Administration RADIUS avec Cisco ISE

Quelques exemples de contrôle des accès SSH et HTTPS d’équipements réseaux via authentification RADIUS sur des serveurs d’authentification Cisco ISE.

• Synthèse des attributs RADIUS à retourner par type d’équipement
• Switch ArubaOS-CX
• Contrôleur Wi-Fi Cisco WLC (AireOS)

Synthèse des attributs RADIUS à retourner

Equipement	Attribut RADIUS (VSA)	Valeur
ArubaOS-CX	Aruba-Admin-Role	Nom du groupe sur le switch (par défaut, groupes administrators, operators et auditors existants)
Cisco WLC (AireOS)	Service-Type	Le renvoi d’un Permit-Access sans attribut donne des droits en RO. La valeur administrative (valeur numérique 6) permet un accès en RW.
Checkpoint	CP-Gaia-User-Role CP-Gaia-SuperUser	Pour le premier attribut, retourner le nom du rôle existant sur la solution Checkpoint. Retourner la valeur 1 pour autoriser l’accès comme superuser au shell Gaia.

Switch ArubaOS-CX

Le matériel

• Switch virtuel ArubaOS-CX en version 10.6
  • Adresse IP 192.168.100.228 dans la VRF mgmt
• Serveurs virtuels Cisco ISE en version 2.7 patch 2
  • Adresses IP en 192.168.100.213 et 192.168.100.209
• Annuaire Active Directory sous Windows Server 2019

Configuration ArubaOS-CX

Déclaration des deux serveurs RADIUS Cisco ISE

radius-server host 192.168.100.213 key plaintext Labnipo123! vrf mgmt
radius-server host 192.168.100.209 key plaintext Labnipo123! vrf mgmt

Création d’un group de serveurs RADIUS et ajout des deux serveurs précédemment créés:

aaa group server radius RADIUS-MGMT
 server 192.168.100.213 vrf mgmt
 server 192.168.100.209 vrf mgmt

Définition des méthodes d’authentification et accounting avec interrogation du groupe RADIUS en nominal et Fallback sur la base d’utilisateur local:

aaa authentication login default group RADIUS-MGMT local
aaa accounting all default start-stop group RADIUS-MGMT

On oublie pas de valider la configuration avant de passer à la suite, grâce à ces commandes:

show radius-server
show aaa server-group radius
show aaa authentication
show aaa accounting

Configuration Cisco ISE

Déclaration du switch ArubaOS-CX comme NAD:

Création d’un profil d’autorisation qui attribuera les droit admin à l’utilisateur qui se connecte au switch. Utilisation du groupe par défaut administrators présent sur les switchs ArubaOS-CX:

Création du Policy Set. L’utilisateur doit être membre du groupe Active Directory Network-Admin pour pouvoir se connecter au switch Aruba avec des droits admin. Sinon, demande d’accès au switch rejetée par le serveur ISE:

Réplication de la configuration sur l’autre serveur ISE si les deux serveurs ne font pas partie d’un même cluster.

Validation du fonctionnement

Tentative d’accès à la GUI HTTPS au switch Aruba:

L’accès est fonctionnel. Vérification du log RADIUS coté ISE pour s’assurer que la requête a été traité par le bon Policy Set:

Cisco WLC (AireOS)

Le matériel

• Contrôleur Wi-Fi virtuel Cisco vWLC en version 8.10.130.0
  • Adresse IP 192.168.100.207
• Serveurs virtuels Cisco ISE en version 2.7 patch 2
  • Adresses IP en 192.168.100.213 et 192.168.100.209
• Annuaire Active Directory sous Windows Server 2019

Configuration vWLC

Déclaration des deux serveurs d’authentification Cisco ISE sur le contrôleur Wi-Fi. En version 8.10, la partie accounting est automatiquement ajoutée. Si une version plus ancienne est utilisée sur le WLC, penser à le faire manuellement.

Répéter l’opération pour tous les serveurs RADIUS à configurer.

Configuration de l’authentification RADIUS comme méthode d’authentification principale. Fallback en local si les serveurs RADIUS sont injoignables:

Configuration Cisco ISE

Déclaration du contrôleur Wi-Fi Cisco vWLC comme NAD:

Création d’un profil d’autorisation qui attribuera les droit admin à l’utilisateur qui se connecte au contrôleur.

Création du Policy Set. L’utilisateur doit être membre du groupe Active Directory Network-Admin pour pouvoir se connecter au contrôleur Wi-Fi Cisco vWLC avec des droits admin.

Réplication de la configuration sur l’autre serveur ISE si les deux serveurs ne font pas partie d’un même cluster.

Validation du fonctionnement

Tentative d’accès à la GUI HTTPS du contrôleur Wi-Fi Cisco vWLC:

L’accès est fonctionnel. Vérification du log RADIUS coté ISE pour s’assurer que la requête a été traité par le bon Policy Set:

Firewalls Checkpoint

Le constructeur Checkpoint n’est pas existant par défaut sous ISE. Il faut donc commencer par le créer sous Policy > Policy Elements > Dictionaries.
Aller ensuite sous System > Radius > Radius Vendors puis cliquer sur Add:

Compléter les champs nécessaires comme ci-dessous, puis cliquer sur Submit:

Cliquer sur le nom Checkpoint et aller sous l’onglet Dictionary Attributes et cliquer sur Add:

Compléter les champs nécessaires puis cliquer sur Submit pour créer le premier attribut nécessaire:

Refaire la même chose pour la création du deuxième attribut: