Azure Entra Captive Portal op Secure Firewall configureren

Inleiding

Dit document beschrijft de configuratie van Microsoft Azure Entra ID voor gebruik met een captive portal (actieve verificatie) op Cisco Secure Firewall.

Voorwaarden

Vereisten

Cisco adviseert kennis van deze onderwerpen:

• Security Assertion Markup Language (SAML)
• Microsoft Azure
• Cisco Secure Firewall Management Center (FMC)
• Cisco Secure Firewall Threat Defense (FTD)

U moet de standaard prijslaag beschikbaar hebben in Azure voor het maken van Event Hub. Daarnaast moeten apparaten worden geactiveerd met Smart Licensing ingeschakeld met exportgestuurde functionaliteit.

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

• Cisco Secure FTD versie 10.0
• Cisco Secure FMC versie 10.0

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

Omdat traditionele IP-gebaseerde beveiligingsarchitecturen moeite hebben om gelijke tred te houden met dynamische, hybride werkomgevingen, biedt Cisco Secure Firewall Active Authentication met SAML-integratie een robuuste, identiteitsgerichte oplossing. Door gebruik te maken van Microsoft Entra ID (Azure AD) als een gecentraliseerde identiteitsprovider, stelt deze configuratie beheerders in staat om verder te gaan dan statische netwerkregels en granulaire toegangscontrole af te dwingen op basis van geverifieerde gebruikersidentiteit in plaats van vluchtige netwerkadressen. Deze integratie stroomlijnt de gebruikerservaring door middel van naadloze Single Sign-On (SSO) en verplichte Multi-Factor Authentication (MFA), terwijl ook wordt gezorgd voor een uniforme beveiligingspositie die strikte zichtbaarheid en beleidshandhaving in een perimeterloos netwerk behoudt.

Diagram

Captive Portal tussen Endpoint, FTD en Azure Entra

Captive Portal tussen EndPoint en Azure Entra

Configureren

Fase 1: Eerste FMC- en DNS-configuratie

Opmerking: in dit lab wordt gebruikgemaakt van het door de cloud geleverde Firewall Management Center (cdFMC). De stappen blijven echter hetzelfde voor lokale FMC.

Stap 1: De Cisco Dynamic Attributes Connector (CSDAC) inschakelen

1) Kies Integraties > Dynamische Attributen Connector.

Kies Integraties Dynamische Attributen Connector

2) Klik op het besturingselement naast de tekenreeks Uitgeschakeld om CSDAC in te schakelen.

Cisco Dynamic Attributes Connector inschakelen

c) Klik op Gereed zodra de CSDAC-activering is voltooid.

Connectorstatus Cisco Dynamic Attributes inschakelen

Stap 2: Maak een volledig gekwalificeerd domeinnaam netwerk object vertegenwoordiger van de FTD Ingress Interface

1) Kies Objecten > Netwerk toevoegen > Object toevoegen.

Nieuw volledig gekwalificeerd domeinnaam netwerkobject maken

2) Noem het netwerkobject dat is geconfigureerd met de volledig gekwalificeerde domeinnaam (FQDN). Voer het FQDN in en wijs het netwerkobject toe als een FQDN-type door op de juiste keuzerondjes te klikken. Klik op Save (Opslaan).

FQDN-netwerkobjectvariabelen configureren

Stap 3: Configureer de DNS A-record

1) Het hier getoonde voorbeeld maakt gebruik van Windows Server 2025; zie indien nodig de documentatie voor de specifieke naamoplossingsserver. 

Windows Server DNS A Record Configuration

Opmerking: de client die actieve verificatie uitvoert, moet deze DNS A-record kunnen oplossen.

Fase 2: Configuratie van infrastructuur met openbare sleutel

Een interne Certificate Authority (CA) kan worden gebruikt als de Public Key Infrastructure (PKI) voor de Active Authentication-configuratie. Cisco FMC en FTD vereisen dat de interne CA public key en gekoppelde private key worden geüpload als een intern CA-object om de noodzakelijke SSL-interceptie en Decrypt-Resign-bewerkingen uit te voeren. Bovendien moet de interne CA worden vertrouwd in de clientbrowser van waaruit Active Authentication wordt uitgevoerd. Raadpleeg de documentatie van de clientbrowser om te controleren hoe u kunt bevestigen dat de browser het certificaat vertrouwt.

Stap 1: Importeer het interne CA-certificaat naar het VCC

1) Kies Objecten > PKI > Interne CA's. Klik op CA importeren.

Opmerking: de interne CA kan ook rechtstreeks op het FMC worden gemaakt.

Interne certificeringsinstantie importeren in Firewall Management Center

Opmerking: binnen de inhoud van dit document wordt een witruimte weergegeven die de verschillende veldwaarden in de afbeeldingen dekt en is deze opzettelijk per publicatie van dit document. De werkelijke waarden worden weergegeven voor uw omgeving tijdens het configureren.

Stap 2: Teken het Service Provider Certificate met de CA

1) Het certificaat van de Serviceverlener (SP) moet worden ondertekend door een vertrouwde certificeringsinstantie (CA) en worden geretourneerd in een PKCS#12 (.p12)-indeling.

Opmerking: deze CA kan intern worden ondertekend. Het enige voorbehoud is dat de interne CA moet worden vertrouwd door het clientapparaat.

Stap 3: Implementeer het SP-certificaat in de FTD

1) Kies Apparaten > Certificaten.

Navigeer naar apparaten en certificaten

2) Klik op Certificaten toevoegen.

Nieuw apparaatcertificaat toevoegen

3) Klik op het apparaat in de vervolgkeuzelijst dat actieve verificatie uitvoert en klik vervolgens op het +-pictogram om een nieuwe certificaatinschrijving te maken.

Selecteer FTD en voeg nieuwe certificaatinschrijving toe

4) Noem de certificaatinschrijving en kies in de vervolgkeuzelijst Inschrijftype het PKCS12-bestand.

Instellingen en type certificaatinschrijving

5) Importeer het PKCS#12-bestand door te klikken op Bladeren PKCS12-bestand en voer de vereiste wachtwoordzin in. Klik op Save (Opslaan).

Bladeren en importeren van PKCS12-bestand

6) Bevestig dat de inschrijvingsgegevens correct zijn en klik op Toevoegen.

Inschrijvingsgegevens certificaat bevestigen

7) De invoer weerspiegelt In uitvoering.

Zodra het importeren is voltooid, kan de SP-certificaatinformatie worden gevalideerd door op het ID-pictogram van het geconfigureerde certificaat te klikken.

Status Certificaat importeren in uitvoering

Fase 3: Azure Configuration

Stap 1: Maak de Entra Enterprise Application voor de SAML Toolkit

1) Zoeken naar en klikken op Enterprise Applications.

Zoeken naar en toegang krijgen tot bedrijfstoepassingen

2) Klik op + Nieuwe toepassing.

Nieuwe toepassing selecteren binnen bedrijfstoepassingen

3) Zoek naar de Microsoft Entra SAML Toolkit en klik op de thumbnail ervoor.

Zoeken en selecteren van Microsoft Entra SAML Toolkit

4) Wijs een naam toe aan de Microsoft Entra SAML Toolkit Enterprise Application en klik op Maken. (Referentie van Microsoft: Lees onze stap-voor-stap Microsoft Entra SAML Toolkit integratie tutorial).

Naam toewijzen aan SAML Toolkit-toepassing

5) Wijs op de pagina Overzicht de specifieke gebruikers en groepen toe aan de SAML Toolkit Enterprise Application. In dit voorbeeld is het testaccount (captive-portal-gebruiker) lid van de groep active-auth-lab.

Gebruikers en groepen toewijzen aan toepassing

6) De configuratie van deze bedrijfstoepassing wordt in latere stappen voortgezet.

Stap 2: Inschrijvingen voor Entra ID-apps configureren

1) Navigeer terug naar Entra ID en kies in het linkernavigatiemenu App-registraties. Klik op het filter Alle toepassingen en zoek naar de naam die aan de Enterprise-toepassing is gegeven. Klik op de juiste applicatie.

Navigeer naar app-registraties en alle toepassingen

2) Verzamel en noteer de essentiële waarden onder de registratie van de Enterprise App.

Belangrijk: Beweeg de muis over de waarden om Kopiëren naar klembord weer te geven en verzamel de waarden onder Essentials op de pagina Overzicht:

• Weergavenaam
• Applicatie-ID (client)
• Directory-ID (huurder)

Weergave- en toepassings- en directory-ID-waarden verzamelen

3) Klik op Certificaat of geheime hyperlink toevoegen.

Certificaat of geheime hyperlink toevoegen

4) Klik op + Nieuw clientgeheim.

Nieuw clientgeheim toevoegen

5) Geef een beschrijving voor het geheim en pas de vervaldatum indien nodig aan. Klik op Add (Toevoegen).

Beschrijving voor clientgeheim opgeven

6) Kopieer het geheim.

Belangrijk: Let op de geheime waarde die naar het klembord is gekopieerd.

Client Secret Value kopiëren

Stap 3. Configureer Microsoft Graph API-machtigingen voor de app-registratie.

1) Kies API-machtigingen in het linkernavigatiemenu en klik vervolgens op + Een machtiging toevoegen.

API-machtigingen configureren

2) Klik op Microsoft Graph API.

Selecteer Microsoft Graph API

3) Gedelegeerde gebruiker toekennen. Rechten lezen en klik vervolgens op Rechten toevoegen.

Toekenning van leestoestemmingen voor gedelegeerde gebruikers

4) Grant Application User.Read.All permissies (vink het selectievakje aan).

Toekenningsaanvraag Alle machtigingen lezen

5) Zoek en vink het selectievakje Group.Read.All aan om ook machtigingen voor groepslezen toe te kennen. Klik op Rechten toevoegen.

API-machtigingen opslaan

6) Bevestig dat de geconfigureerde machtigingen overeenkomen en geef hiervoor administratieve toestemming.

Administratieve toestemming verlenen voor machtigingen

7) De output, zodra de admin toestemming is verleend, wordt weergegeven.

Toegegeven administratieve toestemming Output

Stap 4: Configureer de naamruimte Event Hub (EH)

1) Zoek en klik op Event Hubs.

Configuratie van de Hub voor zoekgebeurtenissen

2) Maak een nieuwe EH-naamruimte.

Naamruimte van gebeurtenishub maken

3) Configureer de EH-naamruimte.

Opmerking: de standaard prijslaag of hoger moet worden gekozen. Het basisprijsniveau voorkomt gebruik in het domein.

Zie de documentatie van Azure Event Hub voor verdere evaluatie van Geavanceerde instellingen van Event Hub en toepasbaarheid op specifieke behoeften.

Klik op Beoordelen + Aanmaken.

Instellingen naamruimte gebeurtenishub configureren

4) Klik op Aanmaken zodra de validatie is geslaagd.

Gebeurtenishub-naamruimteimplementatie maken

5) Bevestig dat de implementatie is voltooid en klik vervolgens op Ga naar resource.

Ga naar Event Hub namespace resource

Stap 5: Kies of maak beleid voor gedeelde toegang in de naamruimte van de gebeurtenishub

1) Kies in het linkernavigatiemenu Instellingen > Gedeeld toegangsbeleid.

Navigeer naar beleid voor gedeelde toegang

2) Klik op + Toevoegen en voer de nieuwe beleidsnaam in en vink het selectievakje Beheren aan. Klik onderaan in het menupaneel SAS-beleid toevoegen op Aanmaken.

Nieuw beleid voor gedeelde toegang toevoegen

Beleid voor gedeelde toegang maken

Stap 6: Verzamel en noteer informatie over gedeelde toegangshandtekeningen (SAS) uit de EH-naamruimte

1) Klik op het nieuwe beleid voor gedeelde toegang; het EH SAS-beleid wordt weergegeven in het zijpaneel aan de rechterkant.

Primaire verbindingsreeks kopiëren

Belangrijk: Kopieer en noteer de primaire verbindingsreeks.

Stap 7: Een instantie van de gebeurtenishub binnen de naamruimte van de gebeurtenishub maken

1) Kies Entiteiten > Event Hubs in het menu Namespace. Klik op + Event Hub om een nieuwe EH-instantie te maken.

Nieuwe instantie van gebeurtenishub maken

2) Wijs een naam toe aan de nieuwe EH-instantie en klik vervolgens op Review + create.

Naam toewijzen aan instantie Event Hub

3) Als de validatie is voltooid, klikt u op Aanmaken om de instantie Event Hub te openen.

instantie van gebeurtenishub voor provisioning

Belangrijk: Kopieer en noteer de instantienaam van de Event Hub.

Stap 8: Maak een Event Hub Instance Consumer Group binnen de naamruimte van de Event Hub

1) Klik op de nieuwe EH-instantie die in de vorige stap is geconfigureerd.

Configuratie van instantie van Access Event Hub

2) Kies Entiteiten > Consumentengroepen in de instantie EH en maak een nieuwe Consumentengroep.

Consumentengroep maken

3) Geef de consumentengroep een naam en klik op Maken.

Naam toewijzen aan consumentengroep

Belangrijk: Kopieer en noteer de naam van de instantie Event Hub Consumer group.

Stap 9: Verzamelde waarden verifiëren

1) Op dit punt moeten deze waarden uit de voorgaande stappen worden genoteerd. Als er geen waarde is geregistreerd, verwijst u naar de toepasselijke stap waar deze wordt verzameld:

• Fase 3 Stap 2 - App-registratie (van de Enterprise App die voor dit proces is gemaakt, waarnaar wordt verwezen door de verzamelde weergavenaam)
  • Stap 2, substap 2
    • Weergavenaam 
    • Toepassing (client)-ID
    • Directory (tenant)-ID
  • Stap 2, substap 6
    • Clientgeheim
• Fase 3 Stap 6 - Event Hub
  • Stap 6, substap 1
    • EH-naamruimte
      • Primaire verbindingsreeks
  • Stap 7, substap 3
    • EH-instantie (Event Hub) naam
  • Stap 8, substap 3
    • Naam EH Consumer Group

Stap 10: Intra ID Audit Log Streaming configureren naar de Event Hub

1) Navigeer terug naar de configuratie van de Entra ID-tenant.

Zoeken en navigeren naar de configuratie van de ID-tenant

2) Kies in het linkermenu Bewaking > Diagnostische instellingen.

Controle van diagnostische instellingen

3) Kies Diagnostische instellingen > Algemeen en klik op + Diagnostische instellingen toevoegen.

Nieuwe diagnostische instelling toevoegen

4) Wijs de vereiste naam toe aan de diagnostische instelling, vink het selectievakje AuditLogs aan om te loggen en vink het selectievakje Stream to an event hub aan. Verwijs naar de waarden die zijn genoteerd in de vorige configuraties en klik op Opslaan wanneer u klaar bent.

Controlelogboeken naar gebeurtenishub streamen

Fase 4: Configuratie van Azure en FMC/FTD Active Authentication consolideren

Stap 1: Configureer de Azure SAML/Entra ID Realm met behulp van de FMC Wizard

1) Kies binnen het VCC Integraties > Identiteit > Rijken.

Configuratie van identiteitsgebieden

2) Klik op de vervolgkeuzelijst Realm toevoegen en kies SAML - Azure AD.

SAML Azure AD Realm toevoegen

3) Wijs een naam en beschrijving toe aan het Azure-domein om het gebruik ervan te beschrijven en zorg ervoor dat Authenticate passief met Azure AD of het gebruik van een captive portal met Azure AD wordt gekozen uit de vervolgkeuzelijst Configuration Type. Klik op Next (Volgende).

Azure AD Realm-instellingen configureren

4) Kies het eerder geconfigureerde FQDN-object als de basis-URL. Voer de entiteit-ID in met de tekenreeksindeling die wordt weergegeven:

https://<fqdn-base-url>/<uniqueSuffix>

• Wanneer het achtervoegsel SAML Entity ID is geconfigureerd (groen onderstreept in het volgende configuratievoorbeeld), moet u ervoor zorgen dat het achtervoegsel uniek is voor andere SSO-implementaties in de omgeving. Deze waarde moet ook overeenkomen met de Azure SAML-configuratie. De basis-URL blijft gedurende de configuratie hetzelfde.
• De URL van de Assertion Consumer Services (ACS) wordt automatisch ingevuld en is onveranderlijk.
• Kies het Service Provider (SP)-certificaat dat is ingeschreven in de vorige werkstroomstappen in FMC onder Apparaten > Certificaten.
• Nadat deze waarden zijn ingevoerd, klikt u op Metagegevens van serviceprovider downloaden om het configuratieproces te vereenvoudigen en te bevestigen dat de verwachte waarden naar Azure zijn geschreven.

BasisURL en entiteit-ID configureren en SAML-metagegevens downloaden

5) Klik op Volgende om naar Reeks 3 van de Realm-configuratie te gaan.

Stap 2: Implementeer de FMC-geconfigureerde SAML SP-metagegevens in de Azure Enterprise-toepassing

1) Navigeer terug naar Azure en kies Entra ID > Beheren > Enterprise Applications. Zoek naar de eerder gemaakte instantie van de Microsoft Entra SAML Toolkit Enterprise Application.

Microsoft Entra SAML Toolkit-toepassing zoeken

2) Kies in het navigatiemenu aan de zijkant Beheren > Eenmalige aanmelding.

Configuratie voor eenmalige aanmelding beheren

3) Klik op de modus SAML Single Sign-On (SSO).

SAML Selectie van modus voor eenmalige aanmelding

4) Klik op Metagegevensbestand uploaden en klik op het blauwe mappictogram om door uw lokale bestandssysteem te bladeren naar het SAML-metagegevensbestand dat van het FMC is gedownload.

Metagegevensbestand uploaden vanuit Firewall Management Center

5) Als het uploaden is voltooid, klikt u op Toevoegen.

SAML-configuratietoepassing toevoegen

6) Het zijpaneel voor Basic SAML Configuration verschijnt en waarden zoals de Identifier (Entity ID) en de ACS URL worden geëxtraheerd uit het SP-metadata XML-bestand dat door de FMC is gemaakt en automatisch wordt geüpload en toegepast. De aanmeldings-URL is echter niet ingevuld en is vereist voordat u deze opslaat.

Basisconfiguratie SAML-extractie

7) Gebruik het opgegeven aanmeldings-URL-patroon, kopieer en plak de waarde en klik bovenaan op Opslaan wanneer u klaar bent.

Inloggen bij URL-configuratie

Blader omlaag naar SAML-certificaten en exporteer het Azure-gegenereerde Federation Metadata XML-bestand voor import in Cisco Secure FMC.

XML-bestand met metagegevens van federatie exporteren

Stap 3: Configureer het Azure SAML/Entra ID Realm met behulp van de FMC Wizard (vervolg)

1) Navigeer terug naar het VCC. Upload onder Volgorde 3, SAML Identity Provider (IdP) Metadata, het geëxporteerde Federation Metadata XML-bestand dat van Azure naar de FMC is gedownload om de benodigde waarden automatisch in te vullen.

Upload Federation Metadata XML-bestand

2) Eenmaal geüpload, vullen de waarden zoals weergegeven.

Automatisch ingevulde SAML-identiteitsproviderwaarden

Opmerking: Gedeeltelijke uitvoer wordt weergegeven in de afbeelding.

3) Voer de verzamelde waarden in tijdens het implementatieproces tot op dit punt:

• App-registratie
  • Applicatie-ID (client)
  • Clientgeheim
  • Directory-ID (huurder)
• Event Hub
  • EH-naamruimte-hostnaam
    • EH-naamruimte Primaire verbindingsreeks
  • Naam van instantie EH (Event Hub)
    • Naam EH Consumer Group

Voer de gegevens van de toepassing en de gebeurtenishub in

Eenmaal ingevoerd, klikt u op Test om de verbinding te controleren en te bevestigen dat Azure bereikbaar is met de verstrekte informatie.

Opmerking: zorg ervoor dat de Uitgesloten/Ingesloten gebruikersgroepen overeenkomen met uw Entra-configuratie

4) In de laatste stap van de wizard kunt u de time-out voor SAML Captive Portal-gebruikers configureren. De standaardwaarde is 1440 minuten.

Time-out voor captive portal configureren

5) Klik op Volgende om door te gaan.

Vooruit met Azure AD Realm Configuration

6) De wizard geeft een overzicht van de geïmplementeerde configuratie. Klik aan het einde van de samenvatting op Opslaan nadat de ingevoerde waarden zijn gevalideerd en bevestigd.

Overzicht Realm-configuratie Knop Opslaan

Stap 4: Controleer gedownloade gebruikers

1) Bevestig dat gebruikers kunnen worden gedownload van Azure Entra met de Download Now-knop binnen Integrations > Identity > Realms-workflow.

Gebruikers downloaden van Azure AD

2) Klik op Ja als reactie op de dialoogprompt.

Bevestig het downloaden van gebruikers van Azure AD

3) De downloadtaak levert 1 gebruiker en 1 groep gedownload, zoals bevestigd onder Meldingen > Taken.

Melding voor het downloaden van gebruikers van Azure AD

Fase 5: Beleid configureren in het VCC

Stap 1: Decryptiebeleid configureren

1) Kies in het VCC Beleid > Beveiligingsbeleid > Decryptie.

Navigeer naar decoderingsbeleid

2) Klik op de vervolgkeuzelijst Nieuw maken en kies Decryptiebeleid (op regels gebaseerd).

Nieuw op regels gebaseerd decoderingsbeleid maken

3) Wijs een naam en, indien gewenst, een beschrijving toe aan het nieuwe op regels gebaseerde decoderingsbeleid en klik op de taboptie Uitgaande verbindingen (Gebruikersbescherming) om de functionaliteit Decrypt-Resign te implementeren die vereist is voor interne portaalverificatie (Active Authentication). 

Beleidsdetails voor uitgaande verbindingen implementeren

4) Kies de eerder toegepaste interne CA uit de toepasselijke vervolgkeuzelijst in hetzelfde dialoogvenster. Klik op Next (Volgende).

5) Pas de opties zo nodig aan.

Opties voor decoderingsbeleid aanpassen

6) In dit voorbeeld worden standaardwaarden gebruikt, met uitzondering van de vereiste beleidsgegevens. Vul de configuratiewizard in door op Beleid maken te klikken.

Definitief decoderingsbeleid maken

Stap 2: Decryptiebeleidsregels configureren

1) De standaardlay-out van een op regels gebaseerd decoderingsbeleid wordt hier weergegeven. Verkeer dat niet overeenkomt met de standaard ingeschakelde regels, zoals regel 3 (die verwijst naar een vooraf toegewezen lijst met niet-decodeerbare domeinnamen) en regel 6 (die verwijst naar toepassingen die zijn getagd als niet-decodeerbaar), is onderworpen aan de actie Decrypt - Ontslag onder regel 7. Deze standaardinstellingen kunnen, samen met de standaardactie, indien nodig worden gewijzigd. Standaard wordt verkeer dat overeenkomt met geen andere regel geconfigureerd als Niet decoderen.

Het verkeer van de Azure Authentication Service mag niet worden ontsleuteld voor inspectie, dus er wordt een speciale regel voor gemaakt. Klik op + Regel toevoegen om te beginnen.

Regel toevoegen en decoderingslay-out op basis van standaardregel weergeven

2) Wijs een naam toe aan de nieuwe regel voor het decoderingsbeleid, kies Niet decoderen uit de vervolgkeuzelijst Actie en plaats de regel bovenaan, minder specifieke regels. Bron-/bestemmingszones worden ook geïmplementeerd om de regel verder te beperken.

Regel Niet decoderen configureren

3) Voordat de regel wordt toegevoegd, klikt u op het tabblad Toepassingen, zoekt u naar en klikt u op de toepassing Azure Authentication Service. Klik op Toevoegen aan regel en klik vervolgens op Toevoegen.

Azure Authentication Service Application Rule toevoegen

4) Klik op Opslaan.

Decryptiebeleid opslaan

Stap 3: Creëer een identiteitsbeleid

1) Kies Beleid > Beveiligingsbeleid > Identiteit om een Identiteitsbeleid te maken.

Identiteitsbeleid maken

2) Maak een nieuw identiteitsbeleid en klik op Een nieuw beleid toevoegen.

Configuratie nieuw identiteitsbeleid toevoegen

3) Wijs een naam en, indien van toepassing, een beschrijving toe aan het nieuwe identiteitsbeleid. Klik op Save (Opslaan).

Naam Nieuw identiteitsbeleid

Stap 4: Identiteitsbeleidsregels configureren

1) Voeg een nieuwe regel toe door op + Regel toevoegen te klikken.

Nieuwe regel voor identiteitsbeleid toevoegen

2) Geef de nieuwe regel een naam, kies Actieve verificatie in de vervolgkeuzelijst Actie en vernauw de specifieke zones/netwerken die moeten overeenkomen met de regel om Actieve verificatie uit te voeren.

Instellingen voor actieve verificatieregels configureren

3) Voordat u op Toevoegen klikt, klikt u op het tabblad Realm en instellingen in de Regeleditor. Bevestig dat het rijk dat in de vorige stappen is geconfigureerd, is gekozen als het verificatierijk en klik vervolgens op Toevoegen.

Realm en instellingen voor identiteitsregel configureren

4) De regel wordt toegevoegd en geconfigureerd. Klik op Save (Opslaan).

Configuratie van regel voor identiteitsbeleid opslaan

Stap 5: Configureer het toegangscontrolebeleid

1) Kies Beleid > Beveiligingsbeleid > Toegangsbeheer en klik op het Toegangsbeheerbeleid waaraan de FTD is toegewezen.

Configuratie toegangscontrolebeleid

2) Bevestig dat het decoderingsbeleid dat in de vorige stappen is geconfigureerd, wordt toegepast op het toegangscontrolebeleid.

Het decoderingsbeleid toepassen op toegangscontrole

3) Bevestig dat het identiteitsbeleid dat in de vorige stappen is geconfigureerd, ook wordt toegepast op het toegangscontrolebeleid. Sla de beleidswijzigingen op.

Identiteitsbeleid toepassen op toegangscontrole

4) Bevestig dat er regels bestaan die het verkeer van clientgegevens via de Secure Firewall toestaan na succesvolle actieve verificatie. Het voorbeeld dat hier wordt getoond, gebruikt een bredere regelset gezien de laboratoriumomgeving.

Verkeersregelset voor gebruikersgegevensvlak

Stap 6: Configuraties implementeren op de Cisco Secure Firewall-apparaten

Eenmaal geïmplementeerd, worden clients die verkeer verzenden, gevraagd met een Microsoft Sign-in-webpagina om Active Authentication met Azure Entra uit te voeren.

Zie Een Microsoft Azure AD (SAML)-domein maken voor actieve verificatie (captive portal) - Hoofdstuk: Realms in FMC Device Config Guide 10.x voor meer context over het hier gedocumenteerde proces.

Verifiëren

Gebruik deze sectie om te bevestigen dat de configuratie goed werkt.

GUI

Gebruikerssessies en -activiteiten in het VCC valideren:

• Kies Integraties > Gebruikers > Actieve sessies.

FMC Active Sessions-uitvoer

• Kies Integraties > Gebruikers > Gebruikersactiviteit.

FMC-gebruikersactiviteitsuitvoer

Navigeer op Azure naar het Microsoft Entra Admin Center:

• Filter Enterprise Apps, zoek naar/klik op de toepasselijke app.

Azure Entra Admin Center Enterprise Apps Navigation

• Kies Activiteit > Aanmeldingslogs.

Activiteitenlogboeken voor aanmelding bij Azure Enterprise Application

CLI

• In de FTD CLI ziet u statistieken met betrekking tot SAML en captive portal reacties:

> debug menu captive-portal 6
SAML passed requests captive-portal 14
SAML failed requests captive-portal 0
SAML passed responses captive-portal 4
SAML failed responses captive-portal 0
Total captive-portal bee-client messages processed 4
Total captive-portal bee-client messages successful 4
Total captive-portal bee-client messages failed 0
Total bee-client reconnects 0

Problemen oplossen

Debug in captive-portaal

• De opdracht captive-portal-debug voor systeemondersteuning kan op de FTD worden gebruikt. De uitvoer laat zien hoe u de foutopsporing kunt inschakelen en noteert ook belangrijke segmenten van de uitvoer om de Captive Portal-stroom te helpen begrijpen.

> system support captive-portal-debug

Enable firewall-debug too? [n]: y  
Enable identity-debug too? [n]: y  
Please specify an IP protocol: tcp  
Please specify a client IP address: 192.168.20.200  
Please specify a client port:  
Please specify a server IP address:  
Please specify a server port:  
Enable daq-debug too? (WARNING: current packet debug configs and logs will be overwritten) [n]:  
Monitoring captive_portal and firewall and identity debug messages

!--- Baseline output pending user Captive Portal authentication
...
192.168.20.200 53650 -> 198.51.100.1 443 6 AS=0 ID=1 GR=1-1 match rule order 1, id 1 action Captive portal, active auth realm id 2

192.168.20.200 53650 -> 198.51.100.1 443 6 AS=0 ID=1 GR=1-1 didn't find active binding, initiating captive portal

192.168.20.200 53650 -> 198.51.100.1 443 6 AS=0 ID=1 GR=1-1 captive portal authentication started

192.168.20.200 53650 -> 198.51.100.1 443 6 AS=0 ID=1 GR=1-1 defer trust until captive portal redirect is sent.

192.168.20.200 53650 -> 198.51.100.1 443 6 AS=0 ID=1 GR=1-1 Current state = S_INIT, Event = EVT_CP_RULE, Next state = S_PENDING_USER
...
!--- Captive Portal probe intercepted and redirected to SAML IdP (generate_204)
...
192.168.20.200 53659 -> 198.51.100.2 80 6 AS=0 ID=1 GR=1-1 AppID session with service_id: 676, url: http://browserportal.example.com

192.168.20.200 53659 -> 198.51.100.2 80 6 AS=0 ID=1 GR=1-1 Current state = S_PENDING_USER, Event = EVT_APPID_HTTP_HEADERS, Next state = S_REDIRECTING

192.168.20.200 53659 -> 198.51.100.2 80 6 AS=0 ID=1 GR=1-1 app event changes: service, client, host, url, user-agent, client-info

192.168.20.200 53659 -> 198.51.100.2 80 6 AS=0 ID=1 GR=1-1 using ipv4 address 192.168.20.1 for redirect

192.168.20.200 53659 -> 198.51.100.2 80 6 AS=0 ID=1 GR=1-1 encrypted redirect url: https://ftd-inside.example.com/+CSCOE+/saml/sp/login?tgname=azure-entra-saml&s=xxxx=http%3A%2F%2Fbrowserportal.example.com%2Fgenerate_204

192.168.20.200 53659 -> 198.51.100.2 80 6 AS=0 ID=1 GR=1-1 Current state = S_REDIRECTING, Event = EVT_FINALIZE, Next state = S_REDIRECTED
...
!--- SAML authentication completes, identity binding created 
...

192.168.20.200 54023 -> 198.51.100.2 80 6 AS=0 ID=2 GR=1-1 looked for user_id with realm_id 2 auth_type 2, returning realm_id 2 auth_type 8 user_id 0

192.168.20.200 54023 -> 198.51.100.280 6 AS=0 ID=2 GR=1-1 found active binding for user_id 0 usernames azure-entra-saml\captive-portal-user@onmicrosoft.example.com in realm 2

192.168.20.200 54023 -> 198.51.100.2 80 6 AS=0 ID=2 GR=1-1 IdentityFlowSetupEventHandler Retrieved identity info: user_id 0, username azure-entra-saml\captive-portal-user@onmicrosoft.example.com, authRealmId 2, src sgt 0, src sgt type unknown, dst sgt 0, dst sgt type unknown, deviceType 0, locationIP ::

192.168.20.200 54023 -> 198.51.100.2 80 6 AS=0 ID=2 GR=1-1 New firewall session

192.168.20.200 54023 -> 198.51.100.2 80 6 AS=0 ID=2 GR=1-1 allow action
...
!--- Authenticated binding persists across subsequent, unrelated destinations (no further redirects)
...
192.168.20.200 54024 -> 198.51.100.2 80 6 AS=0 ID=2 GR=1-1 found active binding for user_id 0 usernames azure-entra-saml\captive-portal-user@onmicrosoft.example.com in realm 2

192.168.20.200 54025 ->  198.51.100.1 443 6 AS=0 ID=1 GR=1-1 found active binding for user_id 0 usernames azure-entra-saml\captive-portal-user@onmicrosoft.example.com in realm 2

192.168.20.200 54026 ->  198.51.100.2 80 6 AS=0 ID=1 GR=1-1 found active binding for user_id 0 usernames azure-entra-saml\captive-portal-user@onmicrosoft.example.com in realm 2

192.168.20.200 54027 ->  198.51.100.3 443 6 AS=0 ID=1 GR=1-1 found active binding for user_id 0 usernames azure-entra-saml\captive-portal-user@onmicrosoft.example.com in realm 2

192.168.20.200 19935 ->  198.51.100.4 443 6 AS=0 ID=1 GR=1-1 found active binding for user_id 0 usernames azure-entra-saml\captive-portal-user@onmicrosoft.example.com in realm 2
...

Dump van gebruikersidentiteit

• Als u een momentopname wilt maken van de huidige gegevens over de gebruikersidentiteitsstatus op de FTD, voert u de opdracht Systeemondersteuning firewall-engine-dump-user-identity-data uit op de FTD CLI:

> system support firewall-engine-dump-user-identity-data

Successfully commanded snort.

>

• In expert mode CLI, terwijl u inlogt met lokale admin referenties van het FTD-apparaat, bekijk de inhoud van het gedumpte bestand in /ngfw/var/sf/user_enforcement/user_identity.dump

> expert
admin@ftd:~$ sudo su
Password:
root@ftd:/home/admin#
root@ftd:/home/admin# ls -lah /ngfw/var/sf/user_enforcement/user_identity.dump
-rw------- 1 root root 5.6K Oct  7 07:51 /ngfw/var/sf/user_enforcement/user_identity.dump
root@ftd:/home/admin# 
root@ftd:/home/admin# less /ngfw/var/sf/user_enforcement/user_identity.dump
...
----------------
IP:USER
----------------

!--- Host IP is aligned with the user authenticated via Captive Portal/Active Authentication
----------------
Host ::ffff:192.168.20.200
----------------
::ffff:192.168.20.200:0 realm 2 type 8, username azure-entra-saml\captive-portal-user@onmicrosoft.example.com
::ffff:192.168.20.200: SXP initialized 0 sgt 0
ABP values: None

-------------------
SXP MAPPING:
-------------------

...

Mogelijke problemen

Captive Portal Unknown Certificate Authority

Probleem: de clientbrowser geeft een onbekende fout van de uitgever terug wanneer de verificatie wordt geprobeerd.

Waarschijnlijke oorzaak: de interne certificeringsinstantie is niet vertrouwd in de clientbrowser.

Resolutie: Bevestig dat de CA vertrouwd is in de browser. Het hier getoonde voorbeeld bevestigt dat het interne CA-certificaat vertrouwd is.

Captive Portal "Server niet gevonden

Probleem: Wanneer de clientbrowser probeert het captive-portaal te laden, retourneert het "Server Not Found" voor de basis-URL terwijl het probeert de basis-URL of iets dergelijks te bereiken.

Waarschijnlijke oorzaak: DNS-bereikbaarheid of verkeerde DNS-configuratie.

Resolutie: Bevestig dat de client de juiste DNS-server heeft geconfigureerd om de A-record op te lossen. Bevestig dat de server een A-record heeft dat is toegewezen aan het FQDN en dat deze bereikbaar en responsief is.

Gerelateerde informatie

• Een Microsoft Azure AD (SAML)-domein maken voor actieve verificatie (captive portal) - FMC Device Config Guide 10.x
• Documentatie Azure Event Hub
• Technische ondersteuning en documentatie – Cisco Systems