ഉയർന്ന സുരക്ഷിതമായ റിമോട്ട് ആക്സസ് എന്ന ആശയം നടപ്പിലാക്കൽ

ഓർഗനൈസേഷൻ എന്ന വിഷയത്തെക്കുറിച്ചുള്ള ലേഖനങ്ങളുടെ പരമ്പര തുടരുന്നു വിദൂര ആക്സസ് VPN ആക്‌സസ് എനിക്ക് എന്റെ രസകരമായ വിന്യാസ അനുഭവം പങ്കിടാതിരിക്കാൻ കഴിയില്ല വളരെ സുരക്ഷിതമായ VPN കോൺഫിഗറേഷൻ. ഒരു ഉപഭോക്താവ് നിസ്സാരമല്ലാത്ത ഒരു ടാസ്ക് അവതരിപ്പിച്ചു (റഷ്യൻ ഗ്രാമങ്ങളിൽ കണ്ടുപിടുത്തക്കാർ ഉണ്ട്), എന്നാൽ ചലഞ്ച് സ്വീകരിക്കുകയും ക്രിയാത്മകമായി നടപ്പിലാക്കുകയും ചെയ്തു. ഫലം ഇനിപ്പറയുന്ന സ്വഭാവസവിശേഷതകളുള്ള രസകരമായ ഒരു ആശയമാണ്:

1. ടെർമിനൽ ഉപകരണത്തിന്റെ പകരം വയ്ക്കുന്നതിനെതിരെയുള്ള സംരക്ഷണത്തിന്റെ നിരവധി ഘടകങ്ങൾ (ഉപയോക്താവിനോട് കർശനമായ ബന്ധനത്തോടെ);
   • പ്രാമാണീകരണ ഡാറ്റാബേസിൽ അനുവദനീയമായ പിസിയുടെ നിയുക്ത യുഡിഐഡിയുമായി ഉപയോക്താവിന്റെ പിസി പാലിക്കുന്നുണ്ടോയെന്ന് വിലയിരുത്തുന്നു;
   • Cisco DUO വഴിയുള്ള ദ്വിതീയ പ്രാമാണീകരണത്തിനായി സർട്ടിഫിക്കറ്റിൽ നിന്നുള്ള PC UDID ഉപയോഗിച്ച് MFA ഉപയോഗിച്ച് (നിങ്ങൾക്ക് ഏതെങ്കിലും SAML/റേഡിയസ് അനുയോജ്യമായ ഒന്ന് അറ്റാച്ചുചെയ്യാം);
2. മൾട്ടി-ഫാക്ടർ പ്രാമാണീകരണം:
   • അവയിലൊന്നിനെതിരെ ഫീൽഡ് പരിശോധനയും ദ്വിതീയ പ്രാമാണീകരണവും ഉള്ള ഉപയോക്തൃ സർട്ടിഫിക്കറ്റ്;
   • ലോഗിൻ (മാറ്റമില്ലാത്തത്, സർട്ടിഫിക്കറ്റിൽ നിന്ന് എടുത്തത്) കൂടാതെ പാസ്‌വേഡും;
3. ബന്ധിപ്പിക്കുന്ന ഹോസ്റ്റിന്റെ അവസ്ഥ കണക്കാക്കുന്നു (പോസ്ചർ)

ഉപയോഗിച്ച പരിഹാര ഘടകങ്ങൾ:

• Cisco ASA (VPN ഗേറ്റ്‌വേ);
• Cisco ISE (ഓതന്റിക്കേഷൻ / ഓതറൈസേഷൻ / അക്കൗണ്ടിംഗ്, സ്റ്റേറ്റ് ഇവാലുവേഷൻ, CA);
• Cisco DUO (മൾട്ടി-ഫാക്ടർ ഓതന്റിക്കേഷൻ) (നിങ്ങൾക്ക് ഏതെങ്കിലും SAML/റേഡിയസ് അനുയോജ്യമായ ഒന്ന് അറ്റാച്ചുചെയ്യാം);
• Cisco AnyConnect (വർക്ക് സ്റ്റേഷനുകൾക്കും മൊബൈൽ ഒഎസിനുമുള്ള മൾട്ടി പർപ്പസ് ഏജന്റ്);

ഉപഭോക്താവിന്റെ ആവശ്യകതകളിൽ നിന്ന് നമുക്ക് ആരംഭിക്കാം:

1. ഉപയോക്താവിന്, അവന്റെ ലോഗിൻ/പാസ്‌വേഡ് പ്രാമാണീകരണം വഴി, VPN ഗേറ്റ്‌വേയിൽ നിന്ന് AnyConnect ക്ലയന്റ് ഡൗൺലോഡ് ചെയ്യാൻ കഴിയണം; ഉപയോക്താവിന്റെ നയത്തിന് അനുസൃതമായി ആവശ്യമായ എല്ലാ AnyConnect മൊഡ്യൂളുകളും സ്വയമേവ ഇൻസ്റ്റാൾ ചെയ്തിരിക്കണം;
2. ഉപയോക്താവിന് ഒരു സർട്ടിഫിക്കറ്റ് സ്വയമേവ ഇഷ്യൂ ചെയ്യാൻ കഴിയണം (ഒരു സാഹചര്യത്തിന്, പ്രധാന സാഹചര്യം മാനുവൽ ഇഷ്യൂവും ഒരു പിസിയിൽ അപ്‌ലോഡ് ചെയ്യുന്നതുമാണ്), എന്നാൽ പ്രകടനത്തിനായി ഞാൻ സ്വയമേവയുള്ള പ്രശ്‌നം നടപ്പിലാക്കി (ഇത് നീക്കംചെയ്യാൻ ഒരിക്കലും വൈകില്ല).
3. അടിസ്ഥാന പ്രാമാണീകരണം പല ഘട്ടങ്ങളിലായി നടക്കണം, ആദ്യം ആവശ്യമായ ഫീൽഡുകളുടെയും അവയുടെ മൂല്യങ്ങളുടെയും വിശകലനത്തോടുകൂടിയ സർട്ടിഫിക്കറ്റ് ആധികാരികതയുണ്ട്, തുടർന്ന് ലോഗിൻ/പാസ്‌വേഡ്, ഈ സമയം സർട്ടിഫിക്കറ്റ് ഫീൽഡിൽ വ്യക്തമാക്കിയ ഉപയോക്തൃനാമം മാത്രമേ ലോഗിൻ വിൻഡോയിൽ ചേർക്കാവൂ. വിഷയത്തിന്റെ പേര് (CN) എഡിറ്റ് ചെയ്യാനുള്ള കഴിവില്ലാതെ.
4. നിങ്ങൾ ലോഗിൻ ചെയ്യുന്ന ഉപകരണം വിദൂര ആക്‌സസിനായി ഉപയോക്താവിന് നൽകിയ കോർപ്പറേറ്റ് ലാപ്‌ടോപ്പാണെന്നും മറ്റെന്തെങ്കിലും അല്ലെന്നും ഉറപ്പാക്കേണ്ടതുണ്ട്. (ഈ ആവശ്യകത നിറവേറ്റുന്നതിന് നിരവധി ഓപ്ഷനുകൾ ഉണ്ടാക്കിയിട്ടുണ്ട്)
5. കണക്റ്റുചെയ്യുന്ന ഉപകരണത്തിന്റെ അവസ്ഥ (ഈ ഘട്ടത്തിൽ പിസി) ഉപഭോക്തൃ ആവശ്യകതകളുടെ ഒരു മുഴുവൻ പട്ടികയും പരിശോധിച്ച് വിലയിരുത്തണം (സംഗ്രഹം):
   • ഫയലുകളും അവയുടെ സവിശേഷതകളും;
   • രജിസ്ട്രി എൻട്രികൾ;
   • നൽകിയിരിക്കുന്ന ലിസ്റ്റിൽ നിന്നുള്ള OS പാച്ചുകൾ (പിന്നീട് SCCM ഇന്റഗ്രേഷൻ);
   • ഒരു നിർദ്ദിഷ്ട നിർമ്മാതാവിൽ നിന്നുള്ള ആന്റി-വൈറസിന്റെ ലഭ്യതയും ഒപ്പുകളുടെ പ്രസക്തിയും;
   • ചില സേവനങ്ങളുടെ പ്രവർത്തനം;
   • ഇൻസ്റ്റാൾ ചെയ്ത ചില പ്രോഗ്രാമുകളുടെ ലഭ്യത;

ആരംഭിക്കുന്നതിന്, ഫലമായുണ്ടാകുന്ന നടപ്പാക്കലിന്റെ വീഡിയോ പ്രദർശനം നിങ്ങൾ തീർച്ചയായും നോക്കണമെന്ന് ഞാൻ നിർദ്ദേശിക്കുന്നു Youtube (5 മിനിറ്റ്).

വീഡിയോ ക്ലിപ്പിൽ ഉൾപ്പെടുത്തിയിട്ടില്ലാത്ത നടപ്പാക്കൽ വിശദാംശങ്ങൾ പരിഗണിക്കാൻ ഞാൻ ഇപ്പോൾ നിർദ്ദേശിക്കുന്നു.

AnyConnect പ്രൊഫൈൽ തയ്യാറാക്കാം:

ക്രമീകരണത്തെക്കുറിച്ചുള്ള എന്റെ ലേഖനത്തിൽ ഞാൻ മുമ്പ് ഒരു പ്രൊഫൈൽ (ASDM ലെ മെനു ഇനത്തിന്റെ അടിസ്ഥാനത്തിൽ) സൃഷ്ടിക്കുന്നതിനുള്ള ഒരു ഉദാഹരണം നൽകി. VPN ലോഡ്-ബാലൻസിങ് ക്ലസ്റ്റർ. ഇപ്പോൾ ഞങ്ങൾക്ക് ആവശ്യമായ ഓപ്ഷനുകൾ പ്രത്യേകം ശ്രദ്ധിക്കാൻ ഞാൻ ആഗ്രഹിക്കുന്നു:

പ്രൊഫൈലിൽ, അവസാന ക്ലയന്റിലേക്ക് കണക്റ്റുചെയ്യുന്നതിനുള്ള VPN ഗേറ്റ്‌വേയും പ്രൊഫൈൽ നാമവും ഞങ്ങൾ സൂചിപ്പിക്കും:

പ്രൊഫൈൽ ഭാഗത്ത് നിന്ന് ഒരു സർട്ടിഫിക്കറ്റിന്റെ യാന്ത്രിക ഇഷ്യു കോൺഫിഗർ ചെയ്യാം, പ്രത്യേകിച്ചും, സർട്ടിഫിക്കറ്റ് പാരാമീറ്ററുകൾ സൂചിപ്പിക്കുന്നത് കൂടാതെ, സ്വഭാവപരമായി, ഫീൽഡിൽ ശ്രദ്ധിക്കുക ഇനിഷ്യലുകൾ (I), ഒരു പ്രത്യേക മൂല്യം സ്വമേധയാ നൽകിയിടത്ത് UDID ടെസ്റ്റ് മെഷീൻ (സിസ്കോ AnyConnect ക്ലയന്റ് സൃഷ്ടിച്ച തനതായ ഉപകരണ ഐഡന്റിഫയർ).

ഈ ലേഖനം ആശയത്തെ വിവരിക്കുന്നതിനാൽ, ഇവിടെ ഒരു ലിറിക്കൽ ഡൈഗ്രഷൻ നടത്താൻ ഞാൻ ആഗ്രഹിക്കുന്നു; പ്രദർശന ആവശ്യങ്ങൾക്കായി, ഒരു സർട്ടിഫിക്കറ്റ് നൽകുന്നതിനുള്ള UDID AnyConnect പ്രൊഫൈലിന്റെ ഇനീഷ്യൽ ഫീൽഡിൽ നൽകിയിട്ടുണ്ട്. തീർച്ചയായും, യഥാർത്ഥ ജീവിതത്തിൽ, നിങ്ങൾ ഇത് ചെയ്യുകയാണെങ്കിൽ, എല്ലാ ക്ലയന്റുകൾക്കും ഈ ഫീൽഡിൽ ഒരേ യുഡിഐഡി ഉള്ള ഒരു സർട്ടിഫിക്കറ്റ് ലഭിക്കും, മാത്രമല്ല അവർക്ക് അവരുടെ നിർദ്ദിഷ്ട പിസിയുടെ യുഡിഐഡി ആവശ്യമുള്ളതിനാൽ ഒന്നും പ്രവർത്തിക്കില്ല. AnyConnect, നിർഭാഗ്യവശാൽ, ഒരു എൻവയോൺമെന്റ് വേരിയബിൾ വഴി സർട്ടിഫിക്കറ്റ് അഭ്യർത്ഥന പ്രൊഫൈലിലേക്ക് UDID ഫീൽഡ് മാറ്റിസ്ഥാപിക്കുന്നത് ഇതുവരെ നടപ്പിലാക്കിയിട്ടില്ല, ഉദാഹരണത്തിന്, ഒരു വേരിയബിൾ ഉപയോഗിച്ച് %USER%.

അത്തരം പരിരക്ഷിത പിസികൾക്ക് മാനുവൽ മോഡിൽ തന്നിരിക്കുന്ന യുഡിഐഡി ഉപയോഗിച്ച് സ്വതന്ത്രമായി സർട്ടിഫിക്കറ്റുകൾ നൽകാൻ ഉപഭോക്താവ് (ഈ സാഹചര്യത്തിൽ) തുടക്കത്തിൽ പദ്ധതിയിടുന്നു എന്നത് ശ്രദ്ധിക്കേണ്ടതാണ്, ഇത് അദ്ദേഹത്തിന് ഒരു പ്രശ്നമല്ല. എന്നിരുന്നാലും, നമ്മിൽ മിക്കവർക്കും ഓട്ടോമേഷൻ വേണം (ശരി, എന്നെ സംബന്ധിച്ചിടത്തോളം ഇത് ശരിയാണ് =)).

ഓട്ടോമേഷന്റെ കാര്യത്തിൽ എനിക്ക് വാഗ്ദാനം ചെയ്യാൻ കഴിയുന്നത് ഇതാണ്. യുഡിഐഡിയെ ചലനാത്മകമായി മാറ്റിസ്ഥാപിച്ച് ഒരു സർട്ടിഫിക്കറ്റ് സ്വയമേവ നൽകാൻ AnyConnect-ന് ഇതുവരെ കഴിയുന്നില്ലെങ്കിൽ, കുറച്ച് ക്രിയാത്മകമായ ചിന്തയും നൈപുണ്യമുള്ള കൈകളും ആവശ്യമായ മറ്റൊരു മാർഗമുണ്ട് - ഞാൻ നിങ്ങൾക്ക് ആശയം പറയാം. ആദ്യം, AnyConnect ഏജന്റ് എങ്ങനെയാണ് UDID വ്യത്യസ്ത ഓപ്പറേറ്റിംഗ് സിസ്റ്റങ്ങളിൽ സൃഷ്ടിക്കുന്നതെന്ന് നോക്കാം:

• വിൻഡോസ് — DigitalProductID, Machine SID രജിസ്ട്രി കീ എന്നിവയുടെ സംയോജനത്തിന്റെ SHA-256 ഹാഷ്
• OSX — SHA-256 ഹാഷ് PlatformUUID
• ലിനക്സ് — റൂട്ട് പാർട്ടീഷന്റെ UUID-യുടെ SHA-256 ഹാഷ്.
• Apple iOS — SHA-256 ഹാഷ് PlatformUUID
• ആൻഡ്രോയിഡ് - പ്രമാണം കാണുക ലിങ്ക്

അതനുസരിച്ച്, ഞങ്ങളുടെ കോർപ്പറേറ്റ് വിൻഡോസ് ഒഎസിനായി ഞങ്ങൾ ഒരു സ്‌ക്രിപ്റ്റ് സൃഷ്‌ടിക്കുന്നു, ഈ സ്‌ക്രിപ്റ്റ് ഉപയോഗിച്ച് ഞങ്ങൾ അറിയപ്പെടുന്ന ഇൻപുട്ടുകൾ ഉപയോഗിച്ച് യുഡിഐഡി പ്രാദേശികമായി കണക്കാക്കുകയും ആവശ്യമായ ഫീൽഡിൽ ഈ യുഡിഐഡി നൽകി ഒരു സർട്ടിഫിക്കറ്റ് നൽകുന്നതിനുള്ള അഭ്യർത്ഥന രൂപീകരിക്കുകയും ചെയ്യുന്നു, വഴി, നിങ്ങൾക്ക് ഒരു മെഷീനും ഉപയോഗിക്കാം. AD നൽകിയ സർട്ടിഫിക്കറ്റ് (സ്‌കീമിലേക്ക് ഒരു സർട്ടിഫിക്കറ്റ് ഉപയോഗിച്ച് ഇരട്ട പ്രാമാണീകരണം ചേർത്ത് ഒന്നിലധികം സർട്ടിഫിക്കറ്റ്).

Cisco ASA വശത്ത് നമുക്ക് ക്രമീകരണങ്ങൾ തയ്യാറാക്കാം:

ISE CA സെർവറിനായി നമുക്ക് ഒരു TrustPoint സൃഷ്ടിക്കാം, അത് ക്ലയന്റുകൾക്ക് സർട്ടിഫിക്കറ്റുകൾ നൽകും. കീ-ചെയിൻ ഇറക്കുമതി നടപടിക്രമം ഞാൻ പരിഗണിക്കില്ല; സജ്ജീകരണത്തെക്കുറിച്ചുള്ള എന്റെ ലേഖനത്തിൽ ഒരു ഉദാഹരണം വിവരിച്ചിരിക്കുന്നു VPN ലോഡ്-ബാലൻസിങ് ക്ലസ്റ്റർ.

crypto ca trustpoint ISE-CA
 enrollment terminal
 crl configure

പ്രാമാണീകരണത്തിനായി ഉപയോഗിക്കുന്ന സർട്ടിഫിക്കറ്റിലെ ഫീൽഡുകൾക്ക് അനുസൃതമായി നിയമങ്ങളെ അടിസ്ഥാനമാക്കി ഞങ്ങൾ ടണൽ-ഗ്രൂപ്പ് വഴി വിതരണം ക്രമീകരിക്കുന്നു. മുമ്പത്തെ ഘട്ടത്തിൽ ഞങ്ങൾ നിർമ്മിച്ച AnyConnect പ്രൊഫൈലും ഇവിടെ ക്രമീകരിച്ചിരിക്കുന്നു. ഞാൻ മൂല്യം ഉപയോഗിക്കുന്നുണ്ടെന്ന് ദയവായി ശ്രദ്ധിക്കുക സെക്യൂർബാങ്ക്-RA, ഇഷ്യൂ ചെയ്ത സർട്ടിഫിക്കറ്റുള്ള ഉപയോക്താക്കളെ ഒരു ടണൽ ഗ്രൂപ്പിലേക്ക് മാറ്റുന്നതിന് സെക്യുർ-ബാങ്ക്-വിപിഎൻ, AnyConnect പ്രൊഫൈൽ സർട്ടിഫിക്കറ്റ് അഭ്യർത്ഥന കോളത്തിൽ എനിക്ക് ഈ ഫീൽഡ് ഉണ്ടെന്ന് ദയവായി ശ്രദ്ധിക്കുക.

tunnel-group-map enable rules
!
crypto ca certificate map OU-Map 6
 subject-name attr ou eq securebank-ra
!
webvpn
 anyconnect profiles SECUREBANK disk0:/securebank.xml
 certificate-group-map OU-Map 6 SECURE-BANK-VPN
!

പ്രാമാണീകരണ സെർവറുകൾ സജ്ജീകരിക്കുന്നു. എന്റെ കാര്യത്തിൽ, ഇത് പ്രാമാണീകരണത്തിന്റെ ആദ്യ ഘട്ടത്തിനായുള്ള ISE ഉം MFA ആയി DUO (റേഡിയസ് പ്രോക്സി) ഉം ആണ്.

! CISCO ISE
aaa-server ISE protocol radius
 authorize-only
 interim-accounting-update periodic 24
 dynamic-authorization
aaa-server ISE (inside) host 192.168.99.134
 key *****
!
! DUO RADIUS PROXY
aaa-server DUO protocol radius
aaa-server DUO (inside) host 192.168.99.136
 timeout 60
 key *****
 authentication-port 1812
 accounting-port 1813
 no mschapv2-capable
!

ഞങ്ങൾ ഗ്രൂപ്പ് നയങ്ങളും ടണൽ ഗ്രൂപ്പുകളും അവയുടെ സഹായ ഘടകങ്ങളും സൃഷ്ടിക്കുന്നു:

ടണൽ ഗ്രൂപ്പ് DefaultWEBVPNG ഗ്രൂപ്പ് AnyConnect VPN ക്ലയന്റ് ഡൗൺലോഡ് ചെയ്യുന്നതിനും ASA-യുടെ SCEP-Proxy ഫംഗ്‌ഷൻ ഉപയോഗിച്ച് ഒരു ഉപയോക്തൃ സർട്ടിഫിക്കറ്റ് നൽകുന്നതിനും പ്രാഥമികമായി ഉപയോഗിക്കും; ഇതിനായി ടണൽ ഗ്രൂപ്പിലും അനുബന്ധ ഗ്രൂപ്പ് നയത്തിലും ഞങ്ങൾക്ക് അനുബന്ധ ഓപ്ഷനുകൾ സജീവമാക്കിയിട്ടുണ്ട്. എസി-ഡൗൺലോഡ്, കൂടാതെ ലോഡ് ചെയ്ത AnyConnect പ്രൊഫൈലിൽ (ഒരു സർട്ടിഫിക്കറ്റ് നൽകുന്നതിനുള്ള ഫീൽഡുകൾ മുതലായവ). ഈ ഗ്രൂപ്പ് നയത്തിൽ ഡൗൺലോഡ് ചെയ്യേണ്ടതിന്റെ ആവശ്യകതയും ഞങ്ങൾ സൂചിപ്പിക്കുന്നു ISE പോസ്ചർ മൊഡ്യൂൾ.

ടണൽ ഗ്രൂപ്പ് സെക്യുർ-ബാങ്ക്-വിപിഎൻ മുമ്പത്തെ ഘട്ടത്തിൽ ഇഷ്യൂ ചെയ്ത സർട്ടിഫിക്കറ്റ് ഉപയോഗിച്ച് പ്രാമാണീകരിക്കുമ്പോൾ ക്ലയന്റ് സ്വയമേവ ഉപയോഗിക്കും, കാരണം, സർട്ടിഫിക്കറ്റ് മാപ്പിന് അനുസൃതമായി, കണക്ഷൻ പ്രത്യേകമായി ഈ ടണൽ ഗ്രൂപ്പിൽ വീഴും. രസകരമായ ഓപ്ഷനുകളെക്കുറിച്ച് ഞാൻ ഇവിടെ നിങ്ങളോട് പറയും:

• ദ്വിതീയ-ആധികാരികത-സെർവർ-ഗ്രൂപ്പ് DUO # DUO സെർവറിൽ (റേഡിയസ് പ്രോക്സി) ദ്വിതീയ പ്രാമാണീകരണം സജ്ജമാക്കുക
• ഉപയോക്തൃനാമം-സർട്ടിഫിക്കറ്റിൽ നിന്നുള്ള സിഎൻ # പ്രാഥമിക പ്രാമാണീകരണത്തിനായി, ഉപയോക്തൃ ലോഗിൻ അവകാശമാക്കുന്നതിന് ഞങ്ങൾ സർട്ടിഫിക്കറ്റിന്റെ CN ഫീൽഡ് ഉപയോഗിക്കുന്നു
• സെക്കണ്ടറി-ഉപയോക്തൃനാമം-സർട്ടിഫിക്കറ്റ് I # DUO സെർവറിലെ ദ്വിതീയ പ്രാമാണീകരണത്തിനായി, ഞങ്ങൾ എക്‌സ്‌ട്രാക്‌റ്റുചെയ്‌ത ഉപയോക്തൃനാമവും സർട്ടിഫിക്കറ്റിന്റെ ഇനീഷ്യലുകൾ (I) ഫീൽഡുകളും ഉപയോഗിക്കുന്നു.
• പ്രീ-ഫിൽ-ഉപയോക്തൃനാമം ക്ലയന്റ് # മാറ്റാനുള്ള കഴിവില്ലാതെ ആധികാരികത വിൻഡോയിൽ ഉപയോക്തൃനാമം മുൻകൂട്ടി പൂരിപ്പിക്കുക
• secondary-pre-fill-username client hide use-common-password push # ഞങ്ങൾ ദ്വിതീയ പ്രാമാണീകരണ DUO-യ്‌ക്കായി ലോഗിൻ/പാസ്‌വേഡ് ഇൻപുട്ട് വിൻഡോ മറയ്‌ക്കുകയും അറിയിപ്പ് രീതി ഉപയോഗിക്കുക (sms/പുഷ്/ഫോൺ) - പാസ്‌വേഡ് ഫീൽഡിന് പകരം പ്രാമാണീകരണം അഭ്യർത്ഥിക്കാൻ ഡോക്ക് ചെയ്യുക ഇവിടെ

!
access-list posture-redirect extended permit tcp any host 72.163.1.80 
access-list posture-redirect extended deny ip any any
!
access-list VPN-Filter extended permit ip any any
!
ip local pool vpn-pool 192.168.100.33-192.168.100.63 mask 255.255.255.224
!
group-policy SECURE-BANK-VPN internal
group-policy SECURE-BANK-VPN attributes
 dns-server value 192.168.99.155 192.168.99.130
 vpn-filter value VPN-Filter
 vpn-tunnel-protocol ssl-client 
 split-tunnel-policy tunnelall
 default-domain value ashes.cc
 address-pools value vpn-pool
 webvpn
  anyconnect ssl dtls enable
  anyconnect mtu 1300
  anyconnect keep-installer installed
  anyconnect ssl keepalive 20
  anyconnect ssl rekey time none
  anyconnect ssl rekey method ssl
  anyconnect dpd-interval client 30
  anyconnect dpd-interval gateway 30
  anyconnect ssl compression lzs
  anyconnect dtls compression lzs
  anyconnect modules value iseposture
  anyconnect profiles value SECUREBANK type user
!
group-policy AC-DOWNLOAD internal
group-policy AC-DOWNLOAD attributes
 dns-server value 192.168.99.155 192.168.99.130
 vpn-filter value VPN-Filter
 vpn-tunnel-protocol ssl-client 
 split-tunnel-policy tunnelall
 default-domain value ashes.cc
 address-pools value vpn-pool
 scep-forwarding-url value http://ise.ashes.cc:9090/auth/caservice/pkiclient.exe
 webvpn
  anyconnect ssl dtls enable
  anyconnect mtu 1300
  anyconnect keep-installer installed
  anyconnect ssl keepalive 20
  anyconnect ssl rekey time none
  anyconnect ssl rekey method ssl
  anyconnect dpd-interval client 30
  anyconnect dpd-interval gateway 30
  anyconnect ssl compression lzs
  anyconnect dtls compression lzs
  anyconnect modules value iseposture
  anyconnect profiles value SECUREBANK type user
!
tunnel-group DefaultWEBVPNGroup general-attributes
 address-pool vpn-pool
 authentication-server-group ISE
 accounting-server-group ISE
 default-group-policy AC-DOWNLOAD
 scep-enrollment enable
tunnel-group DefaultWEBVPNGroup webvpn-attributes
 authentication aaa certificate
!
tunnel-group SECURE-BANK-VPN type remote-access
tunnel-group SECURE-BANK-VPN general-attributes
 address-pool vpn-pool
 authentication-server-group ISE
 secondary-authentication-server-group DUO
 accounting-server-group ISE
 default-group-policy SECURE-BANK-VPN
 username-from-certificate CN
 secondary-username-from-certificate I
tunnel-group SECURE-BANK-VPN webvpn-attributes
 authentication aaa certificate
 pre-fill-username client
 secondary-pre-fill-username client hide use-common-password push
 group-alias SECURE-BANK-VPN enable
 dns-group ASHES-DNS
!

അടുത്തതായി നമ്മൾ ISE ലേക്ക് പോകുന്നു:

ഞങ്ങൾ ഒരു പ്രാദേശിക ഉപയോക്താവിനെ കോൺഫിഗർ ചെയ്യുന്നു (നിങ്ങൾക്ക് AD/LDAP/ODBC മുതലായവ ഉപയോഗിക്കാം), ലാളിത്യത്തിനായി, ISE-ൽ തന്നെ ഒരു പ്രാദേശിക ഉപയോക്താവിനെ ഞാൻ സൃഷ്ടിച്ച് ഫീൽഡിൽ നിയോഗിച്ചു. വിവരണം യുഡിഐഡി പിസി അതിൽ നിന്ന് അവനെ VPN വഴി ലോഗിൻ ചെയ്യാൻ അനുവദിച്ചിരിക്കുന്നു. ISE-യിൽ ഞാൻ പ്രാദേശിക പ്രാമാണീകരണം ഉപയോഗിക്കുകയാണെങ്കിൽ, ഞാൻ ഒരു ഉപകരണത്തിൽ മാത്രമായി പരിമിതപ്പെടുത്തും, കാരണം ധാരാളം ഫീൽഡുകൾ ഇല്ല, എന്നാൽ മൂന്നാം കക്ഷി പ്രാമാണീകരണ ഡാറ്റാബേസുകളിൽ എനിക്ക് അത്തരം നിയന്ത്രണങ്ങൾ ഉണ്ടാകില്ല.

അംഗീകാര നയം നോക്കാം, ഇത് നാല് കണക്ഷൻ ഘട്ടങ്ങളായി തിരിച്ചിരിക്കുന്നു:

• സ്റ്റേജ് 1 — AnyConnect ഏജന്റ് ഡൗൺലോഡ് ചെയ്യുന്നതിനും സർട്ടിഫിക്കറ്റ് നൽകുന്നതിനുമുള്ള നയം
• സ്റ്റേജ് 2 — പ്രാഥമിക പ്രാമാണീകരണ നയം ലോഗിൻ (സർട്ടിഫിക്കറ്റിൽ നിന്ന്)/പാസ്‌വേഡ് + UDID മൂല്യനിർണ്ണയത്തോടുകൂടിയ സർട്ടിഫിക്കറ്റ്
• സ്റ്റേജ് 3 — UDID ഉപയോക്തൃനാമമായി ഉപയോഗിക്കുന്ന Cisco DUO (MFA) വഴിയുള്ള ദ്വിതീയ പ്രാമാണീകരണം + സംസ്ഥാന വിലയിരുത്തൽ
• സ്റ്റേജ് 4 - അന്തിമ അംഗീകാരം സംസ്ഥാനത്താണ്:
  • കംപ്ലയിന്റ്;
  • UDID മൂല്യനിർണ്ണയം (സർട്ടിഫിക്കറ്റിൽ നിന്ന് + ലോഗിൻ ബൈൻഡിംഗിൽ നിന്ന്),
  • Cisco DUO MFA;
  • ലോഗിൻ വഴിയുള്ള പ്രാമാണീകരണം;
  • സർട്ടിഫിക്കറ്റ് ആധികാരികത;

രസകരമായ ഒരു അവസ്ഥ നോക്കാം UUID_VALIDATED, ആധികാരികമാക്കുന്ന ഉപയോക്താവ് യഥാർത്ഥത്തിൽ ഫീൽഡിൽ ബന്ധപ്പെട്ട അനുവദനീയമായ UDID ഉള്ള ഒരു പിസിയിൽ നിന്നാണ് വന്നതെന്ന് തോന്നുന്നു വിവരണം അക്കൗണ്ട്, വ്യവസ്ഥകൾ ഇതുപോലെ കാണപ്പെടുന്നു:

1,2,3 ഘട്ടങ്ങളിൽ ഉപയോഗിച്ചിരിക്കുന്ന അംഗീകാര പ്രൊഫൈൽ ഇപ്രകാരമാണ്:

ISE-യിലെ ക്ലയന്റ് സെഷൻ വിശദാംശങ്ങൾ പരിശോധിച്ച് AnyConnect ക്ലയന്റിൽ നിന്നുള്ള UDID എങ്ങനെയാണ് ഞങ്ങളിലേക്ക് എത്തുന്നത് എന്ന് നിങ്ങൾക്ക് കൃത്യമായി പരിശോധിക്കാം. വിശദമായി നമുക്ക് മെക്കാനിസത്തിലൂടെ AnyConnect എന്ന് കാണാം ACIDEX പ്ലാറ്റ്‌ഫോമിനെക്കുറിച്ചുള്ള വിവരങ്ങൾ മാത്രമല്ല, ഉപകരണത്തിന്റെ യുഡിഐഡിയും അയയ്‌ക്കുന്നു സിസ്കോ-എവി-പെയർ:

ഉപയോക്താവിന് നൽകിയ സർട്ടിഫിക്കറ്റും ഫീൽഡും ശ്രദ്ധിക്കാം ഇനിഷ്യലുകൾ (I), ഇത് Cisco DUO-യിലെ ദ്വിതീയ MFA പ്രാമാണീകരണത്തിനുള്ള ലോഗിൻ ആയി എടുക്കാൻ ഉപയോഗിക്കുന്നു:

ലോഗിലെ DUO റേഡിയസ് പ്രോക്സി വശത്ത്, പ്രാമാണീകരണ അഭ്യർത്ഥന എങ്ങനെയാണ് നടത്തുന്നത് എന്ന് നമുക്ക് വ്യക്തമായി കാണാൻ കഴിയും, അത് യുഡിഐഡി ഉപയോക്തൃനാമമായി ഉപയോഗിക്കുന്നു:

DUO പോർട്ടലിൽ നിന്ന് ഞങ്ങൾ ഒരു വിജയകരമായ പ്രാമാണീകരണ പരിപാടി കാണുന്നു:

ഉപയോക്തൃ പ്രോപ്പർട്ടികളിൽ ഞാൻ അത് സജ്ജമാക്കിയിട്ടുണ്ട് അലിയാസ്ലോഗിൻ ചെയ്യാൻ ഞാൻ ഉപയോഗിച്ചത്, ലോഗിൻ ചെയ്യാൻ അനുവദിച്ചിരിക്കുന്ന പിസിയുടെ UDID ഇതാണ്:

തൽഫലമായി, ഞങ്ങൾക്ക് ലഭിച്ചു:

• മൾട്ടി-ഫാക്ടർ ഉപയോക്താവിന്റെയും ഉപകരണത്തിന്റെയും ആധികാരികത;
• ഉപയോക്താവിന്റെ ഉപകരണം കബളിപ്പിക്കുന്നതിനെതിരായ സംരക്ഷണം;
• ഉപകരണത്തിന്റെ അവസ്ഥ വിലയിരുത്തൽ;
• ഡൊമെയ്ൻ മെഷീൻ സർട്ടിഫിക്കറ്റ് മുതലായവ ഉപയോഗിച്ച് നിയന്ത്രണം വർദ്ധിപ്പിക്കുന്നതിനുള്ള സാധ്യത;
• സ്വയമേവ വിന്യസിച്ച സുരക്ഷാ മൊഡ്യൂളുകളുള്ള സമഗ്രമായ വിദൂര ജോലിസ്ഥല സംരക്ഷണം;

Cisco VPN സീരീസ് ലേഖനങ്ങളിലേക്കുള്ള ലിങ്കുകൾ:

• ഒരു ASA VPN ലോഡ്-ബാലൻസിങ് ക്ലസ്റ്റർ വിന്യസിക്കുന്നു
• Cisco ASA-യിലെ AnyConnect VPN ടണലിൽ ക്ലൗഡ് സേവനങ്ങൾ ഒപ്റ്റിമൈസ് ചെയ്യുന്നു

അവലംബം: www.habr.com