内容

概要

前提条件

要件

使用するコンポーネント

コンフィギュレーション

SMTP 設定

認証または暗号化を使用しないセキュアでないSMTP通信設定

セキュアSMTP通信設定

暗号化が有効なセキュアSMTP通信

認証設定を有効にしたセキュアSMTP通信

確認

トラブルシュート

関連情報

概要

このドキュメントでは、Cisco Identity Services Engine(ISE)でSimple Mail Transfer Protocol(SMTP)サーバを設定して、複数のサービスの電子メール通知をサポートする方法について説明します。ISEバージョン3.0は、SMTPサーバへのセキュアな接続とセキュアでない接続の両方をサポートします。

著者：Cisco TACエンジニア、Poonam Garg

前提条件

要件

Cisco ISEおよびSMTPサーバの機能に関する基本的な知識があることが推奨されます。

使用するコンポーネント

このドキュメントの内容は、特定のソフトウェアやハードウェアのバージョンに限定されるものではありません。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

コンフィギュレーション

このセクションでは、次の目的で使用される電子メール通知をサポートするためのISEの設定について説明します。

- [Inclusion of system alarms in emails]オプションが有効になっている内部管理者ユーザに電子メールアラーム通知を送信します。アラーム通知を送信する送信者の電子メールアドレスは、ise@<hostname>としてハードコードされています。

- スポンサーが、ログイン認証情報とパスワードのリセット手順を使用してゲストに電子メール通知を送信できるようにします。

- ゲストがログイン資格情報を自動的に受信できるようにし、登録が成功した後、ゲストアカウントが期限切れになる前に実行するアクションを設定します。

- パスワードの有効期限が切れる前に、ISEで設定されたISE管理者ユーザ/内部ネットワークユーザにリマインダ電子メールを送信します。

SMTP 設定

ISEが任意の電子メールサービスを使用するには、SMTPリレーサーバが設定されている必要があります。SMTPサーバの詳細を更新するには、[Administration] > [System] > [Settings] > [Proxy] > [SMTP server]に移動します。

次の表に、分散ISE環境のどのノードが電子メールを送信するかを示します。

電子メールの目的

電子メールを送信するノード

ゲストアカウントの有効期限

プライマリPAN

アラーム

アクティブMnT

各ポータルからのスポンサーおよびゲストアカウント通知

PSN

パスワードの有効期限

プライマリPAN

要件に基づいて、認証または暗号化の有無に関係なく、ISEからの電子メールを受け入れることができるように、SMTPサーバを設定します。

認証または暗号化を使用しないセキュアでないSMTP通信設定

1. SMTPサーバのホスト名（送信SMTPサーバ）を定義します。

2. SMTPポート（SMTPサーバに接続するには、このポートがネットワークで開いている必要があります）。

3. 接続タイムアウト（Cisco ISEがSMTPサーバからの応答を待機する最大時間を入力します）。

4. [接続のテストと保存]をクリックします。

パケットキャプチャは、認証または暗号化を使用しないSMTPサーバとのISE通信を示します。

セキュアSMTP通信設定

セキュアな接続は、次の2つの方法で行うことができます。

1. SSLベース

2. ユーザ名/パスワードベース

使用するSMTPサーバは、SSLおよびクレデンシャルに基づく認証をサポートしている必要があります。セキュアなSMTP通信は、オプションのいずれかまたは両方のオプションを同時に有効にして使用できます。

暗号化が有効なセキュアSMTP通信

1. ISEの信頼できる証明書でSMTPサーバ証明書のルートCA証明書を次の使用法でインポートします。ISE内の認証に対する信頼と、クライアント認証およびSyslogに対する信頼。

2. SMTPサーバー、暗号化通信のためにSMTPサーバーに構成されたポートを構成し、[Use TLS/SSL encryption]オプションをオンにします。

[Test Connection]には、SMTPサーバへの正常な接続が表示されます。

パケットキャプチャは、サーバがISEの要求に応じてSTARTTLSオプションを受け入れたことを示します。

認証設定を有効にしたセキュアSMTP通信

1. SMTPサーバとSMTPポートを設定します。

2. [Authentication Settings]で、[Use Password Authentication]オプションをオンにし、ユーザ名とパスワードを入力します。

パスワードベースの認証が動作する場合の接続のテストに成功しました：

クレデンシャルを使用した正常な認証を示すパケットキャプチャの例：

確認

ここでは、設定が正常に機能しているかどうかを確認します。

1. 設定されたSMTPサーバへの接続を確認するには、[Test Connection]オプションを使用します。

2. テストメールをゲストポータルから[Work Centers] > [Guest Access] > [Portals & Components] > [Guest Portals] > [Self-Registered Guest Portal(default)] > [Portal Page Customization] > [Notifications] > [Email] > [Preview window Settings]で送信します。受信者は、[Guest Email Settings]の設定された電子メールアドレスから電子メールを受信する必要があります。

ゲストアカウントのクレデンシャルに送信される電子メール通知の例：

電子メール受信者が受信した電子メール通知の例：

トラブルシュート

このセクションでは、設定のトラブルシューティングに役立つ情報を提供します。

問題：テスト接続の表示：「Could not connect to SMTP Server, SSL Error.Please check the trusted certificates」。

パケットキャプチャは、SMTPサーバによって提示された証明書が信頼されていないことを示します。

ソリューション：ISEの[Trusted Certificates]にSMTPサーバのルートCA証明書をインポートします。また、ポートでTLSサポートが設定されている場合は、

問題：[Test Connection]に次のように表示されます。認証の失敗:SMTPサーバーに接続できませんでした。ユーザー名またはパスワードが正しくありません。

次のパケットキャプチャ例は、認証が失敗したことを示しています。

ソリューション：SMTPサーバに設定されているユーザ名またはパスワードを確認します。

問題：[Test Connection]に次のように表示されます。SMTPサーバーへの接続に失敗しました。

ソリューション：SMTPサーバポートの設定を確認し、SMTPサーバ名がISE上の設定済みDNSサーバによって解決できるかどうかを確認します。

次の例は、SMTPサービスに設定されていない587ポートのSMTPサーバからリセットが送信されることを示しています。

関連情報

- https://www.cisco.com/c/en/us/td/docs/security/ise/3-0/admin_guide/b_ISE_admin_3_0/b_ISE_admin_30_basic_setup.html#id_121735

- テクニカル サポートとドキュメント – Cisco Systems