Configuración de la integración de ISE 2.7 pxGrid CCV 3.1.0

Introducción

Este documento describe cómo configurar y solucionar problemas de integración de Identity Services Engine (ISE) 2.7 con Cisco Cyber Vision (CCV) 3.1.0 sobre Platform Exchange Grid v2 (pxGrid). CCV se registra con pxGrid v2 como editor y publica información sobre atributos de terminales en ISE para IOTASSET Dictionary.

Prerequisites

Requirements

Cisco recomienda que tenga conocimientos básicos sobre estos temas:

• ISE

• Cisco Cyber Vision

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

• Cisco ISE versión 2.7 parche 1
• Cisco Cyber Vision versión 3.1.0
• Switch Ethernet industrial IE-4000-4TC4G-E con s/w 15.2(6)E

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Configurar

Diagrama de flujo de alto nivel

Esta implementación de ISE se utiliza en la configuración.

ISE 2.7-1ek es el nodo principal de administrador (PAN) y el nodo pxGrid.

ISE 2.7-2ek es un nodo de servicio de políticas (PSN) con la sonda pxGrid habilitada.

Estos son los pasos que corresponden al diagrama mencionado anteriormente.

1. CCV se registra en assetTopic en ISE a través de pxGrid versión 2. Registros correspondientes de CCV:

Nota: Para revisar los registros de pxGrid en CCV, ejecute el siguiente comando journalctl -u pxgrid-agent.

root@center:~# journalctl -u pxgrid-agent -f
Jun 24 13:31:03 center pxgrid-agent-start.sh[1310]: pxgrid-agent RPC server listening to: '/tmp/pxgrid-agent.sock' [caller=main.go:102]
Jun 24 13:31:03 center pxgrid-agent-start.sh[1310]: pxgrid-agent Request path=/pxgrid/control/AccountActivate body={} 
[caller=control.go:127]
Jun 24 13:31:03 center pxgrid-agent-start.sh[1310]: pxgrid-agent Account activated [caller=pxgrid.go:76]
Jun 24 13:31:03 center pxgrid-agent-start.sh[1310]: pxgrid-agent Request path=/pxgrid/control/ServiceRegister 
body={"name":"com.cisco.endpoint.asset","properties":{"assetTopic":"/topic/com.cisco.endpoint.asset
Jun 24 13:31:03 center pxgrid-agent-start.sh[1310]: pxgrid-agent Service registered, ID: 4b9af94b-9255-46df-b5ef-24bdbba99f3a 
[caller=pxgrid.go:94]
Jun 24 13:31:03 center pxgrid-agent-start.sh[1310]: pxgrid-agent Request path=/pxgrid/control/ServiceLookup 
body={"name":"com.cisco.ise.pubsub"} [caller=control.go:127]
Jun 24 13:31:03 center pxgrid-agent-start.sh[1310]: pxgrid-agent Request path=/pxgrid/control/AccessSecret 
body={"peerNodeName":"com.cisco.ise.pubsub"} [caller=control.go:127]
Jun 24 13:31:03 center pxgrid-agent-start.sh[1310]: pxgrid-agent Websocket connect 
url=wss://ISE27-1ek.example.com:8910/pxgrid/ise/pubsub [caller=endpoint.go:102]
Jun 24 13:31:03 center pxgrid-agent-start.sh[1310]: pxgrid-agent STOMP CONNECT host=10.48.17.86 [caller=endpoint.go:111]
Jun 24 13:33:27 center pxgrid-agent-start.sh[1310]: pxgrid-agent API: getSyncStatus [caller=sync_status.go:34]
Jun 24 13:33:28 center pxgrid-agent-start.sh[1310]: pxgrid-agent Cyber Vision is in sync with ISE [caller=assets.go:67]
Jun 24 13:36:03 center pxgrid-agent-start.sh[1310]: pxgrid-agent Request path=/pxgrid/control/ServiceReregister 
body={"id":"4b9af94b-9255-46df-b5ef-24bdbba99f3a"} [caller=control.go:127]

2. ISE PSN con la sonda pxGrid habilitada realiza una descarga masiva de los recursos pxGrid existentes (profiler.log):

2020-06-24 13:41:37,091 DEBUG [ProfilerINDSubscriberPoller-56-thread-1][] 
cisco.profiler.infrastructure.probemgr.INDSubscriber -::::- Looking for new publishers ...
2020-06-24 13:41:37,104 DEBUG [ProfilerINDSubscriberPoller-56-thread-1][] 
cisco.profiler.infrastructure.probemgr.INDSubscriber -::::- Existing services are: 
[Service [name=com.cisco.endpoint.asset, nodeName=cv-jens, 
properties={assetTopic=/topic/com.cisco.endpoint.asset, restBaseUrl=https://Center:8910/pxgrid/ind/asset/, 
wsPubsubService=com.cisco.ise.pubsub}]]
2020-06-24 13:41:37,104 INFO [ProfilerINDSubscriberPoller-56-thread-1][] 
cisco.profiler.infrastructure.probemgr.INDSubscriber -::::- New services are: []
2020-06-24 13:41:37,114 INFO [ProfilerINDSubscriberPoller-56-thread-1][] 
cisco.profiler.infrastructure.probemgr.INDSubscriber -::::- NODENAME:cv-jens
2020-06-24 13:41:37,114 INFO [ProfilerINDSubscriberPoller-56-thread-1][] 
cisco.profiler.infrastructure.probemgr.INDSubscriber -::::- REQUEST BODY{"offset":"0","limit":"500"}
2020-06-24 13:41:37,158 INFO [ProfilerINDSubscriberPoller-56-thread-1][] 
cisco.profiler.infrastructure.probemgr.INDSubscriber -::::- Response status={}200
2020-06-24 13:41:37,159 INFO [ProfilerINDSubscriberPoller-56-thread-1][] 
cisco.profiler.infrastructure.probemgr.INDSubscriber -::::- Content: {OUT_OF_SYNC}
2020-06-24 13:41:37,159 INFO [ProfilerINDSubscriberPoller-56-thread-1][] 
cisco.profiler.infrastructure.probemgr.INDSubscriber -::::- Status is :{OUT_OF_SYNC}
2020-06-24 13:41:37,159 DEBUG [ProfilerINDSubscriberPoller-56-thread-1][] 
cisco.profiler.infrastructure.probemgr.INDSubscriber -::::- 
Static set after adding new services: [Service [name=com.cisco.endpoint.asset, 
nodeName=cv-jens, properties={assetTopic=/topic/com.cisco.endpoint.asset, 
restBaseUrl=https://Center:8910/pxgrid/ind/asset/, wsPubsubService=com.cisco.ise.pubsub}]]
2020-06-24 13:41:37,169 INFO [ProfilerINDSubscriberBulkRequestPool-77-thread-1][] 
cisco.profiler.infrastructure.probemgr.INDSubscriber -::::- NODENAME:cv-jens
2020-06-24 13:41:37,169 INFO [ProfilerINDSubscriberBulkRequestPool-77-thread-1][] 
cisco.profiler.infrastructure.probemgr.INDSubscriber -::::- REQUEST BODY{"offset":"0","limit":"500"}
2020-06-24 13:41:37,600 INFO [ProfilerINDSubscriberBulkRequestPool-77-thread-1][] 
cisco.profiler.infrastructure.probemgr.INDSubscriber -::::- Response status={}200
2020-06-24 13:41:37,604 INFO [ProfilerINDSubscriberBulkRequestPool-77-thread-1][] 
cisco.profiler.infrastructure.probemgr.INDSubscriber -::::- Content: 
{"assets":[{"assetId":"88666e21-6eba-5c1e-b6a9-930c6076119d","assetName":"Xerox 0:0:0","assetIpAddress":"",
"assetMacAddress":"00:00:00:00:00:00","assetVendor":"XEROX

3. Los terminales se agregan al PSN con la sonda pxGrid habilitada y PSN envía un evento persistente al PAN para guardar estos terminales (profiler.log). Los terminales creados en ISE se pueden ver en los detalles de los terminales en Visibilidad de contexto.

2020-06-24 13:41:37,677 DEBUG [ProfilerINDSubscriberBulkRequestPool-77-thread-1][] 
cisco.profiler.infrastructure.probemgr.INDSubscriber -::::- mac address is :28:63:36:1e:10:05ip address is :192.168.105.150
2020-06-24 13:41:37,677 DEBUG [ProfilerINDSubscriberBulkRequestPool-77-thread-1][] 
cisco.profiler.infrastructure.probemgr.INDSubscriber -::::- sending endpoint to forwarder{"assetId":
"01c8f9dd-8538-5eac-a924-d6382ce3df2d","assetName":"Siemens 192.168.105.150","assetIpAddress":"192.168.105.150",
"assetMacAddress":"28:63:36:1e:10:05","assetVendor":"Siemens AG","assetProductId":"","assetSerialNumber":"",
"assetDeviceType":"","assetSwRevision":"","assetHwRevision":"","assetProtocol":"ARP, S7Plus","assetCustomAttributes":[],
"assetConnectedLinks":[]}
2020-06-24 13:41:37,677 INFO [ProfilerINDSubscriberBulkRequestPool-77-thread-1][] 
cisco.profiler.infrastructure.probemgr.Forwarder -::::- Forwarder Mac 28:63:36:1E:10:05 MessageCode null epSource pxGrid Probe
2020-06-24 13:41:37,677 DEBUG [ProfilerINDSubscriberBulkRequestPool-77-thread-1][] 
cisco.profiler.infrastructure.probemgr.INDSubscriber -::::- Endpoint is proccessedEndPoint[id=<null>,name=<null>]
MAC: 28:63:36:1E:10:05
Attribute:BYODRegistration value:Unknown
Attribute:DeviceRegistrationStatus value:NotRegistered
Attribute:EndPointPolicy value:Unknown
Attribute:EndPointPolicyID value:
Attribute:EndPointSource value:pxGrid Probe
Attribute:MACAddress value:28:63:36:1E:10:05
Attribute:MatchedPolicy value:Unknown
Attribute:MatchedPolicyID value:
Attribute:NmapSubnetScanID value:0
Attribute:OUI value:Siemens AG
Attribute:PolicyVersion value:0
Attribute:PortalUser value:
Attribute:PostureApplicable value:Yes
Attribute:StaticAssignment value:false
Attribute:StaticGroupAssignment value:false
Attribute:Total Certainty Factor value:0
Attribute:assetDeviceType value:
Attribute:assetHwRevision value:
Attribute:assetId value:01c8f9dd-8538-5eac-a924-d6382ce3df2d
Attribute:assetIpAddress value:192.168.105.150
Attribute:assetMacAddress value:28:63:36:1e:10:05
Attribute:assetName value:Siemens 192.168.105.150
Attribute:assetProductId value:
Attribute:assetProtocol value:ARP, S7Plus
Attribute:assetSerialNumber value:
Attribute:assetSwRevision value:
Attribute:assetVendor value:Siemens AG
Attribute:ip value:192.168.105.150
Attribute:SkipProfiling value:false

4. Después de colocar un punto final en un grupo, CCV envía el mensaje STOMP a través del puerto 8910 para actualizar el punto final con los datos de grupo en atributos personalizados. Registros correspondientes de CCV:

root@center:~# journalctl -u pxgrid-agent -f
Jun 24 14:32:04 center pxgrid-agent-start.sh[1216]: pxgrid-agent STOMP SEND 
destination=/topic/com.cisco.endpoint.asset body={"opType":"UPDATE","asset":{"assetId":"ce01ade2-eb6f-53c8-a646-9661b10c976e",
"assetName":"Cisco a0:3a:59","assetIpAddress":"","assetMacAddress":"00:f2:8b:a0:3a:59","assetVendor":"Cisco Systems, Inc",
"assetProductId":"","assetSerialNumber":"","assetDeviceType":"","assetSwRevision":"","assetHwRevision":"","assetProtocol":"",
"assetCustomAttributes":[{"key":"assetGroup","value":"Group1"},{"key":"assetCCVGrp","value":"Group1"}],
"assetConnectedLinks":[]}} [caller=endpoint.go:118]

5. PxGrid Node recibe la actualización STOMP y reenvía este mensaje a todos los suscriptores, incluye PSN con la sonda pxGrid habilitada. pxgrid-server.log en pxGrid Node.

2020-06-24 14:40:13,765 TRACE [Thread-1631][] cpm.pxgridwebapp.ws.pubsub.StompPubsubEndpoint -:::::- 
stomp=SEND:{content-length=453, destination=/topic/com.cisco.endpoint.asset}
2020-06-24 14:40:13,766 TRACE [Thread-1631][] cpm.pxgridwebapp.ws.pubsub.StompPubsubEndpoint -:::::- 
session [2b,cv-jens,OPEN] is permitted (cached) to send to topic=/topic/com.cisco.endpoint.asset:
2020-06-24 14:40:13,766 TRACE [Thread-1631][] cpm.pxgridwebapp.ws.pubsub.SubscriptionThreadedDistributor -:::::- 
Distributing stomp frame from=[2b,cv-jens,OPEN], topic=/topic/com.cisco.endpoint.asset, true:true
2020-06-24 14:40:13,766 TRACE [Thread-1631][] cpm.pxgridwebapp.ws.pubsub.SubscriptionThreadedDistributor -:::::- 
Distributing stomp frame from=[2b,cv-jens,OPEN], topic=/topic/com.cisco.endpoint.asset,to=[19,ise-admin-ise27-2ek,OPEN]
2020-06-24 14:40:13,766 TRACE [Thread-1631][] cpm.pxgridwebapp.ws.pubsub.SubscriptionThreadedDistributor -:::::- 
Distributing stomp frame from=[2b,cv-jens,OPEN], topic=/topic/wildcard,to=[2a,ise-fanout-ise27-1ek,OPEN]

6. PSN con la sonda pxGrid habilitada como suscriptor en tema de recursos recibe el mensaje del nodo pxGrid y actualiza el punto final (profiler.log). Los terminales actualizados de ISE se pueden ver en los detalles de los terminales en Context Visibility.

2020-06-24 14:40:13,767 DEBUG [Grizzly(2)][] cisco.profiler.infrastructure.probemgr.INDSubscriber -::::- 
Parsing push notification response: {"opType":"UPDATE","asset":{"assetId":"ce01ade2-eb6f-53c8-a646-9661b10c976e",
"assetName":"Cisco a0:3a:59","assetIpAddress":"","assetMacAddress":"00:f2:8b:a0:3a:59","assetVendor":"Cisco Systems, Inc",
"assetProductId":"","assetSerialNumber":"","assetDeviceType":"","assetSwRevision":"","assetHwRevision":"",
"assetProtocol":"","assetCustomAttributes":[{"key":"assetGroup","value":"Group1"},{"key":"assetCCVGrp","value":"Group1"}],
"assetConnectedLinks":[]}}
2020-06-24 14:40:13,767 DEBUG [Grizzly(2)][] cisco.profiler.infrastructure.probemgr.INDSubscriber -::::- 
sending endpoint to forwarder{"assetId":"ce01ade2-eb6f-53c8-a646-9661b10c976e","assetName":"Cisco a0:3a:59","assetIpAddress":"",
"assetMacAddress":"00:f2:8b:a0:3a:59","assetVendor":"Cisco Systems, Inc","assetProductId":"","assetSerialNumber":"",
"assetDeviceType":"","assetSwRevision":"","assetHwRevision":"","assetProtocol":"",
"assetCustomAttributes":[{"key":"assetGroup","value":"Group1"},{"key":"assetCCVGrp","value":"Group1"}],"assetConnectedLinks":[]}
2020-06-24 14:40:13,768 INFO [Grizzly(2)][] cisco.profiler.infrastructure.probemgr.Forwarder -::::- 
Forwarder Mac 00:F2:8B:A0:3A:59 MessageCode null epSource pxGrid Probe
2020-06-24 14:40:13,768 DEBUG [forwarder-9][] cisco.profiler.infrastructure.probemgr.ForwarderHelper -:
00:F2:8B:A0:3A:59:87026690-b628-11ea-bdb7-82edacd9a457:ProfilerCollection:- sequencing Radius message for mac = 00:F2:8B:A0:3A:59
2020-06-24 14:40:13,768 INFO [forwarder-9][] cisco.profiler.infrastructure.probemgr.Forwarder -:
00:F2:8B:A0:3A:59:9d077480-b628-11ea-bdb7-82edacd9a457:ProfilerCollection:- 
Processing endpoint:00:F2:8B:A0:3A:59 MessageCode null epSource pxGrid Probe
2020-06-24 14:40:13,768 DEBUG [forwarder-9][] com.cisco.profiler.im.EndPoint -:
00:F2:8B:A0:3A:59:9d077480-b628-11ea-bdb7-82edacd9a457:ProfilerCollection:- 
filtered custom attributes are:{assetGroup=Group1, assetCCVGrp=Group1}
2020-06-24 14:40:13,768 DEBUG [forwarder-9][] cisco.profiler.infrastructure.probemgr.Forwarder -:
00:F2:8B:A0:3A:59:9d077480-b628-11ea-bdb7-82edacd9a457:ProfilerCollection:- Radius Filtering:00:F2:8B:A0:3A:59
2020-06-24 14:40:13,768 DEBUG [forwarder-9][] cisco.profiler.infrastructure.probemgr.Forwarder -:
00:F2:8B:A0:3A:59:9d077480-b628-11ea-bdb7-82edacd9a457:ProfilerCollection:- Endpoint Attributes:EndPoint[id=<null>,name=<null>]
MAC: 00:F2:8B:A0:3A:59
Attribute:2309ae60-693d-11ea-9cbe-02251d8f7c49 value:Group1
Attribute:BYODRegistration value:Unknown
Attribute:DeviceRegistrationStatus value:NotRegistered
Attribute:EndPointProfilerServer value:ISE27-2ek.example.com
Attribute:EndPointSource value:pxGrid Probe
Attribute:MACAddress value:00:F2:8B:A0:3A:59
Attribute:NmapSubnetScanID value:0
Attribute:OUI value:Cisco Systems, Inc
Attribute:PolicyVersion value:0
Attribute:PortalUser value:
Attribute:PostureApplicable value:Yes
Attribute:assetDeviceType value:
Attribute:assetGroup value:Group1
Attribute:assetHwRevision value:
Attribute:assetId value:ce01ade2-eb6f-53c8-a646-9661b10c976e
Attribute:assetIpAddress value:
Attribute:assetMacAddress value:00:f2:8b:a0:3a:59
Attribute:assetName value:Cisco a0:3a:59
Attribute:assetProductId value:
Attribute:assetProtocol value:
Attribute:assetSerialNumber value:
Attribute:assetSwRevision value:
Attribute:assetVendor value:Cisco Systems, Inc
Attribute:SkipProfiling value:false

7. PSN con la sonda pxGrid habilitada vuelve a asignar perfiles al terminal cuando se compara una nueva política (profiler.log).

2020-06-24 14:40:13,773 INFO [forwarder-9][] cisco.profiler.infrastructure.profiling.ProfilerManager -:
00:F2:8B:A0:3A:59:9d077480-b628-11ea-bdb7-82edacd9a457:Profiling:- Classify Mac 00:F2:8B:A0:3A:59 MessageCode null epSource pxGrid Probe
2020-06-24 14:40:13,777 DEBUG [forwarder-9][] cisco.profiler.infrastructure.profiling.ProfilerManager -:
00:F2:8B:A0:3A:59:9d077480-b628-11ea-bdb7-82edacd9a457:Profiling:- Policy Cisco-Device matched 00:F2:8B:A0:3A:59 (certainty 10)
2020-06-24 14:40:13,777 DEBUG [forwarder-9][] cisco.profiler.infrastructure.profiling.ProfilerManager -:
00:F2:8B:A0:3A:59:9d077480-b628-11ea-bdb7-82edacd9a457:Profiling:- Policy ekorneyc_ASSET_Group1 matched 00:F2:8B:A0:3A:59 (certainty 20)
2020-06-24 14:40:13,778 DEBUG [forwarder-9][] cisco.profiler.infrastructure.profiling.ProfilerManager -:
00:F2:8B:A0:3A:59:9d077480-b628-11ea-bdb7-82edacd9a457:Profiling:- After analyzing policy hierarchy: Endpoint: 
00:F2:8B:A0:3A:59 EndpointPolicy:ekorneyc_ASSET_Group1 for:20 ExceptionRuleMatched:false
2020-06-24 14:40:13,778 DEBUG [forwarder-9][] cisco.profiler.infrastructure.profiling.ProfilerManager -:
00:F2:8B:A0:3A:59:9d077480-b628-11ea-bdb7-82edacd9a457:Profiling:- Endpoint 00:F2:8B:A0:3A:59 Matched Policy Changed.
2020-06-24 14:40:13,778 DEBUG [forwarder-9][] cisco.profiler.infrastructure.profiling.ProfilerManager -:
00:F2:8B:A0:3A:59:9d077480-b628-11ea-bdb7-82edacd9a457:Profiling:- Endpoint 00:F2:8B:A0:3A:59 IdentityGroup Changed.
2020-06-24 14:40:13,778 DEBUG [forwarder-9][] cisco.profiler.infrastructure.profiling.ProfilerManager -:
00:F2:8B:A0:3A:59:9d077480-b628-11ea-bdb7-82edacd9a457:Profiling:- Setting identity group ID on endpoint 
00:F2:8B:A0:3A:59 - 91b0fd10-a181-11ea-a1a3-fe7d097d8c61
2020-06-24 14:40:13,778 DEBUG [forwarder-9][] cisco.profiler.infrastructure.profiling.ProfilerManager -:
00:F2:8B:A0:3A:59:9d077480-b628-11ea-bdb7-82edacd9a457:Profiling:- Calling end point cache with profiled end point 
00:F2:8B:A0:3A:59, policy ekorneyc_ASSET_Group1, matched policy ekorneyc_ASSET_Group1
2020-06-24 14:40:13,778 DEBUG [forwarder-9][] cisco.profiler.infrastructure.profiling.ProfilerManager -:
00:F2:8B:A0:3A:59:9d077480-b628-11ea-bdb7-82edacd9a457:Profiling:- Sending event to persist end point 
00:F2:8B:A0:3A:59, and ep message code = null
2020-06-24 14:40:13,778 DEBUG [forwarder-9][] cisco.profiler.infrastructure.profiling.ProfilerManager -:
00:F2:8B:A0:3A:59:9d077480-b628-11ea-bdb7-82edacd9a457:Profiling:- Endpoint 00:F2:8B:A0:3A:59 
IdentityGroup / Logical Profile Changed. Issuing a Conditional CoA

Configuraciones 

Nota: Los pasos 1 a 4 son obligatorios aunque sólo desee tener visibilidad de assetGroup y en Context Visibility.

1. Habilitar sonda pxGrid en una de las redes PSN

Vaya a Administration > System > Deployment, seleccione el nodo ISE con PSN Persona. Cambie a la pestaña Configuración de perfiles. Asegúrese de que la sonda pxGrid esté habilitada.

2. Configurar atributos personalizados de terminal en ISE

Vaya a Administration > Identity Management > Settings > Endpoint Custom Attributes. Configure los atributos personalizados (assetGroup) de acuerdo con esta imagen. CCV 3.1.0 sólo admite el atributo assetGroup personalizado.

3. Configurar la política del generador de perfiles mediante atributos personalizados

Vaya a Centros de trabajo > Generador de perfiles > Políticas de perfiles. Haga clic en Agregar. Configure la política del generador de perfiles de forma similar a esta imagen. La expresión de condición utilizada en esta política es CUSTOMATTRIBUTE:assetGroup EQUALS Group1.

4. Habilitar atributos personalizados para la aplicación de perfiles

Vaya a Centros de trabajo > Generador de perfiles > Políticas de perfiles. Haga clic en Agregar. Configure la política del generador de perfiles de forma similar a esta imagen. Asegúrese de que Habilitar atributo personalizado para la aplicación de perfiles esté habilitado.

5. Configuración de la aprobación automática para clientes pxGrid

Vaya a Administration > pxGrid Services > Settings. Seleccione Aprobar automáticamente nuevas cuentas basadas en certificados y haga clic en Guardar. Este paso garantiza que no tendrá que aprobar CCV una vez que se haya realizado la integración.

6. Exportar certificado CCV

Vaya a Admin > pxGrid. Haga clic en DESCARGAR CERTIFICADO. Este certificado se utiliza durante el registro de pxGrid, por lo que ISE debe confiar en él.

7. Cargar certificado de identidad de CCV en almacén de confianza de ISE

Vaya a Administración > Certificados > Administración de certificados > Certificados de confianza. Haga clic en Importar. Haga clic en Examinar y seleccione el certificado de CCV en el Paso 5. Haga clic en Submit (Enviar).

8. Generar certificado para CCV

Durante la integración y las actualizaciones de pxGrid, CCV necesita el certificado de cliente. Debe ser emitido por la CA interna de ISE, usando PxGrid_Certificate_Template.

Vaya a Administration > pxGrid Services > Certificates. Rellene los campos según esta imagen. El campo Nombre común (CN) es obligatorio, ya que el objetivo de ISE CA es emitir un certificado de identidad. Debe introducir el nombre de host de CCV, el valor del campo CN es crítico. Para verificar el nombre de host de CCV, ejecute el comando hostname. Seleccione PKCS12 como Formato de descarga de certificados.

root@center:~# hostname
center
root@center:~#

9. Descargar cadena de certificado en formato PKCS12

Cuando instala el certificado en formato PKCS12, junto con el certificado de identidad de CCV, la cadena de CA interna ISE se instala en CCV para asegurarse de que CCV confía en ISE cuando se inicia la comunicación pxGrid desde ISE, por ejemplo, los mensajes de keepalive de pxGrid.

10. Configurar los detalles de integración de ISE en CCV

Vaya a Admin > pxGrid. Configure Node Name, este nombre se mostrará en ISE como Client Name at Administration > pxGrid Services > Web Clients. Configure Hostname y IP Address del Nodo PxGrid de ISE. Asegúrese de que CCV pueda resolver el FQDN de ISE.

11. Cargar cadena de certificados en CCV e integración de lanzamiento

Vaya a Admin > pxGrid. Haga clic en Cambiar certificado. Seleccione el certificado emitido por ISE CA de los pasos 8-9. Introduzca la contraseña del paso 8. y haga clic en Aceptar.

Haga clic en Update, que activa la integración real de CCV e ISE.

Verificación

Use esta sección para confirmar que su configuración funciona correctamente.

Verificación de la integración de CCV

Una vez finalizada la integración, puede confirmar que es exitosa navegando a Admin > pxGrid. Debería ver El mensaje de conexión está activa en ISE Server.

Verificación de la integración de ISE

Vaya a Administration > pxGrid Services > Web Clients. Confirme que el estado de CCV Client (cv-jens) esté ACTIVADO.

Nota: Se espera ver el estado del cliente pxGrid de CCV como Offline en el menú Todos los clientes, ya que muestra solamente el estado de pxGrid v1.

Nota: Debido a CSCvt78208 no verá de inmediato a CCV que tenga /topic/com.cisco.ise.endpoint.asset, se mostrará solamente en la primera publicación.

Verificar el cambio de grupo de CCV

Vaya a Explorar > Todos los datos > Lista de componentes. Haga clic en uno de los componentes y Agréguelo al grupo.

Verifique que /topic/com.cisco.ise.endpoint.asset ahora esté listado como Publications contra CCV.

Confirme que el grupo 1 asignado a través de CCV se refleje en ISE y que la política de definición de perfiles haya entrado en vigor navegando hasta Visibilidad de contexto > Terminales. Seleccione el terminal actualizado en el paso anterior. Cambie a la ficha Attributes (Atributos). La sección atributos personalizados debe reflejar el grupo recientemente configurado.

La sección Otros atributos muestra todos los demás atributos de activos recibidos de CCV.

Troubleshoot

En esta sección encontrará información que puede utilizar para solucionar problemas de configuración.

Habilitar depuraciones en ISE

Para habilitar las depuraciones en ISE, navegue hasta Administration > System > Logging > Debug Log Configuration. Establezca los niveles de registro en los siguientes:

Persona	Nombre del componente	Nivel de registro	Archivo a comprobar
PAN (opcional)	generador de perfiles	DEPURAR	profiler.log
PSN con sonda pxGrid habilitada	generador de perfiles	DEPURAR	profiler.log
PxGrid	pxgrid	TRACE	pxgrid-server.log

Habilitar depuración en CCV

Para habilitar las depuraciones en CCV:

• Cree un archivo /data/etc/sbs/pxgrid-agent.conf con el comando /data/etc/sbs/pxgrid-agent.conf
• Pegue este contenido en el archivo pxgrid-agent.conf con el editor vi con el comando vi /data/etc/sbs/pxgrid-agent.conf

# /data/etc/sbs/pxgrid-agent.conf
base:
  loglevel: debug

• Reinicie pxgrid-agent ejecutando el comando systemctl restart pxgrid-agent
• Ver registros con el comando journalctl -u pxgrid-agent

La descarga masiva falla

CCV publica la URL de descarga masiva a ISE durante la integración. ISE PSN con la sonda pxGrid activada realiza la descarga masiva con el uso de esta URL. Asegúrese de lo siguiente:

• El nombre de host en la URL se puede resolver correctamente desde la perspectiva de ISE
• Se permite la comunicación de PSN en el puerto 8910 a CCV

profiler.log en PSN con la sonda pxGrid habilitada:

INFO [ProfilerINDSubscriberPoller-58-thread-1][] cisco.profiler.infrastructure.probemgr.INDSubscriber -::::- New services are: 
[Service [name=com.cisco.endpoint.asset, nodeName=cv-jens4, properties={assetTopic=/topic/com.cisco.endpoint.asset, 
restBaseUrl=https://Center:8910/pxgrid/ind/asset/, wsPubsubService=com.cisco.ise.pubsub}]]

La descarga masiva puede fallar debido a CSCvt75422, debería ver este error en profiler.log en ISE para confirmarlo. El defecto se corrige en CCV 3.1.0.

2020-04-09 10:47:22,832 ERROR [ProfilerINDSubscriberBulkRequestPool-212-thread-1][] cisco.profiler.infrastructure.probemgr.INDSubscriber 
-::::- ProfilerError while sending bulkrequest to cv-jens4:This is not a JSON Object.
java.lang.IllegalStateException: This is not a JSON Object.
at com.google.gson.JsonElement.getAsJsonObject(JsonElement.java:83)
at com.cisco.profiler.infrastructure.probemgr.INDSubscriber.parseJsonBulkResponse(INDSubscriber.java:161)
at com.cisco.profiler.infrastructure.probemgr.INDSubscriber$BulkRequestWorkerThread.run(INDSubscriber.java:532)
at java.util.concurrent.ThreadPoolExecutor.runWorker(ThreadPoolExecutor.java:1149)
at java.util.concurrent.ThreadPoolExecutor$Worker.run(ThreadPoolExecutor.java:624)
at java.lang.Thread.run(Thread.java:748)

No todos los terminales se crean en ISE

Algunos terminales de CCV pueden tener demasiados atributos adjuntos, por lo que la base de datos de ISE no podrá gestionarla. Se puede confirmar si ve estos errores en profiler.log en ISE.

2020-05-29 00:01:25,228 ERROR [admin-http-pool1][] com.cisco.profiler.api.EDFEndPointHandler -::::- 
Failed to create endpoint 00:06:F6:2A:C4:2B ORA-12899: 
value too large for column "CEPM"."EDF_EP_MASTER"."EDF_ENDPOINTIP" (actual:660, maximum: 100)
2020-05-29 00:01:25,229 ERROR [admin-http-pool1][] com.cisco.profiler.api.EDFEndPointHandler -::::- 
Unable to create the endpoint.:ORA-12899: 
value too large for column "CEPM"."EDF_EP_MASTER"."EDF_ENDPOINTIP" (actual: 660, maximum: 100)
com.cisco.epm.edf2.exceptions.EDF2SQLException: ORA-12899: 
value too large for column "CEPM"."EDF_EP_MASTER"."EDF_ENDPOINTIP" (actual: 660, maximum: 100)

AssetGroup no está disponible en ISE

Si AssetGroup no está disponible en ISE, lo más probable es que la política de generación de perfiles no esté configurada utilizando Atributos personalizados (consulte los pasos 2-4). en la parte Configuraciones del documento). Incluso para la visibilidad de contexto, sólo para mostrar atributos de grupo, políticas de definición de perfiles y otras configuraciones de los pasos 2 a 4 son obligatorios.

Las actualizaciones de grupos de terminales no se reflejan en ISE

Debido a CSCvu80175, CCV no publica actualizaciones de terminales en ISE hasta que CCV se reinicie inmediatamente después de la integración. Puede reiniciar CCV una vez que la integración se realice como solución alternativa.

La eliminación del grupo de CCV no lo está eliminando de ISE

Este problema se ve debido al defecto conocido en CCV CSCvu47880. La actualización pxGrid enviada durante la eliminación del grupo de CCV con un formato diferente del esperado, por lo que el grupo no se elimina.

CCV se descarta de clientes web

Este problema se ve debido al defecto conocido en ISE CSCvu47880 donde los clientes pasan al estado OFF seguido de la eliminación completa de los clientes web. El problema se resuelve en el parche 2.6 7 y el parche 2.7 2 de ISE.

Puede confirmarlo si ve estos errores en pxgrid-server.log en ISE:

2020-06-26 09:42:28,772 DEBUG [Pxgrid-SessionManager-LookupAccountsTask][] cpm.pxgridwebapp.ws.pubsub.StompPubsubEndpoint -:::::- 
onClose: session=[14f,CLOSED], sessionInfo=WSSessionInfo [id=336, nodeName=cv-jens, addr=10.48.43.241, sessionID=14f, status=OFF, 
creationTime=2020-06-26 08:19:28.726, closeTime=2020-06-26 09:42:28.772, reason=VIOLATED_POLICY:Did not receive a pong: too slow ..., 
subscriptions=[], publications=[/topic/com.cisco.endpoint.asset]]

Integración de ISE con el caso práctico de CCV TrustSec

Esta configuración muestra cómo la integración de ISE con CCV puede beneficiar la seguridad de extremo a extremo cuando TrustSec está en funcionamiento. Este es sólo uno de los ejemplos de cómo se puede utilizar la integración, una vez que se ha hecho.

Nota: La explicación de la configuración del switch TrustSec está fuera del alcance de este artículo, sin embargo, se puede encontrar en el Apéndice.

Topología y flujo

Configurar

1. Configuración de etiquetas de grupo escalables en ISE

Para lograr el caso de uso mencionado anteriormente, IOT_Group1_Asset y IOT_Group2_Asset de la etiqueta TrustSec se configuran manualmente para diferenciar los recursos de CCV de Group1 de Group2 respectivamente. Vaya a Centros de trabajo > TrustSec > Componentes > Grupos de seguridad. Haga clic en Agregar. Nombre las SGT como se muestra en la imagen.

2. Configuración de la política de perfiles con atributos personalizados para el grupo 2

Nota: La configuración de perfiles para el grupo 1 se realizó en el paso 3. en la primera parte del documento.

Vaya a Centros de trabajo > Generador de perfiles > Políticas de perfiles. Haga clic en Agregar. Configure la política del generador de perfiles de forma similar a esta imagen. La expresión de condición utilizada en esta política es CUSTOMATTRIBUTE:assetGroup EQUALS Group2.

3. Configuración de Políticas de Autorización para Asignar SGTs Basadas en Grupos de Identidad de Extremo en ISE

Navegue hasta Política > Conjuntos de Políticas. Seleccione Policy Set y configure Authorization Policies según esta imagen. Tenga en cuenta que, como resultado, la SGT se configura en el Paso 1. están asignados.

Nombre de regla	Condiciones	Perfiles	Grupos de seguridad
Política del grupo 1 de CCV	Grupos de identidad de terminales con el nombre de · de grupo de identidad IGUALES:Perfil:ekorneyc_ASSET_Group1	PermitAccess	IOT_Group1_Asset
Política del grupo 2 de CCV	Grupos de identidad de terminales con el nombre de · de grupo de identidad IGUALES:perfiles:ekorneyc_ASSET_Group2	PermitAccess	IOT_Group2_Asset

Verificación

Use esta sección para confirmar que su configuración funciona correctamente.

1. Autenticación de terminales basada en el grupo 1 de CCV

En Switch, puede ver que los datos del entorno incluyen 16-54:IOT_Group1_Asset de SGT y 17-54:IOT_Group2_Asset.

KJK_IE4000_10#show cts environment-data
CTS Environment Data
====================
Current state = COMPLETE
Last status = Successful
Local Device SGT:
  SGT tag = 0-00:Unknown
Server List Info:
Installed list: CTSServerList1-0001, 1 server(s):
 *Server: 10.48.17.86, port 1812, A-ID 11A2F46141F0DC8F082EFBC4C49D217E
          Status = ALIVE
          auto-test = TRUE, keywrap-enable = FALSE, idle-time = 60 mins, deadtime = 20 secs
Multicast Group SGT Table:
Security Group Name Table:
    0-54:Unknown
    2-54:TrustSec_Devices
    3-54:Network_Services
    4-54:Employees
    5-54:Contractors
    6-54:Guests
    7-54:Production_Users
    8-54:Developers
    9-54:Auditors
   10-54:Point_of_Sale_Systems
   11-54:Production_Servers
   12-54:Development_Servers
   13-54:Test_Servers
   14-54:PCI_Servers
   15-54:BYOD
   16-54:IOT_Group1_Asset
   17-54:IOT_Group2_Asset
  255-54:Quarantined_Systems
Environment Data Lifetime = 86400 secs
Last update time = 16:39:44 UTC Wed Jun 13 2035
Env-data expires in 0:23:59:53 (dd:hr:mm:sec)
Env-data refreshes in 0:23:59:53 (dd:hr:mm:sec)
Cache data applied = NONE
State Machine is running
KJK_IE4000_10#

Los terminales se autentican y, como resultado, la política del grupo 1 de CCV se coteja, se asigna SGT IOT_Group1_Asset.

El switch show authentication sessions interface fa1/7 detail confirma que los datos de Access-Accept se aplicaron correctamente.

KJK_IE4000_10#show authentication sessions interface fa1/7 detail
             Interface: FastEthernet1/7
           MAC Address: 00f2.8ba0.3a59
          IPv6 Address: Unknown
          IPv4 Address: 172.16.0.100
             User-Name: 00-F2-8B-A0-3A-59
                Status: Authorized
                Domain: DATA
        Oper host mode: single-host
      Oper control dir: both
       Session timeout: N/A
       Restart timeout: N/A
 Periodic Acct timeout: N/A
        Session Uptime: 128s
     Common Session ID: 0A302BFD0000001B02BE1E9C
       Acct Session ID: 0x00000010
                Handle: 0x58000003
        Current Policy: POLICY_Fa1/7

Local Policies:
      Service Template: DEFAULT_LINKSEC_POLICY_SHOULD_SECURE (priority 150)
       Security Policy: Should Secure
       Security Status: Link Unsecure

Server Policies:
             SGT Value: 16

Method status list:
               Method State

                  mab Authc Success

KJK_IE4000_10#

2. El administrador cambia el grupo

Vaya a Búsqueda. Pegue la dirección Mac del terminal, haga clic en él y Adición al grupo 2.

Nota: En CCV, no puede cambiar el grupo de 1 a 2 de una vez. Por lo tanto, primero debe quitar el punto final del grupo y asignar el grupo 2 siguiente.

3-6. Efecto del cambio de grupo de terminales en CCV

Pasos 4, 5. y 6. se reflejan en esta imagen. Gracias a la creación de perfiles, el terminal cambió el grupo de identidad a ekorneyc_ASSET_Group2 que se muestra en el paso 4.2, lo que hizo que ISE enviara CoA al switch (paso 5) y finalmente la reautenticación del terminal (paso 6).

El show authentication sessions interface fa1/7 detail confirma que la nueva SGT está asignada.

KJK_IE4000_10#show authentication sessions interface fa1/7 detail
             Interface: FastEthernet1/7
           MAC Address: 00f2.8ba0.3a59
          IPv6 Address: Unknown
          IPv4 Address: 172.16.0.100
             User-Name: 00-F2-8B-A0-3A-59
                Status: Authorized
                Domain: DATA
        Oper host mode: single-host
      Oper control dir: both
       Session timeout: N/A
       Restart timeout: N/A
 Periodic Acct timeout: N/A
        Session Uptime: 664s
     Common Session ID: 0A302BFD0000001B02BE1E9C
       Acct Session ID: 0x00000010
                Handle: 0x58000003
        Current Policy: POLICY_Fa1/7

Local Policies:
      Service Template: DEFAULT_LINKSEC_POLICY_SHOULD_SECURE (priority 150)
       Security Policy: Should Secure
       Security Status: Link Unsecure

Server Policies:
             SGT Value: 17

Method status list:
               Method State

                  mab Authc Success

KJK_IE4000_10#

Appendix

Configuración relacionada con Switch TrustSec

Nota: Las credenciales de Cts no forman parte de running-config y deben configurarse con el uso del comando cts credentials id <id> password <password> en el modo de exec de privilegios.

aaa new-model
!
aaa group server radius ISE
server name ISE-1
!
aaa authentication dot1x default group ISE
aaa authorization network default group ISE
aaa authorization network ISE group ISE
aaa accounting dot1x default start-stop group ISE
!
dot1x system-auth-control
!
aaa server radius dynamic-author
client 10.48.17.86
server-key cisco
!
aaa session-id common
!
cts authorization list ISE
cts role-based enforcement
!
interface FastEthernet1/7
description --- ekorneyc TEST machine ---
switchport access vlan 10
switchport mode access
authentication port-control auto
mab
!
radius server ISE-1
address ipv4 10.48.17.86 auth-port 1645 acct-port 1646
pac key cisco
!
end

KJK_IE4000_10#