SSLVPN RADIUS分组认证.docxVIP

ASA SSLVPN使用radius服务器验证实验 拓扑： 需求： 1、使用Windows2008 NPS做为Radius服务器实现ASA的VPN用户拨入； 2、针对不同的用户，不允许手动指定策略组，而是自动分配相应的策略组； 实现功能： 1、在AD上，基于组对用户进行分类，分别为sslvpn-1和sslvpn-2； 2、sslvpn-1和sslvpn-2的用户均可以拨入vpn； 3、两个组分别获取不同的group-police策略； 基本配置： 路由器及PC 配置基本的IP地址，网关，默认路由，以及NAT。具体的IP信息见拓扑。 ASA： 1、接口及nat、路由： interface GigabitEthernet0/0 nameif outside security-level 0 ip address 100.100.2.1 255.255.255.0 ! interface GigabitEthernet0/1 nameif inside security-level 100 ip address 192.168.2.254 255.255.255.0 object network local subnet 192.168.2.0 255.255.255.0 nat (inside,outside) dynamic interface route outside 0.0.0.0 0.0.0.0 100.100.2.254 2、地址池 ip local pool vpnpool 10.0.0.1-10.0.0.10 mask 255.255.255.0 ip local pool vpnpool-2 20.0.0.1-20.0.0.10 mask 255.255.255.0 ip local pool default-pool 50.0.0.1-50.0.0.10 mask 255.255.255.0 3、验证服务器配置 aaa-server 2008radius protocol radius aaa-server 2008radius (inside) host 192.168.2.11 key cisco123 \\这里的key，要跟radius服务器上设置的密码一致；必须先配置协议类型，才可以指定 服务器IP地址； 4、VPN基本配置 1、一、二阶段基本配置 crypto ipsec ikev1 transform-set vpnset esp-3des esp-md5-hmac crypto ipsec security-association pmtu-aging infinite crypto dynamic-map dmap 10 set ikev1 transform-set vpnset crypto map vpnmap 10 ipsec-isakmp dynamic dmap crypto map vpnmap interface outside crypto ca trustpool policy crypto ikev1 enable outside crypto ikev1 policy 10 authentication pre-share encryption 3des hash md5 group 2 lifetime 86400 2、webvpn配置（ssl） webvpn enable outside anyconnect-essentials anyconnect image disk0:/anyconnect-win-3.0.11042-k9.pkg 1 anyconnect enable \\这里不开启，禁止用户自由选择分组； 3、隧道配置 tunnel-group DefaultWEBVPNGroup general-attributes authentication-server-group 2008radius tunnel-group DefaultWEBVPNGroup webvpn-attributes group-alias default enable \\默认的隧道配置，默认调用group-policy DfltGrpPolicy，当我们不给用户组绑定策略时，则调用的就是DfltGrpPolicy默认策略组的配置； tunnel-group sslvpn-1 type remote-access tunnel-group sslvpn-1 general-attributes address-pool vpnpool authentication-server-group 2008radius defaul