Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Configureren

Configuratie

Verifiëren

Problemen oplossen

Inleiding

In dit document wordt de verificatie van externe verificatie (RADIUS) door gebruiker in Service (RADIUS) beschreven, die in ThreatGrid (TG) versie 2.10 is geïntroduceerd. Hiermee kunnen gebruikers zich aanmelden bij het Admin-portal en een portal voor console met aanmeldingsgegevens die zijn opgeslagen in de AAA-server.

In dit document vindt u de gewenste stappen om de functie te configureren.

Voorwaarden

Vereisten

- ThreatGrid versie 2.10 of hoger

- AAA-server die RADIUS via DTLS-verificatie ondersteunt (concept-ietf-radext-dts-04)

Gebruikte componenten

- ThreatGrid-applicatie 2.10

- Identity Services Engine (ISE) 2.7

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u de potentiële impact van elke opdracht begrijpen.

Configureren

Deze sectie verschaft uitgebreide instructies over het configureren van ThreatGrid-applicatie en ISE voor RADIUS-verificatie functie.

Opmerking: Om de authenticatie te configureren dient u ervoor te zorgen dat communicatie over poort-UDP 2083 is toegestaan tussen ThreatGrid Clean interface en ISE Policy Service Node (PSN).

Configuratie

Stap 1. Bereid het ThreatGrid-certificaat voor op verificatie.

RADIUS over DTLS maakt gebruik van wederzijdse certificatie, wat betekent dat het certificaat van de certificaatinstantie (CA) van ISE vereist is. Controleer eerst wat een CA-ondertekend RADIUS DTLS-certificaat is:

Stap 2. Exporteren van het CA-certificaat uit ISE.

navigeren naar Beheer > Systeem > Certificaten > certificaatbeheer > Vertrouwde certificaten, plaats de CA, selecteer Exporteren zoals in de afbeelding, en sla het certificaat voor later op de schijf op:

Stap 3. Voeg ThreatGrid toe als toegangsapparaat voor het netwerk.

Navigeer aan Beheer > Netwerkbronnen > Netwerkapparaten > Toevoegen om een nieuwe ingang voor TG te maken en voer het Naam, IP-adres van de interface Schoonmaken in en selecteer DTLS vereist zoals in de afbeelding. Klik onder op Opslaan:

Stap 4. Maak een vergunningsprofiel voor het vergunningsbeleid.

Navigeer in Policy > Policy elementen > Resultaten > autorisatie > autorisatieprofielen en klik op Add. Voer een naam in en selecteer Geavanceerde kenmerken zoals in de afbeelding weergegeven en klik op Opslaan:

Stap 5. Maak een authentificatiebeleid.

Navigeren in op beleid > Stappen beleid en klik op "+". Voer een naam in voor de beleidsinstelling en stel de voorwaarde in op NAD IP-adres, toegewezen aan de schone interface van TG, klik op Opslaan zoals in de afbeelding:

Stap 6. Maak een vergunningenbeleid.

Klik op ">" om naar het machtigingsbeleid te gaan, breid het machtigingsbeleid uit, klik op "+" en configureren zoals in de afbeelding, nadat u op Opslaan hebt geklikt:

Tip: U kunt één autorisatieregel maken voor al uw gebruikers die aan beide voorwaarden voldoen, Admin en UI.

Stap 7. Maak een identiteitsbewijs voor ThreatGrid.

ThreatGrid's client-certificaat moet zijn gebaseerd op de Elliptic Curve-toets:

openssl ecparam -name secp521r1 -genkey -out private-ec-key.pem

Het moet worden ondertekend door de CA die de ISE vertrouwt. Controleer of de basiscertificaten naar de pagina Trusted certificaatwinkel zijn geïmporteerd voor meer informatie over het toevoegen van een CA-certificaat aan ISE Trusted certificaatwinkel.

Stap 8. Configuratie van ThreatGrid om RADIUS te gebruiken.

Meld u aan bij het beheerportal, navigeer naar Configuration>RADIUS. In RADIUS CA certificaatpasta de inhoud van het PEM-bestand dat van ISE is verzameld, in een client-certificaatpasta PEM-geformatteerd certificaat dat van CA is ontvangen en in een client-Key goedinhoud van een privaat-ec-key.pem-bestand dat is verkregen uit de vorige stap zoals in de afbeelding wordt getoond. Klik op Opslaan:

Opmerking: U moet het TG-apparaat opnieuw configureren nadat u de RADIUS-instellingen hebt opgeslagen.

Stap 9. Voeg RADIUS-gebruikersnaam toe aan console-gebruikers.

Als u wilt inloggen op een portal, moet u de RADIUS-gebruikersnaam aan de betreffende gebruiker toevoegen, zoals in de afbeelding:

Stap 10. Laat alleen RADIUS-verificatie in.

Na het succesvol inloggen in het admin portal verschijnt er een nieuwe optie, die lokale systeemverificatie volledig uitschakelt en de enige op RADIUS gebaseerde optie achterlaat.

Verifiëren

Nadat TG opnieuw is ingesteld, logt u uit en nu ziet het loggen in pagina's er zo uit in de afbeeldingen, admin en console portal:

Problemen oplossen

Er zijn drie componenten die problemen kunnen veroorzaken: ISE, netwerkconnectiviteit en ThreatGrid.

- In ISE, zorg ervoor dat het ServiceType=Administration teruggeeft aan de authenticatieverzoeken van ThreatGrid. Navigatie in naar bewerkingen>RADIUS>Live-logbestanden op ISE en controleer details:

- Als u deze aanvragen niet ziet, voert u een pakketvastlegging op ISE uit. Navigatie naar Operations>Troubleshoot>Diagnostische Gereedschappen>TCP-pomp, specificeer IP in het veld Filter van de schone interface van de TG, klik op Start en probeer in te loggen op ThreatGrid:

U moet zien dat het aantal bytes is verhoogd. Open het PDF-bestand in Wireshark voor meer informatie.

- Als je de fout ziet "Het spijt ons, maar er is iets fout gegaan" nadat je op Save in ThreatGrid klikt en de pagina er zo uitziet:

Dat betekent dat je waarschijnlijk de RSA-toets voor het client certificaat gebruikte. U moet de ECC-toets gebruiken met de parameters die in stap 7 zijn gespecificeerd.