Contents

Introduction

Prerequisites

Requirements

Componentes Utilizados

Conventions

Como implementar o proxy de autenticação

Perfis do servidor

Cisco Secure UNIX (TACACS+)

Cisco Secure Windows (TACACS+)

O que o usuário vê

Informações Relacionadas

Introduction

O proxy de autenticação (auth-proxy), disponível na versão 12.0.5.T e posteriores do Cisco IOS® Software Firewall, é usado para autenticar usuários de entrada ou saída, ou ambos. Estes usuários normalmente são bloqueados por uma lista de acesso. Contudo, com o auth-proxy, os usuários usam um navegador para passar pelo firewall e fazer a autenticação em um servidor TACACS+ ou RADIUS. O servidor passa entradas de lista de acesso adicionais para o roteador, de modo a permitir que os usuários passem por ele após autenticação.

Este documento fornece dicas gerais ao usuário para a implementação do proxy de autenticação, fornece alguns perfis de servidor do Cisco Secure para proxy de autenticação e descreve o que o usuário vê quando o proxy de autenticação está em uso.

Prerequisites

Requirements

Não existem requisitos específicos para este documento.

Componentes Utilizados

Este documento não se restringe a versões de software e hardware específicas.

Conventions

For more information on document conventions, refer to the Cisco Technical Tips Conventions.

Como implementar o proxy de autenticação

Conclua estes passos:

1. Certifique-se de que o tráfego flua corretamente pelo firewall antes de configurar auth-proxy.

2. Para uma interrupção mínima da rede durante os testes, modifique a lista de acesso existente para negar acesso a um cliente de teste.

3. Certifique-se de que um cliente de teste não consiga passar pelo firewall e de que os outros hosts consigam passar.

4. Ative o debug com exec-timeout 0 0 na porta de console ou nos terminais de tipo virtual (VTYs), enquanto adiciona os comandos auth-proxy e testa.

Perfis do servidor

Nosso teste foi feito com o Cisco Secure UNIX e Windows. Se RADIUS estiver em uso, o servidor RADIUS deverá suportar os atributos específicos do fornecedor (atributo 26). Veja abaixo exemplos de servidores específicos:

Cisco Secure UNIX (TACACS+)

# ./ViewProfile -p 9900 -u proxyonly

User Profile Information

user = proxyonly{

profile_id = 57

set server current-failed-logins = 1

profile_cycle = 2

password = clear "********"

service=auth-proxy {

set priv-lvl=15

set proxyacl#1="permit icmp any any"

set proxyacl#2="permit tcp any any"

set proxyacl#3="permit udp any any"

}

}

Cisco Secure Windows (TACACS+)

Siga este procedimento.

1. Insira o nome de usuário e a senha (banco de dados Cisco Secure ou Windows).

2. Para a configuração da interface, selecione TACACS+.

3. Em Novos serviços, selecione a opção Grupo e digite auth-proxy na coluna Serviço. Deixe a coluna Protocolo em branco.

4. Avançado  janela de exibição de cada serviço  atributos personalizados.

5. Em Configurações do grupo, marque auth-proxy e insira essas informações na janela:

priv-lvl=15

proxyacl#1=permit icmp any any

proxyacl#2=permit tcp any any

proxyacl#3=permit udp any any

Cisco Secure UNIX (RADIUS)

# ./ViewProfile -p 9900 -u proxy

User Profile Information

user = proxy{

profile_id = 58

profile_cycle = 1

radius=Cisco {

check_items= {

2="proxy"

}

reply_attributes= {

9,1="auth-proxy:priv-lvl=15"

9,1="auth-proxy:proxyacl#1=permit icmp any any"

9,1="auth-proxy:proxyacl#2=permit tcp any any"

9,1="auth-proxy:proxyacl#3=permit udp any any"

}

}

}

Cisco Secure Windows (RADIUS)

Siga este procedimento.

1. Abrir configuração de rede. O NAS deve ser o Cisco RADIUS.

2. Se Interface Configuration RADIUS estiver disponível, marque as caixas VSA.

3. Em Configurações do usuário, digite o nome de usuário/senha.

4. Em Group Settings, selecione a opção para [009/001] cisco-av-pair. Na caixa de texto abaixo da seleção, digite:

auth-proxy:priv-lvl=15

auth-proxy:proxyacl#1=permit icmp any any

auth-proxy:proxyacl#2=permit tcp any any

auth-proxy:proxyacl#3=permit udp any any

Esta janela é um exemplo desta etapa.

O que o usuário vê

O usuário tenta procurar algo no outro lado do firewall.

Uma janela é exibida com esta mensagem:

Cisco <hostname> Firewall

Authentication Proxy

Username:

Password:

Se o nome de usuário e a senha forem válidos, o usuário verá:

Cisco Systems

Authentication Successful!

Se a autenticação falhar, a mensagem será:

Cisco Systems

Authentication Failed!

Informações Relacionadas

- Página de suporte de firewall do IOS

- Suporte Técnico e Documentação - Cisco Systems