目录

简介

先决条件

要求

使用的组件

规则

配置Cisco VPN 3000集中器

配置 RADIUS 服务器

Cisco Secure ACS for Windows

UNIX的Cisco Secure

验证

故障排除

相关信息

简介

Cisco VPN 3000集中器有能力锁定用户到改写组用户在Cisco VPN 3000客户端配置的集中器组。这样，访问限制可以应用对在有保证的VPN集中器配置的多种组用户锁定到该组用RADIUS服务器。

本文详细信息如何设置在Cisco Secure ACS for Windows的此UNIX的(CSUnix)功能和Cisco Secure。

在VPN集中器的配置类似于标准配置。能力锁定用户到在VPN集中器定义的组通过定义在RADIUS用户配置文件的回归属性启用。此属性包含管理员希望用户锁定的VPN集中器组名。此属性是类别属性(IETF RADIUS属性第25)，并且必须返回到在此格式的VPN集中器：

OU=groupname;

那里组名是组的名称用户锁定的VPN集中器的。OU必须用大写字母是，并且必须有分号在末端。

在本例中， VPN客户端软件被分配给有现有连接配置文件的所有用户使用组名“大家”和密码“任何”。每个用户有一个分离用户名/密码(在本例中，用户名/密码是TEST/TEST)。当用户名被发送到RADIUS服务器时， RADIUS服务器发送在关于实时组的信息下用户将。在示例中，它是“filtergroup”。

通过该执行，您能完全控制在RADIUS服务器的组分配透明对用户。如果RADIUS服务器不分配组到用户，用户在“大家”保持组。因为“大家”组有非常限制性过滤器，用户不能通过任何流量。如果RADIUS服务器分配组到用户，用户继承属性，包括限制较少过滤器，特定给组。在本例中，您应用过滤器给组“filtergroup”在VPN集中器允许所有流量。

先决条件

要求

本文档没有任何特定的要求。

使用的组件

本文档中的信息基于以下软件和硬件版本：

注意： 这成功也测试与ACS 3.3， VPN集中器4.1.7和VPN客户端4.0.5。

- Cisco VPN 3000集中器系列版本4.0(1)Rel

- Cisco VPN客户端软件版本4.0(1)Rel

- Cisco Secure ACS for Windows版本2.4到3.2

- UNIX版本的2.3， 2.5和2.6 Cisco Secure

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您使用的是真实网络，请确保您已经了解所有命令的潜在影响。

规则

有关文档规则的详细信息，请参阅 Cisco 技术提示规则。

配置Cisco VPN 3000集中器

注意： 此配置假设， VPN集中器已经设置IP地址，默认网关，地址池，等等。用户一定能在继续前本地验证。如果那不工作，则这些更改不会工作。

1. 在Configuration > System > Servers > Authentication下，请添加RADIUS服务器的IP地址。

2. 一旦添加了服务器，请使用Test按钮验证您能成功验证用户。

如果这不工作，组锁定不工作。

3. 定义丢包访问对一切在内部网络的过滤器。

这应用分组“大家”，以便，即使用户在它能验证到此组和逗留，他们仍然不能访问任何东西。

4. 在Configuration > Policy Management > Traffic Management > Rules下，请增加呼叫丢弃的一个规则全部并且留下一切在默认。

5. 在Configuration > Policy Management > Traffic Management > Filters下，请创建呼叫丢弃的过滤器全部，留下一切在默认，并且添加丢弃所有规则到它。

6. 在Configuration > User Management > Groups下请添加一组呼叫大家。

这是所有用户在VPN客户端预先了配置的组。他们最初验证到此组，然后锁定到一不同的组在用户认证以后。通常定义组。确保您添加丢弃所有过滤器(您创建)在常规选项卡下。为了使用RADIUS验证用户在此组中，请设置组类型(在Identity选项下)是内部和验证(在IPSec选项下)对RADIUS。确保组功能没有被检查此组的洛克。

注意： 即使您不定义了丢弃所有过滤器，请确保那里是定义的至少一个过滤器此处。

7. 定义用户的最终目的地组(示例是“filtergroup”)，应用过滤器。

注意： 您必须定义过滤器此处。如果不要阻塞这些用户的任何流量，请创建“允许所有”过滤器并且运用“其中任一在”，并且“其中任一”排除对它。您必须定义过滤器某亲切为了通过流量。为了使用RADIUS验证用户在此组中，请设置组类型(在Identity选项下)是内部和验证(在IPSec选项下)对RADIUS。确保组功能没有被检查此组的洛克。

配置 RADIUS 服务器

Cisco Secure ACS for Windows

这些步骤设置您的Cisco Secure ACS for Windows RADIUS服务器锁定用户到在VPN集中器配置的特定组。记住在RADIUS服务器定义的组与在VPN集中器定义的组无关。您能使用RADIUS服务器的组使管理您的用户更加容易。名称不必须匹配什么在VPN集中器配置。

1. 添加VPN集中器作为一个网络接入服务器(NAS)在RADIUS服务器在Network Configuration部分下。

1. 添加VPN集中器的IP地址在NAS IP地址框的。

2. 添加您在钥匙箱的VPN集中器定义前的同一密钥。

3. 从验证使用下拉菜单，请选择RADIUS (IETF)。

4. 单击 Submit+ Restart。

2. 在接口配置下，挑选RADIUS (IETF)和确保属性25 (中集集团)被检查。

这允许您在组/用户配置中更改它。

3. 添加用户。

在本例中，用户呼叫“TEST”。此用户可以是在任何Cisco Secure ACS for Windows组中。除在属性25下之外告诉VPN集中器什么的通过组使用用户，那里是Cisco Secure ACS for Windows组和VPN集中器组之间的没有相关性。此用户在"Group_1."安置

4. 在组建立下，请编辑在组的设置(在我们的示例，这是"Group_1")。

5. 点击绿色IETF RADIUS按钮把您带到适当的属性。

6. 移下来和修改团体25。

7. 添加属性如显示此处。替代组名您要锁定用户到filtergroup的。

确保OU用大写字母是，并且那那里是分号在组名以后。

8. 单击 Submit+ Restart。

UNIX的Cisco Secure

这些步骤设置您的Cisco Secure UNIX RADIUS服务器锁定用户到在VPN集中器配置的特定组。记住在RADIUS服务器定义的组与在VPN集中器定义的组无关。您能使用RADIUS服务器的组使管理您的用户更加容易。名称不必须匹配什么在VPN集中器配置。

1. 添加VPN集中器作为在RADIUS服务器的NAS在Advanced部分下。

选择允许作为回复属性25将发送的属性的字典。例如， IETF或Ascend。

2. 添加用户。

在本例中，用户是“TEST”。此用户可以是在任何Cisco Secure UNIX组或没有组中。除在属性25下之外告诉VPN集中器什么的通过组使用用户，那里是Cisco Secure UNIX组和VPN集中器组之间的没有相关性。

3. 在用户/组配置文件下，请定义RADIUS (IETF)返回属性。

4. 添加类别属性，属性编号25，并且做其值OU=filtergroup;。用filtergroup替代在VPN集中器定义的组。

注意： 在Cisco Secure UNIX中，请定义引号包围的属性。当属性发送到VPN集中器时，他们剥离。用户/组配置文件应该看起来类似于此。

5. 单击提交保存每个条目。

已完成Cisco Secure UNIX条目看起来与此输出相似：

# ./ViewProfile -p 9900 -u NAS.172.18.124.132

User Profile Information

user = NAS.172.18.124.132{

profile_id = 68

profile_cycle = 1

NASNAME="172.18.124.132"

SharedSecret="cisco"

RadiusVendor="IETF"

Dictionary="DICTIONARY.IETF"

}

# ./ViewProfile -p 9900 -u TEST

User Profile Information

user = TEST{

profile_id = 70

set server current-failed-logins = 0

profile_cycle = 3

password = clear "********"

radius=IETF {

check_items= {

2="TEST"

}

reply_attributes= {

25="OU=filtergroup"

!--- The semi-colon does NOT appear !--- after the group name, even though it has to be included !--- when it defines the attribute via the GUI.

}

}

}

# ./ViewProfile -p 9900 -u filtergroup

User Profile Information

user = filtergroup{

profile_id = 80

profile_cycle = 1

radius=IETF {

check_items= {

2="filtergroup"

}

}

}

# ./ViewProfile -p 9900 -u Everyone

User Profile Information

user = Everyone{

profile_id = 67

profile_cycle = 1

radius=IETF {

check_items= {

2="Anything"

}

}

}

验证

当前没有可用于此配置的验证过程。

故障排除

目前没有针对此配置的故障排除信息。

相关信息

- VPN 3000 集中器上的 Cisco VPN 3000 客户端用户与组属性处理

- RADIUS (远程拨入用户验证服务)技术支持页

- Cisco VPN 3000系列集中器支持页面

- Cisco VPN 3000 客户端支持页

- IP安全协议(IPSec)产品支持页

- 请求注解 (RFC)

- Cisco Secure ACS for Windows产品支持页

- 安全产品问题信息通告(Field Notice)

- 用于UNIX的Cisco Secure ACS产品支持页

- 技术支持 - Cisco Systems