Configuración de Cisco ISE 3.1 Posture con Linux

Introducción

Este documento describe el procedimiento para configurar e implementar una política de estado de archivo para Linux y Identity Services Engine (ISE).

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

• AnyConnect
• Identity Services Engine (ISE)
• Linux

Componentes Utilizados

 La información que contiene este documento se basa en las siguientes versiones de software y hardware.

• Anyconnect 4.10.05085
• ISE versión 3.1 P1
• Linux Ubuntu 20.04
• Switch Cisco Catalyst 3650. Versión 03.07.05.E (15.12(3)E5)

Configurar

Configuraciones en ISE

Paso 1. Actualizar servicio de estado:

Vaya a Centros de Trabajo > Estado > Configuración > Actualizaciones de Software > Actualizaciones de Estado. Seleccione Actualizar ahora y espere a que finalice el proceso:

Un paquete proporcionado por Cisco es un paquete de software que se descarga desde el sitio Cisco.com, como los paquetes de software de AnyConnect. Un paquete creado por el cliente es un perfil o una configuración que ha creado fuera de la interfaz de usuario de ISE y que desea cargar en ISE para su uso con la evaluación de estado. Para este ejercicio, puede descargar el paquete de implementación web de AnyConnect "anyconnect-linux64-4.10.05085-webDeploy-k9.pkg".

Nota: Debido a las actualizaciones y los parches, la versión recomendada puede cambiar. Utilice la versión recomendada más reciente del sitio cisco.com.

Paso 2.Cargue el paquete AnyConnect:

Desde el centro de trabajo de estado, vaya a Aprovisionamiento de cliente > Recursos

Paso 3. Seleccione Agregar > Recursos de agente en Disco local

Paso 4. Seleccione Cisco Provided Packages en el menú desplegable Category (Categoría).

Paso 5. Haga clic en Examinar.

Paso 6. Elija uno de los paquetes de AnyConnect que descargó en el paso anterior. Se procesa la imagen de AnyConnect y se muestra la información sobre el paquete

Paso 7. Haga clic en Submit (Enviar). Ahora que AnyConnect se carga en ISE, puede tener contacto con ISE y obtener los otros recursos de cliente de Cisco.com.

Nota: Los recursos de agente incluyen los módulos utilizados por AnyConnect Client que proporcionan la capacidad de evaluar el cumplimiento de un terminal para una variedad de comprobaciones de condiciones, como antivirus, antispyware, antimalware, firewall, cifrado de disco, archivo, etc.

Paso 8. Haga clic en Agregar > Recursos de agente desde el sitio de Cisco. La ventana tardará un minuto en completarse, ya que ISE se pondrá en contacto con Cisco.com y recuperará un manifiesto de todos los recursos publicados para el aprovisionamiento de clientes.

Paso 9. Seleccione los últimos módulos de cumplimiento de AnyConnect para Linux. Además, también puede seleccionar el módulo de cumplimiento para Windows y Mac.

Paso 10. Seleccione los agentes temporales más recientes para Windows y Mac.

Paso 11. Click Save.

Nota: Las configuraciones de estado de MAC y Windows están fuera del alcance de esta guía de configuración.

En este momento, ha cargado y actualizado todas las piezas necesarias. Ha llegado el momento de crear la configuración y los perfiles necesarios para utilizar esos componentes.

Paso 12. Haga clic en Add > NAC Agent o AnyConnect Status Profile.

Los parámetros que deben modificarse son:

• Intervalo de detección de VLAN: Esta configuración le permite establecer el número de segundos que el módulo espera entre sondeos para los cambios de VLAN. La recomendación es de 5 segundos.
• Ping o ARP: Este es el método de detección de cambio de VLAN real. El agente puede hacer ping al gateway predeterminado o monitorear la memoria caché ARP para que la entrada del gateway predeterminado se detenga o ambas. La configuración recomendada es ARP.

• Temporizador de remediación: Cuando se desconoce el estado de un terminal, éste pasa por un flujo de evaluación de estado. Se tarda tiempo en remediar los errores en las comprobaciones de estado; el tiempo predeterminado es 4 minutos antes de marcar el terminal como no conforme, pero los valores pueden oscilar entre 1 y 300 minutos (5 horas). La recomendación es de 15 minutos; sin embargo, esto puede requerir ajustes si se espera que la remediación tome más tiempo.

Nota: El estado del archivo Linux no admite la corrección automática.

Para obtener una descripción completa de todos los parámetros, consulte la documentación de estado de ISE o AnyConnect.

Paso 13. Comportamiento del agente seleccione Lista de copias de seguridad de sondas de estado y seleccione Elegir, seleccione el FQDN de PSN/Standalone y seleccione Guardar

Paso 14. En Status Protocols > Discovery Host (Protocolos de estado > Host de detección), defina la dirección IP del nodo PSN/independiente.

Paso 15. En la lista de servidores de respaldo de Discovery y Select elija, seleccione su FQDN PSN o FQDN independiente y seleccione Select.

Paso 16. En Reglas de nombre de servidor, escriba * para ponerse en contacto con todos los servidores y definir la dirección IP PSN/Standalone en lista de inicio de llamada. Alternativamente, se puede utilizar un comodín para que coincida con todos los PSN potenciales de la red (es decir, *.acme.com).

Paso 17. Haga clic en Agregar > Configuración de AnyConnect

Desplácese hacia abajo y seleccione Enviar

Paso 18. Cuando haya terminado de hacer selecciones, haga clic en Enviar.

Paso 19. Seleccione Centros de Trabajo > Estado > Aprovisionamiento de Cliente > Portales de Aprovisionamiento de Cliente.

Paso 20. En la sección Configuración del portal, puede seleccionar la interfaz y el puerto, así como los grupos autorizados a la página Seleccionar empleado, Usuarios SISE y Usuarios de dominio.

Paso 21. En Configuración de inicio de sesión en la página, asegúrese de que la opción Habilitar inicio de sesión automático esté habilitada

Paso 22. En la esquina superior derecha, seleccione Guardar

Paso 23. Seleccione Centros de Trabajo > Estado > Aprovisionamiento de Cliente > Política de Aprovisionamiento de Cliente.

Paso 24. Haga clic en la flecha hacia abajo junto a la regla IOS en el CPP y elija Duplicar arriba

Paso 25. Nombre la regla LinuxPosture

Paso 26. Para Resultados, seleccione AnyConnect Configuration como agente.

Nota: En este caso, no verá un menú desplegable del módulo de cumplimiento porque está configurado como parte de la configuración de AnyConnect.

Paso 27.Haga clic en Finalizado.

Paso 28. Click Save.

Elementos de la política de estado

Paso 29. Seleccione Centros de Trabajo > Estado > Elementos de Política > Condiciones > Archivo. Seleccione Agregar.

Paso 30.Defina TESTFile como el nombre de la condición de archivo y defina los siguientes valores

Nota: La ruta se basa en la ubicación del archivo.

Paso 31. Seleccione Save (Guardar).

FileExistence.Este tipo de condición de archivo busca ver si existe un archivo en el sistema donde se supone que debe existir, y eso es todo. Con esta opción seleccionada, no hay ningún problema para validar las fechas del archivo, los hash, etc.

Paso 32. Seleccione Requisitos y cree una nueva política de la siguiente manera:

 

Nota: Linux no admite el texto del mensaje sólo como acción de corrección

Componentes necesarios

• Sistema operativo: Linux All
• Módulo de cumplimiento: 4,x
• Tipo de estado: AnyConnect
• Condiciones: Módulos de cumplimiento y agentes (que estarán disponibles después de seleccionar el SO)
• Acciones de remediación: Remediaciones disponibles para su selección después de haber elegido el resto de condiciones.

Paso 33. Seleccione Centros de trabajo > Estado > Política de estado

Paso 34. Seleccione Edit en cualquier política y Seleccione Insert New policy Define LinuxPosturePolicy como el nombre y asegúrese de agregar el requisito creado en el paso 32.

Paso 35. Seleccione Finalizado y Guardar

Otras configuraciones importantes de estado (sección Configuración general de estado)

Los parámetros importantes de la sección Configuración general de estado son los siguientes:

• Temporizador de remediación: Esta configuración define la cantidad de tiempo que un cliente tiene para corregir una condición de estado fallida. También hay un temporizador de remediación en la configuración de AnyConnect; este temporizador es para ISE, no para AnyConnect.
• Estado de estado predeterminado: Esta configuración proporciona el estado de los dispositivos sin el agente de estado o los sistemas operativos que no pueden ejecutar el agente temporal, como los sistemas operativos basados en Linux.
• Intervalo de monitoreo continuo: Esta configuración se aplica a las condiciones de la aplicación y del hardware que están realizando el inventario del terminal. La configuración especifica la frecuencia con la que AnyConnect debe enviar los datos de supervisión.
• Política de uso aceptable en modo sigiloso: Las dos únicas opciones para esta configuración son bloquear o continuar. Block evita que los clientes de AnyConnect en modo sigiloso continúen si la AUP no ha sido reconocida. Continue permite que el cliente del modo sigiloso continúe incluso sin reconocer la AUP (que suele ser la intención al utilizar la configuración del modo sigiloso de AnyConnect).

Configuraciones de reevaluación

Las reevaluaciones de estado son un componente fundamental del flujo de trabajo de estado. Ha visto cómo configurar el agente de AnyConnect para la reevaluación del estado en la sección "Protocolo de estado". El agente se conecta periódicamente con los PSN definidos en función del temporizador de esa configuración.

Cuando una solicitud llega al PSN, el PSN determina si se necesita una reevaluación del estado, en función de la configuración de ISE para la función de ese terminal. Si el cliente pasa la reevaluación, el PSN mantiene el estado de cumplimiento de estado del terminal y se restablece el arrendamiento de estado. Si el terminal falla en la reevaluación, el estado cambia a no conforme y se elimina el arrendamiento de estado existente.

Paso 36. Seleccione Policy > Policy Elements > Results > Authorization > Authorization Profile. Seleccione Agregar

Paso 37. Defina Wired_Redirect como el Perfil de autorización y configure los siguientes parámetros

Paso 38. Seleccione Save (Guardar).

Paso 39. Configurar políticas de autorización

Hay tres reglas de autorización preconfiguradas para el estado:

1. El primero se configura para que coincida cuando la autenticación se realice correctamente y se desconoce el cumplimiento de un dispositivo.
2. La segunda regla coincide con las autenticaciones exitosas con los extremos no conformes.

Nota: Ambas de las dos primeras reglas tienen el mismo resultado, que es utilizar un perfil de autorización preconfigurado que redirige el extremo al portal de aprovisionamiento de clientes.

3. La regla final coincide con los terminales conformes con la autenticación y el estado y utiliza el perfil de autorización de PermitAccess predefinido.

Seleccione Policy > Policy Set y seleccione la flecha derecha para Wired 802.1x - MAB Creado en el laboratorio anterior.

Paso 40. Seleccione Política de autorización y cree las siguientes reglas

Configuraciones en el switch

Nota: La siguiente configuración se refiere a IBNS 1.0. Puede haber diferencias para los switches compatibles con IBNS 2.0. Incluye la implementación del modo de bajo impacto.

username <admin> privilege 15 secret <password>
aaa new-model
!
aaa group server radius RAD_ISE_GRP
server name <isepsnnode_1>
server name 
!
aaa authentication dot1x default group RAD_ISE_GRP
aaa authorization network default group RAD_ISE_GRP
aaa accounting update periodic 5
aaa accounting dot1x default start-stop group RAD_ISE_GRP
aaa accounting dot1x default start-stop group RAD_ISE_GRP
!
aaa server radius dynamic-author
 client  server-key 
 client  server-key 
!
aaa session-id common
!
authentication critical recovery delay 1000
access-session template monitor
epm logging
!
dot1x system-auth-control
dot1x critical eapol
!

# For Access Interfaces:
interface range GigabitEthernetx/y/z - zz
 description VOICE-and-Data
 switchport access vlan 
 switchport mode access
 switchport voice vlan 
 ip access-group ACL_DEFAULT in
 authentication control-direction in # If supported
 authentication event fail action next-method
 authentication host-mode multi-auth
 authentication open
 authentication order dot1x mab
 authentication priority dot1x mab
 authentication port-control auto

 # Enables preiodic re-auth, default = 3,600secs
 authentication periodic

 # Configures re-auth and inactive timers to be sent by the server
 authentication timer reauthenticate server
 authentication timer inactivity server
 authentication violation restrict
 mab
 snmp trap mac-notification change added
 snmp trap mac-notification change removed
 dot1x pae authenticator
 dot1x timeout tx-period 10
 dot1x timeout server-timeout 10
 dot1x max-req 3
 dot1x max-reauth-req 3
 auto qos trust

# BEGIN - Dead Server Actions -
 authentication event server dead action authorize vlan 
 authentication event server dead action authorize voice
 authentication event server alive action reinitialize
# END - Dead Server Actions -
 spanning-tree portfast
!

# ACL_DEFAULT #
! This ACL can be customized to your needs, this is the very basic access allowed prior
! to authentication/authorization. Normally ICMP, Domain Controller, DHCP and ISE
! http/https/8443 is included. Can be tailored to your needs.
!
ip access-list extended ACL_DEFAULT
 permit udp any eq bootpc any eq bootps
 permit udp any any eq domain
 permit icmp any any
 permit udp any any eq tftp
 permit ip any host 
 permit ip any host 
 permit tcp any host  eq www
 permit tcp any host  eq 443
 permit tcp any host  eq 8443
 permit tcp any host  eq www
 permit tcp any host  eq 443
 permit tcp any host  eq 8443
!
# END-OF ACL_DEFAULT #
!

# ACL_REDIRECT #
! This ACL can be customized to your needs, this ACL defines what is not redirected
! (with deny statement) to the ISE. This ACL is used for captive web portal,
! client provisioning, posture remediation, and so on.
!
ip access-list extended ACL_REDIRECT_AV
 remark Configure deny ip any host  to allow access to 
 deny   udp any any eq domain
 deny   tcp any any eq domain
 deny   udp any eq bootps any
 deny   udp any any eq bootpc
 deny   udp any eq bootpc any
 remark deny redirection for ISE CPP/Agent Discovery
 deny   tcp any host  eq 8443
 deny   tcp any host  eq 8905
 deny   udp any host  eq 8905
 deny   tcp any host  eq 8909
 deny   udp any host  eq 8909
 deny   tcp any host  eq 8443
 deny   tcp any host  eq 8905
 deny   udp any host  eq 8905
 deny   tcp any host  eq 8909
 deny   udp any host  eq 8909
 remark deny redirection for remediation AV servers
 deny   ip any host 
 deny   ip any host 
 remark deny redireciton for remediation Patching servers
 deny   ip any host 
 remark redirect any http/https
 permit tcp any any eq www
 permit tcp any any eq 443
!
# END-OF ACL-REDIRECT #
!
ip radius source-interface 
!
radius-server attribute 6 on-for-login-auth
radius-server attribute 6 support-multiple
radius-server attribute 8 include-in-access-req
radius-server attribute 55 include-in-acct-req
radius-server attribute 55 access-request include
radius-server attribute 25 access-request include
radius-server attribute 31 mac format ietf upper-case
radius-server attribute 31 send nas-port-detail
radius-server vsa send accounting
radius-server vsa send authentication
radius-server dead-criteria time 30 tries 3
!
ip http server
ip http secure-server
ip http active-session-modules none
ip http secure-active-session-modules none
!
radius server 
 address ipv4  auth-port 1812 acct-port 1813
 timeout 10
 retransmit 3
 key 
!
radius server 
 address ipv4  auth-port 1812 acct-port 1813
 timeout 10
 retransmit 3
 key 
!
aaa group server radius RAD_ISE_GRP
 server name 
 server name 
!
mac address-table notification change
mac address-table notification mac-move

Verificación

Verificación de ISE:

Esta sección asume que AnyConnect con el módulo de estado de ISE se ha instalado previamente en el sistema Linux.

Autenticar PC con dot1x

Paso 1. Vaya a Network Settings (Parámetros de red)

Paso 2. Seleccione la ficha Seguridad y proporcione la configuración 802.1x y las credenciales de usuario

Paso 3.Haga clic en "Aplicar".

Paso 4.Conecte el sistema Linux a la red con cables 802.1x y valide en el registro en vivo de ISE:

 

En ISE, utilice la barra de desplazamiento horizontal para ver información adicional, como el PSN que proporcionó el flujo o el estado de estado:

Paso 5. En el cliente Linux, se debe redireccionar, y presenta el portal de aprovisionamiento del cliente que indica que se produce la verificación de estado y para hacer clic en "Inicio":

Espere unos segundos mientras el conector intenta detectar AnyConnect:

Debido a una advertencia conocida, aunque AnyConnect esté instalado, no la detecta. Utilice Alt-Tab o el menú Actividades para cambiar al cliente AnyConnect.

AnyConnect intenta alcanzar el PSN para la política de estado y evaluar el terminal en su contra.

AnyConnect devuelve la determinación de la política de estado a ISE. En este caso, cumple

 

Por otra parte, si el archivo no existe, el módulo de estado de AnyConnect informa de la determinación a ISE

 

Nota: El FQDN de ISE debe resolverse en el sistema Linux a través de DNS o archivo de host local.

 

Troubleshoot

show authentication sessions int fa1/0/35

Redirigir en su lugar:

Autorización correcta:

No conforme, se pasa a la VLAN y ACL de cuarentena: