为FMC管理访问配置双因素身份验证

下载选项

PDF (1.3 MB)
在各种设备上使用 Adobe Reader 查看

已更新: 2026 年 6 月 2 日

文档 ID:214756

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。深入了解思科如何使用包容性语言。

关于此翻译

思科采用人工翻译与机器翻译相结合的方式将此文档翻译成不同语言，希望全球的用户都能通过各自的语言得到支持性的内容。请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 Cisco Systems, Inc. 对于翻译的准确性不承担任何责任，并建议您总是参考英文原始文档（已提供链接）。

简介

本文档介绍在Firepower管理中心上为管理访问配置外部双因素身份验证所需的步骤。

先决条件

要求

Cisco 建议您了解以下主题：

Firepower管理中心(FMC)对象配置
身份服务引擎(ISE)管理

使用的组件

运行版本6.3.0的思科Firepower管理中心(FMC)
运行版本2.6.0.156的思科身份服务引擎(ISE)
支持版本的Windows(Cisco Duo)，可连接到FMC、ISE和Internet以充当Duo身份验证代理服务器
访问FMC、ISE和Duo管理门户的Windows计算机
Duo Web帐户

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

背景信息

FMC管理员根据ISE服务器进行身份验证，Duo身份验证代理服务器将向管理员的移动设备发送推送通知形式的附加身份验证。

身份验证流程

Authentication Flow

身份验证流程说明

向Cisco FMC发起主要身份验证。
思科FMC向双身份验证代理发送身份验证请求。
主要身份验证必须使用Active Directory或RADIUS。
Duo Authentication Proxy connection established to Duo Security over TCP端口443。
通过Duo Security的服务进行辅助身份验证。
Duo身份验证代理收到身份验证响应。
思科FMC GUI访问权限已授予。

配置

要完成配置，请考虑以下部分：

FMC的配置步骤

步骤1.导航到系统>用户>外部身份验证。创建外部身份验证对象并将身份验证方法设置为RADIUS。确保在“默认用户角色”下选择管理员：

注意：10.106.44.177是Duo身份验证代理服务器的示例IP地址。

Create an External Authentication Object and Set the Authentication Method as RADIUS Select Administrator Under Default User Role

单击Save和Apply（忽略警告）：

Ignore Warning

步骤2.导航到System > Users > Users。创建用户，然后将Authentication Method检查为External:

Check Authentication Method as External

步骤3.下载并安装Duo Authentication Proxy Server。

登录到Windows计算机并安装Duo Authentication Proxy Server

Cisco建议使用至少具有1个CPU、200 MB磁盘空间和4 GB RAM的系统。

注意：此计算机必须能够访问FMC、RADIUS服务器（在本例中为ISE）和双核云（互联网）。

步骤4.配置authproxy.cfg文件。

在文本编辑器（如记事本++或写字板）中打开此文件。

注意：默认位置位于C:\Program Files(x86)\Duo Security Authentication Proxy\conf\authproxy.cfg。

编辑authproxy.cfg文件并添加以下配置：

[radius_client]
host=10.197.223.23                 Sample IP Address of the ISE server
secret=cisco                       Password configured on the ISE server in order to register the network device

FMC的IP地址必须与RADIUS密钥一起配置。

[radius_server_auto]
ikey=xxxxxxxxxxxxxxx
skey=xxxxxxxxxxxxxxxxxxxxxxxxxxx
api_host=api-xxxxxxxx.duosecurity.com
radius_ip_1=10.197.223.76           IP of FMC
radius_secret_1=cisco               Radius secret key used on the FMC
failmode=safe
client=radius_client
port=1812
api_timeout=

确保配置ikey、skey和api_host参数。要获取这些值，请登录您的双核帐户(Duo Admin Login)并导航至应用>保护应用程序。接下来，选择RADIUS身份验证应用：

Select RADIUS Authentication Application

集成密钥= ikey
secret key = skey
API主机名= api_host

步骤5.重新启动Duo安全身份验证代理服务。保存文件并重新启动Windows计算机上的Duo服务。

打开Windows服务控制台(services.msc)。在服务列表中找到Duo Security Authentication Proxy Service，然后单击Restart:

Locate Duo Security Authentication Proxy Server

ISE的配置步骤

步骤1.导航到Administration > Network Devices。单击Add配置网络设备：

注意：10.106.44.177是Duo身份验证代理服务器的示例IP地址。

Configure Network Device

按照*共享密钥中的authproxy.cfg所述配置共享密钥：

Configure the Shared Secret

步骤2.导航到Administration > Identities。单击Add以配置身份用户：

Configure the Identity User

Duo管理门户的配置步骤

步骤1.创建用户名并在设备上激活您的Duo Mobile。

在Duo Cloud管理网页上添加用户。导航到用户>添加用户:

Add the User on the Duo Cloud Administration Webpage

注意：确保最终用户安装了Duo应用。

步骤2.代码的自动生成。

添加用户的电话号码：

User has No Phones

Add Phone

选择Activate Duo Mobile:

选择Generate Duo Mobile Activation Code，如图所示：

Activate Duo Mobile

选择Send Instructions by SMS，如图所示：

Choose Send Instructions by SMS

单击SMS中的链接，Duo应用链接到“设备信息”部分中的用户帐户：

Duo App Linked to the User Account in the Device Info Section

验证

使用本部分可确定配置能否正常运行。

第1步：使用在ISE用户身份页面添加的用户凭证登录到FMC。您必须在终端收到双因素身份验证(2FA)的双人推送通知。确保您批准该计划，并且FMC将登录：

DUO Screenshot of Log in Request

第2步：在ISE服务器上，导航到操作>RADIUS >实时日志。在FMC上查找用于身份验证的用户名，并选择详细列下的详细身份验证报告。您必须验证身份验证是否成功：

Verify if Authentication Succeeded

故障排除

本节提供排除配置故障的其他信息。

检查Duo身份验证代理服务器上的调试。日志位于：
- C:\Program文件(x86)\Duo安全身份验证代理\log
  - 在文本编辑器（如Notepad++或WordPad）中打开文件authproxy.log。

当输入不正确的凭证且身份验证被ISE服务器拒绝时，记录片段。

2019-08-04T18:54:17+0530 [DuoForwardServer (UDP)] Sending request from 10.197.223.76 to radius_server_auto        10.197.223.76 is the IP of the FMC
2019-08-04T18:54:17+0530 [DuoForwardServer (UDP)] Received new request id 4 from ('10.197.223.76', 34524)
2019-08-04T18:54:17+0530 [DuoForwardServer (UDP)] (('10.197.223.76', 34524), 4): login attempt for username u'cpiplani'
2019-08-04T18:54:17+0530 [DuoForwardServer (UDP)] Sending request for user u'cpiplani' to ('10.197.223.23', 1812) with id 199
2019-08-04T18:54:17+0530 [RadiusClient (UDP)] Got response for id 199 from ('10.197.223.23', 1812); code 3         10.197.223.23 is the IP of the ISE Server.
2019-08-04T18:54:17+0530 [RadiusClient (UDP)] (('10.197.223.76', 34524), 4): Primary credentials rejected - No reply message in packet
2019-08-04T18:54:17+0530 [RadiusClient (UDP)] (('10.197.223.76', 34524), 4): Returning response code 3: AccessReject
2019-08-04T18:54:17+0530 [RadiusClient (UDP)] (('10.197.223.76', 34524), 4): Sending response

在ISE服务器上，导航到操作> RADIUS >实时日志以验证身份验证详细信息。

使用ISE和Duo成功进行身份验证的日志片段：

2019-08-04T18:56:16+0530 [DuoForwardServer (UDP)] Sending request from 10.197.223.76 to radius_server_auto
2019-08-04T18:56:16+0530 [DuoForwardServer (UDP)] Received new request id 5 from ('10.197.223.76', 34095)
2019-08-04T18:56:16+0530 [DuoForwardServer (UDP)] (('10.197.223.76', 34095), 5): login attempt for username u'cpiplani'
2019-08-04T18:56:16+0530 [DuoForwardServer (UDP)] Sending request for user u'cpiplani' to ('10.197.223.23', 1812) with id 137
2019-08-04T18:56:16+0530 [RadiusClient (UDP)] Got response for id 137 from ('10.197.223.23', 1812); code 2                         <<<< At this point we have got successful authentication from ISE Server.
2019-08-04T18:56:16+0530 [RadiusClient (UDP)] http POST to https://api-f754c261.duosecurity.com:443/rest/v1/preauth
2019-08-04T18:56:16+0530 [duoauthproxy.lib.http._DuoHTTPClientFactory#info] Starting factory <_DuoHTTPClientFactory: https://api-f754c261.duosecurity.com:443/rest/v1/preauth>
2019-08-04T18:56:17+0530 [HTTPPageGetter (TLSMemoryBIOProtocol),client] (('10.197.223.76', 34095), 5): Got preauth result for: u'auth'
2019-08-04T18:56:17+0530 [HTTPPageGetter (TLSMemoryBIOProtocol),client] Invalid ip. Ip was None
2019-08-04T18:56:17+0530 [HTTPPageGetter (TLSMemoryBIOProtocol),client] http POST to https://api-f754c261.duosecurity.com:443/rest/v1/auth
2019-08-04T18:56:17+0530 [duoauthproxy.lib.http._DuoHTTPClientFactory#info] Starting factory <_DuoHTTPClientFactory: https://api-f754c261.duosecurity.com:443/rest/v1/auth>
2019-08-04T18:56:17+0530 [duoauthproxy.lib.http._DuoHTTPClientFactory#info] Stopping factory <_DuoHTTPClientFactory: https://api-f754c261.duosecurity.com:443/rest/v1/preauth>
2019-08-04T18:56:30+0530 [HTTPPageGetter (TLSMemoryBIOProtocol),client] (('10.197.223.76', 34095), 5): Duo authentication returned 'allow': 'Success. Logging you in...'
2019-08-04T18:56:30+0530 [HTTPPageGetter (TLSMemoryBIOProtocol),client] (('10.197.223.76', 34095), 5): Returning response code 2: AccessAccept             <<<< At this point, user has hit the approve button and the authentication is successful.
2019-08-04T18:56:30+0530 [HTTPPageGetter (TLSMemoryBIOProtocol),client] (('10.197.223.76', 34095), 5): Sending response
2019-08-04T18:56:30+0530 [duoauthproxy.lib.http._DuoHTTPClientFactory#info] Stopping factory <_DuoHTTPClientFactory: https://api-f754c261.duosecurity.com:443/rest/v1/auth>

版本	发布日期	备注
3.0	02-Jun-2026	更新的拼写、语法、间距等
2.0	15-Jun-2023	已删除PII。添加了Alt文本。已更新标题、简介、SEO、机器翻译、样式要求和格式。
1.0	20-Aug-2019	初始版本

为FMC管理访问配置双因素身份验证

下载选项

非歧视性语言

关于此翻译

目录

简介

先决条件

要求

使用的组件

背景信息

身份验证流程

身份验证流程说明

配置

FMC的配置步骤

ISE的配置步骤

Duo管理门户的配置步骤

验证

故障排除

相关信息

修订历史记录

由思科工程师提供

此文档是否有帮助?

联系我们

本文档适用于以下产品