Erläuterung der Zweckbestimmung und Fehlerbehebung von ISE-Services

Einleitung

In diesem Dokument werden die ISE-Services, der Zweck und die Fehlerbehebung beschrieben.

Voraussetzungen

RADIUS

---

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

• Cisco Identity Services Engine

---

Verwendete Komponenten

Das Dokument ist nicht auf bestimmte Software- und Hardwareversionen der Cisco Identity Services Engine beschränkt.

---

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

---

Hintergrundinformationen

Die Cisco Identity Services Engine (ISE) ist eine umfassende Lösung für erweiterte Netzwerksicherheit durch zentrales Richtlinienmanagement, Authentifizierung, Autorisierung und Abrechnung (AAA). Sie ermöglicht die Verwaltung des Netzwerkzugriffs für Benutzer, Geräte und Anwendungen und gewährleistet gleichzeitig Sicherheit, Compliance und ein nahtloses Anwendererlebnis.

Um diese Ziele zu erreichen, nutzt die Cisco ISE eine Reihe von Services, von denen jeder für spezifische Aufgaben verantwortlich ist, die das effiziente Funktionieren des Systems ermöglichen. Diese Services arbeiten zusammen, um einen sicheren Netzwerkzugriff, eine robuste Richtliniendurchsetzung, detaillierte Protokollierung, nahtlose Integration in externe Systeme und eine effiziente Erstellung von Geräteprofilen zu gewährleisten.

---

Jeder Service in der ISE spielt eine entscheidende Rolle bei der Aufrechterhaltung der Integrität und Verfügbarkeit der Lösung. Einige Dienste verarbeiten Kernfunktionen wie Datenbankmanagement und Authentifizierung, während andere erweiterte Funktionen wie die Erstellung von Geräteprofilen, die Zertifikatsverwaltung und die Überwachung ermöglichen.

Dieser Artikel bietet eine Übersicht über die verschiedenen Services der Cisco ISE und erläutert deren Zweck, Bedeutung und mögliche Schritte zur Fehlerbehebung, falls Probleme auftreten. Wenn Sie Administrator oder Netzwerksicherheitsexperte sind und diese Services kennen, können Sie einen reibungslosen und sicheren Betrieb Ihrer ISE-Bereitstellung sicherstellen.

---

Verständnis und Fehlerbehebung bei ISE-Services

Die im nächsten Screenshot erwähnten Services werden von der ISE zur Unterstützung ihrer Funktionalität genutzt. Überprüfen Sie den Status oder die in der ISE verfügbaren Dienste, indem Sie den Befehl show application status ise über die CLI des ISE-Knotens ausführen. Dies ist eine Beispielausgabe, die den Status oder die verfügbaren Dienste auf der ISE anzeigt:

---

Die Services sind in der ISE verfügbar.

---

Sehen Sie sich nun die einzelnen Services genauer an.

---

Datenbank-Listener

Der Datenbank-Listener-Dienst ist eine wichtige Komponente, die bei der Verwaltung der Kommunikation zwischen der ISE und dem Datenbankserver hilft. Er überwacht und verarbeitet Anforderungen in Bezug auf die Datenbank, um sicherzustellen, dass das ISE-System in der zugrunde liegenden Datenbank lesen und schreiben kann.

---

Wichtige Punkte des Datenbank-Listener-Service in der ISE

1. Kommunikationsschnittstelle: Sie fungiert als Kommunikationsbrücke zwischen der ISE und dem Datenbankserver und ermöglicht dem System das Abrufen und Speichern von Daten wie Benutzeranmeldeinformationen, Sitzungsinformationen, Netzwerkrichtlinien usw.

2. Unterstützung für externe Datenbanken: Die ISE kann so konfiguriert werden, dass sie eine externe Datenbank (z. B. Oracle oder Microsoft SQL Server) für die Benutzerauthentifizierung und die Richtlinienspeicherung verwendet. Der Database Listener Service stellt sicher, dass die ISE sich sicher und effizient mit dieser externen Datenbank verbinden und mit dieser interagieren kann.

3. Datenverarbeitung: Der Dienst hört Datenbankabfragen vom ISE-System ab und übersetzt sie in die entsprechenden Aktionen in der externen Datenbank. Er kann Anforderungen wie das Einfügen, Aktualisieren oder Löschen von Datensätzen und das Abrufen von Informationen aus der Datenbank verarbeiten.

4. Überwachung der Datenbankintegrität: Neben der Bereitstellung des Kommunikationskanals wird auch sichergestellt, dass die Verbindung zur externen Datenbank stabil und betriebsbereit ist. Wenn die Verbindung ausfällt, wird die ISE je nach Konfiguration auf den lokalen Speicher zurückgesetzt oder in den heruntergestuften Modus versetzt.

---

Datenbankserver

Der Datenbankserver-Dienst ist für die Verwaltung der Speicherung und des Abrufs der vom System verwendeten Daten zuständig. Sie übernimmt die Interaktion mit der zugrunde liegenden Datenbank, die die ISE zum Speichern von Konfigurationen, Richtlinieninformationen, Benutzerdaten, Authentifizierungsprotokollen, Geräteprofilen und anderen erforderlichen Informationen verwendet.

---

Wichtige Punkte des Datenbankserverdiensts in der ISE

1. Interne Datenspeicherung: Der Datenbankserver-Dienst verwaltet in erster Linie die interne eingebettete Datenbank, die ISE zum lokalen Speichern von Betriebsdaten verwendet. Dazu gehören Daten wie Authentifizierungs- und Autorisierungsdatensätze, Benutzerprofile, Netzwerkzugriffsrichtlinien, Geräte- und Endpunktinformationen sowie Sitzungsinformationen.

2. Integrierte Datenbank: In den meisten Cisco ISE-Bereitstellungen verwendet das System eine eingebettete PostgreSQL-Datenbank für die lokale Speicherung. Der Datenbankserver-Dienst stellt sicher, dass diese Datenbank reibungslos funktioniert, und behandelt alle Abfragen, Updates und Verwaltungsaufgaben im Zusammenhang mit den darin gespeicherten Daten.

3. Datenbankintegrität: Der Dienst stellt sicher, dass alle Transaktionen ordnungsgemäß verarbeitet werden und die Integrität der Datenbank erhalten bleibt. Sie behandelt Aufgaben wie das Sperren von Datensätzen, das Verwalten von Datenbankverbindungen und das Ausführen von Datenbankabfragen.

---

Überprüfen und Problembehandlung für den Datenbanklistener und die Datenbankserver-Dienste werden initialisiert oder werden nicht ausgeführt

Der Datenbanklistener und der Datenbankserver sind wichtige Dienste, die zusammen ausgeführt werden müssen, damit alle anderen Dienste ordnungsgemäß funktionieren. Wenn diese Dienste nicht ausgeführt werden oder während der Initialisierung hängen bleiben, helfen diese Schritte zur Fehlerbehebung bei der Wiederherstellung. 

---

1. Starten Sie die ISE-Dienste neu, indem Sie die Befehle application stop ise und application start ise ausführen.

2. Wenn es sich um einen VM-Knoten handelt, muss ein Neustart des Knotens von der VM die Wiederherstellung der Services unterstützen.

3. Wenn der Knoten ein physischer Knoten ist, muss das Neustarten/Neuladen des Knotens vom CIMC bei der Wiederherstellung der Services helfen.

4. Wenn die Datenbank beschädigt ist, wenden Sie sich zur weiteren Fehlerbehebung an Cisco TAC. 

---

Der Datenbank-Listener und der Datenbankserver werden in der Regel deaktiviert oder können nicht gestartet werden, wenn in der Datenbank eine Diskrepanz besteht oder die Datenbank nicht ordnungsgemäß initialisiert werden kann. In diesen Fällen muss das Zurücksetzen von Anwendungen mithilfe des Befehls application reset-config ise bei der Wiederherstellung und beim Neuinitiieren der Datenbank helfen. Durch das Ausführen des Befehls application reset-config ise werden Konfigurationen und Zertifikate entfernt, die Details zu IP-Adresse und Domänenname bleiben jedoch erhalten. Es wird empfohlen, sich an das Cisco TAC zu wenden, um weitere Informationen zu erhalten und die möglichen Auswirkungen zu ermitteln, bevor Sie diesen Befehl auf einen Knoten in der Bereitstellung anwenden.

---

Anwendungsserver

Der Anwendungsserver ist eine Schlüsselkomponente für die Ausführung und Verwaltung der Kernfunktionen und -dienste der ISE-Plattform. Sie hostet die Geschäftslogik, Benutzeroberflächen und Services, die es der ISE ermöglichen, ihre Rolle bei der Netzwerkzugriffskontrolle, -authentifizierung, -autorisierung, -abrechnung und -richtlinienverwaltung auszuführen.

---

Wichtigste Informationen zum Anwendungsserverdienst in der ISE

1. Benutzeroberfläche: Der Anwendungsserverdienst ist für das Rendern der webbasierten Benutzeroberfläche für die ISE zuständig. Dies ermöglicht Administratoren die Konfiguration und Verwaltung von Richtlinien, die Anzeige von Protokollen und Berichten und die Interaktion mit anderen Funktionen der ISE.

2. Service Management: Sie ist für die Abwicklung der verschiedenen von der ISE erbrachten Dienste zuständig; einschließlich Richtlinienmanagement, Verwaltungsaufgaben und Kommunikation mit anderen ISE-Knoten in einer verteilten Bereitstellung.

3. Zentralisierte Verarbeitung: Der Anwendungsserverdienst spielt eine zentrale Rolle in der ISE-Architektur und stellt die Logik bereit, die die Richtlinien, Authentifizierungsanforderungen und Daten von Netzwerkgeräten, Verzeichnissen und externen Diensten interpretiert.

---

Überprüfung für Anwendungsserver wird initialisiert oder wird nicht ausgeführt

Der Anwendungsserver ist von Webanwendungen wie Zertifikaten, Ressourcen, Bereitstellung und Lizenzierung abhängig. Wenn eine der Webanwendungen nicht initialisiert werden kann, bleibt der Anwendungsserver im Initialisierungszustand unbeweglich. Der Anwendungsserver benötigt je nach Konfigurationsdaten auf dem Knoten etwa 15 bis 35 Minuten, bis er nicht ausgeführt wird → Initialisierung → Ausführung.

---

1. Stellen Sie sicher, dass das Administratorzertifikat der ISE gültig und in der Bereitstellung für alle Knoten aktiv ist.
2. Stellen Sie sicher, dass alle Knoten in der Bereitstellung mit dem primären Admin-Knoten synchronisiert sind.
3. Wenn es sich bei dem Knoten um eine VM handelt, stellen Sie sicher, dass die empfohlenen Ressourcen dem Knoten zugewiesen sind.

Überprüfen Sie den Status des Anwendungsservers, indem Sie den Befehl show application status ise über die CLI des ISE-Knotens ausführen. Die meisten Protokolle, die sich auf den Anwendungsserver beziehen, sind in den Dateien Catalina.Out und Localhost.log verfügbar.

Wenn die Bedingungen erfüllt sind und der Anwendungsserver im Initialisierungszustand nicht mobil ist, sichern Sie das Supportpaket über die CLI/GUI der ISE. Stellen Sie die Dienste wieder her, und starten Sie sie neu, indem Sie die Befehle application stop ise und application start ise ausführen.

---

Profiler-Datenbank

Die Profiler-Datenbank dient zum Speichern von Informationen über Netzwerkgeräte, Endpunkte und Geräteprofile, die vom Profiler-Dienst erkannt werden. Hierbei handelt es sich um eine wichtige Komponente der ISE, die Netzwerkgeräte (z. B. Computer, Smartphones, Drucker, IoT-Geräte usw.) anhand von Netzwerkmerkmalen und -verhalten automatisch identifiziert und klassifiziert.

---

Wichtige Informationen zum Profiler-Datenbankdienst in der ISE

1. Geräteprofilierung: Die Hauptfunktion des Profiler Database Service besteht darin, den Profilerstellungsprozess zu unterstützen. Die ISE speichert mit diesem Service Informationen, die sie während der Profilerstellung erfasst, z. B.:

• Gerätetyp (z. B. Smartphone, Laptop, Drucker, IoT-Geräte)
• Gerätebetriebssysteme (z. B. Windows®, macOS®, Cisco IOS®, Android®)
• Gerätehersteller
• Netzwerkverhalten oder -muster zur Klassifizierung von Geräten

2. Informationen zum Profiler: Speichert Profiler-Attribute, z. B. die Hardware- und Softwareprofile von Geräten, die zur Anpassung von Geräten an vordefinierte Richtlinien verwendet werden. Diese Informationen werden verwendet, um Geräte auf Basis ihres Profils dynamisch den richtigen Netzwerkzugriffsrichtlinien oder VLANs zuzuweisen.

3. Profilerstellungsprozess: Der Profilerstellungsprozess basiert in der Regel auf:

• Aktive Profilerstellung: Die ISE fragt aktiv Geräte im Netzwerk nach Informationen ab.
• Passive Profilierung: Die ISE sammelt passiv Daten aus dem Netzwerkverkehr, z. B. DHCP-Anfragen, RADIUS-Attribute, HTTP-Header und andere Netzwerkprotokolle, um den Gerätetyp zu bestimmen.

---

Überprüfung und Fehlerbehebung bei ISE-Profiling-Services

1. Führen Sie in der ISE-CLI den Befehl show application status ise aus, um zu überprüfen, ob der Profiler-Datenbankdienst ausgeführt wird.

2. Navigieren Sie in der GUI des Knotens "Primary Admin" (Primärer Admin) zu Administration > Deployment > Select the node. Klicken Sie auf Bearbeiten, überprüfen Sie die Sitzungsdienste, und stellen Sie sicher, dass die Profilingdienste aktiviert sind. 

3. Navigieren Sie nun zu Administration > Deployment > Select the node. Wechseln Sie zur Profiler-Konfiguration, und überprüfen Sie, ob die erforderlichen Tests zum Sichern der Endpunktdaten aktiviert sind. 

4. Navigieren Sie zu Administration > System > Profiling, und überprüfen Sie, ob die Profiler-Einstellungen für CoA konfiguriert sind. 

5. Wählen Sie unter Context Visibility > Endpoints (Kontextsichtbarkeit > Endpunkte) die Endpunkte aus, und überprüfen Sie die Attribute, die von verschiedenen Tests für die Endpunkte gesammelt wurden.

---

Hilfreiche Fehlerbehebungen bei der Profilerstellung Probleme:

• Profiler (profiler.log) 
• runtime-AAA (prrt-server.log)
• nsf (ise-psc.log)
• nsf-session (ise.psc.log)

---

ISE-Indizierungsmodul

Die Indexierungs-Engine ist ein Dienst, der für das effiziente Suchen, Indizieren und Abrufen von in der ISE-Datenbank gespeicherten Daten verantwortlich ist. Sie verbessert die Leistung und Skalierbarkeit von ISE, insbesondere wenn es um die Verarbeitung großer Datenmengen und den schnellen Zugriff auf Informationen geht, die für Authentifizierungs-, Autorisierungs-, Überwachungs- und Berichterstellungsaufgaben benötigt werden.

---

Wichtige Informationen zur ISE-Indizierungsengine in der ISE

1. Datenindizierung: Die ISE-Indizierungsengine erstellt Indizes für verschiedene Datentypen, die in der ISE gespeichert sind, wie z.B. Authentifizierungsprotokolle, Sitzungsprotokolle, Richtlinienzugriffe, Profilierungsdaten und Netzwerkzugriffsdatensätze. Die Indizierung hilft bei der Organisation von Daten, um eine effizientere Suche und Abfrage zu gewährleisten.

2. Protokollverwaltung und Berichterstellung: Dieser Service spielt eine entscheidende Rolle beim Protokollmanagement, da er die Leistung von Berichten und Protokollabfragen verbessert. Bei der Suche nach bestimmten Authentifizierungsereignissen ermöglicht die Indizierungs-Engine einen schnelleren Abruf der gewünschten Datensätze, was für die Sicherheitsüberwachung und die Compliance-Berichterstellung von entscheidender Bedeutung ist.

3. Datenabruf: Die Indizierungs-Engine muss außerdem sicherstellen, dass die ISE bei Bedarf indizierte Daten effizient aus der zugrunde liegenden Datenbank abrufen kann. So kann die ISE Anfragen über die Benutzeroberfläche, externe Tools oder APIs schnell beantworten.

---

Vergewissern Sie sich, dass das ISE-Indexmodul nicht ausgeführt wird oder initialisiert wird.

1. Vergewissern Sie sich, dass die DNS-Vorwärts- und Rückwärtssuche funktioniert, oder dass alle Knoten im Cluster über die CLI den Befehl nslookup <FQDN / IP-Adresse des ISE-Knotens> verwenden. 
2. Überprüfen Sie, ob die ISE-Administratorzertifikate gültig und für alle Knoten im Cluster aktiv sind.
3. Stellen Sie sicher, dass das NTP über die CLI mit den ISE-Knoten synchronisiert und funktioniert, indem Sie den Befehl show ntp ausführen. 

Die Indexierungs-Engine wird von der Kontexttransparenz verwendet, und die Indexierungs-Engine muss betriebsbereit sein, damit die Kontexttransparenz ordnungsgemäß ausgeführt werden kann. Nützliche Protokolle zur Fehlerbehebung sind ADE.log-Dateien. Diese können durch das Support-Paket gesichert oder über die CLI mit dem Befehl show logging system ade/ADE.log tail ergänzt werden, wenn das Problem auftritt. 

---

AD-Anschluss

Der AD Connector (Active Directory Connector) ist ein Dienst, mit dem die ISE in Microsoft Active Directory (AD) integriert werden kann, sodass die ISE Benutzer anhand ihrer AD-Anmeldeinformationen und Gruppenmitgliedschaften authentifizieren, autorisieren und verwalten kann. Der AD Connector fungiert als Brücke zwischen ISE und Active Directory und ermöglicht ISE die Nutzung von AD zur Netzwerkzugriffskontrolle (NAC) und Richtliniendurchsetzung. 

---

Hauptfunktionen des AD Connector Service in der ISE

1. Integration in Active Directory: Der AD Connector-Dienst fungiert als Brücke zwischen ISE und Active Directory. So kann die ISE eine sichere Verbindung mit AD herstellen und AD als zentralen Identitätsspeicher für die Benutzerauthentifizierung und Richtliniendurchsetzung verwenden.
2. Synchronisierung: Der AD Connector-Dienst unterstützt das Synchronisieren von Benutzer- und Gruppendaten von Active Directory mit der ISE. So wird sichergestellt, dass die ISE Informationen zu Benutzern und Gruppen aktualisiert, was für die genaue Durchsetzung von Richtlinien entscheidend ist.
3. Sichere Kommunikation: Der AD Connector-Dienst stellt sichere Kommunikationskanäle zwischen ISE und Active Directory her und verwendet in der Regel Protokolle wie LDAP über SSL (LDAPS), um den Datenschutz und die Integrität während der Authentifizierungs- und Abfrageprozesse sicherzustellen.
4. Unterstützung mehrerer Active Directory-Domänen: Der Dienst kann Verbindungen zu mehreren Active Directory-Domänen unterstützen. Dies ist besonders in Umgebungen mit großen oder mehreren Domänen nützlich, in denen die ISE Benutzer aus verschiedenen AD-Gesamtstrukturen oder -Domänen authentifizieren muss.
5. Benutzer- und Gruppensuche: Dadurch kann die ISE AD nach Benutzer- und Gruppeninformationen abfragen. Dazu können Details wie Benutzernamen, Gruppenmitgliedschaften und andere Benutzerattribute gehören, die zum Durchsetzen von Netzwerkzugriffsrichtlinien verwendet werden können. Netzwerkzugriffsrichtlinien können beispielsweise basierend auf einer AD-Gruppenmitgliedschaft des Benutzers angewendet werden (Beispiel: Gewährung unterschiedlicher Zugriffsebenen für Benutzer in verschiedenen Gruppen).

---

1. Überprüfen, ob das NTP mit den Knoten und der Zeitdifferenz zwischen AD und ISE synchronisiert ist muss kürzer als 5 Minuten sein.

2. Überprüfen Sie, ob der DNS-Server FQDNs und Domänen in Bezug auf AD auflösen kann.

3. Navigieren Sie zu Operationen > Berichte > Berichte > Diagnosen > AD Connector-Vorgänge, und überprüfen Sie die Ereignisse oder Berichte im Zusammenhang mit AD. 

Nützliche Protokolle für die Fehlerbehebung sind ad_agent.log mit Debug-Protokollen für die Laufzeitkomponente. 

---

M&T-Sitzungsdatenbank

Die M&T-Sitzungsdatenbank (Monitoring und Troubleshooting Session Database) spielt eine wichtige Rolle beim Speichern und Verwalten von sitzungsbezogenen Daten für Netzwerkzugriffsereignisse. In der M&T Sitzungsdatenbank finden Sie Informationen zu aktiven Sitzungen. Hierzu zählen Benutzerauthentifizierungen, Geräteverbindungen und Netzwerkzugriffsereignisse, die für die Überwachung, Fehlerbehebung und Analyse der Netzwerkaktivität unverzichtbar sind.

---

Schlüsselfunktionen des M&T Session Database Service in der ISE

1. Speicherung von Sitzungsdaten: Der M&T Session Database Service ist für das Speichern und Indizieren von Benutzer- und Gerätedatensitzungen im Netzwerk verantwortlich. Dazu gehören Start- und Endzeiten von Sitzungen, Authentifizierungsergebnisse, Benutzer- oder Geräteidentität sowie die zugehörigen Richtlinien (z. B. Rollenzuweisungen oder VLAN-Zuweisungen). Die Daten enthalten außerdem RADIUS-Accounting-Informationen, die den Sitzungslebenszyklus detailliert beschreiben, einschließlich der Erstauthentifizierung und aller Accounting-Meldungen, die Sitzungsereignisse verfolgen.
2. Echtzeit- und Verlaufsdaten: Der Service bietet Zugriff auf Echtzeit-Sitzungsdaten (aktive Sitzungen) und Verlaufssitzungsdaten (vergangene Sitzungen). So können Administratoren nicht nur den laufenden Benutzerzugriff überwachen, sondern auch auf vergangene Sitzungsprotokolle zurückblicken, um Probleme zu untersuchen oder Zugriffsereignisse zu validieren. Die Echtzeit-Sitzungsüberwachung stellt sicher, dass sich derzeit keine nicht autorisierten Geräte im Netzwerk befinden.
3. Verbesserte Überwachung: Bietet Einblicke in die Aktivitäten von Benutzern und Geräten, einschließlich der für ihre Sitzungen angewendeten Richtlinien, um potenzielle Sicherheitsbedenken oder nicht autorisierte Zugriffe zu erkennen.
4. Audits und Berichte: Erleichtert Compliance-Prüfung und Berichterstellung durch Speicherung des Netzwerkverlaufs von Zugriffsereignissen und Bereitstellung von Daten für die Erstellung von behördlichen Berichten.

---

Überprüfung und Fehlerbehebung für die M&T-Sitzungsdatenbank in der ISE

1. Überprüfen Sie, ob dem Knoten empfohlene Ressourcen zugewiesen sind.

2. Sichern Sie den Show-Tech-Support über die ISE-CLI, und führen Sie ihn aus, um das Problem weiter zu überprüfen. 

3. Setzen Sie die M&T-Sitzungsdatenbank zurück, indem Sie den Befehl application configure ise in der ISE-CLI ausführen und Option 1 auswählen.

---

---

Bekannte Fehler: Cisco Bug ID 32364

---

M&T-Protokollprozessor

Der M&T Log Processor (Monitoring and Troubleshooting Log Processor) ist eine Komponente, die für das Sammeln, Verarbeiten und Verwalten von Protokolldaten verantwortlich ist, die von verschiedenen Diensten innerhalb der ISE generiert werden. Sie ist ein wichtiger Bestandteil des M&T-Frameworks (Monitoring and Troubleshooting), das Administratoren bei der Überwachung und Fehlerbehebung von Netzwerkzugriffsereignissen, Authentifizierungsversuchen, der Richtliniendurchsetzung und anderen Aktivitäten innerhalb des ISE-Systems unterstützt. Der M&T Log Processor übernimmt die Verarbeitung von Protokolleinträgen und stellt sicher, dass die ISE die erforderlichen Informationen für Berichte, Audits und Fehlerbehebung speichern, analysieren und präsentieren kann.

---

Hauptfunktionen des M&T Log Processor Service in der ISE

1. Protokollerfassung und -verarbeitung: Der M&T Log Processor Service sammelt und verarbeitet Protokolle, die von verschiedenen ISE-Komponenten generiert werden, wie z. B. Authentifizierungsanforderungen, Autorisierungsentscheidungen, Abrechnungsmeldungen und Richtliniendurchsetzungsaktivitäten. Diese Protokolle enthalten detaillierte Informationen zu Benutzern, Geräten und Netzwerkzugriffsversuchen, z. B. Zeitstempel, Benutzer-IDs, Gerätetypen, angewendeten Richtlinien, Erfolg oder Misserfolg von Zugriffsanfragen und Fehlerursachen.
2. Reporting und Compliance: Von diesem Service verarbeitete Protokolle sind für die Compliance-Berichterstattung von entscheidender Bedeutung. Viele Vorschriften verlangen, dass Unternehmen Protokolle über Benutzerzugriffe und Sicherheitsereignisse aufbewahren. Der M&T Log Processor Service stellt sicher, dass alle relevanten Protokolle verarbeitet werden und für Audits zur Einhaltung gesetzlicher Vorschriften zur Verfügung stehen. Es unterstützt die Erstellung detaillierter Berichte auf der Grundlage von Protokolldaten, z. B. Benutzerzugriffsprotokolle, Erfolgs-/Fehlerquoten bei der Authentifizierung oder Protokolle zur Richtliniendurchsetzung.

---

Überprüfung und Fehlerbehebung des M&T Log Processor Service in der ISE

1. Stellen Sie sicher, dass der ISE-Knoten mit den im Cisco Installationshandbuch empfohlenen Ressourcen bereitgestellt wird. 
2. Um das Problem zu überprüfen, führen Sie den Befehl show logging system ade/ADE.log tail über die ISE-CLI aus, um die entsprechenden Ausnahmen/Fehler anzuzeigen.

Bekannte Fehler: Cisco Bug ID15130

---

Zertifizierungsstellendienst

Der CA-Dienst (Certificate Authority) ist eine wichtige Komponente zur Verwaltung digitaler Zertifikate für die Sicherung der Kommunikation und die Authentifizierung von Geräten, Benutzern und Netzwerkdiensten. Digitale Zertifikate sind für den Aufbau vertrauenswürdiger Verbindungen und die Gewährleistung einer sicheren Kommunikation zwischen Clients (Computer, Smartphones, Netzwerkgeräte) und Netzwerkinfrastrukturkomponenten (Switches, Wireless Access Points, VPN-Gateways) unerlässlich. Der CA Service der Cisco ISE arbeitet mit X.509-Zertifikaten zusammen, die für verschiedene Zwecke der Netzwerksicherheit verwendet werden, darunter 802.1X-Authentifizierung, VPN-Zugriff, sichere Kommunikation und SSL/TLS-Verschlüsselung.

---

Schlüsselfunktionen des Zertifizierungsstellendienstes in der ISE

1. Zertifikatsverwaltung: Der Certificate Authority Service ist für die Erstellung, Ausstellung, Verwaltung und Verlängerung digitaler Zertifikate innerhalb der ISE zuständig. Diese Zertifikate werden für verschiedene Authentifizierungsprotokolle und Verschlüsselungszwecke im Netzwerk verwendet. Sie kann entweder als interne Zertifizierungsstelle fungieren oder in eine externe Zertifizierungsstelle (z. B. Microsoft AD CS, öffentliche Zertifizierungsstellen wie VeriSign oder DigiCert) integriert werden, um Zertifikate auszustellen.
2. Ausstellen von Zertifikaten In Umgebungen, die EAP-TLS oder ähnliche zertifikatbasierte Authentifizierungsmethoden erfordern, kann die ISE Zertifikate für Netzwerkzugriffsgeräte (Network Access Devices, NADs), Benutzer oder Endpunkte ausstellen. Die ISE kann automatisch Zertifikate für die Authentifizierung von Geräten und Benutzern generieren und bereitstellen oder Zertifikate von einer externen Zertifizierungsstelle anfordern.
   • Zertifikatregistrierung: Der Zertifizierungsstellendienst unterstützt die Zertifikatregistrierung für Endgeräte wie Laptops, Telefone und andere Netzwerkgeräte, die sich mithilfe von Zertifikaten beim Netzwerk authentifizieren müssen. Die ISE verwendet Protokolle wie SCEP (Simple Certificate Enrollment Protocol) oder ACME (Automated Certificate Management Environment), um die Zertifikatregistrierung für Geräte zu vereinfachen.
   • Erneuerung des Zertifikats: Der Service automatisiert die Verlängerung ablaufender Zertifikate für Geräte und Benutzer. Sie stellt sicher, dass Zertifikate immer gültig und aktuell sind, und verhindert Serviceunterbrechungen, die durch abgelaufene Zertifikate verursacht werden.
3. Integration in externe Zertifizierungsstellen: Die ISE kann zwar als eigene Zertifizierungsstelle fungieren, die Integration in eine externe Zertifizierungsstelle (z. B. Microsoft Active Directory-Zertifikatdienste) ist jedoch eine häufige Aufgabe. Der CA Service kann die Interaktion zwischen der ISE und der externen CA verwalten und bei Bedarf Zertifikate für Benutzer, Geräte und Netzwerkressourcen anfordern.

---

EST-Dienst

Der Enrollment over Secure Transport (EST) Service ist ein Protokoll, das verwendet wird, um digitale Zertifikate für Netzwerkgeräte und Benutzer in einer zertifikatbasierten Authentifizierungsumgebung sicher auszustellen. EST ist ein Protokoll zur Zertifikatsregistrierung, mit dem Geräte Zertifikate von einer Zertifizierungsstelle (Certificate Authority, CA) sicher und automatisch anfordern können. Der EST-Service ist für die Geräteauthentifizierung hilfreich, z. B. in 802.1X-Umgebungen, VPN-Verbindungen oder BYOD-Szenarien (Bring Your Own Device), bei denen sich Geräte mithilfe von Zertifikaten im Netzwerk authentifizieren müssen.

---

Wichtigste Funktionen des EST-Service in der ISE

1. Zertifikatregistrierung: Der EST-Dienst ist für die Aktivierung der sicheren Zertifikatregistrierung für Geräte (z. B. Switches, Access Points oder Endgeräte) verantwortlich, die Zertifikate für die Authentifizierung benötigen. Die Registrierung erfolgt über sichere Transportdienste (wie HTTPS), sodass sichergestellt ist, dass der Prozess verschlüsselt und vor nicht autorisierten Zugriffen geschützt ist.
2. Widerruf und Verlängerung von Zertifikaten: Nach der Registrierung von Zertifikaten spielt der EST-Dienst auch eine Rolle bei der Verwaltung des Widerrufs oder der Verlängerung von Zertifikaten. Beispielsweise müssen Geräte nach Ablauf des aktuellen Zertifikats ein neues Zertifikat anfordern. EST kann dabei helfen, diesen Prozess zu automatisieren.
3. Verbesserte Netzwerkzugriffskontrolle: Da Geräte sich mithilfe von Zertifikaten authentifizieren können, stärkt der EST-Dienst den Sicherheitsstatus des Netzwerks in Umgebungen mithilfe der 802.1X-Authentifizierung.

---

Überprüfen, ob die Zertifizierungsstelle und der EST-Dienst nicht ausgeführt/initialisiert werden

1. Navigieren Sie zu Administration > System > Certificates > Certificate Authority > Internal CA settings. Stellen Sie sicher, dass der Status der CA-, EST- und OCSP-Responder sortiert und aktiviert ist.
2. Hilfreiche Debugging-Programme zur Fehlerbehebung sind Test, Provisioning, ca-service und ca-service-cert. Weitere Informationen finden Sie in den Dateien ise-psc.log, catalina.out, caservice.log und error.log.
3. Überprüfen, ob die ISE-Stammzertifizierungsstelle und die ISE-Messaging-Zertifikate in der Bereitstellung gültig sind Wenn eine Verlängerung der ISE-Stammzertifizierungsstelle erforderlich ist, navigieren Sie zu Administration > Certificates > Certificate Signing Requests > Generate Certificate Signing Request, und wählen Sie usage as ISE Root CA aus. Klicken Sie auf ISE Root CA erneuern.

---

SXP-Moduldienst

Der SXP Engine Service ist für das Management und die Vereinfachung der Kommunikation zwischen der ISE und Netzwerkgeräten unter Verwendung des Security Group Tag (SGT) und des Security Group Exchange Protocol (SXP) zuständig. Er spielt eine entscheidende Rolle bei der Unterstützung von TrustSec-Richtlinien, die zur Durchsetzung der Netzwerkzugriffskontrolle auf Basis der Sicherheitsgruppe des Geräts anstelle von IP- oder MAC-Adressen verwendet werden. Die SXP-Engine in der ISE dient primär dem Austausch von Sicherheitsgruppendaten, was bei der Durchsetzung von Richtlinien auf Basis der Identität, der Anwendung und des Standorts von Benutzern oder Geräten hilft. Geräte können Security Group Tags (SGTs) freigeben, mit denen Sicherheitsrichtlinien auf verschiedenen Netzwerkgeräten, z. B. Routern und Switches, durchgesetzt werden.

---

Hauptfunktionen des SXP Engine Service in der ISE

1. Integration mit TrustSec: SXP wird in der Regel in Umgebungen bereitgestellt, die Cisco TrustSec nutzen, eine Lösung, die konsistente Sicherheitsrichtlinien in kabelgebundenen und Wireless-Netzwerken durchsetzt. Die SXP Engine vereinfacht die Kommunikation von SGTs zwischen Geräten und ermöglicht eine dynamische Richtliniendurchsetzung basierend auf dem Sicherheitskontext eines Geräts oder Benutzers.
2. Sicherheitsgruppen-Tags (SGTs): Der Kern der Richtliniendurchsetzung bei TrustSec sind SGTs. Diese Tags werden zur Klassifizierung des Netzwerkverkehrs verwendet. Das SXP-Protokoll unterstützt die gemeinsame Nutzung der Zuordnung dieser Tags zu bestimmten Benutzern oder Geräten. Dies ermöglicht eine präzise, richtliniengesteuerte Kontrolle des Netzwerkzugriffs und des Datenverkehrs.

---

Überprüfung und Fehlerbehebung für den SXP Engine Service in der ISE

1. Standardmäßig ist der SXP-Moduldienst in ISE deaktiviert. Um sie zu aktivieren, gehen Sie zu ISE GUI > Administration > Deployment, Select the node. Aktivieren Sie das Kontrollkästchen Enable SXP Service (SXP-Dienst aktivieren), und wählen Sie die Schnittstelle aus. Überprüfen Sie dann den Status des SXP Engine-Service über die ISE-CLI, indem Sie den Befehl show application status ise ausführen.
2. Wenn Probleme bei der Netzwerkkommunikation auftreten, stellen Sie sicher, dass die der SXP-Engine zugewiesene Schnittstelle über eine gültige IP-Adresse verfügt. Führen Sie dazu den Befehl show interface in der CLI aus, und stellen Sie sicher, dass das IP-Subnetz im Netzwerk zugelassen ist.
3. Überprüfen der RADIUS-Live-Protokolle zum Überprüfen der SXP-Verbindungsereignisse auf der ISE
4. Aktivieren Sie die SXP-Komponente auf den ISE-Knoten, um relevante Protokolle und Ausnahmen im Zusammenhang mit SXP zu debuggen und zu erfassen.

---

TC-NAC-Dienst

Der TC-NAC-Service (TrustSec Network Access Control) ist eine Komponente, die die Durchsetzung von TrustSec-Richtlinien auf Netzwerkgeräten erleichtert und sicherstellt, dass die Zugriffskontrolle auf Sicherheitsgruppentags (SGTs) und nicht auf herkömmlichen IP- oder MAC-Adressen basiert.

TrustSec wiederum ist ein von Cisco entwickeltes Framework, das die Durchsetzung von Sicherheitsrichtlinien im gesamten Netzwerk auf Basis von Geräterollen, Benutzern oder Kontexten ermöglicht, anstatt veraltete Mechanismen wie VLANs oder IP-Adressen zu verwenden. Sie ermöglicht eine präzisere und dynamischere Netzwerkzugriffskontrolle, indem Geräte in verschiedene Sicherheitsgruppen gruppiert und mit SGTs versehen werden.

---

Hauptfunktionen des TC-NAC Service in der ISE

1. Integration mit NAC-Systemen von Drittanbietern: Der TC-NAC Service ermöglicht der ISE die Kommunikation und Interaktion mit Netzwerkzugriffskontrolllösungen von Drittanbietern. Dies kann für Organisationen nützlich sein, die bereits über eine NAC-Infrastruktur verfügen, aber eine Integration mit der Cisco ISE wünschen, um die Funktionalität zu verbessern, zusätzliche Sicherheitsrichtlinien zu nutzen oder andere Netzwerksicherheitsfunktionen von Cisco zu nutzen.
2. Nahtlose Richtliniendurchsetzung: Bei Integration mit NAC-Lösungen von Drittanbietern kann die ISE bestimmte Aspekte der Richtliniendurchsetzung und Entscheidungsfindung übernehmen. Auf diese Weise wird ein einheitlicheres Richtlinien-Framework geschaffen, das sicherstellt, dass die von Cisco NAC-Systemen und Systemen anderer Anbieter angewendeten Richtlinien im gesamten Netzwerk konsistent sind.
3. Unterstützung für ältere NAC-Systeme: Der TC-NAC Service unterstützt Unternehmen, die über ältere NAC-Systeme verfügen, bei der Nutzung dieser Systeme und der Einführung der erweiterten Sicherheitsfunktionen der Cisco ISE. Die ISE kann in ältere NAC-Lösungen integriert werden und deren Lebenszyklus verlängern. Sie bietet Zugriffskontrolle, Sicherheit und Compliance-Durchsetzung gleichzeitig.
4. Vereinfachte Kommunikation mit NAC-Anbietern von Drittanbieterlösungen: Dieser Service ermöglicht der ISE die Kommunikation mit NAC-Lösungen von Drittanbietern, die proprietäre Protokolle oder Standards verwenden. Die ISE kann mit NAC-Systemen von Drittanbietern über Standardprotokolle (wie RADIUS, TACACS+ oder SNMP) oder benutzerdefinierte APIs interagieren, je nach verwendeter NAC-Lösung.

---

Überprüfung und Fehlerbehebung des TC-NAC-Service in der ISE

1. Überprüfen Sie, ob Threat Centric NAC aktiviert ist, indem Sie zu Administration > Deployment > PSN node > Enable Threat Centric NAC navigieren.
2. Wenn das Problem beim SourceFire FireAMP-Adapter liegt, prüfen Sie, ob Port 443 in Ihrem Netzwerk zulässig ist.
3. Überprüfen Sie die Sitzungsdetails des Endgeräts unter Operations > Threat-Centric NAC Live Logs (Vorgänge > Bedrohungsorientierte NAC-Live-Protokolle).

---

Durch bedrohungsorientierten NAC ausgelöste Alarme:

• Adapter nicht erreichbar (Syslog-ID: 91002): Zeigt an, dass der Adapter nicht erreicht werden kann.

• Adapterverbindung fehlgeschlagen (Syslog-ID: 91018): Zeigt an, dass der Adapter erreichbar ist, die Verbindung zwischen dem Adapter und dem Quellserver jedoch nicht hergestellt wurde.

• Adapter aufgrund eines Fehlers angehalten (Syslog-ID: 91006): Dieser Alarm wird ausgelöst, wenn sich der Adapter nicht im gewünschten Zustand befindet. Wenn dieser Alarm angezeigt wird, überprüfen Sie die Adapterkonfiguration und die Serververbindung. Weitere Informationen finden Sie in den Adapterprotokollen.

• Adapterfehler (Syslog-ID: 91009): Zeigt an, dass der Qualys-Adapter keine Verbindung mit der Qualys-Site herstellen oder Informationen von dieser Site herunterladen kann.

---

Nützliche Fehlerbehebungen für TC-NAC-Probleme:

• va-runtime (varuntime.log)
• va-service (varuntime.log und vaaggregation.log)
• TC-NAC (ise-psc.log)
• anc (ise-psc.log)

---

PassiveID-WMI-Dienst

Der PassiveID-WMI-Dienst ist ein Dienst, mit dem die ISE die Erstellung von Geräteprofilen mithilfe von Windows Management Instrumentation (WMI) als passiven Mechanismus zur Identifizierung und Profilierung von Endpunkten im Netzwerk durchführen kann. Sie spielt eine entscheidende Rolle bei der Erstellung von Geräteprofilen in Umgebungen, in denen Geräte mit Windows OS für die Netzwerkzugriffskontrolle und Richtliniendurchsetzung genau identifiziert werden müssen.    

---

Hauptfunktionen des PassiveID-WMI-Dienstes in der ISE

1. Geräteidentitätserfassung: Der WMI-Dienst PassiveID ermöglicht der ISE die passive Erfassung von Identitätsinformationen von Windows-Geräten mithilfe von Windows Management Instrumentation (WMI). Es erfasst Systemdetails, wie den Hostnamen des Geräts, die Betriebssystemversion und andere relevante Attribute, ohne dass das Gerät aktiv daran teilnehmen muss.

2. Integration in die ISE-Richtlinie: Die vom PassiveID-WMI-Dienst erfassten Informationen sind in das ISE-Richtlinien-Framework integriert. Sie hilft bei der dynamischen Anwendung von Richtlinien, die auf Geräteattributen wie Typ, Betriebssystem und Einhaltung von Sicherheitsstandards basieren.

---

PassiveID WMI-Dienst überprüfen und Fehlerbehebung durchführen

Eine äußerst sichere und präzise Quelle, die am häufigsten zum Empfangen von Benutzerinformationen verwendet wird. Als Test verwendet AD die WMI-Technologie, um authentifizierte Benutzeridentitäten bereitzustellen. Darüber hinaus fungiert AD selbst als Quellsystem (ein Anbieter), von dem auch andere Prüfer Benutzerdaten abrufen.

---

Hilfreiche Debugging-Vorgänge und Informationen, die für die Fehlerbehebung erforderlich sind. Legen Sie diese Attribute auf die Debugging-Ebene für PassiveID-WMI-Probleme fest:

• PassiveID (Passiveid*) 
• Runtime-logging (prrt-server.log)
• Active Directory (ad)_agent.log - Ablaufverfolgungsebene
• Collector (collection.log) (auf PassiveID-, MnT-Knoten und auf aktivem pxGrid-Knoten, wenn Sitzungen veröffentlicht werden)
• pxGrid (pxgrid/) (auf sekundärem MnT und aktivem pxGrid-Knoten, wenn die Sitzungen veröffentlicht werden)

---

Für die Fehlerbehebung von PassiveID WMI erforderliche Informationen:

1. Hat es vorher funktioniert? Alle kürzlich vorgenommenen Änderungen (z. B. Upgrades, Patch-Installationen auf der ISE/Upgrades im Rechenzentrum?)
2. Funktioniert die Testverbindung ordnungsgemäß (vor der Integration die Testverbindung überprüfen)?
3. Details zum für den Beitritt zu AD verwendeten Benutzernamen und zum für WMI verwendeten Benutzernamen (unabhängig davon, ob es sich um ein Administratorkonto oder ein anderes Konto handelt)
4. Überprüft, ob die Ereignisse (4768, 4770) im Rechenzentrum protokolliert werden (überprüfen Sie das Ereignisanzeige-Protokoll im Rechenzentrum.)
5. Erfassungsprotokolle: Legen Sie die Debugstufe für passive ID und Laufzeitprotokollierung fest, und schließen Sie dann die Konfiguration für wmi für DC, AD mit Ablaufverfolgungsebene mit Zeitstempel ab.

---

PassiveID-Syslog-Dienst

Der PassiveID Syslog Service ist ein Dienst, mit dem die PassiveID-Profilierungsfunktion Syslog-Meldungen von Netzwerkgeräten in der Umgebung sammeln und verarbeiten kann. Diese Syslog-Meldungen enthalten wichtige Informationen zu den mit dem Netzwerk verbundenen Endpunkten, die von der ISE zur Profilerstellung für Geräte für die Netzwerkzugriffskontrolle und Richtliniendurchsetzung verwendet werden.    

---

Schlüsselfunktionen des Passiv-ID-Syslog-Service

1. Passive Authentifizierung: Der Passive ID Syslog-Service ermöglicht der Cisco ISE die passive Authentifizierung von Benutzern und Geräten, indem Syslog-Meldungen von Netzwerkgeräten (wie Switches oder Routern) gesammelt werden, die auf Benutzer- und Gerätaktivität hinweisen. Dies ist in Situationen nützlich, in denen herkömmliche aktive Authentifizierungsmethoden wie 802.1X nicht geeignet oder durchführbar sind.

2. Ereignisprotokollierung: Der passive ID-Syslog-Dienst nutzt das Syslog-Protokoll, um Protokolle von Netzwerkgeräten zu empfangen, die den Benutzerzugriff und das Verhalten im Netzwerk nachverfolgen. Die in diesen Protokollen enthaltenen Informationen können z. B. Anmeldeversuche von Geräten, Access Points und Schnittstellendetails umfassen, anhand derer die ISE das Gerät oder den Benutzer passiv identifizieren kann.

---

PassiveID API-Dienst

Der PassiveID API Service ermöglicht die Integration mit Systemen, die Informationen über die Identität von Geräten oder Benutzern benötigen, die mit dem Netzwerk verbunden sind. Es wird in der Regel in Umgebungen eingesetzt, in denen Netzwerkadministratoren identitätsbasierte Richtlinien und Aktionen durchführen möchten, ohne dass für jedes Gerät aktive Netzwerkauthentifizierungsprotokolle wie 802.1x erforderlich sind.

---

Hauptfunktionen des Passive ID API Service

1. Integration in externe Systeme: Über die Passive ID-API kann die ISE Identitätsinformationen von Systemen oder Netzwerkgeräten von Drittanbietern (wie Switches, Routern, Firewalls oder anderen Systemen, die identitätsbezogene Ereignisse generieren können) empfangen. Diese externen Systeme können Informationen wie Syslog-Meldungen, Authentifizierungsprotokolle oder andere relevante Daten senden, die der ISE helfen, Benutzer oder Geräte passiv zu identifizieren.
2. Passive Authentifizierung: Der API-Service für passive IDs dient zur passiven Authentifizierung von Benutzern und Geräten, indem Identitätsdaten ohne aktive Authentifizierung erfasst werden (z. B. keine 802.1X-, MAB- oder Webauthentifizierung erforderlich). Er kann Informationen von Netzwerkgeräten, Active Directory-Protokollen oder Sicherheitsanwendungen erfassen und zur Identifizierung von Benutzern oder Geräten verwenden.
3. Identitätsdaten zuordnen: Die Passive ID-API kann verwendet werden, um Identitätsdaten bestimmten Sicherheitsrichtlinien zuzuordnen. Diese Informationen werden verwendet, um Benutzern und Geräten dynamisch Sicherheitsgruppen-Tags (SGTs) oder Rollen zuzuweisen, was sich dann auf die Durchsetzung von Netzwerkzugriffskontrollen (wie Segmentierung und Firewall-Richtlinien) auswirkt.

---

PassiveID-Agent-Dienst

Der PassiveID Agent Service ermöglicht die Erstellung von Geräteprofilen mithilfe von PassiveID Agents, die auf Endgeräten (z. B. Computern, Laptops, Mobilgeräten usw.) installiert sind. Mit dem Passive ID Agent kann die ISE Profilierungsinformationen über Geräte im Netzwerk sammeln, indem sie den Datenverkehr von Endpunkten abhört, ohne dass aktive Scans oder direkte Interaktionen mit den Geräten erforderlich sind. 

---

Schlüsselfunktionen des Dienstes für passive ID-Agenten

1. Passive Benutzer- und Geräteerkennung: Der Passive ID Agent Service ist für die passive Erfassung identitätsbezogener Informationen, in der Regel von Netzwerkgeräten oder Endgeräten, und für die Übermittlung dieser Daten an die ISE zuständig. Mit diesem Service kann die ISE Benutzer und Geräte anhand ihrer Aktivitäten oder Merkmale authentifizieren und identifizieren, ohne dass eine aktive Authentifizierung durch das Gerät erforderlich ist (z. B. ohne Bereitstellung von 802.1X-Anmeldeinformationen).
2. Integration mit anderen Cisco Komponenten: Der passive ID-Agent arbeitet eng mit Cisco Netzwerkgeräten wie Switches, Wireless-Controllern und Access Points zusammen, um identitätsbezogene Informationen aus dem Netzwerkverkehr, Syslog-Protokollen oder anderen Managementsystemen zu erfassen. Die Lösung kann auch in Cisco TrustSec und Cisco Identity Services integriert werden, um diese Daten spezifischen Security Group Tags (SGTs) oder anderen identitätsbasierten Richtlinien zuzuordnen.
3. Kontextabhängige Netzwerkzugriffskontrolle: Der passive ID-Agent sendet diese Informationen an die Cisco ISE, die die entsprechenden Zugriffskontrollrichtlinien auf Basis der Identität und des Kontexts des Benutzers oder Geräts anwendet. Dies kann Folgendes umfassen:

• Rollenbasierte Zugriffskontrolle
• Dynamische VLAN-Zuordnung
• Netzwerksegmentierung
• Durchsetzung von Sicherheitsrichtlinien auf Basis der Benutzerrolle oder des Sicherheitsstatus des Geräts

---

PassiveID-Endpunktdienst

Der PassiveID Endpoint Service ist ein Dienst, der für die Identifizierung und Profilerstellung von Endpunkten (Geräten) im Netzwerk auf Basis der PassiveID-Technologie verantwortlich ist. Dieser Service unterstützt die ISE bei der Erfassung, Verarbeitung und Klassifizierung von Informationen über Geräte, die eine Verbindung mit dem Netzwerk herstellen, ohne dass eine aktive Interaktion mit den Endgeräten erforderlich ist. Der Passive ID-Endpunktdienst spielt eine entscheidende Rolle bei der Profilerstellung, der Netzwerkzugriffskontrolle und der Durchsetzung von Sicherheitsrichtlinien.

---

Hauptfunktionen des PassiveID-Endpunktdiensts

1. Passive Benutzer- und Geräteerkennung: Der Passive ID Endpoint Service ermöglicht es der ISE, Geräte im Netzwerk passiv zu identifizieren und zu authentifizieren, indem Informationen aus Netzwerkaktivitäten oder Systemprotokollen genutzt werden. Dies umfasst die Identifizierung von Benutzern und Geräten anhand ihres Netzwerkverhaltens oder ihrer Eigenschaften, z. B. MAC-Adresse, IP-Adresse oder Anmeldeinformationen aus einem externen Identitätsspeicher wie Active Directory (AD).
2. Datenerfassung von Endpunkten: Der Endpoint Service sammelt verschiedene Arten endpunktspezifischer Daten aus verschiedenen Quellen:

• Benutzeranmeldeinformationen aus externen Identitätsspeichern wie Active Directory oder anderen Verzeichnissen.
• Geräteeigenschaften wie IP-Adressen, MAC-Adressen und Gerätetyp (z. B. Windows-PC, Mobiltelefon oder IoT-Gerät)
• Netzwerkaktivität von Endpunkten, z. B. DHCP- und ARP-Anforderungen sowie andere Kommunikationen auf Netzwerkebene.

---

PassiveID-SPAN-Dienst

Der PassiveID SPAN-Service nutzt die SPAN-Port-Spiegelung (Switched Port Analyzer) auf Netzwerkgeräten, um den Netzwerkverkehr für die Endgeräteprofilierung zu erfassen und zu analysieren. Dieser Service unterstützt die ISE bei der passiven Erfassung von Informationen zu Endpunkten im Netzwerk. Dabei werden Netzwerkkommunikationsmuster analysiert, ohne dass aktive Tests oder Agenten auf den Geräten installiert werden müssen.

---

Hauptfunktionen des PassiveID SPAN-Service

1. Passive Identitätserfassung aus SPAN-Datenverkehr: Der PassiveID SPAN-Service ermöglicht der ISE die Erfassung von Identitätsdaten auf Basis des Netzwerkverkehrs, der über einen SPAN-Port an einem Switch gespiegelt oder kopiert wird. Ein SPAN-Port wird für die Netzwerküberwachung verwendet, indem der Netzwerkverkehr von anderen Ports oder VLANs gespiegelt wird. Durch die Erfassung dieses Datenverkehrs kann die ISE beispielsweise folgende Identitätsinformationen passiv erfassen:

• MAC-Adressen von Geräten
• Mit Geräten verknüpfte IP-Adressen
• DHCP-Anfragen oder andere identitätsbezogene Informationen von erfasstem Datenverkehr
• Authentifizierungsprotokolle von Netzwerkgeräten wie Switches oder Wireless Controllern

2. Erfassung von Informationen zur Benutzer- und Geräteidentität: Der SPAN-Service hört den Datenverkehr ab, der das Netzwerk durchläuft, und identifiziert wichtige Identitätsinformationen aus den Netzwerkpaketen, ohne dass eine direkte Interaktion mit Geräten erforderlich ist. Dies kann Daten wie die folgenden umfassen:

• Benutzeridentitäten bei der Authentifizierung über Protokolle wie EAP (Extensible Authentication Protocol)
• Geräteidentitäten basierend auf MAC- und IP-Adressen
• Geräterollen und -verhalten basierend auf beobachteten Datenverkehrsmustern und -ereignissen

---

Verifizierung und Fehlerbehebung für PassiveID Stack (PassiveID SPAN Service, PassiveID Syslog Service, PassiveID Endpoint Service, PassiveID Agent, PassiveID API Service)

1. Der PassiveID-Stack ist eine Liste von Anbietern und allen Diensten, und der PassiveID-Stack ist standardmäßig deaktiviert. Navigieren Sie zu ISE GUI > Administration > Deployment > wählen Sie den Knoten > Enable Passive Identity Service, und klicken Sie auf Save. Um den Status des PassiveID-Stack-Service zu überprüfen, melden Sie sich bei der CLI des ISE-Knotens an, und führen Sie den Befehl show application status ise aus.
2. Wenn Probleme mit dem passiven ID-Agenten auftreten, überprüfen Sie, ob der FQDN des Agenten vom ISE-Knoten aus auflösbar ist. Melden Sie sich dazu bei der ISE-CLI an, und führen Sie den Befehl nslookup < FQDN of Agent configured > aus.
3. Stellen Sie sicher, dass die ISE-Indizierungsengine aktiv ist und sowohl umgekehrte als auch weitergeleitete DNS-Lookups durch den DNS- oder Namensserver aufgelöst werden, der in der ISE konfiguriert ist.
4. Um eine nahtlose Kommunikation mit den Syslog-Anbietern zu gewährleisten, stellen Sie sicher, dass der UDP-Port 40514 und der TCP-Port 11468 in Ihrem Netzwerk offen sind.
5. Um den SPAN-Provider auf einem Knoten zu konfigurieren, stellen Sie sicher, dass der passive ISE-Identitätsdienst aktiviert ist. Überprüfen Sie, ob die Schnittstelle, die Sie für den SPAN-Anbieter konfigurieren möchten, in ISE verfügbar ist, indem Sie den Befehl show interface in der ISE-CLI ausführen.
6. Um die Protokolle anhand des Anbieters der passiven ID zu überprüfen, müssen Sie die folgenden Protokolle überprüfen: passiveid-syslog.log, passiveid-agent.log, passiveid-api.log, passiveid-endpoint.log, passiveid-span.log. Die genannten Protokolle können vom Support-Paket des ISE-Knotens gesichert werden. 

---

DHCP-Server (DHCP)

Der DHCP-Server-Service (dhcpd) stellt DHCP-Funktionen (Dynamic Host Configuration Protocol) für Netzwerkgeräte bereit. Es wird hauptsächlich verwendet, um IP-Adressen Geräten (Endpunkten) zuzuweisen, die versuchen, eine Verbindung mit dem Netzwerk herzustellen. In der ISE spielt der DHCP-Server eine entscheidende Rolle bei der Bereitstellung von IP-Adressen für Endpunkte, die diese bei der Verbindung mit dem Netzwerk anfordern. Der Service kann außerdem zusätzliche Konfigurationsinformationen bereitstellen, z. B. DNS-Server, Standard-Gateway und andere Netzwerkeinstellungen.

---

Wichtigste Funktionen des DHCP-Server-Dienstes (dhcpd) in der ISE

1. Dynamische IP-Adressenzuweisung: Der dhcpd-Dienst in der ISE fungiert als DHCP-Server, der Geräten, die beim Herstellen einer Verbindung mit dem Netzwerk eine IP-Adresse anfordern, die IP-Adresse zuweist. Dies ist in Szenarien wichtig, in denen Geräte dem Netzwerk dynamisch beitreten, z. B. in BYOD-Umgebungen (Bring Your Own Device) oder wenn Geräte so konfiguriert sind, dass sie automatisch IP-Adressen beziehen.
2. Profilbasierter DHCP: Der dhcpd-Dienst kann IP-Adressen basierend auf dem Profil des Geräts zuweisen. Wenn die ISE ein Profil für das Gerät erstellt hat (Smartphone, Laptop, IoT-Gerät), kann sie je nach Gerätetyp oder Rolle eine geeignete IP-Adresse zuweisen oder andere Einstellungen übernehmen.
3. Unterstützung für DHCP-Relay: Die ISE kann als DHCP-Relay-Agent fungieren und DHCP-Anfragen von Geräten an einen externen DHCP-Server weiterleiten, wenn die ISE die tatsächliche IP-Adresszuweisung nicht verarbeitet. In diesem Fall kann der dhcpd-Dienst Anfragen von Geräten an einen zentralen DHCP-Server weiterleiten, während die ISE weiterhin Netzwerkrichtlinien und Zugriffskontrollen anwendet.

---

Überprüfung und Fehlerbehebung beim DHCP-Server (DHCP)

1. Wenden Sie sich an das Cisco TAC, um zu überprüfen, ob das DHCP-Serverpaket auf der ISE installiert ist.
2. Melden Sie sich beim Stamm der ISE an > rpm -qi dhcp. 

---

DNS-Server (benannt)

Der DNS-Server (mit dem Namen) Service ermöglicht ISE, als DNS-Server (Domain Name System) oder DNS-Resolver zu fungieren. Er ist in erster Linie für die Auflösung von Domänennamen in IP-Adressen und umgekehrt zuständig und erleichtert so die Kommunikation zwischen Geräten im Netzwerk.  

---

Wichtigste Funktionen des DNS-Server-Dienstes (benannter Dienst) in der ISE

1. DNS-Auflösung für ISE-Kommunikation: Der benannte Service in der ISE hilft, Domänennamen in IP-Adressen aufzulösen. Dies ist wichtig, wenn die ISE eine Verbindung mit anderen Netzwerkgeräten oder externen Services (wie Radius-Servern, Active Directory oder externen NTP-Servern) herstellen muss, wobei statt der IP-Adressen Domänennamen verwendet werden.

• Wenn die ISE einen Radius-Server oder einen externen Verzeichnisdienst (wie Active Directory) erreichen muss, muss sie den Domänennamen dieses Servers in eine IP-Adresse auflösen.
• Die ISE fragt den auf dem System konfigurierten DNS-Server ab, um diese Domänennamen aufzulösen und eine reibungslose Kommunikation sicherzustellen.

2. DNS-Auflösung für externe Dienste: Der DNS-Dienst ermöglicht der ISE die Verbindung mit externen Diensten, die Domänennamen erfordern. ISE muss beispielsweise die Namen externer Services wie die folgenden auflösen:

• Cloud-basierte Services:
• NTP-Server (Network Time Protocol)
• Zertifizierungsstellen (Certificate Authorities, CAs) oder LDAP-Server.

3. Domänenübergreifende und redundante DNS-Server: Die ISE kann zur Redundanz für die Verwendung mehrerer DNS-Server konfiguriert werden. Wenn ein DNS-Server nicht mehr verfügbar ist, kann die ISE auf einen anderen DNS-Server zurückgreifen, um einen unterbrechungsfreien Betrieb und eine kontinuierliche DNS-Auflösung sicherzustellen.

---

Überprüfung und Fehlerbehebung für DNS-Server (benannt)

1. Überprüfen Sie über die CLI des ISE-Knotens die Erreichbarkeit des benannten Servers oder DNS-Servers der Bereitstellung, indem Sie den Befehl ping <IP des DNS-Servers/Namensservers> ausführen.
2. Überprüfen Sie die DNS-Auflösung von ISE FQDNs, indem Sie den Befehl nslookup <FQDN / IP address of ISE nodes> über die ISE CLI ausführen.

---

ISE-Messaging-Service

Der ISE Messaging Service ist eine Komponente, die die asynchrone Kommunikation zwischen verschiedenen Diensten und Komponenten innerhalb des ISE-Systems ermöglicht. Es spielt eine entscheidende Rolle in der Gesamtsystemarchitektur der ISE und ermöglicht den verschiedenen Teilen der Plattform das Senden und Empfangen von Nachrichten, das Verwalten von Aufgaben und das Synchronisieren von Aktivitäten.

---

Wichtigste Funktionen des ISE Messaging Service

1. Inter-Process Communication (IPC): Der ISE Messaging Service ermöglicht die prozessübergreifende Kommunikation (IPC) zwischen verschiedenen ISE Services. Sie stellt sicher, dass verschiedene ISE-Module und -Services wie Authentifizierung, Autorisierung und Richtliniendurchsetzung Daten und Anweisungen koordiniert austauschen können.
2. Support für verteilte Umgebungen: In größeren oder verteilten ISE-Bereitstellungen (z. B. in Konfigurationen mit mehreren Knoten oder mit hoher Verfügbarkeit) erleichtert der Messaging Service die Kommunikation zwischen den verschiedenen ISE-Knoten. Dadurch wird sichergestellt, dass Daten wie Authentifizierungsanforderungen, Benutzersitzungen und Richtlinienaktualisierungen korrekt über verschiedene Knoten innerhalb des ISE-Systems synchronisiert werden.
3. Synchronisierung von Richtlinien und Konfiguration: Der Messaging Service ist an der Synchronisierung von Konfigurationen und Richtlinien zwischen ISE-Knoten beteiligt. Wenn Konfigurationsänderungen an einem primären Knoten vorgenommen werden, stellt der Service sicher, dass diese Änderungen an sekundäre oder Backup-Knoten im System weitergeleitet werden. Dies ist wichtig, um die Konsistenz zu gewährleisten und sicherzustellen, dass die Netzwerkzugriffsrichtlinien, die auf verschiedene Standorte oder verteilte ISE-Knoten angewendet werden, synchronisiert bleiben.

---

Vergewissern Sie sich, dass der ISE Messaging Service nicht ausgeführt wird oder initialisiert wird.

1. Stellen Sie sicher, dass der Port TCP 8671 in der Firewall nicht blockiert wird. Dieser Port wird für die Kommunikation zwischen ISE-Geräten zwischen Knoten verwendet.
2. Überprüfen Sie alle Verbindungsfehler in der Warteschlange, und erneuern Sie, falls vorhanden, die ISE Messaging- und ISE Root CA-Zertifikate. Verbindungsfehler in der Warteschlange können aufgrund von Fehlern bei internen Zertifikaten auftreten. Erneuern Sie zur Behebung von Warteschlangenverbindungsfehlern die ISE-Nachrichten- und ISE-Root-Zertifizierungsstellenzertifikate. Weitere Informationen hierzu finden Sie in der Dokumentation zu ISE - Queue Link Error.
3. Aus GUI > Administration > Certificates > Select ISE Messaging Certificate. Klicken Sie auf Anzeigen, um den Status des Zertifikats zu überprüfen. 
4. Sie können ade.Jog-Protokolle verwenden, um Probleme mit ISE Messaging Services zu beheben. Diese sind im Supportpaket enthalten oder können über CLI mit dem Befehl show logging system ade/ADE.Jog tail behoben werden, wenn das Problem auftritt. 
5. Wenn im ADE.Jog-Protokoll rabbitmq angezeigt wird: Verbindung verweigert Fehler, wenden Sie sich an Cisco TAC, um die Sperre aus dem Rabbitmq-Modul von ISE Root zu entfernen. 

---

ISE API-Gateway-Datenbankdienst

Der ISE API Gateway Database Service ist eine Komponente, die für das Management und die Verarbeitung von Daten im Zusammenhang mit API-Anfragen und -Antworten innerhalb des ISE-Systems verantwortlich ist. Sie fungiert als Vermittler, der das ISE-API-Gateway mit der ISE-Datenbank verbindet, um sicherzustellen, dass benutzerdefinierte Anwendungen Daten innerhalb der ISE aktualisieren oder ändern. Sie können z. B. Zugriffsrichtlinien anpassen oder Benutzer über API-Aufrufe hinzufügen/entfernen, die vom Dienst verwaltet werden.

---

Hauptfunktionen des ISE API Gateway Database Service (ISE-API-Gateway)

1. API-Zugriff auf ISE-Daten: Der ISE API Gateway Database Service fungiert als Bridge, über die externe Anwendungen über RESTful-APIs der ISE mit der ISE-Datenbank interagieren können. Diese APIs können zum Abrufen oder Ändern von Daten verwendet werden, die in der ISE-Datenbank gespeichert sind. Beispiele:

• Benutzerauthentifizierungsprotokolle
• Netzwerkzugriffsrichtlinien
• Erstellung von Geräteprofilen
• Systemkonfiguration und -einstellungen

2. Externe Systemintegrationen aktivieren: Dieser Service spielt eine entscheidende Rolle bei der Integration der ISE in externe Systeme wie:

• Externe Authentifizierungsserver (LDAP, Active Directory, RADIUS)
• Netzwerkmanagementsysteme (NMS)
• Security Information and Event Management (SIEM)-Lösungen
• Benutzerdefinierte Anwendungen oder Services, die mit ISE-Daten interagieren müssen

Durch die Bereitstellung des API-Zugriffs ermöglicht der API Gateway Database Service diesen externen Systemen die Abfrage von ISE-Daten, das Senden von Updates an die ISE oder das Auslösen bestimmter Aktionen innerhalb der ISE als Reaktion auf externe Ereignisse.

3. Unterstützung der RESTful API-Kommunikation: Die ISE stellt RESTful-APIs bereit, die für die Verwendung über HTTP/HTTPS konzipiert sind. Der API Gateway Database Service verwaltet den Fluss der API-Anfragen und -Antworten und stellt sicher, dass die Anfragen authentifiziert und verarbeitet werden. Als Reaktion darauf werden geeignete Daten aus der ISE-Datenbank zurückgegeben.

---

ISE API-Gateway-Service

Der ISE API Gateway Service ist eine wichtige Komponente, die RESTful API-Zugriff auf ISE-Services, -Daten und -Funktionen bietet. Sie fungiert als Brücke zwischen der ISE und externen Systemen, sodass diese Systeme programmgesteuert mit der ISE-Netzwerkzugriffskontrolle, Richtliniendurchsetzung, Authentifizierung und anderen Services interagieren können. Das API-Gateway ermöglicht die Interaktion von Drittanbieteranwendungen, Netzwerkmanagementsystemen und benutzerdefinierten Anwendungen mit der Cisco ISE ohne manuellen Eingriff oder direkten Zugriff auf die ISE-Benutzeroberfläche.

---

Wichtigste Funktionen des ISE API Gateway Service

1. Aktivieren des API-Zugriffs auf die ISE: Der ISE API Gateway Service ermöglicht externen Systemen den sicheren Zugriff auf und die Interaktion mit Cisco ISE-Daten und -Richtlinien über RESTful-APIs. Dies ermöglicht den programmgesteuerten Zugriff auf ISE-Funktionen wie Authentifizierung, Richtliniendurchsetzung, Sitzungsmanagement und vieles mehr.
2. Programmgesteuerte Kontrolle: Der API Gateway Service ermöglicht die programmgesteuerte Steuerung von ISE-Funktionen. Administratoren und Entwickler können APIs verwenden, um:

• Abrufen oder Ändern von Netzwerkrichtlinien
• Abfragen oder Verwalten von Benutzersitzungen und Authentifizierungsprotokollen
• Erstellen und Verwalten von Regeln für die Netzwerkzugriffskontrolle
• Zugriff auf und Aktualisierung von Geräteprofilen
• Diese Kontrolle kann für die Automatisierung oder die individuelle Workflow-Orchestrierung genutzt werden, z. B. für die dynamische Anpassung von Netzwerkzugriffsrichtlinien auf Basis von Echtzeitdaten oder die Integration der ISE in eine breitere Plattform zur Sicherheitsautomatisierung.

3. Überwachung und Berichterstattung: Der API Gateway Service ermöglicht externen Systemen die Erfassung von Daten aus betrieblichen ISE-Protokollen, dem Sitzungsverlauf und den Details zur Richtliniendurchsetzung. Dies ist wichtig für:

• Compliance-Berichte
• Sicherheitsüberwachung
• Reaktion auf Vorfälle

API-Aufrufe können zum Abrufen von Protokollen, Überwachungsinformationen und Ereignissen verwendet werden. So können Sicherheitsteams ISE-Aktivitäten über ein zentrales Dashboard oder ein zentrales Reporting-Tool überwachen.

---

Überprüfung und Fehlerbehebung des ISE API Gateway Service und des ISE API Gateway Database Service

1. Überprüfen Sie, ob das Administratorzertifikat des ISE-Knotens aktiv und gültig ist. Navigieren Sie zu Administration > Certificates > Select the node > Select Admin Certificate. Klicken Sie auf Anzeigen, um den Status des Admin-Zertifikats des ISE-Knotens zu überprüfen.
2. Legen Sie die ise-api-gateway-, api-gateway- und apiservice-Komponenten für das Debugging fest, und die Protokolle können mit den folgenden Befehlen verfolgt werden: 

• show logging application ise-psc.log tail
• show logging anwendung api-gateway.log tail

---

ISE pxGrid Direct-Service

Der ISE pxGrid Direct Service ist eine wichtige Komponente, die die pxGrid-Funktion (Platform Exchange Grid) in der ISE unterstützt. pxGrid ist eine Cisco Technologie, die eine sichere, standardisierte und skalierbare Datenfreigabe und Integration zwischen Cisco Netzwerksicherheitslösungen und Anwendungen, Services und Geräten von Drittanbietern ermöglicht. Der ISE pxGrid Direct Service ermöglicht die direkte Kommunikation zwischen der ISE und anderen pxGrid-kompatiblen Systemen, ohne dass zwischengeschaltete Geräte oder Dienste erforderlich sind.   

---

Wichtigste Funktionen des ISE pxGrid Direct Service

1. Direkte Integration in Systeme von Drittanbietern: Der ISE pxGrid Direct Service ermöglicht der ISE die direkte Integration in Netzwerksicherheitssysteme von Drittanbietern, wie Firewalls, Router, NAC-Lösungen, SIEM-Plattformen und andere Sicherheitsanwendungen. Sie ermöglicht diesen Systemen den Austausch von Informationen über Netzwerkzugriffsereignisse, Sicherheitsvorfälle und kontextbezogene Netzwerkdaten.
2. Kontextfreigabe: Eine der Hauptfunktionen von pxGrid ist die Freigabe von Kontextinformationen (wie Geräteidentitäten, Benutzerrollen, Sicherheitsstatus und Netzwerkzugriffsinformationen). Mit dem pxGrid Direct Service kann die ISE Kontext direkt mit anderen Geräten oder Anwendungen teilen, ohne sich auf traditionelle Methoden wie RADIUS oder TACACS+ verlassen zu müssen.
3. Vereinfachte Kommunikation: Mit pxGrid kann die ISE über ein standardisiertes Protokoll mit Drittanbieterlösungen kommunizieren und Informationen austauschen. Dies vereinfacht den Integrationsprozess, da keine individuellen Integrationen für die einzelnen Lösungen von Drittanbietern erforderlich sind.
4. Verbesserte Sicherheit und Compliance: Der pxGrid Direct Service verbessert den Sicherheitsstatus und die Compliance, indem er sicherstellt, dass alle Systeme im Netzwerk auf Echtzeit- und Kontextdaten zu Benutzern, Geräten und Sicherheitsrichtlinien zugreifen können. Dies ermöglicht die koordinierte Durchsetzung von Netzwerksicherheitsrichtlinien in der gesamten Umgebung.

---

Überprüfen und Fehlerbehebung beim ISEPxgrid Direct Service

1. Wenden Sie sich an das Cisco TAC, um zu überprüfen, ob edda*.lock* im Ordner /tmp vorhanden ist. Wenn ja, kann das Cisco TAC die Sperre entfernen und den Pxgrid Direct Service vom Root neu starten.
2. Legen Sie fest, dass die PxGrid Direct-Komponente zur Fehlerbehebung im ISE-Knoten gedebuggt wird. Die Protokolle können mithilfe des ISE-Supportpakets oder der ISE-CLI gesichert werden, indem die folgenden Befehle ausgeführt werden:

• show logging-Anwendung pxgriddirect-service.log
• show logging-Anwendung pxgriddirect-connector.log
• Diese Protokolle enthalten Informationen zu den von der Cisco ISE abgerufenen und empfangenen Endpunktdaten sowie zum Verbindungsstatus des Pxgrid Connector.

---

Segmentierungsrichtliniendienst

Der Segmentation Policy Service ist eine Schlüsselkomponente für die Durchsetzung von Netzwerksegmentierungsrichtlinien auf Basis der Benutzeridentität, des Gerätestatus oder anderer Informationen. Sie erleichtert die Kontrolle des Zugriffs von Benutzern/Geräten auf bestimmte Netzwerksegmente und stellt sicher, dass nur autorisierte Benutzer oder Geräte auf bestimmte Teile des Netzwerks zugreifen können. Die Segmentierung des Netzwerks ist von entscheidender Bedeutung, um Oberflächenangriffe auf das Netzwerk zu reduzieren, eine laterale Bewegung von Bedrohungen zu verhindern und die Einhaltung gesetzlicher Vorschriften sicherzustellen. Der Segmentation Policy Service in der ISE wird verwendet, um diese Netzwerksegmentierungsregeln dynamisch durchzusetzen und bietet flexible Funktionen im gesamten Netzwerk.      

---

Hauptfunktionen des Segmentierungsrichtliniendiensts

1. Netzwerksegmente definieren: Der Segmentation Policy Service in der ISE ermöglicht es Administratoren, verschiedene Netzwerksegmente (Subnetze oder VLANs) basierend auf den Eigenschaften von Benutzern oder Geräten zu definieren. Beispiele:

• Geräte mit unterschiedlichen Sicherheitsstatus können verschiedenen Segmenten zugewiesen werden (vertrauenswürdige Geräte in einem VLAN und nicht vertrauenswürdige Geräte in einem anderen).
• Benutzer aus verschiedenen Abteilungen oder Rollen können verschiedenen Netzwerksegmenten zugewiesen werden, um die geringsten Berechtigungen durchzusetzen und den Zugriff auf vertrauliche Ressourcen zu beschränken.

2. Dynamische Segmentierung: Dieser Service ermöglicht eine dynamische Netzwerksegmentierung, sodass sich Netzwerksegmente oder VLANs in Echtzeit ändern können. Beispiele:

• Ein Benutzer kann einem bestimmten VLAN basierend auf seiner Rolle oder seinem Gerätezustand zugewiesen werden.
• Ein Gerät, das als nicht konform eingestuft wird oder auf dem ein veraltetes Betriebssystem ausgeführt wird, kann in ein Quarantäne- oder Gast-VLAN verschoben werden, bis eine Wiederherstellung erfolgt ist.

3. Richtlinienbasierte Durchsetzung: Der Segmentierungsrichtliniendienst verwendet Richtlinien, um zu entscheiden, in welchem Segment ein Gerät oder ein Benutzer platziert werden muss. Bei diesen Maßnahmen werden verschiedene Faktoren berücksichtigt, z. B.:

• Benutzeridentität: Basierend auf Benutzerrolle oder Attributen.
• Gerätestatus: Der Zustand des Compliance-Status des Geräts (d. h. des Geräts, auf dem die neueste Antivirus-Software ausgeführt wird).
• Ort: Der physische Standort des Benutzers oder Geräts im Netzwerk (Büro, Gastbereich, Remote-Zugriff).
• TIme des Zugriffs: Uhrzeit, Tag oder Woche, zu der die Zugriffsanforderung erfolgt. 

4. Durchsetzung von Sicherheitsrichtlinien: Die Segmentierungsrichtlinie stellt sicher, dass Sicherheitsrichtlinien konsistent auf allen Netzwerkgeräten (z. B. Switches, Router, Firewalls usw.) durchgesetzt werden, indem Branchenstandards wie RADIUS und VLAN-Zuweisung genutzt werden. So kann die Cisco ISE mit Geräten in der Netzwerkinfrastruktur kommunizieren, um die erforderlichen Segmentierungsrichtlinien durchzusetzen.

---

 Service für die Überprüfung und Fehlerbehebung von Segmentierungsrichtlinien

1. Überprüfen Sie, ob die Segmentierung richtig konfiguriert ist, indem Sie zu Work Centers > TrustSec > Overview > Dashboard navigieren.
2. Gehen Sie dann zu Work Centers > TrustSec > Reports, und wählen Sie TrustSec Reports aus, um den Service-Status und die Berichte für die Segmentierungsrichtlinie zu überprüfen. 

---

REST-Authentifizierungsdienst

Der REST-Auth-Dienst stellt Authentifizierungsfunktionen über RESTful-APIs bereit. Externe Anwendungen und Systeme können Benutzer oder Geräte authentifizieren, indem sie mit der ISE über HTTP(S) unter Verwendung von Standard-REST-Protokollen interagieren. Dieser Service ermöglicht die nahtlose Integration der Cisco ISE-Authentifizierungsfunktionen in Anwendungen oder Systeme von Drittanbietern, die Benutzer oder Geräte authentifizieren müssen, aber nicht die herkömmlichen Methoden (wie RADIUS oder TACACS+) verwenden können.

---

Schlüsselfunktionen des REST-Authentifizierungsdienstes

1. RESTful-Authentifizierung: Der REST-Auth-Dienst ermöglicht Authentifizierungsanforderungen über das REST-API-Protokoll. Dies ermöglicht externen Systemen (Anwendungen, Netzwerkgeräten oder Diensten von Drittanbietern) die Authentifizierung von Benutzern oder Geräten mithilfe der ISE als Authentifizierungsserver, jedoch über RESTful-Webdienstaufrufe anstelle von herkömmlichen Authentifizierungsprotokollen wie RADIUS oder TACACS+.
2. Integration in externe Anwendungen: Dieser Dienst wurde für externe Anwendungen entwickelt, die Benutzer oder Geräte authentifizieren müssen, aber keine herkömmlichen Authentifizierungsmethoden (wie RADIUS oder TACACS+) verwenden. Stattdessen können sie über REST-APIs mit der ISE interagieren, was die Integration der ISE-Authentifizierung in webbasierte oder Cloud-native Anwendungen vereinfacht.
3. Flexible und skalierbare Authentifizierung: Der REST Auth Service bietet eine skalierbare Authentifizierungsmethode, die nicht auf Netzwerkgeräte oder Lösungen vor Ort beschränkt ist. Sie kann von Cloud-Services, mobilen Apps und anderen webbasierten Plattformen verwendet werden, die Benutzer/Geräte authentifizieren müssen, indem sie die ISE nach Anmeldeinformationen und Richtlinien abfragen. 
4. Einfach anzuwenden: Die REST-API bietet eine standardisierte Schnittstelle, die im Vergleich zu herkömmlichen Methoden einfacher in moderne Software und Anwendungen zu integrieren ist. Es stellt Antworten im JSON-Format bereit und verwendet HTTP-Methoden wie GET, POST, PUT und DELETE, die für Webentwickler und Systeme, die ISE für die Authentifizierung integrieren, leichter zugänglich sind.

---

Überprüfung und Fehlerbehebung für REST Auth

1. Um Probleme im Zusammenhang mit Open API zu beheben, legen Sie die apiservice-Komponente auf debug fest.
2. Um Probleme im Zusammenhang mit der ERS API zu beheben, legen Sie die ERS-Komponente auf debug fest.
3. Wenn auf die GUI-Seite des API-Diensts: https://{iseip}:{port}/api/swagger-ui/index.html oder https://{iseip}:9060/ers/sdk zugegriffen werden kann, wird der API-Dienst wie erwartet ausgeführt.

---

Weitere Informationen zu Cisco APIs finden Sie in der API-Dokumentation.

---

SSE-Connector

Der SSE Connector (Secure Software-Defined Edge Connector) integriert die ISE in die Cisco Secure Software-Defined Access (SD-Access)-Lösung. Der SSE Connector ermöglicht der ISE die sichere Kommunikation mit dem Cisco DNA Center und ermöglicht automatisierte Netzwerkrichtlinien, Segmentierung und Sicherheitsmanagement am Edge in einer SD-Zugriffsumgebung.

---

Wichtigste Funktionen des SSE-Connectors

1. Integration mit Sicherheitssystemen von Drittanbietern: Der SSE Connector erleichtert die Integration der Cisco ISE in Sicherheitssysteme von Drittanbietern wie Firewalls, Intrusion Prevention Systems (IPS), Network Access Control (NAC)-Lösungen und Security Information and Event Management (SIEM)-Systeme. Sie ermöglicht diesen externen Systemen das sichere Senden/Empfangen von Daten von der ISE, was für eine dynamischere Richtliniendurchsetzung verwendet werden kann.
2. Echtzeit-Bedrohungsinformationen: Durch die Verbindung der ISE mit anderen Sicherheitssystemen ermöglicht der SSE Connector den Austausch von Echtzeit-Bedrohungsinformationen. Zu diesen Informationen können verdächtige Aktivitäten, kompromittierte Endgeräte oder von anderen Sicherheitssystemen erkannte schädliche Verhaltensweisen gehören, sodass die ISE Zugriffsrichtlinien dynamisch an die aktuellen Bedrohungsstufen oder den Gerätestatus anpassen kann.
3. Automatisierte Problembehebung: Die durch den SSE Connector ermöglichte Integration kann automatisierte Problembehebungs-Workflows unterstützen. Wenn ein System beispielsweise durch eine externe Sicherheits-Appliance als kompromittiert gekennzeichnet wird, kann die ISE automatisch Richtlinien durchsetzen, die den Netzwerkzugriff blockieren, oder den Endpunkt zur weiteren Untersuchung an ein Problembehebungs-Netzwerksegment umleiten.

---

Überprüfung und Fehlerbehebung des SSE-Steckverbinders

1. Der SSE-Connector ist nur aktiviert, wenn der PassiveID-Dienst in der ISE aktiviert ist. 
2. Die sse-connector-Komponente (connector.log) im debug enthält weitere Informationen zu SSE Connector-bezogenen Meldungen. 

---

Hermes (pxGrid Cloud-Agent)

Hermes (pxGrid Cloud Agent) erleichtert die Integration zwischen der ISE und dem pxGrid (Platform Exchange Grid)-Ökosystem in einer Cloud-Umgebung. Hermes ist der Cloud-basierte Agent für die Kommunikation zwischen der ISE und Cloud-basierten Services oder Plattformen. Es unterstützt das pxGrid-Framework beim Austausch von Kontextinformationen über verschiedene Netzwerk- und Sicherheitssysteme hinweg.  

---

Wichtigste Funktionen von Hermes (pxGrid Cloud Agent)

1. Cloud-to-On-Premises-Integration: Hermes (pxGrid Cloud Agent) wurde für die nahtlose Integration zwischen Cloud-basierten Services und standortbasierter ISE-Infrastruktur entwickelt. Sie erweitert die Leistungsfähigkeit von pxGrid über herkömmliche standortbasierte Netzwerkumgebungen hinaus und ermöglicht einen sicheren Datenaustausch sowie die Durchsetzung von Richtlinien über Cloud-basierte Anwendungen und Services hinweg.
2. pxGrid-Netzwerkunterstützung: pxGrid ist eine Cisco Plattform für den sicheren Informationsaustausch in Netzwerksicherheitslösungen. Hermes fungiert als Cloud-Agent für pxGrid und ermöglicht die sichere Kommunikation in Echtzeit zwischen der ISE und verschiedenen Cloud-basierten Services. Diese Integration ermöglicht konsistente Netzwerksicherheitsrichtlinien für standortbasierte und Cloud-basierte Umgebungen, die das Management vereinfachen und die Sicherheit durchsetzen.
3. Transparenz von Cloud-basierten Endgeräten: Ein Hauptvorteil von Hermes ist die Transparenz für Cloud-basierte Endgeräte, ähnlich wie die ISE Transparenz für standortbasierte Endgeräte bietet. Die Lösung kann Daten zu Geräten und Benutzern in der Cloud sammeln, z. B. Compliance-Status, Sicherheitsstatus und Identitätsdaten. Auf diese Weise kann die ISE Netzwerkzugriffsrichtlinien auf Cloud-Endgeräten wie Geräten vor Ort durchsetzen.
4. Nahtlose Erweiterung der ISE auf Cloud-Umgebungen: Einer der Hauptvorteile von Hermes ist die nahtlose Verbindung zwischen der standortbasierten ISE-Umgebung und der wachsenden Anzahl Cloud-nativer Anwendungen. So können ISE-Sicherheitsrichtlinien, Authentifizierungsverfahren und Zugriffskontrollen einfacher auf Cloud-Services ausgedehnt werden, ohne dass die vorhandene Infrastruktur komplett überholt werden muss.

---

Hermes überprüfen und Fehlerbehebung durchführen (PXGrid Cloud Agent)

1. Standardmäßig ist der Hermes-Service deaktiviert, und die ISE wird mit dem Cisco PxGrid verbunden, da der Cloud-Service mit Hermes aktiviert ist. Wenn der Hermes-Service in der ISE deaktiviert ist, überprüfen Sie, ob die Option Pxgrid Cloud in der ISE-GUI > Administration > Deployment, Select ISE node aktiviert ist. Klicken Sie auf Bearbeiten und PXGrid Cloud aktivieren.

2. Nützliche Debugs für die Behebung von Problemen im Zusammenhang mit der Pxgrid-Cloud sind hermes.log und pxcloud.log. Diese Debugs sind nur auf dem Pxgrid-Knoten verfügbar, auf dem die Pxgrid-Cloud aktiviert ist. 

---

McTrust (Meraki Sync Service)

McTrust (Meraki Sync Service) ermöglicht die Integration von Cisco ISE- und Cisco Meraki-Systemen zum Synchronisieren und Verwalten von Netzwerkgeräten und Zugriffsrichtlinien. Der McTrust-Service dient zur Synchronisierung von Benutzer- und Geräteinformationen zwischen der Cloud-basierten Netzwerkinfrastruktur von Meraki und den standortbasierten Identitäts- und Richtlinienmanagementsystemen der ISE.   

---

Wichtigste Funktionen von McTrust (Meraki Sync Service)

1. Nahtlose Integration in Meraki Geräte: McTrust ermöglicht der ISE die Synchronisierung und Integration mit den Cloud-basierten Geräten von Meraki. Dazu gehören Geräte wie Meraki Access Points, Switches und Security-Appliances, die in das Meraki-Portfolio integriert sind. Sie ermöglicht der ISE die direkte Kommunikation mit der Meraki-Infrastruktur und vereinfacht die Anwendung von Richtlinien für die Netzwerkzugriffskontrolle auf von Meraki verwaltete Geräte.
2. Automatisierte Gerätesynchronisierung: Der Meraki Sync Service synchronisiert automatisch ISE-Richtlinien mit Meraki-Netzwerkgeräten. Sämtliche Änderungen an den Richtlinien für die Netzwerkzugriffskontrolle in der ISE spiegeln sich automatisch in den Meraki-Geräten wider, ohne dass ein manueller Eingriff erforderlich ist. Dies vereinfacht die Verwaltung des Netzwerkzugriffs über die gesamte Meraki- und ISE-Plattform hinweg. 
3. Richtliniendurchsetzung für von Meraki verwaltete Geräte: Mit McTrust kann die ISE Netzwerkzugriffsrichtlinien auf Meraki-Geräten basierend auf Authentifizierung und Gerätestatus durchsetzen. Meraki weist Netzwerkelementen dynamisch Richtlinien zu, z. B. das Anpassen von VLAN-Zuweisungen, das Anwenden von Zugriffskontrolllisten (ACLs) oder das Einschränken des Zugriffs auf bestimmte Netzwerkressourcen, je nach Sicherheitsstatus des Geräts oder des Benutzers, der den Zugriff anfordert.
4. Meraki Dashboard-Integration: McTrust integriert die ISE direkt in das Meraki Dashboard und bietet so eine einheitliche Management-Oberfläche. Dank dieser Integration können Administratoren Netzwerkrichtlinien und Zugriffskontrollregeln für Meraki-Geräte und ISE-verwaltete Ressourcen über die Cloud-verwaltete Meraki-Schnittstelle anzeigen und verwalten.

---

Überprüfen und Fehlerbehebung bei McTrust (Meraki Sync Service)

1. Melden Sie sich bei der ISE-GUI an > Work Centers > TrustSec > Integrations > Sync Status. Überprüfen Sie alle gefundenen Probleme/Fehler.
2. Stellen Sie sicher, dass alle Admin-Zertifikate mit ISE-Knoten aktiv und gültig sind.
3. Für die Fehlerbehebung mit dem Meraki Sync Service ist meraki-connector.log hilfreich.

---

ISE Node Exporter

Der ISE Node Exporter ist eine Komponente, die zum Überwachen und Sammeln von Leistungsmetriken mit dem ISE-System von den ISE-Knoten verwendet wird (unabhängig davon, ob es sich um Administrationsknoten, Überwachungsknoten oder Richtliniendienstknoten handelt).

---

Wichtigste Funktionen von ISE Node Exporter

1. Kennzahlenexport: Der ISE Node Exporter stellt eine Reihe leistungsbezogener Kennzahlen bereit, z. B. CPU-Auslastung, Arbeitsspeichernutzung, Festplattenauslastung, Netzwerkstatistiken, Systemauslastung und andere Kennzahlen auf Betriebssystemebene. Diese Metriken werden zur Überwachung des Status und der Leistung des ISE-Knotens verwendet und können in einem Überwachungs-Dashboard wie Grafana visualisiert werden.
2. Systemzustandsüberwachung: Durch den Export der Leistungsdaten an Prometheus ermöglicht der ISE Node Exporter eine kontinuierliche Überwachung des Zustands und Betriebsstatus des ISE-Knotens. Administratoren können Warnungen auf Basis vordefinierter Schwellenwerte erstellen, um über Leistungsverschlechterungen oder Systemprobleme zu informieren.
3. Integration von Prometheus: Der ISE Node Exporter wird in der Regel in Verbindung mit Prometheus verwendet, einem Open-Source-Überwachungs- und Warn-Toolkit, das auf Zuverlässigkeit und Skalierbarkeit ausgelegt ist. Der Node Exporter stellt Kennzahlen auf Systemebene bereit, die von Prometheus erfasst und gespeichert werden können, um Zeitreihendaten zu erfassen und zu speichern.

---

ISE-Prometheus-Service

Der ISE Prometheus Service integriert Prometheus in die ISE, um die Überwachung zu ermöglichen und Leistungskennzahlen von der ISE zu sammeln. Prometheus ist ein Open-Source-Überwachungs- und Warnungs-Toolkit zur Erfassung, Speicherung und Analyse von Zeitreihendaten. Der ISE Prometheus Service ermöglicht es der ISE, ihre internen Metriken für Überwachungszwecke an Prometheus weiterzugeben.

---

Wichtigste Funktionen des ISE Prometheus Service

1. Metriken-Erfassung für die Überwachung: Der ISE Prometheus Service ist darauf ausgelegt, verschiedene betriebliche und Leistungskennzahlen für die ISE zu exportieren. Zu diesen Metriken gehören in der Regel, jedoch nicht beschränkt auf CPU-Nutzung und Systemlast, Arbeitsspeichernutzung, Festplattennutzung und E/A-Leistung, Netzwerkstatistiken, Statistiken zu Authentifizierungsanforderungen, Statistik zur Richtliniendurchsetzung, Systemzustand- und Betriebsbereitschaftsdaten
2. Integration von Prometheus: Mit Prometheus kann die ISE Daten in einem Format bereitstellen, das mit Prometheus kompatibel ist, das Daten in regelmäßigen Abständen scannt. Prometheus speichert Daten in einer Zeitreihendatenbank, in der Trends und historische Leistungsdaten des ISE-Systems erfasst werden.
3. Darstellung und Reporting mit Grafana: Der Prometheus Service in der ISE lässt sich nahtlos in das beliebte Open-Source-Visualisierungstool Grafana integrieren. Nach dem Exportieren der Metriken nach Prometheus können Administratoren Grafana-Dashboards verwenden, um die Daten in Echtzeit zu visualisieren. Dies ermöglicht die einfache Identifizierung von Performance-Engpässen, Systemtrends und potenziellen Problemen bei der ISE-Bereitstellung.

---

ISE Grafana-Service

Die ISE Grafana bietet Leistungskennzahlen für das System und ist eine Open-Source-Plattform für Überwachung und Datenvisualisierung. Durch die Integration mit Prometheus können Echtzeit- und Verlaufsdaten angezeigt werden, die von der ISE gesammelt wurden. Administratoren können so interaktive Dashboards erstellen, die Einblicke in die Integrität, Leistung und Nutzung des ISE-Systems liefern. 

---

Wichtigste Funktionen des ISE Grafana Service

1. Anpassbare Dashboards: Grafana ist umfassend anpassbar, sodass Administratoren Dashboards erstellen und ändern können, die ihren Überwachungsanforderungen entsprechen. Benutzerdefinierte Abfragen können erstellt werden, um bestimmte Datenpunkte aus Prometheus zu extrahieren, und diese Abfragen können in verschiedenen Formaten wie Diagrammen, Tabellen, Heatmaps und mehr visualisiert werden.
2. Zentralisierte Überwachung für verteilte ISE-Bereitstellungen: Für verteilte ISE-Bereitstellungen, bei denen mehrere ISE-Knoten an verschiedenen Standorten bereitgestellt werden, bietet Grafana eine zentrale Ansicht aller Systemmetriken, die von jedem Knoten erfasst werden. So können Administratoren die Leistung der gesamten ISE-Bereitstellung von einem einzigen Standort aus überwachen.
3. Verlaufsdaten und Trendanalyse: Mithilfe der in Prometheus gespeicherten Daten ermöglicht Grafana eine Verlaufsanalyse von Systemmetriken, sodass Administratoren Trends im Zeitverlauf verfolgen können. Administratoren können beispielsweise überwachen, wie sich die CPU-Auslastung im letzten Monat geändert hat oder wie sich die Erfolgsraten bei der Authentifizierung verändert haben. Diese Verlaufsdaten sind für die Kapazitätsplanung, Trendanalysen und die Identifizierung langfristiger Probleme hilfreich.

---

Überprüfen und Fehlerbehebung bei ISE Grafana Service, ISE Prometheus Service, ISE Node Exporter

• Der ISE Grafana Service, der ISE Prometheus Service und der ISE Node Exporter Service arbeiten zusammen und werden als Grafana Stack Services bezeichnet. Es gibt keine speziellen Debugs, um die Fehlerbehebung für diese Dienste zu aktivieren. Diese Befehle sind jedoch bei der Fehlerbehebung hilfreich.

---

• show logging-Anwendung ise-prometheus/prometheus.log
• show logging-Anwendung ise-node-exporter/node-exporter.log
• show logging-Anwendung ise-grafana/grafana.log

ISE MNT LogAnalytics ElasticSearch

ISE MNT LogAnalytics Elasticsearch ist eine Komponente, die Elasticsearch mit ISE Monitoring and Troubleshooting (MNT)-Funktionen integriert. Sie wird für die Protokollaggregation, Suche und Analyse von ISE-Protokollen und -Ereignissen verwendet. Elasticsearch ist eine weit verbreitete Suchmaschine und Analysefunktion, die das System bei der Integration mit der ISE optimiert, um von ISE-Komponenten generierte Protokolldaten zu speichern, zu analysieren und zu visualisieren.

---

Wichtigste Funktionen von ISE MNT LogAnalytics Elasticsearch

1. Protokollspeicher und -indizierung: Der Elasticsearch-Service in der ISE ist für die Speicherung und Indizierung der von der ISE generierten Protokolldaten verantwortlich. Elasticsearch ist eine verteilte Such- und Analysefunktion. Sie ermöglicht die Speicherung von ISE-Protokollen, die eine schnelle Suche, Abfrage und Abfrage bestimmter Ereignisse, Fehler oder Systemaktivitäten ermöglichen.
2. Integration mit Log Analytics: ISE MNT LogAnalytics Elasticsearch bietet zusammen mit Log Analytics eine umfassende Protokollierungslösung. Sie ermöglicht der ISE die Erfassung von Protokolldaten zur Authentifizierung, Richtliniendurchsetzung, zu Systemvorgängen und anderen Aktivitäten. Diese Daten werden in Elasticsearch gespeichert, wodurch detaillierte Analysen und Einblicke in das ISE-Verhalten ermöglicht werden.
3. Zentrale Protokollierung: Durch die Integration mit Elasticsearch bietet die ISE eine zentralisierte Protokollierungslösung, die für Umgebungen, die eine verteilte Protokollerfassung erfordern, von entscheidender Bedeutung ist. Administratoren können Protokolle mehrerer ISE-Knoten über eine zentrale, einheitliche Schnittstelle anzeigen und analysieren, um die Fehlerbehebung und Überwachung der ISE-Leistung zu vereinfachen.
4. Protokollanalyse und Fehlerbehebung: Der ISE MNT LogAnalytics Elasticsearch-Service unterstützt Administratoren bei der Analyse des Systemverhaltens und der Fehlerbehebung für einen einfachen Zugriff auf Protokollierungsdaten. Bei plötzlichem Anstieg von Authentifizierungsfehlern oder einem unerwarteten Systemausfall ermöglicht Elasticsearch die schnelle Abfrage von Protokolldaten, um die Ursache zu identifizieren.

---

Überprüfung und Fehlerbehebung bei ISE M&T LogAnalytics Elasticsearch

1. Die Deaktivierung und Reaktivierung des Protokollanalysediensts in der ISE muss hierbei hilfreich sein. Navigieren Sie zu Operationen > System 360 > Einstellungen > Protokollanalysen (mithilfe der Umschaltoption deaktivieren und aktivieren).
2. Durch einen Neustart von M&T LogAnalytics von der ISE-Root wird dieses Problem behoben. Wenden Sie sich an Cisco TAC, um diese Aktion abzuschließen. 

Bekannte Fehler: Cisco Bug-ID ・66198

---

ISE-Protokolldienst

Der ISE Logstash Service integriert Logstash, eine Open-Source-Datenverarbeitungspipeline mit der ISE, um Protokolle zu erfassen, zu transformieren und weiterzuleiten. Sie verarbeitet ISE-Anmeldungen in einem strukturierten Format und sendet sie zur Analyse, Speicherung und Überwachung an zentralisierte Protokollierungssysteme.

---

Wichtigste Funktionen des ISE Logstash Service

1. Protokollerfassung und -weiterleitung: Der ISE Logstash Service sammelt Protokolldaten von verschiedenen ISE-Komponenten (wie Authentifizierungsprotokolle, Systemprotokolle, Protokolle zur Richtliniendurchsetzung usw.) und leitet sie zur Speicherung und Analyse an einen zentralen Ort weiter (normalerweise Elasticsearch oder ein anderes Protokollmanagementsystem).
2. Protokoll-Analyse: Logstash kann gesammelte Protokolle in strukturierten Formaten analysieren. Es verarbeitet unformatierte Protokolldaten und extrahiert aussagekräftige Informationen, wobei Protokolleinträge in ein Format umgewandelt werden, das einfacher abzufragen und zu analysieren ist. Hierzu können Daten gefiltert, analysiert und angereichert werden, bevor sie an Elasticsearch oder andere Systeme weitergeleitet werden.

---

Überprüfung und Fehlerbehebung des ISE Logstash Service

1. Keine speziellen Debugs zum Aktivieren vorhanden. Wenn Sie jedoch den Befehl show logging application ise-logstash/logstash.log ausführen, erhalten Sie einen Einblick in den Status des Dienstes. 
2. Die Deaktivierung und erneute Aktivierung des Protokollanalysediensts in der ISE kann hilfreich sein. Navigieren Sie zu Operations > System 360 > Settings > Log Analytics (Deaktivieren und erneutes Aktivieren mit der Umschaltoption). 

Bekannte Fehler in Zusammenhang mit Logstash:

• Cisco Bug-ID ・74832
• Cisco Bug-ID ・58596

---

ISE Kibana-Service

ISE Kibana Service ist ein Open-Source-Datenvisualisierungstool mit ISE-Protokollierung und -Überwachung. Kibana arbeitet mit Elasticsearch zusammen, einer Plattform, die Protokolldaten speichert und indiziert und eine leistungsstarke Plattform für die Visualisierung, Suche und Analyse von ISE-Protokollen und Leistungsmetriken ist. 

---

Wichtigste Merkmale und Funktionen des ISE Kibana Service

1. Datenvisualisierung: Mit ISE Kibana können Administratoren visuelle Darstellungen von Protokolldaten erstellen, die von der ISE gesammelt wurden. Dies kann Folgendes umfassen:

• Diagramme, Diagramme und Tabellen für Trends in den Bereichen Authentifizierung, Richtliniendurchsetzung, Benutzeraktivität und Systemzustand.
• Tortendiagramme, Liniendiagramme und Balkendiagramme, um bestimmte Metriken wie die Anzahl der fehlgeschlagenen Anmeldungen, die Sitzungsdauer oder Fehler im Zeitverlauf zu verfolgen.

---

Überprüfung und Fehlerbehebung des ISE Kibana-Service

1. Wenn der ISE Kibana-Dienst nicht ausgeführt wird, deaktivieren und aktivieren Sie die Protokollanalyse in der ISE erneut. Navigieren Sie anschließend zu Operations > System 360 > Settings, Log Analytics (deaktivieren und reaktivieren Sie das Protokoll mithilfe der Umschaltoption.)
2. In vielen Szenarien kann ein doppelter Eintrag im Ordner /etc/hosts vorhanden sein, was zu einem Problem führen kann. Wenden Sie sich an das TAC, um die doppelte Eingabe zu entfernen. 

Bekannte Mängel im Zusammenhang mit dem Kibana-Problem:

• Cisco Bug-ID ・78050
• Cisco Bug-ID ・59848

ISE Nativer IPSec-Dienst

Der ISE Native IPSec Service bezieht sich auf die integrierte Unterstützung von IPSec (Internet Protocol Security), die eine sichere Kommunikation zwischen ISE-Knoten oder zwischen ISE und anderen Netzwerkgeräten ermöglicht. IPSec ist eine Protokoll-Suite zur Sicherung der Netzwerkkommunikation durch Authentifizierung und Verschlüsselung jedes IP-Pakets in einer Kommunikationssitzung. Der Native IPSec-Dienst ist Teil des umfassenderen Sicherheits- und Netzwerkzugriffsverwaltungsrahmens. Es bietet Funktionen für die Verarbeitung und Verwaltung von IPsec-VPN-Verbindungen und stellt sicher, dass die zwischen dem ISE-System und den Remote-Endpunkten übertragenen Daten sicher sind. Dies kann Interaktionen mit Client-Geräten, Netzwerkzugriffsgeräten (wie Routern oder Firewalls) oder anderen ISE-Knoten umfassen, bei denen IPsec-Verschlüsselung und -Tunneling zum Sichern vertraulicher Informationen erforderlich sind.

---

Wichtigste Funktionen des nativen ISE IPSec-Service

1. Sichere Kommunikation über IPsec: Die Hauptfunktion des ISE Native IPSec Service ist die Pflege und Sicherung von Kommunikationskanälen mittels IPSec. Hierzu werden Verschlüsselungs- und Authentifizierungsmechanismen verwendet, um sicherzustellen, dass Daten zwischen der ISE und anderen Geräten übertragen werden, um Schutz vor Abfangen, Manipulation und nicht autorisiertem Zugriff zu bieten. 
2. IPSec-VPN-Verbindungen: Der ISE Native IPSec Service erleichtert VPN-Verbindungen, die das IPSec-Protokoll verwenden, um einen sicheren, verschlüsselten Tunnel für die Datenübertragung bereitzustellen. Dies ist nützlich, wenn Mitarbeiter an Remote-Standorten, Zweigstellen oder anderen Standorten über nicht vertrauenswürdige Netzwerke wie den herkömmlichen Internetzugang sicher auf ISE-Umgebungen zugreifen möchten.
3. Unterstützung für Remote Access VPN: Der Native IPSec-Dienst kann in VPN-Konfigurationen für den Remote-Zugriff eingebunden werden, bei denen sich Benutzer oder Geräte an einem externen Standort (z. B. Mitarbeiter an entfernten Standorten oder Zweigstellen) über IPsec-Tunnel sicher mit dem ISE-System verbinden. Dieser Service stellt sicher, dass der gesamte Remote-Zugriffsverkehr verschlüsselt und authentifiziert wird, bevor er die ISE-Umgebung erreicht.
4. IPsec-VPN-Client-Kompatibilität: Der ISE Native IPSec-Dienst stellt die Kompatibilität mit IPsec-VPN-Clients sicher. Sie unterstützt gängige Client-Konfigurationen, sodass Geräte sicher mit dem Netzwerk verbunden werden können, ohne dass vertrauliche Daten Risiken ausgesetzt sind.

---

Systemeigenen IPSec-Dienst überprüfen und Fehler beheben

1. Es gibt keine speziellen Debugs, die für den Nativen IPSec-Dienst aktiviert werden können. Überprüfen Sie über die ISE-CLI die Protokolle, auf denen der Befehl show logging application strongswan/charon.log tail ausgeführt wird.
2. Wenn bei einem Tunnel Probleme auftreten, überprüfen Sie den Status des Tunnelaufbaus über GUI > Administration > System > Settings > Protocols > IPSec > Native IPSec.

---

MFC-Profiler

Der MFC Profiler ist eine spezielle Komponente für die Profilerstellung von Netzwerkgeräten und Endgeräten. Die Profilerstellung ist ein wichtiger Bestandteil der Netzwerkzugriffskontrolle, da die ISE so Geräte im Netzwerk identifizieren, klassifizieren und je nach Gerätetyp und -verhalten die entsprechenden Netzwerkrichtlinien anwenden kann.                       

---

Wichtigste Funktionen des MFC Profiler Service in der ISE

1. Datenverkehrsprofile: Der MFC Profiler-Dienst in der ISE sammelt und profiliert Datenverkehrsdaten. Es überwacht das Verhalten von Endgeräten im Netzwerk, einschließlich der verwendeten Anwendungstypen, der aufgerufenen Services und der von den Geräten angezeigten Datenverkehrsmuster. Diese Daten helfen bei der Erstellung eines Profils für jeden Endpunkt.
2. Endgeräteprofilierung: Der MFC Profiler-Service ermöglicht der ISE die Identifizierung und Kategorisierung von Endpunkten basierend auf deren Verhalten. Basierend auf Datenverkehrsmustern erkennt es, ob es sich bei einem Endpunkt um einen Drucker, einen Computer oder ein Mobilgerät handelt. So können spezifische Richtlinien für verschiedene Gerätetypen durchgesetzt und die Sicherheit und Betriebseffizienz verbessert werden.

---

MFC Profiler Service überprüfen und Fehlerbehebung durchführen

1. Navigieren Sie zu ISE GUI > Administration > Profiling > MFC Profiling and AI Rules. Überprüfen Sie, ob der Service aktiviert ist.
2. Wenn der Service aktiviert ist, aber als deaktiviert angezeigt wird oder nicht, wird er über den Befehl show application status ise in der ISE-CLI ausgeführt. Deaktivieren und aktivieren Sie den MFC-Profilerstellungsdienst in der ISE erneut, indem Sie auf den vorherigen Schritt verweisen.
3. Nützliche Schritte zur Fehlerbehebung finden Sie in der Komponente MFC Profiler im Debugging. Die Protokolle können aus dem Support-Paket verifiziert werden, oder sie können den Protokollverlauf verfolgen, indem der Befehl show logging application ise-pi-profiler.log tail über die ISE-CLI ausgeführt wird.

Bekannter Fehler für MFC-Profiler, der anstelle eines deaktivierten Zustands als nicht ausgeführt angezeigt wird:

• Cisco Bug-ID ・72853

---

In ISE 3.4 enthaltene Services

MFA (Duo Sync Service) 

In der Cisco Identity Services Engine (ISE) 3.4 ermöglicht der Duo Sync Service die nahtlose Integration von Duo Multi-Factor Authentication (MFA), ohne dass ein externer Duo Authentication Proxy erforderlich ist. Diese native Integration erhöht die Sicherheit für VPN- und TACACS+-Authentifizierungs-Workflows. 

---

Wichtigste Funktionen von MFA (Duo Sync Service) in der ISE

1. Native Duo Integration (kein Duo Proxy erforderlich): Die Cisco ISE 3.4 unterstützt die direkte Integration mit Duo, ohne dass ein separater Duo Authentifizierungsproxy bereitgestellt und verwaltet werden muss. Dies vereinfacht die Bereitstellung und reduziert die Komplexität der Infrastruktur. 
2. Identity Sync mit Duo: ISE 3.4 umfasst einen Duo Sync Service, der eine automatische Synchronisierung von Benutzern von Active Directory auf Duo ermöglicht und nicht dazu verpflichtet ist, Benutzer manuell zur Duo-Synchronisierung hinzuzufügen, da diese über ISE erfolgt.

---

Verifizieren und Fehlerbehebung bei MFA (Duo Sync Service)

1. Standardmäßig ist der MFA Duo Sync-Dienst deaktiviert. Um diesen Service zu aktivieren, navigieren Sie zu Administration > Identity Management > Settings > External Identity Source Settings > Toggle MFA.
2. Wenn der Dienst aktiviert ist, aber mit dem Befehl show application status ise in der ISE-CLI als deaktiviert angezeigt wird/nicht ausgeführt wird. Deaktivieren und aktivieren Sie den MFA Duo Sync Service in der ISE erneut, indem Sie auf den vorherigen Schritt verweisen.
3. Hilfreiche Schritte zur Fehlerbehebung für Debugging: Führen Sie die Befehlskomponente ise-duo im Debugging aus. Die Protokolle können aus dem Support-Paket verifiziert werden, oder sie können durch Ausführen des Befehls show logging application ise-duo.log tail über die ISE-CLI per Tail-Funktion ergänzt werden.

---

ACI Connection Service

Der ACIconn (ACI Connector) Service ist für die Integration der Cisco ISE in die Cisco Application Centric Infrastructure (ACI) zuständig. Dank dieser Integration kann die ISE Endgeräteidentitäts- und Statusinformationen dynamisch mit der Cisco ACI gemeinsam nutzen, um eine softwaredefinierte Segmentierung und Richtliniendurchsetzung zu erreichen.

---

Wichtigste Merkmale und Funktionen des ACCON Service in der ISE

1. Kontextfreigabe mit der ACI: Die ACIconn teilt Benutzeridentität, Authentifizierungsstatus, Status und Sitzungsdetails mit dem Cisco APIC. Kontextsensitive Mikrosegmentierung und Richtlinienentscheidungen auf Basis von ISE-Daten
2. Dynamische Zuordnung von Endpunkt zu EPG: Automatische Zuordnung von in ISE authentifizierten Benutzern/Geräten zu Endpunktgruppen in der Cisco ACI. Ermöglicht die identitätsbasierte Segmentierung Ihres Rechenzentrums.
3. Bidirektionale Kommunikation: Die ISE kann Aktualisierungen an die ACI senden, und die ACI kann die ISE auf Endgerätestatus abfragen, was eine Zugriffskontrolle und Segmentierungsänderungen in Echtzeit ermöglicht.

---

Aciconn überprüfen und beheben 

1. Standardmäßig ist der ACI-Dienst deaktiviert. Um diesen Service zu aktivieren, navigieren Sie zu Workcenters > TrustSec > Settings -> ACI Settings > Enable ACI Integration, und geben Sie die erforderlichen Details zum Herstellen der Verbindung ein.
2. Wenn der Service aktiviert ist, aber angezeigt wird, dass er deaktiviert ist/nicht ausgeführt wird, verwenden Sie den Befehl show application status ise in der ISE-CLI. Deaktivieren und aktivieren Sie den ACI Integration Service in der ISE erneut, indem Sie auf den vorherigen Schritt zurückgreifen.
3. Nützliche Schritte zur Fehlerbehebung bei Debugging-Vorgängen sollten Sie die ACI Connector-Komponente im Debugging überprüfen. Die Protokolle können aus dem Support-Paket verifiziert werden, oder sie werden per Tail mit dem Befehl show logging application aciconn.log tail & show logging application workloads.log tail über die ISE-CLI weitergeleitet.

---

ISE Prometheus Exporteur

Der ISE Prometheus Exporter ist ein Hintergrundservice, der die Cisco ISE-Metriken in einem Format exportiert, das mit Prometheus, einem beliebten Open-Source-Überwachungs- und Warnsystem, kompatibel ist. So können mithilfe von Drittanbieter-Überwachungstools wie Prometheus und Grafana ISE-Metriken für Dashboards, Warnungen und Leistungsanalysen erfasst werden. 

---

Wichtigste Funktionen des ISE Prometheus Service in der ISE

1. Export standardisierter Kennzahlen: Exportiert Leistungs-, Nutzungs- und Integritätsmetriken der Cisco ISE in Prometheus, einem kompatiblen Format und ermöglicht konsistente und strukturierte Überwachungsdaten.
2. Integration von Drittanbieter-Überwachungslösungen: nahtlose Integration in Überwachungstools wie Prometheus, Grafana und andere
3. Unterstützung von Warnmeldungen und Berichten: Anhand von Kennzahlen können Warnmeldungen in Prometheus oder in integrierten Warnplattformen definiert werden. Unterstützt die Identifizierung von Trends oder Anomalien im Laufe der Zeit.

---

Überprüfung und Fehlerbehebung bei ISE Prometheus Exporter 

1. ISE Prometheus Exporter ist standardmäßig in ISE aktiviert. Wenn der Dienst nicht ausgeführt wird, führen Sie den Befehl application stop ise und application start ise aus, um die Dienste neu zu starten.
2. Hilfreiche Schritte zur Fehlerbehebung bei Debuggen, überprüfen Sie die Prometheus-Komponente im Debugging. Die Protokolle können aus dem Support-Paket verifiziert werden, oder sie werden per Tail-Funktion der Protokolldatei protokolliert, indem der Befehl show logging application prometheus.log über die ISE-CLI ausgeführt wird.

3. Überprüfen Sie, ob auf dem Knoten Instanzen einer hohen Ressourcenauslastung vorhanden sind, da sich dies auf die Leistung von ISE Prometheus auswirkt.

---

ISE Prometheus Alert Manager

ISE Prometheus Alert Manager in ISE verwaltet die Warnmeldungen auf der Grundlage der vom Prometheus Exporter Service exportierten Kennzahlen. Es verarbeitet die erfassten Telemetriedaten und löst Alarme oder Benachrichtigungen aus, wenn bestimmte Grenzwerte oder Bedingungen erfüllt werden.

---

Wichtigste Funktionen des ISE Prometheus Alert Manager Service in der ISE

1. Warnungsverarbeitung: Überwacht ISE-Metriken auf Anomalien oder Schwellenwertverletzungen wie hohe CPU-, Speicher- oder Authentifizierungsfehler. 
2. Arbeitet mit Prometheus Exporter zusammen: Ergänzt den Metrik-Exporteur, indem er auf die Daten einwirkt und so ein proaktives Gesundheitsmanagement ermöglicht. 
3. Integration von Benachrichtigungen: Leitet Warnungen an externe Tools oder Dashboards wie E-Mail, SNMP-Traps oder andere Überwachungssysteme weiter. 

---

Überprüfung und Fehlerbehebung bei ISE Prometheus Alert Manager

1. ISE Prometheus Exporter ist standardmäßig in ISE aktiviert. Wenn der Dienst nicht ausgeführt wird, führen Sie den Befehl application stop ise und application start ise aus, um die Dienste neu zu starten.
2. Hilfreiche Schritte zur Fehlerbehebung bei Debugging, überprüfen Sie die Komponente alertmanager im Debugging. Die Protokolle können aus dem Support-Paket verifiziert werden, oder Sie können die Protokolle durch Ausführen des Befehls show logging application alertmanager.log tail über die ISE-CLI weiterleiten.
3. Überprüfen Sie, ob der Knoten Instanzen einer hohen Ressourcenauslastung aufweist, da sich dies auf die Leistung der ISE-Prometheus auswirkt.

---

Protokolle-Modul

Protocols Engine ist der ISE-Dienst bzw. das ISE-Modul, der bzw. das Netzwerkprotokoll-Interaktionen wie RADIUS, TACACS+, Diameter und andere von ISE unterstützte Authentifizierungs- und Accounting-Protokolle verwaltet und verarbeitet. Ohne die erwartete Ausführung der Protokoll-Engine kann die ISE keine Authentifizierungsanforderungen verarbeiten oder Netzwerkzugriffsrichtlinien durchsetzen. Es gewährleistet eine sichere und zuverlässige Kommunikation zwischen Netzwerkgeräten und dem ISE-Server. 

---

Wichtigste Funktionen des Protocols Engine Service in der ISE

1. Radius-Verarbeitung: Bearbeitung von AAA-Anfragen (Authentication, Authorization und Accounting) von Netzwerkgeräten 
2. TACACS+-Verarbeitung: Verwaltet TACACS+, Authentifizierung und Befehlsautorisierung für die Geräteadministration.
3. Protokollanalyse und -validierung: Analysiert eingehende Protokollpakete und validiert deren Richtigkeit. 

---

Protokollmodul überprüfen und Fehlerbehebung

1. Die ISE-Protokollengine ist standardmäßig in ISE aktiviert. Wenn der Dienst nicht ausgeführt wird, führen Sie den Befehl application stop ise und application start ise aus, um die Dienste neu zu starten. 

2. Nützliche Schritte zur Fehlerbehebung für Debuggen, überprüfen Sie die Komponenten ProtocolsEngine-AAA, ProtocolsEngine-config, ProtocolsEngine-GRPC, ProtocolsEngine-logging im Debugging. Die Protokolle können aus dem Support-Paket verifiziert werden, oder sie können den Protokollverlauf verfolgen, indem der Befehl show logging application protocol-engine.log tail über die ISE-CLI ausgeführt wird. 

---

In ISE 3.5 enthaltene Services

Remote Support Authorization Service

Der Remote Support Authorization Service ist der ISE-Service, der die Autorisierung für Remote-Support-Sitzungen des Cisco Technical Assistance Center (TAC) sicher verwaltet. Anhand der konfigurierten Supportrichtlinien wird geprüft, ob der Zugriff auf den Remote-Support zulässig ist. Außerdem wird sichergestellt, dass nur autorisierte Sitzungen zur Remote-Fehlerbehebung eingerichtet werden können. Dieser Service gewährleistet einen sicheren Administratorzugriff und unterstützt Cisco TAC-Techniker bei der Fehlerbehebung, wenn der Remote-Support aktiviert ist. 

---

Wichtigste Funktionen des Remote Support Authorization Service in der ISE

1. Remote Support-Autorisierung: Validiert und autorisiert Cisco TAC Remote Support-Sitzungen.
2. Sichere Zugriffskontrolle: Stellt sicher, dass der Remote-Zugriff nur gewährt wird, wenn der Remote-Support explizit aktiviert und autorisiert ist.
3. Management von Support-Sitzungen: Koordination von Autorisierungsanfragen zwischen dem ISE-Knoten und der Cisco Remote Support-Infrastruktur.

---

Service zur Überprüfung und Remote-Support-Autorisierung in der ISE

Der Remote Support Authorization Service ist standardmäßig aktiviert, wenn die Remote-Support-Funktion verfügbar ist. Wenn der Dienst nicht ausgeführt wird, führen Sie die Befehle application stop ise und application start ise aus, um die Dienste neu zu starten.

---

1. Hilfreiche Schritte zur Fehlerbehebung für Debugvorgänge umfassen die Komponenten RemoteSupportAuthorization-config, RemoteSupportAuthorization-service und RemoteSupportAuthorization-logging im Debugmodus. Die Protokolle können über das Support-Paket verifiziert oder mit dem CLI-Befehl show logging application remote-support-authorization.log tail angezeigt werden.

---

ISE Prometheous Alert Manager Service 

Der Prometheus Alertmanager Service der ISE verwaltet die von Prometheus generierten Warnmeldungen und erfasst die Kennzahlen innerhalb der Cisco ISE. Er empfängt Warnmeldungen vom Prometheus-Überwachungsdienst, gruppiert und unterdrückt doppelte Warnmeldungen und leitet Benachrichtigungen an die konfigurierten Ziele weiter. Mit diesem Service können Administratoren den Betriebszustand der ISE überwachen und proaktiv auf Infrastruktur- oder Anwendungsprobleme reagieren.

---

Wichtigste Funktionen des ISE Prometheus Alert Manager Service in der ISE

1. Warnungsverarbeitung: Erhält Alarme, die von Prometheus Metriken generiert wurden.
2. Warnmeldungsgruppierung und Deduplizierung: Gruppiert ähnliche Warnungen und unterdrückt doppelte Benachrichtigungen, um das Warngeräusch zu reduzieren.
3. Benachrichtigungsverwaltung: Weiterleitung von Warnmeldungen an konfigurierte Benachrichtigungskanäle auf Basis von Warnmeldungsrichtlinien

---

Überprüfen des prometheischen ISE-Warnungs-Manager-Service in der ISE

Der ISE Prometheus Alert Manager Service ist standardmäßig als Teil des Überwachungs-Frameworks aktiviert. Wenn der Dienst nicht ausgeführt wird, führen Sie die Anwendung stop ise aus, und starten Sie die Anwendung ise, um die Dienste neu zu starten.

---

Hilfreiche Schritte zur Fehlerbehebung im Debugmodus, z. B. Alertmanager-config, Alertmanager-service und Alertmanager-logging. Die Protokolle können über das Support-Paket überprüft oder mit dem CLI-Befehl show logging application alertmanager.log tail angezeigt werden.

---

ISE DataGrid-Service 

Der ISE Data Grid Service bietet verteilte In-Memory-Datenspeicherung und Synchronisierung über Cisco ISE-Knoten. Es ermöglicht mehreren ISE-Services die sichere Freigabe von Laufzeitinformationen wie Sitzungsdaten, Endpunktinformationen, Caches und Betriebsstatus zwischen Knoten. Der Data Grid Service verbessert Skalierbarkeit, Leistung und hohe Verfügbarkeit, indem er Services den Zugriff auf freigegebene Daten ermöglicht, ohne sich ausschließlich auf die primäre Datenbank zu verlassen.

---

Wichtigste Funktionen des ISE DataGrid Service in der ISE

1. Verteilte Datenspeicherung: Verwaltung gemeinsam genutzter In-Memory-Daten über alle ISE-Knoten
2. Sitzungs- und Cache-Synchronisierung: Synchronisiert Laufzeitinformationen, Endpunktdaten und Dienstcaches zwischen Knoten.
3. Unterstützung für hohe Verfügbarkeit: Ermöglicht einen effizienten Betrieb verteilter Services durch eine ausfallsichere Datenfreigabe in der gesamten Bereitstellung.

---

Überprüfen des ISE DataGrid-Service in der ISE

1. Der ISE Data Grid Service ist standardmäßig aktiviert. Wenn der Dienst nicht ausgeführt wird, führen Sie die Befehle application stop ise und application start ise aus, um die Dienste neu zu starten.
2. Die folgenden Schritte zur Fehlerbehebung sind für Debugvorgänge hilfreich: Komponenten für DataGrid-Cluster, DataGrid-Cache, DataGrid-config und DataGrid-Protokollierung im Debugmodus. Die Protokolle können im Supportpaket überprüft oder mit dem CLI-Befehl show logging application datagrid.log tail angezeigt werden.

---

Standardisierte Bedenken in der ISE

Abgesehen von den Problemen mit ISE-Services finden sich in den ISE-Knoten einige Probleme sowie grundlegende Schritte zur Fehlerbehebung:

---

Überprüfung auf High Load Average, Probleme bei der Ressourcennutzung (CPU/SPEICHER/FESTPLATTE), unzureichende Ressourcen

1. Überprüfen Sie, ob die von Cisco empfohlenen Ressourcen dem Knoten zugewiesen wurden, indem Sie den Befehl show Inventory über die ISE-CLI ausführen.

2. Führen Sie in der CLI des ISE-Knotens den Befehl tech top aus, um die Ressourcennutzung der ISE zu überprüfen.

3. Überprüfen Sie die Datenträgerauslastung, indem Sie den Befehl show disk über die ISE-CLI ausführen.

4. Löschen Sie die inaktiven Endpunkte, löschen Sie die lokale Festplatte des Knotens, und führen Sie Upgrade-Bereinigungen durch.

---

Wenn das Problem weiterhin besteht, wenden Sie sich an das Cisco TAC, und stellen Sie das sichere Support-Paket, den Heap-Dump und den Thread-Dump für den Knoten bereit, bei dem das Problem auftritt. 

---

1. Um das Heap-Dump zu sichern, melden Sie sich beim CLI-ISE-Knoten an, und führen Sie den Befehl application configure ise aus. Wählen Sie Option 22 aus.
2. Melden Sie sich zum Sichern des Threaddumps beim CLI-ISE-Knoten an, und führen Sie den Befehl application configure ise aus. Wählen Sie Option 23 aus. Der Thread-Dump ist im Supportpaket enthalten oder kann über die ISE-CLI mit dem Befehl show logging application appserver/cataline.out verfolgt werden.\

---

Überprüfen und Beheben von Überwachungsproblemen

Die Überwachungs- und Fehlerbehebungsfunktion (Monitoring and Troubleshooting, MnT) der ISE ist einer der Hauptbausteine der ISE-Architektur, die Überwachungs-, Berichterstellungs- und Warnfunktionen bereitstellt. Die ISE zeigt Überwachungsinformationen an vielen Stellen an, darunter: 

• Cisco ISE-Startseite
• Kontextsichtbarkeitsansichten
• RADIUS Live-Protokolle und -Sitzungen
• Globale Suche
• Bedrohungsorientierte NAC Live-Protokolle
• TACACS-Live-Protokolle

---

Allgemeine Probleme, die in der Kategorie Überwachung und Fehlerbehebung beobachtet wurden:

1. Radius-/TACACS-Live-Protokolle nicht verfügbar
2. Live-Sitzungen nicht verfügbar
3. Statuszusammenfassung nicht verfügbar
4. Performance-Probleme (hohe CPU/Speicher) bei den MnT-Knoten

---

Debugs, die auf den MnT-Knoten aktiviert werden sollen, um das Problem einzugrenzen:

1. Cisco-mnt
2. Collector
3. CPM-mnt
4. Laufzeitprotokollierung

---

Zusätzlich zu den Debugkomponenten können diese Informationen bei der Fehlerbehebung hilfreich sein:

1. Sind auch Live-Sitzungen betroffen oder nur Live-Protokolle?
2. Sind Radius- oder TACACS-Protokolle betroffen oder beide?
3. Sehen Sie eine hohe CPU-Auslastung oder eine hohe Auslagerungsauslastung auf MnT-Knoten?
4. Wie viele Pufferdateien sehen Sie auf den MnT-Knoten? Pufferdateien finden Sie unter: /opt/CSCOcpm/mnt/data/collector
5. Sind die Speicher- und CPU-Reservierungen aktiviert? andernfalls aktivieren Sie sie.
6. Wurde das Zurücksetzen der MnT/config/session-DB vor kurzem oder in der Vergangenheit durchgeführt?
7. Werden die Syslogs von den PSNs an MnT-Knoten gesendet?

---

Wenn Sie Syslog-Dienste für MnT verwenden, sind diese Informationen zur Fehlerbehebung erforderlich:

1. Verwenden Sie sichere Syslog-Ziele, oder deaktivieren Sie sie, da diese bekanntermaßen Deadlocks in Threads verursachen, die dazu führen, dass die Collectors nicht mehr funktionieren.
2. Wenn Sie sichere Syslog-Ziele verwenden, stellen Sie sicher, dass die Zertifikatszuordnung unter Administration > Logging > Remote Logging Targets > Secure Syslog Collector 1 und 2 richtig festgelegt ist.
3. Überprüfen Sie, ob die Protokollierungskategorien ordnungsgemäß festgelegt sind (empfohlen zum Entfernen nicht verwendeter/unerwünschter Protokollierungskategorien - dadurch wird die Last für MnT-Knoten reduziert), und stellen Sie sicher, dass die Protokollierungsziele ordnungsgemäß konfiguriert sind.
4. Überprüfen Sie die Dateien awrrep*.html aus dem Supportpaket, um zu verstehen, welche Komponente häufigere Syslogs sendet, und erhalten Sie einen Hinweis darauf. Wenn beispielsweise TACACS-Tabellen mit Einfüge- oder Aktualisierungsabfragen angezeigt werden, kann das TAC die Collector-Protokolle überprüfen, um eine Korrelation herzustellen und zu ermitteln, welche Syslogs häufiger gesendet werden.

---

Wenn das Problem mit der Leistung auf dem MnT-Knoten zusammenhängt, benötigt das TAC die folgenden Informationen:

1. Tech Top-Ausgabe von der ISE CLI des MnT-Knotens.
2. Wenn die CPU hoch ist, sehen Sie eine hohe Auslastung des Arbeitsspeichers oder des Auslagerungsbereichs?
3. Unterstützungspaket mit gesichertem Heap- und Thread-Dump.

---

Referenz

• Administratorleitfaden für die Cisco Identity Services Engine, Version 3.3
• Administratorleitfaden für die Cisco Identity Services Engine, Version 3.4 
• Fehlerbehebung und Aktivieren von Debuggen auf der ISE

Revisionsverlauf

Überarbeitung	Veröffentlichungsdatum	Kommentare
2.0	06-Aug-2026	Aktualisierte Rechtschreibung, Grammatik, Alternativtext, CCW-Warnmeldungen, eingefügte horizontale Linien für separate Abschnitte/Lesbarkeit.
1.0	26-Mar-2025	Erstveröffentlichung