13.7.0
• Cisco Secure Email and Web Manager (SMA) 13.6.2

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Productos Relacionados

No se probaron versiones distintas de las enumeradas en la sección Componentes utilizados.

Antecedentes

Atributo de clase RADIUS

El atributo Class es un valor arbitrario que el servidor RADIUS devuelve en la respuesta de aceptación de acceso e incluye en los paquetes de cuentas. Se configura en Cisco ISE por grupos.

Cuando un usuario coincide con un grupo de ISE que tiene el atributo 25 asociado, ISE devuelve el valor Class en Access-Accept. A continuación, el gateway de correo electrónico seguro lee ese valor y aplica la función local definida en su tabla de asignación.

Configurar

Diagrama de la red

Cisco Identity Services Engine acepta las solicitudes de autenticación del dispositivo y las compara con una identidad de usuario y un grupo.

Paso 1. Crear un grupo de identidad para la autenticación

Inicie sesión en el servidor ISE. Vaya a Administration > Identity Management > Groups > User Identity Group y cree un grupo de identidad.

Nota: Cisco recomienda un grupo de identidad en ISE para cada función de dispositivo que se vaya a asignar.

Paso 2. Crear usuarios locales para la autenticación

Cree nuevos usuarios o asigne usuarios existentes al grupo de identidades creado en el paso 1. Navegue hasta Administración > Gestión de Identidades > Identidades y cree o asigne usuarios al grupo.

 

Paso 3. Crear perfiles de autorización

La autenticación RADIUS puede realizarse sin un perfil de autorización; sin embargo, no se ha asignado ningún rol. Para asignar roles, navegue hasta Política > Elementos de política > Resultados > Autorización > Perfiles de autorización.

Nota: Cree un perfil de autorización por función que se va a asignar.

Nota: Asegúrese de utilizar el atributo 25 de la clase radius y de asignar un nombre. Este nombre debe coincidir con la configuración de AsyncOS (ESA/SMA). En la figura 3, Administradores es el nombre de atributo CLASS.

Paso 4. Crear una política de autorización

Este paso permite a ISE identificar los intentos de inicio de sesión y asignarlos al perfil de autorización correcto. Si la coincidencia se realiza correctamente, ISE devuelve Access-Accept junto con el valor Class definido en el perfil.

Vaya a Directiva > Conjuntos de directivas y seleccione Agregar (+ símbolo).

Asigne un nombre y seleccione el símbolo más para agregar las condiciones requeridas. Este entorno de laboratorio utiliza una condición de dirección IP de NAS de Radius. Guarde la nueva directiva.

Para que las solicitudes de autorización coincidan correctamente, agregue las condiciones. Seleccione el símbolo > y agregue condiciones. Este entorno de laboratorio utiliza InternalUser-IdentityGroup y coincide con cada perfil de autorización.

Paso 5. Habilite la autenticación externa en el dispositivo

Inicie sesión en el dispositivo. Navegue hasta Administración del sistema > Usuarios > Autenticación externa y seleccione Habilitar autenticación externa.

Introduzca estos valores:

• hostname del servidor RADIUS
• Puerto
• Secreto compartido
• Valor de tiempo de espera (en segundos)
• Protocolo de autenticación

Seleccione Asignar usuarios autenticados externamente a varias funciones locales (recomendado).

Nota: El valor de la clase RADIUS debe coincidir con el valor definido en el paso 3 (introducido en la tarea común de ASA VPN), incluidas las mayúsculas y minúsculas.

Envíe y confirme los cambios.

Verificación

Utilice esta sección para confirmar que la configuración funciona correctamente.

1. Inicie sesión en el dispositivo con un usuario autenticado externamente.
2. Confirmar que se concede el acceso.
3. Confirme que el rol asignado coincide con el rol esperado del valor de clase devuelto.
4. En ISE, confirme que se ha alcanzado la regla de autorización esperada y que se ha devuelto el valor de clase correcto (Operaciones > RADIUS > Registros activos).

Troubleshoot

Esta sección proporciona la información que puede utilizar para resolver problemas de su configuración.

Síntoma: El inicio de sesión falla en el dispositivo con el mensaje "Nombre de usuario o contraseña no válidos".

Causa probable: Una discordancia en la directiva de autorización, el valor de clase devuelto o el protocolo de autenticación.

Resolución:

1. En la configuración de autenticación externa del dispositivo, seleccioneAsignar temporalmente todos los usuarios autenticados externamente a la función de administrador.(Imagen 11)
2. Envíe y confirme los cambios e intente un nuevo inicio de sesión.
3. Si el inicio de sesión ahora se realiza correctamente, el problema está en la asignación de roles. Vuelva a comprobar el perfil de autorización de ISE (clase/atributo 25) y la configuración de la política de autorización.
4. ReviewOperations > RADIUS > Live Logs en ISE para confirmar qué perfil de autorización coincidió y qué valor de clase se devolvió.

Información Relacionada

• Guía de usuario de ISE 2.4
• Guía de usuario de AsyncOS

Historial de revisiones

Revisión	Fecha de publicación	Comentarios
2.0	21-Jul-2026	Actualización de traducción automática, SEO, texto alternativo, requisitos de estilo y formato.
1.0	26-May-2021	Versión inicial