EAP-ketting configureren met TEAP
Inhoud
Inleiding
In dit document wordt beschreven hoe ISE en Windows-aanvrager kunnen worden geconfigureerd voor Extensible Authentication Protocol (EAP) Chaining met TEAP.
Voorwaarden
Vereisten
Cisco raadt kennis van de volgende onderwerpen aan:
-
ISE
-
Configuratie van Windows Supplicant
Gebruikte componenten
De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:
- Cisco ISE versie 3.0
- Windows 10 Build 2004
- Kennis van het protocol tunnel-based Extensible Authentication Protocol (TEAP)
De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.
Achtergrondinformatie
TEAP is een op tunnels gebaseerde Extensible Authentication Protocol-methode die een beveiligde tunnel tot stand brengt en andere EAP-methoden uitvoert onder de bescherming van die beveiligde tunnel.
TEAP-verificatie vindt plaats in twee fasen na de eerste uitwisseling van EAP-identiteitsverzoeken en -antwoorden. In de eerste fase gebruikt TEAP de TLS-handdruk om een geverifieerde sleuteluitwisseling te bieden en een beveiligde tunnel te creëren. Zodra de tunnel tot stand is gebracht, begint de tweede fase met de peer en de server die verder praten om de vereiste authenticaties en autorisatiebeleid vast te stellen.
Cisco ISE 2.7 en hoger ondersteunt het TEAP-protocol. De TLV-objecten (type-length-value) worden binnen de tunnel gebruikt om verificatiegerelateerde gegevens tussen de EAP-peer en de EAP-server te vervoeren. Microsoft introduceerde ondersteuning voor TEAP in Windows versie 10 2004 uitgebracht in mei 2020.
Met EAP-chaining kunnen de gebruiker en de machine binnen één EAP/Radius-sessie worden geverifieerd in plaats van twee afzonderlijke sessies. Om dit te bereiken, moet u de Cisco AnyConnect NAM-module hebben en EAP-FAST op de Windows-aanvrager gebruiken, omdat de oorspronkelijke Windows-aanvrager dit niet ondersteunde. Nu kunt u de Windows Native Supplicant gebruiken om EAP Chaining met ISE 2.7 uit te voeren met behulp van TEAP.
Configureren
Cisco ISE-configuratie
1. U moet de Toegestane protocollen bewerken om TEAP- en EAP-ketting in te schakelen.
2. Navigeer naar ISE > Beleid > Beleidselementen > Resultaten > Verificatie > Toegestane protocollen > Nieuw. toevoegen Schakel de selectievakjes TEAP en EAP aan.
3. Maak een certificaatprofiel en voeg dit toe aan de reeks Identiteitsbronnen.
4. Navigeer naar ISE > Beheer > Identiteiten > Identiteitsbronreeks en kies het Certificaatverificatieprofiel.
5. U moet deze volgorde aanroepen in het verificatiebeleid.
6. Navigeer naar ISE > Beleid > Beleidssets. Choose the Policy Set forDot1x > Verificatiebeleid en kies de identiteitsbronreeksen die in stap 3 zijn gemaakt.
7. Nu moet u het machtigingsbeleid wijzigen onder de Dot1x-beleidsset.
8. Navigeer naar ISE > Beleid > Beleidssets. Kies de Beleidsset voor Dot1x > Verificatiebeleid. Je moet twee regels opstellen. De eerste regel controleert of de machine is geverifieerd, maar de gebruiker niet. De tweede regel controleert of zowel de gebruiker als de machine nu zijn geverifieerd.
9. Hiermee wordt de configuratie aan de kant van de ISE-server voltooid.
Windows Native Supplicant-configuratie
Configureer de bekabelde verificatie-instelling in dit document.
1. Navigeer naar Configuratiescherm > Netwerkcentrum > Adapterinstellingen wijzigen en klik met de rechtermuisknop op LAN-verbinding > Eigenschappen. Klik op het tabblad Verificatie.
2. Klik op de vervolgkeuzelijst Verificatie en kies Microsoft EAP-TEAP.
3. Klik op de Settings knop naast TEAP.
- Identiteitsprivacy inschakelen ingeschakeld houden met anonieme als de identiteit.
- Plaats een vinkje naast de root CA-server(s) onder Trusted Root Certification Authorities (Vertrouwde basiscertificeringsinstanties). Dit wordt gebruikt om het certificaat voor EAP-verificatie op het ISE PSN te ondertekenen.
4. Kies onder Client Authentication de EAP-methode voor verificatie aan Microsoft: smartcard van ander certificaat.
5. Klik voor elke vervolgkeuzelijst voor de EAP-methode op de knop Configureren en wijzig deze aan de vereisten en klik op OK.
6. Klik op de aanvullende instellingen knop aan de onderkant.
- De verificatiemodus opgeven inschakelen.
- Stel het vervolgkeuzemenu in op de juiste instelling.
- Kies Gebruiker- of computerverificatie zodat beide zijn geverifieerd en klik op OK.
Verifiëren
U kunt het Windows 10-systeem opnieuw opstarten of u kunt zich afmelden en vervolgens inloggen. Wanneer het inlogscherm van Windows wordt weergegeven, wordt de systeemverificatie geactiveerd.
In de live logs ziet u anoniem, host / beheerder (in dit voorbeeld wordt de systeemnaam weergegeven) in het identiteitsveld. U ziet anoniem omdat u de aanvrager hierboven hebt geconfigureerd voor identiteitsprivacy.
Wanneer u inlogt op de pc met referenties, ziet u de live-logs als Administrator@example.local, host / beheerder. Dit is EAP-chaining waarbij zowel gebruiker- als machineverificatie plaatsvond in één EAP-sessie.
Gedetailleerd verificatierapport
In de Live Log Details, de machine authenticaties tonen slechts een enkele NACRadiusUsername vermelding, maar de geketende gebruiker en machine authenticatie toont twee vermeldingen (een voor de gebruiker, en een voor de machine.) U ziet ook onder het gedeelte Verificatiedetails dat TEAP (EAP-TLS) werd gebruikt voor het verificatieprotocol. Als u MSCHAPv2 gebruikt voor machine- en gebruikersverificatie, wordt in het verificatieprotocol TEAP (Microsoft: Secured password (EAP-MSCHAP v2)) weergegeven.
machineverificatie
Gebruikers- en machineverificatie
Problemen oplossen
U moet deze foutmeldingen op ISE inschakelen:
- runtime-AAA
- NSF
- NSF-sessie
Active Directory (om problemen op te lossen tussen ISE en AD)
In Windows kunt u de logboeken van de gebeurtenisviewer controleren.
Analyse van live log
machineverificatie
11001 Received RADIUS Access-Request 11017 RADIUS created a new session ... ... 11507 Extracted EAP-Response/Identity 12756 Prepared EAP-Request proposing TEAP with challenge ... ... 12758 Extracted EAP-Response containing TEAP challenge-response and accepting TEAP as negotiated 12800 Extracted first TLS record; TLS handshake started 12805 Extracted TLS ClientHello message 12806 Prepared TLS ServerHello message 12807 Prepared TLS Certificate message 12808 Prepared TLS ServerKeyExchange message 12809 Prepared TLS CertificateRequest message ... ... 12811 Extracted TLS Certificate message containing client certificate 12812 Extracted TLS ClientKeyExchange message 12813 Extracted TLS CertificateVerify message 12804 Extracted TLS Finished message 12801 Prepared TLS ChangeCipherSpec message 12802 Prepared TLS Finished message 12816 TLS handshake succeeded ... ... 11559 Client certificate was requested but not received inside the tunnel. Will continue with inner method. 11620 TEAP full handshake finished successfully ... ... 11627 Starting EAP chaining 11573 Selected identity type 'User' 11564 TEAP inner method started 11521 Prepared EAP-Request/Identity for inner EAP method ... ... 11567 Identity type provided by client is equal to requested 11522 Extracted EAP-Response/Identity for inner EAP method 11806 Prepared EAP-Request for inner method proposing EAP-MSCHAP with challenge 11596 Prepared EAP-Request with another TEAP challenge 11006 Returned RADIUS Access-Challenge 11001 Received RADIUS Access-Request ... ... 11515 Supplicant declined inner EAP method selected by Authentication Policy but did not proposed another one; inner EAP negotiation failed 11520 Prepared EAP-Failure for inner EAP method 11566 TEAP inner method finished with failure 22028 Authentication failed and the advanced options are ignored 33517 Sent TEAP Intermediate Result TLV indicating failure 11596 Prepared EAP-Request with another TEAP challenge ... ... 11574 Selected identity type 'Machine' 11564 TEAP inner method started 11521 Prepared EAP-Request/Identity for inner EAP method ... ... 11567 Identity type provided by client is equal to requested 11522 Extracted EAP-Response/Identity for inner EAP method 11806 Prepared EAP-Request for inner method proposing EAP-MSCHAP with challenge 11596 Prepared EAP-Request with another TEAP challenge ... ... 12523 Extracted EAP-Response/NAK for inner method requesting to use EAP-TLS instead 12522 Prepared EAP-Request for inner method proposing EAP-TLS with challenge 12625 Valid EAP-Key-Name attribute received 11596 Prepared EAP-Request with another TEAP challenge ... ... 12524 Extracted EAP-Response containing EAP-TLS challenge-response for inner method and accepting EAP-TLS as negotiated 12800 Extracted first TLS record; TLS handshake started 12545 Client requested EAP-TLS session ticket 12546 The EAP-TLS session ticket received from supplicant. Inner EAP-TLS does not support stateless session resume. Performing full authentication 12805 Extracted TLS ClientHello message 12806 Prepared TLS ServerHello message 12807 Prepared TLS Certificate message 12808 Prepared TLS ServerKeyExchange message 12809 Prepared TLS CertificateRequest message 12527 Prepared EAP-Request for inner method with another EAP-TLS challenge ... ... 12571 ISE will continue to CRL verification if it is configured for specific CA - certificate for Users 12811 Extracted TLS Certificate message containing client certificate 12812 Extracted TLS ClientKeyExchange message 12813 Extracted TLS CertificateVerify message 12804 Extracted TLS Finished message 12801 Prepared TLS ChangeCipherSpec message 12802 Prepared TLS Finished message 12816 TLS handshake succeeded 12509 EAP-TLS full handshake finished successfully ... ... 12527 Prepared EAP-Request for inner method with another EAP-TLS challenge 11596 Prepared EAP-Request with another TEAP challenge ... ... 61025 Open secure connection with TLS peer 15041 Evaluating Identity Policy 22072 Selected identity source sequence - forAD1 22070 Identity name is taken from certificate attribute 22037 Authentication Passed 12528 Inner EAP-TLS authentication succeeded 11519 Prepared EAP-Success for inner EAP method 11565 TEAP inner method finished successfully ... ... 33516 Sent TEAP Intermediate Result TLV indicating success 11596 Prepared EAP-Request with another TEAP challenge 11006 Returned RADIUS Access-Challenge 11001 Received RADIUS Access-Request 11018 RADIUS is re-using an existing session 11595 Extracted EAP-Response containing TEAP challenge-response 11637 Inner method supports EMSK but the client provided only MSK. Allow downgrade as per configuration 11576 TEAP cryptobinding verification passed ... ... 15036 Evaluating Authorization Policy 24209 Looking up Endpoint in Internal Endpoints IDStore - anonymous,host/Administrator 24211 Found Endpoint in Internal Endpoints IDStore 11055 User name change detected for the session. Attributes for the session will be removed from the cache 15048 Queried PIP - Network Access.EapChainingResult 15016 Selected Authorization Profile - PermitAccess 33514 Sent TEAP Result TLV indicating success ... ... 11597 TEAP authentication phase finished successfully 11503 Prepared EAP-Success 11002 Returned RADIUS Access-Accept
Gebruikers- en machineverificatie
11001 Received RADIUS Access-Request 11017 RADIUS created a new session ... ... 12756 Prepared EAP-Request proposing TEAP with challenge ... ... 12758 Extracted EAP-Response containing TEAP challenge-response and accepting TEAP as negotiated 12800 Extracted first TLS record; TLS handshake started 12805 Extracted TLS ClientHello message 12806 Prepared TLS ServerHello message 12807 Prepared TLS Certificate message 12808 Prepared TLS ServerKeyExchange message 12809 Prepared TLS CertificateRequest message 11596 Prepared EAP-Request with another TEAP challenge ... ... 12811 Extracted TLS Certificate message containing client certificate 12812 Extracted TLS ClientKeyExchange message 12813 Extracted TLS CertificateVerify message 12804 Extracted TLS Finished message 12801 Prepared TLS ChangeCipherSpec message 12802 Prepared TLS Finished message 12816 TLS handshake succeeded 11559 Client certificate was requested but not received inside the tunnel. Will continue with inner method. 11620 TEAP full handshake finished successfully 11596 Prepared EAP-Request with another TEAP challenge ... ... 11595 Extracted EAP-Response containing TEAP challenge-response 11627 Starting EAP chaining 11573 Selected identity type 'User' 11564 TEAP inner method started 11521 Prepared EAP-Request/Identity for inner EAP method 11596 Prepared EAP-Request with another TEAP challenge ... ... 11567 Identity type provided by client is equal to requested 11522 Extracted EAP-Response/Identity for inner EAP method 11806 Prepared EAP-Request for inner method proposing EAP-MSCHAP with challenge 11596 Prepared EAP-Request with another TEAP challenge ... ... 12523 Extracted EAP-Response/NAK for inner method requesting to use EAP-TLS instead 12522 Prepared EAP-Request for inner method proposing EAP-TLS with challenge ... ... 11595 Extracted EAP-Response containing TEAP challenge-response 12524 Extracted EAP-Response containing EAP-TLS challenge-response for inner method and accepting EAP-TLS as negotiated 12800 Extracted first TLS record; TLS handshake started 12545 Client requested EAP-TLS session ticket 12546 The EAP-TLS session ticket received from supplicant. Inner EAP-TLS does not support stateless session resume. Performing full authentication 12805 Extracted TLS ClientHello message 12806 Prepared TLS ServerHello message 12807 Prepared TLS Certificate message 12808 Prepared TLS ServerKeyExchange message 12809 Prepared TLS CertificateRequest message 12527 Prepared EAP-Request for inner method with another EAP-TLS challenge ... ... 12526 Extracted EAP-Response for inner method containing TLS challenge-response 12571 ISE will continue to CRL verification if it is configured for specific CA - certificate for Users 12811 Extracted TLS Certificate message containing client certificate 12812 Extracted TLS ClientKeyExchange message 12813 Extracted TLS CertificateVerify message 12804 Extracted TLS Finished message 12801 Prepared TLS ChangeCipherSpec message 12802 Prepared TLS Finished message 12816 TLS handshake succeeded 12509 EAP-TLS full handshake finished successfully 12527 Prepared EAP-Request for inner method with another EAP-TLS challenge ... ... 12526 Extracted EAP-Response for inner method containing TLS challenge-response 61025 Open secure connection with TLS peer 15041 Evaluating Identity Policy 22072 Selected identity source sequence - forAD1 22070 Identity name is taken from certificate attribute 22037 Authentication Passed 12528 Inner EAP-TLS authentication succeeded 11519 Prepared EAP-Success for inner EAP method 11565 TEAP inner method finished successfully 33516 Sent TEAP Intermediate Result TLV indicating success 11596 Prepared EAP-Request with another TEAP challenge ... ... 11595 Extracted EAP-Response containing TEAP challenge-response 11637 Inner method supports EMSK but the client provided only MSK. Allow downgrade as per configuration 11576 TEAP cryptobinding verification passed 11574 Selected identity type 'Machine' 11564 TEAP inner method started ... ... 11806 Prepared EAP-Request for inner method proposing EAP-MSCHAP with challenge 11596 Prepared EAP-Request with another TEAP challenge ... ... 12523 Extracted EAP-Response/NAK for inner method requesting to use EAP-TLS instead 12522 Prepared EAP-Request for inner method proposing EAP-TLS with challenge ... ... 12524 Extracted EAP-Response containing EAP-TLS challenge-response for inner method and accepting EAP-TLS as negotiated 12800 Extracted first TLS record; TLS handshake started 12545 Client requested EAP-TLS session ticket 12546 The EAP-TLS session ticket received from supplicant. Inner EAP-TLS does not support stateless session resume. Performing full authentication 12805 Extracted TLS ClientHello message 12806 Prepared TLS ServerHello message 12807 Prepared TLS Certificate message 12808 Prepared TLS ServerKeyExchange message 12809 Prepared TLS CertificateRequest message 12527 Prepared EAP-Request for inner method with another EAP-TLS challenge ... ... 12526 Extracted EAP-Response for inner method containing TLS challenge-response 12571 ISE will continue to CRL verification if it is configured for specific CA - certificate for Users 12811 Extracted TLS Certificate message containing client certificate 12812 Extracted TLS ClientKeyExchange message 12813 Extracted TLS CertificateVerify message 12804 Extracted TLS Finished message 12801 Prepared TLS ChangeCipherSpec message 12802 Prepared TLS Finished message 12816 TLS handshake succeeded 12509 EAP-TLS full handshake finished successfully 12527 Prepared EAP-Request for inner method with another EAP-TLS challenge 11596 Prepared EAP-Request with another TEAP challenge 11006 Returned RADIUS Access-Challenge 11001 Received RADIUS Access-Request 11018 RADIUS is re-using an existing session 11595 Extracted EAP-Response containing TEAP challenge-response 12526 Extracted EAP-Response for inner method containing TLS challenge-response 61025 Open secure connection with TLS peer 15041 Evaluating Identity Policy 22072 Selected identity source sequence - forAD1 22070 Identity name is taken from certificate attribute 22037 Authentication Passed 12528 Inner EAP-TLS authentication succeeded 11519 Prepared EAP-Success for inner EAP method 11565 TEAP inner method finished successfully 33516 Sent TEAP Intermediate Result TLV indicating success 11596 Prepared EAP-Request with another TEAP challenge 11006 Returned RADIUS Access-Challenge 11001 Received RADIUS Access-Request 11018 RADIUS is re-using an existing session 11595 Extracted EAP-Response containing TEAP challenge-response 11637 Inner method supports EMSK but the client provided only MSK. Allow downgrade as per configuration 11576 TEAP cryptobinding verification passed 15036 Evaluating Authorization Policy 24209 Looking up Endpoint in Internal Endpoints IDStore - Administrator@example.local,host/Administrator 24211 Found Endpoint in Internal Endpoints IDStore 11055 User name change detected for the session. Attributes for the session will be removed from the cache 15048 Queried PIP - Network Access.EapChainingResult 15016 Selected Authorization Profile - PermitAccess 33514 Sent TEAP Result TLV indicating success 11596 Prepared EAP-Request with another TEAP challenge 11006 Returned RADIUS Access-Challenge 11001 Received RADIUS Access-Request 11018 RADIUS is re-using an existing session 11595 Extracted EAP-Response containing TEAP challenge-response 11597 TEAP authentication phase finished successfully 11503 Prepared EAP-Success 11002 Returned RADIUS Access-Accept
Gerelateerde informatie
- Tunnel Extensible Authentication Protocol (TEAP) versie 1
- Hervatting van de TLS-sessie (Transport Layer Security) zonder status aan de serverzijde
- Begrijp EAP-FAST- en Chaining-implementaties op AnyConnect NAM en ISE
- Technische ondersteuning en documentatie – Cisco Systems
Revisiegeschiedenis
| Revisie | Publicatiedatum | Opmerkingen |
|---|---|---|
4.0 |
19-Aug-2026
|
Bijgewerkte spelling, grammatica, ingevoegde horizontale lijnen naar afzonderlijke secties voor leesbaarheid, vaste alt-tekst en vaste CCW-waarschuwingen. |
3.0 |
18-Jun-2024
|
Bijgewerkte titel, inleiding, alt-tekst, machinevertaling en opmaak. |
1.0 |
10-Dec-2020
|
Eerste vrijgave |
FeedbackContact Cisco
- Een ondersteuningscase openen
- (Vereist een Cisco-servicecontract)