CiscoISE: (01.06) Cấu hình NAC Feature trên Switch 3750 với Cisco ISE 3.0

Mục tiêu thực hành:

- Khởi tạo các tài khoản Staff và Guest trên Cisco ISE.

- Thiết lập Authorization Profile (AuthorProfileVLAN2) trên CiscoISE.

- Kiểm tra thông tin Trustsec AAA Servers trên Cisco ISE.

- Thiết lập Trustsec Settings cho Network Device (SW3750G) trên Cisco ISE.

- Thiết lập Security Group ACLs cho SecGroupGuestUser trên Cisco ISE.

- Khởi tạo Security Group (SecGroupStaff và SecGroupGuest) trên Cisco ISE.

- Thiết lập Policy Set NAC cho phép xác thực và phân quyền trên Cisco ISE.

- Thiết lập Trustsec Egress Policy Matrix cho SecGroupGuestUser trên Cisco ISE.

Các bước triển khai:

Khởi tạo các tài khoản Staff và Guest trên Cisco ISE.

Thiết lập Authorization Profile (AuthorProfileVLAN2) trên CiscoISE.

Kiểm tra thông tin Trustsec AAA Servers trên Cisco ISE.

Thiết lập Trustsec Settings cho Network Device (SW3750G) trên Cisco ISE.

Thiết lập Security Group ACLs cho SecGroupGuestUser trên Cisco ISE.

Khởi tạo Security Group (SecGroupStaff và SecGroupGuest) trên Cisco ISE.

- Các Security Group không giống với Identity Group đã được khởi tạo trước đó trên Cisco ISE.

Thiết lập Trustsec Egress Policy Matrix cho SecGroupGuestUser trên Cisco ISE.

Thiết lập Policy Set NAC cho phép xác thực và phân quyền trên Cisco ISE.

Cấu hình xác thực 802.1X trên RADIUS Authenticator (SW3750G).

- radius-server vsa send authentication: Cho phép SW3750G tiếp nhận DACL từ ISE đổ xuống, nếu không thực hiện lệnh này trên Switch 3750 thì trên ISE Server sẽ xuất hiện nội dung như trong hình bên dưới.

ip routing

interface vlan 200

  ip address 192.168.200.201 255.255.255.0

  no shutdown

  exit

ip route 0.0.0.0 0.0.0.0 192.168.200.254

interface e0/0

  switchport trunk encapsulation dot1q

  switchport mode trunk

  spanning-tree portfast trunk

  exit

vlan 2

  name GuestVLAN

  exit

vlan 200

  name StaffVLAN

  exit

aaa new-model

aaa authentication dot1x default group radius

aaa authorization network default group radius

aaa authorization auth-proxy default group radius

aaa server radius policy-device

aaa server radius dynamic-author

  client 192.168.200.252 server-key buipham

  exit

radius-server host 192.168.200.252 key buipham

dot1x system-auth-control

radius-server attribute 6 on-for-login-auth

radius-server attribute 6 support-multiple 

radius-server attribute 8 include-in-access-req 

radius-server attribute 25 access-request include

radius-server vsa send authentication

interface e0/1

  switchport mode access

  authentication port-control auto

  dot1x pae authenticator

  spanning-tree portfast

  exit

- Kiểm tra kết nối và quá trình xác thực RADIUS.

SW3750G# test aaa group radius GuestUser01 1987 new-code

User successfully authenticated

USER ATTRIBUTES

username             0   "GuestUser01"

SW3750G#

- Kiểm tra trạng thái xác thực RADIUS tương ứng với GuestUser trên Switch.

SW3750G# show authentication sessions interface e0/1

Interface    MAC Address    Method  Domain  Status Fg Session ID

----------------------------------------------------------------------

Et0/1        5000.0001.0000 dot1x   DATA    Auth      C0A8C8C90000000C001E1E09

Key to Session Events Blocked Status Flags:

  A - Applying Policy (multi-line status for details)

  D - Awaiting Deletion

  F - Final Removal in progress

  I - Awaiting IIF ID allocation

  N - Waiting for AAA to come up

  P - Pushed Session

  R - Removing User Profile (multi-line status for details)

  U - Applying User Profile (multi-line status for details)

  X - Unknown Blocker

Runnable methods list:

  Handle  Priority  Name

    5        5      dot1x

    9        10     mab

    7        15     webauth

SW3750G#

Công ty DWN (Đại lý cấp I Cisco Meraki tại Việt Nam) cung cấp dịch vụ tư vấn, báo giá, phân phối và triển khai các giải pháp liên quan đến:

- WiFi (Cisco Meraki, Aruba, Ruckus)

- Firewall (Cisco ASA, Fortinet, WatchGuard, PaloAlto)

- Network (Cisco vs HP Router & Switch)

Liên hệ với Bùi Phạm để biết thêm thông tin chi tiết.