Sommario

Introduzione

Prerequisiti

Requisiti

Componenti usati

Configurazione

Esempio di rete

Configurazioni

Configurazione dello chassis FXOS

Configurazione del server ISE

Verifica

Verifica chassis FXOS

Verifica ISE 2.0

Risoluzione dei problemi

Informazioni correlate

Introduzione

In questo documento viene descritto come configurare l'autenticazione e l'autorizzazione RADIUS per lo chassis Firepower eXtensible Operating System (FXOS) tramite Identity Services Engine (ISE).

Lo chassis FXOS include i seguenti ruoli utente:

- Amministratore: accesso completo in lettura e scrittura all'intero sistema. All'account amministratore predefinito viene assegnato questo ruolo per impostazione predefinita e non può essere modificato.

- Sola lettura - Accesso in sola lettura alla configurazione del sistema senza privilegi per la modifica dello stato del sistema.

- Operazioni: accesso in lettura e scrittura alla configurazione NTP, alla configurazione di Smart Call Home per Smart Licensing e ai registri di sistema, inclusi i server syslog e i relativi errori. Accesso in lettura al resto del sistema.

- AAA: accesso in lettura e scrittura a utenti, ruoli e configurazione AAA. Accesso in lettura al resto del sistema.

Dalla CLI, questa condizione può essere vista come segue:

fpr4120-TAC-A /security* # show role

Ruolo:

Priv nome ruolo

—

aaa aaa

admin admin

operazioni

sola lettura

Contributo di Tony Remirez, Jose Soto, Cisco TAC Engineers.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

- Conoscenza di Firepower eXtensible Operating System (FXOS)

- Conoscenza della configurazione ISE

Componenti usati

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

- Cisco Firepower 4120 Security Appliance versione 2.2

- Virtual Cisco Identity Services Engine 2.2.0.470

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Configurazione

L'obiettivo della configurazione è:

- Autenticazione degli utenti che accedono alla GUI e SSH basata sul Web di FXOS tramite ISE

- Permette agli utenti di accedere alla GUI basata sul Web di FXOS e al protocollo SSH in base al loro ruolo con ISE.

- Verificare il corretto funzionamento dell'autenticazione e dell'autorizzazione su FXOS tramite ISE

Esempio di rete

Configurazioni

Configurazione dello chassis FXOS

Creazione di un provider RADIUS mediante Chassis Manager

Passaggio 1. Passare a Impostazioni piattaforma > AAA.

Passaggio 2. Fare clic sulla scheda RADIUS.

Passaggio 3. Per ogni provider RADIUS che si desidera aggiungere (fino a 16 provider).

3.1. Nell'area Provider RADIUS, fare clic su Aggiungi.

3.2. Una volta aperta la finestra di dialogo Aggiungi provider RADIUS, immettere i valori richiesti.

3.3. Fare clic su OK per chiudere la finestra di dialogo Aggiungi provider RADIUS.

Passaggio 4. Fare clic su Salva.

Passaggio 5. Passare a Sistema > Gestione utente > Impostazioni.

Passaggio 6. In Autenticazione predefinita scegliere RADIUS.

Creazione di un provider RADIUS tramite CLI

Passaggio 1. Per abilitare l'autenticazione RADIUS, eseguire i comandi seguenti.

fpr4120-TAC-A# ambito sicurezza

fpr4120-TAC-A /security # ambito default-auth

fpr4120-TAC-A /security/default-auth # set realm radius

Passaggio 2. Utilizzare il comando show detail per visualizzare i risultati.

fpr4120-TAC-A /security/default-auth # show detail

Autenticazione predefinita:

Area di autenticazione amministrativa: Raggio

Area operativa: Raggio

Periodo di aggiornamento sessione Web (sec): 600

Timeout sessione (in sec) per sessioni Web, ssh e telnet: 600

Timeout sessione assoluta (in secondi) per sessioni Web, ssh e telnet: 3600

Timeout sessione console seriale (sec): 600

Timeout sessione assoluta console seriale (sec): 3600

Gruppo server Autenticazione amministratore:

Gruppo server di autenticazione operativo:

Utilizzo del secondo fattore: No

Passaggio 3. Per configurare i parametri del server RADIUS, eseguire i comandi seguenti.

fpr4120-TAC-A# ambito sicurezza

fpr4120-TAC-A /security # raggio ambito

fpr4120-TAC-A /security/radius # invio al server 10.88.244.50

fpr4120-TAC-A /security/radius/server # set descr "ISE Server"

fpr4120-TAC-A /security/radius/server* # set key

Immettere la chiave: *****

Confermare la chiave: *****

Passaggio 4. Per visualizzare i risultati, utilizzare il comando show detail.

fpr4120-TAC-A /security/radius/server* # show detail

Server RADIUS:

Nome host, FQDN o indirizzo IP: 10.88.244.50

Descr.:

Ordine: 1

Auth Port (Porta autenticazione): 1812

Chiave: ****

Timeout: 5

Configurazione del server ISE

Aggiunta di FXOS come risorsa di rete

Passaggio 1. Passare a Amministrazione > Risorse di rete > Dispositivi di rete.

Passaggio 2. Fare clic su ADD

Passaggio 3. Inserire i valori richiesti (Nome, Indirizzo IP, Tipo di dispositivo, Attiva RADIUS e aggiungere la CHIAVE), quindi fare clic su Submit (Invia).

Creazione di gruppi di identità e utenti

Passo 1: passare a Amministrazione > Gestione delle identità > Gruppi > Gruppi identità utente.

Passaggio 2. Fare clic su ADD.

Passaggio 3. Immettere il valore per Nome e fare clic su Sottometti.

Passaggio 4. Ripetere il passaggio 3 per tutti i ruoli utente richiesti.

Passaggio 5. Passare a Amministrazione > Gestione delle identità > Identità > Utenti.

Passaggio 6. Fare clic su ADD.

Passaggio 7. Inserire i valori richiesti (Nome, Gruppo di utenti, Password).

Passaggio 8. Ripetere il passaggio 6 per tutti gli utenti richiesti.

Creazione del profilo di autorizzazione per ogni ruolo utente

Passaggio 1. Andare a Policy > Policy Elements > Results > Authorization > Authorization Profiles (Policy > Elementi della policy > Risultati > Autorizzazione > Profili di autorizzazione).

Passaggio 2. Inserire tutti gli attributi per il profilo di autorizzazione.

2.1. Configurare il nome del profilo.

2.2. In Advanced Attributes Settings configurare la seguente coppia CISCO-AV

cisco-av-pair=shell:roles="admin"

2.3. Fare clic su Salva.

Passaggio 3. Ripetere il passaggio 2 per i ruoli utente rimanenti utilizzando le seguenti coppie Cisco-AV

cisco-av-pair=shell:roles="aaa"

cisco-av-pair=shell:roles="operazioni"

cisco-av-pair=shell:roles="sola lettura"

Creazione del criterio di autenticazione

Passaggio 1. Passare a Criterio > Autenticazione > E fare clic sulla freccia accanto a Modifica nel punto in cui si desidera creare la regola.

Passaggio 2. L'impostazione è semplice; è possibile eseguire un'operazione più granulare, ma per questo esempio verrà utilizzato il tipo di dispositivo:

Nome: REGOLA DI AUTENTICAZIONE FXOS

IF Seleziona nuovo attributo/valore: Dispositivo:Tipo di dispositivo uguale a Tutti i tipi di dispositivo #FXOS

Consenti protocolli: Accesso alla rete predefinito

Utilizzo: Utenti interni

Creazione del criterio di autorizzazione

Passaggio 1. Passare a Criterio > Autorizzazione > E fare clic sulla freccia accanto a Modifica nel punto in cui si desidera creare la regola.

Passaggio 2. Inserire i valori per la regola di autorizzazione con i parametri obbligatori.

2.1. Nome della regola: Regola Fxos <RUOLO UTENTE>.

2.2. Se: Gruppi di identità utente > Seleziona <RUOLO UTENTE>.

2.3. E: Crea nuova condizione > Periferica:Tipo di periferica uguale a Tutti i tipi di periferica #FXOS.

2.4. Autorizzazioni: Standard > Scegli profilo ruolo utente

Passaggio 3. Ripetere il passaggio 2 per tutti i ruoli utente.

Passaggio 4. Fare clic su Save in fondo alla pagina.

Verifica

È ora possibile eseguire il test di ogni utente e verificare il ruolo utente assegnato.

Verifica chassis FXOS

1. Telnet o SSH sullo chassis FXOS e accedere con uno degli utenti creati sull'ISE.

Username: fxosadmin

Password:

fpr4120-TAC-A# scope security

fpr4120-TAC-A /security # show remote-user detail

Utente remoto fxosaaa:

Descrizione:

Ruoli utente:

Nome: aaa

Nome: read-only

Utente remoto fxosadmin:

Descrizione:

Ruoli utente:

Nome: admin

Nome: read-only

Fxosoper utente remoto:

Descrizione:

Ruoli utente:

Nome: operazioni

Nome: read-only

Fxosro utente remoto:

Descrizione:

Ruoli utente:

Nome: read-only

A seconda del nome utente immesso, nella cli dello chassis FXOS verranno visualizzati solo i comandi autorizzati per il ruolo utente assegnato.

Ruolo utente amministratore.

fpr4120-TAC-A /security # ?

conferma conferma conferma

clear-user-session Cancella sessioni utente

creazione Creazione di oggetti gestiti

delete Elimina oggetti gestiti

disabilita Disabilita i servizi

abilita Abilita i servizi

enter Immette un oggetto gestito

scope Modifica la modalità corrente

impostare i valori delle proprietà

show Mostra informazioni di sistema

termina sessioni Active Cisco

fpr4120-TAC-A#connect fxos

fpr4120-TAC-A (fxos)# debug aaa-request

fpr4120-TAC-A (fxos)#

Ruolo Utente Di Sola Lettura.

fpr4120-TAC-A /security # ?

scope Modifica la modalità corrente

impostare i valori delle proprietà

show Mostra informazioni di sistema

fpr4120-TAC-A#connect fxos

fpr4120-TAC-A (fxos)# debug aaa-request

% Autorizzazione negata per il ruolo

2. Selezionare l'indirizzo IP dello chassis FXOS e accedere usando uno degli utenti creati sull'ISE.

Ruolo utente amministratore.

Ruolo utente di sola lettura.

Nota: Il pulsante ADD è disattivato.

Verifica ISE 2.0

1. Passare a Operazioni > RADIUS > Live Log. Dovrebbe essere possibile visualizzare i tentativi riusciti e quelli non riusciti.

Risoluzione dei problemi

Per eseguire il debug dell'autenticazione e dell'autorizzazione AAA, eseguire i seguenti comandi nella cli di FXOS.

fpr4120-TAC-A#connect fxos

fpr4120-TAC-A (fxos)# debug aaa-request

fpr4120-TAC-A (fxos)# evento debug aaa

fpr4120-TAC-A (fxos)# errori debug aaa

fpr4120-TAC-A (fxos)# termine mon

Dopo un tentativo di autenticazione riuscito, verrà visualizzato l'output seguente.

2018 gen 20 17:18:02,410275 aaa: aaa_req_process per l'autenticazione. sessione n. 0

2018 gen 20 17:18:02,410297 aaa: aaa_req_process: Richiesta generale AAA da parte dell'appn: login sottotipo_applicazione: predefinito

2018 gen 20 17:18:02,410310 aaa: try_next_aaa_method

2018 gen 20 17:18:02,410330 aaa: il numero totale di metodi configurati è 1, l'indice corrente da provare è 0

2018 gen 20 17:18:02,410344 aaa: handle_req_using_method

2018 gen 20 17:18:02,410356 aaa: AAA_METHOD_SERVER_GROUP

2018 gen 20 17:18:02,410367 aaa: gruppo aaa_sg_method_handler = raggio

2018 gen 20 17:18:02,410379 aaa: Utilizzo di sg_protocol passato a questa funzione

2018 gen 20 17:18:02,410393 aaa: Invio della richiesta al servizio RADIUS

2018 gen 20 17:18:02,412944 aaa: mts_send_msg_to_port_daemon: Lunghezza payload = 374

2018 gen 20 17:18:02,412973 aaa: sessione: 0x8dfd68c aggiunto alla tabella delle sessioni 1

2018 gen 20 17:18:02,412987 aaa: Gruppo di metodi configurato completato

2018 gen 20 17:18:02,656425 aaa: aaa_process_fd_set

2018 gen 20 17:18:02,656447 aaa: aaa_process_fd_set: mtscallback su aaa_q

2018 gen 20 17:18:02,656470 aaa: mts_message_response_handler: risposta mts

2018 gen 20 17:18:02,656483 aaa: gestore_risposta_daemon

2018 gen 20 17:18:02,656497 aaa: sessione: 0x8dfd68c rimosso dalla tabella delle sessioni 0

2018 gen 20 17:18:02,656512 aaa: is_aaa_resp_status_success status = 1

2018 gen 20 17:18:02,656525 aaa: is_aaa_resp_status_success è TRUE

2018 gen 20 17:18:02,656538 aaa: aaa_send_client_response per l'autenticazione. session->flags=21. aaa_resp->flags=0.

2018 gen 20 17:18:02,656550 aaa: AAA_REQ_FLAG_NORMAL

2018 gen 20 17:18:02,656577 aaa: mts_send_response riuscito

2018 gen 20 17:18:02,700520 aaa: aaa_process_fd_set: mtscallback su aaa_accounting_q

2018 gen 20 17:18:02,700688 aaa: CODICE OPERATIVO PRECEDENTE: accounting_interim_update

2018 gen 20 17:18:02,700702 aaa: aaa_create_local_acct_req: user=, session_id=, log=added user fxosro

2018 gen 20 17:18:02,700725 aaa: aaa_req_process per l'accounting. sessione n. 0

2018 gen 20 17:18:02,700738 aaa: Il riferimento alla richiesta MTS è NULL. richiesta LOCALE

2018 gen 20 17:18:02,700749 aaa: Impostazione di AAA_REQ_RESPONSE_NOT_NEEDED

2018 gen 20 17:18:02,700762 aaa: aaa_req_process: Richiesta generale AAA da parte dell'appn: default appln_subtype: predefinito

2018 gen 20 17:18:02,700774 aaa: try_next_aaa_method

2018 gen 20 17:18:02,700798 aaa: nessun metodo configurato per l'impostazione predefinita

2018 gen 20 17:18:02,700810 aaa: nessuna configurazione disponibile per questa richiesta

2018 gen 20 17:18:02,700997 aaa: aaa_send_client_response per accounting. session->flags=254. aaa_resp->flags=0.

2018 gen 20 17:18:02,701010 aaa: la risposta per la richiesta di accounting della libreria precedente verrà inviata come SUCCESS

2018 gen 20 17:18:02,701021 aaa: risposta non necessaria per la richiesta

2018 gen 20 17:18:02,701033 aaa: AAA_REQ_FLAG_LOCAL_RESP

2018 gen 20 17:18:02,701044 aaa: sessione_pulizia_aaa

2018 gen 20 17:18:02,701055 aaa: aaa_req deve essere liberato.

2018 gen 20 17:18:02,701067 aaa: Metodo di fallback locale riuscito

2018 gen 20 17:18:02,706922 aaa: aaa_process_fd_set

2018 gen 20 17:18:02,706937 aaa: aaa_process_fd_set: mtscallback su aaa_accounting_q

2018 gen 20 17:18:02,706959 aaa: CODICE OPERATIVO PRECEDENTE: accounting_interim_update

2018 gen 20 17:18:02,706972 aaa: aaa_create_local_acct_req: user=, session_id=, log=added user:fxosro to the role:read-only

Dopo un tentativo di autenticazione non riuscito, verrà visualizzato l'output seguente.

2018 gen 20 17:15:18,102130 aaa: aaa_process_fd_set

2018 gen 20 17:15:18,102149 aaa: aaa_process_fd_set: mtscallback su aaa_q

2018 gen 20 17:15:18,102267 aaa: aaa_process_fd_set

2018 gen 20 17:15:18,102281 aaa: aaa_process_fd_set: mtscallback su aaa_q

2018 gen 20 17:15:18,102363 aaa: aaa_process_fd_set

2018 gen 20 17:15:18,102377 aaa: aaa_process_fd_set: mtscallback su aaa_q

2018 gen 20 17:15:18,102456 aaa: aaa_process_fd_set

2018 gen 20 17:15:18,102468 aaa: aaa_process_fd_set: mtscallback su aaa_q

2018 gen 20 17:15:18,102489 aaa: mts_aaa_req_process

2018 gen 20 17:15:18,102503 aaa: aaa_req_process per l'autenticazione. sessione n. 0

2018 gen 20 17:15:18,102526 aaa: aaa_req_process: Richiesta generale AAA da parte dell'appn: login sottotipo_applicazione: predefinito

2018 gen 20 17:15:18,102540 aaa: try_next_aaa_method

2018 gen 20 17:15:18,102562 aaa: il numero totale di metodi configurati è 1, l'indice corrente da provare è 0

2018 gen 20 17:15:18,102575 aaa: handle_req_using_method

2018 gen 20 17:15:18,102586 aaa: AAA_METHOD_SERVER_GROUP

2018 gen 20 17:15:18,102598 aaa: gruppo aaa_sg_method_handler = raggio

2018 gen 20 17:15:18,102610 aaa: Utilizzo di sg_protocol passato a questa funzione

2018 gen 20 17:15:18,102625 aaa: Invio della richiesta al servizio RADIUS

2018 gen 20 17:15:18,102658 aaa: mts_send_msg_to_port_daemon: Lunghezza payload = 371

2018 gen 20 17:15:18,102684 aaa: sessione: 0x8dfd68c aggiunto alla tabella delle sessioni 1

2018 gen 20 17:15:18,102698 aaa: Gruppo di metodi configurato completato

2018 gen 20 17:15:18,273682 aaa: aaa_process_fd_set

2018 gen 20 17:15:18,273724 aaa: aaa_process_fd_set: mtscallback su aaa_q

2018 gen 20 17:15:18,273753 aaa: mts_message_response_handler: risposta mts

2018 gen 20 17:15:18,273768 aaa: gestore_risposta_daemon

2018 gen 20 17:15:18,273783 aaa: sessione: 0x8dfd68c rimosso dalla tabella delle sessioni 0

2018 gen 20 17:15:18,273801 aaa: is_aaa_resp_status_success status = 2

2018 gen 20 17:15:18,273815 aaa: is_aaa_resp_status_success è TRUE

2018 gen 20 17:15:18,273829 aaa: aaa_send_client_response per l'autenticazione. session->flags=21. aaa_resp->flags=0.

2018 gen 20 17:15:18,273843 aaa: AAA_REQ_FLAG_NORMAL

2018 gen 20 17:15:18,273877 aaa: mts_send_response riuscito

2018 gen 20 17:15:18,273902 aaa: sessione_pulizia_aaa

2018 gen 20 17:15:18,273916 aaa: mts_drop del messaggio di richiesta

2018 gen 20 17:15:18,273935 aaa: aaa_req deve essere liberato.

2018 gen 20 17:15:18,280416 aaa: aaa_process_fd_set

2018 gen 20 17:15:18,280443 aaa: aaa_process_fd_set: mtscallback su aaa_q

2018 gen 20 17:15:18,280454 aaa: aaa_enable_info_config: GET_REQ per il messaggio di errore di accesso aaa

2018 gen 20 17:15:18,280460 aaa: è stato restituito il valore restituito dell'operazione di configurazione:elemento di sicurezza sconosciuto

Informazioni correlate

Il comando Ethanalyzer sulla cli di FX-OS richiederà una password quando l'autenticazione TACACS/RADIUS è abilitata. Questo comportamento è causato da un bug.

ID bug: CSCvg87518