Sécurité - Configuration de

Présentation au sujet: "Sécurité - Configuration de"— Transcription de la présentation:

1 Sécurité - Configuration de
l'Authentification Auth-Proxy Outbound sans CBAC et sans NAT ccnp_cch

2 Sommaire - Introduction - Versions de Matériel et de Logiciel
- Schéma du réseau - Configurations - Authentification sur le PC ccnp_cch

3 Introduction La fonctionnalité Proxy d'authentification permet aux utilisateurs de se connecter au réseau ou d'accéder à Internet avec HTTP avec leurs profils d'accès spécifiques récu- pérés sur un serveur RADIUS ou TACACS+. Les profils utilisateurs sont actifs unique- ment quand il y a du trafic actif pour les utilisateurs authentifiés. Cet exemple de configuration bloque le trafic issu du host ( ) du réseau in- terne vers tous les hosts d'Internet jusqu'à ce que l'authentification par le navigateur soit effectuée en utilisant le Proxy d'authentification. La liste de contrôle d'accès (ACL) passée par le serveur (permit tcp|ip|icmp any any ) ajoute des entrées dynamiques après l'authentification à la liste d'accès 116 qui autorise l'accès temporaire du PC vers Internet. Versions de Matériel et de Logiciel Cette configuration a été réalisée et testée en utilisant les versions suivantes: • Cisco IOS Release 12.2(15)T • Cisco Routeur Schéma du Réseau /24 /24 Serveur Radius Fa0/0 Fa1/0 Internet R7206 /28 PC /24 Configurations Routeur 3640 Current configuration: ! version 12.2 service timestamps debug uptime service timestamps log uptime service password encryption ! hostname R7206 ! username admin password 7 H2xF5kn6Zlm8fwsDAp ! !-- Validation de AAA ! aaa new-model ! ccnp_cch

4 aaa authentication login default group radius none aaa autorization exec default group radius none aaa autorization auth-proxy default group radius ! aaa session-id common ! ip subnet-zero ! ip auth-proxy auth-proxy-banner ip auth-proxy auth-cache-time 10 ip auth-proxy name Restrict_PC http ! ip audit notify log ip audit po max-events 100 ! interface FastEthernet0/0 ip address ip access-group 116 in ip auth-proxy Restrict_PC no ip directed-broadcast no ip mroute-cache ! interface FastEthernet1/0 ip address no ip directed-broadcast ! ip classless ! ip route Interface FastEthernet1/0 ! ip http server ip http authentication aaa ! access-list 116 permit tcp host host eq www ! !-- Permet le trafic HTTP ! access-list 116 deny tcp host any access-list 116 deny udp host any access-list 116 deny icmp host any access-list 116 permit tcp any access-list 116 permit udp any access-list 116 permit icmp any ! radius-server host auth-port 1645 key 7 cisco ! radius-server authorization permit missing Service-Type ! line cons 0 transport input none line aux 0 line vty 0 4 paswword ww ! end ccnp_cch

5 Authentification sur le PC Cette section fournit les captures d'écrans faites sur le PC. Elles montrent la procédure d'authentification. La première capture montre la fenêtre de dialogue dans laquelle l'utilisateur entre le nom d'utilisateur et le mot de passe. Si l'authentification est réussie, la fenêtre ci-dessous est affichée. ccnp_cch

6 Le serveur RADIUS doit être configuré avec les listes d'accès devant être appliquées. Dans cet exemple, les entrées suivantes sont appliquées. Elles permettent au PC de se connecter à un host quelconque. permit tcp host any permit udp host any permit icmp host any Cette fenêtre du serveur RADIUS Cisco montre où entrer les ACLs. ccnp_cch

7 Vérification Cette section fournit des informations que vous pouvez utiliser pour confirmer que vo- tre configuration fonctionne correctement. • show ip access-lists -- Affiche les listes d'accès standards et étendues configurées (y compris les entrées dynamiques). Les entrées dynamiques sont ajoutées ou reti rées périodiquement selon que l'utilisateur est authentifié ou non. • show ip auth-proxy cache -- Affiche soit les entrées du Proxy d'authentification soit la configuration courant du Proxy d'authentification. Le mot clé cache est utilisé pour afficher l'adresse IP du host, le numéro de port source, la valeur de timeout pour le Proxy d'authentification et l'état des connexions qui utilisent le Proxy d'au thentification. Si l'état du Proxy d'authentification est HTTP_ESTAB alors l'authenti fication de l'utilisateur a été réussie. ccnp_cch