Bem-vindo à terceira publicação da série de artigos dedicada ao Cisco ISE. Links para todos os artigos da série estão abaixo:
Nesta publicação, você encontrará uma imersão no acesso convidado, bem como um guia passo a passo para integrar Cisco ISE e FortiGate para configurar o FortiAP - ponto de acesso da Fortinet (em geral, qualquer dispositivo que suporte RADIUS CoA — Mudança de Autorização).
Adicionalmente, anexo nossos artigos .
Nota: Dispositivos Check Point SMB não suportam RADIUS CoA.
Maravilhoso em inglês descreve como criar um acesso convidado usando Cisco ISE em Cisco WLC (Controlador Sem Fio). Vamos entender!
1. Introdução
O acesso convidado (portal) permite fornecer acesso à Internet ou a recursos internos para convidados e usuários que você não deseja permitir na sua rede local. Existem 3 tipos predefinidos de portal de convidados (Guest portal):
Hotspot Guest portal — o acesso à rede para convidados é fornecido sem dados de login. Normalmente, os usuários precisam aceitar a "Política de Uso e Privacidade" da empresa antes de obter acesso à rede.
Sponsored-Guest portal — o acesso à rede e os dados de login devem ser fornecidos por um patrocinador — usuário responsável pela criação de contas de convidados no Cisco ISE.
Self-Registered Guest portal — neste caso, os convidados usam dados de login existentes ou criam sua própria conta com dados de login, mas é necessária a confirmação do patrocinador para obter acesso à rede.
No Cisco ISE, é possível implantar vários portais simultaneamente. Por padrão, no portal de convidados, o usuário verá o logotipo da Cisco e frases gerais padrão. Tudo isso pode ser personalizado e até é possível exibir anúncios obrigatórios antes de obter acesso.
A configuração do acesso convidado pode ser dividida em 4 etapas principais: configuração do FortiAP, estabelecimento de conectividade entre Cisco ISE e FortiAP, criação do portal de convidados e configuração da política de acesso.
2. Configuração do FortiAP no FortiGate
O FortiGate é o controlador dos pontos de acesso e todas as configurações são feitas nele. Os pontos de acesso FortiAP suportam PoE, portanto, assim que você os conecta à rede via Ethernet, pode iniciar a configuração.
1) No FortiGate, vá para a guia WiFi & Switch Controller > Managed FortiAPs > Create New > Managed AP. Usando o número de série único do ponto de acesso, que está indicado no próprio ponto de acesso, adicione-o como um objeto. Alternativamente, ele pode ser detectado automaticamente, então clique Autorizar com o botão direito do mouse.
2) As configurações do FortiAP podem ser as padrões, por exemplo, deixe como na captura de tela. É altamente recomendável ativar o modo de 5 GHz, uma vez que alguns dispositivos não suportam 2,4 GHz.
3) Em seguida, na aba WiFi & Switch Controller > Perfis FortiAP > Criar Novo nós criamos um perfil de configurações para o ponto de acesso (versão do protocolo 802.11, modo SSID, frequência do canal e sua quantidade).
Exemplo de configurações do FortiAP
4) O próximo passo é criar o SSID. Vá para a aba WiFi & Switch Controller > SSIDs > Criar Novo > SSID. Aqui, o importante a configurar é:
espaço de endereçamento para a WLAN de convidados — IP\/Netmask
Contabilidade RADIUS e Conexão de Fabrica Segura no campo Acesso Administrativo
Opção de Detecção de Dispositivos
SSID e a opção Broadcast SSID
Configurações de Modo de Segurança > Portal Cativo
Portal de Autenticação — Externo e cole o link para o portal de convidados criado no Cisco ISE do item 20
Grupo de Usuários — Grupo de Convidados — Externo — adicione RADIUS no Cisco ISE (item 6 e seguintes)
Exemplo de configuração do SSID
5) Em seguida, você deve criar regras na política de acesso no FortiGate. Vá para a aba Política & Objetos > Política de Firewall e crie uma regra do seguinte tipo:
3. Configuração do RADIUS
6) Vá para a interface web do Cisco ISE na aba Política > Elementos da Política > Dicionários > Sistema > RADIUS > Fornecedores RADIUS > Adicionar. Nesta aba, iremos adicionar à lista de protocolos RADIUS suportados da Fortinet, já que quase todos os fornecedores têm seus próprios atributos específicos — VSA (Atributos Específicos do Fornecedor).
A lista de atributos RADIUS da Fortinet pode ser encontrada . Os VSA diferem por um número único de Vendor ID. Para a Fortinet, este ID é igual a 12356. O completo VSA foi publicado pela organização IANA.
7) Nomeie o dicionário, indicando Vendor ID (12356) e clique em Enviar.
8) Depois, vá para Administração > Perfis de Dispositivos de Rede > Adicionar e crie um novo perfil de dispositivo. No campo Dicionários RADIUS, selecione o dicionário RADIUS da Fortinet criado anteriormente e selecione os métodos CoA para usá-los depois na política ISE. Eu escolhi RFC 5176 e Port Bounce (shutdown\/no shutdown da interface de rede) e os VSA correspondentes:
Fortinet-Access-Profile = leitura-escrita
Fortinet-Group-Name = fmg_faz_admins
9) Em seguida, deve-se adicionar o FortiGate para conexão com o ISE. Para isso, vá para a aba Administração > Recursos de Rede > Perfis de Dispositivos de Rede > Adicionar. As seguintes configurações devem ser alteradas: Nome, Fornecedor, Dicionários RADIUS (O endereço IP usado é do FortiGate e não do FortiAP).
Exemplo de configuração RADIUS do lado do ISE
10) Em seguida, configure o RADIUS no lado do FortiGate. No painel da web do FortiGate, acesse Usuário & Autenticação > Servidores RADIUS > Criar Novo. Insira o nome, o endereço IP e o Shared secret (senha) do item anterior. Em seguida, clique em Testar Credenciais do Usuário e insira quaisquer credenciais que possam ser recuperadas via RADIUS (como um usuário local no Cisco ISE).
11) Adicione o servidor RADIUS ao grupo Guest-Group (se não existir, crie um) e fonte externa de usuários.
12) Não se esqueça de adicionar o grupo Guest-Group ao SSID que criamos anteriormente no item 4.
4. Configuração de usuários de autenticação
13) Opcionalmente, você pode importar um certificado no portal de convidados do ISE ou criar um certificado autoassinado na aba Centros de Trabalho > Acesso de Convidados > Administração > Certificação > Certificados do Sistema.
14) Em seguida, na aba Centros de Trabalho > Acesso de Convidados > Grupos de Identidade > Grupos de Identidade do Usuário > Adicionar crie um novo grupo de usuários para acesso de convidados ou utilize os grupos padrão já existentes.
15) Depois, na aba Administração > Identidades crie usuários convidados e adicione-os aos grupos do item anterior. Se você quiser usar contas externas, pule esta etapa.
16) Em seguida, vamos para as configurações Centros de Trabalho > Acesso de Convidados > Identidades > Sequência de Fonte de Identidade > Sequência do Portal de Convidados — esta é a sequência predefinida de autenticação de usuários convidados. E no campo Lista de Busca de Autenticação escolha a ordem de autenticação dos usuários.
17) Para notificar os convidados com uma senha de uso único, você pode configurar provedores de SMS ou um servidor SMTP para esse propósito. Acesse a aba Centros de Trabalho > Acesso de Convidados > Administração > Servidor SMTP ou Provedores de SMS para essas configurações. No caso do servidor SMTP, é necessário criar uma conta para o ISE e fornecer os dados nesta aba.
18) Para notificações via SMS, use a aba correspondente. O ISE tem perfis predefinidos de provedores populares de SMS, mas é melhor criar o seu. Use esses perfis como exemplo de configuração SMS Email Gatewayou SMS HTTP API.
Exemplo de configuração de servidor SMTP e gateway SMS para senha de uso único.
5. Configuração do portal de convidados
19) Como mencionado no início, existem 3 tipos de portais de hóspedes pré-configurados: Hotspot, Patrocinado e Autoregistrado. Recomendo escolher a terceira opção, pois é a mais comum. Em qualquer caso, as configurações são em grande parte idênticas. Portanto, vamos para a aba Work Centers > Guest Access > Portals & Components > Guest Portals > Self-Registered Guest Portal (default).
20) Em seguida, na aba Personalização da Página do Portal, escolha “View in Russian — Русский”, para que o portal seja exibido em russo. Você pode modificar o texto de qualquer aba, adicionar seu logotipo e muito mais. À direita, está a prévia do portal de hóspedes para uma visualização mais conveniente.
Exemplo de configuração do portal de hóspedes com autocadastro.
21) Clique na frase “Portal test URL” e copie o URL do portal no SSID do FortiGate na etapa 4. Uma aparência aproximada do URL
Para que seu domínio seja exibido, é necessário carregar um certificado no portal de hóspedes, veja na etapa 13.
22) Vá para a aba Work Centers > Guest Access > Policy Elements > Results > Authorization Profiles > Add para criar um perfil de autorização para o anteriormente criado Network Device Profile.
23) Na aba Work Centers > Guest Access > Policy Sets edite a política de acesso para usuários WiFi.
24) Vamos tentar nos conectar ao SSID de hóspedes. Eu sou imediatamente redirecionado para a página de login. Aqui, você pode entrar com a conta de convidado criada localmente no ISE ou registrar-se como um usuário convidado.
25) Se você escolheu a opção de autocadastro, os dados de entrada temporários podem ser enviados por e-mail, por SMS ou impressos.
26) Na aba RADIUS > Live Logs no Cisco ISE, você verá os logs de entrada correspondentes.
6. Conclusão
Neste longo artigo, configuramos com sucesso o acesso de hóspedes no Cisco ISE, onde o FortiGate atua como controlador de pontos de acesso e o FortiAP como ponto de acesso. Esta integração não trivial mais uma vez prova a ampla aplicação do ISE.
Para testar o Cisco ISE, entre em contato através de , e também acompanhe nossas atualizações em nossos canais (, , , , ).
Fonte: habr.com
