1. Bevezetés
Minden vállalatnak, még a legkisebbeknek is szüksége van a felhasználók hitelesítésére, jogosultságaira és nyilvántartására (AAA protokollcsalád). Az AAA kezdeti szakaszában jól megvalósítható olyan protokollokkal, mint a RADIUS, TACACS+ és DIAMETER. Azonban a felhasználók számának és a vállalat növekedésével nőnek a feladatok is: maximális láthatóság a hostok és BYOD eszközök esetében, többlépcsős hitelesítés, több szintű hozzáférési politika létrehozása és még sok más.
Ezekre a feladatokra kiválóan alkalmas a NAC (Network Access Control) megoldások csoportja — a hálózati hozzáférés ellenőrzése. Az ehhez kapcsolódó cikkek sorozatában (Identity Services Engine) — egy NAC megoldás, amely a felhasználók hozzáférésének ellenőrzését biztosítja a belső hálózathoz a kontextus figyelembevételével, részletesen tárgyaljuk az architektúrát, az inicializálást, a konfigurálást és a licencelést.
Röviden emlékeztetek, hogy a Cisco ISE lehetővé teszi:
Gyorsan és egyszerűen létrehozni vendéghozzáférést elkülönített WLAN-on;
Felfedezni a BYOD eszközöket (például a munkába hozott otthoni számítógépeket);
Centralizálni és alkalmazni a biztonsági politikákat a tartományi és nem tartományi felhasználók számára a biztonsági csoport címkék (SGT) segítségével ( );
)
Ellenőrizni a számítógépeket, hogy van-e telepítve bizonyos szoftver és megfelelnek-e a szabványoknak (posturing);
Osztályozni és profilozni a végberendezéseket és hálózati eszközöket;
Láthatóságot biztosítani a végberendezések számára;
Értesítési naplókat leadni a felhasználók bejelentkezéséről/ki jelentkezéséről, valamint az ő identitásukról (identity) az NGFW számára a user-based politika kialakítása érdekében;);
És más, az AAA szerverekre jellemző funkciók.
A Cisco ISE-ről már írtak a szakmával foglalkozó kollégák, így a jövőben javaslom a következőkkel való megismerkedést: ,.
2. Architektúra
Az Identity Services Engine architektúrában 4 entitás (nód) található: vezérlőnód (Policy Administration Node), politikai szolgáltatónód (Policy Service Node), nyomon követési nód (Monitoring Node) és PxGrid nód (PxGrid Node). A Cisco ISE telepíthető önálló (standalone) vagy elosztott (distributed) konfigurációban. Az önálló verzióban minden entitás egyetlen virtuális gépen vagy fizikai szerveren (Secure Network Servers — SNS) található, míg az elosztott verzióban a nódok különböző eszközökön helyezkednek el.
A Policy Administration Node (PAN) egy kötelező nód, amely lehetővé teszi az összes adminisztratív művelet végrehajtását a Cisco ISE keretein belül. Ez kezeli az összes AAA-hoz kapcsolódó rendszerkonfigurációt. Elosztott konfigurációban (a nódok külön virtuális gépekként telepíthetők) legfeljebb két PAN lehet a működési biztonság érdekében — Aktív/Standby üzemmódban.
A Policy Service Node (PSN) egy kötelező nód, amely biztosítja a hálózati hozzáférést, a státuszt, a vendég hozzáférést, az ügyfélkiszolgálást és a profilozást. A PSN értékeli a politikát és alkalmazza azt. Jellemzően több PSN telepítése ajánlott, különösen elosztott konfigurációban, hogy a működés redundáns és elosztott legyen. Ezen nódokat általában különböző szegmensekben helyezik el, hogy egyetlen pillanatra se veszítsenek lehetőséget az autentikált és engedélyezett hozzáférés biztosítására.
A Monitoring Node (MnT) egy kötelező nód, amely tárolja az eseménynaplókat, a többi nód és a hálózati politikák naplóit. A MnT nód kibővített eszközöket biztosít a felügyelethez és a hibakereséshez, összegyűjti és párosítja a különböző adatokat, valamint tartalmas jelentéseket nyújt. A Cisco ISE legfeljebb két MnT nódot tesz lehetővé, ezzel biztosítva a működési biztonságot — Aktív/Standby üzemmódban. Mindazonáltal mindkét nód, az aktív és a passzív is gyűjti a naplókat.
A PxGrid Node (PXG) egy nód, amely a PxGrid protokollt alkalmazza, és biztosítja a kommunikációt más PxGrid-ot támogató eszközök között.
— egy protokoll, amely biztosítja az IT és biztonsági infrastruktúrák különböző gyártóinak termékeinek integrációját: a megfigyelő rendszerek, betörésérzékelő és -megelőző rendszerek, a biztonsági szabályzatok kezelésére szolgáló platformok és sok más megoldás között. A Cisco PxGrid lehetővé teszi a kontextus cseréjét egyirányú vagy kétirányú módban számos platform között API használata nélkül, ezáltal a technológia felhasználását elősegítve. (SGT címkék), ANC (Adaptive Network Control) szabályzatok módosítása és alkalmazása, valamint profilozás – a készülék modellszámának, operációs rendszerének, helyének és egyéb információk meghatározása.
A magas rendelkezésre állású PxGrid csomópontok a PAN-on keresztül replikálják az adatokat a csomópontok között. Ha a PAN leáll, a PxGrid csomópont megszünteti az autentikálást, a jogosultság-ellenőrzést és a felhasználói számolást.
Az alábbi ábra a Cisco ISE különböző entitásainak működését ábrázolja a vállalati hálózatban.
1. ábra. A Cisco ISE architektúrája
3. Követelmények
A Cisco ISE bevezethető, mint a legtöbb modern megoldás, virtuálisan vagy fizikailag, mint különálló szerver.
A Cisco ISE szoftverével telepített fizikai eszközöket SNS-nek (Secure Network Server) nevezzük. Három modell létezik: SNS-3615, SNS-3655 és SNS-3695, kis-, közép- és nagyvállalatok számára. Az 1. táblázatban az információk találhatók SNS-ről.
1. táblázat. Az SNS összehasonlító táblázata a különböző méretekhez
A parameter
SNS 3615 (Kis)
SNS 3655 (Közepes)
SNS 3695 (Nagy)
A támogatott végponti eszközök száma a Standalone telepítésben
10000
25000
50000
A támogatott végponti eszközök száma minden PSN-hez
10000
25000
100000
CPU (Intel Xeon 2,10 GHz)
8 mag
12 mag
12 mag
RAM
32 GB (2 x 16 GB)
96 GB (6 x 16 GB)
256 GB (16 x 16 GB)
HDD
1 x 600 GB
4 x 600 GB
8 x 600 GB
Hardver RAID
Nem
RAID 10, RAID vezérlő megléte
RAID 10, RAID vezérlő megléte
Hálózati interfészek
2 x 10Gbase-T
4 x 1Gbase-T
2 x 10Gbase-T
4 x 1Gbase-T
2 x 10Gbase-T
4 x 1Gbase-T
A virtuális megoldások tekintetében támogatott hiperelméletek a VMware ESXi (ajánlott legalább 11-es verzió, az ESXi 6.0-hoz), Microsoft Hyper-V és Linux KVM (RHEL 7.0). Az erőforrásoknak körülbelül ugyanolyannak kell lenniük, mint a fenti táblázatban, vagy annál többel. Mindazonáltal, a kisvállalkozások minimális követelményei virtuális gépekre: 2 CPU 2,0 GHz és annál magasabb frekvenciával, 16 GB RAM és 200 GB HDD.
További részletekért a Cisco ISE telepítéséről kérjük, lépjen kapcsolatba vagy a , .
4. Telepítés
Mint a Cisco többi termékéhez, az ISE-hez is többféleképpen lehet tesztelni:
– előre telepített laboratóriumi modellek felhőszolgáltatása (Cisco-fiók szükséges);
– kérés a a Cisco meghatározott szoftveréhez (módszer partnerek számára). Egy ügyet hoz létre a következő tipikus leírással: Terméktípus [ISE], ISE Szoftver [ise-2.7.0.356.SPA.x8664], ISE Javítás [ise-patchbundle-2.7.0.356-Patch2-20071516.SPA.x8664];
— lépjen kapcsolatba bármelyik jogosult partnerrel a ingyenes pilot projekt lebonyolításához.
1) Virtuális gép létrehozásakor, ha ISO fájlt kér, nem pedig OVA sablont, felugrik egy ablak, amelyben az ISE kéri az installáció kiválasztását. Ehhez a felhasználónév és jelszó helyett írja be: "setup«!
Megjegyzés: ha OVA sablonból állította be az ISE-t, akkor a bejelentkezési adatok admin / MyIseYPass2 (ez és még sok más szerepel a hivatalos ).
2. ábra. Cisco ISE telepítése
2) Ezután ki kell tölteni a szükséges mezőket, mint pl. IP-cím, DNS, NTP és egyéb.
3. ábra. Cisco ISE inicializálása
3) Ezután az eszköz újraindul, és csatlakozhat a webes felületen a korábban megadott IP-címen.
4. ábra. Cisco ISE webes felülete
4) Az Administration > System > Deployment fül alatt kiválaszthatja, hogy mely csomópontok (entitások) vannak aktiválva az adott eszközön. A PxGrid csomópont itt aktiválható.
5. ábra. Cisco ISE entitások kezelése
5) Ezután a Administration > System > Admin Access > Authentication javaslom a jelszólpolitikák, az azonosítási módszer (tanúsítvány vagy jelszó), a fiók lejárati idejének és egyéb beállításoknak a konfigurálását.
6. ábra. Az azonosítási típus beállítása
7. ábra. Jelszólpolitikai beállítások
8. ábra. Fiók letiltása időtartam után
9. ábra. Fiókok zárolásának beállítása
6) Az Administration > System > Admin Access > Administrators > Admin Users > Add fül alatt létrehozhat új adminisztrátort.
10. ábra. Helyi adminisztrátor létrehozása a Cisco ISE-ben
7) Az új adminisztrátort új csoport tagjává vagy már előre beállított csoportokba is elhelyezheti. Az adminisztrátori csoportok kezelése ugyanebben a panelen történik az Admin Groups. A 2. táblázat tartalmazza az ISE adminisztrátorokkal, jogokkal és szerepekkel kapcsolatos adatokat.
2. táblázat. Cisco ISE adminisztrátor csoportok, hozzáférési szintek, engedélyek és korlátozások
Adminisztrátor csoport neve
Engedélyek
Korlátozások
Customization Admin
Vendég-, szponzorportálok testreszabása, adminisztrálás és testreszabás
A politikák módosításának és a jelentések megtekintésének lehetetlensége
Helpdesk Admin
Lehetőség a fő vezérlőpult, az összes jelentés, riasztás megtekintésére és a folyamatok hibakeresésére
Nem lehet jelentéseket, riasztásokat és hitelesítési naplókat módosítani, létrehozni vagy törölni
Identity Admin
Felhasználók, jogosultságok és szerepkörök kezelése, naplók, jelentések és riasztások megtekintése
Nem lehet politikákat módosítani, OS szintű feladatokat végrehajtani
MnT Admin
Teljes monitorozás, jelentések, riasztások, naplók és azok kezelése
A politikák megváltoztatásának lehetetlensége
Network Device Admin
ISE objektumok létrehozásának, módosításának jogai, naplók, jelentések, fő vezérlőpult megtekintése
Nem lehet politikákat módosítani, OS szintű feladatokat végrehajtani
Policy Admin
Teljes kontroll minden politikára, profilok, beállítások módosítása, jelentések megtekintése
Nem lehet beállításokat végrehajtani hitelesítő adatokkal, ISE objektumokkal
RBAC Admin
Minden beállítás az Operations fülön, ANC politika beállítása, jelentések kezelése
Nem lehet más politikákat módosítani az ANC-n kívül, OS szintű feladatokat végrehajtani
Super Admin
Minden beállítás, jelentés és kezelés jogai, törölheti és módosíthatja az adminisztrátorok hitelesítő adatait
Nem tud más profilt törölni vagy módosítani a Super Admin csoportból
System Admin
Minden beállítás az Operations fülön, rendszerbeállítások, ANC politika kezelése, jelentések megtekintése
Nem lehet más politikákat módosítani az ANC-n kívül, OS szintű feladatokat végrehajtani
External RESTful Services (ERS) Admin
Teljes hozzáférés a Cisco ISE REST API-hoz
Csak hitelesítéshez, helyi felhasználók, gazdagépek és biztonsági csoportok (SG) kezeléséhez
External RESTful Services (ERS) Operator
Jogok a Cisco ISE REST API olvasásához
Csak hitelesítéshez, helyi felhasználók, gazdagépek és biztonsági csoportok (SG) kezeléséhez
11. ábra. A Cisco ISE előre telepített adminisztrátori csoportjai
8) Az Operations fülön Authorization > Permissions > RBAC Policy a rendszeradminisztrátorok előre telepített jogainak szerkesztése lehetséges.
12. ábra. Az előre telepített adminisztrátori profiltulajdonjogok kezelése a Cisco ISE-ben
9) A következő fülön Administration > System > Settings minden rendszerbeállítás (DNS, NTP, SMTP stb.) elérhető. Itt kitöltheti őket, ha első beállításkor kihagyta azokat.
5. Zárszó
Ezzel véget ért az első cikk. Megbeszéltük a Cisco ISE NAC megoldásának hatékonyságát, architektúráját, minimális követelményeit és telepítési lehetőségeit, valamint az elsődleges telepítést.
A következő cikkben a fiókok létrehozására, a Microsoft Active Directoryval való integrációra, valamint a vendéghozzáférés létrehozására fogunk fókuszálni.
Ha kérdései merültek fel a témával kapcsolatban, vagy segítségre van szüksége a termék tesztelésében, keressen minket a .
Kövessen minket frissítéseinkért a csatornánkon (, , , , ).
Forrás: habr.com
