Cisco ISE - wired Local Web Authentication (LWA)

1. Настройка Cisco ISE
В данном примере используется версия 1.1.3
LWA используется когда у пользователя нет 802.1x клиента (supplicant).

Создать группу для коммутаторов: Wired
Administration - Network Resources - Network Device Groups - Groups - All Device Types

Добавить коммутатор в хранилище и прикрепить к группе Wired
Administration - Network Resources - Network Devices
Из обязательных полей для заполнения: Name, IP Address, Device Type, Authentication Settings (Shared Secret)

 Создать Identity Group, в которую будут входить пользователи: web-auth-lwa
Administration - Identity Management - Groups - User Identity Groups

Добавить пользователя guest и прикрепить его к группе web-auth-lwa
Administration - Identity Management - Identities - Users

Добавить Downloadable ACL: guest-lwa-DACL
Policy - Policy Elements - Results - Authorization - Downloadable ACLs

Добавить Authorization Profile: guest-lwa-profile
Policy - Policy Elements - Results - Authorization - Authorization Profiles
В нем указать DACL Name, который мы создали выше, VLAN и ставим метку у Web Authentication (Local Web Auth)

Создать Authorization Policy для пользователей, входящих в нашу группу
Policy - Authorization

Создать Identity Source Sequence: LOCAL_AD
Учетная запись для пользователя может быть в локальной базе или например в AD. Чтобы ISE искал учетку и там и там мы и создаем Identity Source Sequence.
Administration - Identity Management - Identity Source Sequence

В настройках Policy - Authentication в Default Rule указать созданную Identity Source Sequence в качестве базы для поиска пользователей


2. Настройка коммутатора
К настройкам, которые были указаны в cisco-ise-wired-8021x-with-local добавить следующие настройки:

Настроить AAA

aaa authentication login NOLOGIN none

line con 0

 login authentication NOLOGIN

!

aaa authentication login default group radius

aaa authorization auth-proxy default group radius
aaa accounting auth-proxy default start-stop group radius

Включить Web аутентификацию на коммутаторе
ip admission name WEBAUTH proxy http

Настроить ACL для трафика, который не будет перехватываться коммутатором
ip access-list extended WEBAUTH
 permit udp any eq bootpc any eq bootps
 permit udp any any eq domain

Настроить профиль для клиентов, у которых нет 802.1x сапликанта.
fallback profile WEBAUTH_PROFILE
 ip access-group WEBAUTH in
 ip admission WEBAUTH

Включить HTTP сервер
Коммутатору необходим HTTP севрер, чтобы аутентифицировать пользователя на своей странице. HTTPS сервер поднимается по необходимости.
ip http server
ip http secure-server

Настроить интерфейс
interface GigabitEthernet1/0/5
 authentication event fail action next-method
 authentication order dot1x mab webauth
 authentication priority dot1x mab webauth
 authentication fallback WEBAUTH_PROFILE
 mab


3. Проверка
На клиенте открыть браузер и зайти на любую страницу. Будет открыта страница для аутентификации

Cisco ISE - wired 802.1x with Local Authentication

1. Настройка Cisco ISE
В данном примере используется версия 1.1.3

Создать группу для коммутаторов: Wired
Administration - Network Resources - Network Device Groups - Groups - All Device Types

Добавить коммутатор в хранилище и прикрепить к группе Wired
Administration - Network Resources - Network Devices
Из обязательных полей для заполнения: Name, IP Address, Device Type, Authentication Settings (Shared Secret)

 Создать Identity Group, в которую будут входить пользователи: test-user-group
Administration - Identity Management - Groups - User Identity Groups

Добавить пользователя test-user и прикрепить его к группе test-user-group
Administration - Identity Management - Identities - Users

Добавить Downloadable ACL: test-user-DACL
Policy - Policy Elements - Results - Authorization - Downloadable ACLs

Добавить Authorization Profile: test-user-profile
Policy - Policy Elements - Results - Authorization - Authorization Profiles
В нем указать DACL Name, который мы создали выше  и VLAN

Создаем Authorization Policy для пользователей, входящих в нашу группу
Policy - Authorization


2. Настройка коммутатора - в режиме глобальной конфигурации (config)#

Включить AAA
aaa new-model
aaa authentication dot1x default group radius
aaa authorization network default group radius
aaa accounting dot1x default start-stop group radius

Включить CoA (Change of Authorization)
Даннаая  функция дает возможность radius серверу быть инициатором обмена сообщениями и обновлять политику на NAD, основываясь на определнных критериях, условиях
aaa server radius dynamic-author
   client 192.168.1.100 server-key cisco

Настроить, чтобы NAD отправлял vendor-specific attributes (VSA) на Cisco ISE во время аутентификации и аккаунтинга.
radius-server vsa send authentication
radius-server vsa send accounting

Настройка VSA
radius-server attribute 6 on-for-login-auth
radius-server attribute 8 include-in-access-req
radius-server attribute 25 access-request include

ip radius source-interface vlanX

Включить работу dACL
ip device tracking
Могуть быть проблемы с АРМ под Windows 7, для этого необходимо добавить еще одну команду:
ip device tracking probe use-svi

Enforcement Policy Module (EPM) необходима для корректной работы dACL и Web аутентификации
epm logging

Включить 802.1x на коммутаторе
dot1x system-auth-control

Добавить радиус сервер (Cisco ISE - PSN) 
radius-server host 172.16.3.100 auth-port 1812 acct-port 1813 key cisco


3. Настройка интерфейса на коммутаторе, к которому подключен АРМ (config-if)#
interface GigabitEthernet1/0/5
 authentication order dot1x mab
 authentication priority dot1x mab
 authentication periodic
 dot1x pae authenticator (коммутатор в роли Authenticator, не Supplicant)
 dot1x timeout tx-period 10

 authentication port-control auto

4. Настройка встроенного supplicant на АРМ

5. Проверка
В Cisco ISE: Operations - Authentications

На коммутаторе

Проблема при построении туннеля между CSP VPN Gate 7000 (v. 3.0)

Схема Site-to-Site
Во время построения туннеля между площадками на одном из криптошлюзов в логах (/var/log/cspvpngate.log)  была следующая ошибка:

vpnsvc: Inbound IKE packet dropped, Reason: Access denied, Partner: 192.X.X.X:500

Туннель соответственно не поднимался.
Исходя из лога я  повесил ACL на внешний интерфейс и всё заработало.
При обращении в тех. поддержку S-Terra CSP сказали следующее:
Если устройства не могут договориться при построении туннеля раз 30-40, то криптошлюз добавляет пира в black list, и надо либо ждать около 20 минут, либо перегрузить демон.