Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Configureren

Netwerkdiagram

ASA

ISE

Stap 1. Netwerkapparaat configureren

Stap 2. Instellen van posteringsvoorwaarden en -beleid

Stap 3. Het configureren van middelen en beleid voor clientprovisioning

Stap 4. Instellen van vergunningsregels

Verifiëren

Voordat u VPN-sessieinstelling

VPN-sessieinstelling

Clientprovisioning

Postcheque en CoA

Problemen oplossen

Referenties

Inleiding

Dit document beschrijft hoe u de Cisco Identity Services Engine (ISE) kunt configureren om alleen volledige toegang tot het netwerk te bieden wanneer er een USB-opslagapparaat is losgekoppeld.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

- Basiskennis van de adaptieve security applicatie (ASA) CLI-configuratie en Secure Socket Layer (SSL) VPN-configuratie

- Basiskennis van de VPN-configuratie op externe toegang op de ASA

- Basiskennis van ISE- en postdiensten

Gebruikte componenten

Cisco Identity Services Engine (ISE) versie 2.1 en AnyConnect Secure Mobility Client 4.3 ondersteunen een USB-opslagcontrole en -opslag. De informatie in dit document is gebaseerd op deze softwareversies:

- Cisco ASA-softwareversies 9.2(4) en hoger

- Microsoft Windows versie 7 met Cisco AnyConnect Secure Mobility Client versie 4.3 en hoger

- Cisco ISE, release 2.1 en hoger

Configureren

Netwerkdiagram

De stroom is als volgt:

- De gebruiker is nog niet op VPN aangesloten en de unit voor particuliere USB-massa is aangesloten en de inhoud is beschikbaar voor de gebruiker

- VPN-sessie gestart door AnyConnect-client is authentiek via ISE. De status van het eindpunt is niet bekend, de regel "Posture_Onbekend" wordt geraakt en dientengevolge zal de sessie naar ISE worden verlegd

- De USB-controles introduceren een nieuw type controles in de AC ISE-opstelling, in die zin dat zij het eindpunt continu zullen bewaken zolang het blijft in hetzelfde door ISE gecontroleerde netwerk. De enige logische herstelactie die beschikbaar is, is om het USB-apparaat (de USB-apparaten) dat door hun drijfletter is geïdentificeerd, te blokkeren

- VPN-sessie over ASA wordt bijgewerkt, ACL-omleiding wordt verwijderd en volledige toegang wordt verleend

VPN-sessie is net als voorbeeld gepresenteerd. De functie van de post werkt ook voor andere typen van de toegang prima.

ASA

ASA is ingesteld voor externe SSL VPN-toegang met ISE als AAA-server. Radius CoA moet samen met omleiding ACL worden geconfigureerd:

aaa-server ISE21 protocol radius

authorize-only

interim-accounting-update periodic 1

dynamic-authorization

aaa-server ISE21 (outside) host 10.48.23.88

key cisco

tunnel-group RA type remote-access

tunnel-group RA general-attributes

address-pool POOL

authentication-server-group ISE21

accounting-server-group ISE21

default-group-policy GP-SSL

tunnel-group RA webvpn-attributes

group-alias RA enable

webvpn

enable outside

anyconnect image disk0:/anyconnect-win-4.3.00520-k9.pkg 1

anyconnect enable

tunnel-group-list enable

error-recovery disable

group-policy GP-SSL internal

group-policy GP-SSL attributes

dns-server value 10.62.145.72

vpn-tunnel-protocol ssl-client

access-list ACL_WEBAUTH_REDIRECT extended deny udp any any eq domain

access-list ACL_WEBAUTH_REDIRECT extended deny ip any host 10.48.23.88

access-list ACL_WEBAUTH_REDIRECT extended deny icmp any any

access-list ACL_WEBAUTH_REDIRECT extended permit tcp any any

Zie voor meer informatie:

AnyConnect 4.0 Integratie met ISE versie 1.3 Configuratievoorbeeld

ISE

Stap 1. Netwerkapparaat configureren

Van Beheer > Netwerkbronnen > Netwerkapparaten > ASA toevoegen.

Stap 2. Instellen van posteringsvoorwaarden en -beleid

Controleer of de posteringsomstandigheden zijn bijgewerkt: Administratie > Systeem > Instellingen > Postwissel > Bijwerken > Nu bijwerken optie.

ISE 2.1 wordt geleverd met een vooraf ingestelde USB-conditionering, die controleert of een USB-opslagvoorziening is aangesloten.

Van Policy > Policy Elementen > Voorwaarden > Posture > USB conditionering verifieert bestaande toestand:

Van Policy > Policy Elementen > Resultaten > Posture > Requirements, verifieer vooraf gedefinieerde vereisten die deze conditie gebruiken.

Vanuit Policy > Posture kunt u een voorwaarde voor alle Windows toevoegen om dat vereiste te gebruiken:

Van Policy > Policy Elementen > Resultaten > Posture > Remediation Actions > USB Remediations controleer vooraf ingestelde herstelactie om USB-opslagapparaten te blokkeren:

Stap 3. Het configureren van middelen en beleid voor clientprovisioning

Vanuit Policy > Policy Elementen > Client Provisioning > Resources downloadmodule van Cisco.com en uploaden handmatig het AnyConnect 4.3-pakket:

Wanneer u Add > NAC Agent of AnyConnect Posture Profile gebruikt, maakt u een AnyConnect Posture-profiel (naam: AnyConnect_Posture_Profile) met standaardinstellingen.

Add > AnyConnect Configuration gebruiken om een AnyConnect-configuratie toe te voegen (naam: AnyConnect-configuratie):

Vanuit Policy > Client Provisioning gecreëerd een nieuw beleid (Windows_Posture) voor Windows om de AnyConnect Configuration te gebruiken:

Stap 4. Instellen van vergunningsregels

Van Beleidselementen > Resultaten > Vergunningsprofiel toevoegen (naam: Posture_Redirect) dat omwijst naar een standaard Client Provisioning Portal:

Opmerking: ACL_WEBAUTH_REDIRECT ACL wordt gedefinieerd op ASA.

Vanuit Policy > Authorization creëert een autorisatieregel voor omleiding. Een autorisatieregel voor compatibele apparaten is vooraf ingesteld op ISE:

Als het eindpunt compatibel is, wordt volledige toegang verleend. Als de status onbekend of niet-conform is, wordt de omleiding voor Clientprovisioning teruggegeven.

Verifiëren

Voordat u VPN-sessieinstelling

USB-apparaat is aangesloten en de inhoud is beschikbaar voor de gebruiker.

VPN-sessieinstelling

Tijdens de authenticatie zal ISE de toegangslijst opnieuw sturen en url opnieuw sturen als onderdeel van Posture_Redirect Authorized Profile

Zodra de VPN-sessie is vastgesteld, wordt ASA-verkeer van de client omgeleid volgens de vervolgkeuzelijst voor directe toegang:

BSNS-ASA5515-11# sh vpn-sessiondb detail anyconnect

Session Type: AnyConnect Detailed

Username     : cisco                  Index        : 29

Assigned IP  : 10.10.10.10            Public IP    : 10.229.16.34

Protocol     : AnyConnect-Parent SSL-Tunnel DTLS-Tunnel

License      : AnyConnect Premium

Encryption   : AnyConnect-Parent: (1)none  SSL-Tunnel: (1)AES128  DTLS-Tunnel: (1)AES128

Hashing      : AnyConnect-Parent: (1)none  SSL-Tunnel: (1)SHA1  DTLS-Tunnel: (1)SHA1

Bytes Tx     : 14696                  Bytes Rx     : 18408

Pkts Tx      : 20                     Pkts Rx      : 132

Pkts Tx Drop : 0                      Pkts Rx Drop : 0

Group Policy : GP-SSL                 Tunnel Group : RA

Login Time   : 15:57:39 CET Fri Mar 11 2016

Duration     : 0h:07m:22s

Inactivity   : 0h:00m:00s

VLAN Mapping : N/A                    VLAN         : none

Audt Sess ID : 0a3042ca0001d00056e2dce3

Security Grp : none

AnyConnect-Parent Tunnels: 1

SSL-Tunnel Tunnels: 1

DTLS-Tunnel Tunnels: 1

AnyConnect-Parent:

Tunnel ID    : 29.1

Public IP    : 10.229.16.34

Encryption   : none                   Hashing      : none

TCP Src Port : 61956                  TCP Dst Port : 443

Auth Mode    : userPassword

Idle Time Out: 30 Minutes             Idle TO Left : 22 Minutes

Client OS    : win

Client OS Ver: 6.1.7601 Service Pack 1

Client Type  : AnyConnect

Client Ver   : Cisco AnyConnect VPN Agent for Windows 4.3.00520

Bytes Tx     : 6701                   Bytes Rx     : 774

Pkts Tx      : 5                      Pkts Rx      : 1

Pkts Tx Drop : 0                      Pkts Rx Drop : 0

SSL-Tunnel:

Tunnel ID    : 29.2

Assigned IP  : 10.10.10.10            Public IP    : 10.229.16.34

Encryption   : AES128                 Hashing      : SHA1

Encapsulation: TLSv1.0                TCP Src Port : 61957

TCP Dst Port : 443                    Auth Mode    : userPassword

Idle Time Out: 30 Minutes             Idle TO Left : 22 Minutes

Client OS    : Windows

Client Type  : SSL VPN Client

Client Ver   : Cisco AnyConnect VPN Agent for Windows 4.3.00520

Bytes Tx     : 6701                   Bytes Rx     : 1245

Pkts Tx      : 5                      Pkts Rx      : 5

Pkts Tx Drop : 0                      Pkts Rx Drop : 0

DTLS-Tunnel:

Tunnel ID    : 29.3

Assigned IP  : 10.10.10.10            Public IP    : 10.229.16.34

Encryption   : AES128                 Hashing      : SHA1

Encapsulation: DTLSv1.0               UDP Src Port : 55708

UDP Dst Port : 443                    Auth Mode    : userPassword

Idle Time Out: 30 Minutes             Idle TO Left : 26 Minutes

Client OS    : Windows

Client Type  : DTLS VPN Client

Client Ver   : Cisco AnyConnect VPN Agent for Windows 4.3.00520

Bytes Tx     : 1294                   Bytes Rx     : 16389

Pkts Tx      : 10                     Pkts Rx      : 126

Pkts Tx Drop : 0                      Pkts Rx Drop : 0

ISE Posture:

Redirect URL : https://ISE21-1ek.example.com:8443/portal/gateway?sessionId=0a3042ca0001d00056e2dce3&portal=2b1ba210-e...

Redirect ACL : ACL_WEBAUTH_REDIRECT

Clientprovisioning

In dat stadium wordt het internetverkeer van endpoints naar ISE omgeleid voor cliëntenlevering:

Indien nodig wordt AnyConnect met de module Posture en Naleving bijgewerkt.

Postcheque en CoA

Postmodule wordt uitgevoerd, ontdekt ISE (het kan nodig zijn om DNS A record voor enroll.cisco.com te hebben), download en controleer posteringsvoorwaarden, nieuwe OPSWAT v4 blok-USB-apparaatactie. Het ingestelde bericht wordt voor de gebruiker weergegeven:

Nadat het bericht is bevestigd, is het USB-apparaat niet meer beschikbaar voor de gebruiker:

ASA verwijdert omleiding ACL die volledige toegang biedt. AnyConnect meldt overeenstemming:

Tevens kunnen gedetailleerde rapporten over ISE bevestigen dat de vereiste voorwaarden worden vervuld.

Postbeoordeling per voorwaarde:

Postbeoordeling per eindpunt:

Details van het Endpoint Report:

Problemen oplossen

De ISE kan de details over de falende omstandigheden verstrekken, er moeten dienovereenkomstig maatregelen worden genomen.

Referenties

- Een externe server configureren voor security applicatie, gebruikersautorisatie

- Cisco ASA Series 5000 Series VPN CLI-configuratiegids, 9.1

- Administrator-gids voor Cisco Identity Services Engine, release 2.0

- Technische ondersteuning en documentatie – Cisco Systems