Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Configureren

Netwerkdiagram en verkeersstroom

ASA 5500-VPN

ASA-FW

ISE

Stap 1 SGT voor IT en andere groepen

Stap 2. Toestemming voor VPN-toegang waarbij SGT = 2 (IT) wordt toegekend

Stap 3. Voeg netwerkapparaat toe en genereer PAC-bestand voor ASA-VPN

Stap 4. Schakel PxGrid-rol in

Stap 5. Het certificaat voor beheer en de PxGrid-rol genereren

Stap 6. Automatische registratie van pxGrid

WSA

Stap 1. Transparante modus en omleiding

Stap 2. certificaatgeneratie

Stap 3. Test ISE-connectiviteit

Stap 4. ISE-identificatieprofielen

Stap 5. Toegang tot het op de SGT-tag gebaseerde beleid

Verifiëren

Stap 1. VPN-sessie

Stap 2. Door de WSA teruggewonnen sessieinformatie

Stap 3. Verkeersomleiding naar de WSA

Problemen oplossen

Onjuiste certificaten

Correct scenario

Gerelateerde informatie

Inleiding

Dit document beschrijft hoe u het web security applicatie (WSA) kunt integreren met Identity Services Engine (ISE). ISE versie 1.3 ondersteunt een nieuwe API met de naam pxGrid. Dit moderne en flexibele protocol ondersteunt verificatie, encryptie en privileges (groepen) die een makkelijke integratie met andere veiligheidsoplossingen mogelijk maken.

WSA versie 8.7 ondersteunt pxGrid-protocol en kan context-identiteitsinformatie van ISE ophalen. Als resultaat hiervan staat WSA u toe om beleid te bouwen op basis van de Groepsmarkering (SGT) van de VertrouwenSec die van ISE wordt teruggevonden.

Voorwaarden

Vereisten

Cisco raadt u aan ervaring met de configuratie van Cisco ISE en basiskennis van deze onderwerpen te hebben:

- ISE-implementaties en configuratie van vergunningen

- Adaptieve security applicatie (ASA) CLI-configuratie voor TrustSec en VPN-toegang

- WSA-configuratie

- Basisbegrip van TrustSec-implementaties

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

- Microsoft Windows 7

- Cisco ISE-softwarerelease 1.3 en hoger

- Cisco AnyConnect mobiele security versie 3.1 en hoger

- Cisco ASA versie 9.3.1 en hoger

- Cisco WSA versie 8.7 en hoger

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u de potentiële impact van elke opdracht begrijpen.

Configureren

Opmerking: Gebruik de Command Lookup Tool (alleen voor geregistreerde gebruikers) voor meer informatie over de opdrachten die in deze sectie worden gebruikt.

Netwerkdiagram en verkeersstroom

TrustSec SGT-tags worden toegewezen door ISE die als authenticatieserver voor alle types gebruikers die toegang hebben tot het bedrijfsnetwerk worden gebruikt. Dit betekent bedrading/draadloze gebruikers die zich via 802.1x of ISE gastportals authentiek verklaren. Ook externe VPN-gebruikers die ISE gebruiken voor verificatie.

Voor WSA, maakt het niet uit hoe de gebruiker het netwerk heeft benaderd.

Dit voorbeeld stelt een externe VPN gebruikers voor die sessie over ASA-VPN beëindigen. Aan deze gebruikers is een specifiek SGT-label toegekend. Al HTTP-verkeer naar het internet wordt door de ASA-FW (firewall) onderschept en voor inspectie naar de WSA doorgestuurd. De WSA maakt gebruik van het identiteitsprofiel dat het in staat stelt gebruikers te classificeren op basis van de SGT-tag en op basis daarvan toegangsbeleid of decryptie te ontwikkelen.

De gedetailleerde stroom is:

1. De AnyConnect VPN-gebruiker beëindigt de Secure Socket Layer (SSL) sessie op de ASA-VPN. ASA-VPN wordt geconfigureerd voor TrustSec en gebruikt ISE voor verificatie van VPN-gebruikers. De geauthentiseerde gebruiker krijgt een SGT-tag waarde = 2 (naam = IT) toegewezen. De gebruiker ontvangt een IP-adres van het 172.16.32.0/24 netwerk (172.16.32.50 in dit voorbeeld).

2. De gebruiker probeert de webpagina op het internet te benaderen. ASA-FW is geconfigureerd voor Web Cache Communication Protocol (WCCP), dat het verkeer omwijst naar de WSA.

3. De WSA wordt gevormd voor ISE integratie. Het gebruikt pxGrid om informatie van ISE te downloaden: Aan gebruiker IP-adres 172.16.32.50 is SGT-tag 2 toegekend.

4. De WSA verwerkt het HTTP verzoek van de gebruiker en slaat toegangsbeleidForIT in. Dit beleid is zo ingesteld dat het verkeer naar de sportlocaties wordt geblokkeerd. Alle andere gebruikers (die niet tot SGT 2 behoren) hebben het standaardtoegangsbeleid en hebben volledige toegang tot de sportsites.

ASA 5500-VPN

Dit is een VPN-poort die is ingesteld voor TrustSec. Gedetailleerde configuratie is buiten het toepassingsgebied van dit document. Raadpleeg deze voorbeelden:

- ASA en Catalyst 3750X Series switchstack-SEC Configuratievoorbeeld en probleemoplossing

- ASA versie 9.2 VPN SGT-classificatie en -handhaving Configuratievoorbeeld

ASA-FW

De ASA Firewall is verantwoordelijk voor WCCP-omleiding naar de WSA. Dit apparaat is niet op de hoogte van TrustSec.

interface GigabitEthernet0/0

nameif outside

security-level 100

ip address 172.16.33.110 255.255.255.0

interface GigabitEthernet0/1

nameif inside

security-level 100

ip address 172.16.32.110 255.255.255.0

access-list wccp-routers extended permit ip host 172.16.32.204 any

access-list wccp-redirect extended deny tcp any host 172.16.32.204

access-list wccp-redirect extended permit tcp any any eq www

access-list wccp-redirect extended permit tcp any any eq https

wccp 90 redirect-list wccp-redirect group-list wccp-routers

wccp interface inside 90 redirect in

ISE

ISE is een centraal punt in de opstelling van TrustSec. Het wijst SGT tags toe aan alle gebruikers die toegang hebben tot het netwerk en deze authentiek verklaren. De stappen die voor de basisconfiguratie nodig zijn, worden in dit gedeelte vermeld.

Stap 1 SGT voor IT en andere groepen

Kies beleid > Resultaten > Beveiligingsgroepen Toegang > Beveiligingsgroepen en maak het SGT aan:

Stap 2. Toestemming voor VPN-toegang waarbij SGT = 2 (IT) wordt toegekend

Kies beleid > autorisatie en maak een regel voor externe VPN-toegang. Alle VPN-verbindingen die via ASA-VPN worden gemaakt, krijgen volledige toegang (PermitAccess) en krijgen SGT tag 2 (IT) toegewezen.

Stap 3. Voeg netwerkapparaat toe en genereer PAC-bestand voor ASA-VPN

Om het ASA-VPN aan het TrustSec-domein toe te voegen, is het nodig om het PAC-bestand (proxy Auto Config) handmatig te genereren. Dat bestand zal op de ASA worden geïmporteerd.

Dat kan worden ingesteld via Beheer > Netwerkapparaten. Nadat de ASA is toegevoegd, scrollen naar TrustSec instellingen en genereren het PAC bestand. De details hiervoor worden beschreven in een afzonderlijk (verwezen) document.

Stap 4. Schakel PxGrid-rol in

Kies Administratie > Plaatsing om de pxGrid rol toe te laten.

Stap 5. Het certificaat voor beheer en de PxGrid-rol genereren

Het PxGrid-protocol gebruikt certificatie van certificaten voor zowel de client als de server. Het is zeer belangrijk om de juiste certificaten voor zowel ISE als WSA te configureren. Beide certificaten moeten de Full Qualified Domain Name (FQDN) in het Onderwerp en x509-uitbreidingen voor Clientverificatie en -serververificatie bevatten. Controleer ook of het juiste DNS A-record is gecreëerd voor zowel ISE als de WSA en op basis daarvan wordt de corresponderende FQDN-naam aangepast.

Als beide certificaten door een andere certificaatinstantie (CA) worden ondertekend, is het belangrijk deze CA’s in de vertrouwde winkel op te nemen.

Om certificaten te configureren kiest u Beheer > Certificaten.

ISE kan een certificaat het ondertekenen verzoek (CSR) voor elke rol genereren. Voor de pxGrid-rol, exporteer en teken de CSR met een externe CA.

In dit voorbeeld is Microsoft CA met deze sjabloon gebruikt:

Het eindresultaat kan er als volgt uitzien:

Vergeet niet om DNS A-records te maken voor ise14.voorbeeld.com en pxgrid.voorbeeld.com, die op 172.16.31.202 wijzen.

Stap 6. Automatische registratie van pxGrid

Standaard zal ISE de PxGrid-abonnees niet automatisch registreren. Dit moet handmatig door de beheerder worden goedgekeurd. Die instelling moet worden gewijzigd voor de WSA-integratie.

Kies Beheer > PxGrid Services en stel Auto-Registratie inschakelen.

WSA

Stap 1. Transparante modus en omleiding

In dit voorbeeld wordt de WSA met slechts de beheersinterface, de transparante modus en de omleiding van de ASA geconfigureerd:

Stap 2. certificaatgeneratie

De WSA moet de CA vertrouwen om alle certificaten te ondertekenen. Kies Netwerk > certificaatbeheer om een CA-certificaat toe te voegen:

Het is ook nodig om een certificaat te genereren dat de WSA zal gebruiken om te authenticeren aan pxGrid. Kies Network > Identity Services Engine > WSA Client certificaat om de CSR te genereren, teken het met de juiste CA-sjabloon (ISE-pxgrid) en importeren het terug.

Voer ook voor "ISE Admin certificaatcertificaat" en "ISE pxGrid-certificaat" het CA-certificaat in (om het PxGrid-certificaat van ISE te vertrouwen):

Stap 3. Test ISE-connectiviteit

Kies Network > Identity Services Engine om de verbinding met ISE te testen:

Stap 4. ISE-identificatieprofielen

Kies Web Security Manager > Identificatieprofielen om een nieuw profiel voor ISE toe te voegen. Gebruik voor "Identificatie en verificatie" "Transparante gebruikers identificeren met ISE".

Stap 5. Toegang tot het op de SGT-tag gebaseerde beleid

Kies Web Security Manager > Toegangsbeleid om een nieuw beleid toe te voegen. Het lidmaatschap gebruikt het ISE-profiel:

Voor geselecteerde groepen en gebruikers wordt SGT tag 2 toegevoegd (IT):

Het beleid ontkent toegang tot alle sportlocaties voor gebruikers die deel uitmaken van SGT IT:

Verifiëren

Gebruik dit gedeelte om te bevestigen dat de configuratie correct werkt.

Stap 1. VPN-sessie

De VPN-gebruiker start een VPN-sessie naar ASA-VPN:

ASA-VPN gebruikt ISE voor verificatie. ISE creëert een sessie en wijst SGT tag 2 (IT) toe:

Na succesvolle verificatie maakt de ASA-VPN een VPN-sessie met SGT tag 2 (teruggegeven in Radius Access-Accept in cisco-av-pair):

asa-vpn# show vpn-sessiondb anyconnect

Session Type: AnyConnect

Username     : cisco                  Index        : 2

Assigned IP  : 172.16.32.50           Public IP    : 192.168.10.67

Protocol     : AnyConnect-Parent SSL-Tunnel DTLS-Tunnel

License      : AnyConnect Essentials

Encryption   : AnyConnect-Parent: (1)none  SSL-Tunnel: (1)RC4  DTLS-Tunnel: (1)AES128

Hashing      : AnyConnect-Parent: (1)none  SSL-Tunnel: (1)SHA1  DTLS-Tunnel: (1)SHA1

Bytes Tx     : 12979961               Bytes Rx     : 1866781

Group Policy : POLICY                 Tunnel Group : SSLVPN

Login Time   : 21:13:26 UTC Tue May 5 2015

Duration     : 6h:08m:03s

Inactivity   : 0h:00m:00s

VLAN Mapping : N/A                    VLAN         : none

Audt Sess ID : ac1020640000200055493276

Security Grp : 2:IT

Aangezien de link tussen de ASA-VPN en de ASA-FW niet is ingeschakeld door TrustSec, stuurt de ASA-VPN niet-gelabelde frames naar dat verkeer door (zou niet in staat zijn om GRE Ethernet-frames in te sluiten met het geïnjecteerde CMD/TrustSec-veld).

Stap 2. Door de WSA teruggewonnen sessieinformatie

In dit stadium moet de WSA de mapping tussen het IP-adres, de gebruikersnaam en het SGT ontvangen (via pxGrid-protocol):

Stap 3. Verkeersomleiding naar de WSA

De VPN-gebruiker initieert een verbinding met sport.pl, die door de ASA-FW wordt onderschept:

asa-fw# show wccp

Global WCCP information:

Router information:

Router Identifier:                   172.16.33.110

Protocol Version:                    2.0

Service Identifier: 90

Number of Cache Engines:             1

Number of routers:                   1

Total Packets Redirected:            562

Redirect access-list:                wccp-redirect

Total Connections Denied Redirect:   0

Total Packets Unassigned:            0

Group access-list:                   wccp-routers

Total Messages Denied to Group:      0

Total Authentication failures:       0

Total Bypassed Packets Received:     0

asa-fw# show access-list wccp-redirect

access-list wccp-redirect; 3 elements; name hash: 0x9bab8633

access-list wccp-redirect line 1 extended deny tcp any host 172.16.32.204 (hitcnt=0)

0xfd875b28

access-list wccp-redirect line 2 extended permit tcp any any eq www (hitcnt=562)

0x028ab2b9

access-list wccp-redirect line 3 extended permit tcp any any eq https (hitcnt=0)

0xe202a11e

en in GRE naar het WSA (merk op dat de WCCP-router-id het hoogste IP-adres is ingesteld):

asa-fw# show capture

capture CAP type raw-data interface inside [Capturing - 70065 bytes]

match gre any any

asa-fw# show capture CAP

525 packets captured

1: 03:21:45.035657       172.16.33.110 > 172.16.32.204:  ip-proto-47, length 60

2: 03:21:45.038709       172.16.33.110 > 172.16.32.204:  ip-proto-47, length 48

3: 03:21:45.039960       172.16.33.110 > 172.16.32.204:  ip-proto-47, length 640

WSA gaat verder de TCP handdruk en verwerkt het GET verzoek. Als gevolg daarvan wordt het beleid met de naam PolicyForIT geraakt en wordt het verkeer geblokkeerd:

Dit wordt bevestigd in het WSA-rapport:

Let op dat ISE de gebruikersnaam toont.

Problemen oplossen

Deze sectie verschaft informatie die u kunt gebruiken om problemen met uw configuratie op te lossen.

Onjuiste certificaten

Wanneer de WSA niet correct geformatteerd wordt (certificaten), test voor ISE verbindingsfalen:

Het ISE pxgrid-cm.log meldt:

[2015-05-06T16:26:51Z] [INFO ] [cm-1.jabber-172-16-31-202]

[TCPSocketStream::_doSSLHandshake] [] Failure performing SSL handshake: 1

De reden voor deze fout is te zien bij Wireshark:

Voor een SSL-sessie die wordt gebruikt om Extensible Messaging and Presence Protocol (XMPP)-uitwisseling (gebruikt door pxGrid) te beschermen, meldt de client SSL-storing vanwege een onbekende certificeringsketen die door de server wordt voorgesteld.

Correct scenario

Voor het juiste scenario logt de ISE pacgrid-controller.log:

2015-05-06 18:40:09,153 INFO [Thread-7][] cisco.pxgrid.controller.sasl.SaslWatcher

-:::::- Handling authentication for user name wsa.example.com-test_client

Tevens presenteert ISE GUI het WSA als een abonnee met de juiste mogelijkheden:

Gerelateerde informatie

- ASA versie 9.2.1 VPN-post met ISE Configuration Voorbeeld

- WSA 8007 gebruikersgids

- ASA en Catalyst 3750X Series switchstack-SEC Configuratievoorbeeld en probleemoplossing

- Cisco TrustSec-switchconfiguratie-gids: De betekenis van Cisco TrustSec

- Een externe server configureren voor security applicatie, gebruikersautorisatie

- Cisco ASA Series 5000 Series VPN CLI-configuratiegids, 9.1

- Gebruikershandleiding voor Cisco Identity Services Engine, release 1.2

- Technische ondersteuning en documentatie – Cisco Systems