配置在ISE 2.1的EasyConnect

Size: px

Start display at page:

Download "配置在ISE 2.1的EasyConnect"

瞒邬
5 years ago
Views:

1 配置在 ISE 2.1 的 EasyConnect 目录简介先决条件要求使用的组件背景信息 EasyConnect 功能信息 EasyConnect 进程流 EasyConnect 功能限制配置 ISE 加入 ISE 2.1 对活动目录配置授权配置文件配置 EasyConnect 配置标识映射配置交换机验证交换机身份服务引擎 MS 活动目录故障排除在 ISE 的调试典型的问题问题 1. 活动目录不显示事件 4768 问题 2 不能连接到从标识映射的 AD 问题 3. 安全访问规则没有被触发简介本文描述如何配置 EasyConnect 验证用身份服务引擎 (ISE) 2.1 ISE 使用 Microsoft Active Directory (AD), 外部标识存储存储资源例如用户机器组和属性贡献用尤金 Korneychuk 和 Harisha 贡纳岛, Cisco TAC 工程师先决条件要求本文假设, 有在交换机 AD ISE 和 Windows 7 工作站之间的全双工 IP 连通性 ISE 服务器被引导使用的组件

本文档中的信息基于以下软件和硬件版本 : 思科身份服务引擎 2.1 Cisco 3750X 交换机用 IOS 软件版本 15.0(1)SE2 MS Windows 服务器 2008 个 R2 Microsoft Windows 7 工作站背景信息 EasyConnect 功能信息 EasyConnect 提供基于端口的验证类似于 802.

2 本文档中的信息基于以下软件和硬件版本 : 思科身份服务引擎 2.1 Cisco 3750X 交换机用 IOS 软件版本 15.0(1)SE2 MS Windows 服务器 2008 个 R2 Microsoft Windows 7 工作站背景信息 EasyConnect 功能信息 EasyConnect 提供基于端口的验证类似于 802.1X, 但是更加容易实现 EasyConnect 得知从活动目录和提供会话跟踪的验证活动网络会话的会话目录通知可以发布与 PxGrid EasyConnect 和 802.1x 在相同端口可以配置, 但是您必须有每服务的一项不同的 ISE 策略高性能的模式支持 EasyConnect 推荐投入 WMI 的 PSN 最佳实践是有两个 PSN 一个是活跃的, 并且第二在待机所有 PSN 接收从 DC 的数据, 但是仅一个设置, 当主控并且寄事件给 MnT PSN 选择活动一个和在故障的情况下失败自动地处理事例促进待机选择 PSN 进程如主要的由 PassievID 管理服务透明 EasyConnect 进程流交换机为 MAB 配置, 发送认证请求对 PSN 与有限访问的 PSN 回复, 允许用户验证与活动目录验证客户端的 PSN 转发关于 MAB 验证 RADIUS 认为的开始和临时终止的信息对 MNT 主要的 PSN ( 这也许不是验证的 PSN 这是选择的 PSN 和主要的由 PassiveId 管理服务 ) 寄 WMI 验证事件给 MnT 一旦所有数据在会话目录收集并且合并由 MnT, MnT 代理对转发 CoA 给纳季并且复评授权的用户的验证 PSN 的 CoA 请求

用户是域管理员组时的一部分, 并且, 如果 AD 用户不是部分 fo 域管理员组配置 ISE 加入 ISE 2.

4 EasyConnect 功能限制 EasyConnect 不可能与 BYOD 用例一起使用支持仅 Cisco 设备终端不支持注销事件为了配置 AD 支持被动身份服务, 参考此链路 : 活动目录需求支持被动身份服务权限不同的, 当 AD 用户是域管理员组时的一部分, 并且, 如果 AD 用户不是部分 fo 域管理员组配置 ISE 加入 ISE 2.1 对活动目录 1. 导航对 Administration > 身份管理 > 外部标识存储 > 活动目录 >Add 提供加入点名称, 活动目录域并且单击提交

创建计算机对象或删除计算机在 ISE 计算机帐户在加入对域的 ISE 计算机前创建的对应的计算机容器的对象权限提示 : 如果一个错误的密码使用该帐户,

5 2. 当提示加入所有 ISE 节点到此活动目录域, 请点击是 3. 提供 AD 用户名, 并且密码, 点击 OK 键要求的 AD 帐户在 ISE 的域访问的应该有这些之一 : 添加工作站在对应的域的域用户右边创建计算机对象或删除计算机在 ISE 计算机帐户在加入对域的 ISE 计算机前创建的对应的计算机容器的对象权限提示 : 如果一个错误的密码使用该帐户, 思科推荐禁用 ISE 帐户的中断策略和配置 AD 基础设施发送警报到 admin 当输入错误的密码时, ISE 不创建或修改其计算机帐户, 当是必要的时并且可能拒绝所有认证 4. 请查看操作状态, Status 节点请如果出现如完成, 请点击 Close

6 5. AD 状态应该是可操作的 6. 导航对 Groups> Add> 选择从 Directory> 的组检索组选择授权策略能将参考的需要的 AD 组的复选框 Note: 用户 hargadmin 是域用户 AD 组的成员在 reassesment 做后, 域用户会员用于授权情况

7 7. 点击 Save 救被检索的 AD 组配置授权配置文件 1. 创建有限享用策略 > 结果的一授权配置文件, 选择授权 > 授权配置文件并且添加名为 LimitedAccess 的新的 a) 检查方框被动标识跟踪 b) 添加 DACL 名称并且从丢弃下来列表选择允许 DNS DHCP ISE 和 DC 访问的有限访问 DACL c) 保存

8 2. 创建其他希望的访问的一授权配置文件并且保存没有对跟踪被动的 Idenitty 的需要启用在所有其他授权配置文件, 初始访问配置 EasyConnect 1. 启用在您的策略服务器的标识映射导航对 Administration > 部署, 选择节点和在一般设置下, enable (event) Enable (event) 标识映射

9 2. 创建策略集导航对策略 >Policy 集, 并且创建名为 Ezconnect 的新的策略集然后请添加那些策略 : a) 创建名为 EzconnectAuth 的验证策略以情况 Wired_MAB b) 创建名为 Domain_Users 的授权策略, 情况 AD :ExternalGroups 等于 example.com/users/domain 用户 c) 创建名为 Ezconnect_Limited 的授权策略, 情况 Wired_MAB 由于有限访问, 请访问对 AD 应该给

10 配置标识映射导航到 Administration > PassiveID > AD 域控制器单击 Add 在一般设置部分, 请输入 DC 的显示名称域 FQDN 和主机 FQDN 在凭证部分, 请输入 DC 的用户名和密码 Click Save. 一个更新表显示与在 DC 列表包括的新定义的 DC Status ( 状态 ) 列指示 DC 的不同的状态 ( 可选 ) 请通过单击测试对指定的域的连接验证 DC 连接设置此测验保证对 DC 的连接是健康的然而它不证实思科 ISE 是否能拿来用户信息在登录 Click Save.

11 配置交换机此配置保证交换机执行在端口连接的客户端的 MAB 验证 FastEthernet1/0/23 aaa new-model! aaa group server radius ISE-group server name PSN1 server name PSN2! aaa authentication dot1x default group ISE-group aaa authorization network default group ISE-group aaa accounting update newinfo aaa accounting dot1x default start-stop group ISE-group! aaa server radius dynamic-author client server-key D0A16 client server-key 7 094F471A1A0A! interface FastEthernet1/0/23 switchport access vlan 903 switchport mode access authentication order mab authentication port-control auto mab dot1x pae authenticator spanning-tree portfast! radius-server vsa send accounting radius-server vsa send authentication! radius server PSN1 address ipv auth-port 1812 acct-port 1813 key E010803! radius server PSN2 address ipv auth-port 1812 acct-port 1813 key A 验证交换机在交换机后应该看到成功认证用户名和 IP 地址

Switch#show authentication sessions interface fastethernet 1/0/23 details Interface: FastEthernet1/0/23 MAC Address: 3c97.0e52.3fd3 IPv6 Address: Unknown IPv4 Address: 10.229.20.

12 Switch#show authentication sessions interface fastethernet 1/0/23 details Interface: FastEthernet1/0/23 MAC Address: 3c97.0e52.3fd3 IPv6 Address: Unknown IPv4 Address: User-Name: admin Status: Authorized Domain: DATA Oper host mode: single-host Oper control dir: both Session timeout: N/A Common Session ID: 0AE514F BC Acct Session ID: 0x Handle: 0xFC Current Policy: POLICY_Fa1/0/23 Local Policies: Service Template: DEFAULT_LINKSEC_POLICY_SHOULD_SECURE (priority 150) Method status list: Method mab 身份服务引擎 State Authc Success ISE 应该显示多报告日志从底下一个开始描述 : 1. 计算机通过 MAB 验证有限享用授权配置文件分配, 允许 icmp, dns, 对 AD 的访问 ; 2. DACL 有有限的权限下载给纳季 ; 3. ISE 通过用户的 WMI ( 由于对用户名映射的 ip 在 AD) 和 AD 组学习用户名通过从 AD 的 LDAP 因为有授权规则和 ISE 匹配其情况的了解的新建的数据, CoA 启动 4. 由于 CoA 用户 admin 获得安全访问授权配置文件居住日志屏幕画面 Live 塞申斯屏幕画面

13 MS 活动目录从事件查看器 4768 和 4769 事件应该看到, 是成功的用户认证结果故障排除在 ISE 的调试

14 为了查看注册 WMI 的 PSN, 更改记录日志对组分 PassiveID 的调试级别 passiveid-mgmt.log 文件显示哪个 PSN 选择如主要的 psn1-21/admin# sh logging application passiveid-mgmt.log tail :34:15,856 INFO [admin-http-pool187][] cisco.cda.mgmt.rest.adprob eelectionmanager- PassiveID Management Service :: The node 'psn2-21.example.com' was selected as primary :34:15,856 INFO [admin-http-pool187][] cisco.cda.mgmt.rest.adprob eelectionmanager- PassiveID Management Service :: This node (psn1-21.example.com ) was selected as standby. 基于在上面, 我们需要检查 psn2-21 WMI 验证的日志和, 因为 psn1-21 处理从纳季的验证请求, psn1-21 日志必须为 MAB 验证查看 passiveid.log 从 psn2-21 文件给予 WMI 验证事件详细信息 psn2-21/admin# sh logging application passiveid.log tail, Identity Mapping.dc-domainname = example.com, Identity Mapping.dc-connection-type = Current events, Identity Map ping.dc-name = ez_example, Identity Mapping.dc-host = win-e78u0frcjd6.example.com/ , :42:00,592 DEBUG [Thread-10][] com.cisco.cpm.cda- Received login event. Identity Mapping.ticket = instance of InstanceCreationEvent { SECURITY_DESCRIPTOR = {1, 0, 20, 128, 96, 0, 0, 0, 112, 0, 0, 0, 0, 0, 0, 0, 20, 0, 0, 0, 2, 0, 76, 0, 3, 0, 0, 0, 0, 0, 20, 0, 69, 0, 15, 0, 1, 1, 0, 0, 0, 0, 0, 5, 18, 0, 0, 0, 0, 0, 24, 0, 69, 0, 0, 0, 1, 2, 0, 0, 0, 0, 0, 5, 32, 0, 0, 0, 32, 2, 0, 0, 0, 0, 24, 0, 65, 0, 0, 0, 1, 2, 0, 0, 0, 0, 0, 5, 32, 0, 0, 0, 61, 2, 0, 0, 1, 2, 0, 0, 0, 0, 0, 5, 32, 0, 0, 0, 32, 2, 0, 0, 1, 1, 0, 0, 0, 0, 0, 5, 18, 0, 0, 0}; TargetInstance = instance of Win32_NTLogEvent { Category = 14339; CategoryString = "Kerberos Authentication Service"; ComputerName = "WIN-E78U0FRCJD6.example.com"; EventCode = 4768; EventIdentifier = 4768; EventType = 4; InsertionStrings = {"hargadmin", "EXAMPLE", "S ", "krbtgt", "S ", "0x ", "0x0", "0x12", "2", "::ffff: ", "56060", "", "", " "}; Logfile = "Security"; \nadditional Informatio60ffff: requested. \npre-authentication types, ticket options, encryption types and result codes are defined in RFC 4120."; RecordNumber = ; SourceName = "Microsoft-Windows-Security-Auditing"; TimeGenerated = " "; TimeWritten = " "; Type = "Audit Success"; }; TIME_CREATED = " "; };

, Identity Mapping.dc-domainname = example.com, Identity Mapping.dc-connection-type = Current events, Identity Map ping.dc-name = ez_example, Identity Mapping.

15 , Identity Mapping.dc-domainname = example.com, Identity Mapping.dc-connection-type = Current events, Identity Map ping.dc-name = ez_example, Identity Mapping.event-user-name = hargadmin, Identity Mapping.dchost = win-e78u0frcjd6.example.com/ , Identity Mapping.server = psn2-21, Identity Mapping.event-ipaddress = , :42:01,510 DEBUG [Thread-15][] com.cisco.cpm.cda- Forwarded login event to ISE session directory. Ident ity Mapping.dc-domainname = example.com, Identity Mapping.event-user-name = hargadmin, Identity Mapping.dc-host = w in-e78u0frcjd6.example.com/ , Identity Mapping.server = psn2-21, Identity Mapping.event-ip-address = , 从处理 MAB 请求 ) 的 psn1-21 (PSN 的数据包捕获数据包捕获显示 frowarded 对 MnT 节点的 MAB 验证和核算数据包的系统日志数据

16 从 psn2-21 ( 如主要的选择的 PSN 的数据包捕获由 PassiveID Mangement 服务 ) 此捕获显示转发 WMI 验证通行证 Syslog 信息的主要的 PSN 对 MnT 典型的问题

17 问题 1. 活动目录不显示事件 4768 可以有在它后的多个原因 : 1. 保证在有限访问 DACL 内您允许 PC 与活动目录联系, 因此此事件生成 ; 2. 保证审计策略 corrrectly 配置, 因此对应的日志在事件查看器将被看到, 参考部分设置在本文的审计策略问题 2 不能连接到从标识映射的 AD 显示的错误是 : 连接在 Fibi.example.com 标识映射活动节点测试了对 AD 的连接失败无法连接到计算机, 请检查 DC 状态此错误被看到是否没有 Administrator2 用户的足够的权限, 仔细请验证在 AD 要求的所有设置适当地配置问题 3. 安全访问规则没有被触发 1. 保证您有对 AD 的成功的连接, 您能检查对应的登录标识映射报告 :

18 2. 保证 framed-ip-address 属性从纳季 resevied, 您能验证它与在交换机的 debug radius;

SL2511 SR Plus 操作手冊_單面.doc

SL2511 SR Plus 操作手冊_單面.doc IEEE 802.11b SL-2511 SR Plus SENAO INTERNATIONAL CO., LTD www.senao.com - 1 - - 2 - .5 1-1...5 1-2...6 1-3...6 1-4...7.9 2-1...9 2-2 IE...11 SL-2511 SR Plus....13 3-1...13 3-2...14 3-3...15 3-4...16-3