تتسبب ميزة ISE RCM في حذف نقطة النهاية أثناء المصادقة المستندة إلى الشهادة

مسألة

أثناء الترحيل من JAMF إلى Intune MDM لأجهزة MacOS، يقوم Cisco ISE بحذف أو دمج سجلات نقاط النهاية ويغير تعيينات مجموعة هوية نقاط النهاية أثناء مصادقة EAP-TLS.

يتم نقل نقاط النهاية المتأثرة من مجموعة هوية DB_Authorized_Devices إلى Profiled التي تقوم بتشغيل أحداث CoA مع وجود سبب "حذف نقطة النهاية." وهذا يؤدي إلى إزالة نقاط النهاية من قاعدة بيانات ISE الداخلية ويسبب حالات انقطاع للمصادقة للأجهزة المتأثرة. تحدث المشكلة عندما تقوم الأجهزة بالتبديل بين التوصيلات اللاسلكية والسلكية باستخدام نفس الشهادة التي تحتوي على حقول URI للاسم البديل للموضوع (SAN) والتي يفسرها ISE على هيئة GUID لميزة MAC (RCM) العشوائية والمتغيرة.

البيئة

• Cisco Identity Services Engine (ISE)، الإصدار 3.2

• نقاط نهاية نظام التشغيل MacOS باستخدام مصادقة EAP-TLS

• المصادقة المستندة إلى الشهادة مع حقول SAN URI التي تحتوي على معرفات الأجهزة

• تبديل الأجهزة بين توصيلات الشبكة اللاسلكية والسلكية

• ترحيل MDM من JAMF إلى Microsoft Intune

• سمة RCM (Random and Changing MAC) يمكن افتراضيا في ISE 3.2

• نقاط النهاية المدارة عبر واجهة برمجة تطبيقات REST ذات سمات مخصصة

قرار

سبب المشكلة هو ميزة RCM في ISE 3.2، والتي تدمج سجلات نقاط النهاية استنادا إلى حقول SAN URI للشهادة. يتوفر خياران للدقة.

الخيار 1: تعطيل ميزة RCM (مستحسن مع الحذر)

الخطوة 1: الوصول إلى واجهة واجهة واجهة واجهة برمجة التطبيقات (API) الخاصة بمحول ISE

انتقل إلى إدارة > إعدادات > إعدادات واجهة برمجة التطبيقات وانقر على الارتباط /swagger-ui.

الخطوة 2: التحقق من إعدادات LSD الحالية

في واجهة المبدل، ابحث عن إعدادات LSD ونفذ طلب GET لعرض التكوين الحالي:

GET /api/v1/lsd/settings

الخطوة 3: تعديل إعدادات RCM

تنفيذ طلب PUT مع جهة الطلب هذه لتعطيل RCM:

{
  "enableEPO": true,
  "enableRCM": false
}

الخطوة 4: التحقق من تغيير التكوين

قم بتنفيذ طلب GET مرة أخرى لتأكيد تعطيل RCM وبقايا LSD في حالة تمكين.

الخطوة 5: تنفيذ نصوص تنظيف نصية

قم بتشغيل عملية البرنامج النصي الموصى بها لإصلاح إختلافات السمات بعد تعطيل RCM. مراقبة البنية الأساسية لأي حالات ركن أثناء هذه العملية.

الخيار 2: تعديل نهج التخويل

قم بضبط مجموعات السياسات لتأخذ في الاعتبار سلوك إدارة قاعدة بيانات المحول (RCM) من خلال إنشاء منطق اعتماد منفصل لتدفقات المصادقة السلكية واللاسلكية، مع ضمان أن نقاط النهاية المدمجة تتلقى قرارات الوصول المناسبة بناء على نوع الاتصال بدلا من عضوية مجموعة الهوية وحدها.

معالجة URI لشهادة SAN

يقوم ISE بمعالجة حقول SAN URI للشهادات باستخدام منطق محدد لاستخراج معرفات GUID. بالنسبة للشهادات التي تحتوي على مقاطع معرف Microsoft Entra، يقوم ISE بشطب مقاطع الهوية العابرة باستخدام نمط regex:

tag:[a-zA-Z0-9.,-]+:sid:S-[0-9-]+[:,]?

أمثلة على معالجة URI ل SAN:

• الإدخال: "id:Meraki:GUID:6732814292101809:tag:microsoft.com،2022-09-14:sid:S-1-5-21-294279583-2590601415-1333022741-66482"

• مخزن في جلسة عمل: "ID:Meraki:GUID:67328814292101809"

السبب

تفسر ميزة RCM (Random and Changing MAC) التي تم تمكينها بشكل افتراضي في ISE 3.2 حقول SAN URI للترخيص كمعرفات عامة (GUIDs) لتعريف نقطة النهاية. عندما تتصل الأجهزة التي تستخدم نفس الشهادة عبر الواجهات اللاسلكية والسلكية على حد سواء، فإن RCM يدمج سجلات نقاط النهاية بناء على GUID المشترك. أثناء عملية الدمج هذه، يتم ترحيل السمات من نقطة النهاية اللاسلكية إلى نقطة النهاية السلكية، ويتم حذف إدخال MAC اللاسلكي من قاعدة بيانات نقطة النهاية. يحدث هذا السلوك قبل عمليات أستكشاف CoA أو DHCP ويؤدي إلى فقد السمات المخصصة وتعيينات مجموعة الهوية التي تم تكوينها في الأصل عبر واجهة برمجة تطبيقات REST. لا تحتفظ عملية الدمج بسمات مخصصة ليست جزءا من سياسات إنشاء ملفات التعريف، مما يؤدي إلى إعادة تعيين هوية نقطة النهاية وحالات فشل المصادقة التالية.

المحتوى ذي الصلة

• الدعم الفني والتنزيلات من Cisco

محفوظات المراجعة

المراجعة	تاريخ النشر	التعليقات
1.0	29-Oct-2026	الإصدار الأولي