Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Configureren

Netwerkdiagram

LDAPS instellen op actieve map

Installeer het identiteitsbewijs op de Domain Controller

Map-structuur met toegangsbestanden

ISE integreren met LDAPS Server

De switch configureren

Endpoint configureren

Beleid instellen op ISE

Verifiëren

Problemen oplossen

Gerelateerde informatie

Inleiding

Dit document beschrijft de integratie van Cisco Identity Services Engine (ISE) met de Secure Lichtgewicht Directory Access Protocol (LDAPS) server als een externe identiteitsbron. LDAPS biedt de mogelijkheid om gegevens te coderen (met inbegrip van gebruikersreferenties) op doorreis wanneer een directory-verbinding wordt ingesteld. LDAPS gebruikt TCP poort 636.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

- Basiskennis van ISE-bestuur

- Basiskennis van actieve map/LDAP

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

- Cisco ISE 2.6 patch 7

- Microsoft Windows versie 2012 R2 met Active Directory Lichtgewicht Directory Services geïnstalleerd

- Windows 10 OS-pc met standaard aanvraag- en gebruikerscertificaat geïnstalleerd

- Cisco-switch C3750X met 152-2.E6-beeld

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk levend is, zorg er dan voor dat u de mogelijke impact van om het even welke opdracht begrijpt.

Achtergrondinformatie

Deze authenticatieprotocollen worden ondersteund met LDAPS:

- EAP Generic Token Card (EAP-GTC)

- Wachtwoord-verificatieprotocol (PAP)

- EAP-TLS-beveiliging (Transport Layer Security)

- Beschermde MAP-beveiliging van transportlaag (PEAP-TLS)

Opmerking: EAP-MSCHAPV2 (als een binnenste methode van PEAP, EAP-FAST of EAP-TTLS), LEAP, CHAP en EAP-MD5 worden niet ondersteund met LDAPS externe identiteitsbron.

Configureren

In dit gedeelte worden de configuratie van de netwerkapparaten en de integratie van de ISE met de Microsoft Active Directory (AD) LDAPS-server beschreven.

Netwerkdiagram

In dit configuratievoorbeeld gebruikt het eindpunt een Ethernet verbinding met een switch om met het LAN (Local Area Network) te verbinden. De aangesloten switchpoort is ingesteld voor 802.1x authenticatie om de gebruikers met ISE te authentiseren. Op ISE wordt LDAPS ingesteld als een extern identiteitsarchief.

Dit beeld illustreert de netwerktopologie die wordt gebruikt:

LDAPS instellen op actieve map

Installeer het identiteitsbewijs op de Domain Controller

Om LDAPS mogelijk te maken, een certificaat op Domain Controller (DC) installeren dat aan deze vereisten voldoet:

1. Het LDAPS-certificaat bevindt zich in de persoonlijk certificaatwinkel van de Domeincontroller.

2. Een privé sleutel die bij het certificaat past is aanwezig in de opslag van de Domeincontroller en wordt correct geassocieerd met het certificaat.

3. De Enhanced Key Gebruik-extensie omvat Server-verificatie (1.3.6.1.5.5.7.3.1), object-identificator (ook bekend als OID).

4. De Full Qualified Domain Name (FQDN) van de Domain Controller (bijvoorbeeld DC1.testlab.com) moet in een van deze eigenschappen aanwezig zijn: De gezamenlijke naam (CN) in het onderwerpveld en de DNS-vermelding in de uitbreiding Onderwerp Alternatieve Naam.

5. Het certificaat moet worden afgegeven door een certificeringsinstantie (CA) die de Domain Controller en de LDAPS-cliënten vertrouwen. Voor een betrouwbare veilige communicatie moeten de client en de server elkaars basis CA en de intermediaire CA certificaten die certificaten aan hen hebben afgegeven, vertrouwen.

6. De centrale cryptografische dienstverlener (CSP) moet worden gebruikt om de sleutel te genereren.

Map-structuur met toegangsbestanden

Gebruik een browser van de LDAPS om toegang te krijgen tot de LDAPS-map. In dit LAB wordt software LDAP browser 4.5 gebruikt.

1. Instellen van een verbinding met het domein op TCP-poort 636.

2. Maak een organisatie-eenheid (OU) met de naam ISE OU in het AD en gebruik een groep met de naam UserGroup. Maak twee gebruikers (user1 en user2) en maak deze leden van de gebruikersgroep.

Opmerking: LDAP Identity Source on ISE wordt alleen gebruikt voor gebruikersverificatie.

ISE integreren met LDAPS Server

1. Importeer het LBP Server Root CA-certificaat in het Trusted certificaatnummer.

2. Vestig het ISE-adminecertificaat en zorg ervoor dat het ISE-adminattest ook in de Trusted certificaatwinkel aanwezig is.

3. Om de LDAPS-server te integreren, dient gebruik te worden gemaakt van de verschillende LDAP-eigenschappen van de LDAPS-directory. Navigeer naar Administratie > identiteitsbeheer > Externe identiteitsbronnen > LDAP Identity Bronnen > Add.

4. Het configureren van deze eigenschappen vanaf het tabblad Algemeen:

Onderwerp Objectklasse: Dit veld komt overeen met de doelklasse van gebruikersrekeningen. U kunt hier één van de vier klassen gebruiken:

- Boven

- persoon

- Organisator

- InetOrgPerson

Bewerp Naam: Dit veld is de naam van de eigenschap die de gebruikersnaam van het verzoek bevat. Deze eigenschap wordt teruggewonnen uit de LDAPS wanneer ISE een specifieke gebruikersnaam in de LDAP database vraagt (u kunt cn, sAMAcountName, enz. gebruiken). In dit scenario wordt de gebruikersnaam1 op het eindpunt gebruikt.

Naam van de groep: Dit is de eigenschap met de naam van een groep. De waarden van de groepsnaam in uw LDAP-map moeten overeenkomen met de namen van de LDP-groep op de pagina Gebruikerspagina

Group Objectclass: Deze waarde wordt gebruikt in zoekopdrachten om de objecten te specificeren die als groepen worden herkend.

Kenmerk groepskaart: Deze eigenschap definieert hoe de gebruikers in kaart worden gebracht aan de groepen.

certificaatkenmerk: Voer de eigenschap in die de certificeringsdefinities bevat. Deze definities kunnen optioneel worden gebruikt voor de validering van door cliënten aangeboden certificaten wanneer deze worden gedefinieerd als onderdeel van een certificatieprofiel. In dergelijke gevallen wordt een binaire vergelijking gemaakt tussen het cliëntencertificaat en het certificaat dat is opgehaald uit de LDAP-identiteitsbron.

5. Voor het configureren van de LDAPS-verbinding, navigeer dan naar het tabblad Connection:

6. Start een proefinstallatie op een Domain Controller om de gebruikersnaam te gebruiken voor een verbinding met de LDAP-server:

PS C:\Users\Administrator>applicatie-naam van gebruiker

"CN=poongarg,CN=Gebruikers, DC=testlab,DC=com"

Stap 1 SStel het juiste IP-adres of de naam van de LDAP-server in, definieer de LDAPS-poort (TCP 636) en Admin DN om verbinding te maken met de LDAP via SSL.

Stap 2. Schakel de optie Beveiligde verificatie en identiteitscontrole van servers in.

Stap 3. Selecteer in het vervolgkeuzemenu het LDAP Server Root CA-certificaat en het ISE admin-certificaat Isser CA-certificaat (we hebben certificeringsinstantie gebruikt, geïnstalleerd op dezelfde LDAP-server om ook het ISE-admin-certificaat af te geven),

Stap 4. Selecteer de Test Bind naar server. Op dit moment worden alle onderwerpen of groepen niet opgeroepen omdat de zoekbases nog niet zijn geconfigureerd.

7. Specificeer onder tabblad Map de zoekbasis Onderwerp/groep. Het is het aanspreekpunt voor de ISE aan de LDAP.  Nu kun je alleen onderwerpen en groepen terugkrijgen die kinderen zijn van het punt dat je aansluit. In dit scenario worden zowel het onderwerp als de groep opgeroepen van de OU=ISE OU

8. Onder Groepen, klik op Add om de groepen uit de LDAP in de ISE te importeren en haal de groepen terug, zoals in deze afbeelding wordt getoond.

De switch configureren

Configureer de schakelaar voor 802.1x verificatie. Windows PC is aangesloten op schakelpoort Gig2/0/47

aaa new-model

radius server ISE

address ipv4 x.x.x.x auth-port 1812 acct-port 1813

key xxxxxx

aaa group server radius ISE_SERVERS

server name ISE

!

aaa server radius dynamic-author

client x.x.x.x server-key xxxxxx

!

aaa authentication dot1x default group ISE_SERVERS local

aaa authorization network default group ISE_SERVERS

aaa accounting dot1x default start-stop group ISE_SERVERS

!

dot1x system-auth-control

ip device tracking

!

radius-server attribute 6 on-for-login-auth

radius-server attribute 8 include-in-access-req

!

!

interface GigabitEthernet2/0/47

switchport access vlan xx

switchport mode access

authentication port-control auto

dot1x pae authenticator

Endpoint configureren

Windows Native Supplicant wordt gebruikt en een van het door LDAP ondersteunde EAP-protocol wordt gebruikt, EAP-TLS voor gebruikersverificatie en -autorisatie.

1. Zorg ervoor dat PC voorzien is van een gebruikerscertificaat (voor gebruiker1) en dat zij als clientverificatie is bedoeld en dat de certificeringsketen van de emittent op de PC aanwezig is in de Trusted Root-certificeringsinstanties.

2. Schakel DOT1x-verificatie in en selecteer de verificatiemethode als Microsoft:Smart Card of ander certificaat voor EAP-TLS-verificatie.

3. Klik op Extra instellingen, een venster wordt geopend, controleer het vakje met specificatiemodus en kies Gebruikersverificatie, zoals in deze afbeelding wordt weergegeven.

Beleid instellen op ISE

Aangezien het EAP-TLS-protocol wordt gebruikt, voordat Policy Set is ingesteld, moet certificaatverificatieprofiel worden geconfigureerd en wordt de reeks Identity Source in het verificatiebeleid later gebruikt.

Raadpleeg het verificatieprofiel van het certificaat in de reeks Identity Source Sequence en definieer de LDAPS externe identiteitsbron in de zoeklijst met verificatie:

Configureer nu het beleid dat is ingesteld voor Wired Dot1x-verificatie:

Na deze configuratie moeten we het endpoint kunnen authenticeren met behulp van het EAP-TLS-protocol tegen de LDAPS Identity-bron.

Verifiëren

1. Controleer de authenticatiesessie in de op PC aangesloten switch:

2. Om de LGBPS- en ISE-configuraties te controleren, kunt u de proefpersonen en groepen ophalen met een testverbinding naar de server:

3. Controleer het gebruikersverificatierapport:

4. Controleer het gedetailleerde verslag over de echtheidscontrole op het eindpunt:

5. Valideren dat de gegevens versleuteld zijn tussen de ISE- en de LDAPS-server door pakketvastlegging op ISE naar de LDAPS-server te nemen:

Problemen oplossen

In dit gedeelte worden enkele gebruikelijke fouten beschreven die bij deze configuratie worden aangetroffen en hoe u deze problemen kunt oplossen:

- In het authenticatierapport ziet u deze foutmelding:

Authentication method is not supported by any applicable identity store

Deze foutmelding geeft aan dat de door u gekozen methode niet wordt ondersteund door LDAP. Zorg ervoor dat het verificatieprotocol in hetzelfde rapport een van de ondersteunde methoden (EAP-GTC, EAP-TLS of PEAP-TLS) toont.

- Test bindt aan server beëindigd met een fout.

Meestal is dit het gevolg van de fout bij de valideringscontrole van de LDPS-server. Om dergelijke problemen op te lossen moet u een pakketvastlegging op ISE nemen en alle drie de opties die u wilt uitvoeren en prt-jni inschakelen op debug-niveau, de kwestie opnieuw creëren en het bestand prort-server.log controleren.

Packet Capture klaagt over Slecht certificaat en pre-server shows:

04:10:20,197,ERROR,0x7f9c5b6f1700,LdapSslConnectionContext::checkCryptoResult(id = 1289): error message = SSL alert: code=0x22A=554 ; source=local ; type=fatal ; message="Server certificate identity verification failed: host IP didnt match SAN IP.s3_clnt.c:1290

Opmerking: De hostname in de LDAP-pagina moet worden ingesteld met de onderwerpregel van het certificaat (of een van de Onderwerp Alternate Name). Dus tenzij u zo'n code in het onderwerp of SAN hebt, werkt het niet. Het certificaat met het IP-adres in de SAN-lijst is vereist.

3. In het verslag over de echtheidscontrole kan worden opgemerkt dat het onderwerp niet in de identiteitswinkel is aangetroffen. Dit betekent dat de naam van de gebruiker uit het rapport niet overeenkomt met de eigenschap van de doelnaam voor een gebruiker in de LDAP-database. In dit scenario werd de waarde ingesteld op sAMAAccountName voor deze eigenschap, wat betekent dat ISE de SAMAcountName-waarden voor de LDAP-gebruiker bekijkt wanneer deze probeert een match te vinden.

4. De proefpersonen en groepen kunnen niet goed worden opgehaald tijdens de test van de server. De meest waarschijnlijke oorzaak van deze kwestie is een onjuiste configuratie voor de zoekbases. Onthoud dat de LDAP-hiërarchie moet worden gespecificeerd vanaf de kleur leaf naar wortel en dc (dit kan uit meerdere woorden bestaan).

Gerelateerde informatie

- https://www.cisco.com/c/en/us/support/docs/security/identity-services-engine/119149-configure-ise-00.html#anc9

- https://www.cisco.com/c/en/us/support/docs/security/identity-services-engine/214975-configure-eap-tls-authentication-with-is.html