Цисцо ИСЕ: Увод, захтеви, инсталација. Део 1

1. Представљање

Свака компанија, па и најмања, има потребу за аутентификацијом, ауторизацијом и корисничким рачуноводством (ААА фамилија протокола). У почетној фази, ААА је прилично добро имплементиран користећи протоколе као што су РАДИУС, ТАЦАЦС+ и ДИАМЕТЕР. Међутим, како број корисника и компаније расте, расте и број задатака: максимална видљивост хостова и БИОД уређаја, вишефакторска аутентификација, креирање политике приступа на више нивоа и још много тога.

За такве задатке савршена је класа решења НАЦ (Нетворк Аццесс Цонтрол) – контрола приступа мрежи. У низу чланака посвећених Цисцо ИСЕ (Идентити Сервицес Енгине) - НАЦ решење за обезбеђивање контекстно-свесне контроле приступа корисницима на интерној мрежи, ми ћемо детаљно погледати архитектуру, обезбеђивање, конфигурацију и лиценцирање решења.

Дозволите ми да вас укратко подсетим да вам Цисцо ИСЕ омогућава:

• Брзо и лако креирајте приступ за госте на наменској ВЛАН мрежи;

• Откривање БИОД уређаја (на пример, кућни рачунари запослених које су донели на посао);

• Централизујте и примените безбедносне политике за кориснике домена и ван домена користећи ознаке СГТ безбедносних група ТрустСец);

• Проверите да ли рачунари имају одређени софтвер који је инсталиран и усклађеност са стандардима (позиционирање);

• Класификовати и профилисати крајње тачке и мрежне уређаје;

• Обезбедите видљивост крајње тачке;

• Слање евиденције догађаја логовања/одјављивања корисника, њихових налога (идентитета) НГФВ-у да би се формирала политика заснована на корисницима;

• Интегришите се са Цисцо СтеалтхВатцх-ом и ставите у карантин сумњиве хостове који су укључени у безбедносне инциденте (више);

• И друге карактеристике стандардне за ААА сервере.

Колеге из индустрије су већ писали о Цисцо ИСЕ, па вам саветујем да прочитате: Пракса имплементације Цисцо ИСЕ, Како се припремити за Цисцо ИСЕ имплементацију.

КСНУМКС. Архитектура

Архитектура Идентити Сервицес Енгине има 4 ентитета (чворова): управљачки чвор (Чвор за администрацију политике), чвор за дистрибуцију политике (Чвор услуге Политике), чвор за надгледање (Мониторинг Ноде) и ПкГрид чвор (ПкГрид Ноде). Цисцо ИСЕ може бити у самосталној или дистрибуираној инсталацији. У самостојећој верзији сви ентитети се налазе на једној виртуелној машини или физичком серверу (Сецуре Нетворк Серверс - СНС), док су у Дистрибутед верзији чворови распоређени на различите уређаје.

Чвор администрације политике (ПАН) је обавезан чвор који вам омогућава да извршите све административне операције на Цисцо ИСЕ. Обрађује све системске конфигурације везане за ААА. У дистрибуираној конфигурацији (чворови се могу инсталирати као засебне виртуелне машине), можете имати највише два ПАН-а за толеранцију грешака – активни/приправни режим.

Полици Сервице Ноде (ПСН) је обавезан чвор који обезбеђује приступ мрежи, стање, приступ госту, обезбеђивање клијентских услуга и профилисање. ПСН процењује политику и примењује је. Обично се инсталира више ПСН-ова, посебно у дистрибуираној конфигурацији, за више редундантне и дистрибуиране операције. Наравно, они покушавају да инсталирају ове чворове у различите сегменте како не би изгубили могућност да обезбеде аутентификован и ауторизован приступ ни на секунд.

Чвор за праћење (МнТ) је обавезан чвор који чува евиденције догађаја, евиденције других чворова и политике на мрежи. МнТ чвор пружа напредне алате за праћење и решавање проблема, прикупља и повезује различите податке, а такође пружа смислене извештаје. Цисцо ИСЕ вам омогућава да имате највише два МнТ чвора, чиме се ствара толеранција на грешке – активни/приправни режим. Међутим, евиденције прикупљају оба чвора, и активни и пасивни.

ПкГрид чвор (ПКСГ) је чвор који користи ПкГрид протокол и омогућава комуникацију између других уређаја који подржавају ПкГрид.

ПкГрид  — протокол који обезбеђује интеграцију ИТ и инфраструктурних производа за безбедност информација различитих произвођача: системи за праћење, системи за откривање и превенцију упада, платформе за управљање безбедносном политиком и многа друга решења. Цисцо ПкГрид вам омогућава да делите контекст на једносмерни или двосмерни начин са многим платформама без потребе за АПИ-јима, чиме се омогућава технологија ТрустСец (СГТ ознаке), промените и примените АНЦ (Адаптиве Нетворк Цонтрол) политику, као и извршите профилисање – одређивање модела уређаја, ОС, локације и још много тога.

У конфигурацији високе доступности, ПкГрид чворови реплицирају информације између чворова преко ПАН-а. Ако је ПАН онемогућен, ПкГрид чвор престаје са аутентификацијом, ауторизацијом и обрачуном корисника. 

Испод је шематски приказ рада различитих Цисцо ИСЕ ентитета у корпоративној мрежи.

Слика 1. Цисцо ИСЕ архитектура

3. Захтеви

Цисцо ИСЕ се може имплементирати, као и већина савремених решења, виртуелно или физички као посебан сервер. 

Физички уређаји који користе Цисцо ИСЕ софтвер називају се СНС (Сецуре Нетворк Сервер). Долазе у три модела: СНС-3615, СНС-3655 и СНС-3695 за мала, средња и велика предузећа. Табела 1 приказује информације из датасхеет СНС.

Табела 1. Упоредна табела СНС за различите скале

Параметар

СНС 3615 (мали)

СНС 3655 (средњи)

СНС 3695 (велики)

Број подржаних крајњих тачака у самосталној инсталацији

10000

25000

50000

Број подржаних крајњих тачака по ПСН-у

10000

25000

100000

ЦПУ (Интел Ксеон 2.10 ГХз)

8 језгара

12 језгара

12 језгара

РАМ- 

32 ГБ (2 к 16 ГБ)

96 ГБ (6 к 16 ГБ)

256 ГБ (16 к 16 ГБ)

ХДД

1 к 600 ГБ

4 к 600 ГБ

8 к 600 ГБ

Хардваре РАИД

Не

РАИД 10, присуство РАИД контролера

РАИД 10, присуство РАИД контролера

Мрежни интерфејси

2 к 10Гбасе-Т

4 к 1Гбасе-Т 

2 к 10Гбасе-Т

4 к 1Гбасе-Т 

2 к 10Гбасе-Т

4 к 1Гбасе-Т

Што се тиче виртуелних имплементација, подржани хипервизори су ВМваре ЕСКСи (препоручује се минимална ВМваре верзија 11 за ЕСКСи 6.0), Мицрософт Хипер-В и Линук КВМ (РХЕЛ 7.0). Ресурси треба да буду приближно исти као у горњој табели, или више. Међутим, минимални захтеви за виртуелну машину за мала предузећа су: КСНУМКС Процесор са фреквенцијом од 2.0 ГХз и више, 16 ГБ РАМ-а и КСНУМКС ГБ ХДД. 

За остале детаље о примени Цисцо ИСЕ контактирајте нам или да ресурс #1, ресурс #2.

4. Инсталација

Као и већина других Цисцо производа, ИСЕ се може тестирати на неколико начина:

• дцлоуд – цлоуд сервис унапред инсталираних лабораторијских распореда (потребан је Цисцо налог);

• ГВЕ захтев – захтев од саита Цисцо одређеног софтвера (метод за партнере). Правите случај са следећим типичним описом: Тип производа [ИСЕ], ИСЕ софтвер [исе-2.7.0.356.СПА.к8664], ИСЕ закрпа [исе-патцхбундле-2.7.0.356-Патцх2-20071516.СПА.к8664];

• Пилот пројекат — контактирајте било ког овлашћеног партнера за спровођење бесплатног пилот пројекта.

1) Након креирања виртуелне машине, ако сте захтевали ИСО датотеку, а не ОВА шаблон, појавиће се прозор у коме ИСЕ захтева да изаберете инсталацију. Да бисте то урадили, уместо вашег корисничког имена и лозинке, требало би да напишете „намештаљка"!

Напомена: ако сте применили ИСЕ из ОВА шаблона, онда детаље за пријаву админ/МиИсеИПасс2 (ово и још много тога је назначено у званичном Водич).

Слика 2. Инсталирање Цисцо ИСЕ

2) Затим треба да попуните обавезна поља као што су ИП адреса, ДНС, НТП и друга.

Слика 3. Иницијализација Цисцо ИСЕ-а

3) Након тога, уређај ће се поново покренути, а ви ћете моћи да се повежете преко веб интерфејса користећи претходно наведену ИП адресу.

Слика 4. Цисцо ИСЕ веб интерфејс

4) У таб Администрација > Систем > Примена можете изабрати који су чворови (ентитети) омогућени на одређеном уређају. Чвор ПкГрид је овде омогућен.

Слика 5. Цисцо ИСЕ Ентити Манагемент

5) Затим у таб Администрација > Систем > Администраторски приступ > Аутентификација Препоручујем да подесите политику лозинке, метод аутентификације (сертификат или лозинка), датум истека налога и друга подешавања.

Слика 6. Поставка типа аутентикацијеСлика 7. Поставке политике лозинкеСлика 8. Подешавање гашења налога након истека временаСлика 9. Подешавање закључавања налога

6) У таб Администрација > Систем > Администраторски приступ > Администратори > Админ корисници > Додај можете креирати новог администратора.

Слика 10. Креирање локалног Цисцо ИСЕ администратора

7) Нови администратор може бити део нове групе или већ унапред дефинисаних група. Администраторским групама се управља у истом панелу на картици Админ Гроупс. Табела 2 сумира информације о ИСЕ администраторима, њиховим правима и улогама.

Табела 2. Цисцо ИСЕ администраторске групе, нивои приступа, дозволе и ограничења

Име групе администратора

Дозволе

Ограничења

Админ за прилагођавање

Постављање портала за госте и спонзорства, администрација и прилагођавање

Немогућност промене смерница или прегледа извештаја

Хелпдеск Админ

Могућност прегледа главне контролне табле, свих извештаја, аларма и токова за решавање проблема

Не можете мењати, креирати или брисати извештаје, аларме и евиденције аутентификације

Идентити Админ

Управљање корисницима, привилегијама и улогама, могућност прегледа дневника, извештаја и аларма

Не можете мењати смернице или обављати задатке на нивоу ОС

МнТ Админ

Потпуни надзор, извештаји, аларми, евиденције и њихово управљање

Немогућност промене било које политике

Администратор мрежног уређаја

Права за креирање и промену ИСЕ објеката, преглед евиденције, извештаја, главне контролне табле

Не можете мењати смернице или обављати задатке на нивоу ОС

Полици Админ

Потпуно управљање свим политикама, промена профила, подешавања, преглед извештаја

Немогућност извођења подешавања са акредитивима, ИСЕ објектима

РБАЦ Админ

Сва подешавања на картици Операције, подешавања АНЦ политике, управљање извештавањем

Не можете мењати друге смернице осим АНЦ-а или обављати задатке на нивоу ОС

супер Администратор

Права на сва подешавања, извештавање и управљање, могу брисати и мењати администраторске акредитиве

Није могуће променити, избришите други профил из групе Супер Админ

Систем Админ

Сва подешавања на картици Операције, управљање системским поставкама, АНЦ политика, преглед извештаја

Не можете мењати друге смернице осим АНЦ-а или обављати задатке на нивоу ОС

Екстерне РЕСТфул услуге (ЕРС) Админ

Потпуни приступ Цисцо ИСЕ РЕСТ АПИ-ју

Само за ауторизацију, управљање локалним корисницима, домаћинима и безбедносним групама (СГ)

Екстерни оператер РЕСТфул услуга (ЕРС).

Дозволе за читање Цисцо ИСЕ РЕСТ АПИ-ја

Само за ауторизацију, управљање локалним корисницима, домаћинима и безбедносним групама (СГ)

Слика 11. Унапред дефинисане Цисцо ИСЕ администраторске групе

8) Опционо на картици Ауторизација > Дозволе > Политика РБАЦ Можете уређивати права унапред дефинисаних администратора.

Слика 12. Управљање правима за унапред постављени профил Цисцо ИСЕ администратора

9) У таб Администрација > Систем > Подешавања Доступна су сва подешавања система (ДНС, НТП, СМТП и други). Можете их попунити овде ако сте их пропустили током почетне иницијализације уређаја.

5. Закључак

Овим је завршен први чланак. Разговарали смо о ефикасности Цисцо ИСЕ НАЦ решења, његовој архитектури, минималним захтевима и опцијама примене, као и почетној инсталацији.

У следећем чланку ћемо погледати креирање налога, интеграцију са Мицрософт Ацтиве Дирецтори-ом и креирање приступа за госте.

Ако имате питања о овој теми или вам је потребна помоћ у тестирању производа, контактирајте веза.

Пратите новости на нашим каналима (Telegram, фацебоок, VK, ТС Солутион Блог, Иандек Зен).

Извор: ввв.хабр.цом