Velkommen til det tredje innlegget i Cisco ISE-serien. Lenker til alle artiklene i serien er gitt nedenfor:
I dette innlegget vil du dykke ned i gjestetilgang, samt en trinn-for-trinn-guide for Ă„ integrere Cisco ISE og FortiGate for Ă„ konfigurere FortiAP, et tilgangspunkt fra Fortinet (generelt, alle enheter som stĂžtter RADIUS CoA â Endring av autorisasjon).
Vedlagt er vÄre artikler. .
NoteA: Check Point SMB-enheter stĂžtter ikke RADIUS CoA.
herlig beskriver pÄ engelsk hvordan du oppretter en gjestetilgang ved Ä bruke Cisco ISE pÄ en Cisco WLC (Wireless Controller). La oss finne ut av det!
1. Introduksjon
Gjestetilgang (portal) lar deg gi tilgang til Internett eller til interne ressurser for gjester og brukere som du ikke Þnsker Ä slippe inn i ditt lokale nettverk. Det er 3 forhÄndsdefinerte typer gjesteportaler (gjesteportal):
Hotspot Gjesteportal - Tilgang til nettverket gis til gjester uten pÄloggingsdata. Vanligvis er brukere pÄlagt Ä godta selskapets "Bruk og personvernregler" fÞr de fÄr tilgang til nettverket.
Sponsored-Guest portal - tilgang til nettverket og pÄloggingsdata mÄ gis av sponsoren - brukeren som er ansvarlig for Ä opprette gjestekontoer pÄ Cisco ISE.
Selvregistrert gjesteportal â i dette tilfellet bruker gjestene eksisterende pĂ„loggingsdetaljer, eller oppretter en konto for seg selv med pĂ„loggingsdetaljer, men sponsorbekreftelse kreves for Ă„ fĂ„ tilgang til nettverket.
Flere portaler kan distribueres pÄ Cisco ISE samtidig. Som standard, i gjesteportalen, vil brukeren se Cisco-logoen og standard vanlige setninger. Alt dette kan tilpasses og til og med settes til Ä vise obligatoriske annonser fÞr du fÄr tilgang.
Oppsett for gjestetilgang kan deles inn i 4 hovedtrinn: FortiAP-oppsett, Cisco ISE- og FortiAP-tilkobling, opprettelse av gjesteportaler og oppsett av tilgangspolicy.
2. Konfigurere FortiAP pÄ FortiGate
FortiGate er en tilgangspunktkontroller og alle innstillinger gjÞres pÄ den. FortiAP-tilgangspunkter stÞtter PoE, sÄ nÄr du har koblet det til nettverket via Ethernet, kan du starte konfigurasjonen.
1) PÄ FortiGate, gÄ til fanen WiFi og bryterkontroller > Managed FortiAPs > Create New > Managed AP. Bruk tilgangspunktets unike serienummer, som er trykt pÄ selve tilgangspunktet, og legg det til som et objekt. Eller den kan vise seg selv og deretter trykke Autorisere ved Ä bruke hÞyre museknapp.
2) FortiAP-innstillinger kan vÊre standard, for eksempel la vÊre som pÄ skjermbildet. Jeg anbefaler pÄ det sterkeste Ä slÄ pÄ 5 GHz-modus, fordi noen enheter ikke stÞtter 2.4 GHz.
3) SĂ„ i fanen WiFi- og bryterkontroller > FortiAP-profiler > Opprett ny vi oppretter en innstillingsprofil for tilgangspunktet (versjon 802.11-protokoll, SSID-modus, kanalfrekvens og deres nummer).
Eksempel pÄ FortiAP-innstillinger
4) Neste trinn er Ă„ opprette en SSID. GĂ„ til fanen WiFi og bryterkontroller > SSID-er > Opprett ny > SSID. Her fra det viktige skal konfigureres:
adresserom for gjeste-WLAN - IP/nettmaske
RADIUS Accounting og Secure Fabric Connection i feltet Administrativ tilgang
Alternativ for enhetsdeteksjon
SSID og Broadcast SSID alternativ
Innstillinger for sikkerhetsmodus > Captive Portal
Autentiseringsportal - Ekstern og sett inn en lenke til den opprettede gjesteportalen fra Cisco ISE fra trinn 20
Brukergruppe - Gjestegruppe - Ekstern - legg til RADIUS til Cisco ISE (s. 6 og utover)
Eksempel pÄ SSID-innstilling
5) Da bÞr du lage regler i tilgangspolicyen pÄ FortiGate. GÄ til fanen Policy og objekter > Brannmurpolicy og lag en regel som dette:
3. RADIUS-innstilling
6) GĂ„ til Cisco ISE-nettgrensesnittet til fanen Policy > Policyelementer > OrdbĂžker > System > Radius > RADIUS-leverandĂžrer > Legg til. I denne fanen vil vi legge til Fortinet RADIUS til listen over stĂžttede protokoller, siden nesten hver leverandĂžr har sine egne spesifikke attributter - VSA (Vendor-Specific Attributes).
Du finner en liste over Fortinet RADIUS-attributter . VSA-er kjennetegnes av deres unike leverandĂžr-ID-nummer. Fortinet har denne IDen = 12356. Full VSA er publisert av IANA.
7) Angi navnet pÄ ordboken, spesifiser Vendor ID (12356) og trykk Sende inn.
8) Etter at vi gÄr til Administrasjon > Nettverksenhetsprofiler > Legg til og opprette en ny enhetsprofil. I feltet RADIUS Dictionaries velger du den tidligere opprettede Fortinet RADIUS-ordboken og velger CoA-metodene som skal brukes senere i ISE-policyen. Jeg valgte RFC 5176 og Port Bounce (avslutning/ingen avslutning nettverksgrensesnitt) og de tilsvarende VSA-ene:
Fortinet-Access-Profile=lese-skrive
Fortinet-gruppenavn = fmg_faz_admins
9) Deretter legger du til FortiGate for tilkobling med ISE. For Ä gjÞre dette, gÄ til fanen Administrasjon > Nettverksressurser > Nettverksenhetsprofiler > Legg til. Felter som skal endres Navn, leverandÞr, RADIUS-ordbÞker (IP-adressen brukes av FortiGate, ikke FortiAP).
Eksempel pÄ konfigurering av RADIUS fra ISE-siden
10) Etter det bÞr du konfigurere RADIUS pÄ FortiGate-siden. GÄ til FortiGate-nettgrensesnittet Bruker og autentisering > RADIUS-servere > Opprett ny. Spesifiser navnet, IP-adressen og Delt hemmelighet (passord) fra forrige avsnitt. Neste klikk Test brukerlegitimasjon og skriv inn legitimasjon som kan trekkes opp via RADIUS (for eksempel en lokal bruker pÄ Cisco ISE).
11) Legg til en RADIUS-server til gjestegruppen (hvis den ikke eksisterer) samt en ekstern brukerkilde.
12) Ikke glem Ă„ legge gjestegruppen til SSID-en vi opprettet tidligere i trinn 4.
4. Innstilling for brukerautentisering
13) Eventuelt kan du importere et sertifikat til ISE-gjesteportalen eller opprette et selvsignert sertifikat i fanen Arbeidssentre > Gjestetilgang > Administrasjon > Sertifisering > Systemsertifikater.
14) Etter i tab Arbeidssentre > Gjestetilgang > Identitetsgrupper > Brukeridentitetsgrupper > Legg til opprette en ny brukergruppe for gjestetilgang, eller bruk standard.
15) Videre i fanen Administrasjon > Identiteter opprette gjestebrukere og legge dem til gruppene fra forrige avsnitt. Hvis du vil bruke tredjepartskontoer, hopper du over dette trinnet.
16) Etter at vi gĂ„r til innstillingene Arbeidssentre > Gjestetilgang > Identiteter > Identitetskildesekvens > Gjesteportalsekvens â dette er standard autentiseringssekvens for gjestebrukere. Og i felten SĂžkeliste for autentisering velg brukerautentiseringsrekkefĂžlgen.
17) For Ä varsle gjester med et engangspassord kan du konfigurere SMS-leverandÞrer eller en SMTP-server for dette formÄlet. GÄ til fanen Arbeidssentre > Gjestetilgang > Administrasjon > SMTP-server eller SMS-gatewayleverandÞrer for disse innstillingene. NÄr det gjelder en SMTP-server, mÄ du opprette en konto for ISE og spesifisere dataene i denne fanen.
18) For SMS-varsler, bruk den aktuelle fanen. ISE har forhÄndsinstallerte profiler av populÊre SMS-leverandÞrer, men det er bedre Ä lage dine egne. Bruk disse profilene som et eksempel pÄ innstilling SMS e-postgatewayy eller SMS HTTP API.
Et eksempel pÄ Ä sette opp en SMTP-server og en SMS-gateway for et engangspassord
5. Sette opp gjesteportalen
19) Som nevnt innledningsvis er det 3 typer forhÄndsinstallerte gjesteportaler: Hotspot, Sponsored, Self-Registered. Jeg foreslÄr at du velger det tredje alternativet, da det er det vanligste. Uansett er innstillingene stort sett identiske. SÄ la oss gÄ til fanen. Arbeidssentre > Gjestetilgang > Portaler og komponenter > Gjesteportaler > Selvregistrert gjesteportal (standard).
20) Velg deretter i kategorien Tilpasning av portalside "Se pÄ russisk - russisk", slik at portalen vises pÄ russisk. Du kan endre teksten til en hvilken som helst fane, legge til logoen din og mer. Til hÞyre i hjÞrnet er en forhÄndsvisning av gjesteportalen for bedre visning.
Eksempel pÄ konfigurering av gjesteportal med egenregistrering
21) Klikk pÄ en setning Nettadresse for portaltest og kopier portal-URLen til SSID-en pÄ FortiGate i trinn 4. Eksempel-URL
For Ä vise domenet ditt mÄ du laste opp sertifikatet til gjesteportalen, se trinn 13.
22) GĂ„ til fanen Arbeidssentre > Gjestetilgang > Policyelementer > Resultater > Autorisasjonsprofiler > Legg til for Ă„ opprette en autorisasjonsprofil under den tidligere opprettede Nettverksenhetsprofil.
23) I en fane Arbeidssentre > Gjestetilgang > Policysett redigere tilgangspolicyen for WiFi-brukere.
24) La oss prÞve Ä koble til gjestens SSID. Den omdirigerer meg umiddelbart til pÄloggingssiden. Her kan du logge inn med gjestekontoen som er opprettet lokalt pÄ ISE, eller registrere deg som gjestebruker.
25) Hvis du har valgt selvregistrering, kan engangspÄloggingsdata sendes via post, SMS eller skrives ut.
26) I kategorien RADIUS > Live Logger pÄ Cisco ISE vil du se de tilsvarende pÄloggingsloggene.
6. Konklusjon
I denne lange artikkelen har vi vellykket konfigurert gjestetilgang pÄ Cisco ISE, der FortiGate fungerer som tilgangspunktkontroller, og FortiAP fungerer som tilgangspunkt. Det viste seg en slags ikke-triviell integrasjon, som nok en gang beviser den utbredte bruken av ISE.
For Ä teste Cisco ISE, kontakt og fÞlg ogsÄ med pÄ vÄre kanaler (, , , , ).
Kilde: www.habr.com
