Gedifferentieerde verificatietypen op ASA-platforms voor beleidsbeslissingen op ISE

Downloadopties

  • PDF     (136.5 KB)
    Met Adobe Reader op diverse apparaten bekijken
  • ePub     (162.7 KB)
    Bekijken in diverse apps op iPhone, iPad, Android, Sony Reader of Windows Phone
  • Mobi (Kindle)     (263.3 KB)
    Op Kindle-apparaat of via Kindle-app op meerdere apparaten bekijken
Bijgewerkt:3 maart 2013
Document-id:115962

Inclusief taalgebruik

De documentatie van dit product is waar mogelijk geschreven met inclusief taalgebruik. Inclusief taalgebruik wordt in deze documentatie gedefinieerd als taal die geen discriminatie op basis van leeftijd, handicap, gender, etniciteit, seksuele oriëntatie, sociaaleconomische status of combinaties hiervan weerspiegelt. In deze documentatie kunnen uitzonderingen voorkomen vanwege bewoordingen die in de gebruikersinterfaces van de productsoftware zijn gecodeerd, die op het taalgebruik in de RFP-documentatie zijn gebaseerd of die worden gebruikt in een product van een externe partij waarnaar wordt verwezen. Lees meer over hoe Cisco gebruikmaakt van inclusief taalgebruik.

Over deze vertaling

Cisco heeft dit document vertaald via een combinatie van machine- en menselijke technologie om onze gebruikers wereldwijd ondersteuningscontent te bieden in hun eigen taal. Houd er rekening mee dat zelfs de beste machinevertaling niet net zo nauwkeurig is als die van een professionele vertaler. Cisco Systems, Inc. is niet aansprakelijk voor de nauwkeurigheid van deze vertalingen en raadt aan altijd het oorspronkelijke Engelstalige document (link) te raadplegen.

Inleiding

Dit document beschrijft hoe u Cisco Identity Services Engine (ISE) moet configureren om het clienttype RADIUS-leverancierspecifieke kenmerk (VSA) te gebruiken om meerdere typen verificatie te differentiëren die worden gebruikt op de Cisco adaptieve security applicatie (ASA). Organisaties vereisen vaak beleidsbeslissingen die zijn gebaseerd op de authenticatie van de gebruiker aan de ASA. Dit stelt u ook in staat om beleid toe te passen op ontvangen beheerverbindingen op de ASA, die ons in staat stelt om RADIUS te gebruiken in plaats van TACACS+, wanneer verstandig.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

  • ISE-authenticatie en autorisatie.

  • ASA-verificatiemethoden en RADIUS-configuratie.

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

  • Cisco adaptieve security applicatie release 8.4.3

  • Cisco Identity Services Engine release 1.1.

Conventies

Raadpleeg Cisco Technical Tips Conventions (Conventies voor technische tips van Cisco) voor meer informatie over documentconventies.

RADIUS VSA 3076/1500 clienttype, kenmerk

De eigenschap Client-Type werd toegevoegd in ASA release 8.4.3. Hiermee kan de ASA het type client naar de ISE sturen in pakketten met toegangsaanvraag (en accounting-aanvraag) en ISE in staat stellen beleidsbeslissingen te nemen op basis van die eigenschap. Deze eigenschap vereist geen configuratie op de ASA, en wordt automatisch verzonden.

De eigenschap Client-Type wordt momenteel gedefinieerd met deze integerwaarden:

  1. Cisco VPN-client (Internet Key Exchange versie (IKEv1)

  2. AnyConnect-client-SSL VPN

  3. Clientloze SSL VPN

  4. Cut-Through Proxy

  5. L2TP/IPsec VPN

  6. AnyConnect-client voor IPsec VPN (IKEv2)

Configureren

In dit gedeelte wordt de informatie verstrekt die u nodig hebt om de ISE te configureren voor het gebruik van de eigenschap Client-Type die in dit document wordt beschreven.

Stap 1

De aangepaste kenmerken maken

Als u de waarden van de eigenschap client-type aan ISE wilt toevoegen, maakt u de eigenschap en vult u de waarden in als een aangepast woordenboek.

  1. Op ISE, navigeer naar Policy > Policy Elementen > Woordenboeken > System.

  2. Binnen de systeemwoordenboeken, navigeer naar RADIUS > RADIUS-verkopers > Cisco-VPN3000.

  3. De verkoper-ID op het scherm moet 3076 zijn. Klik op het tabblad Woordenboek-kenmerken.

    1. Klik op Add (zie afbeelding 1).

      Afbeelding 1: Woordenboek-kenmerken

      differ-auth-types-asa-ise-01.gif

    2. Bedek de velden in de vorm van de aangepaste RADIUS-leverancierkenmerken zoals in afbeelding 2.

      Afbeelding 2: RADIUS-leverancierkenmerken

      differ-auth-types-asa-ise-02.gif

    3. Klik onder in het scherm op de knop Opslaan.

Stap 2

Toevoegen clienttype-kenmerk

Om de nieuwe eigenschap voor beleidsbeslissingen te gebruiken, de eigenschap aan een machtigingsregel toe te voegen in het vak voorwaarden.

  1. In ISE, navigeer naar Policy > Authorization.

  2. Maak een nieuwe regel of wijzig een bestaand beleid.

  3. In het gedeelte onder voorwaarden van de regel vouwt u het deelvenster met voorwaarden uit en selecteert u Een nieuwe conditionering maken (voor een nieuwe regel) of Eigenschappen/waarde toevoegen (voor een bestaande regel).

  4. In het veld Selectieteken navigeer naar Cisco-VPN3000 > Cisco-VPN3000:CVPN3000/ASA/PIX7x-client-type.

  5. Kies de juiste operator (is gelijk aan of is gelijk aan) voor uw omgeving.

  6. Kies het verificatietype dat u wilt aanpassen.

  7. Wijs een vergunningsresultaat toe dat aan uw beleid aangepast is.

  8. Klik op Klaar.

  9. Klik op Opslaan.

Nadat de regel is gemaakt, zou de machtigingsvoorwaarde op het voorbeeld in afbeelding 3 moeten lijken.

Afbeelding 3: Voorbeeld van machtigingsvoorwaarden

differ-auth-types-asa-ise-03.gif

Verifiëren

Om de eigenschap van het clienttype in gebruik te controleren, dient u de authenticaties van de ASA in ISE te onderzoeken.

  1. Navigeren in naar bewerkingen > Verificaties

  2. Klik op de knop Details voor de verificatie van de ASA.

  3. Naar andere kenmerken bladeren en naar CVPN300/ASA/PIX7x-Client-Type= (zie afbeelding 4) bladeren

    Afbeelding 4: Overige bijzonderheden

    differ-auth-types-asa-ise-04.gif

  4. Het veld Overige Eigenschappen dient de ontvangen waarde voor de echtheidscontrole aan te geven. De regel moet overeenkomen met het beleid dat in stap 2 van het configuratiegedeelte is gedefinieerd.

Gerelateerde informatie

Revisiegeschiedenis

Revisie Publicatiedatum Opmerkingen
1.0
03-Mar-2013
Eerste vrijgave
TAC Authored

Bijgedragen door Cisco-engineers

  • Beau Wallace
    Cisco TAC Engineer.

Was dit document nuttig?

FeedbackFeedback

Contact Cisco

Dit document is van toepassing op deze producten