[KB3473] Jak skonfigurować urządzenie Cisco® ASA IPSec do użytku z ESET Secure Authentication?

Wprowadzenie

W tym artykule opisano, jak skonfigurować urządzenie Cisco® ASA IPSec do uwierzytelniania użytkowników na serwerze ESA. Przed kontynuowaniem należy upewnić się, że zainstalowano komponent Serwer RADIUS programu ESET Secure Authentication i można uzyskać dostęp do usługi RADIUS, która umożliwia zewnętrznym systemom uwierzytelnianie użytkowników.

Zanim urządzenie Cisco® ASA IPSec będzie mogło używać serwera ESA do uwierzytelniania użytkowników za pośrednictwem usługi RADIUS, musi zostać skonfigurowane jako klient RADIUS na serwerze ESA. Następnie serwer z uruchomioną usługą ESA RADIUS musi zostać skonfigurowany jako serwer RADIUS na urządzeniu Cisco® ASA IPSec. Po określeniu tych konfiguracji można rozpocząć logowanie do urządzenia Cisco® ASA IPSec przy użyciu OTP ESA.

Krok I - Konfiguracja klienta RADIUS

Aby umożliwić urządzeniu Cisco® ASA IPSec komunikację z serwerem ESA, należy skonfigurować urządzenie Cisco® ASA IPSec jako klienta RADIUS na serwerze ESA:

1. Zaloguj się do ESA Web Console.
2. Przejdź do Komponenty > RADIUS i znajdź nazwę hosta serwera, na którym uruchomiona jest usługa ESA RADIUS.
3. Kliknij nazwę hosta, a następnie kliknij przycisk Create New Radius Client.
4. W sekcji Ustawienia podstawowe
   1. Nadaj klientowi RADIUS łatwą do zapamiętania nazwę.
   2. Skonfiguruj adres IP i wspólny klucz tajny dla klienta tak, aby odpowiadały konfiguracji urządzenia VPN. Adres IP to wewnętrzny adres IP urządzenia. Jeśli urządzenie komunikuje się za pośrednictwem protokołu IPv6, należy użyć tego adresu IP wraz z powiązanym identyfikatorem zakresu (identyfikatorem interfejsu).
   3. Współdzielony klucz tajny to współdzielony klucz tajny usługi RADIUS dla zewnętrznego uwierzytelniacza, który zostanie skonfigurowany na urządzeniu.
5. W sekcji Uwierzytelnianie zastosuj ustawienia pokazane na rysunku 1-1 poniżej.

Rysunek 1-1

ESA została skonfigurowana do komunikacji z urządzeniem Cisco® ASA IPSec. Teraz należy skonfigurować urządzenie Cisco® ASA IPSec dokomunikacji z serwerem ESA .

Krok II - Konfiguracja urządzenia Cisco® ASA

Wykonaj poniższe czynności:

1. Zaloguj się do Menedżera urządzeń Adaptime Services.
2. Przejdź do Konfiguracja → Dostęp zdalny VPN.
3. Kliknij Network (client) Access, → IPSec(IKEv1) Connection Profiles.
4. Utwórz nowy profil połączenia
   1. Przejdź do zakładki Basic w oknie IPSec Remote Access Connection Profile.
   2. W sekcji Uwierzytelnianie równorzędne IKE wprowadź wstępnie udostępniony klucz, który zostanie wprowadzony do klienta VPN każdego użytkownika końcowego. Powinno to być silne hasło.
   3. kliknij przycisk Zarządzajw sekcji Uwierzytelnianie.
   4. kliknij Dodaj w sekcji Grupy usług AAA.
   5. Wprowadź nazwę nowej grupy (na przykład ESA-RADIUS), upewnij się, że protokół jest ustawiony na RADIUS, a następnie kliknij OK.
   6. Wybierz grupę serwerów i kliknij przycisk Dodaj w panelu Serwery w wybranej grupie.
   7. Ustaw następujące parametry na wartości pokazane poniżej (patrz Rysunek 2-1)
      1. Interface Name: Interfejs ASA, na którym można uzyskać dostęp do serwera ESA RADIUS
      2. Server Name or IP Address: Nazwa hosta/adres IP serwera ESA RADIUS
      3. Limit czasu: 30 sekund
      4. Port uwierzytelniania serwera: 1812
      5. Port konta serwera: Nie dotyczy, ponieważ ESA nie obsługuje konta RADIUS, ale ustawiony na 1813
      6. Interwał ponawiania próby: 10 sekund
      7. Tajny klucz serwera: Współdzielony klucz tajny z serwera RADIUS (patrz Rysunek 1-1)
      8. Microsoft CHAPv2 Capable: Nie wybrano
   8. Kliknij OK.
   9. Kliknij przycisk OK.
   10. Kliknij PPP w lewym panelu i upewnij się, że wybrana jest tylko opcja PAP.
   11. Kliknij opcję Client Address Assignment
       1. Wybierz lub utwórz pulę DHCP, której chcesz użyć.
       2. Kliknij OK.
   12. Kliknij sekcję Default Group Policy
       1. Wybierz zasady, których chcesz użyć.
       2. Sprawdź, czy zaznaczone są opcje Enable IPSec Protocol i Enable L2TP IPSec Protocol.
   13. Kliknij OK.

Rysunek 2-1

Krok III - Przetestuj połączenie

Aby przetestować nowo skonfigurowane połączenie:

1. Upewnij się, że klient VPN jest poprawnie skonfigurowany
   1. Sprawdź, czy przycisk opcji Uwierzytelnianie grupowe jest zaznaczony na karcie Uwierzytelnianie we właściwościach połączenia klienta VPN.
   2. Upewnij się, że klucz wstępny użyty w kroku 4-b został wprowadzony w obu polach hasła.
2. Połącz się z siecią IPSec VPN przy użyciu konta z włączoną aplikacją mobilną 2FA przy użyciu ESA. Gdy pojawi się monit o hasło, dołącz OTP wygenerowany przez aplikację mobilną do hasła AD. Na przykład, jeśli użytkownik ma hasło AD Esa123 i OTP 999111, wpisz Esa123999111.

Rozwiązywanie problemów

Jeśli nie możesz uwierzytelnić się za pośrednictwem serwera ESA RADIUS, upewnij się, że wykonałeś następujące kroki:

1. Uruchom test dymu na serwerze RADIUS, zgodnie z dokumentem Weryfikacja funkcjonalności ESA RADIUS.
2. Jeśli nie naprawiono żadnych błędów i nadal nie można się połączyć, należy powrócić do istniejącej konfiguracji logowania (która nie korzysta z 2FA) i sprawdzić, czy można się połączyć
3. Jeśli nadal nie można nawiązać połączenia przy użyciu starych ustawień, przywróć nowe ustawienia i sprawdź, czy zapora sieciowa nie blokuje protokołu UDP 1812 między urządzeniem VPN a serwerem RADIUS
4. Jeśli nadal nie możesz się połączyć, skontaktuj się z pomocą techniczną ESET.