Configuración de Azure Entra Captive Portal en Secure Firewall

Introducción

Este documento describe la configuración de Microsoft Azure Entra ID para su uso con el portal cautivo (autenticación activa) en Cisco Secure Firewall.

Prerequisites

Requirements

Cisco recomienda conocer estos temas:

• Lenguaje de marcado de aserción de seguridad (SAML)
• Microsoft Azure
• Cisco Secure Firewall Management Center (FMC)
• Cisco Secure Firewall Threat Defence (FTD)

Debe tener el nivel de precios Estándar disponible en Azure para la creación de Event Hub. Además, los dispositivos deben activarse con la licencia inteligente habilitada con funcionalidad de exportación controlada.

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

• Cisco Secure FTD versión 10.0
• Cisco Secure FMC versión 10.0

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Antecedentes

A medida que las arquitecturas de seguridad tradicionales basadas en IP se esfuerzan por seguir el ritmo de los entornos de trabajo dinámicos e híbridos, la autenticación activa de Cisco Secure Firewall con integración SAML ofrece una solución sólida centrada en la identidad. Al aprovechar Microsoft Entra ID (Azure AD) como proveedor de identidad centralizado, esta configuración permite a los administradores ir más allá de las reglas de red estáticas y aplicar un control de acceso granular basado en la identidad de usuario verificada en lugar de en direcciones de red volátiles. Esta integración optimiza la experiencia del usuario a través del inicio de sesión único (SSO) y la autenticación multifactor (MFA) obligatoria, a la vez que garantiza una condición de seguridad unificada que mantiene una estricta visibilidad y aplicación de políticas en una red sin perímetro.

Diagrama

Portal cautivo entre terminales, FTD y Azure Entra

Portal cautivo entre EndPoint y Azure Entra

Configurar

Fase 1: Configuración inicial de FMC y DNS

Nota: Este laboratorio utiliza el centro de gestión de firewall (cdFMC) proporcionado en la nube; sin embargo, los pasos siguen siendo los mismos para el FMC in situ.

Paso 1: Habilitar el conector de atributos dinámicos de Cisco (CSDAC)

1) Elija Integraciones > Conector de atributos dinámicos.

Seleccione Integraciones Conector de atributos dinámicos

2) Haga clic en el control adyacente a la cadena Disabled para habilitar CSDAC.

Habilitar conector de atributos dinámicos de Cisco

c) Haga clic en Finalizado una vez que se complete la habilitación CSDAC.

Habilitar estado del conector de atributos dinámicos de Cisco

Paso 2: Creación de un Objeto de Red de Nombre de Dominio Totalmente Cualificado Representante de la Interfaz de Ingreso FTD

1) Elija Objects > Add Network > Add Object.

Crear nuevo objeto de red de nombre de dominio completamente calificado

2) Asigne al objeto de red un nombre configurado con el nombre de dominio completo (FQDN). Introduzca el FQDN y asigne el objeto de red como un tipo de FQDN haciendo clic en el botón de opción correspondiente. Click Save.

Configurar variables de objeto de red FQDN

Paso 3: Configuración del registro A de DNS

1) El ejemplo que se muestra aquí utiliza Windows Server 2025; consulte la documentación del servidor de resolución de nombres específico según sea necesario. 

Configuración del registro A de DNS de Windows Server

Nota: El cliente que realiza la autenticación activa debe poder resolver este registro A de DNS.

Fase 2: Configuración de la infraestructura de clave pública

Se puede utilizar una autoridad de certificación (CA) interna como la infraestructura de clave pública (PKI) para la configuración de autenticación activa. Cisco FMC y FTD requieren que la clave pública interna de la CA y la clave privada emparejada se carguen como un objeto de CA interna para realizar las operaciones de interceptación SSL y de descifrado y renuncia necesarias. Además, la CA interna debe ser de confianza en el explorador cliente desde el que se realiza la autenticación activa. Consulte la documentación del explorador cliente para comprobar cómo confirmar que el explorador confía en el certificado.

Paso 1: Importar el certificado de CA interna al FMC

1) Elija Objects > PKI > Internal CAs. Haga clic en Importar CA.

Nota: La CA interna también se puede crear directamente en el FMC.

Importar Autoridad De Certificados Interna Al Centro De Administración De Firewall

Nota: Dentro del contenido de este documento, aparece un espacio en blanco que cubre los diversos valores de campo en las imágenes y es intencional según la publicación de este documento. Los valores reales se reflejan para el entorno a medida que se configura.

Paso 2: Firmar el certificado de proveedor de servicios con la CA

1) El certificado del proveedor de servicios (SP) debe estar firmado por una autoridad de certificación (CA) de confianza y devuelto en un formato PKCS#12 (.p12).

Nota: Esta CA se puede firmar internamente. La única advertencia es que el dispositivo cliente debe confiar en la CA interna.

Paso 3: Implementación del certificado SP en el FTD

1) Elija Devices > Certificates.

Vaya A Dispositivos Y Certificados

2) Haga clic en Agregar certificados.

Agregar nuevo certificado de dispositivo

3) Haga clic en el dispositivo en la lista desplegable que ejecuta la autenticación activa y, a continuación, haga clic en el icono + para crear una nueva inscripción de certificados.

Seleccione FTD Y Agregar Inscripción de Nuevo Certificado

4) Asigne un nombre a la Inscripción de certificados y, en la lista desplegable Tipo de inscripción, seleccione Archivo PKCS12.

Configuración Y Tipo De Inscripción De Certificados

5) Importe el archivo PKCS#12 haciendo clic en Browse PKCS12 File e introduzca la frase de contraseña necesaria. Click Save.

Examinar e importar archivo PKCS12

6) Confirme que los detalles de inscripción son correctos y haga clic en Agregar.

Confirmar detalles de inscripción de certificados

7) La importación refleja En curso.

Una vez completada la importación, la información del certificado SP se puede validar haciendo clic en el icono ID del certificado configurado.

Estado de importación de certificado en curso

Fase 3: Configuración de Azure

Paso 1: Crear la aplicación empresarial completa para el kit de herramientas de SAML

1) Busque y haga clic en Aplicaciones de empresa.

Búsqueda Y Acceso A Aplicaciones Empresariales

2) Haga clic en + Nueva aplicación.

Seleccionar nueva aplicación en aplicaciones empresariales

3) Busque el Microsoft Entra SAML Toolkit y haga clic en la miniatura correspondiente.

Busque y seleccione Microsoft Entra SAML Toolkit

4) Asigne un nombre a la aplicación Microsoft Entra SAML Toolkit Enterprise y haga clic en Create. (Referencia de Microsoft: Lea nuestro tutorial paso a paso sobre la integración de Microsoft Entra SAML Toolkit).

Asignar nombre a la aplicación SAML Toolkit

5) En la página Overview, asigne los usuarios y grupos específicos a la aplicación SAML Toolkit Enterprise. En este ejemplo, la cuenta de prueba (cautive-portal-user) es miembro del grupo active-auth-lab.

Asignar Usuarios Y Grupos A La Aplicación

6) La configuración de esta aplicación empresarial continúa en pasos posteriores.

Paso 2: Configurar registros de aplicaciones de ID de entrada

1) Navegue hasta Introducir ID y en el menú de navegación izquierdo, elija Registros de aplicaciones. Haga clic en el filtro Todas las aplicaciones y busque el nombre asignado a la aplicación de empresa. Haga clic en la aplicación correspondiente.

Desplácese Hasta Registros De Aplicaciones Y Todas Las Aplicaciones

2) Recopile y anote los valores esenciales en el registro de la aplicación empresarial.

Importante: Pase el ratón sobre los valores para mostrar Copiar al Portapapeles y recopile los valores en Essentials en la página Descripción general:

• Mostrar nombre:
• ID de aplicación (cliente)
• ID de directorio (arrendatario)

Recopilar Valores De Visualización E ID De Aplicación Y Directorio

3) Haga clic en el hipervínculo Agregar un certificado o secreto.

Agregar certificado o hipervínculo secreto

4) Haga clic en + New client secret.

Agregar nuevo secreto de cliente

5) Proporcione una descripción del secreto y ajuste la caducidad según sea necesario. Haga clic en Add (Agregar).

Proporcionar Descripción De Secreto De Cliente

6) Copie el secreto.

Importante: Tome nota del valor secreto copiado en el portapapeles.

Copiar valor secreto de cliente

Paso 3. Configure los permisos de la API de Microsoft Graph para el registro de la aplicación.

1) Elija API Permissions en el menú de navegación izquierdo, luego haga clic en + Add a permission.

Configurar permisos de API

2) Haga clic en API de Microsoft Graph.

Seleccionar API de Microsoft Graph

3) Otorgue permisos Delegated User.Read y, a continuación, haga clic en Add permissions.

Conceder permisos de lectura de usuario delegado

4) Otorgar permisos User.Read.All a la aplicación (marque la casilla de verificación).

Conceder permisos de lectura de todos a una aplicación

5) Busque y marque la casilla de verificación Group.Read.All para conceder también permisos de lectura de grupo. Haga clic en Agregar permisos.

Guardar permisos de API

6) Confirme que los permisos configurados se alinean y conceda el consentimiento administrativo para ellos.

Conceder Consentimiento Administrativo Para Permisos

7) El resultado, una vez que se concede el consentimiento del administrador, se muestra.

Resultado de consentimiento administrativo concedido

Paso 4: Configuración del espacio de nombres del Event Hub (EH)

1) Busque y haga clic en Event Hubs.

Buscar configuración de Event Hub

2) Crear un nuevo espacio de nombres EH.

Crear espacio de nombres de Event Hub

3) Configure el espacio de nombres EH.

Nota: Se debe elegir el nivel de precios Standard o superior. El nivel de precios básico impide el uso del dominio.

Consulte la Documentación de Azure Event Hub para obtener más información sobre la configuración avanzada de Event Hub y la aplicabilidad a necesidades específicas.

Haga clic en Revisar + Crear.

Configuración de espacio de nombres de Event Hub

4) Una vez validada correctamente, haga clic en Create.

Crear implementación de espacio de nombres de Event Hub

5) Confirme que la implementación se ha completado y, a continuación, haga clic en Ir al recurso.

Ir al recurso de espacio de nombres del centro de eventos

Paso 5: Elija o cree políticas de acceso compartido en el espacio de nombres del centro de eventos

1) En el menú de navegación izquierdo, elija Settings > Shared access policies.

Desplácese Hasta Políticas De Acceso Compartido

2) Haga clic en + Add e ingrese el nuevo nombre de la política, y marque la casilla de verificación Manage. Haga clic en Create en la parte inferior del panel de menú Add SAS Policy.

Agregar nueva directiva de acceso compartido

Crear directiva de acceso compartido

Paso 6: Recopilar y anotar información de firmas de acceso compartido (SAS) del espacio de nombres EH

1) Haga clic en la nueva política de acceso compartido; la política EH SAS aparece en el panel lateral de la derecha.

Copiar cadena de conexión principal

Importante: Copie y anote la cadena de conexión principal.

Paso 7: Creación de una instancia del Event Hub en el espacio de nombres del Event Hub

1) En el menú Namespace, elija Entities > Event Hubs. Haga clic en + Event Hub para crear una nueva instancia EH.

Crear nueva instancia de Event Hub

2) Asigne un nombre a la nueva instancia de EH y, a continuación, haga clic en Revisar + crear.

Asignar nombre a la instancia del centro de eventos

3) Una vez validada correctamente, haga clic en Create para aprovisionar la instancia del Event Hub.

Aprovisionar instancia del Event Hub

Importante: Copie y anote el nombre de la instancia del Event Hub.

Paso 8: Creación de un grupo de consumidores de instancias de Event Hub en el espacio de nombres del Event Hub

1) Haga clic en la nueva instancia EH configurada en el paso anterior.

Configuración de instancia de Event Hub de acceso

2) En la instancia EH, elija Entities > Consumer groups, y cree un nuevo grupo Consumer.

Crear grupo de consumidores

3) Asigne un nombre al grupo de consumidores y haga clic en Crear.

Asignar nombre a grupo de consumidores

Importante: Copie y anote el nombre del grupo de consumidores de la instancia del Event Hub.

Paso 9: Verificar valores recopilados

1) En este punto, deben anotarse estos valores de los pasos anteriores. Si no se ha registrado ningún valor, haga referencia al paso aplicable en el que se recopila:

• Fase 3 Paso 2 - Registro de aplicaciones (de la aplicación empresarial creada para este proceso, a la que hace referencia el nombre para mostrar recopilado)
  • Paso 2, subpaso 2
    • Mostrar nombre: 
    • ID de aplicación (cliente)
    • ID de directorio (arrendatario)
  • Paso 2, subpaso 6
    • Secreto del cliente
• Fase 3 Paso 6: Event Hub
  • Paso 6, subpaso 1
    • Espacio de nombres EH
      • Cadena de conexión principal
  • Paso 7, subpaso 3
    • Nombre de instancia EH (Event Hub)
  • Paso 8, subpaso 3
    • Nombre del grupo de consumidores EH

Paso 10: Configuración de la transmisión del registro de auditoría de Intra ID al Event Hub

1) Vuelva a la configuración de arrendatario de ID de entrada.

Busque Y Navegue Hasta Introducir La Configuración De Arrendatario De Id.

2) En el menú de la izquierda, elija Monitoring > Diagnostic Settings.

Supervisión de configuración de diagnóstico

3) Elija Diagnostic settings > General y haga clic en + Add diagnostic settings.

Agregar nueva configuración de diagnóstico

4) Asigne el nombre necesario a la configuración de diagnóstico, marque la casilla de verificación AuditLogs para registrar y marque la casilla de verificación Stream to an event hub. Haga referencia a los valores indicados de las configuraciones anteriores y haga clic en Guardar cuando haya terminado.

Transmitir registros de auditoría al Event Hub

Fase 4: Consolidar configuración de autenticación activa de Azure y FMC/FTD

Paso 1: Configuración del rango de ID de Azure SAML/Entra mediante el Asistente de FMC

1) En el FMC, seleccione Integrations > Identity > Realms.

Configuración de rangos de identidad

2) Haga clic en Agregar rango lista desplegable, y elija SAML - Azure AD.

Agregar rango de SAML Azure AD

3) Asigne un nombre y una descripción al rango de Azure para describir su uso, y asegúrese de que Autenticar pasivamente con Azure AD o usando el portal cautivo con Azure AD se elija de la lista desplegable Tipo de configuración. Haga clic en Next (Siguiente).

Configurar Azure AD Realm Settings

4) Elija el objeto FQDN configurado anteriormente como URL base. Ingrese el Id. de entidad con el formato de cadena que se muestra:

https://<fqdn-base-url>/<uniqueSuffix>

• Cuando se configura el sufijo ID de entidad SAML (subrayado en verde en el siguiente ejemplo de configuración), asegúrese de que el sufijo sea único entre otras implementaciones de SSO dentro del entorno. Este valor también debe coincidir con la configuración SAML de Azure. La URL base permanece igual durante toda la configuración.
• La URL de Assertion Consumer Services (ACS) se rellena automáticamente y es inmutable.
• Elija el certificado de proveedor de servicios (SP) inscrito en los pasos anteriores del flujo de trabajo en FMC en Dispositivos > Certificados.
• Después de ingresar estos valores, haga clic en Descargar metadatos del proveedor de servicios para facilitar el proceso de configuración y confirmar que los valores esperados se escriben en Azure.

Configuración de URL base e ID de entidad y descarga de metadatos SAML

5) Haga clic en Next para pasar a la secuencia 3 de la configuración de rango.

Paso 2: Implementar los metadatos SP de SAML configurados en FMC en la aplicación empresarial de Azure

1) Vuelva a Azure y elija Entra ID > Manage > Enterprise Applications. Busque la instancia creada anteriormente de la aplicación Microsoft Entra SAML Toolkit Enterprise.

Localizar la aplicación Microsoft Entra SAML Toolkit

2) En el menú de navegación lateral, elija Manage > Single Sign-On.

Administrar configuración de inicio de sesión único

3) Haga clic en el modo SAML Single Sign-On (SSO).

Selección del modo de inicio de sesión único SAML

4) Haga clic en Cargar archivo de metadatos y haga clic en el icono de carpeta azul para examinar el sistema de archivos local en busca del archivo de metadatos SAML descargado desde el FMC.

Cargar Archivo De Metadatos Desde Firewall Management Center

5) Una vez completada la carga, haga clic en Add.

Agregar aplicación de configuración SAML

6) Aparece el panel lateral para la configuración básica de SAML, y los valores como el identificador (Id. de entidad) y la URL ACS se extraen del archivo XML de metadatos SP originado en FMC y se cargan y aplican automáticamente. Sin embargo, la URL de inicio de sesión no se rellena y es necesaria antes de guardar.

Extracción de configuración básica de SAML

7) Utilice el patrón de URL de inicio de sesión proporcionado, copie y pegue el valor y haga clic en Guardar en la parte superior cuando haya terminado.

Entrada de configuración de URL de inicio de sesión

Desplácese hasta SAML Certificates y exporte el archivo Federation Metadata XML generado por Azure para importarlo a Cisco Secure FMC.

Exportar archivo XML de metadatos de federación

Paso 3: Configuración del rango de ID de Azure SAML/Entra mediante el asistente de FMC (continuación)

1) Vuelva al CSP. En Secuencia 3, Metadatos del proveedor de identidad SAML (IdP), cargue el archivo XML de metadatos de federación exportado y descargado de Azure en el FMC para rellenar automáticamente los valores necesarios.

Cargar archivo XML de metadatos de federación

2) Una vez cargados, los valores se rellenan como se muestra.

Valores del proveedor de identidad SAML rellenados automáticamente

Nota: La imagen muestra una salida parcial.

3) Introduzca los valores recopilados durante todo el proceso de implementación hasta este punto:

• Registro de aplicaciones
  • ID de aplicación (cliente)
  • Secreto del cliente
  • ID de directorio (arrendatario)
• Centro de eventos
  • EH Namespace Hostname
    • Cadena de conexión principal de espacio de nombres EH
  • Nombre de instancia EH (Event Hub)
    • Nombre del grupo de consumidores EH

Introducir Información De La Aplicación Y Del Centro De Eventos

Una vez ingresado, haga clic en Test para verificar la conexión y confirmar que Azure es accesible con la información proporcionada.

Nota: Si procede, asegúrese de que los grupos de usuarios excluidos/incluidos se corresponden con su configuración de Entrar

4) El paso final del asistente le permite configurar el tiempo de espera de los usuarios del portal cautivos de SAML. El valor predeterminado es 1440 minutos.

Configurar tiempo de espera del portal cautivo

5) Haga clic en Next para continuar.

Avanzar con la configuración de Azure AD Realm

6) El asistente proporciona un resumen de la configuración implementada. Haga clic en Guardar al final del resumen una vez validados y confirmados los valores introducidos.

Botón Guardar Resumen de Configuración de Rango

Paso 4: Comprobar usuarios descargados

1) Confirme que los usuarios se pueden descargar de Azure Entra con el botón Download Now dentro del flujo de trabajo de Integrations > Identity > Realms.

Descargar usuarios de Azure AD

2) Haga clic en Sí en respuesta al mensaje del cuadro de diálogo.

Confirmar La Descarga De Usuarios Desde Azure AD

3) La tarea de descarga produce 1 usuario y 1 grupo descargados, como se confirma en Notificaciones > Tareas.

Entrada de notificación para la descarga de usuarios desde Azure AD

Fase 5: Configuración de políticas en el FMC

Paso 1: Configurar política de descifrado

1) En el FMC, seleccione Policies > Security Policies > Decryption.

Desplazarse A La Política De Descifrado

2) Haga clic en la lista desplegable Create New y elija Decryption Policy (Rule-Based).

Crear nueva política de descifrado basada en reglas

3) Asigne un nombre y, si lo desea, una descripción a la nueva política de descifrado basada en reglas, y haga clic en la opción de pestaña Outbound Connections (User Protection) para implementar la funcionalidad Decrypt-Resign necesaria para la autenticación del portal cautivo (Active Authentication). 

Implementar detalles de directiva de conexiones salientes

4) Elija la CA interna aplicada anteriormente de su lista desplegable aplicable en el mismo diálogo. Haga clic en Next (Siguiente).

5) Personalice las opciones según sea necesario.

Personalizar opciones de directiva de descifrado

6) En este ejemplo, se utilizan los valores por defecto, excepto los detalles de política necesarios. Complete el asistente de configuración haciendo clic en Create Policy.

Crear política de descifrado final

Paso 2: Configurar reglas de directiva de descifrado

1) Aquí se muestra el diseño predeterminado de una política de descifrado basada en reglas. El tráfico que no coincide con las reglas habilitadas predeterminadas, como la regla 3 (que hace referencia a una lista preasignada de nombres de dominio no descifrables) y la regla 6 (que hace referencia a aplicaciones etiquetadas como no descifrables), está sujeto a la acción Descifrar - Renunciar de la regla 7. Estos valores predeterminados, junto con la acción predeterminada, se pueden modificar según sea necesario. De forma predeterminada, el tráfico que no coincide con ninguna otra regla se configura como No descifrar.

El tráfico del Servicio de autenticación de Azure no se debe descifrar para inspección, por lo que se crea una regla dedicada para él. Haga clic en + Agregar regla para comenzar.

Agregar Regla Y Mostrar Diseño De Descifrado Basado En Regla Predeterminado

2) Asigne un nombre a la nueva entrada de regla de política de descifrado, elija No descifrar en la lista desplegable Acción y coloque la regla en la parte superior de las reglas menos específicas. Las zonas de origen y destino también se implementan para restringir aún más la regla.

Configurar regla de no descifrado

3) Antes de agregar la regla, haga clic en la pestaña Applications, busque y haga clic en la aplicación Azure Authentication Service. Haga clic en Add to Rule y, a continuación, haga clic en Add.

Agregar regla de aplicación del Servicio de autenticación de Azure

4) Haga clic en Save.

Guardar política de descifrado

Paso 3: Crear política de identidad

1) Elija Policies > Security Policies > Identity para crear una política de identidad.

Crear política de identidad

2) Cree una nueva política de identidad y haga clic en Agregar una nueva política.

Agregar nueva configuración de política de identidad

3) Asigne un nombre y, si procede, una descripción a la nueva política de identidad. Click Save.

Nombre Nueva política de identidad

Paso 4: Configurar reglas de directiva de identidad

1) Agregue una nueva regla haciendo clic en + Add Rule.

Agregar nueva regla de política de identidad

2) Asigne un nombre a la nueva regla, elija Active Authentication en la lista desplegable Action y limite las zonas/redes específicas que deben coincidir con la regla para realizar la autenticación activa.

Configuración de la regla de autenticación activa

3) Antes de hacer clic en Add, haga clic en la pestaña Realm and Settings en el Editor de reglas. Confirme que el rango configurado en los pasos anteriores se elija como el rango de autenticación, luego haga clic en Agregar.

Configurar El Rango Y La Configuración De La Regla De Identidad

4) Se agrega y configura la regla. Click Save.

Guardar configuración de regla de política de identidad

Paso 5: Configuración de la política de control de acceso

1) Elija Policies > Security Policies > Access Control, y haga clic en la Access Control Policy a la que se asigna el FTD.

Configuración de política de control de acceso

2) Confirme que la política de descifrado configurada en los pasos anteriores se aplica a la política de control de acceso.

Aplicar Política De Descifrado Al Control De Acceso

3) Confirme que la política de identidad configurada en los pasos anteriores también se aplica a la política de control de acceso. Guarde los cambios de directiva.

Aplicar Política De Identidad Al Control De Acceso

4) Confirme que existen reglas que permiten el tráfico del plano de datos del cliente a través de Secure Firewall después de la autenticación activa exitosa. El ejemplo que se muestra aquí utiliza un conjunto de reglas más amplio dado el entorno de laboratorio.

Conjunto de reglas de tráfico del plano de datos de usuario

Paso 6: Implemente configuraciones en los dispositivos Cisco Secure Firewall

Una vez implementados, a los clientes que envían tráfico se les pide una página web de inicio de sesión de Microsoft que realicen la autenticación activa con Azure Entra.

Para obtener información adicional sobre el proceso documentado aquí, vea Crear un dominio de Microsoft Azure AD (SAML) para la autenticación activa (portal cautivo) - Capítulo: Realms in FMC Device Config Guide 10.x.

Verificación

Utilice esta sección para confirmar que la configuración funciona correctamente.

GUI

Validar las sesiones de usuario y la actividad en el FMC:

• Elija Integrations > Users > Active Sessions.

Salida de sesiones activas de FMC

• Elija Integrations > Users > User Activity.

Salida de actividad de usuario de FMC

En Azure, desplácese al Centro de administración de Microsoft Entra:

• Filtre Aplicaciones empresariales, busque/haga clic en la aplicación correspondiente.

Azure Entra Admin Center Enterprise Apps Navigation

• Elija Activity > Sign-in logs.

Registros de actividad de inicio de sesión de aplicación de Azure Enterprise

CLI

• En la CLI de FTD, puede ver las estadísticas relacionadas con las respuestas de SAML y del portal cautivo:

> debug menu captive-portal 6
SAML passed requests captive-portal 14
SAML failed requests captive-portal 0
SAML passed responses captive-portal 4
SAML failed responses captive-portal 0
Total captive-portal bee-client messages processed 4
Total captive-portal bee-client messages successful 4
Total captive-portal bee-client messages failed 0
Total bee-client reconnects 0

Troubleshoot

Depuración del portal cautivo

• El comando system support captive-portal-debug se puede utilizar en el FTD. El resultado muestra cómo habilitar el debug y también anota los segmentos clave del resultado para ayudar a comprender el flujo del portal cautivo.

> system support captive-portal-debug

Enable firewall-debug too? [n]: y  
Enable identity-debug too? [n]: y  
Please specify an IP protocol: tcp  
Please specify a client IP address: 192.168.20.200  
Please specify a client port:  
Please specify a server IP address:  
Please specify a server port:  
Enable daq-debug too? (WARNING: current packet debug configs and logs will be overwritten) [n]:  
Monitoring captive_portal and firewall and identity debug messages

!--- Baseline output pending user Captive Portal authentication
...
192.168.20.200 53650 -> 198.51.100.1 443 6 AS=0 ID=1 GR=1-1 match rule order 1, id 1 action Captive portal, active auth realm id 2

192.168.20.200 53650 -> 198.51.100.1 443 6 AS=0 ID=1 GR=1-1 didn't find active binding, initiating captive portal

192.168.20.200 53650 -> 198.51.100.1 443 6 AS=0 ID=1 GR=1-1 captive portal authentication started

192.168.20.200 53650 -> 198.51.100.1 443 6 AS=0 ID=1 GR=1-1 defer trust until captive portal redirect is sent.

192.168.20.200 53650 -> 198.51.100.1 443 6 AS=0 ID=1 GR=1-1 Current state = S_INIT, Event = EVT_CP_RULE, Next state = S_PENDING_USER
...
!--- Captive Portal probe intercepted and redirected to SAML IdP (generate_204)
...
192.168.20.200 53659 -> 198.51.100.2 80 6 AS=0 ID=1 GR=1-1 AppID session with service_id: 676, url: http://browserportal.example.com

192.168.20.200 53659 -> 198.51.100.2 80 6 AS=0 ID=1 GR=1-1 Current state = S_PENDING_USER, Event = EVT_APPID_HTTP_HEADERS, Next state = S_REDIRECTING

192.168.20.200 53659 -> 198.51.100.2 80 6 AS=0 ID=1 GR=1-1 app event changes: service, client, host, url, user-agent, client-info

192.168.20.200 53659 -> 198.51.100.2 80 6 AS=0 ID=1 GR=1-1 using ipv4 address 192.168.20.1 for redirect

192.168.20.200 53659 -> 198.51.100.2 80 6 AS=0 ID=1 GR=1-1 encrypted redirect url: https://ftd-inside.example.com/+CSCOE+/saml/sp/login?tgname=azure-entra-saml&s=xxxx=http%3A%2F%2Fbrowserportal.example.com%2Fgenerate_204

192.168.20.200 53659 -> 198.51.100.2 80 6 AS=0 ID=1 GR=1-1 Current state = S_REDIRECTING, Event = EVT_FINALIZE, Next state = S_REDIRECTED
...
!--- SAML authentication completes, identity binding created 
...

192.168.20.200 54023 -> 198.51.100.2 80 6 AS=0 ID=2 GR=1-1 looked for user_id with realm_id 2 auth_type 2, returning realm_id 2 auth_type 8 user_id 0

192.168.20.200 54023 -> 198.51.100.280 6 AS=0 ID=2 GR=1-1 found active binding for user_id 0 usernames azure-entra-saml\captive-portal-user@onmicrosoft.example.com in realm 2

192.168.20.200 54023 -> 198.51.100.2 80 6 AS=0 ID=2 GR=1-1 IdentityFlowSetupEventHandler Retrieved identity info: user_id 0, username azure-entra-saml\captive-portal-user@onmicrosoft.example.com, authRealmId 2, src sgt 0, src sgt type unknown, dst sgt 0, dst sgt type unknown, deviceType 0, locationIP ::

192.168.20.200 54023 -> 198.51.100.2 80 6 AS=0 ID=2 GR=1-1 New firewall session

192.168.20.200 54023 -> 198.51.100.2 80 6 AS=0 ID=2 GR=1-1 allow action
...
!--- Authenticated binding persists across subsequent, unrelated destinations (no further redirects)
...
192.168.20.200 54024 -> 198.51.100.2 80 6 AS=0 ID=2 GR=1-1 found active binding for user_id 0 usernames azure-entra-saml\captive-portal-user@onmicrosoft.example.com in realm 2

192.168.20.200 54025 ->  198.51.100.1 443 6 AS=0 ID=1 GR=1-1 found active binding for user_id 0 usernames azure-entra-saml\captive-portal-user@onmicrosoft.example.com in realm 2

192.168.20.200 54026 ->  198.51.100.2 80 6 AS=0 ID=1 GR=1-1 found active binding for user_id 0 usernames azure-entra-saml\captive-portal-user@onmicrosoft.example.com in realm 2

192.168.20.200 54027 ->  198.51.100.3 443 6 AS=0 ID=1 GR=1-1 found active binding for user_id 0 usernames azure-entra-saml\captive-portal-user@onmicrosoft.example.com in realm 2

192.168.20.200 19935 ->  198.51.100.4 443 6 AS=0 ID=1 GR=1-1 found active binding for user_id 0 usernames azure-entra-saml\captive-portal-user@onmicrosoft.example.com in realm 2
...

Volcado de identidad de usuario

• Para tomar una instantánea de los datos de estado de identidad del usuario actual en el FTD, ejecute el comando system support firewall-engine-dump-user-identity-data en la CLI del FTD:

> system support firewall-engine-dump-user-identity-data

Successfully commanded snort.

>

• En el modo experto CLI, mientras se inicia sesión con las credenciales de administración local del dispositivo FTD, vea el contenido del archivo volcado en /ngfw/var/sf/user_enforcement/user_identity.dump

> expert
admin@ftd:~$ sudo su
Password:
root@ftd:/home/admin#
root@ftd:/home/admin# ls -lah /ngfw/var/sf/user_enforcement/user_identity.dump
-rw------- 1 root root 5.6K Oct  7 07:51 /ngfw/var/sf/user_enforcement/user_identity.dump
root@ftd:/home/admin# 
root@ftd:/home/admin# less /ngfw/var/sf/user_enforcement/user_identity.dump
...
----------------
IP:USER
----------------

!--- Host IP is aligned with the user authenticated via Captive Portal/Active Authentication
----------------
Host ::ffff:192.168.20.200
----------------
::ffff:192.168.20.200:0 realm 2 type 8, username azure-entra-saml\captive-portal-user@onmicrosoft.example.com
::ffff:192.168.20.200: SXP initialized 0 sgt 0
ABP values: None

-------------------
SXP MAPPING:
-------------------

...

Posibles problemas

Autoridad de certificados desconocida del portal cautivo

Problema: El explorador del cliente devuelve un error de emisor desconocido cuando se intenta la autenticación.

Causa probable: La autoridad de certificados interna no es de confianza en el explorador del cliente.

Resolución: Confirme que la CA es de confianza dentro del navegador. El ejemplo que se muestra aquí confirma que el certificado de la CA interna es de confianza.

Portal cautivo "Servidor no encontrado

Problema: Cuando el navegador del cliente intenta cargar el portal cautivo, devuelve "Server Not Found" (Servidor no encontrado) para la URL base mientras intenta alcanzar la URL base o similar.

Causa probable: Alcance de DNS o configuración incorrecta de DNS.

Resolución: Confirme que el cliente tiene el servidor DNS adecuado configurado para resolver el registro A. Confirme que el servidor tiene un registro A asignado al FQDN y que es accesible y responde.

Información Relacionada

• Crear un dominio de Microsoft Azure AD (SAML) para la autenticación activa (portal cautivo): Guía de configuración de dispositivos FMC 10.x
• Documentación de Azure Event Hub
• Soporte Técnico y Documentación - Cisco Systems