🥇Cisco ISE: Въведение, изисквания, инсталация. Чест 1

1. Въведение

Всяка компания, дори най-малката, има нужда от провеждане на автентикация, авторизация и отчитане на потребителите (семейство протоколи AAA). На началния етап AAA успешно се реализира чрез протоколи като RADIUS, TACACS+ и DIAMETER. Въпреки това, с нарастването на броя на потребителите и увеличаването на задачите, се увеличава и необходимостта от максимална видимост на хостове и BYOD устройства, многофакторна автентикация, създаване на многостепенни политики за достъп и много други.

За тези задачи отлично подхождат решенията от клас NAC (Контрол на достъп до мрежа) — контрол на мрежовия достъп. В цикъла статии, посветени на Cisco ISE (Identity Services Engine) — NAC решение, предоставящо контрол на достъпа на потребителите до вътрешната мрежа с оглед на контекста, ще разгледаме подробно архитектурата, инициализацията, настройката и лицензиране на решението.

Кратко напомням, че Cisco ISE позволява:

Бързо и лесно създаване на гостен достъп в отделен WLAN;
Откриване на BYOD устройства (например, домашни компютри на служители, които те носят на работа);
Централизиране и прилагане на политики за сигурност на домейн и недомейн потребители чрез етикети за група SGT (технологията TrustSec);
Проверка на компютри за инсталирано определено софтуер и спазване на стандартите (постиране);
Класифициране и профилиране на крайни и мрежови устройства;
Осигуряване на видимост на крайни устройства;
Предаване на журнали за събития logon/logoff на потребителите, техните учетни записи (идентичност) на NGFW за формиране на политики на базата на потребители;
Нативна интеграция с Cisco StealthWatch и карантиниране на подозрителни хостове, участващи в инциденти за сигурност (по-подробно);
И други стандартни функции за AAA сървър.

За Cisco ISE вече са писали колеги от индустрията, затова в бъдеще съветвам да се запознаете с: практика на внедряване на Cisco ISE, как да се подготвим за внедряване на Cisco ISE.

2. Архитектура

В архитектурата на Identity Services Engine има 4 основни елемента (нодове): нод за управление (Policy Administration Node), нод за разпределение на политики (Policy Service Node), мониторинг нод (Monitoring Node) и PxGrid нод (PxGrid Node). Cisco ISE може да бъде в самостоятелна (standalone) или разпределена (distributed) инсталация. В самостоятелния вариант всички елементи са на една виртуална машина или физически сървър (Secure Network Servers — SNS), докато в разпределената — нодовете са разпределени на различни устройства.

Policy Administration Node (PAN) — задължителен нод, който позволява извършването на всички административни операции на Cisco ISE. Той обработва всички системни конфигурации, свързани с AAA. В разпределената конфигурация (нодовете могат да бъдат инсталирани като отделни виртуални машини) можете да имате максимум две PAN за повишаване на отказоустойчивостта — режим Active/Standby.

Policy Service Node (PSN) — задължителен нод, който осигурява достъп до мрежата, състояние, гостоприемство, предоставяне на услуги на потребители и профилиране. PSN оценява политиката и я прилага. Обикновено, PSN се инсталира в няколко копия, особено в разпределената конфигурация, за по-голяма издръжливост и разпределена работа. Разбира се, тези нодове се инсталират в различни сегменти, за да не се загубят възможности за осигуряване на удостоверен и упълномощен достъп нито за момент.

Monitoring Node (MnT) — задължителен нод, който съхранява журнали на събития, логове от други нодове и политики в мрежата. MnT нодът предоставя разширени инструменти за мониторинг и отстраняване на проблеми, събира и свързва различни данни, а също така предоставя съдържателни отчети. Cisco ISE позволява да имате максимум две MnT нодове, създавайки по този начин отказоустойчивост — режим Active/Standby. Въпреки това, логовете се събират от двете нодове, както активната, така и пасивната.

PxGrid Node (PXG) — нод, който прилага протокола PxGrid и осигурява комуникация между други устройства, които поддържат PxGrid.

PxGrid протокол, който осигурява интеграция на продукти от ИТ и ИБ инфраструктурата на различни доставчици: системи за мониторинг, системи за откриване и предотвратяване на прониквания, платформи за управление на политиките за сигурност и много други решения. Cisco PxGrid позволява обмен на контекст в еднопосочен или двупосочен режим с много платформи без необходимост от използването на API, улеснявайки прилагането на технологията TrustSec (SGT етикети), да променя и прилага ANC (Adaptive Network Control) политика, както и да извършва профилиране – определяне на модела на устройството, ОС, местоположение и друго.

В конфигурация с висока наличност, нодовете PxGrid репликират информация между нодовете чрез PAN. В случай, че PAN бъде изключен, нодата PxGrid спира да аутентифицира, авторизира и отчита потребителите.

По-долу е схематично показано как работят различните единици на Cisco ISE в корпоративната мрежа.

Фигура 1. Архитектура на Cisco ISE

3. Изисквания

Cisco ISE може да бъде внедрен, както и повечето съвременни решения, виртуално или физически като самостоятелен сървър.

Физическите устройства с инсталирания софтуер Cisco ISE се наричат SNS (Secure Network Server). Те са налични в три модела: SNS-3615, SNS-3655 и SNS-3695 за малък, среден и голям бизнес. В таблица 1 е представена информация от даташита SNS.

Таблица 1. Сравнителна таблица на SNS за различни мащаби

Параметър

SNS 3615 (Малък)

SNS 3655 (Среден)

SNS 3695 (Голям)

Брой поддържани крайни устройства в Standalone инсталация

10000

25000

50000

Брой поддържани крайни устройства за всяка PSN

10000

25000

100000

CPU (Intel Xeon 2.10 GHz)

8 ядра

12 ядра

RAM

32 ГБ (2 x 16 ГБ)

96 ГБ (6 x 16 ГБ)

256 ГБ (16 x 16 ГБ)

HDD

1 x 600 ГБ

4 x 600 ГБ

8 x 600 ГБ

Hardware RAID

Не

RAID 10, наличие на RAID контролер

Мрежови интерфейси

2 x 10Gbase-T

4 x 1Gbase-T

2 x 10Gbase-T

4 x 1Gbase-T

2 x 10Gbase-T

4 x 1Gbase-T

Що се отнася до виртуалните внедрения, поддържат се хипервизори VMware ESXi (препоръчва се минимум VMware версия 11 за ESXi 6.0), Microsoft Hyper-V и Linux KVM (RHEL 7.0). Ресурсите трябва да бъдат приблизително същите, както в таблицата по-горе, или повече. Въпреки това, минималните изисквания за виртуална машина за малък бизнес са: 2 CPU с честота 2.0 GHz и нагоре, 16 ГБ RAM и 200 ГБ HDD.

За уточняване на останалите детайли за внедряване на Cisco ISE, моля, свържете се с нас или с ресурс №1, ресурс №2.

4. Инсталиране

Както и повечето други продукти на Cisco, ISE може да бъде тестван по няколко начина:

dcloud – облачен сервис с предварително инсталирани лабораторни шаблони (необходима е регистрация в Cisco);
Искане за GVE – искане с сайта определен софтуер на Cisco (начин за партньори). Създавате случай с следното типично описание: Тип продукт [ISE], ISE софтуер [ise-2.7.0.356.SPA.x8664], ISE пач [ise-patchbundle-2.7.0.356-Patch2-20071516.SPA.x8664];
пилотен проект — свържете се с всеки упълномощен партньор за провеждане на безплатен пилотен проект.

1) След създаването на виртуалната машина, ако сте поискали ISO файл, а не OVA шаблон, ще излезе прозорец, в който ISE изисква да изберете инсталация. Вместо потребителско име и парола трябва да напишете "настройка«!

Бележка: ако сте разположили ISE от OVA шаблон, данните за вход са admin / MyIseYPass2 (това и още много е указано в официалния наръчник).

Рисунок 2. Инсталация на Cisco ISE

2) След това трябва да попълните необходимите полета, като IP адрес, DNS, NTP и други.

Рисунок 3. Инициализация на Cisco ISE

3) След това устройството ще се рестартира, и ще можете да се свържете чрез уеб интерфейса на зададения по-рано IP адрес.

Рисунок 4. Уеб интерфейс на Cisco ISE

4) В раздела Администрация > Система > Разгръщане можете да изберете кои възли (сущности) са включени на дадено устройство. Възел PxGrid се включва тук.

Рисунок 5. Управление на сущностите на Cisco ISE

5) След това в раздела Администрация > Система > Административен достъп > Аутентикация препоръчвам да настроите политика за пароли, метод на аутентикация (сертификат или парола), срок на валидност на акаунта и други настройки.

Рисунок 6. Настройка на типа на аутентикацияРисунок 7. Настройки на политиката за паролиРисунок 8. Настройка на деактивиране на акаунта при изтичане на времетоРисунок 9. Настройка на блокирането на акаунти

6) В раздела Администрация > Система > Административен достъп > Администратори > Потребители на администратори > Добавяне можете да създадете нов администратор.

Рисунок 10. Създаване на локален администратор на Cisco ISE

7) Новият администратор може да стане част от нова група или от вече предварително зададени групи. Управлението на групите от администратори се извършва на същата панела в раздела Групи на администратори. В таблица 2 са обобщени информация за администраторите на ISE, техните права и роли.

Таблица 2. Групи на администратори на Cisco ISE, нива на достъп, разрешения и ограничения

Име на групата администратори

Разрешения

Ограничения

Администратор по персонализация

Персонализация на портали за гости, спонсори, администриране и кастомизация

Невъзможност за промяна на политики, преглед на отчети

Helpdesk администратор

Възможност за преглед на главния контролен панел, всички отчети, аларми и отстраняване на проблеми с потоците

Невъзможност за промяна, създаване и изтриване на отчети, аларми и логове за удостоверяване

Идентичност администратор

Управление на потребители, привилегии и роли, възможност за преглед на логове, отчети и аларми

Невъзможност за промяна на политики, извършване на задачи на ниво ОС

MnT администратор

Пълен мониторинг, отчети, аларми, логове и управление на тях

Невъзможност за промяна на каквито и да е политики

Администратор на мрежови устройства

Права за създаване, изменение на обекти ISE, преглед на логове, отчети, главен контролен панел

Невъзможност за промяна на политики, извършване на задачи на ниво ОС

Администратор на политики

Пълно управление на всички политики, промяна на профили, настройки, преглед на отчети

Невъзможност за извършване на настройки с удостоверителни данни, обекти ISE

RBAC администратор

Всички настройки в раздела Operations, настройка на ANC политика, управление на отчетността

Невъзможност за промяна на други освен ANC политика, извършване на задачи на ниво ОС

Супер администратор

Права за всички настройки, отчетност и управление, може да изтрива и променя удостоверителни данни на администратори

Не може да промени, изтрие друг профил от групата Супер администратор

Системен администратор

Всички настройки в раздела Operations, управление на системни настройки, политика ANC, преглед на отчети

Невъзможност за промяна на други освен ANC политика, извършване на задачи на ниво ОС

Администратор на външни RESTful услуги (ERS)

Пълен достъп до REST API на Cisco ISE

Само за удостоверяване, управление на локални потребители, хостове и групи за сигурност (SG)

Оператор на външни RESTful услуги (ERS)

Права за четене на REST API на Cisco ISE

Само за удостоверяване, управление на локални потребители, хостове и групи за сигурност (SG)

Рисунка 11. Предустановени групи администратори на Cisco ISE

8) Допълнително в раздела Авторизация > Разрешения > Политика RBAC можете да редактирате правата на предустановените администратори.

Рисунка 12. Управление на правата на предустановените профили администратори на Cisco ISE

9) В раздела Администрация > Система > Настройки са налични всички системни настройки (DNS, NTP, SMTP и други). Можете да ги попълните тук, ако сте ги пропуснали при първоначалната инициализация на устройството.

5. Заключение

Тази първа статия завърши. Обсъдихме ефективността на NAC решението Cisco ISE, неговата архитектура, минимални изисквания и варианти за внедряване, както и начална инсталация.

В следващата статия ще разгледаме създаването на акаунти, интеграция с Microsoft Active Directory, както и създаване на достъп за гости.

Ако имате въпроси по темата или нужда от помощ при тестването на продукта, свържете се с връзката.

Следете обновленията в нашите канали (Телеграм, Facebook, VK, TS Solution Blog, Яндекс.Дзен).

Източник: habr.com