ProHoster > Blogs > Administrācija > Cisco ISE: viesu piekļuves konfigurÄ“Å”ana vietnē FortiAP. 3. daļa

Cisco ISE: viesu piekļuves konfigurÄ“Å”ana vietnē FortiAP. 3. daļa

Cisco ISE: viesu piekļuves konfigurÄ“Å”ana vietnē FortiAP. 3. daļa

Laipni lÅ«dzam Cisco ISE sērijas treÅ”ajā ziņā. Tālāk ir norādÄ«tas saites uz visiem sērijas rakstiem:

  1. Cisco ISE: Ievads, prasības, uzstādīŔana. 1. daļa

  2. Cisco ISE: lietotāju izveide, LDAP serveru pievienoÅ”ana, integrÄ“Å”ana ar AD. 2. daļa

  3. Cisco ISE: viesu piekļuves konfigurÄ“Å”ana vietnē FortiAP. 3. daļa

Å ajā ziņojumā jÅ«s iedziļināsities viesa piekļuves jautājumos, kā arÄ« detalizētu ceļvedi par Cisco ISE un FortiGate integrÄ“Å”anu, lai konfigurētu FortiAP, piekļuves punktu no Fortinet (parasti jebkura ierÄ«ce, kas atbalsta RADIUS CoA ā€” pilnvaras maiņa).

Pielikumā ir mūsu raksti. Fortinet - noderīgu materiālu izlase.

PiezīmeA: Check Point SMB ierīces neatbalsta RADIUS CoA.

BrīniŔķīgi vadība angļu valodā ir aprakstīts, kā izveidot viesa piekļuvi, izmantojot Cisco ISE uz Cisco WLC (bezvadu kontroliera). Izdomāsim!

1. Ievads

Viesu piekļuve (portāls) ļauj nodroÅ”ināt piekļuvi internetam vai iekŔējiem resursiem viesiem un lietotājiem, kurus nevēlaties ielaist savā lokālajā tÄ«klā. Ir 3 iepriekÅ” noteikti viesu portālu veidi (viesu portāls):

  1. Hotspot viesu portāls - piekļuve tÄ«klam tiek nodroÅ”ināta viesiem bez pieteikÅ”anās datiem. Lietotājiem parasti ir jāpiekrÄ«t uzņēmuma ā€œLietoÅ”anas un konfidencialitātes politikaiā€, pirms viņi piekļūst tÄ«klam.

  2. Sponsored-Guest portāls - piekļuve tīklam un pieteikŔanās dati ir jāizsniedz sponsoram - lietotājam, kas ir atbildīgs par viesu kontu izveidi Cisco ISE.

  3. PaÅ”reÄ£istrētā viesu portāls - Å”ajā gadÄ«jumā viesi izmanto esoÅ”os pieteikÅ”anās datus vai izveido sev kontu ar pieteikÅ”anās datiem, taču, lai piekļūtu tÄ«klam, ir nepiecieÅ”ams sponsora apstiprinājums.

Cisco ISE vienlaikus var izvietot vairākus portālus. Pēc noklusējuma viesu portālā lietotājs redzēs Cisco logotipu un standarta izplatÄ«tās frāzes. To visu var pielāgot un pat iestatÄ«t, lai pirms piekļuves iegÅ«Å”anas skatÄ«tu obligātās reklāmas.

Viesu piekļuves iestatīŔanu var iedalīt 4 galvenajos posmos: FortiAP iestatīŔana, Cisco ISE un FortiAP savienojamība, viesu portāla izveide un piekļuves politikas iestatīŔana.

2. FortiAP konfigurÄ“Å”ana vietnē FortiGate

FortiGate ir piekļuves punkta kontrolieris, un tajā tiek veikti visi iestatÄ«jumi. FortiAP piekļuves punkti atbalsta PoE, tāpēc, kad tas ir savienots ar tÄ«klu, izmantojot Ethernet, varat sākt konfigurÄ“Å”anu.

1) FortiGate atveriet cilni WiFi un slēdžu kontrolieris > PārvaldÄ«tie FortiAP > Izveidot jaunu > PārvaldÄ«tā piekļuves punkts. Izmantojot piekļuves punkta unikālo sērijas numuru, kas ir uzdrukāts uz paÅ”a piekļuves punkta, pievienojiet to kā objektu. Vai arÄ« tas var parādÄ«t sevi un pēc tam nospiest Atļaut izmantojot peles labo pogu.

Cisco ISE: viesu piekļuves konfigurÄ“Å”ana vietnē FortiAP. 3. daļa

2) FortiAP iestatījumi var būt noklusējuma iestatījumi, piemēram, atstājiet kā ekrānuzņēmumā. Ļoti iesaku ieslēgt 5 GHz režīmu, jo dažas ierīces neatbalsta 2.4 GHz.

3) Pēc tam cilnē WiFi un slēdžu kontrolieris > FortiAP profili > Izveidot jaunu veidojam piekļuves punkta iestatÄ«jumu profilu (802.11 protokola versija, SSID režīms, kanāla frekvence un to numurs).

FortiAP iestatÄ«jumu piemērsCisco ISE: viesu piekļuves konfigurÄ“Å”ana vietnē FortiAP. 3. daļaCisco ISE: viesu piekļuves konfigurÄ“Å”ana vietnē FortiAP. 3. daļa

4) Nākamais solis ir izveidot SSID. Dodieties uz cilni WiFi un slēdžu kontrolieris > SSID > Izveidot jaunu > SSID. Å eit no svarÄ«gākā ir jākonfigurē:

  • adreÅ”u telpa viesu WLAN ā€” IP/tÄ«kla maska

  • RADIUS grāmatvedÄ«ba un droÅ”s auduma savienojums laukā AdministratÄ«vā piekļuve

  • IerÄ«ces noteikÅ”anas opcija

  • SSID un Broadcast SSID opcija

  • DroŔības režīma iestatÄ«jumi > Captive Portal 

  • Autentifikācijas portāls ā€” ārējs un ievietojiet saiti uz izveidoto viesu portālu no Cisco ISE no 20. darbÄ«bas

  • Lietotāju grupa ā€” Viesu grupa ā€” Ārējā ā€” pievienojiet RADIUS Cisco ISE (6. lpp. un turpmāk)

SSID iestatÄ«Å”anas piemērsCisco ISE: viesu piekļuves konfigurÄ“Å”ana vietnē FortiAP. 3. daļaCisco ISE: viesu piekļuves konfigurÄ“Å”ana vietnē FortiAP. 3. daļa

5) Pēc tam FortiGate piekļuves politikā jāizveido noteikumi. Dodieties uz cilni Politika un objekti > UgunsmÅ«ra politika un izveidojiet Ŕādu noteikumu:

Cisco ISE: viesu piekļuves konfigurÄ“Å”ana vietnē FortiAP. 3. daļa

3. RADIUSS iestatījums

6) Dodieties uz Cisco ISE tÄ«mekļa saskarni uz cilni Politika > Politikas elementi > VārdnÄ«cas > Sistēma > Rādiuss > RADIUS piegādātāji > Pievienot. Å ajā cilnē mēs pievienosim Fortinet RADIUS atbalstÄ«to protokolu sarakstam, jo ā€‹ā€‹gandrÄ«z katram pārdevējam ir savi specifiski atribÅ«ti - VSA (Vendor-Specific Attributes).

Fortinet RADIUS atribÅ«tu sarakstu var atrast Å”eit. VSA atŔķiras ar to unikālo pārdevēja ID numuru. Fortinet ir Å”is ID = 12356... Pilns saraksts VSA ir publicējusi IANA.

7) Iestatiet vārdnīcas nosaukumu, precizējiet Vendor ID (12356) un nospiediet Iesniegt.

8) Pēc tam, kad mēs ejam uz AdministrÄ“Å”ana > TÄ«kla ierīču profili > Pievienot un izveidojiet jaunu ierÄ«ces profilu. Laukā RADIUS vārdnÄ«cas atlasiet iepriekÅ” izveidoto Fortinet RADIUS vārdnÄ«cu un atlasiet CoA metodes, ko izmantot vēlāk ISE politikā. Es izvēlējos RFC 5176 un Port Bounce (izslēgÅ”anas/bez izslēgÅ”anas tÄ«kla interfeisu) un atbilstoÅ”os VSA: 

Fortinet-Access-Profile=lasīt-rakstīt

Fortinet-Group-Name = fmg_faz_admins

9) Pēc tam pievienojiet FortiGate savienojumam ar ISE. Lai to izdarÄ«tu, dodieties uz cilni AdministrÄ“Å”ana > TÄ«kla resursi > TÄ«kla ierīču profili > Pievienot. Maināmie lauki VārdnÄ«cas, pārdevējs, RADIUS vārdnÄ«cas (IP adresi izmanto FortiGate, nevis FortiAP).

Piemērs RADIUS konfigurÄ“Å”anai no ISE pusesCisco ISE: viesu piekļuves konfigurÄ“Å”ana vietnē FortiAP. 3. daļaCisco ISE: viesu piekļuves konfigurÄ“Å”ana vietnē FortiAP. 3. daļaCisco ISE: viesu piekļuves konfigurÄ“Å”ana vietnē FortiAP. 3. daļaCisco ISE: viesu piekļuves konfigurÄ“Å”ana vietnē FortiAP. 3. daļa

10) Pēc tam jums vajadzētu konfigurēt RADIUS FortiGate pusē. FortiGate tÄ«mekļa saskarnē dodieties uz Lietotājs un autentifikācija > RADIUS serveri > Izveidot jaunu. Norādiet iepriekŔējā rindkopā norādÄ«to vārdu, IP adresi un kopÄ«goto noslēpumu (paroli). Nākamais klikŔķis Pārbaudiet lietotāja akreditācijas datus un ievadiet visus akreditācijas datus, ko var iegÅ«t, izmantojot RADIUS (piemēram, vietējais lietotājs Cisco ISE).

Cisco ISE: viesu piekļuves konfigurÄ“Å”ana vietnē FortiAP. 3. daļa

11) Pievienojiet viesu grupai RADIUS serveri (ja tāda nav), kā arī ārēju lietotāju avotu.

Cisco ISE: viesu piekļuves konfigurÄ“Å”ana vietnē FortiAP. 3. daļa

12) Neaizmirstiet pievienot viesu grupu SSID, ko izveidojām iepriekŔ 4. darbībā.

4. Lietotāja autentifikācijas iestatījums

13) Pēc izvēles varat importēt sertifikātu ISE viesu portālā vai izveidot paÅ”parakstÄ«tu sertifikātu cilnē Darba centri > Viesu piekļuve > AdministrÄ“Å”ana > Sertifikācija > Sistēmas sertifikāti.

Cisco ISE: viesu piekļuves konfigurÄ“Å”ana vietnē FortiAP. 3. daļa

14) Pēc cilnē Darba centri > Viesu piekļuve > Identitātes grupas > Lietotāju identitātes grupas > Pievienot izveidojiet jaunu lietotāju grupu viesa piekļuvei vai izmantojiet noklusējuma grupas.

Cisco ISE: viesu piekļuves konfigurÄ“Å”ana vietnē FortiAP. 3. daļa

15) Tālāk cilnē AdministrÄ“Å”ana > Identitātes izveidot viesu lietotājus un pievienot tos grupām no iepriekŔējās rindkopas. Ja vēlaties izmantot treÅ”o puÅ”u kontus, izlaidiet Å”o darbÄ«bu.

Cisco ISE: viesu piekļuves konfigurÄ“Å”ana vietnē FortiAP. 3. daļa

16) Pēc tam, kad mēs ejam uz iestatÄ«jumiem Darba centri > Viesa piekļuve > Identitātes > Identitātes avota secÄ«ba > Viesu portāla secÄ«ba ā€” Ŕī ir noklusējuma autentifikācijas secÄ«ba vieslietotājiem. Un laukā Autentifikācijas meklÄ“Å”anas saraksts atlasiet lietotāja autentifikācijas secÄ«bu.

Cisco ISE: viesu piekļuves konfigurÄ“Å”ana vietnē FortiAP. 3. daļa

17) Lai informētu viesus ar vienreizēju paroli, Å”im nolÅ«kam varat konfigurēt SMS pakalpojumu sniedzējus vai SMTP serveri. Dodieties uz cilni Darba centri > Viesu piekļuve > AdministrÄ“Å”ana > SMTP serveris vai SMS vārtejas nodroÅ”inātāji Å”iem iestatÄ«jumiem. SMTP servera gadÄ«jumā jums ir jāizveido konts ISE un jānorāda dati Å”ajā cilnē.

18) SMS paziņojumiem izmantojiet atbilstoÅ”o cilni. ISE ir iepriekÅ” instalēti populāru SMS pakalpojumu sniedzēju profili, taču labāk ir izveidot savu. Izmantojiet Å”os profilus kā iestatÄ«juma piemēru SMS e-pasta vārtejay vai SMS HTTP API.

Piemērs SMTP servera un SMS vārtejas iestatÄ«Å”anai vienreizējai paroleiCisco ISE: viesu piekļuves konfigurÄ“Å”ana vietnē FortiAP. 3. daļaCisco ISE: viesu piekļuves konfigurÄ“Å”ana vietnē FortiAP. 3. daļa

5. Viesu portāla iestatīŔana

19) Kā jau minēts sākumā, ir 3 veidu iepriekÅ” instalēti viesu portāli: Hotspot, Sponsored, Self-Registered. Iesaku izvēlēties treÅ”o variantu, jo tā ir visizplatÄ«tākā. Jebkurā gadÄ«jumā iestatÄ«jumi lielākoties ir identiski. Tātad, pāriesim uz cilni. Darba centri > Viesu piekļuve > Portāli un komponenti > Viesu portāli > PaÅ”reÄ£istrēts viesu portāls (noklusējums). 

20) Pēc tam cilnē Portāla lapas pielāgoÅ”ana atlasiet ā€œSkatÄ«t krievu valodā - krieviskiā€, lai portāls bÅ«tu redzams krievu valodā. Varat mainÄ«t jebkuras cilnes tekstu, pievienot savu logotipu un veikt citas darbÄ«bas. Labajā pusē stÅ«rÄ« ir viesu portāla priekÅ”skatÄ«jums labākam skatam.

Piemērs viesu portāla konfigurÄ“Å”anai ar paÅ”reÄ£istrācijuCisco ISE: viesu piekļuves konfigurÄ“Å”ana vietnē FortiAP. 3. daļaCisco ISE: viesu piekļuves konfigurÄ“Å”ana vietnē FortiAP. 3. daļa

21) NoklikŔķiniet uz frāzes Portāla pārbaudes URL un kopējiet portāla URL uz FortiGate SSID 4. darbÄ«bā. URL paraugs https://10.10.30.38:8433/portal/PortalSetup.action?portal=deaaa863-1df0-4198-baf1-8d5b690d4361

Lai parādÄ«tu savu domēnu, jums ir jāaugÅ”upielādē sertifikāts viesu portālā, skatiet 13. darbÄ«bu.

Cisco ISE: viesu piekļuves konfigurÄ“Å”ana vietnē FortiAP. 3. daļa

22) Dodieties uz cilni Darba centri > Viesu piekļuve > Politikas elementi > Rezultāti > Autorizācijas profili > Pievienot lai izveidotu autorizācijas profilu zem iepriekŔ izveidotā Tīkla ierīces profils.

Cisco ISE: viesu piekļuves konfigurÄ“Å”ana vietnē FortiAP. 3. daļa

23) Cilnē Darba centri > Viesa piekļuve > Politiku kopas rediģēt piekļuves politiku WiFi lietotājiem.

Cisco ISE: viesu piekļuves konfigurÄ“Å”ana vietnē FortiAP. 3. daļaCisco ISE: viesu piekļuves konfigurÄ“Å”ana vietnē FortiAP. 3. daļa

24) Mēģināsim izveidot savienojumu ar viesa SSID. Tas mani nekavējoties novirza uz pieteikÅ”anās lapu. Å eit jÅ«s varat pieteikties ar viesa kontu, kas izveidots lokāli ISE, vai reÄ£istrēties kā vieslietotājs.

Cisco ISE: viesu piekļuves konfigurÄ“Å”ana vietnē FortiAP. 3. daļaCisco ISE: viesu piekļuves konfigurÄ“Å”ana vietnē FortiAP. 3. daļa

25) Ja esat izvēlējies paÅ”reÄ£istrācijas iespēju, tad vienreizējos pieteikÅ”anās datus var nosÅ«tÄ«t pa pastu, ar SMS vai izdrukāt.

Cisco ISE: viesu piekļuves konfigurÄ“Å”ana vietnē FortiAP. 3. daļa

26) Cisco ISE cilnē RADIUS > Live Logs redzēsit atbilstoÅ”os pieteikÅ”anās žurnālus.

Cisco ISE: viesu piekļuves konfigurÄ“Å”ana vietnē FortiAP. 3. daļa

6. Secinājums

Å ajā garajā rakstā mēs esam veiksmÄ«gi konfigurējuÅ”i viesa piekļuvi Cisco ISE, kur FortiGate darbojas kā piekļuves punkta kontrolieris, bet FortiAP darbojas kā piekļuves punkts. IzrādÄ«jās sava veida netriviāla integrācija, kas vēlreiz pierāda ISE plaÅ”o izmantoÅ”anu.

Lai pārbaudītu Cisco ISE, sazinieties ar saitekā arī sekojiet līdzi mūsu kanāliem (Telegram, Facebook, VK, TS risinājumu emuārs, Yandex Zen).

Avots: www.habr.com

Pievieno komentāru