Integração de senha de convidado do ISE com gateway SMS com base no Postfix e no exemplo de configuração de canal

Introdução

Este documento descreve como integrar soluções de código aberto (Postfix, Maildrop, Kannel) com o Cisco Identity Services Engine (ISE) para entregar uma mensagem de Short Message Service (SMS) para usuários com contas de convidado.

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento destes tópicos:

• Cisco ISE e acesso para convidados
• Linux e script de shell

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

• Cisco ISE versão 1.2 ou posterior
• Postfix Versão 2.10
• Maildrop Versão 2.6.0
• Kannel Versão 1.5.0

Observação: Informamos que Postfix, Maildrop e Kannel são soluções de código aberto, e a Cisco não suporta esses produtos. Este exemplo de configuração simplesmente apresenta como o ISE pode ser integrado a outros produtos para oferecer uma solução completa.

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a sua rede estiver ativa, certifique-se de que entende o impacto potencial de qualquer comando.

Informações de Apoio

O ISE permite que você crie contas de convidado para acesso temporário à rede, normalmente para convidados, visitantes, contratados, consultores e clientes. Essas contas são criadas por usuários patrocinadores por meio do Portal Patrocinador. Quando você cria a conta, é possível enviar uma senha de acesso gerada dinamicamente com um SMS diretamente para o telefone celular do usuário convidado.

O Cisco ISE pode enviar essas credenciais por e-mail com o protocolo SMTP para o gateway Mail2SMS. Este gateway é responsável pela entrega de SMS.

Configurar

Benefícios do Gateway SMS

Há várias soluções de gateway Mail2SMS no mercado. Eles geralmente podem receber dados com o uso de diferentes protocolos, como SMTP, Short Message Peer-to-Peer (SMPP), FTP, HTTP (Simple Object Access Protocol (SOAP), serviços Web) e enviar uma mensagem SMS para o telefone celular específico.

Talvez seja melhor criar seu próprio gateway de SMS. Ele permite:

• Maior flexibilidade
• A capacidade de criar regras compostas sobre roteamento (baseado em tempo, em políticas e em conteúdo)
• Integração com bancos de dados locais (por exemplo, políticas de roteamento diferentes para grupos diferentes do Ative Diretory)
• Custos operacionais potencialmente mais baixos (sem necessidade de pagar por um serviço externo)
• A possibilidade de usar essa solução também para alertas de integridade gerados pelo ISE e enviados como emails

Pode valer a pena ter uma implantação mista - um gateway de SMS pessoal que também esteja integrado a um serviço externo.

Diagrama de rede e fluxo de tráfego

Aqui está o fluxo:

1. O usuário patrocinador cria uma conta de convidado com uma notificação por SMS e fornece o número do telefone celular para o usuário. O ISE envia um e-mail para o servidor SMTP configurado. O endereço origem (De) pertence a um usuário patrocinador específico, enquanto o endereço destino (Para) é configurado globalmente no ISE (neste exemplo, sms@test-cisco.com). Todos os detalhes sobre o usuário recém-criado, como nome de usuário e senha, estão dentro do corpo desse e-mail.
   
   
2. O e-mail chega no servidor Postfix, que está configurado com maildrop como um agente de entrega local. Logo antes da entrega para o diretório maildir do usuário do SMS, maildrop procura mailfilter no diretório home do usuário. O script mailfilter analisa o e-mail e, se todos os dados necessários forem encontrados, ele usa wget para enviar a solicitação HTTP GET para o smsbox do Kannel. Essas solicitações HTTP GET contêm a mensagem de texto juntamente com o nome de usuário e a senha, e o número de telefone celular do usuário. O smsbox do canal é o front end do canal usado para aceitar todas as solicitações dos usuários para enviar SMS (para passá-lo ao bearerbox do canal).
   
   
3. O smsbox de Canal envia essa solicitação ao bearerbox de Canal, que tem a responsabilidade de enviar o SMS.
   
   
4. Pode haver várias regras e SMSCs (Short Message Service Centers) configurados no bearerbox. Este exemplo usa um servidor SMPP externo. A configuração de um telefone celular conectado localmente é fácil e será apresentada posteriormente.

Cada módulo desta solução (Postfix, Kannel smsbox e Kannel bearerbox) pode ser instalado em um servidor separado. Para simplificar, neste exemplo, ele é configurado no mesmo servidor.

Configurações

ISE

Conclua estas etapas para configurar o ISE.

1. Configure o usuário do portal do patrocinador. Neste exemplo, a configuração padrão do ISE é usada e o usuário é colocado no grupo SponsorAllAccount:
   
   

   

   
   
   O e-mail do usuário patrocinador pode ser configurado posteriormente no Portal Patrocinador.
   
   
2. Para poder enviar notificações por SMS, edite os privilégios padrão do grupo SponsorAllAccount:
   
   

   

   
   
   Por padrão, o privilégio Enviar SMS está desabilitado.
   
   
3. Configure o servidor SMTP e verifique se as configurações DNS estão corretas.
   
   

   

   
   
   Todos os e-mails de notificação são enviados ao host smtp.test-cisco.com. O ISE não tenta verificar os registros MX DNS para domínios configurados (esse servidor SMTP é tratado como uma retransmissão).
   
   
4. Personalize o email enviado como notificação por SMS.
   
   

   

   
   
   
5. Defina o endereço de e-mail de destino, que é a única configuração que não é deixada como padrão. Todas as notificações são enviadas por meio de um servidor SMTP configurado anteriormente com o campo To definido como sms@test-cisco.com.
   
   

   Observação: é possível configurar o ISE para enviar notificações de alerta por e-mail. Isto também pode ser integrado com a solução proposta, a fim de enviar os alertas como SMS para telefones celulares. A Cisco recomenda que você use uma conta separada no servidor Postfix para isso (por exemplo, alert@test-cisco.com).

   
   
   

   

Sufixo

O Postfix é um servidor SMTP que recebe e-mails do ISE. A configuração padrão é usada, exceto por algumas pequenas alterações. Conclua estas etapas para configurá-lo.

1. Configure o Postfix para ser o destino local do domínio test-cisco.com. Também é importante configurar um agente de entrega local: maildrop. Aqui estão as alterações necessárias no main.cf:
   
   

   myhostname = smtp.test-cisco.com
   mydomain = test-cisco.com
   mydestination = $myhostname, $mydomain, localhost
   local_transport = maildrop

   
   
   
2. A próxima etapa é ativar o maildrop no master.cf. Altere a linha correta no master.cf:
   
   

   maildrop  unix  -       n       n       -       -       pipe
     flags=DRhu user=vmail argv=/usr/bin/maildrop -d ${user}

   
   
   Como é uma implantação simples sem domínios virtuais, o parâmetro {user} é usado em vez do parâmetro {recipient} padrão.
   
   
3. Configure o SMS da conta local que é usado para receber os e-mails:
   
   

   neptun ~ # useradd sms
   neptun ~ # passwd sms
   New password: 
   BAD PASSWORD: it is too simplistic/systematic
   Retype new password: 
   passwd: password updated successfully
   neptun ~ # chown -R sms:sms /home/sms/

   
   
   

   Neste momento, todos os e-mails devem ser entregues corretamente ao usuário do SMS. A estrutura maildir é criada automaticamente quando recebe o e-mail pela primeira vez.

Maildrop com Mailfilter

Logo antes da entrega, maildrop procura .mailfilter no diretório home do usuário. Se esse arquivo for encontrado, o script será executado. Os privilégios do arquivo devem ser limitados apenas ao usuário:

neptun sms # touch /home/sms/.mailfilter
neptun sms # chmod go-rwx /home/sms/.mailfilter

Aqui está o conteúdo do arquivo:

# Mailfilter script for parsing ISE SMS messages
# Author: Michal Garcarz at cisco.com
# Date: 1 Dec 2013

#DEFAULT="$HOME/.maildir/"
DATE=`date`
SHELL="/bin/bash"

# Our log file
logfile "/home/sms/maildrop.log"

# Our verbosity in the log file
VERBOSE="5"

log "-------------SMS MAILFILTER LOG-----------"
log "Email received at: $DATE"

if (/^Subject:.*Guest.*Text.*Notification.*/)
{
        log "Email processed by script sending SMS via Kannel"

        USERNAME=""
        PASSWORD=""
        TO=""
        if (/^text:Username:(.*)/:b)
        {
            log "Username exists $MATCH1"
            USERNAME=$MATCH1
        }
        if (/^text:Password:(.*)/:b)
        {
            log "Password exists $MATCH1"
            PASSWORD=$MATCH1
        }
        if (/^to:(.*)/:b)
        {
            log "Mobile phone exists $MATCH1"
            TO=$MATCH1
        }

        if ($USERNAME ne "" && $PASSWORD ne "" && $TO ne "")
        {
            log "Sending via HTTP to kannel username=$USERNAME password=$PASSWORD to=$TO"    
            DATA="ISE Guest portal Username: $USERNAME Password: $PASSWORD"
                    
            #also curl can be used instead of wget
            xfilter "wget -O/dev/null \"http://192.168.112.100:13013/cgi-bin/sendsms?username=
            tester&password=foobar&to=$TO&text=$DATA\" >> /tmp/maildrop-kannel.log 2>> 
            /tmp/maildrop-kannel.log"
        }

        #deliver to maildir (not used since xfilter returns !=0)
        to $DEFAULT/
}

O script:

• Verifica se o assunto é igual ao configurado no ISE
  
  
• Lê o nome de usuário e a senha nos campos para o corpo do e-mail (o modelo padrão do ISE é usado)
  
  
• Chama um programa externo se todos os campos existirem: wget para enviar o HTTP GET para o smsbox do canal com todos os parâmetros. Observe que credenciais específicas são usadas no URL (username=tester&password=foobar). Estas são as credenciais do usuário configurado no Canal com os privilégios para enviar SMS.

Há dois arquivos de log aqui:

• /home/sms/maildrop.log - logs da execução do script
• /tmp/maildrop-kannel.log - logs da execução do wget

Kannel

O smsbox e o bearerbox podem ser configurados a partir de um único arquivo. Essa configuração usa o servidor SMPP externo para entrega. É fácil encontrar vários serviços na Web se você procurar a frase smpp sms service provider. A configuração é simples, pois não há necessidade de receber e rotear mensagens SMS. Esta solução é somente para envio e usa um provedor SMPP.

Aqui está um trecho do /etc/kannel/kannel.conf:

#bearerbox   
group = core
admin-port = 13000
admin-password = bar
smsbox-port = 13001
log-level = 0
log-file = "/var/log/kannel/kannel.log"
access-log = "/var/log/kannel/access.log"

# SMSC SMPP
group = smsc
smsc = smpp
host = ****.com
port = 1775
smsc-username = 4ljt7wi3
smsc-password = ******
system-type = 
address-range =

# SMSBOX SETUP
group = smsbox
bearerbox-host = localhost
sendsms-port = 13013
sendsms-chars = "0123456789 +-"
global-sender = 12345
log-file = "/var/log/kannel/smsbox.log"
log-level = 0
access-log = "/var/log/kannel/access.log"
white-list =
black-list =
reply-couldnotfetch = 
reply-couldnotrepresent = 
reply-requestfailed =
reply-emptymessage = 

# SEND-SMS USERS, this credentials has been used in wget script
group = sendsms-user
username = tester
password = foobar
user-deny-ip = "*.*.*.*"
user-allow-ip = "192.168.*.*"

# SMS SERVICE Default
# there should be default always (this is for receiving SMS messages - not used)
group = sms-service
keyword = default
text = "No service specified"

É possível conectar um telefone celular via USB e configurar o GSM SMSC:

group = smsc
smsc = at                  #type = GSM
smsc-id = usb0-modem
my-number = 1234
modemtype = auto           #types: wavecom, siemens, siemens-tc35, falcom,
nokiaphone, ericsson
device = /dev/ttyUSB0      #phone device seen on server 

Na maioria dos telefones, também é necessário ativar a funcionalidade do modem; por exemplo, no Android versão 2.2 e posterior, ele é habilitado em Configurações/Tethering e Hotspot Portátil/Tethering USB.

Lembre-se de executar o bearerbox e o smsbox. Aqui está um exemplo:

neptun ~ # /etc/init.d/kannel-bearerbox start
 * Starting kannel bearerbox ...                                              [ ok ]
neptun ~ # /etc/init.d/kannel-smsbox start   
 * Starting kannel smsbox ...                                                 [ ok ]

neptun ~ # netstat -atcpn              
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address     Foreign Address    State    PID/Program name    
tcp        0      0 0.0.0.0:13013     0.0.0.0:*          LISTEN   24170/smsbox            
tcp        0      0 0.0.0.0:13000     0.0.0.0:*          LISTEN   24151/bearerbox     
tcp        0      0 0.0.0.0:13001     0.0.0.0:*          LISTEN   24151/bearerbox  

O Bearerbox deve ter pelo menos um SMSC configurado para ser iniciado.

Verificar

Use esta seção para confirmar se a sua configuração funciona corretamente.

ISE

A porta padrão para o Portal do patrocinador é usada (8443). O patrocinador faz login em https://ise.test-cisco.com:8443/sponsorportal/.

Certifique-se de que o patrocinador tenha um endereço de e-mail atribuído em Minhas configurações:

Crie a conta de convidado com uma notificação por SMS:

Você recebe a confirmação de que a conta de convidado foi criada com êxito:

O ISE deve enviar um e-mail para o servidor SMTP configurado.

Sufixo

O servidor SMTP recebe a mensagem e usa maildrop para entregá-la à conta local (sms@test-cisco.com). Aqui está um trecho do comando /var/log/messages:

Nov 30 22:39:47 neptun postfix/smtpd[18460]: connect from unknown[192.168.112.1]
Nov 30 22:39:47 neptun postfix/smtpd[18460]: 2B36030B32: client=unknown
[192.168.112.1]
Nov 30 22:39:47 neptun postfix/cleanup[18463]: 2B36030B32: message-id=
<563762958.941385847586377.JavaMail.root@ise2>
Nov 30 22:39:47 neptun postfix/qmgr[32658]: 2B36030B32: from=
     
     ,
size=689, nrcpt=1 (queue active)
Nov 30 22:39:47 neptun postfix/pipe[18464]: 2B36030B32: to=<sms@test-cisco.com>,
relay=maildrop, delay=0.18, delays=0.14/0/0/0.04, dsn=2.0.0, status=sent (delivered
via maildrop service)

Caixa Postal

Antes de enviar o e-mail para o SMS, o diretório maildir executa /home/sms/.mailfilter, que executa uma ação específica.

Aqui está um trecho do /home/sms/maildrop.log:

-------------SMS MAILFILTER LOG-----------
Email received at: Sat Nov 30 22:39:47 CET 2013
Email processed by script sending SMS via Kannel
Username exists  jsmith02
Password exists  t6ub79_6r
Mobile phone exists 4850xxxxxxx
Sending via HTTP to kannel username= jsmith02 password= t6ub79_6r to=4850xxxxxxx

Filtro de e- mail

O script mailfilter lê todos os dados e executa xfilter, que chama wget para passar todos os parâmetros para Kannel.

Aqui está um trecho do /tmp/maildrop-kannel.log:

--2013-11-30 22:39:47--  http://192.168.112.100:13013/cgi-bin/sendsms?username=
tester&password=foobar&to=4850xxxxxxx&text=ISE%20Guest%20portal%20Username:
%20%20jsmith02%20Password:%20%20t6ub79_6r
Connecting to 192.168.112.100:13013... connected.
HTTP request sent, awaiting response... 202 Accepted
Length: 24 [text/html]
Saving to: `/dev/null'

     0K                                                       100% 1.14M=0s

2013-11-30 22:39:47 (1.14 MB/s) - `/dev/null' saved [24/24]

A solicitação HTTP GET é aceita.

Kannel

O smsbox do Kannel relata que recebeu uma solicitação HTTP do wget e enviou essa solicitação ao bearerbox para entregar o SMS.

Aqui está um trecho do /var/log/kannel/smsbox.log:

2013-11-30 22:39:47 [18184] [5] INFO: smsbox: Got HTTP request </cgi-bin/sendsms>
from <192.168.112.100>
2013-11-30 22:39:47 [18184] [5] INFO: sendsms used by 
     
     
2013-11-30 22:39:47 [18184] [5] INFO: sendsms sender:<tester:12345>
(192.168.112.100) to:<4850xxxxxxx> msg:
     
     jsmith02 Password:  t6ub79_6r>
2013-11-30 22:39:47 [18184] [5] DEBUG: Stored UUID fd508632-9408-49e1-9eda-
3ce8d4b939d4
2013-11-30 22:39:47 [18184] [5] DEBUG: message length 57, sending 1 messages
2013-11-30 22:39:47 [18184] [5] DEBUG: Status: 202 Answer: <Sent.>
2013-11-30 22:39:47 [18184] [5] DEBUG: Delayed reply - wait for bearerbox
2013-11-30 22:39:47 [18184] [0] DEBUG: Got ACK (0) of fd508632-9408-49e1-9eda-
3ce8d4b939d4

O bearerbox do Kannel se conecta ao servidor SMPP remoto e envia a mensagem com êxito.

Aqui está um trecho do /var/log/kannel/kannel.log:

2013-11-30 22:39:47 [18165] [8] DEBUG: boxc_receiver: sms received
2013-11-30 22:39:47 [18165] [8] DEBUG: send_msg: sending msg to box: <127.0.0.1>
2013-11-30 22:39:47 [18165] [6] DEBUG: SMPP[SMPP:*****.com:1775/0:4ljt7wi3:]:
throughput (0.00,0.00)
2013-11-30 22:39:47 [18165] [6] DEBUG: SMPP[SMPP:*****.com:1775/0:4ljt7wi3:]:
Sending PDU:
2013-11-30 22:39:47 [18165] [6] DEBUG: SMPP PDU 0x2056bf0 dump:
2013-11-30 22:39:47 [18165] [6] DEBUG:   type_name: submit_sm
2013-11-30 22:39:47 [18165] [6] DEBUG:   command_id: 4 = 0x00000004
2013-11-30 22:39:47 [18165] [6] DEBUG:   command_status: 0 = 0x00000000
2013-11-30 22:39:47 [18165] [6] DEBUG:   sequence_number: 5 = 0x00000005
2013-11-30 22:39:47 [18165] [6] DEBUG:   service_type: NULL
2013-11-30 22:39:47 [18165] [6] DEBUG:   source_addr_ton: 2 = 0x00000002
2013-11-30 22:39:47 [18165] [6] DEBUG:   source_addr_npi: 1 = 0x00000001
2013-11-30 22:39:47 [18165] [6] DEBUG:   source_addr: "12345"
2013-11-30 22:39:47 [18165] [6] DEBUG:   dest_addr_ton: 2 = 0x00000002
2013-11-30 22:39:47 [18165] [6] DEBUG:   dest_addr_npi: 1 = 0x00000001
2013-11-30 22:39:47 [18165] [6] DEBUG:   destination_addr: "4850xxxxxxx"
2013-11-30 22:39:47 [18165] [6] DEBUG:   esm_class: 3 = 0x00000003
2013-11-30 22:39:47 [18165] [6] DEBUG:   protocol_id: 0 = 0x00000000
2013-11-30 22:39:47 [18165] [6] DEBUG:   priority_flag: 0 = 0x00000000
2013-11-30 22:39:47 [18165] [6] DEBUG:   schedule_delivery_time: NULL
2013-11-30 22:39:47 [18165] [6] DEBUG:   validity_period: NULL
2013-11-30 22:39:47 [18165] [6] DEBUG:   registered_delivery: 0 = 0x00000000
2013-11-30 22:39:47 [18165] [6] DEBUG:   replace_if_present_flag: 0 = 0x00000000
2013-11-30 22:39:47 [18165] [6] DEBUG:   data_coding: 0 = 0x00000000
2013-11-30 22:39:47 [18165] [6] DEBUG:   sm_default_msg_id: 0 = 0x00000000
2013-11-30 22:39:47 [18165] [6] DEBUG:   sm_length: 57 = 0x00000039
2013-11-30 22:39:47 [18165] [6] DEBUG:   short_message:
2013-11-30 22:39:47 [18165] [6] DEBUG:    Octet string at 0x205ec70:
2013-11-30 22:39:47 [18165] [6] DEBUG:      len:  57
2013-11-30 22:39:47 [18165] [6] DEBUG:      size: 58
2013-11-30 22:39:47 [18165] [6] DEBUG:      immutable: 0
2013-11-30 22:39:47 [18165] [6] DEBUG:      data&colon; 49 53 45 20 47 75 65 73
74 20 70 6f 72 74 61 6c   ISE Guest portal
2013-11-30 22:39:47 [18165] [6] DEBUG:      data&colon; 20 55 73 65 72 6e 61 6d
65 3a 20 20 6a 73 6d 69    Username:  jsmi
2013-11-30 22:39:47 [18165] [6] DEBUG:      data&colon; 74 68 30 32 20 50 61 73
73 77 6f 72 64 3a 20 20   th02 Password:  
2013-11-30 22:39:47 [18165] [6] DEBUG:      data&colon; 74 36 75 62 37 39 11 36
72                        t6ub79.6r
2013-11-30 22:39:47 [18165] [6] DEBUG:    Octet string dump ends.
2013-11-30 22:39:47 [18165] [6] DEBUG: SMPP PDU dump ends.
2013-11-30 22:39:47 [18165] [6] DEBUG: SMPP[SMPP:******.com:1775/0:4ljt7wi3:]:
throughput (1.00,0.00)
2013-11-30 22:39:47 [18165] [6] DEBUG: SMPP[SMPP:******.com:1775/0:4ljt7wi3:]:
throughput (1.00,0.00)
2013-11-30 22:39:47 [18165] [6] DEBUG: SMPP[SMPP:******.com:1775/0:4ljt7wi3:]:
Got PDU:
2013-11-30 22:39:47 [18165] [6] DEBUG: SMPP PDU 0x2056bf0 dump:
2013-11-30 22:39:47 [18165] [6] DEBUG:   type_name: submit_sm_resp
2013-11-30 22:39:47 [18165] [6] DEBUG:   command_id: 2147483652 = 0x80000004
2013-11-30 22:39:47 [18165] [6] DEBUG:   command_status: 0 = 0x00000000
2013-11-30 22:39:47 [18165] [6] DEBUG:   sequence_number: 5 = 0x00000005
2013-11-30 22:39:47 [18165] [6] DEBUG:   message_id: "4128473611307259"
2013-11-30 22:39:47 [18165] [6] DEBUG: SMPP PDU dump ends.
2013-11-30 22:39:47 [18165] [6] DEBUG: SMPP[SMPP:******.com:1775/0:4ljt7wi3:]:
throughput (1.00,0.00)

Observe que o endereço de origem está definido como 12345. Essa configuração não importa. O servidor SMPP externo regrava esse valor. É possível comprar serviços adicionais para ser apresentado de forma diferente.

Telefone do convidado

O usuário convidado recebe um SMS:

Troubleshooting

Esta seção disponibiliza informações para a solução de problemas de configuração.

ISE

Esse erro pode ocorrer quando você cria uma conta de convidado: não é possível enviar uma mensagem de texto para os seguintes usuários convidados: xxxx. Você deve adicionar seu endereço de e-mail à página de configurações. Se você receber essa mensagem de erro, verifique o endereço de e-mail do patrocinador.

Informações Relacionadas

• Cisco Identity Services Engine - Guia do usuário 1.2
• Documentação do canal 
• Documentação do Postfix 
• Suporte Técnico e Documentação - Cisco Systems