Analisar o comportamento de administração do dispositivo AAA para ASA

Opções de download

PDF (162.0 KB)
Ver no Adobe Reader em vários dispositivos
ePub (95.4 KB)
Ver em vários aplicativos no iPhone, iPad, Android, Sony Reader ou Windows Phone
Mobi (Kindle) (92.4 KB)
Ver no dispositivo Kindle ou no aplicativo Kindle em vários dispositivos

Atualizado:14 de julho de 2020

ID do documento:215792

Linguagem imparcial

O conjunto de documentação deste produto faz o possível para usar uma linguagem imparcial. Para os fins deste conjunto de documentação, a imparcialidade é definida como uma linguagem que não implica em discriminação baseada em idade, deficiência, gênero, identidade racial, identidade étnica, orientação sexual, status socioeconômico e interseccionalidade. Pode haver exceções na documentação devido à linguagem codificada nas interfaces de usuário do software do produto, linguagem usada com base na documentação de RFP ou linguagem usada por um produto de terceiros referenciado. Saiba mais sobre como a Cisco está usando a linguagem inclusiva.

Sobre esta tradução

A Cisco traduziu este documento com a ajuda de tecnologias de tradução automática e humana para oferecer conteúdo de suporte aos seus usuários no seu próprio idioma, independentemente da localização. Observe que mesmo a melhor tradução automática não será tão precisa quanto as realizadas por um tradutor profissional. A Cisco Systems, Inc. não se responsabiliza pela precisão destas traduções e recomenda que o documento original em inglês (link fornecido) seja sempre consultado.

Introduction

Prerequisites

Requirements

Componentes Utilizados

Informações de Apoio

Diagrama de Rede

Configurar

Caso 1: Autenticação ASA configurada através do servidor AAA

Caso 2: Autenticação ASA e autorização exec configuradas através do servidor AAA

Caso 3: Autenticação ASA, autorização de exec e autorização de comando configurados via servidor AAA

Caso 4: Autenticação ASA, autorização de exec usando "habilitação automática" e autorização de comando configurada através do servidor AAA

Informações Relacionadas

Introduction

Este documento descreve o comportamento de administração do dispositivo quando um ASA é configurado para autenticação e autorização usando um servidor AAA. Este documento mostra o uso do Cisco Identity Service Engine (ISE) como um servidor AAA com um Ative Diretory como o External Identity Store. TACACS+ é o protocolo AAA em uso.

Contribuído por Dinesh Moudgil e Poonam Garg, Engenheiros HTTS da Cisco

Prerequisites

Requirements

A Cisco recomenda que você tenha conhecimento destes tópicos:

Conhecimento básico da CLI e do ASDM do ASA
Conectividade entre o servidor ASA e AAA
Configuração de AAA no Cisco ISE para autenticação e autorização

Componentes Utilizados

As informações neste documento são baseadas na seguinte versão de software:

ASAv executando 9.9(2)
Cisco Identity Service Engine 2.6

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Informações de Apoio

O Cisco ASA suporta a autenticação de sessões administrativas usando um banco de dados de usuário local, um servidor RADIUS ou um servidor TACACS+. Um administrador pode se conectar ao Cisco ASA por meio de:

Telnet
Secure Shell (SSH)
Conexão de console serial
Cisco ASA Device Manager (ASDM)

Se estiver se conectando via Telnet ou SSH, o usuário poderá repetir a autenticação três vezes em caso de erro do usuário. Após a terceira vez, a sessão de autenticação e a conexão com o Cisco ASA são fechadas.

Antes de iniciar a configuração, você deve decidir qual banco de dados de usuário será usado (servidor AAA local ou externo). Se você estiver usando um servidor AAA externo, conforme configurado neste documento, configure o grupo de servidores AAA e o host conforme abordado nas seções abaixo. Você pode usar os comandos aaa authentication e aaa authorization para exigir a autenticação e a verificação de autorização respectivamente ao acessar o Cisco ASA para administração.

Diagrama de Rede

Configurar

Estas são as informações usadas para todos os exemplos neste documento.

a) Configuração do ASA:

aaa-server ISE protocol tacacs+
aaa-server ISE (internet) host 10.197.164.22
key *****

b) Configuração AAA:

A autenticação no servidor AAA é executada em relação à sequência do repositório de identidades, que consiste em AD e banco de dados local

Caso 1: Autenticação ASA configurada através do servidor AAA

No ASA:

aaa authentication ssh console ISE LOCAL

No servidor AAA:

Resultados da autorização:

a) Perfil da shell

Privilégio padrão: 1
Privilégio máximo: 15

b) Conjunto de comandos
Permitir tudo

Comportamento do administrador:

Connection to 10.197.164.28 closed.
DMOUDGIL-M-N1D9:~ dmoudgil$
DMOUDGIL-M-N1D9:~ dmoudgil$
DMOUDGIL-M-N1D9:~ dmoudgil$ ssh ASA_priv1@10.197.164.28
ASA_priv1@10.197.164.28's password:
User ASA_priv1 logged in to ciscoasa
Logins over the last 9 days: 11. Last login: 12:59:51 IST May 7 2020 from 10.65.81.163
Failed logins since the last login: 0.
Type help or '?' for a list of available commands.
ciscoasa> enable
Password: 
ciscoasa#
ciscoasa# show curpriv
Username : enable_15
Current privilege level : 15
Current Mode/s : P_PRIV

Logs do ASA:

May 07 2020 12:57:26: %ASA-6-113008: AAA transaction status ACCEPT : user = ASA_priv1
May 07 2020 12:57:26: %ASA-6-611101: User authentication succeeded: IP address: 10.65.81.163, Uname: ASA_priv1
May 07 2020 12:57:26: %ASA-6-611101: User authentication succeeded: IP address: 10.65.81.163, Uname: ASA_priv1
May 07 2020 12:57:26: %ASA-6-605005: Login permitted from 10.65.81.163/56048 to internet:10.197.164.28/ssh for user "ASA_priv1"
May 07 2020 12:57:30: %ASA-7-111009: User 'enable_15' executed cmd: show logging
May 07 2020 12:57:40: %ASA-5-502103: User priv level changed: Uname: enable_15 From: 1 To: 15
May 07 2020 12:57:40: %ASA-5-111008: User 'ASA_priv1' executed the 'enable' command.

Observações:

1. A autenticação para sessão SSH é executada através do servidor AAA
2. A autorização é feita localmente, independentemente do privilégio configurado no servidor AAA no resultado da autorização
3. Depois que o usuário é autenticado através do servidor AAA, quando o usuário digita a palavra-chave "enable" (que não tem senha definida por padrão) ou digita a senha de ativação (se configurada), o nome de usuário correspondente usado é enable_15

May 07 2020 12:57:40: %ASA-5-502103: User priv level changed: Uname: enable_15 From: 1 To: 15

4. O privilégio padrão para enable password é 15, a menos que você defina enable password com privilégio específico. Por exemplo:

enable password C!sco123 level 9

5. Se você estiver usando habilitar com privilégios diferentes, o nome de usuário correspondente que aparece no ASA é enable_x (onde x é o privilégio)

May 07 2020 13:20:49: %ASA-5-502103: User priv level changed: Uname: enable_8 From: 1 To: 8

Caso 2: Autenticação ASA e autorização exec configuradas através do servidor AAA

No ASA:

aaa authentication ssh console ISE LOCAL
aaa authorization exec authentication-server

No servidor AAA:

Resultados da autorização:

a) Perfil da shell

Privilégio padrão: 1
Privilégio máximo: 15

b) Conjunto de comandos
Permitir tudo

Comportamento do administrador:

DMOUDGIL-M-N1D9:~ dmoudgil$ ssh ASA_priv1@10.197.164.28
ASA_priv1@10.197.164.28's password:
User ASA_priv1 logged in to ciscoasa
Logins over the last 1 days: 8. Last login: 14:12:52 IST May 7 2020 from 10.65.81.163
Failed logins since the last login: 0. 
Type help or '?' for a list of available commands.
ciscoasa> show curpriv
Username : ASA_priv1
Current privilege level : 1
Current Mode/s : P_UNPR
ciscoasa> enable
Password:
ciscoasa# show curpriv
Username : enable_15
Current privilege level : 15
Current Mode/s : P_PRIV

Logs do ASA:

May 07 2020 13:59:54: %ASA-6-113004: AAA user authentication Successful : server = 10.197.164.22 : user = ASA_priv1
May 07 2020 13:59:54: %ASA-6-302013: Built outbound TCP connection 75 for internet:10.197.164.22/49 (10.197.164.22/49) to identity:10.197.164.28/49068 (10.197.164.28/49068)
May 07 2020 13:59:54: %ASA-6-113004: AAA user authorization Successful : server = 10.197.164.22 : user = ASA_priv1
May 07 2020 13:59:54: %ASA-6-113008: AAA transaction status ACCEPT : user = ASA_priv1
May 07 2020 13:59:54: %ASA-6-611101: User authentication succeeded: IP address: 10.65.81.163, Uname: ASA_priv1
May 07 2020 13:59:54: %ASA-6-611101: User authentication succeeded: IP address: 10.65.81.163, Uname: ASA_priv1
May 07 2020 13:59:54: %ASA-6-605005: Login permitted from 10.65.81.163/57671 to internet:10.197.164.28/ssh for user "ASA_priv1"
May 07 2020 13:59:59: %ASA-5-502103: User priv level changed: Uname: enable_15 From: 1 To: 15
May 07 2020 13:59:59: %ASA-5-111008: User 'ASA_priv1' executed the 'enable' command.

Observações:

1. A autenticação e a autorização exec são executadas através do servidor AAA
2. A autorização Exec controla o privilégio de usuário para todas as solicitações de conexões de console (ssh, telnet e enable) configuradas para autenticação

Note: Isso não inclui a conexão serial com o ASA

3. O servidor AAA é configurado de forma a fornecer o privilégio padrão 1 e o privilégio máximo de 15 como resultado da autorização
4. Quando o usuário faz login no ASA via credenciais TACACS+ configuradas no servidor AAA, o usuário recebe inicialmente o privilégio 1 pelo servidor AAA
5. Quando o usuário digitar a palavra-chave "enable", pressione enter novamente (se a senha de ativação não estiver configurada) ou digite enable password (se configurada), ele entrará no modo privilegiado, onde o privilégio muda para 15

Caso 3: Autenticação ASA, autorização de exec e autorização de comando configurados via servidor AAA

No ASA:

aaa authentication ssh console ISE LOCAL
aaa authorization exec authentication-server
aaa authorization command ISE LOCAL

No servidor AAA:

Resultados da autorização:

a) Perfil da shell

Privilégio padrão: 1
Privilégio máximo: 15

b) Conjunto de comandos
Permitir tudo

Comportamento do administrador:

DMOUDGIL-M-N1D9:~ dmoudgil$ ssh ASA_priv1@10.197.164.28
ASA_priv1@10.197.164.28's password:
User ASA_priv1 logged in to ciscoasa
Logins over the last 1 days: 7. Last login: 17:12:23 IST May 9 2020 from 10.65.81.163
Failed logins since the last login: 0. Last failed login: 17:12:21 IST May 9 2020 from 10.65.81.163
Type help or '?' for a list of available commands.
ciscoasa> show curpriv
Username : ASA_priv1
Current privilege level : 1
Current Mode/s : P_UNPR
ciscoasa> enable
Password:
ciscoasa# show curpriv
Command authorization failed

Logs do ASA:

May 09 2020 17:13:05: %ASA-6-113004: AAA user authentication Successful : server = 10.197.164.22 : user = ASA_priv1
May 09 2020 17:13:05: %ASA-6-302013: Built outbound TCP connection 170 for internet:10.197.164.22/49 (10.197.164.22/49) to identity:10.197.164.28/21275 (10.197.164.28/21275)
May 09 2020 17:13:05: %ASA-6-302014: Teardown TCP connection 169 for internet:10.197.164.22/49 to identity:10.197.164.28/30256 duration 0:00:00 bytes 67 TCP Reset-I from internet
May 09 2020 17:13:05: %ASA-6-113004: AAA user authorization Successful : server = 10.197.164.22 : user = ASA_priv1
May 09 2020 17:13:05: %ASA-6-113008: AAA transaction status ACCEPT : user = ASA_priv1
May 09 2020 17:13:05: %ASA-6-611101: User authentication succeeded: IP address: 10.65.81.163, Uname: ASA_priv1
May 09 2020 17:13:05: %ASA-6-611101: User authentication succeeded: IP address: 10.65.81.163, Uname: ASA_priv1
May 09 2020 17:13:05: %ASA-6-605005: Login permitted from 10.65.81.163/49218 to internet:10.197.164.28/ssh for user "ASA_priv1"
May 09 2020 17:13:05: %ASA-6-302014: Teardown TCP connection 170 for internet:10.197.164.22/49 to identity:10.197.164.28/21275 duration 0:00:00 bytes 61 TCP Reset-I from internet
May 09 2020 17:13:05: %ASA-7-609002: Teardown local-host internet:10.197.164.22 duration 0:00:00
May 09 2020 17:13:07: %ASA-7-609001: Built local-host internet:10.197.164.22
May 09 2020 17:13:07: %ASA-6-302013: Built outbound TCP connection 171 for internet:10.197.164.22/49 (10.197.164.22/49) to identity:10.197.164.28/53081 (10.197.164.28/53081)
May 09 2020 17:13:07: %ASA-7-111009: User 'ASA_priv1' executed cmd: show curpriv
May 09 2020 17:13:08: %ASA-6-302014: Teardown TCP connection 171 for internet:10.197.164.22/49 to identity:10.197.164.28/53081 duration 0:00:00 bytes 82 TCP Reset-I from internet
May 09 2020 17:13:08: %ASA-7-609002: Teardown local-host internet:10.197.164.22 duration 0:00:00
May 09 2020 17:13:10: %ASA-5-502103: User priv level changed: Uname: enable_15 From: 1 To: 15
May 09 2020 17:13:10: %ASA-5-111008: User 'ASA_priv1' executed the 'enable' command.
May 09 2020 17:13:12: %ASA-7-609001: Built local-host internet:10.197.164.22
May 09 2020 17:13:12: %ASA-6-302013: Built outbound TCP connection 172 for internet:10.197.164.22/49 (10.197.164.22/49) to identity:10.197.164.28/46803 (10.197.164.28/46803)
May 09 2020 17:13:12: %ASA-6-113016: AAA credentials rejected : reason = Unspecified : server = 10.197.164.22 : user = ***** : user IP = 10.65.81.163
May 09 2020 17:13:12: %ASA-6-302014: Teardown TCP connection 172 for internet:10.197.164.22/49 to identity:10.197.164.28/46803 duration 0:00:00 bytes 82 TCP Reset-I from internet
May 09 2020 17:13:12: %ASA-7-609002: Teardown local-host internet:10.197.164.22 duration 0:00:00
May 09 2020 17:13:20: %ASA-7-609001: Built local-host internet:10.197.164.22
May 09 2020 17:13:20: %ASA-6-302013: Built outbound TCP connection 173 for internet:10.197.164.22/49 (10.197.164.22/49) to identity:10.197.164.28/6934 (10.197.164.28/6934)
May 09 2020 17:13:20: %ASA-6-113016: AAA credentials rejected : reason = Unspecified : server = 10.197.164.22 : user = ***** : user IP = 10.65.81.163

Observações:

1. A autenticação e a autorização exec são executadas através do servidor AAA
2. A autorização Exec controla o privilégio de usuário para todas as solicitações de conexões de console (ssh, telnet e enable) configuradas para autenticação
3. A autorização do comando é executada pelo servidor AAA usando o comando "aaa authorization command ISE LOCAL"

Note: Isso não inclui a conexão serial com o ASA

4. Quando o usuário faz login no ASA via credenciais TACACS+ configuradas no servidor AAA, o usuário recebe inicialmente o privilégio 1 pelo servidor AAA
5. Quando o usuário digitar a palavra-chave "enable", pressione enter novamente (se a senha de ativação não estiver configurada) ou digite enable password (se configurada), ele entrará no modo privilegiado, onde o privilégio muda para 15
6. A autorização do comando falha com esta configuração porque o servidor AAA mostra o comando sendo emitido pelo nome de usuário "enable_15" em vez do usuário autenticado com logon real.
7. Qualquer comando executado em uma sessão existente também falhará devido à falha de autorização do comando
8. Para lidar com isso, crie um usuário chamado "enable_15" no servidor AAA ou no AD e ASA (para fallback local) com uma senha aleatória

Quando o usuário é configurado no servidor AAA ou AD, o seguinte comportamento é observado:

I. Para autenticação inicial, o servidor AAA verifica o nome de usuário real do usuário conectado
ii. Quando a senha de ativação é inserida, ela é verificada localmente no ASA, pois a autenticação de ativação não aponta para o servidor AAA nessa configuração
iii. Depois de habilitar a senha, todos os comandos são executados com o nome de usuário "enable_15" e AAA permite esses comandos devido à existência desse nome de usuário no servidor AAA ou AD

Quando o usuário "enable_15" é configurado, o administrador pode fazer a transição do modo privilegiado para o modo de configuração no ASA.

Comportamento do administrador:

DMOUDGIL-M-N1D9:~ dmoudgil$ ssh ASA_priv1@10.197.164.28
ASA_priv1@10.197.164.28's password:
User ASA_priv1 logged in to ciscoasa
Logins over the last 1 days: 2. Last login: 16:50:42 IST May 9 2020 from 10.65.81.163
Failed logins since the last login: 5. Last failed login: 16:53:55 IST May 9 2020 from 10.65.81.163
Type help or '?' for a list of available commands.
ciscoasa> show curpriv
Username : ASA_priv1
Current privilege level : 1
Current Mode/s : P_UNPR
ciscoasa> enable
Password:
ciscoasa# show curpriv
Username : enable_15
Current privilege level : 15
Current Mode/s : P_PRIV
ciscoasa# configure terminal

Logs do ASA:

May 09 2020 17:05:29: %ASA-6-113004: AAA user authentication Successful : server = 10.197.164.22 : user = ASA_priv1
May 09 2020 17:05:29: %ASA-6-302013: Built outbound TCP connection 113 for internet:10.197.164.22/49 (10.197.164.22/49) to identity:10.197.164.28/31109 (10.197.164.28/31109)
May 09 2020 17:05:29: %ASA-6-113004: AAA user authorization Successful : server = 10.197.164.22 : user = ASA_priv1
May 09 2020 17:05:29: %ASA-6-113008: AAA transaction status ACCEPT : user = ASA_priv1
May 09 2020 17:05:29: %ASA-6-611101: User authentication succeeded: IP address: 10.65.81.163, Uname: ASA_priv1
May 09 2020 17:05:29: %ASA-6-611101: User authentication succeeded: IP address: 10.65.81.163, Uname: ASA_priv1
May 09 2020 17:05:29: %ASA-6-302014: Teardown TCP connection 112 for internet:10.197.164.22/49 to identity:10.197.164.28/7703 duration 0:00:00 bytes 67 TCP Reset-I from internet
May 09 2020 17:05:29: %ASA-6-605005: Login permitted from 10.65.81.163/65524 to internet:10.197.164.28/ssh for user "ASA_priv1"
May 09 2020 17:05:29: %ASA-6-302014: Teardown TCP connection 113 for internet:10.197.164.22/49 to identity:10.197.164.28/31109 duration 0:00:00 bytes 61 TCP Reset-I from internet
May 09 2020 17:05:29: %ASA-7-609002: Teardown local-host internet:10.197.164.22 duration 0:00:00
May 09 2020 17:05:32: %ASA-7-609001: Built local-host internet:10.197.164.22
May 09 2020 17:05:32: %ASA-6-302013: Built outbound TCP connection 114 for internet:10.197.164.22/49 (10.197.164.22/49) to identity:10.197.164.28/64339 (10.197.164.28/64339)
May 09 2020 17:05:32: %ASA-7-111009: User 'ASA_priv1' executed cmd: show curpriv
May 09 2020 17:05:32: %ASA-6-302014: Teardown TCP connection 114 for internet:10.197.164.22/49 to identity:10.197.164.28/64339 duration 0:00:00 bytes 82 TCP Reset-I from internet
May 09 2020 17:05:32: %ASA-7-609002: Teardown local-host internet:10.197.164.22 duration 0:00:00
May 09 2020 17:05:35: %ASA-5-502103: User priv level changed: Uname: enable_15 From: 1 To: 15
May 09 2020 17:05:35: %ASA-5-111008: User 'ASA_priv1' executed the 'enable' command.
May 09 2020 17:05:37: %ASA-7-609001: Built local-host internet:10.197.164.22
May 09 2020 17:05:37: %ASA-6-302013: Built outbound TCP connection 115 for internet:10.197.164.22/49 (10.197.164.22/49) to identity:10.197.164.28/4236 (10.197.164.28/4236)
May 09 2020 17:05:37: %ASA-7-111009: User 'enable_15' executed cmd: show curpriv
May 09 2020 17:05:37: %ASA-6-302014: Teardown TCP connection 115 for internet:10.197.164.22/49 to identity:10.197.164.28/4236 duration 0:00:00 bytes 82 TCP Reset-I from internet
May 09 2020 17:05:37: %ASA-7-609002: Teardown local-host internet:10.197.164.22 duration 0:00:00
May 09 2020 17:05:44: %ASA-7-609001: Built local-host internet:10.197.164.22
May 09 2020 17:05:44: %ASA-6-302013: Built outbound TCP connection 116 for internet:10.197.164.22/49 (10.197.164.22/49) to identity:10.197.164.28/27478 (10.197.164.28/27478)
May 09 2020 17:05:44: %ASA-5-111007: Begin configuration: 10.65.81.163 reading from terminal
May 09 2020 17:05:44: %ASA-5-111008: User 'enable_15' executed the 'configure terminal' command.
May 09 2020 17:05:44: %ASA-5-111010: User 'enable_15', running 'CLI' from IP 10.65.81.163, executed 'configure terminal'

Note: Se a autorização do comando via TACACS estiver configurada no ASA, é obrigatório ter "local" como um fallback quando o servidor AAA não estiver acessível.
Isso ocorre porque a autorização de comando se aplica a todas as sessões do ASA (console serial, ssh, telnet) mesmo quando a autenticação não está configurada para o console serial. Nesse caso em que o servidor AAA não está acessível e o usuário "enable_15" não está presente no banco de dados local, o administrador recebe o seguinte erro:

Autorização de rechamada. O nome de usuário 'enable_15' não está no banco de dados LOCAL
Falha na autorização do comando

Logs do ASA:


%ASA-4-409023: Attempting AAA Fallback method LOCAL for Authentication request for user cisco : Auth-server group ISE unreachable
%ASA-6-113012: AAA user authentication Successful : local database : user = cisco
%ASA-4-409023: Attempting AAA Fallback method LOCAL for Authentication request for user cisco : Auth-server group ISE unreachable
%ASA-6-113004: AAA user authorization Successful : server = LOCAL : user = cisco
%ASA-6-113008: AAA transaction status ACCEPT : user = cisco
%ASA-6-611101: User authentication succeeded: IP address: 10.65.81.163, Uname: cisco
%ASA-6-611101: User authentication succeeded: IP address: 10.65.81.163, Uname: cisco
%ASA-6-605005: Login permitted from 10.65.81.163/65416 to internet:10.197.164.28/ssh for user "cisco"
%ASA-5-502103: User priv level changed: Uname: enable_15 From: 1 To: 15
%ASA-5-111008: User 'cisco' executed the 'enable' command.
%ASA-4-409023: Attempting AAA Fallback method LOCAL for Authorization request for user enable_15 : Auth-server group ISE unreachable
%ASA-5-111007: Begin configuration: 10.65.81.163 reading from terminal
%ASA-5-111008: User 'enable_15' executed the 'configure terminal' command.
%ASA-5-111010: User 'enable_15', running 'CLI' from IP 10.65.81.163, executed 'configure terminal'
%ASA-4-409023: Attempting AAA Fallback method LOCAL for Authorization request for user enable_15 : Auth-server group ISE unreachable

Note: Com a configuração acima, a autorização do comando funcionará, mas a contabilidade do comando ainda mostrará o nome de usuário "enable_15" em vez do nome de usuário real do usuário conectado. Isso se torna difícil para os administradores determinarem qual usuário executou qual comando específico no ASA.

Para resolver esse problema contábil relacionado ao usuário "enable_15":

1. Use a palavra-chave "auto-enable" no comando exec authorization no ASA
2. Defina o privilégio padrão e máximo como 15 no perfil do shell TACACS atribuído ao usuário autenticado

Caso 4: Autenticação ASA, autorização de exec usando "habilitação automática" e autorização de comando configurada através do servidor AAA

No ASA:

aaa authentication ssh console ISE LOCAL
aaa authorization exec authentication-server auto-enable
aaa authorization command ISE LOCAL

No servidor AAA:

Resultados da autorização:

a) Perfil da shell

Privilégio padrão: 15
Privilégio máximo: 15

b) Conjunto de comandos
Permitir tudo

Comportamento do administrador:

DMOUDGIL-M-N1D9:~ dmoudgil$ ssh ASA_priv1@10.197.164.28
ASA_priv1@10.197.164.28's password:
User ASA_priv1 logged in to ciscoasa
Logins over the last 1 days: 8. Last login: 17:13:05 IST May 9 2020 from 10.65.81.163
Failed logins since the last login: 0. Last failed login: 17:12:21 IST May 9 2020 from 10.65.81.163
Type help or '?' for a list of available commands.
ciscoasa# show curpriv
Username : ASA_priv1
Current privilege level : 15
Current Mode/s : P_PRIV
ciscoasa# configure terminal
ciscoasa(config)#

Logs do ASA:

May 09 2020 17:40:04: %ASA-6-113004: AAA user authentication Successful : server = 10.197.164.22 : user = ASA_priv1
May 09 2020 17:40:04: %ASA-6-302013: Built outbound TCP connection 298 for internet:10.197.164.22/49 (10.197.164.22/49) to identity:10.197.164.28/57617 (10.197.164.28/57617)
May 09 2020 17:40:04: %ASA-6-113004: AAA user authorization Successful : server = 10.197.164.22 : user = ASA_priv1
May 09 2020 17:40:04: %ASA-6-113008: AAA transaction status ACCEPT : user = ASA_priv1
May 09 2020 17:40:04: %ASA-6-611101: User authentication succeeded: IP address: 10.65.81.163, Uname: ASA_priv1
May 09 2020 17:40:04: %ASA-6-611101: User authentication succeeded: IP address: 10.65.81.163, Uname: ASA_priv1
May 09 2020 17:40:04: %ASA-6-605005: Login permitted from 10.65.81.163/49598 to internet:10.197.164.28/ssh for user "ASA_priv1"
May 09 2020 17:40:04: %ASA-6-302014: Teardown TCP connection 297 for internet:10.197.164.22/49 to identity:10.197.164.28/6083 duration 0:00:00 bytes 67 TCP Reset-I from internet
May 09 2020 17:40:04: %ASA-7-609001: Built local-host internet:139.59.219.101
May 09 2020 17:40:04: %ASA-6-302015: Built outbound UDP connection 299 for internet:139.59.219.101/123 (139.59.219.101/123) to mgmt-gateway:192.168.100.4/123 (10.197.164.28/195)
May 09 2020 17:40:04: %ASA-6-302014: Teardown TCP connection 298 for internet:10.197.164.22/49 to identity:10.197.164.28/57617 duration 0:00:00 bytes 61 TCP Reset-I from internet
May 09 2020 17:40:04: %ASA-7-609002: Teardown local-host internet:10.197.164.22 duration 0:00:00
May 09 2020 17:40:09: %ASA-7-609001: Built local-host internet:10.197.164.22
May 09 2020 17:40:09: %ASA-6-302013: Built outbound TCP connection 300 for internet:10.197.164.22/49 (10.197.164.22/49) to identity:10.197.164.28/4799 (10.197.164.28/4799)
May 09 2020 17:40:09: %ASA-7-111009: User 'ASA_priv1' executed cmd: show curpriv
May 09 2020 17:40:09: %ASA-6-302014: Teardown TCP connection 300 for internet:10.197.164.22/49 to identity:10.197.164.28/4799 duration 0:00:00 bytes 82 TCP Reset-I from internet
May 09 2020 17:40:09: %ASA-7-609002: Teardown local-host internet:10.197.164.22 duration 0:00:00
May 09 2020 17:40:14: %ASA-5-111007: Begin configuration: 10.65.81.163 reading from terminal
May 09 2020 17:40:14: %ASA-5-111008: User 'ASA_priv1' executed the 'configure terminal' command.
May 09 2020 17:40:14: %ASA-5-111010: User 'ASA_priv1', running 'CLI' from IP 10.65.81.163, executed 'configure terminal'

Note: Isso não inclui a conexão serial com o ASA

3. A autorização do comando é executada pelo servidor AAA usando o comando "aaa authorization command ISE LOCAL"
4. Quando o usuário faz login no ASA via credenciais TACACS+ configuradas no servidor AAA, o usuário recebe o privilégio 15 do servidor AAA e, portanto, faz login no modo privilegiado
5. Com a configuração acima, o usuário não precisa digitar enable password, e o usuário "enable_15" não precisa ser configurado no servidor ASA ou AAA.
6. O servidor AAA agora relatará a solicitação de autorização de comando proveniente do nome de usuário real do usuário conectado

Informações Relacionadas

Aqui estão alguns documentos para referência relacionados ao AAA Device Administration para ASA:

https://community.cisco.com/t5/security-documents/cisco-ise-device-administration-prescriptive-deployment-guide/ta-p/3738365#toc-hId--1046199281

https://www.cisco.com/c/en/us/support/docs/security/identity-services-engine/200207-ISE-2-0-ASA-CLI-TACACS-Authentication.pdf

Colaborado por engenheiros da Cisco

Created by Dinesh Moudgil
HTTS Engineer
Created by Poonam Garg
HTTS Engineer
Edited by Cesar Ivan Monterrubio Ramirez
Technical Consulting Engineer

Analisar o comportamento de administração do dispositivo AAA para ASA

Opções de download

Linguagem imparcial

Sobre esta tradução

Contents

Introduction

Prerequisites

Requirements

Componentes Utilizados

Informações de Apoio

Diagrama de Rede

Configurar

Caso 1: Autenticação ASA configurada através do servidor AAA

Caso 2: Autenticação ASA e autorização exec configuradas através do servidor AAA

Caso 3: Autenticação ASA, autorização de exec e autorização de comando configurados via servidor AAA

Caso 4: Autenticação ASA, autorização de exec usando "habilitação automática" e autorização de comando configurada através do servidor AAA

Informações Relacionadas

Colaborado por engenheiros da Cisco

Este documento lhe foi útil?

Contate a Cisco

Este documento se refere a estes produtos