सिस्को आईएसई: परिचय, आवश्यकताएँ, स्थापना। भाग ---- पहला

1। परिचय

प्रत्येक कंपनी को, यहां तक ​​कि सबसे छोटी कंपनी को भी, प्रमाणीकरण, प्राधिकरण और उपयोगकर्ता लेखांकन (AAA प्रोटोकॉल परिवार) करने की आवश्यकता होती है। प्रारंभिक स्तर पर, AAA को RADIUS, TACACS+ और DIAMETER जैसे प्रोटोकॉल का उपयोग करके काफी अच्छी तरह से क्रियान्वित किया गया है। हालाँकि, जैसे-जैसे उपयोगकर्ताओं और कंपनी की संख्या बढ़ती है, वैसे-वैसे कार्यों की संख्या भी बढ़ती है: होस्ट और BYOD डिवाइस की अधिकतम दृश्यता, बहु-कारक प्रमाणीकरण, बहु-स्तरीय पहुँच नीति बनाना, और बहुत कुछ।

एनएसी (नेटवर्क एक्सेस कंट्रोल) समाधान वर्ग ऐसे कार्यों के लिए आदर्श है। समर्पित लेखों की एक श्रृंखला में सिस्को आईएसई (पहचान सेवा इंजन) - आंतरिक नेटवर्क पर उपयोगकर्ताओं को संदर्भ-संवेदनशील पहुंच नियंत्रण प्रदान करने के लिए एनएसी समाधान, हम समाधान की वास्तुकला, प्रावधान, कॉन्फ़िगरेशन और लाइसेंसिंग पर विस्तार से विचार करेंगे।

मैं आपको संक्षेप में याद दिला दूं कि सिस्को आईएसई आपको यह करने की अनुमति देता है:

• एक समर्पित WLAN में शीघ्रता और आसानी से अतिथि पहुंच बनाएं;

• BYOD उपकरणों का पता लगाना (जैसे कर्मचारियों के घरेलू पीसी जिन्हें वे काम पर लाते हैं);

• सुरक्षा समूह टैग (SGT) का उपयोग करके डोमेन और गैर-डोमेन उपयोगकर्ताओं के लिए सुरक्षा नीतियों को केंद्रीकृत और लागू करना ट्रस्टसेक);

• कंप्यूटर में स्थापित कुछ सॉफ्टवेयर की उपस्थिति और मानकों के अनुपालन (पोज़िंग) की जांच करना;

• समापन बिंदु और नेटवर्क उपकरणों को वर्गीकृत और प्रोफाइल करना;

• अंतिम बिंदुओं में दृश्यता प्रदान करें;

• उपयोगकर्ता-आधारित नीति बनाने के लिए NGFW को उपयोगकर्ता लॉगऑन/लॉगऑफ इवेंट लॉग और उनके खाते (पहचान) प्रदान करना;

• सिस्को स्टील्थवॉच के साथ मूल रूप से एकीकृत करें और सुरक्षा घटनाओं में शामिल संदिग्ध होस्ट को संगरोध करें (अधिक);

• और AAA सर्वरों के लिए अन्य मानक सुविधाएँ।

उद्योग जगत के सहकर्मियों ने पहले ही सिस्को आईएसई के बारे में लिखा है, इसलिए मेरा सुझाव है कि आप भविष्य में इसे पढ़ें: सिस्को ISE कार्यान्वयन अभ्यास, सिस्को ISE कार्यान्वयन के लिए तैयारी कैसे करें.

2. वास्तुकला

पहचान सेवा इंजन आर्किटेक्चर में 4 इकाइयाँ (नोड्स) हैं: नीति प्रशासन नोड, नीति सेवा नोड, मॉनिटरिंग नोड और PxGrid नोड। सिस्को आईएसई को स्टैंडअलोन या वितरित स्थापना के रूप में स्थापित किया जा सकता है। स्टैंडअलोन संस्करण में, सभी इकाइयाँ एक वर्चुअल मशीन या भौतिक सर्वर (सिक्योर नेटवर्क सर्वर - एसएनएस) पर स्थित होती हैं, जबकि वितरित संस्करण में, नोड्स विभिन्न डिवाइसों में वितरित होते हैं।

नीति प्रशासन नोड (PAN) एक आवश्यक नोड है जो सिस्को ISE पर सभी प्रशासनिक कार्यों को सक्षम करता है। यह AAA से संबंधित सभी सिस्टम कॉन्फ़िगरेशन को संभालता है। वितरित कॉन्फ़िगरेशन में (नोड्स को अलग-अलग वर्चुअल मशीनों के रूप में स्थापित किया जा सकता है) आपके पास दोष सहिष्णुता के लिए अधिकतम दो PAN हो सकते हैं - सक्रिय/स्टैंडबाय मोड।

पॉलिसी सेवा नोड (PSN) एक आवश्यक नोड है जो नेटवर्क एक्सेस, स्थिति, अतिथि एक्सेस, क्लाइंट प्रोविजनिंग और प्रोफाइलिंग प्रदान करता है। PSN नीति का मूल्यांकन करता है और उसे लागू करता है। आमतौर पर, अधिक अनावश्यक और वितरित संचालन के लिए, विशेष रूप से वितरित कॉन्फ़िगरेशन में, एकाधिक PSN स्थापित किए जाते हैं। बेशक, इन नोड्स को अलग-अलग खंडों में स्थापित करने का प्रयास किया जाता है ताकि एक सेकंड के लिए भी प्रमाणीकृत और अधिकृत पहुंच प्रदान करने की क्षमता न खोई जाए।

मॉनिटरिंग नोड (MnT) एक अनिवार्य नोड है जो नेटवर्क में इवेंट लॉग, अन्य नोड्स के लॉग और नीतियों को संग्रहीत करता है। MnT नोड उन्नत निगरानी और समस्या निवारण उपकरण प्रदान करता है, विभिन्न डेटा एकत्रित और सहसंबंधित करता है, और सार्थक रिपोर्ट प्रदान करता है। सिस्को ISE अधिकतम दो MnT नोड्स की अनुमति देता है, जिससे दोष सहिष्णुता - सक्रिय/स्टैंडबाय मोड का निर्माण होता है। हालाँकि, लॉग सक्रिय और निष्क्रिय दोनों नोड्स द्वारा एकत्रित किए जाते हैं।

PxGrid नोड (PXG) एक नोड है जो PxGrid प्रोटोकॉल को क्रियान्वित करता है और PxGrid का समर्थन करने वाले अन्य उपकरणों के बीच संचार प्रदान करता है।

पीएक्सग्रिड  - एक प्रोटोकॉल जो विभिन्न विक्रेताओं से आईटी और सूचना सुरक्षा बुनियादी ढांचे के उत्पादों के एकीकरण को सुनिश्चित करता है: निगरानी प्रणाली, घुसपैठ का पता लगाने और रोकथाम प्रणाली, सुरक्षा नीति प्रबंधन प्लेटफॉर्म और कई अन्य समाधान। सिस्को पीएक्सग्रिड एपीआई की आवश्यकता के बिना कई प्लेटफार्मों के साथ एकतरफा या द्विदिशात्मक मोड में संदर्भ विनिमय को सक्षम बनाता है, जिससे प्रौद्योगिकी का उपयोग संभव हो जाता है ट्रस्टसेक (एसजीटी टैग), एएनसी (अनुकूली नेटवर्क नियंत्रण) नीति को बदलना और लागू करना, तथा प्रोफाइलिंग करना - डिवाइस मॉडल, ओएस, स्थान आदि का निर्धारण करना।

उच्च उपलब्धता कॉन्फ़िगरेशन में, PxGrid नोड्स PAN के माध्यम से नोड्स के बीच सूचना की प्रतिकृति बनाते हैं। यदि PAN अक्षम है, तो PxGrid नोड उपयोगकर्ताओं को प्रमाणित, अधिकृत या रिकॉर्ड नहीं करेगा। 

नीचे एक योजनाबद्ध प्रस्तुतिकरण दिया गया है कि विभिन्न सिस्को ISE इकाइयां कॉर्पोरेट नेटवर्क में किस प्रकार कार्य करती हैं।

चित्र 1. सिस्को ISE आर्किटेक्चर

3. आवश्यकताएँ

अधिकांश आधुनिक समाधानों की तरह, सिस्को आईएसई को आभासी रूप से या भौतिक रूप से एक अलग सर्वर के रूप में तैनात किया जा सकता है। 

सिस्को आईएसई सॉफ्टवेयर स्थापित भौतिक उपकरणों को एसएनएस (सिक्योर नेटवर्क सर्वर) कहा जाता है। वे तीन मॉडलों में आते हैं: छोटे, मध्यम और बड़े व्यवसायों के लिए SNS-3615, SNS-3655 और SNS-3695। तालिका 1 में निम्नलिखित से जानकारी दी गई है डेटा शीट एसएनएस.

तालिका 1. विभिन्न पैमानों के लिए एसएनएस की तुलनात्मक तालिका

प्राचल

एसएनएस 3615 (छोटा)

एसएनएस 3655 (मध्यम)

एसएनएस 3695 (बड़ा)

स्टैंडअलोन इंस्टॉलेशन में समर्थित अंतिम डिवाइसों की संख्या

10000

25000

50000

प्रत्येक PSN के लिए समर्थित समापन बिंदुओं की संख्या

10000

25000

100000

सीपीयू (इंटेल ज़ीऑन 2.10 गीगाहर्ट्ज)

8 कोर

12 कोर

12 कोर

रैम 

32 जीबी (2 x 16 जीबी)

96 जीबी (6 x 16 जीबी)

256 जीबी (16 x 16 जीबी)

HDD

1 x 600 जीबी

4 x 600 जीबी

8 x 600 जीबी

हार्डवेयर RAID

नहीं

RAID 10, RAID नियंत्रक उपलब्ध

RAID 10, RAID नियंत्रक उपलब्ध

नेटवर्क इंटरफेस

2 x 10Gबेस-टी

4 x 1Gबेस-टी 

2 x 10Gबेस-टी

4 x 1Gबेस-टी 

2 x 10Gबेस-टी

4 x 1Gबेस-टी

वर्चुअल कार्यान्वयन के संबंध में, समर्थित हाइपरवाइज़र VMware ESXi (ESXi 6.0 के लिए कम से कम VMware संस्करण 11 की अनुशंसा की जाती है), Microsoft Hyper-V और हैं। Linux KVM (RHEL 7.0)। संसाधन ऊपर दी गई तालिका के लगभग बराबर या उससे अधिक होने चाहिए। हालाँकि, छोटे व्यवसायों के लिए न्यूनतम वर्चुअल मशीन आवश्यकताएँ इस प्रकार हैं: सीपीयू 2 2.0 गीगाहर्ट्ज और उससे अधिक आवृत्ति के साथ, 16 जीबी रैम и 200 जीबी HDD। 

सिस्को ISE परिनियोजन पर अधिक जानकारी के लिए, कृपया देखें हमारे लिए या करने के लिए संसाधन #1, संसाधन #2.

4. स्थापना

अधिकांश अन्य सिस्को उत्पादों की तरह, ISE का परीक्षण कई तरीकों से किया जा सकता है:

• dcloud - पूर्व-स्थापित लैब लेआउट की क्लाउड सेवा (सिस्को खाता आवश्यक);

• जीवीई अनुरोध - अनुरोध के साथ сайта सिस्को विशिष्ट सॉफ्टवेयर (भागीदारों के लिए विधि). आप निम्न विशिष्ट विवरण के साथ एक मामला बनाते हैं: उत्पाद प्रकार [ISE], ISE सॉफ़्टवेयर [ise-2.7.0.356.SPA.x8664], ISE पैच [ise-patchbundle-2.7.0.356-Patch2-20071516.SPA.x8664];

• आरंभिक परियोजना - निःशुल्क पायलट परियोजना संचालित करने के लिए किसी अधिकृत साझेदार से संपर्क करें।

1) वर्चुअल मशीन बनाने के बाद, यदि आपने ISO फ़ाइल का अनुरोध किया है और OVA टेम्पलेट का नहीं, तो आपको एक विंडो दिखाई देगी जिसमें ISE आपसे इंस्टॉलेशन का चयन करने के लिए कहेगा। ऐसा करने के लिए, लॉगिन और पासवर्ड के बजाय, आपको लिखना चाहिए “व्यवस्था"!

नोट: यदि आपने OVA टेम्पलेट से ISE तैनात किया है, तो लॉगिन विवरण एडमिन / MyIseYPass2 (यह और बहुत कुछ आधिकारिक में इंगित किया गया है मार्गदर्शक).

चित्र 2. सिस्को ISE स्थापित करना

2) फिर आपको आवश्यक फ़ील्ड जैसे आईपी एड्रेस, डीएनएस, एनटीपी और अन्य भरना चाहिए।

चित्र 3. सिस्को ISE आरंभ करना

3) इसके बाद, डिवाइस रीबूट हो जाएगी, और आप वेब इंटरफेस के माध्यम से पहले निर्दिष्ट आईपी पते से कनेक्ट हो सकेंगे।

चित्र 4. सिस्को ISE वेब इंटरफ़ेस

4) एक टैब में प्रशासन > सिस्टम > परिनियोजन आप चुन सकते हैं कि किसी विशेष डिवाइस पर कौन से नोड्स (इकाइयाँ) सक्षम हैं। यहां PxGrid नोड सक्षम है.

चित्र 5. सिस्को ISE संस्थाओं का प्रबंधन

5) फिर टैब में प्रशासन > सिस्टम > व्यवस्थापक पहुँच > प्रमाणीकरण मैं पासवर्ड नीति, प्रमाणीकरण विधि (प्रमाणपत्र या पासवर्ड), खाता समाप्ति तिथि और अन्य सेटिंग्स सेट करने की अनुशंसा करता हूं।

चित्र 6. प्रमाणीकरण प्रकार सेट करनाचित्र 7. पासवर्ड नीति सेटिंगचित्र 8. समय बीत जाने के बाद खाता निष्क्रियण सेट करनाचित्र 9. खाता ब्लॉक करना

6) एक टैब में व्यवस्थापन > सिस्टम > व्यवस्थापक पहुँच > व्यवस्थापक > व्यवस्थापक उपयोगकर्ता > जोड़ें आप एक नया व्यवस्थापक बना सकते हैं.

चित्र 10. सिस्को ISE स्थानीय प्रशासक बनाना

7) नये प्रशासक को नये समूह या पूर्व-स्थापित समूहों का हिस्सा बनाया जा सकता है। व्यवस्थापक समूहों का प्रबंधन टैब में एक ही पैनल में किया जाता है व्यवस्थापक समूह. तालिका 2 में ISE प्रशासकों, उनके अधिकारों और भूमिकाओं के बारे में जानकारी का सारांश दिया गया है।

तालिका 2. सिस्को ISE व्यवस्थापक समूह, पहुँच स्तर, अनुमतियाँ और प्रतिबंध

व्यवस्थापक समूह का नाम

अनुमति

सीमाएं

अनुकूलन व्यवस्थापक

अतिथि और प्रायोजक पोर्टल की स्थापना, प्रशासन और अनुकूलन

नीतियों में परिवर्तन करने, रिपोर्ट देखने में असमर्थता

हेल्पडेस्क एडमिन

मुख्य डैशबोर्ड, सभी रिपोर्ट, लार्म और समस्या निवारण स्ट्रीम देखने की क्षमता

आप रिपोर्ट, अलार्म या प्रमाणीकरण लॉग को संशोधित, बना या हटा नहीं सकते।

पहचान व्यवस्थापक

उपयोगकर्ताओं, विशेषाधिकारों और भूमिकाओं को प्रबंधित करें, लॉग, रिपोर्ट और अलार्म देखें

आप OS स्तर पर नीतियां नहीं बदल सकते या कार्य नहीं कर सकते.

एमएनटी एडमिन

पूर्ण निगरानी, ​​रिपोर्टिंग, अलार्म, लॉग और प्रबंधन

कोई भी नीति बदलने में असमर्थ

नेटवर्क डिवाइस एडमिन

ISE ऑब्जेक्ट बनाने, संशोधित करने, लॉग, रिपोर्ट, मुख्य डैशबोर्ड देखने के अधिकार

आप OS स्तर पर नीतियां नहीं बदल सकते या कार्य नहीं कर सकते.

नीति व्यवस्थापक

सभी नीतियों पर पूर्ण नियंत्रण, प्रोफाइल बदलना, सेटिंग, रिपोर्ट देखना

क्रेडेंशियल, ISE ऑब्जेक्ट के साथ कॉन्फ़िगरेशन करने में असमर्थ

आरबीएसी एडमिन

ऑपरेशन टैब में सभी सेटिंग्स, ANC नीति सेटिंग्स, रिपोर्टिंग प्रबंधन

आप ANC के अलावा अन्य नीतियों को नहीं बदल सकते, OS स्तर पर कार्य नहीं कर सकते

सुपर व्यवस्थापक

सभी सेटिंग्स, रिपोर्टिंग और प्रबंधन के अधिकार, व्यवस्थापक क्रेडेंशियल्स को हटा और बदल सकते हैं

सुपर एडमिन समूह से अन्य प्रोफ़ाइल को संपादित या हटाया नहीं जा सकता

सिस्टम एडमिन

ऑपरेशन टैब में सभी सेटिंग्स, सिस्टम सेटिंग्स प्रबंधित करें, ANC नीति, रिपोर्ट देखें

आप ANC के अलावा अन्य नीतियों को नहीं बदल सकते, OS स्तर पर कार्य नहीं कर सकते

बाहरी RESTful सेवाएँ (ERS) व्यवस्थापक

सिस्को ISE REST API तक पूर्ण पहुंच

केवल प्राधिकरण के लिए, स्थानीय उपयोगकर्ताओं, होस्ट और सुरक्षा समूहों (एसजी) का प्रबंधन

बाह्य RESTful सेवाएँ (ERS) ऑपरेटर

सिस्को ISE REST API पढ़ने की अनुमति

केवल प्राधिकरण के लिए, स्थानीय उपयोगकर्ताओं, होस्ट और सुरक्षा समूहों (एसजी) का प्रबंधन

चित्र 11. सिस्को ISE पूर्वनिर्धारित व्यवस्थापक समूह

8) टैब में अतिरिक्त प्राधिकरण > अनुमतियाँ > RBAC नीति आप पूर्व-स्थापित प्रशासकों के अधिकारों को संपादित कर सकते हैं।

चित्र 12. Cisco ISE पूर्वनिर्धारित व्यवस्थापक प्रोफ़ाइल अधिकारों का प्रबंधन करना

9) एक टैब में प्रशासन > सिस्टम > सेटिंग्स सभी सिस्टम सेटिंग्स उपलब्ध हैं (DNS, NTP, SMTP और अन्य)। यदि आपने डिवाइस के आरंभिक आरंभीकरण के दौरान इन्हें भरना भूल गए हों तो आप इन्हें यहां भर सकते हैं।

5। निष्कर्ष

इसके साथ ही पहला लेख समाप्त होता है। हमने सिस्को आईएसई एनएसी समाधान की प्रभावशीलता, इसकी वास्तुकला, न्यूनतम आवश्यकताओं और परिनियोजन विकल्पों तथा प्रारंभिक स्थापना पर चर्चा की।

अगले लेख में, हम खाते बनाने, Microsoft Active Directory के साथ एकीकरण करने, तथा अतिथि पहुँच बनाने पर विचार करेंगे।

यदि इस विषय पर आपके कोई प्रश्न हैं या उत्पाद के परीक्षण में सहायता की आवश्यकता है, तो कृपया संपर्क करें लिंक.

हमारे चैनलों में अपडेट के लिए बने रहें (Telegram, Facebook, VK, टीएस समाधान ब्लॉग, Yandeks.Dzen).

स्रोत: www.habr.com