Cisco ISE: Sissejuhatus, nõuded, installatsioon. Osa 1

1. Sissejuhatus

Igal ettevõttel, isegi kõige väiksemal, on vajadus autentimiseks, autoriseerimiseks ja kasutajate arvestamiseks (AAA protokollide perekond). AAA-d on võimalik alguses tõhusalt rakendada selliste protokollide nagu RADIUS, TACACS+ ja DIAMETER abil. Kuid koos kasutajate arvu ja ettevõtte kasvuga suureneb ka ülesannete hulk: hostide ja BYOD seadmete maksimaalne nähtavus, mitme teguri autentimine, mitmekihilise juurdepääsupoliitika loomine ja palju muud.

Selliste ülesannete jaoks sobib suurepäraselt NAC (Network Access Control) lahenduste klass — võrgujuurdepääsu kontroll. Artiklite tsüklis, mis on pühendatud Cisco ISE (Identity Services Engine) — NAC-lahendus, mis pakub juurdepääsu kontrolli kasutajatele sisevõrgus konteksti arvestades, vaatleme põhjalikult lahenduse arhitektuuri, initsialiseerimist, seadistamist ja litsentseerimist.

Rohkem meelde tuletades, Cisco ISE võimaldab:

• Kiire ja lihtsa külaliste ligipääsu loomist eraldatud WLAN-is;

• BYOD seadmete avastamist (näiteks töötajate kodukompjutereid, mida nad tööle toovad);

• Keskenduda ja rakendada turvapoliitikaid domeeni ja mitte-domeeni kasutajatele turvagruppide SGT (tehnoloogia) abil. TrustSec);

• Kontrollida arvuteid teatud tarkvara olemasolu ja standardite (posturing) järgimise osas;

• Klassifitseerida ja profileerida lõpp-seadmestikke ja võrgu seadmeid;

• Tagada lõpp-seadmete nähtavus;

• Edastada logon/logoff kasutajate sündmuste logisid ning nende kontode (identity) andmeid NGFW-le, et luua kasutajapõhiseid poliitikaid;

• Natiivselt integreeruda Cisco StealthWatchiga ja karantiini panna kahtlastesse incidentidesse kaasatud hoste,täiendavalt);

• Ja teised standardid AAA-serveri funktsioonid.

Cisco ISE kohta on juba kirjutatud kolleegidelt valdkonnas, seega soovitan edaspidi tutvuda: Cisco ISE rakendamise praktika, kuidas valmistuda Cisco ISE rakendamiseks.

2. Arhitektuur

Identity Services Engine'i arhitektuuris on 4 üksust (node): haldusnode (Policy Administration Node), poliitiliste teenuste node (Policy Service Node), jälgimisnode (Monitoring Node) ja PxGrid node (PxGrid Node). Cisco ISE võib olla iseseiseses (standalone) või jagatud (distributed) installatsioonis. Iseseisvas variandis on kõiküksused ühel virtuaalmasinal või füüsilisel serveril (Secure Network Servers — SNS), samas kui jagatud konfiguratsioonis on nodid erinevates seadmetes.

Policy Administration Node (PAN) — kohustuslik node, mis võimaldab teostada kõiki haldusoperatsioone Cisco ISE-s. See töötleb kõiki süsteemi konfiguratsioone, mis on seotud AAA-ga. Jagatud konfiguratsiooni puhul (nodid saab installida kui eraldi virtuaalmasinad) võite olla maksimaalselt kaks PAN-i, et tagada tõrkekindlus — Active/Standby režiim.

Policy Service Node (PSN) — kohustuslik sõlm, mis tagab juurdepääsu võrgule, olekule, külalispääsule, klienditeenuste pakkumisele ja profiilimisele. PSN hindab poliitikat ja rakendab seda. Tüüpiliselt paigaldatakse PSN-e mitu, eriti jaotatud konfigureerimisel, et saavutada suurem usaldusväärsus ja jaotatud töö. Loomulikult püüavad need sõlmed olla erinevates segmentides, et mitte kaotada võimalusi autentimise ja autoriseerimise võimaluste tagamisel hetkekski.

Monitoring Node (MnT) — kohustuslik sõlm, mis säilitab sündmuste logisid, teiste sõlmede ja poliitikate logisid võrgus. MnT sõlm pakub täiustatud jälgimis- ja tõrkeotsingu tööriistu, kogub ja seostab erinevaid andmeid ning esitab sisukaid aruandeid. Cisco ISE võimaldab maksimaalselt kahte MnT sõlme, luues seeläbi talitlushäirete vältimise — Active/Standby režiim. Sellegipoolest koguvad logisid mõlemad sõlmed, nii aktiivne kui ka passiivne.

PxGrid Node (PXG) — sõlm, mis rakendab PxGrid protokolli ja tagab suhtlemise teiste seadmete vahel, mis toetavad PxGrid-i.

PxGrid  — protokoll, mis tagab erinevate IT- ja turvainfrastruktuuri toodete integratsiooni: jälgimissüsteemid, sissetungi tuvastamise ja ennetamise süsteemid, turvapoliitika haldamise platvormid ja paljusid teisi lahendusi. Cisco PxGrid võimaldab konteksti vahetamist ühesuunalises või kahesuunalises režiimis paljude platvormidega ilma API kasutamise vajaduseta, võimaldades seeläbi tehnoloogiat kasutada. TrustSec (SGT sildid), muuta ja rakendada ANC (Adaptive Network Control) poliitikat, samuti teostada profiliseerimist — seadme mudeli, opsüsteemi, asukoha ja muu määratlemine.

Kõrge saadavuse konfiguratsioonis sünnid PxGrid nodid teavet nodide vahel läbi PANi. Kui PAN katkeb, lõpetab PxGrid node kasutajate autentimise, autoriseerimise ja arvestuse. 

Allpool on skeem erinevate Cisco ISE üksuste toimimisest ettevõttevõrgus.

Joonis 1. Cisco ISE arhitektuur

3. Nõuded

Cisco ISE saab rakendada, nagu enamik tänapäevaseid lahendusi, virtuaalselt või füüsiliselt eraldi serverina. 

Füüsilisi seadmeid, millel on installitud Cisco ISE tarkvara, nimetatakse SNS-ideks (Secure Network Server). Need on saadaval kolmes mudelis: SNS-3615, SNS-3655 ja SNS-3695, et teenindada väikeseid, keskmise suurusega ja suuri ettevõtteid. Tabelis 1 on esitatud teave andmelehe SNS.

Tabel 1. SNS-i võrdlustabel erinevate suuruste jaoks

Parameeter

SNS 3615 (Väike)

SNS 3655 (Keskmine)

SNS 3695 (Suur)

Toetatavate lõppseadmete arv iseseisvas installatsioonis

10000

25000

50000

Toetatavate lõppseadmete arv igas PSN-is

10000

25000

100000

CPU (Intel Xeon 2.10 GHz)

8 südamikku

12 tuuma

12 tuuma

RAM 

32 GB (2 x 16 GB)

96 GB (6 x 16 GB)

256 GB (16 x 16 GB)

HDD

1 x 600 GB

4 x 600 GB

8 x 600 GB

Hardware RAID

Ei

RAID 10, RAID kontrolleri olemasolu

RAID 10, RAID kontrolleri olemasolu

Võrguliidesed

2 x 10Gbase-T

4 x 1Gbase-T 

2 x 10Gbase-T

4 x 1Gbase-T 

2 x 10Gbase-T

4 x 1Gbase-T

Virtuaalsete rakenduste osas toetatakse hüpervisoreid VMware ESXi (soovitatav minimaalne VMware versioon 11, ESXi 6.0 jaoks), Microsoft Hyper-V ja Linux KVM (RHEL 7.0). Ressursid peaksid olema enam-vähem samad kui ülaltoodud tabelis või rohkem. Siiski, minimaalne virtuaalmasina nõue väikese ettevõtte jaoks on: 2 CPU sagedusega 2.0 GHz ja kõrgem, 16 GB RAM ja 200 GB HDD. 

Cisco ISE-i juurutamise muude üksikasjade saamiseks võtke ühendust meiega või ressursiga nr 1, ressursiga nr 2.

4. Paigaldamine

Nagu enamikus teistes Cisco toodetes, on ISE-d võimalik testida mitmel erineval viisil:

• dcloud – eelkonfigureeritud laborite mallide pilveteenus (vajalik Cisco konto);

• GVE taotlus – taotlus lehelt Cisco kindla tarkvara jaoks (meetod partneritele). Loote juhtumi järgmise tüüpilise kirjeldusega: Toote tüüp [ISE], ISE tarkvara [ise-2.7.0.356.SPA.x8664], ISE plekk [ise-patchbundle-2.7.0.356-Patch2-20071516.SPA.x8664];

• pilootprojekt — võtke ühendust mistahes volitatud partneriga, et läbi viia tasuta pilootprojekt.

1) Kui olete loonud virtuaalmasina ja taotlenud ISO faili, mitte OVA malli, siis avaneb aken, kus ISE nõuab installatsiooni valimist. Selleks kirjutage sisselogimise ja parooli asemel "setup«!

Märkus: kui olete ISE käitamisest välja OVA mallist, siis sisselogimisandmed admin / MyIseYPass2 (see ja palju muud on kirjas ametlikus juhendis).

Kujutis 2. Cisco ISE installatsioon

2) Seejärel tuleb täita vajalikud väljad, nagu IP-aadress, DNS, NTP ja muud.

Kujutis 3. Cisco ISE initsialiseerimine

3) Seejärel seade taaskäivitub ja saate ühendust võtta veebiliidese kaudu varem määratud IP-aadressil.

Kujutis 4. Cisco ISE veebiliides

4) Vahekaardil Administration > System > Deployment võite valida, millised sõlmed (üksused) on kaasatud antud seadmesse. PxGrid sõlm aktiveeritakse siin.

Joonis 5. Cisco ISE üksuste haldamine

5) Seejärel vahekaardil Administration > System > Admin Access > Authentication soovitan seadistada paroolipoliitika, autentimise meetodi (sertifikaat või parool), konto aegumistähtaega ja muid seadeid.

Joonis 6. Autentimismeetodi seadistamineJoonis 7. Paroolipoliitika seadedJoonis 8. Konto deaktiveerimise seadistamine aja möödumiselJoonis 9. Kasutajakontode lukustamise seadistamine

6) Vahekaardil Administration > System > Admin Access > Administrators > Admin Users > Add saate luua uue administraatori.

Joonis 10. Kohaliku administraatori loomine Cisco ISE-s

7) Uus administraator võib kuuluda kas uude gruppi või juba ette määratud gruppidesse. Administraatorigruppide haldamine toimub sellel vahekaardil Admin Groups. Tabelis 2 on kokkuvõte ISE administratoridest, nende õigustest ja rollidest.

Tabel 2. Cisco ISE administraatorigruppide, juurdepääsutasemete, lubade ja piirangute info

Administraatorigruppi nimetus

Lubade

Piirangud

Customization Admin

Külastajate ja sponsorluse portaalide seadistamine, haldamine ja kohandamine

Poliitikat ei saa muuta, aruandeid vaadata

Abikeskus Admin

Peamise juhtpaneeli, kõigi aruannete, alarmide vaatamine ja probleemide lahendamine

Aruandeid, alarmide ja autentimislokke ei saa muuta, luua ega kustutada

Identiteedi Admin

Kasutajate, privileegide ja rollide haldamine, logide, aruannete ja alarmide vaatamine

Poliitikas ei saa muudatusi teha, operatsioonisüsteemi tasemel ülesandeid täita

MnT Admin

Täielik jälgimine, aruanded, alarmid, logid ja nende haldamine

Ei saa muuta mingeid poliitikaid

Võrgu seadme Admin

ISE objektide loomise ja muutmise õigused, logide, aruannete ja pea juhtpaneeli vaatamine

Poliitikas ei saa muudatusi teha, operatsioonisüsteemi tasemel ülesandeid täita

Poliitika Admin

Kogu poliitikate haldamine, profiilide, seadete muutmine, aruande vaatamine

Seadeid ei saa teha, kui kasutades ISE objekte

RBAC Admin

Kõik seaded Operations vahekaardil, ANC poliitikate seadistamine, aruandlus

ANC poliitikast erinevaid ei saa muuta, operatsioonisüsteemi taseme ülesandeid täita

Super Admin

Kõik seaded, aruandlus ja haldusõigused, võib kustutada ja muuta administraatorite sisselogimist.

Ei saa muuta ega kustutada teisi profiile Super Admin grupist.

Süsteemiadministraator

Kõik seaded vahekaardil Operations, süsteemi seadete haldamine, ANC poliitika, aruande vaatamine.

ANC poliitikast erinevaid ei saa muuta, operatsioonisüsteemi taseme ülesandeid täita

Välist RESTful teenuste (ERS) administraator

Täielik juurdepääs REST API-le Cisco ISE-le.

Ainult autoriseerimiseks, kohalike kasutajate, hostide ja turgroupide (SG) haldamiseks.

Välist RESTful teenuste (ERS) operaator

Lugemisõigused REST API-le Cisco ISE-le.

Ainult autoriseerimiseks, kohalike kasutajate, hostide ja turgroupide (SG) haldamiseks.

Kujutis 11. Cisco ISE eelkonfigureeritud administraatorigrupid.

8) Täiendavalt vahekaardil Authorization > Permissions > RBAC Policy saate muuta eelkonfigureeritud administraatorite õigusi.

Kujutis 12. Eelkonfigureeritud administraatorite profiilide õiguste haldamine Cisco ISE-s.

9) Vahekaardil Administration > System > Settings on saadaval kõik süsteemi seaded (DNS, NTP, SMTP ja muud). Saate need siia täita, kui jätsite esialgse seadistamise käigus vahele.

5. Kokkuvõte

Selle esimese artikli aeg sai läbi. Arutasime Cisco ISE NAC lahenduse efektiivsust, selle arhitektuuri, minimaalsetes nõudmisi ja juurutamisvõimalusi ning esialgset seadistamist.

Järgnevas artiklis käsitleme kasutajakontode loomist, Microsoft Active Directory integreerimist ja külalisjuurdepääsu loomist.

Kui teil on selle teema kohta küsimusi või vajate toodete testimisel abi, võtke ühendust lingi kaudu.

Jälgige meie uuendusi kanalites (Telegram, Facebook, VK, TS Solution Blog, Yandex.Dzen).

Allikas: habr.com