સિસ્કો ISE: પરિચય, જરૂરિયાતો, ઇન્સ્ટોલેશન. ભાગ 1

1. પરિચય

દરેક કંપની, સૌથી નાની પણ, પ્રમાણીકરણ, અધિકૃતતા અને વપરાશકર્તા એકાઉન્ટિંગ (પ્રોટોકોલનું AAA કુટુંબ) ની જરૂર હોય છે. પ્રારંભિક તબક્કે, એએએ RADIUS, TACACS+ અને DIAMETER જેવા પ્રોટોકોલનો ઉપયોગ કરીને ખૂબ જ સારી રીતે અમલમાં મૂકવામાં આવે છે. જો કે, જેમ જેમ વપરાશકર્તાઓ અને કંપનીની સંખ્યા વધે છે તેમ તેમ કાર્યોની સંખ્યા પણ વધે છે: યજમાનો અને BYOD ઉપકરણોની મહત્તમ દૃશ્યતા, મલ્ટિ-ફેક્ટર ઓથેન્ટિકેશન, મલ્ટિ-લેવલ એક્સેસ પોલિસી બનાવવી અને ઘણું બધું.

આવા કાર્યો માટે, NAC (નેટવર્ક એક્સેસ કંટ્રોલ) ક્લાસ સોલ્યુશન સંપૂર્ણ છે - નેટવર્ક એક્સેસ કંટ્રોલ. ને સમર્પિત લેખોની શ્રેણીમાં સિસ્કો ISE (ઓળખ સેવા એન્જિન) - આંતરિક નેટવર્ક પર વપરાશકર્તાઓને સંદર્ભ-જાગૃત ઍક્સેસ નિયંત્રણ પ્રદાન કરવા માટે NAC સોલ્યુશન, અમે સોલ્યુશનના આર્કિટેક્ચર, જોગવાઈ, ગોઠવણી અને લાઇસન્સિંગ પર વિગતવાર ધ્યાન આપીશું.

ચાલો હું તમને ટૂંકમાં યાદ અપાવી દઉં કે સિસ્કો ISE તમને આની પરવાનગી આપે છે:

• સમર્પિત WLAN પર ઝડપથી અને સરળતાથી ગેસ્ટ એક્સેસ બનાવો;

• BYOD ઉપકરણો શોધો (ઉદાહરણ તરીકે, કર્મચારીઓના હોમ પીસી કે જે તેઓ કામ પર લાવ્યા છે);

• SGT સુરક્ષા જૂથ લેબલ્સનો ઉપયોગ કરીને ડોમેન અને નોન-ડોમેન વપરાશકર્તાઓમાં સુરક્ષા નીતિઓને કેન્દ્રિય બનાવો અને લાગુ કરો ટ્રસ્ટસેક);

• ચોક્કસ સૉફ્ટવેર ઇન્સ્ટોલ કરવા અને ધોરણો (પોશ્ચરિંગ) નું પાલન કરવા માટે કમ્પ્યુટર્સ તપાસો;

• વર્ગીકરણ અને પ્રોફાઇલ એન્ડપોઇન્ટ અને નેટવર્ક ઉપકરણો;

• અંતિમ બિંદુ દૃશ્યતા પ્રદાન કરો;

• વપરાશકર્તા-આધારિત નીતિ બનાવવા માટે NGFW ને વપરાશકર્તાઓના લોગોન/લોગઓફના ઇવેન્ટ લોગ, તેમના એકાઉન્ટ્સ (ઓળખ) મોકલો;

• સિસ્કો સ્ટેલ્થવોચ અને સુરક્ષા ઘટનાઓમાં સામેલ શંકાસ્પદ યજમાનોને ક્વોરેન્ટાઇન સાથે મૂળ રીતે એકીકૃત કરો (વધુ માહિતી);

• અને AAA સર્વર્સ માટે અન્ય સુવિધાઓ પ્રમાણભૂત.

ઉદ્યોગના સાથીઓએ સિસ્કો ISE વિશે પહેલેથી જ લખ્યું છે, તેથી હું તમને વાંચવાની સલાહ આપું છું: સિસ્કો ISE અમલીકરણ પ્રેક્ટિસ, સિસ્કો ISE અમલીકરણ માટે કેવી રીતે તૈયારી કરવી.

2. આર્કિટેક્ચર

આઇડેન્ટિટી સર્વિસ એન્જિન આર્કિટેક્ચરમાં 4 એન્ટિટી (નોડ) છે: મેનેજમેન્ટ નોડ (પોલીસી એડમિનિસ્ટ્રેશન નોડ), પોલિસી ડિસ્ટ્રિબ્યુશન નોડ (પોલીસી સર્વિસ નોડ), મોનિટરિંગ નોડ (મોનિટરિંગ નોડ) અને PxGrid નોડ (PxGrid નોડ). સિસ્કો ISE એકલ અથવા વિતરિત ઇન્સ્ટોલેશનમાં હોઈ શકે છે. એકલ સંસ્કરણમાં, બધી સંસ્થાઓ એક વર્ચ્યુઅલ મશીન અથવા ભૌતિક સર્વર (સિક્યોર નેટવર્ક સર્વર્સ - SNS) પર સ્થિત છે, જ્યારે વિતરિત સંસ્કરણમાં, નોડ્સ વિવિધ ઉપકરણો પર વિતરિત કરવામાં આવે છે.

પોલિસી એડમિનિસ્ટ્રેશન નોડ (PAN) એ જરૂરી નોડ છે જે તમને સિસ્કો ISE પર તમામ વહીવટી કામગીરી કરવા દે છે. તે AAA થી સંબંધિત તમામ સિસ્ટમ રૂપરેખાંકનો સંભાળે છે. વિતરિત રૂપરેખાંકનમાં (નોડ્સ અલગ વર્ચ્યુઅલ મશીન તરીકે ઇન્સ્ટોલ કરી શકાય છે), તમારી પાસે ખામી સહિષ્ણુતા માટે મહત્તમ બે PAN હોઈ શકે છે - સક્રિય/સ્ટેન્ડબાય મોડ.

પોલિસી સર્વિસ નોડ (PSN) એ ફરજિયાત નોડ છે જે નેટવર્ક એક્સેસ, સ્ટેટ, ગેસ્ટ એક્સેસ, ક્લાયન્ટ સર્વિસ પ્રોવિઝનિંગ અને પ્રોફાઇલિંગ પ્રદાન કરે છે. PSN નીતિનું મૂલ્યાંકન કરે છે અને તેને લાગુ કરે છે. સામાન્ય રીતે, બહુવિધ PSN ઇન્સ્ટોલ કરવામાં આવે છે, ખાસ કરીને વિતરિત ગોઠવણીમાં, વધુ બિનજરૂરી અને વિતરિત કામગીરી માટે. અલબત્ત, તેઓ આ નોડ્સને અલગ-અલગ સેગમેન્ટમાં ઇન્સ્ટોલ કરવાનો પ્રયાસ કરે છે જેથી કરીને એક સેકન્ડ માટે પ્રમાણિત અને અધિકૃત ઍક્સેસ પ્રદાન કરવાની ક્ષમતા ગુમાવી ન પડે.

મોનિટરિંગ નોડ (MnT) એ એક ફરજિયાત નોડ છે જે નેટવર્ક પર ઇવેન્ટ લોગ, અન્ય નોડ્સના લોગ અને નીતિઓને સ્ટોર કરે છે. MnT નોડ મોનિટરિંગ અને મુશ્કેલીનિવારણ માટે અદ્યતન સાધનો પ્રદાન કરે છે, વિવિધ ડેટા એકત્રિત કરે છે અને તેને સહસંબંધિત કરે છે, અને અર્થપૂર્ણ અહેવાલો પણ પ્રદાન કરે છે. સિસ્કો ISE તમને વધુમાં વધુ બે MnT નોડ્સ રાખવાની પરવાનગી આપે છે, ત્યાંથી ફોલ્ટ ટોલરન્સ - એક્ટિવ/સ્ટેન્ડબાય મોડ બનાવે છે. જો કે, લોગ સક્રિય અને નિષ્ક્રિય બંને નોડ્સ દ્વારા એકત્રિત કરવામાં આવે છે.

PxGrid નોડ (PXG) એ નોડ છે જે PxGrid પ્રોટોકોલનો ઉપયોગ કરે છે અને PxGrid ને સપોર્ટ કરતા અન્ય ઉપકરણો વચ્ચે સંચારની મંજૂરી આપે છે.

PxGrid  — એક પ્રોટોકોલ જે વિવિધ વિક્રેતાઓ પાસેથી IT અને માહિતી સુરક્ષા માળખાગત ઉત્પાદનોના સંકલનને સુનિશ્ચિત કરે છે: મોનિટરિંગ સિસ્ટમ્સ, ઇન્ટ્રુઝન ડિટેક્શન અને પ્રિવેન્શન સિસ્ટમ્સ, સિક્યુરિટી પોલિસી મેનેજમેન્ટ પ્લેટફોર્મ્સ અને અન્ય ઘણા ઉકેલો. Cisco PxGrid તમને API ની જરૂર વગર ઘણા પ્લેટફોર્મ સાથે યુનિડાયરેક્શનલ અથવા દ્વિપક્ષીય રીતે સંદર્ભ શેર કરવાની મંજૂરી આપે છે, જેનાથી ટેક્નોલોજી સક્ષમ બને છે. ટ્રસ્ટસેક (SGT ટૅગ્સ), ANC (એડેપ્ટિવ નેટવર્ક કંટ્રોલ) નીતિ બદલો અને લાગુ કરો, તેમજ પ્રોફાઇલિંગ કરો - ઉપકરણ મોડેલ, OS, સ્થાન અને વધુ નક્કી કરો.

ઉચ્ચ ઉપલબ્ધતા રૂપરેખાંકનમાં, PxGrid નોડ્સ PAN પર નોડ્સ વચ્ચેની માહિતીની નકલ કરે છે. જો PAN અક્ષમ હોય, તો PxGrid નોડ વપરાશકર્તાઓ માટે પ્રમાણીકરણ, અધિકૃતતા અને એકાઉન્ટિંગ બંધ કરે છે. 

નીચે કોર્પોરેટ નેટવર્કમાં વિવિધ સિસ્કો ISE એકમોની કામગીરીની યોજનાકીય રજૂઆત છે.

આકૃતિ 1. સિસ્કો ISE આર્કિટેક્ચર

3. જરૂરીયાતો

સિસ્કો ISE, મોટાભાગના આધુનિક ઉકેલોની જેમ, વર્ચ્યુઅલ અથવા ભૌતિક રીતે અલગ સર્વર તરીકે અમલમાં મૂકી શકાય છે. 

સિસ્કો ISE સોફ્ટવેર ચલાવતા ભૌતિક ઉપકરણોને SNS (સિક્યોર નેટવર્ક સર્વર) કહેવામાં આવે છે. તેઓ ત્રણ મોડલમાં આવે છે: SNS-3615, SNS-3655 અને SNS-3695 નાના, મધ્યમ અને મોટા વ્યવસાયો માટે. કોષ્ટક 1 માંથી માહિતી બતાવે છે ડેટાશીટ SNS.

કોષ્ટક 1. વિવિધ સ્કેલ માટે SNS નું તુલનાત્મક કોષ્ટક

પેરામીટર

SNS 3615 (નાનું)

SNS 3655 (મધ્યમ)

SNS 3695 (મોટું)

સ્ટેન્ડઅલોન ઇન્સ્ટોલેશનમાં સપોર્ટેડ એન્ડપોઇન્ટ્સની સંખ્યા

10000

25000

50000

PSN દીઠ સમર્થિત અંતિમ બિંદુઓની સંખ્યા

10000

25000

100000

CPU (Intel Xeon 2.10 GHz)

8 કોરો

12 કોરો

12 કોરો

રામ 

32 જીબી (2 x 16 જીબી)

96 જીબી (6 x 16 જીબી)

256 જીબી (16 x 16 જીબી)

HDD

1 x 600 GB

4 x 600 GB

8 x 600 GB

હાર્ડવેર RAID

કોઈ

RAID 10, RAID નિયંત્રકની હાજરી

RAID 10, RAID નિયંત્રકની હાજરી

નેટવર્ક ઇન્ટરફેસો

2 x 10Gbase-T

4 x 1Gbase-T 

2 x 10Gbase-T

4 x 1Gbase-T 

2 x 10Gbase-T

4 x 1Gbase-T

વર્ચ્યુઅલ અમલીકરણ અંગે, સપોર્ટેડ હાઇપરવાઇઝર VMware ESXi (ESXi 11 માટે ન્યૂનતમ VMware સંસ્કરણ 6.0 ભલામણ કરવામાં આવે છે), Microsoft Hyper-V અને Linux KVM (RHEL 7.0) છે. સંસાધનો ઉપરના કોષ્ટકમાં લગભગ સમાન અથવા વધુ હોવા જોઈએ. જો કે, નાના બિઝનેસ વર્ચ્યુઅલ મશીન માટેની ન્યૂનતમ આવશ્યકતાઓ છે: 2 સીપીયુ 2.0 ગીગાહર્ટ્ઝ અને તેથી વધુની આવર્તન સાથે, 16 જીબી રેમ и 200 જીબી એચડીડી. 

અન્ય સિસ્કો ISE ડિપ્લોયમેન્ટ વિગતો માટે, કૃપા કરીને સંપર્ક કરો અમને અથવા માટે સંસાધન #1, સંસાધન #2.

4. સ્થાપન

સિસ્કોના અન્ય ઉત્પાદનોની જેમ, ISE નું પરીક્ષણ ઘણી રીતે કરી શકાય છે:

• dCloud - પૂર્વ-સ્થાપિત લેબોરેટરી લેઆઉટની ક્લાઉડ સેવા (સિસ્કો એકાઉન્ટ જરૂરી);

• GVE વિનંતી - તરફથી વિનંતી સાઇટ ચોક્કસ સોફ્ટવેરનો સિસ્કો (ભાગીદારો માટેની પદ્ધતિ). તમે નીચેના લાક્ષણિક વર્ણન સાથે કેસ બનાવો છો: ઉત્પાદન પ્રકાર [ISE], ISE સોફ્ટવેર [ise-2.7.0.356.SPA.x8664], ISE પેચ [ise-patchbundle-2.7.0.356-Patch2-20071516.SPA.x8664];

• પાયલોટ પ્રોજેક્ટ - મફત પાયલોટ પ્રોજેક્ટ હાથ ધરવા માટે કોઈપણ અધિકૃત ભાગીદારનો સંપર્ક કરો.

1) વર્ચ્યુઅલ મશીન બનાવ્યા પછી, જો તમે OVA ટેમ્પલેટ નહીં પણ ISO ફાઇલની વિનંતી કરી હોય, તો એક વિન્ડો પોપ અપ થશે જેમાં ISE એ તમારે ઇન્સ્ટોલેશન પસંદ કરવાની જરૂર છે. આ કરવા માટે, તમારા લોગિન અને પાસવર્ડને બદલે, તમારે લખવું જોઈએ “સ્થાપના!

ઉદાહરણ: જો તમે OVA ટેમ્પલેટમાંથી ISE જમાવ્યું હોય, તો લોગિન વિગતો એડમિન/MyIseYPass2 (આ અને ઘણું બધું અધિકારીમાં દર્શાવેલ છે માર્ગદર્શન).

આકૃતિ 2. સિસ્કો ISE ઇન્સ્ટોલ કરી રહ્યું છે

2) પછી તમારે IP સરનામું, DNS, NTP અને અન્ય જેવા જરૂરી ક્ષેત્રો ભરવા જોઈએ.

આકૃતિ 3. સિસ્કો ISE શરૂ કરી રહ્યા છીએ

3) તે પછી, ઉપકરણ રીબૂટ થશે, અને તમે અગાઉ ઉલ્લેખિત IP સરનામાંનો ઉપયોગ કરીને વેબ ઇન્ટરફેસ દ્વારા કનેક્ટ કરવામાં સમર્થ હશો.

આકૃતિ 4. સિસ્કો ISE વેબ ઈન્ટરફેસ

4) ટેબમાં એડમિનિસ્ટ્રેશન > સિસ્ટમ > ડિપ્લોયમેન્ટ તમે ચોક્કસ ઉપકરણ પર કયા નોડ્સ (એન્ટિટી) સક્ષમ છે તે પસંદ કરી શકો છો. PxGrid નોડ અહીં સક્ષમ કરેલ છે.

આકૃતિ 5. સિસ્કો ISE એન્ટિટી મેનેજમેન્ટ

5) પછી ટેબમાં એડમિનિસ્ટ્રેશન > સિસ્ટમ > એડમિન એક્સેસ > પ્રમાણીકરણ હું પાસવર્ડ નીતિ, પ્રમાણીકરણ પદ્ધતિ (પ્રમાણપત્ર અથવા પાસવર્ડ), એકાઉન્ટ સમાપ્તિ તારીખ અને અન્ય સેટિંગ્સ સેટ કરવાની ભલામણ કરું છું.

આકૃતિ 6. પ્રમાણીકરણ પ્રકાર સેટિંગઆકૃતિ 7. પાસવર્ડ નીતિ સેટિંગ્સઆકૃતિ 8. સમય સમાપ્ત થયા પછી એકાઉન્ટ શટડાઉન સેટ કરવુંઆકૃતિ 9. એકાઉન્ટ લોકીંગ સુયોજિત કરી રહ્યા છીએ

6) ટેબમાં એડમિનિસ્ટ્રેશન > સિસ્ટમ > એડમિન એક્સેસ > એડમિનિસ્ટ્રેટર્સ > એડમિન યુઝર્સ > ઉમેરો તમે નવો એડમિનિસ્ટ્રેટર બનાવી શકો છો.

આકૃતિ 10. સ્થાનિક સિસ્કો ISE એડમિનિસ્ટ્રેટર બનાવી રહ્યા છે

7) નવા એડમિનિસ્ટ્રેટરને નવા જૂથ અથવા પહેલાથી નિર્ધારિત જૂથોનો ભાગ બનાવી શકાય છે. એડમિનિસ્ટ્રેટર જૂથો ટેબમાં સમાન પેનલમાં સંચાલિત થાય છે એડમિન જૂથો. કોષ્ટક 2 ISE સંચાલકો, તેમના અધિકારો અને ભૂમિકાઓ વિશેની માહિતીનો સારાંશ આપે છે.

કોષ્ટક 2. સિસ્કો ISE એડમિનિસ્ટ્રેટર જૂથો, ઍક્સેસ સ્તરો, પરવાનગીઓ અને પ્રતિબંધો

સંચાલક જૂથનું નામ

પરવાનગી

પ્રતિબંધો

કસ્ટમાઇઝેશન એડમિન

અતિથિ અને સ્પોન્સરશિપ પોર્ટલ, વહીવટ અને કસ્ટમાઇઝેશન સેટ કરવું

નીતિઓ બદલવા અથવા રિપોર્ટ જોવાની અસમર્થતા

હેલ્પડેસ્ક એડમિન

મુખ્ય ડેશબોર્ડ, તમામ રિપોર્ટ્સ, લાર્મ્સ અને મુશ્કેલીનિવારણ સ્ટ્રીમ્સ જોવાની ક્ષમતા

તમે રિપોર્ટ્સ, એલાર્મ્સ અને ઓથેન્ટિકેશન લૉગ્સ બદલી, બનાવી અથવા કાઢી શકતા નથી

ઓળખ વ્યવસ્થાપક

વપરાશકર્તાઓ, વિશેષાધિકારો અને ભૂમિકાઓનું સંચાલન, લોગ્સ, રિપોર્ટ્સ અને એલાર્મ્સ જોવાની ક્ષમતા

તમે OS સ્તર પર નીતિઓ બદલી શકતા નથી અથવા કાર્યો કરી શકતા નથી

MnT એડમિન

સંપૂર્ણ દેખરેખ, અહેવાલો, એલાર્મ, લોગ અને તેમનું સંચાલન

કોઈપણ નીતિઓમાં ફેરફાર કરવામાં અસમર્થતા

નેટવર્ક ઉપકરણ વ્યવસ્થાપક

ISE ઑબ્જેક્ટ્સ બનાવવા અને બદલવા, લૉગ્સ, રિપોર્ટ્સ, મુખ્ય ડેશબોર્ડ જોવાના અધિકારો

તમે OS સ્તર પર નીતિઓ બદલી શકતા નથી અથવા કાર્યો કરી શકતા નથી

પોલિસી એડમિન

તમામ નીતિઓનું સંપૂર્ણ સંચાલન, પ્રોફાઇલ્સ, સેટિંગ્સ બદલવા, રિપોર્ટ્સ જોવા

ઓળખપત્ર, ISE ઑબ્જેક્ટ્સ સાથે સેટિંગ્સ કરવામાં અસમર્થતા

RBAC એડમિન

ઓપરેશન્સ ટેબમાં તમામ સેટિંગ્સ, ANC પોલિસી સેટિંગ્સ, રિપોર્ટિંગ મેનેજમેન્ટ

તમે ANC સિવાયની નીતિઓ બદલી શકતા નથી અથવા OS સ્તર પર કાર્યો કરી શકતા નથી

સુપર સંચાલન

તમામ સેટિંગ્સ, રિપોર્ટિંગ અને મેનેજમેન્ટના અધિકારો, એડમિનિસ્ટ્રેટર ઓળખપત્રોને કાઢી અને બદલી શકે છે

બદલી શકતા નથી, સુપર એડમિન જૂથમાંથી બીજી પ્રોફાઇલ કાઢી નાખો

સિસ્ટમ એડમિન

ઓપરેશન્સ ટેબમાં તમામ સેટિંગ્સ, સિસ્ટમ સેટિંગ્સનું સંચાલન, ANC નીતિ, અહેવાલો જોવા

તમે ANC સિવાયની નીતિઓ બદલી શકતા નથી અથવા OS સ્તર પર કાર્યો કરી શકતા નથી

એક્સટર્નલ રેસ્ટફુલ સર્વિસીસ (ERS) એડમિન

Cisco ISE REST API ની સંપૂર્ણ ઍક્સેસ

ફક્ત સ્થાનિક વપરાશકર્તાઓ, યજમાનો અને સુરક્ષા જૂથો (SG) ના અધિકૃતતા, સંચાલન માટે

એક્સટર્નલ રેસ્ટફુલ સર્વિસીસ (ERS) ઓપરેટર

સિસ્કો ISE REST API વાંચવાની પરવાનગીઓ

ફક્ત સ્થાનિક વપરાશકર્તાઓ, યજમાનો અને સુરક્ષા જૂથો (SG) ના અધિકૃતતા, સંચાલન માટે

આકૃતિ 11. પૂર્વવ્યાખ્યાયિત સિસ્કો ISE એડમિનિસ્ટ્રેટર જૂથો

8) ટેબમાં વૈકલ્પિક અધિકૃતતા > પરવાનગીઓ > RBAC નીતિ તમે પૂર્વવ્યાખ્યાયિત સંચાલકોના અધિકારોને સંપાદિત કરી શકો છો.

આકૃતિ 12. સિસ્કો ISE એડમિનિસ્ટ્રેટર પ્રીસેટ પ્રોફાઇલ રાઇટ્સ મેનેજમેન્ટ

9) ટેબમાં એડમિનિસ્ટ્રેશન > સિસ્ટમ > સેટિંગ્સ બધી સિસ્ટમ સેટિંગ્સ ઉપલબ્ધ છે (DNS, NTP, SMTP અને અન્ય). જો તમે પ્રારંભિક ઉપકરણ પ્રારંભ દરમિયાન તેમને ચૂકી ગયા હોવ તો તમે તેમને અહીં ભરી શકો છો.

5. નિષ્કર્ષ

આ પ્રથમ લેખ સમાપ્ત કરે છે. અમે સિસ્કો ISE NAC સોલ્યુશનની અસરકારકતા, તેના આર્કિટેક્ચર, ન્યૂનતમ જરૂરિયાતો અને જમાવટ વિકલ્પો અને પ્રારંભિક ઇન્સ્ટોલેશન વિશે ચર્ચા કરી.

આગલા લેખમાં, અમે એકાઉન્ટ્સ બનાવવા, માઇક્રોસોફ્ટ એક્ટિવ ડિરેક્ટરી સાથે એકીકૃત કરવા અને ગેસ્ટ એક્સેસ બનાવવા વિશે જોઈશું.

જો તમને આ વિષય વિશે પ્રશ્નો હોય અથવા ઉત્પાદનના પરીક્ષણમાં મદદની જરૂર હોય, તો કૃપા કરીને સંપર્ક કરો કડી.

અમારી ચેનલોમાં અપડેટ્સ માટે ટ્યુન રહો (Telegram, ફેસબુક, VK, ટીએસ સોલ્યુશન બ્લોગ, યાન્ડેક્ષ ઝેન).

સોર્સ: www.habr.com