Cisco PIX подключен к Active Directory для VPN
У меня есть Cisco PIX 515E, который в настоящее время действует как офисный маршрутизатор. У нас есть домен MS, и мы используем MS VPN для удаленного доступа. Я хотел бы использовать функциональность Cisco VPN, встроенную в PIX, и использовать активный каталог для аутентификации; Однако я не нашел хорошего источника для инструкций о том, как это сделать. Я программист с хобби системного администратора, поэтому инструкции, которые я ищу, не должны быть направлены на эксперта Cisco или AD. Существуют ли какие-либо инструкции, подобные этим?
3 ответа
Вам нужна служба проверки подлинности в Интернете (IAS), установленная на рядовом сервере домена, и общий секрет, который вы вводите на сервере IAS и PIX.
затем выполните на вашем PIX:
aaa-server RADIUS protocol radius
aaa-server RADIUS (inside) host IAS_SERVER SharedSecretHere timeout 10
crypto map outside_map 65535 ipsec-isakmp dynamic outside_dyn_map
crypto map outside_map client authentication RADIUS
crypto map outside_map interface outside
crypto dynamic-map outside_dyn_map 20 match address outside_cryptomap_dyn_20
crypto dynamic-map outside_dyn_map 20 set transform-set ESP-3DES-MD5
vpngroup Remote address-pool pix_inside
vpngroup Remote dns-server DNS_SERVER_1 DNS_SERVER_2
vpngroup Remote wins-server WINS_SERVER
vpngroup Remote default-domain domainToAuthenticate
vpngroup Remote idle-time 1800
Это должно указать вам правильное направление и начать.
Прошло несколько лет с тех пор, как я работал с PIX, поэтому это могло измениться, если бы они добавили прямую поддержку LDAP.
То, что вы хотите настроить, это сервер RADIUS. Это компонент Windows Server. Вы можете настроить PIX для аутентификации на вашем конкретном сервере RADIUS, и он знает, как связаться с Active Directory.
Поиск в Google "настройки RADIUS в Windows" должен дать вам множество советов о том, как это сделать.
Начиная с 8.x, PIX/ASA Release может использовать полностью поддерживаемый ldap.
Я бы посоветовал вам обновить PIX до ASA Image 8.0(4). Это не имеет большого значения.. Все, что вам нужно, это как минимум 64 Мб оперативной памяти (обычно пикс 515e имеет встроенную 32 Мб, но вы все равно можете найти дешевый оперативной памяти на Ebay..) и программное обеспечение, конечно.