فهم غرض خدمات ISE واستكشاف الأخطاء وإصلاحها

المقدمة

يوضح هذا المستند خدمات ISE والغرض منها واستكشاف الأخطاء وإصلاحها.

المتطلبات الأساسية

RADIUS

---

المتطلبات

cisco يوصي أن يتلقى أنت معرفة على:

• محرك خدمات الهوية من Cisco

---

المكونات المستخدمة

لا يقتصر المستند على أي إصدارات برامج ومكونات مادية معينة من محرك خدمات الهوية من Cisco.

---

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

---

معلومات أساسية

محرك خدمات الهوية من Cisco (ISE) هو حل شامل مصمم لتوفير أمان شبكة متقدم من خلال الإدارة المركزية للسياسات والمصادقة والتفويض والمحاسبة (AAA). وهو يمكن المؤسسات من إدارة الوصول إلى الشبكة للمستخدمين والأجهزة والتطبيقات مع ضمان الأمان والتوافق وتوفير خبرات المستخدم السلسة في نفس الوقت.

لتحقيق هذه الأهداف، يستخدم Cisco ISE مجموعة من الخدمات، يتحمل كل منها المسؤولية عن مهام محددة تمكن النظام من العمل بكفاءة. وتعمل هذه الخدمات معا لضمان الوصول الآمن إلى الشبكة وتنفيذ السياسات بشكل فعال والتسجيل التفصيلي والدمج السلس مع الأنظمة الخارجية وإعداد ملفات تعريف الأجهزة بكفاءة.

---

تلعب كل خدمة في معرض ISE دورا حيويا في الحفاظ على تكامل الحل وتوفره. تقوم بعض الخدمات بمعالجة الوظائف الأساسية، مثل إدارة قاعدة البيانات والمصادقة، بينما تعمل خدمات أخرى على تمكين الميزات المتقدمة مثل إنشاء ملفات تعريف الأجهزة وإدارة الشهادات والمراقبة.

تقدم هذه المقالة نظرة عامة على الخدمات المختلفة في Cisco ISE، موضحة الغرض منها وأهميتها وخطوات أستكشاف الأخطاء وإصلاحها المحتملة إذا واجهت مشاكل. سواء كنت مسؤولا أو محترفا لأمان الشبكة، فإن فهم هذه الخدمات يساعد على ضمان تشغيل عملية نشر خدمات البنية الأساسية (ISE) لديك بسلاسة وأمان.

---

فهم خدمات ISE واستكشاف أخطائها وإصلاحها

يتم إستخدام الخدمات المذكورة في لقطة الشاشة التالية من قبل شركة ISE لدعم أدائها لوظائفها. تحقق من الحالة أو الخدمات المتوفرة في ISE من خلال تشغيل الأمر show application status ise عبر CLI (واجهة سطر الأوامر) لعقدة ISE. هذا نموذج للمخرجات يعرض الحالة أو الخدمات المتاحة على ISE:

---

الخدمات المتوفرة في ISE.

---

والآن، ألق نظرة عن كثب على كل خدمة بالتفصيل.

---

مستمع قاعدة البيانات

تعد خدمة Database Listener مكونا هاما يساعد في إدارة الاتصال بين ISE وخادم قاعدة البيانات. ويقوم باستماع الطلبات المتعلقة بقاعدة البيانات ومعالجتها، مما يضمن إمكانية قراءة نظام ISE من قاعدة البيانات الأساسية الخاصة به والكتابة إليها.

---

النقاط الأساسية الموجودة في خدمة موزع بيانات البيانات في ISE

1. واجهة الاتصال: يعمل كجسر إتصالات بين ISE وخادم قاعدة البيانات، مما يتيح للنظام إسترداد البيانات وتخزينها مثل بيانات اعتماد المستخدم ومعلومات جلسة العمل وسياسات الشبكة وغير ذلك الكثير.

2. دعم قاعدة البيانات الخارجية: يمكن تكوين ISE لاستخدام قاعدة بيانات خارجية (مثل Oracle أو Microsoft SQL Server) لمصادقة المستخدم وتخزين النهج. تضمن خدمة Database Listener إمكانية اتصال ISE بقاعدة البيانات الخارجية هذه والتفاعل معها بشكل آمن وفعال.

3. معالجة البيانات: تقوم الخدمة بالاستماع إلى استعلامات قاعدة البيانات من نظام ISE وترجمتها إلى الإجراءات المناسبة على قاعدة البيانات الخارجية. كما يمكنه معالجة الطلبات مثل إدراج السجلات أو تحديثها أو حذفها واسترداد المعلومات من قاعدة البيانات.

4. مراقبة سلامة قاعدة البيانات: وبالإضافة إلى توفير قناة الاتصال، فإنها تساعد أيضا في ضمان إستقرار الاتصال بقاعدة البيانات الخارجية وتشغيله. وفي حالة فشل التوصيل، يرجع ISE إلى التخزين المحلي أو يدخل في وضع مخفض بناء على التهيئة.

---

خادم قاعدة البيانات

خدمة خادم قاعدة البيانات مسؤولة عن إدارة تخزين واسترداد البيانات المستخدمة بواسطة النظام. وهو يعالج التفاعل مع قاعدة البيانات التي يستخدمها ISE لتخزين التكوين ومعلومات النهج وبيانات المستخدم وسجلات المصادقة وتوصيفات الأجهزة ومعلومات ضرورية أخرى.

---

النقاط الرئيسية على خدمة خادم قاعدة البيانات في ISE

1. التخزين الداخلي للبيانات: تقوم خدمة خادم قاعدة البيانات في المقام الأول بإدارة قاعدة البيانات الداخلية المضمنة التي يستخدمها ISE لتخزين بيانات التشغيل محليا. ويتضمن ذلك بيانات مثل سجلات المصادقة والتفويض، وملفات تعريف المستخدمين، وسياسات الوصول إلى الشبكة، ومعلومات الجهاز والنقطة النهائية، ومعلومات جلسة العمل.

2. قاعدة البيانات المضمنة: في معظم عمليات نشر Cisco ISE، يستخدم النظام قاعدة بيانات PostgreSQL مضمنة للتخزين المحلي. تضمن "خدمة خادم قاعدة البيانات" عمل قاعدة البيانات هذه بشكل سلس، كما تعالج كافة الاستعلامات والتحديثات ومهام الإدارة المتعلقة بالبيانات المخزنة بداخلها.

3. تكامل قاعدة البيانات: تضمن الخدمة معالجة كافة الحركات بشكل صحيح والحفاظ على سلامة قاعدة البيانات. وهو يعالج مهام مثل تأمين السجلات وإدارة إتصالات قاعدة البيانات وتنفيذ استعلامات قاعدة البيانات.

---

التحقق من تهيئة مستمع قاعدة البيانات وخدمات خادم قاعدة البيانات أو عدم تشغيلها واستكشاف أخطائها وإصلاحها

يعد Database Listener و Database Server خدمتين أساسيتين يجب تشغيلهما معا حتى تعمل كافة الخدمات الأخرى بشكل صحيح. إذا لم تكن هذه الخدمات قيد التشغيل أو في حالة توقف أثناء التهيئة، فإن خطوات أستكشاف الأخطاء وإصلاحها هذه تساعد في الاسترداد. 

---

1. قم بإعادة تشغيل خدمات ISE من خلال تشغيل أوامر ISE و Start ISE الخاصة بالتطبيق.

2. إذا كانت هذه عقدة VM، فيجب أن تساعد إعادة تشغيل العقدة من VM في إسترداد الخدمات.

3. إذا كانت العقدة عقدة فعلية، فيجب أن تساعد إعادة تشغيل/إعادة تحميل العقدة من CIMC في إسترداد الخدمات.

4. إن القاعدة أفسدت، اتصل ب cisco TAC لبعيد يتحرى. 

---

عادة ما يكون Database Listener و Database Server معرضين للأسفل أو في حالة فشل البدء عند وجود أختلاف في قاعدة البيانات أو عندما تكون قاعدة البيانات غير قادرة على التهيئة بشكل صحيح. في هذه الحالات، يجب أن يساعد تنفيذ إعادة ضبط التطبيق باستخدام الأمر reset-config ise في الاسترداد وبدء قاعدة البيانات حديثا. يؤدي تشغيل الأمر reset-config ise للتطبيق إلى إزالة التكوينات والشهادات، ولكن يتم الاحتفاظ بتفاصيل عنوان IP واسم المجال. يوصى بالاتصال ب Cisco TAC للحصول على مزيد من المعلومات وفهم التأثير المحتمل قبل تطبيق هذا الأمر على أي عقدة في النشر.

---

خادم التطبيق

يعد Application Server مكونا أساسيا مسؤولا عن تشغيل الوظائف والخدمات الأساسية للنظام الأساسي ISE وإدارتها. وهو يستضيف منطق الأعمال وواجهات المستخدم والخدمات التي تسمح لمدير خدمات الإنترنت (ISE) بأداء دوره في التحكم في الوصول إلى الشبكة والمصادقة والتفويض والمحاسبة وإدارة السياسة.

---

النقاط الأساسية على خدمة خادم التطبيق في ISE

1. واجهة المستخدم (UI): خدمة خادم التطبيق مسؤولة عن تقديم واجهة المستخدم المستندة إلى الويب (UI) ل ISE. وهذا يسمح للمسؤولين بتكوين السياسات وإدارتها وعرض السجلات والتقارير والتفاعل مع ميزات أخرى ل ISE.

2. إدارة الخدمات: وهو مسؤول عن معالجة مختلف الخدمات التي يقدمها المعهد؛ بما في ذلك إدارة السياسات والمهام الإدارية والاتصال بعقد ISE الأخرى في عملية نشر موزعة.

3. المعالجة المركزية: تلعب خدمة خادم التطبيقات دورا مركزيا في بنية ISE، مما يوفر المنطق الذي يفسر السياسات وطلبات المصادقة والبيانات من أجهزة الشبكة والدلائل والخدمات الخارجية.

---

يتم الآن تهيئة التحقق لخادم التطبيق أو لا يتم تشغيله

يعتمد خادم التطبيق على تطبيقات الويب مثل الشهادات والموارد والنشر والتراخيص. عند فشل تهيئة أي من تطبيقات ويب، يبقى خادم التطبيق غير متنقل في حالة التهيئة. يستغرق خادم التطبيق من 15 إلى 35 دقيقة تقريبا من حالة عدم تشغيل → التهيئة → قيد التشغيل، وذلك وفقا لبيانات التكوين الموجودة على العقدة.

---

1. تأكد من أن شهادة Admin الخاصة ب ISE صالحة ونشطة في النشر لجميع العقد.
2. تأكد من أن كافة العقد في النشر متزامنة مع عقدة Primary Admin.
3. إذا كانت العقدة VM، فتأكد من تخصيص الموارد الموصى بها للعقدة.

تحقق من حالة خادم التطبيق من خلال تشغيل الأمر show application status ise من واجهة سطر الأوامر (CLI) لعقدة ISE. تتوفر معظم السجلات المتعلقة بخادم التطبيق ضمن ملفات Catalyina.Out و Localhost.log.

إذا تم الوفاء بالشروط وبقي خادم التطبيق غير متنقل في حالة التهيئة، فقم بتأمين حزمة الدعم من واجهة سطر الأوامر/واجهة المستخدم الرسومية (ISE). قم باسترداد/إعادة تشغيل الخدمات عن طريق تشغيل أوامر إيقاف التطبيق وبدء تشغيل التطبيق.

---

قاعدة بيانات محلل

يتم إستخدام قاعدة بيانات منشئ ملفات التعريف لتخزين المعلومات على أجهزة الشبكة ونقاط النهاية وملفات تعريف الأجهزة التي تم اكتشافها بواسطة خدمة "منشئ ملفات التعريف". وهذا مكون هام من ISE الذي يحدد ويصنف أجهزة الشبكة تلقائيا (مثل أجهزة الكمبيوتر والهواتف الذكية والطابعات وأجهزة الإدخال/الإخراج وما إلى ذلك) استنادا إلى خصائص الشبكة وسلوكياتها.

---

النقاط الأساسية حول خدمة قاعدة بيانات منشئ ملفات التعريف في ISE

1. تحديد مواصفات الأجهزة: تتمثل الوظيفة الرئيسية لخدمة قاعدة بيانات عوامل التعريف في دعم عملية إنشاء ملفات التعريف. يستخدم ISE هذه الخدمة لتخزين المعلومات التي تجمعها أثناء عملية تحديد الهوية، مثل:

• نوع الجهاز (على سبيل المثال، الهاتف الذكي، الكمبيوتر المحمول، الطابعة، أجهزة الإنترنت، وما إلى ذلك)
• نظام (أنظمة) تشغيل الجهاز (مثال فرعي، نظام التشغيل ®Windows و®MacOS و®Cisco IOS و®Android)
• الشركة المصنعة للجهاز
• سلوكيات أو أنماط الشبكة التي تساعد في تصنيف الأجهزة

2. معلومات منشئ ملفات التعريف: يخزن خصائص منشئ ملفات التعريف مثل ملفات تعريف الأجهزة والبرامج الخاصة بالجهاز، والتي تستخدم لمطابقة الأجهزة بالنهج المحددة مسبقا. تستخدم هذه المعلومات لتعيين الأجهزة ديناميكيا إلى سياسات الوصول إلى الشبكة أو شبكات VLAN الصحيحة بناء على ملف التعريف الخاص بها.

3. عملية التنميط: تستند عملية التنميط عادة إلى:

• التحليل النشيط: يقوم ISE باستعلام الأجهزة الموجودة على الشبكة بشكل نشط للحصول على المعلومات.
• التنميط السلبي: يقوم ISE بجمع البيانات بشكل سلبي من حركة مرور الشبكة، مثل طلبات DHCP، وسمات RADIUS، ورؤوس HTTP، وبروتوكولات الشبكة الأخرى لتحديد نوع الجهاز.

---

التحقق من خدمات إنشاء ملفات تعريف ISE واستكشاف أخطائها وإصلاحها

1. من واجهة سطر أوامر (CLI) ISE، قم بتشغيل الأمر show application status ise للتحقق من تشغيل خدمة قاعدة بيانات منشئ ملفات التعريف.

2. من واجهة المستخدم الرسومية (GUI) لعقدة الإدارة الأساسية، انتقل إلى الإدارة > النشر > تحديد العقدة. انقر فوق تحرير خدمات جلسة العمل والتحقق منها، وتأكد من تمكين خدمات إنشاء ملفات التعريف. 

3. انتقل الآن إلى إدارة > نشر > تحديد العقدة. انتقل إلى تكوين منشئ ملفات التعريف وتحقق من تمكين الاختبارات المطلوبة لتأمين بيانات نقطة النهاية. 

4. انتقل إلى الإدارة > النظام > إنشاء ملفات التعريف وتحقق من تكوين إعدادات منشئ ملفات التعريف ل CoA. 

5. من إمكانية رؤية السياق > نقاط النهاية، حدد نقاط النهاية وقم بالتحقق من السمات التي تم تجميعها بواسطة مستكشفات مختلفة لنقاط النهاية.

---

تصحيح أخطاء مفيد لاستكشاف أخطاء التحليل وإصلاحها:

• منشئ ملفات التعريف (profiler.log) 
• Runtime-AAA (prrt-server.log)
• nsf (ise-psc.log)
• nsf-session (ise.psc.log)

---

محرك فهرسة ISE

يعد "محرك الفهرسة" خدمة مسؤولة عن البحث والفهرسة واسترجاع البيانات المخزنة في قاعدة بيانات ISE بكفاءة. وهو يعزز الأداء وقابلية التطوير المعهودة في تقنية المعلومات التصنيفية (ISE)، لا سيما عندما يتعلق الأمر بالتعامل مع كميات كبيرة من البيانات وتوفير إمكانية الوصول السريع إلى المعلومات المطلوبة لمهام المصادقة والتفويض والمراقبة والإبلاغ.

---

النقاط الأساسية حول محرك فهرسة ISE في ISE

1. فهرسة البيانات: يقوم محرك فهرسة ISE بإنشاء فهارس لأنواع مختلفة من البيانات المخزنة في ISE، مثل سجلات المصادقة وسجلات الجلسات وعمليات البحث في السياسة وبيانات إنشاء ملفات التعريف وسجلات الوصول إلى الشبكة. تساعد الفهرسة على تنظيم البيانات التي تضمن أن البحث والاستعلام أكثر فعالية.

2. إدارة السجلات وإعداد التقارير: تؤدي هذه الخدمة دورا حيويا في إدارة السجلات عن طريق تحسين أداء التقارير والاستفسارات المتعلقة بالسجلات. عند البحث عن أحداث مصادقة معينة، يتيح محرك الفهرسة إمكانية إسترداد السجلات المطلوبة بشكل أسرع، وهو ما يعد أمرا بالغ الأهمية لمراقبة الأمان وإعداد تقارير التوافق.

3. إسترداد البيانات: كما أن محرك الفهرسة مسؤول عن ضمان إمكانية إسترداد ISE للبيانات المفهرسة من قاعدة البيانات الأساسية الخاصة به بكفاءة عند الحاجة. وهذا يسمح ل ISE بتوفير استجابات سريعة للاستفسارات من واجهة المستخدم أو الأدوات الخارجية أو واجهات برمجة التطبيقات.

---

تحقق من عدم تشغيل محرك فهرسة ISE أو تهيئته

1. تحقق من أن عمليات بحث DNS الأمامية والعكسية تعمل أو أن جميع العقد في نظام المجموعة عبر CLI تستخدم الأمر <FQDN / IP lookup من عقدة ISE>. 
2. تحقق من أن "شهادات مسؤول ISE" صالحة ونشطة لجميع العقد في نظام المجموعة.
3. تحقق من أن NTP يعمل بشكل متزامن مع عقد ISE عبر CLI عن طريق تشغيل الأمر show ntp. 

يتم إستخدام محرك الفهرسة بواسطة "رؤية السياق" ويجب أن يكون "محرك الفهرسة" قيد التشغيل والتشغيل حتى يمكن تشغيل "رؤية السياق" بشكل صحيح. السجلات المفيدة التي تساعد على أستكشاف الأخطاء وإصلاحها هي ملفات ADE.log. يمكن تأمين هذه الأجهزة من حزمة الدعم أو الحصول عليها عبر واجهة سطر الأوامر (CLI) من خلال تشغيل الأمر show logging system ade/ADE.log tail عند ظهور المشكلة. 

---

موصل الإعلان

موصل AD (موصل Active Directory) عبارة عن خدمة تسمح ل ISE بالدمج مع Microsoft Active Directory (AD)، مما يمكن ISE من مصادقة المستخدمين وتخويلهم وإدارتهم بناء على مسوغات AD وعضويات المجموعة. يعمل موصل AD كجسر بين ISE و Active Directory، مما يتيح ISE الاستفادة من AD للتحكم في الوصول إلى الشبكة (NAC) وتنفيذ السياسة. 

---

الوظائف الرئيسية لخدمة موصل AD في ISE

1. التكامل مع Active Directory: تعمل خدمة موصل AD كجسر بين ISE و Active Directory. وهو يسمح للتواجد المستقل بالتوصيل الآمن بالإعلان عن النشاط، مما يسمح للتواجد المستقل باستخدام AD كمخزن هوية مركزي لمصادقة المستخدم وتنفيذ السياسة.
2. التزامن: تدعم خدمة موصل AD مزامنة بيانات المستخدم والمجموعة من Active Directory إلى ISE. وهذا يضمن أن يكون لدى ISE معلومات محدثة عن المستخدمين والمجموعات، وهو أمر بالغ الأهمية لإنفاذ السياسات بشكل دقيق.
3. الاتصال الآمن: تنشئ خدمة موصل AD قنوات اتصال آمنة بين ISE و Active Directory، وعادة ما تستخدم بروتوكولات مثل LDAP عبر SSL (LDAP) لضمان خصوصية البيانات وسلامتها أثناء عمليات المصادقة والاستعلام.
4. دعم مجال Active Directory المتعدد: يمكن أن تدعم الخدمة الاتصالات بمجالات Active Directory المتعددة. وهذا مفيد بشكل خاص في البيئات كبيرة أو متعددة المجالات حيث يجب أن يقوم ISE بمصادقة المستخدمين من غابات AD أو مجالات مختلفة.
5. بحث عن المستخدم والمجموعة: وهذا يمكن ISE من الاستعلام عن AD لمعلومات المستخدم والمجموعة. يمكن أن يتضمن هذا تفاصيل مثل أسماء المستخدمين وعضويات المجموعات وسمات المستخدم الأخرى التي يمكن إستخدامها لفرض سياسات الوصول إلى الشبكة. على سبيل المثال، يمكن تطبيق سياسات الوصول إلى الشبكة بناء على عضوية المستخدم لمجموعة AD (على سبيل المثال: منح مستويات وصول مختلفة للمستخدمين في مجموعات مختلفة).

---

1. التحقق من مزامنة NTP مع العقد وفارق الوقت بين AD و ISE؛ يجب أن يكون أقل من 5 دقائق.

2. تحقق ما إذا كان يمكن لخادم DNS حل FQDN والمجالات ذات الصلة ب AD.

3. انتقل إلى عمليات > تقارير > تقارير > تشخيصات > عمليات موصل AD تحقق من الأحداث أو التقارير المتعلقة بالإعلان. 

السجلات المفيدة لاستكشاف الأخطاء وإصلاحها هي ad_agent.log مع سجلات تصحيح الأخطاء لمكون وقت التشغيل. 

---

قاعدة بيانات جلسات عمل M&T

تلعب قاعدة بيانات جلسات عمل M&T (قاعدة بيانات جلسات المراقبة واستكشاف الأخطاء وإصلاحها) دورا بالغ الأهمية في تخزين البيانات المتعلقة بجلسة العمل وإدارتها لأحداث الوصول إلى الشبكة. تحتوي قاعدة بيانات جلسة عمل M&T على معلومات حول جلسات العمل النشطة. ويتضمن ذلك مصادقة المستخدم واتصالات الجهاز وأحداث الوصول إلى الشبكة، والتي تعد ضرورية لمراقبة نشاط الشبكة واستكشاف أخطائه وإصلاحها وتحليله.

---

الوظائف الرئيسية لخدمة قاعدة بيانات جلسة عمل M&T في ISE

1. تخزين بيانات جلسة العمل: خدمة قاعدة بيانات جلسة عمل M&T مسؤولة عن تخزين وفهرسة جلسات بيانات المستخدم والجهاز على الشبكة. ويتضمن ذلك أوقات بدء جلسة العمل وانتهائها، ونتائج المصادقة، وهوية المستخدم أو الجهاز، والنهج المرتبطة (مثل تعيينات الأدوار أو تعيينات شبكة VLAN). كما تتضمن البيانات معلومات حسابات RADIUS التي تشرح دورة حياة الجلسة، بما في ذلك المصادقة الأولية وأي رسائل محاسبة تتعقب أحداث الجلسة.
2. بيانات تاريخية وفورية: توفر الخدمة الوصول إلى بيانات جلسة العمل في الوقت الفعلي (جلسات العمل النشطة) وبيانات جلسة العمل السابقة (جلسات العمل السابقة.) وهذا لا يمكن المسؤولين من مراقبة وصول المستخدم المستمر فحسب، بل يمكنهم أيضا من الرجوع إلى سجلات جلسات العمل السابقة للتحقق من المشاكل أو التحقق من صحة أحداث الوصول. تضمن مراقبة الجلسة في الوقت الفعلي عدم وجود أجهزة غير مصرح بها حاليا على الشبكة.
3. مراقبة محسنة: يوفر رؤى حول نشاط المستخدم والجهاز، بما في ذلك السياسات المطبقة على جلسات العمل، مما يساعد على اكتشاف المخاوف الأمنية المحتملة أو الوصول غير المصرح به.
4. التدقيق وإعداد التقارير: تسهيل مراجعة التوافق وإعداد التقارير من خلال تخزين سجل أحداث الشبكة الخاصة بالوصول وتوفير البيانات لإعداد التقارير التنظيمية.

---

التحقق من قاعدة بيانات جلسات عمل M&T واستكشاف أخطائها وإصلاحها في ISE

1. تحقق من تخصيص العقدة باستخدام الموارد الموصى بها.

2. قم بتأمين الدعم الفني show وتشغيله من واجهة سطر الأوامر (CLI) الخاصة ب ISE لمزيد من التحقق من المشكلة. 

3. قم بإعادة ضبط قاعدة بيانات جلسة عمل M&T من خلال تشغيل الأمر configure ise للتطبيق في واجهة سطر الأوامر (CLI) الخاصة ب ISE وحدد الخيار 1.

---

---

العيوب المعروفة: معرف تصحيح الأخطاء من Cisco 32364

---

معالج سجل M&T

معالج سجل M&T (معالج سجل المراقبة واستكشاف الأخطاء وإصلاحها) هو مكون مسؤول عن تجميع بيانات السجل التي تم إنشاؤها بواسطة خدمات مختلفة داخل ISE ومعالجتها وإدارتها. وهو جزء رئيسي من إطار عمل "المراقبة واستكشاف الأخطاء وإصلاحها" (M&T)، الذي يساعد المسؤولين على مراقبة أحداث الوصول إلى الشبكة ومحاولات المصادقة وتنفيذ السياسات والأنشطة الأخرى داخل نظام ISE واستكشاف أخطائها وإصلاحها. يتولى معالج سجل M&T معالجة إدخالات السجل بشكل خاص، مما يضمن أن بإمكان ISE تخزين المعلومات الضرورية وتحليلها وتقديمها لإعداد التقارير ومراجعة الحسابات واستكشاف الأخطاء وإصلاحها.

---

الوظائف الرئيسية لخدمة معالج سجل M&T في ISE

1. جمع السجلات ومعالجتها: تقوم خدمة معالج سجلات M&T بتجميع السجلات التي تم إنشاؤها بواسطة مكونات ISE المختلفة ومعالجتها، مثل طلبات المصادقة وقرارات التخويل ورسائل المحاسبة وأنشطة تنفيذ السياسة. تتضمن هذه السجلات معلومات تفصيلية حول المستخدمين والأجهزة ومحاولات الوصول إلى الشبكة، مثل الطوابع الزمنية ومعرفات المستخدمين وأنواع الأجهزة والسياسات المطبقة ونجاح طلبات الوصول أو فشلها وأسباب حالات الفشل.
2. الإبلاغ والتوافق: تعد السجلات التي تمت معالجتها بواسطة هذه الخدمة أمرا بالغ الأهمية لإعداد تقارير التوافق. تتطلب العديد من القواعد التنظيمية من المؤسسات الاحتفاظ بسجلات أحداث الأمان والوصول إلى المستخدمين. تضمن خدمة معالج سجلات M&T معالجة كافة السجلات ذات الصلة وتوفيرها لعمليات تدقيق التوافق التنظيمي. وهو يساعد في إنشاء تقارير تفصيلية تستند إلى بيانات السجل، مثل سجلات وصول المستخدم أو معدلات نجاح/فشل المصادقة أو سجلات تنفيذ السياسة.

---

التحقق من خدمة معالج سجل M&T واستكشاف أخطائها وإصلاحها في ISE

1. تأكد من نشر عقدة ISE مع الموارد الموصى بها لكل دليل تثبيت Cisco. 
2. للتحقق من المشكلة، قم بتشغيل الأمر show logging system ade/ADE.log tail من خلال واجهة سطر الأوامر (CLI) لمعيار ISE للتعرف على الاستثناءات/الأخطاء ذات الصلة.

العيوب المعروفة: Cisco بق ID15130

---

خدمة المرجع المصدق

تعد خدمة المرجع المصدق (CA) مكونا هاما يساعد في إدارة الشهادات الرقمية لتأمين الاتصالات وأجهزة التصديق والمستخدمين وخدمات الشبكة. تعد الشهادات الرقمية ضرورية لإنشاء إتصالات موثوق بها وضمان الاتصال الآمن بين العملاء (أجهزة الكمبيوتر والهواتف الذكية وأجهزة الشبكة) ومكونات البنية الأساسية للشبكة (المحولات ونقاط الوصول اللاسلكية وبوابات الشبكات الخاصة الظاهرية (VPN).) تعمل خدمة CA في Cisco ISE جنبا إلى جنب مع شهادات X.509، والتي يتم إستخدامها لأغراض متعددة في أمان الشبكة، بما في ذلك مصادقة 802.1X والوصول إلى الشبكة الخاصة الظاهرية (VPN) والاتصالات الآمنة وتشفير SSL/TLS.

---

الوظائف الرئيسية ل "خدمة مرجع الشهادات" في ISE

1. إدارة الشهادات: خدمة سلطة الشهادات مسؤولة عن إنشاء وإصدار وإدارة وتجديد الشهادات الرقمية داخل ISE. تستخدم هذه الشهادات لمختلف بروتوكولات المصادقة وأغراض التشفير عبر الشبكة. يمكنها إما العمل كمرجع تصديق داخلي أو التكامل مع مرجع مصدق خارجي (على سبيل المثال، Microsoft AD CS، مصارف عامة مثل VeriSign أو DigiCert) لإصدار شهادات.
2. اصدار الشهادات: بالنسبة للبيئات التي تتطلب EAP-TLS أو طرق مصادقة مماثلة مستندة إلى شهادة، يمكن أن يصدر ISE شهادات لأجهزة الوصول إلى الشبكة (NADs) أو المستخدمين أو نقاط النهاية. يمكن أن يقوم ISE بإنشاء ونشر الشهادات تلقائيا للأجهزة والمستخدمين المصدق عليهم، أو يمكنه طلب شهادات من مرجع مصدق خارجي.
   • تسجيل الشهادة: تدعم خدمة CA تسجيل الشهادة لنقاط النهاية، مثل أجهزة الكمبيوتر المحمولة والهواتف وأجهزة الشبكة الأخرى، والتي تحتاج إلى المصادقة على الشبكة باستخدام الشهادات. يستخدم ISE بروتوكولات مثل SCEP (بروتوكول تسجيل الشهادة البسيط) أو ACME (بيئة إدارة الشهادات المؤتمتة) لتسهيل تسجيل الشهادة للأجهزة.
   • تجديد الشهادة: تقوم هذه الخدمة بأتمتة تجديد الشهادات التي تنتهي صلاحيتها لكل من الأجهزة والمستخدمين. وهو يضمن أن تكون الشهادات صحيحة وحديثة دائما، مما يمنع انقطاع الخدمة الناجم عن الشهادات المنتهية الصلاحية.
3. التكامل مع هيئات التصديق الخارجية: بينما يمكن أن يعمل ISE كمرجع تصديق خاص به، فمن الشائع أكثر أن يتم التكامل مع مرجع مصدق خارجي (على سبيل المثال، خدمات شهادات Microsoft Active Directory). يمكن لخدمة CA إدارة التفاعل بين ISE و CA الخارجي، وطلب الشهادات للمستخدمين والأجهزة وموارد الشبكة حسب الحاجة.

---

خدمة EST

التسجيل عبر خدمة النقل الآمن (EST) هو بروتوكول يستخدم لإصدار الشهادات الرقمية بأمان لأجهزة الشبكة والمستخدمين في بيئة مصادقة تستند إلى شهادة. EST هو بروتوكول تسجيل شهادات يسمح للأجهزة بطلب شهادات من مرجع مصدق (CA) بطريقة آمنة ومؤتمتة. تكون خدمة EST مفيدة لمصادقة الجهاز، مثل بيئات 802.1X أو إتصالات VPN أو سيناريوهات BYOD (إحضار الجهاز الخاص بك)، حيث يجب أن تتم مصادقة الأجهزة إلى الشبكة باستخدام الشهادات.

---

الوظائف الرئيسية لخدمة EST في ISE

1. تسجيل الشهادة: وتكون خدمة EST مسؤولة عن تمكين تسجيل الشهادة الآمن للأجهزة (مثل المحولات أو نقاط الوصول أو نقاط النهاية) التي تتطلب شهادات للمصادقة. يتم إكمال التسجيل عبر النقل الآمن (مثل HTTPS)، مما يضمن تشفير العملية وحمايتها من الوصول غير المصرح به.
2. إلغاء الشهادة وتجديدها: وبمجرد تسجيل الشهادات، تلعب خدمة EST أيضا دورا في إدارة إبطال الشهادة أو تجديدها. على سبيل المثال، يجب أن تطلب الأجهزة شهادة جديدة عند انتهاء صلاحية الشهادة الحالية، ويمكن أن تساعد EST في أتمتة هذه العملية.
3. التحكم المحسن في الوصول إلى الشبكة: عن طريق تمكين الأجهزة للمصادقة باستخدام الشهادات، تعمل خدمة EST على تعزيز وضعية الأمان للشبكة في البيئات التي تستخدم مصادقة 802.1X.

---

التحقق من عدم تشغيل/تهيئة "مرجع الشهادات" و "خدمة EST"

1. انتقل إلى إدارة > نظام > شهادات > مرجع شهادات > إعدادات مرجع مصدق داخلي. تأكد من فرز حالة المستجيب CA و EST و OCSP وتمكينها.
2. أخطاء مفيدة يمكن أن تساعد في أستكشاف الأخطاء وإصلاحها هي EST و provisioning و ca-service و ca-service-cert. ارجع إلى ise-psc.log و catalyina.out و caservice.log و error.log.
3. تحقق من أن ISE Root CA وشهادات مراسلة ISE صالحة في النشر. إذا كان تجديد ISE Root CA مطلوبا، انتقل إلى إدارة > شهادات > طلبات توقيع شهادات > إنشاء طلب توقيع شهادة، حدد الاستخدام ك ISE Root CA. انقر فوق تجديد ISE Root CA.

---

خدمة محرك SXP

خدمة محرك SXP مسؤولة عن إدارة وتسهيل الاتصال بين ISE وأجهزة الشبكة باستخدام رقم مجموعة الأمان (SGT) وبروتوكول تبادل مجموعة الأمان (SXP). ويلعب دورا حاسما في دعم سياسات TrustSec، والتي يتم إستخدامها لفرض التحكم في الوصول إلى الشبكة استنادا إلى مجموعة الأمان الخاصة بالجهاز بدلا من عناوين IP أو عناوين MAC فقط. يتم إستخدام محرك SXP في ISE بشكل أساسي لتبادل معلومات مجموعة الأمان، مما يساعد في تنفيذ السياسات استنادا إلى هوية المستخدم أو الجهاز والتطبيق والموقع. وهو يمكن الأجهزة من مشاركة علامات مجموعة الأمان (SGTs)، والتي يتم إستخدامها لفرض سياسات الأمان عبر أجهزة الشبكة، مثل الموجهات والمحولات.

---

الوظائف الرئيسية لخدمة محرك SXP في ISE

1. التكامل مع TrustSec: يتم نشر بروتوكول SXP بشكل شائع في البيئات التي تستفيد من Cisco TrustSec، وهو حل يفرض سياسات أمان متناسقة عبر الشبكات السلكية واللاسلكية على حد سواء. يسهل محرك SXP اتصال SGTs بين الأجهزة، مما يسمح بتنفيذ السياسات بشكل ديناميكي استنادا إلى سياق الأمان للجهاز أو المستخدم.
2. علامات مجموعة الأمان (للرقيب): يتمحور محور محور تنفيذ سياسة TrustSec حول الرقيب. يتم إستخدام علامات التمييز هذه لتصنيف حركة مرور الشبكة، ويساعد بروتوكول SXP على مشاركة تخطيط علامات التمييز هذه لمستخدمين أو أجهزة معينة. وهذا يسمح بالتحكم في الوصول إلى الشبكة وتدفق حركة المرور وفقا للتعديل الذي توجهه السياسة.

---

التحقق من خدمة محرك SXP في ISE واستكشاف أخطائها وإصلاحها

1. بشكل افتراضي، يتم تعطيل خدمة محرك SXP في ISE. ولتمكينها، انتقل إلى واجهة المستخدم الرسومية (GUI) ISE > الإدارة > النشر، حدد العقدة. حدد مربع خدمة تمكين SXP، واختر الواجهة. ثم، تحقق من حالة خدمة محرك SXP من واجهة سطر الأوامر (CLI) الخاصة ب ISE من خلال تشغيل الأمر show application status ise.
2. إذا كانت هناك مشاكل في اتصال الشبكة، فتحقق من أن الواجهة التي تم تعيينها لمحرك SXP تحتوي على عنوان IP صالح من خلال تشغيل الأمر show interface في CLI، وتأكد من أن الشبكة الفرعية IP مسموح بها في الشبكة.
3. تحقق من سجلات RADIUS المباشرة للتحقق من أحداث اتصال SXP على ISE.
4. قم بتمكين مكون SXP على عقد ISE لتصحيح أخطاء السجلات والاستثناءات ذات الصلة ب SXP والتقاط هذه السجلات والاستثناءات.

---

خدمة TC-NAC

خدمة TC-NAC (التحكم في الوصول إلى الشبكة من TrustSec) هي مكون يسهل تنفيذ سياسات TrustSec على أجهزة الشبكة، مما يضمن أن التحكم في الوصول مبني على علامات مجموعة الأمان (SGTs) بدلا من عناوين IP أو MAC التقليدية.

TrustSec، بدوره، هو إطار عمل تم تطويره بواسطة Cisco يتيح تنفيذ سياسة الأمان عبر الشبكة استنادا إلى أدوار الجهاز أو المستخدمين أو السياقات، بدلا من إستخدام الآليات القديمة مثل شبكات VLAN أو عناوين IP. وهو يوفر التحكم في الوصول إلى الشبكة بشكل أكثر دقة وديناميكية من خلال تجميع الأجهزة في مجموعات أمان مختلفة ووضع علامات عليها باستخدام وحدات التحكم في الوصول (SGT).

---

الوظائف الرئيسية لخدمة TC-NAC في ISE

1. التكامل مع أنظمة NAC التابعة لجهات خارجية: تمكن خدمة TC-NAC ISE من الاتصال بحلول التحكم في الوصول إلى الشبكة من إنتاج جهات خارجية والتفاعل معها. ويمكن أن يكون هذا مفيدا للمؤسسات التي لديها بنية أساسية ل NAC موجودة، ولكنها ترغب في التكامل مع Cisco ISE لتحسين الوظائف، أو الاستفادة من سياسات الأمان الإضافية، أو الاستفادة من ميزات أمان الشبكة الأخرى من Cisco.
2. توفير إمكانية تنفيذ السياسات بسلاسة تامة: وعند دمجه مع حلول مركز المساعدة التقنية التابع للجهة الخارجية، يمكن أن يتولى مركز خدمات التوظيف (ISE) بعض جوانب إنفاذ السياسات واتخاذ القرارات. وهذا يسمح بوجود إطار سياسة أكثر توحدا، مما يضمن أن السياسات التي يتم تطبيقها من قبل كل من أنظمة Cisco وغير Cisco NAC تكون متناسقة عبر الشبكة.
3. دعم أنظمة NAC القديمة: تساعد خدمة TC-NAC المؤسسات التي لديها أنظمة NAC قديمة على الاستمرار في إستخدام هذه الأنظمة مع تبني Cisco ISE لميزات الأمان المحسنة الخاصة بها. يمكن دمج معيار ISE مع حلول مركز التحكم في الشبكة (NAC) القديمة وتمديد دورة حياتها، مما يوفر إمكانية التحكم في الوصول والأمان، فضلا عن فرض التوافق في نفس الوقت.
4. تسهيل اتصال بائع NAC التابع للجهة الخارجية: تتيح هذه الخدمة ISE تسهيل الاتصال بحلول NAC من جهات خارجية التي تستخدم بروتوكولات أو معايير خاصة. ويمكن أن تتفاعل ISE مع أنظمة NAC التابعة لجهات خارجية عبر بروتوكولات معايير الصناعة (مثل RADIUS أو TACACS+ أو SNMP) أو واجهات برمجة تطبيقات مخصصة، حسب حل NAC الذي يتم إستخدامه.

---

التحقق من خدمة TC-NAC واستكشاف أخطائها وإصلاحها في ISE

1. تحقق من تمكين NAC الذي يرتكز على التهديد من خلال الانتقال إلى الإدارة > النشر > عقدة PSN > تمكين NAC الذي يرتكز على التهديد.
2. إذا كانت المشكلة في مهايئ SourceFireAMP، فتحقق مما إذا كان المنفذ 443 مسموح به في شبكتك.
3. تحقق من تفاصيل جلسة نقطة النهاية من "العمليات" > سجلات NAC Live المستندة إلى التهديد.

---

تنبيهات يتم تشغيلها بواسطة NAC الذي يرتكز على التهديد:

• المحول يتعذر الوصول إليه (معرف syslog: الطراز 91002): يشير إلى عدم إمكانية الوصول إلى المحول.

• فشل اتصال المحول (معرف syslog: الطراز 91018): يشير إلى أن المحول يمكن الوصول إليه، ومع ذلك، فإن التوصيل بين المحول وخادم المصدر معطل.

• تم إيقاف المهايئ بسبب الخطأ (معرف syslog: الطراز 91006): يتم تشغيل هذا التنبيه إذا كان المحول ليس في الحالة المرغوب فيها. في حالة عرض هذا التنبيه، تحقق من تكوين المحول واتصال الخادم. راجع سجلات المحول للحصول على مزيد من التفاصيل.

• خطأ في المهايئ (syslog id: الطراز 91009): يشير إلى أن المحول Qualys لا يستطيع إنشاء اتصال مع موقع Qualys أو تنزيل المعلومات منه.

---

تصحيح أخطاء مفيد لاستكشاف أخطاء TC-NAC وإصلاحها:

• va-runtime (varuntime.log)
• va-service (varuntime.log and vaaggregation.log)
• TC-NAC (ise-psc.log)
• ANC (ise-psc.log)

---

خدمة PassiveID WMI

خدمة PassiveID WMI هي خدمة تسمح ل ISE بإجراء تنميط الجهاز باستخدام Windows Management Instrumentation (WMI) كآلية سلبية لتعريف نقاط النهاية في الشبكة وتنميطها. ويلعب دورا حاسما في توصيف الأجهزة في البيئات التي يجب فيها تحديد الأجهزة التي تعمل بنظام التشغيل Windows بدقة من أجل التحكم في الوصول إلى الشبكة وتنفيذ السياسة.    

---

الوظائف الرئيسية لخدمة PassiveID WMI في ISE

1. مجموعة تعريف الجهاز: تتيح خدمة PassiveID WMI ل ISE جمع معلومات الهوية بشكل سلبي من أجهزة Windows باستخدام Windows Management Instrumentation (WMI). فهو يجمع تفاصيل النظام مثل اسم المضيف للجهاز وإصدار نظام التشغيل والسمات الأخرى ذات الصلة دون الحاجة إلى مشاركة الجهاز بنشاط.

2. التكامل مع سياسة ISE: يتم دمج المعلومات التي تجمعها خدمة PassiveID WMI في إطار سياسة ISE. فهو يساعد في التطبيق الديناميكي للسياسات القائمة على سمات الأجهزة مثل النوع ونظام التشغيل والتوافق مع معايير الأمان.

---

التحقق من خدمة PassiveID WMI واستكشاف أخطائها وإصلاحها

وهو مصدر شديد الأمان والدقة، والأكثر شيوعا لتلقي معلومات المستخدم. ويعمل AD كمسبار مع تقنية WMI لتوفير هويات مستخدم مصدق عليها. وبالإضافة إلى ذلك، فإن AD نفسه، بدلا من المسبار، يعمل كنظام مصدر (مزود) تسترد منه المسابر الأخرى بيانات المستخدم أيضا.

---

تصحيح الأخطاء المفيدة والمعلومات المطلوبة لأغراض أستكشاف الأخطاء وإصلاحها. قم بتعيين هذه السمات على مستوى تصحيح الأخطاء لمشاكل PassiveID WMI:

• PassiveID (passiveid*) 
• تسجيل وقت التشغيل (prrt-server.log)
• Active Directory (ad)_agent.log) - مستوى التتبع
• مجمع (collector.log) (على PassiveID، عقد MnT وعلى عقدة pxGrid النشطة إذا تم نشر الجلسات)
• pxGrid (pxgrid/) (في MnT الثانوية وعقدة pxGrid النشطة إذا تم نشر الجلسات)

---

المعلومات المطلوبة لاستكشاف أخطاء PassiveID WMI وإصلاحها:

1. هل كانت تعمل من قبل؟ هل تم إجراء أية تغييرات مؤخرا (مثل أي ترقيات أو تثبيتات تصحيح على ISE/ترقيات ISE على DC؟)
2. هل يعمل اتصال الاختبار بشكل صحيح (قبل التكامل، تحقق من إختبار الاتصال؟)
3. تفاصيل حول اسم المستخدم المستخدم المستخدم للانضمام إلى AD واسم المستخدم المستخدم ل WMI (سواء كان حساب المسؤول أو حساب غير المسؤول.)
4. التحقق من تسجيل الأحداث (4768، 4770) في DC (راجع سجل عارض الأحداث من DC.)
5. سجلات الالتقاط: قم بتعيين مستوى تصحيح الأخطاء للمعرف السلبي وتسجيل وقت التشغيل، ثم قم بإكمال التكوين ل WMI ل DC، AD مع مستوى التتبع مع الطابع الزمني.

---

خدمة PassiveID Syslog

خدمة PassiveID syslog هي خدمة تتيح لميزة ملف تعريف PassiveID جمع رسائل syslog ومعالجتها من أجهزة الشبكة في البيئة. تحتوي رسائل syslog هذه على معلومات مهمة حول نقاط النهاية المتصلة بالشبكة، ويستخدم ISE هذه المعلومات لتوصيف الأجهزة الخاصة بالتحكم في الوصول إلى الشبكة وتنفيذ السياسة.    

---

الوظائف الأساسية لخدمة Syslog للمعرف الخامل

1. المصادقة الخاملة: تتيح خدمة Syslog للمعرف الخامل ل Cisco ISE مصادقة المستخدمين والأجهزة بشكل سلبي من خلال تجميع رسائل syslog من أجهزة الشبكة (مثل المحولات أو الموجهات) التي تشير إلى نشاط المستخدم والجهاز. ويكون ذلك مفيدا في الحالات التي لا تكون فيها أساليب التوثيق الفعالة التقليدية، مثل المعيار 802.1X، مناسبة أو ممكنة.

2. تسجيل الأحداث: تعتمد خدمة syslog للمعرف الخامل على بروتوكول syslog لتلقي السجلات من أجهزة الشبكة التي تتتبع وصول المستخدم وسلوكه على الشبكة. يمكن أن تتضمن المعلومات الواردة في هذه السجلات أشياء مثل محاولات تسجيل الجهاز، ونقاط الوصول، وتفاصيل الواجهة، والتي تساعد ISE في التعرف بشكل سلبي على الجهاز أو المستخدم.

---

خدمة PassiveID API

خدمة PassiveID API هي خدمة تتيح عمليات التكامل مع الأنظمة التي تتطلب معلومات حول هوية الأجهزة أو المستخدمين المتصلين بالشبكة. ويتم إستخدامها بشكل نموذجي في البيئات التي يريد فيها مسؤولو الشبكة تنفيذ سياسات وإجراءات قائمة على الهوية دون الحاجة إلى بروتوكولات مصادقة شبكة نشطة مثل 802.1X لكل جهاز.

---

الوظائف الرئيسية لخدمة API للمعرف السلبي

1. التكامل مع الأنظمة الخارجية: تسمح واجهة برمجة التطبيقات (API) للمعرف الخامل ISE باستلام معلومات الهوية من أنظمة الطرف الثالث أو أجهزة الشبكة (مثل المحولات أو الموجهات أو جدران الحماية أو أي نظام يمكنه إنشاء أحداث مرتبطة بالهوية). يمكن أن تقوم هذه الأنظمة الخارجية بإرسال معلومات مثل رسائل syslog أو سجلات المصادقة أو البيانات الأخرى ذات الصلة التي يمكنها مساعدة ISE في تحديد مستخدم أو جهاز بشكل سلبي.
2. المصادقة الخاملة: يتم إستخدام خدمة واجهة برمجة التطبيقات (API) للمعرف الخامل لمصادقة المستخدمين والأجهزة بشكل سلبي عن طريق تجميع بيانات الهوية دون الحاجة إلى المصادقة النشطة (على سبيل المثال، لا حاجة إلى مصادقة 802.1X أو MAB أو مصادقة الويب.) يمكنه التقاط معلومات من أجهزة الشبكة أو سجلات Active Directory أو أجهزة الأمان واستخدامها لتعريف المستخدم أو الجهاز.
3. معلومات تعريف التعيين: يمكن إستخدام واجهة برمجة التطبيقات (API) للمعرف السلبي لتعيين بيانات الهوية إلى سياسات أمان معينة. وتستخدم هذه المعلومات لتعيين علامات مجموعة الأمان (SGT) أو الأدوار بشكل ديناميكي للمستخدمين والأجهزة، والتي تؤثر بعد ذلك على تنفيذ عناصر التحكم في الوصول إلى الشبكة (مثل سياسات التجزئة وجدار الحماية).

---

خدمة وكيل PassiveID

تتيح خدمة عامل PassiveID إمكانية تحديد ملامح الأجهزة من خلال إستخدام عوامل PassiveID المثبتة على نقاط النهاية (مثل أجهزة الكمبيوتر وأجهزة الكمبيوتر المحمولة والأجهزة المحمولة وما إلى ذلك). يسمح "عامل PassiveID" ل ISE بجمع معلومات إنشاء ملفات التعريف حول الأجهزة على الشبكة من خلال الاستماع إلى حركة المرور من نقاط النهاية، دون الحاجة إلى إجراء عمليات مسح ضوئي نشطة أو التفاعل المباشر مع الأجهزة. 

---

الوظائف الرئيسية لخدمة وكيل المعرف السلبي

1. التعرف السلبي على المستخدم والجهاز: تكون خدمة عامل الهوية السلبية مسؤولة عن تجميع المعلومات المتعلقة بالهوية بشكل سلبي، عادة من أجهزة الشبكة أو نقاط النهاية، وإرسال هذه البيانات إلى ISE. تتيح هذه الخدمة ISE مصادقة المستخدمين والأجهزة والتعرف عليها بناء على أنشطتهم أو خصائصهم، دون الحاجة إلى مصادقة نشطة من الجهاز (على سبيل المثال، دون توفير بيانات اعتماد 802.1X.)
2. التكامل مع مكونات Cisco الأخرى: يعمل وكيل المعرف الخامل بشكل وثيق مع أجهزة شبكة Cisco، مثل المحولات ووحدات التحكم اللاسلكية ونقاط الوصول لجمع المعلومات المتعلقة بالهوية من حركة مرور الشبكة أو سجلات syslog أو أنظمة الإدارة الأخرى. كما يمكن دمجه مع Cisco TrustSec و Cisco Identity Services لتعيين هذه البيانات إلى علامات مجموعة أمان معينة (SGTs) أو سياسات أخرى قائمة على الهوية.
3. التحكم في الوصول إلى الشبكة السياقية: يرسل "عامل المعرف السلبي" هذه المعلومات إلى Cisco ISE، والتي تقوم بتطبيق سياسات التحكم في الوصول المناسبة استنادا إلى هوية المستخدم أو الجهاز وسياقه. ويمكن أن يشمل ذلك ما يلي:

• التحكم في الوصول المستند إلى الأدوار
• تعيين شبكة VLAN الديناميكية
• تجزئة الشبكة
• فرض سياسات الأمان استنادا إلى دور المستخدم أو وضع أمان الجهاز

---

خدمة نقطة نهاية PassiveID

خدمة نقطة نهاية PassiveID هي خدمة مسؤولة عن تعريف نقاط النهاية (الأجهزة) وتنميطها على الشبكة استنادا إلى تقنية PassiveID. تساعد هذه الخدمة ISE في جمع ومعالجة وتصنيف المعلومات المتعلقة بالأجهزة المتصلة بالشبكة، دون الحاجة إلى التفاعل النشط مع نقاط النهاية نفسها. تؤدي خدمة نقطة نهاية PassiveID دورا بالغ الأهمية في إنشاء ملفات التعريف والتحكم في الوصول إلى الشبكة وتنفيذ سياسة الأمان.

---

الوظائف الأساسية لخدمة نقطة نهاية PassiveID

1. التعرف السلبي على المستخدم والجهاز: تسمح خدمة نقطة نهاية PassiveID ل ISE بتعريف الأجهزة ومصادقتها على الشبكة بشكل سلبي، من خلال الاستفادة من المعلومات من نشاط الشبكة أو سجلات النظام. ويتضمن ذلك تحديد المستخدمين والأجهزة استنادا إلى سلوك الشبكة أو خصائصها، مثل عنوان MAC أو عنوان IP أو تسجيل الدخول إلى معلومات من مخزن هوية خارجي مثل Active Directory (AD).
2. جمع البيانات من نقاط النهاية: تجمع خدمة نقطة النهاية أنواعا مختلفة من البيانات الخاصة بنقطة النهاية من مصادر مختلفة:

• يقوم المستخدم بتسجيل الدخول من مخازن الهوية الخارجية مثل Active Directory أو دلائل أخرى.
• خصائص الجهاز مثل عناوين IP وعناوين MAC ونوع الجهاز (على سبيل المثال، ما إذا كان الجهاز هو جهاز كمبيوتر يعمل بنظام التشغيل Windows أو هاتف جوال أو جهاز يعمل بنظام التشغيل IoT).
• نشاط شبكة نقطة النهاية مثل طلبات DHCP، طلبات ARP، واتصالات طبقة الشبكة الأخرى.

---

PassiveID SPAN Service

تستفيد خدمة PassiveID SPAN (محلل المنفذ المحول) من المنفذ المتطابق على أجهزة الشبكة لالتقاط حركة مرور الشبكة وتحليلها لتنميط نقطة النهاية. تساعد هذه الخدمة ISE على الحصول بشكل سلبي على معلومات حول نقاط النهاية داخل الشبكة عن طريق تحليل أنماط اتصال الشبكة دون الحاجة إلى أجهزة إستشعار أو وكلاء نشطين مثبتة على الأجهزة.

---

الوظائف الأساسية لخدمة PassiveID SPAN

1. مجموعة الهوية الخاملة من فسحة بين دعامتين حركة مرور: ال PassiveID فسحة بين دعامتين يسمح خدمة ISE أن يجمع هوية معطيات يؤسس على شبكة حركة مرور أن يكون عكست أو نسخت من خلال فسحة بين دعامتين ميناء على مفتاح. فسحة بين دعامتين استعملت ميناء لشبكة monitore ب يعكس شبكة حركة مرور من آخر ميناء أو VLANs. وعن طريق التقاط حركة المرور هذه، يمكن أن يقوم ISE بجمع معلومات الهوية بشكل سلبي مثل:

• عناوين MAC للأجهزة
• عناوين IP المقترنة بالأجهزة
• طلبات DHCP أو المعلومات الأخرى المتعلقة بالهوية من حركة المرور التي تم الاستيلاء عليها
• سجلات المصادقة من أجهزة الشبكة، مثل المحولات أو وحدات التحكم اللاسلكية

2. التقاط معلومات هوية المستخدم والجهاز: الفسحة بين دعامتين يصغي خدمة إلى الحركة مرور أن يمر عبر الشبكة ويعين مفتاح هوية معلومة من الشبكة ربط دون الحاجة أن يتفاعل مباشرة مع أداة. يمكن أن يتضمن هذا بيانات مثل:

• هويات المستخدم عند المصادقة عبر بروتوكولات مثل EAP (بروتوكول المصادقة المتوسع)
• هويات الجهاز مبنية على عناوين MAC وعناوين IP
• أدوار الجهاز وسلوكياته القائمة على أنماط حركة المرور وأحداث المراقبة

---

التحقق من مكدس PassiveID واستكشاف أخطاء هذا المكدس وإصلاحها (خدمة PassiveID SPAN، خدمة PassiveID syslog، خدمة نقطة نهاية PassiveID، وكيل PassiveID، خدمة API PassiveID)

1. مكدس PassiveID هي قائمة بالمزودين وجميع الخدمات ويتم تعطيل مكدس PassiveID بشكل افتراضي. انتقل إلى ISE GUI > إدارة > نشر > حدد العقدة > تمكين خدمة الهوية الخاملة، انقر فوق حفظ. للتحقق من حالة خدمة مكدس المحولات PassiveID، قم بتسجيل الدخول إلى CLI لعقدة ISE وقم بتشغيل الأمر show application status ise.
2. إذا كانت هناك مشاكل تتعلق بوكيل المعرف السلبي، فتحقق مما إذا كان FQDN الخاص بالوكيل قابل للحل من عقدة ISE. لتنفيذ هذا الإجراء، قم بتسجيل الدخول إلى واجهة سطر الأوامر (CLI) الخاصة ب ISE وقم بتشغيل nslookup < FQDN الخاص بالعميل الذي تم تكوينه > الأمر.
3. تأكد من أن محرك فهرسة ISE نشط وأنه يتم حل عمليات بحث DNS العكسية والموجهة بواسطة خادم DNS أو الاسم الذي تم تكوينه في ISE.
4. لضمان الاتصال السلس مع موفري syslog، تأكد من أن منفذ UDP 40514 ومنفذ TCP 11468 مفتوحان في شبكتك.
5. لتكوين الفسحة بين دعامتين المزود على عقدة، ضمنت أن ISE Passive Identity Service ممكن. دققت القارن أنت تريد أن يشكل على الفسحة بين دعامتين مزود يتوفر في ISE ب يركض العرض قارن أمر من ISE CLI.
6. للتحقق من السجلات، استنادا إلى موفر المعرف الخامل، يجب مراجعة passiveid-syslog.log، passiveid-agent.log، passiveid-api.log، passiveid-endpoint.log، passiveid-span.log. يمكن تأمين السجلات المذكورة من حزمة الدعم لعقدة ISE. 

---

خادم DHCP (DHCP)

توفر خدمة خادم DHCP (DHCP) وظائف بروتوكول التكوين الديناميكي للمضيف (DHCP) لأجهزة الشبكة. ويتم إستخدامه بشكل أساسي لتعيين عناوين IP للأجهزة (نقاط النهاية) التي تحاول الاتصال بالشبكة. في ISE، يلعب خادم DHCP دورا حاسما في توفير عناوين IP لنقاط النهاية التي تطلبها عند الاتصال بالشبكة. كما يمكن أن توفر الخدمة معلومات تكوين إضافية، مثل خوادم DNS والبوابة الافتراضية وإعدادات الشبكة الأخرى.

---

الوظائف الرئيسية لخدمة خادم DHCP (DHCP) في ISE

1. تخصيص عنوان IP الديناميكي: تعمل خدمة DHCP في ISE كخادم DHCP، الذي يوفر تخصيص عنوان IP للأجهزة التي تطلب عنوان IP عند الاتصال بالشبكة. وهذا مهم في السيناريوهات التي تنضم فيها الأجهزة إلى الشبكة بشكل ديناميكي، مثل بيئات BYOD (إحضار الجهاز الخاص بك) أو عند تكوين الأجهزة للحصول على عناوين IP تلقائيا.
2. DHCP المستند إلى ملف التعريف: يمكن لخدمة DHCPD تخصيص عناوين IP استنادا إلى ملف تعريف الجهاز. إذا قام ISE بإنشاء ملف تعريف للجهاز (الهاتف الذكي أو الكمبيوتر المحمول أو جهاز الإدخال/الإخراج)، فيمكنه تعيين عنوان IP مناسب أو تطبيق إعدادات أخرى استنادا إلى نوع الجهاز أو الدور.
3. دعم ترحيل DHCP: يمكن أن يعمل ISE كوكيل ترحيل DHCP، حيث يقوم بإعادة توجيه طلبات DHCP من الأجهزة إلى خادم DHCP خارجي إذا لم يكن ISE يعالج تعيين عنوان IP الفعلي. في هذه الحالة، يمكن لخدمة DHCP إعادة توجيه الطلبات من الأجهزة إلى خادم DHCP مركزي، بينما يستمر ISE في تطبيق سياسات الشبكة وعناصر التحكم في الوصول.

---

التحقق من خادم DHCP (DHCP) واستكشاف أخطائه وإصلاحها

1. اتصل ب cisco TAC أن يتحقق إن ال DHCP نادل ركبت حزمة يكون على ال ISE.
2. سجل الدخول إلى جذر ISE > rpm -qi dhcp. 

---

خادم DNS (مسمى)

تسمح خدمة خادم DNS (المسمى) ل ISE بالعمل كخادم DNS (نظام اسم المجال) أو محلل DNS. وهو مسؤول بشكل أساسي عن حل أسماء المجالات في عناوين IP والعكس، تسهيل الاتصال بين الأجهزة في الشبكة.  

---

الوظائف الرئيسية لخدمة خادم DNS (المسماة) في ISE

1. تحليل DNS لاتصالات ISE: تساعد الخدمة المسماة في ISE على حل أسماء المجالات إلى عناوين IP. وهذا مهم عندما يجب أن يتصل ISE بأجهزة شبكة أخرى أو خدمات خارجية (مثل خوادم Radius أو Active Directory أو خوادم NTP الخارجية) باستخدام أسماء المجالات بدلا من عناوين IP.

• عندما يجب أن يصل ISE إلى خادم Radius أو خدمة دليل خارجي (مثل Active Directory)، يجب أن يقوم بحل اسم مجال ذلك الخادم إلى عنوان IP.
• يستعلم ISE خادم DNS الذي تم تكوينه على النظام لحل أسماء المجالات هذه، مما يضمن الاتصال السلس.

2. حل نظام أسماء المجالات (DNS) للخدمات الخارجية: تمكن خدمة DNS ISE من الاتصال بالخدمات الخارجية التي تتطلب أسماء مجالات. على سبيل المثال، يجب أن يقوم ISE بحل أسماء الخدمات الخارجية مثل:

• الخدمات المستندة إلى السحابة.
• خوادم NTP (بروتوكول وقت الشبكة).
• مراجع الشهادات (CAs) أو خوادم LDAP.

3. خوادم DNS متعددة المجالات والمتكررة: يمكن تكوين ISE لاستخدام خوادم DNS متعددة للتكرار. إذا أصبح أحد خوادم DNS غير متوفر، يمكن أن يرجع ISE إلى خادم DNS آخر لضمان التشغيل المستمر ودقة DNS.

---

التحقق من خادم DNS واستكشاف أخطائه وإصلاحها (مسمى)

1. من واجهة سطر الأوامر (CLI) لعقدة ISE، تحقق من قابلية الوصول إلى الخادم المسمى أو خادم DNS الخاص بالنشر من خلال تشغيل الأمر <ip of DNS server / name server> ping.
2. تحقق من تحليل DNS لشبكات ISE FQDNs من خلال تشغيل الأمر nslookup <FQDN / IP address of ISE Node> عبر واجهة سطر أوامر (CLI) ISE.

---

خدمة مراسلات ISE

تعد خدمة المراسلة ISE مكونا يسهل الاتصال غير المتزامن بين الخدمات والمكونات المختلفة داخل نظام ISE. ويلعب دورا حاسما في الهندسة المعمارية العامة لنظام ISE، مما يمكن أجزاء مختلفة من النظام الأساسي من إرسال الرسائل وتلقيها وإدارة المهام ومزامنة الأنشطة.

---

الوظائف الرئيسية لخدمة مراسلة ISE

1. الاتصال بين العمليات (IPC): تتيح خدمة رسائل ISE الاتصال بين العمليات (IPC) بين خدمات ISE المختلفة. وهو يضمن إمكانية تبادل البيانات والتعليمات بشكل منسق بين وحدات وخدمات تقنية المعلومات والتسويق (ISE) المختلفة، مثل المصادقة والتفويض وإنفاذ السياسات.
2. دعم البيئة الموزعة: في عمليات نشر ISE الأكبر أو الموزعة (كما في التكوينات متعددة العقد أو عالية التوفر)، تساعد خدمة المراسلة على تسهيل الاتصال بين عقد ISE المختلفة. وهذا يضمن مزامنة البيانات، مثل طلبات المصادقة وجلسات عمل المستخدمين وتحديثات السياسات بشكل صحيح عبر العقد المختلفة داخل نظام ISE.
3. مزامنة النهج والتكوين: تشترك خدمة المراسلة في مزامنة التكوينات والسياسات بين عقد ISE. عند إجراء تغييرات التكوين على عقدة أساسية، تضمن الخدمة نشر هذه التغييرات إلى العقد الثانوية أو عقد النسخ الاحتياطي في النظام. وهذا أمر ضروري للحفاظ على التناسق وضمان إستمرار مزامنة سياسات الوصول إلى الشبكة المطبقة عبر مواقع مختلفة أو عقد ISE الموزعة.

---

تحقق من عدم تشغيل خدمة ISE Messaging أو تهيئتها

1. تحقق من عدم حظر منفذ TCP 8671 في جدار الحماية، ويتم إستخدام هذا المنفذ للاتصال بين العقد بين أجهزة ISE.
2. تحقق من أي أخطاء في إرتباط قائمة الانتظار وإذا تم العثور على أي منها، فعليك تجديد شهادات ISE Messaging و ISE Root CA. يمكن أن تحدث أخطاء إرتباط قائمة الانتظار بسبب مشاكل تلف شهادات داخلية. لحل أخطاء إرتباط قائمة الانتظار، قم بتجديد شهادات ISE Message و ISE Root CA عن طريق الرجوع إلى وثائق خطأ ISE - إرتباط قائمة الانتظار.
3. من واجهة المستخدم الرسومية (GUI) > الإدارة > الشهادات > تحديد شهادة ISE Messaging. انقر فوق عرض للتحقق من حالة الشهادة. 
4. يمكنك إستخدام سجلات ADE.Jog لاستكشاف أخطاء خدمات مراسلة ISE وإصلاحها، والتي تتوفر في حزمة الدعم أو يمكن تتابعها عبر واجهة سطر الأوامر (CLI) من خلال تشغيل الأمر show logging system ade/ADE.Jog tail عند ظهور المشكلة. 
5. إذا أظهر سجل ADE.jog Log Rabbitmq: تم رفض الاتصال، اتصل ب Cisco TAC لإزالة القفل من وحدة Rabbitmq النمطية من ISE Root. 

---

خدمة قاعدة بيانات عبارة ISE

تعد خدمة قاعدة بيانات بوابة واجهة برمجة التطبيقات (ISE) مكونا مسؤولا عن إدارة ومعالجة البيانات المتعلقة بطلبات واجهة برمجة التطبيقات (API) والاستجابات داخل نظام ISE. وهو يعمل كوسيط يربط بوابة واجهة برمجة تطبيقات ISE بقاعدة بيانات ISE، مما يضمن تحديث التطبيقات المخصصة أو تعديل البيانات داخل ISE. على سبيل المثال، ضبط سياسات الوصول أو إضافة/إزالة مستخدمين من خلال مكالمات واجهة برمجة التطبيقات (API) التي تديرها الخدمة.

---

الوظائف الأساسية لخدمة قاعدة بيانات بوابة ISE

1. وصول API إلى بيانات ISE: تعمل خدمة قاعدة بيانات بوابة واجهة برمجة التطبيقات (ISE) كجسر يسمح للتطبيقات الخارجية بالتفاعل مع قاعدة بيانات واجهة برمجة التطبيقات (ISE) عبر واجهات برمجة التطبيقات (API) ISEs RESTful. يمكن إستخدام واجهات برمجة التطبيقات هذه لاسترداد البيانات المخزنة في قاعدة بيانات ISE أو تعديلها، مثل:

• سجلات مصادقة المستخدم
• سياسات الوصول إلى الشبكة
• معلومات تصنيف الأجهزة
• تكوين وإعدادات النظام

2. تمكين عمليات تكامل الأنظمة الخارجية: وتلعب هذه الخدمة دورا حاسما في دمج خدمة التشفير الذاتي مع أنظمة خارجية مثل:

• خوادم المصادقة الخارجية (LDAP، Active Directory، RADIUS)
• أنظمة إدارة الشبكة (NMS)
• حلول إدارة الأحداث ومعلومات الأمان
• التطبيقات أو الخدمات المخصصة التي يجب أن تتفاعل مع بيانات ISE

من خلال توفير وصول واجهة برمجة التطبيقات (API)، تتيح خدمة قاعدة بيانات بوابة واجهة برمجة التطبيقات (API) لهذه الأنظمة الخارجية الاستعلام عن بيانات ISE أو إرسال تحديثات إلى ISE أو تشغيل إجراءات محددة داخل ISE إستجابة لأحداث خارجية.

3. دعم إتصالات RESTful API: يعرض ISE واجهات برمجة تطبيقات RESTful المصممة للعمل عبر HTTP/HTTPS. تعد "خدمة قاعدة بيانات بوابة واجهة برمجة التطبيقات" مسؤولة عن إدارة تدفق طلبات واجهة برمجة التطبيقات (API) واستجاباتها، مما يضمن مصادقة الطلبات ومعالجتها وإرجاع البيانات المناسبة من قاعدة بيانات ISE إستجابة لذلك.

---

خدمة عبارة ISE API

تعد خدمة بوابة واجهة برمجة التطبيقات (API) ل ISE مكونا بالغ الأهمية يوفر وصول RESTful API إلى خدمات ISE والبيانات والوظائف. وهو يعمل كجسر بين نظم التخزين الفردي (ISE) والأنظمة الخارجية، مما يسمح لهذه الأنظمة بالتفاعل البرنامجي مع التحكم في الوصول إلى شبكة التخزين المستقل (ISE) وتنفيذ السياسة والمصادقة وغيرها من الخدمات. تمكن بوابة واجهة برمجة التطبيقات (API) تطبيقات الجهات الخارجية وأنظمة إدارة الشبكة والتطبيقات المخصصة من التفاعل مع Cisco ISE دون تدخل يدوي أو الوصول المباشر إلى واجهة مستخدم ISE.

---

الوظائف الأساسية لخدمة عبارة واجهة برمجة التطبيقات (API) ل ISE

1. تمكين وصول واجهة برمجة التطبيقات إلى ISE: تتيح خدمة بوابة واجهة برمجة التطبيقات (API) ل ISE للأنظمة الخارجية إمكانية الوصول الآمن إلى بيانات وسياسات Cisco ISE والتفاعل معها باستخدام واجهات برمجة التطبيقات (API) ل RESTful. وهذا يوفر إمكانية الوصول البرنامجي إلى وظائف نظام ISE، مثل المصادقة، وإنفاذ السياسات، وإدارة الجلسات، وغير ذلك.
2. توفير التحكم في البرامج: تتيح خدمة بوابة واجهة برمجة التطبيقات التحكم البرنامجي في وظائف ISE. يمكن للمسؤولين والمطورين إستخدام واجهات برمجة التطبيقات إلى:

• إسترداد سياسات الشبكة أو تعديلها
• الاستعلام عن جلسات عمل المستخدم وسجلات المصادقة أو إدارتها
• إنشاء قواعد التحكم في الوصول إلى الشبكة وإدارتها
• الوصول إلى ملفات تعريف الأجهزة أو تحديثها
• ويمكن الاستفادة من عنصر التحكم هذا للأتمتة أو تزامن سير العمل المخصص، مثل تعديل سياسات الوصول إلى الشبكة بشكل ديناميكي استنادا إلى البيانات في الوقت الفعلي أو دمج ISE في منصة أتمتة أمان أوسع.

3. الرصد والإبلاغ: تسمح خدمة بوابة واجهة برمجة التطبيقات (API) للأنظمة الخارجية بجمع البيانات من سجلات ISE التشغيلية وسجل الجلسات وتفاصيل تنفيذ السياسة. وهذا أمر مهم بالنسبة لما يلي:

• الإبلاغ عن الامتثال
• المراقبة الأمنية
• الإستجابة للحدث

يمكن إستخدام إستدعاءات واجهة برمجة التطبيقات (API) لسحب السجلات ومعلومات التدقيق والأحداث؛ السماح لفرق الأمان بمراقبة أنشطة ISE من لوحة معلومات مركزية أو أداة تقارير.

---

التحقق من خدمة عبارة ISE API وخدمة قاعدة بيانات عبارة ISE API واستكشاف أخطاء هذه الخدمة وإصلاحها

1. تحقق مما إذا كانت شهادة Admin لعقدة ISE نشطة وسارية. انتقل إلى إدارة > شهادات > حدد العقدة > تحديد شهادة مسؤول. انقر فوق عرض للتحقق من حالة شهادة المسؤول لعقدة ISE.
2. يمكن تتبع set ise-api-gateway و api-gateway ومكونات الخدمة لتصحيح الأخطاء والسجلات من خلال تشغيل هذه الأوامر: 

• show logging application ise-psc.log tail
• show logging application api-gateway.log tail

---

خدمة ISE PxGrid Direct

تعد خدمة ISE PxGrid Direct مكونا هاما يدعم وظائف PXgrid (شبكة تبادل الأنظمة الأساسية) في ISE. تعد PxGrid تقنية Cisco التي تسهل مشاركة البيانات وتكاملها بشكل آمن وموحد وقابل للتطوير بين حلول أمان شبكات Cisco والتطبيقات والخدمات والأجهزة التابعة لجهات خارجية. تتيح خدمة ISE PxGrid Direct إمكانية الاتصال المباشر بين ISE والأنظمة الأخرى المتوافقة مع PxGrid دون الحاجة إلى أجهزة أو خدمات وسيطة.   

---

الوظائف الرئيسية ل ISE PxGrid Direct Service

1. التكامل المباشر مع أنظمة الطرف الثالث: تتيح خدمة ISE PxGrid Direct ل ISE إمكانية التكامل مباشرة مع أنظمة أمان شبكات الجهات الخارجية، مثل جدران الحماية والموجهات وحلول NAC ومنصات SIEM وأجهزة الأمان الأخرى. وهو يسمح لهذه الأنظمة بتبادل المعلومات المتعلقة بأحداث الوصول إلى الشبكة وحوادث الأمان وبيانات الشبكة السياقية.
2. مشاركة السياق: إحدى الوظائف الأساسية ل PXgrid هي مشاركة المعلومات السياقية (مثل هويات الجهاز وأدوار المستخدم ووضع الأمان ومعلومات الوصول إلى الشبكة). ومع خدمة PxGrid المباشرة، يمكن أن يشارك ISE السياق مباشرة مع الأجهزة أو التطبيقات الأخرى دون الاعتماد على الطرق التقليدية مثل RADIUS أو TACACS+.
3. إمكانية اتصال مبسطة: وباستخدام شبكة pxGrid، يمكن أن يقوم ISE بتوصيل المعلومات وتبادلها مع حلول الجهات الخارجية باستخدام بروتوكول موحد. وهذا من شأنه أن يبسط عملية التكامل لأن الأنظمة لا تحتاج إلى عمليات تكامل مخصصة لكل حل فردي تقدمه جهة خارجية.
4. تحسين الأمان والتوافق: تعمل خدمة PxGrid المباشرة على تحسين وضعية الأمان والتوافق من خلال ضمان إمكانية وصول جميع الأنظمة في النظام البيئي للشبكة إلى البيانات الآنية والسياقية الخاصة بالمستخدمين والأجهزة وسياسات الأمان. وهذا يوفر إمكانية تنفيذ منسقة لسياسات أمان الشبكة عبر البيئة بالكامل.

---

التحقق من خدمة ISEPxgrid Direct واستكشاف أخطائها وإصلاحها

1. اتصل ب Cisco TAC للتحقق من وجود edda*.lock* في مجلد /tmp. إذا كان نعم، يمكن أن يزيل Cisco TAC التأمين وأعد تشغيل خدمة PxGrid Direct من الجذر.
2. قم بتعيين مكون PxGrid Direct على تصحيح الأخطاء في عقدة ISE لاستكشاف الأخطاء وإصلاحها. يمكن تأمين السجلات عبر حزمة دعم ISE أو ISE CLI بتشغيل هذه الأوامر:

• show logging application pxgriddirect-service.log
• show logging application pxgriddirect-connector.log
• توفر هذه السجلات معلومات عن بيانات نقطة النهاية التي تم جلبها واستقبالها بواسطة Cisco ISE مع حالة اتصال Pxgrid Connector.

---

خدمة سياسة التجزئة

تعد "خدمة نهج التجزئة" مكونا أساسيا مسؤولا عن فرض سياسات تجزئة الشبكة استنادا إلى هوية المستخدم أو وضعية الجهاز أو معلومات أخرى. وتساعد على التحكم في وصول المستخدمين/الأجهزة إلى أجزاء شبكة معينة، مما يضمن إمكانية الوصول إلى أجزاء معينة من الشبكة فقط للمستخدمين المعتمدين أو الأجهزة المتوافقة. يعد تقسيم الشبكة أمرا أساسيا للحد من الهجمات السطحية للشبكة ومنع الحركة الجانبية للتهديدات وضمان التوافق مع الإشعارات التنظيمية. يتم إستخدام خدمة سياسة التجزئة في ISE لفرض قواعد تجزئة الشبكة هذه بشكل ديناميكي وتوفر مرونة عبر الشبكة.      

---

الوظائف الرئيسية لدائرة سياسات التجزئة

1. تعريف مقاطع الشبكة: تسمح خدمة سياسة التجزئة في ISE للمسؤولين بتعريف مختلف شرائح الشبكة (الشبكات الفرعية أو الشبكات المحلية الظاهرية (VLANs) استنادا إلى خصائص المستخدمين أو الأجهزة. على سبيل المثال:

• يمكن تخصيص الأجهزة ذات أوضاع الأمان المختلفة لقطاعات مختلفة (الأجهزة الموثوق بها في شبكة VLAN واحدة والأجهزة غير الموثوق بها في شبكة VLAN أخرى.)
• يمكن تعيين مستخدمين من أقسام أو أدوار مختلفة إلى مقاطع شبكة مختلفة لفرض أقل امتيازات وتقييد الوصول إلى الموارد الحساسة.

2. التقسيم الديناميكي: تتيح هذه الخدمة إمكانية التجزئة الديناميكية للشبكة، والتي تتيح لقطاعات الشبكة أو شبكات VLAN التغيير استنادا إلى ظروف الوقت الفعلي. على سبيل المثال:

• يمكن تعيين مستخدم لشبكة VLAN معينة استنادا إلى الدور الخاص به أو حالة سلامة الجهاز.
• يمكن نقل الجهاز الذي يعد غير متوافق أو الذي يشغل نظام تشغيل قديما إلى شبكة VLAN للحجر الصحي أو للضيف حتى يتم إصلاحه.

3 - الإنفاذ القائم على السياسات: تستخدم خدمة نهج التجزئة النهج لتحديد المقطع الذي يجب وضع الجهاز أو المستخدم فيه. وهناك عوامل مختلفة تأخذ هذه السياسات في الاعتبار، مثل:

• هوية المستخدم: استنادا إلى دور المستخدم أو السمات.
• وضعية الجهاز: حالة التوافق الخاصة بالجهاز (هو الجهاز الذي يشغل أحدث برنامج لمكافحة الفيروسات).
• الموقع: الموقع الفعلي للمستخدم أو الجهاز على الشبكة (المكتب، منطقة الضيف، الوصول عن بعد).
• برنامج Access: الوقت من اليوم أو اليوم أو الأسبوع الذي يتم فيه تقديم طلب الوصول. 

4. تطبيق السياسات الأمنية: تضمن سياسة التجزئة فرض سياسات الأمان بشكل ثابت عبر أجهزة الشبكة (مثل المحولات والموجهات وجدران الحماية وما إلى ذلك) من خلال الاستفادة من المعايير الصناعية مثل تعيين RADIUS و VLAN. وهذا يسمح ل Cisco ISE بالاتصال بأجهزة البنية الأساسية للشبكة لفرض سياسات التجزئة المطلوبة.

---

 التحقق من خدمة نهج التجزئة واستكشاف أخطائها وإصلاحها

1. تحقق من تكوين التجزئة بشكل صحيح بالانتقال إلى مراكز العمل > TrustSec > نظرة عامة > لوحة المعلومات.
2. ثم انتقل إلى مراكز العمل > TrustSec > تقارير وحدد تقارير TrustSec للتحقق من حالة خدمة نهج التجزئة والتقارير. 

---

خدمة مصادقة الراحة

توفر خدمة مصادقة REST إمكانيات المصادقة باستخدام واجهات برمجة تطبيقات RESTful. وهو يمكن التطبيقات والأنظمة الخارجية من مصادقة المستخدمين أو الأجهزة من خلال التفاعل مع ميزة ISE عبر بروتوكول (بروتوكولات) HTTP باستخدام بروتوكولات REST القياسية. تتيح هذه الخدمة إمكانية الدمج السلس لوظائف مصادقة Cisco ISE مع تطبيقات أو أنظمة الجهات الخارجية التي يجب أن تصادق المستخدمين أو الأجهزة ولكن لا يمكنها إستخدام الطرق التقليدية (مثل RADIUS أو TACACS+).

---

الوظائف الرئيسية لخدمة مصادقة REST

1. مصادقة REST: تمكن خدمة مصادقة REST طلبات المصادقة عبر بروتوكول REST API. وهذا يسمح للأنظمة الخارجية (التطبيقات أو أجهزة الشبكة أو الخدمات التابعة لجهات خارجية) بمصادقة المستخدمين أو الأجهزة باستخدام ISE كخادم مصادقة، ولكن من خلال إستدعاءات خدمة ويب RESTful بدلا من بروتوكولات المصادقة التقليدية مثل RADIUS أو TACACS+.
2. التكامل مع التطبيقات الخارجية: تم تصميم هذه الخدمة للتطبيقات الخارجية التي يجب أن تصادق المستخدمين أو الأجهزة ولكن لا تستخدم طرق المصادقة التقليدية (مثل RADIUS أو TACACS+). وبدلا من ذلك، يمكنها التفاعل مع ISE عبر واجهات برمجة تطبيقات REST، وهو ما يعد أكثر بساطة لدمج مصادقة ISE في التطبيقات القائمة على الويب أو التطبيقات الأصلية القائمة على السحابة.
3. مصادقة مرنة وقابلة للتطوير: توفر خدمة مصادقة REST طريقة مصادقة قابلة للتوسع لا تقتصر على أجهزة الشبكة أو الحلول المحلية. ويمكن إستخدامه بواسطة خدمات الشبكة وتطبيقات الأجهزة المحمولة والأنظمة الأساسية الأخرى المستندة إلى الويب التي يجب أن تصادق المستخدمين/الأجهزة عن طريق الاستعلام عن بيانات الاعتماد والنهج من ISE. 
4. سهولة التطبيق: توفر واجهة برمجة تطبيقات REST واجهة قياسية، والتي يسهل تطبيقها وتكاملها مع البرامج والتطبيقات الحديثة مقارنة بالطرق التقليدية. وهو يوفر استجابات بتنسيق JSON ويستخدم طرق HTTP مثل GET و POST و PUT و DELETE، والتي يمكن الوصول إليها بشكل أكبر لمطوري الويب والأنظمة التي تقوم بدمج ISE للمصادقة.

---

التحقق واستكشاف أخطاء مصادقة الاستراحة وإصلاحها

1. لاستكشاف أخطاء المشاكل المتعلقة بواجهة برمجة التطبيقات المفتوحة وإصلاحها، قم بتعيين مكون الخدمة على تصحيح الأخطاء.
2. لاستكشاف المشاكل المتعلقة بواجهة برمجة التطبيقات (API) وإصلاحها، قم بتعيين مكون ers على تصحيح الأخطاء.
3. إذا كانت صفحة واجهة المستخدم الرسومية لخدمة API: https://{iseip}:{port}/api/swagger-ui/index.html أو https://{iseip}:9060/ers/sdk يمكن الوصول إليها، فإنها تستنتج أن خدمة API تعمل كما هو متوقع.

---

راجع وثائق واجهة برمجة التطبيقات للحصول على مزيد من المعلومات حول واجهات برمجة التطبيقات (API) من Cisco.

---

موصل SSE

يقوم موصل SSE (موصل Secure Software-defined Edge) بدمج ISE مع حل الوصول الآمن المعرف بالبرامج (SD-Access) من Cisco. يسمح موصل SSE ل ISE بالاتصال الآمن بمركز DNA من Cisco، مما يتيح سياسات الشبكة المؤتمتة والتجزئة وإدارة الأمان الطرفي في بيئة الوصول إلى SD.

---

الوظائف الرئيسية لموصل SSE

1. الدمج مع أنظمة الأمان التابعة لجهات خارجية: يسهل موصل SSE دمج نظام Cisco ISE مع أنظمة الأمان التابعة لجهات خارجية مثل جدران الحماية وأنظمة منع التسلل (IPS) وحلول التحكم في الوصول إلى الشبكة (NAC) ومعلومات الأمان وأنظمة إدارة الأحداث (SIEM). وهو يسمح لهذه الأنظمة الخارجية بإرسال/إستقبال البيانات من نظام ISE بطريقة آمنة، والتي يمكن إستخدامها لتنفيذ السياسات بشكل أكثر ديناميكية.
2. معلومات التهديد في الوقت الفعلي: من خلال توصيل وحدة التخزين المؤقت (ISE) بأنظمة الأمان الأخرى، يتيح موصل SSE تبادل المعلومات الاستخبارية حول التهديدات في الوقت الفعلي. يمكن أن تتضمن هذه المعلومات نشاطا مشكوكا فيه أو نقاط نهاية معرضة للتلف أو سلوكيات ضارة تم الكشف عنها بواسطة أنظمة الأمان الأخرى، مما يسمح ل ISE بتعديل سياسات الوصول بشكل ديناميكي استنادا إلى مستويات التهديد الحالية أو حالة الجهاز.
3. معالجة مؤتمتة: يمكن أن يدعم التكامل الذي تم تمكينه بواسطة موصل SSE عمليات سير عمل الإصلاح المؤتمتة. على سبيل المثال، إذا تم وضع علامة على نظام على أنه تم إختراقه بواسطة جهاز أمان خارجي، فيمكن أن يقوم ISE بفرض السياسات التي تمنع الوصول إلى الشبكة أو إعادة توجيه نقطة النهاية إلى مقطع شبكة للإصلاح لمزيد من التحقيق.

---

التحقق من موصل SSE واستكشاف أخطائه وإصلاحها

1. يتم تمكين موصل SSE فقط عند تمكين خدمة PassiveID في ISE. 
2. يوفر مكون SSE-connector (connector.log) في تصحيح الأخطاء المزيد من المعلومات حول الرسائل ذات الصلة بموصل SSE. 

---

هيرميس (وكيل سحابة pxGrid)

يسهل Hermes (وكيل سحابة pxGrid) التكامل بين ISE ونظام PxGrid البيئي (Platform Exchange Grid) في بيئة سحابية. Hermes هو العميل المستند إلى السحابة المستخدم لتمكين الاتصال بين ISE والخدمات أو الأنظمة الأساسية المستندة إلى السحابة. وهو يدعم إطار عمل pxGrid في مشاركة المعلومات السياقية عبر شبكات وأنظمة أمان مختلفة.  

---

الميزات والوظائف الأساسية ل Hermes (وكيل سحابة pxGrid)

1. التكامل المحلي من السحابة: تم تصميم Hermes (وكيل سحابة PxGrid) لتحقيق عمليات تكامل سلسة بين الخدمات المستندة إلى السحابة والبنية الأساسية ISE المحلية. فهو يعمل على توسيع إمكانات شبكة PXgrid إلى ما هو أبعد من بيئات الشبكات التقليدية الموجودة مسبقا، مما يتيح إمكانية تبادل البيانات بأمان وتنفيذ السياسات عبر التطبيقات والخدمات القائمة على الشبكات.
2. دعم النظام البيئي ل PXgrid: PXgrid هو نظام Cisco الأساسي لمشاركة المعلومات بأمان عبر حلول أمان الشبكة. تعمل شركة Hermes كوكيل للشبكات بالنسبة لشركة PxGrid، مما يتيح إمكانية الاتصال الآمن وفي الوقت الفعلي بين شركة ISE ومختلف الخدمات القائمة على الشبكات. ويتيح هذا الدمج اتباع سياسات متناسقة لأمان الشبكة عبر كل من بيئات التشغيل المسبق والبيئات السحابية لسهولة الإدارة ولفرض الأمان.
3. إمكانية رؤية نقطة النهاية المستندة إلى السحابة: ومن الميزات الأساسية التي تتمتع بها شركة Hermes إمكانية الرؤية في نقاط النهاية القائمة على السحابة، على غرار الطريقة التي يوفرها بها ISE إمكانية الرؤية مع نقاط النهاية الموجودة على الخادم. يمكنه تجميع البيانات على الأجهزة والمستخدمين في السحابة، مثل حالة التوافق وحالة الأمان ومعلومات الهوية. وهذا يسمح ل ISE بفرض سياسات الوصول إلى الشبكة على نقاط النهاية السحابية مثل الأجهزة المحلية.
4. إمكانية توسعة شبكة إيثرنت المحسنة المجمعة (ISE) إلى بيئات الشبكات بسلاسة تامة: ومن الفوائد الرئيسية التي تقدمها شركة Hermes أنها توفر جسرا سلسا بين بيئة خدمة البنية الأساسية للبيئات (ISE) المحلية والعدد المتزايد من التطبيقات المحلية للشبكات. يعد هذا الأمر أكثر سهولة لتوسيع سياسات أمان ISE وأساليب المصادقة وعناصر التحكم في الوصول إلى خدمات الشبكة دون الحاجة إلى إجراء إصلاح شامل للبنية الأساسية الموجودة.

---

التحقق من Hermes (وكيل سحابة PXGRID) واستكشاف أخطائها وإصلاحها

1. بشكل افتراضي، تكون خدمة Hermes معطلة، وتربط ISE مع Cisco PxGrid بما أن خدمة السحابة ممكنة مع Hermes. إذا كانت خدمة Hermes معطلة في ISE، فتحقق من تمكين خيار سحابة PxGrid من ISE GUI > إدارة > نشر، حدد عقدة ISE. انقر فوق تحرير، وقم بتمكين سحابة PXGRID.

2. تكون التصحيح المفيدة لمشاكل أستكشاف أخطاء Pxgrid المتعلقة بسحابة Hermes.log و pxcloud.log. تتوفر هذه الأخطاء فقط على عقدة Pxgrid حيث يتم تمكين سحابة Pxgrid. 

---

McTrust (خدمة Meraki Sync)

تتيح McTrust (خدمة مزامنة Meraki) التكامل بين أنظمة Cisco ISE و Cisco Meraki لمزامنة أجهزة الشبكة وسياسات الوصول وإدارتها. تعمل خدمة McTrust كموصل يقوم بمزامنة معلومات المستخدم والجهاز بين البنية الأساسية للشبكة المدارة عبر السحابة الخاصة ب Meraki وأنظمة إدارة الهوية والنهج الداخلية ل ISE.   

---

الميزات والوظائف الرئيسية ل McTrust (خدمة Meraki Sync)

1. إمكانية الدمج بسلاسة تامة مع أجهزة Meraki: تمكن McTrust ISE من المزامنة والتكامل مع الأجهزة المدارة عبر السحابة الخاصة ب Meraki. وهذا يتضمن أجهزة مثل نقاط الوصول Meraki والمحولات وأجهزة الأمان التي تعد جزءا من مجموعة Meraki. وهو يسمح ل ISE بالاتصال مباشرة بالبنية الأساسية ل Meraki، مما ييسر تطبيق سياسات التحكم في الوصول إلى الشبكة على الأجهزة التي تديرها Meraki.
2. مزامنة الجهاز المؤتمتة: تقوم خدمة Meraki Sync بمزامنة سياسات ISE تلقائيا مع أجهزة شبكة Meraki. تنعكس أي تغييرات على سياسات التحكم في الوصول إلى الشبكة في ISE تلقائيا في أجهزة Meraki دون الحاجة إلى التدخل اليدوي. وهذا يسمح للمسؤولين بالوصول السهل إلى شبكة الإدارة عبر كل من أنظمة Meraki و ISE الأساسية. 
3. تنفيذ السياسة للأجهزة المدارة عبر Meraki: تسمح McTrust لشبكة إيثرنت (ISE) بفرض سياسات الوصول إلى الشبكة على أجهزة Meraki استنادا إلى المصادقة ووضع الجهاز. وهو يقوم بتعيين السياسات بشكل ديناميكي لعناصر شبكة Meraki، مثل تعديل تعيينات شبكة VLAN، أو تطبيق قوائم التحكم في الوصول (ACL)، أو تقييد الوصول إلى موارد شبكة معينة، حسب وضعية الأمان للجهاز أو المستخدم الذي يطلب الوصول.
4. تكامل لوحة معلومات Meraki: تقوم McTrust بدمج ISE مباشرة مع لوحة معلومات Meraki، مما يوفر واجهة إدارة موحدة. ومع هذا التكامل، يمكن للمسؤولين عرض سياسات الشبكة وقواعد التحكم في الوصول وإدارتها لكل من أجهزة Meraki والموارد المدارة من قبل ISE، وكل ذلك داخل الواجهة المدارة عبر السحابة Meraki.

---

التحقق من McTrust (خدمة Meraki Sync) واستكشاف أخطائها وإصلاحها

1. قم بتسجيل الدخول إلى واجهة المستخدم الرسومية ISE > مراكز العمل > TrustSec > عمليات التكامل > حالة المزامنة. تحقق من أي مشاكل/أخطاء تم العثور عليها.
2. تأكد من أن جميع شهادات المسؤول ذات عقد ISE نشطة وصالحة.
3. يعد أستكشاف الأخطاء وإصلاحها بشكل مفيد لتصحيح الأخطاء باستخدام خدمة Meraki Sync هو meraki-connector.log.

---

مصدر عقدة ISE

يعد مصدر عقدة ISE مكونا يستخدم لمراقبة مقاييس الأداء وتجميعها باستخدام نظام ISE، من عقد ISE (سواء أكانت عقد إدارة أو عقد مراقبة أو عقد خدمة سياسة).

---

الميزات والوظائف الرئيسية لمصدر عقدة ISE

1. تصدير المقاييس: يوفر المصدر لعقدة ISE مجموعة متنوعة من المقاييس المتعلقة بالأداء، مثل إستخدام وحدة المعالجة المركزية (CPU) واستخدام الذاكرة واستخدام الأقراص وإحصاءات الشبكة وتحميل النظام ومقاييس أخرى على مستوى نظام التشغيل. وتستخدم هذه المقاييس لمراقبة صحة وأداء عقدة ISE ويمكن تصورها في لوحة معلومات مراقبة مثل Grafana.
2. مراقبة سلامة النظام: من خلال تصدير بيانات الأداء إلى Prometheus، يتيح مصدر عقدة ISE إمكانية المراقبة المستمرة لحالة سلامة عقدة ISE وتشغيلها. يمكن للمسؤولين إنشاء تنبيهات استنادا إلى الحدود المحددة مسبقا للإخطار بتدهور الأداء أو مشكلات النظام.
3. تكامل البروميثيوس: عادة ما يتم إستخدام المصدر عقدة ISE بالاقتران مع Prometheus، وهو مجموعة أدوات للمراقبة والتنبيه مفتوحة المصدر مصممة لتوفير الموثوقية وقابلية التطوير. يعرض المصدر Node مقاييس على مستوى النظام يمكن ل Prometheus كشفها لجمع بيانات السلاسل الزمنية وتخزينها.

---

خدمة ISE Prometheus

تقوم خدمة ISE Prometheus بدمج Prometheus مع ISE لتمكين المراقبة وتجميع مقاييس الأداء من ISE. بروميثيوس عبارة عن مجموعة أدوات للمراقبة والتنبيه مفتوحة المصدر تستخدم لجمع بيانات السلاسل الزمنية وتخزينها وتحليلها، وتسمح خدمة بروميثيوس ISE لمعيار الدقة ISE بالكشف عن مقاييسها الداخلية لبروميثيوس لأغراض المراقبة.

---

الميزات والوظائف الرئيسية لخدمة ISE Prometheus

1. مجموعة المقاييس للمراقبة: تم تصميم خدمة ISE Prometheus Service لتصدير العديد من مقاييس الأداء والتشغيل المتعلقة بالإصدار ISE. وتتضمن هذه المقاييس عادة، ولكنها لا تقتصر على إستخدام وحدة المعالجة المركزية (CPU) وتحميل النظام واستخدام الذاكرة واستخدام القرص وأداء الإدخال/الإخراج وإحصاءات الشبكة وإحصاءات طلبات المصادقة وإحصائيات تنفيذ السياسات وصحة النظام وبيانات وقت التشغيل
2. تكامل بروميثيوس: يسمح بروميثيوس ل ISE بالكشف عن البيانات في تنسيق متوافق مع بروميثيوس، الذي يقطف البيانات على فترات منتظمة. يقوم Prometheus بتخزين البيانات في قاعدة بيانات للفئة الزمنية، التي تتتبع الاتجاهات والأداء التاريخي لنظام ISE.
3. العرض وإعداد التقارير مع غرافانا: تندمج خدمة Prometheus في ISE بشكل سلس مع Grafana، وهي أداة شائعة لعرض المرئيات مفتوحة المصدر. بعد تصدير المقاييس إلى بروميثيوس، يمكن للمسؤولين إستخدام لوحات معلومات غرافانا لتصور البيانات في الوقت الحقيقي. وهذا يتيح إمكانية التعرف بسهولة على مشكلات الأداء واتجاهات النظام والمشكلات المحتملة في نشر ميزة ISE.

---

خدمة ISE Grafana

يوفر ISE Grafana مقاييس أداء النظام وهو نظام أساسي مفتوح المصدر للمراقبة وعرض البيانات. يتكامل مع بروميثيوس لعرض البيانات التاريخية الآنية التي تم تجميعها من ISE، مما يسمح للمسؤولين بإنشاء لوحات معلومات تفاعلية توفر رؤى حول صحة نظام ISE وأدائه واستخدامه. 

---

الميزات والوظائف الرئيسية لخدمة ISE Grafana

1. لوحات معلومات قابلة للتخصيص: Grafana قابل للتخصيص بدرجة كبيرة، مما يسمح للمسؤولين بإنشاء وتعديل لوحات المعلومات استنادا إلى إحتياجات المراقبة الخاصة بهم. يمكن إنشاء استعلامات مخصصة لاستخراج نقاط بيانات معينة من بروميثيوس، ويمكن عرض تلك الاستعلامات بتنسيقات مختلفة مثل الرسوم البيانية، الجداول، خرائط الحرارة، والمزيد.
2. المراقبة المركزية لعمليات نشر ISE الموزعة: بالنسبة لعمليات النشر الموزعة لنظام ISE حيث يتم نشر عقد ISE متعددة عبر مواقع مختلفة، توفر Grafana طريقة عرض مركزية لجميع مقاييس النظام التي يتم تجميعها من كل عقدة. وهذا يسمح للمسؤولين بمراقبة أداء نشر خدمة البنية الأساسية (ISE) بالكامل من موقع واحد.
3. البيانات التاريخية وتحليل الإتجاه: باستخدام البيانات المخزنة في بروميثيوس، يتيح غرافانا التحليل التاريخي لمقاييس النظام، مما يسمح للمسؤولين بتعقب الاتجاهات بمرور الوقت. على سبيل المثال، يمكن للمسؤولين مراقبة كيفية تغير إستخدام وحدة المعالجة المركزية (CPU) خلال الشهر الماضي أو كيفية تقلب معدلات نجاح المصادقة. وهذه البيانات التاريخية قيمة بالنسبة لتخطيط القدرات، وتحليل الاتجاهات، وتحديد المسائل الطويلة الأجل.

---

التحقق من خدمة ISE Grafana واستكشاف أخطائها وإصلاحها وخدمة ISE Prometheus ومصدر عقدة ISE

• تعمل خدمة ISE Grafana وخدمة ISE Prometheus Service وخدمة مصدر عقدة ISE معا وتسمى خدمات مكدس Grafana. لا توجد أخطاء معينة لتمكين أستكشاف أخطاء هذه الخدمات وإصلاحها. ومع ذلك، تساعد هذه الأوامر في أستكشاف الأخطاء وإصلاحها.

---

• show logging application ise-prometheus/prometheus.log
• show logging application ise-node-exporter/node-exporter.log
• show logging application ise-grafana/grafana.log

بحث Elasticsearch الخاص بالتحليلات الخاصة ب ISE MNT

إن IlluasSearch الخاص ب ISE MNT LogAnalytics هو مكون يدمج Elasticsearch مع إمكانيات مراقبة ISE واستكشاف الأخطاء وإصلاحها (MNT). يتم إستخدامه لتجميع السجل والبحث والتحليلات المتعلقة بسجلات وأحداث ISE. يعتبر Elasticsearch محرك بحث وتحليلات واسع الاستخدام وموزع، وعند دمجه مع ISE فإنه يحسن النظام لتخزين بيانات السجل التي تم إنشاؤها بواسطة مكونات ISE وتحليلها وتصويرها.

---

الميزات والوظائف الأساسية ل ISE MNT LogAnalytics Elasticsearch

1. سجل التخزين والفهرسة: تعد خدمة Elasticsearch في ISE مسؤولة عن تخزين بيانات السجل التي تم إنشاؤها بواسطة ISE وفهرستها. Elasticsearch هو محرك تحليلات وبحث موزع. وهو يسمح بتخزين سجلات ISE التي تتيح البحث السريع والاستعلام عن أحداث معينة أو أخطاء أو أنشطة النظام واستردادها.
2. التكامل مع تحليلات السجل: يعمل ISE MNT LogAnalytics Elasticsearch بالاقتران مع تحليلات السجل لتوفير حل تسجيل شامل. وهو يمكن ISE من جمع بيانات السجل المتعلقة بالمصادقة، وإنفاذ السياسة، وعمليات النظام، والأنشطة الأخرى. يتم تخزين هذه البيانات في Elasticsearch، الذي يوفر تحليلا مفصلا ورؤى لسلوك ISE.
3. التسجيل المركزي: من خلال التكامل مع Elasticsearch، يوفر ISE حل تسجيل مركزي، والذي يعد أمرا حيويا للبيئات التي تتطلب جمع السجلات الموزعة. ويتيح هذا للمسؤولين عرض السجلات وتحليلها من عقد ISE المتعددة في واجهة واحدة موحدة، مما يسهل أستكشاف أخطاء ISE وإصلاحها ومراقبة أداء ISE.
4. تحليل السجل واستكشاف الأخطاء وإصلاحها: تساعد خدمة Elasticsearch لتحليل سجل ISE MNT المسؤولين على تحليل سلوك النظام واستكشاف المشاكل وإصلاحها من أجل الوصول السهل إلى بيانات التسجيل. في حالة حدوث إرتفاع مفاجئ في حالات فشل المصادقة أو حدوث انقطاع غير متوقع في النظام، يسمح Elasticsearch بالاستعلام السريع عن بيانات السجل لتعريف السبب الجذري.

---

التحقق من Elasticsearch ل ISE M&T LogAnalytics واستكشاف أخطائه وإصلاحها

1. يجب أن يساعد تعطيل خدمة تحليلات السجل وإعادة تمكينها في ISE. انتقل إلى عمليات > نظام 360 > إعدادات > تحليلات السجل (تعطيل وتمكين باستخدام خيار التبديل.)
2. قم بإعادة تشغيل M&T LogAnalytics من جذر ISE بحل هذه المشكلة. اتصل ب cisco TAC أن أكمل هذا الإجراء. 

العيوب المعروفة: معرف تصحيح الأخطاء من · Cisco 66198

---

خدمة ISE Logstash

تدمج خدمة تسجيل دخول ISE Logstash، وهو خط أنابيب معالجة بيانات مصدر مفتوح مع ISE لجمع السجلات وتحويلها وإعادة توجيهها. تقوم بمعالجة سجلات ISE في تنسيق مهيكل وإرسالها إلى أنظمة تسجيل مركزية للتحليل والتخزين والمراقبة.

---

الميزات والوظائف الرئيسية لخدمة تسجيل دخول ISE

1. جمع السجلات وإعادة التوجيه: تقوم خدمة ISE Logstash بتجميع بيانات السجل من مكونات ISE المختلفة (مثل سجلات المصادقة وسجلات النظام وسجلات تنفيذ السياسة وما إلى ذلك) وإعادة التوجيه إلى موقع مركزي (عادة ما يكون Elasticsearch أو نظام إدارة سجل آخر) للتخزين والتحليل.
2. تحليل السجل: يمكن أن يقوم Logstash بتحليل السجلات المجمعة في تنسيقات مهيكلة. فهو يعالج بيانات السجل الأولي ويستخرج معلومات ذات مغزى، فيحول إدخالات السجل إلى تنسيق أسهل للاستعلام والتحليل. ويمكن أن يتضمن ذلك تصفية البيانات وتحليلها وإثرائها قبل إعادة التوجيه إلى TeleTicsearch أو أنظمة أخرى.

---

التحقق من خدمة تسجيل دخول ISE واستكشاف أخطائها وإصلاحها

1. لا يوجد تصحيح أخطاء محدد للتمكين. ومع ذلك، فإن تشغيل الأمر show logging application ise-logstash/logstash.log يوفر رؤية حول حالة الخدمة. 
2. يمكن أن يساعد تعطيل خدمة تحليلات السجل وإعادة تمكينها في ISE. انتقل إلى العمليات > النظام 360 > الإعدادات > تحليلات السجل (تعطيل وإعادة التمكين باستخدام خيار التبديل). 

العيوب المعروفة المتعلقة ب Logstash:

• معرف تصحيح الأخطاء · من Cisco 74832
• معرف تصحيح الأخطاء من Cisco ·58596

---

خدمة ISE Kibana

خدمة ISE Kibana هي أداة عرض للبيانات مفتوحة المصدر مع تسجيل ومراقبة ISE. وتعمل كيبانا جنبا إلى جنب مع Elasticsearch الذي يقوم بتخزين وفهارس بيانات السجل، وهو نظام أساسي قوي لتصور سجلات ISE ومقاييس الأداء والبحث فيها وتحليلها. 

---

السمات والوظائف الرئيسية لخدمة ISE Kibana

1. عرض البيانات: ويتيح ISE Kibana للمسؤولين إنشاء تمثيلات بصرية لبيانات السجل التي يتم تجميعها من ISE. ويمكن أن يشمل ذلك ما يلي:

• المخططات والرسوم البيانية والجداول الخاصة بالاتجاهات في المصادقة وإنفاذ السياسات ونشاط المستخدم وسلامة النظام.
• المخططات الدائرية والرسومات البيانية الخطية والمخططات الشريطية لتعقب مقاييس معينة مثل عدد عمليات تسجيل الدخول الفاشلة أو مدة جلسة العمل أو الأخطاء عبر الوقت.

---

التحقق من خدمة ISE Kibana واستكشاف أخطائها وإصلاحها

1. إذا لم تكن خدمة ISE Kibana قيد التشغيل، قم بتعطيل تحليلات السجل في ISE وإعادة تمكينها. ثم، انتقل إلى العمليات > النظام 360 > الإعدادات، وتحليلات السجل (تعطيل وإعادة التمكين باستخدام خيار التبديل).
2. في العديد من السيناريوهات، يمكن أن يكون هناك إدخال متكرر في مجلد /etc/host، والذي يمكن أن يتسبب في حدوث مشكلة. اتصل ب TAC لإزالة الإدخال المكرر. 

عيوب معروفة تتعلق بقضية كيبانا:

• معرف تصحيح الأخطاء · من Cisco 78050
• معرف تصحيح الأخطاء من Cisco ·59848

خدمة ISE الأصلية IPSec

تشير خدمة ISE الأصلية IPSec إلى الدعم المدمج ل IPSec (أمان بروتوكول الإنترنت)، والذي يوفر اتصالا آمنا بين عقد ISE أو بين ISE وأجهزة الشبكة الأخرى. IPSec هي مجموعة من البروتوكولات المستخدمة لتأمين إتصالات الشبكة من خلال مصادقة كل حزمة IP وتشفيرها في جلسة اتصال. تعد خدمة IPSec الأصلية جزءا من إطار إدارة الأمان والوصول إلى الشبكة الأوسع نطاقا. وهو يوفر إمكانات لمعالجة إتصالات VPN IPsec وإدارتها، مما يضمن أمان البيانات التي يتم إرسالها بين نظام ISE ونقاط النهاية البعيدة. وقد يتضمن ذلك تفاعلات مع أجهزة العميل أو أجهزة الوصول إلى الشبكة (مثل الموجهات أو جدران الحماية) أو عقد ISE الأخرى، حيث يكون تشفير IPsec والنفقي ضروريين لتأمين المعلومات الحساسة.

---

الميزات والوظائف الرئيسية لخدمة ISE الأصلية IPSec

1. الاتصال الآمن عبر IPsec: تتمثل الوظيفة الرئيسية لخدمة ISE Native IPSec في الحفاظ على قنوات الاتصال وتأمينها باستخدام IPSec. ويتضمن ذلك إستخدام آليات التشفير والمصادقة لضمان إرسال البيانات بين خدمات البنية التحتية المحوسبة (ISE) والأجهزة الأخرى للحماية من الاعتراض والعبث والوصول غير المصرح به. 
2. اتصال IPSec VPN: تساعد خدمة ISE Native IPSec على تسهيل إتصالات VPN التي تستخدم بروتوكول IPSec لتوفير نفق آمن ومشفر لنقل البيانات. ويعد ذلك مفيدا للعمال عن بعد أو المكاتب الفرعية أو المواقع الأخرى للوصول بأمان إلى بيئات ISE عبر شبكات غير موثوق بها مثل الوصول التقليدي إلى الإنترنت.
3. دعم شبكة VPN للوصول عن بعد: يمكن مشاركة خدمة IPSec الأصلية في تكوينات الشبكة الخاصة الظاهرية (VPN) للوصول عن بعد، حيث يتصل المستخدمون أو الأجهزة الموجودة خارج الموقع (مثل الموظفين عن بعد أو المكاتب الفرعية) بشكل آمن بنظام ISE عبر أنفاق IPsec. تضمن هذه الخدمة تشفير حركة مرور الوصول عن بعد ومصادقة بياناتها قبل الوصول إلى بيئة ISE.
4. توافق عميل IPsec VPN: تضمن خدمة ISE الأصلية IPSec التوافق مع عملاء VPN ل IPsec. وهو يدعم عمليات التهيئة الشائعة للأجهزة العميلة، مما يعمل على تمكين الأجهزة من الاتصال بالشبكة بأمان دون تعريض البيانات الحساسة للمخاطر.

---

التحقق من خدمة IPSec الأصلية واستكشاف أخطائها وإصلاحها

1. لا توجد أي تصحيح أخطاء محدد للتمكين لخدمة IPSec الأصلية. تحقق من السجلات التي تشغل الأمر show logging application strongswan/charon.log tail عبر واجهة سطر الأوامر (CLI) الخاصة ب ISE.
2. إذا تم ملاحظة أي مشكلة للنفق، فتحقق من حالة إنشاء النفق عبر واجهة المستخدم الرسومية (GUI) > الإدارة > النظام > الإعدادات > البروتوكولات > IPSec > IPSec الأصلي.

---

منشئ ملفات تعريف MFC

MFC Profiler هو مكون متخصص يستخدم لتصنيف أجهزة الشبكة ونقاط النهاية. يعد إنشاء ملفات التعريف جزءا أساسيا من التحكم في الوصول إلى الشبكة، حيث يسمح لإدارة خدمات الإنترنت (ISE) بتعريف الأجهزة الموجودة على الشبكة وتصنيفها وتطبيق سياسات الشبكة المناسبة استنادا إلى نوع الجهاز والسلوك.                       

---

الميزات والوظائف الرئيسية لخدمة منشئ ملفات تعريف MFC في ISE

1. تنظيم حركة المرور: تقوم خدمة منشئ ملفات تعريف MFC في ISE بتجميع بيانات حركة مرور البيانات وتوصيفها. وهو يراقب كيفية تصرف نقاط النهاية على الشبكة، بما في ذلك أنواع التطبيقات المستخدمة والخدمات التي يتم الوصول إليها وأنماط حركة المرور التي يتم عرضها بواسطة الأجهزة. تساعد هذه البيانات في إنشاء ملف تعريف لكل نقطة نهاية.
2. تنميط النقطة الطرفية: تتيح خدمة Profiler ل MFC ل ISE تحديد نقاط النهاية وتصنيفها استنادا إلى سلوكها. إنها تكتشف ما إذا كانت نقطة النهاية عبارة عن طابعة أو كمبيوتر أو جهاز محمول بناء على أنماط حركة مرور البيانات. يمكن أن يساعد ذلك في فرض سياسات محددة لأنواع مختلفة من الأجهزة وتحسين الأمان والكفاءة التشغيلية.

---

التحقق من خدمة منشئ ملفات تعريف MFC واستكشاف أخطائها وإصلاحها

1. انتقل إلى واجهة المستخدم الرسومية (ISE) > الإدارة > إنشاء ملفات التعريف > MFC إنشاء ملفات التعريف وقواعد AI. تحقق مما إذا تم تمكين الخدمة.
2. إذا تم تمكين الخدمة، ولكن يتم عرضها على أنها معطلة/لا تعمل عبر الأمر show application status ise في ISE CLI. قم بتعطيل خدمة إنشاء ملفات تعريف MFC في ISE وإعادة تمكينها عن طريق الإشارة إلى الخطوة السابقة.
3. خطوات أستكشاف الأخطاء وإصلاحها مفيدة لتصحيح الأخطاء، ارجع إلى مكون منشئ ملفات تعريف MFC في تصحيح الأخطاء. يمكن التحقق من السجلات من حزمة الدعم أو من أسفل السجلات من خلال تشغيل الأمر show logging application ise-pi-profiler.log tail عبر واجهة سطر الأوامر (CLI) الخاصة ب ISE.

عيب معروف لمنشئ ملفات تعريف MFC يظهر على أنه ليس قيد التشغيل بدلا من حالة معطلة:

• معرف تصحيح الأخطاء · من Cisco 72853

---

الخدمات المضمنة في ISE 3.4

MFA (خدمة مزامنة Duo) 

في Cisco Identity Services Engine (ISE) 3.4، تعمل خدمة Duo Sync على تسهيل الدمج السلس ل Duo Multi-Factor Authentication (MFA) دون الحاجة إلى وكيل مصادقة ثنائي خارجي. يؤدي هذا التكامل الأصلي إلى تعزيز الأمان لسير عمل مصادقة VPN و TACACS+. 

---

الميزات والوظائف الرئيسية ل MFA (خدمة المزامنة الثنائية) في ISE

1. دمج ثنائي أصلي (لا يتطلب وجود وكيل ثنائي): يدعم Cisco ISE 3.4 التكامل المباشر مع Duo، دون نشر وكيل مصادقة Duo منفصل وإدارته. ويعمل هذا على تبسيط عملية النشر وتقليل تعقيدات البنية الأساسية. 
2. مزامنة الهوية مع Duo: تتضمن ISE 3.4 خدمة مزامنة Duo التي تمكن مزامنة المستخدم التلقائية من Active Directory إلى Duo ولا تكون مطلوبة لإضافة المستخدمين يدويا إلى المزامنة الثنائية حيث تتم معالجتها عبر ISE.

---

التحقق من MFA واستكشاف أخطائه وإصلاحها (خدمة المزامنة الثنائية)

1. بشكل افتراضي، يتم تعطيل خدمة مزامنة MFA Duo. لتمكين هذه الخدمة، انتقل إلى إدارة > إدارة الهوية > إعدادات > إعدادات مصدر الهوية الخارجية > تبديل MFA.
2. إذا تم تمكين الخدمة، ولكن يتم عرضها كمعطل/لا يتم تشغيلها عبر الأمر show application status ise في ISE CLI. قم بتعطيل خدمة مزامنة MFA Duo في ISE وإعادة تمكينها عن طريق الإشارة إلى الخطوة السابقة.
3. خطوات أستكشاف الأخطاء وإصلاحها مفيدة لتصحيح الأخطاء، قم بتشغيل مكون الأمر ise-duo في تصحيح الأخطاء. يمكن التحقق من السجلات من حزمة الدعم أو ذيل السجلات من خلال تشغيل الأمر show logging application ise-duo.log tail عبر واجهة سطر الأوامر (CLI) الخاصة ب ISE.

---

Aciconn (خدمة اتصال ACI)

تكون خدمة ACIconn (موصل ACI) مسؤولة عن دمج Cisco ISE مع Cisco Application Centric Infrastructure (ACI). يتيح هذا التكامل ل ISE مشاركة هوية نقطة النهاية ومعلومات الوضع بشكل ديناميكي مع Cisco ACI للتجزئة المعرفة برمجيا وتنفيذ السياسة.

---

الميزات والوظائف الرئيسية لخدمة Aciconn في ISE

1. مشاركة السياق مع ACI: يشترك ACIconn مع Cisco APIC في هوية المستخدم، حالة المصادقة، الوضع، وتفاصيل الجلسة. فهو يتيح التجزئة الدقيقة المتوافقة مع السياق والقرارات السياسية استنادا إلى بيانات ISE.
2. تخطيط نقطة النهاية الديناميكية إلى EPG: تعيين المستخدمين/الأجهزة التي تمت مصادقتها في ISE إلى مجموعات نقاط النهاية (EPG) في واجهة التحكم في الوصول (ACI) من Cisco تلقائيا. يتيح إمكانية التجزئة القائمة على الهوية في مركز البيانات لديك.
3. الاتصال ثنائي الإتجاه: يمكن أن يرسل ISE تحديثات إلى ACI و ACI الاستعلام عن ISE لحالات نقطة النهاية، والتي تتيح تغييرات التحكم في الوصول وتجزئة الوقت الفعلي.

---

التحقق من صحة Aciconn واستكشاف أخطائها وإصلاحها 

1. بشكل افتراضي يتم تعطيل خدمة Aciconn. لتمكين هذه الخدمة، انتقل إلى مراكز العمل > TrustSec > Settings -> إعدادات ACI > تمكين تكامل ACI وملء التفاصيل المطلوبة لإنشاء الاتصال.
2. إذا تم تمكين الخدمة ولكن يتم إظهارها على أنها معطلة/لا تعمل عبر الأمر show application status ise في ISE CLI. قم بتعطيل خدمة تكامل ACI في ISE وإعادة تمكينها عن طريق الإشارة إلى الخطوة السابقة.
3. خطوات أستكشاف الأخطاء وإصلاحها المفيدة لتصحيح الأخطاء، تحقق من مكون موصل واجهة التحكم في الوصول (ACI) في تصحيح الأخطاء. يمكن التحقق من السجلات من حزمة الدعم أو تذيلها من خلال تشغيل الأمر show logging application aciconn.log tail & show logging application workload.log tail عبر واجهة سطر الأوامر (CLI) الخاصة بالإظهار.

---

شركة ISE Prometheus Export

تعد خدمة ISE Prometheus Source بمثابة خدمة في الخلفية تقوم بتصدير مقاييس Cisco ISE بتنسيق متوافق مع Prometheus، وهو نظام شائع لمراقبة المصادر المفتوحة والتنبيه. وهذا يسمح لأدوات المراقبة من إنتاج جهات خارجية مثل بروميثيوس وجرافانا باستيعاب مقاييس معايير معايير معايير التقييم المستقل للوحات المعلومات والتنبيهات وتحليل الأداء. 

---

الميزات والوظائف الرئيسية لخدمة ISE Prometheus في ISE

1. تصدير المقاييس الموحدة: يصدر مقاييس أداء واستخدام وصحة Cisco ISE في Prometheus، تنسيق متوافق ويمكن بيانات مراقبة متناسقة ومنظمة.
2. :: التكامل في مجال الرصد من جانب طرف ثالث: يندمج على نحو سلس مع أدوات الرصد مثل بروميثيوس وغرفانا وغيرهما.
3. يدعم التنبيهات وإعداد التقارير: يمكن إستخدام المقاييس لتحديد التنبيهات في الأنظمة الأساسية المدمجة أو أنظمة التنبيه المتكاملة. يساعد على تحديد الاتجاهات أو الحالات الشاذة بمرور الوقت.

---

التحقق من مصدر بروتوكول ISE Prometheus واستكشاف أخطائه وإصلاحها 

1. يتم تمكين مصدر بروتوكول ISE بشكل افتراضي في ISE. إذا لم تكن الخدمة قيد التشغيل، قم بتشغيل الأمر "إيقاف التطبيق" وأمر "بدء التطبيق" لإعادة تشغيل الخدمات.
2. خطوات مفيدة لاستكشاف الأخطاء وإصلاحها لتصحيح الأخطاء، تحقق من مكون Prometheus في تصحيح الأخطاء. يمكن التحقق من السجلات من حزمة الدعم أو ذيل السجلات من خلال تشغيل الأمر show logging application prometheus.log tail عبر واجهة سطر الأوامر (CLI) الخاصة ب ISE.

3.تأكد من وجود أي حالات لاستخدام عال للموارد على العقدة، حيث يؤثر ذلك على أداء برنامج ISE.

---

مدير تنبيه ISE Prometheus

يدير مدير تنبيه ISE Prometheus في ISE، التنبيهات استنادا إلى المقاييس التي تم تصديرها بواسطة خدمة Prometheus Source Source Service. وهو يعالج بيانات بيانات القياس عن بعد المجمعة ويثير الإنذارات أو الإخطارات عند استيفاء حدود معينة أو شروط معينة.

---

الميزات والوظائف الرئيسية لخدمة مدير تنبيه ISE Prometheus في ISE

1. معالجة التنبيه: يراقب مقاييس ISE للشذوذ أو حالات أختراق العتبة مثل حالات فشل وحدة المعالجة المركزية (CPU) أو الذاكرة أو المصادقة العالية. 
2. يعمل مع شركة Prometheus Export: يكمل مصدري المقاييس بالعمل بناء على البيانات، مما يتيح إدارة صحية إستباقية. 
3. تكامل الإشعارات: إعادة توجيه التنبيهات إلى الأدوات أو لوحات المعلومات الخارجية مثل البريد الإلكتروني أو إختبارات SNMP أو أنظمة المراقبة الأخرى. 

---

التحقق من مدير تنبيه ISE Prometheus واستكشاف أخطائه وإصلاحها

1. يتم تمكين مصدر بروتوكول ISE بشكل افتراضي في ISE. إذا لم تكن الخدمة قيد التشغيل، قم بتشغيل الأمر "إيقاف التطبيق" وأمر "بدء التطبيق" لإعادة تشغيل الخدمات.
2. خطوات أستكشاف الأخطاء وإصلاحها المفيدة لتصحيح الأخطاء، تحقق من مكون AlertManager في تصحيح الأخطاء. يمكن التحقق من السجلات من حزمة الدعم أو من أسفل السجلات من خلال تشغيل الأمر show logging application alertManager.log tail عبر واجهة سطر الأوامر (CLI) الخاصة ب ISE.
3. تحقق من وجود أي حالات لاستخدام الموارد بشكل كبير على العقدة، حيث يؤثر هذا على أداء برنامج ISE.

---

محرك البروتوكولات

Protocols Engine (محرك البروتوكولات) هو خدمة/وحدة ISE التي تقوم بإدارة ومعالجة تفاعلات بروتوكول الشبكة مثل RADIUS و TACACS+ و Diameter وبروتوكولات المصادقة والمحاسبة الأخرى المدعومة من قبل ISE. وبدون تشغيل مشغل البروتوكولات كما هو متوقع، لن يتمكن ISE من معالجة طلبات المصادقة أو فرض سياسات الوصول إلى الشبكة. وهو يضمن الاتصال الآمن والموثوق به بين أجهزة الشبكة وخادم ISE. 

---

الميزات والوظائف الرئيسية لخدمة محرك البروتوكولات في ISE

1. معالجة RADIUS: معالجة طلبات المصادقة والتفويض والمحاسبة (AAA) من أجهزة الشبكة. 
2. معالجة TACACS+: إدارة TACACS+ والمصادقة وتفويض الأوامر لإدارة الأجهزة.
3. تحليل البروتوكول والتحقق منه: تحليل حزم البروتوكول الواردة والتحقق من صحة الصحة. 

---

التحقق من محرك البروتوكولات واستكشاف أخطائه وإصلاحها

1. يتم تمكين محرك بروتوكولات ISE بشكل افتراضي في ISE. إذا لم تكن الخدمة قيد التشغيل، قم بتشغيل الأمر "إيقاف التطبيق" وأمر "بدء التطبيق" لإعادة تشغيل الخدمات. 

2. خطوات أستكشاف الأخطاء وإصلاحها المفيدة لتصحيح الأخطاء، تحقق من البروتوكولات Engine-AAA و ProtocolsEngine-config و ProtocolsEngine-GRPC و ProtocolsEngine-logging components في تصحيح الأخطاء. يمكن التحقق من السجلات من حزمة الدعم أو ذيل السجلات من خلال تشغيل الأمر show logging application protocols-engine.log tail عبر واجهة سطر الأوامر (CLI) الخاصة ب ISE. 

---

الخدمات المضمنة في ISE 3.5

خدمة تفويض الدعم عن بعد

خدمة تفويض الدعم عن بعد هي خدمة ISE التي تدير بشكل آمن تفويض جلسات الدعم عن بعد لمركز المساعدة التقنية (TAC) من Cisco. كما يتحقق مما إذا كان يسمح بالوصول إلى الدعم عن بعد استنادا إلى سياسات الدعم التي تم تكوينها ويضمن إنشاء جلسات أستكشاف الأخطاء وإصلاحها عن بعد مصرح بها فقط. تساعد هذه الخدمة على الحفاظ على الوصول الإداري الآمن أثناء السماح لمهندسي TAC من Cisco بالمساعدة في أستكشاف الأخطاء وإصلاحها عند تمكين الدعم عن بعد. 

---

الميزات والوظائف الرئيسية لخدمة تفويض الدعم عن بعد في ISE

1. تفويض الدعم عن بعد: التحقق من صحة جلسات الدعم عن بعد ل Cisco TAC وتخويلها.
2. التحكم في الوصول الآمن: يضمن منح الوصول عن بعد فقط عندما يتم تمكين الدعم عن بعد بشكل صريح وتخويله.
3. إدارة جلسة الدعم: يعمل على تنسيق طلبات التفويض بين عقدة ISE وبنية Cisco الأساسية للدعم عن بعد.

---

التحقق من خدمة تفويض الدعم عن بعد في ISE

يتم تمكين "خدمة تفويض الدعم عن بعد" بشكل افتراضي عند توفر وظيفة الدعم عن بعد. إذا لم تكن الخدمة قيد التشغيل، قم بتشغيل أوامر إيقاف التطبيق وبدء التطبيق لإعادة تشغيل الخدمات.

---

1. خطوات أستكشاف الأخطاء وإصلاحها المفيدة لتصحيح الأخطاء، تتضمن RemoteSupportAuthorization-config و RemoteSupportAuthorization-service و RemoteSupport مكونات تسجيل الدخول إلى وضع تصحيح الأخطاء. يمكن التحقق من السجلات من حزمة الدعم أو عرضها أثناء تشغيل الأمر CLI show logging application remote-support.log tail.

---

خدمة مدير التنبيه الموسع ل ISE 

تقوم خدمة تنبيه Prometheus Prometheus بإدارة التنبيهات التي تم إنشاؤها من Prometheus ويتم تجميع المقاييس داخل Cisco ISE. فهو يتلقى تنبيهات من خدمة مراقبة Prometheus، ويجمع ويقمع التنبيهات المكررة، ويرسل إخطارات إلى الوجهات التي تم تكوينها. وتتيح هذه الخدمة للمسؤولين إمكانية مراقبة سلامة نظام ISE التشغيلية والاستجابة بشكل استباقي لمشكلات البنية الأساسية أو التطبيقات.

---

الميزات والوظائف الرئيسية لخدمة مدير تنبيه ISE Prometheus في ISE

1. معالجة التنبيه: إستلام التنبيهات التي تم إنشاؤها من مقاييس Prometheus.
2. تجميع التنبيهات وإلغاء البيانات المكررة: تجميع التنبيهات المماثلة وقمع الإعلامات المكررة لتقليل تشويش التنبيه.
3. إدارة الإعلامات: توجيه التنبيهات إلى قنوات الإعلام التي تم تكوينها استنادا إلى نهج التنبيه.

---

التحقق من خدمة إدارة تنبيه ISE الأساسية في ISE

يتم تمكين خدمة إدارة تنبيه ISE Prometheus بشكل افتراضي كجزء من إطار المراقبة. في حالة عدم تشغيل الخدمة، قم بتشغيل ميزة "إيقاف التطبيق" و"بدء تشغيل التطبيق" لإعادة تشغيل الخدمات.

---

خطوات أستكشاف الأخطاء وإصلاحها المفيدة لتصحيح الأخطاء، تتضمن AlertManager-config و AlertManager-service ومكونات AlarmManager-logging في وضع تصحيح الأخطاء. يمكن التحقق من السجلات من حزمة الدعم أو عرضها أثناء تشغيل الأمر cli show logging application alertManager.log tail.

---

خدمة ISE DataGrid 

توفر خدمة شبكة بيانات ISE وحدات تخزين البيانات الموزعة في الذاكرة ومزامنتها عبر عقد Cisco ISE. وهو يمكن خدمات ISE المتعددة من مشاركة معلومات وقت التشغيل بشكل آمن مثل بيانات جلسة العمل ومعلومات نقطة النهاية ووحدات التخزين المؤقت وحالة التشغيل بين العقد. تعمل خدمة شبكة البيانات على تحسين إمكانية التوسع والأداء والتوفر العالي عن طريق السماح للخدمات بالوصول إلى البيانات المشتركة دون الاعتماد فقط على قاعدة البيانات الأساسية.

---

الميزات والوظائف الرئيسية لخدمة ISE DataGrid في ISE

1. تخزين البيانات الموزعة: يحافظ على بيانات الذاكرة المشتركة عبر جميع عقد ISE.
2. مزامنة جلسة العمل وذاكرة التخزين المؤقت: مزامنة معلومات وقت التشغيل وبيانات نقطة النهاية ومخازن التخزين المؤقت للخدمة بين العقد.
3. دعم التوافر العالي: تتيح للخدمات الموزعة مواصلة العمل بكفاءة من خلال توفير مشاركة بيانات مرنة عبر عملية النشر.

---

التحقق من خدمة ISE DataGrid في ISE

1. يتم تمكين خدمة شبكة بيانات ISE بشكل افتراضي. إذا لم تكن الخدمة قيد التشغيل، قم بتشغيل أوامر إيقاف التطبيق وبدء التطبيق لإعادة تشغيل الخدمات.
2. تتضمن خطوات أستكشاف الأخطاء وإصلاحها المفيدة لمكونات تصحيح الأخطاء و DataGrid-cluster و DataGrid-cache و DataGrid-config و DataGrid-logging في وضع تصحيح الأخطاء. يمكن التحقق من السجلات من حزمة الدعم أو عرضها أثناء تشغيل الأمر CLI show logging application datagrid.log tail.

---

المخاوف القياسية في ISE

وبصرف النظر عن المشكلات المتعلقة بخدمات ISE، فهذه هي بعض المشكلات التي تم العثور عليها في عقد ISE إلى جانب الخطوات الأساسية لاستكشاف الأخطاء وإصلاحها:

---

التحقق من متوسط الحمل العالي ومشاكل إستخدام الموارد (CPU/الذاكرة/القرص) والموارد غير الكافية

1. تحقق من تخصيص الموارد الموصى بها من Cisco للعقدة من خلال تشغيل الأمر show inventory عبر واجهة سطر الأوامر (CLI) لواجهة سطر الأوامر (ISE).

2. من واجهة سطر الأوامر (CLI) الخاصة بعقدة ISE، قم بتشغيل الأمر tech top للتحقق من إستخدام الموارد ل ISE.

3. تحقق من إستخدام القرص من خلال تشغيل الأمر show disk عبر واجهة سطر الأوامر (CLI) الخاصة ب ISE.

4. قم بإزالة نقاط النهاية غير النشطة، ومسح القرص المحلي للعقدة، وإجراء عمليات تنظيف الترقية.

---

إذا إستمرت المشكلة، اتصل ب cisco TAC، ووفر ال يأمن دعم حزمة، كومة تخديد وتفريغ مؤشر الترابط من العقدة التي تواجه المشكلة. 

---

1. لتأمين تفريغ كومة الذاكرة المؤقتة، قم بتسجيل الدخول إلى عقدة CLI ISE، قم بتشغيل الأمر configure ise للتطبيق. حدد الخيار 22.
2. لتأمين عملية تفريغ مؤشر الترابط، قم بتسجيل الدخول إلى عقدة CLI ISE، ثم قم بتشغيل الأمر configure ise للتطبيق. حدد الخيار 23. يتم تضمين تفريغ مؤشر الترابط في حزمة الدعم أو يمكن تتبعه عبر واجهة سطر الأوامر (CLI) الخاصة ب ISE التي تشغل الأمر show logging application appserver/cataline.out.\

---

التحقق من مشاكل المراقبة واستكشاف أخطائها وإصلاحها

تعد وظيفة المراقبة واستكشاف الأخطاء وإصلاحها (MnT) الخاصة ب ISE واحدة من المكونات الرئيسية لبنية ISE، التي توفر إمكانات المراقبة وإعداد التقارير والتنبيه. يعرض ISE معلومات المراقبة في العديد من الأماكن، بما في ذلك: 

• الصفحة الرئيسية Cisco ISE
• طرق عرض رؤية السياق
• سجلات RADIUS المباشرة وجلسات العمل المباشرة
• بحث عمومي
• السجلات الحية ل NAC المرتكزة على التهديد
• سجلات TACACS المباشرة

---

المسائل العامة التي لوحظت في فئة الرصد واستكشاف الأخطاء وإصلاحها:

1. لا تتوفر سجلات RADIUS/ TACACS Live
2. جلسات العمل المباشرة غير متوفرة
3. ملخص الصحة غير متوفر
4. مشكلات الأداء (وحدة المعالجة المركزية (CPU)/الذاكرة) التي تظهر على (عقد MNt)

---

تصحيح الأخطاء المطلوب تمكينها على عقد MnT لتقليل المشكلة:

1. Cisco-MNT
2. مجمع
3. CPM-MNT
4. تسجيل وقت التشغيل

---

بالإضافة إلى المكونات الموجودة في تصحيح الأخطاء، يمكن أن تساعد هذه المعلومات في أستكشاف الأخطاء وإصلاحها:

1. هل تتأثر جلسات العمل المباشرة أيضا أو السجلات الحية فقط؟
2. هل تتأثر سجلات RADIUS أو TACACS أو كلاهما؟
3. هل ترى نسبة إستخدام عالية لوحدة المعالجة المركزية (CPU) أو إستخدام مساحة تبادل كبيرة على عقد MnT؟
4. كم عدد ملفات التخزين المؤقت التي ترونها على عقد MnT؟ يمكن العثور على ملفات المخزن المؤقت ضمن: /opt/CSCOcpm/mnt/data/collector
5. هل تم تمكين حجوزات وحدة المعالجة المركزية والذاكرة؟ وإذا لم تكن هناك مساحة، فقم بتمكينها.
6. هل تمت إعادة تعيين DB الخاص ب MnT/config/session مؤخرا أو في الماضي؟
7. هل يتم إرسال syslogs من PSN إلى عقد MnT؟

---

إذا كنت تستخدم خدمات syslog ل MnT، فإن هذه المعلومات مطلوبة لاستكشاف الأخطاء وإصلاحها:

1. هل تستخدم أهداف syslog الآمنة، إن لم تكن كذلك، قم بتعطيلها، كما هو معروف بأنه يتسبب في حالات الإيقاف المؤقت في مؤشرات الترابط مما يؤدي إلى توقف أدوات التجميع عن العمل.
2. هل تستخدم أهداف syslog الآمنة، فتأكد من تعيين الثقة بشكل صحيح تحت الإدارة > التسجيل > أهداف التسجيل عن بعد > مجمع syslog الآمن 1 و 2
3. تحقق مما إذا كانت فئات التسجيل يتم تعيينها بشكل صحيح (يوصى بإزالة فئات التسجيل غير المستخدمة/غير المرغوب فيها - وهذا يقلل الحمل على عقد MnT) ويتم تكوين أهداف التسجيل بشكل صحيح.
4. تحقق من ملفات awrrep*.html من حزمة الدعم لفهم واستلام تلميح عن ما هو المكون الذي يرسل المزيد من syslog المتكررة. على سبيل المثال، إذا تم مشاهدة جداول TACACS مع استعلامات الإدراج أو التحديث، فيمكن ل TAC التحقق من سجلات المجمع لربط وفهم ما syslog التي يتم إرسالها بشكل أكثر تواترا.

---

إذا كانت المشكلة مرتبطة بالأداء على عقدة MnT، فإن TAC يتطلب هذه المعلومات:

1. أفضل مخرجات التقنية من واجهة سطر الأوامر (CLI) الخاصة ب ISE لعقدة MnT.
2. إذا كانت وحدة المعالجة المركزية عالية، هل ترى سعة ذاكرة كبيرة أو إستخدام مساحة تبديل عالية؟
3. حزمة دعم مع تأمين تفريغ كومة الذاكرة المؤقتة وتفريغ مؤشر الترابط.

---

المرجع

• دليل مسؤول محرك خدمات الهوية من Cisco، الإصدار 3.3
• دليل مسؤول محرك خدمات الهوية من Cisco، الإصدار 3.4 
• أستكشاف أخطاء ISE وإصلاحها وتمكين تصحيح الأخطاء

محفوظات المراجعة

المراجعة	تاريخ النشر	التعليقات
2.0	06-Aug-2026	تحديث التدقيق الإملائي والنحوي والنص البديل وتنبيهات CCW وإدماج خطوط أفقية لفصل المقاطع/إمكانية القراءة.
1.0	26-Mar-2025	الإصدار الأولي