تكوين SNMP CoA في Identity Services Engine 2.1 وأعلى

المقدمة

  

يصف هذا المستند تغيير ميزة التفويض (CoA) باستخدام بروتوكول إدارة الشبكة البسيط (SNMP). 

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

• معرفة أساسية ببروتوكول SNMP
• معرفة مسبقة بالتعبيرات المنتظمة
• معرفة مسبقة بمحرك خدمة الهوية من Cisco (ISE)
• Identity Service Engine 2.1.
• المحولات المدعومة عبر بروتوكول SNMP

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى الإصدار 2.1 من ISE.

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

معلومات أساسية 

هذه ميزة جديدة تم تقديمها في ISE 2.1. هذه الميزة تكمل ميزة جديدة أخرى في ISE Viz، وإعادة التوجيه بواسطة ISE نفسها ولا تعتمد على أجهزة الشبكة. حتى إذا قام ISE بإرسال عنوان URL لإعادة التوجيه مباشرة إلى العميل الطرفي، فيجب تطبيق نقطة النهاية بنهج مختلف بعد المصادقة في المدخل للوصول المناسب إلى الشبكة. ولكي يحدث هذا، أرسل ISE في الإصدارات السابقة وحدة تحكم في الوصول إلى RADIUS. لا تفهم بعض أجهزة الشبكة قيمة RADIUS CoA التي يتم إرسالها بواسطة ISE. ونظرا لأن بروتوكول SNMP مدعوم من قبل جميع أجهزة الوصول إلى الشبكة (NAD) تقريبا، فقد أصبح بروتوكول CoA الذي يستخدم بروتوكول SNMP خيارا صالحا في مثل هذا السيناريو. يتم تنفيذ واجهة SNMP CoA بواسطة مجموعة SNMP التي يتم إرسالها من ISE إلى NAD لتعيين معرفات كائنات معينة (OIDs) التي تدير حالة تشغيل المنفذ.

تكوين ISE

هناك إعدادان على ISE يلزم تكوينهما لكي يعمل بروتوكول SNMP CoA.

1. إعدادات خادم SNMP من NAD.

2. إعدادات SNMP CoA لملف تعريف NAD.

لتكوين إعدادات خادم SNMP على ISE ل NAD، انتقل إلى إدارة> موارد الشبكة > أجهزة الشبكة.

تكوين إعدادات SNMP ل NAD

حدد NAD. سيتم توفير خانة إختيار تحت إعدادات مصادقة TACACS لتحرير إعدادات SNMP كما هو موضح في الصورة.

قم بملء الإعدادات طبقا للمتطلبات. يتم عرض مثال في الصورة.

تكوين إعدادات SNMP CoA لتوصيف جهاز الشبكة

لتكوين إعدادات SNMP CoA لملف تعريف جهاز الشبكة، انتقل إلى إدارة> موارد الشبكة> ملفات تعريف جهاز الشبكة.

حدد ملف تعريف جهاز الشبكة الذي يجب تكوين SNMP coA له وتوسع تغيير علامة التبويب التفويض كما هو موضح في الصورة.

ملاحظة: لا يمكن تحرير إعدادات SNMP لتوصيفات جهاز الشبكة الافتراضية.

حدد نوع CoA على هيئة SNMP وحرر إعدادات مهلة SNMP وإعادة المحاولة. يمكن تعيين هذه الإعدادات حسب المتطلب. يتم عرض مثال في هذه الصورة.

الآن، يشكل NAD ميناء كشف طريقة ب أي ISE يكون يعرف الميناء ل أي ال OIDs ينبغي كنت ثبتت. حتى الآن، الطريقة الوحيدة المتاحة هي إسترداد تلك المعلومات من سمة RADIUS ذات الصلة من معلومات المحاسبة.

سمات RADIUS الحالية المتوفرة التي تعطي هذه المعلومات هي NAS-Port و NAS-Port-ID. يمكن إختيار أي منها استنادا إلى السمة المدعومة من قبل NAD. تدعم معظم وحدات التخزين المتصلة بالشبكة (NAS-Port-ID). لدى موردين مختلفين طرق مختلفة لتمثيل الواجهات المتوفرة على NAD. قد لا تكون هناك طريقة قياسية لاستخلاص المعلومات. وبالتالي يتم إستخدام التعبيرات العادية في ISE لتخصيص السلاسل التي سيتم مطابقتها من قيمة سمة NAS-Port-ID. يعطي مثال هنا in order to طابقت الميناء أي يكون في شكل Gi0/x. 

                                                                                             ^*gi0\/(\d+).*$

هذا التعبير يعني أساسا (^)بداية نقش (.*)مطابقة أي عدد من تواجدات أي محرر (Gi0)تطابق 'gi0' (\/)تطابق '/' (\d+)تطابق حالة أو أكثر من أي رقم (.)تطابق أي محرر (*) (.*)تطابق أي عدد من مثيلات أي محرر ($)نهاية نقش. يمكن تكوين هذا المثال كما هو موضح في هذه الصورة.

OIDs مدعومة من قبل ISE

وبشكل افتراضي، يوفر ISE خيارات لتكوين ثلاثة أنواع من معرفات الهوية لتنفيذ عملية على المنافذ المحددة بواسطة قيمة سمة NAS-Port-ID.

1. إعادة المصادقة

2. انعكاس المنفذ

3. إيقاف تشغيل المنفذ

إعادة المصادقة

قد لا يتم اعتماد معرف OID المعاد مصادقته في قواعد معلومات الإدارة (MIB) القياسية المستخدمة من قبل معظم الموردين. قد تختلف معلومات معرف الهوية هذا من بائع إلى آخر.

ملاحظة: يتم توفير هذا الخيار للتحسين المحتمل في المستقبل إذا بدأ أي جهاز في دعم OID لإدارة جلسات عمل المستخدم استنادا إلى عنوان MAC.

انعكاس المنفذ

يستخدم إرتداد المنفذ معرف فئة (OID) خاص بتشغيل المنفذ والذي يحتوي على قيمتين، الأولى لإيقاف تشغيل المنفذ والثانية لإلغاء إغلاق المنفذ. هذه هي معرفات OIDs القياسية المستخدمة من قبل معظم الموردين. 

1.3.6.1.2.1.2.2.1.7.$Port هو OID

إن ثبتت القيمة إلى 2، الميناء يكون إيقاف عمل وإن ثبتت القيمة إلى 1، الميناء يكون ألغيت.

إيقاف تشغيل المنفذ

حدد العملية المطلوبة التي يجب تنفيذها على ذلك المنفذ المحدد كما هو موضح في الصورة.

تحذير: ترتيب إرسال قيم OID مهم جدا. لأن، الترتيب الذي يكون OID مجموعة قيمة هو الترتيب الذي يتم به تنفيذ العمليات على الميناء. إن يكون ثبتت في ترتيب عكسي، قل 1 وبعد ذلك 2، ميناء يكون ألغيت أولا وبعد ذلك إيقاف عمل أي أساسا يعطل الميناء.

إرسال التغييرات إلى ملف تعريف الجهاز.

يمكن إستخدام ملف تعريف الجهاز هذا في أي ملف تعريف تخويل يتم وضعه في حيز التنفيذ. سيتم إرسال أي عملية CoA يجب تنفيذها لنقطة نهاية كمجموعة SNMP SetRequest إلى المحول بمعرف فئة المورد (OIDs) الذي تم تكوينه ليتم تعيينه على المنفذ الذي يتم توصيل نقطة النهاية عليه. وفيما يلي مثال لتكوين توصيف NAD في توصيف التخويل.

لإنشاء سياسة تخويل جديدة أو لتحرير السياسة الموجودة بالفعل، انتقل إلى السياسة > عناصر السياسة > النتائج > التخويل > ملفات تخصيص التخويل كما هو موضح في الصورة.

ملاحظة: يجب تكوين المحول باستخدام ISE كخادم SNMP ويجب أن يستخدم نفس سلسلة المجتمع التي تم تكوينها على ISE. تكوين المحول خارج نطاق هذا المستند.

التحقق من الصحة

لا يوجد حاليًا إجراء للتحقق من صحة هذا التكوين.

استكشاف الأخطاء وإصلاحها

لا تتوفر حاليًا معلومات محددة لاستكشاف الأخطاء وإصلاحها لهذا التكوين.