AnyConnect 接続時の認証条件にMACアドレスを用いる事が出来るか。

[cja56910tf]

VPN装置にCisco ASA 5515-X、認証サーバにCisco ISE 2.7 を利用している環境において、AnyConnectの接続時にISEに登録された？MACアドレスを用いて認証制御を行う事が出来るでしょうか。

ご存じの方がおられましたらご教授いただけると助かります。

[yuzhan4]

こんにちは

＞AnyConnectの接続時にISEに登録された？MACアドレスを用いて認証制御を行う事が出来るでしょうか。

結論から申し上げますと、上記利用方法には実現できないように見受けられます。なぜなら、Anyconnectの認証方法がASA側の設定であり、MACアドレスを用いた認証は設定が見当たりません。

https://www.cisco.com/c/ja_jp/td/docs/security/asa/asa912/configuration/vpn/asa-912-vpn-config/webvpn-overview.html

よろしくお願いいたします。

[cja56910tf]

ご回答ありがとうございます。

ASAの認証方法では実現できないという事で承知しました。

ただ、認証サーバにISEを使用していますので、ISEのポリシーセットの認証ポリシーまたは認可ポリシーの中で条件を指定する事で実現出来たりしませんでしょうか。(例えば、IdentityGroupでEndpoint Identity Groupsを指定するとかいった感じで・・・)

また、上記も不可能という事であれば、他のソリューションはありませんでしょうか。

(例えばMDM製品をISEと連携させるとか、ISEのApexライセンスがあれば実現出来るとか・・・)

もし情報・アイデアがあればご教示いただけると幸いです。

[yuzhan4]

ご返信ありがとうございます。

認証方法はASAの設定であり、ISEはRadiusサーバとして、認証情報を格納したイメージになりますので、ISE側のポリシーで実現が難しい認識です。
MACアドレスだけでVPN接続する事例も特に見たことございませんので、お力になれず申し訳ございません。

[cja56910tf]

早速のご回答、誠にありがとうございます。

やはり難しいという事で承知しました。

最後にあと１点だけ質問させて欲しいのですが、MACアドレスだけで接続(認証)するのではなく、認証はID/Passwordまたは証明書による方式で行うとして、認証/認可時のオプションとしてMACアドレスを用いた制御は不可能でしょうか。

例えば、MACアドレスをISEに登録しておいたとして、認証はAD連携したID/Passwordで行い、その認証そのものは成功するのだけど、AnyConnect接続に使用している装置のネットワークカードのMACアドレスがISEに登録されているMACアドレスに含まれない場合は、認可の時点でDeny Accessにするという感じの事が出来ないだろうかと思っております。

分かりにくい文章で恐縮ですが、上記についてご意見を頂戴できると幸いです。

[yuzhan4 · Accepted solution]

>例えば、MACアドレスをISEに登録しておいたとして、認証はAD連携したID/Passwordで行い、その認証そのものは成功するのだけど、>AnyConnect接続に使用している装置のネットワークカードのMACアドレスがISEに登録されているMACアドレスに含まれない場合は、認可>の時点でDeny Accessにするという感じの事が出来ないだろうかと思っております。

この要件であれば、Authentication policyでUsername Passwordで認証し、Authorization policyにMACアドレスの条件追加していただければ実現可能かと認識しております。

そうするとUsername Passwordが条件の上、MACアドレスの条件になります。

よろしくお願いします。

[cja56910tf]

早速のご回答、誠にありがとうございます。

実現が可能である事が分かり嬉しく思っております。

　

"Authorization policyにMACアドレスの条件追加していただければ" についての詳しい方法を質問したいところですが、本投稿の内容からは逸脱すると思うので、Cisco ISE の設定質問で別投稿したいと思います。

度々の質問に対しても丁寧にご回答いただいたおかげで大変助かりました。

あらためまして厚く御礼申し上げます。