Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Configuratie

ACS 5.x-configuratie

Netwerkapparaten en netwerkapparaatgroepen configureren

Een identiteitsgroep in ACS toevoegen

Een lokale gebruiker aan ACS toevoegen

ACS-beleid configureren

Configuratie van FireSIGHT Management Center

Configuratie van FireSIGHT Manager-systeembeleid

Externe verificatie inschakelen

Verificatie

Gerelateerde Cisco Support Community-discussies

Inleiding

Dit document beschrijft de configuratiestappen die nodig zijn om een Cisco FireSIGHT Management Center (FMC) of een FirePOWER Managed-apparaat met Cisco Secure Access Control System 5.x (ACS) te integreren voor verificatie op afstand van verificatie, bellen in gebruikersverificatie (RADIUS).

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

- FireSIGHT System en de eerste configuratie van het beheerde apparaat via GUI en/of shell

- Het configureren van authenticatie- en autorisatiebeleid voor ACS 5.x

- Basiskennis van RADIUS

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

- Cisco beveiligde toegangscontrole Systeem 5.7(ACS 5.7)

- Cisco FireSIGHT Manager Center 5.4.1

Bovenstaande versies zijn de meest recente versies die momenteel beschikbaar zijn. De functie wordt ondersteund op alle ACS 5.x-versies en FMC 5.x-versies.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u de potentiële impact van elke opdracht begrijpen.

Configuratie

ACS 5.x-configuratie

Netwerkapparaten en netwerkapparaatgroepen configureren

- Vanuit de ACS GUI, navigeer naar de Groep van het Netwerkapparaat, klik op het Type apparaat en creëren een Apparaatgroep. In het voorbeeld screenshot dat hieronder volgt, is het apparaattype FireSight geconfigureerd.  Dit type apparaat zal in een latere stap worden vermeld in de definitie van de regel betreffende het autorisatiebeleid.  Klik op Opslaan.

- Vanuit de ACS GUI, navigeer naar de Groep van het Netwerkapparaat, klik op de cliënten van het Netwerk en AAA en voeg een apparaat toe.  Geef een beschrijvende naam en IP-adres voor het apparaat op.  Het FireSIGHT Management Center is gedefinieerd in het onderstaande voorbeeld.

- In de Groepen van het Netwerkapparaat, dient u het Type apparaat te configureren net als de apparaatgroep die in de bovenstaande stap is gemaakt.

- Controleer het vakje naast Verificatieopties, selecteer RADIUS-selectieteken en voer de gedeelde geheime toets in die voor deze NAD zal worden gebruikt.  Merk op dat dezelfde gedeelde geheime sleutel later opnieuw gebruikt zal worden bij het configureren van de RADIUS-server op het FireSIGHT Management Center.  Klik op de knop Weergeven om de waarde voor de onbewerkte tekst te bekijken.  Klik op Inzenden.

- Herhaal de bovenstaande stappen voor alle FireSIGHT Management Centers en Beheerde Apparaten waarvoor RADIUS-gebruikersverificatie/autorisatie voor GUI en/of shell-toegang vereist is.

Een identiteitsgroep in ACS toevoegen

- Navigeer naar gebruikers en identiteitsopslag, stel Identiteitsgroep in. In dit voorbeeld, is de identiteitsgroep gecreëerd "De administrateur van de Schuin".  Deze groep zal worden gekoppeld aan het in de onderstaande stappen gedefinieerde vergunningprofiel.

Een lokale gebruiker aan ACS toevoegen

- Navigeer naar gebruikers en identiteitsopslag, stel gebruikers in het gedeelte Interne identiteitsopslag. Voer de gewenste informatie in voor de maken van lokale gebruikers. Selecteer de Identity Group die in bovenstaande stap is gemaakt en klik op Inzenden.

ACS-beleid configureren

- In de ACS GUI, navigeer naar Beleidselementen > Vergunning en Toestemmingen > Netwerktoegang > Verificatieprofielen.  Maak een nieuw vergunningprofiel met een beschrijvende naam. In het onderstaande voorbeeld is beleid gemaakt met een FireSight-beheerder.

- Voeg in het tabblad RADIUS-eigenschappen de handmatige eigenschap toe voor het autoriseren van de hierboven gemaakte identiteitsgroep en klik op Indienen

- Navigeren in toegang Beleid > Toegangsservices > Standaardnetwerktoegang > autorisatie en een nieuw autorisatiebeleid te configureren voor de FireSight Management Center-beheersessies.  Het onderstaande voorbeeld gebruikt de NDG:Apparaattype & toestand van de Identity Group om het apparaattype en de identiteitsgroep te evenaren die in de bovenstaande stappen zijn geconfigureerd.

- Dit beleid wordt vervolgens gekoppeld aan het autorisatieprofiel van de FireSight-beheerder, dat hierboven als resultaat is geconfigureerd.  Klik op Inzenden.

Configuratie van FireSIGHT Management Center

Configuratie van FireSIGHT Manager-systeembeleid

- Meld u aan bij FireSIGHT MC en navigeer naar Systeem > Local > User Management.  Klik op het tabblad Externe verificatie.  Klik op de knop + Verificatieobject maken om een nieuwe RADIUS-server toe te voegen voor gebruikersverificatie/autorisatie.

- Selecteer RADIUS voor de verificatiemethode.  Voer een beschrijvende naam in voor de RADIUS-server.  Voer de hostnaam/IP-adres in en RADIUS-beveiligingssleutel.  De geheime toets moet overeenkomen met de toets die eerder op ACS was ingesteld.  Voer naar keuze een back-up ACS server Host Name/IP-adres in indien er een bestaat.

- Onder het RADIUS-specifieke parameters In dit voorbeeld wordt de waarde van de beheerder van de klasse=Groepen:De waarde van de bestuurder van FireSight in kaart gebracht aan de groep van de administrateur.  Dit is de waarde die ACS terug zal geven als deel van de ACCESS-ACCEPT. Klik Opslaan om de configuratie op te slaan of naar het gedeelte Verifiëren hieronder te gaan om verificatie met ACS te testen.

- Voer onder Shell Access Filter een komma gescheiden lijst in van gebruikers om shell/SSH sessies te beperken.

Externe verificatie inschakelen

Ten slotte moeten deze stappen worden voltooid om externe authenticatie op het VMC mogelijk te maken:

1. Blader naar Systeem > Local > System Policy.

2. Selecteer Externe Verificatie in het linker paneel.

3. Wijzig de status in Ingeschakeld (standaard uitgeschakeld).

4. Schakel de toegevoegde ACS-RADIUS-server in.

5. Bewaar het beleid en pas het apparaat opnieuw toe.

Verificatie

- Om gebruikersauthenticatie tegen ACS te testen, scrollen naar de sectie Aanvullende Testparameters en voer een gebruikersnaam en wachtwoord voor de ACS-gebruiker in.  Klik op Test.  Een succesvolle test zal resulteren in een groen succes:  Test Complete bericht boven in het browser venster.

- Om de resultaten van de testverificatie te bekijken, gaat u naar het vak Uitvoer testen en klikt u op de zwarte pijl naast Details weergeven.  In het onderstaande voorbeeld, noteer de "radiusauth - response: |Class=Groepen:FireSight Administrator|"-waarde ontvangen van ACS.  Dit moet overeenkomen met de waarde van de klasse die is gekoppeld aan de lokale FireSIGHT-groep die hierboven is ingesteld op FireSIGHT MC.  Klik op Opslaan.