Configurar a marcação em linha do ASA 9.3.1 TrustSec

Introduction

Este documento descreve como usar o recurso implementado no Adaptive Security Appliance (ASA) versão 9.3.1 - marcação em linha TrustSec. Esse recurso permite que o ASA receba quadros TrustSec e envie-os. Dessa forma, o ASA pode ser facilmente integrado no domínio TrustSec sem a necessidade de usar o TrustSec SGT Exchange Protocol (SXP).

Este exemplo apresenta o usuário remoto VPN que recebeu a tag Security Group Tag (SGT) = 3 (Marketing) e o usuário 802.1x que receberam a tag SGT = 2 (Finanças). A aplicação de tráfego é realizada pelo ASA com o uso da Security Group Access Control List (SGACL) definida localmente e pelo switch Cisco IOS® usando a RBACL (Role Based Access Control List) baixada do Identity Services Engine (ISE).

Prerequisites

Requirements

A Cisco recomenda que você tenha conhecimento destes tópicos:

• Configuração do ASA CLI e configuração do Secure Socket Layer (SSL) VPN
• Configuração de VPN de acesso remoto no ASA
• Serviços ISE e TrustSec

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software:

• Software Cisco ASA, versão 9.3.1 e posterior
• Hardware Cisco ASA 55 horas por dia, 5 dias por semana ou ASAv
• Windows 7 com Cisco AnyConnect Secure Mobility Client, versão 3.1
• Switch Cisco Catalyst 3750X com software 15.0.2 e posterior
• Cisco ISE, versão 1.2 e posterior

Configurar

Note: Use a Command Lookup Tool ( somente clientes registrados) para obter mais informações sobre os comandos usados nesta seção.

Diagrama de Rede

A conexão entre ASA e 3750X é configurada para cts manuais. Isso significa que ambos os dispositivos podem enviar e receber quadros Ethernet modificados com o Cisco Metadata Field (CMD). Esse campo inclui Security Group Tag (SGT), que descreve a origem do pacote.

O usuário de VPN remoto encerra a sessão SSL no ASA e recebe a tag 3 SGT (Marketing).

Usuário 802.1x corporativo local depois que a autenticação bem-sucedida foi atribuída à tag SGT 2 (Finance).

O ASA tem SGACL configurado na interface interna que permite o tráfego ICMP iniciado do departamento financeiro ao departamento de marketing.

O ASA permite que todo o tráfego iniciado remova o usuário da VPN (devido à configuração "sysopt connection permit-vpn").

O SGACL no ASA é stateful, o que significa que, depois que o fluxo é criado, o pacote de retorno é aceito automaticamente (com base na inspeção).

O switch 3750 usa RBACL para controlar o tráfego recebido de Marketing para Finanças.

O RBACL é stateless, o que significa que cada pacote é verificado, mas a aplicação do TrustSec na plataforma 3750X é executada no destino. Dessa forma, o switch é responsável pela aplicação do tráfego de Marketing para Finanças.

Note: Para o firewall stateful com reconhecimento de Trustsec no Cisco IOS ® Zone Based Firewall pode ser usado. Por exemplo, consulte:  

Note: O ASA pode ter o SGACL controlando o tráfego que vem do usuário remoto de VPN. Para simplificar o cenário, ele não foi apresentado neste artigo. Por exemplo, consulte: Exemplo de Configuração de Classificação e Imposição de VPN SGT do ASA versão 9.2

ISE - Etapas de configuração

1. SGT para finanças e marketing

Navegue até Policy > Results > Security Group Access > Security Groups e crie SGT for Finance and Marketing como mostrado nesta imagem.

2. ACL do grupo de segurança para o marketing de tráfego > Finanças

Navegue até Policy > Results > Security Group Access > Security Group ACL (Política > Resultados > Acesso do grupo de segurança > ACL do grupo de segurança) e crie uma ACL usada para controlar o tráfego de Marketing para Finanças. Somente tcp/445 é permitido conforme mostrado nesta imagem.

3. Vinculando ACL na matriz

Navegue até Política > Política de saída > Matriz vincular a ACL configurada para a origem: Marketing e destino: Finanças. Também anexe Deny IP como a última ACL a descartar todo o tráfego restante como mostrado na imagem. (sem essa política padrão, o padrão é permit any)

4. Regra de autorização para acesso VPN Atribuindo SGT = 3 (Marketing)

Navegue até Policy > Authorization e crie uma regra para acesso remoto à VPN. Todas as conexões VPN estabelecidas através do cliente AnyConnect 4.x terão acesso total (PermitAccess) e receberão a tag SGT 3 (Marketing). A condição é usar o AnyConnect Identity Extentions (ACIDEX):

Rule name: VPN 
Condition: Cisco:cisco-av-pair CONTAINS mdm-tlv=ac-user-agent=AnyConnect Windows 4 
Permissions: PermitAccess AND Marketing

5. Regra de autorização para acesso 802.1x Atribuição SGT = 2 (Finanças)

Navegue até Política > Autorização e crie uma regra para acesso 802.1x. O requerente que encerra a sessão 802.1x no switch 3750 com o nome de usuário cisco obterá acesso total (PermitAccess) e receberá a tag SGT 2 (Finance).

Rule name: 802.1x 
Condition: Radius:User-Name EQUALS cisco AND Radius:NAS-IP-Address EQUALS 192.168.1.10 
Permissions: PermitAccess ANDFinance

6. Adicionando dispositivo de rede, gerando PAC para ASA

Para adicionar o ASA ao domínio TrustSec, é necessário gerar o arquivo PAC manualmente. Esse arquivo é importado no ASA.

Isso pode ser configurado em Administração > Dispositivos de Rede. Depois que o ASA for adicionado, role para baixo até as configurações do TrustSec e gere PAC como mostrado nesta imagem.

Os switches (3750X) suportam provisionamento automático de PAC, de modo que as etapas só precisem ser executadas para o ASA, que suporta apenas o provisionamento manual de PAC.

7. Adicionar dispositivo de rede, Configurar segredo para provisionamento automático de PAC do switch

Para um switch que usa provisionamento automático de PAC, um segredo correto deve ser definido, como mostrado nesta imagem.

Note: A PAC é usada para autenticar o ISE e baixar dados do ambiente (por exemplo, SGT) junto com a política (ACL). O ASA oferece suporte apenas a dados de ambiente, as políticas precisam ser configuradas manualmente no ASA. O Cisco IOS® suporta ambos, para que as políticas possam ser baixadas do ISE.

ASA - Etapas de configuração

1. Acesso VPN básico

Configure o acesso VPN SSL básico para AnyConnect usando ISE para autenticação.

aaa-server ISE protocol radius
aaa-server ISE (inside) host 10.62.145.41
 key cisco

webvpn
 enable outside
 anyconnect-essentials
 anyconnect image disk0:/anyconnect-win-4.0.00051-k9.pkg 1
 anyconnect enable
 tunnel-group-list enable
 error-recovery disable

tunnel-group TAC type remote-access
tunnel-group TAC general-attributes
 address-pool (outside) POOL
 authentication-server-group ISE
 default-group-policy TAC
tunnel-group TAC webvpn-attributes
 group-alias TAC enable

ip local pool POOL 192.168.100.50-192.168.100.60 mask 255.255.255.0

2. Importar PAC e ativar cts

Importar PAC gerado para ASA (da Etapa 6 da configuração do ISE). Usar a mesma chave de criptografia:

BSNS-ASA5512-4# cts import-pac http://10.229.20.86/asa5512.pac password ciscocisco
PAC Imported Successfully

Para verificar:

BSNS-ASA5512-4# show cts pac 

  PAC-Info:
    Valid until: Apr 11 2016 10:16:41
    AID:         c2dcb10f6e5474529815aed11ed981bc
    I-ID:        asa5512
    A-ID-Info:   Identity Services Engine
    PAC-type:    Cisco Trustsec
  PAC-Opaque:
    000200b00003000100040010c2dcb10f6e5474529815aed11ed981bc00060094000301
    007915dcb81032f2fdf04bfe938547fad2000000135523ecb300093a8089ee0193bb2c
    8bc5cfabf8bc7b9543161e6886ac27e5ba1208ce445018a6b07cc17688baf379d2f1f3
    25301fffa98935ae5d219b9588bcb6656799917d2ade088c0a7e653ea1dca530e24274
    4366ed375488c4ccc3d64c78a7fc8c62c148ceb58fad0b07d7222a2c02549179dbf2a7
    4d4013e8fe

Ativar cts:

cts server-group ISE

Depois de habilitar o cts, o ASA deve baixar os dados do ambiente do ISE:

BSNS-ASA5512-4# show cts environment-data 
CTS Environment Data
====================
Status:                    Active
Last download attempt:     Successful
Environment Data Lifetime: 86400 secs
Last update time:          10:21:41 UTC Apr 11 2015
Env-data expires in:       0:00:37:31 (dd:hr:mm:sec)
Env-data refreshes in:     0:00:27:31 (dd:hr:mm:sec)

3. SGACL para finanças de tráfego > marketing

Configure o SGACL na interface interna. A ACL permite iniciar somente o tráfego ICMP do departamento financeiro para o departamento de marketing.

access-list inside extended permit icmp security-group name Finance any security-group name Marketing any 
access-group inside in interface inside

O ASA deve expandir o nome da marca para o número:

BSNS-ASA5512-4(config)# show access-list inside
access-list inside line 1 extended permit icmp security-group name Finance(tag=2) any security-group name Marketing(tag=3) any (hitcnt=47) 0x5633b153

4. Ativar cts na interface interna

Depois de habilitar os cts na interface interna do ASA:

interface GigabitEthernet0/1
 nameif inside
cts manual
  policy static sgt 100 trusted
 security-level 100
 ip address 192.168.1.100 255.255.255.0 

O ASA pode enviar e receber quadros TrustSec (quadros Ethernet com campo CMD). O ASA supõe que todos os quadros de entrada sem uma marca devem ser tratados como com a marca 100. Todos os quadros de entrada que já incluem a marca serão confiáveis.

Switch - Etapas de Configuração

1. 802.1x básico

aaa new-model

aaa authentication dot1x default group radius
aaa authorization network default group radius

dot1x system-auth-control

interface GigabitEthernet1/0/2
 description windows7 
 switchport access vlan 10
 switchport mode access
 authentication host-mode multi-domain
 authentication port-control auto
 dot1x pae authenticator
 spanning-tree portfast
 
radius-server host 10.48.66.74 pac key cisco

Com essa configuração, após uma autorização 802.1x bem-sucedida, o usuário (autorizado via ISE) deve receber a tag 2 (Finanças).

2. Configuração e provisionamento de CTS

Da mesma forma, quanto ao ASA, o cts é configurado e aponta para o ISE:

aaa authorization network ise group radius 
cts authorization list ise

 Além disso, a aplicação está habilitada para Camada 3 e Camada 2 (todas as vlans):

cts role-based enforcement
cts role-based enforcement vlan-list 1-1005,1008-4094

Para provisionar a PAC automaticamente:

bsns-3750-5#cts credentials id 3750-5 password ciscocisco

Novamente, a senha deve corresponder à configuração correspondente no ISE (Network Device > Switch > TrustSec). No momento, o Cisco IOS® inicia a sessão EAP-FAST com o ISE para obter a PAC. Mais detalhes sobre esse processo podem ser encontrados aqui:

Exemplo de configuração do TrustSec com ASA e o switch Catalyst 3750-X Series e Guia de solução de problemas

Para verificar se a PAC está instalada:

bsns-3750-5#show cts pacs 
  AID: EA48096688D96EF7B94C679A17BDAD6F
  PAC-Info:
    PAC-type = Cisco Trustsec
    AID: EA48096688D96EF7B94C679A17BDAD6F
    I-ID: 3750-5
    A-ID-Info: Identity Services Engine
    Credential Lifetime: 14:41:24 CEST Jul 10 2015
  PAC-Opaque: 000200B00003000100040010EA48096688D96EF7B94C679A17BDAD6F0006009400030100365AB3133998C86C1BA1B418968C60690000001355261CCC00093A808F8A81F3F8C99A7CB83A8C3BFC4D573212C61CDCEB37ED279D683EE0DA60D86D5904C41701ACF07BE98B3B73C4275C98C19A1DD7E1D65E679F3E9D40662B409E58A9F139BAA3BA3818553152F28AE04B089E5B7CBB22A0D4BCEEF80F826A180B5227EAACBD07709DBDCD3CB42AA9F996829AE46F
  Refresh timer is set for 4y14w

3. Ativar cts na interface do ASA

interface GigabitEthernet1/0/39
 switchport access vlan 10
 switchport mode access
 cts manual 
  policy static sgt 101 trusted

A partir de agora, o switch deve estar pronto para processar e enviar quadros TrustSec e aplicar as políticas baixadas do ISE.

Verificar

Use esta seção para confirmar se a sua configuração funciona corretamente.

A verificação é abordada em seções individuais deste documento.

Troubleshoot

Atribuição SGT

Depois que a sessão VPN para o ASA é estabelecida, a atribuição SGT correta deve ser confirmada:

BSNS-ASA5512-4# show vpn-sessiondb anyconnect 

Session Type: AnyConnect

Username     : cisco                  Index        : 13
Assigned IP  : 192.168.100.50         Public IP    : 10.229.20.86
Protocol     : AnyConnect-Parent SSL-Tunnel DTLS-Tunnel
License      : AnyConnect Essentials
Encryption   : AnyConnect-Parent: (1)none  SSL-Tunnel: (1)AES256  DTLS-Tunnel: (1)AES256
Hashing      : AnyConnect-Parent: (1)none  SSL-Tunnel: (1)SHA256  DTLS-Tunnel: (1)SHA1
Bytes Tx     : 10308                  Bytes Rx     : 10772
Group Policy : TAC                    Tunnel Group : TAC
Login Time   : 15:00:13 UTC Mon Apr 13 2015
Duration     : 0h:00m:25s
Inactivity   : 0h:00m:00s
VLAN Mapping : N/A                    VLAN         : none
Audt Sess ID : c0a801640000d000552bd9fd
Security Grp : 3:Marketing

De acordo com as regras de autorização do ISE, todos os usuários do AnyConnect4 foram atribuídos à marca de marketing.

O mesmo com a sessão 802.1x no switch. Depois que o AnyConnect Network Analysis Module (NAM) for concluído, o switch de autenticação aplicará a marca correta retornada do ISE:

bsns-3750-5#show authentication sessions interface g1/0/2 details 
            Interface:  GigabitEthernet1/0/2
          MAC Address:  0050.5699.36ce
         IPv6 Address:  Unknown
         IPv4 Address:  192.168.1.203
            User-Name:  cisco
               Status:  Authorized
               Domain:  DATA
       Oper host mode:  multi-domain
     Oper control dir:  both
      Session timeout:  N/A
    Common Session ID:  0A30426D000000130001B278
      Acct Session ID:  Unknown
               Handle:  0x53000002
       Current Policy:  POLICY_Gi1/0/2

Local Policies:
        Template: DEFAULT_LINKSEC_POLICY_SHOULD_SECURE (priority 150)
      Security Policy:  Should Secure
      Security Status:  Link Unsecure

Server Policies:
            SGT Value:  2 

Method status list:
       Method           State
       dot1x            Authc Success
       mab              Stopped

De acordo com as regras de autorização do ISE, todos os usuários conectados a esse switch devem ser atribuídos a SGT = 2 (Finanças).

Aplicação no ASA

Quando você tenta enviar um tráfego do Finance (192.168.1.203) para o Marketing (192.168.100.50), ele atinge a interface interna do ASA. Para solicitação de eco ICMP, ela cria a sessão:

Built outbound ICMP connection for faddr 192.168.100.50/0(LOCAL\cisco, 3:Marketing) gaddr 192.168.1.203/1 laddr 192.168.1.203/1(2)

e aumenta os contadores da ACL:

BSNS-ASA5512-4(config)# sh access-list 

access-list inside line 1 extended permit icmp security-group name Finance(tag=2) any security-group name Marketing(tag=3) any (hitcnt=138)

Isso também pode ser confirmado ao observar capturas de pacotes. Observe que as marcas corretas são exibidas:

BSNS-ASA5512-4(config)# capture CAP interface inside 
BSNS-ASA5512-4(config)# show capture CAP             
  
   1: 15:13:05.736793       INLINE-TAG 2 192.168.1.203 > 192.168.100.50: icmp: echo request 
   2: 15:13:05.772237       INLINE-TAG 3 192.168.100.50 > 192.168.1.203: icmp: echo reply 
   3: 15:13:10.737236       INLINE-TAG 2 192.168.1.203 > 192.168.100.50: icmp: echo request 
   4: 15:13:10.772726       INLINE-TAG 3 192.168.100.50 > 192.168.1.203: icmp: echo reply 

Há uma solicitação de eco ICMP de entrada marcada com SGT = 2 (Finance) e, em seguida, uma resposta do usuário VPN marcada pelo ASA com SGT = 3 (Marketing). Outra ferramenta de solução de problemas, o packet-tracer também está pronto para o TrustSec.

Infelizmente, o PC 802.1x não vê essa resposta porque está bloqueado pelo RBACL stateless no switch (explicação na próxima seção).

Outra ferramenta de solução de problemas, o packet-tracer também está pronto para o TrustSec. Vamos confirmar se o pacote ICMP recebido da Finance será aceito:

BSNS-ASA5512-4# packet-tracer input inside icmp inline-tag 2 192.168.1.203 8 0 192.168.100.50
Mapping security-group 3:Marketing to IP address 192.168.100.50

Phase: 1
Type: CAPTURE
Subtype: 
Result: ALLOW
Config:
Additional Information:
MAC Access list

Phase: 2
Type: ACCESS-LIST
Subtype: 
Result: ALLOW
Config:
Implicit Rule
Additional Information:
MAC Access list

Phase: 3
Type: ROUTE-LOOKUP
Subtype: Resolve Egress Interface
Result: ALLOW
Config:
Additional Information:
found next-hop 10.48.66.1 using egress ifc  outside

Phase: 4
Type: ACCESS-LIST
Subtype: log
Result: ALLOW
Config:
access-group inside in interface inside
access-list inside extended permit icmp security-group name Finance any security-group name Marketing any 
Additional Information:

<some output omitted for clarity>

Phase: 13
Type: FLOW-CREATION
Subtype: 
Result: ALLOW
Config:
Additional Information:
New flow created with id 4830, packet dispatched to next module

Result:
input-interface: inside
input-status: up
input-line-status: up
output-interface: NP Identity Ifc
output-status: up
output-line-status: up
Action: allow

Vamos também tentar iniciar qualquer conexão TCP de Finance para Marketing, que deve ser bloqueada pelo ASA:

Deny tcp src inside:192.168.1.203/49236 dst outside:192.168.100.50/445(LOCAL\cisco, 3:Marketing) by access-group "inside" [0x0, 0x0]

Aplicação do switch

Vamos verificar se o switch baixou corretamente as políticas do ISE:

bsns-3750-5#show cts role-based permissions 
IPv4 Role-based permissions default:
        Permit IP-00
IPv4 Role-based permissions from group 2:Finance to group Unknown:
        test_deny-30
IPv4 Role-based permissions from group 8 to group Unknown:
        permit_icmp-10
IPv4 Role-based permissions from group Unknown to group 2:Finance:
        test_deny-30
        Permit IP-00
IPv4 Role-based permissions from group 3:Marketing to group 2:Finance:
        telnet445-60
        Deny IP-00
RBACL Monitor All for Dynamic Policies : FALSE
RBACL Monitor All for Configured Policies : FALSE

A política que controla o tráfego de Marketing para Finanças está instalada corretamente. Somente tcp/445 é permitido como por RBACL:

bsns-3750-5#show cts rbacl telnet445
CTS RBACL Policy
================
RBACL IP Version Supported: IPv4
  name   = telnet445-60
  IP protocol version = IPV4
  refcnt = 2
  flag   = 0x41000000
  stale  = FALSE
  RBACL ACEs:
    permit tcp dst eq 445

Essa é a razão pela qual a resposta de eco ICMP que vem de Marketing para Finanças foi descartada. Isso pode ser confirmado verificando-se os contadores de tráfego do SGT 3 para o SGT 2:

bsns-3750-5#show cts role-based counters 
Role-based IPv4 counters
# '-' in hardware counters field indicates sharing among cells with identical policies
From    To      SW-Denied       HW-Denied       SW-Permitted    HW-Permitted   

*       *       0               0               223613          3645233        

0       2       0               0               0               122            

3       2       0               65              0               0              

2       0       0               0               179             0              

8       0       0               0               0               0 

Os pacotes foram descartados pelo hardware (o contador atual é 65 e aumenta a cada 1 segundo).

E se a conexão tcp/445 for iniciada no Marketing?

O ASA permite isso (aceita todo o tráfego VPN devido ao "sysopt connection permit-vpn"):

Built inbound TCP connection 4773 for outside:192.168.100.50/49181 (192.168.100.50/49181)(LOCAL\cisco, 3:Marketing) to inside:192.168.1.203/445 (192.168.1.203/445) (cisco)

A sessão correta é criada:

BSNS-ASA5512-4(config)#  show conn all | i 192.168.100.50
TCP outside  192.168.100.50:49181 inside  192.168.1.203:445, idle 0:00:51, bytes 0, flags UB 

Além disso, o Cisco IOS® aceita-o, já que ele corresponde ao telnet445 RBACL. Os contadores corretos aumentam:

bsns-3750-5#show cts role-based counters from 3 to 2 
3       2       0               65             0               3    

(a última coluna é o tráfego permitido pelo hardware). A sessão é permitida.

Este exemplo é apresentado de propósito para mostrar a diferença na configuração e aplicação das políticas TrustSec no ASA e no Cisco IOS®.  Esteja ciente das diferenças das políticas do Cisco IOS® baixadas do ISE (RBACL stateless) e do firewall baseado em zona stateful com reconhecimento de TrustSec.

Informações Relacionadas

• Exemplo de postura de VPN na ASA versão 9.2.1 com configuração do ISE
• Exemplo de configuração do TrustSec com ASA e o switch Catalyst 3750-X Series e Guia de solução de problemas
• Guia de configuração de switches com Cisco TrustSec: Noções básicas sobre o Cisco TrustSec
• Como configurar um servidor externo para autorização de usuário de dispositivo de segurança
• Guia de configuração de CLI para VPN da Cisco ASA Series, 9.1
• Manual do usuário do Cisco Identity Services Engine, versão 1.2
• Suporte Técnico e Documentação - Cisco Systems