Cisco ISE: හැඳින්වීම, අවශ්යතා, ස්ථාපනය. 1 කොටස

1. හැඳින්වීම

සෑම සමාගමකටම, කුඩාම සමාගමට වුවද, සත්‍යාපනය, අවසරය සහ පරිශීලක ගිණුම්කරණය (AAA ප්‍රොටෝකෝල පවුල) අවශ්‍ය වේ. ආරම්භක අදියරේදී, AAA RADIUS, TACACS+ සහ DIAMETER වැනි ප්‍රොටෝකෝල භාවිතයෙන් හොඳින් ක්‍රියාත්මක වේ. කෙසේ වෙතත්, පරිශීලකයින් සහ සමාගම වර්ධනය වන විට, කාර්යයන් ගණන ද වර්ධනය වේ: සත්කාරක සහ BYOD උපාංගවල උපරිම දෘශ්‍යතාව, බහු-සාධක සත්‍යාපනය, බහු මට්ටමේ ප්‍රවේශ ප්‍රතිපත්තියක් නිර්මාණය කිරීම සහ තවත් බොහෝ දේ.

එවැනි කාර්යයන් සඳහා, NAC (ජාල ප්රවේශ පාලනය) විසඳුම් පන්තිය පරිපූර්ණයි - ජාල ප්රවේශ පාලනය. සඳහා කැප වූ ලිපි මාලාවක Cisco ISE (Identity Services Engine) - අභ්‍යන්තර ජාලයේ පරිශීලකයින්ට සන්දර්භය-දැනුවත් ප්‍රවේශ පාලනය සැපයීම සඳහා NAC විසඳුම, අපි විසඳුමේ ගෘහ නිර්මාණ ශිල්පය, ප්‍රතිපාදන, වින්‍යාස කිරීම සහ බලපත්‍ර ලබා දීම පිළිබඳව සවිස්තරාත්මකව බලන්නෙමු.

Cisco ISE ඔබට පහත දේ කිරීමට ඉඩ දෙන බව මම ඔබට කෙටියෙන් මතක් කරමි:

• කැපවූ WLAN එකකින් ඉක්මනින් සහ පහසුවෙන් ආගන්තුක ප්‍රවේශය සාදන්න;

• BYOD උපාංග හඳුනා ගන්න (උදාහරණයක් ලෙස, ඔවුන් වැඩට ගෙනා සේවකයින්ගේ නිවසේ පරිගණක);

• SGT ආරක්ෂක කණ්ඩායම් ලේබල භාවිතා කරමින් වසම් සහ වසම් නොවන පරිශීලකයන් හරහා ආරක්ෂක ප්‍රතිපත්ති කේන්ද්‍රගත කර බලාත්මක කරන්න TrustSec);

• ස්ථාපනය කර ඇති ඇතැම් මෘදුකාංග සඳහා පරිගණක පරීක්ෂා කිරීම සහ ප්රමිතීන්ට අනුකූල වීම (ඉරියව් කිරීම);

• අන්ත ලක්ෂ්‍යය සහ ජාල උපාංග වර්ගීකරණය සහ පැතිකඩ;

• අන්ත ලක්ෂ්‍ය දෘශ්‍යතාව ලබා දෙන්න;

• පරිශීලක පාදක ප්‍රතිපත්තියක් සැකසීම සඳහා පරිශීලකයන්ගේ ලොගින්/ලොග් ඕෆ් සිදුවීම් ලොග, ඔවුන්ගේ ගිණුම් (අනන්‍යතාවය) NGFW වෙත යවන්න;

• Cisco StealthWatch සමඟ දේශීයව ඒකාබද්ධ වීම සහ ආරක්ෂක සිදුවීම්වලට සම්බන්ධ සැක සහිත සත්කාරකයන් නිරෝධායනය කිරීම (වැඩි විස්තර);

• සහ AAA සේවාදායකයන් සඳහා සම්මත අනෙකුත් විශේෂාංග.

කර්මාන්තයේ සගයන් දැනටමත් Cisco ISE ගැන ලියා ඇත, එබැවින් කියවීමට මම ඔබට උපදෙස් දෙමි: Cisco ISE ක්රියාත්මක කිරීමේ පුහුණුව, Cisco ISE ක්‍රියාත්මක කිරීම සඳහා සූදානම් වන්නේ කෙසේද?.

2. ගෘහ නිර්මාණ ශිල්පය

අනන්‍යතා සේවා එන්ජින් ගෘහ නිර්මාණ ශිල්පයට ආයතන 4ක් ඇත: කළමනාකරණ නෝඩයක් (ප්‍රතිපත්ති පරිපාලන නෝඩයක්), ප්‍රතිපත්ති බෙදා හැරීමේ නෝඩයක් (ප්‍රතිපත්ති සේවා නෝඩයක්), අධීක්ෂණ නෝඩයක් (අධීක්ෂණ නෝඩයක්) සහ PxGrid node එකක් (PxGrid Node). Cisco ISE ස්වාධීන හෝ බෙදා හරින ලද ස්ථාපනයකින් විය හැක. ස්වාධීන අනුවාදයේ, සියලුම ආයතන එක් අතථ්‍ය යන්ත්‍රයක් හෝ භෞතික සේවාදායකයක් මත පිහිටා ඇත (ආරක්ෂිත ජාල සේවාදායකයන් - SNS), බෙදා හරින ලද අනුවාදයේ, නෝඩ් විවිධ උපාංග හරහා බෙදා හරිනු ලැබේ.

Policy Administration Node (PAN) යනු Cisco ISE හි සියලුම පරිපාලන මෙහෙයුම් සිදු කිරීමට ඔබට ඉඩ සලසන අවශ්‍ය නෝඩයකි. එය AAA සම්බන්ධ සියලුම පද්ධති වින්‍යාසයන් හසුරුවයි. බෙදා හරින ලද වින්‍යාසයකදී (නෝඩ් වෙනම අථත්‍ය යන්ත්‍ර ලෙස ස්ථාපනය කළ හැක), දෝෂ ඉවසීම සඳහා ඔබට උපරිම PAN දෙකක් තිබිය හැක - සක්‍රීය/පොරොත්තු ප්‍රකාරය.

ප්‍රතිපත්ති සේවා නෝඩය (PSN) යනු ජාල ප්‍රවේශය, රාජ්‍ය, ආගන්තුක ප්‍රවේශය, සේවාලාභී සේවා ප්‍රතිපාදන සහ පැතිකඩ සපයන අනිවාර්ය නෝඩයකි. PSN ප්‍රතිපත්තිය ඇගයීමට ලක් කර එය අදාළ කරයි. සාමාන්‍යයෙන්, බහුවිධ PSN ස්ථාපනය කර ඇත, විශේෂයෙන් බෙදා හරින ලද වින්‍යාසය තුළ, වැඩිපුර අතිරික්ත සහ බෙදා හරින ලද මෙහෙයුම් සඳහා. ඇත්ත වශයෙන්ම, ඔවුන් තත්පරයකට සත්‍යාපනය කළ සහ බලයලත් ප්‍රවේශය ලබා දීමේ හැකියාව නැති කර නොගන්නා ලෙස විවිධ කොටස්වල මෙම නෝඩ් ස්ථාපනය කිරීමට උත්සාහ කරයි.

අධීක්ෂණ නෝඩය (MnT) යනු සිදුවීම් ලොග, අනෙකුත් නෝඩ් වල ලොග් සහ ජාලයේ ප්‍රතිපත්ති ගබඩා කරන අනිවාර්ය නෝඩයකි. MnT නෝඩය අධීක්ෂණය සහ දෝශ නිරාකරණය සඳහා උසස් මෙවලම් සපයයි, විවිධ දත්ත එකතු කිරීම සහ සහසම්බන්ධ කිරීම, සහ අර්ථවත් වාර්තා ද සපයයි. Cisco ISE ඔබට උපරිම වශයෙන් MnT නෝඩ් දෙකක් ලබා ගැනීමට ඉඩ සලසයි, එමඟින් දෝෂ ඉවසීම නිර්මාණය කරයි - සක්‍රීය/පොරොත්තු ප්‍රකාරය. කෙසේ වෙතත්, සක්‍රිය සහ නිෂ්ක්‍රීය යන නෝඩ් දෙකෙන්ම ලඝු එකතු කරනු ලැබේ.

PxGrid Node (PXG) යනු PxGrid ප්‍රොටෝකෝලය භාවිතා කරන නෝඩයක් වන අතර PxGrid සඳහා සහය දක්වන අනෙකුත් උපාංග අතර සන්නිවේදනයට ඉඩ සලසයි.

PxGrid  - විවිධ වෙළෙන්දන්ගෙන් තොරතුරු තාක්ෂණ සහ තොරතුරු ආරක්ෂණ යටිතල පහසුකම් නිෂ්පාදන ඒකාබද්ධ කිරීම සහතික කරන ප්‍රොටෝකෝලයකි: අධීක්ෂණ පද්ධති, ආක්‍රමණය හඳුනාගැනීම් සහ වැළැක්වීමේ පද්ධති, ආරක්ෂක ප්‍රතිපත්ති කළමනාකරණ වේදිකා සහ තවත් බොහෝ විසඳුම්. Cisco PxGrid ඔබට API අවශ්‍යතාවයකින් තොරව බොහෝ වේදිකා සමඟ ඒක දිශාභිමුඛ හෝ ද්විපාර්ශ්වික ආකාරයෙන් සන්දර්භය බෙදා ගැනීමට ඉඩ සලසයි, එමඟින් තාක්‍ෂණය සක්‍රීය කරයි. TrustSec (SGT ටැග්), ANC (Adptive Network Control) ප්‍රතිපත්තිය වෙනස් කිරීම සහ අදාළ කිරීම, මෙන්ම පැතිකඩ කිරීම සිදු කිරීම - උපාංග ආකෘතිය, OS, ස්ථානය සහ තවත් දේ තීරණය කිරීම.

ඉහළ ලබා ගත හැකි වින්‍යාසයකදී, PxGrid නෝඩ් PAN එකක් හරහා නෝඩ් අතර තොරතුරු ප්‍රතිවර්තනය කරයි. PAN අක්‍රිය කර ඇත්නම්, PxGrid node පරිශීලකයන් සඳහා සත්‍යාපනය කිරීම, අවසර දීම සහ ගිණුම්කරණය නතර කරයි. 

පහත දැක්වෙන්නේ ආයතනික ජාලයක විවිධ Cisco ISE ආයතනවල ක්‍රියාකාරිත්වයේ ක්‍රමානුරූප නිරූපණයකි.

රූපය 1. Cisco ISE ගෘහ නිර්මාණ ශිල්පය

3. අවශ්යතා

Cisco ISE බොහෝ නවීන විසඳුම් මෙන්, අතථ්‍යව හෝ භෞතිකව වෙනම සේවාදායකයක් ලෙස ක්‍රියාත්මක කළ හැකිය. 

Cisco ISE මෘදුකාංගය ක්‍රියාත්මක වන භෞතික උපාංග SNS (Secure Network Server) ලෙස හැඳින්වේ. ඒවා මාදිලි තුනකින් පැමිණේ: SNS-3615, SNS-3655 සහ SNS-3695 කුඩා, මධ්‍යම සහ විශාල ව්‍යාපාර සඳහා. වගුව 1 වෙතින් තොරතුරු පෙන්වයි දත්ත පත එස්එන්එස්.

වගුව 1. විවිධ පරිමාණයන් සඳහා SNS හි සංසන්දනාත්මක වගුව

පරාමිතිය

SNS 3615 (කුඩා)

SNS 3655 (මධ්‍යම)

SNS 3695 (විශාල)

ස්වාධීන ස්ථාපනයක සහය දක්වන අන්ත ලක්ෂ්‍ය ගණන

10000

25000

50000

PSN එකකට සහය දක්වන අන්ත ලක්ෂ්‍ය ගණන

10000

25000

100000

CPU (Intel Xeon 2.10 GHz)

හරය 8ක්

හරය 12ක්

හරය 12ක්

RAM 

32 GB (2 x 16 GB)

96 GB (6 x 16 GB)

256 GB (16 x 16 GB)

HDD

1 x 600 GB

4 x 600 GB

8 x 600 GB

දෘඩාංග RAID

කිසිදු

RAID 10, RAID පාලකය තිබීම

RAID 10, RAID පාලකය තිබීම

ජාල අතුරුමුහුණත්

2 x 10Gbase-T

4 x 1Gbase-T 

2 x 10Gbase-T

4 x 1Gbase-T 

2 x 10Gbase-T

4 x 1Gbase-T

අතථ්‍ය ක්‍රියාත්මක කිරීම් සම්බන්ධයෙන්, සහාය දක්වන හයිපර්වයිසර් වන්නේ VMware ESXi (ESXi 11 සඳහා අවම VMware අනුවාදය 6.0 නිර්දේශ කෙරේ), Microsoft Hyper-V සහ Linux KVM (RHEL 7.0). සම්පත් ආසන්න වශයෙන් ඉහත වගුවේ ඇති ආකාරයටම හෝ ඊට වඩා වැඩි විය යුතුය. කෙසේ වෙතත්, කුඩා ව්‍යාපාර අතථ්‍ය යන්ත්‍රයක් සඳහා වන අවම අවශ්‍යතා වන්නේ: 2 CPU 2.0 GHz සහ ඊට වැඩි සංඛ්‍යාතයක් සමඟ, 16 GB RAM и 200 GB HDD. 

වෙනත් Cisco ISE යෙදවීමේ විස්තර සඳහා, කරුණාකර සම්බන්ධ වන්න අප හෝ සම්පත් #1, සම්පත් #2.

4. ස්ථාපනය

අනෙකුත් බොහෝ Cisco නිෂ්පාදන මෙන්, ISE ක්රම කිහිපයකින් පරීක්ෂා කළ හැක:

• dCloud - පෙර ස්ථාපිත රසායනාගාර පිරිසැලසුම් වල වලාකුළු සේවාව (සිස්කෝ ගිණුම අවශ්ය);

• GVE ඉල්ලීම - ඉල්ලීම අඩවිය ඇතැම් මෘදුකාංගවල සිස්කෝ (හවුල්කරුවන් සඳහා ක්‍රමය). ඔබ පහත සාමාන්‍ය විස්තරය සමඟ නඩුවක් සාදන්න: නිෂ්පාදන වර්ගය [ISE], ISE මෘදුකාංග [ise-2.7.0.356.SPA.x8664], ISE Patch [ise-patchbundle-2.7.0.356-Patch2-20071516.SPA.x8664];

• නියමු ව්යාපෘතිය - නොමිලේ නියමු ව්‍යාපෘතියක් පැවැත්වීමට ඕනෑම බලයලත් හවුල්කරුවෙකු අමතන්න.

1) අතථ්‍ය යන්ත්‍රයක් සෑදීමෙන් පසු, ඔබ OVA සැකිල්ලක් නොව ISO ගොනුවක් ඉල්ලා සිටියේ නම්, ISE ඔබට ස්ථාපනයක් තේරීමට අවශ්‍ය කවුළුවක් උත්පතන වනු ඇත. මෙය සිදු කිරීම සඳහා, ඔබගේ පිවිසුම සහ මුරපදය වෙනුවට, "" යනුවෙන් ලිවිය යුතුය.පිහිටුවීම"!

සටහන: ඔබ OVA සැකිල්ලෙන් ISE යෙදවූයේ නම්, පිවිසුම් විස්තර පරිපාලක/MyIseYPass2 (මෙය සහ තවත් බොහෝ දේ නිලයේ දක්වා ඇත මගපෙන්වීම).

රූපය 2. Cisco ISE ස්ථාපනය කිරීම

2) එවිට ඔබට IP ලිපිනය, DNS, NTP සහ වෙනත් අවශ්‍ය ක්ෂේත්‍ර පිරවිය යුතුය.

රූපය 3. Cisco ISE ආරම්භ කිරීම

3) ඊට පසු, උපාංගය නැවත ආරම්භ වන අතර, කලින් සඳහන් කළ IP ලිපිනය භාවිතයෙන් ඔබට වෙබ් අතුරු මුහුණත හරහා සම්බන්ධ වීමට හැකි වනු ඇත.

රූපය 4. Cisco ISE වෙබ් අතුරු මුහුණත

4) ටැබ් එකක පරිපාලනය > පද්ධතිය > යෙදවීම ඔබට විශේෂිත උපාංගයක් මත කුමන නෝඩ් (ආයතන) සක්‍රීය කර තිබේද යන්න තෝරාගත හැක. PxGrid node එක මෙහි සක්‍රීය කර ඇත.

රූපය 5. Cisco ISE ආයතන කළමනාකරණය

5) ඉන්පසු ටැබ් එකේ පරිපාලනය > පද්ධතිය > පරිපාලක ප්රවේශය > තහවුරු කරගැනීමේ මුරපද ප්‍රතිපත්තියක්, සත්‍යාපන ක්‍රමයක් (සහතිකය හෝ මුරපදය), ගිණුම් කල් ඉකුත් වීමේ දිනය සහ වෙනත් සැකසුම් සැකසීමට මම නිර්දේශ කරමි.

රූපය 6. සත්‍යාපන ආකාරයේ සැකසුමරූපය 7. මුරපද ප්‍රතිපත්ති සැකසුම්රූපය 8. කාලය ඉකුත්වීමෙන් පසු ගිණුම් වසා දැමීම සැකසීමරූපය 9. ගිණුම් අගුලු දැමීම සැකසීම

6) ටැබ් එකක පරිපාලනය> පද්ධතිය> පරිපාලක ප්‍රවේශය> පරිපාලකයින්> පරිපාලක පරිශීලකයින්> එකතු කිරීම ඔබට නව පරිපාලකයෙකු නිර්මාණය කළ හැකිය.

රූපය 10. දේශීය Cisco ISE පරිපාලකයෙකු නිර්මාණය කිරීම

7) නව පරිපාලකයා නව කණ්ඩායමක හෝ දැනටමත් පූර්ව නිශ්චිත කණ්ඩායම්වල කොටසක් බවට පත් කළ හැකිය. පරිපාලක කණ්ඩායම් පටිත්තෙහි එකම පැනලය තුළ කළමනාකරණය කෙරේ පරිපාලක කණ්ඩායම්. වගුව 2 ISE පරිපාලකයින්, ඔවුන්ගේ අයිතිවාසිකම් සහ භූමිකාවන් පිළිබඳ තොරතුරු සාරාංශ කරයි.

වගුව 2. Cisco ISE පරිපාලක කණ්ඩායම්, ප්‍රවේශ මට්ටම්, අවසර සහ සීමා කිරීම්

පරිපාලක කණ්ඩායමේ නම

අවසර

සීමා කිරීම්

අභිරුචිකරණ පරිපාලක

ආගන්තුක සහ අනුග්‍රාහක ද්වාර පිහිටුවීම, පරිපාලනය සහ අභිරුචිකරණය

ප්‍රතිපත්ති වෙනස් කිරීමට හෝ වාර්තා බැලීමට නොහැකි වීම

උපකාරක පරිපාලක

ප්‍රධාන උපකරණ පුවරුව, සියලුම වාර්තා, ලාම් සහ දෝශ නිරාකරණ ප්‍රවාහ බැලීමේ හැකියාව

ඔබට වාර්තා, එලාම් සහ සත්‍යාපන ලොග වෙනස් කිරීමට, සෑදීමට හෝ මැකීමට නොහැක

අනන්යතා පරිපාලක

පරිශීලකයන්, වරප්රසාද සහ භූමිකාවන් කළමනාකරණය කිරීම, ලඝු-සටහන්, වාර්තා සහ අනතුරු ඇඟවීම් බැලීමේ හැකියාව

ඔබට OS මට්ටමින් ප්‍රතිපත්ති වෙනස් කිරීමට හෝ කාර්යයන් කිරීමට නොහැක

MnT පරිපාලක

සම්පූර්ණ අධීක්ෂණය, වාර්තා, අනතුරු ඇඟවීම්, ලඝු-සටහන් සහ ඒවායේ කළමනාකරණය

කිසිදු ප්රතිපත්තියක් වෙනස් කිරීමට නොහැකි වීම

ජාල උපාංග පරිපාලක

ISE වස්තු සෑදීමට සහ වෙනස් කිරීමට හිමිකම්, ලඝු-සටහන්, වාර්තා, ප්‍රධාන උපකරණ පුවරුව බැලීම

ඔබට OS මට්ටමින් ප්‍රතිපත්ති වෙනස් කිරීමට හෝ කාර්යයන් කිරීමට නොහැක

ප්රතිපත්ති පරිපාලක

සියලුම ප්‍රතිපත්තිවල පූර්ණ කළමනාකරණය, පැතිකඩ වෙනස් කිරීම, සැකසීම්, වාර්තා බැලීම

අක්තපත්‍ර, ISE වස්තු සමඟ සිටුවම් කිරීමට නොහැකි වීම

RBAC පරිපාලක

මෙහෙයුම් පටිත්තෙහි ඇති සියලුම සැකසුම්, ANC ප්‍රතිපත්ති සැකසීම්, වාර්තා කළමණාකරණය

ඔබට ANC හැර වෙනත් ප්‍රතිපත්ති වෙනස් කිරීමට හෝ OS මට්ටමින් කාර්යයන් කිරීමට නොහැක

සුපර් පරිපාලක

සියලු සැකසීම්, වාර්තා කිරීම සහ කළමනාකරණය සඳහා හිමිකම්, පරිපාලක අක්තපත්‍ර මකා දැමීමට සහ වෙනස් කිරීමට හැකිය

වෙනස් කළ නොහැක, සුපිරි පරිපාලක කණ්ඩායමෙන් වෙනත් පැතිකඩක් මකන්න

පද්ධති පරිපාලක

මෙහෙයුම් පටිත්තෙහි ඇති සියලුම සැකසුම්, පද්ධති සැකසීම් කළමනාකරණය, ANC ප්‍රතිපත්තිය, වාර්තා බැලීම

ඔබට ANC හැර වෙනත් ප්‍රතිපත්ති වෙනස් කිරීමට හෝ OS මට්ටමින් කාර්යයන් කිරීමට නොහැක

බාහිර RESTful සේවා (ERS) පරිපාලක

Cisco ISE REST API වෙත සම්පූර්ණ ප්‍රවේශය

අවසරය, දේශීය පරිශීලකයින්, සත්කාරක සහ ආරක්ෂක කණ්ඩායම් (SG) කළමනාකරණය සඳහා පමණි.

බාහිර RESTful සේවා (ERS) ක්‍රියාකරු

Cisco ISE REST API කියවීමේ අවසර

අවසරය, දේශීය පරිශීලකයින්, සත්කාරක සහ ආරක්ෂක කණ්ඩායම් (SG) කළමනාකරණය සඳහා පමණි.

රූපය 11. පූර්ව නිර්වචනය කළ සිස්කෝ ISE පරිපාලක කණ්ඩායම්

8) ටැබය තුළ විකල්ප අවසරය > අවසර > RBAC ප්‍රතිපත්තිය ඔබට පූර්ව නිර්වචනය කළ පරිපාලකයින්ගේ අයිතිවාසිකම් සංස්කරණය කළ හැකිය.

Figure 12. Cisco ISE පරිපාලක පෙරසැකසුම් පැතිකඩ හිමිකම් කළමනාකරණය

9) ටැබ් එකක පරිපාලනය> පද්ධතිය> සැකසීම් සියලුම පද්ධති සැකසුම් තිබේ (DNS, NTP, SMTP සහ වෙනත්). ආරම්භක උපාංග ආරම්භයේදී ඔබට ඒවා මග හැරුනේ නම් ඔබට ඒවා මෙහි පිරවිය හැක.

5. නිගමනය

මෙය පළමු ලිපිය අවසන් කරයි. අපි Cisco ISE NAC විසඳුමේ සඵලතාවය, එහි ගෘහනිර්මාණ ශිල්පය, අවම අවශ්‍යතා සහ යෙදවීමේ විකල්පයන් සහ මූලික ස්ථාපනය පිළිබඳව සාකච්ඡා කළෙමු.

මීළඟ ලිපියෙන්, අපි ගිණුම් සෑදීම, Microsoft Active නාමාවලිය සමඟ ඒකාබද්ධ කිරීම සහ අමුත්තන්ට ප්‍රවේශය නිර්මාණය කිරීම දෙස බලමු.

ඔබට මෙම මාතෘකාව පිළිබඳ ප්‍රශ්න ඇත්නම් හෝ නිෂ්පාදනය පරීක්ෂා කිරීමට උදවු අවශ්‍ය නම්, කරුණාකර සම්බන්ධ වන්න ලින්ක්.

අපගේ නාලිකා වල යාවත්කාලීන සඳහා රැඳී සිටින්න (විදුලි පණිවුඩ, ෆේස්බුක්, VK, TS විසඳුම් බ්ලොගය, Yandex Zen).

මූලාශ්රය: www.habr.com