Configurar o AnyConnect Secure Mobility Client usando a senha única (OTP) para autenticação de dois fatores em um ASA

Opções de download

PDF (972.3 KB)
Ver no Adobe Reader em vários dispositivos
ePub (813.3 KB)
Ver em vários aplicativos no iPhone, iPad, Android, Sony Reader ou Windows Phone
Mobi (Kindle) (595.7 KB)
Ver no dispositivo Kindle ou no aplicativo Kindle em vários dispositivos

Atualizado:31 de Março de 2020

ID do documento:213931

Sobre a tradução

Sobre esta tradução

A Cisco traduziu este documento com a ajuda de tecnologias de tradução automática e humana para oferecer conteúdo de suporte aos seus usuários no seu próprio idioma, independentemente da localização. Observe que mesmo a melhor tradução automática não será tão precisa quanto as realizadas por um tradutor profissional. A Cisco Systems, Inc. não se responsabiliza pela precisão destas traduções e recomenda que o documento original em inglês (link fornecido) seja sempre consultado.

Introduction

Prerequisites

Requirements

Componentes Utilizados

Informações de Apoio

Fluxo de pacote

Configurar

Diagrama de Rede

Verificar

Experiência do usuário

Troubleshoot

Legenda:

Informações Relacionadas

Introduction

Este documento descreve um exemplo de configuração para o acesso do Cisco AnyConnect Secure Mobility Client do Adaptive Security Appliance (ASA) que usa autenticação de dois fatores com a ajuda do OTP (One-Time Password, Senha única). É necessário fornecer as credenciais e o token corretos para que um usuário do AnyConnect se conecte com êxito.

Contribuído por Dinesh Moudgil, engenheiro de HTTS da Cisco.

Prerequisites

Requirements

Este documento pressupõe que o ASA está totalmente operacional e configurado para permitir que o Cisco Adaptive Security Device Manager (ASDM) ou a CLI (Command Line Interface) façam alterações na configuração.

A Cisco recomenda que você tenha conhecimento destes tópicos:

Conhecimento básico da CLI e do ASDM do ASA
Configuração do SSLVPN no Cisco ASA Head End
Conhecimento básico da autenticação de dois fatores

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

Cisco Adaptive Security Appliance ASA5506

Software Cisco Adaptive Security Appliance versão 9.6(1)

Adaptive Security Device Manager versão 7.8(2)

AnyConnect versão 4.5.02033

Nota:Faça download do pacote do AnyConnect VPN Client (anyconnect-win*.pkg) do Download de Software Cisco (somente clientes registrados). Copie o AnyConnect VPN client para a memória flash do ASA, a qual será transferida para os computadores do usuário remoto a fim de estabelecer a conexão VPN SSL com o ASA.Consulte a seção Instalação do AnyConnect Client do guia de configuração do ASA para obter mais informações.

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico.All of the devices used in this document started with a cleared (default) configuration.If your network is live, make sure that you understand the potential impact of any command.

Informações de Apoio

A autenticação de dois fatores utiliza dois métodos de autenticação diferentes, que podem ser qualquer 2 dos seguintes: "algo que você sabe", "algo que você tem" e "algo que você é".

Em geral, ele consiste em algo que um usuário sabe (nome de usuário e senha) e algo que um usuário tem (ou seja, uma entidade de informações que apenas um indivíduo possui, por exemplo, um token ou um certificado). Isso é mais seguro do que designs de autenticação tradicionais em que um usuário se autentica por meio de credenciais armazenadas no banco de dados local do ASA ou no Servidor do Ative Diretory (AD) integrado ao ASA. A senha única é uma das formas mais simples e populares de autenticação de dois fatores para proteger o acesso à rede. Por exemplo, em grandes empresas, o acesso à Rede Virtual Privada geralmente exige o uso de tokens de Senha Única para autenticação de usuário remoto.

Neste cenário, estamos usando o servidor de autenticação OpenOTP como servidor AAA que usa o protocolo radius para comunicação entre o ASA e o servidor AAA. As credenciais de usuário são configuradas no servidor OpenOTP associado ao serviço do aplicativo Google Authenticator como um token de software para a autenticação de dois fatores.

A configuração do OpenOTP não é abordada aqui, pois está fora do escopo deste documento. Você pode verificar os seguintes links para leitura posterior:-

Configurando o OpenOTP
https://www.rcdevs.com/docs/howtos/openotp_quick_start/openotp_quick_start/

Configuração do ASA para autenticação OpenOTP
https://www.rcdevs.com/docs/howtos/asa_ssl_vpn/asa/

Fluxo de pacote

A seguinte captura de pacotes foi realizada na interface externa do ASA conectada ao servidor AAA em 10.106.50.20.

O usuário do AnyConnect inicia a conexão do cliente com o ASA e, dependendo do group-url e do group-alias configurados, a conexão aterrisa em um túnel-grupo específico (perfil de conexão). Neste ponto, o usuário é solicitado a inserir as credenciais.
Quando o usuário digita as credenciais, a solicitação de autenticação (pacote de solicitação de acesso) é encaminhada ao servidor AAA do ASA.
Depois que a solicitação de autenticação chega ao servidor AAA, ela valida as credenciais. Se estiverem corretas, o servidor AAA responde com um Desafio de acesso, no qual o usuário é solicitado a inserir uma senha única.
Em caso de credenciais incorretas, um pacote Access-Reject é enviado ao ASA.
À medida que o usuário insere a senha única, a solicitação de autenticação na forma de pacote Access-Request é enviada do ASA para o servidor AAA
Quando a senha única é validada com êxito no servidor AAA, um pacote Access-Accept é enviado do servidor para o ASA, o usuário é autenticado com êxito e isso conclui o processo de autenticação de dois fatores.

Informações de licença do Anyconnect

Aqui estão alguns links para informações úteis sobre as licenças do Cisco AnyConnect Secure Mobility Client:

Consulte este documento para perguntas frequentes sobre licenciamento do AnyConnect.
Consulte o Guia de pedidos do Cisco AnyConnect para obter informações sobre as licenças Apex e Plus do AnyConnect.

Configurar

Esta seção descreve como configurar o Cisco AnyConnect Secure Mobility Client no ASA.

Nota:Use a Command Lookup Tool ( somente clientes registrados) para obter mais informações sobre os comandos usados nesta seção.

Diagrama de Rede

Assistente de configuração do ASDM AnyConnect

O Assistente de configuração do AnyConnect pode ser usado para configurar o AnyConnect Secure Mobility Client. Certifique-se de que um pacote de cliente AnyConnect tenha sido carregado para a flash/disco do ASA Firewall antes de continuar.

Conclua estes passos para configurar o AnyConnect Secure Mobility Client através do Assistente de configuração:

Para obter a configuração de túnel dividido via ASDM, baixando e instalando o AnyConnect, consulte o seguinte documento:-

https://www.cisco.com/c/en/us/support/docs/security/anyconnect-secure-mobility-client/119006-configure-anyconnect-00.html#anc8

Configuração do ASA via CLI

Esta seção fornece a configuração CLI para o Cisco AnyConnect Secure Mobility Client para fins de referência.


!--------------------Client pool configuration------------- ------



ip local pool ANYCONNECT-POOL 192.168.100.1-192.168.100.254 mask 255.255.255.0


!

interface GigabitEthernet1/1

 nameif outside

 security-level 0

 ip address dhcp setroute

!



!--------------------Split ACL configuration--------------------



access-list SPLIT-TUNNEL standard permit 10.0.0.0 255.255.255.0



pager lines 24

logging enable

logging timestamp

mtu tftp 1500

mtu outside 1500

icmp unreachable rate-limit 1 burst-size 1

icmp permit any outside

asdm image disk0:/asdm-782.bin

no asdm history enable

arp timeout 14400

no arp permit-nonconnected

route outside 0.0.0.0 0.0.0.0 10.106.56.1 1



!------------------Configure AAA server --------------------



aaa-server RADIUS_OTP protocol radius

aaa-server RADIUS_OTP (outside) host 10.106.50.20

 key *****





!------Configure Trustpoint containing ASA Identity Certificate ------



crypto ca trustpoint ASDM_Trustpoint 0

 enrollment self

 subject-name CN=bglanyconnect.cisco.com

 keypair self





!-------Apply trustpoint on outside interface------



ssl trust-point ASDM_Trustpoint0 outside



!-------Enable AnyConnect and configuring AnyConnect Image------



webvpn

 enable outside

 anyconnect image disk0:/anyconnect-win-4.5.02033-webdeploy-k9.pkg 1

 anyconnect enable

 tunnel-group-list enable




!--------------------Group Policy configuration--------------------



group-policy GroupPolicy_ANYCONNECT-PROFILE internal

group-policy GroupPolicy_ANYCONNECT-PROFILE attributes

 dns-server value 10.10.10.99

 vpn-tunnel-protocol ssl-client

  split-tunnel-policy tunnelspecified

 split-tunnel-network-list value SPLIT-TUNNEL

 default-domain value cisco.com



!----------Tunnel-Group (Connection Profile) Configuraiton----------



tunnel-group ANYCONNECT_PROFILE type remote-access

tunnel-group ANYCONNECT_PROFILE general-attributes

 address-pool ANYCONNECT-POOL

 authentication-server-group RADIUS_OTP

 default-group-policy GroupPolicy_ANYCONNECT-PROFILE

tunnel-group ANYCONNECT_PROFILE webvpn-attributes

 group-alias ANYCONNECT-PROFILE enable


: end

Nota:

Para configurar e instalar um certificado de terceiros nas conexões do cliente ASA para AnyConnect, consulte o seguinte documento:-

https://www.cisco.com/c/en/us/support/docs/security-vpn/public-key-infrastructure-pki/200339-Configure-ASA-SSL-Digital-Certificate-I.html

Verificar

Use esta seção para confirmar se a sua configuração funciona corretamente.

Nota:A ferramenta Output Interpreter (exclusiva para clientes registrados) é compatível com alguns comandos de exibição..Use a ferramenta Output Interpreter para visualizar uma análise do resultado gerado pelo comando show..

Os comandos show a seguir podem ser executados para confirmar o status do cliente AnyConnect e suas estatísticas.

ASA(config)# show vpn-sessiondb anyconnect



Session Type: AnyConnect



Username     : cisco                  Index        : 1

Assigned IP  : 192.168.100.1          Public IP    : 10.106.49.111

Protocol     : AnyConnect-Parent DTLS-Tunnel

License      : AnyConnect Premium

Encryption   : AnyConnect-Parent: (1)none  DTLS-Tunnel: (1)AES256

Hashing      : AnyConnect-Parent: (1)none  DTLS-Tunnel: (1)SHA1

Bytes Tx     : 15122                  Bytes Rx     : 5897

Group Policy : GroupPolicy_ANYCONNECT-PROFILE

Tunnel Group : ANYCONNECT_PROFILE

Login Time   : 14:47:09 UTC Wed Nov 1 2017

Duration     : 1h:04m:52s

Inactivity   : 0h:00m:00s

VLAN Mapping : N/A                    VLAN         : none

Audt Sess ID : 000000000000100059f9de6d

Security Grp : none



ASA(config)# show vpn-sessiondb detail anyconnect filter name cisco



Session Type: AnyConnect Detailed



Username     : cisco                  Index        : 1

Assigned IP  : 192.168.100.1          Public IP    : 10.106.49.111

Protocol     : AnyConnect-Parent DTLS-Tunnel

License      : AnyConnect Premium

Encryption   : AnyConnect-Parent: (1)none  DTLS-Tunnel: (1)AES256

Hashing      : AnyConnect-Parent: (1)none  DTLS-Tunnel: (1)SHA1

Bytes Tx     : 15122                  Bytes Rx     : 5897

Pkts Tx      : 10                     Pkts Rx      : 90

Pkts Tx Drop : 0                      Pkts Rx Drop : 0

Group Policy : GroupPolicy_ANYCONNECT-PROFILE

Tunnel Group : ANYCONNECT_PROFILE

Login Time   : 14:47:09 UTC Wed Nov 1 2017

Duration     : 1h:04m:55s

Inactivity   : 0h:00m:00s

VLAN Mapping : N/A                    VLAN         : none

Audt Sess ID : 000000000000100059f9de6d

Security Grp : none



AnyConnect-Parent Tunnels: 1

DTLS-Tunnel Tunnels: 1



AnyConnect-Parent:

  Tunnel ID    : 1.1

  Public IP    : 10.106.49.111

  Encryption   : none                   Hashing      : none

  TCP Src Port : 53113                  TCP Dst Port : 443

  Auth Mode    : userPassword

  Idle Time Out: 30 Minutes             Idle TO Left : 1 Minutes

  Client OS    : win

  Client OS Ver: 6.1.7601 Service Pack 1

  Client Type  : AnyConnect

  Client Ver   : Cisco AnyConnect VPN Agent for Windows 4.5.02033

  Bytes Tx     : 7561                   Bytes Rx     : 0

  Pkts Tx      : 5                      Pkts Rx      : 0

  Pkts Tx Drop : 0                      Pkts Rx Drop : 0



DTLS-Tunnel:

  Tunnel ID    : 1.3

  Assigned IP  : 192.168.100.1          Public IP    : 10.106.49.111

  Encryption   : AES256                 Hashing      : SHA1

  Ciphersute  : AES256-SHA

  Encapsulation: DTLSv1.0               UDP Src Port : 63257

  UDP Dst Port : 443                    Auth Mode    : userPassword

  Idle Time Out: 30 Minutes             Idle TO Left : 0 Minutes

  Client OS    : Windows

  Client Type  : DTLS VPN Client

  Client Ver   : Cisco AnyConnect VPN Agent for Windows 4.5.02033

  Bytes Tx     : 0                      Bytes Rx     : 5801

  Pkts Tx      : 0                      Pkts Rx      : 88

  Pkts Tx Drop : 0                      Pkts Rx Drop : 0

Experiência do usuário

Troubleshoot

Esta seção fornece as informações que você pode usar para solucionar problemas de sua configuração.

Nota:Consulte Informações Importantes sobre Comandos de Depuração antes de usar comandos debug.

Cuidado: No ASA, você pode definir vários níveis de depuração; por padrão, o nível 1 é usado. Se você alterar o nível de depuração, a verbosidade das depurações pode aumentar. Faça isso com cuidado, especialmente em ambientes de produção.

Para solucionar problemas do processo de autenticação completo de uma conexão de cliente AnyConnect de entrada, você pode usar estas depurações:

debug radius all

•debug aaa authentication

debug webvpn anyconnect

O comando a seguir confirma que as credenciais do usuário estão corretas ou não.

test aaa-server authentication <aaa_server_group> [host <name>|<host_ip>] username <user> password <password>

Em caso de nome de usuário e senha corretos

ASA(config)# test aaa authentication RADIUS_OTP host 10.106.50.20

Username: cisco

Password: *****

INFO: Attempting Authentication test to IP address <10.106.50.20> (timeout: 12 seconds)

ERROR: Authentication Challenged: No error

O último erro diz respeito ao fato de que, como o servidor AAA está esperando que um usuário insira uma senha única após a autenticação bem-sucedida do nome de usuário e da senha e esse teste não envolve um usuário que entra ativamente no OTP, portanto vemos o Desafio de acesso enviado pelo servidor AAA em resposta ao qual não há erro no ASA.

Em caso de nome de usuário e/ou senha incorretos

ASA(config)# test aaa authentication RADIUS_OTP host 10.106.50.20

Username: cisco

Password: ***

INFO: Attempting Authentication test to IP address <10.106.50.20> (timeout: 12 seconds)

ERROR: Authentication Rejected: AAA failure

As depurações de uma configuração em funcionamento serão semelhantes a:

Legenda:

IP real do cliente do Anyconnect:10.106.49.111

IP do ASA:10.106.48.191

ASA(config)# debug radius all

ASA(config)# debug aaa authentication

debug aaa authentication enabled at level 1

radius mkreq: 0x8

alloc_rip 0x74251058

    new request 0x8 --> 7 (0x74251058)

got user 'cisco'

got password

add_req 0x74251058 session 0x8 id 7

RADIUS_REQUEST

radius.c: rad_mkpkt

rad_mkpkt: ip:source-ip=10.106.49.111



RADIUS packet decode (authentication request)



--------------------------------------

Raw packet data (length = 180).....

01 07 00 b4 b6 c2 bf 25 cf 80 53 a9 a2 3d c8 ca    |  .......%..S..=..

74 05 27 5c 01 07 63 69 73 63 6f 02 12 d7 99 45    |  t.'\..cisco....E

6e 0f 46 71 bc 52 47 b0 81 b4 18 ae 34 05 06 00    |  n.Fq.RG.....4...

00 40 00 1e 0f 31 30 2e 31 30 36 2e 34 38 2e 31    |  .@...10.106.48.1

39 31 1f 0f 31 30 2e 31 30 36 2e 34 39 2e 31 31    |  91..10.106.49.11

31 3d 06 00 00 00 05 42 0f 31 30 2e 31 30 36 2e    |  1=.....B.10.106.

34 39 2e 31 31 31 04 06 0a 6a 30 bf 1a 22 00 00    |  49.111...j0.."..

00 09 01 1c 69 70 3a 73 6f 75 72 63 65 2d 69 70    |  ....ip:source-ip

3d 31 30 2e 31 30 36 2e 34 39 2e 31 31 31 1a 1a    |  =10.106.49.111..

00 00 0c 04 92 14 41 4e 59 43 4f 4e 4e 45 43 54    |  ......ANYCONNECT

2d 50 52 4f 46 49 4c 45 1a 0c 00 00 0c 04 96 06    |  -PROFILE........

00 00 00 02                                        |  ....



Parsed packet data.....

Radius: Code = 1 (0x01)

Radius: Identifier = 7 (0x07)

Radius: Length = 180 (0x00B4)

Radius: Vector: B6C2BF25CF8053A9A23DC8CA7405275C

Radius: Type = 1 (0x01) User-Name

Radius: Length = 7 (0x07)

Radius: Value (String) =

63 69 73 63 6f                                     |  cisco

Radius: Type = 2 (0x02) User-Password

Radius: Length = 18 (0x12)

Radius: Value (String) =

d7 99 45 6e 0f 46 71 bc 52 47 b0 81 b4 18 ae 34    |  ..En.Fq.RG.....4

Radius: Type = 5 (0x05) NAS-Port

Radius: Length = 6 (0x06)

Radius: Value (Hex) = 0x4000

Radius: Type = 30 (0x1E) Called-Station-Id

Radius: Length = 15 (0x0F)

Radius: Value (String) =

31 30 2e 31 30 36 2e 34 38 2e 31 39 31             |  10.106.48.191

Radius: Type = 31 (0x1F) Calling-Station-Id

Radius: Length = 15 (0x0F)

Radius: Value (String) =

31 30 2e 31 30 36 2e 34 39 2e 31 31 31             |  10.106.49.111

Radius: Type = 61 (0x3D) NAS-Port-Type

Radius: Length = 6 (0x06)

Radius: Value (Hex) = 0x5

Radius: Type = 66 (0x42) Tunnel-Client-Endpoint

Radius: Length = 15 (0x0F)

Radius: Value (String) =

31 30 2e 31 30 36 2e 34 39 2e 31 31 31             |  10.106.49.111

Radius: Type = 4 (0x04) NAS-IP-Address

Radius: Length = 6 (0x06)

Radius: Value (IP Address) = 10.106.48.191 (0x0A6A30BF)

Radius: Type = 26 (0x1A) Vendor-Specific

Radius: Length = 34 (0x22)

Radius: Vendor ID = 9 (0x00000009)

Radius: Type = 1 (0x01) Cisco-AV-pair

Radius: Length = 28 (0x1C)

Radius: Value (String) =

69 70 3a 73 6f 75 72 63 65 2d 69 70 3d 31 30 2e    |  ip:source-ip=10.

31 30 36 2e 34 39 2e 31 31 31                      |  106.49.111

Radius: Type = 26 (0x1A) Vendor-Specific

Radius: Length = 26 (0x1A)

Radius: Vendor ID = 3076 (0x00000C04)

Radius: Type = 146 (0x92) Tunnel-Group-Name

Radius: Length = 20 (0x14)

Radius: Value (String) =

41 4e 59 43 4f 4e 4e 45 43 54 2d 50 52 4f 46 49    |  ANYCONNECT-PROFI

4c 45                                              |  LE

Radius: Type = 26 (0x1A) Vendor-Specific

Radius: Length = 12 (0x0C)

Radius: Vendor ID = 3076 (0x00000C04)

Radius: Type = 150 (0x96) Client-Type

Radius: Length = 6 (0x06)

Radius: Value (Integer) = 2 (0x0002)

send pkt 10.106.50.20/1645

rip 0x74251058 state 7 id 7

rad_vrfy() : response message verified

rip 0x74251058

 : chall_state ''

 : state 0x7

 : reqauth:

     b6 c2 bf 25 cf 80 53 a9 a2 3d c8 ca 74 05 27 5c

 : info 0x74251190

     session_id 0x8

     request_id 0x7

     user 'cisco'

     response '***'

     app 0

     reason 0

     skey 'testing123'

     sip 10.106.50.20

     type 1



RADIUS packet decode (response)



--------------------------------------

Raw packet data (length = 80).....

0b 07 00 50 ed 7a 06 92 f7 18 16 6b 97 d4 83 5f    |  ...P.z.....k..._

be 9b d7 29 18 12 75 6b 35 36 58 49 4f 6e 35 31    |  ...)..uk56XIOn51

58 36 4b 75 4c 74 12 24 45 6e 74 65 72 20 79 6f    |  X6KuLt.$Enter yo

75 72 20 54 4f 4b 45 4e 20 6f 6e 65 2d 74 69 6d    |  ur TOKEN one-tim

65 20 70 61 73 73 77 6f 72 64 1b 06 00 00 00 5a    |  e password.....Z



Parsed packet data.....

Radius: Code = 11 (0x0B)

Radius: Identifier = 7 (0x07)

Radius: Length = 80 (0x0050)

Radius: Vector: ED7A0692F718166B97D4835FBE9BD729

Radius: Type = 24 (0x18) State

Radius: Length = 18 (0x12)

Radius: Value (String) =

75 6b 35 36 58 49 4f 6e 35 31 58 36 4b 75 4c 74    |  uk56XIOn51X6KuLt

Radius: Type = 18 (0x12) Reply-Message

Radius: Length = 36 (0x24)

Radius: Value (String) =

45 6e 74 65 72 20 79 6f 75 72 20 54 4f 4b 45 4e    |  Enter your TOKEN

20 6f 6e 65 2d 74 69 6d 65 20 70 61 73 73 77 6f    |   one-time passwo

72 64                                              |  rd

Radius: Type = 27 (0x1B) Session-Timeout

Radius: Length = 6 (0x06)

Radius: Value (Hex) = 0x5A

rad_procpkt: CHALLENGE

radius mkreq: 0x8

    old request 0x8 --> 8 (0x74251058), state 3

wait pass - pass '***'. make request

RADIUS_REQUEST

radius.c: rad_mkpkt

rad_mkpkt: ip:source-ip=10.106.49.111



RADIUS packet decode (authentication request)



--------------------------------------

Raw packet data (length = 198).....

01 08 00 c6 b6 c2 bf 25 cf 80 53 a9 a2 3d c8 ca    |  .......%..S..=..

74 05 27 5c 01 07 63 69 73 63 6f 02 12 83 c4 00    |  t.'\..cisco.....

3e 56 73 71 bc 52 47 b0 81 b4 18 ae 34 05 06 00    |  >Vsq.RG.....4...

00 40 00 1e 0f 31 30 2e 31 30 36 2e 34 38 2e 31    |  .@...10.106.48.1

39 31 1f 0f 31 30 2e 31 30 36 2e 34 39 2e 31 31    |  91..10.106.49.11

31 3d 06 00 00 00 05 42 0f 31 30 2e 31 30 36 2e    |  1=.....B.10.106.

34 39 2e 31 31 31 04 06 0a 6a 30 bf 18 12 75 6b    |  49.111...j0...uk

35 36 58 49 4f 6e 35 31 58 36 4b 75 4c 74 1a 22    |  56XIOn51X6KuLt."

00 00 00 09 01 1c 69 70 3a 73 6f 75 72 63 65 2d    |  ......ip:source-

69 70 3d 31 30 2e 31 30 36 2e 34 39 2e 31 31 31    |  ip=10.106.49.111

1a 1a 00 00 0c 04 92 14 41 4e 59 43 4f 4e 4e 45    |  ........ANYCONNE

43 54 2d 50 52 4f 46 49 4c 45 1a 0c 00 00 0c 04    |  CT-PROFILE......

96 06 00 00 00 02                                  |  ......



Parsed packet data.....

Radius: Code = 1 (0x01)

Radius: Identifier = 8 (0x08)

Radius: Length = 198 (0x00C6)

Radius: Vector: B6C2BF25CF8053A9A23DC8CA7405275C

Radius: Type = 1 (0x01) User-Name

Radius: Length = 7 (0x07)

Radius: Value (String) =

63 69 73 63 6f                                     |  cisco

Radius: Type = 2 (0x02) User-Password

Radius: Length = 18 (0x12)

Radius: Value (String) =

83 c4 00 3e 56 73 71 bc 52 47 b0 81 b4 18 ae 34    |  ...>Vsq.RG.....4

Radius: Type = 5 (0x05) NAS-Port

Radius: Length = 6 (0x06)

Radius: Value (Hex) = 0x4000

Radius: Type = 30 (0x1E) Called-Station-Id

Radius: Length = 15 (0x0F)

Radius: Value (String) =

31 30 2e 31 30 36 2e 34 38 2e 31 39 31             |  10.106.48.191

Radius: Type = 31 (0x1F) Calling-Station-Id

Radius: Length = 15 (0x0F)

Radius: Value (String) =

31 30 2e 31 30 36 2e 34 39 2e 31 31 31             |  10.106.49.111

Radius: Type = 61 (0x3D) NAS-Port-Type

Radius: Length = 6 (0x06)

Radius: Value (Hex) = 0x5

Radius: Type = 66 (0x42) Tunnel-Client-Endpoint

Radius: Length = 15 (0x0F)

Radius: Value (String) =

31 30 2e 31 30 36 2e 34 39 2e 31 31 31             |  10.106.49.111

Radius: Type = 4 (0x04) NAS-IP-Address

Radius: Length = 6 (0x06)

Radius: Value (IP Address) = 10.106.48.191 (0x0A6A30BF)

Radius: Type = 24 (0x18) State

Radius: Length = 18 (0x12)

Radius: Value (String) =

75 6b 35 36 58 49 4f 6e 35 31 58 36 4b 75 4c 74    |  uk56XIOn51X6KuLt

Radius: Type = 26 (0x1A) Vendor-Specific

Radius: Length = 34 (0x22)

Radius: Vendor ID = 9 (0x00000009)

Radius: Type = 1 (0x01) Cisco-AV-pair

Radius: Length = 28 (0x1C)

Radius: Value (String) =

69 70 3a 73 6f 75 72 63 65 2d 69 70 3d 31 30 2e    |  ip:source-ip=10.

31 30 36 2e 34 39 2e 31 31 31                      |  106.49.111

Radius: Type = 26 (0x1A) Vendor-Specific

Radius: Length = 26 (0x1A)

Radius: Vendor ID = 3076 (0x00000C04)

Radius: Type = 146 (0x92) Tunnel-Group-Name

Radius: Length = 20 (0x14)

Radius: Value (String) =

41 4e 59 43 4f 4e 4e 45 43 54 2d 50 52 4f 46 49    |  ANYCONNECT-PROFI

4c 45                                              |  LE

Radius: Type = 26 (0x1A) Vendor-Specific

Radius: Length = 12 (0x0C)

Radius: Vendor ID = 3076 (0x00000C04)

Radius: Type = 150 (0x96) Client-Type

Radius: Length = 6 (0x06)

Radius: Value (Integer) = 2 (0x0002)

send pkt 10.106.50.20/1645

rip 0x74251058 state 7 id 8

rad_vrfy() : response message verified

rip 0x74251058

 : chall_state 'uk56XIOn51X6KuLt'

 : state 0x7

 : reqauth:

     b6 c2 bf 25 cf 80 53 a9 a2 3d c8 ca 74 05 27 5c

 : info 0x74251190

     session_id 0x8

     request_id 0x8

     user 'cisco'

     response '***'

     app 0

     reason 0

     skey 'testing123'

     sip 10.106.50.20

     type 1



RADIUS packet decode (response)



--------------------------------------

Raw packet data (length = 44).....

02 08 00 2c c0 80 63 1c 3e 43 a4 bd 46 78 bd 68    |  ...,..c.>C..Fx.h

49 29 23 bd 12 18 41 75 74 68 65 6e 74 69 63 61    |  I)#...Authentica

74 69 6f 6e 20 73 75 63 63 65 73 73                |  tion success



Parsed packet data.....

Radius: Code = 2 (0x02)

Radius: Identifier = 8 (0x08)

Radius: Length = 44 (0x002C)

Radius: Vector: C080631C3E43A4BD4678BD68492923BD

Radius: Type = 18 (0x12) Reply-Message

Radius: Length = 24 (0x18)

Radius: Value (String) =

41 75 74 68 65 6e 74 69 63 61 74 69 6f 6e 20 73    |  Authentication s

75 63 63 65 73 73                                  |  uccess

rad_procpkt: ACCEPT

RADIUS_ACCESS_ACCEPT: normal termination

RADIUS_DELETE

remove_req 0x74251058 session 0x8 id 8

free_rip 0x74251058

radius: send queue empty

Informações Relacionadas

Colaborado por engenheiros da Cisco

Created by Dinesh Moudgil
Engenheiro HTTS da Cisco
Edited by Cesar Lopez Zamarripa
Engenheiro do TAC da Cisco

Este documento lhe foi útil?

Configurar o AnyConnect Secure Mobility Client usando a senha única (OTP) para autenticação de dois fatores em um ASA

Opções de download

Sobre esta tradução

Contents

Introduction

Prerequisites

Requirements

Componentes Utilizados

Informações de Apoio

Fluxo de pacote

Configurar

Diagrama de Rede

Verificar

Experiência do usuário

Troubleshoot

Legenda:

Informações Relacionadas

Colaborado por engenheiros da Cisco

Este documento lhe foi útil?

Contate a Cisco

Discussões relacionadas com comunidade da Cisco

Este documento se refere a estes produtos