المحتويات

المقدمة

المتطلبات الأساسية

المتطلبات

المكونات المستخدمة

معلومات أساسية

تكامل Cisco TrustSec

أساليب نشر الرقيب

نشر الرقيب مع SXP

تمكين نشر SXP وتنزيل سياسات SGACL

الخطوة 1. تكوين معلمات RADIUS

الخطوة 2. تكوين معلمات SXP

التحقق من الصحة

معلومات ذات صلة

المقدمة

يصف هذا المستند تكوين طريقة نشر بروتوكول تبادل علامات مجموعة الأمان (SXP) في الشبكات الواسعة المحددة للبرامج (SD-WAN).

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

- شبكة منطقة واسعة معرفة ببرنامج Cisco Catalyst (SD-WAN)

- قناة الوصول المعرفة عن طريق البرامج (SD-ACCESS) الليفية

- محرك خدمة التحديد (ISE) من Cisco

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى:

- Cisco IOS® XE Catalyst SD-WAN Edges ، الإصدار 17.9.5a

- Cisco Catalyst SD-WAN Manager، الإصدار 20.12.4.

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

معلومات أساسية

تكامل Cisco TrustSec

يتم دعم نشر أداة Sgt مع تكامل Cisco TrustSec بواسطة Cisco IOS® XE Catalyst SD-WAN الإصدار 17.3.1a وما بعده. تمكن هذه الميزة أجهزة Cisco IOS® XE Catalyst SD-WAN edge لنشر علامات مجموعة الأمان (SGT) المضمنة التي يتم إنشاؤها بواسطة محولات Cisco TrustSec التي تم تمكينها في الفروع إلى أجهزة الحافة الأخرى في شبكة Cisco Catalyst SD-WAN.

المفاهيم الأساسية ل Cisco TrustSec:

- الرقيب بينينجز: الاقتران بين IP و SGT، تتميز جميع الروابط بالتكوين الأكثر شيوعا، كما تتعلمها مباشرة من Cisco ISE.

- انتشار الرقيب: ويتم إستخدام طرق النشر لنشر هذه الرقيب بين نقلات الشبكة.

- نهج SGTACLs: مجموعة من القواعد التي تحدد امتيازات مصدر حركة مرور داخل شبكة موثوق بها.

- تنفيذ الرقيب: عندما يتم فرض السياسات، فإن ذلك يعتمد على سياسة الرقيب.

أساليب نشر الرقيب

طرق نشر الرقيب هي:

- وضع علامات على الخط الداخلي لنشر الرقيب

- نشر الرقيب SXP

نشر الرقيب مع SXP

بالنسبة لنشر العلامات عبر الإنترنت، يجب تزويد الفروع بمحولات Cisco TrustSec التي تم تمكينها والتي يمكنها معالجة وضع علامات SGT داخل السطر (أجهزة Cisco TrustSec). إذا كان الجهاز لا يدعم وضع العلامات داخل الجهاز، فإن نشر الرقيب يستخدم بروتوكول تبادل علامات مجموعة الأمان (SXP) لنشر الرقيب عبر أجهزة الشبكة.

يسمح Cisco ISE بإنشاء ربط IP-to-SGT (IP-SGT ديناميكي) ثم يقوم بتنزيل ربط IP-SGT باستخدام SXP إلى جهاز Cisco IOS® XE Catalyst SD-WAN لنشر الرقيب عبر شبكة Cisco Catalyst SD-WAN. أيضا، يتم فرض سياسات حركة مرور الرقيب على مخرج SD-WAN من خلال تنزيل سياسات SGACL من ISE.

مثال:

- لا يدعم محول Cisco (العقدة الحدودية) وضع علامات في السطر (جهاز غير TrustSec).

- يسمح Cisco ISE بتنزيل ربط IP-SGT من خلال اتصال SXP بجهاز Cisco IOS® XE Catalyst SD-WAN (موجه الحافة).

- يسمح Cisco ISE بتنزيل سياسات SGACL من خلال تكامل RADIUS ومفتاح PAC إلى جهاز Cisco IOS® XE Catalyst SD-WAN (موجه Edge).

متطلبات تمكين نشر SXP وتنزيل سياسات SGACL على أجهزة SD-WAN الطرفية

ملاحظة:  لا يتم فرض سياسات SGACL على حركة مرور الدخول، فقط على حركة مرور الخروج في شبكة Cisco Catalyst SD-WAN.

ملاحظة: ميزة Cisco TrustSec غير مدعومة لأكثر من 24 ألف نهج من سياسات الرقيب في وضع وحدة التحكم.

تمكين نشر SXP وتنزيل سياسات SGACL

الرسم التخطيطي للشبكة لعملية النشر Sgt SXP في SD-WAN

الخطوة 1. تكوين معلمات RADIUS

- سجل الدخول إلى واجهة المستخدم الرسومية Cisco Catalyst SD-WAN Manager.

- انتقل إلى التكوين > قوالب > قالب الميزة > Cisco AAA. انقر فوق خادم RADIUS.

- قم بتكوين معلمات خادم RADIUS والمفتاح.

تكوين خادم RADIUS

- أدخل القيم لتكوين معلمات مجموعة RADIUS.

تكوين مجموعة RADIUS

- أدخل القيم لتكوين معلمات RADIUS COA.

تكوين RADIUS COA

ملاحظة: إذا لم يتم تكوين RADIUS COA، فلن يتمكن موجه SD-WAN من تنزيل سياسات SGACL تلقائيا. بعد إنشاء نهج SGACL من ISE أو تعديله، يتم إستخدام الأمر cts refresh policy لتنزيل السياسات.

- انتقل إلى قسم TRUSTsec وأدخل القيم.

تكوين TRUSTsec

- قم بإرفاق قالب ميزة Cisco AAA بقالب الجهاز.

الخطوة 2. تكوين معلمات SXP

- انتقل إلى التكوين > القوالب > قالب الميزات > TrustSec.

- قم بتكوين بيانات اعتماد CTS وعينت ربط SGT لواجهات الجهاز.

قالب ميزة TrustSec

- انتقل إلى قسم SXP الافتراضي وأدخل القيم لتكوين معلمات SXP الافتراضية.

التكوين الافتراضي ل SXP

- انتقل إلى اتصال SXP وشكلت معلمات اتصال SXP، ثم انقر على حفظ.

تكوين اتصال SXP

ملاحظة:  يحتوي Cisco ISE على حد على عدد جلسات عمل SXP التي يمكنه معالجتها. لذلك، كبديل، يمكن إستخدام عاكس SXP لقياس الشبكة الأفقية.

ملاحظة: يوصى باستخدام عاكس SXP لإنشاء نظير SXP باستخدام أجهزة Cisco IOS® XE Catalyst SD-WAN.

- انتقل إلى التكوين > قوالب > قالب الجهاز > قوالب إضافية > TrustSec.

- حدد قالب ميزة TrustSec الذي تم إنشاؤه مسبقا، انقر فوق حفظ.

قسم القوالب الإضافية

التحقق من الصحة

قم بتشغيل الأمرshow cts sxp connections vrf (service vrf)لعرض معلومات إتصالات Cisco TrustSec SXP.

#show cts sxp  connections vrf 4001

SXP              : Enabled

Highest Version Supported: 5

Default Password : Set

Default Key-Chain: Not Set

Default Key-Chain Name: Not Applicable

Default Source IP: 192.168.35.2

Connection retry open period: 120 secs

Reconcile period: 120 secs

Retry open timer is not running

Peer-Sequence traverse limit for export: Not Set

Peer-Sequence traverse limit for import: Not Set

----------------------------------------------

Peer IP          : 10.88.244.146

Source IP        : 192.168.35.2

Conn status      : On

Conn version     : 4

Conn capability  : IPv4-IPv6-Subnet

Conn hold time   : 120 seconds

Local mode       : SXP Listener

Connection inst# : 1

TCP conn fd      : 1

TCP conn password: default SXP password

Hold timer is running

Total num of SXP Connections = 1

قم بتشغيل الأمر show cts role-based sgt-map to عرض خريطة الرقيب العامة Cisco TrustSec بين عنوان IP وربط الرقيب.

#show cts role-based sgt-map vrf 4001 all

Active IPv4-SGT Bindings Information

IP Address              SGT     Source

============================================

192.168.1.2             2       INTERNAL

192.168.35.2            2       INTERNAL

192.168.39.254          8       SXP       <<< Bindings learned trough SXP for the host connected in the LAN side

IP-SGT Active Bindings Summary

============================================

Total number of CLI      bindings = 0

Total number of SXP      bindings = 1

Total number of INTERNAL bindings = 2

Total number of active   bindings = 3

قم بتشغيل الأمر show cts environment-data لعرض بيانات بيئة Cisco TrustSec العامة.

#show cts environment-data

CTS Environment Data

====================

Current state = COMPLETE

Last status = Successful

Service Info Table:

Local Device SGT:

SGT tag = 2-01:TrustSec_Devices

Server List Info:

Installed list: CTSServerList1-0002, 1 server(s):

Server: 10.88.244.146, port 1812, A-ID B546BF54CA5778A0734C8925EECE2215

Status = ALIVE

auto-test = FALSE, keywrap-enable = FALSE, idle-time = 60 mins, deadtime = 20 secs

Security Group Name Table:

0-00:Unknown

2-01:TrustSec_Devices

3-00:Network_Services

4-00:Employees

5-00:Contractors

6-00:Guests

7-00:Production_Users

8-02:Developers          <<<<< Security Group assigned to the host connected in the LAN side (SGT 8)

9-00:Auditors

10-00:Point_of_Sale_Systems

11-00:Production_Servers

12-00:Development_Servers

13-00:Test_Servers

14-00:PCI_Servers

15-01:BYOD

Environment Data Lifetime = 86400 secs

قم بتشغيل الأمرshow cts pacsلعرض مسوغات الوصول المحمي (PAC) المزودة من Cisco TrustSec.

#show cts pacs

AID: B546BF54CA5778A0734C8925EECE2215

PAC-Info:

PAC-type = Cisco Trustsec

AID: B546BF54CA5778A0734C8925EECE2215

I-ID: FLM2206W092

A-ID-Info: Identity Services Engine

Credential Lifetime: 22:24:54 UTC Tue Dec 17 2024

PAC-Opaque: 000200B80003000100040010B546BF54CA5778A0734C8925EECE22150006009C00030100BE30CE655A7649A5CED883C180441AEB0000001366E8735300093A8094E1BBCE5D372901E5A6288648367A3D022FD850D2EFD91A9479B97560B0386BB5C202F0484D9B24CFD1DAB3074323F4F723A12667438BAFB600262D384E203AB48EF7BB2A44588C44740A1FF8AD56F83D28B75F6C8741F40639BFB9E651F99D8E6268465F19415DF21BE6853550850C87DEA0676AD124DD9DCC14BD

قم بتشغيل الأمرshow cts role-based permissions to عرض نهج SGACL.

#show cts role-based permissions

IPv4 Role-based permissions default:

Permit IP-00

IPv4 Role-based permissions from group 5:Contractors to group 2:TrustSec_Devices:

Deny IP-00

IPv4 Role-based permissions from group 5:Contractors to group 8:Developers:

DNATELNET-00

IPv4 Role-based permissions from group 5:Contractors to group 15:BYOD:

Deny IP-00

قم بتشغيل الأمرshow cts rbacl (SGACLName)لعرض تكوين قائمة التحكم في الوصول (SGACL).

#show cts rbacl DNATELNET

CTS RBACL Policy

================

RBACL IP Version Supported: IPv4 & IPv6

name   = DNATELNET-00

IP protocol version = IPV4, IPV6

refcnt = 2

flag   = 0xC1000000

stale  = FALSE

RBACL ACEs:

deny tcp dst eq 23 log       <<<<< SGACL action

permit ip

معلومات ذات صلة

- دليل تكوين أمان Cisco Catalyst SD-WAN

- دليل تكوين Cisco TrustSec