[KB3473] Як налаштувати пристрій Cisco® ASA IPSec для використання з ESET Secure Authentication?

Вступ

У цій статті описано, як налаштувати пристрій Cisco® ASA IPSec для автентифікації користувачів на сервері ESA. Перш ніж продовжити, переконайтеся, що ви встановили компонент RADIUS Server в ESET Secure Authentication і маєте доступ до служби RADIUS, яка дозволяє зовнішнім системам автентифікувати користувачів.

Перш ніж пристрій Cisco® ASA IPSec зможе використовувати сервер ESA для автентифікації користувачів за допомогою RADIUS, його потрібно налаштувати як клієнта RADIUS на сервері ESA. Далі, ваш сервер, на якому запущена служба ESA RADIUS, повинен бути налаштований як сервер RADIUS на пристрої Cisco® ASA IPSec. Після того, як ці конфігурації будуть вказані, ви можете почати вхід на пристрій Cisco® ASA IPSec за допомогою OTP-серверів ESA.

Крок I - Налаштування клієнта RADIUS

Щоб дозволити пристрою Cisco® ASA IPSec взаємодіяти з вашим сервером ESA Server, ви повинні налаштувати пристрій Cisco® ASA IPSec як клієнт RADIUS на вашому сервері ESA Server:

1. Увійдіть в веб-консоль ESA.
2. Перейдіть до Компоненти > RADIUS і знайдіть ім'я хоста сервера, на якому запущена служба ESA RADIUS.
3. Клацніть ім'я хоста, а потім натисніть Створити нового клієнта радіуса.
4. У розділі Основні параметри
   1. Дайте клієнту RADIUS ім'я, яке легко запам'ятовується.
   2. Налаштуйте IP-адресу і спільний секрет для клієнта так, щоб вони відповідали конфігурації вашого VPN-пристрою. IP-адреса - це внутрішня IP-адреса вашого пристрою. Якщо ваш пристрій взаємодіє через IPv6, використовуйте цю IP-адресу разом із відповідним ідентифікатором діапазону (ідентифікатором інтерфейсу).
   3. Спільний секрет - це спільний секрет RADIUS для зовнішнього автентифікатора, який ви налаштуєте на своєму пристрої.
5. У розділі Автентифікація застосуйте налаштування, показані на Рисунку 1-1 нижче.

Малюнок 1-1

Тепер ESA налаштовано на зв'язок із пристроєм Cisco® ASA IPSec. Тепер вам потрібно налаштувати пристрій Cisco® ASA IPSec для зв'язку з сервером ESA .

Крок II - Налаштування пристрою Cisco® ASA

Виконайте наведені нижче кроки:

1. Увійдіть до диспетчера пристроїв Adaptime Services.
2. Перейдіть до Конфігурація → Віддалений доступ VPN.
3. Натисніть Мережевий (клієнтський) доступ, → Профілі підключення IPSec (IKEv1).
4. Створіть новий профіль підключення
   1. Перейдіть на вкладку Основні у вікні Профіль підключення віддаленого доступу IPSec.
   2. У розділі Однорангова автентифікація IKE введіть попередньо наданий ключ, який буде введено у VPN-клієнті кожного кінцевого користувача. Це має бути надійний пароль.
   3. натисніть Керуванняу розділі Автентифікація.
   4. натисніть Додати в розділі Групи обслуговування AAA.
   5. Введіть назву вашої нової групи (наприклад, ESA-RADIUS), переконайтеся, що протокол встановлено на RADIUS, а потім натисніть OK.
   6. Виберіть групу серверів і натисніть кнопку Додати на панелі Сервери у вибраній групі.
   7. Встановіть для наступних параметрів значення, як показано нижче (див. Рисунок 2-1)
      1. Ім'я інтерфейсу: Інтерфейс ASA, через який можна отримати доступ до сервера ESA RADIUS
      2. Ім'я сервера або IP-адреса: Ім'я хоста/IP-адреса вашого сервера ESA RADIUS
      3. Таймаут: 30 секунд
      4. Порт автентифікації сервера: 1812
      5. Порт облікового запису сервера: не вказано, оскільки ESA не підтримує RADIUS accountint, але встановлено на 1813
      6. Інтервал повторних спроб: 10 секунд
      7. Секретний ключ сервера: Спільний секретний ключ від вашого сервера RADIUS (див. Рисунок 1-1)
      8. Підтримка Microsoft CHAPv2: Не вибрано
   8. Натисніть OK.
   9. Натисніть OK.
   10. Натисніть PPP на лівій панелі і переконайтеся, що вибрано лише PAP.
   11. Натисніть Присвоєння адрес клієнта
       1. Виберіть або створіть пул DHCP, який ви хочете використовувати.
       2. Натисніть OK.
   12. Перейдіть до розділу Стандартна групова політика
       1. Виберіть політику, яку ви хочете використовувати.
       2. Переконайтеся, що опції Увімкнути протокол IPSec і Увімкнути протокол L2TP IPSec позначено.
   13. Натисніть кнопку OK.

Малюнок 2-1

Крок III - Перевірте з'єднання

Щоб протестувати щойно налаштоване з'єднання:

1. Переконайтеся, що ваш VPN-клієнт налаштовано правильно
   1. Переконайтеся, що перемикач Групова автентифікація позначено на вкладці Автентифікація у властивостях з'єднання VPN-клієнта.
   2. Переконайтеся, що попередньо наданий ключ, використаний на кроці 4-b, введено в обидва поля пароля.
2. Підключіться до вашої IPSec VPN за допомогою облікового запису з мобільного додатку 2FA з увімкненим ESA. Коли з'явиться запит на введення пароля, додайте OTP, згенерований мобільним додатком, до вашого пароля AD. Наприклад, якщо користувач має пароль AD Esa123 і OTP 999111, введіть Esa123999111.

Вирішення проблем

Якщо вам не вдається автентифікуватися через сервер ESA RADIUS, переконайтеся, що ви виконали наведені нижче кроки:

1. Запустіть димовий тест на сервері RADIUS, як описано в документі Перевірка функціональності ESA RADIUS.
2. Якщо несправності не було виправлено, але ви все одно не можете підключитися, поверніться до існуючої конфігурації входу (яка не використовує 2FA) і перевірте, чи можете ви підключитися
3. Якщо ви все ще можете підключитися, використовуючи старі налаштування, відновіть нові налаштування і переконайтеся, що брандмауер не блокує UDP 1812 між вашим VPN-пристроєм і вашим RADIUS-сервером
4. Якщо вам все одно не вдається підключитися, зверніться до служби технічної підтримки ESET.