Cisco ISE: Konfiguration av gäståtkomst på FortiAP. Del 3

Välkommen till den tredje publiceringen i serien av artiklar dedikerade till Cisco ISE. Länkar till alla artiklar i serien finns nedan:

1. Cisco ISE: Introduktion, krav, installation. Del 1

2. Cisco ISE: Skapa användare, lägga till LDAP-servrar, integration med AD. Del 2

3. Cisco ISE: Konfiguration av gäståtkomst på FortiAP. Del 3

I denna publikation väntar en djupdykning i gäståtkomst, samt en steg-för-steg-guide för att integrera Cisco ISE och FortiGate för att konfigurera FortiAP - åtkomstpunkten från Fortinet (i allmänhet fungerar vilket enhet som helst som stöder RADIUS CoA — Change of Authorization).

Jag bifogar dessutom våra artiklar Fortinet — en samling användbara material.

Anmärkning: Check Point SMB-enheter stöder inte RADIUS CoA.

Fantastisk en guide på engelska beskriver hur man skapar gäståtkomst med hjälp av Cisco ISE på Cisco WLC (Wireless Controller). Låt oss dyka ner i det!

1. Inledning

Gäståtkomst (portal) möjliggör tillgång till Internet eller interna resurser för gäster och användare som du inte vill släppa in i ditt lokala nätverk. Det finns tre förinställda typer av gästadressportal (Guest portal):

1. Hotspot Guest portal — nätverkstillgång ges till gäster utan inloggningsuppgifter. Vanligtvis krävs det att användarna accepterar företagets "Policy för användning och sekretess" innan de får tillgång till nätverket.

2. Sponsored-Guest portal — nätverkstillgång och inloggningsuppgifter måste uppläggas av en sponsor — en användare som är ansvarig för att skapa gästkonton på Cisco ISE.

3. Self-Registered Guest portal — i det här fallet använder gäster befintliga inloggningsuppgifter, eller skapar själva ett konto med inloggningsuppgifter, men det krävs godkännande av sponsorn för att få åtkomst till nätverket.

På Cisco ISE kan flera portaler dras igång samtidigt. Som standard kommer användaren att se Cisco-logotypen och standard allmänna fraser på gästadressportalen. Allt detta kan anpassas och till och med kräva visning av obligatorisk reklam innan åtkomst ges.

Inställning av gäståtkomst kan delas upp i fyra huvudsakliga steg: konfigurering av FortiAP, upprättande av koppling mellan Cisco ISE och FortiAP, skapande av gästadressportal och inställning av åtkomstpolicy.

2. Konfigurering av FortiAP på FortiGate

FortiGate fungerar som en kontrollant för åtkomstpunkter och alla inställningar görs där. FortiAP-åtkomstpunkter stöder PoE, så så snart du anslutit den till nätverket via Ethernet kan du börja konfigurera.

1) Gå till FortiGate fliken WiFi & Switch Controller > Managed FortiAPs > Skapa ny > Hanterad AP. Använd den unika serienumret för åtkomstpunkten, som anges på själva åtkomstpunkten, för att lägga till den som ett objekt. Alternativt kan den upptäckas automatiskt, då klicka Auktorisera med höger musknapp.

2) Inställningarna för FortiAP kan vara standard, så lämna dem som i skärmdumpen. Jag rekommenderar starkt att aktivera 5 GHz-läget, eftersom vissa enheter inte stödjer 2,4 GHz.

3) Gå sedan till fliken WiFi & Switch Controller > FortiAP Profiles > Skapa ny där vi skapar en profil för inställningar för åtkomstpunkten (version av 802.11-protokollet, SSID-läget, kanalens frekvens och deras antal).

Exempel på inställningar för FortiAP

4) Nästa steg är att skapa SSID. Gå till fliken WiFi & Switch Controller > SSIDs > Skapa ny > SSID. Här är det viktigt att konfigurera:

• adressutrymmet för gäst-WLAN — IP/Netmask

• RADIUS Redovisning och Säkert Fabrikanslutning i fältet Förvaltningsåtkomst

• Enhetens Detektionsalternativ

• SSID och alternativet Sänd ut SSID

• Inställningar för säkerhetsläge > Captive Portal 

• Autentiseringsportal — Extern och klistra in länken till den skapade gästportalen från Cisco ISE i punkt 20

• Användargrupp — Gästgrupp — Extern — lägg till RADIUS i Cisco ISE (punkt 6 och framåt)

Exempel på inställning av SSID

5) Därefter ska regler skapas i åtkomstpolicyn på FortiGate. Gå till fliken Policy & Objects > Brandväggspolicy och skapa en regel av följande typ:

3. Konfigurera RADIUS

6) Gå till webbgränssnittet för Cisco ISE i fliken Policy > Policyelement > Ordlistor > System > Radius > RADIUS-tillägg > Lägg till. I denna flik lägger vi till listan över stödda RADIUS-protokoll från Fortinet, eftersom nästan varje leverantör har sina egna specifika attribut — VSA (Vendor-Specific Attributes).

Listan över RADIUS-attribut för Fortinet kan hittas här. VSA skiljer sig åt med unika nummer för Vendor ID. För Fortinet är detta ID = 12356. Fullständigt listan VSA publicerades av IANA.

7) Ge namn åt ordboken, ange Vendor ID (12356) och klicka på Skicka.

8) Gå sedan till Administration > Nätverksenhetsprofiler > Lägg till och skapa en ny enhetsprofil. I fältet RADIUS-ordlistor bör den tidigare skapade Fortinet RADIUS-ordlistan väljas och CoA-metoder väljas för att kunna använda dem senare i ISE-policy. Jag valde RFC 5176 och Port Bounce (stäng av/återställ nätverksgränssnittet) och motsvarande VSA: 

Fortinet-Access-Profile = read-write

Fortinet-Group-Name = fmg_faz_admins

9) Sedan ska FortiGate läggas till för kommunikation med ISE. Gå till fliken Administration > Nätverksresurser > Nätverksenhetsprofiler > Lägg till. Ändra fälten Namn, Leverantör, RADIUS-ordlistor (IP-adressen används för FortiGate, inte FortiAP).

Exempel på RADIUS-konfiguration från ISE-sidan

10) Nästa steg är att konfigurera RADIUS på FortiGate-sidan. Gå till webbgränssnittet för FortiGate och välj Användare & Autentisering > RADIUS-servrar > Skapa ny. Ange namn, IP-adress och delad hemlighet (lösenord) från föregående punkt. Klicka sedan på Testa användaruppgifter och ange valfria autentiseringsuppgifter som kan dras in via RADIUS (till exempel en lokal användare på Cisco ISE).

11) Lägg till RADIUS-servern i Gäst-Grupp (om den inte finns, välj att skapa en) samt extern användarkälla.

12) Glöm inte att lägga till Gäst-Grupp i SSID:et som vi skapade tidigare i punkt 4.

4. Konfiguration av autentiseringsanvändare

13) Valfritt kan du importera ett certifikat till gästportalen ISE eller skapa ett självsignerat certifikat under fliken Arbetscenter > Gäståtkomst > Administration > Certifiering > Systemcertifikat.

14) Efter det går du till fliken Arbetscenter > Gäståtkomst > Identitetsgrupper > Användaridentitetsgrupper > Lägg till skapa en ny användargrupp för gäståtkomst, eller använd de som redan finns.

15) Gå sedan till fliken Administration > Identiteter skapa gästuser och lägg till dem i grupperna från föregående punkt. Om du vill använda externa konton, hoppa över det här steget.

16) Sedan går vi till inställningarna Arbetscenter > Gäståtkomst > Identiteter > Identitetskälla Sekvens > Gästportal Sekvens — detta är den förinställda autentiseringssekvensen för gäst-användare. I fältet Autentiseringssöklista välj autentiseringens ordning för användarna.

17) För aviseringar till gäster med engångslösenord kan SMS-leverantörer eller SMTP-server konfigureras för detta ändamål. Gå till fliken Arbetscenter > Gäståtkomst > Administration > SMTP-server eller SMS-gatewayleverantörer för dessa inställningar. För SMTP-server krävs det att ett konto skapas för ISE, och uppgifterna ska anges i denna flik.

18) För SMS-notifikationer, använd motsvarande flik. I ISE finns det förinställda profiler för populära SMS-leverantörer, men det är bättre att skapa din egen. Använd dessa profiler som exempel på konfiguration SMS-emailgatewayeller SMS HTTP API.

Exempel på konfiguration av SMTP-server och SMS-gateway för engångslösenord

5. Konfiguration av gästportal

19) Som nämnts tidigare finns det 3 typer av förinställda gästportaler: Hotspot, Sponsrad, Självregistrerad. Jag rekommenderar att välja det tredje alternativet, eftersom det är det vanligaste. Inställningarna är i stort sett identiska. Därför går vi till fliken Arbetscenter > Gäståtkomst > Portaler & komponenter > Gästportaler > Självregistrerad gästportal (standard). 

20) Gå vidare till fliken Portal Page Customization och välj “View in Russian — Русский”, för att portalen ska visas på ryska. Du kan ändra texten för varje flik, lägga till din logotyp och mycket mer. I hörnet till höger finns en förhandsvisning av gästportalen för en mer bekväm presentation.

Exempel på inställning av gästportalen för självregistrering

21) Klicka på frasen “Portal test URL” och kopiera portalens URL till SSID på FortiGate i steg 4. Ett exempel på hur URL:en ser ut https://10.10.30.38:8433/portal/PortalSetup.action?portal=deaaa863-1df0-4198-baf1-8d5b690d4361

För att din domän ska visas måste du ladda upp certifikatet till gästportalen, se steg 13.

22) Gå till fliken Arbetscenter > Gäståtkomst > Policyelement > Resultat > Auktorisationsprofiler > Lägg till för att skapa en auktorisationsprofil under den tidigare skapade Nätverksenhetsprofilen.

23) Gå till fliken Arbetscenter > Gäståtkomst > Policysatser och redigera åtkomstpolicyn för WiFi-användare.

24) Låt oss försöka koppla upp oss mot gäst-SSID:et. Jag dirigeras om direkt till inloggningssidan. Här kan man logga in med ett gästkonto som skapats lokalt på ISE, eller registrera sig som gäst.

25) Om du har valt alternativet för självregistrering kan de engångsuppgifterna för inloggning skickas via e-post, SMS eller skrivas ut.

26) Under fliken RADIUS > Live Logs på Cisco ISE kommer du att se motsvarande inloggningsloggar.

6. Slutsats

I denna långa artikel har vi framgångsrikt konfigurerat gäståtkomst på Cisco ISE, där FortiGate fungerar som kontroller för åtkomstpunkter och FortiAP som åtkomstpunkten. Det blev en intressant integration som återigen visar hur breda tillämpningar ISE har.

För att testa Cisco ISE, vänligen kontakta oss på länken, och håll också koll på uppdateringar i våra kanaler (Telegram, Facebook, VK, TS Solution Blog, Yandex.Dzen).

Källa: habr.com