Inhalt

Einführung

Voraussetzungen

Anforderungen

Verwendete Komponenten

Konfigurieren

Netzwerkdiagramm

Microsoft WSUS

ASA

ISE

Statusbehebung für WSUS

Statusanforderung für WSUS

AnyConnect-Profil

Client-Bereitstellungsregeln

Autorisierungsprofile

Autorisierungsregeln

Überprüfen

PC mit aktualisierten GPO-Richtlinien

Genehmigen eines kritischen Updates für den WSUS

Überprüfen Sie den PC-Status auf dem WSUS.

VPN-Sitzung eingerichtet

Statusmodul empfängt Richtlinien von der ISE und führt Problembehebung durch

Vollständiger Netzwerkzugriff

Fehlerbehebung

Wichtige Hinweise

Optionsdetails für die WSUS-Bereinigung

Windows Update-Dienst

SCCM-Integration

Zugehörige Informationen

Einführung

In diesem Dokument wird beschrieben, wie die Statusfunktion der Cisco Identity Services Engine (ISE) konfiguriert wird, wenn sie in die Microsoft Windows Server Update Services (WSUS) integriert ist.

Hinweis: Wenn Sie auf das Netzwerk zugreifen, werden Sie zur ISE für Cisco AnyConnect Secure Mobility Client Version 4.1 umgeleitet, wobei ein Statusmodul bereitgestellt wird. Dieses prüft den Compliance-Status auf dem WSUS und installiert die erforderlichen Aktualisierungen, damit die Station den Anforderungen entspricht. Sobald die Station als konform gemeldet wurde, ermöglicht die ISE den vollständigen Netzwerkzugriff.

Voraussetzungen

Anforderungen

Cisco empfiehlt, über Kenntnisse in folgenden Bereichen zu verfügen:

- Bereitstellung, Authentifizierung und Autorisierung der Cisco ISE

- Grundkenntnisse der Funktionsweise der ISE und des Cisco AnyConnect-Schwachstellenagenten

- Konfiguration der Cisco Adaptive Security Appliance (ASA)

- Grundlegendes VPN und 802.1x-Wissen

- Konfiguration des Microsoft WSUS

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf den folgenden Software- und Hardwareversionen:

- Microsoft Windows Version 7

- Microsoft Windows Version 2012 mit WSUS Version 6.3

- Cisco ASA Version 9.3.1 und höher

- Cisco ISE Software Version 1.3 und höher

Die Informationen in diesem Dokument wurden von den Geräten in einer bestimmten Laborumgebung erstellt. Alle in diesem Dokument verwendeten Geräte haben mit einer leeren (Standard-)Konfiguration begonnen. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die potenziellen Auswirkungen eines Befehls verstehen.

Konfigurieren

In diesem Abschnitt wird beschrieben, wie Sie die ISE und die zugehörigen Netzwerkelemente konfigurieren.

Netzwerkdiagramm

Dies ist die Topologie, die für die Beispiele in diesem Dokument verwendet wird:

Hier ist der Datenverkehrsfluss, wie im Netzwerkdiagramm veranschaulicht:

1. Der Remote-Benutzer stellt über Cisco AnyConnect eine Verbindung für den VPN-Zugriff auf die ASA her. Dabei kann es sich um eine beliebige Art von Unified Access handeln, z. B. eine verkabelte 802.1x/MAC Authentication Bypass (MAB)-Sitzung, die am Switch terminiert wird, oder eine Wireless-Sitzung, die am Wireless LAN Controller (WLC) terminiert wird.

2. Im Rahmen des Authentifizierungsprozesses bestätigt die ISE, dass der Status der Endstation nicht den Vorgaben entspricht (ASA-VPN_Quarantine-Autorisierungsregel) und dass die Umleitungsattribute in der RADIUS Access-Accept-Nachricht zurückgegeben werden. Daher leitet die ASA den gesamten HTTP-Datenverkehr an die ISE um.

3. Der Benutzer öffnet einen Webbrowser und gibt eine beliebige Adresse ein. Nach der Umleitung zur ISE wird das Cisco AnyConnect 4-Statusmodul auf der Station installiert. Das Statusmodul lädt dann die Richtlinien von der ISE herunter (Voraussetzung für WSUS).

4. Das Statusmodul sucht nach Microsoft WSUS und führt eine Problembehebung durch.

5. Nach erfolgreicher Behebung sendet das Statusmodul einen Bericht an die ISE.

6. Die ISE gibt einen Radius Change of Authorization (CoA) aus, der vollständigen Netzwerkzugriff für einen kompatiblen VPN-Benutzer (ASA-VPN_compliance Authorization Rule) bereitstellt.

Hinweis: Damit die Problembehebung funktioniert (Microsoft Windows-Updates können auf einem PC installiert werden), muss der Benutzer über lokale Administratorrechte verfügen.

Microsoft WSUS

Hinweis: Eine detaillierte Konfiguration des WSUS wird in diesem Dokument nicht behandelt. Weitere Informationen finden Sie in der Microsoft-Dokumentation Bereitstellung von Windows Server Update Services in Ihrer Organisation .

Der WSUS-Dienst wird über den standardmäßigen TCP-Port 8530 bereitgestellt. Beachten Sie, dass zur Problembehebung auch andere Ports verwendet werden. Aus diesem Grund ist es sicher, die IP-Adresse von WSUS der Umleitungszugriffskontrollliste (ACL) auf der ASA hinzuzufügen (die weiter unten in diesem Dokument beschrieben wird).

Die Gruppenrichtlinie für die Domäne ist für Microsoft Windows-Updates konfiguriert und verweist auf den lokalen WSUS-Server:

Dies sind die empfohlenen Updates, die für detaillierte Richtlinien aktiviert werden, die auf unterschiedlichen Schweregraden basieren:

Die Client-seitige Ausrichtung ermöglicht eine deutlich größere Flexibilität. Die ISE kann Statusrichtlinien verwenden, die auf den verschiedenen Microsoft Active Directory (AD)-Computercontainern basieren. Der WSUS kann Updates genehmigen, die auf dieser Mitgliedschaft basieren.

ASA

Es wird ein Simple Secure Sockets Layer (SSL)-VPN-Zugriff für den Remote-Benutzer verwendet (dessen Details nicht in diesem Dokument enthalten sind).

Hier ein Beispiel für eine Konfiguration:

interface GigabitEthernet0/0

nameif outside

security-level 10

ip address 172.16.32.100 255.255.255.0

interface GigabitEthernet0/1

nameif inside

security-level 100

ip address 172.16.31.100 255.255.255.0

aaa-server ISE protocol radius

interim-accounting-update periodic 1

dynamic-authorization

aaa-server ISE (inside) host 172.16.31.202

key cisco

webvpn

enable outside

anyconnect-essentials

anyconnect image disk0:/anyconnect-win-4.0.00051-k9.pkg 1

anyconnect enable

tunnel-group-list enable

error-recovery disable

group-policy POLICY internal

group-policy POLICY attributes

vpn-tunnel-protocol ikev1 ikev2 l2tp-ipsec ssl-client ssl-clientless

tunnel-group SSLVPN type remote-access

tunnel-group SSLVPN general-attributes

address-pool POOL-VPN

authentication-server-group ISE

accounting-server-group ISE

default-group-policy POLICY

ip local pool POOL-VPN 172.16.50.50-172.16.50.60 mask 255.255.255.0

Es ist wichtig, eine Zugriffsliste auf der ASA zu konfigurieren, die verwendet wird, um den Datenverkehr zu bestimmen, der an die ISE umgeleitet werden soll (für Benutzer, die noch nicht konform sind):

access-list Posture-redirect extended deny udp any any eq domain

access-list Posture-redirect extended deny ip any host 172.16.31.103

access-list Posture-redirect extended deny ip any host 172.16.31.202

access-list Posture-redirect extended deny icmp any any

access-list Posture-redirect extended permit tcp any any eq www

Nur Domain Name System (DNS)-, ISE-, WSUS- und Internet Control Message Protocol (ICMP)-Datenverkehr ist für nicht konforme Benutzer zulässig. Der gesamte andere Datenverkehr (HTTP) wird für die AnyConnect 4-Bereitstellung an die ISE umgeleitet, die für den Status und die Problembehebung verantwortlich ist.

ISE

Hinweis: Bereitstellung und Status von AnyConnect 4 sind nicht Bestandteil dieses Dokuments. Weitere Informationen zum Konfigurieren der ASA als Netzwerkgerät und zum Installieren der Cisco AnyConnect 7-Anwendung finden Sie im Konfigurationsbeispiel für die AnyConnect 4.0-Integration mit der ISE Version 1.3.

Statusbehebung für WSUS

Gehen Sie wie folgt vor, um die Statussanierung für WSUS zu konfigurieren:

1. Navigieren Sie zu Richtlinien > Bedingungen > Status > Remediation Actions > Windows Server Update Services Remediation, um eine neue Regel zu erstellen.

2. Überprüfen Sie, ob die Einstellung Microsoft Windows Updates auf Schweregrad eingestellt ist. Dieser Teil ist für die Erkennung verantwortlich, wenn der Beseitigungsprozess initiiert wird.

Der Microsoft Windows Update Agent stellt dann eine Verbindung mit dem WSUS her und überprüft, ob kritische Updates für diesen PC vorliegen, die auf die Installation warten:

Statusanforderung für WSUS

Navigieren Sie zu Richtlinien > Bedingungen > Status > Anforderungen, um eine neue Regel zu erstellen. Die Regel verwendet eine Dummy-Bedingung namens pr_WSUSRule, d. h., dass der WSUS kontaktiert wird, um zu prüfen, ob bei Bedarf eine Problembehebung erforderlich ist (kritische Updates).

Sobald diese Bedingung erfüllt ist, installiert der WSUS die für diesen PC konfigurierten Updates. Diese können jede Art von Aktualisierungen sowie Updates mit niedrigerem Schweregrad umfassen:

AnyConnect-Profil

Konfigurieren Sie das Status-Modulprofil zusammen mit dem AnyConnect 4-Profil (wie im Konfigurationsbeispiel für die Integration von AnyConnect 4.0 in ISE Version 1.3 beschrieben):

Client-Bereitstellungsregeln

Wenn das AnyConnect-Profil fertig ist, kann auf es in der Client Provisioning-Richtlinie verwiesen werden:

Die gesamte Anwendung wird zusammen mit der Konfiguration auf dem Endpunkt installiert, der auf die Portalseite für die Client-Bereitstellung umgeleitet wird. AnyConnect 4 kann aktualisiert und ein zusätzliches Modul (Status) installiert werden.

Autorisierungsprofile

Erstellen Sie ein Autorisierungsprofil für die Umleitung zum Client Provisioning-Profil:

Autorisierungsregeln

Dieses Bild zeigt die Autorisierungsregeln:

Zum ersten Mal wird die ASA-VPN_Quarantine-Regel verwendet. Als Ergebnis wird das Status-Autorisierungsprofil zurückgegeben und der Endpunkt für die AnyConnect 4-Bereitstellung (mit Statusmodul) an das Client Provisioning-Portal umgeleitet.

Sobald die Vorgaben erfüllt sind, wird die ASA-VPN_compliance-Regel verwendet, und der vollständige Netzwerkzugriff ist zulässig.

Überprüfen

Dieser Abschnitt enthält Informationen, mit denen Sie überprüfen können, ob Ihre Konfiguration ordnungsgemäß funktioniert.

PC mit aktualisierten GPO-Richtlinien

Die Domänenrichtlinien mit der WSUS-Konfiguration sollten nach der Anmeldung des PCs bei der Domäne weitergeleitet werden. Dies kann vor der Einrichtung der VPN-Sitzung (Out-of-Band) oder danach erfolgen, wenn die Funktion Start Before Logon (Start Before Logon) verwendet wird (sie kann auch für den kabelgebundenen/Wireless-Zugriff auf 802.1x verwendet werden).

Sobald der Microsoft Windows-Client die richtige Konfiguration aufweist, kann dies in den Windows Update-Einstellungen angezeigt werden:

Bei Bedarf können eine GPO-Aktualisierung (Group Policy Object) und die Microsoft Windows Update Agent-Servererkennung verwendet werden:

C:\Users\Administrator>gpupdate /force

Updating Policy...

User Policy update has completed successfully.

Computer Policy update has completed successfully.

C:\Users\Administrator>wuauclt.exe /detectnow

C:\Users\Administrator>

Genehmigen eines kritischen Updates für den WSUS

Der Genehmigungsprozess kann von der Ausrichtung auf Kundenstandorte profitieren:

Senden Sie den Bericht bei Bedarf erneut.

Überprüfen Sie den PC-Status auf dem WSUS.

Dieses Bild zeigt, wie Sie den PC-Status auf dem WSUS überprüfen:

Für die nächste Aktualisierung mit dem WSUS sollte ein Update installiert werden.

VPN-Sitzung eingerichtet

Nach Einrichtung der VPN-Sitzung wird die ISE-Autorisierungsregel für ASA-VPN_Quarantine verwendet, die das Status-Autorisierungsprofil zurückgibt. Als Ergebnis wird der HTTP-Datenverkehr vom Endpunkt zur Bereitstellung des AnyConnect 4-Updates und -Statusmoduls umgeleitet:

An diesem Punkt zeigt der Sitzungsstatus auf der ASA eingeschränkten Zugriff mit der Umleitung des HTTP-Datenverkehrs zur ISE an:

asav# show vpn-sessiondb detail anyconnect

Session Type: AnyConnect Detailed

Username     : cisco                  Index        : 69

Assigned IP  : 172.16.50.50           Public IP    : 192.168.10.21

<...some output omitted for clarity...>

ISE Posture:

Redirect URL : https://ise14.example.com:8443/portal/gateway?sessionId=ac101f64000

45000556b6a3b&portal=283258a0-e96e-...

Redirect ACL : Posture-redirec

Statusmodul empfängt Richtlinien von der ISE und führt Problembehebung durch

Das Statusmodul empfängt die Richtlinien von der ISE. Die ise-psc.log-Debugger zeigen die Anforderung an, die an das Statusmodul gesendet wird:

2015-06-05 07:33:40,493 DEBUG  [portal-http-service12][] cisco.cpm.posture.runtime.

PostureHandlerImpl -:cisco:ac101f6400037000556b40c1:::- NAC agent xml

<?xml version="1.0" encoding="UTF-8"?><cleanmachines>

<version>2</version>

<encryption>0</encryption>

<package>

<id>10</id>

WSUS

<version/>

<description>This endpoint has failed check for any AS installation</description>

<type>10</type>

<optional>0</optional>

42#1

<remediation_type>1</remediation_type>

<remediation_retry>0</remediation_retry>

<remediation_delay>0</remediation_delay>

<action>10</action>

<check>

pr_WSUSCheck

</check>

<criteria/>

</package>

</cleanmachines>

Das Statusmodul veranlasst den Microsoft Windows Update Agent automatisch, eine Verbindung zum WSUS herzustellen und Updates entsprechend der WSUS-Richtlinien herunterzuladen (alle automatisch ohne Benutzereingriff):

Hinweis: Einige der Updates erfordern möglicherweise einen Neustart des Systems.

Vollständiger Netzwerkzugriff

Dies wird angezeigt, nachdem die Station vom AnyConnect-Statusmodul als konform gemeldet wurde:

Der Bericht wird an die ISE gesendet, die die Richtlinie neu bewertet und die ASA-VPN_compliance-Autorisierungsregel aufruft. Dadurch wird der vollständige Netzwerkzugriff (über Radius CoA) gewährleistet. Navigieren Sie zu Operations > Authentications (Vorgänge > Authentifizierungen), um Folgendes zu bestätigen:

Die debugs (ise-psc.log) bestätigen auch den Compliance-Status, den CoA-Trigger und die endgültigen Einstellungen für den Status:

DEBUG  [portal-http-service17][] cisco.cpm.posture.runtime.PostureManager -:cisco:

ac101f6400039000556b4200:::- Posture report token for endpoint mac

08-00-27-DA-EF-AD is Healthy

DEBUG  [portal-http-service17][] cisco.cpm.posture.runtime.PostureCoA -:cisco:

ac101f6400039000556b4200:::- entering triggerPostureCoA for session

ac101f6400039000556b4200

DEBUG  [portal-http-service17][] cisco.cpm.posture.runtime.PostureCoA -:cisco:ac

101f6400039000556b4200:::- Posture CoA is scheduled for session id

[ac101f6400039000556b4200]

DEBUG  [portal-http-service17][] cisco.cpm.posture.runtime.PostureHandlerImpl -:cisco:

ac101f6400039000556b4200:::- DM_PKG report non-AUP:html = <!--X-Perfigo-DM-Error=0-->

<!--error=0--><!--X-Perfigo-DmLogoff-Exit=0--><!--X-Perfigo-Gp-Update=0-->

<!--X-Perfigo-Auto-Close-Login-Scr=0--><!--X-Perfigo-Auto-Close-Login-Scr-Time=0-->

<!--user role=--><!--X-Perfigo-OrigRole=--><!--X-Perfigo-UserKey=dummykey-->

<!--X-Perfigo-RedirectUrl=--><!--X-Perfigo-ShowInfo=--><!--X-Perfigo-Session=-->

<!--X-Perfigo-SSO-Done=1--><!--X-Perfigo-Provider=Device Filter-->

<!--X-Perfigo-UserName=cisco--><!--X-Perfigo-DHCP-Release-Delay=4-->

<!--X-Perfigo-DHCP-Renew-Delay=1--><!--X-Perfigo-Client-MAC=08:00:27:DA:EF:AD-->

DEBUG  [pool-183-thread-1][]cisco.cpm.posture.runtime.PostureCoA -:cisco:

ac101f6400036000556b3f52:::- Posture CoA is triggered for endpoint [08-00-27-da-ef-ad]

with session [ac101f6400039000556b4200]

Der ISE Detailed Status Assessment Report bestätigt außerdem, dass die Station die folgenden Richtlinien erfüllt:

Hinweis: Die genaue MAC-Adresse (Media Access Control) der physischen Netzwerkschnittstelle auf dem Microsoft Windows PC ist aufgrund der ACIDEX-Erweiterungen bekannt.

Fehlerbehebung

Für diese Konfiguration sind derzeit keine Informationen zur Fehlerbehebung verfügbar.

Wichtige Hinweise

Dieser Abschnitt enthält wichtige Informationen zur Konfiguration, die in diesem Dokument beschrieben wird.

Optionsdetails für die WSUS-Bereinigung

Es ist wichtig, die Anforderungsbedingung von der Problembehebung zu unterscheiden. AnyConnect veranlasst den Microsoft Windows Update Agent, die Compliance zu überprüfen, abhängig von der Einstellung Windows-Updates mithilfe der Problembehebungseinstellungen validieren.

In diesem Beispiel wird der Schweregrad verwendet. Bei der kritischen Einstellung überprüft Microsoft Windows Agent, ob ausstehende (nicht installierte) kritische Updates vorliegen. Wenn dies der Fall ist, beginnt die Problembehebung.

Im Zuge der Problembehebung können dann alle kritischen und weniger wichtigen Updates auf Basis der WSUS-Konfiguration (Updates, die für das jeweilige System genehmigt wurden) installiert werden.

Wenn die Windows-Updates mithilfe von Cisco Regeln validieren, entscheiden die in der Anforderung dargelegten Bedingungen, ob die Workstation die Anforderungen erfüllt, darüber.

Windows Update-Dienst

Für Bereitstellungen ohne WSUS-Server gibt es einen anderen Sanierungstyp, der als Windows Update Remediation (Windows Update-Problembehebung) verwendet werden kann:

Dieser Sanierungstyp ermöglicht die Steuerung der Microsoft Windows Update-Einstellungen und die Durchführung sofortiger Aktualisierungen. Eine typische Bedingung für diesen Sanierungstyp ist pc_AutoUpdateCheck. Dadurch können Sie überprüfen, ob die Microsoft Windows Update-Einstellung auf dem Endpunkt aktiviert ist. Falls nicht, können Sie es aktivieren und die Aktualisierung durchführen.

SCCM-Integration

Eine neue Funktion für die ISE Version 1.4, die als Patch-Management bezeichnet wird, ermöglicht die Integration mit zahlreichen Drittanbietern. Je nach Anbieter stehen verschiedene Optionen für die Bedingungen und Abhilfemaßnahmen zur Verfügung.

Microsoft unterstützt sowohl den System Management Server (SMS) als auch den System Center Configuration Manager (SCCM).

Zugehörige Informationen

- Statusservices im Cisco ISE-Konfigurationshandbuch

- Administratoranleitung für Cisco Identity Services Engine, Version 1.4

- Administratoranleitung für Cisco Identity Services Engine, Version 1.3

- Bereitstellen von Windows Server Update Services in Ihrer Organisation

- Technischer Support und Dokumentation - Cisco Systems