Configuration de l'accès temporaire et permanent des invités ISE

Introduction

Ce document décrit les différentes méthodes de configuration de l'accès invité Identity Services Engine (ISE). Sur la base de conditions différentes dans les règles d’autorisation :

• un accès permanent au réseau peut être fourni (aucune authentification ultérieure requise)
• un accès temporaire au réseau peut être fourni (nécessitant une authentification des invités après l'expiration de la session).

Le comportement spécifique du contrôleur LAN sans fil (WLC) pour la suppression de session est également présenté dans le scénario d'impact sur l'accès temporaire.

Conditions préalables

Exigences

Cisco vous recommande de prendre connaissance des rubriques suivantes :

• Déploiements ISE et flux d'invités
• Configuration des contrôleurs LAN sans fil (WLC)

Composants utilisés

Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

• Microsoft Windows 7
• Cisco WLC versions 7.6 et ultérieures
• Logiciel ISE, versions 1.3 et ultérieures

Configurer

Pour la configuration de base de l'accès invité, veuillez vérifier les références avec des exemples de configuration. Cet article traite de la configuration des règles d'autorisation et des différences dans les conditions d'autorisation.

Diagramme du réseau

Accès permanent

Pour ISE version 1.3 et ultérieure après une authentification réussie sur le portail invité avec l'enregistrement de périphérique activé.

Le périphérique de point d'extrémité (adresse MAC) est enregistré de manière statique dans un groupe de points d'extrémité spécifique (GuestEndpoints dans cet exemple).

Ce groupe est dérivé du type d'invité de l'utilisateur, comme illustré dans cette image.

S'il s'agit d'un utilisateur d'entreprise (magasin d'identités autre qu'invité), ce paramètre est dérivé des paramètres du portail.

Par conséquent, l'adresse MAC associée à l'invité appartient toujours à ce groupe d'identité spécifique. Cela ne peut pas être modifié automatiquement (par exemple par le service Profiler).

Remarque : pour appliquer les résultats du profileur, vous pouvez utiliser la condition d'autorisation EndPointPolicy.

Sachant que le périphérique appartient toujours à un groupe d'identité de point d'extrémité spécifique, il est possible de créer des règles d'autorisation basées sur cela, comme illustré dans cette image.

Une fois qu'un utilisateur n'est pas authentifié, l'autorisation correspond à la règle générique RedirectToPortal. Après la redirection vers le portail invité et l'authentification, le terminal est placé dans le groupe d'identité de terminal spécifique. C'est utilisé par la première condition, plus spécifique. Toutes les authentifications suivantes de ce point d'extrémité atteignent la première règle d'autorisation et l'utilisateur bénéficie d'un accès réseau complet sans devoir se réauthentifier sur le portail invité.

Purger les terminaux pour les comptes Invité

Cette situation pourrait durer éternellement. Mais la fonctionnalité de purge des terminaux a été introduite dans ISE 1.3. Avec la configuration par défaut.

Tous les terminaux utilisés pour l'authentification des invités sont supprimés après 30 jours (à partir de la création des terminaux). Par conséquent, généralement après 30 jours, l'utilisateur invité qui tente d'accéder au réseau atteint la règle d'autorisation RedirectToPortal et est redirigé pour authentification.

Remarque : la fonctionnalité de purge des terminaux est indépendante de la stratégie de purge des comptes d'invité et de l'expiration des comptes d'invité.

Remarque : dans ISE 1.2, les points de terminaison ne peuvent être supprimés automatiquement que lorsqu'ils atteignent les limites de file d'attente du profileur interne. Les terminaux les moins récemment utilisés sont supprimés.

Accès temporaire

Une autre méthode d'accès invité consiste à utiliser la condition Guest Flow.

Cette condition vérifie les sessions actives sur ISE et ses attributs. Si cette session a l'attribut indiquant que l'utilisateur précédemment invité s'est authentifié avec succès, la condition est satisfaite. Une fois qu'ISE a reçu le message d'arrêt de comptabilité Radius de la part du périphérique d'accès réseau (NAD), la session est interrompue et supprimée ultérieurement. À ce stade, la condition Network Access:UseCase = Guest Flow n'est plus satisfaite. Par conséquent, toutes les authentifications suivantes de ce point de terminaison accèdent à la redirection de règle générique pour l'authentification d'invité.

Remarque : le flux invité n'est pas pris en charge lorsque l'utilisateur est authentifié via le portail HotSpot. Pour ces scénarios, l'attribut UseCase est défini sur Recherche d'hôte au lieu de Flux invité.

Comportement de déconnexion WLC

Une fois que les clients se déconnectent du réseau sans fil (par exemple à l'aide du bouton de déconnexion dans Windows), il envoie une trame de déauthentification. Mais cela est omis par le WLC et peut être confirmé à l'aide de « debug client xxxx » - WLC ne présente aucun débogage quand le client se déconnecte du WLAN. Par conséquent, sur le client Windows :

• l’adresse ip est supprimée de l’interface
• l'interface est dans l'état : support déconnecté

Mais sur le WLC, l'état est inchangé (le client est toujours à l'état RUN).

C'est la conception planifiée pour WLC, la session est supprimée quand

• dépassements du délai d'inactivité utilisateur
• sessions-timeout hits 
• si vous utilisez le chiffrement L2, lorsque l'intervalle de rotation de la clé de groupe atteint
• quelque chose d'autre amène le point d'accès/WLC à mettre le client hors tension (par exemple, réinitialisations de la radio AP, quelqu'un arrête le WLAN, etc.)

Avec ce comportement et la configuration d'accès temporaire après que l'utilisateur se déconnecte de la session WLAN n'est pas supprimé d'ISE parce que WLC ne l'a jamais effacé (et n'a jamais envoyé Radius Accounting Stop). Si la session n'est pas supprimée, ISE se souvient toujours de l'ancienne session et la condition Guest Flow est satisfaite. Après la déconnexion et la reconnexion, l'utilisateur dispose d'un accès réseau complet sans devoir se réauthentifier.

Mais si, après la déconnexion, l'utilisateur se connecte à un WLAN différent, alors le WLC décide d'effacer l'ancienne session. L'arrêt de la comptabilité Radius est envoyé et ISE supprime la session. Si le client tente de se connecter à la condition WLAN Guest Flow d'origine n'est pas satisfaite et l'utilisateur est redirigé pour l'authentification.

Remarque : le WLC configuré avec la protection de trame de gestion (MFP) accepte la trame de désauthentification chiffrée du client MFP CCXv5.

Vérifier

Accès permanent

Après la redirection vers le portail invité et l'authentification réussie, ISE envoie une modification d'autorisation (CoA) pour déclencher la réauthentification. Par conséquent, une nouvelle session MAC Authentication Bypass (MAB) est en cours de création. Ce point de terminaison appartient au groupe d'identité GuestEndpoints et correspond à la règle fournissant un accès complet.

À ce stade, l'utilisateur sans fil peut se déconnecter, se connecter à différents WLAN, puis se reconnecter. Toutes ces authentifications ultérieures utilisent l'identité basée sur l'adresse MAC, mais atteignent la première règle en raison de l'appartenance du point de terminaison à un groupe d'identité spécifique. L'accès complet au réseau est fourni sans authentification des invités.

Accès temporaire

Pour le deuxième scénario (avec condition basée sur Guest Flow), le début est le même.

Mais après la suppression de la session pour toutes les authentifications suivantes, l'invité accède à la règle générique et est de nouveau redirigé vers l'invité.

La condition Guest Flow doit être satisfaite lorsque les attributs corrects existent pour la session. Cela peut être vérifié en examinant les attributs des terminaux. Le résultat de l'authentification réussie de l'invité est indiqué.

PortalUser guest
StepData 5=MAB, 8=AuthenticatedGuest
UseCase Guest Flow

Insectes

CSCuu4157 ISE ENH CoA résilier l'envoi lors du retrait ou de l'expiration du compte invité.

(demande d'amélioration pour mettre fin aux sessions d'invité après la suppression ou l'expiration du compte invité)

Références

• Guide d'administration de Cisco ISE 1.3
• Guide d'administration de Cisco ISE 1.4
• Exemple de configuration de hotspot ISE version 1.3
• Exemple de configuration du portail d'invité auto-inscrit ISE version 1.3
• Authentification Web centralisée (CWA, pour Central Web Authentification) sur le WLC et exemple de configuration ISE
• Exemple de configuration d'authentification Web centrale avec des points d'accès FlexConnect sur un WLC avec ISE
• Assistance et documentation techniques - Cisco Systems