सिस्को ISE: परिचय, आवश्यकताहरू, स्थापना। भाग 1

२. परिचय

प्रत्येक कम्पनी, सबैभन्दा सानो पनि, प्रमाणीकरण, प्राधिकरण र प्रयोगकर्ता लेखा (प्रोटोकलहरूको AAA परिवार) को आवश्यकता छ। प्रारम्भिक चरणमा, RADIUS, TACACS+ र DIAMETER जस्ता प्रोटोकलहरू प्रयोग गरेर AAA राम्रोसँग लागू गरिएको छ। यद्यपि, प्रयोगकर्ता र कम्पनीको संख्या बढ्दै जाँदा, कार्यहरूको संख्या पनि बढ्दै जान्छ: होस्ट र BYOD उपकरणहरूको अधिकतम दृश्यता, बहु-कारक प्रमाणीकरण, बहु-स्तर पहुँच नीति सिर्जना गर्ने र अधिक।

त्यस्ता कार्यहरूको लागि, NAC (नेटवर्क एक्सेस कन्ट्रोल) वर्गको समाधान उत्तम छ - नेटवर्क पहुँच नियन्त्रण। समर्पित लेखहरूको श्रृंखलामा सिस्को ISE (पहिचान सेवा इन्जिन) - आन्तरिक नेटवर्कमा प्रयोगकर्ताहरूलाई सन्दर्भ-सचेत पहुँच नियन्त्रण प्रदान गर्न NAC समाधान, हामी समाधानको संरचना, प्रावधान, कन्फिगरेसन र इजाजतपत्रमा विस्तृत रूपमा हेर्नेछौं।

मलाई छोटकरीमा सम्झाउन दिनुहोस् कि सिस्को ISE ले तपाईंलाई अनुमति दिन्छ:

• एक समर्पित WLAN मा छिटो र सजिलै अतिथि पहुँच सिर्जना गर्नुहोस्;

• BYOD यन्त्रहरू पत्ता लगाउनुहोस् (उदाहरणका लागि, कर्मचारीहरूको घरका पीसीहरू जुन उनीहरूले काममा ल्याए);

• SGT सुरक्षा समूह लेबलहरू प्रयोग गरेर डोमेन र गैर-डोमेन प्रयोगकर्ताहरूमा सुरक्षा नीतिहरू केन्द्रीकृत र लागू गर्नुहोस् ट्रस्टसेक);

• निश्चित सफ्टवेयर स्थापना भएको र मापदण्डहरू (पोस्चरिङ) संग अनुपालनको लागि कम्प्युटरहरू जाँच गर्नुहोस्;

• वर्गीकरण र प्रोफाइल अन्त्य बिन्दु र नेटवर्क उपकरणहरू;

• अन्तिम बिन्दु दृश्यता प्रदान गर्नुहोस्;

• प्रयोगकर्ताहरूको लगअन/लगअफको घटना लगहरू, तिनीहरूको खाता (पहिचान) NGFW लाई प्रयोगकर्ता-आधारित नीति बनाउन पठाउनुहोस्;

• सिस्को स्टेल्थवाच र सुरक्षा घटनाहरूमा संलग्न संदिग्ध होस्टहरूलाई क्वारेन्टाइनसँग नेटिभ रूपमा एकीकृत गर्नुहोस् (अधिक जानकारी);

• र AAA सर्भरहरूको लागि अन्य सुविधाहरू मानक।

उद्योगका सहकर्मीहरूले सिस्को ISE को बारेमा पहिले नै लेखेका छन्, त्यसैले म तपाईंलाई पढ्न सल्लाह दिन्छु: सिस्को ISE कार्यान्वयन अभ्यास, सिस्को ISE कार्यान्वयनको लागि कसरी तयारी गर्ने.

2। वास्तुकला

पहिचान सेवा इन्जिन आर्किटेक्चरमा 4 संस्थाहरू (नोडहरू) छन्: एउटा व्यवस्थापन नोड (नीति प्रशासन नोड), एक नीति वितरण नोड (नीति सेवा नोड), एक निगरानी नोड (मोनिटरिङ नोड) र एक PxGrid नोड (PxGrid नोड)। सिस्को ISE स्ट्यान्डअलोन वा वितरित स्थापनामा हुन सक्छ। स्ट्यान्डअलोन संस्करणमा, सबै निकायहरू एउटै भर्चुअल मेसिन वा भौतिक सर्भर (सुरक्षित नेटवर्क सर्भर - SNS) मा अवस्थित छन्, जबकि वितरित संस्करणमा, नोडहरू विभिन्न उपकरणहरूमा वितरित हुन्छन्।

नीति प्रशासन नोड (PAN) एक आवश्यक नोड हो जसले तपाईंलाई सिस्को ISE मा सबै प्रशासनिक कार्यहरू गर्न अनुमति दिन्छ। यसले AAA सँग सम्बन्धित सबै प्रणाली कन्फिगरेसनहरू ह्यान्डल गर्दछ। वितरित कन्फिगरेसनमा (नोडहरू छुट्टै भर्चुअल मेसिनको रूपमा स्थापना गर्न सकिन्छ), तपाईंसँग गल्ती सहिष्णुताको लागि अधिकतम दुई प्यानहरू हुन सक्छन् - सक्रिय/स्ट्यान्डबाइ मोड।

नीति सेवा नोड (PSN) एक अनिवार्य नोड हो जसले नेटवर्क पहुँच, राज्य, अतिथि पहुँच, ग्राहक सेवा प्रावधान, र प्रोफाइलिङ प्रदान गर्दछ। PSN ले नीतिको मूल्याङ्कन गर्छ र लागू गर्छ। सामान्यतया, धेरै PSN हरू स्थापना गरिन्छ, विशेष गरी वितरित कन्फिगरेसनमा, अधिक अनावश्यक र वितरित सञ्चालनको लागि। निस्सन्देह, तिनीहरूले यी नोडहरू बिभिन्न खण्डहरूमा स्थापना गर्ने प्रयास गर्छन् ताकि एक सेकेन्डको लागि प्रमाणित र अधिकृत पहुँच प्रदान गर्ने क्षमता गुमाउनु हुँदैन।

मोनिटरिङ नोड (MnT) एक अनिवार्य नोड हो जसले घटना लग, अन्य नोडहरूको लग र नेटवर्कमा नीतिहरू भण्डारण गर्छ। MnT नोडले अनुगमन र समस्या निवारणका लागि उन्नत उपकरणहरू प्रदान गर्दछ, विभिन्न डेटा सङ्कलन र सहसंबद्ध गर्दछ, र अर्थपूर्ण रिपोर्टहरू पनि प्रदान गर्दछ। Cisco ISE ले तपाईंलाई अधिकतम दुई MnT नोडहरू राख्न अनुमति दिन्छ, जसले गर्दा त्रुटि सहिष्णुता - सक्रिय/स्ट्यान्डबाइ मोड सिर्जना हुन्छ। यद्यपि, लगहरू दुवै सक्रिय र निष्क्रिय दुवै नोडहरूद्वारा सङ्कलन गरिन्छ।

PxGrid नोड (PXG) PxGrid प्रोटोकल प्रयोग गर्ने नोड हो र PxGrid लाई समर्थन गर्ने अन्य उपकरणहरू बीच सञ्चारलाई अनुमति दिन्छ।

PxGrid  - एक प्रोटोकल जसले विभिन्न विक्रेताहरूबाट IT र सूचना सुरक्षा पूर्वाधार उत्पादनहरूको एकीकरण सुनिश्चित गर्दछ: निगरानी प्रणालीहरू, घुसपैठ पत्ता लगाउने र रोकथाम प्रणालीहरू, सुरक्षा नीति व्यवस्थापन प्लेटफर्महरू र अन्य धेरै समाधानहरू। Cisco PxGrid ले तपाईंलाई API को आवश्यकता बिना नै धेरै प्लेटफर्महरूसँग एकदिशात्मक वा द्विदिशात्मक रूपमा सन्दर्भ साझेदारी गर्न अनुमति दिन्छ, जसले गर्दा प्रविधि सक्षम पार्छ। ट्रस्टसेक (SGT ट्यागहरू), परिवर्तन गर्नुहोस् र ANC (अनुकूल नेटवर्क नियन्त्रण) नीति लागू गर्नुहोस्, साथै प्रोफाइलिङ प्रदर्शन गर्नुहोस् - उपकरण मोडेल, OS, स्थान, र थप निर्धारण गर्नुहोस्।

उच्च उपलब्धता कन्फिगरेसनमा, PxGrid नोडहरूले PAN मा नोडहरू बीचको जानकारी दोहोर्याउँदछ। यदि PAN असक्षम पारिएको छ भने, PxGrid नोडले प्रयोगकर्ताहरूको लागि प्रमाणीकरण, प्रमाणीकरण र लेखांकन रोक्छ। 

तल कर्पोरेट नेटवर्कमा विभिन्न Cisco ISE संस्थाहरूको सञ्चालनको योजनाबद्ध प्रतिनिधित्व छ।

चित्र 1. सिस्को ISE वास्तुकला

५.२। आवश्यकताहरु

सिस्को ISE लागू गर्न सकिन्छ, धेरै आधुनिक समाधानहरू जस्तै, वस्तुतः वा भौतिक रूपमा छुट्टै सर्भरको रूपमा। 

सिस्को ISE सफ्टवेयर चलाउने भौतिक उपकरणहरूलाई SNS (Secure Network Server) भनिन्छ। तिनीहरू तीन मोडेलहरूमा आउँछन्: SNS-3615, SNS-3655 र SNS-3695 साना, मध्यम र ठूला व्यवसायहरूको लागि। तालिका 1 बाट जानकारी देखाउँछ डाटा पाना SNS।

तालिका 1. विभिन्न स्केलहरूको लागि SNS को तुलना तालिका

परिमिति

SNS 3615 (सानो)

SNS 3655 (मध्यम)

SNS 3695 (ठूलो)

स्ट्यान्डअलोन स्थापनामा समर्थित अन्तबिन्दुहरूको संख्या

10000

25000

50000

प्रति PSN समर्थित अन्तिम बिन्दुहरूको संख्या

10000

25000

100000

CPU (Intel Xeon 2.10 GHz)

8 कोर

12 कोर

12 कोर

राम 

32 GB (2 x 16 GB)

96 GB (6 x 16 GB)

256 GB (16 x 16 GB)

HDD

1 x 600 GB

4 x 600 GB

8 x 600 GB

हार्डवेयर RAID

कुनै

RAID 10, RAID नियन्त्रकको उपस्थिति

RAID 10, RAID नियन्त्रकको उपस्थिति

नेटवर्क इन्टरफेस

2 x 10Gbase-T

4 x 1Gbase-T 

2 x 10Gbase-T

4 x 1Gbase-T 

2 x 10Gbase-T

4 x 1Gbase-T

भर्चुअल कार्यान्वयनको सन्दर्भमा, समर्थित हाइपरभाइजरहरू VMware ESXi (ESXi 11 को लागि न्यूनतम VMware संस्करण 6.0 सिफारिस गरिएको छ), Microsoft Hyper-V र Linux KVM (RHEL 7.0) हुन्। स्रोतहरू लगभग माथिको तालिकामा जस्तै वा बढी हुनुपर्छ। यद्यपि, सानो व्यवसाय भर्चुअल मेसिनको लागि न्यूनतम आवश्यकताहरू हुन्: 2 CPU 2.0 GHz र उच्च आवृत्ति संग, 16 जीबी र्याम и 200 जीबी HDD 

अन्य सिस्को ISE परिनियोजन विवरणहरूको लागि, कृपया सम्पर्क गर्नुहोस् हामीलाई वा गर्न स्रोत नम्बर १, स्रोत नम्बर १.

4. स्थापना

धेरै अन्य सिस्को उत्पादनहरू जस्तै, ISE धेरै तरिकामा परीक्षण गर्न सकिन्छ:

• dCloud - पूर्व-स्थापित प्रयोगशाला लेआउटहरूको क्लाउड सेवा (सिस्को खाता आवश्यक);

• GVE अनुरोध - बाट अनुरोध साइट निश्चित सफ्टवेयरको सिस्को (साझेदारहरूको लागि विधि)। तपाईंले निम्न विशिष्ट विवरणको साथ केस सिर्जना गर्नुहुन्छ: उत्पादन प्रकार [ISE], ISE सफ्टवेयर [ise-2.7.0.356.SPA.x8664], ISE प्याच [ise-patchbundle-2.7.0.356-Patch2-20071516.SPA.x86२०११];

• पायलट परियोजना - नि:शुल्क पाइलट प्रोजेक्ट सञ्चालन गर्न कुनै पनि अधिकृत साझेदारलाई सम्पर्क गर्नुहोस्।

1) भर्चुअल मेसिन सिर्जना गरेपछि, यदि तपाईंले ISO फाइल अनुरोध गर्नुभयो र OVA टेम्प्लेट होइन, एउटा विन्डो पप अप हुनेछ जसमा ISE ले तपाईंलाई स्थापना चयन गर्न आवश्यक छ। यो गर्नको लागि, तपाईको लगइन र पासवर्डको सट्टा तपाईले "सेटअप!

नोट: यदि तपाईंले OVA टेम्प्लेटबाट ISE डिप्लोय गर्नुभयो भने, लगइन विवरणहरू admin/MyIseYPass2 (यो र धेरै अधिक आधिकारिक मा संकेत गरिएको छ गाइड).

चित्र २. सिस्को ISE स्थापना गर्दै

२) त्यसपछि तपाईले आवश्यक क्षेत्रहरू भर्नुपर्छ जस्तै IP ठेगाना, DNS, NTP र अन्य।

चित्र 3. सिस्को ISE प्रारम्भ गर्दै

3) त्यस पछि, उपकरण रिबुट हुनेछ, र तपाइँ पहिले निर्दिष्ट IP ठेगाना प्रयोग गरेर वेब इन्टरफेस मार्फत जडान गर्न सक्षम हुनुहुनेछ।

चित्र 4. सिस्को ISE वेब इन्टरफेस

4) ट्याबमा प्रशासन> प्रणाली> तैनाती तपाइँ एक विशेष उपकरणमा कुन नोडहरू (एकाइहरू) सक्षम छन् चयन गर्न सक्नुहुन्छ। PxGrid नोड यहाँ सक्षम छ।

चित्र 5. सिस्को ISE संस्था व्यवस्थापन

5) त्यसपछि ट्याबमा प्रशासन> प्रणाली> प्रशासन पहुँच> प्रमाणीकरण म पासवर्ड नीति, प्रमाणीकरण विधि (प्रमाणपत्र वा पासवर्ड), खाता समाप्ति मिति, र अन्य सेटिङहरू सेटअप गर्न सिफारिस गर्छु।

चित्र 6. प्रमाणीकरण प्रकार सेटिङचित्र 7. पासवर्ड नीति सेटिङहरूचित्र 8. समय समाप्त भएपछि खाता बन्द गर्ने सेटअपचित्र 9. खाता लक सेट अप गर्दै

6) ट्याबमा प्रशासन> प्रणाली> प्रशासक पहुँच> प्रशासकहरू> प्रशासक प्रयोगकर्ताहरू> थप्नुहोस् तपाईं नयाँ प्रशासक सिर्जना गर्न सक्नुहुन्छ।

चित्र 10. स्थानीय सिस्को ISE प्रशासक सिर्जना गर्दै

7) नयाँ प्रशासकलाई नयाँ समूह वा पहिले नै पूर्वनिर्धारित समूहको भाग बनाउन सकिन्छ। प्रशासक समूहहरू ट्याबमा एउटै प्यानलमा व्यवस्थित हुन्छन् व्यवस्थापक समूहहरू। तालिका 2 ले ISE प्रशासकहरू, तिनीहरूको अधिकार र भूमिकाहरू बारे जानकारी संक्षेप गर्दछ।

तालिका 2. सिस्को ISE प्रशासक समूहहरू, पहुँच स्तरहरू, अनुमतिहरू, र प्रतिबन्धहरू

प्रशासक समूह नाम

अनुमतिहरू

प्रतिबन्धहरू

अनुकूलन व्यवस्थापक

अतिथि र प्रायोजन पोर्टलहरू, प्रशासन र अनुकूलन सेट अप गर्दै

नीतिहरू परिवर्तन गर्न वा रिपोर्टहरू हेर्न असक्षमता

हेल्पडेस्क व्यवस्थापक

मुख्य ड्यासबोर्ड, सबै रिपोर्टहरू, लार्महरू र समस्या निवारण स्ट्रिमहरू हेर्ने क्षमता

तपाईंले रिपोर्टहरू, अलार्महरू र प्रमाणीकरण लगहरू परिवर्तन गर्न, सिर्जना गर्न वा मेटाउन सक्नुहुन्न

पहिचान व्यवस्थापक

प्रयोगकर्ताहरू, विशेषाधिकारहरू र भूमिकाहरू प्रबन्ध गर्दै, लगहरू, रिपोर्टहरू र अलार्महरू हेर्ने क्षमता

तपाईंले OS स्तरमा नीतिहरू परिवर्तन गर्न वा कार्यहरू गर्न सक्नुहुन्न

MnT व्यवस्थापक

पूर्ण निगरानी, ​​रिपोर्ट, अलार्म, लग र तिनीहरूको व्यवस्थापन

कुनै पनि नीति परिवर्तन गर्न असक्षमता

नेटवर्क उपकरण प्रशासक

ISE वस्तुहरू सिर्जना गर्ने र परिवर्तन गर्ने अधिकारहरू, लगहरू, रिपोर्टहरू, मुख्य ड्यासबोर्डहरू हेर्ने

तपाईंले OS स्तरमा नीतिहरू परिवर्तन गर्न वा कार्यहरू गर्न सक्नुहुन्न

नीति व्यवस्थापक

सबै नीतिहरूको पूर्ण व्यवस्थापन, प्रोफाइलहरू, सेटिङहरू, रिपोर्टहरू हेर्दै

प्रमाणहरू, ISE वस्तुहरूसँग सेटिङहरू प्रदर्शन गर्न असक्षमता

RBAC व्यवस्थापक

सञ्चालन ट्याबमा सबै सेटिङहरू, ANC नीति सेटिङहरू, रिपोर्टिङ व्यवस्थापन

तपाईंले ANC बाहेक अन्य नीतिहरू परिवर्तन गर्न वा OS स्तरमा कार्यहरू गर्न सक्नुहुन्न

सुपर व्यवस्थापक

सबै सेटिङहरू, रिपोर्टिङ र व्यवस्थापनको अधिकारले प्रशासक प्रमाणहरू मेटाउन र परिवर्तन गर्न सक्छ

परिवर्तन गर्न सकिँदैन, सुपर व्यवस्थापक समूहबाट अर्को प्रोफाइल मेटाउनुहोस्

प्रणाली व्यवस्थापक

सञ्चालन ट्याबमा सबै सेटिङहरू, प्रणाली सेटिङहरू, ANC नीति, हेराइ रिपोर्टहरू

तपाईंले ANC बाहेक अन्य नीतिहरू परिवर्तन गर्न वा OS स्तरमा कार्यहरू गर्न सक्नुहुन्न

बाह्य आराम सेवा (ERS) व्यवस्थापक

सिस्को ISE REST API मा पूर्ण पहुँच

स्थानीय प्रयोगकर्ताहरू, होस्टहरू र सुरक्षा समूहहरू (SG) को प्राधिकरण, व्यवस्थापनको लागि मात्र।

बाह्य आराम सेवा (ERS) अपरेटर

सिस्को ISE REST API पढ्ने अनुमतिहरू

स्थानीय प्रयोगकर्ताहरू, होस्टहरू र सुरक्षा समूहहरू (SG) को प्राधिकरण, व्यवस्थापनको लागि मात्र।

चित्र 11. पूर्वनिर्धारित सिस्को ISE प्रशासक समूहहरू

8) ट्याबमा वैकल्पिक प्राधिकरण > अनुमति > RBAC नीति तपाईं पूर्वनिर्धारित प्रशासकहरूको अधिकार सम्पादन गर्न सक्नुहुन्छ।

चित्र 12. सिस्को ISE प्रशासक प्रिसेट प्रोफाइल अधिकार व्यवस्थापन

9) ट्याबमा प्रशासन> प्रणाली> सेटिङहरू सबै प्रणाली सेटिङहरू उपलब्ध छन् (DNS, NTP, SMTP र अन्य)। तपाईंले तिनीहरूलाई यहाँ भर्न सक्नुहुन्छ यदि तपाईंले तिनीहरूलाई प्रारम्भिक यन्त्र प्रारम्भिकताको बेला छुटाउनुभयो भने।

Con. निष्कर्ष

यो पहिलो लेख समाप्त हुन्छ। हामीले सिस्को ISE NAC समाधानको प्रभावकारिता, यसको वास्तुकला, न्यूनतम आवश्यकताहरू र डिप्लोइमेन्ट विकल्पहरू, र प्रारम्भिक स्थापनाबारे छलफल गर्यौं।

अर्को लेखमा, हामी खाताहरू सिर्जना गर्ने, Microsoft एक्टिभ डाइरेक्टरीसँग एकीकृत गर्ने, र अतिथि पहुँच सिर्जना गर्ने बारे हेर्नेछौं।

यदि तपाइँसँग यस विषयको बारेमा प्रश्नहरू छन् वा उत्पादन परीक्षण गर्न मद्दत चाहिन्छ भने, कृपया सम्पर्क गर्नुहोस् लिङ्क.

हाम्रा च्यानलहरूमा अद्यावधिकहरूको लागि सम्पर्कमा रहनुहोस् (तार, फेसबुक, VK, TS समाधान ब्लग, Yandex Zen).

स्रोत: www.habr.com