ISE自己登録ゲストポータルの設定例

(1)

ISE自己登録ゲストポータルの設定例

はじめに

このドキュメントでは、この機能の設定とトラブルシューティングの方法を説明します。自己登録ゲストポータル：ゲストユーザは、従業員と自己登録し、ADクレデンシャルを使用してネットワークリソースにアクセスできます。このポータルでは、複数の機能を設定およびカスタマイズできます。

前提条件

要件

ISE 構成の経験と、次のトピックに関する基本的な知識があることが推奨されます。

ISE の導入およびゲストフロー

●

ワイヤレスLANコントローラ(WLC)の設定

●

(2)

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づくものです。

Microsoft Windows 10 Pro

●

バージョン8.5.135.0のCisco WLC 5508

●

ISEソフトウェアバージョン3.0

●

本書の情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

トポロジとフロー

このシナリオでは、ゲストユーザが自己登録を実行するときに使用できる複数のオプションを示します。

一般的なフローを次に示します。

ステップ 1：ゲストユーザがサービスセット識別子（SSID）：ゲストWiFiこれは、認証に ISE を使用する MAC フィルタリングが設定されたオープンネットワークです。この認証はISEの2番目の認可ルールに一致し、認可プロファイルはゲスト自己登録ポータルにリダイレクトされます

。ISE から、2 つの cisco-av-pairs を使用した RADIUS Access-Accept が返されます。

url-redirect-acl（リダイレクトする必要があるトラフィック、および WLC でローカルに定義されたアクセスコントロールリスト（ACL）の名前）

●

url-redirect（そのトラフィックのリダイレクト先 - ISE）

●

(3)

ステップ2：ゲストユーザがISEにリダイレクトされます。ログインするために資格情報を入力する代わりに、ユーザーは[ゲストアクセスの登録]をクリックします。ユーザーは、そのアカウントを作成できるページにリダイレクトされます。オプションのシークレット登録コードを有効にすると、自己登録権限をそのシークレット値を知っている人に制限できます。アカウントが作成されると、ユーザにクレデンシャル（ユーザ名とパスワード）が提供され、それらのクレデンシャルでログインします。

ステップ3:ISEがRADIUS認可変更(CoA)再認証をWLCに送信します。WLCは、Authorize-Only属性を使用してRADIUS Access-Requestを送信するときに、ユーザを再認証します。ISEは、

WLC上でローカルに定義されたAccess-AcceptおよびAirespace ACLで応答します。これにより、

インターネットへのアクセスのみが提供されます（ゲストユーザの最終アクセスは認可ポリシーによって異なります）。

注：Extensible Authentication Protocol(EAP)セッションでは、EAPセッションがサプリカントとISEの間にあるため、再認証をトリガーするためにISEがCoA Terminateを送信する必要があります。ただし、MAB（MACフィルタリング）の場合は、CoA再認証で十分です。ワイヤレスクライアントの関連付け解除/認証解除は不要です。

ステップ4：ゲストユーザがネットワークへのアクセスを希望している。

ポスチャや個人所有デバイスの持ち込み(BYOD)など、複数の追加機能を有効にできます（後述

）。

設定

WLC

認証とアカウンティングのために新しい RADIUS サーバを追加します。RADIUS

CoA（RFC 3576）を有効にするため、[Security] > [AAA] > [Radius] > [Authentication] に移動します。

1.

(4)

アカウンティングでも同様の設定があります。また、[Called Station ID] 属性で SSID を送信するように WLC を設定することが推奨されます。これにより、ISE は SSID に基づいて柔軟なルールを設定できます。

[WLANs]タブで、ワイヤレスLAN(WLAN)Guest-WiFiを作成し、正しいインターフェイスを設定します。MAC フィルタリングで Layer2 セキュリティを [None] に設定します。

[Security/Authentication, Authorization, and Accounting(AAA) Servers]で、[Authentication]と [Accounting]の両方のISE IPアドレスを選択します。[Advanced]タブで、[AAA Override]を有効にして、[Network Admission Control(NAC)State]を[ISE NAC (CoA support)]に設定します

。 2.

[Security] > [Access Control Lists] > [Access Control Lists] の順に移動し、2 つのアクセスリストを作成します。

3.

(5)

GuestRedirect：リダイレクトすべきでないトラフィックを許可し、他のすべてのトラフィックをリダイレクトします。Internet：社内ネットワークについては拒否され、その他のすべてのネットワークについては許可されます。

GuestRedirect ACL（ISEとの間のトラフィックをリダイレクションから除外する必要がある

）の例を次に示します。

ISE

[Work Centers] > [Guest Access] > [Network Devices]から、WLCをネットワークアクセスデバイスとして追加します。

1.

エンドポイントIDグループを作成します。[Work Centers] > [Guest Access] > [Identity Groups] > [Endpoint Identity Groups]に移動します。

2.

3. [Work Centers] > [Guest Access] > [Portal & Components] > [Guest Types]に移動して、ゲストタイプを作成します。この新しい[Guest Type]および[Save]で、前に作成したエンドポイントIDグループを参照します。

(6)

4.新しいゲストポータルタイプの作成：自己登録ゲストポータル。[ワークセンター] > [ゲストアクセス] > [ゲストポータル]に移動します。

(7)

5.ポータル名を選択し、以前に作成したゲストタイプを参照し、[登録フォーム(Registration Form)]設定の下にクレデンシャル通知設定を送信して、電子メールでクレデンシャルを送信します。

ISEでSMTPサーバを設定する方法については、次のドキュメントを参照してください。

https://www.cisco.com/c/en/us/support/docs/security/identity-services-engine/216187-configure- secure-smtp-server-on-ise.html

他のすべての設定はデフォルトのままにします。[Portal Page Customization]で、表示されるすべてのページをカスタマイズできます。デフォルトでは、ゲストアカウントは1日間有効で、特定のゲストタイプで設定した日数まで延長できます。

(8)

6. [Work Centers] > [Guest Access] > [Policy Elements] > [Results] > [Authorization Profiles]に移動して、次の2つの許可プロファイルを設定します。

ゲストポータル(ゲストポータルCisco_Guestへのリダイレクション、およびGuestRedirectという名前のリダイレクトACLを使用)。このGuestRedirect ACLは、以前にWLCで作成されたものです。

●

Permit_Internet（Airespace ACLと同じインターネットを使用）

●

(9)

7. [Default]という名前のポリシーセットを変更します。デフォルトのポリシーセットは、ゲストポータルアクセス用に事前設定されています。MABという名前の認証ポリシーが存在します。これにより、MAC認証バイパス(MAB)認証が不明なMacアドレスに対して続行され

（拒否されない）ます。

8.同じページで[Authorization policy]に移動します。次の図に示すように、この認可ルールを作成します。

(10)

ゲストSSIDに関連付けられた新しいユーザは、まだIDグループに属していないため、2番目のルールに一致し、ゲストポータルにリダイレクトされます。

ユーザが正常にログインすると、ISEはRADIUS CoAを送信し、WLCは再認証を実行します。今回は、（エンドポイントが定義されたエンドポイントIDグループの一部になるため）最初の認可ルールが一致し、ユーザがPermit_internet認可プロファイルを取得します。

9.また、条件Guest flowを使用して、ゲストへの一時アクセスを提供することもできます。この状態はISE上のアクティブセッションをチェックしており、これは属性です。そのセッションに、

以前のゲストユーザが正常に認証されたことを示す属性がある場合、条件が一致します。ISEが Network Access Device(NAD)からRadius Accounting Stop(RADIUS)メッセージを受信すると、セッションが終了し、後で削除されます。その段階で、Network Access:UseCase = Guest Flowという条件が満たされなくなっています。その結果、そのエンドポイントの後続の認証はすべて、

ゲスト認証用の汎用ルールのリダイレクトにヒットします。

注：一時ゲストアクセスまたは永久ゲストアクセスのいずれかを使用できますが、両方は使用できません。

ISEゲストの一時アクセスおよび永続的アクセスの設定の詳細については、このドキュメントを参照してください。

https://www.cisco.com/c/en/us/support/docs/security/identity-services-engine/200273-Configure- ISE-Guest-Temporary-and-Perman.html

確認

このセクションでは、設定が正常に機能していることを確認します。

ゲストSSIDを関連付けてURLを入力すると、図に示すように[Guest Portal]ページにリダイレクトされます。

1.

(11)

まだ資格情報がないため、[ゲストアクセスの登録]オプションを選択する必要があります。

アカウントを作成するための登録フォームが表示されます。ゲストポータル設定で

[Registration Code]オプションが有効になっている場合は、そのシークレット値が必要です

（これにより、正しい権限を持つユーザだけが自己登録が許可されます）。

2.

3.パスワードまたはユーザポリシーに問題がある場合は、[Work Centers] > [Guest Access] >

[Settings] > [Guest Username Policy] に移動して、設定を変更します。次に例を示します。

(12)

4.アカウントが正常に作成されると、クレデンシャル（ゲストパスワードポリシーに従って生成されたパスワード）が表示されます。また、ゲストユーザが電子メール通知を受信するように設定されている場合は、次のように設定されます。

(13)

5. [Sign On]をクリックし、クレデンシャルを入力します(ゲストポータルでアクセスパスコードを設定する場合は、追加のアクセスパスコードが必要になる場合があります。これは、パスワードを知っているユーザだけがログインできる別のセキュリティメカニズムです)。

6.成功すると、オプションのアクセプタブルユースポリシー(AUP)がゲストポータルで設定されている場合に表示されます。ユーザには変更パスワードオプションが表示され、ログイン後のバナー（ゲストポータルでも設定可能）も表示されます。

(14)

7.最後のページ（ログイン後のバナー）は、アクセスが許可されたことを確認します。

(15)

トラブルシューティング

このセクションでは、設定のトラブルシューティングに役立つ情報を提供します。

この段階で、ISEは図に示すように、これらのログを[Operations] > [RADIUS] > [Live Logs]に表示します。

ここで、フローを示します。

ゲストユーザは2番目の認証ルール(Wifi_Redirect_to_Guest_Portal)に遭遇し、ゲストポータルにリダイレクトされます(認証に成功しました)。

●

ゲストは自己登録のためにリダイレクトされます。新しく作成されたアカウントで正常にログインすると、ISEはCoA再認証を送信します。これはWLCによって確認されます(動的認可が成功)。

●

WLCはAuthorize-Only属性を使用して再認証を実行し、ACL名が返されます(Authorize-Only succeeded)。ゲストには正しいネットワークアクセスが提供されます。

●

レポート([Operations] > [Reports] > [Guest] > [Master Guest Report])では、次のことを確認できます。

スポンサーユーザ（正しい権限を持つ）は、ゲストユーザの現在のステータスを確認できます。

この例では、アカウントが作成され、ユーザがポータルにログインしていることを確認します。

(16)

オプションの設定

このフローのすべての段階で、異なるオプションを設定できます。これらはすべて、ゲストポータルごとに[Work Centers] > [Guest Access] > [Portals & Components] > [Guest Portals] > [Portal Name] > [Edit] > [Portal Behavior] と[Flow Settings]で設定します。より重要な設定は次のとおりです。

自己登録設定

[ゲストタイプ(Guest Type)]：アカウントがアクティブである時間、パスワード有効期限オプション、ログオン時間、およびオプション（これは時間プロファイルとゲストロールの組み合わせです）を説明します

●

登録コード：有効にすると、秘密コードを知っているユーザーのみが自己登録を許可されます（アカウントの作成時にパスワードを指定する必要があります）

●

AUP – 自己登録時の使用ポリシーの承認

●

スポンサーがゲストアカウントを承認/アクティブ化する要件。

●

ログインゲスト設定

[アクセスコード(Access code)]：有効にすると、シークレットコードを知っているゲストユーザだけがログインできます。

●

AUP：自己登録時に使用ポリシーを受け入れます。

●

(17)

パスワード変更オプション。

●

デバイス登録設定

デフォルトでは、デバイスは自動的に登録されます。

●

ゲストデバイスのコンプライアンス設定

フロー内のポスチャを許可します。

●

BYODの設定

ポータルをゲストとして使用する企業ユーザが個人デバイスを登録できます。

●

スポンサー承認アカウント

[登録フォームの設定]で[ゲストの承認を要求する]オプションが選択されている場合は、ゲストが作成したアカウントがスポンサーによって承認されている必要があります。この機能は、スポンサーに通知を送信するために電子メールを使用する場合があります（ゲストアカウントの承認用

）。

シンプルメール転送プロトコル(SMTP)サーバの設定に誤りがある場合、アカウントは作成されません。

guest.logのログは、SMTPサーバの設定に誤りがあるため、スポンサー電子メールへの承認通知の送信に問題があることを確認します。

2020-11-07 07:16:38,547 ERROR [GUEST_ACCESS_SMTP_RETRY_THREAD][]

cpm.guestaccess.apiservices.util.SmtpMsgRetryThreadUtil -::- An exception occurred while sending email :

javax.mail.MessagingException: Could not connect to SMTP host: outbound.cicso.com, port: 25, response: 421

2020-11-07 07:16:38,547 ERROR [https-jsse-nio-10.106.32.25-8443-exec-1][]

cpm.guestaccess.apiservices.notification.NotificationService -::- sendApprovalNotification

(18)

com.cisco.cpm.guestaccess.exception.GuestAccessSystemException:

com.cisco.cpm.guestaccess.exception.GuestAccessSystemException: Unable to send mail. Failure occured

電子メールおよびSMTPサーバが適切に設定されていれば、アカウントが作成されます。

[Require guests to be approved]オプションを有効にした後は、[Include this information on the Self-Registration Success page]セクションからユーザ名とパスワードのフィールドが自動的に削除されます。このため、スポンサー承認が必要な場合、アカウントが作成されたことを示す情報を提供するWebページに、ゲストユーザのクレデンシャルがデフォルトで表示されません。その代わりに、ショートメッセージサービス(SMS)または電子メールで配信する必要があります。このオプションは、[承認の際に資格情報を送信するに、電子メールまたはSMSにマークを付ける ]セクションで有効にする必要があります。

通知メールがスポンサーに配信されます。

(19)

スポンサーが[Approval（承認）]リンクをクリックし、スポンサーポータルにログインすると、アカウントが承認されます。

この時点から、ゲストユーザは（電子メールまたはSMSで受信したクレデンシャルを使用して

）ログインできます。

要約すると、このフローで使用される電子メールアドレスは3つあります。

通知「送信元」アドレス。これは静的に定義されるか、スポンサーアカウントから取得され

、両方の送信元アドレスとして使用されます。スポンサーへの通知（承認用）、およびゲストへのクレデンシャルの詳細これは、[ワークセンター] > [ゲストアクセス] > [設定] > [ゲストメール設定]で設定します。

●

通知の「宛先」アドレス。これは、スポンサーに承認のアカウントを受信したことを通知するために使用されます。これは、ゲストポータルの[Work Centers] > [Guest Access] > [Guest Portals] > [Portals and Components] > [Portal Name] > [Registration Form Settings] >

[Require guests to be approved] > [Email approval request to]で設定します。

●

ゲスト「宛先」アドレス。これは、登録時にゲストユーザによって提供されます。[Send credential notification when approval using Email]が選択されている場合、クレデンシャルの詳細（ユーザ名とパスワード）が記載された電子メールがゲストに配信されます。

●

SMSによる資格情報の配信

ゲストクレデンシャルは、SMSでも配信できます。次のオプションを設定する必要があります。

[Registration Form Settings]でSMSサービスプロバイダーを選択します。

1.

(20)

[Send credential notification when approval using]をオンにします。[SMS]チェックボックス 2.

次に、ゲストユーザはアカウントを作成するときに利用可能なプロバイダーを選択するように求められます。

3.

(21)

選択したプロバイダーと電話番号でSMSが配信されます。

4.

SMSプロバイダは、[管理] > [システム] > [設定] > [SMSゲートウェイ]で設定できます。

5.

デバイス登録

(22)

ゲストユーザがログインしてAUPを受け入れた後で[Allow guests to register devices]オプションが選択されている場合は、デバイスを登録できます。

デバイスはすでに自動的に追加されています（[Manage Devices]リストにあります）。これは、

[ゲストデバイスの自動登録]が選択されたためです。

ポスチャ

[Require guest device compliance] オプションを選択すると、ゲストユーザはログイン後にポスチャ（NAC/Webエージェント）を実行し、AUPを受け入れる（オプションでデバイス登録を実行

）エージェントでプロビジョニングされます。ISEは、クライアントプロビジョニングルールを

(23)

処理して、プロビジョニングするエージェントを決定します。次に、ステーションで実行されるエージェントが（ポスチャルールに従って）ポスチャを実行し、結果をISEに送信します。これにより、CoAの再認証が送信され、必要に応じて認証ステータスが変更されます。

可能な認可ルールは次のようになります。

Guest_Authenticateルールに遭遇した最初の新しいユーザは、自己登録ゲストポータルにリダイレクトされます。ユーザが自己登録してログインすると、CoAの認証ステータスが変更され、ユーザにはポスチャと修復を実行するための制限付きアクセスが提供されます。NACエージェントがプロビジョニングされ、ステーションが準拠した後に初めて、CoAの認可変更ステータスが再び実行され、インターネットへのアクセスが提供されます。

ポスチャに関する一般的な問題には、正しいクライアントプロビジョニングルールの欠如があります。

これは、guest.logファイルを調べても確認できます。

2020-11-09 09:23:32,157 ERROR [https-jsse-nio-10.106.32.25-8443-exec-7][]

guestaccess.flowmanager.step.guest.ClientProvStepExecutor -:guest18:- CP Response is not successful, status=NO_POLICY

BYOD

[Allow employees to use personal devices on the network]オプションが選択されている場合は、

このポータルを使用する企業ユーザはBYODフローを実行し、個人デバイスを登録できます。ゲストユーザの場合、この設定は何も変更されません。

「ポータルをゲストとして使用する従業員」とは何を意味しますか。

デフォルトでは、ゲストポータルはIDストアGuest_Portal_Sequenceで構成されます。

(24)

これは、最初に内部ユーザ（ゲストユーザの前）を試行し、次にADクレデンシャルを試行する内部ストアシーケンスです。選択したIDストアに認証でアクセスできない場合、詳細設定はシーケンスの次のストアに進みます。

(25)

ゲストポータルのこの段階で、ユーザが内部ユーザストアまたはActive Directoryで定義されたクレデンシャルを提供し、BYODリダイレクションが発生します。

このように、企業ユーザは個人所有デバイスのBYODを実行できます。

内部ユーザ/ADクレデンシャルの代わりにゲストユーザのクレデンシャルが提供されると、通常のフローが継続されます（BYODなし）。

(26)

VLANの変更

ActiveXまたはJavaアプレットを実行して、DHCPのリリースと更新をトリガーできます。これは

、CoAがエンドポイントのVLANの変更をトリガーするときに必要です。MABを使用すると、エンドポイントはVLANの変更を認識しません。可能なソリューションは、NACエージェントで VLAN（DHCPリリース/更新）を変更することです。もう1つのオプションは、Webページで返されるアプレットを介して新しいIPアドレスを要求することです。リリース/CoA/更新間の遅延を設定できます。このオプションは、モバイルデバイスではサポートされていません。

ISE自己登録ゲストポータルの設定例