Configurar a integração Duo com AD e ISE para RAVPN 2FA

1. Autenticação primária iniciada no Cisco ISE.
2. O Cisco ASA envia a solicitação de autenticação ao Proxy de Autenticação Duo.
3. A autenticação primária usa o Ative Diretory ou o RADIUS.
4. Conexão de Proxy de Autenticação Duo estabelecida para Segurança Duo sobre a porta TCP 443.
5. Autenticação secundária por meio do serviço Duo Security.
6. O proxy de autenticação Duo recebe resposta de autenticação.
7. Acesso concedido ao Cisco ISE.

---

Contas do usuário:

• Administrador do Ative Diretory: Isso é usado como a conta de diretório para permitir que o Proxy de Autenticação Duo se vincule ao servidor do Ative Diretory para autenticação primária.
• Usuário de teste do Ative Diretory.
• Usuário de teste Duo para 2FA secundário.

---

Configurações do Active Directory

O Windows Server é pré-configurado com os serviços de domínio do Ative Diretory.

---

Note: Se o RADIUS Duo Auth Proxy Manager for executado na mesma máquina host do Ative Diretory, as funções NPS (Servidor de Diretivas de Rede) deverão ser desinstaladas/excluídas. Se ambos os serviços RADIUS forem executados, eles poderão entrar em conflito e afetar o desempenho. 

---

Para obter a configuração do AD para autenticação e identidade de usuário em usuários de VPN de acesso remoto, alguns valores são necessários. Todos esses detalhes devem ser criados ou coletados no Microsoft Server para que a configuração possa ser concluída no servidor proxy ASA e Duo Auth.

---

Os principais valores são:

• Nome de domínio: Este é o nome de domínio do servidor. Neste guia de configuração, agaricam.cisco é o nome de domínio.

• Endereço IP/FQDN (Fully Qualified Domain Name, Nome de domínio totalmente qualificado): o endereço IP ou FQDN usado para acessar o servidor da Microsoft. Se um FQDN for usado, um servidor DNS deverá ser configurado no ASA e no proxy Duo Auth para resolver o FQDN. Neste guia de configuração, esse valor é agaricus.cisco, que é resolvido como 10.28.17.107.

• Porta do servidor: A porta usada pelo serviço LDAP. Por padrão, LDAP e STARTTLS usam a porta TCP 389 para LDAP, e LDAP sobre SSL (LDAPS) usa a porta TCP 636.

• CA raiz: Se LDAPS ou STARTTLS for usado, a CA raiz usada para assinar o certificado SSL usado por LDAPS será necessária.

• Nome de usuário e senha do diretório: Esta é a conta usada pelo servidor proxy Duo Auth para vincular-se ao servidor LDAP e autenticar e procurar usuários e grupos.

• Nome distinto (DN) de base e de grupo: O DN de base é o ponto de partida para o proxy Duo Auth e alerta o Ative Diretory para começar a procurar e autenticar usuários.

---

Neste guia de configuração, o domínio raiz agaricam.cisco é usado como DN base e DN de grupo é Duo-USERS.

---

1. Para adicionar um novo usuário do Duo no Windows Server, navegue até o ícone do Windows na parte inferior esquerda e clique no botão Ferramentas Administrativas do Windows:

---

---

2. Na janela Ferramentas Administrativas do Windows, navegue até Usuários e Computadores do Ative Diretory. 

---

3. No painel Usuários e Computadores do Ative Diretory, expanda a opção de domínio e navegue até a pasta Usuários.

---

4. Neste exemplo de configuração, Duo-USERS é usado como o grupo-alvo para autenticação secundária.

---

---

5. Clique com o botão direito do mouse na pasta Usuários e selecione Novo > Usuário:

---

---

6. Na janela Novo Objeto-Usuário, especifique os atributos de identidade do novo usuário e clique em Próximo:

---

---

7. Confirme a senha e clique em Avançar, em seguida, em Concluir quando as informações do usuário forem verificadas.

---

---

8. Atribua o novo usuário a um grupo específico, clique com o botão direito do mouse e selecione Adicionar a um grupo:

---

---

9. No painel Selecionar grupos, digite o nome do grupo desejado e clique em Verificar nomes. Em seguida, selecione o nome que corresponde aos seus critérios e clique em Ok.

---

---

10. Este é o usuário usado neste documento como exemplo.

---

Configurações Duo

1. Faça login no portal Duo Admin.

---

---

2.No painel do lado esquerdo, navegue até Users, clique em Add User e digite o nome do usuário que corresponde ao nome de usuário do Ative Domain e clique em Add User.

---

---

3. No painel do novo usuário, preencha todas as informações necessárias.

---

---

4. Em dispositivos do usuário, especifique o método de autenticação secundário.

---

Note: Neste documento, é usado o método de envio por push para dispositivos móveis do Duo, de modo que um dispositivo telefônico deve ser adicionado.

---

5. Clique em Adicionar Telefone.

---

---

6. Digite o número de telefone do usuário e clique em Add Phone.

---

---

7. No painel Admin do Duo à esquerda, navegue até Usuários e clique no novo usuário.

---

---

---

 8. Navegue até a seção Telefones e clique em Ativate Duo Mobile.

---

---

9. Clique em Gerar Código de Ativação Móvel Duo.

---

---

10. Selecione Email para receber as instruções por e-mail, digite seu endereço de e-mail e clique em Enviar Instruções por e-mail.

---

---

11. Você receberá um e-mail com as instruções.

---

---

12. Abra o Duo Mobile App a partir do seu dispositivo móvel e clique em Adicionar, em seguida, selecione Usar QR Code e digitalize o código a partir do e-mail.

---

13. O novo usuário é adicionado ao seu aplicativo móvel Duo.

---

Configuração do proxy de autenticação Duo

1. Baixe e instale o Duo Auth Proxy Manager da autenticação do Cisco Duo.

---

Note: Neste documento, o Duo Auth Proxy Manager é instalado no mesmo Windows Server que hospeda os serviços do Ative Diretory. 

---

2. No Painel de administração do Duo, navegue até Aplicativos e clique em Proteger um aplicativo.

---

---

3. Na barra de pesquisa, procure por Cisco ISE Radius.

---

---

4. Copie a chave de Integração, a chave Secreta e o Nome de Host da API. Essas informações são necessárias para a configuração do Proxy de autenticação Duo.

---

---

5. Execute o aplicativo Duo Authentication Proxy Manager e conclua a configuração do cliente do Ative Diretory e do ISE Radius Server e clique em Validate.

---

Observação: se a validação não for bem-sucedida, consulte a guia debug para obter detalhes e corrija de acordo.

---

---

Configurações do Cisco ISE

1. Faça login no portal do administrador do ISE.

---

2. Expanda a guia Cisco ISE e navegue até Administração, clique em Recursos de rede e clique em Servidores RADIUS externos.

---

---

3. Na guia External Radius Servers, clique em Add.

---

---

4. Preencha a lacuna com a configuração RADIUS usada no Duo Authentication Proxy Manager e clique em Submit.

---

---

5. Navegue até a guia RADIUS Server Sequences e clique em Add.

---

---

6. Especifique o nome da sequência e atribua o novo servidor Externo RADIUS, clique em Enviar.

---

---

7. Navegue do menu Painel para Política e clique em Conjuntos de Políticas.

---

---

8. Atribua a Sequência RADIUS à política default.

---

Note: A sequência dupla para todas as conexões é aplicada com a política padrão sendo usada; a atribuição de política pode variar.

---

---

Configuração do Cisco ASA RADIUS/ISE

1. Para configurar o ISE RADIUS Server em grupos de servidores AAA, navegue para Configuration, clique em Device Management, expanda a seção Users/AAA e selecione AAA Server Groups.

---

---

2. No painel AAA Server Groups, clique em Add.

---

---

3. Selecione o nome do grupo de servidores e especifique RADIUS como o protocolo a ser usado e clique em OK.

---

---

5. Selecione o novo grupo de servidores e clique em Adicionar no painel Servidores no Grupo Selecionado:

---

---

6. Na janela Edit AAA Server, selecione o Interface Name, especifique o IP Address do ISE Server e digite a chave secreta RADIUS, e clique em OK.

---

Note: Todas as informações devem corresponder às especificadas no Gerenciador de proxy de autenticação Duo.

---

---

Configuração de CLI

aaa-server ISE protocol radius
 dynamic-authorization
aaa-server ISE (outside) host 10.28.17.101
 key *****

---

Configuração da VPN de acesso remoto do Cisco ASA

ip local pool agarciam-pool 192.168.17.1-192.168.17.100 mask 255.255.255.0

group-policy DUO internal
group-policy DUO attributes
 banner value This connection is for DUO authorized users only!
 vpn-tunnel-protocol ikev2 ssl-client 
 split-tunnel-policy tunnelspecified
 split-tunnel-network-list value split-agarciam
 address-pools value agarciam-pool

tunnel-group ISE-users type remote-access
tunnel-group ISE-users general-attributes
 address-pool agarciam-pool
 authentication-server-group ISE
 default-group-policy DUO
tunnel-group ISE-users webvpn-attributes
 group-alias ISE enable
 dns-group DNS-CISCO

---

Teste

1. Abra o aplicativo Cisco Secure Client/AnyConnect em seu PC. Especifique o nome de host do VPN ASA Headend e faça login com o usuário criado para a autenticação Duo secundária e clique em OK.

---

---

2. Você recebe uma notificação por push Duo no dispositivo móvel Duo do usuário especificado.

---

3. Abra a notificação do aplicativo móvel Duo e clique em Aprovar.

---

---

4. Aceite o banner e a conexão será estabelecida.

---

---

---

Troubleshooting

Esta seção fornece informações que podem ser usadas para o troubleshooting da sua configuração. O Duo Authentication Proxy é fornecido com uma ferramenta de depuração que exibe os motivos de erros e falhas.

---

Depurações em funcionamento

---

Note: As próximas informações são armazenadas em C:\Program Files\Duo Security Authentication Proxy\log\connectivity_tool.log.

---

---

Problemas comuns

1. Problemas de Conectividade, IP Incorreto, FQDN/Nome de Host Não Resolvido na Configuração do Ative Diretory

---

2. Senha Incorreta para Usuário Administrador no Ative Diretory

---

Debugs:

---

3. Domínio Base Incorreto

---

Debugs:

---

4. Valor de iKey RADIUS incorreto

---

Debugs:

---

5. Verificar se o Servidor ISE Envia Pacotes de Solicitação de Acesso

---

6. Use o utilitário NTRadPing para verificar se o proxy de autenticação Duo está funcionando

Para confirmar se o servidor Proxy de autenticação Duo funciona, o Duo fornece a ferramenta NTRadPing para simular pacotes de solicitação de acesso e respostas com o Duo.

     6.1 Instale o NTRadPing em um PC diferente e gere tráfego.

---

Note: Neste exemplo, a máquina 10.28.17.3 do Windows é usada.

---

     6.2 Configure com os atributos usados na configuração do ISE Radius.

---

     6.3 Configure o Duo Authentication Proxy Manager como o próximo exemplo:

---

     6.4. Navegue até a ferramenta NTRadPing e clique em Send. Você recebe uma notificação por push Duo no dispositivo móvel atribuído.