Configurer le serveur SMTP sécurisé sur ISE

Introduction

Ce document décrit comment configurer le serveur SMTP sur Cisco ISE afin de prendre en charge les notifications par e-mail pour plusieurs services.

Conditions préalables

Exigences

Cisco vous recommande de posséder des connaissances de base sur les fonctionnalités Cisco ISE (Identity Services Engine) et SMTP (Simple Mail Transfer Protocol). 

Composants utilisés

Ce document n'est pas limité à des versions de matériel et de logiciel spécifiques. ISE version 3.0 prend en charge les connexions sécurisées et non sécurisées au serveur SMTP.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

Configuration

Cette section décrit la configuration de l'ISE afin de prendre en charge les notifications par e-mail utilisées pour :

• Envoyez des notifications d'alarme par e-mail à tous les utilisateurs administratifs internes avec l'option d'inclusion des alarmes système dans les e-mails activée. L'adresse e-mail de l'expéditeur pour l'envoi des notifications d'alarme est codée en dur comme ise@<hostname>.
• Permettre aux sponsors d'envoyer une notification par e-mail aux invités avec leurs identifiants de connexion et leurs instructions de réinitialisation de mot de passe.
• Permettre aux invités de recevoir automatiquement leurs identifiants de connexion une fois qu'ils se sont inscrits et avec les actions à entreprendre avant l'expiration de leur compte invité.
• Envoyez des e-mails de rappel aux utilisateurs administrateurs ISE/utilisateurs réseau internes configurés sur ISE avant la date d'expiration de leur mot de passe.

Paramètres SMTP

Pour qu'ISE puisse utiliser des services de messagerie, un serveur relais SMTP doit être configuré. Afin de mettre à jour les détails du serveur SMTP, accédez à Administration > System > Settings > Proxy > SMTP server.

Ce tableau indique le noeud d'un environnement ISE distribué qui envoie un e-mail.

Objectif du courrier électronique	Noeud qui envoie l'e-mail
Expiration du compte Invité	PAN principal
Alarmes	MnT actif
Notifications de comptes de sponsor et d'invité depuis les portails respectifs	PSN
Expirations des mots de passe	PAN principal

Configurez le serveur SMTP afin d'avoir la possibilité d'accepter tous les e-mails provenant de l'ISE avec ou sans authentification ou cryptage en fonction de vos besoins.

Paramètres de communication SMTP non sécurisés sans authentification ni chiffrement

1. Définissez le nom d'hôte du serveur SMTP (serveur SMTP sortant).
2. Port SMTP (ce port doit être ouvert sur le réseau pour se connecter au serveur SMTP).
3. Délai de connexion (saisissez la durée maximale pendant laquelle Cisco ISE attend une réponse du serveur SMTP).
4. Cliquez sur Test Connection et Save.

La capture de paquets montre la communication ISE avec le serveur SMTP sans authentification ni chiffrement :

Paramètres de communication SMTP sécurisée

La connexion sécurisée peut être effectuée de deux manières :

1. Basé sur SSL
2. Basé sur le nom d'utilisateur/mot de passe

Le serveur SMTP utilisé doit prendre en charge l'authentification basée sur SSL et les informations d'identification. La communication SMTP sécurisée peut être utilisée avec l'une des options ou les deux options activées simultanément.

Communication SMTP sécurisée avec cryptage activé

1. Importez le certificat d'autorité de certification racine du certificat du serveur SMTP dans les certificats de confiance ISE avec utilisation : Confiance pour l'authentification dans ISE et Confiance pour l'authentification du client et Syslog.
2. Configurez le serveur SMTP, le port configuré sur le serveur SMTP pour la communication chiffrée et cochez l'option Utiliser le chiffrement TLS/SSL.

Test de connexion indique une connexion réussie au serveur SMTP.

Les captures de paquets indiquent que le serveur a accepté l'option STARTTLS comme demandé par l'ISE.

Communication SMTP sécurisée avec paramètres d'authentification activés

1. Configurez le serveur SMTP et le port SMTP.
2. Sous Authentication Settings, cochez l'option Use Password Authentication et fournissez le nom d'utilisateur et le mot de passe.

Test réussi de la connexion lorsque l'authentification par mot de passe fonctionne :

Exemple de capture de paquets montrant une authentification réussie avec des informations d'identification :

Vérifier

Référez-vous à cette section pour vous assurer du bon fonctionnement de votre configuration.

1. Utilisez l'option Test Connection afin de vérifier la connectivité au serveur SMTP configuré.
2. Envoyez un e-mail de test à partir du portail Invité de Work Centers > Guest Access > Portals & Components > Guest Portals > Self-Registered Guest Portal (par défaut) > Portal Page Customization > Notifications > Email > Preview window Settings. Entrez une adresse e-mail valide et envoyez un e-mail test. Le destinataire doit recevoir l'e-mail à partir de l'adresse e-mail configurée sous Paramètres de l'e-mail invité.

Exemple de notification par e-mail envoyée pour les informations d'identification du compte invité :

Exemple de notification par e-mail reçue par le destinataire :

Dépannage

Cette section fournit les informations que vous pouvez utiliser afin de dépanner votre configuration :

Problème : le test de connexion indique : "Connexion au serveur SMTP impossible, erreur SSL. Vérifiez les certificats de confiance.

La capture de paquets indique que le certificat présenté par le serveur SMTP n'est pas approuvé :

Solution : importez le certificat CA racine du serveur SMTP dans les certificats de confiance ISE et si la prise en charge TLS est configurée sur le port.

Problème : le test de connexion indique : "Échec de l'authentification : impossible de se connecter au serveur SMTP, le nom d'utilisateur ou le mot de passe est incorrect".

L'exemple de capture de paquets montre que l'authentification a échoué.

Solution : validez le nom d'utilisateur ou le mot de passe configuré sur le serveur SMTP.

Problème : le test de connexion indique : "La connexion au serveur SMTP a échoué".

Solution : vérifiez la configuration du port du serveur SMTP. Vérifiez si le nom du serveur SMTP peut être résolu par le serveur DNS configuré sur ISE.

L'exemple montre qu'une réinitialisation est envoyée par le serveur SMTP sur le port 587 qui n'est pas configuré pour le service SMTP.

Informations connexes

• Guide de l'administrateur de Cisco Identity Services Engine, version 3.0

• Assistance et documentation techniques - Cisco Systems