ProHoster > Blogs > Administrācija > Cisco ISE: Ievads, prasības, uzstādīŔana. 1. daļa

Cisco ISE: Ievads, prasības, uzstādīŔana. 1. daļa

Cisco ISE: Ievads, prasības, uzstādīŔana. 1. daļa

1. Ievads

Katram uzņēmumam, pat vismazākajam, ir nepiecieÅ”ama autentifikācija, autorizācija un lietotāju uzskaite (AAA protokolu saime). Sākotnējā posmā AAA ir diezgan labi ieviests, izmantojot tādus protokolus kā RADIUS, TACACS+ un DIAMETER. Taču, pieaugot lietotāju un uzņēmuma skaitam, pieaug arÄ« uzdevumu skaits: maksimāla saimnieku un BYOD ierīču redzamÄ«ba, daudzfaktoru autentifikācija, daudzlÄ«meņu piekļuves politikas veidoÅ”ana un daudz kas cits.

Šādiem uzdevumiem lieliski piemērota NAC (Network Access Control) risinājumu klase ā€“ tÄ«kla piekļuves kontrole. Rakstu sērijā, kas veltÄ«ta Cisco ISE (Identity Services Engine) - NAC risinājums konteksta apzinātas piekļuves kontroles nodroÅ”ināŔanai lietotājiem iekŔējā tÄ«klā, mēs detalizēti apskatÄ«sim risinājuma arhitektÅ«ru, nodroÅ”ināŔanu, konfigurāciju un licencÄ“Å”anu.

Ļaujiet man īsi atgādināt, ka Cisco ISE ļauj:

  • Ātri un vienkārÅ”i izveidojiet viesu piekļuvi Ä«paŔā WLAN tÄ«klā;

  • Atklāt BYOD ierÄ«ces (piemēram, darbinieku mājas datorus, ko viņi atnesa uz darbu);

  • Centralizējiet un ieviesiet droŔības politikas domēna un ārpusdomēna lietotājiem, izmantojot SGT droŔības grupu etiÄ·etes TrustSec);

  • Pārbaudiet, vai datoros nav instalēta noteikta programmatÅ«ra un vai tie atbilst standartiem (posting);

  • Klasificēt un profilēt galapunkta un tÄ«kla ierÄ«ces;

  • NodroÅ”ina galapunkta redzamÄ«bu;

  • SÅ«tÄ«t uz NGFW lietotāju pieteikÅ”anās/atteikÅ”anās notikumu žurnālus, viņu kontus (identitāti), lai izveidotu uz lietotāju balstÄ«tu politiku;

  • Integrējieties ar Cisco StealthWatch un ievietojiet karantÄ«nā aizdomÄ«gos saimniekus, kas iesaistÄ«ti droŔības incidentos (vairāk);

  • Un citas AAA serveru standarta funkcijas.

Nozares kolēģi jau ir rakstÄ«juÅ”i par Cisco ISE, tāpēc iesaku izlasÄ«t: Cisco ISE ievieÅ”anas prakse, Kā sagatavoties Cisco ISE ievieÅ”anai.

2. arhitektūra

Identity Services Engine arhitektÅ«rai ir 4 entÄ«tijas (mezgli): pārvaldÄ«bas mezgls (politikas administrÄ“Å”anas mezgls), politikas izplatÄ«Å”anas mezgls (policy Service Node), pārraudzÄ«bas mezgls (monitoring Node) un PxGrid mezgls (PxGrid Node). Cisco ISE var bÅ«t atseviŔķa vai izplatÄ«ta instalācija. Savrupajā versijā visas entÄ«tijas atrodas vienā virtuālajā maŔīnā vai fiziskajā serverÄ« (Secure Network Servers ā€” SNS), savukārt Distributed versijā mezgli ir sadalÄ«ti pa dažādām ierÄ«cēm.

Politikas administrÄ“Å”anas mezgls (PAN) ir obligāts mezgls, kas ļauj veikt visas administratÄ«vās darbÄ«bas Cisco ISE. Tas apstrādā visas sistēmas konfigurācijas, kas saistÄ«tas ar AAA. SadalÄ«tā konfigurācijā (mezglus var instalēt kā atseviŔķas virtuālās maŔīnas) kļūdu pielaidei var bÅ«t ne vairāk kā divi PAN ā€” aktÄ«vais/gaidstāves režīms.

Politikas pakalpojumu mezgls (PSN) ir obligāts mezgls, kas nodroÅ”ina piekļuvi tÄ«klam, stāvokli, viesa piekļuvi, klientu pakalpojumu nodroÅ”ināŔanu un profilÄ“Å”anu. PSN novērtē politiku un piemēro to. Parasti tiek instalēti vairāki PSN, Ä«paÅ”i izkliedētā konfigurācijā, lai nodroÅ”inātu vairāk lieku un sadalÄ«tu darbÄ«bu. Protams, viņi cenÅ”as Å”os mezglus uzstādÄ«t dažādos segmentos, lai ne mirkli nezaudētu iespēju nodroÅ”ināt autentificētu un autorizētu piekļuvi.

UzraudzÄ«bas mezgls (MnT) ir obligāts mezgls, kas tÄ«klā glabā notikumu žurnālus, citu mezglu žurnālus un politikas. MnT mezgls nodroÅ”ina uzlabotus rÄ«kus uzraudzÄ«bai un problēmu novērÅ”anai, apkopo un korelē dažādus datus, kā arÄ« nodroÅ”ina jēgpilnus pārskatus. Cisco ISE ļauj jums izmantot ne vairāk kā divus MnT mezglus, tādējādi radot kļūdu toleranci ā€” aktÄ«vais/gaidstāves režīms. Tomēr žurnālus apkopo abi mezgli ā€” gan aktÄ«vie, gan pasÄ«vie.

PxGrid Node (PXG) ir mezgls, kas izmanto PxGrid protokolu un ļauj sazināties starp citām ierīcēm, kas atbalsta PxGrid.

PxGrid  ā€” protokols, kas nodroÅ”ina dažādu piegādātāju IT un informācijas droŔības infrastruktÅ«ras produktu integrāciju: uzraudzÄ«bas sistēmas, ielauÅ”anās atklāŔanas un novērÅ”anas sistēmas, droŔības politikas pārvaldÄ«bas platformas un daudzi citi risinājumi. Cisco PxGrid ļauj koplietot kontekstu vienvirziena vai divvirzienu veidā ar daudzām platformām, neizmantojot API, tādējādi ļaujot izmantot tehnoloÄ£iju. TrustSec (SGT tagi), mainiet un pielietojiet ANC (Adaptive Network Control) politiku, kā arÄ« veiciet profilÄ“Å”anu ā€“ ierÄ«ces modeļa, OS, atraÅ”anās vietas noteikÅ”anu u.c.

Augstas pieejamÄ«bas konfigurācijā PxGrid mezgli replicē informāciju starp mezgliem, izmantojot PAN. Ja PAN ir atspējots, PxGrid mezgls pārtrauc lietotāju autentifikāciju, autorizāciju un uzskaiti. 

Tālāk ir shematisks attēlojums dažādu Cisco ISE entītiju darbībai korporatīvajā tīklā.

Cisco ISE: Ievads, prasÄ«bas, uzstādÄ«Å”ana. 1. daļa1. attēls. Cisco ISE arhitektÅ«ra

3. Prasības

Cisco ISE, tāpat kā lielāko daļu mÅ«sdienu risinājumu, var ieviest virtuāli vai fiziski kā atseviŔķu serveri. 

Fiziskās ierīces, kurās darbojas Cisco ISE programmatūra, sauc par SNS (Secure Network Server). Tiem ir trīs modeļi: SNS-3615, SNS-3655 un SNS-3695 maziem, vidējiem un lieliem uzņēmumiem. 1. tabulā parādīta informācija no datu lapas SNS.

1. tabula. SNS salÄ«dzināŔanas tabula dažādiem mērogiem

Parametrs

SNS 3615 (mazs)

SNS 3655 (vidējs)

SNS 3695 (liels)

Atbalstīto galapunktu skaits savrupā instalācijā

10000

25000

50000

Atbalstīto galapunktu skaits vienā PSN

10000

25000

100000

CPU (Intel Xeon 2.10 GHz)

8 serdeņi

12 serdeņi

12 serdeņi

RAM 

32 GB (2 x 16 GB)

96 GB (6 x 16 GB)

256 GB (16 x 16 GB)

HDD

1x600 GB

4x600 GB

8x600 GB

Aparatūras RAID

Nē

RAID 10, RAID kontrollera klātbūtne

RAID 10, RAID kontrollera klātbūtne

TÄ«kla saskarnes

2 x 10Gbase-T

4 x 1Gbase-T 

2 x 10Gbase-T

4 x 1Gbase-T 

2 x 10Gbase-T

4 x 1Gbase-T

AttiecÄ«bā uz virtuālajām implementācijām atbalstÄ«tie hipervizori ir VMware ESXi (ieteicama vismaz VMware versija 11 ESXi 6.0), Microsoft Hyper-V un Linux KVM (RHEL 7.0). Resursiem ir jābÅ«t aptuveni tādiem paÅ”iem kā iepriekÅ” tabulā vai vairāk. Tomēr minimālās prasÄ«bas mazo uzņēmumu virtuālajai maŔīnai ir: CPU 2 ar frekvenci 2.0 GHz un augstāku, 16 GB RAM Šø 200 GB HDD. 

Lai iegūtu citu informāciju par Cisco ISE izvietoŔanu, lūdzu, sazinieties mums vai uz resurss #1, resurss #2.

4. UzstādīŔana

Tāpat kā lielāko daļu citu Cisco produktu, ISE var pārbaudīt vairākos veidos:

  • dcloud ā€“ iepriekÅ” instalētu laboratorijas izkārtojumu mākoņpakalpojums (nepiecieÅ”ams Cisco konts);

  • GVE pieprasÄ«jums ā€“ pieprasÄ«jums no сŠ°Š¹Ń‚Š° Noteiktas programmatÅ«ras Cisco (metode partneriem). JÅ«s izveidojat lietu ar Ŕādu tipisku aprakstu: Produkta veids [ISE], ISE programmatÅ«ra [ise-2.7.0.356.SPA.x8664], ISE ielāps [ise-patchbundle-2.7.0.356-Patch2-20071516.SPA.x8664];

  • pilotprojekts ā€” sazinieties ar jebkuru pilnvarotu partneri, lai veiktu bezmaksas izmēģinājuma projektu.

1) Pēc virtuālās maŔīnas izveidoÅ”anas, ja pieprasÄ«jāt ISO failu, nevis OVA veidni, tiks parādÄ«ts logs, kurā ISE pieprasa atlasÄ«t instalāciju. Lai to izdarÄ«tu, pieteikumvārda un paroles vietā jums vajadzētu ierakstÄ«t ā€œiestatÄ«Å”anaā€œ!

Piezīme: ja izvietojāt ISE no OVA veidnes, tad pieteikŔanās informācija admin/MyIseYPass2 (tas un daudz kas cits ir norādīts oficiālajā vadīt).

Cisco ISE: Ievads, prasÄ«bas, uzstādÄ«Å”ana. 1. daļa2. attēls. Cisco ISE instalÄ“Å”ana

2) Pēc tam jāaizpilda nepiecieÅ”amie lauki, piemēram, IP adrese, DNS, NTP un citi.

Cisco ISE: Ievads, prasÄ«bas, uzstādÄ«Å”ana. 1. daļa3. attēls. Cisco ISE inicializācija

3) Pēc tam ierÄ«ce tiks restartēta, un jÅ«s varēsiet izveidot savienojumu, izmantojot tÄ«mekļa saskarni, izmantojot iepriekÅ” norādÄ«to IP adresi.

Cisco ISE: Ievads, prasÄ«bas, uzstādÄ«Å”ana. 1. daļa4. attēls. Cisco ISE tÄ«mekļa saskarne

4) Cilnē AdministrÄ“Å”ana > Sistēma > IzvietoÅ”ana varat atlasÄ«t, kuri mezgli (entÄ«tijas) ir iespējoti konkrētā ierÄ«cē. Å eit ir iespējots PxGrid mezgls.

Cisco ISE: Ievads, prasÄ«bas, uzstādÄ«Å”ana. 1. daļa5. attēls. Cisco ISE entÄ«tiju pārvaldÄ«ba

5) Pēc tam cilnē AdministrÄ“Å”ana > Sistēma > Administratora piekļuve > Autentifikācija Iesaku iestatÄ«t paroles politiku, autentifikācijas metodi (sertifikātu vai paroli), konta derÄ«guma termiņu un citus iestatÄ«jumus.

Cisco ISE: Ievads, prasÄ«bas, uzstādÄ«Å”ana. 1. daļa6. attēls. Autentifikācijas veida iestatÄ«jumsCisco ISE: Ievads, prasÄ«bas, uzstādÄ«Å”ana. 1. daļa7. attēls. Paroles politikas iestatÄ«jumiCisco ISE: Ievads, prasÄ«bas, uzstādÄ«Å”ana. 1. daļa8. attēls. Konta izslēgÅ”anas iestatÄ«Å”ana pēc laika beigāmCisco ISE: Ievads, prasÄ«bas, uzstādÄ«Å”ana. 1. daļa9. attēls. Konta bloÄ·Ä“Å”anas iestatÄ«Å”ana

6) Cilnē AdministrÄ“Å”ana > Sistēma > Administratora piekļuve > Administratori > AdministratÄ«vie lietotāji > Pievienot varat izveidot jaunu administratoru.

Cisco ISE: Ievads, prasÄ«bas, uzstādÄ«Å”ana. 1. daļa10. attēls. Vietējā Cisco ISE administratora izveide

7) Jauno administratoru var iekļaut jaunas grupas vai jau iepriekÅ” definētu grupu sastāvā. Administratoru grupas tiek pārvaldÄ«tas tajā paŔā cilnes panelÄ« Administratoru grupas. 2. tabulā ir apkopota informācija par ISE administratoriem, viņu tiesÄ«bām un lomām.

2. tabula. Cisco ISE administratoru grupas, piekļuves līmeņi, atļaujas un ierobežojumi

Administratoru grupas nosaukums

Atļaujas

Ierobežojumi

PielāgoŔanas administrators

Viesu un sponsorÄ“Å”anas portālu izveide, administrÄ“Å”ana un pielāgoÅ”ana

Nespēja mainīt politikas vai skatīt pārskatus

Palīdzības dienesta administrators

Iespēja skatÄ«t galveno informācijas paneli, visus ziņojumus, trauksmes signālus un problēmu novērÅ”anas straumes

Jūs nevarat mainīt, izveidot vai dzēst atskaites, trauksmes signālus un autentifikācijas žurnālus

Identitātes administrators

Lietotāju, privilēģiju un lomu pārvaldība, iespēja skatīt žurnālus, atskaites un trauksmes signālus

Jūs nevarat mainīt politikas vai veikt uzdevumus OS līmenī

MnT administrators

Pilna uzraudzība, atskaites, trauksmes signāli, žurnāli un to vadība

Nespēja mainīt nekādas politikas

Tīkla ierīces administrators

Tiesības izveidot un mainīt ISE objektus, skatīt žurnālus, atskaites, galveno informācijas paneli

Jūs nevarat mainīt politikas vai veikt uzdevumus OS līmenī

Politikas administrators

Pilnīga visu politiku pārvaldība, mainot profilus, iestatījumus, apskatot pārskatus

Nespēja veikt iestatījumus ar akreditācijas datiem, ISE objektiem

RBAC administrators

Visi iestatījumi cilnē Darbības, ANC politikas iestatījumi, pārskatu pārvaldība

Jūs nevarat mainīt citas politikas, izņemot ANC, vai veikt uzdevumus OS līmenī

Super Admin

TiesÄ«bas uz visiem iestatÄ«jumiem, ziņoÅ”anu un pārvaldÄ«bu, var dzēst un mainÄ«t administratora akreditācijas datus

Nevar mainīt, dzēst citu profilu no grupas Super Admin

Sistēma Admin

Visi iestatÄ«jumi cilnē DarbÄ«bas, sistēmas iestatÄ«jumu pārvaldÄ«ba, ANC politika, pārskatu skatÄ«Å”ana

Jūs nevarat mainīt citas politikas, izņemot ANC, vai veikt uzdevumus OS līmenī

Ārējo RESTful pakalpojumu (ERS) administrators

Pilnīga piekļuve Cisco ISE REST API

Tikai autorizācijai, vietējo lietotāju, saimniekdatoru un droŔības grupu (SG) pārvaldÄ«bai

Ārējais RESTful pakalpojumu (ERS) operators

Cisco ISE REST API lasīŔanas atļaujas

Tikai autorizācijai, vietējo lietotāju, saimniekdatoru un droŔības grupu (SG) pārvaldÄ«bai

Cisco ISE: Ievads, prasÄ«bas, uzstādÄ«Å”ana. 1. daļa11. attēls. IepriekÅ” definētas Cisco ISE administratoru grupas

8) Cilnē nav obligāti Autorizācija > Atļaujas > RBAC politika Varat rediģēt iepriekÅ” definētu administratoru tiesÄ«bas.

Cisco ISE: Ievads, prasÄ«bas, uzstādÄ«Å”ana. 1. daļa12. attēls. Cisco ISE administratora iepriekÅ” iestatÄ«tā profila tiesÄ«bu pārvaldÄ«ba

9) Cilnē AdministrÄ“Å”ana > Sistēma > IestatÄ«jumi Ir pieejami visi sistēmas iestatÄ«jumi (DNS, NTP, SMTP un citi). Varat tos aizpildÄ«t Å”eit, ja esat tos palaidis garām ierÄ«ces sākotnējās inicializācijas laikā.

5. Secinājums

Tas noslēdz pirmo rakstu. Mēs apspriedām Cisco ISE NAC risinājuma efektivitāti, tā arhitektÅ«ru, minimālās prasÄ«bas un izvietoÅ”anas iespējas, kā arÄ« sākotnējo instalÄ“Å”anu.

Nākamajā rakstā mēs apskatīsim kontu izveidi, integrāciju ar Microsoft Active Directory un viesa piekļuves izveidi.

Ja jums ir jautājumi par Å”o tēmu vai nepiecieÅ”ama palÄ«dzÄ«ba produkta testÄ“Å”anā, lÅ«dzu, sazinieties saite.

Sekojiet jaunumiem mÅ«su kanālos (Telegram, Facebook, VK, TS risinājumu emuārs, Yandex Zen).

Avots: www.habr.com

Pievieno komentāru