Cisco ISE: სტუმრების წვდომის კონფიგურაცია FortiAP-ზე. ნაწილი 3

მოგესალმებით Cisco ISE სერიის მესამე პოსტში. სერიის ყველა სტატიის ბმულები მოცემულია ქვემოთ:

1. Cisco ISE: შესავალი, მოთხოვნები, ინსტალაცია. Ნაწილი 1

2. Cisco ISE: მომხმარებლების შექმნა, LDAP სერვერების დამატება, AD-თან ინტეგრირება. Მე -2 ნაწილი

3. Cisco ISE: სტუმრების წვდომის კონფიგურაცია FortiAP-ზე. ნაწილი 3

ამ პოსტში თქვენ გაეცნობით სტუმრების წვდომას, ასევე ნაბიჯ-ნაბიჯ სახელმძღვანელოს Cisco ISE-ისა და FortiGate-ის ინტეგრაციისთვის FortiAP-ის, წვდომის წერტილის Fortinet-ის კონფიგურაციისთვის (ზოგადად, ნებისმიერი მოწყობილობა, რომელიც მხარს უჭერს RADIUS CoA — ავტორიზაციის შეცვლა).

თან ერთვის ჩვენი სტატიები. Fortinet - სასარგებლო მასალების შერჩევა.

შენიშვნაპასუხი: Check Point SMB მოწყობილობები არ უჭერს მხარს RADIUS CoA.

მშვენიერი ხელმძღვანელობა ინგლისურად აღწერს, თუ როგორ უნდა შექმნათ სტუმრის წვდომა Cisco ISE-ის გამოყენებით Cisco WLC-ზე (უკაბელო კონტროლერი). მოდით გავარკვიოთ!

1. შესავალი

სტუმრის წვდომა (პორტალი) საშუალებას გაძლევთ უზრუნველყოთ წვდომა ინტერნეტზე ან შიდა რესურსებზე სტუმრებისა და მომხმარებლებისთვის, რომელთა შეშვება არ გსურთ თქვენს ადგილობრივ ქსელში. არსებობს სტუმრების პორტალის 3 წინასწარ განსაზღვრული ტიპი (სტუმრების პორტალი):

1. Hotspot Guest პორტალი - ქსელში წვდომა სტუმრებს ეძლევათ შესვლის მონაცემების გარეშე. მომხმარებლებს ზოგადად მოეთხოვებათ დაეთანხმონ კომპანიის „გამოყენებისა და კონფიდენციალურობის პოლიტიკას“ ქსელში წვდომამდე.

2. Sponsored-Guest პორტალი - ქსელში წვდომა და შესვლის მონაცემებზე უნდა გასცეს სპონსორი - მომხმარებელი, რომელიც პასუხისმგებელია სტუმრების ანგარიშების შექმნაზე Cisco ISE-ზე.

3. თვითრეგისტრირებული სტუმრების პორტალი - ამ შემთხვევაში, სტუმრები იყენებენ შესვლის არსებულ დეტალებს, ან ქმნიან საკუთარ ანგარიშს შესვლის დეტალებით, მაგრამ სპონსორის დადასტურება საჭიროა ქსელში წვდომისთვის.

Cisco ISE-ზე ერთდროულად შეიძლება განთავსდეს მრავალი პორტალი. ნაგულისხმევად, სტუმრების პორტალში მომხმარებელი დაინახავს Cisco-ს ლოგოს და სტანდარტულ გავრცელებულ ფრაზებს. ამ ყველაფრის მორგება და წვდომის მოპოვებამდე სავალდებულო რეკლამის სანახავადაც კი შესაძლებელია.

სტუმრების წვდომის დაყენება შეიძლება დაიყოს 4 ძირითად ეტაპად: FortiAP-ის დაყენება, Cisco ISE და FortiAP დაკავშირება, სტუმრების პორტალის შექმნა და წვდომის პოლიტიკის დაყენება.

2. FortiAP-ის კონფიგურაცია FortiGate-ზე

FortiGate არის წვდომის წერტილის კონტროლერი და მასზე კეთდება ყველა პარამეტრი. FortiAP წვდომის წერტილები მხარს უჭერს PoE-ს, ასე რომ, როგორც კი დაუკავშირდებით მას ქსელში Ethernet-ის საშუალებით, შეგიძლიათ დაიწყოთ კონფიგურაცია.

1) FortiGate-ზე გადადით ჩანართზე WiFi & Switch Controller > Managed FortiAPs > New Create > Managed AP. წვდომის წერტილის უნიკალური სერიული ნომრის გამოყენებით, რომელიც დაბეჭდილია თავად წვდომის წერტილზე, დაამატეთ იგი ობიექტად. ან შეიძლება გამოიჩინოს თავი და შემდეგ დააჭიროს ავტორიზაცია მაუსის მარჯვენა ღილაკის გამოყენებით.

2) FortiAP პარამეტრები შეიძლება იყოს ნაგულისხმევი, მაგალითად, დატოვეთ როგორც ეკრანის სურათზე. მე გირჩევთ ჩართოთ 5 გჰც რეჟიმი, რადგან ზოგიერთ მოწყობილობას არ აქვს 2.4 გჰც-ის მხარდაჭერა.

3) შემდეგ ჩანართში WiFi & Switch Controller > FortiAP Profiles > Create New ჩვენ ვქმნით პარამეტრების პროფილს წვდომის წერტილისთვის (ვერსია 802.11 პროტოკოლი, SSID რეჟიმი, არხის სიხშირე და მათი ნომერი).

FortiAP პარამეტრების მაგალითი

4) შემდეგი ნაბიჯი არის SSID-ის შექმნა. გადადით ჩანართზე WiFi & Switch Controller > SSIDs > New Create > SSID. აქედან მნიშვნელოვანი უნდა იყოს კონფიგურირებული:

• მისამართების სივრცე სტუმრის WLAN-ისთვის - IP/Netmask

• RADIUS Accounting და Secure Fabric Connection ადმინისტრაციული წვდომის ველში

• მოწყობილობის გამოვლენის ვარიანტი

• SSID და Broadcast SSID ვარიანტი

• უსაფრთხოების რეჟიმის პარამეტრები > დატყვევებული პორტალი 

• ავტორიზაციის პორტალი - გარე და ჩადეთ ბმული შექმნილი სტუმრის პორტალზე Cisco ISE-დან 20 საფეხურიდან

• მომხმარებელთა ჯგუფი - სტუმრების ჯგუფი - გარე - დაამატეთ RADIUS Cisco ISE-ს (გვ. 6 და შემდეგ)

SSID დაყენების მაგალითი

5) შემდეგ თქვენ უნდა შექმნათ წესები FortiGate-ზე წვდომის პოლიტიკაში. გადადით ჩანართზე პოლიტიკა და ობიექტები > Firewall Policy და შექმენით ასეთი წესი:

3. RADIUS პარამეტრი

6) გადადით Cisco ISE ვებ ინტერფეისზე ჩანართზე პოლიტიკა > პოლიტიკის ელემენტები > ლექსიკონები > სისტემა > რადიუსი > RADIUS მომწოდებლები > დამატება. ამ ჩანართში ჩვენ დავამატებთ Fortinet RADIUS-ს მხარდაჭერილი პროტოკოლების სიას, რადგან თითქმის ყველა გამყიდველს აქვს საკუთარი სპეციფიკური ატრიბუტები - VSA (Vendor-Specific Attributes).

შეგიძლიათ იპოვოთ Fortinet RADIUS ატრიბუტების სია აქ. VSA-ები გამოირჩევიან მათი უნიკალური გამყიდველის ID ნომრით. Fortinet-ს აქვს ეს ID = 12356... სრული список VSA გამოქვეყნდა IANA-ს მიერ.

7) დააყენეთ ლექსიკონის სახელი, მიუთითეთ გამყიდველი ID (12356) და დააჭირე წარუდგინე.

8) მას შემდეგ რაც მივდივართ ადმინისტრაცია > ქსელის მოწყობილობის პროფილები > დამატება და შექმენით ახალი მოწყობილობის პროფილი. RADIUS Dictionaries ველში აირჩიეთ Fortinet RADIUS-ის ადრე შექმნილი ლექსიკონი და აირჩიეთ CoA მეთოდები, რომ გამოიყენოთ მოგვიანებით ISE პოლიტიკაში. მე ავირჩიე RFC 5176 და Port Bounce (გამორთვა/არ გამორთვა ქსელის ინტერფეისი) და შესაბამისი VSA: 

Fortinet-Access-Profile=წაკითხვა-ჩაწერა

Fortinet-Group-Name = fmg_faz_admins

9) შემდეგი, დაამატეთ FortiGate ISE-თან დასაკავშირებლად. ამისათვის გადადით ჩანართზე ადმინისტრაცია > ქსელის რესურსები > ქსელის მოწყობილობის პროფილები > დამატება. შესაცვლელი ველები სახელი, გამყიდველი, RADIUS ლექსიკონები (IP მისამართს იყენებს FortiGate და არა FortiAP).

RADIUS-ის კონფიგურაციის მაგალითი ISE მხრიდან

10) ამის შემდეგ, თქვენ უნდა დააკონფიგურიროთ RADIUS FortiGate-ის მხარეს. FortiGate ვებ ინტერფეისში გადადით მომხმარებელი და ავთენტიფიკაცია > RADIUS სერვერები > ახლის შექმნა. მიუთითეთ სახელი, IP მისამართი და გაზიარებული საიდუმლო (პაროლი) წინა აბზაციდან. შემდეგი დააწკაპუნეთ ტესტი მომხმარებლის სერთიფიკატები და შეიყვანეთ ნებისმიერი სერთიფიკატი, რომლის ამოღებაც შესაძლებელია RADIUS-ის საშუალებით (მაგალითად, ადგილობრივი მომხმარებელი Cisco ISE-ზე).

11) დაამატეთ RADIUS სერვერი სტუმრების ჯგუფში (თუ ის არ არსებობს), ასევე მომხმარებლების გარე წყარო.

12) არ დაგავიწყდეთ სტუმრების ჯგუფის დამატება SSID-ში, რომელიც ადრე შევქმენით მე-4 საფეხურზე.

4. მომხმარებლის ავტორიზაციის პარამეტრი

13) სურვილისამებრ, შეგიძლიათ სერთიფიკატის იმპორტი ISE სტუმრის პორტალზე ან შექმნათ ხელმოწერილი სერტიფიკატი ჩანართში სამუშაო ცენტრები > სტუმრების წვდომა > ადმინისტრაცია > სერთიფიკატი > სისტემის სერთიფიკატები.

14) ჩანართის შემდეგ სამუშაო ცენტრები > სტუმრების წვდომა > პირადობის ჯგუფები > მომხმარებლის იდენტიფიკაციის ჯგუფები > დამატება შექმენით ახალი მომხმარებლის ჯგუფი სტუმრების წვდომისთვის, ან გამოიყენეთ ნაგულისხმევი.

15) შემდგომ ჩანართში ადმინისტრაცია > პირადობა შექმენით სტუმარი მომხმარებლები და დაამატეთ ისინი წინა აბზაცის ჯგუფებში. თუ გსურთ მესამე მხარის ანგარიშების გამოყენება, გამოტოვეთ ეს ნაბიჯი.

16) მას შემდეგ რაც გადავალთ პარამეტრებზე სამუშაო ცენტრები > სტუმრების წვდომა > პირადობა > იდენტურობის წყაროს თანმიმდევრობა > სტუმრების პორტალის თანმიმდევრობა — ეს არის ნაგულისხმევი ავტორიზაციის თანმიმდევრობა სტუმარი მომხმარებლებისთვის. და მინდორში ავტორიზაციის საძიებო სია აირჩიეთ მომხმარებლის ავტორიზაციის შეკვეთა.

17) სტუმრების ერთჯერადი პაროლით შეტყობინებისთვის, შეგიძლიათ ამ მიზნით SMS პროვაიდერების ან SMTP სერვერის კონფიგურაცია. გადადით ჩანართზე სამუშაო ცენტრები > სტუმრების წვდომა > ადმინისტრაცია > SMTP სერვერი ან SMS კარიბჭის პროვაიდერები ამ პარამეტრებისთვის. SMTP სერვერის შემთხვევაში, თქვენ უნდა შექმნათ ანგარიში ISE-სთვის და მიუთითოთ მონაცემები ამ ჩანართში.

18) SMS შეტყობინებებისთვის გამოიყენეთ შესაბამისი ჩანართი. ISE-ს აქვს პოპულარული SMS პროვაიდერების წინასწარ დაინსტალირებული პროფილები, მაგრამ უმჯობესია შექმნათ საკუთარი. გამოიყენეთ ეს პროფილები, როგორც პარამეტრის მაგალითი SMS ელ.ფოსტის კარიბჭეy ან SMS HTTP API.

SMTP სერვერის და SMS კარიბჭის დაყენების მაგალითი ერთჯერადი პაროლისთვის

5. სტუმრების პორტალის დაყენება

19) როგორც დასაწყისში აღვნიშნეთ, არსებობს 3 ტიპის წინასწარ დაინსტალირებული სტუმრის პორტალი: Hotspot, Sponsored, Self-Registered. მე გირჩევთ აირჩიოთ მესამე ვარიანტი, რადგან ის ყველაზე გავრცელებულია. ნებისმიერ შემთხვევაში, პარამეტრები ძირითადად იდენტურია. მოდით გადავიდეთ ჩანართზე. სამუშაო ცენტრები > სტუმრების წვდომა > პორტალები და კომპონენტები > სტუმრების პორტალები > თვითრეგისტრირებული სტუმრების პორტალი (ნაგულისხმევი). 

20) შემდეგ, პორტალის გვერდის მორგების ჩანართში აირჩიეთ ”ნახვა რუსულ-რუსულად”, რათა პორტალი გამოჩნდეს რუსულ ენაზე. თქვენ შეგიძლიათ შეცვალოთ ნებისმიერი ჩანართის ტექსტი, დაამატოთ თქვენი ლოგო და სხვა. კუთხეში მარჯვნივ არის სტუმრის პორტალის გადახედვა უკეთესი ხედვისთვის.

სტუმრების პორტალის კონფიგურაციის მაგალითი თვითრეგისტრაციით

21) დააწკაპუნეთ ფრაზაზე პორტალის ტესტის URL და დააკოპირეთ პორტალის URL SSID-ზე FortiGate-ზე ნაბიჯი 4. URL-ის ნიმუში https://10.10.30.38:8433/portal/PortalSetup.action?portal=deaaa863-1df0-4198-baf1-8d5b690d4361

თქვენი დომენის საჩვენებლად, თქვენ უნდა ატვირთოთ სერთიფიკატი სტუმრის პორტალზე, იხილეთ ნაბიჯი 13.

22) გადადით ჩანართზე სამუშაო ცენტრები > სტუმრების წვდომა > წესების ელემენტები > შედეგები > ავტორიზაციის პროფილები > დამატება ავტორიზაციის პროფილის შექმნა ადრე შექმნილის მიხედვით ქსელის მოწყობილობის პროფილი.

23) ჩანართში სამუშაო ცენტრები > სტუმრების წვდომა > წესების ნაკრები შეცვალეთ წვდომის პოლიტიკა WiFi მომხმარებლებისთვის.

24) ვცადოთ დაკავშირება სტუმრის SSID-თან. ის მაშინვე გადამისამართებს შესვლის გვერდზე. აქ შეგიძლიათ შეხვიდეთ ISE-ზე ადგილობრივად შექმნილი სტუმრის ანგარიშით, ან დარეგისტრირდეთ როგორც სტუმარი მომხმარებელი.

25) თუ არჩეული გაქვთ თვითრეგისტრაციის ვარიანტი, მაშინ ერთჯერადი შესვლის მონაცემები შეიძლება გაიგზავნოს ფოსტით, SMS-ით ან დაბეჭდილი.

26) RADIUS > Live Logs ჩანართში Cisco ISE-ზე, ნახავთ შესაბამის შესვლის ჟურნალებს.

6. დასკვნა

ამ ვრცელ სტატიაში ჩვენ წარმატებით დავაკონფიგურირეთ სტუმრის წვდომა Cisco ISE-ზე, სადაც FortiGate მოქმედებს როგორც წვდომის წერტილის კონტროლერი, ხოლო FortiAP მოქმედებს როგორც წვდომის წერტილი. აღმოჩნდა ერთგვარი არატრივიალური ინტეგრაცია, რაც კიდევ ერთხელ ადასტურებს ISE-ის ფართო გამოყენებას.

Cisco ISE-ის შესამოწმებლად დაუკავშირდით ლინკებიდა ასევე თვალყური ადევნეთ ჩვენს არხებს (დეპეშა, Facebook, VK, TS Solution ბლოგი, Yandex Zen).

წყარო: www.habr.com