Cisco ISE: Sissejuhatus, nõuded, installatsioon. Osa 1

1. Sissejuhatus

Igal ettevõttel, isegi kõige väiksemal, on vajadus kasutajate autentimise, autoriseerimise ja arvestuse järele (AAA protokollide peres). Alguses saab AAA-d üsna hästi rakendada selliste protokollide nagu RADIUS, TACACS+ ja DIAMETER abil. Kuid koos kasutajate ja ettevõtte arvu suurenemisega kasvab ka ülesannete arv: maksimaalne nähtavus hostide ja BYOD seadmete osas, mitme faktori autentimine, mitmeastmelise juurdepääsupoliitika loomine ja palju muud.

Sellistele ülesannetele sobib suurepäraselt NAC (Network Access Control) lahenduste klass — võrgupääsukontroll. Artiklite tsüklis, mis on pühendatud Cisco ISE (Identity Services Engine) — NAC lahendusele, et anda kasutajatele kontekstipõhise juurdepääsu kontroll sisetöötajate võrku, uurime põhjalikult arhitektuuri, initsialiseerimist, seadistamist ja litsentseerimist.

Koheselt meenutan, et Cisco ISE võimaldab:

• Kiiresti ja lihtsalt luua külalisjuurdepääsu eraldatud WLAN-is;

• Avastada BYOD seadmeid (näiteks töötajate koduarvutid, mille nad kaasa tõid);

• Keskset ja rakendada turvapoliitikaid domeeni ja mitte-domeen kasutajatele turva-grupi märgiste SGT (tehnoloogia TrustSec);

• Kontrollida arvuteid teatud tarkvara olemasolu ja standardite järgimise osas (posturing);

• Klassifitseerida ja profileerida lõpp- ja võrguseadmeid;

• Anda nähtavust lõppseadmetele;

• Saata logisid kasutajate logimist/lohku minemist, nende identiteeti NGFW-le kasutaja põhise poliitika moodustamiseks;

• Loodud integreeruda Cisco StealthWatchiga ja karantiini panna kahtlased hostid, mis osalevad turvaintsidentides (rohkem);

• Ja muid tavalisi AAA serveri funktsioone.

Kolleegid on juba kirjutanud Cisco ISE-st, seega soovitan edaspidi tutvuda: Cisco ISE rakendamise praktika, kuidas valmistuda Cisco ISE rakendamiseks.

2. Arhitektuur

Identity Services Engine'i arhitektuuris on 4 üksust (sõlme): haldussõlm (Policy Administration Node), poliitikasõlm (Policy Service Node), jälgimissõlm (Monitoring Node) ja PxGrid sõlm (PxGrid Node). Cisco ISE võib olla iseseisev (standalone) või jaotatud (distributed) installatsioon. Iseseisva versiooni puhul asuvad kõik üksused ühel virtuaalsel masinal või füüsilisel serveril (Secure Network Servers — SNS), samas kui jaotatud variant nõuab, et sõlmed oleks erinevates seadmetes.

Haldussõlm (PAN) — kohustuslik sõlm, mis võimaldab teostada kõiki haldustöid Cisco ISE-s. See haldab kõiki süsteemi konfiguratsioone, mis on seotud AAA-aga. Jaotatud konfiguratsioonis (sõlmed saab paigaldada kui eraldi virtuaalsed masinad) võib teil olla maksimaalselt kaks PAN-i, et tagada talitlushäiredootus — Active/Standby režiim.

Poliitikasõlm (PSN) — kohustuslik sõlm, mis tagab võrgu juurde pääsemise, oleku, külalisjuurdepääsu, klientide teenused ja profileerimise. PSN hindab poliitikat ja rakendab seda. Tüüpiliselt on PSN-ide arv mitu, eriti jaotatud konfiguratsioonis, et tagada suurem ülekaalukus ja jaotatud töö. Muidugi püüavad need sõlmed olla erinevates segmentides, et mitte kaotada autentitud ja volitatud juurdepääsu võimalusi ühelgi hetkel.

Jälgimissõlm (MnT) — kohustuslik sõlm, mis salvestab sündmuste logisid, teiste sõlmede ja poliitikate logisid võrgus. MnT sõlm pakub laiendatud tööriistu jälgimiseks ja tõrkeotsinguks, kogub ja viib erinevad andmed kokku ning esitab sisutihedaid aruandeid. Cisco ISE võimaldab maksimaalselt kahe MnT sõlme olemasolu, tagades sellega talitlushäiredootuse — Active/Standby režiim. Siiski koguvad logisid mõlemad sõlmed, nii aktiivne kui ka passiivne.

PxGrid sõlm (PXG) — sõlm, mis rakendab PxGrid protokolli ja tagab suhtluse teiste seadmetega, mis toetavad PxGrid-i.

PxGrid  — protokoll, mis tagab IT- ja turvainfrastruktuuri toodete integreerimise erinevate tootjate vahel: jälgimisüsteemid, ründeteabe tuvastamise ja ärahoidmise süsteemid, turvapoliitikate juhtimise platvormid ja palju muid lahendusi. Cisco PxGrid võimaldab konteksti jagamist ühesuunalises või kahepoolses režiimis paljude platvormidega ilma API-de kasutamiseta, võimaldades seeläbi tehnoloogia rakendamist. TrustSec (SGT märgid), muuta ja rakendada ANC (Adaptive Network Control) poliitikat ning teostada profiilimist — seadme, OP, asukoha ja muu määramist.

Käivitatud kõrge saadavuse konfiguratsioonis replikseerivad PxGrid sõlmed teavet sõlmede vahel PAN-i kaudu. Kui PAN välja lülitatakse, lõpetab PxGrid sõlm autentimise, autoriseerimise ja kasutajate arvestamise. 

Allpool on skeemiliselt kujutatud erinevate Cisco ISE elementide toimimist ettevõtte võrgus.

Joonis 1. Cisco ISE arhitektuur

3. Nõuded

Cisco ISE-d saab juurutada, nagu enamik tänapäevaseid lahendusi, virtuaalselt või füüsiliselt eraldi serverina. 

Füüsilisi seadmeid, millel on installitud Cisco ISE tarkvara, nimetatakse SNS-ks (Secure Network Server). Neid on kolme mudelit: SNS-3615, SNS-3655 ja SNS-3695 väikese, keskmise ja suure ettevõtte jaoks. Tabelis 1 on esitatud teave andmelehtedelt. SNS.

Tabel 1. SNS kõrvalehitus erinevate suuruste jaoks

Parameeter

SNS 3615 (Väike)

SNS 3655 (Keskmine)

SNS 3695 (Suur)

Toetatud lõpp-seadmete arv Standalone paigalduses

10000

25000

50000

Toetatud lõpp-seadmete arv iga PSN-i jaoks

10000

25000

100000

CPU (Intel Xeon 2.10 GHz)

8 tuuma

12 tuuma

12 tuuma

RAM 

32 GB (2 x 16 GB)

96 GB (6 x 16 GB)

256 GB (16 x 16 GB)

HDD

1 x 600 GB

4 x 600 GB

8 x 600 GB

Hardware RAID

Ei

RAID 10, RAID pideva olemasolu

RAID 10, RAID pideva olemasolu

Network interfaces

2 x 10Gbase-T

4 x 1Gbase-T 

2 x 10Gbase-T

4 x 1Gbase-T 

2 x 10Gbase-T

4 x 1Gbase-T

Virtuaalsete juurutuste osas toetatakse VMware ESXi hüperviisoreid (soovitatav minimaalne VMware versioon on 11 ESXi 6.0 jaoks), Microsoft Hyper-V ja Linux KVM (RHEL 7.0). Ressursid peaksid olema ligikaudu samad kui ülaltoodud tabelis, või rohkem. Siiski on väikeettevõtte minimaalne virtuaalmasina nõue: 2 CPU-d millega sagedus on 2.0 GHz ja üle, 16 GB RAM ja 200 GB HDD. 

Muude Cisco ISE juurutamise üksikasjade täpsustamiseks võtke ühendust meiega või allikaga nr 1, allikaga nr 2.

4. Installimine

Nagu enamik teisi Cisco tooteid, saab ISE-d proovida mitmel viisil:

• dcloud – pilve teenus eelkonfigureeritud laborite makettide jaoks (vajalik Cisco konto);

• GVE taotlus – taotlus lehelt Cisco teatud tarkvara (meetod partneritele). Loote juhtumi järgmise tüüpilise kirjeldusega: Toote tüüp [ISE], ISE tarkvara [ise-2.7.0.356.SPA.x8664], ISE plaastrit [ise-patchbundle-2.7.0.356-Patch2-20071516.SPA.x8664];

• pilootprojekt — pöörduge mis tahes volitatud partneri poole tasuta pilootprojekti läbiviimiseks.

1) Kui olete loonud virtuaalmasina ja soovisite ISO faili, mitte OVA šablooni, avaneb aken, kus ISE nõuab installimise valimist. Selleks peaksite logimiseks ja parooliks kirjutama „setup«!

Märkus: kui olete ISE seadistanud OVA šabloonist, on sisselogimise andmed admin / MyIseYPass2 (see ja palju muud on märgitud ametlikus juhendis).

Joonis 2. Cisco ISE installimine

2) Seejärel tuleb täita vajalikud väljad, nagu IP-aadress, DNS, NTP ja muud.

Joonis 3. Cisco ISE initsialiseerimine

3) Pärast seda seade taaskäivitub ja saate veebiliidese kaudu ühenduda eelnevalt määratud IP-aadressiga.

Joonis 4. Cisco ISE veebiliides

4) Vahekaardil Administration > System > Deployment saate valida, millised node’d (üksused) on antud seadmes sisse lülitatud. Node PxGrid lülitatakse siin sisse.

Joonis 5. Cisco ISE üksuste haldamine

5) Seejärel vahekaardil Administration > System > Admin Access > Authentication soovitan seadistada paroolipoliitika, autentimise meetodi (sertifikaat või parool), kasutajakonto aegumise tähtaja ja muud seaded.

Joonis 6. Autentimise tüübi seadistamineJoonis 7. Paroolipoliitika seadedJoonis 8. Kasutajakonto väljalülitamise seadistamine aja möödudesJoonis 9. Kasutajakontode lukustamise seadistamine

6) Vahekaardil Administration > System > Admin Access > Administrators > Admin Users > Add saate luua uue administraatori.

Joonis 10. Cisco ISE kohaliku administraatori loomine

7) Uuest administraatorist saab teha uue grupi või juba eelkonfigureeritud gruppide liige. Administraatorigruppide haldamine toimub samas paneelis vahekaardil Admin Groups. Tabelis 2 on toodud ISE administraatorite teave, nende õigused ja rollid.

Tabel 2. Cisco ISE administraatorigruppide, ligipääsutasemete, lubade ja piirangute ülevaade

Administratori grupi nimetus

Load

Piirangud

Customization Admin

Külastaja ja sponsori portaalide seadistamine, haldamine ja kohandamine

Poliitikate muutmise, aruannete vaatamise puudumine

Abiteenuse administraator

Võimalus vaadata põhijuhte, kõiki aruandeid, häireid ja voogude tõrkeotsingut

Ei saa muuta, luua ega kustutada aruandeid, häireid ja autentimise logisid

Identiteedi administraator

Kasutajate, õiguste ja rollide haldamine, logide, aruannete ja häirete vaatamine

Ei saa muudatusi teha, teha ülesandeid OS tasemel

MnT administraator

Täielik jälgimine, aruandlus, häired, logid ja nende haldamine

Mitte mingite poliitikate muutmise võimalus

Võrgu seadme administraator

ISE objektide loomise, muutmise õigused, logide, aruannete, põhideski vaatamine

Ei saa muudatusi teha, teha ülesandeid OS tasemel

Poliitika administraator

Täielik juhtimine kõigi poliitikate osas, profiilide muutmine, seadistuste vaatamine

Ei saa teha seadistusi ISE objektide, kasutajatunnustega

RBAC administraator

Kõik seadistused Operations vahekaardil, ANC poliitikate seadistamine, aruandluse haldamine

Ei saa muuta teisi poliitikaid kui ANC poliitika, teha ülesandeid OS tasemel

Super administraator

Õigused kõikidele seadistustele, aruandlusele ja haldamisele, võib kustutada ja muuta administraatorite kasutajatükke

Ei saa muudatust teha, kustutada teist profiili Super administraatori rühmas

Süsteemi administraator

Kõik seadistused Operations vahekaardil, süsteemi seadistuste, ANC poliitika haldamine, aruannete vaatamine

Ei saa muuta teisi poliitikaid kui ANC poliitika, teha ülesandeid OS tasemel

Väline RESTful teenuste (ERS) administraator

Täielik juurdepääs REST API Cisco ISE-le

Ainult autentimiseks, kohalike kasutajate, hostide ja turbarühmade (SG) haldamiseks

Väline RESTful teenuste (ERS) operaator

Juurdepääsuõigused REST API Cisco ISE-le

Ainult autentimiseks, kohalike kasutajate, hostide ja turbarühmade (SG) haldamiseks

Joonis 11. Etteinstallitud Cisco ISE administraatorite rühmad

8) Täiendavalt vahekaardil Autoriseerimine > Õigused > RBAC poliitika on võimalik muuta etteinstallitud administraatorite õigusi.

Joonis 12. Etteinstallitud administraatorite profiilide õiguste haldamine

9) Vahekaardil Halduse > Süsteem > Seaded on kõik süsteemi seadistused (DNS, NTP, SMTP ja muud). Saate need täita siin, kui jäite algse seadistamise käigus vahele.

5. Kokkuvõte

Sellega on esimene artikkel lõppenud. Rääkisime NAC lahenduse Cisco ISE efektiivsusest, selle arhitektuurist, minimaalsetest nõuetest ja paigaldusvõimalustest, samuti esialgsest seadistamisest.

Järgmeses artiklis vaatame kasutajakontode loomist, Microsoft Active Directory integreerimist ja külalisjuurdepääsu loomist.

Kui teil on selle teema kohta küsimusi või vajate toote testimisel abi, võtke ühendust lingil.

Jälgige meie kanaleid (Telegram, Facebook, VK, TS Solution Blog, Yandex.Zen).

Allikas: habr.com