Newsgroup: it.comp.reti.cisco
Titolo: ASA & LDAP

Ciao,
qualcuno di voi ha esperienze di utilizzo di server LDAP come server
Autorizzativi per VPN su ASA (modello 5510/5540)?
Saluti,
Mirko.

 Autorizzativi per VPN su ASA (modello 5510/5540)?
Io da tempo mi debbo cimentare con una cosa del genere su AD MS, che per� 
non � la stessa cosa di openldap o di novell ds, ma come avrai capito non ho 
ancora trovato il tempo.
Per il momento posso solo dirti che se devi fare semplice autenticazione 
conviene utilizzare altri sistemi come radius o kerberos o nt auth a seconda 
di quello che ti ritrovi, che sono tutti pi� semplici da implementare e il 
risultato � lo stesso.
Ciao,
         Tosh. 


io per MS AD monto IAS su windows e lo utilizzo come radius e funziona 
perfettamente. certo, se non hai bisogno di passargli parametri particolari


Io ho buona esperienza e spesso se non ho grande voglia di mettermi a
installare IAS faccio autenticazione diretta su AD.
In particolare ti consiglio di guardare bene le DAP (dynamic access
policy) che sono molto legate a questo tipo di autenticazione
soprattutto se vuoi fare autenticazione su gruppi specifici in AD.
Le DAP per configuri solo da ASDM e vengono salvate sulla flash in uno
specifico dile XML (che va poi backupato a parte).
Ciao

Francesco Paolini ha scritto:

in quel caso penso ti possa venire in aiuto l'ACS, io lo uso come server 
tacacs per loggarmi sugli apparati tramite AD

 tacacs per loggarmi sugli apparati tramite AD
ci ho bestemmiato sopra troppo per piacermi

Francesco Paolini ha scritto:

allora siamo minimo in due...con l'unica cosa che almeno riesco a farlo 
funzionare ...decente (ad esempio i privilegi col ciufolo che li passa)


se sei anche riuscito a fargli prendere un certificato che non sia il 
suo autofirmato, sei un grande (e voglio sapere come hai fatto)


un certiche? :D no mai provata come cosa...


Ciao, io valido i miei utenti che usano il vpnclient con gli utenti di 
dominio.
In oltre per ogni gruppo di appartenenza degli utenti faccio 
corrispondere della acl (dinamiche) che ignetto nell'asa/pix.
La vun non � pi� cos� legata al gruppo (file pcf) di appartenenza
dell'utente ma all'utente stesso ... non so se � quello che cerchi.
comunque io ho fatto cos�:
Ho creato una remote vpn normalissima con pre-shared key sull'asa,
ho applicato un acl che permettesse tutto il traffico dalla rete
dei client vpn verso la rete mia rete interna.
Ho scelto di far impostare all'asa il server dns, wins e l'indirizzo ip 
del client vpn, tramite un pool di ip .
A questo punto ho impostato sull' asa il server raduis (via adsm � molto 
semplice)
aaa-server vpn protocol radius
aaa-server vpn host 10.3.150.7
  key cisco123
Ho inserito nel tunnel-group l'utenticazione via radius (via adsm)
tunnel-group prova_vpn type ipsec-ra
tunnel-group prova_vpn general-attributes
  address-pool pool-radius-xx
  authentication-server-group vpn
  default-group-policy grp-policy-simone
Sul radius
alla voce Radius client ho inserito un nuovo client ovvero l'indirizzo
dell'asa e la stessa key che avevo impostato sull'apparato (come vendor 
ho messo cisco)
Ho inserito una policy su Remote access policy:
Flaggando Set up a custom policy
e specificando il gruppo windows di appartenenza dell'utente
per poter essere processato dal radius.
ADD-> Windows-Groups
Flag su Grant remote access permission
A questo punto si la validazione (oltre la pre-shared key) dovrebbe 
passare per un utente (di un determinato gruppo) del dominio ;-)
Ora inseriamo le acl (e non solo):
Editiamo la policy creata--> Edit Profile --> Advanced --> Add -->  (io 
ho cancellato le regole di default che il wizard aveva messo) 
Cisco-AV-pair --> Add in Attribute value inseriamo le acl che devono
avere questa forma:
ip:inacl#4=permit ip any  host server1
             deny
questa � la linea 4 di un'acl in entrata (server1 DEVE essere inserito 
sull'asa)
altro esempio:
ip:inacl#10=permit udp any host server2 eq 1604
Io come sorgente nelle acl ho messo any non so se � corretto, ma queste 
acl verranno caricate per utente, e quidi l'indirizzo ip sorgente non ha 
importanza .... giusto?
Ultima cosa in Autentication flag su Unencrypted authentication (PAP 
SAP).Gli utenti creati devono permettere connessioni dial (tab creazione 
utente windows).
Tornando
In Advanced--> Add --> Vendor Specific ->> Enter Vendor code = 3076
flag in "Yes it conforms"
Confifure Attribute:
A questo punto vi ritroverete una tabella su qui inserire:
Vendor-assigned attribute number:
Attribute format:
Attribute value:
io ho usato come attributi il:
15 che � il banner di benvenuto
55 che � il numero di login per utente (1)
Questi valori sono in tabelle che ho trovato sul sito della cisco.
Una volta chiusa la vpn con show access-list sull'asa
si pu� vedere l'acl scaricata.
show access-list
Spero di essere stato chiaro
Simone :-)