Üdvözlöm a Cisco ISE-nek szentelt cikkek második publikációjában. Az elsőben a Network Access Control (NAC) megoldások előnyeit és különbségeit a szokásos AAA-tól, a Cisco ISE egyediségét, az architektúrát és a termék telepítési folyamatát tárgyaltuk.
Ebben a cikkben mélyebben belemerülünk a felhasználói fiókok létrehozásába, LDAP szerverek hozzáadásába és a Microsoft Active Directory integrálásába, valamint a PassiveID használatának részleteibe. Olvasás előtt javaslom, hogy ismerkedjen meg a .
1. Néhány terminológia
Felhasználói személyazonosság — a felhasználó fiókja, amely tartalmazza a felhasználóval kapcsolatos információkat, és kialakítja a hozzáférési adatokat a hálózathoz. A következő paraméterek általában szerepelnek a Felhasználói személyazonosságban: felhasználónév, e-mail cím, jelszó, a fiók leírása, felhasználói csoport és szerep.
Felhasználói csoportok — a felhasználói csoportok egy olyan csoport egyedi felhasználókból állnak, akik megosztott jogosultsággal rendelkeznek, amely lehetővé teszi számukra, hogy hozzáférjenek a Cisco ISE által kínált bizonyos szolgáltatásokhoz és funkciókhoz.
Felhasználói személyazonossági csoportok — előre beállított felhasználói csoportok, amelyek már tartalmazzák a megadott információkat és szerepeket. A következő Felhasználói személyazonossági csoportok léteznek alapértelmezettként, ezekbe felhasználókat és felhasználói csoportokat lehet hozzáadni: Employee (alkalmazott), SponsorAllAccount, SponsorGroupAccounts, SponsorOwnAccounts (meghívói fiókok a vendégportál kezeléséhez), Guest (vendég), ActivatedGuest (aktív vendég).
Felhasználói szerep — a felhasználói szerep egy jogosultságok halmaza, amely meghatározza, hogy a felhasználó milyen feladatokat végezhet és milyen szolgáltatásokhoz férhet hozzá. Gyakran a felhasználói szerep a felhasználói csoporthoz kapcsolódik.
Továbbá, minden felhasználónak és felhasználói csoportnak vannak további attribútumai, amelyek lehetővé teszik a felhasználó (felhasználói csoport) kiemelését és pontosabb meghatározását. További információ a .
2. Helyi felhasználók létrehozása
1) A Cisco ISE lehetőséget biztosít helyi felhasználók létrehozására és ezek politikákban való felhasználására, vagy akár adminisztrátor szerep adására a termékhez. Válassza a Administration → Identity Management → Identities → Users → Add.
1. ábra. Helyi felhasználó hozzáadása a Cisco ISE-hez
2) A megjelenő ablakban hozzon létre egy helyi felhasználót, adjon meg számára jelszót és egyéb érthető paramétereket.
2. ábra. Helyi felhasználó létrehozása a Cisco ISE-ben
3) Felhasználókat is lehet importálni. Ugyanezen a lapon Adminisztráció → Identitáskezelés → Identitások → Felhasználók választhatja az opciót Importálás és töltsön fel egy csv vagy txt fájlt felhasználókkal. A sablon megszerzéséhez válassza ki Generálj egy sablont, majd töltse ki a felhasználók információival a megfelelő formában.
3. ábra. Felhasználók importálása Cisco ISE-be
3. LDAP szerverek hozzáadása
Ne feledjük, hogy az LDAP egy népszerű alkalmazási szintű protokoll, amely lehetővé teszi az információk megszerzését, azonosítást, és a felhasználói fiókok keresését LDAP szerverekben, a 389-es vagy 636-os (SSL) porton működik. Az LDAP szerverek jelentős példái az Active Directory, Sun Directory, Novell eDirectory és OpenLDAP. Minden LDAP könyvtári bejegyzést DN (Distinguished Name) határoz meg, és a hozzáférési politika kialakításához a felhasználói fiókok, felhasználói csoportok és attribútumok lehívásának (retrieval) feladata áll.
A Cisco ISE lehetővé teszi több LDAP szerverhez való hozzáférés konfigurálását, így redundanciát valósítva meg. Amennyiben az elsődleges (primary) LDAP szerver nem elérhető, az ISE megpróbálja elérni a másodlagosit (secondary) és így tovább. Továbbá, ha két PAN van, akkor az elsődleges PAN-hoz beállíthat egy LDAP-ot elsőbbségi, a másodlagos PAN-hoz egy másik LDAP-ot.
ISE kétféle lekérdezést (lookup) támogat LDAP szerverekkel való munkavégzéskor: Felhasználói lekérdezés és MAC-cím lekérdezés. A Felhasználói lekérdezés lehetővé teszi a felhasználók keresését az LDAP adatbázisban, és a következő információk megszerzését azonosítás nélkül: felhasználók és attribútumaik, felhasználói csoportok. A MAC-cím lekérdezés lehetővé teszi szintén az azonosítás nélküli keresést a MAC címek alapján az LDAP könyvtárakban, és az eszköz információinak, eszközcsoportoknak, és más specifikus attribútumoknak a megszerzését.
Integrációs példaként hozzáadjuk az Active Directory-t LDAP szerverként a Cisco ISE-hez.
1) Lépjen a lapra Adminisztráció → Identitáskezelés → Külső Identitásforrások → LDAP → Hozzáadás.
4. ábra. LDAP szerver hozzáadása
2) A panelen Általános adja meg az LDAP szerver nevét és a sémát (jelen esetben Active Directory).
5. ábra. LDAP szerver hozzáadása Active Directory séma szerint
3) Ezután lépjen a Connection lapra, és adja meg a Hostname/IP cím AD szerverhez, port (389 - LDAP, 636 - SSL LDAP), a domain adminisztrátor hitelesítő adatait (Admin DN - teljes DN), a többi paramétert lehet alapértelmezett értéken hagyni.
Megjegyzés: használja a domain admin adatait, hogy elkerülje a potenciális problémákat.
6. ábra. LDAP szerver adatainek megadása
4) Az Könyvtári Szervezet Meg kell adni a könyvtár területét a DN-en keresztül, ahonnan a felhasználókat és felhasználói csoportokat kell kinyerni.
7. ábra. A könyvtárak meghatározása, ahonnan a felhasználói csoportok beemelhetők
5) Lépjen a következő ablakra Csoportok → Hozzáadás → Csoportok kiválasztása a könyvtárból a csoportok LDAP szerverből való beemeléséhez.
8. ábra. Csoportok hozzáadása az LDAP szerverből
6) A megjelenő ablakban kattintson a Csoportok kinyerése. Ha a csoportok beemelése megtörtént, akkor az előzetes lépések sikeresen teljesültek. Ellenkező esetben próbáljon meg egy másik adminisztrátort, és ellenőrizze az ISE és az LDAP szerver közötti kapcsolatot az LDAP protokollon keresztül.
9. ábra. Az átvett felhasználói csoportok listája
7) A Attribútumok fülön opcionálisan megadhatja, hogy mely attribútumokat szeretné kinyerni az LDAP szerverből, valamint az Speciális beállítások ablakban aktiválja az Jelszóváltoztatás engedélyezéseopciót, amely arra kényszeríti a felhasználókat, hogy változtassák meg a jelszavukat, ha az lejárt vagy vissza lett állítva. Minden esetben kattintson a Küldés folytatáshoz.
8) Az LDAP szerver megjelent a megfelelő fülön, és a jövőben felhasználható a hozzáférési politikák kialakításához.
10. ábra. A hozzáadott LDAP szerverek listája
4. Integráció az Active Directory-val
1) Miután a Microsoft Active Directory szervert LDAP szerverként hozzáadtuk, megkaptuk a felhasználókat, felhasználói csoportokat, de nem a naplókat. Ezután javaslom az AD és a Cisco ISE teljes körű integrálását. Lépjen a Adminisztráció → Azonosítási menedzsment → Külső azonosító források → Active Directory → Hozzáadás.
Megjegyzés: Az AD-hez való sikeres integrációhoz az ISE-nek a domainekben kell lennie, és teljes DNS, NTP és AD szerverrel való kapcsolatban kell állnia, különben nem fog működni.
11. ábra. Active Directory szerver hozzáadása
2) A megjelenő ablakban adja meg a tartomány adminisztrátorának adatait, és jelölje be a Jelszavak tárolása. Továbbá megadhatja az OU (Szervezeti egység) nevét is, ha az ISE egy bizonyos OU-n belül található. Ezt követően ki kell választania azokat a Cisco ISE csomópontokat, amelyeket a domain-hez szeretne csatlakoztatni.
12. ábra. Bejelentkezési adatok megadása
3) A tartományvezérlők hozzáadása előtt győződjön meg arról, hogy a PSN-ben az Adminisztráció → Rendszer → Telepítés opció be van kapcsolva. Passzív Azonosító Szolgáltatás. PasszívID — opció, amely lehetővé teszi a Felhasználó IP-re és fordítva történő leképezését. A PassiveID információt kap az AD-ból WMI, speciális AD ügynökök vagy a switch SPAN portján keresztül (nem a legjobb megoldás).
Megjegyzés: A PassiveID állapotának ellenőrzéséhez írja be a konzolba az ISE parancsot: show application status ise | include PassiveID.
13. ábra. A PassiveID opció engedélyezése
4) Lépjen a fülre Adminisztráció → Azonosít管理 → Külső Azonosító Források → Active Directory → PassiveID és válassza ki a lehetőséget DC-k hozzáadása. Ezután jelölje meg a szükséges tartományvezérlőket és nyomja meg a OK.
14. ábra. Tartományvezérlők hozzáadása
5) Válassza ki az újonnan hozzáadott DC-t, és nyomja meg a gombot Szerkesztés. Adja meg FQDN a DC-jéhez, a tartományi bejelentkezést és jelszót, valamint a kapcsolati opciót WMI vagy Ügynök. Válassza a WMI-t, majd nyomja meg OK.
15. ábra. A tartományvezérlő adatainak megadása
6) Ha a WMI nem a preferált módja a kapcsolatnak az Active Directory-val, akkor ISE ügynökök használatát is választhatja. Az ügynök nélküli módszer azt jelenti, hogy speciális ügynököket telepíthet a szerverekre, amelyek bejelentkezési eseményeket szolgáltatnak. Két telepítési lehetőség van: automatikus és manuális. Az ügynök automatikus telepítése érdekében ugyanazon a lapon PasszívID válassza a következőt Ügynök hozzáadása → Új ügynök telepítése (a DC-nek internet-hozzáféréssel kell rendelkeznie). Ezután töltse ki a kötelező mezőket (ügynök neve, a szerver FQDN-je, a tartományi adminisztrátor bejelentkezése/jelszó) és nyomja meg OK.
16. ábra. Az ISE ügynök automatikus telepítése
7) A Cisco ISE ügynök manuális telepítéséhez válassza a következő opciót Meglévő ügynök regisztrálása. Egyébként az ügynök letöltését a következő lapon végezheti el Munkaközpontok → PassiveID → Szolgáltatók → Ügynökök → Ügynök letöltése.
17. ábra. Az ISE ügynök letöltése
Fontos: A PassiveID nem olvassa az eseményeket kijelentkezés! Az időkorlátnak megfelelő paramétert felhasználói munkamenet idő enek nevezzük, és alapértelmezett értéke 24 óra. Ezért vagy a munkaidő végén saját maga jelentkezzen ki, vagy írjon valamilyen scriptet, amely automatikusan kijelentkezik minden bejelentkezett felhasználóról.
Az információ megszerzéséhez kijelentkezés az „Endpoint probes” (végponti érzékelők) használatára van szükség. A Cisco ISE-ben többféle Endpoint probe létezik: RADIUS, SNMP Trap, SNMP Query, DHCP, DNS, HTTP, Netflow, NMAP Scan. RADIUS probe révén CoA (Jóváhagyás megváltoztatása) csomagok információt adnak a felhasználói jogosultságok megváltoztatásáról (ehhez integrált 802.1X), a hozzáférési kapcsolók SNMP konfigurálása pedig információt ad a csatlakoztatott és leválasztott eszközökről.
Az alábbi példa a Cisco ISE + AD konfigurációjára vonatkozik 802.1X és RADIUS nélkül: a felhasználó be van jelentkezve egy Windows gépen, anélkül, hogy kijelentkezett volna, és egy másik PC-n WiFi-n bejelentkezik. Ebben az esetben az első PC-n a munkamenet továbbra is aktív marad, amíg le nem jár az időkorlát, vagy nem történik kényszerített kijelentkezés. Ebben az esetben, ha az eszközök különböző jogosultságokkal rendelkeznek, az utolsó bejelentkezett eszköz érvényesíti a saját jogosultságait.
8) Az Operations fülön Adminisztráció → Azonosítókezelés → Külső azonosítós when források → Active Directory → Csoportok → Hozzáadás → Csoportok kiválasztása a könyvtárból Kiválaszthatja az AD-ból a csoportokat, amelyeket szeretne átvinni az ISE-be (az esetünkben ezt a 3. lépésben a „LDAP szerver hozzáadása” alatt tettük). Válassza a lehetőséget Csoportok lekérdezése → OK.
18. ábra. Felhasználói csoportok átvitele az Active Directory-ból
9) A következő fülön Munkaközpontok → PassiveID → Áttekintés → Műszerfal Megfigyelheti az aktív munkamenetek számát, az adatforrások, ügynökök számát és egyebeket.
19. ábra. Domain felhasználók aktivitásának monitorozása
10) A Élő munkamenetek jelenlegi munkamenetek jelennek meg. Az AD-val való integráció be van állítva.
20. ábra. Aktív domain felhasználói munkamenetek
5. Zárszó
A cikkben a helyi felhasználók létrehozása a Cisco ISE-ben, LDAP szerverek hozzáadása és a Microsoft Active Directory-val való integráció témáit tárgyalták. A következő cikk a vendég hozzáférést fogja részletesen ismertetni.
Ha kérdései merültek fel a témával kapcsolatban, vagy segítségre van szüksége a termék tesztelésében, keressen minket a .
Kövessen minket frissítéseinkért a csatornánkon (, , , , ).
Forrás: habr.com
