Configurar a integração do ISE 2.7 pxGrid CCV 3.1.0

Introduction

Este documento descreve como configurar e solucionar problemas de integração do Identity Services Engine (ISE) 2.7 com o Cisco Cyber Vision (CCV) 3.1.0 sobre Platform Exchange Grid v2 (pxGrid). O CCV está registrado com o pxGrid v2 como um editor e publica informações sobre atributos de endpoint para o ISE para o dicionário IOTASSET.

Prerequisites

Requirements

A Cisco recomenda que você tenha conhecimento básico sobre estes tópicos:

• ISE

• Visão cibernética da Cisco

Componentes Utilizados

As informações deste documento são baseadas nas seguintes versões de software e de hardware:

• Patch 1 do Cisco ISE versão 2.7
• Cisco Cyber Vision versão 3.1.0
• Switch Ethernet industrial IE-4000-4TC4G-E com s/w 15.2(6)E

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Configurar

Diagrama de fluxo de alto nível

Essa implantação do ISE é usada na configuração.

O ISE 2.7-1ek é o nó de nó administrativo primário (PAN) e o nó pxGrid.

O ISE 2.7-2ek é o Policy Service Node (PSN) com a sonda pxGrid ativada.

Aqui estão as etapas que correspondem ao diagrama mencionado anteriormente.

1. O CCV se registra no assetTopic no ISE via pxGrid versão 2. Registros correspondentes do CCV:

Note: Para revisar os registros de pxGrid no CCV, emita o seguinte comando journal alctl -u pxgrid-agent.

root@center:~# journalctl -u pxgrid-agent -f
Jun 24 13:31:03 center pxgrid-agent-start.sh[1310]: pxgrid-agent RPC server listening to: '/tmp/pxgrid-agent.sock' [caller=main.go:102]
Jun 24 13:31:03 center pxgrid-agent-start.sh[1310]: pxgrid-agent Request path=/pxgrid/control/AccountActivate body={} 
[caller=control.go:127]
Jun 24 13:31:03 center pxgrid-agent-start.sh[1310]: pxgrid-agent Account activated [caller=pxgrid.go:76]
Jun 24 13:31:03 center pxgrid-agent-start.sh[1310]: pxgrid-agent Request path=/pxgrid/control/ServiceRegister 
body={"name":"com.cisco.endpoint.asset","properties":{"assetTopic":"/topic/com.cisco.endpoint.asset
Jun 24 13:31:03 center pxgrid-agent-start.sh[1310]: pxgrid-agent Service registered, ID: 4b9af94b-9255-46df-b5ef-24bdbba99f3a 
[caller=pxgrid.go:94]
Jun 24 13:31:03 center pxgrid-agent-start.sh[1310]: pxgrid-agent Request path=/pxgrid/control/ServiceLookup 
body={"name":"com.cisco.ise.pubsub"} [caller=control.go:127]
Jun 24 13:31:03 center pxgrid-agent-start.sh[1310]: pxgrid-agent Request path=/pxgrid/control/AccessSecret 
body={"peerNodeName":"com.cisco.ise.pubsub"} [caller=control.go:127]
Jun 24 13:31:03 center pxgrid-agent-start.sh[1310]: pxgrid-agent Websocket connect 
url=wss://ISE27-1ek.example.com:8910/pxgrid/ise/pubsub [caller=endpoint.go:102]
Jun 24 13:31:03 center pxgrid-agent-start.sh[1310]: pxgrid-agent STOMP CONNECT host=10.48.17.86 [caller=endpoint.go:111]
Jun 24 13:33:27 center pxgrid-agent-start.sh[1310]: pxgrid-agent API: getSyncStatus [caller=sync_status.go:34]
Jun 24 13:33:28 center pxgrid-agent-start.sh[1310]: pxgrid-agent Cyber Vision is in sync with ISE [caller=assets.go:67]
Jun 24 13:36:03 center pxgrid-agent-start.sh[1310]: pxgrid-agent Request path=/pxgrid/control/ServiceReregister 
body={"id":"4b9af94b-9255-46df-b5ef-24bdbba99f3a"} [caller=control.go:127]

2. O ISE PSN com sonda pxGrid ativada faz um download em massa dos ativos pxGrid existentes (profiler.log):

2020-06-24 13:41:37,091 DEBUG [ProfilerINDSubscriberPoller-56-thread-1][] 
cisco.profiler.infrastructure.probemgr.INDSubscriber -::::- Looking for new publishers ...
2020-06-24 13:41:37,104 DEBUG [ProfilerINDSubscriberPoller-56-thread-1][] 
cisco.profiler.infrastructure.probemgr.INDSubscriber -::::- Existing services are: 
[Service [name=com.cisco.endpoint.asset, nodeName=cv-jens, 
properties={assetTopic=/topic/com.cisco.endpoint.asset, restBaseUrl=https://Center:8910/pxgrid/ind/asset/, 
wsPubsubService=com.cisco.ise.pubsub}]]
2020-06-24 13:41:37,104 INFO [ProfilerINDSubscriberPoller-56-thread-1][] 
cisco.profiler.infrastructure.probemgr.INDSubscriber -::::- New services are: []
2020-06-24 13:41:37,114 INFO [ProfilerINDSubscriberPoller-56-thread-1][] 
cisco.profiler.infrastructure.probemgr.INDSubscriber -::::- NODENAME:cv-jens
2020-06-24 13:41:37,114 INFO [ProfilerINDSubscriberPoller-56-thread-1][] 
cisco.profiler.infrastructure.probemgr.INDSubscriber -::::- REQUEST BODY{"offset":"0","limit":"500"}
2020-06-24 13:41:37,158 INFO [ProfilerINDSubscriberPoller-56-thread-1][] 
cisco.profiler.infrastructure.probemgr.INDSubscriber -::::- Response status={}200
2020-06-24 13:41:37,159 INFO [ProfilerINDSubscriberPoller-56-thread-1][] 
cisco.profiler.infrastructure.probemgr.INDSubscriber -::::- Content: {OUT_OF_SYNC}
2020-06-24 13:41:37,159 INFO [ProfilerINDSubscriberPoller-56-thread-1][] 
cisco.profiler.infrastructure.probemgr.INDSubscriber -::::- Status is :{OUT_OF_SYNC}
2020-06-24 13:41:37,159 DEBUG [ProfilerINDSubscriberPoller-56-thread-1][] 
cisco.profiler.infrastructure.probemgr.INDSubscriber -::::- 
Static set after adding new services: [Service [name=com.cisco.endpoint.asset, 
nodeName=cv-jens, properties={assetTopic=/topic/com.cisco.endpoint.asset, 
restBaseUrl=https://Center:8910/pxgrid/ind/asset/, wsPubsubService=com.cisco.ise.pubsub}]]
2020-06-24 13:41:37,169 INFO [ProfilerINDSubscriberBulkRequestPool-77-thread-1][] 
cisco.profiler.infrastructure.probemgr.INDSubscriber -::::- NODENAME:cv-jens
2020-06-24 13:41:37,169 INFO [ProfilerINDSubscriberBulkRequestPool-77-thread-1][] 
cisco.profiler.infrastructure.probemgr.INDSubscriber -::::- REQUEST BODY{"offset":"0","limit":"500"}
2020-06-24 13:41:37,600 INFO [ProfilerINDSubscriberBulkRequestPool-77-thread-1][] 
cisco.profiler.infrastructure.probemgr.INDSubscriber -::::- Response status={}200
2020-06-24 13:41:37,604 INFO [ProfilerINDSubscriberBulkRequestPool-77-thread-1][] 
cisco.profiler.infrastructure.probemgr.INDSubscriber -::::- Content: 
{"assets":[{"assetId":"88666e21-6eba-5c1e-b6a9-930c6076119d","assetName":"Xerox 0:0:0","assetIpAddress":"",
"assetMacAddress":"00:00:00:00:00:00","assetVendor":"XEROX

3. Endpoints são adicionados à PSN com prova pxGrid ativada e PSN envia evento persistente para a PAN para salvar esses endpoints (profiler.log). Os endpoints criados no ISE podem ser visualizados nos detalhes do endpoint em Context Visibility.

2020-06-24 13:41:37,677 DEBUG [ProfilerINDSubscriberBulkRequestPool-77-thread-1][] 
cisco.profiler.infrastructure.probemgr.INDSubscriber -::::- mac address is :28:63:36:1e:10:05ip address is :192.168.105.150
2020-06-24 13:41:37,677 DEBUG [ProfilerINDSubscriberBulkRequestPool-77-thread-1][] 
cisco.profiler.infrastructure.probemgr.INDSubscriber -::::- sending endpoint to forwarder{"assetId":
"01c8f9dd-8538-5eac-a924-d6382ce3df2d","assetName":"Siemens 192.168.105.150","assetIpAddress":"192.168.105.150",
"assetMacAddress":"28:63:36:1e:10:05","assetVendor":"Siemens AG","assetProductId":"","assetSerialNumber":"",
"assetDeviceType":"","assetSwRevision":"","assetHwRevision":"","assetProtocol":"ARP, S7Plus","assetCustomAttributes":[],
"assetConnectedLinks":[]}
2020-06-24 13:41:37,677 INFO [ProfilerINDSubscriberBulkRequestPool-77-thread-1][] 
cisco.profiler.infrastructure.probemgr.Forwarder -::::- Forwarder Mac 28:63:36:1E:10:05 MessageCode null epSource pxGrid Probe
2020-06-24 13:41:37,677 DEBUG [ProfilerINDSubscriberBulkRequestPool-77-thread-1][] 
cisco.profiler.infrastructure.probemgr.INDSubscriber -::::- Endpoint is proccessedEndPoint[id=<null>,name=<null>]
MAC: 28:63:36:1E:10:05
Attribute:BYODRegistration value:Unknown
Attribute:DeviceRegistrationStatus value:NotRegistered
Attribute:EndPointPolicy value:Unknown
Attribute:EndPointPolicyID value:
Attribute:EndPointSource value:pxGrid Probe
Attribute:MACAddress value:28:63:36:1E:10:05
Attribute:MatchedPolicy value:Unknown
Attribute:MatchedPolicyID value:
Attribute:NmapSubnetScanID value:0
Attribute:OUI value:Siemens AG
Attribute:PolicyVersion value:0
Attribute:PortalUser value:
Attribute:PostureApplicable value:Yes
Attribute:StaticAssignment value:false
Attribute:StaticGroupAssignment value:false
Attribute:Total Certainty Factor value:0
Attribute:assetDeviceType value:
Attribute:assetHwRevision value:
Attribute:assetId value:01c8f9dd-8538-5eac-a924-d6382ce3df2d
Attribute:assetIpAddress value:192.168.105.150
Attribute:assetMacAddress value:28:63:36:1e:10:05
Attribute:assetName value:Siemens 192.168.105.150
Attribute:assetProductId value:
Attribute:assetProtocol value:ARP, S7Plus
Attribute:assetSerialNumber value:
Attribute:assetSwRevision value:
Attribute:assetVendor value:Siemens AG
Attribute:ip value:192.168.105.150
Attribute:SkipProfiling value:false

4. Depois de colocar um endpoint em um grupo, o CCV envia mensagem STOMP através da porta 8910 para atualizar o endpoint com os dados do grupo em atributos personalizados. Registros correspondentes do CCV:

root@center:~# journalctl -u pxgrid-agent -f
Jun 24 14:32:04 center pxgrid-agent-start.sh[1216]: pxgrid-agent STOMP SEND 
destination=/topic/com.cisco.endpoint.asset body={"opType":"UPDATE","asset":{"assetId":"ce01ade2-eb6f-53c8-a646-9661b10c976e",
"assetName":"Cisco a0:3a:59","assetIpAddress":"","assetMacAddress":"00:f2:8b:a0:3a:59","assetVendor":"Cisco Systems, Inc",
"assetProductId":"","assetSerialNumber":"","assetDeviceType":"","assetSwRevision":"","assetHwRevision":"","assetProtocol":"",
"assetCustomAttributes":[{"key":"assetGroup","value":"Group1"},{"key":"assetCCVGrp","value":"Group1"}],
"assetConnectedLinks":[]}} [caller=endpoint.go:118]

5. O nó PxGrid recebe a atualização STOMP e encaminha essa mensagem a todos os assinantes, inclui PSNs com prova pxGrid ativada. pxgrid-server.log no nó pxGrid.

2020-06-24 14:40:13,765 TRACE [Thread-1631][] cpm.pxgridwebapp.ws.pubsub.StompPubsubEndpoint -:::::- 
stomp=SEND:{content-length=453, destination=/topic/com.cisco.endpoint.asset}
2020-06-24 14:40:13,766 TRACE [Thread-1631][] cpm.pxgridwebapp.ws.pubsub.StompPubsubEndpoint -:::::- 
session [2b,cv-jens,OPEN] is permitted (cached) to send to topic=/topic/com.cisco.endpoint.asset:
2020-06-24 14:40:13,766 TRACE [Thread-1631][] cpm.pxgridwebapp.ws.pubsub.SubscriptionThreadedDistributor -:::::- 
Distributing stomp frame from=[2b,cv-jens,OPEN], topic=/topic/com.cisco.endpoint.asset, true:true
2020-06-24 14:40:13,766 TRACE [Thread-1631][] cpm.pxgridwebapp.ws.pubsub.SubscriptionThreadedDistributor -:::::- 
Distributing stomp frame from=[2b,cv-jens,OPEN], topic=/topic/com.cisco.endpoint.asset,to=[19,ise-admin-ise27-2ek,OPEN]
2020-06-24 14:40:13,766 TRACE [Thread-1631][] cpm.pxgridwebapp.ws.pubsub.SubscriptionThreadedDistributor -:::::- 
Distributing stomp frame from=[2b,cv-jens,OPEN], topic=/topic/wildcard,to=[2a,ise-fanout-ise27-1ek,OPEN]

6. PSN com a sonda pxGrid ativada como assinante no tópico do ativo recebe a mensagem do nó pxGrid e atualiza o ponto de extremidade (profiler.log). Os endpoints atualizados no ISE podem ser visualizados nos detalhes do endpoint em Context Visibility.

2020-06-24 14:40:13,767 DEBUG [Grizzly(2)][] cisco.profiler.infrastructure.probemgr.INDSubscriber -::::- 
Parsing push notification response: {"opType":"UPDATE","asset":{"assetId":"ce01ade2-eb6f-53c8-a646-9661b10c976e",
"assetName":"Cisco a0:3a:59","assetIpAddress":"","assetMacAddress":"00:f2:8b:a0:3a:59","assetVendor":"Cisco Systems, Inc",
"assetProductId":"","assetSerialNumber":"","assetDeviceType":"","assetSwRevision":"","assetHwRevision":"",
"assetProtocol":"","assetCustomAttributes":[{"key":"assetGroup","value":"Group1"},{"key":"assetCCVGrp","value":"Group1"}],
"assetConnectedLinks":[]}}
2020-06-24 14:40:13,767 DEBUG [Grizzly(2)][] cisco.profiler.infrastructure.probemgr.INDSubscriber -::::- 
sending endpoint to forwarder{"assetId":"ce01ade2-eb6f-53c8-a646-9661b10c976e","assetName":"Cisco a0:3a:59","assetIpAddress":"",
"assetMacAddress":"00:f2:8b:a0:3a:59","assetVendor":"Cisco Systems, Inc","assetProductId":"","assetSerialNumber":"",
"assetDeviceType":"","assetSwRevision":"","assetHwRevision":"","assetProtocol":"",
"assetCustomAttributes":[{"key":"assetGroup","value":"Group1"},{"key":"assetCCVGrp","value":"Group1"}],"assetConnectedLinks":[]}
2020-06-24 14:40:13,768 INFO [Grizzly(2)][] cisco.profiler.infrastructure.probemgr.Forwarder -::::- 
Forwarder Mac 00:F2:8B:A0:3A:59 MessageCode null epSource pxGrid Probe
2020-06-24 14:40:13,768 DEBUG [forwarder-9][] cisco.profiler.infrastructure.probemgr.ForwarderHelper -:
00:F2:8B:A0:3A:59:87026690-b628-11ea-bdb7-82edacd9a457:ProfilerCollection:- sequencing Radius message for mac = 00:F2:8B:A0:3A:59
2020-06-24 14:40:13,768 INFO [forwarder-9][] cisco.profiler.infrastructure.probemgr.Forwarder -:
00:F2:8B:A0:3A:59:9d077480-b628-11ea-bdb7-82edacd9a457:ProfilerCollection:- 
Processing endpoint:00:F2:8B:A0:3A:59 MessageCode null epSource pxGrid Probe
2020-06-24 14:40:13,768 DEBUG [forwarder-9][] com.cisco.profiler.im.EndPoint -:
00:F2:8B:A0:3A:59:9d077480-b628-11ea-bdb7-82edacd9a457:ProfilerCollection:- 
filtered custom attributes are:{assetGroup=Group1, assetCCVGrp=Group1}
2020-06-24 14:40:13,768 DEBUG [forwarder-9][] cisco.profiler.infrastructure.probemgr.Forwarder -:
00:F2:8B:A0:3A:59:9d077480-b628-11ea-bdb7-82edacd9a457:ProfilerCollection:- Radius Filtering:00:F2:8B:A0:3A:59
2020-06-24 14:40:13,768 DEBUG [forwarder-9][] cisco.profiler.infrastructure.probemgr.Forwarder -:
00:F2:8B:A0:3A:59:9d077480-b628-11ea-bdb7-82edacd9a457:ProfilerCollection:- Endpoint Attributes:EndPoint[id=<null>,name=<null>]
MAC: 00:F2:8B:A0:3A:59
Attribute:2309ae60-693d-11ea-9cbe-02251d8f7c49 value:Group1
Attribute:BYODRegistration value:Unknown
Attribute:DeviceRegistrationStatus value:NotRegistered
Attribute:EndPointProfilerServer value:ISE27-2ek.example.com
Attribute:EndPointSource value:pxGrid Probe
Attribute:MACAddress value:00:F2:8B:A0:3A:59
Attribute:NmapSubnetScanID value:0
Attribute:OUI value:Cisco Systems, Inc
Attribute:PolicyVersion value:0
Attribute:PortalUser value:
Attribute:PostureApplicable value:Yes
Attribute:assetDeviceType value:
Attribute:assetGroup value:Group1
Attribute:assetHwRevision value:
Attribute:assetId value:ce01ade2-eb6f-53c8-a646-9661b10c976e
Attribute:assetIpAddress value:
Attribute:assetMacAddress value:00:f2:8b:a0:3a:59
Attribute:assetName value:Cisco a0:3a:59
Attribute:assetProductId value:
Attribute:assetProtocol value:
Attribute:assetSerialNumber value:
Attribute:assetSwRevision value:
Attribute:assetVendor value:Cisco Systems, Inc
Attribute:SkipProfiling value:false

7. PSN com prova pxGrid ativada redefine o perfil do ponto de extremidade como uma nova Política correspondente (profiler.log).

2020-06-24 14:40:13,773 INFO [forwarder-9][] cisco.profiler.infrastructure.profiling.ProfilerManager -:
00:F2:8B:A0:3A:59:9d077480-b628-11ea-bdb7-82edacd9a457:Profiling:- Classify Mac 00:F2:8B:A0:3A:59 MessageCode null epSource pxGrid Probe
2020-06-24 14:40:13,777 DEBUG [forwarder-9][] cisco.profiler.infrastructure.profiling.ProfilerManager -:
00:F2:8B:A0:3A:59:9d077480-b628-11ea-bdb7-82edacd9a457:Profiling:- Policy Cisco-Device matched 00:F2:8B:A0:3A:59 (certainty 10)
2020-06-24 14:40:13,777 DEBUG [forwarder-9][] cisco.profiler.infrastructure.profiling.ProfilerManager -:
00:F2:8B:A0:3A:59:9d077480-b628-11ea-bdb7-82edacd9a457:Profiling:- Policy ekorneyc_ASSET_Group1 matched 00:F2:8B:A0:3A:59 (certainty 20)
2020-06-24 14:40:13,778 DEBUG [forwarder-9][] cisco.profiler.infrastructure.profiling.ProfilerManager -:
00:F2:8B:A0:3A:59:9d077480-b628-11ea-bdb7-82edacd9a457:Profiling:- After analyzing policy hierarchy: Endpoint: 
00:F2:8B:A0:3A:59 EndpointPolicy:ekorneyc_ASSET_Group1 for:20 ExceptionRuleMatched:false
2020-06-24 14:40:13,778 DEBUG [forwarder-9][] cisco.profiler.infrastructure.profiling.ProfilerManager -:
00:F2:8B:A0:3A:59:9d077480-b628-11ea-bdb7-82edacd9a457:Profiling:- Endpoint 00:F2:8B:A0:3A:59 Matched Policy Changed.
2020-06-24 14:40:13,778 DEBUG [forwarder-9][] cisco.profiler.infrastructure.profiling.ProfilerManager -:
00:F2:8B:A0:3A:59:9d077480-b628-11ea-bdb7-82edacd9a457:Profiling:- Endpoint 00:F2:8B:A0:3A:59 IdentityGroup Changed.
2020-06-24 14:40:13,778 DEBUG [forwarder-9][] cisco.profiler.infrastructure.profiling.ProfilerManager -:
00:F2:8B:A0:3A:59:9d077480-b628-11ea-bdb7-82edacd9a457:Profiling:- Setting identity group ID on endpoint 
00:F2:8B:A0:3A:59 - 91b0fd10-a181-11ea-a1a3-fe7d097d8c61
2020-06-24 14:40:13,778 DEBUG [forwarder-9][] cisco.profiler.infrastructure.profiling.ProfilerManager -:
00:F2:8B:A0:3A:59:9d077480-b628-11ea-bdb7-82edacd9a457:Profiling:- Calling end point cache with profiled end point 
00:F2:8B:A0:3A:59, policy ekorneyc_ASSET_Group1, matched policy ekorneyc_ASSET_Group1
2020-06-24 14:40:13,778 DEBUG [forwarder-9][] cisco.profiler.infrastructure.profiling.ProfilerManager -:
00:F2:8B:A0:3A:59:9d077480-b628-11ea-bdb7-82edacd9a457:Profiling:- Sending event to persist end point 
00:F2:8B:A0:3A:59, and ep message code = null
2020-06-24 14:40:13,778 DEBUG [forwarder-9][] cisco.profiler.infrastructure.profiling.ProfilerManager -:
00:F2:8B:A0:3A:59:9d077480-b628-11ea-bdb7-82edacd9a457:Profiling:- Endpoint 00:F2:8B:A0:3A:59 
IdentityGroup / Logical Profile Changed. Issuing a Conditional CoA

Configurações 

Note: As etapas 1 a 4 são necessárias mesmo que você deseje ter apenas visibilidade do assetGroup e da visibilidade de contexto.

1. Ative o teste pxGrid em uma das PSNs

Navegue até Administration > System > Deployment, selecione ISE node com PSN Persona. Mude para a guia Configuração de perfil. Verifique se a sonda pxGrid está ativada.

2. Configurar atributos personalizados de endpoint no ISE

Navegue até Administration > Identity Management > Settings > Endpoint Custom Attributes. Configure atributos personalizados (assetGroup) de acordo com esta imagem. O CCV 3.1.0 suporta apenas o AssetGroup Attribute Personalizado.

3. Configurar política de perfil usando atributos personalizados

Navegue até Centros de trabalho > Perfil > Políticas de criação de perfil. Clique em Adicionar. Configure a Política de Perfil semelhante a esta imagem. A expressão de condição usada nesta política é CUSTOMATTRIBUTE:assetGroup EQUALS Group1.

4. Ativar atributos personalizados para aplicação de perfil

Navegue até Centros de trabalho > Perfil > Políticas de criação de perfil. Clique em Adicionar. Configure a Política de Perfil semelhante a esta imagem. Certifique-se de que Enable Custom Attribute for Profying Implementation esteja ativado.

5. Configurar a aprovação automática para clientes pxGrid

Navegue até Administration > pxGrid Services > Settings. Selecione Aprovar automaticamente novas contas baseadas em certificados e clique em Salvar. Essa etapa garante que você não precise aprovar o CCV após a integração.

6. Exportar certificado CCV

Navegue até Admin > pxGrid. Clique em DOWNLOAD CERTIFICATE. Este certificado é usado durante o registro pxGrid, portanto, o ISE deve confiar nele.

7. Fazer upload do certificado de identidade CCV para a loja confiável do ISE

Navegue até Administração > Certificados > Gerenciamento de Certificados > Certificados Confiáveis. Clique em Importar. Clique em Procurar e selecione o certificado CCV na Etapa 5. Clique em Submit.

8. Gerar certificado para CCV

Durante a integração e as atualizações do pxGrid, o CCV precisa do certificado do cliente. Ele deve ser emitido pela CA interna do ISE, usando PxGrid_Certificate_Template.

Navegue até Administration > pxGrid Services > Certificados. Preencha os campos de acordo com esta imagem. O campo Nome Comum (CN) é obrigatório, pois o objetivo da CA do ISE é emitir um certificado de identidade. Você deve inserir o nome do host CCV, o valor do campo CN é crítico. Para verificar o nome do host do CCV, execute o comando hostname. Selecione PKCS12 como formato de download de certificado.

root@center:~# hostname
center
root@center:~#

9. Baixar cadeia de certificados no formato PKCS12

Quando você instala o certificado no formato PKCS12, juntamente com a cadeia de CA interna ISE do certificado de identidade CCV é instalada no CCV para garantir que o CCV confie no ISE quando a comunicação pxGrid é iniciada no ISE, por exemplo, mensagens de keepalive pxGrid.

10. Configurar detalhes de integração do ISE no CCV

Navegue até Admin > pxGrid. Configurar o nome do nó, esse nome será exibido no ISE como um nome de cliente em Administration > pxGrid Services > Web Clients. Configure Hostname e IP Address de ISE pxGrid Node. Certifique-se de que o CCV possa resolver ISE FQDN.

11. Fazer upload da cadeia de certificados no CCV e iniciar a integração

Navegue até Admin > pxGrid. Clique em Alterar certificado. Selecione o certificado emitido pela CA do ISE nas Etapas 8 a 9. Insira a senha na Etapa 8. e clique em OK.

Clique em Update, que aciona a integração CCV - ISE real.

Verificar

Use esta seção para confirmar se a sua configuração funciona corretamente.

Verificação de integração do CCV

Quando a integração estiver concluída, você poderá confirmá-la com êxito navegando até Admin > pxGrid. Você deve ver a mensagem connection is ative em ISE Server.

Verificação de integração do ISE

Navegue até Administration > pxGrid Services > Web Clients. Confirme se o status do cliente CCV (cv-jens) está ON.

Note: Espera-se ver o status do cliente CCV pxGrid como Offline no menu Todos os clientes, pois ele mostra apenas o status pxGrid v1.

Note: Devido ao CSCvt78208, você não verá imediatamente o CCV com /topic/com.cisco.ise.endpoint.asset, ele será mostrado somente na primeira publicação.

Verificar a alteração do grupo CCV

Navegue até Explorar > Todos os dados > Lista de componentes. Clique em um dos componentes e adicione-o ao grupo.

Verifique se /topic/com.cisco.ise.endpoint.asset agora está listado como Publications no CCV.

Confirme se o Grupo1 atribuído via CCV é refletido no ISE e a política de criação de perfil entrou em vigor navegando até Context Visibility > Endpoints. Selecione o ponto final atualizado na etapa anterior. Mude para a guia Atributos. A seção de atributos personalizados deve refletir o grupo recém-configurado.

A seção Outros atributos lista todos os outros atributos de ativos recebidos do CCV.

Troubleshoot

Esta seção fornece informações que podem ser usadas para o troubleshooting da sua configuração.

Habilitar depurações no ISE

Para habilitar depurações no ISE, navegue para Administration > System > Logging > Debug Log Configuration. Defina os níveis de log para estes:

Persona	Nome do componente	Nível de log	Arquivo a ser verificado
PAN (opcional)	profiler	DEBUG	profiler.log
PSN com prova pxGrid habilitada	profiler	DEBUG	profiler.log
PxGrid	pxgrid	RASTREAMENTO	pxgrid-server.log

Habilitar depurações no CCV

Para ativar depurações no CCV:

• Crie um arquivo /data/etc/sbs/pxgrid-agent.conf com o comando touch /data/etc/sbs/pxgrid-agent.conf
• Cole este conteúdo no arquivo pxgrid-agent.conf com o uso do vi editor com o comando vi /data/etc/sbs/pxgrid-agent.conf

# /data/etc/sbs/pxgrid-agent.conf
base:
  loglevel: debug

• Reinicie o pxgrid-agent executando o comando systemctl restart pxgrid-agent
• Exibir logs com o comando journal -u pxgrid-agent

Falha no download em massa

O CCV publica o URL de download em massa para o ISE durante a integração. O ISE PSN com prova pxGrid ativada executa o Download em massa com o uso deste URL. Assegure que:

• O nome do host na URL pode ser resolvido corretamente da perspectiva do ISE
• A comunicação de PSN na porta 8910 para CCV é permitida

profiler.log no PSN com prova pxGrid ativada:

INFO [ProfilerINDSubscriberPoller-58-thread-1][] cisco.profiler.infrastructure.probemgr.INDSubscriber -::::- New services are: 
[Service [name=com.cisco.endpoint.asset, nodeName=cv-jens4, properties={assetTopic=/topic/com.cisco.endpoint.asset, 
restBaseUrl=https://Center:8910/pxgrid/ind/asset/, wsPubsubService=com.cisco.ise.pubsub}]]

O download em massa pode falhar devido ao CSCvt75422, você deve ver esse erro em profiler.log no ISE para confirmá-lo. O defeito é corrigido no CCV 3.1.0.

2020-04-09 10:47:22,832 ERROR [ProfilerINDSubscriberBulkRequestPool-212-thread-1][] cisco.profiler.infrastructure.probemgr.INDSubscriber 
-::::- ProfilerError while sending bulkrequest to cv-jens4:This is not a JSON Object.
java.lang.IllegalStateException: This is not a JSON Object.
at com.google.gson.JsonElement.getAsJsonObject(JsonElement.java:83)
at com.cisco.profiler.infrastructure.probemgr.INDSubscriber.parseJsonBulkResponse(INDSubscriber.java:161)
at com.cisco.profiler.infrastructure.probemgr.INDSubscriber$BulkRequestWorkerThread.run(INDSubscriber.java:532)
at java.util.concurrent.ThreadPoolExecutor.runWorker(ThreadPoolExecutor.java:1149)
at java.util.concurrent.ThreadPoolExecutor$Worker.run(ThreadPoolExecutor.java:624)
at java.lang.Thread.run(Thread.java:748)

Nem todos os endpoints são criados no ISE

Alguns endpoints no CCV podem ter muitos atributos anexados, portanto o banco de dados do ISE não poderá lidar com isso. Isso pode ser confirmado se você vir esses erros no profiler.log no ISE.

2020-05-29 00:01:25,228 ERROR [admin-http-pool1][] com.cisco.profiler.api.EDFEndPointHandler -::::- 
Failed to create endpoint 00:06:F6:2A:C4:2B ORA-12899: 
value too large for column "CEPM"."EDF_EP_MASTER"."EDF_ENDPOINTIP" (actual:660, maximum: 100)
2020-05-29 00:01:25,229 ERROR [admin-http-pool1][] com.cisco.profiler.api.EDFEndPointHandler -::::- 
Unable to create the endpoint.:ORA-12899: 
value too large for column "CEPM"."EDF_EP_MASTER"."EDF_ENDPOINTIP" (actual: 660, maximum: 100)
com.cisco.epm.edf2.exceptions.EDF2SQLException: ORA-12899: 
value too large for column "CEPM"."EDF_EP_MASTER"."EDF_ENDPOINTIP" (actual: 660, maximum: 100)

O AssetGroup não está disponível no ISE

Se AssetGroup não estiver disponível no ISE, muito provavelmente, a política de criação de perfil não está configurada usando Atributos personalizados (consulte as Etapas 2 a 4). na parte Configurações do documento). Mesmo para visibilidade de contexto, apenas para exibir atributos de grupo, políticas de criação de perfil e outras configurações das Etapas 2 a 4 são obrigatórias.

As atualizações do grupo de endpoints não são refletidas no ISE

Devido ao CSCvu80175, o CCV não publica atualizações de endpoint para o ISE até que o CCV seja reinicializado logo após a integração. Você pode reinicializar o CCV depois que a integração for feita como uma solução alternativa.

A remoção do grupo do CCV não o está removendo do ISE

Esse problema é observado devido ao defeito conhecido no CCV CSCvu47880.A atualização do pxGrid enviada durante a remoção do grupo do CCV com formato diferente do esperado, portanto, o grupo não é removido.

CCV cai dos clientes da Web

Esse problema é observado devido ao defeito conhecido no ISE CSCvu47880, onde os clientes fazem a transição para o estado DESLIGADO seguido de remoção completa dos clientes da Web. O problema é resolvido nos 2.6 patch 7 e 2.7 patch 2 do ISE.

Você pode confirmá-lo se vir estes erros em pxgrid-server.log no ISE:

2020-06-26 09:42:28,772 DEBUG [Pxgrid-SessionManager-LookupAccountsTask][] cpm.pxgridwebapp.ws.pubsub.StompPubsubEndpoint -:::::- 
onClose: session=[14f,CLOSED], sessionInfo=WSSessionInfo [id=336, nodeName=cv-jens, addr=10.48.43.241, sessionID=14f, status=OFF, 
creationTime=2020-06-26 08:19:28.726, closeTime=2020-06-26 09:42:28.772, reason=VIOLATED_POLICY:Did not receive a pong: too slow ..., 
subscriptions=[], publications=[/topic/com.cisco.endpoint.asset]]

Integração do ISE com o caso de uso do CCV TrustSec

Esta configuração mostra como a integração do ISE com o CCV pode beneficiar a segurança de ponta a ponta quando o TrustSec está em vigor. Este é apenas um dos exemplos de como a integração pode ser usada, depois que a integração for feita.

Note: A explicação da configuração do switch TrustSec está fora do escopo deste artigo, no entanto, ele pode ser encontrado no Apêndice.

Topologia e o fluxo

Configurar

1. Configurar tags de grupo escaláveis no ISE

Para obter o caso de uso mencionado anteriormente, o IOT_Group1_Asset da tag TrustSec e o IOT_Group2_Asset são configurados manualmente para diferenciar os ativos do CCV Group1 do Group2, respectivamente. Navegue até Centros de trabalho > TrustSec > Componentes > Grupos de segurança. Clique em Adicionar. Nomeie SGTs como mostrado na imagem.

2. Configurar política de perfil com atributos personalizados para o grupo 2

Note: A configuração de perfil para o Grupo 1 foi feita na Etapa 3. na primeira parte do documento.

Navegue até Centros de trabalho > Perfil > Políticas de criação de perfil. Clique em Adicionar. Configure a Política de Perfil semelhante a esta imagem. A expressão de condição usada nesta política é CUSTOMATTRIBUTE:assetGroup EQUALS Group2.

3. Configurar políticas de autorização para atribuir SGTs com base em grupos de identidade de endpoint no ISE

Navegue até Política > Conjuntos de políticas. Selecione Conjunto de políticas e configure Políticas de autorização de acordo com esta imagem. Observe que, como resultado, o SGT é configurado na Etapa 1. são atribuídos.

Nome da regra	Condições	Perfis	Grupos de segurança
Política do grupo 1 do CCV	IdentidadeGrupo · Nome IGALS Grupo de Identidades do Ponto Final:Perfil:ekorneyc_ASSET_Group1	PermitAccess	IOT_Group1_Asset
Política do grupo 2 do CCV	IdentidadeGrupo · Nome IGALS Grupo de Identidades do Ponto Final:Perfil:ekorneyc_ASSET_Group2	PermitAccess	IOT_Group2_Asset

Verificar

Use esta seção para confirmar se a sua configuração funciona corretamente.

1. Endpoints autenticam com base no grupo 1 do CCV

No Switch, você pode ver que os dados do ambiente incluem os 16-54:IOT_Group1_Asset da SGT e 17-54:IOT_Group2_Asset.

KJK_IE4000_10#show cts environment-data
CTS Environment Data
====================
Current state = COMPLETE
Last status = Successful
Local Device SGT:
  SGT tag = 0-00:Unknown
Server List Info:
Installed list: CTSServerList1-0001, 1 server(s):
 *Server: 10.48.17.86, port 1812, A-ID 11A2F46141F0DC8F082EFBC4C49D217E
          Status = ALIVE
          auto-test = TRUE, keywrap-enable = FALSE, idle-time = 60 mins, deadtime = 20 secs
Multicast Group SGT Table:
Security Group Name Table:
    0-54:Unknown
    2-54:TrustSec_Devices
    3-54:Network_Services
    4-54:Employees
    5-54:Contractors
    6-54:Guests
    7-54:Production_Users
    8-54:Developers
    9-54:Auditors
   10-54:Point_of_Sale_Systems
   11-54:Production_Servers
   12-54:Development_Servers
   13-54:Test_Servers
   14-54:PCI_Servers
   15-54:BYOD
   16-54:IOT_Group1_Asset
   17-54:IOT_Group2_Asset
  255-54:Quarantined_Systems
Environment Data Lifetime = 86400 secs
Last update time = 16:39:44 UTC Wed Jun 13 2035
Env-data expires in 0:23:59:53 (dd:hr:mm:sec)
Env-data refreshes in 0:23:59:53 (dd:hr:mm:sec)
Cache data applied = NONE
State Machine is running
KJK_IE4000_10#

Endpoints são autenticados e, como resultado, a Política do Grupo 1 do CCV é correspondida, SGT IOT_Group1_Asset é atribuída.

Os detalhes da interface fa1/7 do switch show authentication confirmam que os dados do Access-Accept foram aplicados com êxito.

KJK_IE4000_10#show authentication sessions interface fa1/7 detail
             Interface: FastEthernet1/7
           MAC Address: 00f2.8ba0.3a59
          IPv6 Address: Unknown
          IPv4 Address: 172.16.0.100
             User-Name: 00-F2-8B-A0-3A-59
                Status: Authorized
                Domain: DATA
        Oper host mode: single-host
      Oper control dir: both
       Session timeout: N/A
       Restart timeout: N/A
 Periodic Acct timeout: N/A
        Session Uptime: 128s
     Common Session ID: 0A302BFD0000001B02BE1E9C
       Acct Session ID: 0x00000010
                Handle: 0x58000003
        Current Policy: POLICY_Fa1/7

Local Policies:
      Service Template: DEFAULT_LINKSEC_POLICY_SHOULD_SECURE (priority 150)
       Security Policy: Should Secure
       Security Status: Link Unsecure

Server Policies:
             SGT Value: 16

Method status list:
               Method State

                  mab Authc Success

KJK_IE4000_10#

2. O administrador altera o grupo

Navegue até Pesquisar. Cole o endereço Mac do Endpoint, clique nele e adicione-o ao Grupo 2.

Note: No CCV, você não pode alterar o grupo de 1 para 2 de uma só vez. Portanto, você deve remover o Endpoint do grupo primeiro e atribuir o Grupo 2 em seguida.

3-6. Efeito da alteração do grupo de endpoints no CCV

Etapas 4, 5. e 6. são refletidos nessa imagem. Graças à criação de perfil, o ponto final alterou o Grupo de Identidades para ekorneyc_ASSET_Group2 visto na Etapa 4., o que fez com que o ISE enviasse CoA para o switch (Etapa 5) e finalmente a reautenticação do ponto final (Etapa 6).

Os detalhes da interface fa1/7 do switch show authentication confirmam que o novo SGT está atribuído.

KJK_IE4000_10#show authentication sessions interface fa1/7 detail
             Interface: FastEthernet1/7
           MAC Address: 00f2.8ba0.3a59
          IPv6 Address: Unknown
          IPv4 Address: 172.16.0.100
             User-Name: 00-F2-8B-A0-3A-59
                Status: Authorized
                Domain: DATA
        Oper host mode: single-host
      Oper control dir: both
       Session timeout: N/A
       Restart timeout: N/A
 Periodic Acct timeout: N/A
        Session Uptime: 664s
     Common Session ID: 0A302BFD0000001B02BE1E9C
       Acct Session ID: 0x00000010
                Handle: 0x58000003
        Current Policy: POLICY_Fa1/7

Local Policies:
      Service Template: DEFAULT_LINKSEC_POLICY_SHOULD_SECURE (priority 150)
       Security Policy: Should Secure
       Security Status: Link Unsecure

Server Policies:
             SGT Value: 17

Method status list:
               Method State

                  mab Authc Success

KJK_IE4000_10#

Appendix

Configuração relacionada ao TrustSec do switch

Note: As credenciais Cts não fazem parte da configuração atual e devem ser configuradas com o uso do comando cts credenid <id> password <password> no modo exec privilegiado.

aaa new-model
!
aaa group server radius ISE
server name ISE-1
!
aaa authentication dot1x default group ISE
aaa authorization network default group ISE
aaa authorization network ISE group ISE
aaa accounting dot1x default start-stop group ISE
!
dot1x system-auth-control
!
aaa server radius dynamic-author
client 10.48.17.86
server-key cisco
!
aaa session-id common
!
cts authorization list ISE
cts role-based enforcement
!
interface FastEthernet1/7
description --- ekorneyc TEST machine ---
switchport access vlan 10
switchport mode access
authentication port-control auto
mab
!
radius server ISE-1
address ipv4 10.48.17.86 auth-port 1645 acct-port 1646
pac key cisco
!
end

KJK_IE4000_10#