Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Configureren

Configuraties

1. Voeg netwerkapparaat toe op ISE en schakel het DTLS-protocol in.

2. Configuratie van DTLS poort en ongebruikte tijdslimiet.

3. Exportemittent van het DTLS RADIUS-certificaat bij ISE-trustwinkel.

4. Het vertrouwenspunt configureren en het invoercertificaat ter authenticatie instellen.

5. Exportcertificaat van de schakelaar.

6. Importeer switch certificaat aan ISE Trust Store.

7. Configureer de RADIUS op de schakelaar.

8. Het beleid op ISE configureren.

Verifiëren

Problemen oplossen

1. ISE ontvangt geen verzoeken.

2. DTLS-handdruk mislukt.

Inleiding

Dit document beschrijft de configuratie en probleemoplossing van RADIUS via Datagram Transport Layer Security Protocol (DTLS). DTLS biedt encryptiediensten voor RADIUS, dat over een beveiligde tunnel wordt getransporteerd.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

- Cisco Identity Services Engine (ISE)

- RADIUS-protocol

- Cisco IOS-Cisco

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

- Cisco Identity Services Engine 2.2

- Catalyst 3650 met IOS 16.6.1

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u de potentiële impact van elke opdracht begrijpen.

Configureren

Configuraties

1. Voeg netwerkapparaat toe op ISE en schakel het DTLS-protocol in.

Navigeer naar Beheer > Netwerkbronnen > Netwerkapparaten. Klik op Toevoegen en geef ten minste de verplichte velden op:

- Naam - Er wordt een gebruiksvriendelijke naam van het apparaat toegevoegd.

- IP Address - IP Address, waarvan authenticator gebruik maakt om contact op ISE op te nemen. Het is mogelijk om een reeks apparaten te configureren. Specificeer daartoe een goed masker (kleiner dan 32).

- Apparaatprofiel - Algemene instellingen voor het apparaat. Het stelt in staat te specificeren welke protocollen worden verwerkt, welke wijzigingen van de CoA-instellingen (Authorization) en de configuratie van de Radius-kenmerken worden aangebracht. Voor meer informatie, navigeer naar Beheer > Netwerkbronnen > Netwerkprofielen.

- Network Devices Group - Stel een apparaattype in, IPSec de functies en de locatie van het apparaat. Deze instelling is niet verplicht. Als u geen aangepaste waarden selecteert, worden de standaardinstellingen verondersteld.

Selecteer RADIUS-verificatie-instellingen en selecteer DTLS-instellingen van RADIUS en DTLS verplicht. Dit maakt RADIUS-communicatie met authenticator alleen mogelijk via DTLS beveiligde tunnel. Merk op dat het gedeelde geheime tekstvak gegraveerd is. Deze waarde in het geval van RADIUS DTLS is vastgelegd en de zelfde string is ingesteld aan de kant van de authenticator.

2. Configuratie van DTLS poort en ongebruikte tijdslimiet.

U kunt de poort configureren die wordt gebruikt voor communicatie met het DTLS-netwerk en tijdelijke uitvoer bij Beheer > Systeem > Instellingen > Protocollen > RADIUS > RADIUS-TLS.

Merk op dat DTLS poort anders is dan RADIUS poorten. Standaard gebruikt een RADIUS paren 1645, 1646 en 1812, 1813. Standaard DTLS voor authenticatie, autorisatie, accounting en CoA gebruik van poort 2083. De inactiviteitstimer specificeert hoe lang ISE en authenticator tunnels onderhouden zonder enige echte communicatie die het doorvoert. Deze timeout wordt in seconden gemeten en varieert van 60 tot 600 seconden.

3. Exportemittent van het DTLS RADIUS-certificaat bij ISE-trustwinkel.

Om de tunnel tussen ISE en authenticator te creëren, moeten beide entiteiten certificaten uitwisselen en controleren. Authenticator moet het ISE RADIUS DTLS-certificaat vertrouwen, wat betekent dat zijn emittent aanwezig moet zijn in de Trust Store van de authenticator. Om de ondertekenaar van het ISE-certificaat te kunnen exporteren, navigeer naar Administratie > Systeem > Certificaten, zoals in de afbeelding:

Lokaliseer certificaat met RADIUS DTLS rol toegewezen en controleer afgegeven door veld voor dit certificaat. Dit is de Gemeenschappelijke Naam van certificaat dat uit ISE Trust Store moet worden geëxporteerd. Om dat te doen, navigeer dan naar Administratie > Systeem > CertificatenTrusted Certificaten. Selecteer selectieteken naast het juiste certificaat en klik op Exporteren.

4. Het vertrouwenspunt configureren en het invoercertificaat ter authenticatie instellen.

U kunt als volgt een trustpunt instellen door aan de knop te loggen en opdrachten uit te voeren:

configure terminal

crypto pki trustpoint isetp

enrollment terminal

revocation-check none

exit

Importeer certificaat met commando crypto pki authenticate isetp. Typ ja bij ontvangst van het certificaat.

Switch3650(config)#crypto pki authenticate isetp

Enter the base 64 encoded CA certificate.

End with a blank line or the word "quit" on a line by itself

-----BEGIN CERTIFICATE-----

MIIDWTCCAkGgAwIBAgIQL9s4RrhtWLpJjBYB5v0dtTANBgkqhkiG9w0BAQUFADA/

MRMwEQYKCZImiZPyLGQBGRYDY29tMRcwFQYKCZImiZPyLGQBGRYHZXhhbXBsZTEP

MA0GA1UEAxMGTEFCIENBMB4XDTE1MDIxMjA3MzgxM1oXDTI1MDIxMjA3NDgxMlow

PzETMBEGCgmSJomT8ixkARkWA2NvbTEXMBUGCgmSJomT8ixkARkWB2V4YW1wbGUx

DzANBgNVBAMTBkxBQiBDQTCCASIwDQYJKoZIhvcNAQEBBQADggEPADCCAQoCggEB

AMDSfJwvbJLHHJf4vDTalGjKrDI73c/y269IMZV48xpCruNhglcU8CW/T9Ysj6xk

Oogtx2vpG4XJt7KebDZ/ac1Ymjg7sPBPcnyDZCd2a1b39XakD2puE8lVi4RVkjBH

pss2fTWeuor9dzgb/kWb0YqIsgw1sRKQ2Veh1IXmuhX+wDqELHPIzgXn/DOBF0qN

vWlevrAlmBTxC04t1aPwyRk6b6ptjMeaIv2nqy8tOrldMVYKsPDj8aOrFEQ2d/wg

HDvd6C6LKRBpmAvtrqyDtinEl/CRaEFH7dZpvUSJBNuh7st3JIG8gVFstweoMmTE

zxUONQw8QrZmXDGTKgqvisECAwEAAaNRME8wCwYDVR0PBAQDAgGGMA8GA1UdEwEB

/wQFMAMBAf8wHQYDVR0OBBYEFO0TzYQ4kQ3fN6x6JzCit3/l0qoHMBAGCSsGAQQB

gjcVAQQDAgEAMA0GCSqGSIb3DQEBBQUAA4IBAQAWbWGBeqE2u6IGdKEPhv+t/rVi

xhn7KrEyWxLkWaLsbU2ixsfTeJDCM8pxQItsj6B0Ey6A05c3YNcvW1iNpupGgc7v

9lMt4/TB6aRLVLijBPB9/p2/3SJadCe/YBaOn/vpmfBPPhxUQVPiBM9fy/Al+zsh

t66bcO3WcD8ZaKaER0oT8Pt/4GHZA0Unx+UxpcNuRRz4COArINXE0ULRfBxpIkkF

pWNjH0rlV55edOga0/r60Cg1/J9VAHh3qK2/3zXJE53N+A0h9whpG4LYgIFLB9ep

ZDim7KGsf+P3zk7SsKioGB4kqidHnm34XjlkWFnrCMQH4HC1oEymakV3Kq24

-----END CERTIFICATE-----

Certificate has the following attributes:

Fingerprint MD5: B33EAD49 87F18924 590616B9 C8880D9D

Fingerprint SHA1: FD729A3B B533726F F8450358 A2F7EB27 EC8A1178

% Do you accept this certificate? [yes/no]: yes

Trustpoint CA certificate accepted.

% Certificate successfully imported

5. Exportcertificaat van de schakelaar.

Selecteer vertrouwen en certificaat dat voor DTLS op de schakelaar moet worden gebruikt en voer het uit:

Switch3650(config)#crypto pki export TP-self-signed-721943660 pem terminal

% Self-signed CA certificate:

-----BEGIN CERTIFICATE-----

MIICKTCCAZKgAwIBAgIBATANBgkqhkiG9w0BAQUFADAwMS4wLAYDVQQDEyVJT1Mt

U2VsZi1TaWduZWQtQ2VydGlmaWNhdGUtNzIxOTQzNjYwMB4XDTE2MDQyNzExNDYw

NloXDTIwMDEwMTAwMDAwMFowMDEuMCwGA1UEAxMlSU9TLVNlbGYtU2lnbmVkLUNl

cnRpZmljYXRlLTcyMTk0MzY2MDCBnzANBgkqhkiG9w0BAQEFAAOBjQAwgYkCgYEA

xRybTGD526rPYuD2puMJu8ANcDqQnwunIERgvIWoLwBovuAu7WcRmzw1IDTDryOH

PXt1n5GcQSAOgn+9QdvKl1Z43ZkRWK5E7EGmjM/aL1287mg4/NlrWr4KMSwDQBJI

noJ52CABXUoApuiiJ8Ya4gOYeP0TmsZtxP1N+s+wqjMCAwEAAaNTMFEwDwYDVR0T

AQH/BAUwAwEB/zAfBgNVHSMEGDAWgBSEOKlAPAHBPedwichXL+qUM+1riTAdBgNV

HQ4EFgQUhDipQDwBwT3ncInIVy/qlDPta4kwDQYJKoZIhvcNAQEFBQADgYEAlBNN

wKSS8yBuOH0/jUV7sy3Y9/oV7Z9bW8WFV9QiTQ1lZelvWMTbewozwX2LJvxobGcj

Pi+n99RIH8dBhWwoYl9GTN2LVI22GIPX12jNLqps+Mq/u2qxVm0964Sajs5OlKjQ

69XFfCVot1NA6z2eEP/69oL9x0uaJDZa+6ileh0=

-----END CERTIFICATE-----

Om een lijst te maken van alle gevormde trustpoints, moet je opdracht uitvoeren om cryptografische poppen te tonen. Nadat het certificaat is afgedrukt om te troosten, kopieert u het naar een bestand en slaat u het op uw pc.

6. Importeer switch certificaat aan ISE Trust Store.

Op ISE, navigeer naar Beheer > Certificaten > Vertrouwde certificaten en klik op Importeren.

Klik nu op Bladeren en selecteer certificaat van de switch. Verstrek (optioneel) vriendschappelijke naam en selecteer selectietekens Vertrouwen voor authenticatie binnen ISE en Vertrouwen voor cliëntauthecertificatie en Syslog. Klik vervolgens op Inzenden, zoals in de afbeelding:

7. Configureer de RADIUS op de schakelaar.

Voeg de configuratie van RADIUS toe op de schakelaar. Om de schakelaar te configureren om met ISE via DTLS te communiceren, gebruikt u opdrachten:

radius server ISE22

address ipv4 10.48.23.86

key radius/dtls

dtls port 2083

dtls trustpoint client TP-self-signed-721943660

dtls trustpoint server isetp

De rest van de AAA-specifieke configuratie is afhankelijk van uw vereisten en ontwerp. Behandel deze configuratie als voorbeeld:

aaa group server radius ISE

server name ISE22

radius-server attribute 6 on-for-login-auth

radius-server attribute 8 include-in-access-req

radius-server attribute 25 access-request include

aaa authentication dot1x default group ISE

aaa authorization network default group ISE

8. Het beleid op ISE configureren.

Verificatie- en autorisatiebeleid ten aanzien van ISE configureren. Deze stap is ook afhankelijk van uw ontwerp en uw vereisten.

Verifiëren

Om te verifiëren dat de gebruikers voor authenticatie kunnen zorgen, gebruik test aaa opdracht op de schakelaar:

Switch3650#test aaa group ISE alice Krakow123 new-code

User successfully authenticated

USER ATTRIBUTES

username             0   "alice"

Switch3650#

U dient het bericht te zien dat de gebruiker is echt verklaard. navigeren naar ISE Operations > RADIUS > LiveLog en selecteer details voor aangepast logbestand (klik op vergroot glas):

Aan de rechterkant van het verslag staat een lijst met stappen. Controleer of de eerste stap in de lijst met RADIUS is versleuteld.

Daarnaast kunt u pakketvastlegging op ISE starten en de opdracht testgegevens één keer uitvoeren. Om de opname te starten, navigeer naar Operations > Troubleshooter > Diagnostische tools > General Tools > TCP-pomp. Selecteer Policy Service Node voor verificatie en klik op Start:

Als de verificatie is voltooid, klikt u op Stoppen en Downloaden. Wanneer u pakketvastlegging opent, dient u verkeer versleuteld met DTLS te kunnen zien:

Packets #813 - #822 maken deel uit van de handdruk van DTLS. Wanneer de handdruk met succes is onderhandeld, worden de Application Data verzonden. Merk op dat het aantal pakketten kan variëren en afhankelijk is van bijvoorbeeld de gebruikte authenticatiemethode (PAP, EAP-PEAP, EAP-TLS, enz.). De inhoud van elk pakket is versleuteld:

Wanneer alle gegevens worden verzonden, wordt de tunnel niet onmiddellijk afgebroken. De op ISE ingestelde Idle-out bepaalt hoe lange tunnel kan worden ingericht zonder communicatie door het te voeren. Als de timer verlopen en het nieuwe toegangsverzoek naar ISE moet worden verzonden, wordt de DTLS-handdruk uitgevoerd en de tunnel wordt opnieuw gebouwd.

Problemen oplossen

1. ISE ontvangt geen verzoeken.

Merk op dat de standaard DTLS poort 2083 is. Standaard RADIUS-poorten zijn 1645,1646 en 1812,1813. Zorg ervoor dat de firewall het UDP/2083-verkeer niet blokkeert.

2. DTLS-handdruk mislukt.

In het gedetailleerde rapport over ISE ziet u mogelijk dat de DTLS-handdruk is mislukt:

Mogelijke reden is dat de schakelaar of ISE geen certificaat vertrouwt dat tijdens de handdruk wordt verstuurd. Controleer de configuratie van het certificaat. Controleer dat het juiste certificaat is toegewezen aan RADIUS DTLS rol op ISE en aan de trustpoints op de switch.