Comment configurer TACACS l’authentification contre Cisco ISE

Sur Palo Alto Networks Firewall

1. Nous allons commencer par configurer le TACACS profil + serveur sur Firewall l’appareil sous -- > profils serveur --> TACACS +. S’il vous plaît appuyez sur le bouton « Ajouter » afin d’ajouter les détails Cisco ISE comme ci-dessous:
   
   
    
   • Vous pouvez choisir l’un PAP ou CHAP l’autre ou pour le protocole d’authentification, assurez-vous ISE que le profil d’authentification prend en charge celui choisi dans la configuration ci-dessus.
   • Entrez les détails du serveur (ip, secret et port) puis cliquez sur « Ok ».
    
2. Créez un profil d’authentification spécifier la méthode comme + aussi le profil + serveur qui a été créé plus tôt TACACS TACACS dans l’étape #1 sous l’appareil --> Setup --> Profil d’authentification, puis cliquez OK sur " une fois terminé.
    
   
    
3. Créez deux rôles d’administrateur sous Périphérique -- > rôles admin, l’un pour Read-Only et l’autre pour Read-Write comme ci-dessous:
   
   
   
   Rôle lire-écrire
   
   
   Rôle read-only
   • Vous pouvez spécifier exactement ce que l’utilisateur peut contrôler ou voir sur le UI Web, via XML /Rest API et la ligne de commande.
   • Pour read-write rôle tout est activé et « superuser » rôle pour CLI a été ajouté, tandis que pour le rôle Read-Only, nous avons désactivé certaines fonctionnalités et ajouté le rôle « superreader » pour le CLI .
    
4. Configurez les paramètres d’authentification pour utiliser le profil d’authentification configuré précédemment sous l’appareil --> Management --> Paramètres d’authentification et appuyez sur le « Gear » en haut à droite de la boîte:
   
   
   
    

Sur Cisco ISE :

1. Créez des utilisateurs dans le cadre des centres de travail --> Device Administration --et-> identités ci-dessous:
   
   
    
   • Ajoutez le nom, le mot de passe et tout autre attribut nécessaire selon les exigences, puis cliquez sur « Enregistrer ».
   • Dans l’instantanéci-dessus,nous avons créé un utilisateur nommé "superadmin" qui aura le rôle Lire-Écrire, un autre utilisateur est également créé avec le nom " Lire uniquement " pour lire-Only rôle.
2. Créer des groupes d’appareils afin de différencier la demande / réponse pour les centres de travail et les centres de travail Firewall Panorama sous -- > Device Administration --> Groupes d’périphériques réseau comme ci-dessous:
   
   
   
   
   
   
    
   • Création d’un type de groupe nommé "Palo Alto Networks" avec deux groupes " et Firewall Panorama »
      
3. Créez les périphériques réseau (authentateurs) qui, dans notre cas, sont les réseaux Palo Alto Firewall / des centres de travail Panorama --> Device Administration --> Network Resources comme ci-dessous:
   
   
    
   • Dans cette étape, nous configurer les paramètres afin de le rendre conscient de la Firewall source de la ISE demande, si l’appareil n’a pas été configuré, puis le laisserait tomber la demande, aussi vous pouvez voir que nous ISE avons inclus le groupe préconfiguré que afin de l’utiliser plus tard Firewall à des fins de correspondance, aussi nous avons activé et TACACS ajouté le secret partagé, assurez-vous d’utiliser le même secret partagé configuré sur le firewall .
4. Dans cette étape, nous allons configurer les conditions que le va utiliser afin de correspondre à la demande de ISE sa règle d’autorisation, puis lui fournir le profil Shell correcte (profil d’autorisation), pour le configurer, aller à Work Centers --> Device Administration --> Policy éléments --> Authorization Simple Conditions , si l’exigence d’avoir l’état composé alors vous pouvez l’utiliser à la place.
   • Nous créerons deux conditions d’autorisation correspondant au nom d’utilisateur dans le TACACS req vérifier l’instantané ci-dessous:
   
   
   Utilisateur lire-écrire
   
   
   Utilisateur read-only
    
5. Maintenant, nous avons besoin de créer le résultat d’autorisation, qui une fois que nous répondons à la condition ci-dessus le Cisco fournirait des paramètres dans le résultat ISE (profil d’autorisation) afin de laisser l’utilisateur / correspondre avec le rôle correct selon la configuration effectuée précédemment, vous pouvez aller à Firewall Work Centers Panorama --> Device Administration --> Policy Elements --> Result --> TACACS Profiles ci-dessous:
   
   
   Profil d’autorisation Lu uniquement
    
   • Nous avons spécifié l’attribut spécifique du fournisseur pour le rôle admin et lui avons attribué une valeur qui est en fait le rôle configuré dans Firewall le / , pour plus Panorama d’informations sur les VSA s’il vous plaît utiliser le lien ci-dessous:
              https://docs.paloaltonetworks.com/ pan-os /9-0/ pan-os -admin/authentification/authentification-types/tacacs
    
   • Le même profil d’autorisation sera configuré pour le rôle Lire-Écriture afin d’être utilisé ultérieurement à la suite de l’autorisation réussie de la superadmine.
    
   • Afin de configurer les protocoles autorisés qui doivent être pris en charge d’ici ISE là, vous pouvez passer aux protocoles autorisés à partir du même onglet que ci-dessous:
   
   
    
6. Maintenant, nous allons créer les règles d’authentification et Policy d’autorisation (Ensemble) que le ISE va utiliser pour correspondre aux attributs de demande Tacacs et de fournir la réponse appropriée basée sur eux, vous pouvez aller à Work Centers --> Device Administration --> Device Admin Policy Sets:
   
    
   
   
   
   Policy Ensemble
    
   
   
   
   
   
   
   
   
   
   Autorisation Policy
   
   d’authentification
   
   
   Policy
    

difficile:

Accès read-only à Firewall:

GUI:

• Moins d’onglets sont apparus une fois connectés en tant qu’utilisateur lu uniquement.

CLI:

 

Journaux ISE Cisco:
 

 

•  La réponse VSA ci-dessous a fourni aux 's une valeur égale à l’accès en lecture seule.

Lire-Écrire l’accès à Firewall:

GUI:

 

         CLI:

• Vous pouvez clairement voir la différence maintenant entre CLI et entre les rôles GUI Read-Only et Read-Write.

Journaux ISE Cisco:

Accès read-only à Panorama:

GUI:

 

 

Dépannage:

• Activer les débogages pour l’authentification à l’aide de l’authentification de débug de commande sur debug de CLI , le résultat peut être vu dans le fichier journal authd en utilisant la commande moins mp-log authd, un exemple peut être considéré comme ci-dessous:

Pour superadmin:

Pour lire uniquement:

• Une autre chose peut être fait qui prend captures Tcpdump pour le trafic réel généré , par défaut les firewall utilisations de l’interface de gestion pour communiquer avec TACACS le serveur, si elle est changée à une autre interface, alors vous pouvez prendre des captures de paquets à partir du moniteur - captures de paquets > , sinon vous devez créer des captures tcpdump sur CLI le tel que le lien ci-dessous:

Cisco ISE :

1. Journaux en direct:
   Opérations --> Tacacs --> journaux en direct
2. Rapports:
   Opérations --rapports > --Administration des appareils > --Autorisation d'> /Authentification
3. Captures de paquets :
   Opérations --> Dépannage --> outils diagnostiques --> TCP Dump
4. Journaux de débogage:
   Augmentez le niveau de journal pour débobug de l’administration --système > --> Journalisation --> Configuration de journal de debug, puis choisissez l’appareil qui TACACS traite la demande et augmentez le temps d’exécution du fichier journal - à AAA débog.
   
   Vous pouvez télécharger l’ensemble du pack de support ou seulement le fichier journal des opérations --> Dépannage --> Télécharger des journaux, Choisir soit le pack de support, soit les journaux Debug.