A Cisco traduziu este documento com a ajuda de tecnologias de tradução automática e humana para oferecer conteúdo de suporte aos seus usuários no seu próprio idioma, independentemente da localização. Observe que mesmo a melhor tradução automática não será tão precisa quanto as realizadas por um tradutor profissional. A Cisco Systems, Inc. não se responsabiliza pela precisão destas traduções e recomenda que o documento original em inglês (link fornecido) seja sempre consultado.
Este documento descreve a configuração da autenticação portal prisioneira (autenticação ativa) e Único-Sinal-em (autenticação passiva).
A Cisco recomenda que você tenha conhecimento destes tópicos:
As informações neste documento são baseadas nestas versões de software e hardware:
As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a sua rede estiver ativa, certifique-se de que entende o impacto potencial de qualquer comando.
A autenticação portal prisioneira ou a autenticação ativa alertam uma página de login e as credenciais do usuário são exigidas para que um host obtenha o acesso à internet.
Único-Sinal-em ou a autenticação passiva fornece a autenticação sem emenda a um usuário para recursos de rede e acesso à internet sem os tempos múltiplos credenciais entrando do usuário. Único-Sinal-na autenticação pode ser conseguido pelo agente de usuário de FirePOWER ou pela autenticação de navegador NTLM.
Nota: Para a autenticação portal prisioneira, o dispositivo deve reagir do modo roteado.
Este artigo explica como configurar o agente de usuário de FirePOWER em uma máquina de Windows:
A instalação e desinstalação do agente de usuário de Sourcefire
Entre ao centro de gerenciamento de FirePOWER, navegue ao sistema > às fontes da integração > da identidade. Opção de agente nova de Clickthe. Configurar o endereço IP de Um ou Mais Servidores Cisco ICM NT do sistema do agente de usuário & clique o botão Add.
Clique o botão Save Button para salvar as mudanças.
Entre ao FMC, navegue ao sistema > à integração > ao reino. Clickthe adiciona a opção nova do reino.
Nome & descrição: Dê um nome/descrição para identificar excepcionalmente o reino.
Digite: AD
Domínio principal AD: Domain Name do diretório ativo
Username do diretório: <username>
Senha de diretório: <password>
Base DN: Domínio ou OU específico DN de onde o sistema começará uma busca no base de dados LDAP.
Grupo DN: grupo DN
Atributo de grupo: Membro
Este artigo ajuda-o a figurar para fora os valores da base DN e do grupo DN.
Identifique atributos de objeto do diretório ativo LDAP
Clique o botão Add a fim navegar à próxima etapa e clicar depois disso a opção do diretório adicionar.
Hostname/endereço IP de Um ou Mais Servidores Cisco ICM NT: configurar o endereço IP de Um ou Mais Servidores Cisco ICM NT/hostname do server AD.
Porta: 389 (número de porta do diretório ativo LDAP)
Certificado Encryption/SSL: (opcional) para cifrar a conexão entre o server FMC & AD, refira
Clique o botão Test Button a fim verificar se FMC pode conectar ao server AD.
Navegue à configuração do reino a fim verificar que configuração da integração do server e de você AD pode alterar a configuração AD.
Navegue à opção da transferência do usuário para buscar a base de dados de usuário do server AD.
Permita a caixa de verificação de transferir usuários e grupos da transferência e de definir o intervalo de tempo sobre como frequentemente FMC contacta o AD para transferir a base de dados de usuário.
Selecione o grupo e põe-no na opção incluir para que você quer configurar a autenticação.
Segundo as indicações da imagem, permita o estado AD:
Uma política da identidade executa a autenticação de usuário. Se o usuário não autentica, o acesso aos recursos de rede está recusado. Isto reforça o controle de acesso Papel-baseado (RBAC) à rede e aos recursos da sua organização.
A autenticação ativa pede o username/senha no navegador identificar uma identidade do usuário para permitir toda a conexão. O navegador autentica o usuário apresentando a página da autenticação ou autentica-o silenciosamente com autenticação de NTLM. O NTLM usa o navegador da Web para enviar e receber a informação da autenticação. A autenticação ativa usa vários tipos para verificar a identidade do usuário. Os tipos diferentes de autenticação são:
Cada navegador tem uma maneira específica de permitir a autenticação de NTLM e daqui seguem diretrizes do navegador a fim permitir a autenticação de NTLM.
Para compartilhar firmemente das credenciais com o sensor roteado, você precisa de instalar o certificado de servidor auto-assinado ou o certificado de servidor público-assinado na política da identidade.
Generate a simple self-signed certificate using openSSL - Step 1. Generate the Private key openssl genrsa -des3 -out server.key 2048 Step 2. Generate Certificate Signing Request (CSR) openssl req -new -key server.key -out server.csr Step 3. Generate the self-signed Certificate.
openssl x509 -req -days 3650 -sha256 -in server.csr -signkey server.key -out server.crt
Navegue às políticas > ao controle de acesso > à identidade. Clique a política adicionar & dê um nome à política e salvar o.
Navegue à aba ativa da autenticação & na opção do certificado de servidor, clicam o ícone (+) e transferem arquivos pela rede o certificado & a chave privada que você gerou na etapa precedente usando o OpenSSL.
Agora clique o botão da regra adicionar & dê um nome à regra & escolha a ação como a autenticação ativa. Defina a fonte/zona de destino, a fonte/rede de destino para que você quer permitir a autenticação de usuário.
Selecione o reino, que você configurou na etapa precedente e o tipo do autenticação esse melhor sere seu ambiente.
Configuração ASA para o portal prisioneiro
Para o módulo ASA FirePOWER, configurar estes comandos no ASA a fim configurar o portal prisioneiro.
ASA(config)# captive-portal global port 1055
Assegure-se de que a porta de servidor, TCP 1055 esteja configurada na opção da porta da aba ativa da autenticação da política da identidade.
A fim verificar as regras do active e suas contagens da batida, execute o comando seguinte.
ASA# show asp table classify domain captive-portal
Nota: O comando portal prisioneiro está disponível na versão ASA 9.5(2) e mais atrasado.
Na autenticação passiva, quando os inícios de uma sessão de um usuário de domínio e podem autenticar o AD, o agente de usuário de FirePOWER vota os detalhes do mapeamento USER-IP dos registros de segurança do AD e compartilha desta informação com o centro de gerenciamento de FirePOWER (FMC). FMC envia estes detalhes ao sensor a fim reforçar o controle de acesso.
Clique o botão da regra adicionar & dê um nome à regra & escolha a ação como a autenticação passiva. Defina a fonte/zona de destino, a fonte/rede de destino para que você quer permitir a autenticação de usuário.
Selecione o reino que você configurou na etapa e no tipo do autenticação precedentes que as melhores séries seu ambiente, segundo as indicações desta imagem.
Aqui você pode escolher recua o método como a autenticação ativa se a autenticação passiva não pode identificar a identidade do usuário.
Navegue às políticas > ao controle de acesso > criam/editam uma política.
Clique a política da identidade (canto superior do lado esquerdo), escolha a política da identificação que você configurou na etapa precedente e clica o botão OK, segundo as indicações desta imagem.
Clique o botão da regra adicionar para adicionar uma regra nova, navegue aos usuários e selecione os usuários para que a regra do controle de acesso reforçará, segundo as indicações desta imagem. Clique o botão OK e clique o botão Save Button a fim salvar as mudanças.
Navegue para distribuir a opção, escolher o dispositivo e para clicar a opção da distribuição para empurrar a alteração de configuração para o sensor. Monitore o desenvolvimento da política da opção do ícone do centro da mensagem (o ícone no meio distribui e opção de sistema) e assegure-se de que a política deva se aplicar com sucesso, segundo as indicações desta imagem.
As sessões do usuário atualmente ativos estão disponíveis na seção da análise > dos usuários > dos usuários.
As ajudas da monitoração da atividade do usuário a figurar para fora que o usuário associou com que endereço IP de Um ou Mais Servidores Cisco ICM NT e como são usuário detectado pelo sistema pela autenticação ativa ou passiva. Análise > usuários > atividade do usuário
Navegue à análise > às conexões > aos eventos, para monitorar o tipo de tráfego que está sendo usado pelo usuário.
Navegue à análise > aos usuários no orderto verificam a regra do mapeamento autenticação de usuário/tipo do autenticação/IP/acesso associada com o fluxo de tráfego.
O centro de gerenciamento de FirePOWER (FMC) usa a porta TCP 3306, a fim receber dados de registro da atividade do usuário do agente de usuário.
A fim verificar o estado do serviço FMC, use este comando no FMC.
admin@firepower:~$ netstat -tan | grep 3306
Execute a captura de pacote de informação no FMC a fim verificar a Conectividade com o agente de usuário.
admin@firepower:~$ sudo tcpdump -i eth0 -n port 3306
Navegue à análise > aos usuários > à atividade do usuário a fim verificar se o FMC está recebendo detalhes do login de usuário do agente de usuário.
FMC usa a porta TCP 389 a fim recuperar a base de dados de usuário do diretório ativo.
Execute a captura de pacote de informação no FMC para verificar a Conectividade com o diretório ativo.
admin@firepower:~$ sudo tcpdump -i eth0 -n port 389
Assegure-se de que as credenciais do usuário usadas na configuração do reino FMC tenham o privilégio suficiente buscar a base de dados de usuário do AD.
Verifique a configuração do reino FMC, e assegure-se de que os usuários/grupos estejam transferidos e intervalo de sessão do usuário esteja configurada corretamente.
Navegue ao centro > às tarefas da mensagem e assegure-se de que os usuários/grupos da tarefa transferência terminem com sucesso, segundo as indicações desta imagem.
Para a autenticação ativa, assegure-se de que o certificado e a porta estejam configurados corretamente na política da identidade FMC. À revelia, o sensor de FirePOWER escuta na porta TCP 885 a autenticação ativa.
Assegure-se de que os campos do reino, do tipo do autenticação, do agente de usuário e de ação estejam configurados corretamente na política da identidade.
Assegure-se de que a política da identidade esteja associada corretamente com a política do controle de acesso.
Navegue ao centro > às tarefas da mensagem e assegure-se de que a distribuição de política termine com sucesso.
A conexão e os eventos da atividade do usuário podem ser usados para diagnosticar se o login de usuário é bem sucedido ou não. Estes eventos
pode igualmente verificar que que regra do controle de acesso está obtendo aplicou-se no fluxo.
Navegue à análise > ao usuário para verificar os logs de eventos do usuário.
Navegue à análise > aos eventos de conexão para verificar os eventos de conexão.