Configuración de la autenticación externa SWA con ISE como servidor RADIUS

Opciones de descarga

  • PDF     (2.6 MB)
    Visualice con Adobe Reader en una variedad de dispositivos
  • ePub     (2.6 MB)
    Visualice en diferentes aplicaciones en iPhone, iPad, Android, Sony Reader o Windows Phone
  • Mobi (Kindle)     (2.1 MB)
    Visualice en dispositivo Kindle o aplicación Kindle en múltiples dispositivos
Actualizado:22 de octubre de 2026
ID del documento:221602

Lenguaje no discriminatorio

El conjunto de documentos para este producto aspira al uso de un lenguaje no discriminatorio. A los fines de esta documentación, "no discriminatorio" se refiere al lenguaje que no implica discriminación por motivos de edad, discapacidad, género, identidad de raza, identidad étnica, orientación sexual, nivel socioeconómico e interseccionalidad. Puede haber excepciones en la documentación debido al lenguaje que se encuentra ya en las interfaces de usuario del software del producto, el lenguaje utilizado en función de la documentación de la RFP o el lenguaje utilizado por un producto de terceros al que se hace referencia. Obtenga más información sobre cómo Cisco utiliza el lenguaje inclusivo.

Acerca de esta traducción

Cisco ha traducido este documento combinando la traducción automática y los recursos humanos a fin de ofrecer a nuestros usuarios en todo el mundo contenido en su propio idioma. Tenga en cuenta que incluso la mejor traducción automática podría no ser tan precisa como la proporcionada por un traductor profesional. Cisco Systems, Inc. no asume ninguna responsabilidad por la precisión de estas traducciones y recomienda remitirse siempre al documento original escrito en inglés (insertar vínculo URL).

Introducción

Este documento describe los pasos para configurar la autenticación externa en Secure Web Access (SWA) con Cisco ISE® como servidor RADIUS.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

  • Conocimiento básico de RADIUS
  • Conocimientos básicos de Cisco SWA
  • Conocimiento de las políticas de configuración de autenticación y autorización en Cisco Identity Services Engine® (ISE)

Cisco recomienda que también tenga:

  • Versiones SWA e ISE compatibles
  • Acceso de administración a ISE y SWA

Componentes Utilizados

La información que contiene este documento se basa en estas versiones de software:

  • ISE 3.0.0
  • SWA 14.0.2-012

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Antecedentes

Cuando habilita la autenticación externa para los usuarios administrativos de su SWA, el dispositivo verifica las credenciales del usuario con un servidor LDAP (Protocolo ligero de acceso a directorios) o RADIUS como se especifica en la configuración de autenticación externa.

Topología de red

Network Topology DiagramDiagrama de topología de red

Los usuarios administrativos acceden a SWA en el puerto 443 con sus credenciales y SWA verifica las credenciales con el servidor RADIUS.

Configurar

Configuración de ISE

1. Agregue un nuevo dispositivo de red y navegue hasta Administration > Network Resources > Network Devices > +Add.

Add SWA as Network Device in ISEAgregar SWA como dispositivo de red en ISE

2. Asigne un nombre al objeto de dispositivo de red e inserte la dirección IP SWA.

2.1. Active la casilla de verificación RADIUS y defina un secreto compartido.

note-icon

Nota: La misma clave se debe utilizar más adelante para configurar el servidor RADIUS en SWA.

Configure SWA Network Device Shared KeyConfiguración de la clave compartida del dispositivo de red SWA

2.2. Haga clic en Enviar.

Submit Network Device ConfigurationEnviar configuración de dispositivo de red

3. Cree los grupos de identidad de usuario necesarios y navegue hasta Administration > Identity Management > Groups > User Identity Groups > +Add.

note-icon

Nota: Debe configurar diferentes grupos de usuarios para que coincidan con los diferentes tipos de usuarios.

Add User Identity GroupAgregar grupo de identidad de usuario

4. Introduzca el nombre del grupo, la descripción (opcional) y Enviar. Repita estos pasos para cada grupo. En este ejemplo, cree un grupo para usuarios administradores y otro para usuarios de sólo lectura.

Add User Identity Group for SWA Admin UsersAgregar grupo de identidad de usuarioAdd User Identity Group for SWA ReadOnly UsersAgregar grupo de identidad de usuario para usuarios de SWA de solo lectura

5. Debe crear usuarios de acceso a la red que coincidan con el nombre de usuario configurado en SWA.

5.1. Crear los usuarios de acceso a la red y agregarlos a su grupo correspondiente. Vaya a Administration > Identity Management > Identities > +Add.

Add Local Users in ISEAgregar usuarios locales en ISE

5.2. Debe crear Usuarios de acceso a la red con derechos de administrador y asignar un nombre y una contraseña.

Add Admin UserAgregar usuario administrador

5.3. Seleccione SWA Admin en la sección Grupos de Usuarios.

Assign Admin Group to the Admin UserAsignar grupo de administradores al usuario administrador

5.4. Crear un usuario con derechos de sólo lectura y asignar un nombre y una contraseña.

Add ReadOnly UserAgregar usuario de sólo lectura

5.5. Elija SWA ReadOnly en la sección Grupos de Usuarios.

Assign ReadOnly User group to the ReadOnly UserAsignar grupo de usuarios de sólo lectura al usuario de sólo lectura

6. Cree el perfil de autorización para el usuario administrador.

6.1. Vaya a Política > Elementos de Política > Resultados > Autorización > Perfiles de Autorización > +Agregar.

6.2. Defina un nombre para el perfil de autorización y asegúrese de que el tipo de acceso está establecido en ACCESS_ACCEPT.

Add Authorization Profile for Admin UsersAgregar perfil de autorización para usuarios administrativos

6.3. En Advanced Attributes Settings, navegue hasta Radius > Class—[25] e introduzca el valor Administrator y haga clic en Submit.

Add Authorization Profile for Admin UsersAgregar perfil de autorización para usuarios administrativos

7. Repita el paso 6 para crear el perfil de autorización para el usuario de sólo lectura.

Add Authorization Profile for ReadOnly UsersAgregar perfil de autorización para usuarios de sólo lectura

7.1. Esta vez cree Radius:Class con el valor ReadUser en lugar de Administrator.

Add Authorization Profile for ReadOnly UsersAgregar perfil de autorización para usuarios de sólo lectura

8. Cree juegos de políticas que coincidan con la dirección IP del SWA. Esto es para evitar el acceso a otros dispositivos con estas credenciales de usuario.

8.1. Vaya a Policy > Policy Sets y haga clic en el icono + situado en la esquina superior izquierda.

Add Policy Set in ISEAgregar conjunto de políticas en ISE

8.2. Se coloca una nueva línea en la parte superior de los conjuntos de políticas.

8.3. Ingrese un nombre para la nueva política y agregue una condición para que el atributo RADIUS NAS-IP-Address coincida con la dirección IP SWA.

8.4. Haga clic en Use para mantener los cambios y salir del editor.

Add Policy to Map SWA Network DeviceAgregar política para asignar un dispositivo de red SWA

8.5. Haga clic en Guardar.

Policy SaveGuardar directiva

tip-icon

Consejo: En este artículo, se permite la lista Default Network Access Protocols . Puede crear una lista nueva y reducir las opciones según sea necesario.

9. Para ver los nuevos juegos de políticas, haga clic en el icono > de la columna Ver. Expanda el menú Authorization Policy y haga clic en el icono + para agregar una nueva regla que permita el acceso al usuario con derechos de administrador.

9.1.Introduzca un nombre.

9.2. Para crear una condición que coincida con el grupo de usuarios administradores, haga clic en el icono +.

Add Authorization Policy ConditionAgregar condición de directiva de autorización

9.3. Establezca las condiciones para que coincidan con el grupo de identidad Dictionary con el nombre de atributo es igual a los grupos de identidad de usuario: Administrador SWA.

Select Identity Group as ConditionSeleccionar grupo de identidad como condición

9.4. Desplácese hacia abajo y seleccione User Identity Groups: Administrador SWA.

Scroll Down and Select Identity Group NameDesplácese hacia abajo abd Select Identity Group Name

9.5. Haga clic en Usar.

Select Authorization Policy for SWA Admin User GroupSeleccione la política de autorización para el grupo de usuarios administradores SWA

10. Haga clic en el icono + para agregar una segunda regla que permita el acceso al usuario con derechos de sólo lectura.

10.1. Introduzca un nombre.

10.2. Establezca las condiciones para que coincidan con el grupo de identidad Dictionary con el nombre de atributo es igual a grupos de identidad de usuario: SWA ReadOnly y haga clic en Use.

Select Authorization Policy for ReadOnly User GroupSeleccionar directiva de autorización para grupo de usuarios de sólo lectura

11. Establezca el perfil de autorización para cada regla y haga clic en Guardar.

Select Authorization ProfileSeleccionar perfil de autorización

Configuración SWA

1. En la GUI de SWA, seleccione Administración del sistema y Usuarios. 

2. Haga clic en Enable en External Authentication.

Enable External Authentication in SWAHabilitar autenticación externa en SWA

3. Introduzca la dirección IP o el nombre de dominio completo (FQDN) de ISE en el campo Nombre de host del servidor RADIUS e introduzca el mismo secreto compartido que se configuró en el paso 2, Configuración de ISE.

4. Seleccione Asignar usuarios autenticados externamente a varias funciones locales en Asignación de grupos.

4.1. Ingrese Administrator en el campo RADIUS CLASS Attribute y seleccione el Role Administrator.

4.2. Ingrese ReadUser en el campo RADIUS CLASS Attribute y seleccione el operador de rol de sólo lectura. 

External Authentication Configuration for RADIUS ServerConfiguración de Autenticación Externa para el Servidor RADIUS

5. Para configurar Usuarios en SWA, haga clic en Agregar Usuario. Introduzca el nombre de usuario y seleccione User Type, que es necesario para el rol deseado. Ingrese la Passphrase y la Retype Passphrase, que se requieren para el acceso a la GUI, si el dispositivo no puede conectarse a ningún servidor RADIUS externo.

note-icon

Nota: Si el dispositivo no puede conectarse a ningún servidor externo, intenta autenticar al usuario como un usuario local definido en el dispositivo web seguro.

User Configuration in SWAConfiguración de usuario en SWA

6. Haga clic en Enviar y Registrar Cambios.

Verificación

Acceda a la GUI de SWA con las credenciales de usuario configuradas y compruebe los registros activos en ISE. Para comprobar los registros activos en ISE, vaya a Operaciones > Registros activos:

Verify User Login ISEVerificar inicio de sesión de usuario ISE

Contenido relacionado

Historial de revisiones

Revisión Fecha de publicación Comentarios
2.0
22-Oct-2026
Introducción actualizada, ortografía, gramática, espaciado, líneas horizontales insertadas para separar secciones para facilitar la lectura, texto alternativo y alertas fijas de CCW.
1.0
05-Feb-2024
Versión inicial
TAC Authored

Con la colaboración de ingenieros de Cisco

  • Anil Rajan
    Cisco TAC Engineer

¿Resultó útil este documento?

FeedbackComentarios

Contacte a Cisco

Este documento se aplica a estos productos