Instalar ISE en Azure Cloud Services

Introducción

Este documento describe cómo instalar la instancia de Cisco ISE IOS mediante la máquina virtual de Azure. Cisco ISE IOS está disponible en Azure Cloud Services.

Prerequisites

• Suscripciones y grupos de recursos.

Vaya a Todos los servicios > Suscripciones. Asegúrese de que la cuenta de Azure con la suscripción activa que tiene un contrato de empresa con Microsoft esté presente. Uso de los comandos de ejecución CLI del módulo Microsoft PowerShell Azure para reservar espacio: (Consulte <Cómo instalar Azure PowerShell > para instalar el shell de energía y los paquetes relevantes).

Complete los requisitos previos enSolicitar cuota de host para la solución VMware de Azure para ver más detalles.

Cree el grupo de recursos después de la suscripción derecha, navegando hasta Todos los servicios > Grupos de recursos. Haga clic en Add (Agregar). Introduzca el nombre del grupo de recursos.

• Red virtual y grupos de seguridad.

La subred que requiere disponibilidad de Internet debe tener la tabla de rutas configurada con el salto siguiente como Internet. Vea ejemplos de subredes públicas y privadas. PAN con IP pública Para que la actualización de fuentes tanto online como offline funcione, PAN con IP privada necesita depender de las actualizaciones de fuentes offline.

• Cree un par de claves SSH.

   a. Utilice la barra de búsqueda de la página principal del Portal web de Azure y busque claves SSH.

  b. En la ventana siguiente, haga clic en Crear.

  c. En la siguiente ventana, seleccione el grupo de recursos y el nombre de clave. A continuación, haga clic en Revisar + Crear.

  d. En la siguiente ventana, haga clic en Crear y descargar clave privada.

Componente utilizado

El contenido de este documento se basa en estos servicios de software y de nube.

• Cisco ISE versión 3.2.
• Microsoft Azure Cloud Services

La información de este documento se creó en el dispositivo a partir de un entorno de laboratorio específico. Todos los dispositivos que se utilizan en este documento se iniciaron con una configuración sin definir (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Tamaños de VM de Azure admitidos por Cisco ISE

• Los tamaños de las máquinas virtuales de Azure de la serie Fsv2 están optimizados para el cálculo y son más adecuados para su uso como PSN para tareas y aplicaciones intensivas en cálculo.
• Las series Dsv4 son tamaños de máquina virtual de Azure de uso general que se adaptan mejor para su uso como nodos PAN o MnT o ambos y están diseñadas para tareas de procesamiento de datos y operaciones de base de datos.

Si utiliza una instancia de uso general como PSN, los números de rendimiento son inferiores al rendimiento de una instancia optimizada para el cálculo como PSN. El tamaño de la máquina virtual Standard_D8s_v4 solo se debe utilizar como un PSN extra pequeño.

Limitaciones de Cisco ISE en Microsoft Azure Cloud Services

• Si crea Cisco ISE con la máquina virtual de Azure, Microsoft Azure asigna direcciones IP privadas a las VM a través de servidores DHCP. Antes de crear una implementación de Cisco ISE en Microsoft Azure, debe actualizar las entradas de DNS directo e inverso con las direcciones IP asignadas por Microsoft Azure.

  Como alternativa, después de instalar Cisco ISE, asigne una dirección IP estática a su VM actualizando el objeto Network Interface en Microsoft Azure:

  1. Detenga la máquina virtual.

  2. En el área Configuración de la dirección IP privada de la máquina virtual, en el área Asignación, haga clic en Estático.

  3. Reinicie la máquina virtual.

  4. En la consola serie de Cisco ISE, asigne la dirección IP como Gi0.

  5. Reinicie el servidor de aplicaciones de Cisco ISE.

• La NIC dual sólo es compatible con dos NIC: Gigabit Ethernet 0 y Gigabit Ethernet 1. Para configurar una NIC secundaria en su instancia de Cisco ISE, primero debe crear un objeto de interfaz de red en Azure, apagar su instancia de Cisco ISE y, a continuación, adjuntar este objeto de interfaz de red a Cisco ISE. Después de instalar e iniciar Cisco ISE en Azure, utilice la CLI de Cisco ISE para configurar manualmente la dirección IP del objeto de interfaz de red como la NIC secundaria.

• El flujo de trabajo de actualización de Cisco ISE no está disponible en Cisco ISE en Microsoft Azure. Sólo se admiten instalaciones nuevas. Sin embargo, puede realizar copias de seguridad y restaurar los datos de configuración.
• La nube pública solo admite funciones de capa 3. Los nodos de Cisco ISE en Microsoft Azure no son compatibles con las funciones de Cisco ISE que dependen de las capacidades de capa 2. Por ejemplo, el trabajo con sondas de perfiles DHCP SPAN y funciones de protocolo CDP a través de la CLI de Cisco ISE son funciones que actualmente no se soportan.
• Cuando lleve a cabo la función de restauración y copia de seguridad de los datos de configuración, una vez completada la operación de copia de seguridad, reinicie primero Cisco ISE a través de la CLI. A continuación, inicie la operación de restauración desde la GUI de Cisco ISE.
• Azure no admite el acceso SSH a Cisco ISE CLI mediante autenticación basada en contraseña. Solo puede acceder a la CLI de Cisco ISE a través de un par de claves, que se debe almacenar de forma segura. Si utiliza un archivo de clave privada (o PEM) y pierde el archivo, no podrá acceder a la CLI de Cisco ISE.

   No se admite ninguna integración que utilice un método de autenticación basado en contraseña para acceder a la CLI de Cisco ISE; por ejemplo, Cisco DNA Center versión 2.1.2 y anteriores.

• Las implementaciones de Cisco ISE IOS en Azure normalmente aprovechan soluciones VPN como las redes privadas virtuales multipunto dinámicas (DMVPN) y las redes de área extensa definidas por software (SD-WAN), donde las sobrecargas del túnel IPSec pueden causar problemas de MTU y fragmentación. En tales escenarios, Cisco ISE IOS no recibiría paquetes RADIUS completos y se produce un error de autenticación sin activar un registro de errores de error.

  Una posible solución alternativa es buscar el soporte técnico de Microsoft para explorar cualquier solución en Azure que pueda permitir que los fragmentos desordenados pasen al destino en lugar de ser descartados.

• El usuario administrador de CLI debe ser "iseadmin".

Configurar

Ejemplo de implementación de ISE conectada a Azure Cloud

Configuraciones

• Paso (1): Vaya al portal de Azure e inicie sesión en su cuenta de Microsoft Azure.

• Paso (2): Utilice el campo de búsqueda de la parte superior de la ventana para buscar Marketplace.

• Paso 3: Utilice el campo de búsqueda Buscar en Marketplace para buscar Cisco Identity Services Engine (ISE).

• Paso (4): Haga clic en Máquina virtual.

• Paso (5): En la nueva ventana que se muestra, haga clic en Create. 

• Paso (6): en la pestaña Basics: 

    a. En el área Detalles del proyecto, elija los valores necesarios de las listas desplegables Suscripción y Grupo de recursos. 

    b. En el área Detalles de la instancia, introduzca un valor en el campo Nombre de la máquina virtual. 

    c. En la lista desplegable Image, elija la imagen de Cisco ISE. 

    d. En la lista desplegable Size, elija el tamaño de instancia con el que desea instalar Cisco ISE. Elija una instancia compatible con Cisco ISE, como se muestra en la tabla Nube de Azure

        Instancias compatibles con Cisco ISE, en la sección Cisco ISE en Azure Cloud. 

    e. En el área Administrator account > Authentication type, haga clic en el botón de opción SSH Public Key.

    f. En el campo Username, ingrese iseadmin. 

    g. En la lista desplegable SSH public key source, elija Use existing key storage in Azure.

    h. En la lista desplegable Claves almacenadas, elija el par de claves que ha creado como requisito previo para esta tarea.

    j. En el área Reglas de puerto entrante, haga clic en el botón de opción Permitir puertos seleccionados. 

    k. En el área Licencias, en la lista desplegable Tipo de licencia, elija Otro. 

Crear una máquina virtual

• Paso (7): Haga clic en Next: Disks.

• Paso (8): en la pestaña Disks, conserve los valores predeterminados para los campos obligatorios y haga clic en Next: Networking.

• Paso 9: en el área Interfaz de red, en las listas desplegables Red virtual, Subred y Configurar grupo de seguridad de red, elija la red virtual y la subred que ha creado.

• Paso (10): Haga clic en Siguiente: Gestión. 

• Paso (11): en la pestaña Management, conserve los valores predeterminados para los campos obligatorios y haga clic en Next: Advanced.

• Paso (12): En el área Datos de usuario, marque la casilla de verificación Habilitar datos de usuario. 

    En el campo Datos del usuario, complete la información:

    hostname=<hostname of Cisco ISE> 

    primarynameserver=<dirección IPv4> 

    dnsdomain=<domain name> 

    ntpserver=<dirección IPv4 o FQDN del servidor NTP> 

    timezone=<timezone>

    password=<password> 

    ersapi=<yes/no>

    openapi=<yes/no>

    pxGrid=<yes/no>

    pxgrid_cloud=<yes/no>

Consulte las Pautas para las Configuraciones que Debe Enviar a Través del Campo de Datos de Usuario:

a. hostname: Introduzca un nombre de host que contenga sólo caracteres alfanuméricos y guiones (-). La longitud del nombre de host no debe superar los 19 caracteres y no puede contener caracteres de subrayado (_). 

b. primary name server (servidor de nombres principal): introduzca la dirección IP del servidor de nombres principal. Solo se admiten direcciones IPv4.

En este paso sólo puede agregar un servidor DNS. Puede agregar servidores DNS adicionales mediante la CLI de Cisco ISE después de la instalación.

c. dnsdomain: introduzca el FQDN del dominio DNS. La entrada puede contener caracteres ASCII, números, guiones (-) y puntos (.).

d. ntpserver: introduzca la dirección IPv4 o FQDN del servidor NTP que se debe utilizar para la sincronización.

En este paso sólo puede agregar un servidor NTP. Puede agregar servidores NTP adicionales mediante la CLI de Cisco ISE después de la instalación. Utilice un servidor NTP válido y accesible ya que es necesario para las operaciones de ISE.

e. zona horaria: Introduzca una zona horaria, por ejemplo, Etc/UTC. Recomendamos que establezca todos los nodos de Cisco ISE en la zona horaria de hora universal coordinada (UTC), especialmente si los nodos de Cisco ISE están instalados en una implementación distribuida. Este procedimiento garantiza que las marcas de tiempo de los informes y registros de los distintos nodos de la implementación estén siempre sincronizadas. 

f. password: configure una contraseña para el inicio de sesión basado en GUI en Cisco ISE. La contraseña que introduzca debe cumplir la política de contraseñas de Cisco ISE. La contraseña debe tener entre 6 y 25 caracteres e incluir al menos un número, una letra mayúscula y una letra minúscula. La contraseña no puede ser igual que el nombre de usuario o su inversa (iseadmin o nimdaesi), cisco o ocsic. Los caracteres especiales permitidos son @~*!,+=_-. Consulte la sección "User Password Policy" (Política de contraseñas de usuario) en el capítulo "Basic Setup" (Configuración básica) de la Guía del administrador de Cisco ISE para su versión. 

g. ersapi: Ingrese yes para habilitar ERS, o no para deshabilitar ERS.

h. openapi: Ingrese yes para habilitar OpenAPI, o no para no permitir OpenAPI. 

i. pxGrid: Introduzca yes para habilitar pxGrid o no para no permitir pxGrid. 

j. pxgrid_cloud: Introduzca yes para habilitar pxGrid Cloud o no para deshabilitar pxGrid Cloud. Para habilitar pxGrid Cloud, debe habilitar pxGrid. Si no permite pxGrid, pero activa pxGrid Cloud, los servicios de pxGrid Cloud no se habilitan al iniciar. 

Sección Datos de usuario

• Paso (13): Haga clic en Next: Tags. 

• Paso (14): Para crear pares nombre-valor que le permitan categorizar recursos y consolidar varios recursos y grupos de recursos, introduzca valores en los campos Nombre y Valor. 

• Paso (15): Haga clic en Next: Review + Create.

• Paso (16): Revise la información que ha proporcionado hasta el momento y haga clic en Crear.

  Se muestra la ventana Deployment is in progress. La instancia de Cisco ISE tarda unos 30 minutos en crearse y estar disponible para su uso. La instancia de Cisco ISE VM se muestra en el

   Virtual Ventana Máquinas (utilice el campo de búsqueda principal para encontrar la ventana). 

Pasos Siguientes

Debido a una configuración predeterminada de Microsoft Azure, la máquina virtual de Cisco ISE que ha creado está configurada con un tamaño de disco de solo 300 GB. Los nodos Cisco ISE suelen requerir más de 300 GB de tamaño de disco. Puede ver la alarma Inenough Virtual Memory cuando inicia por primera vez Cisco ISE desde Microsoft Azure.

Una vez finalizada la creación de la máquina virtual de Cisco ISE, inicie sesión en el portal de administración de Cisco ISE para comprobar que Cisco ISE está configurado. A continuación, en el portal de Microsoft Azure, lleve a cabo y complete los pasos de la ventana Máquinas virtuales para editar el tamaño del disco:

1. Detenga la instancia de Cisco ISE.

2. Haga clic en Disk en el panel izquierdo y haga clic en el disco que está utilizando con Cisco ISE. 

3. Haga clic en Tamaño + rendimiento en el panel izquierdo. 

4. En el campo Tamaño de disco personalizado, introduzca el tamaño de disco que desee, en GiB. 

Tareas posteriores a la instalación

Para obtener información sobre las tareas posteriores a la instalación que debe realizar después de crear correctamente una instancia de Cisco ISE, consulte el capítulo "Tareas posteriores a la instalación y de verificación de la instalación" de la Guía de instalación de Cisco ISE para su versión de Cisco ISE.

Recuperación y restablecimiento de contraseña en Azure Cloud

Complete las tareas que le ayudarán a restablecer o recuperar la contraseña de la máquina virtual de Cisco ISE. Elija las tareas que necesita y lleve a cabo los pasos detallados.

1. Restablecer la contraseña de la GUI de Cisco ISE a través de la consola serie

• Paso 1: inicie sesión en la nube de Azure y elija el grupo de recursos que contiene su máquina virtual de Cisco ISE.
• Paso 2: en la lista de recursos, haga clic en la instancia de Cisco ISE para la que desea restablecer la contraseña.
• Paso (3): En el menú de la izquierda, en la sección Soporte + Troubleshooting, haga clic en Serial console. 

• Paso (4): Si ve un mensaje de error aquí, tendría que habilitar el diagnóstico de arranque realizando y completando los pasos:

    a. En el menú del lado izquierdo, haga clic en Diagnóstico de inicio.

  b. Haga clic en Habilitar con cuenta de almacenamiento personalizada. A continuación, haga clic en Guardar.

• Paso (5): En el menú de la izquierda, en la sección Soporte + Troubleshooting, haga clic en Serial console. Azure Cloud Shell se muestra en una ventana nueva. Si la pantalla está en negro, pulse Intro para ver el mensaje de inicio de sesión.

• Paso (8): Inicie sesión en la consola serie. Para iniciar sesión en la consola serie, debe utilizar la contraseña original que se configuró en la instalación de la instancia.
• Paso (9): Utilice el comando application reset-passwd ise iseadmin para configurar una nueva contraseña de GUI para la cuenta iseadmin. 

2. Crear nuevo par de claves públicas para el acceso SSH

Mediante esta tarea, se agregan pares de claves adicionales a un repositorio. El par de claves existente que se creó en el momento de la configuración de la instancia de Cisco ISE no se sustituye por la nueva clave pública que cree.

• Paso (1): Crear una nueva clave pública en la nube de Azure.

Aparece una ventana emergente para seleccionar Download private key (Descargar clave privada) y crear un recurso que descarga la clave SSH como un archivo .pem.

• Paso (2): Para crear un nuevo repositorio en el que guardar la clave pública, consulte la documentación de Azure Repos. 

    Si ya dispone de un repositorio al que se puede acceder a través de la CLI, vaya directamente al paso 3.

• Paso (3): Para importar la nueva clave pública, utilice el comando crypto key import <public key filename> repository <repository name>.
• Paso 4: cuando finalice la importación, podrá iniciar sesión en Cisco ISE mediante SSH con la nueva clave pública.