فهم تأجير الوضع في ISE

خيارات التنزيل

  • PDF     (871.8 KB)
    عرض باستخدام Adobe Reader على مجموعة متنوعة من الأجهزة
  • ePub     (687.8 KB)
    العرض في تطبيقات مختلفة على iPhone أو iPad أو نظام تشغيل Android أو قارئ Sony أو نظام التشغيل Windows Phone
  • Mobi (Kindle)     (583.3 KB)
    عرض على جهاز Kindle أو تطبيق Kindle على أجهزة متعددة
تم التحديث:١٩ أغسطس ٢٠٢٦
معرّف المستند:222876

لغة خالية من التحيز

تسعى مجموعة الوثائق لهذا المنتج جاهدة لاستخدام لغة خالية من التحيز. لأغراض مجموعة الوثائق هذه، يتم تعريف "خالية من التحيز" على أنها لغة لا تعني التمييز على أساس العمر، والإعاقة، والجنس، والهوية العرقية، والهوية الإثنية، والتوجه الجنسي، والحالة الاجتماعية والاقتصادية، والتمييز متعدد الجوانب. قد تكون الاستثناءات موجودة في الوثائق بسبب اللغة التي يتم تشفيرها بشكل ثابت في واجهات المستخدم الخاصة ببرنامج المنتج، أو اللغة المستخدمة بناءً على وثائق RFP، أو اللغة التي يستخدمها منتج الجهة الخارجية المُشار إليه. تعرّف على المزيد حول كيفية استخدام Cisco للغة الشاملة.

حول هذه الترجمة

ترجمت Cisco هذا المستند باستخدام مجموعة من التقنيات الآلية والبشرية لتقديم محتوى دعم للمستخدمين في جميع أنحاء العالم بلغتهم الخاصة. يُرجى ملاحظة أن أفضل ترجمة آلية لن تكون دقيقة كما هو الحال مع الترجمة الاحترافية التي يقدمها مترجم محترف. تخلي Cisco Systems مسئوليتها عن دقة هذه الترجمات وتُوصي بالرجوع دائمًا إلى المستند الإنجليزي الأصلي (الرابط متوفر).

المقدمة

يصف هذا المستند تكوين تأجير الوضع في Cisco ISE.

المتطلبات الأساسية

المتطلبات

  • معرفة تدفق الوضع في Cisco ISE
  • معرفة سياسات AAA في Cisco ISE

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

  • Cat9300 مفتاح صيغة 17.9.5
  • Identity Service Engine (ISE) الإصدار 3.2
  • PC Windows 10 Enterprise مع وحدة ISE Posture Module 5.1.6

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

معلومات أساسية

التأجير في الوضع عبارة عن ميزة في Cisco ISE تقوم بتخزين حالة التوافق الأخيرة المعروفة حتى 365 يوما في قاعدة البيانات ولا تصل إلى نقطة النهاية للتحقق من التوافق. ولكن عند انتهاء صلاحية تأجير الوضع، لا يقوم Cisco ISE تلقائيا بتشغيل إعادة المصادقة أو إعادة تقييم الوضع لنقطة النهاية. تبقى نقطة النهاية في نفس حالة التوافق نظرا لأنه يتم إستخدام نفس الجلسة. عند إعادة مصادقة نقطة النهاية، يتم تشغيل الوضع وإعادة تعيين وقت تأجير الوضع.

تأجير Posture هو سمة نقطة نهاية يتم تخزينها في قاعدة بيانات Oracle، وتقوم بتخزين الوقت في وقت EPOCH. يمكن التحقق من صحة الأمر نفسه من إمكانية رؤية السياق ومن قاعدة بيانات Oracle.

Posture Expiry

بجانب تأجير الوضع، هناك ميزة أخرى في ISE تقوم بتخزين حالة التوافق المعروفة الأخيرة لمقدار الوقت القابل للتكوين (الحد الأقصى 200 يوم / 4800 ساعة / 288000 دقيقة) الذي تم تكوينه في آخر حالة متوافقة مع Posture المعروف. تتيح هذه الميزة ل Cisco ISE تخزين حالة التوافق الأخيرة مؤقتا، وإذا أصبحت نقطة نهاية غير متوافقة ضمن آخر حالة متوافقة مع الوضع المعروف، فإن ISE يضع علامة متوافقة على نقطة النهاية حتى فترة السماح التي تم تكوينها في نهج الوضع.

آخر مخازن قيمة حالة معروفة متوافقة مع الوضع في قاعدة بيانات Oracle.، يتم تخزينها أيضا في وقت EPOCH.

التكوين

لتكوين إيجار الوضع في Cisco ISE:

1. انتقل إلى مراكز العمل > الوضع > الإعدادات > تأجير الوضع. تحقق من تقييم الوضع كل _ يوم وقم بتكوين عدد الأيام (1-365 يوما). في هذا مثال، ثبتت إلى 1 يوم.

2. قم بتمييز ذاكرة التخزين المؤقت كآخر حالة متوافقة مع الوضع المعروف، ثم قم بتكوين آخر حالة معروفة متوافقة مع الوضع (بحد أقصى 200 يوم / 4800 ساعة / 288000 دقيقة). في هذا المثال، يتم تكوينها لمدة يومين.

Posture Lease Configuration

3. من أجل التبسيط، تم تمكين نهج وضع واحد فقط (فحص Windows FW) مع فترة سماح مدتها دقيقتان.

Posture Policy - Grace Period Settings

التحقق من الصحة

تتصل نقطة النهاية لأول مرة وهي متوافقة.

Verify Endpoint Connects and is Compliant

Compliant Status

ISE-PSC.log (وضعية في تصحيح الأخطاء)

في ise-psc.log، يمكنك أن ترى أنه لا يوجد وقت انتهاء صلاحية في قاعدة البيانات حيث أن EP يتصل للمرة الأولى:

2024-11-30 22:55:08,485 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-8][[]] cisco.cpm.posture.runtime.PostureManager -:08C9C50A000000147BE04019::::- posture expriy time retrieved from DB is "" for B4-96-91-26-EB-A1
2024-11-30 22:55:08,485 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-8][[]] cisco.cpm.posture.runtime.PostureManager -:08C9C50A000000147BE04019::::- PostureExpiry value for B4-96-91-26-EB-A1 is not a number :

يعالج EP من خلال فحص الوضع ويصبح متوافق. بمجرد أن يصبح EP متوافقا، يقوم ISE بتحديث DB مع وقت انتهاء الصلاحية كيوم واحد (173073953816):

2024-11-30 22:55:55,306 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-1][[]] cisco.cpm.posture.runtime.PostureManager -:08C9C50A000000147BE04019:alice:::- posture_bypass_test is null fast reconnect expiry time is1733073953816 2024-12-01T22:55:54.306+0530
2024-11-30 22:55:55,307 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-1][[]] cisco.cpm.posture.runtime.PostureManager -:08C9C50A000000147BE04019:alice:::- updating fast reconnect for end point B4:96:91:26:EB:A1 with 1 days of expiry time1733073953816 <------Updating posture lease in DB (EDF_POSTUREEXPIRY)
2024-11-30 22:55:55,307 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-1][[]] cisco.cpm.posture.runtime.PostureHandlerImpl -:08C9C50A000000147BE04019:alice:::- updated posutre lease for session 08C9C50A000000177E20CE15

كما يقوم ISE بتحديث قاعدة البيانات مع انتهاء صلاحية فترة السماح 1733160354306 (يومان):

2024-11-30 22:55:55,306 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-1][[]] cisco.cpm.posture.edf.PostureUdid -:08C9C50A000000147BE04019:alice:::- Starting new thread for updateGracePeriodTime
2024-11-30 22:55:55,306 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-1][[]] cisco.cpm.posture.runtime.GracePeriodManager -:08C9C50A000000147BE04019:alice:::- remove user from expiry list
2024-11-30 22:55:54,306 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-1][[]] cisco.cpm.posture.runtime.GracePeriodUtil -:08C9C50A000000147BE04019:alice:::- updating grace period for device with udid: 6d8a638f9acadd2851a6cd7eae947060a898ebc1 , maclist: [B4:96:91:26:EB:A1], <---- grace period expiry time 1733160354306 <----------- Updating last known compliance status in DB (LAST_COMP_EXPIRY)

بعد إعادة ربط EP، تصبح الجلسة مباشرة شكوى. مع تمكين تأجير الوضع، يسترجع ISE وقت انتهاء صلاحية الوضع من قاعدة البيانات ويعلم الجلسة على أنها متوافقة:

Session Becomes Compliant

2024-11-30 23:04:17,673 DEBUG [PolicyEngineEvaluationThread-5][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- Posture status in session is not compliant
2024-11-30 23:04:17,673 DEBUG [PolicyEngineEvaluationThread-5][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- fast reconnect is enabled
2024-11-30 23:04:17,677 DEBUG [PolicyEngineEvaluationThread-5][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- Querying posture expiry time by MAC B4-96-91-26-EB-A1
2024-11-30 23:04:17,679 DEBUG [PolicyEngineEvaluationThread-5][[]] cisco.cpm.posture.runtime.PostureManager -:::::- posture expriy time retrieved from DB is "1733073953816" for B4-96-91-26-EB-A1
2024-11-30 23:04:17,679 DEBUG [PolicyEngineEvaluationThread-5][[]] cisco.cpm.posture.runtime.PostureManager -:::::- posture lease expiry time 1733073953816 2024-12-01T22:55:53.816+0530 for B4-96-91-26-EB-A1
2024-11-30 23:04:17,679 DEBUG [PolicyEngineEvaluationThread-5][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- retrieved fast reconnect expiry time 1733073953816 2024-12-01T22:55:53.816+0530 for B4-96-91-26-EB-A1
2024-11-30 23:04:17,679 DEBUG [PolicyEngineEvaluationThread-5][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- B4-96-91-26-EB-A1 is within fast reconnect expiry
2024-11-30 23:04:17,680 DEBUG [PolicyEngineEvaluationThread-5][[]] cisco.cpm.posture.runtime.PosturePolicyUtil -:::::- User null belongs to groups NAC Group:NAC:IdentityGroups:Endpoint Identity Groups:Profiled:Workstation,NAC Group:NAC:IdentityGroups:Any
2024-11-30 23:04:17,680 DEBUG [PolicyEngineEvaluationThread-5][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- PostureStatusPIP for mac B4-96-91-26-EB-A1 - Attribute Session.PostureStatus value is Compliant

السيناريو 1: تعطيل تأجير الوضع

1. قم بتعطيل إيجار الوضع وتمكين ذاكرة التخزين المؤقت آخر حالة متوافقة مع الوضع المعروف مع آخر حالة متوافقة مع الوضع المعروف لمدة يومين. ويكون هذا السيناريو صالحا أيضا إذا انتهى عقد إيجار الوضع واتصل EP فيما بعد.

Posture Lease Status

2. بعد مصادقة EP، حيث أن تأجير الوضع غير ممكن، يقوم ISE بفحص الوضع:

2024-12-01 18:39:50,901 DEBUG [PolicyEngineEvaluationThread-3][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- Posture status in session is not compliant
2024-12-01 18:39:50,901 DEBUG [PolicyEngineEvaluationThread-3][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- fast reconnect is not enabled. Posture status retrieved from LSD for B4-96-91-26-EB-A1 is Unknown
2024-12-01 18:39:50,901 DEBUG [PolicyEngineEvaluationThread-3][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- PostureStatusPIP for mac B4-96-91-26-EB-A1 - Attribute Session.PostureStatus value is Unknown

3. بعد أن يصبح EP متوافقا، يقوم ISE بتحديث DB خلال فترة السماح 1733231423117 (يومان).

2024-12-01 18:40:23,116 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-3][[]] cisco.cpm.posture.edf.PostureUdid -:08C9C50A000000227EB700E6:alice:::- Starting new thread for updateGracePeriodTime
2024-12-01 18:40:23,117 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-3][[]] cisco.cpm.posture.runtime.GracePeriodManager -:08C9C50A000000227EB700E6:alice:::- remove user from expiry list
2024-12-01 18:40:23,117 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-3][[]] cisco.cpm.posture.runtime.GracePeriodUtil -:08C9C50A000000227EB700E6:alice:::- updating grace period for device with udid: 6d8a638f9acadd2851a6cd7eae947060a898ebc1 , maclist: [B4:96:91:26:EB:A1], grace period expiry time 1733231423117 <--------------Updating last known compliance status in DB (LAST_COMP_EXPIRY)
2024-12-01 18:40:23,117 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-3][[]] cisco.cpm.posture.edf.PostureUdid -:08C9C50A000000227EB700E6:alice:::- Starting new thread for updateLastCompExpiryTime [B4:96:91:26:EB:A1], grace period expiry time 1733057867397

Status Compliant or Pending

والآن لم يعد البرلمان الأوروبي يشعر بأي تشكي. كما هو الحال في نهج الوضع، يتم التحقق من Windows FW فقط.

4. قم بتعطيل نظام التشغيل Windows FW وأعد توصيل EP. لا يصبح EP شكوى، ومع ذلك، يتم تكوين فترة سماح مدتها دقيقتان في سياسة الوضع. ولهذا السبب، تعرض وحدة وضعية التيار المتردد حالة فترة السماح.

EP Becomes Non-Complaint

5. في سجل RADIUS المباشر، يمكنك أن ترى EP موسوما على أنه شكوى، حتى وإن فشل التحقق من الوضع. بعد انتهاء فترة السماح، أصبحت الجلسة غير متوافقة.

EP Marked as Compliant

6. في ise-psc.log، يمكنك أن ترى عندما يتصل EP، بما أن الإيجار غير ممكن، فإنه يتحقق من LSD أن يسترد حالة الوضع:

2024-11-30 23:26:16,482 DEBUG [PolicyEngineEvaluationThread-16][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- Posture status in session is not compliant
2024-11-30 23:26:16,482 DEBUG [PolicyEngineEvaluationThread-16][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- fast reconnect is not enabled. Posture status retrieved from LSD for B4-96-91-26-EB-A1 is Unknown
2024-11-30 23:26:16,483 DEBUG [PolicyEngineEvaluationThread-16][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- PostureStatusPIP for mac B4-96-91-26-EB-A1 - Attribute Session.PostureStatus value is Unknown

7. يتم التحقق من الحالة ويفشل في حالة EP. بعد ذلك، يتحقق ISE من قاعدة البيانات لاسترداد قيمة LastCompliantExpiry، وهي 1733160354306 (يومان.)

2024-11-30 23:27:19,123 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-10][[]] cisco.cpm.posture.runtime.PostureHandlerImpl -:08C9C50A000000147BE04019:alice:::- Last compliant expiry period for device with mac: 6d8a638f9acadd2851a6cd7eae947060a898ebc1 has not expired lastCompliantExpiry: 1733160354306.

8. بما أن LastCompliantExpiry لا يزال صالحا، فإنه يتحقق أيضا من فترة السماح التي تم تكوينها على نهج الوضع الذي تم تكوينه على هيئة دقيقتين.

2024-11-30 23:27:19,123 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-10][[]] cisco.cpm.posture.runtime.PostureHandlerImpl -:08C9C50A000000147BE04019:alice:::- handleGracePeriod - calculateGracePeriod: B4-96-91-26-EB-A1.

2024-11-30 23:27:19,544 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-10][[]] cisco.cpm.posture.runtime.PostureHandlerImpl -:08C9C50A000000147BE04019:alice:::- calculateGracePeriod - matched policy: Default_Firewall_Policy_Win with grace period: 2 for mac: B4-96-91-26-EB-A1
2024-11-30 23:27:19,544 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-10][[]] cisco.cpm.posture.runtime.PostureHandlerImpl -:08C9C50A000000147BE04019:alice:::- calculateGracePeriod - grace period is: 2 for mac: B4-96-91-26-EB-A1

2024-11-30 23:27:19,546 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-10][[]] cisco.cpm.posture.runtime.GracePeriodManager -:08C9C50A000000147BE04019:alice:::- Added user with mac B4-96-91-26-EB-A1 udid 6d8a638f9acadd2851a6cd7eae947060a898ebc1 grace period list with an expiration time of 2024/11/30 23:29:19 and startTime of 2024/11/30 23:27:19 <---------------- Updating the Grace period in DB (LAST_GRACE_EXPIRY)
2024-11-30 23:27:19,546 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-10][[]] cisco.cpm.posture.runtime.PostureHandlerImpl -:08C9C50A000000147BE04019:alice:::- handleGracePeriod - device with mac: B4-96-91-26-EB-A1 - has grace period: 2 mins.
2024-11-30 23:27:19,546 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-10][[]] cisco.cpm.posture.runtime.PostureHandlerImpl -:08C9C50A000000147BE04019:alice:::- Device with session id: 08C9C50A0000001A7E3D5087, client mac: B4-96-91-26-EB-A1 - has grace period: 2. Marking posture status as compliant

9. بعد انتهاء فترة السماح، ترسل وحدة AC التقرير الفاشل إلى ISE. يتحقق ISE من فترة السماح في قاعدة البيانات ويجد أنها منتهية الصلاحية. بعد ذلك، فإنه يضع علامة على الجلسة كغير تشكي ويزيل LastCompExpiryTime و GracePeriodTime من DB:

2024-11-30 23:29:23,289 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-4][[]] cisco.cpm.posture.runtime.GracePeriodManager -:08C9C50A000000177E20CE15:alice:::- value from cache 1732989439545 and db 1732989439545
2024-11-30 23:29:23,289 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-4][[]] cisco.cpm.posture.runtime.GracePeriodManager -:08C9C50A000000177E20CE15:alice:::- getGracePeriodAndUpdate - StartTime 1732989439545
2024-11-30 23:29:23,289 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-4][[]] cisco.cpm.posture.runtime.GracePeriodManager -:08C9C50A000000177E20CE15:alice:::- Calculated the GracePeriod exp in min 0
2024-11-30 23:29:23,289 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-4][[]] cisco.cpm.posture.runtime.PostureHandlerImpl -:08C9C50A000000177E20CE15:alice:::- GracePeriod value is 0 and removeUser
2024-11-30 23:29:23,289 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-4][[]] cisco.cpm.posture.edf.PostureUdid -:08C9C50A000000177E20CE15:alice:::- Starting new thread for updateGracePeriodTime
2024-11-30 23:29:23,289 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-4][[]] cisco.cpm.posture.runtime.GracePeriodManager -:08C9C50A000000177E20CE15:alice:::- remove user from expiry list
2024-11-30 23:29:23,289 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-4][[]] cisco.cpm.posture.edf.PostureUdid -:08C9C50A000000177E20CE15:alice:::- Starting new thread for updateLastCompExpiryTime
2024-11-30 23:29:23,289 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-4][[]] cisco.cpm.posture.edf.PostureUdid -:08C9C50A000000177E20CE15:alice:::- Starting new thread for updateGracePeriodTime

10. إذا أعيد اتصال البرلمان الأوروبي مرة أخرى وأصبح غير متذمر، فإن معيار ISE لا يحترم فترة السماح لسياسة الوضع. نظرا لأن فترة التوافق الأخيرة قد انتهت بالفعل، ويتم تحديث الجلسة بشكل مباشر على أنها غير متعلقة بالشكوى.

2024-12-01 00:49:40,004 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-6][[]] cisco.cpm.posture.runtime.PostureHandlerImpl -:08C9C50A000000177E20CE15:alice:::- handleGracePeriod - Last compliant period expired for device with mac: B4-96-91-26-EB-A1.

السيناريو الثاني: تعطيل إيجار الوضع مع ذاكرة التخزين المؤقت آخر حالة معروفة متوافقة مع الوضع

Disable Posture Lease

1. في هذه الحالة، وبشكل افتراضي، يقوم ISE بتحديث آخر وقت انتهاء صلاحية للتوافق إلى 365 يوما في قاعدة البيانات.

2. بما أن تأجير الوضع غير ممكن، يحدث التحقق من الوضع ويصبح EP شكوى بعد أن يقوم ISE بتحديث وقت انتهاء الصلاحية المتوافق الأخير إلى 365 يوما في قاعدة البيانات.

2024-12-01 00:58:17,191 DEBUG [PolicyEngineEvaluationThread-12][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- Posture status in session is not compliant
2024-12-01 00:58:17,191 DEBUG [PolicyEngineEvaluationThread-12][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- fast reconnect is not enabled. Posture status retrieved from LSD for B4-96-91-26-EB-A1 is Unknown
2024-12-01 00:58:17,191 DEBUG [PolicyEngineEvaluationThread-12][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- PostureStatusPIP for mac B4-96-91-26-EB-A1 - Attribute Session.PostureStatus value is Unknown

2024-12-01 00:58:56,722 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-10][[]] cisco.cpm.posture.runtime.PostureHandlerImpl -:08C9C50A000000147BE04019:alice:::- handleGracePeriod - Device is compliant. Removing device with mac: B4-96-91-26-EB-A1 from grace period map

2024-12-01 00:58:56,723 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-10][[]] cisco.cpm.posture.runtime.GracePeriodUtil -:08C9C50A000000147BE04019:alice:::- Last cache time period is not set, setting lastCompliant expiry time to 365 days
2024-12-01 00:58:56,723 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-10][[]] cisco.cpm.posture.runtime.GracePeriodUtil -:08C9C50A000000147BE04019:alice:::- updating grace period for device with udid: 6d8a638f9acadd2851a6cd7eae947060a898ebc1 , maclist: [B4:96:91:26:EB:A1], grace period expiry time 1764530936723 <------------Updating last known compliance status in DB (LAST_COMP_EXPIRY)
2024-12-01 00:58:56,723 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-10][[]] cisco.cpm.posture.edf.PostureUdid -:08C9C50A000000147BE04019:alice:::- Starting new thread for updateLastCompExpiryTime

السيناريو 3: أثر دليل الجلسات الخفيفة (LSD) على تأجير الوظائف

1. لا يؤثر تمكين LSD أو تعطيله على تأجير الوضع وحالة التوافق الأخيرة حيث يتم تخزين كل من هذه السمات في قاعدة بيانات Oracle ويتم نسخها عبر النشر. حيث أن، LSD يخزن خصائص EP المحدودة في الذاكرة وينسخ إلى PSNs أخرى.

عند تمكين LSD:

2. لتمكين LSD، انتقل إلى الإدارة > النظام > الإعدادات > توزيع البيانات الضوئي > التحقق من دليل جلسة RADIUS.

Enable LSD

3. يتصل EP للمرة الأولى ويعالج التحقق من الوضع. بمجرد أن تصبح EP متوافقة، فإنها تحدث تأجير الوضع وآخر سمات التوافق المعروفة في قاعدة البيانات:

2024-12-02 19:36:43,274 DEBUG [PolicyEngineEvaluationThread-11][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- fast reconnect is enabled
2024-12-02 19:36:43,276 WARN [PolicyEngineEvaluationThread-11][[]] cisco.cpm.posture.runtime.PostureManager -:::::- Cannot find endpoint B4-96-91-26-EB-A1 in end point DB
2024-12-02 19:36:43,276 INFO [PolicyEngineEvaluationThread-11][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- not able to find user name in posture pip for B4-96-91-26-EB-A1 08C9C50A0000002B87B7D6EC. Set posture status to unknown

2024-12-02 19:37:27,164 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-5][[]] cisco.cpm.posture.runtime.PostureManager -:08C9C50A000000227EB700E6::::- posture expriy time retrieved from DB is "" for B4-96-91-26-EB-A1



2024-12-02 19:37:29,110 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-6][[]] cisco.cpm.posture.runtime.GracePeriodUtil -:08C9C50A0000002B87B7D6EC:alice:::- updating grace period for device with udid: 6d8a638f9acadd2851a6cd7eae947060a898ebc1 , maclist: [B4:96:91:26:EB:A1], grace period expiry time 1733321249110 <--------------------Updated last known compliance status in DB



2024-12-02 19:37:29,113 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-6][[]] cisco.cpm.posture.runtime.PostureManager -:08C9C50A0000002B87B7D6EC:alice:::- posture_bypass_test is null fast reconnect expiry time is 1733234849113 2024-12-03T19:37:29.113+0530
2024-12-02 19:37:29,113 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-6][[]] cisco.cpm.posture.runtime.PostureManager -:08C9C50A0000002B87B7D6EC:alice:::- updating fast reconnect for end point B4:96:91:26:EB:A1 with 1 days of expiry time 1733234849113 <------Updated posture lease in DB

4. هذه هي السمات في LSD التي يتم توزيعها عبر PSN. لا يمكنك مشاهدة إيجار الوضع أو حالة التوافق الأخيرة في السمات:

2024-12-02 19:37:32,221 DEBUG [LSD-consumers-pool-28][[]] cisco.cpm.lsd.service.SessionDirectory -:::::- Updating session sessionID:[08C9C50A0000002B87B7D6EC] status:[Authenticated] randomId:[0352b361-e72a-40e7-a0c8-b1ef779f73a5] auditSessionID:[08C9C50A0000002B87B7D6EC] accountingSessionID:[null] endpointMAC:[B4-96-91-26-EB-A1] callingStationId: [B4-96-91-26-EB-A1] endpointIP:[10.197.201.180], IPv6 : [[]], psnIP:[10.127.197.170] psnFQDN: [labpsn01.vmlab.local] deviceIP:[10.197.201.8] destinationIP:[10.127.197.170] nasIP:[10.197.201.8] nasIPv6:[null] postureStatus: [Compliant] timeStamp:[1733148451] cts:security-group-tag:[7] cts:vn:[null] proxyFlow:[null] retry count : 1

5. الآن، قم بمصادقة EP مع PSN آخر في النشر. بعد أن يقع طلب المصادقة على PSN آخر، أنت يستطيع رأيت PSN يسترجع الوضع تأجير وقت من ال DB ويعلم الجلسة مباشرة كمتوافق. يمكن التحقق من نفس الإجراء من السجلات المباشرة:

2024-12-02 20:08:27,449 DEBUG [PolicyEngineEvaluationThread-5][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- Posture status in session is not compliant
2024-12-02 20:08:27,449 DEBUG [PolicyEngineEvaluationThread-5][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- fast reconnect is enabled
2024-12-02 20:08:27,468 DEBUG [PolicyEngineEvaluationThread-5][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- Querying posture expiry time by MAC B4-96-91-26-EB-A1
2024-12-02 20:08:27,471 DEBUG [PolicyEngineEvaluationThread-5][[]] cisco.cpm.posture.runtime.PostureManager -:::::- posture expriy time retrieved from DB is "1733234849113" for B4-96-91-26-EB-A1
2024-12-02 20:08:27,471 DEBUG [PolicyEngineEvaluationThread-5][[]] cisco.cpm.posture.runtime.PostureManager -:::::- posture lease expiry time 1733234849113 2024-12-03T19:37:29.113+0530 for B4-96-91-26-EB-A1
2024-12-02 20:08:27,472 DEBUG [PolicyEngineEvaluationThread-5][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- retrieved fast reconnect expiry time 1733234849113 2024-12-03T19:37:29.113+0530 for B4-96-91-26-EB-A1
2024-12-02 20:08:27,472 DEBUG [PolicyEngineEvaluationThread-5][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- B4-96-91-26-EB-A1 is within fast reconnect expiry

PSN Marks Session as Compliant

عند تعطيل LSD:

1. لتعطيل LSD، انتقل إلى الإدارة > النظام > الإعدادات > توزيع البيانات الضوئي > إلغاء تحديد دليل جلسة RADIUS.

Disable LSD

2. يربط EP لأول مرة ويمر بعمليات من خلال الوضع. بمجرد أن يتوافق EP مع EP، فإنه يعمل على تحديث تأجير الوضع وآخر سمات التوافق المعروفة في قاعدة البيانات:

2024-12-02 20:40:10,417 DEBUG [PolicyEngineEvaluationThread-9][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- fast reconnect is enabled
2024-12-02 20:40:10,423 WARN [PolicyEngineEvaluationThread-9][[]] cisco.cpm.posture.runtime.PostureManager -:::::- Cannot find endpoint B4-96-91-26-EB-A1 in end point DB
2024-12-02 20:40:10,423 INFO [PolicyEngineEvaluationThread-9][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- not able to find user name in posture pip for B4-96-91-26-EB-A1 08C9C50A0000003087F1EE30. Set posture status to unknown



2024-12-02 20:40:45,679 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-1][[]] cisco.cpm.posture.runtime.GracePeriodUtil -:08C9C50A0000002E87E4FE87:alice:::- updating grace period for device with udid: 6d8a638f9acadd2851a6cd7eae947060a898ebc1 , maclist: [B4:96:91:26:EB:A1], grace period expiry time 1733325045679<--------------------Updated last known compliance status in DB (LAST_COMP_EXPIRY)



2024-12-02 20:40:45,682 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-1][[]] cisco.cpm.posture.runtime.PostureManager -:08C9C50A0000002E87E4FE87:alice:::- posture_bypass_test is null fast reconnect expiry time is 1733238645682 2024-12-03T20:40:45.682+0530
2024-12-02 20:40:45,682 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-1][[]] cisco.cpm.posture.runtime.PostureManager -:08C9C50A0000002E87E4FE87:alice:::- updating fast reconnect for end point B4:96:91:26:EB:A1 with 1 days of expiry time 1733238645682<------Updated posture lease in DB (EDF_POSTUREEXPIRY)

3. الآن، قم بمصادقة EP مع PSN آخر في النشر. ما إن يهبط طلب المصادقة على PSN آخر، أنت يستطيع رأيت ال PSN يسترد الوضع تأجير وقت من ال DB وهو يعلم الجلسة مباشرة أن متوافق. يمكنك التحقق من هذا من السجلات المباشرة:

2024-12-02 20:49:56,115 DEBUG [PolicyEngineEvaluationThread-10][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- Posture status in session is not compliant
2024-12-02 20:49:56,115 DEBUG [PolicyEngineEvaluationThread-10][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- fast reconnect is enabled
2024-12-02 20:49:56,119 DEBUG [PolicyEngineEvaluationThread-10][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- Querying posture expiry time by MAC B4-96-91-26-EB-A1
2024-12-02 20:49:56,123 DEBUG [PolicyEngineEvaluationThread-10][[]] cisco.cpm.posture.runtime.PostureManager -:::::- posture expriy time retrieved from DB is "1733238645682" for B4-96-91-26-EB-A1
2024-12-02 20:49:56,123 DEBUG [PolicyEngineEvaluationThread-10][[]] cisco.cpm.posture.runtime.PostureManager -:::::- posture lease expiry time 1733238645682 2024-12-03T20:40:45.682+0530 for B4-96-91-26-EB-A1
2024-12-02 20:49:56,123 DEBUG [PolicyEngineEvaluationThread-10][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- retrieved fast reconnect expiry time 1733238645682 2024-12-03T20:40:45.682+0530 for B4-96-91-26-EB-A1
2024-12-02 20:49:56,123 DEBUG [PolicyEngineEvaluationThread-10][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- B4-96-91-26-EB-A1 is within fast reconnect expiry

Final Posture Status

من هذين السيناريوهين، يمكنك تأكيد أن LSD لا يؤثر على تأجير Posture (وضعية).

الأسئلة المتكررة

س: هل كل من تأجير الوضع والمخزن مؤقتا هو آخر موقف معروف ومستقل عن الآخر؟

ج: نعم، يمكن تمكين تأجير الوضع دون تمكين "آخر وضع معروف" المخزن مؤقتا والعكس بالعكس. يقوم تأجير الوضع بحفظ تمثال التوافق مع نقطة النهاية كسمة نقطة نهاية لمقدار الوقت الذي تم تكوينه. يمثل "الوضع الأخير المعروف" المخزن مؤقتا الوقت الذي تم حفظه في قاعدة البيانات والذي يتم خلاله توفير فترة السماح إذا أصبحت نقطة النهاية غير متوافقة (هذه ليست سمة نقطة نهاية.)

س: هل تم نسخ كل من تأجير الوضع وذاكرة التخزين المؤقت لآخر حالة معروفة عبر العقد؟

أ: يعد "تأجير الوضع" سمة نقطة نهاية ويتم نسخه نسخا متماثلا عبر جميع العقد. لا يعد Last Known Posture (وضعية آخر معروفة) المخزنة مؤقتا سمة نقطة نهاية، ومع ذلك، فإن القيمة موجودة في قاعدة بيانات Oracle، ويتم نسخها أيضا نسخا متماثلا إلى جميع العقد.

س: هل يؤدي إعادة تشغيل العقدة إلى إزالة هذه القيم؟

A: لا، حيث يتم حفظ كليهما في قاعدة بيانات Oracle ولا تؤدي إعادة تحميل هذه العقد إلى إزالة القيم.

س: هل يتسبب التأجير في أي مشكلة تتعلق بالأمان؟

أ: عند تمكين تأجير الوضع، لا يتحقق ISE من حالة الوضع لنقطة النهاية. يمكن أن يتسبب في مشكلة أمان إذا كانت نقطة النهاية غير متوافقة، ويمكن أن يتعامل ISE مع الأمر على أنه شكوى. من المستحسن إستخدام إعادة تقييم الوضع مع تأجير Posture لتقليل هذه المخاطر.

العيوب المعروفة

  • معرف تصحيح الأخطاء من Cisco CSCwk07454 - لا تقوم PSN بتحديث DB باستخدام وقت انتهاء صلاحية تأجير الوضع الصحيح
  • معرف تصحيح الأخطاء من Cisco CSCwi58421 - لا تقوم عقدة PSN بتحديث DB مع وقت انتهاء صلاحية الوضع الصحيح عند تمكين تأجير Posture

محفوظات المراجعة

المراجعة تاريخ النشر التعليقات
2.0
19-Aug-2026
المقدمة المحدثة، التدقيق الإملائي، النحوي، الأسطر الأفقية المدخلة إلى المقاطع المنفصلة من أجل إمكانية القراءة، عناوين URL الثابتة، وأخطاء CCW.
1.0
20-Mar-2025
الإصدار الأولي
TAC Authored

تمت المساهمة بواسطة مهندسو Cisco

  • Swajal Sarkar
    Technical Consulting Engineer

هل كان هذا المستند مفيدًا؟

Feedbackالتعليقات

اتصل بنا