Configurazione dell'integrazione Duo con AD e ISE per RAVPN 2FA

1. Autenticazione primaria avviata su Cisco ISE.
2. Cisco ASA invia una richiesta di autenticazione al proxy di autenticazione Duo.
3. L'autenticazione primaria utilizza Active Directory o RADIUS.
4. Connessione del proxy di autenticazione Duo stabilita con Duo Security sulla porta TCP 443.
5. Autenticazione secondaria tramite il servizio Duo Security.
6. Il proxy di autenticazione Duo riceve una risposta di autenticazione.
7. Accesso concesso a Cisco ISE.

---

Account utente:

• Amministratore di Active Directory: Viene utilizzato come account di directory per consentire al proxy di autenticazione Duo di eseguire il binding al server Active Directory per l'autenticazione primaria.
• Utente test Active Directory.
• Duo test user per 2FA secondario.

---

Configurazioni di Active Directory

Windows Server è preconfigurato con Servizi di dominio Active Directory.

---

Nota: Se Gestione proxy di autenticazione RADIUS Duo viene eseguito sullo stesso computer host Active Directory, è necessario disinstallare/eliminare i ruoli di Server dei criteri di rete. Se entrambi i servizi RADIUS vengono eseguiti, possono creare conflitti e influire sulle prestazioni. 

---

Per ottenere la configurazione di Active Directory per l'autenticazione e l'identità degli utenti su utenti VPN ad accesso remoto, sono necessari alcuni valori. Tutti questi dettagli devono essere creati o raccolti sul server Microsoft prima di poter completare la configurazione sull'appliance ASA e sul server proxy Duo Auth.

---

I valori principali sono:

• Nome dominio: Nome di dominio del server. In questa guida alla configurazione, il nome di dominio è agarciam.cisco.

• Indirizzo IP server/nome di dominio completo (FQDN): indirizzo IP o FQDN utilizzato per raggiungere il server Microsoft. Se si utilizza un FQDN, è necessario configurare un server DNS all'interno di ASA e il proxy Duo Auth per risolvere l'FQDN. In questa guida alla configurazione, il valore è agarciam.cisco, che corrisponde a 10.28.17.107.

• Porta server: La porta utilizzata dal servizio LDAP. Per impostazione predefinita, LDAP e STARTTLS utilizzano la porta TCP 389 per LDAP, mentre LDAP over SSL (LDAPS) utilizza la porta TCP 636.

• CA radice: Se si utilizza LDAPS o STARTTLS, è necessaria la CA radice utilizzata per firmare il certificato SSL utilizzato da LDAPS.

• Nome utente e password directory: Questo è l'account usato dal server proxy Duo Auth per eseguire il binding al server LDAP e per autenticare e cercare utenti e gruppi.

• Nome distinto (DN) di base e gruppo: Il DN di base è il punto di partenza per il proxy Duo Auth e avvisa Active Directory di iniziare la ricerca e l'autenticazione degli utenti.

---

In questa guida alla configurazione, il dominio radice agarciam.cisco viene utilizzato come DN di base e il DN gruppo è Duo-USERS.

---

1. Per aggiungere un nuovo utente Duo in Windows Server, passare all'icona Windows in basso a sinistra e fare clic su Strumenti di amministrazione di Windows:

---

---

2. Nella finestra Strumenti di amministrazione di Windows passare a Utenti e computer di Active Directory. 

---

3. Nel pannello Utenti e computer di Active Directory, espandere l'opzione dominio e passare alla cartella Utenti.

---

4. Nell'esempio di configurazione, Duo-USERS è utilizzato come gruppo di destinazione per l'autenticazione secondaria.

---

---

5. Fare clic con il pulsante destro del mouse sulla cartella Users (Utenti) e selezionare New > User: (Nuovo > Utente).

---

---

6. Nella finestra Nuovo oggetto-utente, specificare gli attributi di identità per il nuovo utente e fare clic su Avanti:

---

---

7. Confermare la password e fare clic su Avanti, quindi su Fine una volta verificate le informazioni utente.

---

---

8. Assegnare il nuovo utente a un gruppo specifico, fare clic con il pulsante destro del mouse e selezionare Aggiungi a un gruppo:

---

---

9. Nel pannello Seleziona gruppi, digitare il nome del gruppo desiderato e fare clic su Controlla nomi. Quindi, selezionare il nome che corrisponde ai criteri e fare clic su OK.

---

---

10. Utente utilizzato nel presente documento come esempio.

---

Duo Configurations

1. Accedere al portale Duo Admin.

---

---

2. Nel riquadro a sinistra, passare a Utenti, fare clic su Aggiungi utente e digitare il nome dell'utente che corrisponde al nome utente di Active Domain, quindi fare clic su Aggiungi utente.

---

---

3. Nel nuovo pannello utente, inserire tutte le informazioni necessarie.

---

---

4. In Periferiche utente specificare il metodo di autenticazione secondaria.

---

Nota: In questo documento viene utilizzato il metodo Duo push per dispositivi mobili, quindi è necessario aggiungere un dispositivo telefonico.

---

5. Fare clic su Aggiungi telefono.

---

---

6. Digitare il numero di telefono dell'utente e fare clic su Aggiungi telefono.

---

---

7. Nel pannello di sinistra Duo Admin, passare a Users e fare clic sul nuovo utente.

---

---

---

 8. Passare alla sezione Telefoni e fare clic su Attiva Duo Mobile.

---

---

9. Fare clic su Generate Duo Mobile Activation Code.

---

---

10. Selezionare Email per ricevere le istruzioni via e-mail, digitare l'indirizzo e-mail e fare clic su Send Instructions by email.

---

---

11. L'utente riceve un'e-mail con le istruzioni.

---

---

12. Aprire Duo Mobile App dal dispositivo mobile e fare clic su Aggiungi, quindi selezionare Usa codice QR e digitalizzare il codice dall'e-mail.

---

13. Il nuovo utente viene aggiunto alla tua Duo Mobile App.

---

Duo Auth Proxy Configuration

1. Scaricare e installare Duo Auth Proxy Manager da Cisco Duo Authentication.

---

Nota: In questo documento, Duo Auth Proxy Manager viene installato sullo stesso server Windows che ospita i servizi Active Directory. 

---

2. Nel Pannello Duo Admin, passare ad Applicazioni e fare clic su Proteggi un'applicazione.

---

---

3. Sulla barra di ricerca, cerca Cisco ISE Radius.

---

---

4. Copiare la chiave di integrazione, la chiave segreta e il nome host dell'API. Queste informazioni sono necessarie per la configurazione del proxy di autenticazione Duo.

---

---

5. Eseguire l'applicazione Duo Authentication Proxy Manager e completare la configurazione sia per il client Active Directory che per ISE Radius Server, quindi fare clic su Convalida.

---

Nota: se la convalida ha esito negativo, fare riferimento alla scheda debug per i dettagli e correggerla di conseguenza.

---

---

Cisco ISE Configurations

1. Accedere al portale di amministrazione di ISE.

---

2. Espandere la scheda Cisco ISE e passare ad Amministrazione, quindi fare clic su Risorse di rete, quindi fare clic su Server RADIUS esterni.

---

---

3. Nella scheda Server Radius esterni, fare clic su Aggiungi.

---

---

4. Compilare il campo vuoto con la configurazione RADIUS utilizzata in Duo Authentication Proxy Manager e fare clic su Invia.

---

---

5. Passare alla scheda Sequenze server RADIUS e fare clic su Aggiungi.

---

---

6. Specificare il nome della sequenza e assegnare il nuovo server esterno RADIUS, quindi fare clic su Invia.

---

---

7. Passare dal menu del dashboard a Criterio, quindi fare clic su Set di criteri.

---

---

8. Assegnate la sequenza RADIUS al criterio di default.

---

Nota: La sequenza duo a tutte le connessioni viene applicata con il criterio predefinito utilizzato; l'assegnazione dei criteri può variare.

---

---

Configurazione Cisco ASA RADIUS/ISE

1. Per configurare il server RADIUS ISE nei gruppi di server AAA, passare a Configurazione, quindi fare clic su Gestione dispositivi, espandere la sezione Utenti/AAA e selezionare i gruppi di server AAA.

---

---

2. Nel pannello Gruppi di server AAA, fare clic su Aggiungi.

---

---

3. Selezionare il nome del gruppo di server e specificare RADIUS come protocollo da utilizzare, quindi fare clic su OK.

---

---

5. Selezionare il nuovo gruppo di server e fare clic su Aggiungi sotto Server nel pannello Gruppo selezionato:

---

---

6. Nella finestra Modifica server AAA, selezionare il nome dell'interfaccia, specificare l'indirizzo IP del server ISE e digitare la chiave privata RADIUS, quindi fare clic su OK.

---

Nota: Tutte le informazioni devono corrispondere a quelle specificate in Duo Authentication Proxy Manager.

---

---

Configurazione dalla CLI

aaa-server ISE protocol radius
 dynamic-authorization
aaa-server ISE (outside) host 10.28.17.101
 key *****

---

Configurazione VPN di accesso remoto Cisco ASA

ip local pool agarciam-pool 192.168.17.1-192.168.17.100 mask 255.255.255.0

group-policy DUO internal
group-policy DUO attributes
 banner value This connection is for DUO authorized users only!
 vpn-tunnel-protocol ikev2 ssl-client 
 split-tunnel-policy tunnelspecified
 split-tunnel-network-list value split-agarciam
 address-pools value agarciam-pool

tunnel-group ISE-users type remote-access
tunnel-group ISE-users general-attributes
 address-pool agarciam-pool
 authentication-server-group ISE
 default-group-policy DUO
tunnel-group ISE-users webvpn-attributes
 group-alias ISE enable
 dns-group DNS-CISCO

---

Test

1. Apri l'app Cisco Secure Client/AnyConnect sul PC. Specificare il nome host dell'headend VPN ASA e accedere con l'utente creato per l'autenticazione secondaria Duo, quindi fare clic su OK.

---

---

2. Si riceve una notifica push Duo sul dispositivo mobile Duo dell'utente specificato.

---

3. Aprire la notifica di Duo Mobile App e fare clic su Approva.

---

---

4. Accettare il banner e stabilire la connessione.

---

---

---

Risoluzione dei problemi

In questa sezione vengono fornite informazioni utili per risolvere i problemi di configurazione. Duo Authentication Proxy viene fornito con uno strumento di debug che visualizza i motivi dell'errore.

---

Debug in esecuzione

---

Nota: Le informazioni seguenti sono archiviate in C:\Program Files\Duo Proxy di autenticazione di sicurezza\log\connectivity_tool.log.

---

---

Problemi comuni

1. Problemi di connettività, IP errato, FQDN/nome host non risolvibile nella configurazione di Active Directory

---

2. Password errata per l'utente amministratore in Active Directory

---

Debug:

---

3. Dominio di base errato

---

Debug:

---

4. Valore RADIUS iKey errato

---

Debug:

---

5. Verificare che il server ISE invii pacchetti di richiesta di accesso

---

6. Utilizzare l'utilità NTRadPing per verificare che il proxy di autenticazione Duo funzioni

Per verificare il corretto funzionamento del server proxy Duo Authentication, Duo fornisce lo strumento NTRadPing per simulare i pacchetti di richiesta di accesso e le risposte con Duo.

     6.1 Installare NTRadPing su un PC diverso e generare traffico.

---

Nota: Nell'esempio viene utilizzato il computer Windows 10.28.17.3.

---

     6.2 Eseguire la configurazione con gli attributi utilizzati nella configurazione ISE Radius.

---

     6.3 Configurare Duo Authentication Proxy Manager come nell'esempio seguente:

---

     6.4. Passare allo strumento NTRadPing e fare clic su Invia. Si riceve una notifica push Duo sul dispositivo mobile assegnato.