在ISE上配置带RADIUS身份验证的远程访问VPN和组策略映射

下载选项

  • PDF     (1.3 MB)
    在各种设备上使用 Adobe Reader 查看
  • ePub     (1.0 MB)
    在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上使用各种应用查看
  • Mobi (Kindle)     (859.8 KB)
    在 Kindle 设备上查看或在多个设备上使用 Kindle 应用查看
已更新: 2024 年 8 月 8 日
文档 ID:215432

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。 深入了解思科如何使用包容性语言。

关于此翻译

思科采用人工翻译与机器翻译相结合的方式将此文档翻译成不同语言，希望全球的用户都能通过各自的语言得到支持性的内容。 请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 Cisco Systems, Inc. 对于翻译的准确性不承担任何责任，并建议您总是参考英文原始文档（已提供链接）。

    简介

    本文档介绍如何使用思科身份服务引擎(ISE)为组策略映射配置远程访问VPN。

    先决条件

    要求

    Cisco 建议您了解以下主题：

    • 思科安全客户端(AnyConnect)
    • 思科ISE
    • 思科自适应安全设备(ASA)上的远程访问VPN

    使用的组件

    本文档的内容基于这些软件和硬件版本。

    • 软件版本为 9.8.1 的 ASA 5506
    • AnyConnect 版本 4.8
    • ISE版本2.4。

    本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

    配置

    在此配置示例中，使用思科安全客户端(AnyConnect)通过VPN连接到ASA的远程用户不允许从下拉菜单中选择连接配置文件（隧道组），因为思科ISE会根据配置的策略将其映射到特定组策略。

    使用此设置，可以通过ISE向每个AnyConnect用户分配组策略。由于用户没有选择隧道组的选项，因此他们最初连接到DefaultWEBVPNGroup隧道组和DfltGrpPolicy组策略。在身份验证之后，如果RADIUS类属性（组策略）由ISE在身份验证响应中发送，则用户会被分配到相应的组策略，从而接收适当的权限。如果ISE不返回任何Class属性或返回ASA上未配置的组策略标签，则用户保持分配给DfltGrpPolicy。要防止没有分配组策略的用户通过VPN连接，您可以在DfltGrpPolicy group-policy下配置vpn-simultaneous-logins 0命令。

    配置

    ASA

    aaa-server

    aaa-server ISE_AAA protocol radius
    aaa-server ISE_AAA (Outside) host 10.31.124.82
     key cisco123

    远程访问VPN配置

    webvpn
     enable outside
     anyconnect image disk0:/anyconnect-win-4.7.01076-webdeploy-k9.pkg 1
     anyconnect enable

    tunnel-group DefaultWEBVPNGroup general-attributes
     address-pool Remote_users
     authentication-server-group ISE_AAA

    group-policy DfltGrpPolicy attributes
     banner value ###YOU DON'T HAVE AUTHORIZATION TO ACCESS ANY INTERNAL RESOURCES###
     vpn-simultaneous-logins 0
     vpn-tunnel-protocol ssl-client

    group-policy RADIUS-USERS internal
    group-policy RADIUS-USERS attributes
     banner value YOU ARE CONNECTED TO ### RADIUS USER AUTHENTICATION###
     vpn-simultaneous-logins 3
     vpn-tunnel-protocol ssl-client
     split-tunnel-network-list value SPLIT_ACL

    group-policy RADIUS-ADMIN internal
    group-policy RADIUS-ADMIN attributes
     banner value YOU ARE CONNECTED TO ###RADIUS ADMIN AUTHENTICATION ###
     vpn-simultaneous-logins 3
     vpn-tunnel-protocol ssl-client
     split-tunnel-network-list none

    ISE

    第 1 步：将ASA注册为ISE上的有效网络设备并配置RADIUS的共享密钥。为此，请导航到管理>网络资源>网络设备。

    Network_add

    第二步：创建身份组。

    定义身份组以将具有相似特征以及共享相似权限的用户相关联。这些将在后续步骤中使用。导航到管理>组>用户身份组。

    身份组

    第三步：将用户关联到身份组。

    将用户关联到正确的身份组。导航到管理>身份>用户。

    Identity_Users

    第四步：创建策略集。

    定义新的策略集，并定义与策略匹配的条件。在本示例中，所有设备类型都可以在这些条件下使用。为此，请导航到策略>策略集。

    Policy_set

    第五步：创建授权策略。

    定义具有匹配策略所需条件的新授权策略。确保将第2步中创建的身份组作为条件包含在内。

    Auth_Policy1条件

    第六步：创建授权配置文件。

    授权配置文件包括当授权策略匹配时执行的操作。创建一个包含下列属性的新授权配置文件：

    • RADIUS类= <Group-policy-ASA>
    • 访问类型：ACCESS_ACCEPT。

    注意：您必须编辑之前映像中显示的配置，以便与在ASA配置中定义的组策略名称相匹配。

    Create_Auth_profile

    Authorization_name_class

    步骤 7.检查授权配置文件配置。

    Auth_profile

    注意：在同一策略集中，可以具有n个授权策略，以将每个身份组映射到ASA上定义的特定组策略。

    Auth_Policy2

    在此配置示例中，您可以根据用户所属的身份组，通过ISE配置将组策略动态分配给每个安全客户端用户。

    验证

    一个最有用的调试是debug radius。它显示AAA服务器(ISE)和ASA之间的RADIUS身份验证请求和身份验证响应的详细信息。 

    debug radius

    另一个有用工具是命令test aaa-server。您现在可以看到身份验证被接受还是拒绝，以及身份验证过程中交换的属性（本示例中为“class”属性）。  

    test aaa-server authentication <aaa_server_group> [host <name>|<host_ip>] username <user> password <password>

    工作场景

    在前面提到的配置示例中，根据ISE配置，user1属于RADIUS-ADMIN组策略。验证是否在ASA上运行test aaa-server并启用radius调试。调试中的相关行以粗体显示。

    ASAv# debug radius
    ASAv#test aaa-server authentication ISE_AAA host 10.31.124.82 username user1 password *****
    INFO: Attempting Authentication test to IP address (10.31.124.82) (timeout: 12 seconds)

    RADIUS packet decode (authentication request)

--------------------------------------
Raw packet data (length = 84).....
01 1e 00 54 ac b6 7c e5 58 22 35 5e 8e 7c 48 73    |  ...T..|.X"5^.|Hs
04 9f 8c 74 01 07 75 73 65 72 31 02 12 ad 19 1c    |  ...t..user1.....
40 da 43 e2 ba 95 46 a7 35 85 52 bb 6f 04 06 0a    |  @.C...F.5.R.o...
1f 7c 55 05 06 00 00 00 06 3d 06 00 00 00 05 1a    |  .|U......=......
15 00 00 00 09 01 0f 63 6f 61 2d 70 75 73 68 3d    |  .......coa-push=
74 72 75 65                                        |  true

Parsed packet data.....
Radius: Code = 1 (0x01)
Radius: Identifier = 30 (0x1E)
Radius: Length = 84 (0x0054)
Radius: Vector: ACB67CE55822355E8E7C4873049F8C74
Radius: Type = 1 (0x01) User-Name
Radius: Length = 7 (0x07)
Radius: Value (String) =
75 73 65 72 31                                     |  user1
Radius: Type = 2 (0x02) User-Password
Radius: Length = 18 (0x12)
Radius: Value (String) =
ad 19 1c 40 da 43 e2 ba 95 46 a7 35 85 52 bb 6f    |  ...@.C...F.5.R.o
Radius: Type = 4 (0x04) NAS-IP-Address
Radius: Length = 6 (0x06)
Radius: Value (IP Address) = 10.31.124.85 (0x0A1F7C55)
Radius: Type = 5 (0x05) NAS-Port
Radius: Length = 6 (0x06)
Radius: Value (Hex) = 0x6
Radius: Type = 61 (0x3D) NAS-Port-Type
Radius: Length = 6 (0x06)
Radius: Value (Hex) = 0x5
Radius: Type = 26 (0x1A) Vendor-Specific
Radius: Length = 21 (0x15)
Radius: Vendor ID = 9 (0x00000009)
Radius: Type = 1 (0x01) Cisco-AV-pair
Radius: Length = 15 (0x0F)
Radius: Value (String) =
63 6f 61 2d 70 75 73 68 3d 74 72 75 65             |  coa-push=true
send pkt 10.31.124.82/1645
rip 0x00007f03b419fb08 state 7 id 30
rad_vrfy() : response message verified
rip 0x00007f03b419fb08
 : chall_state ''
 : state 0x7
 : reqauth:
     ac b6 7c e5 58 22 35 5e 8e 7c 48 73 04 9f 8c 74
 : info 0x00007f03b419fc48
     session_id 0x80000007
     request_id 0x1e
     user 'user1'
     response '***'
     app 0
     reason 0
     skey 'cisco123'
     sip 10.31.124.82
     type 1



RADIUS packet decode (response)

--------------------------------------
Raw packet data (length = 188).....
02 1e 00 bc 9e 5f 7c db ad 63 87 d8 c1 bb 03 41    |  ....._|..c.....A
37 3d 7a 35 01 07 75 73 65 72 31 18 43 52 65 61    |  7=z5..user1.CRea
75 74 68 53 65 73 73 69 6f 6e 3a 30 61 31 66 37    |  uthSession:0a1f7
63 35 32 52 71 51 47 52 72 70 36 5a 35 66 4e 4a    |  c52RqQGRrp6Z5fNJ
65 4a 39 76 4c 54 6a 73 58 75 65 59 35 4a 70 75    |  eJ9vLTjsXueY5Jpu
70 44 45 61 35 36 34 66 52 4f 44 57 78 34 19 0e    |  pDEa564fRODWx4..
52 41 44 49 55 53 2d 41 44 4d 49 4e 19 50 43 41    |  RADIUS-ADMIN.PCA
43 53 3a 30 61 31 66 37 63 35 32 52 71 51 47 52    |  CS:0a1f7c52RqQGR
72 70 36 5a 35 66 4e 4a 65 4a 39 76 4c 54 6a 73    |  rp6Z5fNJeJ9vLTjs
58 75 65 59 35 4a 70 75 70 44 45 61 35 36 34 66    |  XueY5JpupDEa564f
52 4f 44 57 78 34 3a 69 73 65 61 6d 79 32 34 2f    |  RODWx4:iseamy24/
33 37 39 35 35 36 37 34 35 2f 33 31                |  379556745/31

Parsed packet data.....
Radius: Code = 2 (0x02)
Radius: Identifier = 30 (0x1E)
Radius: Length = 188 (0x00BC)
Radius: Vector: 9E5F7CDBAD6387D8C1BB0341373D7A35
Radius: Type = 1 (0x01) User-Name
Radius: Length = 7 (0x07)
Radius: Value (String) =
75 73 65 72 31                                     |  user1
Radius: Type = 24 (0x18) State
Radius: Length = 67 (0x43)
Radius: Value (String) =
52 65 61 75 74 68 53 65 73 73 69 6f 6e 3a 30 61    |  ReauthSession:0a
31 66 37 63 35 32 52 71 51 47 52 72 70 36 5a 35    |  1f7c52RqQGRrp6Z5
66 4e 4a 65 4a 39 76 4c 54 6a 73 58 75 65 59 35    |  fNJeJ9vLTjsXueY5
4a 70 75 70 44 45 61 35 36 34 66 52 4f 44 57 78    |  JpupDEa564fRODWx
34                                                 |  4
Radius: Type = 25 (0x19) Class
Radius: Length = 14 (0x0E)
Radius: Value (String) =
52 41 44 49 55 53 2d 41 44 4d 49 4e                |  RADIUS-ADMIN
    Radius: Type = 25 (0x19) Class
Radius: Length = 80 (0x50)
Radius: Value (String) =
43 41 43 53 3a 30 61 31 66 37 63 35 32 52 71 51    |  CACS:0a1f7c52RqQ
47 52 72 70 36 5a 35 66 4e 4a 65 4a 39 76 4c 54    |  GRrp6Z5fNJeJ9vLT
6a 73 58 75 65 59 35 4a 70 75 70 44 45 61 35 36    |  jsXueY5JpupDEa56
34 66 52 4f 44 57 78 34 3a 69 73 65 61 6d 79 32    |  4fRODWx4:iseamy2
34 2f 33 37 39 35 35 36 37 34 35 2f 33 31          |  4/379556745/31
rad_procpkt: ACCEPT
RADIUS_ACCESS_ACCEPT: normal termination
RADIUS_DELETE
remove_req 0x00007f03b419fb08 session 0x80000007 id 30
free_rip 0x00007f03b419fb08
radius: send queue empty
INFO: Authentication Successful

    另一种验证方法是，使用show vpn-sessiondb anyconnect命令，检验ISE在通过安全客户端连接时，是否为user1分配了正确的组策略。

    ASAv# show vpn-sessiondb anyconnect

Session Type: AnyConnect

Username     : user1                  Index        : 28
Assigned IP  : 10.100.2.1             Public IP    : 10.100.1.3
Protocol     : AnyConnect-Parent SSL-Tunnel DTLS-Tunnel
License      : AnyConnect Premium
Encryption   : AnyConnect-Parent: (1)none  SSL-Tunnel: (1)AES-GCM-256  DTLS-Tunnel: (1)AES256
Hashing      : AnyConnect-Parent: (1)none  SSL-Tunnel: (1)SHA384  DTLS-Tunnel: (1)SHA1
Bytes Tx     : 15604                  Bytes Rx     : 28706
Group Policy : RADIUS-ADMIN           Tunnel Group : DefaultWEBVPNGroup
Login Time   : 04:14:45 UTC Wed Jun 3 2020
Duration     : 0h:01m:29s
Inactivity   : 0h:00m:00s
VLAN Mapping : N/A                    VLAN         : none
Audt Sess ID : 0a6401010001c0005ed723b5
Security Grp : none

    故障排除

    出现问题时，还可以使用debug radius和test aaa-server 命令进行故障排除。下面将介绍最常见的问题。

    非工作场景1

    如果Anyconnect上的身份验证失败，并且ISE回复REJECT。您需要验证用户是否与用户身份组关联，或者密码是否不正确。 导航到操作>实时日志>详细信息。 

    RADIUS packet decode (response)

--------------------------------------
Raw packet data (length = 20).....
03 21 00 14 dd 74 bb 43 8f 0a 40 fe d8 92 de 7a    |  .!...t.C..@....z
27 66 15 be                                        |  'f..

Parsed packet data.....
Radius: Code = 3 (0x03)
Radius: Identifier = 33 (0x21)
Radius: Length = 20 (0x0014)
Radius: Vector: DD74BB438F0A40FED892DE7A276615BE
rad_procpkt: REJECT
RADIUS_DELETE
remove_req 0x00007f03b419fb08 session 0x80000009 id 33
free_rip 0x00007f03b419fb08
radius: send queue empty
ERROR: Authentication Rejected: AAA failure

    RADIUS_REJECT

    注意：在本示例中，user1未与任何用户身份组关联。因此，它使用DenyAccess操作匹配新策略集1下的默认身份验证和授权策略。您可以将此操作修改为默认授权策略中的PermitAccess，以允许没有关联用户身份组的用户进行身份验证。

    非工作场景2

    如果Anyconnect上的身份验证失败，并且默认授权策略为PermitAccess，则接受身份验证。但是，class属性未出现在Radius响应中，因此用户位于DfltGrpPolicy中，并且由于配置了命令vpn-simultaneous-logins 0它没有连接。

    RADIUS packet decode (response)

--------------------------------------
Raw packet data (length = 174).....
02 24 00 ae 5f 0f bc b1 65 53 64 71 1a a3 bd 88    |  .$.._...eSdq....
7c fe 44 eb 01 07 75 73 65 72 31 18 43 52 65 61    |  |.D...user1.CRea
75 74 68 53 65 73 73 69 6f 6e 3a 30 61 31 66 37    |  uthSession:0a1f7
63 35 32 32 39 54 68 33 47 68 6d 44 54 49 35 71    |  c5229Th3GhmDTI5q
37 48 46 45 30 7a 6f 74 65 34 6a 37 50 76 69 4b    |  7HFE0zote4j7PviK
5a 35 77 71 6b 78 6c 50 39 33 42 6c 4a 6f 19 50    |  Z5wqkxlP93BlJo.P
43 41 43 53 3a 30 61 31 66 37 63 35 32 32 39 54    |  CACS:0a1f7c5229T
68 33 47 68 6d 44 54 49 35 71 37 48 46 45 30 7a    |  h3GhmDTI5q7HFE0z
6f 74 65 34 6a 37 50 76 69 4b 5a 35 77 71 6b 78    |  ote4j7PviKZ5wqkx
6c 50 39 33 42 6c 4a 6f 3a 69 73 65 61 6d 79 32    |  lP93BlJo:iseamy2
34 2f 33 37 39 35 35 36 37 34 35 2f 33 37          |  4/379556745/37

Parsed packet data.....
Radius: Code = 2 (0x02)
Radius: Identifier = 36 (0x24)
Radius: Length = 174 (0x00AE)
Radius: Vector: 5F0FBCB1655364711AA3BD887CFE44EB
Radius: Type = 1 (0x01) User-Name
Radius: Length = 7 (0x07)
Radius: Value (String) =
75 73 65 72 31                                     |  user1
Radius: Type = 24 (0x18) State
Radius: Length = 67 (0x43)
Radius: Value (String) =
52 65 61 75 74 68 53 65 73 73 69 6f 6e 3a 30 61    |  ReauthSession:0a
31 66 37 63 35 32 32 39 54 68 33 47 68 6d 44 54    |  1f7c5229Th3GhmDT
49 35 71 37 48 46 45 30 7a 6f 74 65 34 6a 37 50    |  I5q7HFE0zote4j7P
76 69 4b 5a 35 77 71 6b 78 6c 50 39 33 42 6c 4a    |  viKZ5wqkxlP93BlJ
6f                                                 |  o
Radius: Type = 25 (0x19) Class
Radius: Length = 80 (0x50)
Radius: Value (String) =
43 41 43 53 3a 30 61 31 66 37 63 35 32 32 39 54    |  CACS:0a1f7c5229T
68 33 47 68 6d 44 54 49 35 71 37 48 46 45 30 7a    |  h3GhmDTI5q7HFE0z
6f 74 65 34 6a 37 50 76 69 4b 5a 35 77 71 6b 78    |  ote4j7PviKZ5wqkx
6c 50 39 33 42 6c 4a 6f 3a 69 73 65 61 6d 79 32    |  lP93BlJo:iseamy2
34 2f 33 37 39 35 35 36 37 34 35 2f 33 37          |  4/379556745/37
rad_procpkt: ACCEPT
RADIUS_ACCESS_ACCEPT: normal termination
RADIUS_DELETE
remove_req 0x00007f03b419fb08 session 0x8000000b id 36
free_rip 0x00007f03b419fb08
radius: send queue empty
INFO: Authentication Successful
ASAv#

    如果vpn-simultaneous-logins 0更改为'1'，则用户将进行连接，如输出所示：

    ASAv# show vpn-sessiondb anyconnect

Session Type: AnyConnect

Username     : user1                  Index        : 41
Assigned IP  : 10.100.2.1             Public IP    : 10.100.1.3
Protocol     : AnyConnect-Parent SSL-Tunnel DTLS-Tunnel
License      : AnyConnect Premium
Encryption   : AnyConnect-Parent: (1)none  SSL-Tunnel: (1)AES-GCM-256  DTLS-Tunnel: (1)AES256
Hashing      : AnyConnect-Parent: (1)none  SSL-Tunnel: (1)SHA384  DTLS-Tunnel: (1)SHA1
Bytes Tx     : 15448                  Bytes Rx     : 15528
Group Policy : DfltGrpPolicy          Tunnel Group : DefaultWEBVPNGroup
Login Time   : 18:43:39 UTC Wed Jun 3 2020
Duration     : 0h:01m:40s
Inactivity   : 0h:00m:00s
VLAN Mapping : N/A                    VLAN         : none
Audt Sess ID : 0a640101000290005ed7ef5b
Security Grp : none

    AnyConnect

    非工作场景3

    如果身份验证通过，但用户没有应用正确的策略，例如，如果连接的组策略有拆分隧道，而不是必须的全隧道。用户可能位于错误的用户身份组中。

    ASAv# sh vpn-sessiondb anyconnect

Session Type: AnyConnect

Username     : user1                  Index        : 29
Assigned IP  : 10.100.2.1             Public IP    : 10.100.1.3
Protocol     : AnyConnect-Parent SSL-Tunnel
License      : AnyConnect Premium
Encryption   : AnyConnect-Parent: (1)none  SSL-Tunnel: (1)AES-GCM-256
Hashing      : AnyConnect-Parent: (1)none  SSL-Tunnel: (1)SHA384
Bytes Tx     : 15592                  Bytes Rx     : 0
Group Policy : RADIUS-USERS           Tunnel Group : DefaultWEBVPNGroup
Login Time   : 04:36:50 UTC Wed Jun 3 2020
Duration     : 0h:00m:20s
Inactivity   : 0h:00m:00s
VLAN Mapping : N/A                    VLAN         : none
Audt Sess ID : 0a6401010001d0005ed728e2
Security Grp : none

    视频

    此视频介绍为组策略映射配置带ISE身份验证和类属性的SSL Anyconnect的步骤。

    修订历史记录

    版本 发布日期 备注
    2.0
    08-Aug-2024
    重新认证，更新的内容。
    1.0
    15-Jun-2020
    初始版本
    TAC Authored

    由思科工程师提供

    • 阿曼达·纳瓦·萨拉特
      客户交付工程技术主管
    • 作者：安赫尔·奥尔蒂斯
      安全技术主管

    此文档是否有帮助?

    Feedback反馈

    联系我们

    本文档适用于以下产品