Cisco ISE + Windows Server 2008 实验

实验说明：此实验参考生产环境中某部分环境搭建而成，此环境Windows Server 2008用于登录用户、MAC等账号的认证，Cisco ISE用于认证授权等，无线部分利用VMWLC + Cisco 1702AP测试测试。因为为实验环境，整体网络架构所有节点为单点；Cisco ISE部分功能没有应用上，如测试PC端的补丁、防毒补丁、设备认证等(此部分在生产环境上实施)，下图为此实验的网络架构图。
Windows AD: 172.16.1.199
Cisco VMISE: 172.16.1.103
CISCO VMWLC: 172.16.1.201
另外要说明的是，在生产环境中，无线AC建议不要使用Vlan 1作为管理Vlan。



1.Windwos Server 2008设定管理部分
1.1 Windows Server安装AD / DNS 并设定Domain: vmwlc.com，服务器名称为VMAD.VMWLC.COM(172.16.1.199)
1.2 Windows AD设定五个OU以及userGroup:

iseGroup1: 用于802.1X授权用户存放单元，userGroup设定为isegroup；

iseGroup2: 用于交换机登录授权用户存入单元,权限为Priv1，userGroup设定为isegroup02；

NetDeviceManager: 用于交换机登录授权用户存入单元,权限为Priv15,userGroup设定为NetDeviceManager；

MACAddress :用于MAB授权MAC Address存入授权单元，userGroup设定为MacAddressGroup，MACAddress格式为00-00-00-00-00-00；

iseWebGroup: 用于无线网络WEB授权用户存放单元，userGroup设定为isewebGroup；

1.3 添加ISEDNS Domain防问：ISE103.VMWLC.COM (172.16.1.103) / ISE104.VMWLC.COM (172.16.1.104)；
1.4 Windows Server安装IIS,并设定http/https两协议都可以互相通信，目的为ISE提供证书申请；
2. CISCO ISE设定管理部分
2.1 ISE添加至WindowsAD并设定DNS



上图为ISE加入Windows Domain图



上图为ISE 加入Windows Domain后所产生Authentication Domains 信息



上图为Windows DNS解析名称与IP设定
2.2 ISE添加Windows AD Group，所有网络设备认证、MAB、802.1X等认证授权等用户全部来自于Windows AD userGroup，如下图：



3. 网络设备认证、授权设定
3.1 交换机部分
　 aaa aaa new-model
aaa authentication login nocon linenone
aaa authentication login vty group radius local
aaa authorization exec vty group radius local
aaa authorization network default group radius
aaa accounting exec vty start-stop group radius
radius-server host 172.16.1.103 key cisco(此设备间通信认证密码由用户自定义)
line vty 0 4
authorization exec vty
login authentication vty
3.2 Cisco ISE设定部分
ISE NetworkDevice 管理需增加NeworkDeviceGroup以及添加设备，DeviceGroup分两部分：
a.设备类类型分组;
b.区域分组，分组目的是为授权可以不同设备类型以及区域群组做授权，如下图设备组以及区域组设定：




ISE NetworkDevice添加被管理设备并分配至不同设备组，如下图：




设定用户防问交换机的Authention Policy，名称为Switch_Authen->条件：Device type EQUALS Device Type#All Device Type#2960G Group(此Group为已经定义好的NetworkDeviceGroup)->协议:DefaultNetworkAccess->用户为:ISE-03(即是已经加入Winows AD域名称)，如下图：




设定用户防问交换的Authorization Policy，分别设定Swich_Author_Priv1与Switch_Author_Priv15两个条件，如下图：




上图为Swich_Author_Priv1授权图, Advanced AttributesSettings: Cisco:cisco-av-pri = priv-lvl=1



上图为Swich_Author_Priv1授权图,Advanced Attributes Settings: Cisco:cisco-av-pri = priv-lvl=15
分别设定用户防问网络设备的Switch_Author_1与Swith_Author_15的Authorization Policy，如下图:





上图为用户防问网络设备的Authorization Policy，其中usergroup:iserGroup02条为Switch_Author_Priv1为的只有priv 1 权限，NetDeviceManager条件为Switch_Author_Priv15权限为priv 15,如下图:










4.ISE MAB认证、授权设定部分
4.1 网络交换机设定部分
在交换机上启用 Radius Radius 认证 ，以下为配置内容

aaa new-model
aaa authentication dot1x default group radius
aaa authorization network default group radius
aaa accounting dot1x default start-stop group radius
aaa server radius dynamic-author
client 172.16.1.103 server-keycisco
ip device tracking
dot1x system-auth-control
radius-server attribute 6 on-for-login-auth
radius-server attribute 8 include-in-access-req
radius-server attribute 25 access-request include
radius-server dead-criteria time 5 tries 3
radius-server host 172.16.1.103 auth-port1812 acct-port 1813
radius-server key cisco
radius-server vsa send accounting
radius-server vsa send authentication

在连接AP交换机端口G1/0/13上启用 MAB和Dot1X认证，配置如下:

interface GigabitEthernet1/0/17
switchport access vlan 11
switchport mode access
ip access-group ACL-DEFAULT in
authentication event fail action next-method
authentication event server dead action authorize vlan 12
authentication event server alive action reinitialize
authentication host-mode multi-auth
authentication open
authentication order dot1x mab
authentication priority dot1x mab
authentication port-control auto
authentication violation restrict
mab
dot1x pae authenticator
spanning-tree portfast

设定基本的ACL: ACL-DEFAULT，配置如下:

ip access-list extended ACL-DEFAULT
permit udp any eq bootpc any eq bootps
permit udp any any eq domain
permit icmp any any
permit udp any any eq tftp
deny ip any any

4.2 ISE设定部分
Policy选项结果内设定Authorization Profile为Wifi_MAB_Guest_Autor(有线网络与无线网络设定原理一样),DACLName: PERMIT_ALL_TRAFFIC,Vlan: ID/11即是交换机上所设定的vlanID




Authentication Policy 设定，条件设定为Wireless_MAB或是Wire_MAB，协议为DefaultNetworkAccess，用户为用户为:ISE-03(即是已经加入Winows AD域名称)，如下图：




Authorization Policy设定，条件为Windows AD里的MacAddressGroup组内mac Address,条件为预设定的Wifi_MAB_Guest_Author,如下图：




下图为已经认证授权通过的Wifi MAB记录：




下图为有线用户认证授权通过的MAB信息，

a. 获取到相应的VlanID: 11;
b. 获取到相应的ACS ACL：xACSACLx-IP-PERMIT_ALL_TRAFFIC-56161e32;
c. 分配至相应的IP Address:172.16.5.137
d. MABAuthorization Success



5. 有线/无线网络802.1X MAB 认证设定部分(有线部分802.1X认证设定跟MAB基本一样，不需要重新设定，以下部分只包括无线部分):
5.1 无线控制器WLC设定部分(只部分控制器设定部分，不包括无线控制器的安装以及AP设定部分)
分别增加Radiu　Authentication / Accounting，如下图:







增加SSID，并且设定如下：













AP设定,ap Mode: Flexconnect







5.2 CISCO ISE设定部分
Policy先项结果内设定Authentication Allowed Protocols,名字为Dot1x_EAP_Authen，因只做Dot1x认证，只选择部分协议，如下图：




Policy选项结果内设定Authorization Profile为Dot1x_EAP_Author(有线网络与无线网络设定原理一样),DACLName: PERMIT_ALL_TRAFFIC,Vlan: ID/11即是交换机上所设定的vlanID




设定用户连接无线网络Authentication Policy,名称：Dot1x_EAP_Authen,条件为Wireless_802.1x和无线设备组，协议为Dot1x_EAP_Authen，用户为用户为:ISE-03(即是已经加入Winows AD域名称)，如下图：




设定用户连接无线网络Authorization Policy,名称为Dot1x_Author_WIFI，用户为Windows AD isegroup内的所有用户，条件为Dot1x_EAP_Author,如下图：




下图为已经认证授权通过的Wifi MAB/ 802.1x记录：