تثبيت ISE على خدمات سحابة Azure

المقدمة

يوضح هذا المستند كيفية تثبيت مثيل Cisco ISE IOS باستخدام الجهاز الظاهري Azure. يتوفر برنامج ISE IOS من Cisco على خدمات سحابة Azure.

المتطلبات الأساسية

• الاشتراكات ومجموعات الموارد.

انتقل إلى جميع الخدمات > الاشتراكات. تأكد من وجود حساب Azure مع الاشتراك النشط الذي يتضمن إتفاقية Enterprise مع Microsoft. باستخدام أوامر CLI الخاصة بتنفيذ وحدة Microsoft PowerShell Azure النمطية لحجز المساحة: (ارجع إلى <كيفية تثبيت Azure PowerShell > لتثبيت طبقة الطاقة والحزم ذات الصلة).

أكمل الحصة النسبية للمضيف عند الطلب لحل Azure VMware للحصول على مزيد من التفاصيل.

قم بإنشاء مجموعة موارد بعد الاشتراك الصحيح، والتنقل إلى جميع الخدمات > مجموعات الموارد. انقر فوق إضافة (Add). أدخل اسم مجموعة الموارد.

• الشبكة الظاهرية ومجموعات الأمان.

يجب أن تحتوي الشبكة الفرعية التي تتطلب قابلية الوصول إلى الإنترنت على جدول المسار الذي تم تكوينه باستخدام الخطوة التالية كإنترنت. راجع أمثلة على الشبكة الفرعية العامة والخاصة. PAN مع وجود IP عام يعمل تحديث موجز ويب دون اتصال أو عبر الإنترنت، تحتاج PAN مع IP الخاص إلى الاعتماد على تحديثات موجز ويب دون اتصال.

• قم بإنشاء زوج مفاتيح SSH.

   أ. أستخدم شريط البحث من الصفحة الرئيسية لبوابة الويب Azure والبحث عن مفاتيح SSH.

  ب. من الإطار التالي، انقر فوق إنشاء.

  ج. من الإطار التالي، حدد مجموعة الموارد واسم المفتاح. ثم انقر مراجعة + إنشاء.

  د. من الإطار التالي، انقر فوق إنشاء المفتاح الخاص وتنزيله.

المكون المستخدم

يستند محتوى هذا المستند إلى هذه البرامج وخدمات السحابة.

• ISE الإصدار 3.2 من Cisco.
• خدمات سحابة Microsoft Azure

تم إنشاء المعلومات الواردة في هذا المستند في الجهاز من بيئة معملية خاصة. بدأت جميع الأجهزة المستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

أحجام Azure VM التي تدعمها Cisco ISE

• إن أحجام Azure VM من السلسلة FSV2 محسنة للحوسبة وأنسب للاستخدام ك PSN للمهام والتطبيقات التي تتطلب عمليات حوسبة كثيرة.
• تعد سلسلة DSV4 أحجام Azure VM للأغراض العامة التي تناسب الاستخدام على أفضل نحو كعقد PAN أو MnT أو كلتيهما والمصممة لمهام معالجة البيانات وعمليات قاعدة البيانات.

إذا كنت تستخدم مثيل للأغراض العامة كشبكة PSN، فإن أرقام الأداء تكون أقل من أداء مثيل الكمبيوتر المحسن كشبكة PSN. يجب إستخدام حجم VM Standard_D8s_v4 كشبكة PSN صغيرة إضافية فقط.

قيود Cisco ISE في خدمات سحابة Microsoft Azure

• إذا قمت بإنشاء Cisco ISE باستخدام الجهاز الظاهري Azure، سيقوم Microsoft Azure بشكل افتراضي بتعيين عناوين IP الخاصة إلى VMs من خلال خوادم DHCP. قبل إنشاء نشر Cisco ISE على Microsoft Azure، يجب عليك تحديث إدخالات DNS العكسية وإعادة التوجيه باستخدام عناوين IP التي تم تعيينها بواسطة Microsoft Azure.

  بدلا من ذلك، بعد تثبيت Cisco ISE، قم بتعيين عنوان IP ثابت إلى VM الخاص بك عن طريق تحديث كائن واجهة الشبكة في Microsoft Azure:

  1. أوقف الجهاز الظاهري.

  2. في منطقة إعدادات عنوان IP الخاص من ال VM، في منطقة التعيين، انقر ساكن إستاتيكي.

  3. أعد تشغيل الجهاز الظاهري.

  4. في وحدة التحكم التسلسلية Cisco ISE، قم بتعيين عنوان IP ك gi0.

  5. قم بإعادة تشغيل خادم تطبيق Cisco ISE.

• يتم دعم بطاقة واجهة الشبكة (NIC) المزدوجة باستخدام بطاقتي واجهة شبكة (NIC) فقط - جيجابت إيثرنت 0 وشبكة جيجابت إيثرنت 1. لتكوين بطاقة واجهة شبكة (NIC) ثانوية في مثيل Cisco ISE، يجب عليك أولا إنشاء كائن واجهة شبكة في Azure، ثم إيقاف تشغيل مثيل Cisco ISE، ثم إرفاق كائن واجهة الشبكة هذا ب Cisco ISE. بعد تثبيت Cisco ISE على Azure وتشغيله، أستخدم Cisco ISE CLI لتكوين عنوان IP يدويا لكائن واجهة الشبكة كبطاقة واجهة شبكة (NIC) الثانوية.

• لا يتوفر سير عمل ترقية Cisco ISE في Cisco ISE على Microsoft Azure. لا يتم دعم سوى عمليات التثبيت الجديدة. ومع ذلك، يمكنك إجراء النسخ الاحتياطي لبيانات التكوين واستعادتها.
• تدعم السحابة العامة ميزات الطبقة 3 فقط. لا تدعم عقد Cisco ISE في Microsoft Azure وظائف Cisco ISE التي تعتمد على إمكانيات الطبقة 2. على سبيل المثال، العمل مع استكشافات DHCP SPAN profiler ووظائف بروتوكول CDP من خلال Cisco ISE CLI هي وظائف لا يتم دعمها حاليا.
• عند تنفيذ وظيفة الاستعادة والنسخ الاحتياطي لبيانات التكوين، بعد اكتمال عملية النسخ الاحتياطي، قم أولا بإعادة تشغيل Cisco ISE من خلال CLI (واجهة سطر الأوامر). بعد ذلك، قم ببدء عملية الاستعادة من واجهة المستخدم الرسومية (GUI) الخاصة ب Cisco ISE.
• لا يدعم Azure وصول SSH إلى Cisco ISE CLI باستخدام المصادقة المستندة إلى كلمة المرور. يمكنك الوصول إلى واجهة سطر الأوامر (CLI) من Cisco ISE فقط من خلال زوج مفاتيح، ويجب تخزين زوج المفاتيح هذا بأمان. إذا كنت تستخدم ملف مفتاح خاص (أو PEM) وفقدت الملف، فلن تتمكن من الوصول إلى واجهة سطر الأوامر Cisco ISE.

   لا يتم دعم أي دمج يستخدم طريقة مصادقة قائمة على كلمة المرور للوصول إلى واجهة سطر الأوامر Cisco ISE CLI، على سبيل المثال، Cisco DNA Center الإصدار 2.1.2 والإصدارات الأقدم.

• عادة ما تقوم عمليات نشر Cisco ISE IOS على Azure باستغلال حلول الشبكة الخاصة الظاهرية (VPN) مثل الشبكات الخاصة الظاهرية متعددة النقاط الديناميكية (DMVPN) والشبكات الواسعة المحددة للبرامج (SD-WAN)، حيث يمكن أن تتسبب رؤوس نفق IPSec في حدوث مشاكل في وحدة الحد الأقصى للنقل (MTU) والتجزئة. في مثل هذه السيناريوهات، لن يستقبل Cisco ISE IOS حزم RADIUS الكاملة ويحدث فشل المصادقة دون إطلاق سجل أخطاء للفشل.

  يتمثل الحل البديل المحتمل في البحث عن دعم Microsoft التقني لاستكشاف أي حلول في Azure يمكن أن تسمح بتمرير الأجزاء التي خارج الترتيب إلى الوجهة بدلا من إسقاطها.

• يجب أن يكون مستخدم مسؤول CLI "iseadmin".

التكوين

مثال على نشر ISE المتصل بسحابة Azure

التكوينات

• الخطوة (1): انتقل إلى مدخل Azure وسجل الدخول إلى حساب Microsoft Azure.

• الخطوة (2): أستخدم حقل البحث الموجود أعلى النافذة للبحث عن السوق.

• الخطوة (3): أستخدم حقل البحث في موقع السوق للبحث عن محرك خدمات تعريف Cisco (ISE).

• الخطوة (4): انقر فوق الجهاز الظاهري.

• الخطوة (5): في الإطار الجديد الذي يتم عرضه، انقر فوق إنشاء. 

• الخطوة (6): في علامة التبويب الأساسيات: 

    أ. في منطقة تفاصيل المشروع، أختر القيم المطلوبة من قوائم الاشتراك ومجموعة الموارد المنسدلة. 

    ب. في منطقة تفاصيل المثيل، أدخل قيمة في حقل اسم الجهاز الظاهري. 

    c. من القائمة المنسدلة الصورة، أختر صورة Cisco ISE. 

    d. من القائمة المنسدلة الحجم، أختر حجم المثيل الذي تريد تثبيت Cisco ISE به. أختر مثيلا مدعوما من قبل Cisco ISE، كما هو مدرج في الجدول المعنون سحابة Azure

        المثيلات التي تدعمها Cisco ISE، في القسم Cisco ISE على سحابة Azure. 

    هـ. في منطقة حساب المسؤول > نوع المصادقة، انقر على زر راديو مفتاح SSH العام.

    و.  دخلت في ال username مجال، iseadmin. 

    ز. من القائمة المنسدلة مصدر مفتاح SSH العام، أختر إستخدام المفتاح الموجود المخزن في Azure.

    ح. من القائمة المنسدلة المفاتيح المخزنة، أختر زوج المفاتيح الذي قمت بإنشائه كمتطلبات أساسية لهذه المهمة.

    ي.  في منطقة قواعد المنفذ الوارد، انقر على زر السماح بالمنافذ المحددة لاسلكي. 

    ك. في منطقة الترخيص، من القائمة المنسدلة نوع الترخيص، أختر آخر. 

إنشاء جهاز ظاهري

• الخطوة (7): انقر فوق التالي: الأقراص.

• الخطوة (8): في علامة التبويب أقراص، احتفظ بالقيم الافتراضية للحقول الإلزامية وانقر فوق التالي: الشبكة.

• الخطوة (9): في منطقة واجهة الشبكة، من الشبكة الظاهرية، الشبكة الفرعية وتكوين مجموعة أمان الشبكة القوائم المنسدلة، أختر الشبكة الظاهرية والشبكة الفرعية التي قمت بإنشائها.

• الخطوة (10): انقر فوق التالي: الإدارة. 

• الخطوة (11): في علامة التبويب إدارة، قم بالاحتفاظ بالقيم الافتراضية للحقول الإلزامية وانقر فوق التالي: متقدم.

• الخطوة (12): في منطقة بيانات المستخدم، حدد خانة الاختيار تمكين بيانات المستخدم. 

    في حقل بيانات المستخدم، معلومات كاملة:

    hostname=<hostname of cisco ISE> 

    PrimaryNameServer=<عنوان IPv4> 

    dnsdomain=<domain name> 

    ntpserver=<عنوان IPv4 أو FQDN الخاص بخادم NTP> 

    المنطقة الزمنية=<timezone>

    كلمة المرور=<password> 

    Ersapi=<نعم/لا>

    OpenAPI=<نعم/لا>

    pxGrid=<نعم/لا>

    pxgrid_cloud=<نعم/no>

رأيت guidelines للتكوينات أن أنت ينبغي أرسلت من خلال المستعمل معطيات مجال:

أ. hostname: أدخل اسم المضيف الذي يحتوي على أحرف أبجدية رقمية وواصلات (-). يجب ألا يتجاوز طول اسم المضيف 19 حرفا ولا يمكن أن يحتوي على تسطير سفلي (_). 

ب. خادم الأسماء الأساسي: أدخل عنوان IP الخاص بخادم الاسم الأساسي. عناوين IPv4 فقط هي المعتمدة.

يمكنك إضافة خادم DNS واحد فقط في هذه الخطوة. يمكنك إضافة خوادم DNS إضافية من خلال Cisco ISE CLI بعد التثبيت.

c. dnsdomain: أدخل FQDN لمجال DNS. يمكن أن يحتوي الإدخال على أحرف ASCII وأرقام وواصلات (-) ونقاط (.).

d. ntpserver: أدخل عنوان IPv4 أو FQDN الخاص بخادم NTP الذي يجب إستخدامه للمزامنة.

يمكنك إضافة خادم NTP واحد فقط في هذه الخطوة. يمكنك إضافة خوادم NTP إضافية من خلال Cisco ISE CLI بعد التثبيت. أستخدم خادم NTP صالح وقابل للوصول نظرا لأن هذا الأمر مطلوب لعمليات ISE.

ه - المنطقة الزمنية: أدخل منطقة زمنية، على سبيل المثال، الخ/UTC. نحن نوصي بتعيين جميع عقد Cisco ISE إلى المنطقة الزمنية المنسقة للوقت العالمي (UTC)، وخاصة إذا تم تثبيت عقد Cisco ISE الخاصة بك في نشر موزع. يضمن هذا الإجراء مزامنة الطوابع الزمنية للتقارير والسجلات من العقد المختلفة في عملية النشر الخاصة بك دائما. 

f. كلمة: شكلت كلمة ل baser تسجيل دخول إلى cisco ISE. يجب أن تتوافق كلمة المرور التي تدخلها مع نهج كلمة مرور Cisco ISE. يجب أن تحتوي كلمة المرور على 6 إلى 25 حرفا وأن تتضمن رقما واحدا على الأقل وحرفا كبيرا وحرفا صغيرا. لا يمكن أن تكون كلمة المرور هي نفسها اسم المستخدم أو معكوسها (iseadmin أو nimdaesi)، أو cisco، أو ocsic. الأحرف الخاصة المسموح بها هي @~*!،+=_-. راجع قسم "سياسة كلمة مرور المستخدم" في الفصل "الإعداد الأساسي" من دليل مسؤول Cisco ISE لإصدارك. 

g. ersapi: أدخل نعم لتمكين ERS أو لا لعدم السماح ERS.

h. openapi: أدخل نعم لتمكين OpenAPI أو لا لمنع OpenAPI. 

i. pxGrid: أدخل نعم لتمكين pxGrid، أو لا لعدم السماح ل pxGrid. 

j. pxgrid_cloud: أدخل نعم لتمكين pxGrid Cloud أو no لعدم السماح ل pxGrid Cloud. لتمكين pxGrid Cloud، يجب تمكين pxGrid. إذا قمت بعدم السماح ل pxGrid، ولكن تمكين pxGrid Cloud، فلن يتم تمكين خدمات PxGrid Cloud عند بدء التشغيل. 

قسم بيانات المستخدم

• الخطوة (13): انقر فوق التالي: العلامات. 

• الخطوة (14): لإنشاء أزواج قيم أسماء تتيح لك تصنيف الموارد، ودمج العديد من الموارد ومجموعات الموارد، أدخل قيم في حقلي الاسم والقيمة. 

• الخطوة (15): انقر فوق التالي: مراجعة + إنشاء.

• الخطوة (16): راجع المعلومات التي قدمتها حتى الآن وانقر فوق إنشاء.

  يتم عرض نافذة النشر قيد التقدم. يستغرق إنشاء مثيل Cisco ISE وتوفيره للاستخدام حوالي 30 دقيقة. يتم عرض مثيل Cisco ISE VM في

   نافذة الأجهزة الظاهرية (أستخدم حقل البحث الرئيسي للعثور على الإطار). 

ما العمل بعد ذلك

بسبب الإعداد الافتراضي ل Microsoft Azure، تم تكوين جهاز Cisco ISE VM الذي أنشأته بحجم قرص يبلغ 300 جيجابايت فقط. تتطلب عقد Cisco ISE بشكل نموذجي سعة قرص تزيد عن 300 جيجابايت. يمكنك رؤية تنبيه الذاكرة الظاهرية غير الكافية عند تشغيل Cisco ISE من Microsoft Azure لأول مرة.

بعد اكتمال إنشاء Cisco ISE VM، سجل الدخول إلى مدخل إدارة Cisco ISE للتحقق من إعداد Cisco ISE. ثم، في مدخل Microsoft Azure، قم بتنفيذ الخطوات وإكمالها في نافذة الأجهزة الظاهرية لتحرير حجم القرص:

1. إيقاف مثيل Cisco ISE.

2. انقر فوق القرص الموجود في الجزء الأيسر وانقر فوق القرص الذي تستخدمه مع Cisco ISE. 

3. انقر فوق الحجم + الأداء في الجزء الأيسر. 

4. في حقل حجم القرص المخصص، أدخل حجم القرص الذي تريده، في GiB. 

ترحيل مهام التثبيت

للحصول على معلومات حول مهام تثبيت مادة النشر التي يجب عليك تنفيذها بعد إنشاء مثيل Cisco ISE بنجاح، راجع الفصل "التحقق من التثبيت ومهام التثبيت بعد ذلك" في دليل تثبيت Cisco ISE لإصدار Cisco ISE الخاص بك.

إسترداد كلمة المرور وإعادة تعيينها على سحابة Azure

أكمل المهام التي تساعد في إعادة تعيين كلمة مرور الجهاز الظاهري Cisco ISE أو إستردادها. أختر المهام التي تحتاج إليها وقم بتنفيذ الخطوات التفصيلية.

1. إعادة ضبط كلمة مرور Cisco ISE GUI من خلال وحدة التحكم التسلسلية

• الخطوة (1): سجل الدخول إلى سحابة Azure واختر مجموعة الموارد التي تحتوي على الجهاز الظاهري Cisco ISE.
• الخطوة (2): من قائمة الموارد، انقر فوق مثيل Cisco ISE الذي تريد إعادة تعيين كلمة المرور له.
• الخطوة (3): من القائمة الموجودة على الجانب الأيسر، انقر فوق وحدة التحكم التسلسلية من قسم الدعم + أستكشاف الأخطاء وإصلاحها. 

• الخطوة (4): إذا قمت بعرض رسالة خطأ هنا، فسيتعين عليك تمكين تشخيصات التمهيد من خلال تنفيذ الخطوات وإكمالها:

    أ. من القائمة الموجودة على الجانب الأيسر، انقر فوق تشخيصات التمهيد.

  ب. انقر فوق تمكين باستخدام حساب تخزين مخصص. ثم انقر فوق حفظ.

• الخطوة (5): من القائمة الموجودة على الجانب الأيسر، انقر فوق وحدة التحكم التسلسلية من قسم الدعم + أستكشاف الأخطاء وإصلاحها. يتم عرض Azure Cloud Shell في نافذة جديدة. إذا كانت الشاشة سوداء، اضغط على مفتاح Enter لعرض مطالبة تسجيل الدخول.

• الخطوة (8): سجل الدخول إلى وحدة التحكم التسلسلية. لتسجيل الدخول إلى وحدة التحكم التسلسلية، يجب أن تستخدم كلمة المرور الأصلية التي تم تكوينها عند تثبيت المثيل.
• الخطوة (9): أستخدم الأمر application reset-password ise iseadmin لتكوين كلمة مرور جديدة ل GUI لحساب iseadmin. 

2. إنشاء زوج مفاتيح عام جديد للوصول إلى SSH

من خلال هذه المهمة، يمكنك إضافة أزواج مفاتيح إضافية إلى المستودع. لا يتم إستبدال زوج المفاتيح الموجود الذي تم إنشاؤه في وقت تكوين مثيل Cisco ISE بالمفتاح العام الجديد الذي تقوم بإنشائه.

• الخطوة (1): إنشاء مفتاح عام جديد في Azure Cloud.

يمكنك الحصول على نافذة منبثقة لتحديد مفتاح التنزيل الخاص وإنشاء مورد يقوم بتنزيل مفتاح SSH كملف .pem.

• الخطوة (2): لإنشاء مستودع جديد لحفظ المفتاح العام إليه، راجع وثائق Azure Repos. 

    إذا كان لديك بالفعل مستودع يمكن الوصول إليه من خلال واجهة سطر الأوامر، فقم بالتخطي إلى الخطوة 3.

• الخطوة (3): لاستيراد المفتاح العام الجديد، أستخدم الأمر crypto key import <اسم الملف الرئيسي العام> المستودع <اسم المستودع>.
• الخطوة (4): عند اكتمال الاستيراد، يمكنك تسجيل الدخول إلى Cisco ISE عبر SSH باستخدام المفتاح العام الجديد.