Configurazione del profilo Secure Client NAM su Windows con ISE

Opzioni per il download

  • PDF     (3.3 MB)
    Visualizza con Adobe Reader su diversi dispositivi
  • ePub     (3.4 MB)
    Visualizza in diverse app su iPhone, iPad, Android, Sony Reader o Windows Phone
  • Mobi (Kindle)     (2.4 MB)
    Visualizza su dispositivo Kindle o tramite app Kindle su più dispositivi
Aggiornato:26 agosto 2026
ID documento:222236

Linguaggio senza pregiudizi

La documentazione per questo prodotto è stata redatta cercando di utilizzare un linguaggio senza pregiudizi. Ai fini di questa documentazione, per linguaggio senza di pregiudizi si intende un linguaggio che non implica discriminazioni basate su età, disabilità, genere, identità razziale, identità etnica, orientamento sessuale, status socioeconomico e intersezionalità. Le eventuali eccezioni possono dipendere dal linguaggio codificato nelle interfacce utente del software del prodotto, dal linguaggio utilizzato nella documentazione RFP o dal linguaggio utilizzato in prodotti di terze parti a cui si fa riferimento. Scopri di più sul modo in cui Cisco utilizza il linguaggio inclusivo.

Informazioni su questa traduzione

Cisco ha tradotto questo documento utilizzando una combinazione di tecnologie automatiche e umane per offrire ai nostri utenti in tutto il mondo contenuti di supporto nella propria lingua. Si noti che anche la migliore traduzione automatica non sarà mai accurata come quella fornita da un traduttore professionista. Cisco Systems, Inc. non si assume alcuna responsabilità per l’accuratezza di queste traduzioni e consiglia di consultare sempre il documento originale in inglese (disponibile al link fornito).

Introduzione

In questo documento viene descritto come distribuire il profilo Cisco Secure Client Network Access Manager (NAM) tramite Identity Services Engine (ISE).

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

  • Criteri di postura
  • Identity Services Engine (ISE)
  • AnyConnect NAM ed Editor di profili
  • Configurazione Cisco Catalyst per servizi 802.1x

Componenti usati

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

  • Active Directory 2016
  • Cisco ISE versione 3.3 e successive
  • Cisco Catalyst 9200 Switch con Cisco IOS® XE 17.6.5 e versioni successive
  • Windows 10 con Cisco Secure Mobility Client 5.1.4.74 e versioni successive

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Premesse

L'autenticazione EAP-FAST si svolge in due fasi. Nella prima fase, EAP-FAST utilizza un handshake TLS per fornire e autenticare gli scambi di chiavi utilizzando oggetti TLV (Type-Length-Values) per stabilire un tunnel protetto. Questi oggetti TLV vengono utilizzati per trasmettere i dati relativi all'autenticazione tra il client e il server. Una volta stabilito il tunnel, la seconda fase inizia con il client e il nodo ISE impegnati in ulteriori conversazioni per stabilire i criteri di autenticazione e autorizzazione richiesti.

Il profilo di configurazione NAM è impostato per utilizzare EAP-FAST come metodo di autenticazione ed è disponibile per le reti definite dall'amministratore. Inoltre, è possibile configurare sia il tipo di connessione utente che il tipo di connessione computer all'interno del profilo di configurazione NAM. Il dispositivo Windows aziendale ottiene l'accesso completo aziendale utilizzando NAM con controllo postura. Il dispositivo Windows personale ottiene l'accesso a una rete con restrizioni utilizzando la stessa configurazione NAM.

In questo documento vengono fornite istruzioni per la distribuzione del profilo Cisco Secure Client Network Access Manager (NAM) tramite il portale delle posture di Identity Services Engine (ISE) tramite la distribuzione Web, insieme al controllo di conformità delle posture.

Configurazione

Esempio di rete

Network Diagram

Flusso di dati

Quando un PC si connette alla rete, ISE fornisce la policy di autorizzazione per il reindirizzamento al portale delle posture. Il traffico HTTP sul PC viene reindirizzato alla pagina ISE Client Provisioning, in cui l'applicazione NSA viene scaricata da ISE. L'NSA installa quindi i moduli dell'agente Secure Client sul PC. Al termine dell'installazione dell'agente, l'agente scarica il profilo Posture e il profilo NAM viene configurato su ISE.

L'installazione del modulo NAM attiva un riavvio del PC. Dopo il riavvio, il modulo NAM esegue l'autenticazione EAP-FAST in base al profilo NAM.
La scansione della postura viene quindi attivata e la conformità viene verificata in base alla policy ISE Posture.

Configura switch

Configurare lo switch di accesso per l'autenticazione e il reindirizzamento dot1x.

aaa new-model

raggio gruppo predefinito dot1x autenticazione aaa
raggio gruppo predefinito rete di autorizzazione aaa
raggio predefinito del gruppo start-stop aaa accounting dot1x
autore dinamico radius server aaa
client 10.127.197.53 chiave server Qwerty123
auth-type any

id sessione aaa comune
ip radius source-interface Vlan1000
attributo radius-server 6 on-for-login-auth
radius-server attributo 8 include-in-access-req
attributo radius-server 25 access-request include
attributo radius-server 31 mac format ietf maiuscolo
server RADIUS RAD1
address ipv4 <ISE server IP> auth-port 1812 acct-port 1813
key <chiave segreta>

dot1x system-auth-control

Configurare l'ACL di reindirizzamento per reindirizzare gli utenti al portale di provisioning del client ISE:

acl di reindirizzamento esteso ip access-list
10 nega udp a qualsiasi dominio eq
20 deny tcp any eq domain
30 deny udp any eq bootpc any eq bootps
40 deny ip any host <IP server ISE>
50 Permetti tcp any eq www
60 permettere tcp qualsiasi eq 443

Abilitare il rilevamento dei dispositivi e il reindirizzamento HTTP sullo switch:

criteri di rilevamento dispositivi <nome criteri di rilevamento dispositivi>
 attivazione tracciamento
interface <nome interfaccia>
 device-tracking attach-policy <nome criterio di rilevamento dispositivi>

server http ip
ip http secure-server

Scarica il pacchetto Secure Client

Scaricare manualmente i file dell'Editor di profili, delle finestre Secure Client e del modulo di conformità Web dalla pagina di download del software Cisco. Sulla barra di ricerca del nome del prodotto, digitare Secure Client 5. Download Home > Sicurezza > Sicurezza degli endpoint > Secure Client (incluso AnyConnect) > Secure Client 5 > AnyConnect VPN Client Software

  • cisco-secure-client-win-5.1.x-webdeploy-k9.pkg
  • cisco-secure-client-win-4.3.x-isecompliance-webdeploy-k9.pkg
  • tools-cisco-secure-client-win-5.1.x-profileeditor-k9.msi

Configurazione di ISE

Passaggio 1. Caricare il pacchetto su ISE

1. Per caricare i pacchetti di distribuzione Web Secure Client and Compliance Module su ISE, selezionare Workcenter > Postura > Client Provisioning > Risorse > Aggiungi > Risorse agente dal disco locale.

Upload the Package on ISE

Resources

Passaggio 2. Creazione di un profilo NAM dallo strumento Editor di profili

Per informazioni su come configurare un profilo NAM, fare riferimento alla guida Configure Secure Client NAM for Dot1x Using Windows and ISE 3.2.

Passaggio 3. Caricare il profilo NAM su ISE

1. Per caricare il file NAM Profile Configuration.xml su ISE come profilo dell'agente, selezionare Client Provisioning > Risorse > Risorse dell'agente dal disco locale.

Upload the NAM Profile on ISE

Passaggio 4. Creazione di un profilo di postura 

Create a Posture Profile

Posture Profile Created

1. Dalla sezione Protocollo postura, non dimenticare di aggiungere un asterisco (*) per consentire all'agente di connettersi a tutti i server.

Passaggio 5. Creazione della configurazione agente

Create Agent Configuration

1. Selezionare il pacchetto del client sicuro e del modulo di conformità caricato e sotto la selezione del modulo, selezionare i moduli ISE Posture, NAM e DART.

Upload Secure Client and Compliance Module Package

2. In Selezione profilo, scegliere il profilo Postura e NAM e fare clic su Sottometti.

Choose Posture and NAM Profile

Passaggio 6. Criterio di provisioning client

1. Creare un criterio di provisioning client per il sistema operativo Windows e selezionare la configurazione agente creata nel passaggio precedente.

Client Provisioning Policy

Passaggio 7. Criteri di postura

Per informazioni su come creare la policy e le condizioni sulla postura, consultare la guida alla distribuzione prescrittiva di ISE Posture.

Passaggio 8. Aggiungere un dispositivo di rete

Per aggiungere l'indirizzo IP dello switch e la chiave segreta condivisa Radius, selezionare Amministrazione > Risorse di rete.

Add Network Device

Shared Secret

Passaggio 9. Profilo di autorizzazione

1. Per creare un profilo di reindirizzamento della postura, passare a Criterio > Elementi criteri > Risultati.

Authorization Profile

2. In Operazioni comuni, selezionare il portale di provisioning client con ACL di reindirizzamento.

Select Client Provisioning Portal with Redirect ACL

Passaggio 10. Protocolli consentiti

1. Passare a Criterio > Elementi criterio > Risultati > Autenticazione > Protocolli consentiti, selezionare le impostazioni di Concatenamento EAP.

Allowed Protocols

Allow EAP-FAST and Enable EAP Chaining

Passaggio 11. Active Directory

1. Verificare che ISE sia aggiunto al dominio Active Directory e che i gruppi di dominio siano selezionati, se necessario, per le condizioni di autorizzazione.

Amministrazione > Gestione delle identità > Origini identità esterne > Active Directory

Active Directory

Passaggio 12. Set di criteri

1. Creare un set di criteri su ISE per autenticare la richiesta dot1x. Passare a Criterio > Set di criteri.

Policy Sets

2. Selezionare Active Directory come origine identità per i criteri di autenticazione.

Select Active Directory

3. Configurare le diverse regole di autorizzazione in base allo stato di postura sconosciuto, non conforme e conforme.

In questo caso di utilizzo:

  • Accesso iniziale: Reindirizzamento al portale ISE Client Provisioning per installare Secure Client Agent e NAM Profile.
  • Accesso sconosciuto: Accesso al portale di provisioning client per il reindirizzamento in base all'individuazione della postura.
  • Accesso conforme: Accesso completo alla rete.
  • Non conforme: Nega accesso.

Authorization Rules

Convalida

Passaggio 1. Scaricare e installare il modulo Secure Client Posture/NAM da ISE

1. Selezionare l'endpoint autenticato tramite dot1x, rispettando la regola Initial Access Authorization. Passare a Operazioni > Raggio > Live Log.

Download and Install Secure Client Posture/NAM Module from ISE

2. Su Switch, specificare l'URL di reindirizzamento e l'ACL applicati all'endpoint.

Switch#show authentication session interface te1/0/24 - Dettagli
Interfaccia: 10 Gigabit Ethernet 1/0/24
IIF-ID: 0x19262768
Indirizzo MAC: x4x6.xxxx.xxxx
Indirizzo IPv6: Sconosciuto
Indirizzo IPv4: <IP-client>
Nome utente: host/DESKTOP-xxxxxx.xxx
Stato: Autorizzato
Dominio: DATI
Modalità host operativo: host singolo
Direzione controllo operazioni: entrambi
Timeout sessione: N/D
ID sessione comune: 16D5C50A0000002CF067366B
ID sessione account: 0x000001f
Maniglia: 0x7a000017
Criterio corrente: POLICY_Te1/0/24


Criteri locali:
Modello di servizio: DEFAULT_LINKSEC_POLICY_SHOULD_SECURE (priorità 150)
Criterio di protezione: Deve essere protetto
Stato protezione: Collegamento non protetto

Criteri server:
ACL di reindirizzamento URL: redirect-acl
Reindirizzamento URL: https://ise33.xxxx:8443/portal/gateway?sessionId=16D5C50A0000002CF067366A&portal=ee39fd08-7180-4995-8aa2-9fb282645a8f&action=cpp&token=518f857900a37f9afc6d2da8b6fe3bc2
ACL ACS: xACSACLx-IP-PERMIT_ALL_IPV4_TRAFFIC-57f6b0d3


Elenco stato metodo:
Stato metodo
Autenticazione dot1x riuscita

Switch#sh device-tracking database interface te1/0/24

Livello rete Indirizzo Collegamento Livello indirizzo Interfaccia vlan livello livello livello di durata Tempo rimasto
ARP X.X.X.X b496.91f9.568b Te1/0/24 1000 005 4mn RAGGIUNGIBILE 39 s try 0

3. Sull'endpoint, verificare il traffico reindirizzato a ISE Posture Posture e fare clic su Start per scaricare l'Assistente installazione di rete sull'endpoint.

Device Security Check

Download and Install Agent

4. Fare clic su Esegui per installare l'applicazione NSA.

Run Device Security Check

2. L'NSA richiama il download di Secure Client Agent da ISE e installa Posture, il modulo NAM e il file di configurazione del profilo NAM.xml.

Secure Client Download in Progress

3. Una richiesta di riavvio viene attivata dopo l'installazione di NAM. Fare clic su Sì.

Updates Completed, Restart Computer

Passaggio 2. EAP-FAST 

1. Dopo il riavvio del PC e l'accesso dell'utente, il NAM autentica sia l'utente che il computer tramite EAP-FAST. Se l'endpoint viene autenticato correttamente, NAM visualizza che è connesso e il modulo delle posture attiva la scansione delle posture.

Authentication in Progress

2. Sui log ISE Live, l'endpoint sta violando la regola di accesso sconosciuto.

Endpoint is Hitting Unknown Access Rule

3. A questo punto, il protocollo di autenticazione è EAP-FAST basato sulla configurazione del profilo NAM e il risultato del concatenamento EAP ha esito positivo.

Result is Success

Passaggio 3. Analisi della postura

1. Il modulo Secure Client Posture attiva la scansione delle posture ed è contrassegnato come un reclamo basato sulla policy ISE Posture. 

Posture Scan

2. Il CoA viene attivato dopo l'analisi delle posture e l'endpoint raggiunge ora la politica di accesso al reclamo.

CoA Triggered after the Posture Scan

Risoluzione dei problemi

Passaggio 1. Profilo NAM

1. Verificare che il file configuration.xml del profilo NAM sia presente in questo percorso nel computer dopo l'installazione del modulo NAM: C:\ProgramData\Cisco\Cisco Secure Client\Network Access Manager\system

NAM Profile

Passaggio 2. Registrazione estesa NAM

1. Fare clic sull'icona Secure Client nella barra delle applicazioni e selezionare l'icona Settings.

NAM Extended Logging

2. Passare alla scheda Rete > Impostazioni log. Selezionare la casella di controllo Abilita registrazione estesa.

3. Impostare la dimensione del file di acquisizione del pacchetto su 100 MB. Dopo aver riprodotto il problema, fare clic su Diagnostica per creare il bundle DART sull'endpoint.

Click Diagnostics to Create the DART Bundle on the Endpoint

4. La sezione Cronologia messaggi visualizza i dettagli di ogni passo NAM completato.

Passaggio 3. Debug sullo switch

1. Abilitare questi debug sullo switch per la risoluzione dei problemi relativi al dot1x e al flusso di reindirizzamento:

  • debug ip http all
  • transazioni http ip di debug
  • url http ip di debug
  • set platform software trace smd switch attivo R0 aaa debug
  • set platform software trace smd switch active R0 dot1x-all debug
  • set platform software trace smd switch attivo R0 radius debug
  • set platform software trace smd switch active R0 auth-mgr-all debug
  • set platform software trace smd switch attivo R0 eap-all debug
  • set platform software trace smd switch active R0 epm-all debug
  • set platform software trace smd switch attivo R0 epm-redirect debug
  • set platform software trace smd switch active R0 webauth-aaa debug
  • set platform software trace smd switch active R0 webauth-httpd debug

Per visualizzare i log:

  • show logging (visualizza registri)
  • mostra processo di registrazione smd interno

Passaggio 4. Debug ad ISE

1. Raccogliere il bundle di supporto ISE con questi attributi da impostare al livello di debug:

  • postura 
  • portale 
  • provisioning 
  • runtime-AAA 
  • nsf 
  • sessione nsf 
  • svizzero 
  • client-webapp 

Informazioni correlate

Cronologia delle revisioni

Revisione Data di pubblicazione Commenti
3.0
26-Aug-2026
Controllo ortografico e grammaticale aggiornato, inserimento di righe orizzontali per separare le sezioni ai fini della leggibilità.
2.0
30-May-2025
Titolo, testo alternativo, requisiti di stile e formattazione aggiornati.
1.0
29-Jul-2024
Versione iniziale
TAC Authored

Contributo dei tecnici Cisco

  • Praveenkumar Palanisamy
    Tecnico di consulenza

Questo documento ti è stato utile?

FeedbackFeedback

Contattaci

Questo documento si applica a questi prodotti