ການປະຕິບັດແນວຄວາມຄິດຂອງການເຂົ້າເຖິງຫ່າງໄກສອກຫຼີກທີ່ມີຄວາມປອດໄພສູງ

ສືບຕໍ່ຊຸດຂອງບົດຄວາມກ່ຽວກັບຫົວຂໍ້ຂອງອົງການຈັດຕັ້ງ ເຂົ້າເຖິງໄລຍະໄກ VPN ການເຂົ້າເຖິງຂ້ອຍບໍ່ສາມາດຊ່ວຍໄດ້ແຕ່ແບ່ງປັນປະສົບການການນໍາໃຊ້ທີ່ຫນ້າສົນໃຈຂອງຂ້ອຍ ການຕັ້ງຄ່າ VPN ປອດໄພສູງ. ວຽກງານທີ່ບໍ່ແມ່ນເລື່ອງເລັກນ້ອຍໄດ້ຖືກນໍາສະເຫນີໂດຍລູກຄ້າຫນຶ່ງ (ມີນັກປະດິດຢູ່ໃນຫມູ່ບ້ານລັດເຊຍ), ແຕ່ສິ່ງທ້າທາຍໄດ້ຖືກຍອມຮັບແລະປະຕິບັດຢ່າງສ້າງສັນ. ຜົນໄດ້ຮັບແມ່ນແນວຄວາມຄິດທີ່ຫນ້າສົນໃຈທີ່ມີລັກສະນະດັ່ງຕໍ່ໄປນີ້:

1. ປັດໃຈຈໍານວນຫນຶ່ງຂອງການປ້ອງກັນການທົດແທນອຸປະກອນ terminal (ມີການຜູກມັດຢ່າງເຂັ້ມງວດກັບຜູ້ໃຊ້);
   • ການປະເມີນຄວາມສອດຄ່ອງຂອງ PC ຂອງຜູ້ໃຊ້ກັບ UDID ທີ່ໄດ້ຮັບມອບຫມາຍຂອງ PC ທີ່ໄດ້ຮັບອະນຸຍາດໃນຖານຂໍ້ມູນການກວດສອບ;
   • ດ້ວຍ MFA ໂດຍໃຊ້ PC UDID ຈາກໃບຢັ້ງຢືນສຳລັບການພິສູດຢືນຢັນຂັ້ນສອງຜ່ານ Cisco DUO (ທ່ານສາມາດແນບ SAML/Radius ເຂົ້າກັນໄດ້);
2. ການພິສູດຢືນຢັນຫຼາຍປັດໃຈ:
   • ໃບຢັ້ງຢືນຜູ້ໃຊ້ທີ່ມີການຢັ້ງຢືນພາກສະຫນາມແລະການພິສູດຢືນຢັນຂັ້ນສອງຕໍ່ກັບຫນຶ່ງໃນນັ້ນ;
   • ເຂົ້າສູ່ລະບົບ (ບໍ່ປ່ຽນແປງ, ເອົາມາຈາກໃບຢັ້ງຢືນ) ແລະລະຫັດຜ່ານ;
3. ການ​ຄາດ​ຄະ​ເນ​ສະ​ພາບ​ຂອງ​ເຈົ້າ​ພາບ​ການ​ເຊື່ອມ​ຕໍ່ (Posture​)

ອົງປະກອບການແກ້ໄຂທີ່ໃຊ້:

• Cisco ASA (VPN Gateway);
• Cisco ISE (Authentication/Authentication/Accounting, State Evaluation, CA);
• Cisco DUO (ການກວດສອບຄວາມຖືກຕ້ອງຫຼາຍປັດໃຈ) (ທ່ານສາມາດແນບ SAML/Radius ເຂົ້າກັນໄດ້);
• Cisco AnyConnect (ຕົວແທນອະເນກປະສົງສຳລັບບ່ອນເຮັດວຽກ ແລະ OS ມືຖື);

ໃຫ້ເລີ່ມຕົ້ນດ້ວຍຄວາມຕ້ອງການຂອງລູກຄ້າ:

1. ຜູ້ໃຊ້ຕ້ອງ, ໂດຍຜ່ານການກວດສອບການເຂົ້າສູ່ລະບົບ / ລະຫັດຜ່ານຂອງລາວ, ສາມາດດາວໂຫລດລູກຂ່າຍ AnyConnect ຈາກປະຕູ VPN; ໂມດູນ AnyConnect ທີ່ຈໍາເປັນທັງຫມົດຕ້ອງໄດ້ຮັບການຕິດຕັ້ງໂດຍອັດຕະໂນມັດຕາມນະໂຍບາຍຂອງຜູ້ໃຊ້;
2. ຜູ້ໃຊ້ຄວນຈະສາມາດອອກໃບຢັ້ງຢືນອັດຕະໂນມັດ (ສໍາລັບສະຖານະການຫນຶ່ງ, ສະຖານະການຕົ້ນຕໍແມ່ນການອອກຄູ່ມືແລະການອັບໂຫລດໃນ PC), ແຕ່ຂ້າພະເຈົ້າໄດ້ປະຕິບັດບັນຫາອັດຕະໂນມັດສໍາລັບການສາທິດ (ມັນບໍ່ເຄີຍຊ້າເກີນໄປທີ່ຈະເອົາມັນອອກ).
3. ການພິສູດຢືນຢັນຂັ້ນພື້ນຖານຕ້ອງເກີດຂຶ້ນໃນຫຼາຍຂັ້ນຕອນ, ທໍາອິດມີການກວດສອບໃບຢັ້ງຢືນທີ່ມີການວິເຄາະຊ່ອງຂໍ້ມູນທີ່ຈໍາເປັນແລະມູນຄ່າຂອງມັນ, ຫຼັງຈາກນັ້ນເຂົ້າສູ່ລະບົບ / ລະຫັດຜ່ານ, ພຽງແຕ່ເວລານີ້ຊື່ຜູ້ໃຊ້ທີ່ລະບຸໄວ້ໃນຊ່ອງໃບຢັ້ງຢືນຕ້ອງໄດ້ຮັບການໃສ່ເຂົ້າໄປໃນປ່ອງຢ້ຽມເຂົ້າສູ່ລະບົບ. ຊື່ວິຊາ (CN) ໂດຍ​ບໍ່​ມີ​ຄວາມ​ສາ​ມາດ​ແກ້​ໄຂ​ໄດ້​.
4. ທ່ານຈໍາເປັນຕ້ອງໃຫ້ແນ່ໃຈວ່າອຸປະກອນທີ່ທ່ານກໍາລັງເຂົ້າສູ່ລະບົບແມ່ນຄອມພິວເຕີຄອມພິວເຕີຂອງບໍລິສັດທີ່ອອກໃຫ້ຜູ້ໃຊ້ສໍາລັບການເຂົ້າເຖິງຫ່າງໄກສອກຫຼີກ, ແລະບໍ່ແມ່ນສິ່ງອື່ນ. (ມີຫຼາຍທາງເລືອກເພື່ອຕອບສະໜອງຄວາມຕ້ອງການນີ້)
5. ສະຖານະຂອງອຸປະກອນເຊື່ອມຕໍ່ (ໃນຂັ້ນຕອນນີ້ PC) ຄວນຖືກປະເມີນດ້ວຍການກວດສອບຕາຕະລາງທີ່ຫຼາຍຂອງຄວາມຕ້ອງການຂອງລູກຄ້າ (ສະຫຼຸບ):
   • ໄຟລ໌ແລະຄຸນສົມບັດຂອງເຂົາເຈົ້າ;
   • ລາຍການລົງທະບຽນ;
   • OS patches ຈາກບັນຊີລາຍຊື່ທີ່ສະຫນອງໃຫ້ (ຕໍ່ມາການເຊື່ອມໂຍງ SCCM);
   • ການມີ Anti-Virus ຈາກຜູ້ຜະລິດສະເພາະແລະຄວາມກ່ຽວຂ້ອງຂອງລາຍເຊັນ;
   • ກິດຈະກໍາຂອງການບໍລິການສະເພາະໃດຫນຶ່ງ;
   • ຄວາມພ້ອມຂອງໂປຣແກຣມຕິດຕັ້ງສະເພາະ;

ເພື່ອເລີ່ມຕົ້ນດ້ວຍ, ຂ້າພະເຈົ້າຂໍແນະນໍາວ່າທ່ານແນ່ນອນເບິ່ງວິດີໂອການສາທິດການປະຕິບັດຜົນໄດ້ຮັບກ່ຽວກັບ Youtube (5 ນາທີ).

ໃນປັດຈຸບັນຂ້າພະເຈົ້າສະເຫນີໃຫ້ພິຈາລະນາລາຍລະອຽດການປະຕິບັດບໍ່ໄດ້ກວມເອົາໃນຄລິບວິດີໂອ.

ມາກະກຽມໂປຣໄຟລ໌ AnyConnect:

ກ່ອນຫນ້ານີ້ຂ້າພະເຈົ້າໄດ້ໃຫ້ຕົວຢ່າງຂອງການສ້າງໂປຣໄຟລ໌ (ໃນແງ່ຂອງລາຍການເມນູໃນ ASDM) ໃນບົດຄວາມຂອງຂ້ອຍກ່ຽວກັບການຕັ້ງຄ່າ VPN Load-Balance Cluster. ຕອນນີ້ຂ້ອຍຢາກຈະສັງເກດແຍກຕ່າງຫາກທາງເລືອກທີ່ພວກເຮົາຈະຕ້ອງການ:

ໃນໂປຣໄຟລ໌, ພວກເຮົາຈະລະບຸປະຕູ VPN ແລະຊື່ໂປຣໄຟລ໌ເພື່ອເຊື່ອມຕໍ່ກັບລູກຄ້າສຸດທ້າຍ:

ໃຫ້ກໍານົດການອອກໃບຢັ້ງຢືນອັດຕະໂນມັດຈາກດ້ານ profile, ຊີ້ບອກ, ໂດຍສະເພາະ, ຕົວກໍານົດການໃບຢັ້ງຢືນແລະ, ລັກສະນະ, ເອົາໃຈໃສ່ກັບພາກສະຫນາມ. ເບື້ອງຕົ້ນ (I), ບ່ອນທີ່ຄ່າສະເພາະແມ່ນໃສ່ດ້ວຍຕົນເອງ UID ເຄື່ອງທົດສອບ (ຕົວລະບຸອຸປະກອນທີ່ເປັນເອກະລັກທີ່ສ້າງຂຶ້ນໂດຍລູກຄ້າ Cisco AnyConnect).

ທີ່ນີ້ຂ້ອຍຕ້ອງການທີ່ຈະເຮັດໃຫ້ການຫຍໍ້ທໍ້ຂອງເນື້ອເພງ, ເນື່ອງຈາກວ່າບົດຄວາມນີ້ອະທິບາຍແນວຄວາມຄິດ; ສໍາລັບຈຸດປະສົງການສາທິດ, UDID ສໍາລັບການອອກໃບຢັ້ງຢືນແມ່ນເຂົ້າໄປໃນພາກສະຫນາມເບື້ອງຕົ້ນຂອງໂປຣໄຟລ໌ AnyConnect. ແນ່ນອນ, ໃນຊີວິດຈິງ, ຖ້າທ່ານເຮັດສິ່ງນີ້, ລູກຄ້າທັງຫມົດຈະໄດ້ຮັບໃບຢັ້ງຢືນທີ່ມີ UDID ດຽວກັນໃນພາກສະຫນາມນີ້ແລະບໍ່ມີຫຍັງຈະເຮັດວຽກສໍາລັບພວກເຂົາ, ເພາະວ່າພວກເຂົາຕ້ອງການ UDID ຂອງ PC ສະເພາະຂອງພວກເຂົາ. AnyConnect, ແຕ່ຫນ້າເສຍດາຍ, ຍັງບໍ່ທັນປະຕິບັດການທົດແທນພາກສະຫນາມ UDID ເຂົ້າໄປໃນໂປຣໄຟລ໌ການຮ້ອງຂໍໃບຢັ້ງຢືນໂດຍຜ່ານຕົວແປສະພາບແວດລ້ອມ, ຍ້ອນວ່າມັນເຮັດ, ສໍາລັບການຍົກຕົວຢ່າງ, ມີຕົວແປ. %USER%.

ມັນເປັນມູນຄ່າທີ່ສັງເກດວ່າລູກຄ້າ (ສະຖານະການນີ້) ໃນເບື້ອງຕົ້ນວາງແຜນທີ່ຈະອອກໃບຢັ້ງຢືນເປັນເອກະລາດກັບ UDID ທີ່ໃຫ້ຢູ່ໃນໂຫມດຄູ່ມືໃຫ້ກັບ PCs ທີ່ມີການປົກປ້ອງດັ່ງກ່າວ, ເຊິ່ງບໍ່ແມ່ນບັນຫາສໍາລັບລາວ. ຢ່າງໃດກໍຕາມ, ສໍາລັບພວກເຮົາສ່ວນໃຫຍ່ພວກເຮົາຕ້ອງການອັດຕະໂນມັດ (ດີ, ສໍາລັບຂ້ອຍມັນເປັນຄວາມຈິງ =)).

ແລະນີ້ແມ່ນສິ່ງທີ່ຂ້ອຍສາມາດສະເຫນີໃນແງ່ຂອງອັດຕະໂນມັດ. ຖ້າ AnyConnect ຍັງບໍ່ທັນສາມາດອອກໃບຢັ້ງຢືນອັດຕະໂນມັດໂດຍການປ່ຽນແທນ UDID ແບບເຄື່ອນໄຫວ, ມີວິທີອື່ນທີ່ຈະຕ້ອງມີຄວາມຄິດສ້າງສັນເລັກນ້ອຍແລະມືທີ່ມີຄວາມຊໍານິຊໍານານ - ຂ້ອຍຈະບອກເຈົ້າແນວຄວາມຄິດ. ທໍາອິດ, ໃຫ້ເບິ່ງວິທີການ UDID ຖືກສ້າງຂຶ້ນໃນລະບົບປະຕິບັດການທີ່ແຕກຕ່າງກັນໂດຍຕົວແທນ AnyConnect:

• Windows — SHA-256 hash ຂອງການປະສົມປະສານຂອງລະຫັດການລົງທະບຽນ DigitalProductID ແລະ Machine SID
• OSX — SHA-256 hash PlatformUUID
• Linux - SHA-256 hash ຂອງ UUID ຂອງການແບ່ງປັນຮາກ.
• Apple iOS — SHA-256 hash PlatformUUID
• Android - ເບິ່ງ​ເອ​ກະ​ສານ​ກ່ຽວ​ກັບ​ ການເຊື່ອມຕໍ່

ດັ່ງນັ້ນ, ພວກເຮົາສ້າງສະຄິບສໍາລັບ Windows OS ຂອງບໍລິສັດຂອງພວກເຮົາ, ດ້ວຍສະຄິບນີ້ພວກເຮົາທ້ອງຖິ່ນຄິດໄລ່ UDID ໂດຍໃຊ້ວັດສະດຸປ້ອນທີ່ຮູ້ຈັກແລະປະກອບຄໍາຮ້ອງຂໍການອອກໃບຢັ້ງຢືນໂດຍການໃສ່ UDID ນີ້ໃນພາກສະຫນາມທີ່ຕ້ອງການ, ໂດຍວິທີທາງການ, ທ່ານຍັງສາມາດໃຊ້ເຄື່ອງຈັກ. ໃບຢັ້ງຢືນທີ່ອອກໃຫ້ໂດຍ AD (ໂດຍການເພີ່ມການກວດສອບສອງຄັ້ງໂດຍໃຊ້ໃບຢັ້ງຢືນກັບໂຄງການ ໃບຮັບຮອງຫຼາຍອັນ).

ມາກະກຽມການຕັ້ງຄ່າໃນດ້ານ Cisco ASA:

ໃຫ້ສ້າງ TrustPoint ສໍາລັບເຄື່ອງແມ່ຂ່າຍ ISE CA, ມັນຈະເປັນຫນຶ່ງທີ່ຈະອອກໃບຢັ້ງຢືນໃຫ້ແກ່ລູກຄ້າ. ຂ້າ​ພະ​ເຈົ້າ​ຈະ​ບໍ່​ພິ​ຈາ​ລະ​ນາ​ຂັ້ນ​ຕອນ​ການ​ນໍາ​ເຂົ້າ Key-Chain; ຕົວ​ຢ່າງ​ແມ່ນ​ໄດ້​ອະ​ທິ​ບາຍ​ໃນ​ບົດ​ຄວາມ​ຕັ້ງ​ຂອງ​ຂ້າ​ພະ​ເຈົ້າ VPN Load-Balance Cluster.

crypto ca trustpoint ISE-CA
 enrollment terminal
 crl configure

ພວກເຮົາຕັ້ງຄ່າການແຈກຢາຍໂດຍ Tunnel-Group ໂດຍອີງໃສ່ກົດລະບຽບໂດຍສອດຄ່ອງກັບຊ່ອງຂໍ້ມູນໃນໃບຢັ້ງຢືນທີ່ຖືກນໍາໃຊ້ສໍາລັບການພິສູດຢືນຢັນ. ໂປຣໄຟລ໌ AnyConnect ທີ່ພວກເຮົາໄດ້ເຮັດໃນຂັ້ນຕອນກ່ອນຫນ້າແມ່ນຍັງຖືກຕັ້ງຄ່າຢູ່ທີ່ນີ້. ກະລຸນາສັງເກດວ່າຂ້ອຍກໍາລັງໃຊ້ມູນຄ່າ SECUREBANK-RA, ເພື່ອໂອນຜູ້ໃຊ້ທີ່ມີໃບຢັ້ງຢືນທີ່ອອກໃຫ້ກັບກຸ່ມອຸໂມງ SECURE-BANK-VPN, ກະລຸນາສັງເກດວ່າຂ້ອຍມີຊ່ອງຂໍ້ມູນນີ້ຢູ່ໃນຄໍລໍາການຮ້ອງຂໍໃບຢັ້ງຢືນໂປຣໄຟລ໌ AnyConnect.

tunnel-group-map enable rules
!
crypto ca certificate map OU-Map 6
 subject-name attr ou eq securebank-ra
!
webvpn
 anyconnect profiles SECUREBANK disk0:/securebank.xml
 certificate-group-map OU-Map 6 SECURE-BANK-VPN
!

ຕັ້ງຄ່າເຊີບເວີການພິສູດຢືນຢັນ. ໃນກໍລະນີຂອງຂ້ອຍ, ນີ້ແມ່ນ ISE ສໍາລັບຂັ້ນຕອນທໍາອິດຂອງການກວດສອບຄວາມຖືກຕ້ອງແລະ DUO (Radius Proxy) ເປັນ MFA.

! CISCO ISE
aaa-server ISE protocol radius
 authorize-only
 interim-accounting-update periodic 24
 dynamic-authorization
aaa-server ISE (inside) host 192.168.99.134
 key *****
!
! DUO RADIUS PROXY
aaa-server DUO protocol radius
aaa-server DUO (inside) host 192.168.99.136
 timeout 60
 key *****
 authentication-port 1812
 accounting-port 1813
 no mschapv2-capable
!

ພວກເຮົາສ້າງນະໂຍບາຍກຸ່ມ ແລະກຸ່ມອຸໂມງ ແລະອົງປະກອບຊ່ວຍຂອງພວກມັນ:

ກຸ່ມອຸໂມງ DefaultWEBVPNG Group ຈະຖືກໃຊ້ຕົ້ນຕໍເພື່ອດາວໂຫລດລູກຂ່າຍ AnyConnect VPN ແລະອອກໃບຢັ້ງຢືນຜູ້ໃຊ້ໂດຍໃຊ້ຟັງຊັນ SCEP-Proxy ຂອງ ASA; ສໍາລັບນີ້ພວກເຮົາມີທາງເລືອກທີ່ສອດຄ້ອງກັນຖືກເປີດໃຊ້ທັງໃນກຸ່ມອຸໂມງຂອງມັນເອງແລະໃນນະໂຍບາຍກຸ່ມທີ່ກ່ຽວຂ້ອງ. AC-ດາວໂຫຼດ, ແລະຢູ່ໃນໂປຣໄຟລ໌ AnyConnect ທີ່ຖືກໂຫລດ (ຊ່ອງຂໍ້ມູນສໍາລັບການອອກໃບຢັ້ງຢືນ, ແລະອື່ນໆ). ນອກຈາກນີ້ໃນນະໂຍບາຍກຸ່ມນີ້ພວກເຮົາຊີ້ບອກເຖິງຄວາມຕ້ອງການທີ່ຈະດາວໂຫຼດ ISE Posture Module.

ກຸ່ມອຸໂມງ SECURE-BANK-VPN ຈະຖືກນໍາໄປໃຊ້ໂດຍອັດຕະໂນມັດໂດຍລູກຄ້າໃນເວລາທີ່ການກວດສອບຄວາມຖືກຕ້ອງກັບໃບຢັ້ງຢືນທີ່ອອກໃນຂັ້ນຕອນທີ່ຜ່ານມາ, ເນື່ອງຈາກວ່າ, ອີງຕາມແຜນທີ່ໃບຢັ້ງຢືນ, ການເຊື່ອມຕໍ່ຈະຫຼຸດລົງໂດຍສະເພາະໃນກຸ່ມອຸໂມງນີ້. ຂ້ອຍຈະບອກເຈົ້າກ່ຽວກັບທາງເລືອກທີ່ຫນ້າສົນໃຈຢູ່ທີ່ນີ້:

• secondary-authentication-server-group DUO # ຕັ້ງຄ່າການພິສູດຢືນຢັນຂັ້ນສອງໃນເຊີບເວີ DUO (Radius Proxy)
• username-from-certificateCN # ສໍາລັບການພິສູດຢືນຢັນຂັ້ນຕົ້ນ, ພວກເຮົາໃຊ້ຊ່ອງຂໍ້ມູນ CN ຂອງໃບຢັ້ງຢືນເພື່ອສືບທອດການເຂົ້າສູ່ລະບົບຂອງຜູ້ໃຊ້
• ຮອງຊື່ຜູ້ໃຊ້ຈາກໃບຢັ້ງຢືນ I # ສຳລັບການພິສູດຢືນຢັນຂັ້ນສອງໃນເຊີບເວີ DUO, ພວກເຮົາໃຊ້ຊື່ຜູ້ໃຊ້ທີ່ສະກັດອອກມາ ແລະຊ່ອງຂໍ້ມູນເບື້ອງຕົ້ນ (I) ຂອງໃບຢັ້ງຢືນ.
• ລູກຄ້າຕື່ມຊື່ຜູ້ໃຊ້ກ່ອນ # ເຮັດໃຫ້ຊື່ຜູ້ໃຊ້ຖືກຕື່ມໃສ່ໃນປ່ອງຢ້ຽມການກວດສອບຄວາມຖືກຕ້ອງໂດຍບໍ່ສາມາດປ່ຽນແປງໄດ້
• secondary-pre-fill-username client hide use-common-password push # ພວກເຮົາເຊື່ອງໜ້າຈໍການເຂົ້າສູ່ລະບົບ/ລະຫັດຜ່ານສຳລັບການພິສູດຢືນຢັນຂັ້ນສອງ DUO ແລະໃຊ້ວິທີການແຈ້ງເຕືອນ (sms/push/phone) - dock ເພື່ອຮ້ອງຂໍການພິສູດຢືນຢັນແທນຊ່ອງຂໍ້ມູນລະຫັດຜ່ານ. ທີ່ນີ້

!
access-list posture-redirect extended permit tcp any host 72.163.1.80 
access-list posture-redirect extended deny ip any any
!
access-list VPN-Filter extended permit ip any any
!
ip local pool vpn-pool 192.168.100.33-192.168.100.63 mask 255.255.255.224
!
group-policy SECURE-BANK-VPN internal
group-policy SECURE-BANK-VPN attributes
 dns-server value 192.168.99.155 192.168.99.130
 vpn-filter value VPN-Filter
 vpn-tunnel-protocol ssl-client 
 split-tunnel-policy tunnelall
 default-domain value ashes.cc
 address-pools value vpn-pool
 webvpn
  anyconnect ssl dtls enable
  anyconnect mtu 1300
  anyconnect keep-installer installed
  anyconnect ssl keepalive 20
  anyconnect ssl rekey time none
  anyconnect ssl rekey method ssl
  anyconnect dpd-interval client 30
  anyconnect dpd-interval gateway 30
  anyconnect ssl compression lzs
  anyconnect dtls compression lzs
  anyconnect modules value iseposture
  anyconnect profiles value SECUREBANK type user
!
group-policy AC-DOWNLOAD internal
group-policy AC-DOWNLOAD attributes
 dns-server value 192.168.99.155 192.168.99.130
 vpn-filter value VPN-Filter
 vpn-tunnel-protocol ssl-client 
 split-tunnel-policy tunnelall
 default-domain value ashes.cc
 address-pools value vpn-pool
 scep-forwarding-url value http://ise.ashes.cc:9090/auth/caservice/pkiclient.exe
 webvpn
  anyconnect ssl dtls enable
  anyconnect mtu 1300
  anyconnect keep-installer installed
  anyconnect ssl keepalive 20
  anyconnect ssl rekey time none
  anyconnect ssl rekey method ssl
  anyconnect dpd-interval client 30
  anyconnect dpd-interval gateway 30
  anyconnect ssl compression lzs
  anyconnect dtls compression lzs
  anyconnect modules value iseposture
  anyconnect profiles value SECUREBANK type user
!
tunnel-group DefaultWEBVPNGroup general-attributes
 address-pool vpn-pool
 authentication-server-group ISE
 accounting-server-group ISE
 default-group-policy AC-DOWNLOAD
 scep-enrollment enable
tunnel-group DefaultWEBVPNGroup webvpn-attributes
 authentication aaa certificate
!
tunnel-group SECURE-BANK-VPN type remote-access
tunnel-group SECURE-BANK-VPN general-attributes
 address-pool vpn-pool
 authentication-server-group ISE
 secondary-authentication-server-group DUO
 accounting-server-group ISE
 default-group-policy SECURE-BANK-VPN
 username-from-certificate CN
 secondary-username-from-certificate I
tunnel-group SECURE-BANK-VPN webvpn-attributes
 authentication aaa certificate
 pre-fill-username client
 secondary-pre-fill-username client hide use-common-password push
 group-alias SECURE-BANK-VPN enable
 dns-group ASHES-DNS
!

ຕໍ່ໄປພວກເຮົາກ້າວໄປສູ່ ISE:

ພວກເຮົາກໍານົດຜູ້ໃຊ້ທ້ອງຖິ່ນ (ທ່ານສາມາດນໍາໃຊ້ AD / LDAP / ODBC, ແລະອື່ນໆ), ເພື່ອຄວາມງ່າຍດາຍ, ຂ້ອຍໄດ້ສ້າງຜູ້ໃຊ້ທ້ອງຖິ່ນໃນ ISE ຕົວຂອງມັນເອງແລະມອບຫມາຍໃຫ້ມັນຢູ່ໃນພາກສະຫນາມ. ຄໍາອະທິບາຍ UDID PC ຈາກທີ່ລາວໄດ້ຮັບອະນຸຍາດໃຫ້ເຂົ້າສູ່ລະບົບຜ່ານ VPN. ຖ້າຂ້ອຍໃຊ້ການພິສູດຢືນຢັນທ້ອງຖິ່ນໃນ ISE, ຂ້ອຍຈະຖືກຈໍາກັດພຽງແຕ່ອຸປະກອນດຽວ, ເພາະວ່າບໍ່ມີຊ່ອງຂໍ້ມູນຫຼາຍ, ແຕ່ໃນຖານຂໍ້ມູນການຢືນຢັນຂອງພາກສ່ວນທີສາມຂ້ອຍຈະບໍ່ມີຂໍ້ຈໍາກັດດັ່ງກ່າວ.

ໃຫ້ເບິ່ງນະໂຍບາຍການອະນຸຍາດ, ມັນແບ່ງອອກເປັນສີ່ຂັ້ນຕອນການເຊື່ອມຕໍ່:

• ຂັ້ນຕອນ 1 — ນະ​ໂຍ​ບາຍ​ສໍາ​ລັບ​ການ​ດາວ​ໂຫຼດ​ຕົວ​ແທນ AnyConnect ແລະ​ອອກ​ໃບ​ຢັ້ງ​ຢືນ​
• ຂັ້ນຕອນ 2 — ນະ​ໂຍ​ບາຍ​ການ​ກວດ​ສອບ​ຫຼັກ​ການ​ເຂົ້າ​ສູ່​ລະ​ບົບ (ຈາກ​ໃບ​ຢັ້ງ​ຢືນ​) / ລະ​ຫັດ​ຜ່ານ + ໃບ​ຢັ້ງ​ຢືນ​ທີ່​ມີ​ການ​ກວດ​ສອບ UDID
• ຂັ້ນຕອນ 3 - ການພິສູດຢືນຢັນຂັ້ນສອງຜ່ານ Cisco DUO (MFA) ໂດຍໃຊ້ UDID ເປັນຊື່ຜູ້ໃຊ້ + ການປະເມີນຂອງລັດ
• ຂັ້ນຕອນ 4 - ການ​ອະ​ນຸ​ຍາດ​ສຸດ​ທ້າຍ​ແມ່ນ​ຢູ່​ໃນ​ລັດ​:
  • ສອດຄ່ອງ;
  • ການກວດສອບ UDID (ຈາກໃບຢັ້ງຢືນ + ການຜູກມັດການເຂົ້າສູ່ລະບົບ),
  • Cisco DUO MFA;
  • ການຢືນຢັນໂດຍການເຂົ້າສູ່ລະບົບ;
  • ການຢັ້ງຢືນໃບຢັ້ງຢືນ;

ຂໍໃຫ້ເບິ່ງເງື່ອນໄຂທີ່ຫນ້າສົນໃຈ UUID_VALIDATED, ມັນເບິ່ງຄືວ່າຜູ້ໃຊ້ທີ່ຢືນຢັນຕົວຈິງມາຈາກ PC ທີ່ມີ UDID ທີ່ໄດ້ຮັບອະນຸຍາດທີ່ກ່ຽວຂ້ອງກັບພາກສະຫນາມ. ລາຍລະອຽດ ບັນຊີ, ເງື່ອນໄຂເບິ່ງຄືວ່ານີ້:

ໂປຣໄຟລ໌ການອະນຸຍາດທີ່ໃຊ້ໃນຂັ້ນຕອນ 1,2,3 ມີດັ່ງນີ້:

ທ່ານສາມາດກວດເບິ່ງຢ່າງແນ່ນອນວ່າ UDID ຈາກລູກຄ້າ AnyConnect ມາຮອດພວກເຮົາແນວໃດໂດຍການເບິ່ງລາຍລະອຽດຂອງກອງປະຊຸມລູກຄ້າໃນ ISE. ໃນລາຍລະອຽດພວກເຮົາຈະເຫັນວ່າ AnyConnect ຜ່ານກົນໄກ ACIDEX ສົ່ງຂໍ້ມູນບໍ່ພຽງແຕ່ກ່ຽວກັບເວທີ, ແຕ່ຍັງ UDID ຂອງອຸປະກອນເປັນ Cisco-AV-PAIR:

ໃຫ້ເອົາໃຈໃສ່ກັບໃບຢັ້ງຢືນທີ່ອອກໃຫ້ຜູ້ໃຊ້ແລະພາກສະຫນາມ ເບື້ອງຕົ້ນ (I), ເຊິ່ງຖືກນໍາໃຊ້ເພື່ອເອົາມັນເປັນການເຂົ້າສູ່ລະບົບສໍາລັບການພິສູດຢືນຢັນ MFA ທີສອງໃນ Cisco DUO:

ໃນດ້ານ DUO Radius Proxy ໃນບັນທຶກພວກເຮົາເຫັນໄດ້ຊັດເຈນວ່າຄໍາຮ້ອງຂໍການກວດສອບຖືກເຮັດ, ມັນມາໂດຍໃຊ້ UDID ເປັນຊື່ຜູ້ໃຊ້:

ຈາກປະຕູ DUO ພວກເຮົາເຫັນເຫດການການພິສູດຢືນຢັນທີ່ປະສົບຜົນສໍາເລັດ:

ແລະໃນຄຸນສົມບັດຂອງຜູ້ໃຊ້ຂ້ອຍມີມັນຕັ້ງ ALIAS, ທີ່ຂ້າພະເຈົ້າໄດ້ນໍາໃຊ້ສໍາລັບການເຂົ້າສູ່ລະບົບ, ໃນທາງກັບກັນ, ນີ້ແມ່ນ UDID ຂອງ PC ອະນຸຍາດໃຫ້ເຂົ້າສູ່ລະບົບ:

ດັ່ງນັ້ນ, ພວກເຮົາໄດ້ຮັບ:

• ຜູ້ໃຊ້ຫຼາຍປັດໃຈແລະການກວດສອບອຸປະກອນ;
• ການປ້ອງກັນການ spoofing ຂອງອຸປະກອນຂອງຜູ້ໃຊ້;
• ການປະເມີນສະພາບຂອງອຸປະກອນ;
• ທ່າແຮງສໍາລັບການຄວບຄຸມທີ່ເພີ່ມຂຶ້ນດ້ວຍໃບຢັ້ງຢືນເຄື່ອງຈັກໂດເມນ, ແລະອື່ນໆ;
• ການປົກປ້ອງບ່ອນເຮັດວຽກຫ່າງໄກສອກຫຼີກທີ່ສົມບູນແບບດ້ວຍໂມດູນຄວາມປອດໄພທີ່ຖືກນໍາໃຊ້ໂດຍອັດຕະໂນມັດ;

ລິ້ງໄປຫາ Cisco VPN ບົດຄວາມຊຸດ:

• ນຳໃຊ້ ASA VPN Load-Balancing Cluster
• ການເພີ່ມປະສິດທິພາບການບໍລິການຄລາວໃນອຸໂມງ AnyConnect VPN ໃນ Cisco ASA

ແຫຼ່ງຂໍ້ມູນ: www.habr.com