配置證書身份驗證&DUO SAML身份驗證

下載選項

  • PDF     (2.8 MB)
    在多種裝置上使用 Adobe Reader 檢視
  • ePub     (2.6 MB)
    在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上的各種應用程式中檢視
  • Mobi (Kindle)     (1.4 MB)
    在 Kindle 裝置或多部裝置的 Kindle 應用程式上檢視
已更新: 2023 年 7 月 20 日
文件 ID:220600

無偏見用語

本產品的文件集力求使用無偏見用語。針對本文件集的目的，無偏見係定義為未根據年齡、身心障礙、性別、種族身分、民族身分、性別傾向、社會經濟地位及交織性表示歧視的用語。由於本產品軟體使用者介面中硬式編碼的語言、根據 RFP 文件使用的語言，或引用第三方產品的語言，因此本文件中可能會出現例外狀況。深入瞭解思科如何使用包容性用語。

關於此翻譯

思科已使用電腦和人工技術翻譯本文件，讓全世界的使用者能夠以自己的語言理解支援內容。請注意，即使是最佳機器翻譯，也不如專業譯者翻譯的內容準確。Cisco Systems, Inc. 對這些翻譯的準確度概不負責，並建議一律查看原始英文文件（提供連結）。

    簡介

    本檔案將介紹實施憑證型驗證和雙重SAML驗證的範例。

    必要條件

    本指南中使用的工具和裝置包括：

    • Cisco Firepower威脅防禦(FTD) 
    • Firepower Management Center (FMC)
    • 內部憑證授權單位(CA)
    • Cisco DUO Premier帳戶
    • Cisco DUO驗證代理
    • 思科安全使用者端(CSC)

    需求

    思科建議您瞭解以下主題：

    • 基本VPN，
    • SSL/TLS
    • 公開金鑰基礎架構
    • 使用FMC的經驗
    • 思科安全使用者端
    • FTD代碼7.2.0或更高版本
    • Cisco DUO驗證代理

    採用元件

    本文中的資訊係根據以下軟體和硬體版本：

    • 思科FTD(7.3.1)
    • 思科FMC(7.3.1)
    • 思科安全使用者端(5.0.02075)
    • Cisco DUO驗證代理(6.0.1)
    • Mac OS(13.4.1)
    • Active Directory

    本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

    配置DUO上的步驟

    本節介紹配置Cisco DUO單一登入(SSO)的步驟。開始之前，請確保已實施身份驗證代理。

    warning-icon

    警告：如果尚未實施身份驗證代理，此連結包含此任務的指南。DUO Authentication Proxy指南

    建立應用程式保護策略

    步驟1.通過此連結Cisco Duo登入到管理面板

    Cisco DUO homepageCisco DUO首頁

    步驟2.導航到控制面板>應用程式>保護應用程式。

    在搜尋欄中，輸入「Cisco Firepower Threat Defense VPN」，然後選擇「Protect」。

    Protect an application screenshot保護應用程式螢幕截圖

    選擇僅具有保護型別「2FA with SSO hosted by Duo」的選項。

    步驟 3:在後設資料下複製此URL資訊。

    • 標識提供程式實體ID
    • SSO URL
    • 註銷URL

    Example of information to copy要複製的資訊示例

    note-icon附註：螢幕截圖中已省略了連結。

    步驟4.選擇「Download certificate」下載「Downloads」下的Identity Provider Certificate。

    步驟5.填寫服務提供商資訊

    Cisco Firepower基礎URL — 用於訪問FTD的FQDN

    連線配置檔案名稱 — 隧道組名稱

    建立應用程式策略

    步驟 1:要在Policy 下建立Application Policy選擇「Apply a policy to all users」，然後選擇「Or， create a new Policy」，如下圖所示。

    Example of creating an application policy建立應用程式策略的示例

    Example of creating an application policy建立應用程式策略的示例

    步驟2.在Policy name下，輸入所需的名稱，在Users下選擇「Authentication policy」，然後選擇「」實施2FA。」 然後使用「建立策略」進行儲存。

    Example of creating an application policy建立應用程式策略的示例

    步驟3.在下一個視窗中使用「Apply Policy」應用策略。然後滾動到頁面底部並選擇「Save」以完成DUO配置

    FMC的配置步驟

    將身分憑證部署到FTD

    本節介紹如何配置身份證書並將其部署到FTD（證書身份驗證所需的）。開始之前，請確保部署所有配置。

    步驟1。導覽至Devices > Certificates，然後選擇Add，如下圖所示。

    Screenshot of Devices/Certificates裝置/證書的截圖

     

    步驟 2:從devices下拉選單中選擇FTD裝置。按一下+圖示可新增新的證書註冊方法。

    Screenshot of Add New Certificate新增新證書的螢幕快照

    步驟3:選擇通過「Enrollment Type」在環境中獲取證書的首選方法的選項，如下圖所示。

    tcoutrie_1-1689786001509新證書註冊頁面的螢幕截圖

    tcoutrie_0-1689785460404

    提示：可用選項包括：Self Signed Certificate — 在本地生成新證書， SCEP — 使用簡單證書註冊協定從CA獲取證書， Manual — 手動安裝根和身份證書， PKCS12 — 上傳包含根、標識和私鑰的加密證書捆綁包。

    將IDP憑證部署到FTD 

    本節介紹如何配置並將IDP證書部署到FTD。開始之前，請務必部署所有配置。

    步驟 1:導覽至Devices > Certificate，然後選擇Add。」

    步驟 2:從devices下拉選單中選擇FTD裝置。按一下+圖示可新增新的證書註冊方法。

    第3步：在「新增證書註冊」視窗中，輸入所需的資訊（如圖所示），然後「保存」（如圖所示）。

    • 名稱:對象的名稱
    • 註冊型別:手動
    • 覈取方塊已啟用:僅限CA
    • CA證書:憑證的PEM格式

    Example of creating a certificate enrollment object建立證書註冊對象的示例

    caution-icon

    注意：如果需要，可以使用「CA憑證基本約束中的CA標誌跳過」。請謹慎使用該選項。

    步驟 4:在「Cert Enrollment*：」下選擇新建立的證書註冊對象，然後選擇「Add」，如下圖所示。

    Screenshot of added certificate enrollment object and device新增的證書註冊對象和裝置的螢幕截圖

    note-icon

    附註：新增證書後，立即部署。

    建立SAML SSO對象

    本節介紹通過FMC配置SAML SSO的步驟。開始之前，請確保部署所有配置。

    步驟1.導航到Objects > AAA Server > Single Sign-on Server，然後選擇「Add Single Sign-on Server」。

    example of creating a new SSO object建立新SSO對象的示例

    步驟2.從「建立應用程式保護策略」輸入所需的信息

    "。 要在完成之後繼續，請選擇「儲存」。

    • 名稱*:對象的名稱
    • 身份提供程式實體ID*:第3步中的實體ID
    • SSO URL*:從步驟3複製的登入URL
    • 註銷URL:從步驟3複製的註銷URL
    • 基本URL:使用與步驟5中的「Cisco Firepower Base URL」相同的FQDN
    • 身份提供程式證書*:已部署的IDP證書
    • 服務提供商證書:FTD外部介面上的憑證

    Example of new SSO object.新SSO對象的示例。

    note-icon

    附註：螢幕截圖中省略了實體ID、SSO URL和註銷URL連結

    建立遠端訪問虛擬專用網路(RAVPN)配置

    本節介紹使用嚮導配置RAVPN的步驟。

    步驟1.導覽至Devices > Remote Access Select "Add." 

    步驟2.在該嚮導中，輸入新的RAVPN策略嚮導的名稱，在VPN協定：新增目標裝置下選擇SSL，如下圖所示。完成後，選擇「下一步」。

    Step 1 of the RAVPN wizardRAVPN嚮導的第1步

    步驟2.對於連線配置檔案，請設定選項（如下所示）：完成後選擇「下一步」。

    • 連線配置檔名稱：  在建立應用保護策略的步驟5中使用隧道組名稱。

    驗證、授權及記帳(AAA):

    • 客戶端證書和SAML
    • 身份驗證伺服器:*選擇在「建立SAML SSO對象」期間建立的SSO對象。

    客戶端地址分配：

    • 使用AAA伺服器(僅限領域或RADIUS)- Radius或LDAP
    • 使用DHCP服務器 — DHCP伺服器
    • 使用IP位址池- FTD上的本機池
    Step 2 of RAVPN wizardRAVPN嚮導的第2步

    提示：本實驗使用DHCP伺服器。

    步驟3.選擇「+」以上傳要部署的Cisco安全客戶端的Web部署映像。然後，選中要部署的CSC映像的覈取方塊。如下圖所示。完成後選擇「Next」。

    tcoutrie_5-1689774962848步驟3:RAVPN嚮導

    步驟4.設定這些對象（如圖所示）：完成之後選擇「下一步」。

    介面組/安全區域：*:外部介面

    "Certificate Enrollment:*":在本指南的「將身份證書部署到FTD」部分期間建立的身份證書

    tcoutrie_6-1689775004935RAVPN嚮導的第4步

    提示：如果尚未建立此對象，則通過選擇「+」新增新的證書註冊對象。

    步驟6.摘要

    驗證所有資訊。如果一切正常，則繼續執行「完成」。

    tcoutrie_7-1689775076011摘要頁面

    步驟7.部署新增的配置。

    驗證

    本節介紹如何驗證連線嘗試是否成功。

    開啟Cisco Secure Client並輸入FTD的FQDN並進行連線。

    在SSO頁上輸入憑據。

    tcoutrie_1-1689775208102通過Cisco Secure Client的SSO頁面

    接受DUO推入註冊裝置。

    tcoutrie_0-1689775181360DUO推送

    連線成功。

    Connected to FTD已連線到FTD

    使用以下命令驗證FTD上的連線：show vpn-sessiondb detail anyconnect

    Some information has been omitted from the output example輸出示例中省略了某些資訊

    疑難排解

    這些是在實施後可能出現的問題。

    問題1:證書身份驗證失敗。

    確保在FTD上安裝根憑證；

    使用以下調試：

    debug crypto ca 14

    debug aaa shim 128

    debug aaa common 128

    問題2:SAML故障

    可以啟用這些調試進行故障排除：

    debug aaa shim 128

    debug aaa common 128

    debug webvpn anyconnect 128

    debug webvpn saml 255

    修訂記錄

    修訂 發佈日期 意見
    1.0
    21-Jul-2023
    初始版本
    TAC Authored

    由思科工程師貢獻

    • Terrell Coutrier
      Technical Consulting Engineer

    這份文件是否有所幫助？

    Feedback意見

    讓思科協助您

    本文件適用於這些產品