RADIUS を使用した Windows 2008 NPS サーバ（Active Directory）に対する ASA VPN ユーザ認証の設定例

Transcription

1 RADIUS を使用した Windows 2008 NPS サーバ (Active Directory) に対する ASA VPN ユーザ認証の設定例 目次 概要前提条件要件使用するコンポーネント設定ネットワーク図設定 ASDM の設定 CLI 設定 NPS 設定の Windows 2008 サーバ確認 ASA のデバッグトラブルシューティング 概要 レガシー Cisco VPN Client/AnyConnect/Clientless WebVPN ユーザがアクティブディレクトリに対して認証されるようにこの資料に RADIUS プロトコルの Microsoft Windows 2008 ネットワークポリシーサーバ (NPS) と通信するために適応型セキュリティアプライアンス (ASA) ソフトウェア設定する方法を (ASA) 説明されています NPS は Windows 2008 サーバによって提示されるサーバ役割の 1 つです それは Windows 2003 サーバと同等 リモートダイヤルインユーザ認証を提供する RADIUS サーバの実装の IAS (Internet Authentication Service) です 同様に Windows 2008 サーバで NPS は RADIUS サーバの実装です 基本的には ASA は NPS RADIUS サーバへ RADIUS クライアントです ASA は VPN ユーザに代わって Radius Authentication 要求を送信し NPS はアクティブディレクトリに対してそれらを認証します 前提条件 要件 このドキュメントに関する固有の要件はありません 使用するコンポーネント

2 このドキュメントの情報は 次のソフトウェアとハードウェアのバージョンに基づくものです バージョン 9.1(4) を実行する ASA アクティブディレクトリディレクトリー サービスを用いる Windows 2008 R2 サーバおよびインストールされる NPS 役割このドキュメントの情報は 特定のラボ環境にあるデバイスに基づいて作成されたものです このドキュメントで使用するすべてのデバイスは クリアな ( デフォルト ) 設定で作業を開始しています ネットワークが稼働中の場合は コマンドが及ぼす潜在的な影響を十分に理解しておく必要があります 設定 注 : このセクションで使用されているコマンドの詳細を調べるには Command Lookup Tool( 登録ユーザ専用 ) を使用してください ネットワーク図 設定 ASDM の設定 1. NPS 認証が必要となるトンネルグループを選択して下さい 2. 基本を Edit をクリックし 選択して下さい 3. Authentication セクションで Manage をクリックして下さい

3 4. AAA サーバグループでは区分して下さい Add をクリックして下さい 5. AAAサーバグループフィールドでは サーバグループの名前を入力して下さい ( たとえば NPS) 6. プロトコルドロップダウンリストから RADIUS を選択して下さい 7. [OK] をクリックします

4 8. 選択したグループセクションのサーバでは 追加される AAAサーバグループを選択し Add をクリックして下さい 9. サーバ名か IP Address フィールドでは サーバのIPアドレスを入力して下さい 10. サーバシークレット Key フィールドでは 秘密鍵を入力して下さい 11. サーバが別のポートで受信しなかったらデフォルト値でサーバ認証ポートおよびサーバアカウンティングポートフィールドを残して下さい 12. [OK] をクリックします 13. [OK] をクリックします 14. AAAサーバグループドロップダウンリストから 前の手順に追加されるグループ ( この例の NPS) を選択して下さい 15. [OK] をクリックします

5 CLI 設定 aaa-server NPS protocol radius aaa-server NPS (inside) host key ***** tunnel-group TEST type remote-access tunnel-group TEST general-attributes address-pool test authentication-server-group (inside) NPS tunnel-group TEST webvpn-attributes group-alias TEST enable ip local pool test mask デフォルトで ASA は非暗号化パスワード認証プロトコル (PAP) 認証種別を使用します これは RADIUS 要求パケットを送信するとき ASA が平文のパスワードを送信することを意味しません むしろ プレーンテキストのパスワードは RADIUS 共有秘密と暗号化されます パスワード管理がトンネルグループの下で有効になる場合 ASA はプレーンテキストのパスワードを暗号化するために MSCHAP-v2 認証種別を使用します このような場合 Microsoft CHAPv2 可能なチェックボックスが ASDM コンフィギュレーションセクションで設定される編集 AAA サーバウィンドウチェックインされるように して下さい

6 tunnel-group TEST general-attributes address-pool test authentication-server-group (inside) NPS password-management 注 : テスト aaa-server 認証コマンドは PAP を常に使用します ユーザが始まるときだけ有効になるパスワード管理が付いているトンネルグループへの接続は ASA 使用 MSCHAPv2 をします また パスワード管理 [ パスワード切ら日日 ] オプションは Lightweight Directory Access Protocol (LDAP) でだけサポートされます RADIUS はこの機能を提供しません パスワードがアクティブディレクトリで既に切れている場合パスワードがオプション切れるが表示されます NPS 設定の Windows 2008 サーバ NPS サーバ役割ははずでインストールされ Windows 2008 サーバで動作しますである そうでなかったら > 管理ツール > ロールサービスサーバーロールの > Add Start を選択して下さい ネットワークポリシーサーバを選択し ソフトウェアをインストールして下さい NPS サーバ役割がインストールされていたら NPS を ASA からの Radius Authentication 要求を受け入れ 処理するために設定するためにこれらのステップを完了して下さい : 1. NPS サーバの RADIUSクライアントとして ASA を追加して下さい > ネットワークポリシーサーバ Administrative Tools を選択して下さい RADIUSクライアントを右クリックし New を選択して下さい 表示名 ASA で設定されるアドレス (IP か DNS) および共有秘密を入力して下さい

7 [Advanced] タブをクリックします ベンダー名ドロップダウンリストから 規格を RADIUS を選択して下さい [OK] をクリックします

8 2. VPN ユーザ向けの新しい接続要求ポリシーを作成して下さい 接続要求ポリシーの目的は RADIUSクライアントからの要求がローカルで処理されるか またはリモートRADIUSサーバに転送されるべきであるかどうか規定することです の下で NPS > ポリシーは 接続要求ポリシーを右クリックし 新しいポリシーを作成します ネットワークの種類アクセスサーバドロップダウンリストから 明記していない選択して下さい

9 条件タブをクリックして下さい [Add] をクリックします クライアント IPv4 アドレス 状態として ASA の IP アドレスを入力して下さい

10 Settings タブをクリックして下さい フォワーディング接続要求の下で 認証を選択して下さい この Server オプション ボタンの認証する要求を選択されます確認して下さい [OK] をクリックします

11 3. どのユーザが認証を受けることができるか規定できるネットワークポリシーを追加して下さい たとえば 状態としてアクティブディレクトリユーザグループを追加できます に指定されたウィンドウ属するそれらのユーザだけこのポリシーの下で認証されますグループ化します NPS の下で Policies を選択して下さい ネットワークポリシーを右クリックし 新しいポリシーを作成して下さい グラントを確認して下さいアクセスオプションボタンが選択される ネットワークの種類アクセスサーバドロップダウンリストから 明記していない選択して下さい

12 条件タブをクリックして下さい [Add] をクリックします ASA の IP アドレスをようにクライアント IPv4 アドレス状態入力して下さい VPN ユーザが含まれているアクティブディレクトリユーザグループを入力して下さい

13 制約タブをクリックして下さい 認証方式を選択して下さい 非暗号化認証 (PAP SPAP) チェックボックスをチェックされます確認して下さい [OK] をクリックします

14 グループポリシーアトリビュート (NPS RADIUS サーバからの 25) アトリビュートを渡して下さい グループポリシーが NPS RADIUS サーバとユーザに動的に割り当てられる必要がある場合 グループポリシー RADIUS 特性 ( アトリビュートは 25) 利用することができます ユーザにグループポリシーの動的割り当てのための RADIUS 特性 25 を送るためにこれらのステップを完了して下さい 1. ネットワークポリシーが追加された後 要求されたネットワークポリシーを右クリックし Settings タブをクリックして下さい

15 2. 属性 > 規格を RADIUS を選択して下さい [Add] をクリックします すべてとしてアクセスタイプを残して下さい 3. 属性ボックスで クラスを選択し Add をクリックして下さい ストリングとして属性値を すなわち グループポリシーの名前入力して下さい この名前のグループポリシーが ASA で設定されなければならないことを覚えていて下さい これは RADIUS 応答のこのアトリビュートを受け取った後 ASA が VPN セッションにそれを割り当てるようにあります

16 確認 ここでは 設定が正常に動作していることを確認します 注 : debug コマンドを使用する前に debug コマンドの重要な情報 を参照してください

17 ASA デバッグ ASA のイネーブル debug radius すべて ciscoasa# test aaa-server authentication NPS host username vpnuser password INFO: Attempting Authentication test to IP address < > (timeout: 12 seconds) radius mkreq: 0x alloc_rip 0x787a6424 new request 0x > 8 (0x787a6424) got user 'vpnuser' got password add_req 0x787a6424 session 0x id 8 RADIUS_REQUEST radius.c: rad_mkpkt RADIUS packet decode (authentication request) Raw packet data (length = 65) c4 1b ab 1a e3 7e 6d 12 da 87 6f 7f...A...~m a e c3 68 fb 88 ad 1d f2 c3 b9 9a a9 5a fa 6f h...Z.oC. 06 0a de d i...= Parsed packet data... Radius: Code = 1 (0x01) Radius: Identifier = 8 (0x08) Radius: Length = 65 (0x0041) Radius: Vector: C41BAB1AE37E6D12DA876F7F4050A836 Radius: Type = 1 (0x01) User-Name Radius: Length = 9 (0x09) Radius: Value (String) = e vpnuser Radius: Type = 2 (0x02) User-Password Radius: Length = 18 (0x12) Radius: Value (String) = 28 c3 68 fb 88 ad 1d f2 c3 b9 9a a9 5a fa 6f 43 (.h...z.oc Radius: Type = 4 (0x04) NAS-IP-Address Radius: Length = 6 (0x06) Radius: Value (IP Address) = (0x0A6982DE) Radius: Type = 5 (0x05) NAS-Port Radius: Length = 6 (0x06) Radius: Value (Hex) = 0x0 Radius: Type = 61 (0x3D) NAS-Port-Type Radius: Length = 6 (0x06) Radius: Value (Hex) = 0x5 send pkt /1645 rip 0x787a6424 state 7 id 8 rad_vrfy() : response message verified rip 0x787a6424 : chall_state '' : state 0x7 : reqauth: c4 1b ab 1a e3 7e 6d 12 da 87 6f 7f a8 36 : info 0x787a655c session_id 0x request_id 0x8 user 'vpnuser' response '***' app 0 reason 0

18 skey 'cisco' sip type 1 RADIUS packet decode (response) Raw packet data (length = 78) e e8 88 4b b6 aa d3 0d 2b N..Kv bf 9a 6c 4c lL e 9a ad a 6a j 2c bf c 84 0f 6e f5 95 d cf,...<..n...@.. 1e 3a 18 6f :.o... Parsed packet data... Radius: Code = 2 (0x02) Radius: Identifier = 8 (0x08) Radius: Length = 78 (0x004E) Radius: Vector: E8884B7620B6AAD30D2B9437BF9A6C4C Radius: Type = 7 (0x07) Framed-Protocol Radius: Length = 6 (0x06) Radius: Value (Hex) = 0x1 Radius: Type = 6 (0x06) Service-Type Radius: Length = 6 (0x06) Radius: Value (Hex) = 0x2 Radius: Type = 25 (0x19) Class Radius: Length = 46 (0x2E) Radius: Value (String) = 9a ad a 6a 2c bf j, c 84 0f 6e f5 95 d cf 1e 3a...<..n...@...: 18 6f o... rad_procpkt: ACCEPT RADIUS_ACCESS_ACCEPT: normal termination RADIUS_DELETE remove_req 0x787a6424 session 0x id 8 free_rip 0x787a6424 radius: send queue empty INFO: Authentication Successful トラブルシューティング ここでは 設定のトラブルシューティングに役立つ情報について説明します ASA 確認して下さいと NPS サーバ間の接続をよいです サーバが到達可能どこにからであるか ) 認証要求を確認するためにパケットキャプチャを残します ASA インターフェイスを加えて下さい ( それを確認するためにパスのデバイスが UDP ポート 1645 ( デフォルトラジウス認証ポート ) を達する NPS サーバにブロックしないことを確認して下さい ASA のパケットキャプチャに関する詳細は ASA/PIX/FWSM で見つけることができます : CLI および ASDM 設定例を使用してキャプチャするパケット 認証がそれでも失敗した場合 ウィンドウ NPS のイベントビューアを検知して下さい イベントビューア > ウィンドウログの下で Security を選択して下さい 認証要求の時のまわりに NPS と関連付けられるイベントを探して下さい

19 イベントプロパティを開けば 例に示すように失敗については原因を見られますはずです この例では PAP はネットワークポリシーの下の認証種別として選択されませんでした それ故に 認証要求は失敗します Log Name: Security Source: Microsoft-Windows-Security-Auditing Date: 2/10/2014 1:35:47 PM Event ID: 6273 Task Category: Network Policy Server Level: Information Keywords: Audit Failure User: N/A Computer: win2k8.skp.com Description: Network Policy Server denied access to a user. Contact the Network Policy Server administrator for more information. User: Security ID: SKP\vpnuser Account Name: vpnuser Account Domain: SKP Fully Qualified Account Name: skp.com/users/vpnuser Client Machine: Security ID: NULL SID Account Name: - Fully Qualified Account Name: - OS-Version: - Called Station Identifier: - Calling Station Identifier: - NAS: NAS IPv4 Address: NAS IPv6 Address: - NAS Identifier: - NAS Port-Type: Virtual NAS Port: 0 RADIUS Client: Client Friendly Name: vpn Client IP Address:

20 Authentication Details: Connection Request Policy Name: vpn Network Policy Name: vpn Authentication Provider: Windows Authentication Server: win2k8.skp.com Authentication Type: PAP EAP Type: - Account Session Identifier: - Logging Results: Accounting information was written to the local log file. Reason Code: 66 Reason: The user attempted to use an authentication method that is not enabled on the matching network policy.