Configurar a Autenticação Externa no Catalyst Center usando o Windows Server

Introdução

Este documento descreve como configurar a Autenticação Externa no Cisco DNA Center usando o Servidor de Políticas de Rede (NPS) no Windows Server como RADIUS.

Pré-requisitos

Requisitos

Conhecimento básico sobre:

• Usuários e funções do Cisco DNA Center
• Servidor de Diretivas de Rede, RADIUS e Ative Diretory do Windows Server

Componentes Utilizados

• Cisco DNA Center 2.3.5.x
• Microsoft Windows Server Versão 2019 atuando como Controlador de Domínio, Servidor DNS, NPS e Ative Diretory

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Observação: o Cisco Technical Assistance Center (TAC) não fornece suporte técnico ao Microsoft Windows Server. Se você tiver problemas com a configuração do Microsoft Windows Server, entre em contato com o Suporte da Microsoft para obter assistência técnica.

Configurar

Política de Função do Administrador

1. Clique no menu Iniciar do Windows e procure NPS. Em seguida, selecione Servidor de Diretivas de Rede:
   Menu Iniciar do Windows
2. No painel de navegação à esquerda, clique com o botão direito do mouse na opção NPS (Local) e selecione Register server in Ative Diretory:
   Serviço de Política de Rede do Windows
   
   
3. Clique duas vezes em OK.
   
   
4. Expanda Clientes e servidores RADIUS, clique com o botão direito do mouse em Clientes RADIUS e selecione Novo:
   Adicionar cliente RADIUS
   
   
5. Insira o Nome amigável, o endereço IP de gerenciamento do Cisco DNA Center e um segredo compartilhado (isso pode ser usado posteriormente):
   Configuração do cliente Radius
6. Clique em OK para salvá-lo.
   
   
7. Expanda Policies, clique com o botão direito do mouse em Network Policies e selecione New:
   Adicionar Nova Diretiva de Rede
   
   
8. Insira um nome de política para a regra e clique em Avançar:
   Nome da política
   
   
9. Para permitir um grupo de domínio específico, adicione estas duas condições e clique em Avançar:
   • Grupo de usuários - Adicione seu grupo de domínio que pode ter uma função de administrador no Cisco DNA Center (para este exemplo, o grupo Sup_Ad_NPS é usado).
   • ClientIPv4Address - Adicione seu endereço IP de gerenciamento do Cisco DNA Center.
     Condições da política
     
     
10. Selecione Acesso concedido e clique em Avançar:
    Usar Acesso Concedido
    
    
11. Selecione Somente Autenticação sem criptografia (PAP, SPAP):
    Selecione Autenticação não criptografada
    
    
12. Selecione Avançar já que os valores padrão são usados:
    Janela Configurar Restrição
    
    
13. Remover atributos padrão:
    Definir atributos a serem usados
    
    
14. Em Atributos RADIUS, selecione Específico do fornecedor e, em seguida, clique em Adicionar, selecione Cisco como um fornecedor e clique em Adicionar:
    Adicionar par AV da Cisco
    
    
15. Clique em Add, escreva Role=SUPER-ADMIN-ROLE e clique em OK duas vezes:
    Atributo Cisco AV-Pair adicionado
    
    
16. Selecione Close e, em seguida, Next. 
17. Revise suas configurações de política e selecione Concluir para salvá-las.

Resumo da política

Política de Função de Observador.

1. Clique no menu Iniciar do Windows e procure NPS. Em seguida, selecione Network Policy Server.
2. No painel de navegação à esquerda, clique com o botão direito do mouse na opção NPS (Local) e selecione Register server in Ative Diretory.
3. Clique duas vezes em OK.
4. Expanda Clientes e servidores RADIUS, clique com o botão direito do mouse em Clientes RADIUS e selecione Novo.
5. Insira um Nome amigável, o endereço IP de gerenciamento do Cisco DNA Center e um segredo compartilhado (isso pode ser usado posteriormente).
6. Clique em OK para salvá-lo.
7. Expanda Policies, clique com o botão direito do mouse em Network Policies e selecione New.
8. Insira um nome de política para a regra e clique em Avançar.
9. Para permitir um grupo de domínio específico, você precisa adicionar essas duas condições e selecionar Próximo.
   • Grupo de usuários - Adicione seu grupo de domínio para atribuir uma função de observador no Cisco DNA Center (neste exemplo, o grupo Observer_NPS é usado).
   • ClientIPv4Address - Adicione seu IP de gerenciamento do Cisco DNA Center.
10. Selecione Acesso concedido e, em seguida, Próximo.
11. Selecione Somente Autenticação não criptografada (PAP, SPAP).
12. Selecione Avançar já que os valores padrão são usados.
13. Remova os atributos Standard.
14. Em RADIUS Attributes, selecione Vendor Specific e, em seguida, clique em Add, selecione Cisco como um fornecedor e clique em Add.
15. Selecione Add, write ROLE=OBSERVER-ROLE e OK duas vezes.
16. Selecione Fechar e Avançar.
17. Revise suas configurações de política e selecione Concluir para salvá-las.

Habilitar autenticação externa

1. Abra a interface gráfica do usuário (GUI) do Cisco DNA Center em um navegador da Web e faça login usando uma conta privilegiada de administrador:
   

   Página de login do Cisco DNA Center

2. Navegue até Menu > Sistema > Configuração > Servidores de autenticação e política e selecione Adicionar > AAA:
   Adicionar Windows Server
   
   
3. Digite o endereço IP do Windows Server e o segredo compartilhado usados nas etapas anteriores e clique em Salvar:
   Valores do Windows Server
   
   
4. Valide se o status do Windows Server é Ativo:
   Resumo do Windows Server
5. Navegue até Menu > Sistema > Usuários e funções > Autenticação externa e selecione seu servidor AAA:
   Windows Server como servidor AAA
   
   
6. Digite Cisco-AVPair como o atributo AAA e clique em Update:
   Par AV em usuário externo
   
   
7. Clique na caixa de seleção Enable External User para habilitar a Autenticação externa:
   

Verificar

Você pode abrir a Interface gráfica do usuário (GUI) do Cisco DNA Center em um navegador da Web e fazer logon com um usuário externo configurado no Windows Server para confirmar que é possível fazer logon com êxito usando a autenticação externa. 

Página de login do Cisco DNA Center