内容

概要

前提条件

要件

使用するコンポーネント

背景説明

設定

Cisco ISE の設定

Windowsネイティブサプリカントの設定

確認

詳細な認証レポート

マシン認証

ユーザとマシンの認証

トラブルシュート

ライブログ分析

マシン認証

ユーザとマシンの認証

関連情報

概要

このドキュメントでは、Tunnel-based Extensible Authentication Protocol(TEAP)を使用したExtensible Authentication Protocol(EAP)チェーン用にISEおよびWindowsサプリカントを設定する方法について説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

- ISE

- Windowsサプリカントの設定

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

- Cisco ISE バージョン 3.0

- Windows 10ビルド2004

- プロトコルTEAPの知識

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

背景説明

TEAPはトンネルベースのExtensible Authentication Protocol(EAP)方式で、セキュアなトンネルを確立し、そのセキュアなトンネルの保護のもとで他のEAP方式を実行します。

TEAP認証は、最初のEAP ID要求/応答の交換の後、2つのフェーズで行われます。

最初のフェーズでは、TEAPはTLSハンドシェイクを使用して、認証されたキー交換を提供し、保護されたトンネルを確立します。トンネルが確立されると、2番目のフェーズはピアから開始され、サーバは必要な認証と認可ポリシーを確立するために会話を続けます。

Cisco ISE 2.7以降では、TEAPプロトコルがサポートされています。 type-length-value(TLV)オブジェクトは、EAPピアとEAPサーバ間で認証関連のデータを転送するためにトンネル内で使用されます。

Microsoftは、2020年5月にリリースされたWindows 10 2004バージョンでTEAPのサポートを導入しました。

EAPチェーンを使用すると、2つの個別のセッションではなく、1つのEAP/Radiusセッション内でユーザ認証とマシン認証を実行できます。

以前は、これを実現するには、Cisco AnyConnect NAMモジュールが必要でした。ネイティブWindowsサプリカントではEAP-FASTをサポートしていなかったため、WindowsサプリカントでEAP-FASTを使用する必要がありました。これで、Windowsネイティブサプリカントを使用して、TEAPを使用したISE 2.7とのEAPチェーンを実行できます。

設定

Cisco ISE の設定

ステップ 1：TEAPおよびEAPチェーンを有効にするには、[Allowed Protocols]を編集する必要があります。

移動先 ISE > Policy > Policy Elements > Results > Authentication > Allowed Protocols > Add New .[TEAP]および[EAP chaining]チェックボックスをオンにします。

ステップ 2：証明書プロファイルを作成し、アイデンティティソースシーケンスに追加します。

移動先 ISE > Administration > Identities > identity Source Sequence 証明書プロファイルを選択します。

ステップ 3：認証ポリシーでこのシーケンスを呼び出す必要があります。

移動先 ISE > Policy > Policy Sets  . Choose the Policy Set for  Dot1x > Authentication Policy  ステップ2で作成したアイデンティティソースシーケンスを選択します。

ステップ 4：次に、Dot1xポリシーセットの下の認可ポリシーを変更する必要があります。

移動先   ISE > Policy > Policy Sets  . Choose the Policy Set for  Dot1x > Authentication Policy  .

2つのルールを作成する必要があります。最初のルールでは、マシンは認証されているが、ユーザは認証されていないことを確認します。2番目のルールは、ユーザとマシンの両方が認証されていることを確認します。

これで、ISEサーバ側からの設定が完了します。

Windowsネイティブサプリカントの設定

このドキュメントで有線認証設定を行います。

移動先 Control Panel > Network and Sharing Center > Change Adapter Settings 右クリックして LAN Connection > Properties.をクリックします。  Authentication tab.

ステップ 1：クリック  Authentication ドロップダウンから、  Microsoft EAP-TEAP.

ステップ 2： ポリシーの横の [レポート（Report）]  Settings ボタンをクリックします。

1. 保持 Enable Identity Privacy 有効： anonymous をIDとして使用します。

2. [Trusted Root Certification Authorities]の下で、ルートCAサーバの横にチェックマークを付けます。このサーバは、ISE PSN上でEAP認証用の証明書に署名するために使用されます。

ステップ 3：[Client Authentication]で、Microsoftへの認証にEAP方式を選択します。 Smart Card or other certificate.

ステップ 4：EAP方式のドロップダウンごとに、  Configure ボタンをクリックし、要件とcに従って変更します。なめる  OK.

ステップ 5：ポリシーの横の [レポート（Report）]  Additional Settings ボタンをクリックします。

1. [Specify authentication mode]を有効にします。

2. ドロップダウンを適切な設定に設定します。

3. 選択 User or computer authentication 両方が認証され、cなめる OK.

確認

Windows 10マシンを再起動するか、またはサインアウトしてからサインインします。Windowsログイン画面が表示されるたびに、マシン認証がトリガーされます。

ライブログのIDフィールドに「anonymous, host/Administrator」（ここではマシン名です）と表示されます。前述のIDプライバシーにサプリカントを設定したため、anonymousと表示されます。

クレデンシャルを使用してPCにログインすると、ライブログAdministrator@example.localのhost/Administratorで確認できます。これは、ユーザ認証とマシン認証の両方が1つのEAPセッションで行われるEAPチェーンです。

詳細な認証レポート

ライブログの詳細では、マシン認証は1つのログしか表示されません NACRadiusUsername チェーン接続されたユーザとマシンの認証では、2つのエントリ（1つはユーザ用、もう1つはマシン用）が表示されます。また、  Authentication Details セクション  TEAP (EAP-TLS) が使用されました Authentication Protocol.を使用する場合、  MSCHAPv2 マシンおよびユーザ認証では、認証プロトコルは次のように表示されます  TEAP (Microsoft: Secured password (EAP-MSCHAP v2)).

マシン認証

ユーザとマシンの認証

トラブルシュート

ISEで次のデバッグを有効にする必要があります。

- runtime-AAA

- nsf

- nsf-session

- Active Directory（ISEとAD間のトラブルシューティング用）

Windowsでは、イベントビューアのログを確認できます。

ライブログ分析

マシン認証

11001 Received RADIUS Access-Request

11017 RADIUS created a new session

...

...

11507 Extracted EAP-Response/Identity

12756 Prepared EAP-Request proposing TEAP with challenge

...

...

12758 Extracted EAP-Response containing TEAP challenge-response and accepting TEAP as negotiated

12800 Extracted first TLS record; TLS handshake started

12805 Extracted TLS ClientHello message

12806 Prepared TLS ServerHello message

12807 Prepared TLS Certificate message

12808 Prepared TLS ServerKeyExchange message

12809 Prepared TLS CertificateRequest message

...

...

12811 Extracted TLS Certificate message containing client certificate

12812 Extracted TLS ClientKeyExchange message

12813 Extracted TLS CertificateVerify message

12804 Extracted TLS Finished message

12801 Prepared TLS ChangeCipherSpec message

12802 Prepared TLS Finished message

12816 TLS handshake succeeded

...

...

11559 Client certificate was requested but not received inside the tunnel. Will continue with inner method.

11620 TEAP full handshake finished successfully

...

...

11627 Starting EAP chaining

11573 Selected identity type 'User'

11564 TEAP inner method started

11521 Prepared EAP-Request/Identity for inner EAP method

...

...

11567 Identity type provided by client is equal to requested

11522 Extracted EAP-Response/Identity for inner EAP method

11806 Prepared EAP-Request for inner method proposing EAP-MSCHAP with challenge

11596 Prepared EAP-Request with another TEAP challenge

11006 Returned RADIUS Access-Challenge

11001 Received RADIUS Access-Request

...

...

11515 Supplicant declined inner EAP method selected by Authentication Policy but did not proposed another one; inner EAP negotiation failed

11520 Prepared EAP-Failure for inner EAP method

11566 TEAP inner method finished with failure

22028 Authentication failed and the advanced options are ignored

33517 Sent TEAP Intermediate Result TLV indicating failure

11596 Prepared EAP-Request with another TEAP challenge

...

...

11574 Selected identity type 'Machine'

11564 TEAP inner method started

11521 Prepared EAP-Request/Identity for inner EAP method

...

...

11567 Identity type provided by client is equal to requested

11522 Extracted EAP-Response/Identity for inner EAP method

11806 Prepared EAP-Request for inner method proposing EAP-MSCHAP with challenge

11596 Prepared EAP-Request with another TEAP challenge

...

...

12523 Extracted EAP-Response/NAK for inner method requesting to use EAP-TLS instead

12522 Prepared EAP-Request for inner method proposing EAP-TLS with challenge

12625 Valid EAP-Key-Name attribute received

11596 Prepared EAP-Request with another TEAP challenge

...

...

12524 Extracted EAP-Response containing EAP-TLS challenge-response for inner method and accepting EAP-TLS as negotiated

12800 Extracted first TLS record; TLS handshake started

12545 Client requested EAP-TLS session ticket

12546 The EAP-TLS session ticket received from supplicant. Inner EAP-TLS does not support stateless session resume. Performing full authentication

12805 Extracted TLS ClientHello message

12806 Prepared TLS ServerHello message

12807 Prepared TLS Certificate message

12808 Prepared TLS ServerKeyExchange message

12809 Prepared TLS CertificateRequest message

12527 Prepared EAP-Request for inner method with another EAP-TLS challenge

...

...

12571 ISE will continue to CRL verification if it is configured for specific CA - certificate for Users

12811 Extracted TLS Certificate message containing client certificate

12812 Extracted TLS ClientKeyExchange message

12813 Extracted TLS CertificateVerify message

12804 Extracted TLS Finished message

12801 Prepared TLS ChangeCipherSpec message

12802 Prepared TLS Finished message

12816 TLS handshake succeeded

12509 EAP-TLS full handshake finished successfully

...

...

12527 Prepared EAP-Request for inner method with another EAP-TLS challenge

11596 Prepared EAP-Request with another TEAP challenge

...

...

61025 Open secure connection with TLS peer

15041 Evaluating Identity Policy

22072 Selected identity source sequence - forAD1

22070 Identity name is taken from certificate attribute

22037 Authentication Passed

12528 Inner EAP-TLS authentication succeeded

11519 Prepared EAP-Success for inner EAP method

11565 TEAP inner method finished successfully

...

...

33516 Sent TEAP Intermediate Result TLV indicating success

11596 Prepared EAP-Request with another TEAP challenge

11006 Returned RADIUS Access-Challenge

11001 Received RADIUS Access-Request

11018 RADIUS is re-using an existing session

11595 Extracted EAP-Response containing TEAP challenge-response

11637 Inner method supports EMSK but the client provided only MSK. Allow downgrade as per configuration

11576 TEAP cryptobinding verification passed

...

...

15036 Evaluating Authorization Policy

24209 Looking up Endpoint in Internal Endpoints IDStore - anonymous,host/Administrator

24211 Found Endpoint in Internal Endpoints IDStore

11055 User name change detected for the session. Attributes for the session will be removed from the cache

15048 Queried PIP - Network Access.EapChainingResult

15016 Selected Authorization Profile - PermitAccess

33514 Sent TEAP Result TLV indicating success

...

...

11597 TEAP authentication phase finished successfully

11503 Prepared EAP-Success

11002 Returned RADIUS Access-Accept

ユーザとマシンの認証

11001 Received RADIUS Access-Request

11017 RADIUS created a new session

...

...

12756 Prepared EAP-Request proposing TEAP with challenge

...

...

12758 Extracted EAP-Response containing TEAP challenge-response and accepting TEAP as negotiated

12800 Extracted first TLS record; TLS handshake started

12805 Extracted TLS ClientHello message

12806 Prepared TLS ServerHello message

12807 Prepared TLS Certificate message

12808 Prepared TLS ServerKeyExchange message

12809 Prepared TLS CertificateRequest message

11596 Prepared EAP-Request with another TEAP challenge

...

...

12811 Extracted TLS Certificate message containing client certificate

12812 Extracted TLS ClientKeyExchange message

12813 Extracted TLS CertificateVerify message

12804 Extracted TLS Finished message

12801 Prepared TLS ChangeCipherSpec message

12802 Prepared TLS Finished message

12816 TLS handshake succeeded

11559 Client certificate was requested but not received inside the tunnel. Will continue with inner method.

11620 TEAP full handshake finished successfully

11596 Prepared EAP-Request with another TEAP challenge

...

...

11595 Extracted EAP-Response containing TEAP challenge-response

11627 Starting EAP chaining

11573 Selected identity type 'User'

11564 TEAP inner method started

11521 Prepared EAP-Request/Identity for inner EAP method

11596 Prepared EAP-Request with another TEAP challenge

...

...

11567 Identity type provided by client is equal to requested

11522 Extracted EAP-Response/Identity for inner EAP method

11806 Prepared EAP-Request for inner method proposing EAP-MSCHAP with challenge

11596 Prepared EAP-Request with another TEAP challenge

...

...

12523 Extracted EAP-Response/NAK for inner method requesting to use EAP-TLS instead

12522 Prepared EAP-Request for inner method proposing EAP-TLS with challenge

...

...

11595 Extracted EAP-Response containing TEAP challenge-response

12524 Extracted EAP-Response containing EAP-TLS challenge-response for inner method and accepting EAP-TLS as negotiated

12800 Extracted first TLS record; TLS handshake started

12545 Client requested EAP-TLS session ticket

12546 The EAP-TLS session ticket received from supplicant. Inner EAP-TLS does not support stateless session resume. Performing full authentication

12805 Extracted TLS ClientHello message

12806 Prepared TLS ServerHello message

12807 Prepared TLS Certificate message

12808 Prepared TLS ServerKeyExchange message

12809 Prepared TLS CertificateRequest message

12527 Prepared EAP-Request for inner method with another EAP-TLS challenge

...

...

12526 Extracted EAP-Response for inner method containing TLS challenge-response

12571 ISE will continue to CRL verification if it is configured for specific CA - certificate for Users

12811 Extracted TLS Certificate message containing client certificate

12812 Extracted TLS ClientKeyExchange message

12813 Extracted TLS CertificateVerify message

12804 Extracted TLS Finished message

12801 Prepared TLS ChangeCipherSpec message

12802 Prepared TLS Finished message

12816 TLS handshake succeeded

12509 EAP-TLS full handshake finished successfully

12527 Prepared EAP-Request for inner method with another EAP-TLS challenge

...

...

12526 Extracted EAP-Response for inner method containing TLS challenge-response

61025 Open secure connection with TLS peer

15041 Evaluating Identity Policy

22072 Selected identity source sequence - forAD1

22070 Identity name is taken from certificate attribute

22037 Authentication Passed

12528 Inner EAP-TLS authentication succeeded

11519 Prepared EAP-Success for inner EAP method

11565 TEAP inner method finished successfully

33516 Sent TEAP Intermediate Result TLV indicating success

11596 Prepared EAP-Request with another TEAP challenge

...

...

11595 Extracted EAP-Response containing TEAP challenge-response

11637 Inner method supports EMSK but the client provided only MSK. Allow downgrade as per configuration

11576 TEAP cryptobinding verification passed

11574 Selected identity type 'Machine'

11564 TEAP inner method started

...

...

11806 Prepared EAP-Request for inner method proposing EAP-MSCHAP with challenge

11596 Prepared EAP-Request with another TEAP challenge

...

...

12523 Extracted EAP-Response/NAK for inner method requesting to use EAP-TLS instead

12522 Prepared EAP-Request for inner method proposing EAP-TLS with challenge

...

...

12524 Extracted EAP-Response containing EAP-TLS challenge-response for inner method and accepting EAP-TLS as negotiated

12800 Extracted first TLS record; TLS handshake started

12545 Client requested EAP-TLS session ticket

12546 The EAP-TLS session ticket received from supplicant. Inner EAP-TLS does not support stateless session resume. Performing full authentication

12805 Extracted TLS ClientHello message

12806 Prepared TLS ServerHello message

12807 Prepared TLS Certificate message

12808 Prepared TLS ServerKeyExchange message

12809 Prepared TLS CertificateRequest message

12527 Prepared EAP-Request for inner method with another EAP-TLS challenge

...

...

12526 Extracted EAP-Response for inner method containing TLS challenge-response

12571 ISE will continue to CRL verification if it is configured for specific CA - certificate for Users

12811 Extracted TLS Certificate message containing client certificate

12812 Extracted TLS ClientKeyExchange message

12813 Extracted TLS CertificateVerify message

12804 Extracted TLS Finished message

12801 Prepared TLS ChangeCipherSpec message

12802 Prepared TLS Finished message

12816 TLS handshake succeeded

12509 EAP-TLS full handshake finished successfully

12527 Prepared EAP-Request for inner method with another EAP-TLS challenge

11596 Prepared EAP-Request with another TEAP challenge

11006 Returned RADIUS Access-Challenge

11001 Received RADIUS Access-Request

11018 RADIUS is re-using an existing session

11595 Extracted EAP-Response containing TEAP challenge-response

12526 Extracted EAP-Response for inner method containing TLS challenge-response

61025 Open secure connection with TLS peer

15041 Evaluating Identity Policy

22072 Selected identity source sequence - forAD1

22070 Identity name is taken from certificate attribute

22037 Authentication Passed

12528 Inner EAP-TLS authentication succeeded

11519 Prepared EAP-Success for inner EAP method

11565 TEAP inner method finished successfully

33516 Sent TEAP Intermediate Result TLV indicating success

11596 Prepared EAP-Request with another TEAP challenge

11006 Returned RADIUS Access-Challenge

11001 Received RADIUS Access-Request

11018 RADIUS is re-using an existing session

11595 Extracted EAP-Response containing TEAP challenge-response

11637 Inner method supports EMSK but the client provided only MSK. Allow downgrade as per configuration

11576 TEAP cryptobinding verification passed

15036 Evaluating Authorization Policy

24209 Looking up Endpoint in Internal Endpoints IDStore - Administrator@example.local,host/Administrator

24211 Found Endpoint in Internal Endpoints IDStore

11055 User name change detected for the session. Attributes for the session will be removed from the cache

15048 Queried PIP - Network Access.EapChainingResult

15016 Selected Authorization Profile - PermitAccess

33514 Sent TEAP Result TLV indicating success

11596 Prepared EAP-Request with another TEAP challenge

11006 Returned RADIUS Access-Challenge

11001 Received RADIUS Access-Request

11018 RADIUS is re-using an existing session

11595 Extracted EAP-Response containing TEAP challenge-response

11597 TEAP authentication phase finished successfully

11503 Prepared EAP-Success

11002 Returned RADIUS Access-Accept

関連情報

- https://www.rfc-editor.org/rfc/rfc7170

- https://www.rfc-editor.org/rfc/rfc5077

- https://www.cisco.com/c/en/us/support/docs/wireless-mobility/eap-fast/200322-Understanding-EAP-FAST-and-Chaining-imp.html

- テクニカル サポートとドキュメント – Cisco Systems