Inhalt

Einführung

Voraussetzungen

Anforderungen

Verwendete Komponenten

Hintergrundinformationen

Konfigurieren

Netzwerkdiagramm

Konfigurieren von OpenLDAP

Integration von OpenLDAP in die ISE

Konfigurieren des WLC

Konfigurieren von EAP-GTC

Überprüfen

Fehlerbehebung

Einführung

In diesem Dokument wird beschrieben, wie Sie eine Cisco Identity Services Engine (ISE) für die Integration mit einem Cisco LDAP-Server (Lightweight Directory Access Protocol) konfigurieren.

Hinweis: Dieses Dokument gilt für Einrichtungen, die LDAP als externe Identitätsquelle für die ISE-Authentifizierung und -Autorisierung verwenden.

Voraussetzungen

Anforderungen

Für dieses Dokument bestehen keine speziellen Anforderungen.

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf den folgenden Software- und Hardwareversionen:

- Cisco ISE Version 1.3 mit Patch 2

- Microsoft Windows 7 x64 mit installiertem OpenLDAP

- Cisco Wireless LAN Controller (WLC) Version 8.0.100.0

- Cisco AnyConnect Version 3.1 für Microsoft Windows

- Profileditor für Cisco Network Access Manager

Die Informationen in diesem Dokument wurden von den Geräten in einer bestimmten Laborumgebung erstellt. Alle in diesem Dokument verwendeten Geräte haben mit einer leeren (Standard-)Konfiguration begonnen. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die potenziellen Auswirkungen eines Befehls verstehen.

Hintergrundinformationen

Diese Authentifizierungsmethoden werden von LDAP unterstützt:

- Extensible Authentication Protocol - Â  Â  Generic Token Card (EAP-GTC)

- Extensible Authentication Protocol - Â  Â  Transport Layer Security (EAP-TLS)

- Protected Extensible Authentication Protocol - Â  Â  Transport Layer Security (PEAP-TLS)

Konfigurieren

In diesem Abschnitt wird beschrieben, wie Sie die Netzwerkgeräte konfigurieren und die ISE in einen LDAP-Server integrieren.

Netzwerkdiagramm

In diesem Konfigurationsbeispiel verwendet der Endpunkt einen Wireless-Adapter, um eine Verbindung zum Wireless-Netzwerk herzustellen. Das Wireless LAN (WLAN) auf dem WLC wird so konfiguriert, dass die Benutzer über die ISE authentifiziert werden. Auf der ISE wird LDAP als externer Identitätsspeicher konfiguriert.

Dieses Bild zeigt die verwendete Netzwerktopologie:

Konfigurieren von OpenLDAP

Die Installation von OpenLDAP für Microsoft Windows erfolgt über die Benutzeroberfläche und ist einfach. Der Standardspeicherort ist C: > OpenLDAP. Nach der Installation sollte dieses Verzeichnis angezeigt werden:

Beachten Sie insbesondere zwei Verzeichnisse:

- ClientTools âÂ  Â  Dieses Verzeichnis enthält eine Reihe von Binärdateien, die verwendet werden, um die LDAP-Datenbank zu bearbeiten.

- ldifdata âÂ  Â  Dies ist der Ort, an dem Sie die Dateien mit LDAP-Objekten speichern sollten.

Fügen Sie diese Struktur der LDAP-Datenbank hinzu:

Im Stammverzeichnis müssen Sie zwei Organisationseinheiten (OUs) konfigurieren. Die OU=Groups OU sollte eine untergeordnete Gruppe haben (cn=domainusers in diesem Beispiel). Die OU=people OU definiert die beiden Benutzerkonten, die der cn=domainusers-Gruppe angehören.

Um die Datenbank zu füllen, müssen Sie zuerst die LDIF-Datei erstellen. Die zuvor erwähnte Struktur wurde aus dieser Datei erstellt:

dn: ou=groups,dc=maxcrc,dc=com

changetype: add

ou: groups

description: All groups in organisation

objectclass: organizationalunit

dn: ou=people,dc=maxcrc,dc=com

changetype: add

ou: people

description: All people in organisation

objectclass: organizationalunit

dn: uid=john.doe,ou=people,dc=maxcrc,dc=com

changetype: add

objectClass: top

objectClass: person

objectClass: organizationalPerson

objectClass: inetOrgPerson

uid: john.doe

givenName: John

sn: Doe

cn: John Doe

mail: john.doe@example.com

userPassword: password

dn: uid=jan.kowalski,ou=people,dc=maxcrc,dc=com

changetype: add

objectClass: top

objectClass: person

objectClass: organizationalPerson

objectClass: inetOrgPerson

uid: jan.kowalski

givenName: Jan

sn: Kowalski

cn: Jan Kowalski

mail: jan.kowalski@example.com

userPassword: password

dn: cn=domainusers,ou=groups,dc=maxcrc,dc=com

changetype: add

objectClass: top

objectClass: posixGroup

gidNumber: 678

memberUid: uid=john.doe,ou=people,dc=maxcrc,dc=com

memberUid: uid=jan.kowalski,ou=people,dc=maxcrc,dc=com

Um die Objekte der LDAP-Datenbank hinzuzufügen, können Sie die Binärdatei ldapmodifizieren verwenden:

C:\OpenLDAP\ClientTools>ldapmodify.exe -a -x -h localhost -p 389 -D "cn=Manager,

dc=maxcrc,dc=com" -w secret -f C:\OpenLDAP\ldifdata\test.ldif

ldap_connect_to_host: TCP localhost:389

ldap_new_socket: 496

ldap_prepare_socket: 496

ldap_connect_to_host: Trying ::1 389

ldap_pvt_connect: fd: 496 tm: -1 async: 0

attempting to connect:

connect success

adding new entry "ou=groups,dc=maxcrc,dc=com"

adding new entry "ou=people,dc=maxcrc,dc=com"

adding new entry "uid=john.doe,ou=people,dc=maxcrc,dc=com"

adding new entry "uid=jan.kowalski,ou=people,dc=maxcrc,dc=com"

adding new entry "cn=domainusers,ou=groups,dc=maxcrc,dc=com"

Integration von OpenLDAP in die ISE

Verwenden Sie die Informationen, die in den Bildern in diesem Abschnitt enthalten sind, um LDAP als externen Identitätsspeicher auf der ISE zu konfigurieren.

Sie können diese Attribute über die Registerkarte Allgemein konfigurieren:

- Subject ObjectClass âÂ  Â  Dieses Feld entspricht der Objektklasse der Benutzerkonten in der ldif-Datei. Gemäß der LDAP-Konfiguration können Sie hier eine von vier Klassen verwenden:

- Oben

- Person

- Organisatorische Person

- InternetOrgPerson

- Subject Name Attribute âÂ  Â  Dies ist das Attribut, das vom LDAP abgerufen wird, wenn die ISE fragt, ob ein bestimmter Benutzername in einer Datenbank enthalten ist. In diesem Szenario müssen Sie john.doe oder jan.kowalski als Benutzernamen für den Endpunkt verwenden.

- Group Objectclass âÂ  Â  Dieses Feld entspricht der Objektklasse für eine Gruppe in der ldif-Datei. In diesem Szenario ist die Objektklasse für die Gruppe cn=domainusers posixGroup.

- Group Map Attribute âÂ  Â  Dieses Attribut definiert, wie die Benutzer den Gruppen zugeordnet werden. Unter der Gruppe cn=domainusers in der ldif-Datei können Sie zwei memberUid-Attribute sehen, die den Benutzern entsprechen.

Die ISE bietet außerdem einige vorkonfigurierte Schemas (Microsoft Active Directory, Sun, Novell):

Nachdem Sie die richtige IP-Adresse und den korrekten administrativen Domänennamen festgelegt haben, können Sie das Testen der Bindung an den Server durchführen. An diesem Punkt sollten Sie keine Themen oder Gruppen abrufen, da die Suchbasis noch nicht konfiguriert ist.

Auf der nächsten Registerkarte können Sie die Betreff-/Gruppen-Suchbasis konfigurieren. Dies ist der Join Point für die ISE zum LDAP. Sie können nur Subjekte und Gruppen abrufen, die Kinder Ihres Punktes sind. In diesem Szenario werden die Themen aus dem OU=people und die Gruppen aus den OU=Groups abgerufen:

Auf der Registerkarte Gruppen können Sie die Gruppen aus dem LDAP auf der ISE importieren:

Konfigurieren des WLC

Verwenden Sie die in diesen Images bereitgestellten Informationen, um den WLC für die 802.1x-Authentifizierung zu konfigurieren:

Konfigurieren von EAP-GTC

Eine der unterstützten Authentifizierungsmethoden für LDAP ist EAP-GTC. Sie ist in Cisco AnyConnect verfügbar, Sie müssen jedoch den Network Access Manager Profile Editor installieren, um das Profil korrekt zu konfigurieren. Sie müssen auch die Network Access Manager-Konfiguration bearbeiten, die sich standardmäßig hier befindet:

C: > ProgramData > Cisco > Cisco AnyConnect Secure Mobility Client > Network Access Manager > System > configuration.xml-Datei

Verwenden Sie die in diesen Images bereitgestellten Informationen, um den EAP-GTC auf dem Endgerät zu konfigurieren:

Verwenden Sie die in diesen Images bereitgestellten Informationen, um die Authentifizierungs- und Autorisierungsrichtlinien auf der ISE zu ändern:

Nachdem Sie die Konfiguration angewendet haben, sollten Sie eine Verbindung zum Netzwerk herstellen können:

Überprüfen

Um die LDAP- und ISE-Konfigurationen zu überprüfen, sollten Sie in der Lage sein, die Themen und Gruppen abzurufen, die eine Testverbindung zum Server haben:

Diese Bilder veranschaulichen einen Beispielbericht der ISE:

Fehlerbehebung

In diesem Abschnitt werden einige häufige Fehler beschrieben, die bei dieser Konfiguration aufgetreten sind, und wie Sie diese beheben können:

- Nach der Installation von OpenLDAP wird möglicherweise ein Fehler angezeigt, der anzeigt, dass eine gssapi.dll fehlt. Um den Fehler zu beheben, müssen Sie Microsoft Windows neu starten.

- Möglicherweise ist es nicht möglich, die Datei configuration.xml für Cisco AnyConnect direkt zu bearbeiten. Speichern Sie Ihre neue Konfiguration an einem anderen Speicherort, und ersetzen Sie die alte Datei mit dieser.

- Im Authentifizierungsbericht wird möglicherweise folgende Fehlermeldung angezeigt:

Authentication method is not supported by any applicable identity store
Diese Fehlermeldung weist darauf hin, dass die ausgewählte Methode nicht von LDAP unterstützt wird. Stellen Sie sicher, dass das Authentifizierungsprotokoll im gleichen Bericht eine der unterstützten Methoden anzeigt (EAP-GTC, EAP-TLS oder PEAP-TLS).

- Im Authentifizierungsbericht können Sie feststellen, dass der Betreff nicht im Identitätsspeicher gefunden wurde. Das bedeutet, dass der Benutzername aus dem Bericht nicht mit dem Betreffnamen-Attribut für einen Benutzer in der LDAP-Datenbank übereinstimmt. In diesem Szenario wurde der Wert für dieses Attribut auf uid festgelegt, d. h., dass die ISE die uid-Werte für den LDAP-Benutzer überprüft, wenn versucht wird, eine Übereinstimmung zu finden.

- Die Subjekte und Gruppen können während eines Bindungstests an den Server möglicherweise nicht korrekt abgerufen werden. Die wahrscheinlichste Ursache dieses Problems ist eine falsche Konfiguration für die Suchbasis. Beachten Sie, dass die LDAP-Hierarchie vom Leaf-to-Root und vom DC festgelegt werden muss (kann aus mehreren Wörtern bestehen).

Tipp: Informationen zur Fehlerbehebung bei der EAP-Authentifizierung auf der WLC-Seite finden Sie im Konfigurationsbeispiel Cisco EAP Authentication with WLAN Controllers (WLC).