Tweet
Configuring the Web Security Appliance for Identity with pxGrid(Định cấu hình Thiết bị bảo mật web để nhận dạng với pxGrid)
Thiết bị bảo mật web của Cisco (WSA) là một trong những ứng dụng đối tác pxGrid đầu tiên trong hệ sinh thái bảo mật. WSA có thể sử dụng pxGrid để xác định cả danh tính người dùng thụ động và chủ động, cũng như các thẻ TrustSec; tuy nhiên, tại thời điểm viết bài, WSA (phiên bản 11.5.1) không thể kết hợp tư cách thành viên nhóm Active Directory với thông tin nhận dạng được thu thập từ pxGrid, điều đó có nghĩa là gắn thẻ TrustSec thực sự là cách tiếp cận có thể mở rộng khi sử dụng pxGrid.
Integrating the WSA and ISE with pxGrid(Tích hợp WSA và ISE với pxGrid)
Tất cả những người tham gia pxGrid nên sử dụng các chứng chỉ được cấp từ CA nội bộ ISE. Đây không phải là một yêu cầu, nhưng nó chắc chắn là một thực tiễn tốt nhất để đảm bảo mọi thứ luôn hoạt động tối ưu. Vì vậy, trước khi bạn tiếp tục các bước sau, hãy tạo một cặp khóa riêng chứng chỉ, giống như bạn đã làm cho FMC trong Trung tâm quản lý hỏa lực cấu hình trên mạng cho phần pxGrid vào đầu chương.
Để định cấu hình pxGrid trên WSA, trước tiên chúng tôi sẽ thêm chứng chỉ gốc ISE vào kho chứng chỉ tin cậy:
Step 1. Hướng đến Network > Certificate Management.
Step 2. Nhấp vào Quản lý chứng chỉ gốc đáng tin cậy, như được chỉ ra trong Hình 6-43.
Step 3. Nhấp vào Nhập, như được hiển thị ở đầu Hình 6-44.
Step 4. Duyệt tìm từng chứng chỉ ISE CA (Root, Node và Endpoint) và nhấp vào Gửi từng cái một.
Step 5. Khi tất cả các chứng chỉ ký được tải lên, bấm Gửi, như được chỉ ra trong Hình 644.
Step 6. Nhấp vào Cam kết thay đổi để lưu cấu hình WSA.
Bây giờ các chứng chỉ gốc ISE sẽ được tin cậy, đã đến lúc cấu hình WSA cho pxGrid:
Step 1. Hướng đến Network > Identification Services > Identity Services Engine.
Step 2. Nhấp vào Bật và Chỉnh sửa Cài đặt, như trong Hình 6-45.
Trong phần Sơ đồ ISx pxGrid Node chính:
Step 3. Trong trường Tên máy chủ hoặc địa chỉ IPv4, nhập FQDN cho bộ điều khiển pxGrid chính.
Step 4. Nhấp vào Chọn tệp và chọn chứng chỉ CA gốc ISE.
Step 5. Nhấp vào Tải lên tệp.
Hình 6-46 cho thấy phần Nút ISx pxGrid sơ cấp đã hoàn thành.
Step 6. Trong phần Chứng chỉ quản trị nút giám sát ISE, nhấp vào Tải lên tệp và tải lên chứng chỉ CA gốc ISE cho cả các nút Giám sát ISE chính và phụ.
Hình 6-47 hiển thị phần Chứng chỉ quản trị nút giám sát ISE đã hoàn thành.
Trong phần Chứng chỉ ứng dụng khách WSA:
Step 7. Nhấp vào Sử dụng Chứng chỉ đã tải lên và Khóa.
Step 8. Bấm Chọn tệp trong trường Chứng chỉ và chọn chứng chỉ WSA từ ISE CA.
Step 9. Nhấp vào Chọn tệp trong trường Khóa và chọn khóa riêng WSA từ ISE CA.
Step 10. Chọn hộp kiểm được mã hóa.
Step 11. Trong trường Mật khẩu, nhập mật khẩu bạn đã sử dụng để mã hóa khóa.
Step 12. Nhấp vào Tải lên tệp.
Hình 6-48 hiển thị chứng chỉ WSA và khóa được chọn và sẵn sàng để tải lên
Step 13. Nhấp vào Gửi để hoàn tất cấu hình.
Step 14. Nhấp vào Cam kết thay đổi hai lần.
Step 15. Để kiểm tra kết nối, nhấp vào Chỉnh sửa Cài đặt.
Step 16. Nhấp vào Bắt đầu kiểm tra ở dưới cùng của màn hình, như trong Hình 6-49. Nếu tự động phê duyệt được bật, thì thử nghiệm sẽ thành công. Nếu nó không được kích hoạt, thử nghiệm sẽ thất bại cho đến khi bạn phê duyệt thủ công hai tài khoản WSA trên bộ điều khiển pxGrid.
Ví dụ 6-2 cho thấy một ví dụ về đầu ra thử nghiệm.
Ví dụ 6-2 Ví dụ đầu ra để kiểm tra giao tiếp với các nút ISE
Thiết bị bảo mật web của Cisco (WSA) là một trong những ứng dụng đối tác pxGrid đầu tiên trong hệ sinh thái bảo mật. WSA có thể sử dụng pxGrid để xác định cả danh tính người dùng thụ động và chủ động, cũng như các thẻ TrustSec; tuy nhiên, tại thời điểm viết bài, WSA (phiên bản 11.5.1) không thể kết hợp tư cách thành viên nhóm Active Directory với thông tin nhận dạng được thu thập từ pxGrid, điều đó có nghĩa là gắn thẻ TrustSec thực sự là cách tiếp cận có thể mở rộng khi sử dụng pxGrid.
Integrating the WSA and ISE with pxGrid(Tích hợp WSA và ISE với pxGrid)
Tất cả những người tham gia pxGrid nên sử dụng các chứng chỉ được cấp từ CA nội bộ ISE. Đây không phải là một yêu cầu, nhưng nó chắc chắn là một thực tiễn tốt nhất để đảm bảo mọi thứ luôn hoạt động tối ưu. Vì vậy, trước khi bạn tiếp tục các bước sau, hãy tạo một cặp khóa riêng chứng chỉ, giống như bạn đã làm cho FMC trong Trung tâm quản lý hỏa lực cấu hình trên mạng cho phần pxGrid vào đầu chương.
Để định cấu hình pxGrid trên WSA, trước tiên chúng tôi sẽ thêm chứng chỉ gốc ISE vào kho chứng chỉ tin cậy:
Step 1. Hướng đến Network > Certificate Management.
Step 2. Nhấp vào Quản lý chứng chỉ gốc đáng tin cậy, như được chỉ ra trong Hình 6-43.
Step 3. Nhấp vào Nhập, như được hiển thị ở đầu Hình 6-44.
Step 4. Duyệt tìm từng chứng chỉ ISE CA (Root, Node và Endpoint) và nhấp vào Gửi từng cái một.
Step 5. Khi tất cả các chứng chỉ ký được tải lên, bấm Gửi, như được chỉ ra trong Hình 644.
Step 6. Nhấp vào Cam kết thay đổi để lưu cấu hình WSA.
Bây giờ các chứng chỉ gốc ISE sẽ được tin cậy, đã đến lúc cấu hình WSA cho pxGrid:
Step 1. Hướng đến Network > Identification Services > Identity Services Engine.
Step 2. Nhấp vào Bật và Chỉnh sửa Cài đặt, như trong Hình 6-45.
Trong phần Sơ đồ ISx pxGrid Node chính:
Step 3. Trong trường Tên máy chủ hoặc địa chỉ IPv4, nhập FQDN cho bộ điều khiển pxGrid chính.
Step 4. Nhấp vào Chọn tệp và chọn chứng chỉ CA gốc ISE.
Step 5. Nhấp vào Tải lên tệp.
Hình 6-46 cho thấy phần Nút ISx pxGrid sơ cấp đã hoàn thành.
Step 6. Trong phần Chứng chỉ quản trị nút giám sát ISE, nhấp vào Tải lên tệp và tải lên chứng chỉ CA gốc ISE cho cả các nút Giám sát ISE chính và phụ.
Hình 6-47 hiển thị phần Chứng chỉ quản trị nút giám sát ISE đã hoàn thành.
Trong phần Chứng chỉ ứng dụng khách WSA:
Step 7. Nhấp vào Sử dụng Chứng chỉ đã tải lên và Khóa.
Step 8. Bấm Chọn tệp trong trường Chứng chỉ và chọn chứng chỉ WSA từ ISE CA.
Step 9. Nhấp vào Chọn tệp trong trường Khóa và chọn khóa riêng WSA từ ISE CA.
Step 10. Chọn hộp kiểm được mã hóa.
Step 11. Trong trường Mật khẩu, nhập mật khẩu bạn đã sử dụng để mã hóa khóa.
Step 12. Nhấp vào Tải lên tệp.
Hình 6-48 hiển thị chứng chỉ WSA và khóa được chọn và sẵn sàng để tải lên
Step 13. Nhấp vào Gửi để hoàn tất cấu hình.
Step 14. Nhấp vào Cam kết thay đổi hai lần.
Step 15. Để kiểm tra kết nối, nhấp vào Chỉnh sửa Cài đặt.
Step 16. Nhấp vào Bắt đầu kiểm tra ở dưới cùng của màn hình, như trong Hình 6-49. Nếu tự động phê duyệt được bật, thì thử nghiệm sẽ thành công. Nếu nó không được kích hoạt, thử nghiệm sẽ thất bại cho đến khi bạn phê duyệt thủ công hai tài khoản WSA trên bộ điều khiển pxGrid.
Ví dụ 6-2 cho thấy một ví dụ về đầu ra thử nghiệm.
Ví dụ 6-2 Ví dụ đầu ra để kiểm tra giao tiếp với các nút ISE