ISE/ISE-PIC를 구성할 때는 이 절에서 설명한 지침을 사용합니다.

ISE/ISE-PIC 버전 및 설정 호환성

ISE/ISE-PIC 버전과 설정은 다음과 같이 Firepower와의 통합 및 상호작용에 영향을 줍니다.

• 최신 기능 집합을 사용하려면 최신 버전의 ISE/ISE-PIC를 사용하는 것이 좋습니다.

• ISE/ISE-PIC 서버와 Secure Firewall Management Center의 시간을 동기화합니다. 그렇지 않으면 시스템이 예기치 않은 간격으로 사용자 시간 제한을 수행할 수 있습니다.

• ISE 또는 ISE-PIC 데이터를 사용하여 사용자 제어를 구현하려면, Active Directory 영역 및 영역 디렉터리 생성에서 설명하는 것처럼 pxGrid 페르소나를 가정하는 ISE 서버의 영역을 설정하고 활성화합니다.

• ISE 서버에 연결되는 각 Secure Firewall Management Center 호스트 이름은 고유해야 합니다. 그렇지 않으면 단일 Secure Firewall Management Center에 대한 연결이 중단됩니다.

• 많은 사용자 그룹을 모니터링하도록 ISE/ISE-PIC를 설정하는 경우 시스템은 매니지드 디바이스 메모리 제한으로 인해 그룹을 기준으로 사용자 매핑을 삭제할 수 있습니다. 그 결과, 영역이 있는 규칙 또는 사용자 조건이 정상적으로 수행되지 않을 수 있습니다.

  버전 6.7 이상을 실행하는 디바이스의 경우, 선택적으로 configure identity-subnet-filter 명령을 사용하여 매니지드 디바이스가 모니터링하는 서브넷을 제한할 수 있습니다. 자세한 내용은 Cisco Secure Firewall Threat Defense 명령 참조를 참조하십시오.

  또는 네트워크 개체를 설정하고 해당 개체를 ID 정책에서 ID 매핑 필터로 적용할 수 있습니다. ID 정책 생성의 내용을 참조하십시오.

이 시스템 버전과 호환되는 특정 ISE/ISE-PIC 버전에 대한 자세한 내용은 Cisco FirePOWER 호환성 가이드의 내용을 참조하십시오.

IPv6 지원

• 호환되는 ISE/ISE-PIC 버전 2.x 버전에는 IPv6 지원 엔드포인트 지원이 포함되어 있습니다.

• ISE/ISE-PIC 버전 3.0(패치 2) 이상에서는 ISE/ISE-PIC와 management center 간의 IPv6 통신을 활성화합니다.

프록시 시퀀스

프록시 시퀀스는 LDAP, Active Directory 또는 ISE/ISE-PIC 서버와 통신하는 데 사용할 수 있는 하나 이상의 매니지드 디바이스입니다. 이는 Cisco Defense Orchestrator(CDO)가 Active Directory 또는 ISE/ISE-PIC 서버와 통신할 수 없는 경우에만 필요합니다. (예를 들어 CDO는 퍼블릭 클라우드에 있지만 Active Directory 또는 ISE/ISE-PIC는 프라이빗 클라우드에 있을 수 있습니다.)

하나의 매니지드 디바이스를 프록시 시퀀스로 사용할 수 있지만, 둘 이상의 매니지드 디바이스를 설정하는 것이 좋습니다. 그러면 하나의 매니지드 디바이스가 Active Directory 또는 ISE/ISE-PIC와 통신할 수 없는 경우 다른 매니지드 디바이스가 인계받을 수 있습니다.

ISE에서 클라이언트 승인

ISE 서버와 management center 간의 연결에 성공하려면 ISE에서 클라이언트를 수동으로 승인해야 합니다. (일반적으로 클라이언트 두 개가 존재합니다. 하나는 연결 테스트용이며, 다른 하나는 ISE 에이전트용입니다.)

또한 Cisco Identity Services Engine 관리자 가이드의 사용자 및 외부 ID 소스 관리 장에서 설명하는 것처럼 ISE에서 Automatically approve new accounts(새 어카운트 자동 승인)를 활성화할 수도 있습니다.

연결할 수 없는 세션이 제거됨

ISE/ISE-PIC의 사용자 세션이 연결할 수 없는 것으로 보고되면 Secure Firewall Management Center는 동일한 IP의 다른 사용자가 연결할 수 없는 사용자의 ID 규칙과 일치하지 않도록 해당 세션을 정리합니다.

Providers(제공자) > Endpoint Probes(엔드포인트 프로브)로 이동하고 다음 중 하나를 클릭하여 ISE/ISE-PIC에서 이 동작을 제어할 수 있습니다.

• ISE/ISE-PIC가 엔드포인트 연결을 모니터링하여 Secure Firewall Management Center가 연결할 수 없는 사용자의 세션을 정리하도록 하려면 활성화됩니다.

• ISE/ISE-PIC가 엔드포인트 연결을 무시하도록 하려면 비활성화됩니다.

SGT(Security Group Tag)

보안 그룹 태그(SGT)는 신뢰할 수 있는 네트워크 내의 트래픽 소스 권한을 지정합니다. Cisco ISE 및 Cisco TrustSec에서는 SGA(Security Group Access)라는 기능을 사용하여 네트워크로 들어오는 패킷에 SGT 속성을 적용합니다. 이러한 SGT는 ISE 또는 TrustSec 내에서 사용자가 할당한 보안 그룹에 해당합니다. ISE를 ID 소스로 구성하는 경우 Firepower System은 이러한 SGT를 사용하여 트래픽을 필터링할 수 있습니다.

보안 그룹 태그는 액세스 제어 규칙에서 소스 및 대상 일치 기준으로 사용할 수 있습니다.

참고	ISE SGT 속성 태그만 사용하여 사용자 제어를 구현하는 경우에는 ISE 서버에 대한 영역을 설정하지 않아도 됩니다. 연결된 ID 정책이 포함되어 있거나 포함되지 않은 정책에서 ISE SGT 속성 조건을 설정할 수 있습니다.

참고	일부 규칙의 경우, 맞춤형 SGT 조건은 ISE에서 할당하지 않은 SGT 속성으로 태그가 지정된 트래픽과 일치할 수 있습니다. 이는 사용자 제어로 간주되지 않으며, ISE/ISE-PIC를 ID 소스로 사용하지 않을 경우에만 적용됩니다(맞춤형 SGT 조건 참조).

소스 SGT 태그 외에 대상 SGT 태그도 매칭할 때는, 다음 사항이 적용됩니다.

필수 ISE 버전: 2.6 패치 6 이상, 2.7 패치 2 이상

라우터 지원: 이더넷을 통한 SGT 인라인 태깅을 지원하는 모든 Cisco 라우터 자세한 내용은 Cisco Group Based Policy Platform and Capability Matrix Release(Cisco Group 기반 정책 플랫폼 및 기능 매트릭스 릴리스) 등의 참조 자료에서 확인하십시오.

제한 사항:

• QoS(Quality Service) 정책은 소스 SGT 매칭만 사용합니다. 대상 SGT 매칭은 사용하지 않습니다.

• RA-VPN은 RADIUS에서 바로 SGT 매핑을 수신하지 않습니다.

ISE 및 고가용성

기본 ISE/ISE-PIC 서버에 장애가 발생하면 다음이 발생합니다.

pxGrid v2와의 통합으로 인해 하나의 management center가 연결을 수락할 때까지 구성된 두 ISE 호스트 간에 라운드 로빈이 수행됩니다.

연결이 끊어지면 management center는 연결된 호스트에 대한 라운드 로빈 시도를 재개합니다.

엔드포인트 위치(또는 위치 IP)

엔드포인트 위치 속성은 ISE에서 식별된 사용자를 인증하기 위해 ISE를 사용한 네트워크 디바이스의 IP 주소입니다.

Endpoint Location (Location IP)(엔드포인트 위치(위치 IP))에 따라 트래픽을 제어하려면 ID 정책을 설정 및 구축해야 합니다.

ISE 속성

ISE 연결을 구성하면 Secure Firewall Management Center 데이터베이스에 ISE 속성 데이터가 입력됩니다. 사용자 인식 및 사용자 제어에 다음과 같은 ISE 속성을 사용할 수 있습니다. ISE-PIC에서는 이러한 작업이 지원되지 않습니다.

엔드포인트 프로파일(또는 디바이스 유형)

엔드포인트 프로파일 속성은 ISE에서 식별된 사용자의 엔드포인트 디바이스 유형입니다.

Endpoint Profile (Device Type)(엔드포인트 프로파일(디바이스 유형))에 따라 트래픽을 제어하려면 ID 정책을 구성 및 구축해야 합니다.

다음 구성 중 하나에서 ISE/ISE-PIC를 사용할 수 있습니다.

• 영역, ID 정책 및 관련 액세스 제어 정책을 이용합니다.

  영역을 사용하여 정책 내 네트워크 리소스에 대한 사용자 액세스를 제어합니다. 정책에서 ISE/ISE-PIC SGT(Security Group Tags) 메타데이터를 계속 사용할 수 있습니다.

• 액세스 제어 정책만 사용할 수 있습니다. 영역 또는 ID 정책은 필요 없습니다.

  SGT 메타데이터만 사용하여 네트워크 액세스를 제어하려면 이 방법을 사용해야 합니다.

다음 항목에서는 management center에서 ID 정책과 함께 사용하도록 ISE/ISE-PIC 서버를 구성하는 방법을 설명합니다.

ISE/ISE-PIC 서버에서 인증서를 내보내 management center를 이용해 인증하고 SXP 주제를 게시해야 합니다. 이렇게 해야 ISE 서버에서 업데이트된 SGT(Security Group Tags)를 사용하여 management center를 업데이트할 수 있습니다.