Authentification et autorisation utilisateur Radius et TACACS pour vEdge et les contrôleurs avec ISE

Introduction

Ce document décrit comment configurer l'authentification et l'autorisation utilisateur basées sur Radius et TACACS pour vEdge et les contrôleurs avec ISE (Identity Service Engine).

Conditions préalables

Conditions requises

Aucune spécification déterminée n'est requise pour ce document.

Components Used

Pour les besoins de la démonstration, ISE version 2.6 a été utilisée. Cloud vEdge et contrôleurs exécutant 19.2.1

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

Configuration

Le logiciel Viptela fournit trois noms de groupe d'utilisateurs fixes : basic, netadmin et opérateur. Vous devez affecter l'utilisateur à au moins un groupe. L'utilisateur TACACS/Radius par défaut est automatiquement placé dans le groupe de base.

Authentification et autorisation utilisateur Radius pour vEdge et les contrôleurs

Étape 1. Créez un dictionnaire de rayon de vidéo pour ISE. Pour ce faire, créez un fichier texte avec le contenu :

# -*- text -*-
#
#  dictionary.viptela
#
#
# Version:      $Id$
#
 
VENDOR          Viptela                         41916
 
BEGIN-VENDOR    Viptela
 
ATTRIBUTE       Viptela-Group-Name              1    string

Étape 2. Télécharger le dictionnaire dans ISE. Pour cela, accédez à Policy > Policy Elements > Dictionaries. Dans la liste des dictionnaires, accédez à Radius > Fournisseurs Radius, puis cliquez sur Importer, comme illustré.

Téléchargez maintenant le fichier que vous avez créé à l'étape 1.

Étape 3. Créez un profil d'autorisation. Dans cette étape, le profil d'autorisation Radius attribue, par exemple, le niveau de privilège netadmin à un utilisateur authentifié. Pour cela, accédez à Policy > Policy Elements > Authorization Profiles et spécifiez deux attributs avancés comme indiqué dans l'image.

Étape 4. Selon votre configuration actuelle, votre jeu de stratégies peut avoir un aspect différent. Pour les besoins de la démonstration présentée dans cet article, l'entrée de stratégie appelée Accès au terminal est créée comme indiqué dans l'image.

Cliquez sur > et l'écran suivant s'affiche comme illustré dans l'image.

Cette stratégie correspond en fonction du groupe d'utilisateurs lab_admin et attribue un profil d'autorisation créé à l'étape 3.

Étape 5. Définissez NAS (routeur ou contrôleur vEdge) comme indiqué dans l'image.

Étape 6. Configurez vEdge/Controller.

system
 aaa
  auth-order       radius local
  radius
  server 10.48.87.210
   vpn 512
   key cisco
  exit
 !
!

Étape 7. Vérification . Connectez-vous à vEdge et assurez-vous que le groupe netadmin est attribué à l'utilisateur distant.

vEdgeCloud1# show users

                                                 AUTH
SESSION  USER      CONTEXT  FROM          PROTO  GROUP      LOGIN TIME
---------------------------------------------------------------------------------------
33472    ekhabaro  cli      10.149.4.155  ssh    netadmin   2020-03-09T18:39:40+00:00

Authentification et autorisation utilisateur TACACS pour vEdge et les contrôleurs

Étape 1. Créez un profil TACACS. Au cours de cette étape, le profil TACACS créé est affecté, par exemple, au niveau de privilège netadmin à un utilisateur authentifié.

• Sélectionnez Obligatoire dans la section Attribut personnalisé pour ajouter l'attribut en tant que :

Type	Name (nom)	Valeur
Obligatoire	Nom du groupe de viptela	netadmin

Étape 2. Créez un groupe de périphériques pour SD-WAN.

Étape 3. Configurez le périphérique et attribuez-le au groupe de périphériques SD-WAN :

Étape 4. Définissez la stratégie d'administration des périphériques.

Selon votre configuration actuelle, votre jeu de stratégies peut avoir un aspect différent. Pour les besoins de la démonstration de ce document, la stratégie est créée.

Cliquez sur > et l'écran suivant s'affiche comme illustré dans cette image. Cette stratégie correspond au type de périphérique nommé SD-WAN et attribue le profil Shell créé à l'étape 1.

Étape 5. Configurer vEdge :

system
 aaa
  auth-order tacacs local
 !
 tacacs
  server 10.48.87.210
   vpn 512
   key cisco
  exit
 !
!

Étape 6. Vérification . Connectez-vous à vEdge et assurez-vous que le groupe netadmin est attribué à l'utilisateur distant :

vEdgeCloud1# show users

                                                 AUTH
SESSION  USER      CONTEXT  FROM          PROTO  GROUP      LOGIN TIME
---------------------------------------------------------------------------------------
33472    ekhabaro  cli      10.149.4.155  ssh    netadmin   2020-03-09T18:39:40+00:00

Informations connexes

• Guide de déploiement de Cisco ISE Device Administration Prescriptive : https://community.cisco.com/t5/security-documents/cisco-ise-device-administration-prescriptive-deployment-guide/ta-p/3738365#toc-hId-298630973
• Configuration de l'accès utilisateur et de l'authentification : https://sdwan-docs.cisco.com/Product_Documentation/Software_Features/Release_18.4/02System_and_Interfaces/03Configuring_User_Access_and_Authentication