Integrazione di Duo SAML SSO con Anyconnect Secure Remote Access mediante ISE Posture
Sommario
Introduzione
Questo documento descrive un esempio di configurazione per l'integrazione di Duo SAML SSO con Adaptive Security Appliance (ASA) e l'accesso Cisco AnyConnect Secure Mobility Client che sfrutta Cisco ISE per una valutazione dettagliata della postura. Duo SAML SSO viene implementato utilizzando Duo Access Gateway (DAG) che comunica con Active Directory per l'autenticazione iniziale dell'utente e quindi comunica con Duo Security (Cloud) per l'autenticazione a più fattori. Cisco ISE viene usato come server di autorizzazione per fornire la verifica dell'endpoint con la valutazione della postura.
Contributo di Dinesh Moudgil e Pulkit Saxena, Cisco HTTS Engineer.
Prerequisiti
Requisiti
- Concetti fondamentali di Duo Access Gateway e Duo Security
- Conoscenze base della configurazione VPN di accesso remoto sull'appliance ASA
- Conoscenze base di ISE e servizi di postura
Componenti usati
- Software Cisco Adaptive Security Appliance versione 9.12(3)12
- Duo Access Gateway
- Duo Security
- Cisco Identity Services Engine versione 2.6 e successive
- Microsoft Windows 10 con AnyConnect versione 4.8.03052
Configurazione
Esempio di rete
Flusso traffico
- Il client Anyconnect avvia una connessione VPN SSL a Cisco ASA
- Cisco ASA, configurato per l'autenticazione primaria con Duo Access Gateway (DAG), reindirizza il browser incorporato nel client Anyconnect al DAG per l'autenticazione SAML
- Il client Anyconnect viene reindirizzato a Duo Access Gateway
- Dopo che il client AnyConnect ha immesso le credenziali, viene creata una richiesta di autenticazione SAML che viene rilasciata da Cisco ASA a Duo Access Gateway
- Duo Access Gateway sfrutta l'integrazione con Active Directory in loco per eseguire l'autenticazione primaria per il client Anyconnect
- Una volta completata l'autenticazione primaria, Duo Access Gateway invia una richiesta a Duo Security tramite la porta TCP 443 per iniziare l'autenticazione a due fattori
- Il client AnyConnect si è presentato con il "Duo Interactive Prompt" e l'utente completa l'autenticazione a due fattori Duo utilizzando il metodo preferito (push o passcode)
- Duo Security riceve una risposta di autenticazione e restituisce le informazioni al Duo Access Gateway
- In base alla risposta di autenticazione, Duo Access Gateway crea una risposta di autenticazione SAML che contiene un'asserzione SAML e risponde al client Anyconnect
- Il client Anyconnect esegue l'autenticazione per la connessione VPN SSL con Cisco ASA
- Quando l'autenticazione ha esito positivo, Cisco ASA invia una richiesta di autorizzazione a Cisco ISE
- Cisco ISE elabora la richiesta di autorizzazione e, poiché lo stato della postura del client è Unknown, restituisce Posture redirect con accesso limitato al client Anyconnect tramite Cisco ASA
- Se il client Anyconnect non ha un modulo di conformità, gli viene chiesto di scaricarlo per procedere più avanti con la valutazione della postura
- Se il client Anyconnect ha un modulo di conformità, stabilisce una connessione TLS con Cisco ASA e il flusso di postura si avvia
- A seconda delle condizioni di postura configurate su ISE, vengono eseguiti i controlli di postura e i dettagli vengono inviati dal client Anyconnect a Cisco ISE
- Se lo stato della postura del client cambia da Sconosciuto a Conforme, la richiesta di modifica dell'autorizzazione (CoA) viene inviata da Cisco ISE a Cisco ASA per concedere l'accesso completo al client e la VPN è completamente stabilita
Configurazioni
- Configurazione del portale di amministrazione Duo
In questa sezione, configurare l'applicazione ASA sul portale di amministrazione Duo.
1. Accedere a "Duo Admin Portal" e selezionare "Applications > Protect an Application" (Applicazioni > Proteggi un'applicazione), quindi cercare "ASA" con tipo di protezione "2FA con Duo Access Gateway, con hosting automatico". Fare clic su "Protect" (Proteggi) all'estrema destra per configurare l'appliance Cisco ASA.
2. Configurare gli attributi seguenti in "Service Provider" per l'applicazione protetta, ASA
| URL di base | firebird.cisco.com |
| Gruppo di tunnel | TG_SAML |
| Attributo Mail | sAMAccountName,posta |
Fare clic su "Salva" in fondo alla pagina
In questo documento, il resto della configurazione utilizza parametri predefiniti ma è possibile impostarli in base ai requisiti del cliente.
In questo momento è possibile modificare ulteriori impostazioni per la nuova applicazione SAML, ad esempio modificare il nome dell'applicazione dal valore predefinito, attivare la modalità self-service o assegnare un criterio di gruppo.
3. Fare clic sul collegamento "Download your configuration file" per ottenere le impostazioni dell'applicazione Cisco ASA (come file JSON). Questo file viene caricato su Duo Access Gateway nei passaggi successivi
4. In "Dashboard > Applicazioni", l'applicazione ASA appena creata ha l'aspetto mostrato nell'immagine seguente:
5. Passare a "Utenti > Aggiungi utente" come mostrato nell'immagine:
Creare un utente denominato "duouser" da utilizzare per l'autenticazione di Accesso remoto Anyconnect e attivare Duo Mobile sul dispositivo dell'utente finale
Per aggiungere il numero di telefono come mostrato nell'immagine, selezionare l'opzione "Add Phone" (Aggiungi telefono).
Attiva "Duo Mobile" per l'utente specifico
Selezionare "Generate Duo Mobile Activation Code" (Genera codice di attivazione mobile Duo) come illustrato nell'immagine:
Selezionare "Send Instructions by SMS" (Invia istruzioni tramite SMS) come mostrato nell'immagine:
Fare clic sul collegamento nell'SMS e l'app Duo viene collegata all'account utente nella sezione Informazioni sul dispositivo, come mostrato nell'immagine:
- Configurazione Duo Access Gateway (DAG)
- Distribuire Duo Access Gateway (DAG) su un server nella rete
- Nella home page di Duo Access Gateway, passare a "Authentication Source" (Origine autenticazione)
- In "Configura origini", immettere gli attributi seguenti per Active Directory e fare clic su "Salva impostazioni"
- In "Imposta origine attiva" selezionare il tipo di origine "Active Directory" e fare clic su "Imposta origine attiva"
- Passare a "Applications" (Applicazioni), nel sottomenu "Add Application" (Aggiungi applicazione), e caricare il file .json scaricato dalla Duo Admin Console nella sezione "Configuration file" (File di configurazione). Il file .json corrispondente è stato scaricato nel Passaggio 3 in Duo Admin Portal Configuration
- Una volta aggiunta l'applicazione, appare nel sottomenu "Applicazioni"
- Nel sottomenu "Metadati", scaricare i metadati XML e il certificato IdP e annotare i seguenti URL, configurati successivamente sull'appliance ASA
- URL SSO
- URL di disconnessione
- ID entità
- URL errore
- Configurazione ASA
In questa sezione vengono fornite le informazioni per configurare l'ASA per l'autenticazione IDP SAML e la configurazione base di AnyConnect. Nel documento vengono illustrati i passaggi della configurazione ASDM e la configurazione di esecuzione CLI per una panoramica.
1. Carica certificato Duo Access Gateway
A. Selezionare "Configurazione > Gestione dispositivi > Gestione certificati > Certificati CA", quindi fare clic su "Aggiungi".
B. Nella pagina "Installa certificato", configurare il nome del punto di accesso: Duo_Access_Gateway
C. Fare clic su "Sfoglia" per selezionare il percorso associato al certificato del gruppo di disponibilità del database e, una volta selezionato, fare clic su "Installa certificato"
2. Creazione del pool locale IP per gli utenti AnyConnect
Selezionare "Configurazione > VPN ad accesso remoto > Accesso di rete (client) > Assegnazione indirizzi > Pool di indirizzi", quindi fare clic su "Aggiungi".
3. Configurare il gruppo di server AAA
A. In questa sezione configurare il gruppo di server AAA e fornire i dettagli del server AAA specifico che esegue l'autorizzazione.
B. Selezionare "Configuration > Remote Access VPN > AAA/Local Users > AAA Server Groups" (Configurazione > VPN ad accesso remoto > Utenti locali AAA > Gruppi di server AAA), quindi fare clic su "Add" (Aggiungi).
C. Nella stessa pagina, nella sezione "Server nel gruppo selezionato", fare clic su "Aggiungi" e fornire i dettagli dell'indirizzo IP del server AAA
4. Mappa il software client AnyConnect
A. Mappare l'immagine WebDeployment del software client AnyConnect 4.8.03052 per usare Windows per WebVPN
B. Selezionare "Configuration > Remote Access VPN > Network (Client) Access > AnyConnect Client Software", quindi fare clic su "Add"
5. Configurare l'ACL di reindirizzamento su cui viene eseguito il push come risultato di ISE
A. Selezionare "Configuration > Firewall > Advanced > ACL Manager", quindi fare clic su Add per aggiungere l'ACL di reindirizzamento. Le voci, una volta configurate, vengono visualizzate come illustrato di seguito:
6. Convalida Criteri di gruppo esistenti
R. Questa impostazione utilizza i criteri di gruppo predefiniti e può essere visualizzata in: "Configurazione > VPN ad accesso remoto > Accesso di rete (client) > Criteri di gruppo"
7. Configurare il profilo di connessione
A. Creare un nuovo profilo di connessione a cui si connettono gli utenti AnyConnect
B. Selezionare "Configurazione > VPN ad accesso remoto > Accesso di rete (client) > Profili di connessione Anyconnect", quindi fare clic su "Aggiungi".
C. Configurare i seguenti dettagli associati al profilo di connessione:
| Nome | TG_SAML |
| Alias | Utenti_SAML |
| Metodo | SAML |
| Gruppo server AAA | Locale |
| Pool di indirizzi client | Pool_CA |
| Criteri di gruppo | CriterioGruppoDflt |
D. Nella stessa pagina configurare i dettagli del provider di identità SAML, come illustrato di seguito:
E. Fare clic su "Gestisci > Aggiungi"
F. Nella sezione Avanzate del profilo di connessione, definire il server AAA per l'autorizzazione.
Selezionare "Avanzate > Autorizzazione" e fare clic su "Aggiungi".
G. In Alias gruppo definire l'alias della connessione.
Selezionare "Avanzate > URL gruppo/alias gruppo" e fare clic su "Aggiungi"
H. La configurazione dell'ASA è stata completata, come mostrato di seguito nell'interfaccia della riga di comando (CLI)
! hostname firebird domain-name cisco.com !
!
name 10.197.164.7 explorer.cisco.com name 10.197.164.3 firebird.cisco.com ! !--------------------Client pool configuration--------------------
!
ip local pool AC_Pool 10.197.164.6-explorer.cisco.com mask 255.255.255.0 !
!--------------------Redirect Access-list-------------------------
! access-list redirect extended deny udp any any eq domain access-list redirect extended deny ip any host 10.197.243.116 access-list redirect extended deny icmp any any access-list redirect extended permit ip any any access-list redirect extended permit tcp any any eq www !
!--------------------AAA server configuration---------------------
! aaa-server ISE protocol radius authorize-only interim-accounting-update periodic 1 dynamic-authorization aaa-server ISE (outside) host 10.106.44.77 key ***** !
!-----Configure Trustpoint for Duo Access Gateway Certificate-----
! crypto ca trustpoint Duo_Access_Gateway enrollment terminal crl configure !
!-------Configure Trustpoint for ASA Identity Certificate---------
! crypto ca trustpoint ID_CERT enrollment terminal fqdn firebird.cisco.com subject-name CN=firebird.cisco.com ip-address 10.197.164.3 keypair ID_RSA_KEYS no ca-check crl configure !
!------Enable AnyConnect and configuring SAML authentication------
! webvpn enable outside hsts enable max-age 31536000 include-sub-domains no preload anyconnect image disk0:/anyconnect-win-4.8.03052-webdeploy-k9.pkg 1 anyconnect enable saml idp https://explorer.cisco.com/dag/saml2/idp/metadata.php url sign-in https://explorer.cisco.com/dag/saml2/idp/SSOService.php url sign-out https://explorer.cisco.com/dag/saml2/idp/SingleLogoutService.php?ReturnTo=https://explorer.cisco.com/dag/module.php/duosecurity/logout.php base-url https://firebird.cisco.com trustpoint idp Duo_Access_Gateway trustpoint sp ID_CERT no signature no force re-authentication timeout assertion 1200 tunnel-group-list enable cache disable error-recovery disable !
!--------------------Group Policy configuration--------------------
! group-policy DfltGrpPolicy attributes vpn-tunnel-protocol ikev1 ikev2 l2tp-ipsec ssl-client ssl-clientless !
!----------Tunnel-Group (Connection Profile) Configuraiton----------
! tunnel-group TG_SAML type remote-access tunnel-group TG_SAML general-attributes address-pool AC_Pool authorization-server-group ISE accounting-server-group ISE tunnel-group TG_SAML webvpn-attributes authentication saml group-alias SAML_Users enable saml identity-provider https://explorer.cisco.com/dag/saml2/idp/metadata.php !
-Configurazione di ISE
1. Aggiungere Cisco ASA come dispositivo di rete
In "Amministrazione > Risorse di rete > Dispositivi di rete", fare clic su "Aggiungi".
Configurare il nome del dispositivo di rete, l'indirizzo IP associato e in "Impostazioni autenticazione Radius" configurare "Segreto condiviso" e fare clic su "Salva"
2. Installare gli ultimi aggiornamenti della postura
Selezionare "Amministrazione > Sistema > Impostazioni > Postura > Aggiornamenti" e fare clic su "Aggiorna"
3. Caricare il modulo di conformità e il pacchetto di implementazione dell'headend AnyConnect su ISE
Passare a "Policy > Elementi criterio > Risultati > Provisioning client > Risorse". Fare clic su "Add" (Aggiungi) e selezionare "Agent resources from local disk" (Risorse agente da disco locale) o "Agent resources from Cisco site" (Risorse agente da sito Cisco) a seconda che i file debbano essere recuperati dalla workstation locale o dal sito Cisco.
In questo caso, per caricare i file dalla workstation locale in Categoria, selezionare "Cisco Provided Packages", fare clic su "Browse" (Sfoglia), selezionare i pacchetti richiesti e fare clic su "Submit" (Invia).
Questo documento utilizza "anyconnect-win-4.3.1012.6145-isecompliance-webdeploy-k9.pkg" come modulo sulla conformità e "anyconnect-win-4.8.03052-webdeploy-k9.pkg" come pacchetto di distribuzione dell'headend AnyConnect.
4. Creazione di un profilo di postura di AnyConnect
A. Passare a "Policy > Elementi criteri > Risultati > Client Provisioning > Risorse". Fare clic su "Add" (Aggiungi) e selezionare "AnyConnect Posture Profile" (Profilo postura di AnyConnect)
B. Immettere il nome per il profilo di postura di Anyconnect e configurare il nome del server come "*" in Regole per il nome del server, quindi fare clic su "Salva"
5. Creazione Della Configurazione Di Anyconnect
A. Passare a "Policy > Elementi criteri > Risultati > Client Provisioning > Risorse". Fare clic su "Add" (Aggiungi) e selezionare "AnyConnect Configuration"
B. Selezionare il pacchetto AnyConnect, immettere il nome della configurazione e selezionare il modulo di conformità richiesto
C. In "AnyConnect Module Selection", selezionare "Diagnostic and Reporting Tool"
D. In "Selezione profilo", selezionare Profilo postura e fare clic su "Salva"
6. Creare criteri di provisioning client
A. Selezionare "Policy > Client Provisioning".
B. Fare clic su "Modifica", quindi selezionare "Inserisci regola"
C. Inserire il nome della regola, selezionare il sistema operativo richiesto, quindi in Risultati (in "Agente" > "Configurazione agente" ) selezionare "Configurazione AnyConnect" creata nel passaggio 5 e fare clic su "Salva"
7. Creare una condizione di postura
A. Selezionare "Policy > Elementi criteri > Condizioni > Postura > Condizione file"
B. Fare clic su "Add" (Aggiungi) e configurare il nome della condizione "VPN_Posture_File_Check", il sistema operativo richiesto come "Windows 10(All)", il tipo di file come "FileExistence", il percorso di file come "ABSOLUTE_PATH" e il percorso completo e il nome di file come "C:\custom.txt", quindi selezionare File Operator come "Exists" (Esiste).
C. In questo esempio viene utilizzata la presenza di un file denominato "custom.txt" in unità C: come condizione del file
8. Crea azione di correzione della postura
Passare a "Policy > Elementi criteri > Risultati > Postura > Azioni di risoluzione" per creare l'azione di correzione file corrispondente. In questo documento viene utilizzato "Solo testo messaggio" come azioni di risoluzione configurate nel passaggio successivo.
9. Crea regola fabbisogno postura
A. Passare a "Policy > Elementi criteri > Risultati > Postura > Requisiti"
B. Fare clic su "Modifica", quindi selezionare "Inserisci nuovo requisito"
C. Configurare il nome della condizione "VPN_Posture_Requirement", il sistema operativo richiesto "Windows 10(All)", il modulo di conformità "4.x o versioni successive", il tipo di postura "Anyconnect"
D. Condizioni come "VPN_Posture_File_Check" (create al passo 7) e in Azioni di risoluzione, selezionare Azione come "Solo testo messaggio" e immettere il messaggio personalizzato per l'utente agente
10. Creazione di un criterio di postura
A. Selezionare "Policies > Posture" (Criteri > Postura).
B. Configurare il nome della regola come "VPN_Posture_Policy_Win", il sistema operativo richiesto come "Windows 10(All)", il modulo di conformità come "4.x o versioni successive", il tipo di postura come "Anyconnect" e i requisiti come "VPN_Posture_Requirement" come configurato nel passo 9
11. Creazione di ACL dinamici
Selezionare "Policy > Policy Elements > Results > Authorization > Downlodable ACLS" (Policy > Elementi criteri > Risultati > Autorizzazione > ACL scaricabili) e creare gli ACL per diversi stati di postura.
In questo documento vengono utilizzati i seguenti DACL.
A. Postura sconosciuta: consente il traffico verso DNS, PSN, HTTP e HTTPS
B. Postura non conforme: nega l'accesso alle subnet private e consente solo il traffico Internet
C. Conforme alla postura: consente tutto il traffico per gli utenti finali conformi alla postura
12. Creazione di profili di autorizzazione
Selezionare "Policy > Policy Elements > Results > Authorization > Authorization Profiles" (Criteri > Elementi criteri > Risultati > Autorizzazione > Profili autorizzazione).
A. Profilo di autorizzazione per la postura sconosciuta
Selezionare DACL "PostureUnknown" (Postura sconosciuta), selezionare Web Redirection (Reindirizzamento Web), selezionare Client Provisioning (Postura) (Postura), configurare il nome ACL di reindirizzamento "redirect" (da configurare sull'appliance ASA) e selezionare il portale di provisioning client (predefinito)
B. Profilo di autorizzazione per la postura non conforme
Selezionare DACL "PostureNonCompliant" per limitare l'accesso alla rete
C. Profilo di autorizzazione per la conformità alla postura
Selezionare DACL "PostureCompliant" per consentire accesso completo alla rete
12. Configurare i criteri di autorizzazione
Utilizzare i profili di autorizzazione configurati nel passaggio precedente per configurare 3 criteri di autorizzazione per Postura conforme, Postura non conforme e Postura sconosciuta.
La condizione comune "Sessione: Stato postura" viene utilizzata per determinare i risultati per ogni criterio
Verifica
Fare riferimento a questa sezione per verificare che la configurazione funzioni correttamente.
Per verificare se l'autenticazione dell'utente è riuscita, eseguire il comando seguente sull'appliance ASA.
firebird(config)# show vpn-sess detail anyconnect
Session Type: AnyConnect Detailed
Username : _585b5291f01484dfd16f394be7031d456d314e3e62
Index : 125
Assigned IP : explorer.cisco.com Public IP : 10.197.243.143
Protocol : AnyConnect-Parent SSL-Tunnel DTLS-Tunnel
License : AnyConnect Premium
Encryption : AnyConnect-Parent: (1)none SSL-Tunnel: (1)AES-GCM-256 DTLS-Tunnel: (1)AES-GCM-256
Hashing : AnyConnect-Parent: (1)none SSL-Tunnel: (1)SHA384 DTLS-Tunnel: (1)SHA384
Bytes Tx : 16404 Bytes Rx : 381
Pkts Tx : 16 Pkts Rx : 6
Pkts Tx Drop : 0 Pkts Rx Drop : 0
Group Policy : DfltGrpPolicy Tunnel Group : TG_SAML
Login Time : 07:05:45 UTC Sun Jun 14 2020
Duration : 0h:00m:16s
Inactivity : 0h:00m:00s
VLAN Mapping : N/A VLAN : none
Audt Sess ID : 0ac5a4030007d0005ee5cc49
Security Grp : none
AnyConnect-Parent Tunnels: 1
SSL-Tunnel Tunnels: 1
DTLS-Tunnel Tunnels: 1
AnyConnect-Parent:
Tunnel ID : 125.1
Public IP : 10.197.243.143
Encryption : none Hashing : none
TCP Src Port : 57244 TCP Dst Port : 443
Auth Mode : SAML
Idle Time Out: 30 Minutes Idle TO Left : 29 Minutes
Client OS : win
Client OS Ver: 10.0.15063
Client Type : AnyConnect
Client Ver : Cisco AnyConnect VPN Agent for Windows 4.8.03052
Bytes Tx : 7973 Bytes Rx : 0
Pkts Tx : 6 Pkts Rx : 0
Pkts Tx Drop : 0 Pkts Rx Drop : 0
SSL-Tunnel:
Tunnel ID : 125.2
Assigned IP : explorer.cisco.com Public IP : 10.197.243.143
Encryption : AES-GCM-256 Hashing : SHA384
Ciphersuite : ECDHE-RSA-AES256-GCM-SHA384
Encapsulation: TLSv1.2 TCP Src Port : 57248
TCP Dst Port : 443 Auth Mode : SAML
Idle Time Out: 30 Minutes Idle TO Left : 29 Minutes
Client OS : Windows
Client Type : SSL VPN Client
Client Ver : Cisco AnyConnect VPN Agent for Windows 4.8.03052
Bytes Tx : 7973 Bytes Rx : 0
Pkts Tx : 6 Pkts Rx : 0
Pkts Tx Drop : 0 Pkts Rx Drop : 0
Filter Name : #ACSACL#-IP-PostureUnknown-5ee45b05
DTLS-Tunnel:
Tunnel ID : 125.3
Assigned IP : explorer.cisco.com Public IP : 10.197.243.143
Encryption : AES-GCM-256 Hashing : SHA384
Ciphersuite : ECDHE-ECDSA-AES256-GCM-SHA384
Encapsulation: DTLSv1.2 UDP Src Port : 49175
UDP Dst Port : 443 Auth Mode : SAML
Idle Time Out: 30 Minutes Idle TO Left : 29 Minutes
Client OS : Windows
Client Type : DTLS VPN Client
Client Ver : Cisco AnyConnect VPN Agent for Windows 4.8.03052
Bytes Tx : 458 Bytes Rx : 381
Pkts Tx : 4 Pkts Rx : 6
Pkts Tx Drop : 0 Pkts Rx Drop : 0
Filter Name : #ACSACL#-IP-PostureUnknown-5ee45b05
ISE Posture:
Redirect URL : https://ise261.pusaxena.local:8443/portal/gateway?sessionId=0ac5a4030007d0005ee5cc49&portal=27b1bc30-2...
Redirect ACL : redirect
Una volta completata la valutazione della postura, l'accesso utente viene modificato in accesso completo, come osservato nell'elenco DACL premuto nel campo "Nome filtro"
firebird(config)# show vpn-sess detail anyconnect
Session Type: AnyConnect Detailed
Username : _585b5291f01484dfd16f394be7031d456d314e3e62
Index : 125
Assigned IP : explorer.cisco.com Public IP : 10.197.243.143
Protocol : AnyConnect-Parent SSL-Tunnel DTLS-Tunnel
License : AnyConnect Premium
Encryption : AnyConnect-Parent: (1)none SSL-Tunnel: (1)AES-GCM-256 DTLS-Tunnel: (1)AES-GCM-256
Hashing : AnyConnect-Parent: (1)none SSL-Tunnel: (1)SHA384 DTLS-Tunnel: (1)SHA384
Bytes Tx : 16404 Bytes Rx : 381
Pkts Tx : 16 Pkts Rx : 6
Pkts Tx Drop : 0 Pkts Rx Drop : 0
Group Policy : DfltGrpPolicy Tunnel Group : TG_SAML
Login Time : 07:05:45 UTC Sun Jun 14 2020
Duration : 0h:00m:36s
Inactivity : 0h:00m:00s
VLAN Mapping : N/A VLAN : none
Audt Sess ID : 0ac5a4030007d0005ee5cc49
Security Grp : none
AnyConnect-Parent Tunnels: 1
SSL-Tunnel Tunnels: 1
DTLS-Tunnel Tunnels: 1
AnyConnect-Parent:
Tunnel ID : 125.1
Public IP : 10.197.243.143
Encryption : none Hashing : none
TCP Src Port : 57244 TCP Dst Port : 443
Auth Mode : SAML
Idle Time Out: 30 Minutes Idle TO Left : 29 Minutes
Client OS : win
Client OS Ver: 10.0.15063
Client Type : AnyConnect
Client Ver : Cisco AnyConnect VPN Agent for Windows 4.8.03052
Bytes Tx : 7973 Bytes Rx : 0
Pkts Tx : 6 Pkts Rx : 0
Pkts Tx Drop : 0 Pkts Rx Drop : 0
SSL-Tunnel:
Tunnel ID : 125.2
Assigned IP : explorer.cisco.com Public IP : 10.197.243.143
Encryption : AES-GCM-256 Hashing : SHA384
Ciphersuite : ECDHE-RSA-AES256-GCM-SHA384
Encapsulation: TLSv1.2 TCP Src Port : 57248
TCP Dst Port : 443 Auth Mode : SAML
Idle Time Out: 30 Minutes Idle TO Left : 29 Minutes
Client OS : Windows
Client Type : SSL VPN Client
Client Ver : Cisco AnyConnect VPN Agent for Windows 4.8.03052
Bytes Tx : 7973 Bytes Rx : 0
Pkts Tx : 6 Pkts Rx : 0
Pkts Tx Drop : 0 Pkts Rx Drop : 0
Filter Name : #ACSACL#-IP-PERMIT_ALL_IPV4_TRAFFIC-57f6b0d3
DTLS-Tunnel:
Tunnel ID : 125.3
Assigned IP : explorer.cisco.com Public IP : 10.197.243.143
Encryption : AES-GCM-256 Hashing : SHA384
Ciphersuite : ECDHE-ECDSA-AES256-GCM-SHA384
Encapsulation: DTLSv1.2 UDP Src Port : 49175
UDP Dst Port : 443 Auth Mode : SAML
Idle Time Out: 30 Minutes Idle TO Left : 29 Minutes
Client OS : Windows
Client Type : DTLS VPN Client
Client Ver : Cisco AnyConnect VPN Agent for Windows 4.8.03052
Bytes Tx : 458 Bytes Rx : 381
Pkts Tx : 4 Pkts Rx : 6
Pkts Tx Drop : 0 Pkts Rx Drop : 0
Filter Name : #ACSACL#-IP-PERMIT_ALL_IPV4_TRAFFIC-57f6b0d3
Per verificare se l'autorizzazione è stata eseguita correttamente su ISE, selezionare "Operations > RADIUS > Live Logs" (Operazioni > RADIUS > Live Log).
In questa sezione sono riportate le informazioni pertinenti associate all'utente autorizzato, ad esempio identità, profilo di autorizzazione, criteri di autorizzazione e stato della postura.
Esperienza utente
Risoluzione dei problemi
Le informazioni contenute in questa sezione permettono di risolvere i problemi relativi alla configurazione.
La maggior parte delle procedure di risoluzione dei problemi SAML implica una configurazione errata che può essere rilevata verificando la configurazione SAML o eseguendo i debug.
è possibile usare il comando "debug webvpn saml 255" per risolvere la maggior parte dei problemi, ma negli scenari in cui il debug non fornisce informazioni utili, è possibile eseguire altri debug:
debug webvpn 255 debug webvpn anyconnect 255 debug webvpn session 255 debug webvpn request 255
Per risolvere i problemi di autenticazione e autorizzazione sull'appliance ASA, usare i seguenti comandi di debug:
debug radius all debug aaa authentication debug aaa authorization To troubleshoot Posture related issues on ISE, set the following attributes to debug level:
posture (ise-psc.log) portal (guest.log) provisioning (ise-psc.log) runtime-AAA (prrt-server.log) nsf (ise-psc.log) nsf-session (ise-psc.log) swiss (ise-psc.log)
Informazioni correlate
https://www.youtube.com/watch?v=W6bE2GTU0Is&
https://duo.com/docs/cisco#asa-ssl-vpn-using-saml
https://www.cisco.com/c/en/us/support/docs/security/identity-services-engine/215236-ise-posture-over-anyconnect-remote-acces.html#anc0
Feedback