Velkommen til den tredje publikation i rækken af artikler om Cisco ISE. Links til alle artikler i rækken findes nedenfor:
I denne publikation vil du få en dybdegående indsigt i gæsteadgang samt en trin-for-trin guide til integration af Cisco ISE og FortiGate for at konfigurere FortiAP – adgangspunktet fra Fortinet (generelt er enhver enhed, der understøtter RADIUS CoA — Change of Authorization).
Derudover vedlægger jeg vores artikler .
Bemærk: Check Point SMB-enheder understøtter ikke RADIUS CoA.
Fantastisk på engelsk beskriver, hvordan man opretter gæsteadgang ved hjælp af Cisco ISE på Cisco WLC (Wireless Controller). Lad os finde ud af det!
1. Introduktion
Gæsteadgang (portal) gør det muligt at give adgang til internettet eller interne ressourcer for gæster og brugere, som du ikke ønsker at lade ind i dit lokale netværk. Der findes 3 foruddefinerede typer af gæsteportaler (Guest portal):
Hotspot Guest portal — adgang til netværket gives til gæster uden loginoplysninger. Brugerne skal normalt acceptere virksomhedens 'Brug og privatlivspolitik', før de får adgang til netværket.
Sponsored-Guest portal — adgang til netværket og loginoplysninger er obligatorisk at udlevere fra sponsoren — brugeren, der er ansvarlig for at oprette gæste-konti på Cisco ISE.
Self-Registered Guest portal — i dette tilfælde bruger gæsterne eksisterende loginoplysninger, eller de opretter selv en konto med loginoplysninger, men der kræves bekræftelse fra sponsoren for at få adgang til netværket.
På Cisco ISE kan der implementeres adskillige portaler samtidigt. Som standard vil brugeren på gæsteportalen se Cisco-logoet og standard generelle sætninger. Alt dette kan tilpasses, og man kan endda kræve visning af obligatorisk reklame, før der gives adgang.
Konfigurationen af gæsteadgangen kan opdeles i 4 hovedtrin: konfiguration af FortiAP, etablering af forbindelse mellem Cisco ISE og FortiAP, oprettelse af gæsteportal og konfiguration af adgangspolitik.
2. Konfiguration af FortiAP på FortiGate
FortiGate fungerer som controller for adgangspunktet, og alle indstillinger foretages på den. FortiAP-adgangspunkt understøtter PoE, så snart du tilslutter det til netværket via Ethernet, kan du begynde konfigurationen.
1) Gå til fanen på FortiGate WiFi & Switch Controller > Managed FortiAPs > Opret ny > Managed AP. Ved at bruge det unikke serienummer på adgangspunktet, som er angivet på selve adgangspunktet, skal du tilføje det som et objekt. Alternativt kan det blive opdaget automatisk, og så skal du klikke på Autoriser med højre musetast.
2) Indstillingerne for FortiAP kan være standard, så lad dem som på skærmbilledet. Jeg anbefaler stærkt at aktivere 5 GHz-tilstand, da nogle enheder ikke understøtter 2.4 GHz.
3) Gå derefter til fanen WiFi & Switch Controller > FortiAP-profiler > Opret ny vi opretter en profiltabel for adgangspunktet (version af 802.11-protokollen, SSID-tilstand, kanalens frekvens og deres antal).
Eksempel på FortiAP-indstillinger
4) Næste skridt er oprettelsen af SSID. Gå til fanen WiFi & Switch Controller > SSIDs > Opret ny > SSID. Her er det vigtigt at konfigurere:
adresseområdet for gæste-WLAN — IP/netmaske
RADIUS-regnskab og Secure Fabric Connection i feltet Adgangsadgang
Muligheden for enhedsdetektion
SSID og muligheden for at sende SSID
Indstillinger for sikkerhedstilstand > Captive Portal
Godkendelsesportal — Ekstern og indsætte linket til den oprettede gæsteportal fra Cisco ISE fra punkt 20
Brugergruppe — Gæstegruppe — Ekstern — tilføj RADIUS på Cisco ISE (punkt 6 og fremad)
Eksempel på SSID-konfiguration
5) Derefter skal du oprette regler i adgangspolitikken på FortiGate. Gå til fanen Politik & Objekter > Firewall-politik og opret en regel af følgende type:
3. Konfiguration af RADIUS
6) Gå til webgrænsefladen for Cisco ISE til fanen Politik > Politikelementer > Ordbøger > System > Radius > RADIUS-udbydere > Tilføj. I denne fane tilføjer vi RADIUS-protokoller fra Fortinet til listen over understøttede, da næsten hver udbyder har sine egne specifikke attributter — VSA (Vendor-Specific Attributes).
Listen over RADIUS-attributter for Fortinet kan findes . VSA adskiller sig efter den unikke Vendor ID. For Fortinet er denne ID = 12356. Den fulde VSA blev offentliggjort af IANA.
7) Angiv et navn til ordbogen, angiv Vendor ID (12356) og klik på Indsend.
8) Derefter går vi til Administration > Network Device Profiles > Tilføj og opretter en ny enhedsprofil. I feltet RADIUS-ordbøger skal du vælge den tidligere oprettede Fortinet RADIUS-ordbog og vælge CoA-metoderne for at bruge dem senere i ISE-politikken. Jeg valgte RFC 5176 og Port Bounce (shutdown/no shutdown på netværksgrænsefladen) samt de relevante VSA:
Fortinet-Access-Profile = read-write
Fortinet-Group-Name = fmg_faz_admins
9) Derefter skal FortiGate tilføjes for forbindelsen til ISE. Gå til fanen Administration > Network Resources > Network Device Profiles > Tilføj. Feltterne Navn, Leverandør, RADIUS-ordbøger skal ændres (IP-adresse bruges FortiGate, ikke FortiAP).
Eksempel på RADIUS-konfiguration fra ISE
10) Herefter skal RADIUS konfigureres på FortiGate-siden. Gå ind i webgrænsefladen på FortiGate. Bruger & godkendelse > RADIUS-servere > Opret ny. Angiv navn, IP-adresse og delt hemmelighed (adgangskode) fra det foregående punkt. Klik derefter på Test brugerlegitimationsoplysninger og indtast vilkårlige legitimationsoplysninger, der kan hentes via RADIUS (for eksempel lokal bruger på Cisco ISE).
11) Tilføj RADIUS-serveren til gruppen Guest-Group (hvis den ikke eksisterer, skal du oprette den) samt eksterne bruger-ressourcer.
12) Glem ikke at tilføje gruppen Guest-Group til SSID, som vi oprettede tidligere i punkt 4.
4. Konfiguration af bruger-godkendelse
13) Valgfrit kan du importere et certifikat til gæsteportalen ISE eller oprette et selvsigneret certifikat under fanen Arbejdscentre > Gæsteadgang > Administration > Certificering > Systemcertifikater.
14) Herefter under fanen Arbejdscentre > Gæsteadgang > Identitetsgrupper > Brugeridentitetsgrupper > Tilføj opret en ny brugergruppe til gæsteadgang, eller brug de standardoprettede.
15) Derefter under fanen Administration > Identiteter opret gæste-brugere og tilføj dem til grupperne fra det foregående punkt. Hvis du ønsker at bruge eksterne konti, skal du springe dette trin over.
16) Herefter går vi til indstillingerne Arbejdscentre > Gæsteadgang > Identiteter > Identitetskildesequence > Gæsteportal-sequence — dette er den forudindstillede sekvens for godkendelse af gæste-brugere. Vælg i feltet Liste over godkendelsessøgninger den rækkefølge, hvori brugerne skal godkendes.
17) For at informere gæster med engangskoder kan du konfigurere SMS-udbydere eller SMTP-servere til dette formål. Gå til fanen Arbejdscentre > Gæsteadgang > Administration > SMTP-server eller SMS-gateway-udbydere for disse indstillinger. I tilfælde af SMTP-serveren kræves det, at du opretter en konto til ISE og angiver oplysningerne på denne fane.
18) For SMS-underretninger skal du bruge den relevante fane. I ISE findes der forudindstillede profiler for populære SMS-udbydere, men det er bedst at oprette din egen. Brug disse profiler som eksempel på konfiguration SMS Email Gatewayeller SMS HTTP API.
Eksempel på konfiguration af SMTP-server og SMS-gateway til engangskode
5. Konfiguration af gæsteportalen
19) Som nævnt i begyndelsen, er der 3 typer forudinstallerede gæsteportaler: Hotspot, Sponsoreret, Selvregistreret. Jeg foreslår at vælge den tredje mulighed, da den er den mest almindelige. I øvrigt er indstillingerne i vid udstrækning ens. Så lad os gå til fanen Work Centers > Guest Access > Portals & Components > Guest Portals > Selvregistreret gæsteportal (standard).
20) Gå til fanen Portal Page Customization og vælg “Vis på dansk — Dansk”, så portalvisningen skifter til dansk. Du kan ændre teksten i enhver fane, tilføje dit logo og meget mere. Til højre ses en forhåndsvisning af gæsteportalen for nemmere overblik.
Eksempel på opsætning af gæsteportal med selvregistrering
21) Klik på teksten “Portal test URL” og kopier URL'en til portalen i SSID på FortiGate i trin 4. URL'en ser cirka sådan ud
For at dit domæne vises, skal du uploade et certifikat til gæsteportalen, se trin 13.
22) Gå til fanen Work Centers > Guest Access > Policy Elements > Results > Authorization Profiles > Tilføj for at oprette en autorisationsprofil til den tidligere oprettede Netværksenhedsprofil.
23) I fanen Work Centers > Guest Access > Policy Sets rediger adgangspolitikken for WiFi-brugere.
24) Lad os forsøge at oprette forbindelse til gæste-SSID. Jeg bliver straks omdirigeret til login-siden. Her kan man logge ind med den gæstekonto, der er oprettet lokalt i ISE, eller registrere sig som gæstebruger.
25) Hvis du har valgt selvregistreringsmuligheden, kan de engangs loginoplysninger sendes via e-mail, SMS eller printes.
26) I fanen RADIUS > Live Logs på Cisco ISE vil du se de relevante loginlogs.
6. Konklusion
I denne lange artikel har vi med succes konfigureret gæsteadgang på Cisco ISE, hvor FortiGate fungerer som controller for adgangspunkterne, og FortiAP som adgangspunkt. Dette har resulteret i en bemærkelsesværdig integration, der atter en gang beviser det brede anvendelsesområde for ISE.
For at teste Cisco ISE, kontakt os venligst på , og hold øje med opdateringerne på vores kanaler (, , , , ).
Kilde: habr.com
