Configurar o sensor de dispositivos para a criação de perfis do ISE

Introdução

Este documento descreve como configurar o sensor de dispositivos para que possa ser usado para fins de criação de perfil no ISE.

Pré-requisitos

Requisitos

A Cisco recomenda que você tenha conhecimento destes tópicos:

• protocolo Radius
• Cisco Discovery Protocol (CDP), Link Layer Discovery Protocol (LLDP) e Dynamic Host Configuration Protocol (DHCP)
• Cisco Identity Service Engine (ISE)
• Switch Cisco Catalyst 2960

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

• Patch 3 do Cisco ISE versão 1.3
• Switch Cisco Catalyst 2960s versão 15.2(2a)E1
• Telefone IP Cisco 8941 versão SCCP 9-3-4-17

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Informações de Apoio

Um sensor de dispositivos é um recurso dos dispositivos de acesso. Ele permite coletar informações sobre endpoints conectados. Na maioria das vezes, as informações coletadas pelo Sensor de Dispositivos podem vir desses protocolos:

• CDP
• LLDP
• DHCP

Uma vez coletadas, as informações podem ser encapsuladas em contabilidade radius e enviadas a um servidor de criação de perfil. Neste artigo, o ISE é usado como um servidor de criação de perfil.

Configurar

Etapa 1. Configuração AAA padrão

Para configurar a Autenticação, Autorização e Tarifação (AAA - Authentication, Authorization, and Accounting), consulte estas etapas:

1. Ative AAA usando aaa new-model e ative 802.1X globalmente no switch.

2. Configure o servidor Radius e ative a autorização dinâmica (Alteração de autorização - CoA).

3. Ative os protocolos CDP e LLDP.

4. Adicionar configuração de autenticação de porta de switch

!
aaa new-model
!
aaa authentication dot1x default group radius
aaa authorization network default group radius
aaa accounting update newinfo
aaa accounting dot1x default start-stop group radius
!
aaa server radius dynamic-author
 client 1.1.1.1 server-key xyz
!
dot1x system-auth-control
!
lldp run
cdp run
!
interface GigabitEthernet1/0/13
 description IP_Phone_8941_connected
 switchport mode access
 switchport voice vlan 101
 authentication event fail action next-method
 authentication host-mode multi-domain
 authentication order dot1x mab
 authentication priority dot1x mab
 authentication port-control auto
 mab
 dot1x pae authenticator
 dot1x timeout tx-period 2
 spanning-tree portfast
end
!
radius-server host 1.1.1.1 auth-port 1812 acct-port 1813 key xyz
!

Etapa 2. Configurar sensor de dispositivo

1. Determine quais atributos do CDP/LLDP são necessários para criar o perfil do dispositivo. No caso do Telefone IP 8941 da Cisco, você pode usar:

• atributo SystemDescription do LLDP
• atributo CDP CachePlatform

Para o nosso propósito, basta obter apenas um desses, uma vez que ambos fornecem um aumento de Fábrica Certainty de 70, e a Fábrica Certainty Mínima exigida para ser perfilada como Cisco-IP-Phone-8941 é 70:

2. Configure duas listas de filtros - uma para o CDP e outra para o LLDP. Indicam quais atributos devem ser incluídos nas mensagens de contabilização Radius. Este passo é opcional.

3. Crie duas especificações de filtro para CDP e LLDP. Na especificação do filtro, você pode indicar a lista de atributos que devem ser incluídos ou excluídos das mensagens de relatório. No exemplo, estes atributos estão incluídos:

• nome do dispositivo do CDP
• system-description do LLDP

Você pode configurar atributos adicionais a serem transmitidos via Radius para ISE, se necessário. Essa etapa também é opcional.

4. Adicione o comando device-sensor notify all-changes. Ele aciona atualizações sempre que os TLVs são adicionados, modificados ou removidos para a sessão atual.

5. Para realmente enviar as informações reunidas através da funcionalidade do Sensor de Dispositivos, você deve dizer explicitamente ao switch para que ele faça isso com o comando device-sensor accounting.

!
device-sensor filter-list cdp list cdp-list
 tlv name device-name
 tlv name platform-type
!
device-sensor filter-list lldp list lldp-list
 tlv name system-description
!
device-sensor filter-spec lldp include list lldp-list
device-sensor filter-spec cdp include list cdp-list
!
device-sensor accounting
device-sensor notify all-changes
!

Etapa 3. Configurar a criação de perfil no ISE

1. Adicione o switch como um dispositivo de rede em Administration > Network Resources > Network Devices. Use a chave de servidor radius do switch como um segredo compartilhado em Configurações de autenticação:

2. Ative a prova Radius no nó de criação de perfil no Administration > System > Deployment > ISE node > Profiling Configuration. Se todos os nós PSN precisarem ser usados para a criação de perfil, ative a sonda em todos eles:

3. Configure as regras de autenticação do ISE. No exemplo, as regras de autenticação padrão pré-configuradas no ISE são usadas:

4. Configure as Regras de Autorização do ISE. É usada a regra 'Telefones IP da Cisco com perfil', que é pré-configurada no ISE:

Verificar

Para verificar se a criação de perfil está funcionando corretamente, consulte Operations > Authentications no ISE:

Primeiro, o dispositivo foi autenticado usando MAB (18:49:00). Dez segundos depois (18:49:10), foi redefinido como Cisco-Device e, finalmente, após 42 segundos desde as primeiras autenticações (18:49:42), recebeu o perfil Cisco-IP-Phone-8941. Como resultado, o ISE retorna um perfil de autorização específico para telefones IP (Cisco_IP_Phones) e ACL para download que permite todo o tráfego (permit ip any). Observe que neste cenário o dispositivo desconhecido tem acesso básico à rede. Isso pode ser obtido adicionando um endereço Mac ao banco de dados de endpoint interno do ISE ou permitindo acesso de rede muito básico para dispositivos anteriormente desconhecidos.

IN Administration > Identity Management > Identities > Endpoints > tested endpoint você pode ver que tipos de atributos foram coletados pelo teste Radius e quais são seus valores:

Como você pode observar, o fator de certeza total calculado é 210 nesse cenário. Vem do fato de que o endpoint também correspondeu ao perfil do dispositivo Cisco (com um fator de certeza total de 30) e ao perfil do telefone IP da Cisco (com um fator de certeza total de 40). Como o profiler correspondeu a ambas as condições no perfil Cisco-IP-Phone-8941, o fator de certeza para esse perfil é 140 (70 para cada atributo de acordo com a política de criação de perfil). Resumindo: 30+40+70+70=210.

Troubleshooting

Etapa 1. Verificar as informações coletadas pelo CDP/LLDP

switch#sh cdp neighbors g1/0/13 detail
-------------------------
Device ID: SEP20BBC0DE06AE
Entry address(es):
Platform: Cisco IP Phone 8941 ,  Capabilities: Host Phone Two-port Mac Relay
Interface: GigabitEthernet1/0/13,  Port ID (outgoing port): Port 1
Holdtime : 178 sec
Second Port Status: Down

Version :
SCCP 9-3-4-17

advertisement version: 2
Duplex: full
Power drawn: 3.840 Watts
Power request id: 57010, Power management id: 3
Power request levels are:3840 0 0 0 0


Total cdp entries displayed : 1

switch#
switch#sh lldp neighbors g1/0/13 detail
------------------------------------------------
Chassis id: 0.0.0.0
Port id: 20BBC0DE06AE:P1
Port Description: SW Port
System Name: SEP20BBC0DE06AE.

System Description:
Cisco IP Phone 8941, V3, SCCP 9-3-4-17

Time remaining: 164 seconds
System Capabilities: B,T
Enabled Capabilities: B,T
Management Addresses - not advertised
Auto Negotiation - supported, enabled
Physical media capabilities:
    1000baseT(FD)
    100base-TX(FD)
    100base-TX(HD)
    10base-T(FD)
    10base-T(HD)
Media Attachment Unit type: 16
Vlan ID: - not advertised

MED Information:

    MED Codes:
          (NP) Network Policy, (LI) Location Identification
          (PS) Power Source Entity, (PD) Power Device
          (IN) Inventory

    H/W revision: 3
    F/W revision: 0.0.1.0
    S/W revision: SCCP 9-3-4-17
    Serial number: PUC17140FBO
    Manufacturer: Cisco Systems , Inc.
    Model: CP-8941
    Capabilities: NP, PD, IN
    Device type: Endpoint Class III
    Network Policy(Voice): VLAN 101, tagged, Layer-2 priority: 0, DSCP: 0
    Network Policy(Voice Signal): VLAN 101, tagged, Layer-2 priority: 3, DSCP: 24
    PD device, Power source: Unknown, Power Priority: Unknown, Wattage: 3.8
    Location - not advertised


Total entries displayed: 1

Se você não puder ver nenhum dado coletado, verifique isso:

• Verifique o estado da sessão de autenticação no switch (ele deve ser bem-sucedido):
  
  

piborowi#show authentication sessions int g1/0/13 details
            Interface:  GigabitEthernet1/0/13
          MAC Address:  20bb.c0de.06ae
         IPv6 Address:  Unknown
         IPv4 Address:  Unknown
            User-Name:  20-BB-C0-DE-06-AE
               Status:  Authorized
               Domain:  VOICE
       Oper host mode:  multi-domain
     Oper control dir:  both
      Session timeout:  N/A
    Common Session ID:  0AE51820000002040099C216
      Acct Session ID:  0x00000016
               Handle:  0xAC0001F6
       Current Policy:  POLICY_Gi1/0/13

Local Policies:
        Service Template: DEFAULT_LINKSEC_POLICY_SHOULD_SECURE (priority 150)

Server Policies:

Method status list:
       Method           State
       dot1x            Stopped

       mab              Authc Success

• Verifique se os protocolos CDP e LLDP estão ativados. Verifique se há algum comando não padrão relacionado a CDP/LLDP/e assim por diante e como eles podem afetar a recuperação de atributos a partir do endpoint
  

  switch#sh running-config all | in cdp run
  cdp run
  switch#sh running-config all | in lldp run
  lldp run

• Verifique no guia de configuração do seu endpoint se ele suporta CDP/LLDP/e assim por diante.

Etapa 2. Verifique o cache do sensor de dispositivo

switch#show device-sensor cache interface g1/0/13
Device: 20bb.c0de.06ae on port GigabitEthernet1/0/13
--------------------------------------------------
Proto Type:Name                       Len Value
LLDP     6:system-description          40 0C 26 43 69 73 63 6F 20 49 50 20 50 68 6F 6E 65
                                          20 38 39 34 31 2C 20 56 33 2C 20 53 43 43 50 20
                                          39 2D 33 2D 34 2D 31 37
CDP      6:platform-type               24 00 06 00 18 43 69 73 63 6F 20 49 50 20 50 68 6F
                                          6E 65 20 38 39 34 31 20
CDP     28:secondport-status-type       7 00 1C 00 07 00 02 00

Se você não vir nenhum dado nesse campo ou se as informações não estiverem completas, verifique os comandos do 'sensor de dispositivos', em particular as listas de filtros e as especificações de filtros.

Etapa 3. Verificar se os atributos estão presentes na Contabilidade Radius

Você pode verificar isso usando o comando debug radius no switch ou executando a captura de pacotes entre o switch e o ISE.

Depuração Radius:

Mar 30 05:34:58.716: RADIUS(00000000): Send Accounting-Request to 1.1.1.1:1813 id 1646/85, len 378
Mar 30 05:34:58.716: RADIUS:  authenticator 17 DA 12 8B 17 96 E2 0F - 5D 3D EC 79 3C ED 69 20
Mar 30 05:34:58.716: RADIUS:  Vendor, Cisco       [26]  40
Mar 30 05:34:58.716: RADIUS:   Cisco AVpair       [1]   34  "cdp-tlv=                        "
Mar 30 05:34:58.716: RADIUS:  Vendor, Cisco       [26]  23
Mar 30 05:34:58.716: RADIUS:   Cisco AVpair       [1]   17  "cdp-tlv=       "
Mar 30 05:34:58.721: RADIUS:  Vendor, Cisco       [26]  59
Mar 30 05:34:58.721: RADIUS:   Cisco AVpair       [1]   53  "lldp-tlv=                                          "
Mar 30 05:34:58.721: RADIUS:  User-Name           [1]   19  "20-BB-C0-DE-06-AE"
Mar 30 05:34:58.721: RADIUS:  Vendor, Cisco       [26]  49
Mar 30 05:34:58.721: RADIUS:   Cisco AVpair       [1]   43  "audit-session-id=0AE518200000022800E2481C"
Mar 30 05:34:58.721: RADIUS:  Vendor, Cisco       [26]  19
Mar 30 05:34:58.721: RADIUS:   Cisco AVpair       [1]   13  "vlan-id=101"
Mar 30 05:34:58.721: RADIUS:  Vendor, Cisco       [26]  18
Mar 30 05:34:58.721: RADIUS:   Cisco AVpair       [1]   12  "method=mab"
Mar 30 05:34:58.721: RADIUS:  Called-Station-Id   [30]  19  "F0-29-29-49-67-0D"
Mar 30 05:34:58.721: RADIUS:  Calling-Station-Id  [31]  19  "20-BB-C0-DE-06-AE"
Mar 30 05:34:58.721: RADIUS:  NAS-IP-Address      [4]   6   10.229.20.43
Mar 30 05:34:58.721: RADIUS:  NAS-Port            [5]   6   60000
Mar 30 05:34:58.721: RADIUS:  NAS-Port-Id         [87]  23  "GigabitEthernet1/0/13"
Mar 30 05:34:58.721: RADIUS:  NAS-Port-Type       [61]  6   Ethernet                  [15]
Mar 30 05:34:58.721: RADIUS:  Acct-Session-Id     [44]  10  "00000018"
Mar 30 05:34:58.721: RADIUS:  Acct-Status-Type    [40]  6   Watchdog                  [3]
Mar 30 05:34:58.721: RADIUS:  Event-Timestamp     [55]  6   1301463298
Mar 30 05:34:58.721: RADIUS:  Acct-Input-Octets   [42]  6   538044
Mar 30 05:34:58.721: RADIUS:  Acct-Output-Octets  [43]  6   3201914
Mar 30 05:34:58.721: RADIUS:  Acct-Input-Packets  [47]  6   1686
Mar 30 05:34:58.721: RADIUS:  Acct-Output-Packets [48]  6   35354
Mar 30 05:34:58.721: RADIUS:  Acct-Delay-Time     [41]  6   0
Mar 30 05:34:58.721: RADIUS(00000000): Sending a IPv4 Radius Packet
Mar 30 05:34:58.721: RADIUS(00000000): Started 5 sec timeout
Mar 30 05:34:58.737: RADIUS: Received from id 1646/85 10.62.145.51:1813, Accounting-response, len 20

Captura do pacote:

Etapa 4. Verificar depurações do Profiler no ISE

Se os atributos foram enviados do switch, é possível verificar se eles foram recebidos no ISE. Para verificar isso, habilite as depurações do profiler para o nó PSN correto (Administration > System > Logging > Debug Log Configuration > PSN > profiler > debug) e executar a autenticação do endpoint mais uma vez.

Procure estas informações:

• Depuração indicando que a prova radius recebeu atributos:
  
  

2015-11-25 19:29:53,641 DEBUG  [RADIUSParser-1-thread-1][] 
cisco.profiler.probes.radius.RadiusParser -:::- 
MSG_CODE=[3002], VALID=[true], PRRT_TIMESTAMP=[2015-11-25 19:29:53.637 +00:00], 
ATTRS=[Device IP Address=10.229.20.43, RequestLatency=7, 
NetworkDeviceName=deskswitch, User-Name=20-BB-C0-DE-06-AE, 
NAS-IP-Address=10.229.20.43, NAS-Port=60000, Called-Station-ID=F0-29-29-49-67-0D, 
Calling-Station-ID=20-BB-C0-DE-06-AE, Acct-Status-Type=Interim-Update, 
Acct-Delay-Time=0, Acct-Input-Octets=362529, Acct-Output-Octets=2871426, 
Acct-Session-Id=00000016, Acct-Input-Packets=1138, Acct-Output-Packets=32272, 
Event-Timestamp=1301458555, NAS-Port-Type=Ethernet, NAS-Port-Id=GigabitEthernet1/0/13, 
cisco-av-pair=cdp-tlv=cdpCachePlatform=Cisco IP Phone 8941 , 
cisco-av-pair=cdp-tlv=cdpUndefined28=00:02:00, 
cisco-av-pair=lldp-tlv=lldpSystemDescription=Cisco IP Phone 8941\, V3\, SCCP 9-3-4-17, 
cisco-av-pair=audit-session-id=0AE51820000002040099C216, cisco-av-pair=vlan-id=101, 
cisco-av-pair=method=mab, AcsSessionID=ise13/235487054/2511, SelectedAccessService=Default Network Access, 
Step=11004, Step=11017, Step=15049, Step=15008, Step=15004, Step=11005, NetworkDeviceGroups=Location#All Locations, 
NetworkDeviceGroups=Device Type#All Device Types, Service-Type=Call Check, CPMSessionID=0AE51820000002040099C216, 
AllowedProtocolMatchedRule=MAB, Location=Location#All Locations, Device Type=Device Type#All Device Types, ]

• Depuração indicando que os atributos foram analisados com êxito:
  
  

2015-11-25 19:29:53,642 DEBUG  [RADIUSParser-1-thread-1][] cisco.profiler.probes.radius.RadiusParser -:::- Parsed IOS Sensor 1: cdpCachePlatform=[Cisco IP Phone 8941]
2015-11-25 19:29:53,642 DEBUG  [RADIUSParser-1-thread-1][] cisco.profiler.probes.radius.RadiusParser -:::- Parsed IOS Sensor 2: cdpUndefined28=[00:02:00]
2015-11-25 19:29:53,642 DEBUG  [RADIUSParser-1-thread-1][] cisco.profiler.probes.radius.RadiusParser -:::- Parsed IOS Sensor 3: lldpSystemDescription=[Cisco IP Phone 8941, V3, SCCP 

• Depuração indicando que os atributos são processados pelo encaminhador:
  
  

2015-11-25 19:29:53,643 DEBUG  [forwarder-6][] cisco.profiler.infrastructure.probemgr.Forwarder -:20:BB:C0:DE:06:AE:ProfilerCollection:- Endpoint Attributes:
ID:null
Name:null
MAC: 20:BB:C0:DE:06:AE
        Attribute:AAA-Server     value:ise13
        (... more attributes ...)
        Attribute:User-Name      value:20-BB-C0-DE-06-AE
        Attribute:cdpCachePlatform       value:Cisco IP Phone 8941
        Attribute:cdpUndefined28         value:00:02:00
        Attribute:lldpSystemDescription  value:Cisco IP Phone 8941, V3, SCCP 9-3-4-17
        Attribute:SkipProfiling  value:false

Etapa 5. Criação de perfil de novos atributos e atribuição de dispositivos

Normalmente, depois que novos atributos são adicionados à coleção existente para um dispositivo específico, esse dispositivo/ponto final é adicionado à fila de criação de perfil para verificar se deve ser atribuído a um perfil diferente com base em novos atributos:

2015-11-25 19:29:53,646 DEBUG  [EndpointHandlerWorker-6-31-thread-1][] 
cisco.profiler.infrastructure.profiling.ProfilerManager -:20:BB:C0:DE:06:AE:Profiling:- 
Classify hierarchy 20:BB:C0:DE:06:AE

2015-11-25 19:29:53,656 DEBUG  [EndpointHandlerWorker-6-31-thread-1][] 
cisco.profiler.infrastructure.profiling.ProfilerManager -:20:BB:C0:DE:06:AE:Profiling:- 
Policy Cisco-Device matched 20:BB:C0:DE:06:AE (certainty 30)

2015-11-25 19:29:53,659 DEBUG  [EndpointHandlerWorker-6-31-thread-1][] 
cisco.profiler.infrastructure.profiling.ProfilerManager -:20:BB:C0:DE:06:AE:Profiling:- 
Policy Cisco-IP-Phone matched 20:BB:C0:DE:06:AE (certainty 40)

2015-11-25 19:29:53,663 DEBUG  [EndpointHandlerWorker-6-31-thread-1][] 
cisco.profiler.infrastructure.profiling.ProfilerManager -:20:BB:C0:DE:06:AE:Profiling:- 
Policy Cisco-IP-Phone-8941 matched 20:BB:C0:DE:06:AE (certainty 140)

2015-11-25 19:29:53,663 DEBUG  [EndpointHandlerWorker-6-31-thread-1][] 
cisco.profiler.infrastructure.profiling.ProfilerManager -:20:BB:C0:DE:06:AE:Profiling:- 
After analyzing policy hierarchy: Endpoint: 20:BB:C0:DE:06:AE EndpointPolicy:Cisco-IP-Phone-8941 for:210 ExceptionRuleMatched:false

Informações Relacionadas

• https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html
• https://www.cisco.com/en/US/docs/security/ise/1.0/user_guide/ise10_prof_pol.html
• Suporte técnico e downloads da Cisco