近日利用EVE-NG搭建了一個SSL×××實驗，在此之前一個對×××之類的玩意沒有接觸過，故實驗花了三天時間研究。以下為實驗的拓撲圖。
實驗說明：1. CiscoASA 9.4 用于SSL××× Server，Outside 網(wǎng)關(guān)192.168.83.254
2. 主機ISE_××× 用于拔入賬號認證授權(quán)，IP Address: 172.16.100.20，通過橋接連接進EVE-NG實驗平臺
3. 路由器R2新建L0: 10.133.32.0/24 、L1: 10.133.33.0/24模擬內(nèi)網(wǎng)兩個網(wǎng)段
4. Outside的兩個主機Win0210 、Win0310分別模擬互聯(lián)網(wǎng)兩個用戶user01、user02
5. 互聯(lián)網(wǎng)用戶user01只可以防問內(nèi)網(wǎng)網(wǎng)段10.133.32.0/24
6. 互聯(lián)網(wǎng)用戶user02只可以防問內(nèi)網(wǎng)網(wǎng)段10.133.33.0/24
網(wǎng)絡(luò)設(shè)備基本設(shè)定
1. 路由器R3只設(shè)定三個接口的ip,路由不使用設(shè)定。
interface Ethernet0/0
ip address 192.168.2.1 255.255.255.0
!
interface Ethernet0/1
ip address 192.168.83.1 255.255.255.0
!
interface Ethernet0/2
ip address 192.168.3.1 255.255.255.0
2.Win0210 與 Win0310設(shè)定IP，并且網(wǎng)關(guān)分別指向各自接口的IP。
3.路由器R2除了設(shè)定接口IP外，還要設(shè)定一條默認路由
interface Loopback0
ip address 10.133.32.1 255.255.255.0
!
interface Loopback1
ip address 10.133.33.1 255.255.255.0
!
interface Ethernet0/0
ip address 172.16.100.254 255.255.255.0
!
interface Ethernet0/1
ip address 172.16.2.254 255.255.255.0
!
interface Ethernet0/3
ip address 10.133.83.1 255.255.255.0
!
ip route 0.0.0.0 0.0.0.0 10.133.83.254
4. Cisco ASA基本設(shè)定
# 設(shè)定×××用戶獲取的IP地址池
ip local pool ISE_POOL 10.133.83.32-10.133.83.64 mask 255.255.255.0
!
interface GigabitEthernet0/0
nameif inside
security-level 100
ip address 10.133.83.254 255.255.255.0
!
interface GigabitEthernet0/1
nameif outside
security-level 0
ip address 192.168.83.254 255.255.255.0
!
#設(shè)定路由
route outside 0.0.0.0 0.0.0.0 192.168.83.1 1
route inside 10.133.32.0 255.255.252.0 10.133.83.1 1
route inside 10.133.33.0 255.255.255.0 10.133.83.1 1
route inside 172.16.2.0 255.255.255.0 10.133.83.1 1
route inside 172.16.100.0 255.255.255.0 10.133.83.1 1
#設(shè)定AAA-SERVER 屬性
aaa-server ISE protocol radius
interim-accounting-update periodic 3
merge-dacl before-avpair
dynamic-authorization
#設(shè)定AAA-SERVER 服務器IP Address
aaa-server ISE (inside) host 172.16.100.200
key *****
user-identity default-domain LOCAL
#開啟HTTP防問服務
http server enable
http 0.0.0.0 0.0.0.0 outside
http 10.133.32.0 255.255.252.0 inside
ssh stricthostkeycheck
ssh 172.16.100.0 255.255.255.0 inside
#開啟WEB×××
web***
enable outside
anyconnect p_w_picpath disk0:/anyconnect-win-4.2.05015-k9.pkg 1
anyconnect enable
tunnel-group-list enable
error-recovery disable
group-policy ISE_××× internal
group-policy ISE_××× attributes
dns-server value 172.16.200.1
***-tunnel-protocol ssl-client
dynamic-access-policy-record DfltAccessPolicy
username admin password QCP00FvqVQRpzCZ/ encrypted privilege 15
# tunnel-group設(shè)定
tunnel-group ISE_AAA type remote-access
tunnel-group ISE_AAA general-attributes
address-pool ISE_POOL
authentication-server-group ISE
accounting-server-group ISE
default-group-policy ISE_×××
#開啟tunnel對外服務IP Address
tunnel-group ISE_AAA web***-attributes
group-alias ISE_AAA enable
group-url https://192.168.83.254 enable
5.CiscoISE設(shè)定
5.1 增加ASA的IP Addrss
5.2增加兩個用戶并且放至不同的組
5.3 分別增加兩條ACL策略
5.4 分另增加兩條授權(quán)策略，并分別調(diào)用上面的新增的ACL策略
5.5 新增Authentication策略
5.6 分別新增兩條Authorization策略
6. 以上完成后，使用user01賬號測試
user01賬號登錄成功
以下為ISE認證記錄信息
ASA上面的記錄
主機Win0210 登錄成功后的所獲取的IP Address
分別ping 內(nèi)網(wǎng)兩個網(wǎng)段的IP,因User01只有防問10.133.32.0/24的權(quán)限故可以ping通；沒有10.133.33.0/24的防問權(quán)限，故不能ping通。
另外有需要云服務器可以了解下創(chuàng)新互聯(lián)scvps.cn，海內(nèi)外云服務器15元起步，三天無理由+7*72小時售后在線，公司持有idc許可證，提供“云服務器、裸金屬服務器、高防服務器、香港服務器、美國服務器、虛擬主機、免備案服務器”等云主機租用服務以及企業(yè)上云的綜合解決方案，具有“安全穩(wěn)定、簡單易用、服務可用性高、性價比高”等特點與優(yōu)勢，專為企業(yè)上云打造定制，能夠滿足用戶豐富、多元化的應用場景需求。
重慶分公司
重慶分公司
