Configurazione del repository su ISE

Introduzione

In questo documento viene descritto come configurare un repository su Identity Services Engine (ISE).

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

• Conoscenze base di Identity Services Engine (ISE)
• Conoscenze base di server FTP (File Transfer Protocol) e server SFTP (File Transfer Protocol) SSH

Componenti usati

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

• Cisco Identity Service Engine versione 2.x
• Un server FTP funzionale e un server SFTP

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Premesse

Cisco consente di creare ed eliminare repository attraverso il portale di amministrazione. È possibile creare i seguenti tipi di repository:

• DISCO
• FTP
• SFTP
• NFS
• CD ROM
• HTTP
• HTTPS

Nota: si consiglia di disporre di una dimensione del repository di 10 GB per le distribuzioni di piccole dimensioni (fino a 100 endpoint), 100 GB per le distribuzioni di medie dimensioni e 200 GB per le distribuzioni di grandi dimensioni.

I repository ISE possono essere configurati sia dalla GUI sia dalla CLI di ISE e utilizzati per i seguenti scopi:

• Backup e ripristino dei dati operativi e di configurazione ISE
• Aggiornamento dei nodi ISE
• Installazione di patch
• Esportazione di dati (report) dall'ISE
• Esportazione del bundle di supporto dal nodo ISE

Nota: i repository configurati dalla CLI del nodo ISE sono locali per ciascun nodo e vengono rimossi al ricaricamento del nodo. I repository configurati dalla GUI di ISE vengono replicati in tutti i nodi della distribuzione e non vengono rimossi al ricaricamento del nodo.

Configurazione

Configura repository FTP

Configurazione del repository FTP dalla GUI

Passaggio 1. Per configurare un repository sull'ISE, accedere alla GUI di ISE e selezionare Administration > System > Maintenance > Repository. Fare quindi clic su Add, come illustrato nell'immagine.

Passaggio 2. Specificare Repository Name e scegliere FTP come protocollo. Immettete Server Name, Path, User Name, Passworde fate clic su Submit, come mostrato nell'immagine.

Configurazione del repository FTP dalla CLI

 Accedere alla CLI del nodo ISE tramite SSH ed eseguire questi comandi.

ise/admin# ise/admin# configure terminal Enter configuration commands, one per line. End with CNTL/Z. ise/admin(config)# repository FTP-Repo ise/admin(config-Repository)# url ftp://10.106.37.174/ ise/adminconfig-Repository)# user <Username> password plain <Password> ise/admin(config-Repository)# exit ise/admin(config)# exit ise/admin#

Configura repository SFTP

Configurazione del repository SFTP dalla GUI

Passaggio 1. Per configurare un repository sull'ISE, accedere alla GUI di ISE e selezionare Administration > System > Maintenance > Repository. Fare quindi clic su Add, come illustrato nell'immagine.

Passaggio 2. Specificare Repository Name e scegliere SFTP come protocollo. Immettete Server Name, Path, User Name, Passworde fate clic su Submit, come mostrato nell'immagine.

Passaggio 3. Dopo aver fatto clic suSubmit, viene visualizzato un messaggio popup. Il messaggio chiede di utilizzare CLI per aggiungere la chiave host del server SFTP, come mostrato nell'immagine.

Passaggio 4. Accedere alla CLI del nodo ISE tramite SSH e usare il comando crypto host_key add host <ip address of the server> per aggiungere la chiave host.

ise/admin# crypto host_key add host 10.106.37.34 host key fingerprint added Operating in CiscoSSL FIPS mode # Host 10.106.37.34 found: line 1 10.106.37.34 RSA SHA256:exFnNITDhafaNPFr35x6kC1pR0iTP6xS+LBmtIXPfnk ise/admin#

Configurazione del repository SFTP dalla CLI

Accedere alla CLI del nodo ISE tramite SSH ed eseguire questi comandi:

ise/admin# ise/admin# configure terminal Enter configuration commands, one per line. End with CNTL/Z. ise/admin(config)# repository SFTP-Repo ise/admin(config-Repository)# url sftp://10.106.37.34/ ise/adminconfig-Repository)# user <Username> password plain <Password> ise/admin(config-Repository)# exit ise/admin(config)# exit ise/admin# 

Configura repository NFS

Configurazione del repository NFS dalla GUI

Passaggio 1. Per configurare un repository sull'ISE, accedere alla GUI di ISE e selezionare Administration > System > Maintenance > Repository. Fare quindi clic su Add (Aggiungi), come mostrato nell'immagine.

Passaggio 2. Specificare Repository Name e scegliere NFS come protocollo. Quindi immettere Server Name e Pathe fare clic su Submit, come mostrato nell'immagine.

Configurazione del repository NFS dalla CLI

Accedere alla CLI del nodo ISE tramite SSH ed eseguire questi comandi:

ise/admin# ise/admin# configure terminal Enter configuration commands, one per line. End with CNTL/Z. ise/admin(config)# repository NFS-Repo ise/admin(config-Repository)# url nfs://10.106.37.200:/nfs-repo ise/admin(config-Repository)# exit ise/admin(config)# exit ise/admin#

Configurazione del repository locale ISE

Configurazione del repository locale dalla GUI

Passaggio 1. Per configurare un repository sull'ISE, accedere alla GUI di ISE e selezionare Administration > System > Maintenance > Repository. Fare quindi clic su Add, come illustrato nell'immagine.

Passaggio 2. Specificare Repository Name e scegliere DISK come protocollo. Quindi immettere il Path e fare clic su Submit, come mostrato nell'immagine.

Configurazione del repository locale dalla CLI

Accedere alla CLI del nodo ISE tramite SSH ed eseguire questi comandi:

ise/admin# ise/admin# configure terminal Enter configuration commands, one per line. End with CNTL/Z. ise/admin(config)# repository Local-Repo ise/admin(config-Repository)# url disk:/ ise/admin(config-Repository)# exit ise/admin(config)# exit ise/admin#

Nota: nel repository locale i dati vengono archiviati localmente sul disco ISE.

Verifica

Il repository può essere verificato sia dalla GUI sia dalla CLI del server ISE.

Verifica con GUI

Per utilizzare la GUI per convalidare il repository, passare a Administration > System > Maintenance > Repository, selezionare il repository e fare clic su Validate, come mostrato nell'immagine.

Dopo aver fatto clic su Validate, è necessario ottenere la Repository validated successfully risposta sulla GUI, come mostrato nell'immagine.

Verifica con CLI

Per convalidare il repository dalla CLI, accedere al nodo ISE tramite SSH ed eseguire il comando show repository <name of the repository>. L'output del comando elenca i file presenti nel repository.

ise/admin# ise/admin# show repository FTP-Repo Config-Backup-CFG10-200307-1043.tar.gpg ise/admin#

Risoluzione dei problemi

Per eseguire il debug del repository su ISE, usare i seguenti debug:

ise-1/pan# debug copy 7 ise-1/pan# debug transfer 7 ise-1/pan# ise-1/pan# 6 [25683]:[info] transfer: cars_xfer.c[220] [system]: ftp dir of repository FTP-Repo requested 7 [25683]:[debug] transfer: cars_xfer_util.c[2017] [system]: ftp get dir for repos FTP-Repo 7 [25683]:[debug] transfer: cars_xfer_util.c[2029] [system]: initializing curl 7 [25683]:[debug] transfer: cars_xfer_util.c[2040] [system]: full url is ftp://10.106.37.174/ISE/ 7 [25683]:[debug] transfer: cars_xfer_util.c[1928] [system]: initializing curl 7 [25683]:[debug] transfer: cars_xfer_util.c[1941] [system]: full url is ftp://10.106.37.174/ISE/Config-Backup-CFG10-200307-1043.tar.gpg 7 [25683]:[debug] transfer: cars_xfer_util.c[1962] [system]: res: 0 7 [25683]:[debug] transfer: cars_xfer_util.c[1966] [system]: res: 0-----filetime Config-Backup-CFG10-200307-1043.tar.gpg: Sat Mar 7 10:55:39 2020 7 [25683]:[debug] transfer: cars_xfer_util.c[1972] [system]: filetime Config-Backup-CFG10-200307-1043.tar.gpg: Sat Mar 7 10:55:39 2020 7 [25683]:[debug] transfer: cars_xfer_util.c[1976] [system]: filesize Config-Backup-CFG10-200307-1043.tar.gpg: 181943580 bytes 6 [25683]:[info] transfer: cars_xfer.c[130] [system]: ftp copy out of /opt/backup/backup-Config-Backup-1587433372/Config-Backup-CFG10-200421-0712.tar.gpg requested 6 [25683]:[info] transfer: cars_xfer_util.c[787] [system]: curl version: libcurl/7.29.0 OpenSSL/1.0.2s zlib/1.2.7 libidn/1.28 libssh2/1.4.2 7 [25683]:[debug] transfer: cars_xfer_util.c[799] [system]: full url is ftp://10.106.37.174/ISE/Config-Backup-CFG10-200421-0712.tar.gpg

I debug sono disabilitati come mostrato di seguito:

ise-1/pan# ise-1/pan# no debug copy 7 ise-1/pan# no debug transfer 7 ise-1/pan# 

Per garantire una corretta comunicazione tra ISE e il server del repository configurato, configurare un pacchetto da acquisire dall'interfaccia grafica di ISE:

1. Selezionare Operazioni > Risoluzione dei problemi > Strumenti di diagnostica > Dump TCP.
2. Immettere il valore appropriato in Filtro e selezionare Formato.
3. Fare clic su Start.

Per attivare un certo traffico verso il repository che deve essere verificato, passare a Administration > System > Maintenance > Repository, selezionare il repository e fare clic su Validate. Passare quindi a Operations > Troubleshoot > Diagnostic tools > TCP Dump, fare clic su Stop, e scaricare l'acquisizione del pacchetto come mostrato nell'immagine.