为RAVPN 2FA配置与AD和ISE的双核集成

1. 主身份验证启动到Cisco ISE。
2. Cisco ASA向双身份验证代理发送身份验证请求。
3. 主身份验证使用Active Directory或RADIUS。
4. Duo Authentication Proxy connection established to Duo Security over TCP端口443。
5. 通过Duo Security的服务进行辅助身份验证。
6. Duo身份验证代理收到身份验证响应。
7. 已授予思科ISE访问权限。

---

用户帐户：

• Active Directory管理员：此帐户用作目录帐户，以允许Duo Auth代理绑定到Active Directory服务器以进行主身份验证。
• Active Directory测试用户
• Duo测试用户是否使用辅助2FA。

---

Active Directory配置

Windows Server已预配置了Active Directory域服务。

---

注意：如果RADIUS Duo Auth代理管理器在同一Active Directory主机上运行，则必须卸载/删除网络策略服务器(NPS)角色。如果两个RADIUS服务都运行，它们可能会冲突并影响性能。 

---

要在远程访问VPN用户上实现身份验证和用户身份的AD配置，需要几个值。必须在Microsoft服务器上创建或收集所有这些详细信息，才能在ASA和双核身份验证代理服务器上完成配置。

---

主要值包括：

• 域名：这是服务器的域名。在本配置指南中，agarciam.cisco是域名。

• 服务器IP/完全限定域名(FQDN)地址：用于访问Microsoft服务器的IP地址或FQDN。如果使用FQDN，则必须在ASA和Duo Auth代理中配置DNS服务器以解析FQDN。在本配置指南中，此值为agarciam.cisco，解析为10.28.17.107。

• 服务器端口:LDAP服务使用的端口。默认情况下，LDAP和STARTTLS使用TCP端口389进行LDAP，LDAP over SSL(LDAPS)使用TCP端口636。

• 根 CA:如果使用LDAPS或STARTTLS，则需要用于签署LDAPS所用SSL证书的根CA。

• 目录用户名和密码:这是Duo Auth代理服务器用于绑定到LDAP服务器并对用户和组进行身份验证和搜索的帐户。

• 基本和组可分辨名称(DN):基础DN是Duo Auth代理的出发点，并提醒Active Directory开始搜索和验证用户。

---

在本配置指南中，根域agarciam.cisco用作基础DN，组DN为Duo-USERS。

---

1.要在Windows Server上添加新的Duo用户，请导航到左下角的Windows图标，然后单击Windows管理工具:

---

---

2.在“Windows管理工具”窗口中，导航到Active Directory用户和计算机。 

---

3.在Active Directory用户和计算机面板上，展开域选项并导航到Users文件夹。

---

4.在此配置示例中，Duo-USERS用作辅助身份验证的目标组。

---

---

5.右键单击Users文件夹，然后选择New > User:

---

---

6.在“新建对象 — 用户”窗口中，指定新用户的身份属性，然后单击下一步:

---

---

7.确认密码，并在验证用户信息后单击下一步，然后单击完成。

---

---

8.将新用户分配给特定组，右键单击并选择“添加到组”:

---

---

9.在“选择组”面板上，键入所需组的名称，然后单击检查名称。然后，选择符合条件的名称，然后单击Ok。

---

---

10.这是本文档中用作示例的用户。

---

Duo配置

1.登录您的Duo管理员门户。

---

---

2.在左侧面板上，导航到Users，单击Add User，然后键入与Active Domain用户名匹配的用户的名称，然后单击Add User。

---

---

3.在新用户面板上，填写所有必要信息。

---

---

4.在“用户设备”下，指定辅助身份验证方法。

---

注意：在本文档中，使用Duo推送移动设备方法，因此必须添加电话设备。

---

5.单击Add Phone。

---

---

6.键入用户电话号码，然后单击Add Phone。

---

---

7.在Duo Admin左面板上，导航到Users，然后单击新用户。

---

---

---

 8.导航到电话部分，然后单击激活双移动。

---

---

9.单击生成Duo Mobile激活码。

---

---

10.选择Email以通过电子邮件接收说明，键入您的电子邮件地址，然后单击Send Instructions by email。

---

---

11.您会收到一封包含说明的电子邮件。

---

---

12.从您的移动设备打开Duo Mobile App，然后单击Add，然后选择Use QR Code并扫描电子邮件中的代码。

---

13.新用户将添加到您的Duo移动应用。

---

Duo Auth代理配置

1.从Cisco Duo Authentication下载并安装Duo Auth Proxy Manager。

---

注意：在本文档中，Duo Auth代理管理器安装在承载Active Directory服务的同一Windows服务器上。 

---

2.在Duo Admin Panel上，导航至Applications（应用），然后点击Protect an Application（保护应用）。

---

---

3.在搜索栏上，查找Cisco ISE Radius。

---

---

4.复制集成密钥、密钥和API主机名。您需要此信息进行Duo身份验证代理配置。

---

---

5.运行Duo Authentication Proxy Manager应用并完成Active Directory客户端和ISE Radius服务器的配置，然后点击Validate。

---

注意：如果验证不成功，请参阅调试选项卡了解详细信息并相应更正。

---

---

思科ISE配置

1.登录ISE管理员门户。

---

2.展开Cisco ISE选项卡并导航到Administration，然后点击Network Resources，然后点击External RADIUS Servers。

---

---

3.在External Radius Servers选项卡上，单击Add。

---

---

4.使用Duo Authentication Proxy Manager中使用的RADIUS配置填空并点击Submit。

---

---

5.导航到RADIUS Server Sequences选项卡，然后单击Add。

---

---

6.指定序列名称并分配新的RADIUS外部服务器，单击Submit。

---

---

7.从“控制面板”菜单导航至策略，然后单击策略集。

---

---

8.将RADIUS序列分配给默认策略。

---

注意：应用所有连接的双序列并使用默认策略；策略分配可能不同。

---

---

Cisco ASA RADIUS/ISE配置

1.要在AAA服务器组下配置ISE RADIUS服务器，请导航到Configuration，然后单击Device Management，展开Users/AAA部分，然后选择AAA Server Groups。

---

---

2.在AAA Server Groups面板上，单击Add。

---

---

3.选择服务器组的名称，并指定RADIUS作为要使用的协议，然后单击确定。

---

---

5.选择新的服务器组，然后单击“选定组”面板中Servers下的Add:

---

---

6.在“编辑AAA服务器”窗口上，选择Interface Name，指定ISE服务器的IP地址并键入RADIUS Secret Key，然后单击OK。

---

注意：所有信息必须与Duo Authentication Proxy Manager上指定的信息匹配。

---

---

CLI 配置

aaa-server ISE protocol radius
 dynamic-authorization
aaa-server ISE (outside) host 10.28.17.101
 key *****

---

Cisco ASA远程访问VPN配置

ip local pool agarciam-pool 192.168.17.1-192.168.17.100 mask 255.255.255.0

group-policy DUO internal
group-policy DUO attributes
 banner value This connection is for DUO authorized users only!
 vpn-tunnel-protocol ikev2 ssl-client 
 split-tunnel-policy tunnelspecified
 split-tunnel-network-list value split-agarciam
 address-pools value agarciam-pool

tunnel-group ISE-users type remote-access
tunnel-group ISE-users general-attributes
 address-pool agarciam-pool
 authentication-server-group ISE
 default-group-policy DUO
tunnel-group ISE-users webvpn-attributes
 group-alias ISE enable
 dns-group DNS-CISCO

---

测试

1.在PC上打开Cisco Secure Client/AnyConnect应用。指定VPN ASA头端的主机名，并使用为辅助Duo身份验证创建的用户登录，然后点击OK。

---

---

2.您在指定的用户Duo Mobile设备上收到Duo推送通知。

---

3.打开Duo Mobile App通知，然后单击Approve。

---

---

4.接受标语并且已建立连接。

---

---

---

故障排除

本部分提供的信息可用于对配置进行故障排除。Duo Authentication Proxy附带调试工具，用于显示错误和故障原因。

---

工作调试

---

注意：下一个信息存储在C:\Program Files\Duo Security Authentication Proxy\log\connectivity_tool.log中。

---

---

常见问题

1.连接问题、错误的IP、Active Directory配置上无法解析的FQDN/主机名

---

2. Active Directory上管理员用户的密码错误

---

调试:

---

3.错误的基域

---

调试:

---

4.错误的iKey RADIUS值

---

调试:

---

5.验证ISE服务器发送访问请求数据包

---

6.使用NTRadPing实用程序验证Duo身份验证代理是否正常工作

为确认Duo身份验证代理服务器正常工作，Duo提供NTRadPing工具来模拟Duo的接入请求数据包和响应。

     6.1在不同的PC上安装NTRadPing并生成流量。

---

注意：在本示例中，使用10.28.17.3 Windows计算机。

---

     6.2使用ISE Radius配置中使用的属性进行配置。

---

     6.3像下一个示例一样配置Duo Authentication Proxy Manager:

---

     6.4.导航到NTRadPing工具，然后单击Send。您会在分配的移动设备上收到Duo推送通知。