概述
本文档列出了 Cisco 身份服务引擎 (Cisco ISE) 的性能和可扩展性指标。
Cisco ISE 节点术语
思科 ISE 节点可以根据它承担的角色提供各种服务。通过管理员门户可用的菜单选项取决于思科 ISE 节点承担的职责和角色。
节点类型 |
说明 |
---|---|
策略管理节点 (PAN) |
通过具有管理角色的 Cisco ISE 节点,您可以在 Cisco ISE 上进行所有管理操作和配置。它用作查看所有管理操作,配置和情景数据的单一窗格。它将配置与部署中的其余节点同步。 |
策略服务节点 (PSN) |
承担策略服务角色的思科 ISE 提供网络访问、安全评估、访客接入、客户端调配和分析服务。此角色评估策略并作出所有决策。 |
监控节点(MnT) |
具有监控角色的思科 ISE 节点用作日志收集器,并且存储来自网络中所有管理节点和策略服务节点的日志消息。此角色提供可用于有效管理网络和资源的高级监控和故障排除工具。具有此角色的节点会将其收集的数据汇总和关联,并为您提供有意义的报告。 |
pxGrid 节点 |
可以使用 Cisco pxGrid 与其他网络系统(例如 Cisco ISE 生态系统合作伙伴系统)和其他 Cisco 平台共享 Cisco ISE 会话目录中的情景相关信息。pxGrid 框架也可用来在 Cisco ISE 与第三方供应商之间、在节点(例如共享标记与策略对象之间交换策略和配置数据),还能进行其他信息的交换。 |
不同类型的 Cisco ISE 部署
Evaluation |
小型部署 |
中型部署 |
大型部署 |
---|---|---|---|
![]()
|
![]()
|
![]()
|
![]()
|
不同部署的最大并发活动终端最大数量
思科身份服务引擎 (ISE) 可以安装在思科 SNS 硬件或虚拟设备上。为了实现可与 Cisco ISE 硬件设备相媲美的性能和可扩展性,为虚拟机分配的系统资源应与为 Cisco SNS 3500 或 3600 系列设备分配的系统资源相当。
下面提供的身份验证值是近似值(大约 5%)。您可以根据以下内容确定部署所需的 PSN 数量:
-
最大并发活动终端的最大数量
-
RADIUS 身份验证率
-
TACACS+ 身份验证率
PSN 类型 | Cisco SNS 3515 | Cisco SNS 3595 | Cisco SNS 3615 | Cisco SNS 3655 | Cisco SNS 3695 |
---|---|---|---|---|---|
专用 PSN | 7500 | 40,000 | 10,000 | 50,000 | 100,000 |
共享 PSN | 5000 | 20,000 | 10,000 | 25,000 | 50,000 |
部署类型 | Cisco SNS 3515 | Cisco SNS 3595 | Cisco SNS 3615 | Cisco SNS 3655 | Cisco SNS 3695 |
---|---|---|---|---|---|
PAN 和 MnT |
PAN 和 MnT |
PAN 和 MnT |
PAN 和 MnT |
PAN 和 MnT |
|
大规模部署 | — | 500,000 | — | 500,000 | 2,000,000 |
中型部署 | 7500 | 20,000 | 10,000 | 25,000 | 50,000 |
小型部署 | 7500 | 20,000 | 10,000 | 25,000 | 50,000 |
有关不同类型的部署的信息,请参阅 不同类型的 Cisco ISE 部署
![]() 注 |
|
Cisco ISE 部署规模限制
属性 (Attribute) | 上限 | ||
---|---|---|---|
大型或专用部署中的最大 pxGrid 节点数上限 |
4 | ||
每个 pxGrid 节点的最大 pxGrid 用户数 | 200 | ||
已启用 SXP 服务的专用 PSN 节点 | 4 | ||
已启用 SXP 服务的每个 PSN 节点的最大 ISE SXP 对等体的最大数量 | 200 | ||
最大网络设备条目数(IP 地址和/或 IP 地址范围) | 100,000 | ||
最大网络设备组数 (NDG) | 10,000 | ||
最大 Active Directory 林数(加入点数) |
50 | ||
最大 Active Directory 控制器数量(WMI 查询) |
100 | ||
最大内部用户数量 | 300,000 | ||
最大内部访客数量
|
1,000,000 | ||
最大用户证书数量 | 1,000,000 | ||
最大服务器证书数量 | 1,000 | ||
最大受信任的证书数量 | 1,000 | ||
最大用户门户数量(访客,自带设备,MDM,证书调配,安全评估,客户端调配) |
600 | ||
最大并发活动终端的最大数量 | 2,000,000 | ||
最大策略集数量 | 200 | ||
最大身份验证规则数量 | 1000(策略集模式) | ||
最大授权规则数量 |
策略集模式:3,000(3,200 个授权配置文件) 不建议在单个策略集中包含超过 600 条授权规则。
|
||
最大用户身份组数量 | 1,000 | ||
最大终端身份组数量 | 1,000 | ||
TrustSec 安全组标记 (SGT) TrustSec 安全组 ACL (SGACL) TrustSec IP-SGT 静态绑定(通过 SSH) |
10,000 1,000 10,000 |
||
最大并发连接数 |
ERS API:100 OpenAPI:150 |
||
大型部署的最大被动 ID 会话数上限 |
3695 PAN,MnT:2,000,000 3595 PAN,MnT:500,000 |
||
主 PAN 与任何其他 Cisco ISE 节点(包括副 PAN、MnT 和 PSN)之间的最大网络延迟 |
300 毫秒 |
||
最大被动 ID 会话提供程序的最大数量 |
|||
最大 AD 域控制器数量 最大 REST API 提供程序数 最大系统日志提供程序数 最大 pxGrid 用户数 |
100 50 70 50 |
RADIUS 性能
![]() 注 |
Cisco 身份服务引擎 (ISE) 可以安装在 Cisco SNS 硬件或虚拟设备上。物理和虚拟部署都提供相同级别的性能。为了实现可与 Cisco ISE 硬件设备相媲美的性能和可扩展性,为虚拟机分配的系统资源应与为 Cisco SNS 3500 或 3600 系列设备分配的系统资源相当。 |
下表显示专用 PSN 节点的每秒身份验证。
身份验证方法 | 身份库 |
Cisco SNS 3515 |
Cisco SNS 3595 | Cisco SNS 3615 | Cisco SNS 3655 |
Cisco SNS 3695 |
---|---|---|---|---|---|---|
PAP | 内部 | 775 | 1100 | 900 | 1300 | 1300 |
PAP | Active Directory | 250 | 275 | 275 | 300 | 300 |
PAP | LDAP | 275 | 300 | 300 | 350 | 350 |
PEAP (MSCHAPv2) | 内部 | 125 | 150 | 150 | 225 | 225 |
PEAP (MSCHAPv2) | Active Directory | 100 | 150 | 150 | 175 | 175 |
PEAP (GTC) | 内部 | 100 | 150 | 175 | 250 | 250 |
PEAP (GTC) | Active Directory | 100 | 125 | 100 | 175 | 175 |
EAP-FAST (MSCHAPv2) | 内部 | 375 | 400 | 375 | 550 | 550 |
EAP-FAST (MSCHAPv2) | Active Directory | 175 | 225 | 200 | 275 | 300 |
EAP-FAST (GTC) | 内部 | 300 | 450 | 350 | 450 | 450 |
EAP-FAST (GTC) | Active Directory | 125 | 200 | 200 | 300 | 300 |
EAP-FAST (GTC) | LDAP | 150 | 300 | 200 | 300 | 300 |
EAP-TLS | 内部 | 125 | 150 | 175 | 225 | 250 |
EAP-TLS | Active Directory | 125 | 175 | 150 | 200 | 200 |
EAP-TLS | LDAP | 150 | 175 | 175 | 250 | 250 |
EAP TEAP | 内部 | 75 | 100 | 100 | 175 | 200 |
MAB | 内置 | 400 | 575 | 500 | 1000 | 1300 |
MAB | LDAP | 300 | 500 | 400 | 600 | 600 |
TACACS + 性能
下表显示专用 PSN 节点的每秒事务数(TPS)。
场景 | Cisco SNS 3515 | Cisco SNS 3595 | Cisco SNS 3615 | Cisco SNS 3655 | Cisco SNS 3695 |
---|---|---|---|---|---|
TACACS + 功能:PAP | 1800 | 2500 | 2800 | 3000 | 3200 |
TACACS + 功能:CHAP | 2000 | 3200 | 2800 | 3200 | 3900 |
TACACS + 功能:启用 | 1000 | 1100 | 1000 | 1100 | 1100 |
TACACS + 功能:会话授权 | 1800 | 3000 | 2800 | 3000 | 3600 |
TACACS + 功能:命令授权 | 1800 | 2800 | 2800 | 3000 | 3900 |
TACACS + 功能:计费 | 2000 | 3000 | 3000 | 6000 | 9000 |
Cisco ISE 基于场景的性能
下表显示专用 PSN 节点的每秒事务数(TPS)。
场景 | Cisco SNS 3515 | Cisco SNS 3595 | Cisco SNS 3615 | Cisco SNS 3655 | Cisco SNS 3695 |
---|---|---|---|---|---|
终端安全评估身份验证 | 50 | 55 | 55 | 60 | 60 |
访客热点身份验证 | 50 | 100 | 75 | 125 | 150 |
访客赞助的身份验证 | 50 | 75 | 50 | 75 | 75 |
BYOD 激活单 SSID | 10 | 12 | 12 | 15 | 15 |
BYOD 激活双 SSID | 10 | 12 | 12 | 15 | 15 |
MDM |
100 | 200 | 200 | 225 | 350 |
内部 CA 证书发放 | 40 | 45 | 45 | 50 | 50 |
每秒分析的新终端/每秒的配置文件更新 | 200 | 250 | 200 | 250 | 250 |
每秒处理的最大 PassiveID 会话数的最大值 |
1000 | 1000 | 1000 | 1000 | 1000 |
ERS:终端批量 API | 50 | 75 | 75 | 100 | 100 |
ERS:访客批量 API | 50 | 75 | 75 | 100 | 100 |
ERS:TrustSec 批量 API | 5 | 5 | 5 | 10 | 10 |
TrustSec |
|||||
将 300 个 TrustSec 策略推送到 254 个 NAD 所需的时间(以秒为单位) |
50 | 50 | 50 | 50 | 25 |
5000 TrustSec 策略通过 REST API 下载 2GB 数据所需的时间(以秒为单位) |
50 | 50 | 50 | 50 | 25 |
SXP |
|||||
将 SXP 连接到 SXPSN 所需的时间(以毫秒为单位) |
5 | 5 | 5 | 3 | 3 |
pxGrid |
|||||
使用 20,000 个会话批量下载 200 个 pxGrid 用户所需的时间(以秒为单位) |
40 | 45 | 40 | 55 | 60 |
![]() 注 |
当超过这些限制时,可能会导致性能下降,导致请求被丢弃。您必须调配 Cisco ISE 设备和虚拟机,同时记住每个部署的总容量和预期的高峰小时身份验证速率。 |
Cisco ISE 硬件平台
请注意以下问题:
-
VM 设备规格应可与生产环境中运行的物理设备相比较。
-
您必须部署专用 VM 资源,不要在多个访客 VM 之间共享或超订用资源。
-
对于 VM 部署,由于超线程,核心数量是物理设备数量的两倍。例如,对于小型网络部署,您必须分配 16 个 vCPU 核心才能满足 SNS 3615(包含 8 个 CPU 核心或 16 个线程)的 CPU 规格。
-
Cisco ISE 3.1 不支持 Cisco 安全网络服务器(SNS)3515 设备。
设备 | Cisco SNS 3515 | Cisco SNS 3595 | Cisco SNS 3615 | Cisco SNS 3655 | Cisco SNS 3695 |
---|---|---|---|---|---|
处理器 |
1 x Intel Xeon 2.4 GHz E5-2620 处理器 |
1 x Intel Xeon 2.6 GHz E5-2640 处理器 |
1 x Intel Xeon 2.10 GHz 4110 处理器 |
1 x Intel Xeon 2.10 GHz 4116 处理器 |
1 x Intel Xeon 2.10 GHz 4116 处理器 |
每个处理器的内核数量 | 6 | 8 | 8 | 12 | 12 |
内存 | 16 GB (2x8GB) | 64 GB (4x16GB) | 32 GB (2x16GB) | 96 GB (6 x 16 GB) | 256 GB (8 x 32 GB) |
硬盘 | 1 x 600-GB 6Gb SAS 10K RPM | 4 x 600-GB 6Gb SAS 10K RPM | 1 x 600-GB 6Gb SAS 10K RPM | 4 x 600-GB 6Gb SAS 10K RPM | 8 x 600-GB 6Gb SAS 10K RPM |
硬件 RAID | — |
RAID 10 思科 12G SAS 模块化 RAID 控制器 |
— |
RAID 10 思科 12G SAS 模块化 RAID 控制器 |
RAID 10 思科 12G SAS 模块化 RAID 控制器 |
网络接口 | 6 个 1GBase-T 接口 | 6 个 1GBase-T 接口 |
2 个 10Gbase-T 接口 4 个 1GBase-T 接口 |
2 个 10Gbase-T 接口 4 个 1GBase-T 接口 |
2 个 10Gbase-T 接口 4 个 1GBase-T 接口 |
电源 | 1 个 770W 电源 | 2 个 770W 电源 | 1 个 770W 电源 | 2 个 770W 电源 | 2 个 770W 电源 |
有关如何规划 Cisco ISE 部署的信息,请参阅以下链接: |