Konfiguration von TrustSec NDAC-Seed- und Nicht-Seed-Geräten

Download-Optionen

  • PDF     (1.7 MB)
    Mit Adobe Reader auf verschiedenen Geräten anzeigen
  • ePub     (1.8 MB)
    In verschiedenen Apps auf iPhone, iPad, Android, Sony Reader oder Windows Phone anzeigen
  • Mobi (Kindle)     (903.5 KB)
    Auf einem Kindle-Gerät oder einer Kindle-App auf mehreren Geräten anzeigen
Aktualisiert:16. Juli 2021
Dokument-ID:212216

Inklusive Sprache

In dem Dokumentationssatz für dieses Produkt wird die Verwendung inklusiver Sprache angestrebt. Für die Zwecke dieses Dokumentationssatzes wird Sprache als „inklusiv“ verstanden, wenn sie keine Diskriminierung aufgrund von Alter, körperlicher und/oder geistiger Behinderung, Geschlechtszugehörigkeit und -identität, ethnischer Identität, sexueller Orientierung, sozioökonomischem Status und Intersektionalität impliziert. Dennoch können in der Dokumentation stilistische Abweichungen von diesem Bemühen auftreten, wenn Text verwendet wird, der in Benutzeroberflächen der Produktsoftware fest codiert ist, auf RFP-Dokumentation basiert oder von einem genannten Drittanbieterprodukt verwendet wird. Hier erfahren Sie mehr darüber, wie Cisco inklusive Sprache verwendet.

Informationen zu dieser Übersetzung

Cisco hat dieses Dokument maschinell übersetzen und von einem menschlichen Übersetzer editieren und korrigieren lassen, um unseren Benutzern auf der ganzen Welt Support-Inhalte in ihrer eigenen Sprache zu bieten. Bitte beachten Sie, dass selbst die beste maschinelle Übersetzung nicht so genau ist wie eine von einem professionellen Übersetzer angefertigte. Cisco Systems, Inc. übernimmt keine Haftung für die Richtigkeit dieser Übersetzungen und empfiehlt, immer das englische Originaldokument (siehe bereitgestellter Link) heranzuziehen.

    Einführung

    In diesem Dokument wird beschrieben, wie Seed- und Nicht-Seed-Geräte bei der Verwendung von TrustSec mit der ISE (Identity Services Engine) konfiguriert werden.

    TrustSec verwendet NDAC (Network Device Admission Control), um ein neues Gerät zu authentifizieren, bevor es der TrustSec-Domäne beitreten kann. Dies verhindert, dass nicht autorisierte Geräte am Austausch von TrustSec-Informationen teilnehmen können. Seed-Geräte/Authentifizierer, in diesem Fall der Switch der Serie 6500, müssen manuell konfiguriert werden und für die Verbindung zur ISE RADIUS over IP verwenden. Geräte/Supplicants ohne Seed, in diesem Fall der 3560X, haben keine direkte IP-Verbindung zur ISE und erfordern die Anmeldung und Authentifizierung der Seed-Geräte im Netzwerk über 802.1X. Nach der Authentifizierung des Supplicant-Geräts (kein Seed-Gerät) wird eine PAC (Protected Access Credential) von der ISE bereitgestellt, und die Serverinformationen werden heruntergeladen. Die PAC enthält einen gemeinsam genutzten Schlüssel und ein verschlüsseltes Token, um in Zukunft einen sicheren Kontakt zur ISE bereitzustellen.

    Voraussetzungen

    ISE-Authentifizierungsserver

    TrustSec-fähiges Seed-Gerät/Authentifizierer

    TrustSec-fähiges Gerät/Supplicant ohne Seed

    In der aktuellen TrustSec-Kompatibilitätsmatrix finden Sie weitere Informationen:

    http://www.cisco.com/c/en/us/solutions/enterprise-networks/trustsec/solution-overview-listing.html

    Verwendete Komponenten

    • ISE 2.2 Patch 2
    • WS-C6509-E [VS-SUP2T-10G]
      • s2t54-ipservicesk9-mz.SPA.152-1.SY3.bin
    • WS-C3560X-24P-S
      • c3560e-universalk9-mz.152-4.E4.bin

    Netzwerkdiagramm

    212216-configure-trustsec-ndac-seed-and-non-see-00.pngNDAC-Topologie

     IP-Adressen

    ISE: 14.36.143.18

    6509: 10.122.165.35

    3560X: 10.122.160.118

    ISE-Konfiguration

    Hinzufügen von Netzwerkgeräten

    6500 (Saatgut)

    WorkCenter > TrustSec > Components > Network Devices > Add

    Gerätename und IP-Adresse

    212216-configure-trustsec-ndac-seed-and-non-see-01.png

    Gemeinsamer Radius-geheimer Schlüssel

    212216-configure-trustsec-ndac-seed-and-non-see-02.png

    TrustSec-Anmeldeinformationen

    212216-configure-trustsec-ndac-seed-and-non-see-03.png

    3560X (kein Saatgut)

    WorkCenter > TrustSec > Components > Network Devices > Add

    Gerätename und IP-Adresse

    212216-configure-trustsec-ndac-seed-and-non-see-04.png

    Gemeinsamer Radius-geheimer Schlüssel

    212216-configure-trustsec-ndac-seed-and-non-see-05.png

    TrustSec-Anmeldeinformationen

    212216-configure-trustsec-ndac-seed-and-non-see-06.png

    TrustSec-Sicherheitsgruppen

    WorkCenter > TrustSec > Komponenten > Sicherheitsgruppen

    212216-configure-trustsec-ndac-seed-and-non-see-07.png

    Richtlinien zur Autorisierung von Netzwerkgeräten

    WorkCenter > TrustSec > TrustSec-Richtlinie > Autorisierung von Netzwerkgeräten

    212216-configure-trustsec-ndac-seed-and-non-see-08.png

    Konfiguration des Seed-Geräts (6500)

    TrustSec Credentials
    6500#cts credentials id 6500 password Cisc0123

    AAA configuration
    6500(config)#aaa new-model
    6500(config)#aaa authentication dot1x default group radius
    6500(config)#aaa accounting identity default start-stop group radius
    6500(config)#aaa authorization network CTSlist group radius
    6500(config)#cts authorization list CTSlist

    Radius Server Configuration
    6500(config)#radius server ISE
    6500(config-radius-server)#address ipv4 14.36.143.18 auth-port 1812 acct-port 1813
    6500(config-radius-server)#pac key Cisc0123

    Recognize and use vendor-specific attributes
    6500(config)#radius-server vsa send authentication

    Enable Change of Authorization
    6500(config)#aaa server radius dynamic-author
    6500(config-locsvr-da-radius)#client 14.36.143.18 server-key Cisc0123

    Enable 802.1X
    6500(config)#dot1x system-auth-control

    Switchport TrustSec Configuration
    6500(config)#int gi6/1
    6500(config-if)#switchport mode trunk
    6500(config-if)#cts dot1x
    6500(config-if-cts-dot1x)#sap mode-list null
    6500(config-if-cts-dot1x)#propagate sgt

    Überprüfung

    PAC Download
    6500#show cts pac
      AID: 6F5719523570B8D229F23073404E2D37
      PAC-Info:
        PAC-type = Cisco Trustsec
        AID: 6F5719523570B8D229F23073404E2D37
        I-ID: 6500
        A-ID-Info: ISE 2.2p1
        Credential Lifetime: 04:27:29 UTC Oct 26 2017
      PAC-Opaque: 000200B000030001000400106F5719523570B8D229F23073404E2D370006009400030100801062F6BE70E2CCB6B0D25BFC81CB5D00000013597A55C100093A8059F0E1A3FAF83A2B7C8332479B7324C0FDC4CBAE9AE4AFD19C614A7DB13C9DBD06798A344423897745F0F91F19489772E543ED205A9CD0F276A96C4505BF34CB75F132377FE770B77A3D822842DFE3A0A858130612D08DD58965B09C352E33E74DB3F6B5C7E1F6EC8C30FF215A6FEB3EA7BBC95E
      Refresh timer is set for 12w5d

    Environment Data
    6500#show cts environment-data
    CTS Environment Data
    ====================
    Current state = COMPLETE
    Last status = Successful
    Local Device SGT:
      SGT tag = 2-02:TrustSec_Devices
    Server List Info:
    Installed list: CTSServerList1-0001, 1 server(s):
     *Server: 14.36.143.18, port 1812, A-ID 6F5719523570B8D229F23073404E2D37
              Status = ALIVE
              auto-test = TRUE, keywrap-enable = FALSE, idle-time = 60 mins, deadtime = 20 secs
    Multicast Group SGT Table:
    Security Group Name Table:
        0-fb:Unknown
        2-fb:TrustSec_Devices
        3-fb:Network_Services
        4-fb:Employees
        5-fb:Contractors
        6-fb:Guests
        7-fb:Production_Users
        8-fb:Developers
        9-fb:Auditors
        10-fb:Point_of_Sale_Systems
        11-fb:Production_Servers
        12-fb:Development_Servers
        13-fb:Test_Servers
        14-fb:PCI_Servers
        15-fb:BYOD
        255-fb:Quarantined_Systems
    Environment Data Lifetime = 86400 secs
    Last update time = 20:28:36 UTC Thu Jul 27 2017
    Env-data expires in   0:23:47:05 (dd:hr:mm:sec)
    Env-data refreshes in 0:23:47:05 (dd:hr:mm:sec)
    Cache data applied           = NONE
    State Machine is running

    ISE Live-Protokolle

    Operations > RADIUS > Live Logs

    PAC-Bereitstellung

    212216-configure-trustsec-ndac-seed-and-non-see-09.png

    212216-configure-trustsec-ndac-seed-and-non-see-10.png

    212216-configure-trustsec-ndac-seed-and-non-see-11.png

    TrustSec-Datendownload

    212216-configure-trustsec-ndac-seed-and-non-see-12.png

    212216-configure-trustsec-ndac-seed-and-non-see-13.png

    212216-configure-trustsec-ndac-seed-and-non-see-14.png

    212216-configure-trustsec-ndac-seed-and-non-see-15.png

    212216-configure-trustsec-ndac-seed-and-non-see-16.png

    212216-configure-trustsec-ndac-seed-and-non-see-17.png

    Konfiguration nicht-Seed-Geräte (3560X)

    TrustSec Credentials
    3560X#cts credentials id 3560X password Cisc0123

    AAA configuration
    3560X(config)#aaa new-model
    3560X(config)#aaa authentication dot1x default group radius
    3560X(config)#aaa authorization network default group radius
    3560X(config)#aaa accounting identity default start-stop group radius

    Recognize and use vendor-specific attributes
    3560X(config)#radius-server vsa send authentication

    Enable Change of Authorization
    3560X(config)#aaa server radius dynamic-author
    3560X(config-locsvr-da-radius)#client 14.36.143.18 server-key Cisc0123

    Enable 802.1X
    3560X(config)#dot1x system-auth-control

    Switchport TrustSec Configuration
    3560X(config)#int gi0/24
    3560X(config-if)#switchport trunk encapsulation dot1q
    3560X(config-if)#switchport mode trunk
    3560X(config-if)#cts dot1x
    3560X(config-if-cts-dot1x)#sap mode-list null
    3560X(config-if-cts-dot1x)#propagate sgt

    Überprüfung

    Pac Download
    3560X#show cts pac
      AID: 6F5719523570B8D229F23073404E2D37
      PAC-Info:
        PAC-type = Cisco Trustsec
        AID: 6F5719523570B8D229F23073404E2D37
        I-ID: 3560X
        A-ID-Info: ISE 2.2p1
        Credential Lifetime: 05:32:57 UTC Oct 26 2017
      PAC-Opaque: 000200B000030001000400106F5719523570B8D229F23073404E2D3700060094000301009F9B0624C0A0C5D2AFDAAE89C173D34300000013597A55C100093A8059F0E1A3FAF83A2B7C8332479B7324C0B224F18D8654C2DB14544B58296A0A97C7B52EB1B7C0725776FE16F715094AC8A766E1F6D16A2A151B70632D6EAB34C5E1874409779FADA53F5892AD4ACC3533B5A61F89D028C076D94B52744A328C23437306AF428162AC680742003C6BDDB207A08F57
      Refresh timer is set for 11y42w

    Environment Data
    3560X#show cts environment-data
    CTS Environment Data
    ====================
    Current state = COMPLETE
    Last status = Successful
    Local Device SGT:
      SGT tag = 2-02:TrustSec_Devices
    Server List Info:
    Installed list: CTSServerList1-0001, 1 server(s):
     *Server: 14.36.143.18, port 1812, A-ID 6F5719523570B8D229F23073404E2D37
              Status = ALIVE
              auto-test = TRUE, keywrap-enable = FALSE, idle-time = 60 mins, deadtime = 20 secs
    Multicast Group SGT Table:
    Security Group Name Table:
        0-d1:Unknown
        2-d1:TrustSec_Devices
        3-d1:Network_Services
        4-d1:Employees
        5-d1:Contractors
        6-d1:Guests
        7-d1:Production_Users
        8-d1:Developers
        9-d1:Auditors
        10-d1:Point_of_Sale_Systems
        11-d1:Production_Servers
        12-d1:Development_Servers
        13-d1:Test_Servers
        14-d1:PCI_Servers
        15-d1:BYOD
        255-d1:Quarantined_Systems
    Environment Data Lifetime = 86400 secs
    Last update time = 02:41:21 UTC Mon Jan 2 2006
    Env-data expires in   0:23:56:36 (dd:hr:mm:sec)
    Env-data refreshes in 0:23:56:36 (dd:hr:mm:sec)
    Cache data applied           = NONE
    State Machine is running

    ISE Live-Protokolle

    Operations > RADIUS > Live Logs

    PAC-Bereitstellung

    212216-configure-trustsec-ndac-seed-and-non-see-18.png

    212216-configure-trustsec-ndac-seed-and-non-see-19.png

    212216-configure-trustsec-ndac-seed-and-non-see-20.png

    Nicht-Seed-Authentifizierung

    212216-configure-trustsec-ndac-seed-and-non-see-21.png

    212216-configure-trustsec-ndac-seed-and-non-see-22.png

    212216-configure-trustsec-ndac-seed-and-non-see-23.png

    Gegenseitiges Herunterladen von Peer-Richtlinien

    212216-configure-trustsec-ndac-seed-and-non-see-24.png

    212216-configure-trustsec-ndac-seed-and-non-see-25.png

    212216-configure-trustsec-ndac-seed-and-non-see-26.png

    212216-configure-trustsec-ndac-seed-and-non-see-27.png

    212216-configure-trustsec-ndac-seed-and-non-see-28.png

    TrustSec-Datendownload

    212216-configure-trustsec-ndac-seed-and-non-see-29.png

    212216-configure-trustsec-ndac-seed-and-non-see-30.png

    212216-configure-trustsec-ndac-seed-and-non-see-31.png212216-configure-trustsec-ndac-seed-and-non-see-32.png

    212216-configure-trustsec-ndac-seed-and-non-see-33.png

    212216-configure-trustsec-ndac-seed-and-non-see-34.png

    Schnittstellenüberprüfung

    Seed (6500)
    6500#show cts interface gi6/1
    Global Dot1x feature is Enabled
    Interface GigabitEthernet6/1:
        CTS is enabled, mode:    DOT1X
        IFC state:               OPEN
        Interface Active for 00:38:50.744
        Authentication Status:   SUCCEEDED
            Peer identity:       "3560X"
            Peer's advertised capabilities: "sap"
            802.1X role:         Authenticator
        Authorization Status:    SUCCEEDED
            Peer SGT:            2:TrustSec_Devices
            Peer SGT assignment: Trusted
        SAP Status:              SUCCEEDED
    Dot1x Info for GigabitEthernet6/1
    -----------------------------------
    PAE                       = AUTHENTICATOR

    Non-Seed (3560X)
    3560X#show cts interface gi0/24
    Global Dot1x feature is Enabled
    Interface GigabitEthernet0/24:
        CTS is enabled, mode:    DOT1X
        IFC state:               OPEN
        Interface Active for 00:08:51.317
        Authentication Status:   SUCCEEDED
            Peer identity:       "6500"
            Peer's advertised capabilities: "sap"
            802.1X role:         Supplicant
            Reauth period applied to link:  Not applicable to Supplicant role
        Authorization Status:    SUCCEEDED
            Peer SGT:            2:TrustSec_Devices
            Peer SGT assignment: Trusted
        SAP Status:              SUCCEEDED
            Version:             2
    Dot1x Info for GigabitEthernet0/24
    -----------------------------------
    PAE                       = SUPPLICANT

    Revisionsverlauf

    Überarbeitung Veröffentlichungsdatum Kommentare
    1.0
    12-Oct-2017
    Erstveröffentlichung
    TAC Authored

    Beiträge von Cisco Ingenieuren

    • Deon Pillsbury
      Cisco TAC

    War dieses Dokument hilfreich?

    FeedbackFeedback

    Cisco kontaktieren

    Dieses Dokument gilt für folgende Produkte.