Konfigurieren der TACACS Authentifizierung für Cisco ISE

Auf Palo Alto Networks Firewall

1. Wir beginnen mit der Konfiguration des TACACS + Serverprofils auf der Firewall unter Device --> Server Profiles --> TACACS +. Bitte drücken Sie die Schaltfläche "Hinzufügen", um die ISE Cisco-Details wie folgt hinzuzufügen:
   
   
    
   • Sie können entweder PAP oder CHAP für das Authentifizierungsprotokoll wählen, stellen Sie sicher, dass das ISE Authentifizierungsprofil das in der obigen Konfiguration gewählte unterstützt.
   • Geben Sie die Serverdetails (ip, secret und port) ein und klicken Sie dann auf "Ok".
    
2. Erstellen Sie ein Authentifizierungsprofil, das die Methode als + auch das +-Serverprofil angibt, TACACS das zuvor in Schritt 1 unter Device TACACS --> Setup --> Authentifizierungsprofil erstellt wurde, und klicken Sie dann auf " OK " einmal fertig.
    
   
    
3. Erstellen Sie zwei Administratorrollen unter Gerät -- > Admin-Rollen, eine für Read-Only und die andere für Read-Write wie folgt:
   
   
   
   Lese-Schreib-Rolle
   
   
   Nur Lese-Only-Rolle
   • Sie können genau angeben, was der Benutzer im Web steuern oder sehen UI kann, über XML /Rest API und die Befehlszeile.
   • Für die Read-Write-Rolle ist alles aktiviert und die Rolle "Superuser" CLI wurde hinzugefügt, während wir für die Read-Only-Rolle einige Funktionen deaktiviert und die Rolle "superreader" für die hinzugefügt CLI haben.
    
4. Konfigurieren Sie die Authentifizierungseinstellungen so, dass das zuvor unter Device --> Management konfigurierte Authentifizierungsprofil verwendet wird - > Authentifizierungseinstellungen und drücken Sie die "Gear" oben rechts im Feld:
   
   
   
    

Zu Cisco ISE :

1. Erstellen Sie Benutzer unter Ressourcen --> Geräteadministration --> Identitäten wie folgt:
   
   
    
   • Fügen Sie den Namen, das Kennwort und alle anderen Attribute hinzu, die gemäß den Anforderungen benötigt werden, und klicken Sie dann auf "Speichern".
   • In dem obigen Schnappschuss haben wir einen Benutzer namens "superadmin" erstellt, der die Read-Write-Rolle haben wird, ein anderer Benutzer wird auch mit dem Namen "Read-only" für Read-Only-Rolle erstellt.
2. Erstellen Sie Gerätegruppen, um die Anforderung/Antwort für die Firewall und die unter Ressourcen Panorama --> Geräteadministration --> Netzwerkgerätegruppen wie folgt zu unterscheiden:
   
   
   
   
   
   
    
   • Erstellte einen Gruppentyp mit dem Namen "Palo Alto Networks" mit zwei Gruppen " Firewall und " Panorama "
      
3. Erstellen Sie die Netzwerkgeräte (Authenticators), die in unserem Fall die Palo Alto Networks Firewall / von Work Centers sind Panorama --> Device Administration --> Netzwerkressourcen wie folgt:
   
   
    
   • In diesem Schritt konfigurieren wir die Firewall Parameter, ISE um sie über die Quelle der Anforderung zu sensibilisieren, wenn das Gerät nicht konfiguriert wurde, dann würde die die Anforderung ISE löschen, auch können Sie sehen, dass wir die vorkonfigurierte Gruppe aufgenommen haben, da wir sie später für Firewall Matching-Zwecke verwenden können, auch wir aktiviert und den gemeinsamen geheimen Schlüssel TACACS hinzugefügt haben, stellen Sie sicher, dass Sie den gleichen gemeinsamen geheimen Schlüssel verwenden, der auf der konfiguriert firewall ist.
4. In diesem Schritt konfigurieren wir die Bedingungen, die der ISE verwendet, um der Anforderung für die Autorisierungsregel zu entsprechen, und geben ihr dann das richtige Shell-Profil (Autorisierungsprofil) an, um es zu konfigurieren, gehen Sie zu Work Centers --> Device Administration --> Policy Elements --> Authorization Simple Conditions , wenn die Anforderung, zusammengesetzte Bedingung zu haben, dann können Sie es stattdessen verwenden.
   • Wir erstellen zwei Autorisierungsbedingungen, die dem Benutzernamen entsprechen, innerhalb der TACACS wiederholung überprüfen Sie die folgende Momentaufnahme:
   
   
   Lese-/Schreibbenutzer
   
   
   Schreibgeschützter Benutzer
    
5. Jetzt müssen wir ein Autorisierungsergebnis erstellen, das, sobald wir die oben genannte Bedingung erfüllen, die Cisco ISE Parameter innerhalb des Ergebnisses (Autorisierungsprofil) bereitstellen würde, um den Firewall Benutzer mit der richtigen Rolle gemäß der zuvor durchgeführten Konfiguration übereinstimmen zu Panorama lassen, können Sie zu Work Centers --> Device Administration --> Policy Elements --> Result --> TACACS Profiles wie folgt gehen:
   
   
   Berechtigungsprofil schreibgeschützt
    
   • Wir haben das herstellerspezifische Attribut für die Admin-Rolle angegeben und ihm einen Wert zugewiesen, der eigentlich die in der / konfigurierte Rolle Firewall Panorama ist, für weitere Informationen über die VSAs verwenden Sie bitte den folgenden Link:
              https://docs.paloaltonetworks.com/ pan-os /9-0/ pan-os -admin/authentication/authentication-types/tacacs
    
   • Das gleiche Autorisierungsprofil wird für die Read-Write-Rolle konfiguriert, um später als Ergebnis für die erfolgreiche Superadmin-Autorisierung verwendet zu werden.
    
   • Um die zulässigen Protokolle zu konfigurieren, die bis dahin unterstützt werden sollen, ISE können Sie von der gleichen Registerkarte wie unten zu Zugelassene Protokolle wechseln:
   
   
    
6. Jetzt erstellen wir die Authentifizierungs- und Autorisierungsregeln Policy (Set), die die ISE verwenden, um die Tacacs Request-Attribute abzugleichen und die entsprechende Antwort basierend auf ihnen bereitzustellen, können Sie zu Work Centers --> Device Administration --> Device Admin Sets : Policy
   
    
   
   
   
   Policy Festgelegt
    
   
   
   
   
   
   
   
   
   
   Policy
   
   
   
   
   Authentifizierungsautorisierung Policy
    

hart:

Schreibgeschützter Zugriff auf: Firewall

GUI:

• Weniger Registerkarten wurden angezeigt, nachdem sie als schreibgeschützter Benutzer angemeldet wurden.

CLI:

 

ISECisco-Protokolle:
 

 

•  Die Antwort unten lieferte die mit einem Wert, der VSA dem schreibgeschützten Zugriff entspricht.

Lese-/Schreibzugriff auf: Firewall

GUI:

 

         CLI:

• Sie können jetzt deutlich den Unterschied zwischen CLI und GUI zwischen read-Only- und Read-Write-Rollen erkennen.

ISECisco-Protokolle:

Schreibgeschützter Zugriff auf: Panorama

GUI:

 

 

Fehlerbehebung:

• Aktivieren Sie Debugs für die Authentifizierung mit dem Befehl Debug-Authentifizierung auf Debug aus , CLI das Ergebnis kann in der Protokolldatei authd mit dem Befehl weniger mp-log authd angezeigt werden, ein Beispiel kann wie folgt gesehen werden:

Für superadmin:

Für schreibgeschützt:

• Eine weitere Sache kann getan werden, die Einnahme von Tcpdump-Erfassungen für den tatsächlich generierten Datenverkehr, standardmäßig die firewall verwendet die Verwaltungsschnittstelle, um mit dem Server zu TACACS kommunizieren, wenn es auf eine andere Schnittstelle geändert wird, dann können Sie Paketerfassungen vom Monitor nehmen --> Paketerfassungen , sonst müssen Sie tcpdump-Aufnahmen auf dem CLI folgenden Link erstellen:

Cisco ISE :

1. Live-Protokolle:
   Operationen --> Tacacs --> Live-Logs
2. Berichte:
   Operationen --> Berichte --> Geräteadministration --> Autorisierung / Authentifizierung
3. Paketerfassungen:
   Vorgänge --> Fehlerbehebung --> Diagnosetools --> TCP Dump
4. Debugprotokolle:
   Erhöhen Sie die Protokollebene, um sie aus Administration --> System --> Logging --> Debugprotokollkonfiguration zu debuggen, wählen Sie dann das Gerät aus, das die Anforderung verarbeitet, TACACS und führen Sie die Laufzeit der Protokolldatei aus, um sie zu AAA debuggen.
   
   Sie können das gesamte Support-Bundle oder nur die Protokolldatei von Operations --> Troubleshoot --> Download Logs herunterladen, wählen Sie entweder Support-Bundle oder Debug-Protokolle.