Cómo configurar la TACACS autenticación contra Cisco ISE

En las redes de Palo Alto Firewall

1. Comenzaremos con la configuración del perfil + del TACACS servidor en el dispositivo Firewall --> perfiles de servidor --> TACACS +. Presione por favor el botón "Agregar" para agregar los detalles de Cisco ISE como abajo:
   
   
    
   • Usted puede elegir uno PAP o para el protocolo de CHAP autenticación, aseegurese que ISE el perfil de autenticación soporta el elegido en la configuración antedida.
   • Introduzca los detalles del servidor (ip, secreto y puerto) y, a continuación, haga clic en "Aceptar".
    
2. Cree un perfil de autenticación especificando el método como TACACS + también el perfil + servidor que se creó TACACS anteriormente en el paso #1 en Dispositivo --> Configurar --> Perfil de autenticación y, a continuación, haga clic en " OK " " una vez hecho.
    
   
    
3. Cree dos roles de administrador en Dispositivo: > roles de administrador, uno para solo lectura y otro para lectura y escritura como se indica a continuación:
   
   
   
   Rol de lectura y escritura
   
   
   Rol de solo lectura
   • Puede especificar exactamente lo que el usuario puede controlar o ver en web UI , a través de XML /Rest y línea de API comandos.
   • Para el rol de lectura y escritura, todo está habilitado y se agregó el rol de "superusuario", CLI mientras que para el rol de solo lectura deshabilitamos algunas funcionalidades y agregamos el rol de "superreader" para el archivo CLI .
    
4. Configure las configuraciones de autenticación para utilizar el perfil de autenticación configurado anteriormente en Device --> Management --> Authentication Settings (Configuración de autenticación de >) y presione el "Gear" en la parte superior derecha del cuadro:
   
   
   
    

En Cisco ISE :

1. Cree usuarios en Centros de trabajo --> Administración de dispositivos --> Identidades como se muestra a continuación:
   
   
    
   • Agregue el nombre, la contraseña y cualquier otro atributo necesario según los requisitos y, a continuación, haga clic en "Guardar".
   • En la instantánea anterior creamos un usuario denominado "superadmin" que tendrá el rol de lectura y escritura, otro usuario también se crea con el nombre "Solo lectura" para el rol Read-Only.
2. Cree grupos de dispositivos para diferenciar la solicitud/respuesta para los Firewall Panorama centros de trabajo --> administración de dispositivos --> grupos de dispositivos de red como se indica a continuación:
   
   
   
   
   
   
    
   • Creó un tipo de grupo llamado "Palo Alto Networks" con dos grupos " " y " Firewall Panorama "
      
3. Cree los dispositivos de red (autenticadores) que en nuestro caso son las redes palo alto Firewall / de los centros de trabajo Panorama --> administración de dispositivos --> recursos de red como se indica a continuación:
   
   
    
   • En este paso, configuramos los Firewall parámetros para que sea consciente de la fuente de la ISE solicitud, si el dispositivo no fue configurado entonces el ISE caería la petición, también usted puede ver que incluimos el grupo preconfigurado como Firewall para usarlo más adelante para los propósitos de coincidencia, también hemos habilitado TACACS y agregado el secreto compartido, aseegurese utilizar el mismo secreto compartido configurado en el firewall .
4. En este paso configuraremos las condiciones que ISE usaremos para que coincida con la solicitud de su regla de autorización y luego le proporcionaremos el perfil correcto de Shell (perfil de autorización), para configurarlo, ir a centros de trabajo --> administración de dispositivos --> Policy elementos --> condiciones simples de autorización, si el requisito de tener condición compuesta entonces usted puede usarlo en su lugar.
   • Crearemos dos condiciones de autorización que coincidan con el nombre de usuario dentro de la TACACS comprobación de req la siguiente instantánea:
   
   
   Usuario de lectura y escritura
   
   
   Usuario de solo lectura
    
5. Ahora necesitamos crear el resultado de la autorización, que una vez que cumplamos con la condición anterior Cisco ISE proporcionaría los parámetros dentro del resultado (perfil de la autorización) para dejar que el Firewall / hacer juego al usuario con el papel correcto según la configuración hecha Panorama antes, usted puede ir a los centros de trabajo --> administración del dispositivo --> Policy los elementos --> resultado --> TACACS perfiles como abajo:
   
   
   Perfil de autorización de solo lectura
    
   • Hemos especificado el atributo específico del proveedor para el rol admin y le hemos asignado un valor que es realmente el rol configurado en el Firewall / , para más información sobre los Panorama VSAs por favor utilice el siguiente enlace:
              https://docs.paloaltonetworks.com/ pan-os /9-0/ pan-os -admin/authentication/authentication-types/tacacs
    
   • El mismo perfil de la autorización será configurado para el papel de lectura y escritura para ser utilizado más adelante como resultado para la autorización satisfactoria del superadmin.
    
   • Para configurar los protocolos permitidos que deben ser soportados por ISE entonces usted puede ir a los protocolos permitidos de la misma lengueta que abajo:
   
   
    
6. Ahora crearemos las reglas de autenticación y autorización Policy (Set) que ISE usaremos para que coincidan con los atributos de la solicitud tacacs y proporcionaremos la respuesta apropiada basada en ellos, usted puede ir a los centros de trabajo --> administración del dispositivo --> conjuntos de administración del Policy dispositivo:
   
    
   
   
   
   Policy Establecer
    
   
   
   
   
   
   
   
   
   
   Policy
   
   
   
   
   Autorización de autenticación Policy
    

Pruebas:

Acceso de solo lectura a: Firewall

GUI:

• Un número menor de pestañas aparecían una vez que iniciamos sesión como usuario de solo lectura.

CLI:

 

ISERegistros de Cisco:
 

 

•  La respuesta siguiente proporcionó a los VSA 's un valor igual al acceso de solo lectura.

Acceso de lectura y escritura a Firewall:

GUI:

 

         CLI:

• Puede ver claramente la diferencia ahora desde CLI y entre los roles de solo lectura y lectura y GUI escritura.

Registros ISE de Cisco:

Acceso de solo lectura a: Panorama

GUI:

 

 

Solución de problemas:

• Habilite los debugs para la autenticación usando la autenticación del debug del comando en el debug de CLI , el resultado se puede ver en el archivo de registro authd usando el comando less mp-log authd, un ejemplo se puede ver como abajo:

Parasuperadmin:

Para solo lectura:

• Una cosa más se puede hacer que tomar tcpdump capturas para el tráfico real generado , por abandono los firewall usos de la interfaz de administración para comunicarse con el TACACS servidor, si se cambia a otra interfaz entonces usted puede tomar las capturas de paquetes del monitor --> capturas de paquetes, de lo contrario usted tiene que crear las capturas tcpdump en el CLI según el link abajo:

Cisco ISE :

1. Registros en vivo:
   Operaciones --> Tacacs --> registros en vivo
2. Informes:
   Operaciones --> Informes --> Administración de dispositivos --> Autorización / Autenticación
3. Capturas de paquetes:
   Operaciones --> Solucionar problemas --> Herramientas de diagnóstico TCP --volcado >
4. Registros de depuración:
   Aumente el nivel de registro para depurar desde Administración --> Sistema --> Registro --> Configuración de registro de depuración y, a continuación, elija el dispositivo que procesa la TACACS solicitud y aumente el tiempo de ejecución del archivo de registro- AAA para depurar.
   
   Puede descargar todo el paquete de soporte o solo el archivo de registro de Operations --> Solucionar problemas --> Descargar registros , Elegir paquete de soporte o Registros de depuración.