Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Configureren

Netwerkdiagram

ISE-configuratie

ASA-configuratie

Verifiëren

Problemen oplossen

Samenvatting

Gerelateerde informatie

Inleiding

Dit document beschrijft hoe u een nieuwe functie kunt gebruiken in release 9.2.1 van de adaptieve security applicatie (ASA) en in de classificatie van TrustSec Security Group Tag (SGT) voor VPN-gebruikers. Dit voorbeeld geeft twee VPN-gebruikers weer die een andere SGT en Security Group Firewall (SGFW) hebben toegewezen, waarmee het verkeer tussen de VPN-gebruikers wordt gefilterd.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

- Basiskennis van ASA CLI-configuratie en Secure Socket Layer (SSL) VPN-configuratie

- Basiskennis van de configuratie van VPN voor externe toegang op de ASA

- Basiskennis van Identity Services Engine (ISE) en TrustSec-services

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende softwareversies:

- Cisco ASA-software, versie 9.2 en hoger

- Windows 7 met Cisco AnyConnect Secure Mobility-client, release 3.1

- Cisco ISE, release 1.2 en hoger

Configureren

Opmerking: Gebruik de Command Lookup Tool (alleen geregistreerde klanten) om meer informatie te verkrijgen over de opdrachten die in deze sectie worden gebruikt.

Netwerkdiagram

VPN-gebruiker 'cisco' wordt toegewezen aan het Finance-team, dat een ICMP-verbinding (Internet Control Message Protocol) met het marketingteam mag starten. VPN-gebruiker 'cisco2' wordt toegewezen aan het marketingteam, dat geen verbindingen mag initiëren.

ISE-configuratie

1. Kies Beheer > Identity Management > Identiteiten om de gebruiker 'cisco' (van Finance) en 'cisco2' (van Marketing) toe te voegen en te configureren.

2. Kies Beheer > Netwerkbronnen > Netwerkapparaten om de ASA als netwerkapparaat toe te voegen en te configureren.

3. Kies Beleid > Resultaten > Vergunning > Vergunningsprofielen om de de vergunningsprofielen van Financiën en van de Marketing toe te voegen en te vormen.
Beide profielen bevatten slechts één kenmerk, de DACL (Downloadable Access Control List), dat al het verkeer toestaat. Hier wordt een voorbeeld voor Finance getoond:

Elk profiel kon een specifieke, beperkende DACL hebben, maar voor dit scenario is al het verkeer toegestaan. Handhaving wordt uitgevoerd door de SGFW en niet door de DACL die aan elke VPN-sessie is toegewezen. Verkeer dat met een SGFW wordt gefilterd, maakt het gebruik van alleen SGT's mogelijk in plaats van IP-adressen die door DACL worden gebruikt.

4. Kies Beleid > Resultaten > Beveiligingsgroeptoegang > Beveiligingsgroepen om de Finance and Marketing SGT-groepen toe te voegen en te configureren.

5. Kies Beleid > Autorisatie om de twee autorisatieregels te configureren. De eerste regel wijst het Finance_profile (DACL die heel verkeer toestaat) samen met de SGT groep Finance toe aan de 'cisco' gebruiker.  De tweede regel wijst het Marketing_profile (DACL die heel verkeer toestaat) samen met de SGT groep Marketing toe aan de 'cisco2' gebruiker.

ASA-configuratie

1. Voltooi de basisVPN configuratie.
webvpn

enable outside

anyconnect-essentials

anyconnect image disk0:/anyconnect-win-3.1.02040-k9.pkg 1

anyconnect enable

tunnel-group-list enable

group-policy GP-SSL internal

group-policy GP-SSL attributes

vpn-tunnel-protocol ikev1 ikev2 ssl-client ssl-clientless

tunnel-group RA type remote-access

tunnel-group RA general-attributes

address-pool POOL

authentication-server-group ISE

accounting-server-group ISE

default-group-policy GP-SSL

tunnel-group RA webvpn-attributes

group-alias RA enable

ip local pool POOL 10.10.10.10-10.10.10.100 mask 255.255.255.0

2. Voltooi de ASA AAA- en TrustSec-configuratie.
aaa-server ISE protocol radius

aaa-server ISE (outside) host 10.48.66.74

key *****

cts server-group ISE

Om zich aan te sluiten bij de TrustSec-cloud, moet de ASA authenticeren met Protected Access Credential (PAC). De ASA ondersteunt geen automatische PAC-provisioning, daarom moet dat bestand handmatig op de ISE worden gegenereerd en in de ASA worden geïmporteerd.

3. Kies Beheer > Netwerkbronnen > Netwerkapparaten > ASA > Geavanceerde TrustSec-instellingen om een PAC op de ISE te genereren. Kies uit band (OOB) PAC levering om het bestand te genereren.

4. Importeer de AKP in de ASA.
Het gegenereerde bestand kan op een HTTP-/FTP-server worden gezet. ASA gebruikt dat om het bestand te importeren.

ASA# cts import-pac http://192.168.111.1/ASA-CTS-2.pac password 12345678

!PAC Imported Successfully

ASA#

ASA# show cts pac

PAC-Info:

Valid until: Mar 16 2015 17:40:25

AID:         ea48096688d96ef7b94c679a17bdad6f

I-ID:        ASA-CTS-2

A-ID-Info:   Identity Services Engine

PAC-type:    Cisco Trustsec

PAC-Opaque:

000200b80003000100040010ea48096688d96ef7b94c679a17bdad6f0006009c000301

0015e3473e728ae73cc905887bdc8d3cee00000013532150cc00093a8064f7ec374555

e7b1fd5abccb17de31b9049066f1a791e87275b9dd10602a9cb4f841f2a7d98486b2cb

2b5dc3449f67c17f64d12d481be6627e4076a2a63d642323b759234ab747735a03e01b

99be241bb1f38a9a47a466ea64ea334bf51917bd9aa9ee3cf8d401dc39135919396223

11d8378829cc007b91ced9117a

Wanneer u de juiste PAC hebt, voert de ASA automatisch een omgevingsvernieuwing uit. Dit downloadt informatie van de ISE over de huidige SGT-groepen.

ASA# show cts environment-data sg-table

Security Group Table:

Valid until: 17:48:12 CET Mar 17 2014

Showing 4 of 4 entries

SG Name                          SG Tag     Type

-------                          ------     -------------

ANY                               65535     unicast

Unknown                               0     unicast

Finance                               2     unicast

Marketing                             3     unicast

5. Configureer de SGFW. De laatste stap is het configureren van de ACL op de buiteninterface die het ICMP-verkeer van Financiën naar Marketing mogelijk maakt.
access-list outside extended permit icmp security-group tag 2 any security-group

tag 3 any

access-group outside in interface outside

Ook kan de naam Security Group worden gebruikt in plaats van de tag.

access-list outside extended permit icmp security-group name Finance any

security-group name Marketing any

Om ervoor te zorgen dat de interface-ACL VPN-verkeer verwerkt, is het nodig om de optie uit te schakelen die standaard VPN-verkeer zonder validatie via de interface-ACL toestaat.

no sysopt connection permit-vpn

Nu zou ASA bereid moeten zijn om VPN-gebruikers te classificeren en handhaving uit te voeren op basis van SGT’s .

Verifiëren

Gebruik deze sectie om te controleren of uw configuratie goed werkt.

Het Uitvoer-tolk (ingeschreven klanten) ondersteunt bepaalde tonen opdrachten. Gebruik het Hulpmiddel van de Tolk van de Output om een analyse van te bekijken tonen opdrachtoutput.

Nadat VPN is opgezet, stelt de ASA een SGT voor die op elke sessie wordt toegepast.

ASA(config)# show vpn-sessiondb anyconnect

Session Type: AnyConnect

Username     : cisco                  Index        : 1

Assigned IP  : 10.10.10.10            Public IP    : 192.168.10.68

Protocol     : AnyConnect-Parent SSL-Tunnel DTLS-Tunnel

License      : AnyConnect Essentials

Encryption   : AnyConnect-Parent: (1)none  SSL-Tunnel: (1)RC4  DTLS-Tunnel: (1)AES128

Hashing      : AnyConnect-Parent: (1)none  SSL-Tunnel: (1)SHA1  DTLS-Tunnel: (1)SHA1

Bytes Tx     : 35934                  Bytes Rx     : 79714

Group Policy : GP-SSL                 Tunnel Group : RA

Login Time   : 17:49:15 CET Sun Mar 16 2014

Duration     : 0h:22m:57s

Inactivity   : 0h:00m:00s

VLAN Mapping : N/A                    VLAN         : none

Audt Sess ID : c0a8700a000010005325d60b

Security Grp : 2:Finance

Username     : cisco2                 Index        : 2

Assigned IP  : 10.10.10.11            Public IP    : 192.168.10.80

Protocol     : AnyConnect-Parent SSL-Tunnel DTLS-Tunnel

License      : AnyConnect Essentials

Encryption   : AnyConnect-Parent: (1)none  SSL-Tunnel: (1)RC4  DTLS-Tunnel: (1)AES128

Hashing      : AnyConnect-Parent: (1)none  SSL-Tunnel: (1)SHA1  DTLS-Tunnel: (1)SHA1

Bytes Tx     : 86171                  Bytes Rx     : 122480

Group Policy : GP-SSL                 Tunnel Group : RA

Login Time   : 17:52:27 CET Sun Mar 16 2014

Duration     : 0h:19m:45s

Inactivity   : 0h:00m:00s

VLAN Mapping : N/A                    VLAN         : none

Audt Sess ID : c0a8700a000020005325d6cb

Security Grp : 3:Marketing

SGFW staat voor verkeer ICMP van Financiën (SGT=2) aan Marketing (SGT=3) toe. Dat is de reden dat gebruiker 'cisco' gebruiker 'cisco2' kan pingen.

De tellers stijgen:

ASA(config)# show access-list outside

access-list outside; 1 elements; name hash: 0x1a47dec4

access-list outside line 1 extended permit icmp security-group

tag 2(name="Finance") any security-group tag 3(name="Marketing")

any (hitcnt=4) 0x071f07fc

De verbinding is tot stand gebracht:

Mar 16 2014 18:24:26: %ASA-6-302020: Built inbound ICMP connection for

faddr 10.10.10.10/1(LOCAL\cisco, 2:Finance) gaddr 10.10.10.11/0

laddr 10.10.10.11/0(LOCAL\cisco2, 3:Marketing) (cisco)

Het verkeer van de terugkeer wordt automatisch goedgekeurd, omdat de inspectie ICMP wordt toegelaten.

Wanneer u probeert te pingen van Marketing (SGT=3) naar Finance (SGT=2):

ASA meldt:

Mar 16 2014 18:06:36: %ASA-4-106023: Deny icmp src outside:10.10.10.11(LOCAL\cisco2,

3:Marketing) dst outside:10.10.10.10(LOCAL\cisco, 2:Finance) (type 8, code 0) by

access-group "outside" [0x0, 0x0]

Problemen oplossen

Deze sectie bevat informatie waarmee u problemen met de configuratie kunt oplossen.

Zie deze documenten:

- TrustSec Cloud met 802.1x MACsec op Catalyst 3750X Series Switch-configuratievoorbeeld

- ASA en Catalyst 3750X Series Switch TrustSec-configuratievoorbeeld en gids voor probleemoplossing

Samenvatting

Dit artikel geeft een eenvoudig voorbeeld van hoe VPN-gebruikers te classificeren en het uitvoeren van eenvoudige handhaving. SGFW filtert ook verkeer tussen VPN-gebruikers en de rest van het netwerk. SXP (TrustSec SGT Exchange Protocol) kan op een ASA worden gebruikt om de mapping-informatie tussen IP en SGT’s te verkrijgen. Hiermee kan een ASA handhaving uitvoeren voor alle typen sessies die correct zijn geclassificeerd (VPN of LAN).

In ASA-software, versie 9.2 en hoger, ondersteunt de ASA ook RADIUS-wijziging van autorisatie (CoA) (RFC 5176). Een RADIUS CoA-pakket dat van ISE wordt verzonden na een succesvolle VPN-houding kan cisco-av-paar bevatten met een SGT die een conforme gebruiker aan een andere (veiligere) groep toewijst. Zie de artikelen in het gedeelte Verwante informatie voor meer voorbeelden.

Gerelateerde informatie

- ASA versie 9.2.1 VPN-houding met ISE-configuratievoorbeeld

- ASA en Catalyst 3750X Series Switch TrustSec-configuratievoorbeeld en gids voor probleemoplossing

- Cisco TrustSec Switch-configuratiehandleiding: begrip van Cisco TrustSec

- Gebruikersautorisatie voor een externe server voor security applicatie configureren

- Configuratiehandleiding voor Cisco ASA Series VPN CLI, 9.1

- Gebruikershandleiding voor Cisco Identity Services Engine, release 1.2

- Technische ondersteuning en documentatie – Cisco Systems