सिस्को ISE: परिचय, आवश्यकता, स्थापना. भाग 1

1. परिचय

प्रत्येक कंपनीला, अगदी लहान कंपनीला, वापरकर्त्यांचे प्रमाणीकरण, अधिकृतता आणि लेखा (AAA प्रोटोकॉल फॅमिली) आवश्यक आहे. सुरुवातीच्या टप्प्यावर, एएए RADIUS, TACACS + आणि DIAMETER सारख्या प्रोटोकॉलचा वापर करून चांगल्या प्रकारे अंमलात आणला जातो. तथापि, जसजसे वापरकर्ते आणि कंपन्यांची संख्या वाढते, तसतसे कार्यांची संख्या देखील वाढते: होस्ट आणि BYOD उपकरणांची कमाल दृश्यमानता, बहु-घटक प्रमाणीकरण, बहु-स्तरीय प्रवेश धोरण तयार करणे आणि बरेच काही.

अशा कामांसाठी, NAC (नेटवर्क ऍक्सेस कंट्रोल) क्लास सोल्यूशन्स उत्कृष्ट आहे - नेटवर्क ऍक्सेस कंट्रोल. समर्पित लेखांच्या मालिकेत सिस्को ISE (आयडेंटिटी सर्व्हिसेस इंजिन) - अंतर्गत नेटवर्कला संदर्भ-जागरूक वापरकर्ता प्रवेश नियंत्रण प्रदान करण्यासाठी NAC सोल्यूशन, आम्ही सोल्यूशनचे आर्किटेक्चर, इनिशिएलायझेशन, कॉन्फिगरेशन आणि परवाना यावर तपशीलवार विचार करू.

मी तुम्हाला थोडक्यात आठवण करून देतो की सिस्को ISE तुम्हाला याची परवानगी देतो:

• समर्पित WLAN मध्ये जलद आणि सहजपणे अतिथी प्रवेश तयार करा;

• BYOD डिव्हाइसेस शोधा (उदाहरणार्थ, कर्मचार्‍यांचे होम पीसी ते कामावर आणतात);

• SGT सुरक्षा गट लेबले (तंत्रज्ञान ट्रस्टसेक);

• स्थापित केलेल्या विशिष्ट सॉफ्टवेअरच्या उपस्थितीसाठी आणि मानकांचे पालन करण्यासाठी संगणक तपासा (पोश्चरिंग);

• वर्गीकरण आणि प्रोफाइल एंडपॉइंट्स आणि नेटवर्क डिव्हाइसेस;

• अंतिम बिंदूंमध्ये दृश्यमानता प्रदान करा;

• वापरकर्ता-आधारित धोरण तयार करण्यासाठी लॉगऑन/लॉगऑफ वापरकर्त्यांचे लॉग, त्यांची खाती (ओळख) NGFW वर द्या;

• Cisco StealthWatch सह नेटिव्ह समाकलित करा आणि सुरक्षा घटनांमध्ये गुंतलेल्या संशयास्पद यजमानांना अलग ठेवणे (अधिक);

• आणि इतर मानक AAA सर्व्हर वैशिष्ट्ये.

उद्योगातील सहकाऱ्यांनी सिस्को ISE बद्दल आधीच लिहिले आहे, म्हणून भविष्यात मी तुम्हाला वाचण्याचा सल्ला देतो: सिस्को ISE अंमलबजावणी सराव, सिस्को ISE अंमलबजावणीसाठी तयारी कशी करावी.

एक्सएनयूएमएक्स. आर्किटेक्चर

आयडेंटिटी सर्व्हिसेस इंजिन आर्किटेक्चरमध्ये 4 संस्था (नोड) आहेत: पॉलिसी अॅडमिनिस्ट्रेशन नोड, पॉलिसी सर्व्हिस नोड, मॉनिटरिंग नोड आणि PxGrid नोड. Cisco ISE स्वतंत्र किंवा वितरित स्थापनेत असू शकते. स्टँडअलोन पर्यायामध्ये, सर्व संस्था एकाच व्हर्च्युअल मशीन किंवा भौतिक सर्व्हरवर (सुरक्षित नेटवर्क सर्व्हर - SNS) स्थित असतात, जेव्हा वितरित पर्यायामध्ये, नोड्स वेगवेगळ्या डिव्हाइसेसवर वितरीत केले जातात.

पॉलिसी अॅडमिनिस्ट्रेशन नोड (PAN) हा एक अनिवार्य नोड आहे जो तुम्हाला Cisco ISE वर सर्व प्रशासकीय ऑपरेशन्स करण्याची परवानगी देतो. हे सर्व AAA-संबंधित सिस्टम कॉन्फिगरेशन हाताळते. वितरीत कॉन्फिगरेशनमध्ये (नोड्स स्वतंत्र व्हर्च्युअल मशीन म्हणून स्थापित केले जाऊ शकतात), तुमच्याकडे फॉल्ट टॉलरन्ससाठी जास्तीत जास्त दोन पॅन असू शकतात - सक्रिय / स्टँडबाय मोड.

पॉलिसी सर्व्हिस नोड (PSN) हा एक अनिवार्य नोड आहे जो नेटवर्क प्रवेश, राज्य, अतिथी प्रवेश, क्लायंट सेवा तरतूद आणि प्रोफाइलिंग प्रदान करतो. PSN धोरणाचे मूल्यमापन करते आणि त्याची अंमलबजावणी करते. सामान्यतः, अधिक निरर्थक आणि वितरित ऑपरेशनसाठी, विशेषत: वितरित कॉन्फिगरेशनमध्ये, एकाधिक PSN स्थापित केले जातात. अर्थात, हे नोड्स वेगवेगळ्या विभागांमध्ये स्थापित करण्याचा प्रयत्न करतात जेणेकरून एका सेकंदासाठी प्रमाणीकृत आणि अधिकृत प्रवेश प्रदान करण्याची क्षमता गमावू नये.

मॉनिटरिंग नोड (MnT) हा एक अनिवार्य नोड आहे जो नेटवर्कवर इव्हेंट लॉग, इतर नोड्सचे लॉग आणि पॉलिसी संग्रहित करतो. MnT नोड प्रगत निरीक्षण आणि समस्यानिवारण साधने प्रदान करते, विविध डेटा एकत्रित करते आणि परस्परसंबंधित करते आणि अर्थपूर्ण अहवाल प्रदान करते. Cisco ISE तुम्हाला जास्तीत जास्त दोन MnT नोड्स ठेवण्याची परवानगी देते, ज्यामुळे फॉल्ट टॉलरन्स - सक्रिय / स्टँडबाय मोड तयार होतो. तथापि, लॉग सक्रिय आणि निष्क्रिय अशा दोन्ही नोड्सद्वारे गोळा केले जातात.

PxGrid नोड (PXG) एक नोड आहे जो PxGrid प्रोटोकॉल वापरतो आणि PxGrid ला सपोर्ट करणार्‍या इतर उपकरणांमध्ये संवाद प्रदान करतो.

PxGrid  — एक प्रोटोकॉल जो विविध विक्रेत्यांकडून IT आणि माहिती सुरक्षा पायाभूत सुविधा उत्पादनांचे एकत्रीकरण प्रदान करतो: मॉनिटरिंग सिस्टम, घुसखोरी शोधणे आणि प्रतिबंधक प्रणाली, सुरक्षा धोरण व्यवस्थापन प्लॅटफॉर्म आणि इतर अनेक उपाय. Cisco PxGrid API शिवाय अनेक प्लॅटफॉर्मसह एकदिशात्मक किंवा द्विदिशात्मकपणे संदर्भाची देवाणघेवाण करण्यास अनुमती देते, ज्यामुळे तंत्रज्ञानाचा वापर करणे शक्य होते. ट्रस्टसेक (SGT टॅग), बदला आणि ANC (अॅडॉप्टिव्ह नेटवर्क कंट्रोल) धोरण लागू करा, तसेच प्रोफाइलिंग करा - डिव्हाइस मॉडेल, OS, स्थान आणि बरेच काही निर्धारित करा.

उच्च उपलब्धता कॉन्फिगरेशनमध्ये, PxGrid नोड्स पॅनद्वारे नोड्समधील माहितीची प्रतिकृती तयार करतात. PAN अक्षम केल्‍यास, PxGrid नोड वापरकर्त्‍यांचे प्रमाणीकरण, अधिकृतता आणि लेखांकन थांबवते. 

खाली कॉर्पोरेट नेटवर्कमधील विविध Cisco ISE संस्थांच्या ऑपरेशनचे योजनाबद्ध प्रतिनिधित्व आहे.

आकृती 1 सिस्को ISE आर्किटेक्चर

५.२. आवश्यकता

Cisco ISE ची अंमलबजावणी केली जाऊ शकते, जसे की बर्‍याच आधुनिक सोल्यूशन्स, अक्षरशः किंवा भौतिकरित्या स्वतंत्र सर्व्हर म्हणून. 

सिस्को ISE सॉफ्टवेअर स्थापित केलेल्या भौतिक उपकरणांना SNS (Secure Network Server) म्हणतात. ते तीन मॉडेल्समध्ये येतात: SNS-3615, SNS-3655 आणि SNS-3695 लघु, मध्यम आणि मोठ्या व्यवसायांसाठी. तक्ता 1 कडून माहिती प्रदान करते माहिती पत्रक SNS.

तक्ता 1. वेगवेगळ्या स्केलसाठी SNS ची तुलना सारणी

पॅरामीटर

SNS 3615 (लहान)

SNS 3655 (मध्यम)

SNS 3695 (मोठा)

स्टँडअलोन इंस्टॉलेशनमध्ये समर्थित एंडपॉइंट्सची संख्या

10000

25000

50000

प्रति PSN समर्थित एंडपॉइंट्सची संख्या

10000

25000

100000

CPU (Intel Xeon 2.10 GHz)

8 कोर

12 कोर

12 कोर

रॅम 

32 GB (2 x 16 GB)

96 GB (6 x 16 GB)

256 GB (16 x 16 GB)

HDD

1 x 600 GB

4 x 600 GB

8 x 600 GB

हार्डवेअर RAID

कोणत्याही

RAID 10, RAID कंट्रोलरची उपस्थिती

RAID 10, RAID कंट्रोलरची उपस्थिती

नेटवर्क इंटरफेस

2 x 10Gbase-T

4 x 1Gbase-T 

2 x 10Gbase-T

4 x 1Gbase-T 

2 x 10Gbase-T

4 x 1Gbase-T

आभासी उपयोजनांसाठी, VMware ESXi (ESXi 11 साठी किमान VMware आवृत्ती 6.0), Microsoft Hyper-V, आणि Linux KVM (RHEL 7.0) हायपरवाइजर समर्थित आहेत. संसाधने वरील तक्त्यातील अंदाजे समान किंवा अधिक असावीत. तथापि, लहान व्यवसाय व्हर्च्युअल मशीनसाठी किमान आवश्यकता आहेतः एक्सएमएक्स सीपीयू 2.0 GHz आणि उच्च वारंवारता सह, 16 जीबी रॅम и एक्सएनयूएमएक्स जीबी एचडीडी. 

उर्वरित सिस्को ISE उपयोजन तपशीलांसाठी, पहा आम्हाला किंवा करण्यासाठी संसाधन #1, संसाधन #2.

4. स्थापना

इतर सिस्को उत्पादनांप्रमाणे, ISE ची अनेक प्रकारे चाचणी केली जाऊ शकते:

• dcloud - पूर्व-स्थापित लॅब लेआउट्सची क्लाउड सेवा (सिस्को खाते आवश्यक आहे);

• GVE विनंती - कडून विनंती साइट सिस्को विशिष्ट सॉफ्टवेअर (भागीदारांसाठी पद्धत). तुम्ही खालील विशिष्ट वर्णनासह केस तयार करता: उत्पादन प्रकार [ISE], ISE सॉफ्टवेअर [ise-2.7.0.356.SPA.x8664], ISE पॅच [ise-patchbundle-2.7.0.356-Patch2-20071516.SPA.x8664];

• पायलट प्रकल्प - मोफत पायलट प्रोजेक्टसाठी कोणत्याही अधिकृत भागीदाराशी संपर्क साधा.

1) वर्च्युअल मशीन तयार केल्यावर, जर तुम्ही ISO फाइलची विनंती केली असेल, OVA टेम्पलेटसाठी नाही, तर तुम्हाला एक विंडो मिळेल ज्यामध्ये ISE ला तुम्हाला इंस्टॉलेशन निवडण्याची आवश्यकता आहे. हे करण्यासाठी, वापरकर्तानाव आणि संकेतशब्दाऐवजी, लिहा "सेटअप"!

टीप: जर तुम्ही OVA टेम्पलेटवरून ISE तैनात केले असेल, तर लॉगिन माहिती प्रशासन / MyIseYPass2 (हे आणि अधिक अधिकृतपणे सांगितले आहे मार्गदर्शन).

आकृती 2 सिस्को ISE स्थापित करणे

2) नंतर तुम्ही आवश्यक फील्ड भरा, जसे की IP पत्ता, DNS, NTP आणि इतर.

आकृती 3 सिस्को ISE आरंभीकरण

3) त्यानंतर, डिव्हाइस रीबूट होईल आणि तुम्ही वेब इंटरफेसद्वारे पूर्वी सेट केलेल्या IP पत्त्याशी कनेक्ट करण्यात सक्षम व्हाल.

आकृती 4 सिस्को ISE वेब इंटरफेस

4) टॅबमध्ये प्रशासन > प्रणाली > उपयोजन विशिष्ट डिव्हाइसवर कोणते नोड्स (संस्था) सक्षम आहेत ते तुम्ही निवडू शकता. PxGrid नोड येथे सक्षम आहे.

आकृती 5 सिस्को ISE अस्तित्व व्यवस्थापन

5) नंतर टॅबमध्ये प्रशासन > सिस्टम > प्रशासन प्रवेश > प्रमाणीकरण मी संकेतशब्द धोरण, प्रमाणीकरण पद्धत (प्रमाणपत्र किंवा पासवर्ड), खाते कालबाह्यता आणि इतर सेटिंग्ज कॉन्फिगर करण्याची शिफारस करतो.

आकृती 6. प्रमाणीकरण प्रकार सेटिंगआकृती 7. पासवर्ड धोरण सेटिंग्जआकृती 8. वेळ संपल्यानंतर खाते बंद करणे कॉन्फिगर करणेआकृती 9. खाते अवरोधित करणे सेट करणे

6) टॅबमध्ये प्रशासन > प्रणाली > प्रशासक प्रवेश > प्रशासक > प्रशासक वापरकर्ते > जोडा तुम्ही नवीन प्रशासक तयार करू शकता.

आकृती 10. स्थानिक सिस्को ISE प्रशासक तयार करणे

7) नवीन प्रशासकाला नवीन गट किंवा पूर्व-परिभाषित गटांचा भाग बनवता येईल. प्रशासक गट टॅबमधील समान पॅनेलमध्ये व्यवस्थापित केले जातात प्रशासक गट. तक्ता 2 ISE प्रशासक, त्यांचे अधिकार आणि भूमिकांबद्दल माहिती सारांशित करते.

तक्ता 2. सिस्को ISE प्रशासक गट, प्रवेश स्तर, परवानग्या आणि निर्बंध

प्रशासक गटाचे नाव

परवानग्या

निर्बंध

सानुकूलित प्रशासक

अतिथी, प्रायोजकत्व पोर्टल, प्रशासन आणि कस्टमायझेशन सेट करणे

धोरणे बदलण्यास असमर्थता, अहवाल पहा

हेल्पडेस्क प्रशासक

मुख्य डॅशबोर्ड, सर्व अहवाल, लार्मास आणि समस्यानिवारण प्रवाह पाहण्याची क्षमता

तुम्ही अहवाल, अलार्म किंवा प्रमाणीकरण लॉग सुधारित करू शकत नाही, तयार करू शकत नाही किंवा हटवू शकत नाही.

ओळख प्रशासक

वापरकर्त्यांचे व्यवस्थापन, विशेषाधिकार आणि भूमिका, लॉग, अहवाल आणि अलार्म पाहण्याची क्षमता

तुम्ही धोरणे बदलू शकत नाही, OS स्तरावर कार्ये करू शकता

MNT प्रशासन

संपूर्ण निरीक्षण, अहवाल, अलार्म, नोंदी आणि व्यवस्थापन

कोणतीही धोरणे बदलण्यास असमर्थता

नेटवर्क डिव्हाइस प्रशासक

ISE ऑब्जेक्ट्स तयार करणे, सुधारणे, लॉग, अहवाल, मुख्य डॅशबोर्ड पाहण्याचे अधिकार

तुम्ही धोरणे बदलू शकत नाही, OS स्तरावर कार्ये करू शकता

धोरण प्रशासक

सर्व धोरणांचे संपूर्ण व्यवस्थापन, प्रोफाइल बदलणे, सेटिंग्ज, अहवाल पाहणे

क्रेडेन्शियल्स, ISE ऑब्जेक्ट्ससह सेटिंग्ज करण्यात अक्षमता

RBAC प्रशासन

ऑपरेशन्स टॅबमधील सर्व सेटिंग्ज, ANC धोरण सेटिंग, अहवाल व्यवस्थापन

तुम्ही ANC व्यतिरिक्त इतर धोरणे बदलू शकत नाही, OS स्तरावर कार्ये करू शकता

सुपर प्रशासन

सर्व सेटिंग्जचे अधिकार, अहवाल देणे आणि व्यवस्थापन, प्रशासक क्रेडेन्शियल हटवू आणि बदलू शकतात

संपादित करू शकत नाही, सुपर अॅडमिन गटातून इतर प्रोफाइल काढा

सिस्टम प्रशासक

ऑपरेशन्स टॅबमधील सर्व सेटिंग्ज, सिस्टम सेटिंग्ज व्यवस्थापित करणे, ANC धोरण, अहवाल पाहणे

तुम्ही ANC व्यतिरिक्त इतर धोरणे बदलू शकत नाही, OS स्तरावर कार्ये करू शकता

बाह्य आरामदायी सेवा (ERS) प्रशासक

Cisco ISE REST API मध्ये पूर्ण प्रवेश

केवळ अधिकृतता, स्थानिक वापरकर्ते, यजमान आणि सुरक्षा गटांचे व्यवस्थापन (SG)

बाह्य आरामदायी सेवा (ERS) ऑपरेटर

Cisco ISE REST API साठी परवानग्या वाचा

केवळ अधिकृतता, स्थानिक वापरकर्ते, यजमान आणि सुरक्षा गटांचे व्यवस्थापन (SG)

आकृती 11 सिस्को ISE प्रशासन पूर्वनिर्धारित गट

8) टॅबमध्ये पर्यायी अधिकृतता > परवानग्या > RBAC धोरण तुम्ही प्रीसेट अॅडमिनिस्ट्रेटरचे अधिकार संपादित करू शकता.

आकृती 12. सिस्को ISE प्रशासक पूर्वनिर्धारित प्रोफाइल विशेषाधिकार व्यवस्थापित करणे

9) टॅबमध्ये प्रशासन > सिस्टम > सेटिंग्ज सर्व सिस्टम सेटिंग्ज उपलब्ध आहेत (DNS, NTP, SMTP आणि इतर). डिव्हाइसच्या सुरुवातीच्या काळात तुम्ही ते चुकवल्यास तुम्ही ते येथे भरू शकता.

5 निष्कर्ष

हा पहिला लेख संपवतो. आम्ही Cisco ISE NAC सोल्यूशनची प्रभावीता, त्याचे आर्किटेक्चर, किमान आवश्यकता आणि उपयोजन पर्याय आणि प्रारंभिक स्थापना यावर चर्चा केली.

पुढील लेखात, आम्ही खाती तयार करणे, मायक्रोसॉफ्ट ऍक्टिव्ह डिरेक्ट्रीसह एकत्रीकरण करणे आणि अतिथी प्रवेश तयार करणे यावर विचार करू.

तुम्हाला या विषयाबद्दल प्रश्न असल्यास किंवा उत्पादनाची चाचणी करण्यात मदत हवी असल्यास, कृपया संपर्क साधा दुवा.

आमच्या चॅनेलमधील अद्यतनांसाठी संपर्कात रहा (तार, फेसबुक, VK, टीएस सोल्यूशन ब्लॉग, यांडेक्स झेन).

स्त्रोत: www.habr.com