Pergunta:
Sintomas: o navegador solicita as credenciais quando a autenticação NTLM é usada.
Ambiente: Cisco Web Security Appliance (WSA), todas as versões do AsyncOS
Vários fatores podem afetar se o cliente envia suas credenciais automaticamente (SSO - Single Sign On) ou solicita que o usuário final insira suas credenciais manualmente.
Verifique os seguintes itens ao tentar implementar NTLM com SSO:
Configuração da autenticação WSA:
Verifique se o WSA está configurado para usar apenas NTLMSSP e não NTLM Basic
Essa configuração pode ser encontrada na GUI na página Web Security Manager > Identities. Edite a Identidade apropriada e marque a configuração Definir membros por autenticação > Esquemas de autenticação.
Selecione uma das seguintes opções:
-
Usar NTLMSSP
-
Usar Basic ou NTLMSSP
-
Usar Básico
O NTLMSSP permite a funcionalidade para que o cliente envie as credenciais de forma segura e transparente para o proxy da Web.
O NTLM Basic permite que o cliente envie o nome de usuário e a senha em texto simples quando as credenciais forem solicitadas.
O cliente escolhe o melhor método disponível quando a opção Usar básico ou NTLMSSP é selecionada (recomendável). Se o cliente suportar NTLMSSP, ele usará esse método e todos os outros navegadores usarão Basic. Isso permite compatibilidade máxima.
Confiança do cliente:
Se o cliente não confiar no WSA, ele não enviará suas credenciais de forma transparente. A seguir estão diretrizes para ajudar a solucionar problemas de ambientes em que o cliente não confia no WSA.
O cliente não confia na URL de redirecionamento de autenticação (somente implantações transparentes)
Em uma implantação transparente, o WSA deve redirecionar o cliente para ele mesmo para executar a autenticação. O cliente pode ou não confiar neste local redirecionado.
Por padrão, o WSA redireciona para o FQDN do P1 (ou para a interface M1, se for usada para dados de proxy). Como esse é um FQDN, o Internet Explorer não confiará nele, pois ele acredita que esse é um recurso fora de sua rede.
Há duas maneiras de fazer o Internet Explorer confiar no WSA:
-
Adicione o FQDN da interface do WSA aos sites confiáveis. Escolha Ferramentas > Opções da Internet > Segurança > Sites confiáveis e clique no botão Sites.
Observação: esta configuração deve ser alterada em todos os clientes.
-
Altere a URL de redirecionamento que o WSA usa para ser um nome de host DNS resolvível com uma única palavra.
Isso pode ser feito por meio da interface da Web. Faça login no WSA como administrador e navegue para Rede > Autenticação. Em seguida, clique em "Editar configurações globais ..." e modifique "Nome de host de redirecionamento de autenticação transparente"
Se o WSA não puder resolver esse nome de host usando DNS, mensagens de alerta para erros de configuração serão exibidas. É recomendável usar o comando DNSCONFIG > localhosts (Observação: 'localhosts' é um comando oculto) e adicionar esse nome de host para resolver a interface WSA usada para dados de proxy.
Se os seus clientes não conseguirem resolver DNS esse nome de host, eles não conseguirão usar proxy.
Feedback