Sommario

Introduzione

Prerequisiti

Requisiti

Componenti usati

Configurazione

Esempio di rete

Configurazioni

Configura LDAP

Configurazione degli switch

Configurazione di ISE

Verifica

Risoluzione dei problemi

Introduzione

In questo documento viene descritto come configurare Cisco Identity Services Engine (ISE) e utilizzare gli attributi degli oggetti LDAP (Lightweight Directory Access Protocol) per autenticare e autorizzare i dispositivi in modo dinamico.

Nota: Questo documento è valido per le configurazioni che usano LDAP come origine identità esterna per l'autenticazione e l'autorizzazione ISE.

Contributo di Emmanuel Cano e Mauricio Ramos Cisco Professional Services Engineer.

A cura di Neri Cruz Cisco TAC Engineer.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

- Conoscenze base dei set di policy, dell'autenticazione e delle policy di autorizzazione ISE

- Mac Authentication Bypass (MAB)

- Conoscenze base del protocollo Radius

- Conoscenze base di Windows Server

Componenti usati

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

- Cisco ISE, versione 2.4 patch 11

- Microsoft Windows Server, versione 2012 R2 x64

- Cisco Switch Catalyst 3650-24PD, versione 03.07.05.E (15.2(3)E5)

- computer con Microsoft Windows 7

Nota: Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Configurazione

In questa sezione viene descritto come configurare i dispositivi di rete, l'integrazione tra ISE e LDAP e infine come configurare gli attributi LDAP da utilizzare nella policy di autorizzazione ISE.

Esempio di rete

Nell'immagine è illustrata la topologia di rete utilizzata:

Di seguito è riportato il flusso del traffico, come mostrato nello schema della rete:

1. L'utente collega il PC/notebook alla porta dello switch designata.

2. Lo switch invia una richiesta di accesso Radius per l'utente all'ISE

3. Quando l'ISE riceve le informazioni, interroga il server LDAP per il campo utente specifico, che contiene gli attributi da utilizzare nelle condizioni del criterio di autorizzazione.

4. Una volta ricevuti gli attributi (porta dello switch, nome dello switch e indirizzo MAC del dispositivo), ISE confronta le informazioni fornite dallo switch.

5. Se le informazioni sugli attributi fornite dallo switch sono le stesse di quelle fornite da LDAP, ISE invierà un messaggio di autorizzazione RADIUS con le autorizzazioni configurate nel profilo di autorizzazione.

Configurazioni

Utilizzare questa sezione per configurare il protocollo LDAP, lo switch e l'ISE.

Configurazione LDAP

Per configurare il server LDAP, effettuare le seguenti operazioni:

1. Passare a Server Manager > Dashboard > Strumenti > Modifica ADSI

2. Fare clic con il pulsante destro del mouse sull'icona Modifica ADSI e selezionare Connetti a...

3. In Impostazioni connessione definire un nome e selezionare il pulsante OK per avviare la connessione.

4. Nello stesso menu Modifica ADSI, fare clic con il pulsante destro del mouse su Connessione DC (DC=ciscodemo, DC=lab), selezionare Nuovo, quindi selezionare l'opzione Oggetto

5. Selezionare l'opzione OrganizationalUnit come nuovo oggetto e selezionare avanti.

6. Definire un nome per la nuova unità organizzativa e selezionare Avanti

7. Selezionare Fine per creare la nuova unità organizzativa

8. Fare clic con il pulsante destro del mouse sull'unità organizzativa appena creata e selezionare Nuovo > Oggetto

9.Selezionare device (dispositivo) come object class (classe oggetto), quindi selezionare avanti

10.Definire un nome nel campo Valore e selezionare Successivo

11. Selezionare l'opzione Altri attributi

11. Per il menu a discesa, Selezionare una proprietà da visualizzare, selezionare l'opzione macAddress, quindi definire l'indirizzo Mac dell'endpoint che verrà autenticato nel campo Modifica attributo e selezionare Pulsante Aggiungi per salvare l'indirizzo MAC del dispositivo.

Nota: tra gli ottetti dell'indirizzo MAC è possibile utilizzare due punti anziché punti o trattini.

12. Selezionare OK per salvare le informazioni e continuare con la configurazione dell'oggetto dispositivo

13. Selezionare Finish (Fine) per creare il nuovo oggetto dispositivo

14. Fare clic con il pulsante destro del mouse sull'oggetto dispositivo e selezionare l'opzione Properties

15. Selezionare l'opzione description (Descrizione) e selezionare Edit (Modifica) per definire il nome dello switch e la porta dello switch a cui verrà connesso il dispositivo.

16. Definire il nome dello switch e la porta dello switch. Utilizzare una virgola per separare ciascun valore. Selezionare Aggiungi, quindi OK per salvare le informazioni.

- Switchapflexconnect è il nome dello switch.

- Gigabit Ethernet1/0/6 è la porta dello switch a cui è connesso l'endpoint.

Nota: È possibile utilizzare gli script per aggiungere attributi a un campo specifico. Tuttavia, in questo esempio i valori vengono definiti manualmente

Nota: L'attributo AD fa distinzione tra maiuscole e minuscole, se si utilizzano tutti gli indirizzi Mac in lettere minuscole, ISE viene convertito in lettere maiuscole durante la query LDAP. Per evitare questo comportamento, disabilitare Ricerca host processi nei protocolli consentiti. Ulteriori informazioni sono disponibili al seguente link:https://www.cisco.com/c/en/us/td/docs/security/ise/3-0/admin_guide/b_ISE_admin_3_0.pdf

Configurazione degli switch

Di seguito viene descritta la configurazione della comunicazione 802.1x tra ISE e lo switch.

aaa new-model

!

aaa group server radius ISE

server name ISE

deadtime 15

!

aaa authentication dot1x default group ISE

aaa authorization network default group ISE

aaa accounting update newinfo

aaa accounting dot1x default start-stop group ISE

!

aaa server radius dynamic-author

client 10.81.127.109 server-key XXXXabc

!

aaa session-id common

switch 1 provision ws-c3650-24pd

!

dot1x system-auth-control

dot1x critical eapol

diagnostic bootup level minimal

spanning-tree mode rapid-pvst

spanning-tree extend system-id

hw-switch switch 1 logging onboard message level 3

!

interface GigabitEthernet1/0/6

description VM for dot1x

switchport access vlan 127

switchport mode access

authentication event fail action next-method

authentication event server dead action authorize vlan 127

authentication event server alive action reinitialize

authentication host-mode multi-domain

authentication open

authentication order dot1x mab

authentication priority dot1x mab

authentication port-control auto

authentication periodic

authentication timer reauthenticate server

authentication timer inactivity server dynamic

authentication violation restrict

mab

dot1x pae authenticator

dot1x timeout tx-period 10

spanning-tree portfast

!

radius server ISE

address ipv4 10.81.127.109 auth-port 1812 acct-port 1813

automate-tester username radiustest idle-time 5

key XXXXabc

!

Nota: Potrebbe essere necessario modificare la configurazione globale e dell'interfaccia nell'ambiente in uso

Configurazione di ISE

Di seguito viene descritta la configurazione di ISE per ottenere gli attributi dal server LDAP e configurare le policy ISE.

1. Ad ISE, andare in Amministrazione->Gestione delle identità->Origini delle identità esterne e selezionare la cartella LDAP e fare clic su Aggiungi per creare una nuova connessione con LDAP

2.In Generale, definire un nome e selezionare l'indirizzo mac come Attributo nome soggetto

3. In Connessione configurare l'indirizzo IP, il DN di amministrazione e la password del server LDAP per ottenere una connessione riuscita.

Nota: La porta 389 è la porta predefinita utilizzata.

4. In Attributi scheda selezionare gli attributi macAddress e description, questi attributi verranno utilizzati nel criterio di autorizzazione

5. Per creare un protocollo consentito, passare a Criterio->Elementi della policy->Risultati->Autenticazione->Protocolli consentiti. Definire e selezionare Process Host Lookup e Allow PAP/ASCII come gli unici protocolli consentiti. Infine, selezionare Salva

6. Per creare un profilo di autorizzazione, passare a Criteri->Elementi criteri->Risultati->Autorizzazione->Profili di autorizzazione. Selezionare Aggiungi e definire le autorizzazioni da assegnare all'endpoint.

7.Andare a Policy-> Policy Set e creare un set di criteri usando la condizione predefinita Wired_MAB e il protocollo consentito creato nel passaggio 5.

8.Sotto il nuovo set di criteri creato creare un criterio di autenticazione utilizzando la libreria Wired_MAB predefinita e la connessione LDAP come sequenza di origine dell'identità esterna

9. In Criteri di autorizzazione definire un nome e creare una condizione composta utilizzando la descrizione dell'attributo LDAP, Radius NAS-Port-Id e NetworkDeviceName. Infine, aggiungere il profilo di autorizzazione creato nel passaggio 6.

Dopo aver applicato la configurazione, è possibile connettersi alla rete senza l'intervento dell'utente.

Verifica

Una volta connessi alla porta dello switch designata, è possibile digitare show authentication session interface Gigabit Ethernet X/X/X details per convalidare lo stato di autenticazione e autorizzazione del dispositivo.

Sw3650-mauramos#show auth sess inter gi 1/0/6 details

Interface:   GigabitEthernet1/0/6

IIF-ID:   0x103DFC0000000B5

MAC Address:   6cb2.ae3a.686c

IPv6 Address:   Unknown

IPv4 Address:

User-name:   6C-B2-AE-3A-68-6C

Status:   Authorized

Domain:   Data

Oper host mode:   multi-domain

Oper control dir:   both

Session timeout:   N/A

Restart timeout:   N/A

Common Session ID:   0A517F65000013DA87E85A24

Acct session ID:   0x000015D9

Handle:   0x9300005C

Current Policy:   Policy_Gi1/0/6

Local Policies:

Service Template:  DEFAULT_LINKSEC_POLICY_SHOULD_SECURE (priority 150)

Security Policy:   Should Secure

Security Status:   Link Unsecure

Method status list:

Method           State

mab              Authc Success

ISE consente di usare Radius Live Logs per la conferma.

Risoluzione dei problemi

Sul server LDAP, verificare che l'indirizzo Mac, il nome dello switch e la porta dello switch del dispositivo creato siano stati configurati correttamente

Ad ISE, è possibile acquisire un pacchetto (andare a Operazioni->Risoluzione dei problemi->Strumento diagnostico->Dump TCP) per verificare che i valori vengano inviati da LDAP ad ISE