Duo-integratie configureren met AD en ISE voor RAVPN 2FA

Downloadopties

  • PDF     (4.5 MB)
    Met Adobe Reader op diverse apparaten bekijken
Bijgewerkt:19 augustus 2026
Document-id:217739

Inclusief taalgebruik

De documentatie van dit product is waar mogelijk geschreven met inclusief taalgebruik. Inclusief taalgebruik wordt in deze documentatie gedefinieerd als taal die geen discriminatie op basis van leeftijd, handicap, gender, etniciteit, seksuele oriëntatie, sociaaleconomische status of combinaties hiervan weerspiegelt. In deze documentatie kunnen uitzonderingen voorkomen vanwege bewoordingen die in de gebruikersinterfaces van de productsoftware zijn gecodeerd, die op het taalgebruik in de RFP-documentatie zijn gebaseerd of die worden gebruikt in een product van een externe partij waarnaar wordt verwezen. Lees meer over hoe Cisco gebruikmaakt van inclusief taalgebruik.

Over deze vertaling

Cisco heeft dit document vertaald via een combinatie van machine- en menselijke technologie om onze gebruikers wereldwijd ondersteuningscontent te bieden in hun eigen taal. Houd er rekening mee dat zelfs de beste machinevertaling niet net zo nauwkeurig is als die van een professionele vertaler. Cisco Systems, Inc. is niet aansprakelijk voor de nauwkeurigheid van deze vertalingen en raadt aan altijd het oorspronkelijke Engelstalige document (link) te raadplegen.

Inleiding

In dit document wordt Duo push-integratie met AD en Cisco ISE beschreven als 2FA voor Cisco Secure Clients die zijn verbonden met ASA. 

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

  • Duo-toepassingen
  • Active Directory (AD)
  • Identity Services Engine (ISE)
  • RADIUS-configuratie op ASA
  • Remote Access VPN (RAVPN)-configuratie op Adaptive Security Appliance (ASA)

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

  • Duo-server
  • ISE Server 3.0
  • ASA 9.14.3.18 
  • Microsoft 2016 Server
  • Duo Authentication Proxy Manager

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Netwerkdiagram en -scenario

Network Diagram

communicatieproces

Duo Two-Factor RADIUS Authentication voor Cisco ISE

  1. Primaire verificatie gestart voor Cisco ISE.
  2. Cisco ASA stuurt een verificatieverzoek naar de Duo Authentication Proxy.
  3. Bij primaire verificatie wordt Active Directory of RADIUS gebruikt.
  4. Duo Authentication Proxy-verbinding met Duo Security via TCP-poort 443.
  5. Secundaire verificatie via de service van Duo Security.
  6. Duo-verificatieproxy ontvangt een verificatierespons.
  7. Cisco ISE-toegang verleend.

Gebruikersaccounts:

  • Active Directory Admin: Dit wordt gebruikt als de directory-account waarmee de Duo Auth-proxy kan worden gekoppeld aan de Active Directory-server voor primaire verificatie.
  • Active Directory-testgebruiker.
  • Duo-testgebruiker voor secundaire 2FA.

Active Directory-configuraties

Windows Server is vooraf geconfigureerd met Active Directory Domain-services.

Opmerking: als RADIUS Duo Auth Proxy Manager op hetzelfde Active Directory-hostsysteem wordt uitgevoerd, moeten de NPS-rollen (Network Policy Server) worden verwijderd/verwijderd. Als beide RADIUS-services worden uitgevoerd, kunnen er conflicten ontstaan en kunnen de prestaties worden beïnvloed. 

Om AD-configuratie voor verificatie en gebruikersidentiteit te bereiken bij VPN-gebruikers met externe toegang, zijn een paar waarden vereist. Al deze gegevens moeten worden gemaakt of verzameld op de Microsoft Server voordat de configuratie kan worden voltooid op de ASA- en Duo Auth-proxyserver.

De belangrijkste waarden zijn:

  • Domeinnaam: Dit is de domeinnaam van de server. In deze configuratiegids is agarciam.cisco de domeinnaam.
  • IP/Fully Qualified Domain Name (FQDN)-adres: het IP-adres of FQDN dat wordt gebruikt om de Microsoft-server te bereiken. Als een FQDN wordt gebruikt, moet een DNS-server worden geconfigureerd binnen ASA en de Duo Auth-proxy om het FQDN op te lossen. In deze configuratiegids is deze waarde agarciam.cisco, die wordt opgelost naar 10.28.17.107.
  • Serverpoort: de poort die wordt gebruikt door de LDAP-service. LDAP en STARTTLS gebruiken standaard TCP-poort 389 voor LDAP en LDAP over SSL (LDAPS) gebruikt TCP-poort 636.
  • Root CA: Als LDAPS of STARTTLS wordt gebruikt, is de root CA die wordt gebruikt om het SSL-certificaat te ondertekenen dat door LDAPS wordt gebruikt, vereist.
  • Directory-gebruikersnaam en wachtwoord: Dit is de account die door de Duo Auth-proxyserver wordt gebruikt om te binden aan de LDAP-server en gebruikers en groepen te verifiëren en te zoeken.
  • Base and Group Distinguished Name (DN): De Base DN is het vertrekpunt voor de Duo Auth-proxy en waarschuwt Active Directory om te beginnen met het zoeken naar en verifiëren van gebruikers.

In deze configuratiehandleiding wordt het hoofddomein agarciam.cisco gebruikt als de basis-DN en Group DN als Duo-USERS.

1. Als u een nieuwe Duo-gebruiker op Windows Server wilt toevoegen, navigeert u naar het pictogram van Windows linksonder en klikt u op de beheerprogramma's van Windows:

Windows Administrative

2. Navigeer in het venster Beheerprogramma's van Windows naar Active Directory-gebruikers en -computers. 

3. Vouw in het deelvenster Active Directory-gebruikers en -computers de domeinoptie uit en navigeer naar de map Gebruikers.

4. In dit configuratievoorbeeld wordt Duo-USERS gebruikt als doelgroep voor secundaire verificatie.

Active Directory

5. Klik met de rechtermuisknop op de map Gebruikers en selecteer Nieuw > Gebruiker:

User Creation

6. Geef in het venster Nieuw object-gebruiker de identiteitskenmerken voor de nieuwe gebruiker op en klik op Volgende:

User Setup 1

7. Bevestig het wachtwoord en klik op Volgende, en Voltooi zodra de gebruikersgegevens zijn geverifieerd.

User Setup 2

8. Wijs de nieuwe gebruiker toe aan een specifieke groep, klik met de rechtermuisknop en selecteer Toevoegen aan een groep:

Add to Group

9. Typ in het deelvenster Groepen selecteren de naam van de gewenste groep en klik op Namen controleren. Selecteer vervolgens de naam die aan uw criteria voldoet en klik op OK.

Check Names

10. Dit is de gebruiker die in dit document als voorbeeld wordt gebruikt.

Duo-configuraties

1. Log in op uw Duo Admin-portal.

Duo Login Page

2.Navigeer in het linkerdeelvenster naar Gebruikers, klik op Gebruiker toevoegen en typ de naam van de gebruiker die overeenkomt met de Active Domain-gebruikersnaam en klik vervolgens op Gebruiker toevoegen.

Duo Users 1

3. Vul in het nieuwe gebruikerspaneel alle benodigde informatie in.

Duo Users 2

4. Geef onder Gebruikersapparaten de secundaire verificatiemethode op.

Opmerking: In dit document wordt de methode Duo push voor mobiele apparaten gebruikt, dus er moet een telefoonapparaat worden toegevoegd.

5. Klik op Telefoon toevoegen.

Add Phone 1

6. Typ het telefoonnummer van de gebruiker in en klik op Telefoon toevoegen.

Add Phone 2

7. Ga in het linkerdeelvenster Duo Admin naar Gebruikers en klik op de nieuwe gebruiker.

Duo User

note-icon

Opmerking: als u bij het instellen geen toegang hebt tot uw telefoon, kunt u de e-mailoptie selecteren.

 8. Navigeer naar het gedeelte Telefoons en klik op Duo Mobile activeren.

Phones

9. Klik op Activeringscode Duo Mobile genereren.

Activate Duo


10. Selecteer E-mail om de instructies via e-mail te ontvangen, typ uw e-mailadres en klik op Instructies per e-mail verzenden.

Email Instructions

11. U ontvangt een e-mail met de instructies.

Email Duo

12. Open de Duo Mobile App vanaf uw mobiele apparaat en klik op Toevoegen, selecteer vervolgens QR-code gebruiken en scan de code uit de e-mail.

13. De nieuwe gebruiker wordt toegevoegd aan uw Duo Mobile App.

Duo Auth-proxyconfiguratie

1. Download en installeer Duo Auth Proxy Manager van Cisco Duo Authentication.

Opmerking: In dit document wordt de Duo Auth Proxy Manager geïnstalleerd op dezelfde Windows Server als de Active Directory-services. 

2. Navigeer in het deelvenster Duo Admin naar Toepassingen en klik op Een toepassing beveiligen.

Proxy Configuration

3. Zoek in de zoekbalk naar Cisco ISE Radius.

Protect Application

4. Kopieer de integratiesleutel, de geheime sleutel en de API-hostnaam. U hebt deze informatie nodig voor de Duo Authentication Proxy-configuratie.

Cisco ISE

5. Voer de toepassing Duo Authentication Proxy Manager uit en voltooi de configuratie voor zowel Active Directory-client als ISE Radius Server en klik op Valideren.

Opmerking: als de validatie niet succesvol is, raadpleegt u het tabblad Foutopsporing voor meer informatie en corrigeert u de gegevens dienovereenkomstig.

Validation

Cisco ISE-configuraties

1. Log in op het ISE Admin-portaal.

2. Vouw het tabblad Cisco ISE uit en navigeer naar Beheer, klik vervolgens op Netwerkbronnen en klik op Externe RADIUS-servers.

Cisco ISE

3. Klik op het tabblad Externe radiusservers op Toevoegen.

Radius Servers

4. Vul het lege veld in met de RADIUS-configuratie die wordt gebruikt in de Duo Authentication Proxy Manager en klik op Indienen.

Validation

5. Navigeer naar het tabblad RADIUS Server Sequences en klik op Add.

Radius Servers Sequence 1

6. Geef de naam van de reeks op en wijs de nieuwe externe RADIUS-server toe. Klik op Indienen.

Radius Servers Sequence 2

7. Navigeer van het Dashboard-menu naar Beleid en klik op Beleidssets.

Policy Sets

8. Wijs de RADIUS-reeks toe aan het standaardbeleid.

Opmerking: de duovolgorde op alle verbindingen wordt toegepast met het standaardbeleid dat wordt gebruikt; beleidstoewijzing kan variëren.

Default Policy Sets

Configuratie Cisco ASA RADIUS/ISE

1. Als u de ISE RADIUS-server wilt configureren onder AAA-servergroepen, navigeert u naar Configuratie, klikt u vervolgens op Apparaatbeheer, vouwt u het gedeelte Gebruikers/AAA uit en selecteert u AAA-servergroepen.

Configuration

2. Klik in het deelvenster AAA-servergroepen op Toevoegen.

AAA Server Groups

3. Selecteer de naam van de servergroep en geef RADIUS op als het te gebruiken protocol en klik vervolgens op OK.

AAA Server Groups Config

5. Selecteer de nieuwe servergroep en klik op Toevoegen onder de Servers in het deelvenster Geselecteerde groep:

AAA Server Groups ISE

6. In het venster AAA-server bewerken selecteert u de interfacenaam, geeft u het IP-adres van de ISE-server op en typt u de RADIUS Secret Key en klikt u op OK.

Opmerking: alle informatie moet overeenkomen met de informatie die is opgegeven in Duo Authentication Proxy Manager.

Edit AAA Server

CLI-configuratie

aaa-server ISE protocol radius
 dynamic-authorization
aaa-server ISE (outside) host 10.28.17.101
 key *****

Configuratie van Cisco ASA Remote Access VPN


ip local pool agarciam-pool 192.168.17.1-192.168.17.100 mask 255.255.255.0

group-policy DUO internal
group-policy DUO attributes
 banner value This connection is for DUO authorized users only!
 vpn-tunnel-protocol ikev2 ssl-client 
 split-tunnel-policy tunnelspecified
 split-tunnel-network-list value split-agarciam
 address-pools value agarciam-pool

tunnel-group ISE-users type remote-access
tunnel-group ISE-users general-attributes
 address-pool agarciam-pool
 authentication-server-group ISE
 default-group-policy DUO
tunnel-group ISE-users webvpn-attributes
 group-alias ISE enable
 dns-group DNS-CISCO

beproeven

1. Open de app Cisco Secure Client/AnyConnect op uw pc. Geef de hostnaam van de VPN ASA Headend op en log in met de gebruiker die is gemaakt voor de secundaire Duo-verificatie en klik op OK.

VPN

2. U ontvangt een Duo-pushmelding op het opgegeven Duo Mobile-apparaat van de gebruiker.

3. Open de Duo Mobile App-melding en klik op Goedkeuren.

Verify Identity

Verify Identity Approve

4. Accepteer de banner en de verbinding is tot stand gebracht.

VPN Connection

VPN Connection Accept

Problemen oplossen

Deze sectie bevat informatie waarmee u problemen met de configuratie kunt oplossen. Duo Authentication Proxy wordt geleverd met een foutopsporingsprogramma dat fouten en storingsredenen weergeeft.

Werken met fouten

Opmerking: de volgende informatie wordt opgeslagen in C:\Program Files\Duo Security Authentication Proxy\log\connectivity_tool.log.

Output 1

Output 2

Output 3

Output 4

gemeenschappelijke problemen

1. Connectiviteitsproblemen, verkeerde IP, onoplosbare FQDN/hostnaam in Active Directory-configuratie

Output 5

Output 6

2. Verkeerd wachtwoord voor gebruiker van beheerder in Active Directory

Output 7

Debugs:

Output 8

3. Verkeerd basisdomein

Output 9

Debugs:

Output 10

4. Verkeerde iKey RADIUS-waarde

Output 11

Debugs:

Output 12

5. Controleer of de ISE-server toegangspakketten verzendt

Pcap

6. Gebruik het NTRadPing-hulpprogramma om te controleren of de duo-verificatieproxy werkt

Om te bevestigen dat de Duo Authentication Proxy-server werkt, biedt Duo de NTRadPing-tool om pakketten en antwoorden met Duo te simuleren.

     6.1 Installeer NTRadPing op een andere pc en genereer verkeer.

Opmerking: In dit voorbeeld wordt het Windows-systeem 10.28.17.3 gebruikt.

     6.2 Configureer met de attributen die worden gebruikt in de ISE Radius-configuratie.

Attributes ISE

     6.3 Configureer de Duo Authentication Proxy Manager zoals in het volgende voorbeeld:

Duo Auth

     6.4. Navigeer naar uw NTRadPing-tool en klik op Verzenden. U ontvangt een Duo-pushmelding op het toegewezen mobiele apparaat.

NTRadPing

Pcap2

Revisiegeschiedenis

Revisie Publicatiedatum Opmerkingen
5.0
19-Aug-2026
Bijgewerkte titel, Inleiding, spelling, grammatica, ingevoegde horizontale lijnen naar afzonderlijke secties voor leesbaarheid, alt-tekst.
4.0
10-Jul-2025
Bijgewerkte alt-tekst, links, acroniemen, stijlvereisten, spelling en opmaak.
2.0
18-Apr-2023
hercertificering
1.0
15-Mar-2022
Eerste vrijgave
TAC Authored

Bijgedragen door Cisco-engineers

  • Alan Omar Garcia
    Customer Experience Customer Success Specialist

Was dit document nuttig?

FeedbackFeedback

Contact Cisco

Dit document is van toepassing op deze producten