1. Einleitung
Jedes Unternehmen, selbst das kleinste, hat den Bedarf, Benutzerauthentifizierung, -autorisierung und -verrechnung durchzufĂŒhren (AAA-Protokollfamilie). In der Anfangsphase lĂ€sst sich AAA gut mit Protokollen wie RADIUS, TACACS+ und DIAMETER umsetzen. Mit der steigenden Anzahl an Benutzern und dem Wachstum des Unternehmens erhöhen sich jedoch auch die Anforderungen: maximale Sichtbarkeit von Hosts und BYOD-GerĂ€ten, Mehrfaktor-Authentifizierung, Entwicklung von mehrschichtigen Zugriffspolitiken und vieles mehr.
FĂŒr solche Anforderungen eignet sich hervorragend die Klasse von NAC-Lösungen (Network Access Control) â Netzwerkzugangskontrolle. In einer Artikelreihe, die sich dem (Identity Services Engine) â NAC-Lösung zur Bereitstellung kontextbasierter Zugriffssteuerung fĂŒr Benutzer im internen Netzwerk widmet, werden wir die Architektur, Initialisierung, Konfiguration und Lizenzierung der Lösung detailliert betrachten.
Zur Erinnerung: Cisco ISE ermöglicht es,
schnell und einfach GĂ€stzugang in einem dedizierten WLAN zu erstellen;
BYOD-GerÀte zu erkennen (z. B. Heim-PCs von Mitarbeitern, die sie mit zur Arbeit bringen);
Zentralisieren und Sicherheitsrichtlinien fĂŒr Domain- und Nicht-Domain-Benutzer mithilfe von SGT-Sicherheitsgruppenkennzeichnungen anwenden (Technologie );
ĂberprĂŒfen von Computern auf installierte spezifische Software und Einhaltung von Standards (Posturing);
Klassifizieren und Profilieren von EndgerÀten und Netzwerktechnologien;
Sichtbarkeit von EndgerÀten bereitstellen;
Benutzerdaten und Logon/Logoff-Ereignisprotokolle an NGFW ĂŒbermitteln, um eine benutzerbasierte Richtlinie zu erstellen;
Nativ mit Cisco StealthWatch integrieren und verdÀchtige Hosts, die an SicherheitsvorfÀllen beteiligt sind, isolieren ();
und andere Standardfunktionen fĂŒr AAA-Server.
Kollegen aus der Branche haben bereits ĂŒber Cisco ISE geschrieben, daher empfehle ich, sich kĂŒnftig damit zu befassen: ,.
2. Architektur
In der Architektur des Identity Services Engine gibt es 4 EntitĂ€ten (Knoten): den Verwaltungs-Knoten (Policy Administration Node), den Richtlinien-Distributionsknoten (Policy Service Node), den Ăberwachungs-Knoten (Monitoring Node) und den PxGrid-Knoten (PxGrid Node). Cisco ISE kann entweder in einer eigenstĂ€ndigen (standalone) oder verteilten (distributed) Installation betrieben werden. Im Standalone-Format befinden sich alle EntitĂ€ten auf einer einzigen virtuellen Maschine oder einem physischen Server (Secure Network Servers â SNS), wĂ€hrend in der verteilten Konfiguration die Knoten auf verschiedene GerĂ€te verteilt sind.
Der Policy Administration Node (PAN) ist ein erforderlicher Knoten, der alle administrativen Operationen im Cisco ISE ermöglicht. Er verarbeitet alle Systemkonfigurationen, die mit AAA verbunden sind. In einer verteilten Konfiguration (die Knoten können als separate virtuelle Maschinen installiert werden) können Sie maximal zwei PANs fĂŒr Redundanz haben â im Active/Standby-Modus.
Policy Service Node (PSN) â ist eine essentielle Node, die den Zugang zum Netzwerk, den Status, den Gastzugang, die Bereitstellung von Diensten fĂŒr Kunden und das Profiling ermöglicht. PSN bewertet die Richtlinie und setzt sie um. Normalerweise werden mehrere PSNs eingerichtet, insbesondere in verteilten Konfigurationen, um eine höhere Redundanz und Verteilung zu gewĂ€hrleisten. Diese Nodes werden selbstverstĂ€ndlich in unterschiedlichen Segmenten platziert, um zu jeder Zeit authentifizierten und autorisierten Zugriff zu garantieren.
Monitoring Node (MnT) â ist eine unverzichtbare Node, die Ereignisprotokolle, Logs anderer Nodes und Richtlinien im Netzwerk speichert. Die MnT Node bietet erweiterte Werkzeuge zur Ăberwachung und Fehlersuche, sammelt und vergleicht verschiedene Daten und liefert detaillierte Berichte. Cisco ISE unterstĂŒtzt maximal zwei MnT Nodes, was eine hohe VerfĂŒgbarkeit im Active/Standby-Modus sicherstellt. Beide Nodes, sowohl aktiv als auch passiv, sammeln die Logs.
PxGrid Node (PXG) â ist eine Node, die das PxGrid-Protokoll verwendet und die Kommunikation zwischen anderen GerĂ€ten, die PxGrid unterstĂŒtzen, ermöglicht.
 Ein Protokoll, das die Integration von IT- und Informationssicherheitsprodukten verschiedener Anbieter ermöglicht: Ăberwachungssysteme, Systeme zur Erkennung und Verhinderung von Eindringlingen, Plattformen zur Verwaltung von Sicherheitsrichtlinien und viele andere Lösungen. Cisco PxGrid ermöglicht den einseitigen oder zweiseitigen Austausch von Kontextinformationen mit vielen Plattformen, ohne dass APIs erforderlich sind, und nutzt somit die Technologie. (SGT-Tags), um ANC (Adaptive Network Control)-Richtlinien zu Ă€ndern und anzuwenden sowie das Profiling â die Bestimmung des GerĂ€temodells, des Betriebssystems, des Standorts und mehr â durchzufĂŒhren.
In einer HochverfĂŒgbarkeitskonfiguration replizieren die PxGrid-Knoten Informationen zwischen den Knoten ĂŒber PAN. Wenn PAN ausfĂ€llt, hört der PxGrid-Knoten auf, Benutzer zu authentifizieren, zu autorisieren und zu protokollieren.Â
Unten ist schematisch dargestellt, wie verschiedene EntitÀten von Cisco ISE in einem Unternehmensnetzwerk arbeiten.
Abbildung 1. Architektur von Cisco ISE
3. Anforderungen
Cisco ISE kann, wie die meisten modernen Lösungen, virtuell oder physisch als dedizierter Server implementiert werden.Â
Physische GerĂ€te mit installiertem Cisco ISE-Software werden als SNS (Secure Network Server) bezeichnet. Es gibt drei Modelle: SNS-3615, SNS-3655 und SNS-3695 fĂŒr kleine, mittelstĂ€ndische und groĂe Unternehmen. Tabelle 1 enthĂ€lt Informationen aus SNS.
Tabelle 1. Vergleichstabelle der SNS fĂŒr unterschiedliche GröĂenordnungen
Parameter
SNS 3615 (Klein)
SNS 3655 (Mittel)
SNS 3695 (GroĂ)
Anzahl der unterstĂŒtzten EndgerĂ€te in der Standalone-Installation
10000
25000
50000
Anzahl der unterstĂŒtzten EndgerĂ€te fĂŒr jede PSN
10000
25000
100000
CPU (Intel Xeon 2.10 GHz)
8 Kerne
12 Kerne
12 Kerne
RAMÂ
32 GB (2 x 16 GB)
96 GB (6 x 16 GB)
256 GB (16 x 16 GB)
HDD
1 x 600 GB
4 x 600 GB
8 x 600 GB
Hardware RAID
Nein
RAID 10, mit RAID-Controller
RAID 10, mit RAID-Controller
Netzwerkschnittstellen
2 x 10Gbase-T
4 x 1Gbase-TÂ
2 x 10Gbase-T
4 x 1Gbase-TÂ
2 x 10Gbase-T
4 x 1Gbase-T
FĂŒr virtuelle Implementierungen werden die Hypervisoren VMware ESXi (mindestens empfohlen ist VMware Version 11 fĂŒr ESXi 6.0), Microsoft Hyper-V und Linux KVM (RHEL 7.0) unterstĂŒtzt. Die Ressourcen sollten ungefĂ€hr die gleichen wie in der obigen Tabelle sein oder mehr. Dennoch gelten die minimalen Anforderungen fĂŒr virtuelle Maschinen fĂŒr kleine Unternehmen: 2 CPU mit einer Frequenz von 2,0 GHz oder höher, 16 GB RAM und 200 GB HDD.Â
FĂŒr weitere Details zur Bereitstellung von Cisco ISE wenden Sie sich an oder an , .
4. Installation
Wie die meisten anderen Cisco-Produkte kann ISE auf verschiedene Weise getestet werden:
â Cloud-Service fĂŒr vorinstallierte Labor-Layouts (ein Cisco-Konto erforderlich);
â Anfrage von Cisco fĂŒr spezielle Software (Methode fĂŒr Partner). Sie erstellen einen Fall mit der folgenden typischen Beschreibung: Produkttyp [ISE], ISE-Software [ise-2.7.0.356.SPA.x8664], ISE-Patch [ise-patchbundle-2.7.0.356-Patch2-20071516.SPA.x8664];
â wenden Sie sich an einen autorisierten Partner, um ein kostenloses Pilotprojekt durchzufĂŒhren.
1) Wenn Sie eine virtuelle Maschine erstellt haben und eine ISO-Datei anstelle einer OVA-Vorlage angefordert haben, erscheint ein Fenster, in dem ISE Sie auffordert, die Installation auszuwĂ€hlen. Verwenden Sie dafĂŒr anstelle von Benutzername und Passwort einfach "setup«!
Hinweis: Wenn Sie ISE aus einer OVA-Vorlage bereitgestellt haben, lauten die Anmeldedaten admin / MyIseYPass2 (dies und vieles mehr ist in der offiziellen ).
Abbildung 2. Installation von Cisco ISE
2) Danach fĂŒllen Sie die erforderlichen Felder wie IP-Adresse, DNS, NTP und andere aus.
Abbildung 3. Initialisierung von Cisco ISE
3) Nach der Neugestaltung des GerĂ€ts können Sie sich ĂŒber die WeboberflĂ€che mit der zuvor angegebenen IP-Adresse verbinden.
Abbildung 4. WeboberflÀche von Cisco ISE
4) Im Tab Administration > System > Bereitstellung Hier können Sie auswÀhlen, welche Knoten (EntitÀten) auf diesem oder jenem GerÀt aktiviert sind. Der PxGrid-Knoten wird hier ebenfalls aktiviert.
Abbildung 5. Verwaltung von Cisco ISE EntitÀten
5) Dann im Tab Administration > System > Admin-Zugriff > Authentifizierung Ich empfehle, Richtlinien fĂŒr Passwörter, Authentifizierungsmethoden (Zertifikat oder Passwort), die Ablaufzeit von Konten und weitere Einstellungen zu konfigurieren.
Abbildung 6. Konfiguration des Authentifizierungstyps
Abbildung 7. Einstellungen der Passwortrichtlinien
Abbildung 8. Konfiguration zur Deaktivierung von Konten nach Ablauf der Zeit
Abbildung 9. Konfiguration der Kontosperrung
6) Im Tab Administration > System > Admin-Zugriff > Administratoren > Admin-Benutzer > HinzufĂŒgen kann ein neuer Administrator erstellt werden.
Abbildung 10. Erstellung eines lokalen Administrators in Cisco ISE
7) Der neue Administrator kann Teil einer neuen Gruppe oder bereits vorhandenen Gruppen werden. Die Verwaltung der Administratorgruppen erfolgt in demselben Panel im Tab Admin-Gruppen. In Tabelle 2 sind Informationen ĂŒber die ISE-Administratoren, deren Berechtigungen und Rollen zusammengefasst.
Tabelle 2. Administratorgruppen von Cisco ISE, Zugriffslevels, Berechtigungen und EinschrÀnkungen
Bezeichnung der Administratorgruppe
Berechtigungen
EinschrÀnkungen
Customization Admin
Anpassung von Gast- und Sponsorsportalen, Verwaltung und Personalisierung.
UnfÀhigkeit, Richtlinien zu Àndern, Berichte anzusehen
Helpdesk-Admin
Möglichkeit, das Haupt-Dashboard, alle Berichte, Alarme zu sehen und AblÀufe zu beheben
Keine Möglichkeit, Berichte, Alarme und Authentifizierungsprotokolle zu Àndern, zu erstellen oder zu löschen
Identity-Admin
Verwaltung von Benutzern, Berechtigungen und Rollen sowie Einsicht in Protokolle, Berichte und Alarme
UnfĂ€higkeit, Richtlinien zu Ă€ndern, Aufgaben auf Betriebssystemebene auszufĂŒhren
MnT-Admin
Umfassendes Monitoring, Berichterstattung, Alarme, Protokolle und deren Verwaltung
UnfÀhigkeit, irgendwelche Richtlinien zu Àndern
Network Device Admin
Berechtigungen zum Erstellen und Ăndern von ISE-Objekten, Einsicht in Protokolle, Berichte, Haupt-Dashboard
UnfĂ€higkeit, Richtlinien zu Ă€ndern, Aufgaben auf Betriebssystemebene auszufĂŒhren
Policy Admin
VollstÀndige Verwaltung aller Richtlinien, Profile und Einstellungen Àndern, Berichterstattung einsehen
UnfÀhigkeit, Einstellungen mit Anmeldeinformationen, ISE-Objekten vorzunehmen
RBAC-Admin
Alle Einstellungen im Reiter Operationen, ANC-Richtlinien einstellen, Berichterstattung verwalten
Keine Möglichkeit, andere als ANC-Richtlinien zu Ă€ndern, Aufgaben auf Betriebssystemebene auszufĂŒhren
Super Admin
Berechtigungen fĂŒr alle Einstellungen, Berichterstattung und Verwaltung, kann Administratoranmeldedaten löschen und Ă€ndern
Kann kein anderes Profil aus der Gruppe Super Admin Àndern oder löschen
System Admin
Die Einstellungen im Tab âOperationsâ, Verwaltung der Systemkonfigurationen, ANC-Richtlinien und Berichterstattung
Keine Möglichkeit, andere als ANC-Richtlinien zu Ă€ndern, Aufgaben auf Betriebssystemebene auszufĂŒhren
Externe RESTful-Dienste (ERS) Administrator
Vollzugriff auf das REST-API von Cisco ISE
Nur zur Authentifizierung, Verwaltung lokaler Benutzer, Hosts und Sicherheitsgruppen (SG)
Externe RESTful-Dienste (ERS) Operator
Lesezugriff auf das REST-API von Cisco ISE
Nur zur Authentifizierung, Verwaltung lokaler Benutzer, Hosts und Sicherheitsgruppen (SG)
Abbildung 11. Vorgegebene Administratorgruppen in Cisco ISE
8) ZusÀtzlich im Tab Berechtigungen > Autorisierung > RBAC-Richtlinie Die Berechtigungen der vordefinierten Administratoren sind bearbeitbar.
Abbildung 12. Verwaltung der Berechtigungen vordefinierter Administratorprofile in Cisco ISE
9) Im Tab Verwaltung > System > Einstellungen Alle Systemeinstellungen (DNS, NTP, SMTP und andere) sind verfĂŒgbar. Sie können diese hier ausfĂŒllen, falls Sie dies bei der ursprĂŒnglichen Inbetriebnahme des GerĂ€ts vergessen haben.
5. Fazit
Dieses erste Artikel ist zu Ende. Wir haben die Effizienz der NAC-Lösung von Cisco ISE, ihre Architektur, die Mindestanforderungen und die Bereitstellungsoptionen sowie die Erstinstallation besprochen.
Im nÀchsten Artikel werden wir die Erstellung von Konten, die Integration mit Microsoft Active Directory sowie die Erstellung von Gastzugriffen behandeln.
Bei Fragen zu diesem Thema oder wenn Sie Hilfe beim Testen des Produkts benötigen, wenden Sie sich bitte an .
Folgen Sie unseren Updates auf unseren KanÀlen (, , , , ).
Quelle: habr.com
