أستكشاف أخطاء ISE Agentless Posture (وضعية محرك خدمات الهوية (ISE)) وإصلاحها التي لا تؤدي إلى تشغيل إعادة مصادقة جلسة العمل

مسألة

يفشل تشغيل وظيفة الوضع بدون برنامج في Identity Services Engine (ISE) 3.3 بعد أحداث إعادة مصادقة جلسة العمل. أثناء المصادقة الأولية، يعمل الوضع غير المتصل بشكل صحيح وتصبح نقاط النهاية متوافقة. ومع ذلك، عند حدوث عملية إعادة المصادقة، تتلقى نقاط النهاية أحداث تحديث مؤقت لمحاسبة RADIUS بدلا من أحداث بدء المحاسبة، مما يتسبب في عدم إستدعاء تدفق الوضع دون الحاجة. ونتيجة لذلك، تتطابق نقاط النهاية مع سياسة وضعية غير معروفة وتظل في حالة وضعية غير معروفة، مما يؤثر على وصول الشبكة للأجهزة المتأثرة.

وتظهر المشكلة مع نقاط نهاية عالقة في حالة "Posture Pending" أو "Unknown" بعد إعادة المصادقة، مع تأثر 800 نقطة نهاية تقريبا من أصل 1200 نقطة نهاية في البيئة التي تم الإبلاغ عنها. يوضح تحليل السجل أنه أثناء إعادة المصادقة، يستقبل ISE أحداث ACCOUNTING_UPDATE مع agentlessEnabled=true ولكن لا يتم إستدعاء تدفق الوضع لمعرف الجلسة الحالي.

البيئة

• Identity Services Engine (ISE)، الإصدار 3.3 Patch 4
• مصادقة 802.1X سلكية مع تجاوز مصادقة MAC (MAB)
• تم تمكين تكوين الوضع دون الحاجة إلى إستخدام أية برامج
• مؤقتات إعادة مصادقة جلسة العمل التي تم تكوينها (مهلة 420 ثانية)
• محولات Cisco Catalyst كأجهزة وصول إلى الشبكة
• حوالي 1200 نقطة نهاية في البيئة

قرار

هذا السلوك متوقع ومن خلال التصميم في ISE. لا يتم تشغيل الوضع "بدون حالة" إلا بواسطة أحداث بدء محاسبة RADIUS ولا يجب إعادة استدعاؤه بواسطة أحداث التحديث المؤقت للمحاسبة أثناء مصادقة جلسة العمل عندما يظل عنوان IP المؤطر دون تغيير.

تحليل فني

يقوم مسار التعليمات البرمجية ISE NetAccessEventHandler فقط بإعادة توجيه تدفق الوضع دون فئات على حزم RADIUS Accounting-Start الجديدة. أثناء عملية إعادة المصادقة، ترسل أجهزة الشبكة عادة حزم التحديث المؤقت للمحاسبة ذات معرف الوصول إلى Acct-Session-ID نفسه، مما يتسبب في قيام الدالة shouldInvokePostureFlow() بإرجاع false، مما يمنع إعادة تقييم الوضع.

سجل دليل يظهر السلوك:

المصادقة الأولية (تم تشغيل الوضع دون الحاجة إلى إستخدام أية برامج):

2026-04-01 11:28:20,466 DEBUG [PrRTEvents-Executor-2][[]] cisco.cpm.posture.events.NetAccessEventHandler -:0A01281F00003BB490592B5C::::- agentlessEnabled=true, sessionId=0A01281F00003BB490592B5C, ipAddress=10.30.21.130, mac=F8-ED-FC-AD-35-77, psn=ise1.auk.edu.kw, event=ACCOUNTING_START, domainName=null

2026-04-01 11:28:20,466 DEBUG [PrRTEvents-Executor-2][[]] cisco.cpm.posture.events.NetAccessEventHandler -:0A01281F00003BB490592B5C::::- Need to invoke agentless posture flow for new sessionId=0A01281F00003BB490592B5C

إعادة المصادقة (لم يتم تشغيل الوضع دون الحاجة):

2026-04-01 11:35:37,669 DEBUG [PrRTEvents-Executor-2][[]] cisco.cpm.posture.events.NetAccessEventHandler -:0A01281F00003BB490592B5C::::- agentlessEnabled=true, sessionId=0A01281F00003BB490592B5C, ipAddress=10.30.21.130, mac=F8-ED-FC-AD-35-77, psn=ise1.auk.edu.kw, event=ACCOUNTING_UPDATE, domainName=null

حل بديل موصى به

لتخفيف تأثير هذا السلوك، قم بتكوين إعدادات تأجير الوضع للحفاظ على توافق نقطة النهاية أثناء سيناريوهات إعادة المصادقة:

الخطوة 1: قم بتكوين مدة تأجير الوضع المناسبة في سياسات ISE Posture لضمان عدم فقدان نقاط النهاية لوصول الشبكة بين تقييمات الوضع.

الخطوة 2: مراقبة حالة وضع نقطة النهاية وضبط أوقات التأجير استنادا إلى متطلبات الأمان الخاصة بمؤسستك وتردد إعادة المصادقة.

السبب

هذا سلوك متوقع موثق في Cisco Bug CSCwu48086. تم تصميم وضع دون فئات في ISE ليتم تشغيله فقط على أحداث بدء محاسبة RADIUS ولا يتم تشغيله بواسطة أحداث تحديث المحاسبة المؤقتة. أثناء إعادة مصادقة جلسة العمل، تقوم أجهزة الوصول إلى الشبكة بإرسال تحديثات مؤقتة للمحاسبة لها نفس عنوان IP المؤطر ومعرف جلسة العمل، والتي لا تقوم بإعادة إستدعاء عملية تقييم الوضع دون الحاجة إلى إستخدام أية برامج. يتحقق كود ISE بشكل خاص من جلسات العمل الجديدة (أحداث ACCOUNTING_START) قبل بدء تدفقات الوضع دون حاجة إلى إستخدام أية برامج.

المحتوى ذي الصلة

• Cisco Bug ID CSCwu48086
• الدعم الفني والتنزيلات من Cisco