AsyncOS External Authentication configureren met ISE (RADIUS)

Inleiding

In dit document wordt beschreven hoe RADIUS External Authentication wordt geconfigureerd tussen Cisco Secure Email Gateway en Cisco Identity Services Engine.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• Authenticatie, autorisatie en boekhouding (AAA)
• RADIUS CLASS Attribuut. 
• Cisco ISE-beleid voor identiteitsbeheer en -autorisatie.
• Cisco Secure Email Gateway (ESA) en Secure Email and Web Manager (SMA) gebruikersrollen

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

• Cisco ISE 2.4
• Cisco Secure Email Gateway (ESA) 13.5.1, 13.7.0
• Cisco Secure Email and Web Manager (SMA) 13.6.2

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Verwante producten

Versies die niet in de sectie Gebruikte onderdelen worden vermeld, zijn niet getest.

Achtergrondinformatie

RADIUS, klasse-attribuut

Het attribuut Class is een willekeurige waarde die de RADIUS-server retourneert in het Access-Accept-antwoord en die wordt opgenomen in boekhoudpakketten. Het is geconfigureerd in Cisco ISE op een per-groep basis.

Wanneer een gebruiker overeenkomt met een ISE-groep waaraan Attribuut 25 is gekoppeld, retourneert ISE de klassenwaarde voor Access-Accept. De Secure Email Gateway leest die waarde vervolgens en past de lokale rol toe die in de toewijzingstabel is gedefinieerd.

Configureren

Netwerkdiagram

Cisco Identity Services Engine accepteert authenticatieverzoeken van het toestel en vergelijkt deze met een gebruikersidentiteit en -groep.

Stap 1. Een identiteitsgroep voor verificatie maken

Meld u aan bij de ISE-server. Navigeer naar Beheer > Identiteitsbeheer > Groepen > Gebruikersidentiteitsgroep en maak een identiteitsgroep.

Opmerking: Cisco raadt één identiteitsgroep in ISE aan voor elke toe te wijzen toestelrol.

Stap 2. Lokale gebruikers maken voor verificatie

Maak nieuwe gebruikers of wijs bestaande gebruikers toe aan de identiteitsgroep die is gemaakt in stap 1. Navigeer naar Beheer > Identiteitsbeheer > Identiteiten en maak of wijs gebruikers toe aan de groep.

 

Stap 3. Machtigingsprofielen maken

RADIUS-verificatie kan worden uitgevoerd zonder een autorisatieprofiel, maar er worden geen rollen toegewezen. Als u rollen wilt toewijzen, gaat u naar Beleid > Beleidselementen > Resultaten > Autorisatie > Autorisatieprofielen.

Opmerking: Maak één machtigingsprofiel per toe te wijzen rol.

Opmerking: Zorg ervoor dat u radius class attribuut 25 gebruikt en geef een naam op. Deze naam moet overeenkomen met de configuratie op AsyncOS (ESA/SMA). In figuur 3 wordt de naam van het CLASS-attribuut weergegeven.

Stap 4. Een machtigingsbeleid maken

Met deze stap kan ISE inlogpogingen identificeren en toewijzen aan het juiste autorisatieprofiel. Bij een geslaagde overeenkomst retourneert ISE Access-Accept samen met de waarde Class die in het profiel is gedefinieerd.

Navigeer naar Beleid > Beleidsreeksen en selecteer Toevoegen (+ symbool).

Wijs een naam toe en selecteer het plus-symbool om de vereiste voorwaarden toe te voegen. In deze laboratoriumomgeving wordt gebruikgemaakt van een Radius NAS-IP-adres. Sla het nieuwe beleid op.

Voeg de voorwaarden toe om de autorisatieaanvragen correct af te stemmen. Selecteer het symbool > en voeg voorwaarden toe. Deze laboratoriumomgeving maakt gebruik van InternalUser-IdentityGroup en komt overeen met elk autorisatieprofiel.

Stap 5. Externe verificatie op het toestel inschakelen

Log in op het toestel. Navigeer naar Systeembeheer > Gebruikers > Externe verificatie en selecteer Externe verificatie inschakelen.

Voer de volgende waarden in:

• RADIUS-serverhostnaam
• Port
• Gedeeld geheim
• Time-outwaarde (in seconden)
• Authenticatieprotocol

Selecteer Extern geverifieerde gebruikers toewijzen aan meerdere lokale rollen (aanbevolen).

Opmerking: De RADIUS-klasse moet overeenkomen met de waarde die is gedefinieerd in stap 3 (ingevoerd onder de gemeenschappelijke taak ASA VPN), inclusief case.

De wijzigingen indienen en vastleggen.

Verifiëren

Gebruik dit gedeelte om te bevestigen dat uw configuratie goed werkt.

1. Log in op het toestel met een extern geverifieerde gebruiker.
2. Bevestig dat toegang is verleend.
3. Bevestig dat de toegewezen rol overeenkomt met de rol die wordt verwacht van de geretourneerde klassenwaarde.
4. Bevestig in ISE dat de verwachte autorisatieregel is bereikt en dat de juiste waarde voor klasse is geretourneerd (Operations > RADIUS > Live Logs).

Problemen oplossen

Dit gedeelte bevat de informatie die u kunt gebruiken om problemen met uw configuratie op te lossen.

Symptoom: Aanmelden mislukt op het toestel met het bericht "Ongeldige gebruikersnaam of wachtwoord".

Waarschijnlijke oorzaak: een mismatch in het autorisatiebeleid, de geretourneerde waarde van de klasse of het verificatieprotocol.

Resolutie:

1. In de instellingen voor externe verificatie van het toestel selecteert u tijdelijk Alle extern geverifieerde gebruikers toewijzen aan de beheerdersrol.(Afbeelding 11)
2. Verzend en verbind de wijzigingen en probeer vervolgens een nieuwe login.
3. Als inloggen nu lukt, is het probleem in role mapping. Controleer het ISE-autorisatieprofiel (klasse / kenmerk 25) en de instelling van het autorisatiebeleid opnieuw.
4. Controleer Operations > RADIUS > Live Logins in ISE om te bevestigen welk autorisatieprofiel is gematcht en welke Klasse-waarde is geretourneerd.

Gerelateerde informatie

• ISE 2.4 Gebruikershandleiding
• Gebruikershandleiding AsyncOS

Revisiegeschiedenis

Revisie	Publicatiedatum	Opmerkingen
2.0	21-Jul-2026	Bijgewerkte machinevertaling, SEO, Alt-tekst, stijlvereisten en opmaak.
1.0	26-May-2021	Eerste vrijgave