Probleemoplossing bij ISE-integratie

Inleiding

In dit document worden de stappen beschreven voor het oplossen van problemen bij de integratie van CyberVision Center in ISE.

Overzicht van beste praktijken

Best practices zijn de aanbevolen stappen die u moet overwegen om de juiste werking van de systeemconfiguratie te garanderen. Aanbevelingen:

• Raadpleeg de opmerkingen bij de Cisco Cyber Vision-release, en de opmerkingen bij de Cisco Identity Services Engine (ISE)-release, voor de laatste functies, richtlijnen, beperkingen en voorbehouden
• Controleer en los eventuele nieuwe configuratiewijzigingen op nadat u deze hebt geïmplementeerd

CCV-ISE-stroomdiagram op hoog niveau

Richtlijnen voor probleemoplossing

Door de komende vragen te beantwoorden, kunt u het pad voor probleemoplossing bepalen en de onderdelen die nader onderzoek nodig hebben. Antwoord op de volgende vragen om de status van uw installatie te bepalen:

• Is dit een nieuw geïnstalleerd systeem of een bestaande installatie?
• Is CyberVision ooit in staat geweest om de ISE te zien?

Controleer de status van de pxGrid-services met de opdracht systemctl status pxgrid-agent.

• Voert ISE pxGrid uit in hoge beschikbaarheid?
• Wat veranderde er in de configuratie of in de algehele infrastructuur vlak voordat de toepassingen problemen begonnen te krijgen?

Om een netwerkprobleem te ontdekken, gebruik de algemene stappen van het netwerkoplossen van problemen:

Stap 1. Bent u in staat om CyberVision Center Hostname van ISE te pingen?

Als kan niet pingen, maak verbinding met ISE CLI met Secure Shell (SSH) en Add hostname.

Stap 2. Bent u in staat om ISE Hostname te pingen vanaf CyberVision Center?

Als dit niet het geval is, probeer dan de ISE-hostnaam toe te voegen aan het /data/etc/hosts bestand in het midden.

Stap 3. Ontdek certificaatproblemen.


Voer de opdracht openssl s_client -connect YourISEHostname:8910 in vanuit CyberVision Center.

Te verzamelen gegevens

Voor netwerkproblemen:

• Architectuur:

Een schema van deze details tussen het centrum en ISE is nuttig:

• Firewallregels
• Statische routes
• Configuratie van de gateway
• VLAN-configuraties

• Logbestanden te verzamelen voor alle ISE-problemen:

U kunt beginnen met het verzamelen van een diagnostisch bestand van het Centrum om te voorkomen dat gegevens verloren gaan.

Vervolgens activeert u geavanceerde logbestanden op het centrum met deze procedure:
Maak twee bestanden in de map /data/etc/sbs.
Het eerste bestand moet een naam hebben listener.conf en de inhoud bevatten:

(Noteer de ruimte aan de voorkant voor het loglevel.)

root@Center:~# cat /data/etc/sbs/listener.conf
configlog:
 loglevel: debug
root@Center:~#

Het tweede bestand moet een naam krijgen pxgrid-agent.conf en de inhoud bevatten:

(Noteer de ruimte aan de voorkant voor het loglevel.) 

root@Center:~# cat /data/etc/sbs/pxgrid-agent.conf
configlog:
 loglevel: debug

Wanneer beide bestanden zijn gemaakt, start u het Centrum opnieuw op of start u de services sbs-burrow en pxgrid-agent services opnieuw.

Restart service using the command: 
#systemctl restart sbs-burrow
#systemctl restart pxgrid-agent

Vervolgens verzamelt u de pxGrid-logbestanden (gebruik de bestandsoverdrachtgereedschappen om de logbestanden uit het Center te exporteren).

root@Center:~# journalctl -u pxgrid-agent > /data/tmp/pxgridLogs.log

Verzamel tcpdump-opnamen voor het analyseren van de communicatiestroom tussen het centrum en ISE.

root@Center:~# tcpdump -i eth0 -n host CCV_IP and host ISE_IP -w /data/tmp/ccv_ise.pcap

• Schakel Debugs in op ISE en verzamel ondersteuningsbundel.

Om debugs op ISE in te schakelen, navigeer naar Administration > System > Logging > Debug Log Configuration. Logniveaus als volgt instellen:

Persona	Naam van component	Logniveau	Te controleren bestand
PAN (optioneel)	profiler	DEBUGGEN	profiler.log
PSN met pxGrid-sonde ingeschakeld	profiler	DEBUGGEN	profiler.log
PxGrid	pxgrid	SPOREN	pxgrid-server.log

Verwachte logberichten

Debug logboeken van de pxGrid-agent in het centrum tonen de agent die wordt gestart, de dienst die wordt geregistreerd, Cisco Cyber Vision (CCV) die Eenvoudige (of Streaming) Tekst georiënteerde Messaging Protocol (STOMP) verbinding met ISE tot stand brengt, en het verzenden van update-handeling voor een actief/component:

Jul 11 13:05:02 center systemd[1]: Started Agent for interfacing with pxGrid.
Jul 11 13:05:02 center pxgrid-agent[5404]: pxgrid-agent Center type: standalone [caller=postgres.go:543]
Jul 11 13:05:03 center pxgrid-agent[5404]: pxgrid-agent RPC server listening to: '/tmp/pxgrid-agent.sock' [caller=main.go:119]
Jul 11 13:05:03 center pxgrid-agent[5404]: pxgrid-agent HTTP server listening to: '169.254.0.90:2027' [caller=main.go:154]
Jul 11 13:05:03 center pxgrid-agent[5404]: pxgrid-agent Request path=/pxgrid/control/AccountActivate body={} [caller=control.go:147]
Jul 11 13:05:03 center pxgrid-agent[5404]: pxgrid-agent Account activated [caller=pxgrid.go:58]
Jul 11 13:05:03 center pxgrid-agent[5404]: pxgrid-agent Request path=/pxgrid/control/ServiceRegister body={"name":"com.cisco.endpoint.asset","properties":{"assetTopic":"/topic/com.cisco.endpoint.asset","restBaseUrl":"https://Center:8910/
Jul 11 13:05:04 center pxgrid-agent[5404]: pxgrid-agent Service registered, ID: c514c790-2361-47b5-976d-4a1b5ccfa8b7 [caller=pxgrid.go:76]
Jul 11 13:05:04 center pxgrid-agent[5404]: pxgrid-agent Request path=/pxgrid/control/ServiceLookup body={"name":"com.cisco.ise.pubsub"} [caller=control.go:147]
Jul 11 13:05:05 center pxgrid-agent[5404]: pxgrid-agent Request path=/pxgrid/control/AccessSecret body={"peerNodeName":"com.cisco.ise.pubsub"} [caller=control.go:147]
Jul 11 13:05:06 center pxgrid-agent[5404]: pxgrid-agent Websocket connect url=wss://labise. aaalab .com:8910/pxgrid/ise/pubsub [caller=endpoint.go:129]
Jul 11 13:05:07 center pxgrid-agent[5404]: pxgrid-agent STOMP CONNECT host=10.48.78.177 [caller=endpoint.go:138]
Jul 11 13:06:59 center pxgrid-agent[5404]: pxgrid-agent STOMP SEND destination=/topic/com.cisco.endpoint.asset body={"opType":"UPDATE","asset":{"assetId":"01:80:c2:00:00:00","assetName":"LLDP/STP bridges Multicast 0:0:0","assetIpAddress"
Jul 11 13:10:04 center pxgrid-agent[5404]: pxgrid-agent Request path=/pxgrid/control/ServiceReregister body={"id":"c514c790-2361-47b5-976d-4a1b5ccfa8b7"} [caller=control.go:147]

Verwacht berichtformaat na succesvolle integratie en assetGroup attribuut wordt gepubliceerd zonder een waarde, zoals getoond:

 Jan 25 11:05:49 center pxgrid-agent[1063977]: pxgrid-agent STOMP SEND destination=/topic/com.cisco.endpoint.asset body={"opType":"UPDATE","asset":{"assetId":"48:4d:7e:e0:e2:52","assetName":"Dell 10.234.176.35","assetIpAddress":"10.234.176.35","assetMacAddress":"48:4d:7e:e0:e2:52","assetVendor":"Dell Inc.","assetProductId":"","assetSerialNumber":"","assetDeviceType":"","assetSwRevision":"","assetHwRevision":"","assetProtocol":"SMB","assetCustomAttributes":[{"key":"assetSource","value":"CCV"},{"key":"assetGroup","value":""},{"key":"assetCustomName","value":"test"},{"key":"assetGroupPath","value":""}],"assetConnectedLinks":[]}} length=513 [caller=endpoint.go:149] 

Verwacht berichtformaat (assetGroup met een waarde, zoals getoond). Dit bevestigt dat CyberVision Center de eigenschappen verzendt en als hetzelfde niet verder wordt weergegeven aan de kant van ISE, moet u verder onderzoeken met ISE.

Jan 25 11:09:28 center pxgrid-agent[1063977]: pxgrid-agent STOMP SEND destination=/topic/com.cisco.endpoint.asset body={"opType":"UPDATE","asset":{"assetId":"48:4d:7e:e0:e2:52","assetName":"Dell 10.234.176.35","assetIpAddress":"10.234.176.35","assetMacAddress":"48:4d:7e:e0:e2:52","assetVendor":"Dell Inc.","assetProductId":"","assetSerialNumber":"","assetDeviceType":"","assetSwRevision":"","assetHwRevision":"","assetProtocol":"SMB","assetCustomAttributes":[{"key":"assetSource","value":"CCV"},{"key":"assetGroup","value":"test group"},{"key":"assetCustomName","value":"test"},{"key":"assetGroupPath","value":"test group"}],"assetConnectedLinks":[]}} length=533 [caller=endpoint.go:149]

Gerelateerde informatie

• Samenvatting van CCV- en ISE-oplossing
• Demo Lab: gebruik van Cisco Cyber Vision om dynamische micro-segmentatie te bieden met Cisco ISE
• Demo ISE en CCV 
• ISE-integratiegids
• Cisco Technical Support en downloads