Configurar a integração do ative directory com o dispositivo de FirePOWER para Único-Sinal-em & autenticação portal prisioneira

Introdução

Este documento descreve a configuração da autenticação portal prisioneira (autenticação ativa) e Único-Sinal-em (autenticação passiva).

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento destes tópicos:

• Dispositivos de Sourcefire FirePOWER
• Modelos do dispositivo virtual
• Serviço de diretório de pouco peso (LDAP)
• FirePOWER UserAgent

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

• Versão 6.0.0 e mais recente do centro de gerenciamento de FirePOWER (FMC)
• Versão do sensor 6.0.0 de FirePOWER e acima

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a sua rede estiver ativa, certifique-se de que entende o impacto potencial de qualquer comando.

Informações de Apoio

A autenticação portal prisioneira ou a autenticação ativa alertam uma página de login e as credenciais do usuário são exigidas para que um host obtenha o acesso à internet.

Único-Sinal-em ou a autenticação passiva fornece a autenticação sem emenda a um usuário para recursos de rede e acesso à internet sem os tempos múltiplos credenciais entrando do usuário. Único-Sinal-na autenticação pode ser conseguido pelo agente de usuário de FirePOWER ou pela autenticação de navegador NTLM. 

Note: Para a autenticação portal prisioneira, o dispositivo deve reagir do modo roteado.

Configurar

Etapa 1. Configurar o agente de usuário de FirePOWER para Único-Sinal-em 

Este artigo explica como configurar o agente de usuário de FirePOWER em uma máquina de Windows:

A instalação e desinstalação do agente de usuário de Sourcefire

Etapa 2. Integre o centro de gerenciamento de FirePOWER (FMC) com agente de usuário

Entre ao centro de gerenciamento de FirePOWER, navegue ao sistema > às fontes da integração > da identidade. Opção de agente nova de Clickthe. Configurar o endereço IP de Um ou Mais Servidores Cisco ICM NT do sistema do agente de usuário & clique o botão Add.

Clique o botão Save Button para salvar as mudanças. 

Etapa 3. Integre FirePOWER com diretório ativo

Etapa 3.1 Crie o reino 

Entre ao FMC, navegue ao sistema > à integração > ao reino. Clickthe adiciona a opção nova do reino. 

Nome & descrição: Dê um nome/descrição para identificar excepcionalmente o reino. 

Digite: AD

Domínio principal AD: Domain Name do diretório ativo 

Username do diretório: <username>

Senha de diretório: <password>

Base DN: Domínio ou OU específico DN de onde o sistema começará uma busca no base de dados LDAP. 

Grupo DN: grupo DN

Atributo de grupo: Membro

Este artigo ajuda-o a figurar para fora os valores da base DN e do grupo DN. 

Identifique atributos de objeto do diretório ativo LDAP

Etapa 3.2 Adicionar o servidor de diretório

Clique o botão Add a fim navegar à próxima etapa e clicar depois disso a opção do diretório adicionar. 

Hostname/endereço IP de Um ou Mais Servidores Cisco ICM NT: configurar o endereço IP de Um ou Mais Servidores Cisco ICM NT/hostname do server AD.

Porta:  389 (número de porta do diretório ativo LDAP)

Certificado Encryption/SSL: (opcional) para cifrar a conexão entre o server FMC & AD, refira

artigo: Objeto da verificação de autenticação no sistema de FireSIGHT para a autenticação de Microsoft AD sobre o SSL/TLS

Clique o botão Test Button a fim verificar se FMC pode conectar ao server AD.  

Etapa 3.3 Altere a configuração do reino 

Navegue à configuração do reino a fim verificar que configuração da integração do server e de você AD pode alterar a configuração AD.  

Etapa 3.4 Base de dados de usuário da transferência

Navegue à opção da transferência do usuário para buscar a base de dados de usuário do server AD.  

Permita a caixa de verificação de transferir usuários e grupos da transferência e de definir o intervalo de tempo sobre como frequentemente FMC contacta o AD para transferir a base de dados de usuário. 

Selecione o grupo e põe-no na opção incluir para que você quer configurar a autenticação. 

Segundo as indicações da imagem, permita o estado AD:

Etapa 4. Configurar a política da identidade

Uma política da identidade executa a autenticação de usuário. Se o usuário não autentica, o acesso aos recursos de rede está recusado. Isto reforça o controle de acesso Papel-baseado (RBAC) à rede e aos recursos da sua organização.

Etapa 4.1 Portal prisioneiro (autenticação ativa)    

 A autenticação ativa pede o username/senha no navegador identificar uma identidade do usuário para permitir toda a conexão.  O navegador autentica o usuário apresentando a página da autenticação ou autentica-o silenciosamente com autenticação de NTLM.  O NTLM usa o navegador da Web para enviar e receber a informação da autenticação. A autenticação ativa usa vários tipos para verificar a identidade do usuário. Os tipos diferentes de autenticação são:

1. HTTP básico: Neste método, as alertas do navegador para credenciais do usuário. 
2. NTLM:  O NTLM usa credenciais da estação de trabalho do Windows e negocia-as com o diretório ativo usando um navegador da Web. Você precisa de permitir a autenticação de NTLM no navegador. A autenticação de usuário acontece transparentemente sem credenciais de alerta. Fornece um único sinal-na experiência para usuários. 
3. O HTTP negocia: Neste tipo, o sistema tenta autenticar usando o NTLM, se falha então o sensor usará o tipo da autenticação básica HTTP como um método da reserva e alertará uma caixa de diálogo para credenciais do usuário.
4. Página da resposta HTTP: Isto é similar ao tipo básico HTTP, contudo, o usuário é alertado aqui encher a autenticação em um formulário HTML que possa ser personalizado.  

Cada navegador tem uma maneira específica de permitir a autenticação de NTLM e daqui seguem diretrizes do navegador a fim permitir a autenticação de NTLM.

Para compartilhar firmemente das credenciais com o sensor roteado, você precisa de instalar o certificado de servidor auto-assinado ou o certificado de servidor público-assinado na política da identidade. 

Generate a simple self-signed certificate using openSSL -

Step 1.   Generate the Private key  
               openssl genrsa -des3 -out server.key 2048

Step 2.   Generate Certificate Signing Request (CSR)
               openssl req -new -key server.key -out server.csr

Step 3.   Generate the self-signed Certificate. 
               openssl x509 -req -days 3650 -sha256 -in server.csr -signkey server.key -out server.crt
               

Navegue às políticas > ao controle de acesso > à identidade. Clique a política adicionar & dê um nome à política e salvar o.

Navegue à aba ativa da autenticação & na opção do certificado de servidor, clicam o ícone (+) e transferem arquivos pela rede o certificado & a chave privada que você gerou na etapa precedente usando o OpenSSL. 

Agora clique o botão da regra adicionar & dê um nome à regra & escolha a ação como a autenticação ativa. Defina a fonte/zona de destino, a fonte/rede de destino para que você quer permitir a autenticação de usuário. 

Selecione o reino, que você configurou na etapa precedente e o tipo do autenticação esse melhor sere seu ambiente. 

Configuração ASA para o portal prisioneiro 

 Para o módulo ASA FirePOWER, configurar estes comandos no ASA a fim configurar o portal prisioneiro. 

ASA(config)# captive-portal global port 1055

Assegure-se de que a porta de servidor, TCP 1055 esteja configurada na opção da porta da aba ativa da autenticação da política da identidade.

A fim verificar as regras do active e suas contagens da batida, execute o comando seguinte.

ASA# show asp table classify domain captive-portal 

Note:  O comando portal prisioneiro está disponível na versão ASA 9.5(2) e mais atrasado. 

Etapa 4.2 Único-Sinal-em (autenticação passiva)  

Na autenticação passiva, quando os inícios de uma sessão de um usuário de domínio e podem autenticar o AD, o agente de usuário de FirePOWER vota os detalhes do mapeamento USER-IP dos registros de segurança do AD e compartilha desta informação com o centro de gerenciamento de FirePOWER (FMC). FMC envia estes detalhes ao sensor a fim reforçar o controle de acesso. 

Clique o botão da regra adicionar & dê um nome à regra & escolha a ação como a autenticação passiva. Defina a fonte/zona de destino, a fonte/rede de destino para que você quer permitir a autenticação de usuário. 

Selecione o reino que você configurou na etapa e no tipo do autenticação precedentes que as melhores séries seu ambiente, segundo as indicações desta imagem. 

Aqui você pode escolher recua o método como a autenticação ativa se a autenticação passiva não pode identificar a identidade do usuário. 

Etapa 5. Configurar a política do controle de acesso  

Navegue às políticas > ao controle de acesso > criam/editam uma política.

Clique a política da identidade (canto superior do lado esquerdo), escolha a política da identificação que você configurou na etapa precedente e clica o botão OK, segundo as indicações desta imagem. 

Clique o botão da regra adicionar para adicionar uma regra nova, navegue aos usuários e selecione os usuários para que a regra do controle de acesso reforçará, segundo as indicações desta imagem. Clique o botão OK e clique o botão Save Button a fim salvar as mudanças. 

Etapa 6. Distribua a política do controle de acesso  

Navegue para distribuir a opção, escolher o dispositivo e para clicar a opção da distribuição para empurrar a alteração de configuração para o sensor. Monitore o desenvolvimento da política da opção do ícone do centro da mensagem (o ícone no meio distribui e opção de sistema) e assegure-se de que a política deva se aplicar com sucesso, segundo as indicações desta imagem.

Etapa 7. Monitore eventos do usuário & eventos das conexões 

As sessões do usuário atualmente ativos estão disponíveis na seção da análise > dos usuários > dos usuários.

As ajudas da monitoração da atividade do usuário a figurar para fora que o usuário associou com que endereço IP de Um ou Mais Servidores Cisco ICM NT e como são usuário detectado pelo sistema pela autenticação ativa ou passiva. Análise > usuários > atividade do usuário 

Navegue à análise > às conexões > aos eventos, para monitorar o tipo de tráfego que está sendo usado pelo usuário.

Verificar e solucionar problemas

Navegue à análise > aos usuários no orderto verificam a regra do mapeamento autenticação de usuário/tipo do autenticação/IP/acesso associada com o fluxo de tráfego. 

Verifique a Conectividade entre FMC e agente de usuário (a autenticação passiva)

O centro de gerenciamento de FirePOWER (FMC) usa a porta TCP 3306, a fim receber dados de registro da atividade do usuário do agente de usuário.

A fim verificar o estado do serviço FMC, use este comando no FMC.

admin@firepower:~$ netstat -tan | grep 3306

Execute a captura de pacote de informação no FMC a fim verificar a Conectividade com o agente de usuário. 

admin@firepower:~$ sudo tcpdump -i eth0 -n port 3306

Navegue à análise > aos usuários > à atividade do usuário a fim verificar se o FMC está recebendo detalhes do login de usuário do agente de usuário. 

Verifique a Conectividade entre FMC e diretório ativo

FMC usa a porta TCP 389 a fim recuperar a base de dados de usuário do diretório ativo.

Execute a captura de pacote de informação no FMC para verificar a Conectividade com o diretório ativo. 

admin@firepower:~$ sudo tcpdump -i eth0 -n port 389

Assegure-se de que as credenciais do usuário usadas na configuração do reino FMC tenham o privilégio suficiente buscar a base de dados de usuário do AD. 

Verifique a configuração do reino FMC, e assegure-se de que os usuários/grupos estejam transferidos e intervalo de sessão do usuário esteja configurada corretamente.

Navegue ao centro > às tarefas da mensagem e assegure-se de que os usuários/grupos da tarefa transferência terminem com sucesso, segundo as indicações desta imagem.

Verifique a Conectividade entre o sensor de FirePOWER e o sistema final (a autenticação ativa)

Para a autenticação ativa, assegure-se de que o certificado e a porta estejam configurados corretamente na política da identidade FMC. À revelia, o sensor de FirePOWER escuta na porta TCP 885 a autenticação ativa.

Verifique a configuração das normas & a distribuição de política

Assegure-se de que os campos do reino, do tipo do autenticação, do agente de usuário e de ação estejam configurados corretamente na política da identidade. 

Assegure-se de que a política da identidade esteja associada corretamente com a política do controle de acesso. 

Navegue ao centro > às tarefas da mensagem e assegure-se de que a distribuição de política termine com sucesso. 

Analise os logs de eventos 

A conexão e os eventos da atividade do usuário podem ser usados para diagnosticar se o login de usuário é bem sucedido ou não. Estes eventos

pode igualmente verificar que que regra do controle de acesso está obtendo aplicou-se no fluxo.

Navegue à análise > ao usuário para verificar os logs de eventos do usuário.

Navegue à análise > aos eventos de conexão para verificar os eventos de conexão. 

Informações Relacionadas

• Suporte Técnico e Documentação - Cisco Systems