Benvenuti nella terza pubblicazione del ciclo di articoli dedicati a Cisco ISE. I link a tutti gli articoli del ciclo sono riportati qui sotto:
In questa pubblicazione vi aspetta un'immersione nell'accesso ospite, oltre a una guida passo-passo per integrare Cisco ISE e FortiGate per configurare FortiAP — il punto di accesso di Fortinet (in generale, è adatto qualsiasi dispositivo che supporti RADIUS CoA — Change of Authorization).
In aggiunta, allego i nostri articoli .
Nota: I dispositivi Check Point SMB non supportano RADIUS CoA.
Un eccellente articolo in lingua inglese descrive come creare un accesso ospite con Cisco ISE su Cisco WLC (Wireless Controller). Scopriamo insieme!
1. Introduzione
L'accesso ospite (portale) consente di fornire accesso a Internet o a risorse interne per ospiti e utenti che non si desidera far entrare nella propria rete locale. Ci sono 3 tipi predefiniti di portale ospite (Guest portal):
Hotspot Guest portal — l'accesso alla rete è fornito agli ospiti senza credenziali. In genere, gli utenti devono accettare la “Politica di utilizzo e privacy” dell'azienda prima di poter accedere alla rete.
Sponsored-Guest portal — l'accesso alla rete e le credenziali devono essere fornite da uno sponsor — l'utente responsabile della creazione degli account ospiti su Cisco ISE.
Self-Registered Guest portal — in questo caso, gli ospiti utilizzano credenziali esistenti o creano autonomamente un account con le proprie credenziali, ma è necessaria l'approvazione di uno sponsor per accedere alla rete.
Su Cisco ISE è possibile implementare più portali contemporaneamente. Di default, nel portale ospite, l'utente vedrà il logo Cisco e frasi generali standard. Tutto questo può essere personalizzato e si può anche impostare la visualizzazione di pubblicità obbligatoria prima di ottenere l'accesso.
La configurazione dell'accesso ospite può essere suddivisa in 4 fasi principali: configurazione di FortiAP, stabilire la connettività tra Cisco ISE e FortiAP, creazione del portale ospite e configurazione delle politiche di accesso.
2. Configurazione di FortiAP su FortiGate
FortiGate è il controller dei punti di accesso e tutte le impostazioni vengono effettuate su di esso. I punti di accesso FortiAP supportano PoE, quindi appena li collegate alla rete tramite Ethernet, potete iniziare la configurazione.
1) Su FortiGate andate alla scheda WiFi & Switch Controller > Managed FortiAPs > Create New > Managed AP. Utilizzando il numero di serie unico dell'access point, indicato sull'access point stesso, aggiungilo come oggetto. In alternativa, potrebbe essere rilevato automaticamente e quindi premi Autorizza con il tasto destro del mouse.
2) Le impostazioni di FortiAP possono essere predefinite, per esempio lascia come nello screenshot. Si raccomanda vivamente di abilitare la modalità 5 GHz, poiché alcuni dispositivi non supportano 2.4 GHz.
3) Quindi nella scheda WiFi & Switch Controller > Profili FortiAP > Crea Nuovo creiamo un profilo di configurazione per l'access point (versione del protocollo 802.11, modalità SSID, frequenza del canale e il loro numero).
Esempio di configurazioni FortiAP
4) Il passaggio successivo è la creazione dell'SSID. Vai alla scheda WiFi & Switch Controller > SSID > Crea Nuovo > SSID. Qui tra le cose importanti dobbiamo configurare:
spazio indirizzi per WLAN guest — IP/Netmask
Contabilità RADIUS e Connessione Sicura al Fabric nel campo Accesso Amministrativo
Opzione Rilevamento Dispositivo
SSID e opzione Broadcast SSID
Impostazioni della Modalità di Sicurezza > Portale Captivo
Portale di Autenticazione — Esterno e inserire il link al portale guest creato in Cisco ISE dal punto 20
Gruppo Utenti — Gruppo Guest — Esterno — aggiungere RADIUS su Cisco ISE (punti 6 e seguenti)
Esempio di impostazioni SSID
5) Dobbiamo quindi creare regole nella politica di accesso su FortiGate. Vai alla scheda Politica & Oggetti > Politica Firewall e crea una regola del seguente tipo:
3. Configurazione RADIUS
6) Vai alla web interface di Cisco ISE nella scheda Politica > Elementi della Politica > Dizionari > Sistema > Radius > Fornitori RADIUS > Aggiungi. In questa scheda aggiungeremo alla lista i protocolli RADIUS supportati da Fortinet, poiché quasi ogni fornitore ha i propri attributi specifici — VSA (Attributi Specifici del Fornitore).
L'elenco degli attributi RADIUS di Fortinet può essere trovato . I VSA si differenziano per numero ID univoco del Fornitore. Per Fortinet questo ID = 12356. L'intero VSA è stato pubblicato dall'organizzazione IANA.
7) Assegna un nome al dizionario, specificando Vendor ID (12356) e premi Invia.
8) Dopo andiamo a Amministrazione > Profili Dispositivi di Rete > Aggiungi e creiamo un nuovo profilo del dispositivo. Nel campo Dizionari RADIUS dovresti selezionare il dizionario RADIUS Fortinet creato in precedenza e scegliere i metodi CoA per poterli utilizzare successivamente nella politica ISE. Ho scelto RFC 5176 e Port Bounce (shutdown/no shutdown dell'interfaccia di rete) e i VSA corrispondenti:
Fortinet-Access-Profile = read-write
Fortinet-Group-Name = fmg_faz_admins
9) Successivamente, bisogna aggiungere FortiGate per la connettività con ISE. Per questo, accedi alla scheda Amministrazione > Risorse di Rete > Profili Dispositivi di Rete > Aggiungi. Modificare i campi Nome, Fornitore, Dizionari RADIUS (L'indirizzo IP utilizzato è FortiGate, non FortiAP).
Esempio di configurazione RADIUS da parte di ISE
10) Dopo, è necessario configurare RADIUS sul lato di FortiGate. Nell'interfaccia web di FortiGate, vai a Utente & Autenticazione > Server RADIUS > Crea Nuovo. Indica il nome, l'indirizzo IP e il segreto condiviso (password) del punto precedente. Quindi, premi Testa Credenziali Utente e inserisci qualsiasi credenziale che possa essere recuperata tramite RADIUS (ad esempio, un utente locale su Cisco ISE).
11) Aggiungi il server RADIUS al gruppo Guest-Group (se non esiste, crealo), così come i fonti esterni degli utenti.
12) Non dimenticare di aggiungere il gruppo Guest-Group nel SSID che abbiamo creato precedentemente al punto 4.
4. Configurazione degli utenti di autenticazione
13) Facoltativamente, puoi importare un certificato nel portale ospite ISE o creare un certificato autofirmato nella scheda Centri di Lavoro > Accesso Ospite > Amministrazione > Certificazione > Certificati di Sistema.
14) Successivamente, nella scheda Centri di Lavoro > Accesso Ospite > Gruppi di Identità > Gruppi di Identità Utente > Aggiungi crea un nuovo gruppo di utenti per l'accesso degli ospiti, oppure utilizza quelli creati di default.
15) Poi, nella scheda Amministrazione > Identità crea utenti ospiti e aggiungili ai gruppi del punto precedente. Se desideri utilizzare account esterni, salta questo passaggio.
16) Dopo, andiamo nelle impostazioni Centri di Lavoro > Accesso Ospite > Identità > Sequenza di Origine Identità > Sequenza Portale Ospite — questa è la sequenza di autenticazione predefinita per gli utenti ospiti. E nel campo Elenco di Ricerca Autenticazione seleziona l'ordine di autenticazione degli utenti.
17) Per notificare agli ospiti una password monouso, è possibile configurare fornitori SMS o un server SMTP per questo scopo. Vai alla scheda Centri di Lavoro > Accesso Ospite > Amministrazione > Server SMTP o Fornitori Gateways SMS per queste impostazioni. Nel caso del server SMTP, è necessario creare un account per ISE e inserire i dati in questa scheda.
18) Per le notifiche SMS, utilizza la scheda corrispondente. In ISE ci sono profili predefiniti per fornitori SMS popolari, ma è meglio crearne uno tuo. Utilizza questi profili come esempio per la configurazione Gateway Email SMSo SMS HTTP API.
Esempio di configurazione di un server SMTP e di un gateway SMS per password monouso
5. Configurazione del portale ospite
19) Come accennato all'inizio, ci sono 3 tipi di portali ospiti preimpostati: Hotspot, Sponsorizzato, Auto-registrato. Ti consiglio di scegliere la terza opzione, poiché è la più comune. In ogni caso, le impostazioni sono in gran parte identiche. Pertanto, andiamo alla scheda Centri di lavoro > Accesso ospite > Portali & Componenti > Portali ospiti > Portale Ospite Auto-registrato (predefinito).
20) Successivamente, nella scheda Personalizzazione della pagina del portale, seleziona "Visualizza in russo — Русский", affinché il portale venga visualizzato in lingua russa. Puoi modificare il testo di qualsiasi scheda, aggiungere il tuo logo e molto altro. Nella parte destra dell'angolo, puoi vedere un'anteprima del portale ospite per una visione più comoda.
Esempio di configurazione del portale ospite con auto-registrazione
21) Fai clic sulla frase "URL di prova del portale" e copia l'URL del portale nel SSID su FortiGate al passo 4. Aspetto dell'URL
Per visualizzare il tuo dominio, è necessario caricare un certificato sul portale ospite, vedi il passo 13.
22) Vai alla scheda Centri di lavoro > Accesso ospite > Elementi di politica > Risultati > Profili di autorizzazione > Aggiungi per creare un profilo di autorizzazione per il profilo di dispositivo di rete creato in precedenza.
23) Nella scheda Centri di lavoro > Accesso ospite > Set di politiche modifica la politica di accesso per gli utenti WiFi.
24) Proviamo a connetterci al SSID ospite. Vengo subito reindirizzato alla pagina di accesso. Qui puoi accedere con l'account guest creato localmente su ISE, oppure registrarti come utente ospite.
25) Se hai scelto l'opzione di auto-registrazione, i dati di accesso usa e getta possono essere inviati via email, tramite SMS o stampati.
26) Nella scheda RADIUS > Log in tempo reale su Cisco ISE vedrai i log corrispondenti degli accessi.
6. Conclusione
In questo lungo articolo abbiamo configurato con successo l'accesso ospite su Cisco ISE, dove FortiGate funge da controllore dei punti di accesso e FortiAP come punto di accesso. È stata una integrazione piuttosto non banale, che dimostra ancora una volta il vasto utilizzo di ISE.
Per testare Cisco ISE contattaci a , e segui i nostri aggiornamenti sui nostri canali (, , , , ).
Fonte: habr.com
