تثبيت ISE على خدمات سحابة Azure

المقدمة

يوضح هذا المستند كيفية تثبيت مثيل Cisco ISE IOS باستخدام الجهاز الظاهري Azure. يتوفر برنامج ISE IOS من Cisco على خدمات سحابة Azure.

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالاشتراكات ومجموعات الموارد.

المكون المستخدم

يستند محتوى هذا المستند إلى هذه البرامج وخدمات السحابة.

• ISE الإصدار 3.2 من Cisco.
• خدمات سحابة Microsoft Azure

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

الإجراء

انتقل إلى جميع الخدمات > الاشتراكات. تأكد من وجود حساب Azure مع اشتراك نشط واتفاقية مؤسسة مع Microsoft. أستخدم واجهة سطر الأوامر (CLI) الخاصة بوحدة Microsoft PowerShell Azure النمطية لتنفيذ الأوامر لحجز المساحة: (ارجع إلى كيفية تثبيت Azure PowerShell لتثبيت طبقة الطاقة والحزم ذات الصلة).

إكمال المتطلبات الأساسية فيطلب الحصة النسبية للمضيف لحل Azure VMware للحصول على مزيد من التفاصيل.

قم بإنشاء مجموعة موارد بعد الاشتراك الصحيح، والتنقل إلى جميع الخدمات > مجموعات الموارد. انقر فوق إضافة (Add). أدخل اسم مجموعة الموارد.

الشبكة الظاهرية ومجموعات الأمان

يجب أن تحتوي الشبكة الفرعية التي تتطلب قابلية الوصول إلى الإنترنت على جدول المسار الذي تم تكوينه باستخدام الخطوة التالية كإنترنت. راجع أمثلة على الشبكة الفرعية العامة والخاصة. يعمل تحديث PAN مع IP العام على كل من موجز الويب غير المتصل والإنترنت، بينما يجب أن تعتمد PAN مع IP الخاص على تحديثات موجز الويب غير المتصل.

إنشاء زوج مفاتيح SSH

أ. أستخدم شريط البحث من الصفحة الرئيسية لبوابة الويب Azure والبحث عن مفاتيح SSH.

ب. من الإطار التالي، انقر فوق إنشاء.

ج. من الإطار التالي، أختر مجموعة الموارد واسم المفتاح. ثم انقر فوق مراجعة + إنشاء.

د. بعد ذلك انقر فوق إنشاء وتنزيل المفتاح الخاص.

أحجام Azure VM المدعومة من قبل Cisco ISE

• إن أحجام Azure VM من السلسلة FSV2 محسنة للحوسبة وأنسب للاستخدام ك PSN للمهام والتطبيقات التي تتطلب عمليات حوسبة كثيرة.
• تعد سلسلة DSV4 أحجام Azure VM للأغراض العامة التي تناسب الاستخدام على أفضل نحو كعقد PAN أو MnT أو كلتيهما والمصممة لمهام معالجة البيانات وعمليات قاعدة البيانات.

إذا كنت تستخدم مثيل للأغراض العامة كشبكة PSN، فإن أرقام الأداء تكون أقل من أداء مثيل الكمبيوتر المحسن كشبكة PSN. يجب إستخدام حجم VM Standard_D8s_v4 كشبكة PSN صغيرة إضافية فقط.

قيود Cisco ISE في خدمات سحابة Microsoft Azure

• إذا قمت بإنشاء Cisco ISE باستخدام الجهاز الظاهري Azure، سيقوم Microsoft Azure بشكل افتراضي بتعيين عناوين IP الخاصة إلى VMs من خلال خوادم DHCP. قبل إنشاء نشر Cisco ISE على Microsoft Azure، يجب عليك تحديث إدخالات DNS العكسية وإعادة التوجيه باستخدام عناوين IP التي تم تعيينها بواسطة Microsoft Azure.

  بدلا من ذلك، بعد تثبيت Cisco ISE، قم بتعيين عنوان IP ثابت إلى VM الخاص بك عن طريق تحديث كائن واجهة الشبكة في Microsoft Azure:

  1. أوقف الجهاز الظاهري.

  2. في منطقة إعدادات عنوان IP الخاص من ال VM، في منطقة التعيين، انقر ساكن إستاتيكي.

  3. أعد تشغيل الجهاز الظاهري.

  4. في وحدة التحكم التسلسلية Cisco ISE، قم بتعيين عنوان IP ك gi0.

  5. قم بإعادة تشغيل خادم تطبيق Cisco ISE.

• يتم دعم بطاقة واجهة الشبكة (NIC) المزدوجة باستخدام بطاقتي واجهة شبكة (NIC) فقط - جيجابت إيثرنت 0 وشبكة جيجابت إيثرنت 1. in order to شكلت NIC ثانوي في ك cisco ISE مثيل، أنت ينبغي أولا خلقت شبكة قارن كائن في Azure، عمدت cisco ISE مثيل، وبعد ذلك صحبت هذا شبكة قارن كائن إلى cisco ISE. بعد تثبيت Cisco ISE على Azure وتشغيله، أستخدم Cisco ISE CLI لتكوين عنوان IP يدويا لكائن واجهة الشبكة كبطاقة واجهة شبكة (NIC) الثانوية.

• لا يتوفر سير عمل ترقية Cisco ISE في Cisco ISE على Microsoft Azure. لا يتم دعم سوى عمليات التثبيت الجديدة. ومع ذلك، يمكنك إجراء النسخ الاحتياطي لبيانات التكوين واستعادتها.
• تدعم السحابة العامة ميزات الطبقة 3 فقط. لا تدعم عقد Cisco ISE في Microsoft Azure وظائف Cisco ISE التي تعتمد على إمكانيات الطبقة 2. على سبيل المثال، العمل مع استكشافات DHCP SPAN profiler ووظائف بروتوكول CDP من خلال Cisco ISE CLI هي وظائف لا يتم دعمها حاليا.
• عند تنفيذ وظيفة الاستعادة والنسخ الاحتياطي لبيانات التكوين، بعد اكتمال عملية النسخ الاحتياطي، قم أولا بإعادة تشغيل Cisco ISE من خلال CLI (واجهة سطر الأوامر). بعد ذلك، قم ببدء عملية الاستعادة من واجهة المستخدم الرسومية (GUI) الخاصة ب Cisco ISE.
• لا يدعم Azure وصول SSH إلى Cisco ISE CLI باستخدام المصادقة المستندة إلى كلمة المرور. يمكنك الوصول إلى واجهة سطر الأوامر (CLI) من Cisco ISE فقط من خلال زوج مفاتيح، ويجب تخزين زوج المفاتيح هذا بأمان. إذا كنت تستخدم ملف مفتاح خاص (أو PEM) وفقدت الملف، فلن تتمكن من الوصول إلى واجهة سطر الأوامر Cisco ISE. لا يتم دعم أي تكامل يستخدم طريقة مصادقة قائمة على كلمة المرور للوصول إلى Cisco ISE CLI، على سبيل المثال، Cisco DNA Center الإصدار 2.1.2 والإصدارات الأقدم.

• عادة ما تقوم عمليات نشر Cisco ISE IOS على Azure باستغلال حلول الشبكة الخاصة الظاهرية (VPN) مثل الشبكات الخاصة الظاهرية متعددة النقاط الديناميكية (DMVPN) والشبكات الواسعة المحددة للبرامج (SD-WAN)، حيث يمكن أن تتسبب رؤوس نفق IPSec في حدوث مشاكل في وحدة الحد الأقصى للنقل (MTU) والتجزئة. في مثل هذه السيناريوهات، لا يستقبل Cisco ISE IOS حزم RADIUS الكاملة ويحدث فشل المصادقة دون إطلاق سجل خطأ فشل.

  يتمثل الحل البديل المحتمل في البحث عن دعم Microsoft التقني لاستكشاف أي حلول في Azure يمكن أن تسمح بتمرير الأجزاء التي خارج الترتيب إلى الوجهة بدلا من إسقاطها.

• يجب أن يكون مستخدم مسؤول CLI 'iseadmin'.

التكوين

مثال على نشر ISE المتصل بسحابة Azure

التكوينات

• الخطوة 1. انتقل إلى مدخل Azure وسجل الدخول إلى حساب Microsoft Azure الخاص بك.

• الخطوة 2. أستخدم حقل البحث في أعلى النافذة للبحث عن السوق.

• الخطوة 3. أستخدم حقل البحث في سوق البحث للبحث عن محرك خدمات تعريف Cisco (ISE).

• الخطوة 4. انقر فوق الجهاز الظاهري.

• الخطوة 5. في الإطار الجديد الذي يتم عرضه، انقر فوق إنشاء.

• الخطوة 6. في علامة التبويب الأساسيات:

    أ. في منطقة تفاصيل المشروع، أختر القيم المطلوبة من القوائم المنسدلة Subscription وResourceGroup

    ب. في منطقة تفاصيل المثيل، أدخل قيمة في حقل اسم الجهاز الظاهري.

    c. من القائمة المنسدلة الصورة، أختر صورة Cisco ISE. 

    d. من القائمة المنسدلة الحجم، أختر حجم المثيل الذي تريد تثبيت Cisco ISE به. أختر مثيلا مدعوما من قبل Cisco ISE، كما هو مدرج في الجدول المعنون Azure Cloud.

الأمثلة التي تدعمها Cisco ISE، موجودة في القسم Cisco ISE على سحابة Azure.

    ه. في منطقة حساب المسؤول > نوع المصادقة، انقر فوق زر راديو مفتاح SSH العام.

    f. في حقل اسم المستخدم، أدخل iseadmin. 

    g. من القائمة المنسدلة مصدر مفتاح SSH العام، أختر إستخدام المفتاح الموجود المخزن في Azure.

    h. من القائمة المنسدلة للمفاتيح المخزنة، أختر زوج المفاتيح الذي قمت بإنشائه كشرط أساسي لهذه المهمة.

    j. في منطقة قواعد المنفذ الوارد، انقر على زر السماح بالمنافذ المحددة. 

    ك. في منطقة الترخيص، من القائمة المنسدلة نوع الترخيص، أختر آخر.

إنشاء جهاز ظاهري

• الخطوة 7. طقطقت بعد ذلك: قرص.

• الخطوة 8. في علامة التبويب أقراص، قم بالاحتفاظ بالقيم الافتراضية للحقول الإلزامية ثم انقر فوق التالي: الشبكة.

• الخطوة 9. في منطقة واجهة الشبكة، من الشبكة الظاهرية، الشبكة الفرعية، وتكوين قوائم منسدلة لمجموعة أمان الشبكة، أختر الشبكة الظاهرية والشبكة الفرعية التي قمت بإنشائها.

• الخطوة 10. طقطقت بعد ذلك: إدارة.

• الخطوة 11. في علامة التبويب إدارة، قم بالاحتفاظ بالقيم الافتراضية للحقول الإلزامية وانقر التالي: متقدم.

• الخطوة 12. في منطقة بيانات المستخدم، حدد خانة الاختيار تمكين بيانات المستخدم.

في حقل بيانات المستخدم، أكمل المعلومات:

    hostname=<hostname of cisco ISE> 

    PrimaryNameServer=<عنوان IPv4> 

    dnsdomain=<domain name> 

    ntpserver=<عنوان IPv4 أو FQDN الخاص بخادم NTP> 

    المنطقة الزمنية=<timezone>

    كلمة المرور=<password> 

    Ersapi=<نعم/لا>

    OpenAPI=<نعم/لا>

    pxGrid=<نعم/لا>

    pxgrid_cloud=<نعم/no>

رأيت الإرشادات للتكوينات أن أنت ينبغي أرسلت من خلال حقل بيانات المستخدم:

أ. hostname: أدخل اسم المضيف الذي يحتوي على أحرف أبجدية رقمية وواصلات (-). يجب ألا يتجاوز طول اسم المضيف 19 حرفا ولا يمكن أن يحتوي على تسطير سفلي (_).

ب. خادم الأسماء الأساسي: أدخل عنوان IP الخاص بخادم الاسم الأساسي. عناوين IPv4 فقط هي المعتمدة.

يمكنك إضافة خادم DNS واحد فقط في هذه الخطوة. يمكنك إضافة خوادم DNS إضافية من خلال Cisco ISE CLI بعد التثبيت.

c. dnsdomain: أدخل FQDN لمجال DNS. يمكن أن يحتوي الإدخال على أحرف ASCII وأرقام وواصلات (-) ونقاط (.).

d. ntpserver: أدخل عنوان IPv4 أو FQDN الخاص بخادم NTP الذي يجب إستخدامه للمزامنة.

يمكنك إضافة خادم NTP واحد فقط في هذه الخطوة. يمكنك إضافة خوادم NTP إضافية من خلال Cisco ISE CLI بعد التثبيت. أستخدم خادم NTP صالح وقابل للوصول نظرا لأنه مطلوب لعمليات ISE.

ه - المنطقة الزمنية: أدخل منطقة زمنية، على سبيل المثال، الخ/UTC. يوصى بتعيين جميع عقد Cisco ISE إلى المنطقة الزمنية المنسقة للوقت العالمي (UTC)، وخاصة إذا تم تثبيت عقد Cisco ISE الخاصة بك في نشر موزع. يضمن هذا الإجراء مزامنة الطوابع الزمنية للتقارير والسجلات من العقد المختلفة في عملية النشر الخاصة بك دائما.

f. كلمة: شكلت كلمة ل baser تسجيل دخول إلى cisco ISE. يجب أن تتوافق كلمة المرور التي تدخلها مع نهج كلمة مرور Cisco ISE. يجب أن تحتوي كلمة المرور على 6 إلى 25 حرفا وأن تتضمن رقما واحدا على الأقل وحرفا كبيرا وحرفا صغيرا. لا يمكن أن تكون كلمة المرور هي نفسها اسم المستخدم أو معكوسها (iseadmin أو nimdaesi)، أو cisco، أو ocsic. الأحرف الخاصة المسموح بها هي @~*!،+=_-. راجع القسم "نهج كلمة مرور المستخدم" في الفصل "الإعداد الأساسي" من دليل مسؤول Cisco ISE لإصدارك. 

g. ersapi: أدخل نعم لتمكين ERS، أو لا لعدم السماح ERS.

h. openapi: أدخل نعم لتمكين OpenAPI أو لا لمنع OpenAPI. 

i. pxGrid: أدخل نعم لتمكين pxGrid، أو no لعدم السماح ل pxGrid. 

j. pxgrid_cloud: أدخل نعم لتمكين pxGrid Cloud أو no لعدم السماح ل pxGrid Cloud. لتمكين pxGrid Cloud، يجب تمكين pxGrid. إذا قمت بعدم السماح ل pxGrid، ولكن تمكين pxGrid Cloud، فلن يتم تمكين خدمات PxGrid Cloud عند بدء التشغيل.

قسم بيانات المستخدم

• الخطوة 13. طقطقت بعد ذلك: بطاقة.

• الخطوة 14. لإنشاء أزواج قيمة الاسم التي تتيح لك تصنيف الموارد، ودمج العديد من الموارد ومجموعات الموارد، أدخل قيم في حقلي الاسم والقيمة. 

• الخطوة 15. طقطقت بعد ذلك: مراجعة + إنشاء.

• الخطوة 16. راجع المعلومات التي قمت بتوفيرها حتى الآن وانقر فوق إنشاء.

يتم عرض نافذة النشر قيد التقدم. يستغرق إنشاء مثيل Cisco ISE وتوفيره للاستخدام حوالي 30 دقيقة. يتم عرض مثيل Cisco ISE VM في فيرتوالا نافذة الأجهزة (أستخدم حقل البحث الرئيسي للعثور على النافذة).

ما العمل بعد ذلك

بسبب الإعداد الافتراضي ل Microsoft Azure، تم تكوين جهاز Cisco ISE VM الذي أنشأته بحجم قرص يبلغ 300 جيجابايت فقط. تتطلب عقد Cisco ISE بشكل نموذجي سعة قرص تزيد عن 300 جيجابايت. يمكنك رؤية تنبيه الذاكرة الظاهرية غير الكافية عند تشغيل Cisco ISE من Microsoft Azure لأول مرة.

بعد اكتمال إنشاء Cisco ISE VM، سجل الدخول إلى مدخل إدارة Cisco ISE للتحقق من إعداد Cisco ISE. ثم، في مدخل Microsoft Azure، قم بتنفيذ الخطوات وإكمالها في نافذة الأجهزة الظاهرية لتحرير حجم القرص:

1. إيقاف مثيل Cisco ISE.

2. انقر فوق القرص الموجود في الجزء الأيسر وانقر فوق القرص الذي تستخدمه مع Cisco ISE.

3. انقر فوق الحجم + الأداء في الجزء الأيسر.

4. في حقل حجم القرص المخصص، أدخل حجم القرص الذي تريده، في GiB.

ترحيل مهام التثبيت

للحصول على معلومات حول مهام ما بعد التثبيت التي يجب عليك تنفيذها بعد إنشاء مثيل Cisco ISE بنجاح، راجع الفصل "التحقق من التثبيت ومهام التثبيت اللاحقة" في دليل تثبيت Cisco ISE لإصدار Cisco ISE الخاص بك.

إسترداد كلمة المرور وإعادة تعيينها على سحابة Azure

أكمل المهام التي تساعدك على إعادة تعيين كلمة مرور جهاز Cisco ISE الظاهري أو إستردادها. أختر المهام التي تحتاج إليها وقم بتنفيذ الخطوات التفصيلية.

1. إعادة ضبط كلمة مرور Cisco ISE GUI من خلال وحدة التحكم التسلسلية

• الخطوة 1. قم بتسجيل الدخول إلى Azure Cloud واختر مجموعة الموارد التي تحتوي على الجهاز الظاهري Cisco ISE.
• الخطوة 2. من قائمة الموارد، انقر فوق مثيل Cisco ISE الذي تريد إعادة تعيين كلمة المرور له.
• الخطوة 3. من القائمة الموجودة على الجانب الأيسر، انقر فوق وحدة التحكم التسلسلية من قسم الدعم + أستكشاف الأخطاء وإصلاحها.

• الخطوة 4. إذا قمت بعرض رسالة خطأ هنا، فيجب عليك تمكين تشخيصات التمهيد من خلال تنفيذ الخطوات الكاملة:

أ. من القائمة الموجودة على الجانب الأيسر، انقر فوق تشخيصات التمهيد.

ب. انقر فوق تمكين باستخدام حساب تخزين مخصص. ثم انقر فوق حفظ.

• الخطوة 5. من القائمة الموجودة على الجانب الأيسر، انقر فوق وحدة التحكم التسلسلية من قسم الدعم + أستكشاف الأخطاء وإصلاحها. يتم عرض Azure Cloud Shell في نافذة جديدة. إذا كانت الشاشة سوداء، اضغط على Enter لعرض مطالبة تسجيل الدخول.

• الخطوة 8. قم بتسجيل الدخول إلى وحدة التحكم التسلسلية. لتسجيل الدخول إلى وحدة التحكم التسلسلية، يجب أن تستخدم كلمة المرور الأصلية التي تم تكوينها عند تثبيت المثيل.
• الخطوة 9. أستخدم الأمر application reset-password ise iseadmin لتكوين كلمة مرور جديدة ل GUI لحساب iseadmin.

2. إنشاء زوج مفاتيح عام جديد للوصول إلى SSH

من خلال هذه المهمة، يمكنك إضافة أزواج مفاتيح إضافية إلى المستودع. لا يتم إستبدال زوج المفاتيح الموجود الذي تم إنشاؤه في وقت تكوين مثيل Cisco ISE بالمفتاح العام الجديد الذي قمت بإنشائه.

• الخطوة 1. إنشاء مفتاح عام جديد في Azure Cloud.

يمكنك الحصول على نافذة منبثقة لاختيار مفتاح التنزيل الخاص وإنشاء مورد يقوم بتنزيل مفتاح SSH كملف .pem.

• الخطوة 2. لإنشاء مستودع جديد لحفظ المفتاح العام إليه، راجع وثائق Azure Repos. إذا كان لديك بالفعل مستودع يمكن الوصول إليه من خلال واجهة سطر الأوامر، فقم بالتخطي إلى الخطوة 3.

• الخطوة 3. لاستيراد المفتاح العام الجديد، أستخدم الأمر crypto key import <اسم ملف المفتاح العام> المستودع <اسم المستودع>.
• الخطوة 4. عند اكتمال الاستيراد، يمكنك تسجيل الدخول إلى Cisco ISE عبر SSH باستخدام المفتاح العام الجديد.