目录

简介

先决条件

要求

使用的组件

背景信息

配置

网络图

配置OpenLDAP

将OpenLDAP与ISE集成

配置 WLC

配置EAP-GTC

验证

故障排除

简介

本文档介绍如何配置思科身份服务引擎(ISE)，以便与思科LDAP服务器集成。

先决条件

要求

本文档没有任何特定的要求。

使用的组件

本文档中的信息基于以下软件和硬件版本：

- 带补丁2的思科ISE版本1.3

- 安装了OpenLDAP的Microsoft Windows版本7 x64

- 思科无线局域网控制器(WLC)版本8.0.100.0

- 适用于Microsoft Windows的Cisco AnyConnect版本3.1

- 思科网络访问管理器配置文件编辑器

注：本文档对使用LDAP作为ISE身份验证和授权的外部身份源的设置有效。

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

背景信息

LDAP支持以下身份验证方法：

- 可扩展身份验证协议 — 通用令牌卡(EAP-GTC)

- 可扩展身份验证协议 — 传输层安全(EAP-TLS)

- 受保护的可扩展身份验证协议 — 传输层安全(PEAP-TLS)

配置

本节介绍如何配置网络设备并将ISE与LDAP服务器集成。

网络图

在此配置示例中，终端使用无线适配器以便与无线网络关联。

WLC上的无线LAN(WLAN)配置为通过ISE对用户进行身份验证。在ISE上，LDAP配置为外部身份库。

下图说明了使用的网络拓扑：

配置OpenLDAP

OpenLDAP for Microsoft Windows的安装通过GUI完成，并且非常简单。默认位置为C: > OpenLDAP。安装后，您应该看到以下目录：

请特别注意以下两个目录：

- ClientTools — 此目录包含一组用于编辑LDAP数据库的二进制文件。

- ldifdata — 这是应存储具有LDAP对象的文件的位置。

将此结构添加到LDAP数据库：

在Root目录下，必须配置两个组织单位(OU)。OU=groups OU应有一个子组(在本例中为cn=domainusers)。

OU=people OU定义属于cn=domainusers组的两个用户帐户。

要填充数据库，必须先创建ldif文件。前面提到的结构是从以下文件创建的：

dn: ou=groups,dc=maxcrc,dc=com

changetype: add

ou: groups

description: All groups in organisation

objectclass: organizationalunit

dn: ou=people,dc=maxcrc,dc=com

changetype: add

ou: people

description: All people in organisation

objectclass: organizationalunit

dn: uid=john.doe,ou=people,dc=maxcrc,dc=com

changetype: add

objectClass: top

objectClass: person

objectClass: organizationalPerson

objectClass: inetOrgPerson

uid: john.doe

givenName: John

sn: Doe

cn: John Doe

mail: john.doe@example.com

userPassword: password

dn: uid=jan.kowalski,ou=people,dc=maxcrc,dc=com

changetype: add

objectClass: top

objectClass: person

objectClass: organizationalPerson

objectClass: inetOrgPerson

uid: jan.kowalski

givenName: Jan

sn: Kowalski

cn: Jan Kowalski

mail: jan.kowalski@example.com

userPassword: password

dn: cn=domainusers,ou=groups,dc=maxcrc,dc=com

changetype: add

objectClass: top

objectClass: posixGroup

gidNumber: 678

memberUid: uid=john.doe,ou=people,dc=maxcrc,dc=com

memberUid: uid=jan.kowalski,ou=people,dc=maxcrc,dc=com

要将对象添加到LDAP数据库，请使用ldapmodify二进制：

C:\OpenLDAP\ClientTools>ldapmodify.exe -a -x -h localhost -p 389 -D "cn=Manager,

dc=maxcrc,dc=com" -w secret -f C:\OpenLDAP\ldifdata\test.ldif

ldap_connect_to_host: TCP localhost:389

ldap_new_socket: 496

ldap_prepare_socket: 496

ldap_connect_to_host: Trying ::1 389

ldap_pvt_connect: fd: 496 tm: -1 async: 0

attempting to connect:

connect success

adding new entry "ou=groups,dc=maxcrc,dc=com"

adding new entry "ou=people,dc=maxcrc,dc=com"

adding new entry "uid=john.doe,ou=people,dc=maxcrc,dc=com"

adding new entry "uid=jan.kowalski,ou=people,dc=maxcrc,dc=com"

adding new entry "cn=domainusers,ou=groups,dc=maxcrc,dc=com"

将OpenLDAP与ISE集成

使用本部分中的映像中提供的信息，以便将LDAP配置为ISE上的外部身份库。

可以从General选项卡配置以下属性：

- Subject Objectclass — 此字段对应于ldif文件中用户帐户的对象类。根据LDAP配置，请使用以下四个类之一：

- 顶部

- 人员

- 组织人员

- InetOrgPerson

- Subject Name Attribute — 这是当ISE查询数据库中是否包含特定用户名时由LDAP检索的属性。在这种情况下，您必须使用john.doe或jan.kowalski作为终端上的用户名。

- Group Objectclass — 此字段与ldif文件中组的对象类对应。在此方案中，cn=domainusers组的对象类是posixGroup。

- 组映射属性 — 此属性定义如何将用户映射到组。在ldif文件中的cn=domainusers组下，可以看到与用户对应的两个memberUid属性。

ISE还提供一些预配置的方案(Microsoft Active Directory、Sun、Novell):

在设置正确的IP地址和管理域名后，您可以Test Bind到服务器。此时，由于尚未配置搜索库，您不会检索任何主题或组。

在下一个选项卡中，配置主题/组搜索库。这是ISE到LDAP的加入点。您只能检索作为加入点子项的主题和组。

在此场景中，检索OU=people中的主题和OU=groups中的组：

在Groups选项卡中，您可以从ISE上的LDAP导入组：

配置 WLC

使用这些映像中提供的信息配置WLC进行802.1x身份验证：

配置EAP-GTC

LDAP支持的身份验证方法之一是EAP-GTC。它在Cisco AnyConnect中可用，但必须安装网络访问管理器配置文件编辑器才能正确配置配置文件。

您还必须编辑网络访问管理器配置，默认情况下，该配置位于以下位置：

C: > ProgramData > Cisco > Cisco AnyConnect Secure Mobility Client > Network Access Manager > system > configuration.xml file

使用这些映像中提供的信息在终端上配置EAP-GTC:

使用这些映像中提供的信息更改ISE上的身份验证和授权策略：

应用配置后，您应该能够连接到网络：

验证

要验证LDAP和ISE配置，请检索与服务器的测试连接的主题和组：

以下图像说明来自ISE的示例报告：

故障排除

本节介绍此配置遇到的一些常见错误以及如何排除这些错误：

- 安装OpenLDAP后，如果您遇到错误以指示gssapi.dll丢失，请重新启动Microsoft Windows。

- 可能无法直接编辑Cisco AnyConnect的configuration.xml文件。将新配置保存到其他位置，然后使用它替换旧文件。

- 在身份验证报告中，出现以下错误消息：

Authentication method is not supported by any applicable identity store
此错误消息表明LDAP不支持您选择的方法。

确保同一报告中的身份验证协议显示其中一个受支持的方法（EAP-GTC、EAP-TLS或PEAP-TLS）。

- 在身份验证报告中，如果您注意到在身份存储中找不到主题，则报告中的用户名与LDAP数据库中任何用户的Subject Name Attribute不匹配。

在此方案中，此属性值设置为uid，这意味着ISE在尝试查找匹配项时查找LDAP用户的uid值。

- 如果在绑定到服务器测试期间未正确检索主题和组，则搜索库的配置不正确。

请记住，必须从枝叶到根和dc（可包含多个单词）指定LDAP层次结构。

提示：要对WLC端的EAP身份验证进行故障排除，请参阅使用WLAN控制器的EAP身份验证(WLC)配置示例思科文档。