Les conditions de règles d’interface contrôlent le trafic en fonction de ses interfaces de source et de destination.

Selon le type de règle et les périphériques de votre déploiement, vous pouvez utiliser des objets d’interface prédéfinis appelés zones de sécurité ou des groupes d’interface pour créer des conditions d’interface. Les objets d'interface segmentent votre réseau pour vous aider à gérer et à classer le flux de trafic en regroupant les interfaces sur plusieurs périphériques: consultez Interface.

Astuces

Restreindre les règles par interface est l’un des meilleurs moyens d’améliorer les performances du système. Si une règle exclut toutes les interfaces d’un périphérique, cette règle n’affecte pas les performances de ce périphérique.

Tout comme toutes les interfaces d’un objet d’interface doivent être du même type (en ligne, passive, commutée, routée ou ASA FirePOWER), tous les objets d’interface utilisés dans une condition d’interface doivent être du même type. Comme les périphériques déployés de manière passive ne transmettent pas de trafic, dans les déploiements passifs, vous ne pouvez pas restreindre les règles par interface de destination.

Les conditions des règles de réseau contrôlent le trafic en fonction de son adresse IP de source et de destination, à l’aide d’en-têtes internes. Les règles de tunnel, qui utilisent des en-têtes externes, ont des conditions de point terminal de tunnel au lieu de conditions de réseau.

Vous pouvez utiliser des objets prédéfinis pour créer des conditions de réseau ou spécifier manuellement des adresses IP individuelles ou des blocs d’adresses.

Remarque

vous ne pouvez pas utiliser des objets réseau FDQN dans les règles d'identité.

Remarque

Le système crée une carte réseau distincte pour chaque domaine enfant. Dans un déploiement multidomaine, l’utilisation d’adresses IP littérales pour limiter cette configuration peut avoir des résultats inattendus. L’utilisation d’objets de substitution permet aux administrateurs de domaines descendants d’adapter les configurations globales à leurs environnements locaux.

Dans la mesure du possible, laissez les critères de correspondance vides, en particulier ceux pour les zones de sécurité, les objets réseau et les objets de port. Lorsque vous précisez plusieurs critères, le système doit être en correspondance avec l'ensemble des contenus du critères que vous précisez.

Les conditions des règles d’utilisateur correspondent au trafic en fonction de l’utilisateur qui initie la connexion ou du groupe auquel l’utilisateur appartient. Par exemple, vous pouvez configurer une règle de blocage pour interdire à tout membre du groupe des finances d’accéder à une ressource réseau.

Pour les règles de contrôle d’accès uniquement, vous devez d’abord associer une politique d’identité à la politique de contrôle d’accès, comme indiqué dans Association d’autres politiques au contrôle d’accès.

En plus de configurer les utilisateurs et les groupes pour les domaines configurés, vous pouvez définir des politiques pour les utilisateurs d’identités spéciales suivants :

• Échec de l’authentification : utilisateur qui a échoué à l’authentification avec le portail captif.

• Invité  : utilisateurs configurés comme utilisateurs invités dans le portail captif.

• Aucune authentification requise : utilisateurs qui correspondent à une action de règle Aucune authentification requise n’est requise.

• Inconnu : utilisateurs qui ne peuvent pas être identifiés; par exemple, les utilisateurs qui ne sont pas téléchargés par un domaine configuré.

Lorsque le système analyse le trafic IP, il peut identifier et classer les applications couramment utilisées sur votre réseau. Cette connaissance des applications basée sur la découverte constitue la base du contrôle des applications, c’est-à-dire la capacité de contrôler le trafic des applications.

Les filtres d’applications fournis par le système vous aident à effectuer le contrôle des applications en organisant les applications en fonction de caractéristiques de base: type, risque, pertinence commerciale, catégorie et balises. Vous pouvez créer des filtres définis par l’utilisateur réutilisables en fonction de combinaisons de filtres fournis par le système ou de combinaisons personnalisées d’applications.

Au moins un détecteur doit être activé pour chaque condition de règle d’application dans la politique. Si aucun détecteur n’est activé pour une application, le système active automatiquement tous les détecteurs fournis par le système pour l’application; s’il n’en existe aucun, le système active le détecteur défini par l’utilisateur modifié le plus récemment pour l’application. Pour en savoir plus sur les détecteurs d’application, consultez Principes fondamentaux des détecteurs d'applications.

Vous pouvez utiliser à la fois des filtres d’application et des applications spécifiées individuellement pour assurer une couverture complète. Cependant, lisez la note suivante avant de commander vos règles de contrôle d’accès.

Les conditions de port vous permettent de contrôler le trafic en fonction de ses ports source et de destination.

Dans la mesure du possible, laissez les critères de correspondance vides, en particulier ceux pour les zones de sécurité, les objets réseau et les objets de port. Lorsque vous précisez plusieurs critères, le système doit être en correspondance avec l'ensemble des contenus du critères que vous précisez.

Utilisez des conditions d’URL pour contrôler les sites Web auxquels les utilisateurs de votre réseau peuvent accéder.

Pour obtenir des renseignements complets, consultez Filtrage d'URL.

Si vous ne configurez pas ISE/ISE-PIC comme source d’identité, vous pouvez contrôler le trafic à l’aide des balises de groupe de sécurité (SGT) qui n’ont pas été attribuées par ISE. Une balise de groupe de sécurité (SGT) spécifie les privilèges d’une source de trafic dans un réseau sécurisé.

Les conditions de règle SGT personnalisées utilisent des objets SGT créés manuellement pour filtrer le trafic, plutôt que les valeurs SGT ISE obtenues lors de la connexion du système à un serveur ISE. Ces objets SGT créés manuellement correspondent aux attributs SGT du trafic que vous souhaitez contrôler. Le contrôle du trafic à l’aide de balises SGT personnalisées n’est pas considéré comme un contrôle de l’utilisateur.

Certaines règles vous permettent de contrôler le trafic en fonction de la balise SGT attribuée. Selon le type de règle et la configuration de votre source d’identité, vous pouvez utiliser des groupes SGT affectés par ISE ou des groupes SGT personnalisés pour faire correspondre le trafic aux attributs SGT affectés.

Remarque

Si vous utilisez les balises SGT de Cisco ISE pour mettre en correspondance le trafic, même si un attribut SGT n’est pas affecté à un paquet, le paquet correspond toujours à une règle SGT de l’ISE si la SGT associée à l’adresse IP source du paquet est connue dans ISE.

Si vous créez des règles qui correspondent aux règles SGT personnalisées, puis configurez ISE/ISE-PIC comme source d’identité, le système :

• Désactive les options de balise de groupe de sécurité dans le gestionnaire d’objets. Bien que le système conserve les objets SGT existants, vous ne pouvez pas les modifier ni en ajouter de nouveaux.

• Conserve les règles existantes avec des conditions SGT personnalisées. Cependant, ces règles ne correspondent pas au trafic. Vous ne pouvez pas non plus ajouter de critères SGT personnalisés aux règles existantes ni créer de nouvelles règles avec des conditions SGT personnalisées.

Si vous configurez ISE, Cisco vous recommande de supprimer ou de désactiver les règles existantes avec des conditions SGT personnalisées. Au lieu de cela, utilisez les conditions d’attribut ISE pour faire correspondre le trafic avec les attributs SGT.