Sécurité - Configuration de l'Authentification Auth-Proxy Outbound sans CBAC et sans NAT ccnp_cch
Sommaire - Introduction - Versions de Matériel et de Logiciel - Schéma du réseau - Configurations - Authentification sur le PC ccnp_cch
Introduction La fonctionnalité Proxy d'authentification permet aux utilisateurs de se connecter au réseau ou d'accéder à Internet avec HTTP avec leurs profils d'accès spécifiques récu- pérés sur un serveur RADIUS ou TACACS+. Les profils utilisateurs sont actifs unique- ment quand il y a du trafic actif pour les utilisateurs authentifiés. Cet exemple de configuration bloque le trafic issu du host (40.31.1.47) du réseau in- terne vers tous les hosts d'Internet jusqu'à ce que l'authentification par le navigateur soit effectuée en utilisant le Proxy d'authentification. La liste de contrôle d'accès (ACL) passée par le serveur (permit tcp|ip|icmp any any ) ajoute des entrées dynamiques après l'authentification à la liste d'accès 116 qui autorise l'accès temporaire du PC vers Internet. Versions de Matériel et de Logiciel Cette configuration a été réalisée et testée en utilisant les versions suivantes: • Cisco IOS Release 12.2(15)T • Cisco Routeur 7206 Schéma du Réseau 192.168.10.103/24 192.168.10.10/24 Serveur Radius Fa0/0 Fa1/0 Internet R7206 10.89.129.195/28 PC 192.168.10.200/24 Configurations Routeur 3640 Current configuration: ! version 12.2 service timestamps debug uptime service timestamps log uptime service password encryption ! hostname R7206 ! username admin password 7 H2xF5kn6Zlm8fwsDAp ! !-- Validation de AAA ! aaa new-model ! ccnp_cch
aaa authentication login default group radius none aaa autorization exec default group radius none aaa autorization auth-proxy default group radius ! aaa session-id common ! ip subnet-zero ! ip auth-proxy auth-proxy-banner ip auth-proxy auth-cache-time 10 ip auth-proxy name Restrict_PC http ! ip audit notify log ip audit po max-events 100 ! interface FastEthernet0/0 ip address 192.168.10.10 255.255.255.0 ip access-group 116 in ip auth-proxy Restrict_PC no ip directed-broadcast no ip mroute-cache ! interface FastEthernet1/0 ip address 10.89.129.195 255.255.255.240 no ip directed-broadcast ! ip classless ! ip route 0.0.0.0 0.0.0.0 Interface FastEthernet1/0 ! ip http server ip http authentication aaa ! access-list 116 permit tcp host 192.168.10.200 host 192.168.10.10 eq www ! !-- Permet le trafic HTTP ! access-list 116 deny tcp host 192.168.10.200 any access-list 116 deny udp host 192.168.10.200 any access-list 116 deny icmp host 192.168.10.200 any access-list 116 permit tcp 192.168.10.0 0.0.0.255 any access-list 116 permit udp 192.168.10.0 0.0.0.255 any access-list 116 permit icmp 192.168.10.0 0.0.0.255 any ! radius-server host 192.168.10.103 auth-port 1645 key 7 cisco ! radius-server authorization permit missing Service-Type ! line cons 0 transport input none line aux 0 line vty 0 4 paswword ww ! end ccnp_cch
Authentification sur le PC Cette section fournit les captures d'écrans faites sur le PC. Elles montrent la procédure d'authentification. La première capture montre la fenêtre de dialogue dans laquelle l'utilisateur entre le nom d'utilisateur et le mot de passe. Si l'authentification est réussie, la fenêtre ci-dessous est affichée. ccnp_cch
Le serveur RADIUS doit être configuré avec les listes d'accès devant être appliquées. Dans cet exemple, les entrées suivantes sont appliquées. Elles permettent au PC de se connecter à un host quelconque. permit tcp host 192.168.10.200 any permit udp host 192.168.10.200 any permit icmp host 192.168.10.200 any Cette fenêtre du serveur RADIUS Cisco montre où entrer les ACLs. ccnp_cch
Vérification Cette section fournit des informations que vous pouvez utiliser pour confirmer que vo- tre configuration fonctionne correctement. • show ip access-lists -- Affiche les listes d'accès standards et étendues configurées (y compris les entrées dynamiques). Les entrées dynamiques sont ajoutées ou reti- rées périodiquement selon que l'utilisateur est authentifié ou non. • show ip auth-proxy cache -- Affiche soit les entrées du Proxy d'authentification soit la configuration courant du Proxy d'authentification. Le mot clé cache est utilisé pour afficher l'adresse IP du host, le numéro de port source, la valeur de timeout pour le Proxy d'authentification et l'état des connexions qui utilisent le Proxy d'au- thentification. Si l'état du Proxy d'authentification est HTTP_ESTAB alors l'authenti- fication de l'utilisateur a été réussie. ccnp_cch