Benvenuti al terzo articolo della nostra serie dedicata a Cisco ISE. Di seguito trovate i link a tutti gli articoli della serie:
In questo articolo vi immergerete nell'accesso ospiti e troverete una guida passo passo per integrare Cisco ISE e FortiGate per configurare FortiAP — il punto di accesso di Fortinet (va bene qualsiasi dispositivo compatibile con RADIUS CoA — Change of Authorization).
In aggiunta, vi presento i nostri articoli .
Nota: I dispositivi Check Point SMB non supportano RADIUS CoA.
Un ottimo in inglese descrive come creare un accesso ospiti utilizzando Cisco ISE su Cisco WLC (Wireless Controller). Approfondiamo!
1. Introduzione
L'accesso ospite (portale) consente di fornire accesso a Internet o a risorse interne a ospiti e utenti che non si desidera far entrare nella propria rete locale. Sono disponibili 3 tipi preimpostati di portale per ospiti (Guest portal):
Hotspot Guest portal — l'accesso alla rete è fornito agli ospiti senza dati di accesso. In genere, gli utenti devono accettare la "Politica d'uso e riservatezza" dell'azienda prima di poter accedere alla rete.
Portale Ospiti Sponsorizzati — l'accesso alla rete e i dati di accesso devono essere forniti dallo sponsor, l'utente responsabile della creazione degli account ospiti su Cisco ISE.
Portale Ospiti Registrati da Soli — in questo caso, gli ospiti utilizzano dati di accesso esistenti oppure creano autonomamente un account con i propri dati di accesso; tuttavia, è necessaria la conferma dello sponsor per ottenere l'accesso alla rete.
Su Cisco ISE è possibile implementare più portali contemporaneamente. Per impostazione predefinita, nel portale ospiti, l'utente vedrà il logo Cisco e frasi generiche standard. Tutto questo può essere personalizzato e persino è possibile mostrare pubblicità obbligatoria prima di fornire l'accesso.
La configurazione dell'accesso ospite può essere suddivisa in 4 fasi principali: configurazione di FortiAP, stabilire la connettività tra Cisco ISE e FortiAP, creazione del portale ospiti e configurazione della politica di accesso.
2. Configurazione di FortiAP su FortiGate
FortiGate funge da controller per punti di accesso e tutte le configurazioni vengono eseguite su di esso. I punti di accesso FortiAP supportano PoE, quindi una volta collegati alla rete tramite Ethernet, si può iniziare la configurazione.
1) Su FortiGate, accedi alla scheda Controller WiFi & Switch > FortiAP Gestiti > Crea Nuovo > AP Gestito. Utilizzando il numero di serie unico dell'access point, che è indicato sull'access point stesso, aggiungilo come oggetto. In alternativa, può essere rilevato automaticamente e quindi premi Autorizza con il tasto destro del mouse.
2) Le impostazioni di FortiAP possono essere di default, per esempio lasciale come nello screenshot. È fortemente consigliato attivare la modalità 5 GHz, poiché alcuni dispositivi non supportano la 2.4 GHz.
3) Poi nella scheda WiFi & Switch Controller > Profili FortiAP > Crea nuovo creiamo un profilo di impostazioni per l'access point (versione del protocollo 802.11, modalità SSID, frequenza del canale e il loro numero).
Esempio delle impostazioni FortiAP
4) Il passo successivo è creare l'SSID. Vai alla scheda WiFi & Switch Controller > SSID > Crea nuovo > SSID. Qui le impostazioni importanti da configurare sono:
spazio di indirizzamento per il WLAN degli ospiti — IP/Netmask
RADIUS Accounting e Secure Fabric Connection nel campo Accesso Amministrativo
Opzione Rilevamento Dispositivo
SSID e opzione Broadcast SSID
Impostazioni Modalità di Sicurezza > Portale Captivo
Portale di Autenticazione — Esterno e inserisci il link al portale ospite creato da Cisco ISE al punto 20
Gruppo Utenti — Gruppo Ospiti — Esterno — aggiungi RADIUS a Cisco ISE (punto 6 e successivi)
Esempio impostazione SSID
5) Poi bisogna creare le regole nella politica di accesso su FortiGate. Vai alla scheda Politica & Oggetti > Politica del Firewall e crea una regola del seguente tipo:
3. Configurazione RADIUS
6) Vai all'interfaccia web di Cisco ISE nella scheda Politica > Elementi di Politica > Dizionari > Sistema > RADIUS > Fornitori RADIUS > Aggiungi. In questa scheda aggiungeremo l'elenco dei protocolli RADIUS supportati da Fortinet, poiché quasi ogni fornitore ha i propri attributi specifici — VSA (Vendor-Specific Attributes).
L'elenco degli attributi RADIUS di Fortinet può essere trovato . I VSA si differenziano per un numero unico di Vendor ID. Per Fortinet questo ID è = 12356. Completo Il VSA è stato pubblicato dall'organizzazione IANA.
7) Assegna un nome al dizionario, specificando Vendor ID (12356) e premi Invia.
8) Ora vai su Amministrazione > Profili Dispositivi di Rete > Aggiungi e crea un nuovo profilo dispositivo. Nel campo Dizionari RADIUS seleziona il dizionario RADIUS Fortinet precedentemente creato e scegli i metodi CoA da utilizzare poi nella politica ISE. Ho scelto RFC 5176 e Port Bounce (shutdown/no shutdown dell'interfaccia di rete) e i relativi VSA:
Fortinet-Access-Profile = read-write
Fortinet-Group-Name = fmg_faz_admins
9) Successivamente, aggiungi FortiGate per la connettività con ISE. Per farlo, vai alla scheda Amministrazione > Risorse di Rete > Profili Dispositivi di Rete > Aggiungi. Modifica i campi Nome, Fornitore, Dizionari RADIUS (L'indirizzo IP utilizza FortiGate, non FortiAP).
Esempio di configurazione RADIUS dal lato ISE
10) Successivamente, configura RADIUS sul FortiGate. Nel web interface di FortiGate, vai su User & Authentication > RADIUS Servers > Crea nuovo. Indica il nome, l'indirizzo IP e il Shared secret dalla sezione precedente. Poi fai clic su Test User Credentials e inserisci qualsiasi credenziale che possa essere recuperata tramite RADIUS (ad esempio, un utente locale su Cisco ISE).
11) Aggiungi il server RADIUS al gruppo Guest-Group (se non esiste, crealo) così come a fonti esterne di utenti.
12) Non dimenticare di aggiungere il gruppo Guest-Group nell'SSID che abbiamo creato in precedenza al punto 4.
4. Configurazione degli utenti di autenticazione
13) Facoltativamente, puoi importare un certificato nel portale guest ISE o creare un certificato autofirmato nella scheda Work Centers > Guest Access > Administration > Certification > System Certificates.
14) Successivamente, nella scheda Work Centers > Guest Access > Identity Groups > User Identity Groups > Aggiungi crea un nuovo gruppo di utenti per l'accesso ospite, oppure utilizza quelli predefiniti.
15) Poi nella scheda Administration > Identities crea utenti ospiti e aggiungili ai gruppi del punto precedente. Se desideri utilizzare account di terze parti, salta questo passaggio.
16) Successivamente, andiamo nelle impostazioni Work Centers > Guest Access > Identities > Identity Source Sequence > Guest Portal Sequence — questa è la sequenza di autenticazione preimpostata per gli utenti ospiti. E nel campo Authentication Search List seleziona l'ordine di autenticazione degli utenti.
17) Per notificare agli ospiti tramite password temporanea, puoi configurare i fornitori SMS o un server SMTP per questo scopo. Vai alla scheda Work Centers > Guest Access > Administration > SMTP Server o Fornitori di Gateway SMS per queste impostazioni. Nel caso del server SMTP, è necessario creare un account per ISE e specificare i dati in questa scheda.
18) Per le notifiche SMS, utilizza la scheda corrispondente. In ISE ci sono profili predefiniti per i fornitori di SMS popolari, ma è meglio crearne uno tuo. Utilizza questi profili come esempio di configurazione SMS Email Gatewayo SMS HTTP API.
Esempio di configurazione per il server SMTP e il gateway SMS per le password temporanee
5. Configurazione del portale ospite
19) Come accennato all'inizio, ci sono 3 tipi di portali ospiti preinstallati: Hotspot, Sponsorizzato, Autoregistrato. Ti consiglio di scegliere il terzo opzione, poiché è la più comune. In ogni caso, le impostazioni sono per lo più identiche. Pertanto, passiamo alla scheda Work Centers > Guest Access > Portals & Components > Guest Portals > Self-Registered Guest Portal (default).
20) Successivamente, nella scheda Portal Page Customization, seleziona “View in Russian — Русский”, affinché il portale venga visualizzato in russo. Puoi modificare il testo di qualsiasi scheda, aggiungere il tuo logo e molto altro. A destra c'è un'anteprima del portale ospite per una visualizzazione più comoda.
Esempio di configurazione del portale ospite con autoregistrazione
21) Fai clic sulla frase “Portal test URL” e copia l'URL del portale nello SSID su FortiGate al passaggio 4. Aspetto dell'URL
Per visualizzare il tuo dominio, è necessario caricare il certificato sul portale ospite, guarda il passaggio 13.
22) Vai alla scheda Work Centers > Guest Access > Policy Elements > Results > Authorization Profiles > Aggiungi per creare un profilo di autorizzazione per il profilo del dispositivo di rete precedentemente creato. Network Device Profile.
23) Nella scheda Work Centers > Guest Access > Policy Sets modifica la politica di accesso per gli utenti WiFi.
24) Proviamo a connetterci all'SSID degli ospiti. Vengo subito reindirizzato alla pagina di accesso. Qui puoi accedere con l'account guest, creato localmente su ISE, oppure registrarti come utente ospite.
25) Se hai scelto l'opzione di auto-registrazione, i dati di accesso temporanei possono essere inviati via email, tramite SMS o stampati.
26) Nella scheda RADIUS > Live Logs su Cisco ISE vedrai i relativi log di accesso.
6. Conclusione
In questo lungo articolo abbiamo configurato con successo l'accesso agli ospiti su Cisco ISE, dove il controller dei punti di accesso è FortiGate e il punto di accesso è FortiAP. È emersa una significativa integrazione, che dimostra ancora una volta l'ampio utilizzo di ISE.
Per testare Cisco ISE contattaci a , e segui gli aggiornamenti sui nostri canali (, , , , ).
Fonte: habr.com
