Nah, kemaren2 kita authentikasi user yang mau akses jaringan dengan database local server ISE itu sendiri (Internal)
Now…how about we authenticate users with Active Directory (ISE will synchronize with AD)…pretty good right?!?
Requirement:
- Like the first lab
- (optional) Cisco AnyConnect…here’s how to do it
- DNS Server (wajib, soalnya ISE konek ke AD pake FQDN, bukan IP Address)
- Active Directory Server (buat external authentication)
Note: DNS dan ActiveDir-nya bisa dalam 1 server yang sama kok
Wokeh..lets begin
===========================
(optional) klo lu udah pasang DNS dan bener IP-nya…skip yang ini, berhubung gw salah kasih IP DNS, makanya gw ganti wkwkwk
Create External Identity Source on ISE
Masuk ke Administration -> Identity Management -> External Identity Sources
Klik Active Directory -> input domain name (nama ActiveDir server lo, gw pake “domain.com”) dan Identity Store Name-nya (nama alias buat dijadiin referensi ISE-nya)
Kalau sudah…nanti ada tulisan bahwa status ISE-nya “not joined to domain”, nyok di test dulu…pilih basic test aja
Isi username dan password ACTIVE DIRECTORY SERVER-nya
Klo berhasil…ada tulisan success
Nah, klo sudah sukses..tinggal klik join deh
Masukin lagi username dan password ActiveDir server-nya
Kita bisa liat Join Operation Status-nya sudah completed
Yuk kita cek di Server ActiveDir-nya…masuk ke Server Manager -> Roles -> Active Directory Users -> [nama domain lu] -> Computers, disitu ada server ISE kita
Klik kanan tulisan ISE-nya..pilih properties, cek bahwa ISE nya sudah Certified CCNA *map* certifiedDC alias sudah pake CA-nya server
Sudah??? Itu aja?? Ya jelas belum…default-nya ISE kan pake Internal User, skrg kita arahin klo mau authentikasi ya pake ActiveDir…klo ActiveDir-nya fail/ga bisa di akses baru pake Internal (Sequences)
====================================
Moving Authentication Source from Internal to External
Masuk ke Administration -> Identity Management -> Identity Source Sequences
Bikin sequence baru…klik add
Bikin dengan nama AD_Internal (maksudnya…urutannya AD dulu…baru klo ga bisa ke Internal), bebas lah klo nama mah…yang penting lu ngerti tujuan lu kasih nama, jgn sampe pusing sendiri wkwkwk
Pastikan AD urutan pertama, baru Internal Users…soalnya ISE nge-cek nya sequential..berurutan (bisa dirubah kok urutannya)
Dan jangan lupa klik option “Treat as if the user…” biar process ke next sequence klo authentikasi via AD fail (ke Internal User)
Trus masuk ke Policy -> Authentication
Edit rule yang dot1x (liat deh…masih pake Sequence Internal Users)…arahin pake AD_Internal Sequence
Jangan lupa save
nah, skrg nyok kita test
=============================
Testing Authentication
Bisa ga pake AyConnect, tapi gw pake…biar kereeen 😛
Klik network repair di Cisco AnyConnect Icon (kanan bawah layar monitor)
Nanti disuru authentikasi ulang, why? Karena username (rahman) yang lama ga dikenal, nyok kita pake username rahmanAD (rahman yang ada di ActiveDir maksudnya)
RahmanAD-nya bikin dimana?? Ya di server maaang….
Create user baru di Server Active Dir
Selain initial…semua harus diisi (untuk logon ke network pake “User Logon Name” yang ada di server)
Jgn lupa password-nya
Nah, begitu AnyConnect-nya kita enter…statusnya Connected
Nyok kita liat di ISE dan Switch-nya
Miftah Rahman (Go)-Blog 