Het NAM-profiel van de beveiligde client configureren op Windows met ISE
Inhoud
Inleiding
In dit document wordt beschreven hoe u het profiel van Cisco Secure Client Network Access Manager (NAM) kunt implementeren via Identity Services Engine (ISE).
Voorwaarden
Vereisten
Cisco raadt kennis van de volgende onderwerpen aan:
- houdingsbeleid
- Identity Services Engine (ISE)
- AnyConnect NAM en profieleditor
- Cisco Catalyst-configuratie voor 802.1x-services
Gebruikte componenten
De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:
- Active Directory 2016
- Cisco ISE, Release 3.3 en hoger
- Cisco Catalyst 9200-Switch met Cisco IOS® XE 17.6.5 en hoger
- Windows 10 met Cisco Secure Mobility Client 5.1.4.74 en hoger
De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.
Achtergrondinformatie
EAP-FAST-verificatie vindt plaats in twee fasen. In de eerste fase maakt EAP-FAST gebruik van een TLS-handdruk om sleuteluitwisselingen te bieden en te verifiëren met behulp van TLV-objecten (Type-Length-Values) om een beveiligde tunnel tot stand te brengen. Deze TLV-objecten worden gebruikt om authenticatiegerelateerde gegevens over te brengen tussen de client en de server. Zodra de tunnel tot stand is gebracht, begint de tweede fase met de client en de ISE-node die verdere gesprekken voeren om het vereiste authenticatie- en autorisatiebeleid vast te stellen.
Het configuratieprofiel van de NAM is zo ingesteld dat EAP-FAST als verificatiemethode wordt gebruikt en is beschikbaar voor administratief gedefinieerde netwerken. Bovendien kunnen zowel machine- als gebruikerverbindingstypen worden geconfigureerd binnen het NAM-configuratieprofiel. Het zakelijke Windows-apparaat krijgt volledige bedrijfstoegang met NAM met Posture-controle. Het persoonlijke Windows-apparaat krijgt toegang tot een beperkt netwerk met dezelfde NAM-configuratie.
Dit document bevat instructies voor de implementatie van het NAM-profiel (Secure Client Network Access Manager) van Cisco via het ISE-posturenportaal (Identity Services Engine) via webimplementatie, samen met de Posture Compliance Check.
Configuratie
Netwerkdiagram
gegevensstroom
Wanneer een pc verbinding maakt met het netwerk, biedt de ISE het autorisatiebeleid voor omleiding naar het Posture Portal. Het HTTP-verkeer op de pc wordt omgeleid naar de ISE Client Provisioning Page, waar de NSA-applicatie wordt gedownload van ISE. De NSA installeert vervolgens de Secure Client Agent-modules op de pc. Nadat de installatie van de agent is voltooid, downloadt de agent het Posture-profiel en wordt het NAM-profiel geconfigureerd op ISE.
De installatie van de NAM-module leidt tot een herstart op de pc. Na het opnieuw opstarten voert de NAM-module EAP-FAST-verificatie uit op basis van het NAM-profiel.
De Posture scan wordt vervolgens geactiveerd en de naleving wordt gecontroleerd op basis van het ISE Posture Policy.
Switch configureren
Configureer de switch voor toegang voor dot1x-verificatie en -omleiding.
| nieuw AAA-model AAA-verificatiedot1x standaardgroepsstraal AAA Sessie-ID Vaak DOT1X-systeem-AUTH-besturing |
Configureer de ACL om gebruikers door te verwijzen naar het ISE Client Provisioning Portal:
| IP-toegangslijst Extended Redirect-ACL |
Schakel apparaattracking en HTTP-omleiding in op de switch:
| Apparaatvolgbeleid <Naam van beleid voor apparaattracering> IP HTTP-server |
Download het beveiligde clientpakket
Download de webimplementatiebestanden van de Profile Editor, Secure Client Windows en de Compliance Module handmatig vanaf de downloadpagina van Cisco Software. Typ op de zoekbalk voor de productnaam Secure Client 5. Downloads Home > Beveiliging > Endpoint Security > Secure Client (inclusief AnyConnect) > Secure Client 5 > AnyConnect VPN-clientsoftware
- Cisco-secure-client-win-5.1.x-webdeploy-k9.pkg
- Cisco-secure-client-win-4.3.x-isecompliance-webdeploy-k9.pkg
- tools-cisco-secure-client-win-5.1.x-profileeditor-k9.msi
ISE-configuratie
Stap 1. Upload het pakket op ISE
1. Als u de webimplementatiepakketten voor de Secure Client and Compliance Module op ISE wilt uploaden, gaat u naar Workcenter > Posture > Client Provisioning > Resources > Add > Agent Resources from Local Disk.
Stap 2. Een NAM-profiel maken met het hulpprogramma voor profielbewerkers
Voor informatie over het configureren van een NAM-profiel raadpleegt u de gids Configure Secure Client NAM for Dot1x Using Windows en ISE 3.2.
Stap 3. Upload het NAM-profiel op ISE
1. Als u de NAM-profielconfiguratie.xml op ISE wilt uploaden als het agentprofiel, gaat u naar Client Provisioning > Resources > Agent Resources From Local Disk.
Stap 4. Een posturenprofiel maken
1. Vergeet in het gedeelte Posture Protocol niet een asterisk (*) toe te voegen zodat de Agent verbinding kan maken met alle servers.
Stap 5. Agent-configuratie maken
1. Selecteer het geüploade beveiligde client- en nalevingsmodulepakket en selecteer onder de module-selectie de ISE-module, NAM en DART.
2. Kies onder Profielselectie de houding en het NAM-profiel en klik op Indienen.
Stap 6. Clientprovisioningbeleid
1. Maak een clientprovisioningbeleid voor Windows OS en selecteer de agentconfiguratie die in de vorige stap is gemaakt.
Stap 7. houdingsbeleid
Raadpleeg de ISE Posture Prescriptive Deployment Guide voor informatie over het maken van het posturatiebeleid en de voorwaarden.
Stap 8. Netwerkapparaat toevoegen
Als u het IP-adres van de switch en de gedeelde geheime sleutel wilt toevoegen, gaat u naar Beheer > Netwerkbronnen.
Stap 9. autorisatieprofiel
1. Ga naar Beleid > Beleidselementen > Resultaten om een omleidingsprofiel voor de houding te maken.
2. Selecteer onder Gemeenschappelijke taken het clientprovisioningportaal met Redirect ACL.
Stap 10. Toegestane protocollen
1. Blader naar Beleid > Beleidselementen > Resultaten > Verificatie > Toegestane protocollen, selecteer de instellingen voor EAP-keten.
Stap 11. Active Directory
1. ISE valideren wordt gekoppeld aan het Active Directory-domein en domeingroepen worden geselecteerd, indien nodig voor de autorisatievoorwaarden.
Beheer > Identiteitsbeheer > Externe identiteitsbronnen > Active Directory
Stap 12. Beleidssets
1. Maak een beleidsset op ISE om het dot1x-verzoek te verifiëren. Navigeer naar Beleid > Beleidssets.
2. Selecteer Active Directory als identiteitsbron voor het verificatiebeleid.
3. Configureer de verschillende machtigingsregels op basis van de status van onbekende, niet-conforme en conforme houding.
In dit gebruiksgeval:
- Initiële toegang: omleiding naar het ISE Client Provisioning Portal om het Secure Client Agent- en NAM-profiel te installeren.
- Onbekende toegang: toegang tot het Client Provisioning Portal voor omleiding op basis van posture discovery.
- Compatibele toegang: volledige netwerktoegang.
- Niet-conform: toegang weigeren.
validering
Stap 1. Veilige clienthouding/NAM-module downloaden en installeren vanuit ISE
1. Selecteer het geverifieerde eindpunt via punt1x en klik op de regel Initial Access Authorization. Navigeer naar Bewerkingen > Straal > Live Logs.
2. Geef op de Switch de omleidings-URL en ACL op die voor het eindpunt worden toegepast.
| Switch#Show Authentication Session Interface TE1/0/24 Details
Serverbeleid:
Switch#sh Device-Tracking Database Interface TE1/0/24 Network Layer Address Link Layer Address Interface vlan-profielstatus Resterende tijd |
3. Controleer op het eindpunt het verkeer dat naar ISE-houding is omgeleid en klik op Start om de Network Setup Assistant op het eindpunt te downloaden.
4. Klik op Uitvoeren om de NSA-toepassing te installeren.
2. Nu roept de NSA de Secure Client Agent-download van ISE in en installeert de Posture, NAM-module en NAM Profile configuration.xml.
3. Na de NAM-installatie wordt een herstartprompt geactiveerd. Klik op Ja.
Stap 2. EAP-FAST
1. Zodra de pc opnieuw wordt opgestart en de gebruiker zich aanmeldt, verifieert de NAM zowel de gebruiker als het systeem via EAP-FAST. Als het eindpunt correct wordt geverifieerd, geeft NAM aan dat het is verbonden en activeert de Posture Scan.
2. In ISE Live Logs wordt het eindpunt nu op de Onbekende toegangsregel gezet.
3. Nu is het verificatieprotocol EAP-FAST op basis van de configuratie van het NAM-profiel en is het EAP-Chaining-resultaat geslaagd.
Stap 3. Houdingscan
1. De Secure Client Posture Module activeert de Posture Scan en is gemarkeerd als Klacht op basis van het ISE Posture Policy.
2. De CoA wordt geactiveerd nadat de Posture Scan en het Endpoint nu raakt de Klacht Toegang Beleid.
Problemen oplossen
Stap 1. NAM-profiel
1. Controleer of de configuratie van het NAM-profiel.xml op dit pad aanwezig is op uw pc na de installatie van de NAM-module: C:\ProgramData\Cisco\Cisco Secure Client\Network Access Manager\system
Stap 2. NAM Extended Logging
1. Klik op het pictogram Secure Client op de taakbalk en selecteer het pictogram Instellingen.
2. Navigeer naar het tabblad Netwerk > Loginstellingen. Schakel het selectievakje Uitgebreide logboekregistratie inschakelen in.
3. Stel de bestandsgrootte voor pakketvastlegging in op 100 MB. Nadat u het probleem hebt gereproduceerd, klikt u op Diagnostiek om de DART-bundel op het eindpunt te maken.
4. In het gedeelte Berichtengeschiedenis worden de details van elke voltooide stap van de NAM weergegeven.
Stap 3. Debugs op de Switch
1. Schakel deze foutmeldingen op de switch in om dot1x en de omleidingsstroom op te lossen:
- IP-foutopsporing HTTP Alles
- IP-http-transacties foutopsporing
- IP-debug HTTP-URL
- set platform software trace smd switch active R0 aaa debug
- set platformsoftware trace smd switch active R0 dot1x-all debug
- set platformsoftware trace smd switch active R0 radius debug
- set platformsoftware trace smd switch active R0 auth-mgr-all debug
- set platformsoftware trace smd switch active R0 eap-all debug
- set platformsoftware trace smd switch active R0 epm-all debug
- set platformsoftware trace smd switch active R0 epm-redirect debug
- set platform software trace smd switch active R0 webauth-aaa debug
- set platform software trace smd switch active R0 webauth-httpd debug
U kunt de logbestanden als volgt bekijken:
- Logboekregistratie weergeven
- Logboekproces weergeven SMD intern
Stap 4. Debugs op ISE
1. Verzamel de ISE-ondersteuningsbundel met deze kenmerken die op het debugniveau moeten worden ingesteld:
- houding
- portaal
- bevoorrading
- runtime-AAA
- NSF
- NSF-sessie
- Zwitser
- client-webapp
Gerelateerde informatie
- Secure Client NAM configureren voor Dot1x met Windows en ISE 3.2
- ISE Posture Prescriptive Deployment Guide
- Problemen oplossen met Dot1x op Switches uit de Cisco IOS® XE Catalyst 9000-reeks
Revisiegeschiedenis
| Revisie | Publicatiedatum | Opmerkingen |
|---|---|---|
3.0 |
26-Aug-2026
|
Bijgewerkte spelling, grammatica, ingevoegde horizontale lijnen naar afzonderlijke secties voor leesbaarheid. |
2.0 |
30-May-2025
|
Bijgewerkte titel, alt-tekst, stijlvereisten en opmaak. |
1.0 |
29-Jul-2024
|
Eerste vrijgave |
FeedbackContact Cisco
- Een ondersteuningscase openen
- (Vereist een Cisco-servicecontract)