Newsgroup: it.comp.reti.cisco
Titolo: asa download acl

Salve,
chiedevo se qualcuno aveva una buona documentazione per configurare
delle vpn con un ASA scaricando le acl attraverso il radius microsoft.
Quello che vorrei è avere le acl definite sull'utente utente (non per 
ip) e non caricate/configurate sull'apparato.
Grazie
Simone

Simone Stanzani ha scritto:

Fatto,
funziona, se a qualcuno dovesse interessare ....

 funziona, se a qualcuno dovesse interessare ....
Se ci dicessi come hai fatto.... :-) O dove andare a trovare la documentazione...
Alex

 funziona, se a qualcuno dovesse interessare ....
Se ci dicessi come hai fatto.... :-) O dove andare a trovare la documentazione...
Alex

Axl ha scritto:

Ciao,
premetto che non ho trovato un how-to sul sito cisco di come creare acl 
su un radius (nel mio caso ias) e scaricarel sull'apparto, la 
documentazione è frammentaria, ma c'è ...
Io ho fatto così:
Ho creato una vpn normalissima con pre-shared key sull'asa,
ho applicato un acl che permettesse tutto il traffico dalla rete
dei client vpn verso la rete mia rete interna.
Ho scelto di far impostare all'asa il server dns, wins e l'indirizzo ip 
del client vpn, tramite un pool che ho scelto bello grande.
A questo punto ho impostato sull' asa il server raduis (via adsm è molto 
semplice)
aaa-server vpn protocol radius
aaa-server vpn host 10.3.150.7
  key cisco123
Ho inserito nel tunnel-group l'utenticazione via radius (via adsm)
tunnel-group prova_vpn type ipsec-ra
tunnel-group prova_vpn general-attributes
  address-pool pool-radius-gd
  authentication-server-group vpn
  default-group-policy grp-policy-simone
Sul radius
alla voce Radius client ho inserito un nuovo client ovvero l'indirizzo
dell'asa e la stessa key che avevo inpostato sull'apparato (come vendor 
ho messo cisco)
Ho inserito una policy su Remote access policy:
Flaggando Set up a custom policy
e specificando il gruppo windows di appartenenza dell'utente
per poter essere processato dal radius.
ADD-> Windows-Groups
Flag su Grant remote access permission
A questo punto si la validazione (oltre la pre-shared key) dovrebbe 
passare per un utente (di un determinato gruppo) del dominio ;-)
Ora inseriamo le acl (e non solo):
Editiamo la policy creata--> Edit Profile --> Advanced --> Add -->  (io 
ho cancellato le regole di default che il wizard aveva messo) 
Cisco-AV-pair --> Add in Attribute value inseriamo le acl che devono
avere questa forma:
ip:inacl#4=permit ip any  host server1
             deny
questa è la linea 4 di un'acl in entrata (server1 DEVE essere inserito 
sull'asa)
altro esempio:
ip:inacl#10=permit udp any host server2 eq 1604
Io come sorgente nelle acl ho messo any non so se è corretto, ma queste 
acl verranno caricate per utente, e quidi l'indirizzo ip sorgente non ha 
importanza .... giusto?
Ultima cosa in Autentication flag su Unencrypted authentication (PAP SAP).
Tornando
In Advanced--> Add --> Vendor Specific ->> Enter Vendor code = 3076
flag in "Yes it conforms"
Confifure Attribute:
A questo punto vi ritroverete una tabella su qui inserire:
Vendor-assigned attribute number:
Attribute format:
Attribute value:
io ho usato come attributi il:
15 che è il banner di benvenuto
55 che è il numero di login per utente (1)
Questi valori sono in tabelle ch ho trovato sul sito della cisco.
Una volta chiusa la vpn con show access-list sull'asa
si può vedere l'acl scaricata.
Spero di essere stato chiaro
Simone :-)