Externe verificatie op Catalyst Center configureren met Windows-server

Inleiding

Dit document beschrijft hoe u externe verificatie in Cisco DNA Center kunt configureren met behulp van Network Policy Server (NPS) in Windows Server als RADIUS.

Voorwaarden

Vereisten

Basiskennis over:

• Gebruikers en rollen van Cisco DNA Center
• Windows Server-netwerkbeleidsserver, RADIUS en actieve map

Gebruikte componenten

• Cisco DNA Center 2.3.5.x
• Microsoft Windows Server versie 2019 fungeert als domeincontroller, DNS-server, NPS en Active Directory

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Opmerking: het Cisco Technical Assistance Center (TAC) biedt geen technische ondersteuning voor de Microsoft Windows-server. Als u problemen ondervindt met de Microsoft Windows Server-configuratie, neemt u contact op met Microsoft Support voor technische assistentie.

Configureren

Rol van beheerder

1. Klik in het Windows Start menu en zoek naar NPS. Selecteer vervolgens Network Policy Server:
   Windows Start-menu
2. Voer vanuit het navigatiedeelvenster aan de linkerkant een rechtsklik uit in de optie NPS (lokaal) en selecteer Server registreren in Active Directory:
   Windows-netwerkbeleidsservice
   
   
3. Klik tweemaal op OK.
   
   
4. Breid RADIUS-clients en -servers uit, klik met de rechtermuisknop op RADIUS-clients en selecteer Nieuw:
   RADIUS-client toevoegen
   
   
5. Voer de Vriendelijke naam, het IP-adres van het Cisco DNA Center-beheer en een gedeeld geheim in (dit kan later worden gebruikt):
   Configuratie van RADIUS-clients
6. Klik op OK om het op te slaan.
   
   
7. Breid Beleid uit, klik met de rechtermuisknop op Netwerkbeleid en selecteer Nieuw:
   Nieuw netwerkbeleid toevoegen
   
   
8. Voer een beleidsnaam in voor de regel en klik op Volgende:
   Beleidsnaam
   
   
9. Als u een specifieke domeingroep wilt toestaan, voegt u deze twee voorwaarden toe en klikt u op Volgende:
   • Gebruikersgroep - Voeg uw domeingroep toe die een Admin Rol kan hebben op Cisco DNA Center (voor dit voorbeeld wordt Sup_Ad_NPS-groep gebruikt).
   • ClientIPv4Address - Voeg uw IP-adres voor Cisco DNA Center-beheer toe.
     Beleidsvoorwaarden
     
     
10. Selecteer Toegang verleend en klik op Volgende:
    Toegang verleend gebruik
    
    
11. Alleen verificatie versleutelen selecteren (PAP, SPAP):
    Selecteer verificatie versleutelen
    
    
12. Selecteer Volgende omdat er standaardwaarden worden gebruikt:
    Constraint-venster configureren
    
    
13. Standaardkenmerken verwijderen:
    Kenmerken definiëren voor gebruik
    
    
14. Selecteer in het gedeelte RADIUS-kenmerken de optie Leverancier specifiek, klik vervolgens op Add, selecteer Cisco als leverancier en klik op Add:
    Cisco AV-paar toevoegen
    
    
15. Klik op Add, schrijf Role=SUPER-ADMIN-ROLE en klik tweemaal op OK:
    Toegevoegd Cisco AV-paar attribuut
    
    
16. Selecteer Sluiten en selecteer vervolgens Volgende. 
17. Bekijk uw beleidsinstellingen en selecteer Voltooien om deze op te slaan.

Beleidsoverzicht

Beleid inzake de rol van waarnemers.

1. Klik in het Windows Start menu en zoek naar NPS. Selecteer vervolgens Network Policy Server.
2. Voer vanuit het navigatiedeelvenster aan de linkerkant een rechtsklik uit in de optie NPS (lokaal) en selecteer Server registreren in Active Directory.
3. Klik tweemaal op OK.
4. Breid RADIUS-clients en -servers uit, klik met de rechtermuisknop op RADIUS-clients en selecteer Nieuw.
5. Voer een Vriendelijke naam, het IP-adres van het Cisco DNA Center-beheer en een gedeeld geheim in (dit kan later worden gebruikt).
6. Klik op OK om het op te slaan.
7. Breid Beleid uit, klik met de rechtermuisknop op Netwerkbeleid en selecteer Nieuw.
8. Voer een beleidsnaam in voor de regel en klik op Volgende.
9. Om een specifieke domeingroep toe te staan, moet u deze twee voorwaarden toevoegen en Volgende selecteren.
   • Gebruikersgroep - Voeg uw domeingroep toe om een Observer Role toe te wijzen aan Cisco DNA Center (in dit voorbeeld wordt de Observer_NPS-groep gebruikt).
   • ClientIPv4Address - Voeg uw Cisco DNA Center management IP toe.
10. Selecteer Toegang verleend en selecteer vervolgens Volgende.
11. Alleen verificatie versleutelen selecteren (PAP, SPAP).
12. Selecteer Volgende omdat er standaardwaarden worden gebruikt.
13. Standaardkenmerken verwijderen.
14. Selecteer in RADIUS-kenmerken de optie Leverancier Specific, klik vervolgens op Add, selecteer Cisco als leverancier en klik op Add.
15. Selecteer Add, schrijf ROLE=OBSERVER-ROLE, en OK tweemaal.
16. Selecteer Sluiten en vervolgens Volgende.
17. Controleer uw beleidsinstellingen en selecteer Voltooien om deze op te slaan.

Externe verificatie inschakelen

1. Open de Cisco DNA Center Graphical User Interface (GUI) in een webbrowser en log in met een geprivilegieerde beheerdersaccount:
   

   Aanmeldpagina voor Cisco DNA Center

2. Navigeer naar Menu > Systeem > Instelling > Verificatie- en beleidsservers en selecteer Toevoegen > AAA:
   Windows-server toevoegen
   
   
3. Typ uw IP-adres van Windows Server en het gedeelde geheim dat in de vorige stappen is gebruikt en klik op Opslaan:
   Windows-serverwaarden
   
   
4. Controleer of uw Windows Server-status actief is:
   Samenvatting van Windows-server
5. Ga naar Menu > Systeem > Gebruikers & Rollen > Externe Verificatie en selecteer uw AAA-server:
   Windows-server als AAA-server
   
   
6. Typ Cisco-AVPair als AAA-kenmerk en klik op Bijwerken:
   AV-paar op externe gebruiker
   
   
7. Klik in het aanvinkvakje Externe gebruiker inschakelen om externe verificatie in te schakelen:
   

Verifiëren

U kunt de grafische gebruikersinterface van Cisco DNA Center (GUI) openen in een webbrowser en u kunt inloggen met een externe gebruiker die in de Windows-server is geconfigureerd om te bevestigen dat u met succes kunt inloggen met behulp van externe verificatie. 

Aanmeldpagina voor Cisco DNA Center