為FMC管理訪問配置雙因素身份驗證

下載選項

PDF (1.3 MB)
在多種裝置上使用 Adobe Reader 檢視

已更新: 2026 年 6 月 2 日

文件 ID:214756

無偏見用語

本產品的文件集力求使用無偏見用語。針對本文件集的目的，無偏見係定義為未根據年齡、身心障礙、性別、種族身分、民族身分、性別傾向、社會經濟地位及交織性表示歧視的用語。由於本產品軟體使用者介面中硬式編碼的語言、根據 RFP 文件使用的語言，或引用第三方產品的語言，因此本文件中可能會出現例外狀況。深入瞭解思科如何使用包容性用語。

關於此翻譯

思科已使用電腦和人工技術翻譯本文件，讓全世界的使用者能夠以自己的語言理解支援內容。請注意，即使是最佳機器翻譯，也不如專業譯者翻譯的內容準確。Cisco Systems, Inc. 對這些翻譯的準確度概不負責，並建議一律查看原始英文文件（提供連結）。

簡介

本文檔介紹在Firepower管理中心上為管理訪問配置外部雙因素身份驗證所需的步驟。

必要條件

需求

思科建議您瞭解以下主題：

Firepower管理中心(FMC)對象配置
身分識別服務引擎(ISE)管理

採用元件

運行版本6.3.0的Cisco Firepower管理中心(FMC)
運行版本2.6.0.156的思科身份服務引擎(ISE)
支援Windows(Cisco Duo)版本，可連線FMC、ISE和Internet以充當Duo身份驗證代理伺服器
Windows機器訪問FMC、ISE和Duo管理門戶
Duo Web帳戶

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

背景資訊

FMC管理員根據ISE伺服器進行身份驗證，Duo身份驗證代理伺服器向管理員的流動裝置傳送推送通知形式的附加身份驗證。

身份驗證流程

Authentication Flow

驗證流程說明

主身份驗證已啟動到Cisco FMC。
Cisco FMC向Duo Authentication Proxy傳送驗證要求。
主身份驗證必須使用Active Directory或RADIUS。
Duo Authentication Proxy連線建立到Duo Security over TCP埠443。
通過Duo Security的服務進行輔助身份驗證。
Duo authentication proxy接收身份驗證響應。
已授予Cisco FMC GUI訪問許可權。

設定

要完成配置，請考慮以下部分：

FMC的配置步驟

步驟1。導覽至System > Users > External Authentication。建立外部身份驗證對象並將身份驗證方法設定為RADIUS。確保在「預設使用者角色」下選擇管理員：

附註：10.106.44.177是Duo Authentication Proxy伺服器的示例IP地址。

Create an External Authentication Object and Set the Authentication Method as RADIUS Select Administrator Under Default User Role

按一下「Save」和「Apply」（忽略警告）：

Ignore Warning

步驟2.導覽至System > Users > Users。建立使用者，並將驗證方法檢查為External:

Check Authentication Method as External

步驟3. 下載並安裝Duo Authentication Proxy伺服器。

登入到Windows機器並安裝Duo Authentication Proxy Server

思科建議使用至少具有1個CPU、200 MB磁碟空間和4 GB RAM的系統。

附註：此電腦必須能夠訪問FMC、RADIUS伺服器（在本例中為ISE）和Duo Cloud（網際網路）。

步驟4.配置authproxy.cfg檔案。

在文本編輯器（如記事本或寫字板）++開啟此檔案。

注意：預設位置位於C:\Program Files(x86)\Duo Security Authentication Proxy\conf\authproxy.cfg。

編輯authproxy.cfg檔案並新增以下配置：

[radius_client]
host=10.197.223.23                 Sample IP Address of the ISE server
secret=cisco                       Password configured on the ISE server in order to register the network device

FMC的IP地址必須與RADIUS金鑰一起配置。

[radius_server_auto]
ikey=xxxxxxxxxxxxxxx
skey=xxxxxxxxxxxxxxxxxxxxxxxxxxx
api_host=api-xxxxxxxx.duosecurity.com
radius_ip_1=10.197.223.76           IP of FMC
radius_secret_1=cisco               Radius secret key used on the FMC
failmode=safe
client=radius_client
port=1812
api_timeout=

確保配置ikey、skey和api_host引數。要獲取這些值，請登入您的Duo帳戶(Duo Admin Login)，然後導航至Applications > Protect應用程式。接下來，選擇RADIUS驗證應用程式：

Select RADIUS Authentication Application

整合金鑰= ikey
secret key = skey
API主機名= api_host

步驟5. 重新啟動Duo Security身份驗證代理服務。儲存檔案並在Windows電腦上重新啟動Duo服務。

開啟Windows服務控制檯(services.msc)。在服務清單中找到Duo Security Authentication Proxy Service，然後按一下Restart:

Locate Duo Security Authentication Proxy Server

ISE的配置步驟

步驟1.導覽至Administration > Network Devices。按一下Add以配置網路裝置：

附註：10.106.44.177是Duo Authentication Proxy伺服器的示例IP地址。

Configure Network Device

配置Shared Secret，如authproxy.cfg的* Shared Secret中所述：

Configure the Shared Secret

步驟2.導覽至Administration > Identities。單擊Add以配置身份使用者：

Configure the Identity User

Duo Administration Portal的配置步驟

步驟1.在裝置上建立使用者名稱並啟用Duo Mobile。

在Duo Cloud管理網頁上新增使用者。導航到使用者>添加使用者:

Add the User on the Duo Cloud Administration Webpage

注意：確保終端使用者安裝了Duo應用。

步驟2.代碼的自動生成。

新增使用者電話號碼：

User has No Phones

Add Phone

選擇Activate Duo Mobile:

選擇Generate Duo Mobile Activation Code，如下圖所示：

Activate Duo Mobile

選擇Send Instructions by SMS，如下圖所示：

Choose Send Instructions by SMS

單擊SMS中的連結，Duo應用連結指向「裝置資訊」部分中的使用者帳戶：

Duo App Linked to the User Account in the Device Info Section

驗證

使用本節內容，確認您的組態是否正常運作。

步驟1.使用在ISE使用者身份頁面上新增的使用者憑據登入FMC。您必須在終端機收到Duo推送通知，以進行二元身份驗證(2FA)。確保您批准該計畫，並且FMC將登入：

DUO Screenshot of Log in Request

步驟2.在ISE伺服器上，導航到操作>RADIUS > Live Logs。查詢在FMC上用於身份驗證的使用者名稱，並選擇詳細資訊列下的詳細身份驗證報告。您必須驗證驗證驗證是否成功：

Verify if Authentication Succeeded

疑難排解

本節提供額外的資訊對組態進行疑難排解。

檢查Duo Authentication Proxy伺服器上的調試。日誌位於：
- C:\Program檔案(x86)\Duo Security Authentication Proxy\log
  - 在記事本或寫字板等文本編輯器中開啟authproxy++log檔案。

當輸入不正確的憑證並且ISE伺服器拒絕身份驗證時，記錄片段。

2019-08-04T18:54:17+0530 [DuoForwardServer (UDP)] Sending request from 10.197.223.76 to radius_server_auto        10.197.223.76 is the IP of the FMC
2019-08-04T18:54:17+0530 [DuoForwardServer (UDP)] Received new request id 4 from ('10.197.223.76', 34524)
2019-08-04T18:54:17+0530 [DuoForwardServer (UDP)] (('10.197.223.76', 34524), 4): login attempt for username u'cpiplani'
2019-08-04T18:54:17+0530 [DuoForwardServer (UDP)] Sending request for user u'cpiplani' to ('10.197.223.23', 1812) with id 199
2019-08-04T18:54:17+0530 [RadiusClient (UDP)] Got response for id 199 from ('10.197.223.23', 1812); code 3         10.197.223.23 is the IP of the ISE Server.
2019-08-04T18:54:17+0530 [RadiusClient (UDP)] (('10.197.223.76', 34524), 4): Primary credentials rejected - No reply message in packet
2019-08-04T18:54:17+0530 [RadiusClient (UDP)] (('10.197.223.76', 34524), 4): Returning response code 3: AccessReject
2019-08-04T18:54:17+0530 [RadiusClient (UDP)] (('10.197.223.76', 34524), 4): Sending response

在ISE伺服器上，導航到操作> RADIUS >即時日誌以驗證身份驗證詳細資訊。

使用ISE和Duo成功身份驗證的日誌片段：

2019-08-04T18:56:16+0530 [DuoForwardServer (UDP)] Sending request from 10.197.223.76 to radius_server_auto
2019-08-04T18:56:16+0530 [DuoForwardServer (UDP)] Received new request id 5 from ('10.197.223.76', 34095)
2019-08-04T18:56:16+0530 [DuoForwardServer (UDP)] (('10.197.223.76', 34095), 5): login attempt for username u'cpiplani'
2019-08-04T18:56:16+0530 [DuoForwardServer (UDP)] Sending request for user u'cpiplani' to ('10.197.223.23', 1812) with id 137
2019-08-04T18:56:16+0530 [RadiusClient (UDP)] Got response for id 137 from ('10.197.223.23', 1812); code 2                         <<<< At this point we have got successful authentication from ISE Server.
2019-08-04T18:56:16+0530 [RadiusClient (UDP)] http POST to https://api-f754c261.duosecurity.com:443/rest/v1/preauth
2019-08-04T18:56:16+0530 [duoauthproxy.lib.http._DuoHTTPClientFactory#info] Starting factory <_DuoHTTPClientFactory: https://api-f754c261.duosecurity.com:443/rest/v1/preauth>
2019-08-04T18:56:17+0530 [HTTPPageGetter (TLSMemoryBIOProtocol),client] (('10.197.223.76', 34095), 5): Got preauth result for: u'auth'
2019-08-04T18:56:17+0530 [HTTPPageGetter (TLSMemoryBIOProtocol),client] Invalid ip. Ip was None
2019-08-04T18:56:17+0530 [HTTPPageGetter (TLSMemoryBIOProtocol),client] http POST to https://api-f754c261.duosecurity.com:443/rest/v1/auth
2019-08-04T18:56:17+0530 [duoauthproxy.lib.http._DuoHTTPClientFactory#info] Starting factory <_DuoHTTPClientFactory: https://api-f754c261.duosecurity.com:443/rest/v1/auth>
2019-08-04T18:56:17+0530 [duoauthproxy.lib.http._DuoHTTPClientFactory#info] Stopping factory <_DuoHTTPClientFactory: https://api-f754c261.duosecurity.com:443/rest/v1/preauth>
2019-08-04T18:56:30+0530 [HTTPPageGetter (TLSMemoryBIOProtocol),client] (('10.197.223.76', 34095), 5): Duo authentication returned 'allow': 'Success. Logging you in...'
2019-08-04T18:56:30+0530 [HTTPPageGetter (TLSMemoryBIOProtocol),client] (('10.197.223.76', 34095), 5): Returning response code 2: AccessAccept             <<<< At this point, user has hit the approve button and the authentication is successful.
2019-08-04T18:56:30+0530 [HTTPPageGetter (TLSMemoryBIOProtocol),client] (('10.197.223.76', 34095), 5): Sending response
2019-08-04T18:56:30+0530 [duoauthproxy.lib.http._DuoHTTPClientFactory#info] Stopping factory <_DuoHTTPClientFactory: https://api-f754c261.duosecurity.com:443/rest/v1/auth>

修訂	發佈日期	意見
3.0	02-Jun-2026	更新的拼寫、語法、間距等
2.0	15-Jun-2023	已刪除PII。已新增Alt文本。已更新標題、簡介、SEO、機器翻譯、樣式要求和格式。
1.0	20-Aug-2019	初始版本

為FMC管理訪問配置雙因素身份驗證

下載選項

無偏見用語

關於此翻譯

目錄

簡介

必要條件

需求

採用元件

背景資訊

身份驗證流程

驗證流程說明

設定

FMC的配置步驟

ISE的配置步驟

Duo Administration Portal的配置步驟

驗證

疑難排解

相關資訊

修訂記錄

由思科工程師貢獻

這份文件是否有所幫助？

讓思科協助您

本文件適用於這些產品