Configurar a autenticação externa do AsyncOS com ISE (RADIUS)

Introdução

Este documento descreve a configuração da Autenticação Externa RADIUS entre o Cisco Secure Email Gateway e o Cisco Identity Services Engine.

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento destes tópicos:

• Autenticação, Autorização e Auditoria (AAA)
• Atributo RADIUS CLASS. 
• Políticas de autorização e gerenciamento de identidades do Cisco ISE.
• Funções de usuário do Cisco Secure Email Gateway (ESA) e Secure Email and Web Manager (SMA)

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

• Cisco ISE 2.4
• Cisco Secure Email Gateway (ESA) 13.5.1, 13.7.0
• Cisco Secure Email and Web Manager (SMA) 13.6.2

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Produtos Relacionados

Versões fora das listadas na seção Components Used (Componentes usados) não foram testadas.

Informações de Apoio

Atributo de Classe RADIUS

O atributo Class é um valor arbitrário que o servidor RADIUS retorna na resposta Access-Accept e inclui em pacotes de relatório. Ele é configurado no Cisco ISE por grupo.

Quando um usuário corresponder a um grupo do ISE que tenha o Atributo 25 vinculado a ele, o ISE retornará o valor da Classe em Access-Accept. Em seguida, o Secure Email Gateway lê esse valor e aplica a função local definida em sua tabela de mapeamento.

Configurar

Diagrama de Rede

O Cisco Identity Services Engine aceita solicitações de autenticação do dispositivo e as compara com uma identidade de usuário e grupo.

Etapa 1. Criar um grupo de identidade para autenticação

Faça login no servidor ISE. Navegue até Administração > Gerenciamento de identidades > Grupos > Grupo de identidades do usuário e crie um grupo de identidades.

Note: A Cisco recomenda um grupo de identidade no ISE para cada função de dispositivo a ser atribuída.

Etapa 2. Criar Usuários Locais para Autenticação

Crie novos usuários ou atribua usuários existentes ao grupo de identidade criado na Etapa 1. Navegue até Administração > Gerenciamento de Identidades > Identidades e crie ou atribua usuários ao grupo.

 

Etapa 3. Criar perfis de autorização

A autenticação RADIUS pode ser bem-sucedida sem um perfil de autorização; no entanto, nenhuma função é atribuída. Para atribuir funções, navegue até Política > Elementos de política > Resultados > Autorização > Perfis de autorização.

Note: Crie um perfil de autorização por função a ser atribuída.

Note: Certifique-se de usar o atributo de classe radius 25 e forneça um nome. Esse nome deve corresponder à configuração no AsyncOS (ESA/SMA). Na Figura 3, Administradores é o nome do atributo CLASS.

Etapa 4. Criar uma Política de Autorização

Essa etapa permite que o ISE identifique tentativas de login e as mapeie para o perfil de autorização correto. Em uma correspondência bem-sucedida, o ISE retorna Access-Accept junto com o valor de Class definido no perfil.

Navegue para Política > Conjuntos de políticas e selecione Adicionar (+ símbolo).

Atribua um nome e selecione o símbolo de maispara adicionar as condições necessárias. Este ambiente de laboratório usa uma condição de Endereço IP-NAS Radius. Salve a nova política.

Para corresponder corretamente as solicitações de autorização, adicione as condições. Selecione o símbolo > e adicione condições. Este ambiente de laboratório usa InternalUser-IdentityGroup e corresponde a cada perfil de autorização.

Etapa 5. Ativar a autenticação externa no dispositivo

Faça login no equipamento. Navegue até System Administration > Users > External Authentication e selecione Enable External Authentication.

Insira estes valores:

• Nome de host do servidor RADIUS
• Porta
• Shared secret
• Valor de tempo limite (em segundos)
• Protocolo de autenticação

Selecione Mapear usuários autenticados externamente para várias funções locais (recomendado).

Observação: o valor da classe RADIUS deve corresponder ao valor definido na Etapa 3 (inserido na tarefa comum do ASA VPN), incluindo maiúsculas e minúsculas.

Envie e confirme as alterações.

Verificar

Use esta seção para confirmar se sua configuração funciona corretamente.

1. Faça login no equipamento com um usuário autenticado externamente.
2. Confirme se o acesso foi concedido.
3. Confirme se a função atribuída corresponde à função esperada do valor de Classe retornado.
4. No ISE, confirme se a regra de autorização esperada foi atingida e se o valor de classe correto foi retornado (Operations > RADIUS > Live Logs).

Troubleshooting

Esta seção fornece as informações que você pode usar para solucionar problemas da sua configuração.

Sintoma: O login falha no equipamento com a mensagem "Nome de usuário ou senha inválidos".

Causa provável: Incompatibilidade na política de autorização, no valor de Classe retornado ou no protocolo de autenticação.

Resolução:

1. Nas configurações de Autenticação externa do equipamento, selecione temporariamente Mapear todos os usuários autenticados externamente para a função de Administrador.(Imagem 11)
2. Submeta e confirme as alterações e tente um novo login.
3. Se o login agora for bem-sucedido, o problema está no mapeamento de funções. Verifique novamente o Perfil de autorização do ISE (Classe / Atributo 25) e a configuração da Política de autorização.
4. ReviewOperations > RADIUS > Live Logons no ISE para confirmar qual perfil de autorização foi correspondido e qual valor de Classe foi retornado.

Informações Relacionadas

• Guia do usuário do ISE 2.4
• Guia do usuário do AsyncOS

Histórico de revisões

Revisão	Data de publicação	Comentários
2.0	21-Jul-2026	Tradução Automática Atualizada, SEO, Texto Alt, Requisitos de Estilo e Formatação.
1.0	26-May-2021	Versão inicial