Configuración y solución de problemas de ISE 3.2 con integración de FMC 7.2.4
Contenido
Introducción
Este documento describe el proceso para integrar Identity Services Engine con Firewall Management Center mediante conexiones de Platform Exchange Grid.
Prerequisites
Cisco recomienda conocimientos sobre los siguientes temas:
- Certificados TLS/SSL
- Cuadrícula de intercambio de plataforma
- Identity Services Engine (ISE)
- Centro de gestión de firewall (FMC)
Componentes Utilizados
La información que contiene este documento se basa en las siguientes versiones de software y hardware.
- Firewall Management Center versión 7.2.4
- Parche 3 de Identity Services Engine (ISE) versión 3.2
La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.
Antecedentes
Esta documentación proporciona una solución para integrar FMC e ISE mediante pxGrid versión 2. Cisco Firepower Management Center (FMC) es una plataforma centralizada para el firewall de última generación y el sistema de prevención de intrusiones que ofrece gestión de políticas, detección de amenazas y respuesta a incidentes. Cisco Identity Services Engine es una solución completa que proporciona un acceso seguro a los terminales mediante servicios de autenticación, autorización y responsabilidad (AAA), así como la aplicación de políticas.
Platform Exchange Grid (pxGrid) permite intercambiar información entre varios proveedores y la red multiplataforma. Esta integración proporciona supervisión segura, detección de amenazas y establecimiento de políticas de red basadas en la información compartida. El marco de PxGrid tiene dos versiones; una para utilizar (depende de la versión de ISE) y otra para aplicar parches; debe revisar.
A partir de la versión ISE 3.1, todas las conexiones pxGrid de ISE se basan en la versión 2 de pxGrid.
pxGrid versión 1
La primera versión de este marco de trabajo (pxGrid v1) se caracteriza por la facilidad de mantenimiento que se observa a través del comando show application status ise como se muestra en el resultado. Cuando la función pxGrid está activada en el nodo, puede ver las funciones pxGrid en estado de ejecución:
Mantenimiento de PxGrid versión 1.
En esta versión de la plataforma, sólo hay un nodo pxGrid con el estado de ejecución del proceso pxGrid mientras que los otros nodos pxGrid están en estado en espera. Estos nodos supervisan continuamente el nodo pxGrid y sus servicios asociados para asegurarse de que se están ejecutando correctamente. El nodo pxGrid secundario se promovió a primario y el otro nodo habilitó sus servicios pxGrid. Sin embargo, eso representó un tiempo de inactividad cuando se produjo el error.
La primera versión de pxGrid se basaba en la comunicación en el protocolo extensible de mensajería y presencia (XMPP), que es un conjunto de tecnologías utilizadas en la infraestructura de colaboración y voz.
Los temas compartidos en una conexión pxGrid v1 son:
- SXP
- Identidad
- Directorio de sesión
- Metadatos de Trustsec
- MDM_Tema sin conexión
- Control de red adaptable
- Metadatos del perfil de terminal
- Capacidad de protección de terminales
PxGrid versión 2
Este documento describe el uso de pxGrid v2. Esta plataforma funciona mediante operaciones REST en los protocolos ISE y WebSocket, lo que aporta mejoras, escalabilidad mejorada, rendimiento y flexibilidad en los modelos de datos. En esta versión, no verá las características de pxGrid ejecutándose como versiones anteriores con el comando show application status ise.
Consulte la sección de validación de ISE en este documento para saber qué mecanismos se deben revisar con las funcionalidades de pxGrid.
En esta versión, tiene nodos pxGrid para configurar como nodos pxGrid activos. Estos están listos para participar en el intercambio de información en cualquier momento. Con v1, solo un nodo mantenía la facilidad de mantenimiento de pxGrid en ejecución.
Los temas compartidos en una conexión pxGrid v2 son:
- MDM
- TrustSec
- Estado de ANC
- SXP TrustSec
- Error de RADIUS
- Estado del sistema
- Activo de terminal
- Directorio de sesión
- Configuración del analizador
- Configuración de TrustSec
Componentes de pxGrid como plataforma
Controlador pxGrid (ISE): Debe confiar en cada uno de los participantes que utilizan pxGrid.
Cliente: Puede ser suscriptor y editor de diferentes temas.
Editor: Cliente que comparte información con el controlador.
Suscriptor: Cliente que consume la información de un tema.
Esta integración le permite crear políticas de contenido en el FMC basadas en la información compartida por ISE y sus temas publicados (relacionados con la actividad del terminal).
Configurar
Preparación de ISE para la integración
Paso 1. Configure el nodo ISE para ejecutar el personaje pxGrid desde el menú Administration > System > Deployment.
Paso 2. Seleccione los nodos y habilite la función pxGrid.
Habilitación de los servicios pxGrid de ISE en un nodo.
Paso 3. Después de habilitar los nodos con la función pxGrid, revise el estado de los Websockets relacionados con los clientes internos conectados.
Paso 4. Navegue hasta Administration > pxGrid Services > Websocket - Observe a los clientes que apuntan a los servicios ISE directamente a través de la dirección IP 127.0.0.1.
Websockets internos de ISE.
Paso 5. Navegue por el menú, Administración > Servicios pxGrid > Configuración y seleccione la opción Aprobar automáticamente nuevas cuentas basadas en certificados. Este paso es opcional, sin embargo, para la conexión pxGrid, se recomienda habilitar esta casilla de verificación. Puede aceptar el FMC como suscriptor manualmente después de.
Habilitación de la aprobación automática para cuentas basadas en certificados pxGrid.
Paso 6. Revise los certificados relacionados con la funcionalidad pxGrid de su entorno en Administration > System > System Certificates. Se recomienda que tenga certificados pxGrid homogéneos en todos los nodos de su implementación firmados por la misma autoridad de certificación (CA) raíz. En este ejemplo, se generan los certificados ISE internos y la CA raíz corresponde al nodo PAN.
Diagrama de certificados internos en ISE.
Nota: Para obtener más información sobre la estructura interna de los certificados generados en ISE, consulte Comprensión de los servicios de autoridad de certificación interna de ISE.
Certificados PxGrid en una implementación distribuida.
Paso 7. Verifique el estado de los certificados de pxGrid. En el menú anterior, seleccione la casilla de verificación del certificado pxGrid del nodo y, a continuación, seleccione la opción View. La salida es similar a la que se muestra en los certificados pxGrid.
Verificación del certificado pxGrid.
Preparación del CSP para la integración
Paso 1. Confirme que la hora interna del CSP está actualizada por nacceda a System > Configuration > Time.
Verificación de la actualización del CSP.
Si la hora de FMC no se actualiza, asegúrese de que el NTP esté configurado correctamente y en sincronización. NTP se puede configurar en System > Configuration > Time > + Add.
Sincronización horaria en FMC.
Paso 2. Navegue hasta System > Configuration > Management Interface > Shared Settings y verifique que el campo Primary DNS Server contenga una IP de servidor DNS válida.
Configuración de DNS en FMC.
Paso 3. Confirme que el nombre de host de FMC está configurado. Navegue hasta System > Configuration > Management Interface > Shared Settings y verifique que el campo Hostname contenga el nombre de host de FMC. Verifique este paso mientras revisa el paso anterior de esta sección.
Configuración de la conexión pxGrid entre ISE y FMC
Paso 1. Vaya al menú Administration > pxGrid Services > Client Management > Certificates. En la primera opción, seleccione I want to Generate a single certificate (sin una solicitud de firma de certificado).
Paso 2. En la sección Common Name (CN), introduzca el FQDN del CSP en el que ISE emite un certificado y proporcione una descripción.
Paso 3. En la sección de Nombre alternativo del sujeto (SAN), introduzca el FQDN y la dirección IP del FMC para la conexión.
Paso 4. En la parte inferior de Certificate Download Format, seleccione el menú desplegable y elija Certificate in Privacy Enhanced Electronic Mail (PEM) format. Introduzca el formato PEM PKCSS (incluida la cadena de certificados).
Paso 5. Introduzca y almacene una contraseña en Contraseña del certificado (esta contraseña se utiliza más adelante en el FMC). Confirme la contraseña y seleccione Create.
Ejemplo de generación de certificados de pxGrid.
Paso 6. Se descarga un archivo zip en el equipo. Descomprima el archivo y confirme que tiene estos archivos en su entorno:
Certificados PxGrid generados por ISE.
Paso 7. En el FMC, acceda al menú Objetos > Gestión de Objetos > PKI > Certificados Internos. Seleccione la opción Add Internal Cert.
Adición del certificado de CSP como certificado interno.
Paso 8. Asigne un nombre al certificado asignado en FMC. Examine el certificado que creó para el FMC desde ISE en la sección Certificate Data.
Paso 9. Examine el archivo con la extensión .key para rellenar el siguiente campo.
Paso 10. Seleccione la opción Cifrado e introduzca la contraseña que utilizó al crear el certificado en ISE. Guarde la configuración.
Exportación del certificado FMC generado por ISE.
Certificado de CSP.
Paso 5. Navegue al menú Objetos > Administración de Objetos > PKI > CA de Confianza, Seleccione Agregar CA de Confianza.
Agregando ISE rootCA como certificado de confianza.
Paso 11. Asigne un nombre a la autoridad de certificación.
Paso 12. Examine y seleccione la CA raíz de ISE que se descargó del archivo de ISE. Guarde su configuración.
Exportación de la CA raíz de ISE.
Paso 13. Navegue al menú Integración > Otras integraciones > Orígenes de identidad. Seleccione el Tipo de Servicio: Identity Services Engine,
Paso 14. Introduzca la dirección IP o el FQDN del nodo pxGrid, que se convertirá en el nodo principal. Repita el procedimiento para el nodo pxGrid secundario.
Paso 15. Seleccione en el menú desplegable el certificado pxGrid generado por ISE para la sección certificado de cliente pxGrid.
Paso 16. En la sección MNT Server CA y pxGrid Server CA, seleccione la raíz de ISE CA que exportó en el último paso.
Nota: La CA del servidor pxGrid corresponde a la autoridad certificadora raíz del certificado que está siendo utilizado por pxGrid en los nodos pxGrid.
La CA del servidor MNT corresponde a la autoridad certificadora del certificado que está siendo utilizado por pxGrid en los nodos MNT.
Paso 17. Opcional: Puede suscribirse al tema Session Directory y SXP desde ISE. Guarde la configuración.
Configuración de ISE como fuente de identidad en FMC.
Verificación
Validación en FMC
Paso 1. En el menú, navegue hasta Integración > Otras integraciones > Orígenes de identidad > Identity Services Engine. Antes de guardar la configuración, puede probar los parámetros del enlace pxGrid.
Comunicación correcta con PxGrid.
Primary host:
[INFO]: PXGrid v2 is enabled
[INFO]: pxgrid 2.0: account activate succeeded
[INFO]: Successful connection to ssptise02.ssptsec.mex:8910
[INFO]: Successful connection to ssptise01.ssptsec.mex:8910
[INFO]: These ISE Services are up: SessionDirectory, SXP, EndpointProfile, SecurityGroups, AdaptiveNetworkControl
[INFO]: All requested ISE Services are online.
Secondary host:
[INFO]: PXGrid v2 is enabled
[INFO]: pxgrid 2.0: account activate succeeded
[INFO]: Successful connection to ssptise02.ssptsec.mex:8910
[INFO]: Successful connection to ssptise01.ssptsec.mex:8910
[INFO]: These ISE Services are up: SessionDirectory, SXP, EndpointProfile, SecurityGroups, AdaptiveNetworkControl
[INFO]: All requested ISE Services are online.
Validación en ISE
Paso 1. Cuando el cliente FMC pxGrid se ha integrado correctamente en ISE, puede ver en el menú Administration > pxGrid Services > Client Management > Clients, los clientes con el nombre fmc se incluyen y se habilitan.
Clientes PxGrid disponibles y habilitados.
Nota: Los clientes pxGrid con el prefijo "t-fmc" son utilizados por el botón de prueba FMC.
Paso 2. Si navega al menú Administration > pxGrid Services > Diagnostics > WebSocket, verá las conexiones hacia el FMC. En este escenario, tiene FMC en alta disponibilidad (HA). Las unidades primaria y secundaria se muestran como este ejemplo:
WebSockets disponibles en ISE.
Paso 3. En la pestaña siguiente, bajo Temas, compruebe que los suscriptores de FMC se han agregado a los temas de pxGrid publicados por ISE.Por ejemplo, el tema relacionado con el grupo de seguridad donde se ven ambos CSP están suscritos y reciben información relacionada con la SGT publicada por ISE.
Temas por suscriptor de pxGrid.
Paso 4. En el menú Administration > pxGrid Services > Diagnostics > Log, se muestran eventos importantes relacionados con la comunicación pxGrid (para los nodos con la función habilitada). Éstos muestran la información relacionada con la integración.
Registros activos de PxGrid.
Troubleshoot
Resolución de problemas en FMC
Confirmar que FMC puede resolver sus propios nodos de ISE y nombres de host. Por ejemplo:
> expert
admin@sspt_fmc01_lab:~$ ping sspt_fmc01_lab
PING sspt_fmc01_lab (10.4.49.51) 56(84) bytes of data.
64 bytes from sspt_fmc01_lab (10.4.49.51): icmp_seq=1 ttl=64 time=0.029 ms
64 bytes from sspt_fmc01_lab (10.4.49.51): icmp_seq=2 ttl=64 time=0.071 ms
64 bytes from sspt_fmc01_lab (10.4.49.51): icmp_seq=3 ttl=64 time=0.055 ms
^C
--- sspt_fmc01_lab ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 27ms
admin@sspt_fmc01_lab:~$ ping ssptise01
PING ssptise01.ssptsec.mex (10.4.49.41) 56(84) bytes of data.
64 bytes from ssptise01.ssptsec.mex (10.4.49.41): icmp_seq=1 ttl=64 time=0.586 ms
64 bytes from ssptise01.ssptsec.mex (10.4.49.41): icmp_seq=2 ttl=64 time=0.646 ms
64 bytes from ssptise01.ssptsec.mex (10.4.49.41): icmp_seq=3 ttl=64 time=0.743 ms
^C
--- ssptise01.ssptsec.mex ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 82ms
rtt min/avg/max/mdev = 0.586/0.658/0.743/0.068 ms
admin@sspt_fmc01_lab:~$
admin@sspt_fmc01_lab:~$ ping ssptise02
PING ssptise02.ssptsec.mex (10.4.49.42) 56(84) bytes of data.
64 bytes from ssptise02.ssptsec.mex (10.4.49.42): icmp_seq=1 ttl=64 time=0.588 ms
64 bytes from ssptise02.ssptsec.mex (10.4.49.42): icmp_seq=2 ttl=64 time=0.609 ms
64 bytes from ssptise02.ssptsec.mex (10.4.49.42): icmp_seq=3 ttl=64 time=0.628 ms
^C
--- ssptise02.ssptsec.mex ping statistics ---
3 packets transmitted, 3 received, 0% packet loss, time 45ms
rtt min/avg/max/mdev = 0.588/0.608/0.628/0.025 ms
Asegúrese de que el proceso ADI está en funcionamiento:
> expert
sudo suadmin@sspt_fmc01_lab:~$ sudo su
root@sspt_fmc01_lab:/Volume/home/admin# pmtool status | grep adi
adi (normal) - Running 7911
Asegúrese de que la comunicación de FMC a ISE en el puerto TCP 8910 esté permitida. Desde FMC CLI puede configurar una captura de paquetes tcpudump para confirmar la comunicación bidireccional:
> expert
sudo suadmin@sspt_fmc01_lab:~$ sudo su
root@sspt_fmc01_lab:/Volume/home/admin# tcpdump -i any tcp and port 8910
22:34:08.415370 IP sspt_fmc01_lab.46248 > ssptise01.ssptsec.mex.8910: Flags [S], seq 3033526171, win 29200, options [mss 1460,sackOK,TS val 2701166399 ecr 0,nop,wscale 7], length 0
22:34:08.415840 IP ssptise01.ssptsec.mex.8910 > sspt_fmc01_lab.46248: Flags [S.], seq 3024877968, ack 3033526172, win 28960, options [mss 1460,sackOK,TS val 2268665064 ecr 2701166399,nop,wscale 7], length 0
22:34:08.415894 IP sspt_fmc01_lab.46248 > ssptise01.ssptsec.mex.8910: Flags [.], ack 1, win 229, options [nop,nop,TS val 2701166400 ecr 2268665064], length 0
[...]
Resolución de problemas en ISE
Paso 1. Verifique que la comunicación en el puerto 8910 esté operativa. Este es el puerto utilizado por los clientes pxGrid para comunicarse con los nodos pxGrid y los nodos MnT para la descarga masiva de información.
Interacción de PxGrid en el entorno de ISE.
Nota: El cliente pxGrid, (en este caso) el FMC se comunica con los nodos pxGrid y el nodo MNT secundario (SMNT) recibe la descarga masiva de información. Si se produce un fallo en el SMNT, busca la información a través del MNT primario.
En los nodos ISE donde se mantiene la comunicación con el cliente pxGrid, puede revisar si el puerto está abierto o si hay sockets conectados a ese puerto.
#show ports | include 8910
tcp: (output omitted), :::8910,
Paso 2. Hay dos pruebas disponibles en ISE que diagnostican el estado general de las implementaciones de pxGrid. Se pueden encontrar en el menú Administration > pxGrid Services > Diagnostics > Test. Las pruebas que se muestran en esta sección se realizan internamente en ISE.
Paso 3. El Prueba de supervisión de estado revisa la búsqueda del servicio pxGrid, que evalúa si un cliente puede acceder al directorio de sesión, al servicio y a los temas publicados por el controlador pxGrid.
Paso 4. Seleccione la opción Start Test y espere a que se recopilen los registros.
Prueba de supervisión de estado de PxGrid.
Paso 5. Una vez completada la prueba, seleccione la opción View Log. En este ejemplo, el contenido del registro es:
Revisión de la prueba de supervisión de estado.
22-Aug-2023 17:03:13 [INFO] ************** pxGrid Session Directory Test ***************
22-Aug-2023 17:03:13 [INFO] ----------------- Starting Connection Test -----------------
22-Aug-2023 17:03:14 [INFO] pxGrid Node: ssptise01.ssptsec.mex
22-Aug-2023 17:03:14 [INFO] wsPubsubServiceName=com.cisco.ise.pubsub
22-Aug-2023 17:03:14 [INFO] sessionTopic=/topic/com.cisco.ise.session
22-Aug-2023 17:03:14 [INFO] sessionRestBaseUrl=https://ssptise01.ssptsec.mex:8910/pxgrid/mnt/sd
22-Aug-2023 17:03:14 [INFO] wsUrl=wss://ssptise02.ssptsec.mex:8910/pxgrid/ise/pubsub
22-Aug-2023 17:03:15 [INFO] ---------------- Connection Test Completed -----------------
22-Aug-2023 17:03:15 [INFO] ------------------ Starting Download Test ------------------
22-Aug-2023 17:03:15 [INFO] Downloading sessions since 2023-08-21T17:03:15.273-06:00
22-Aug-2023 17:03:15 [INFO] Response status=200
22-Aug-2023 17:03:15 [INFO] Number of sessions read: 0
22-Aug-2023 17:03:15 [INFO] ----------------- Download Test Completed ------------------
22-Aug-2023 17:03:15 [INFO] ----------------- Starting Subscribe Test ------------------
22-Aug-2023 17:03:16 [INFO] STOMP CONNECT host=ssptise02.ssptsec.mex
22-Aug-2023 17:03:16 [INFO] STOMP SUBSCRIBE topic=/topic/com.cisco.ise.session
22-Aug-2023 17:03:16 [INFO] STOMP CONNECTED version=1.2
22-Aug-2023 17:07:16 [INFO] A total of 0 notifications were received.
22-Aug-2023 17:07:16 [INFO] STOMP RECEIPT id=77
22-Aug-2023 17:07:19 [INFO] ----------------- Subscribe Test Completed -----------------
22-Aug-2023 17:07:19 [INFO] ********** pxGrid Session Directory Test Complete **********
La prueba de sincronización de la base de datos PxGrid comprueba si la información de las bases de datos es correcta entre los nodos PAN y pxGrid y si están sincronizados.Por lo tanto, la información enviada a los suscriptores de pxGrid es precisa.
Paso 6. Seleccione la opción Iniciar Prueba y esperar a que se evalúen los resultados.
Prueba de sincronización de bases de datos PxGrid.
Paso 7. A partir de los logs generados, se obtuvo esta salida.
ssptise01.ssptsec.mex : In Sync
ssptise02.ssptsec.mex : In Sync
Primary PAN : ssptise01.ssptsec.mex
pxGrid Nodes : ssptise01.ssptsec.mex ssptise02.ssptsec.mex
Paso 8. Obtener una captura de los nodos pxGrid que apuntan hacia el nodo FMC principal.
Paso 9. Vaya al menú Operaciones > Resolución de Problemas > Herramientas de Diagnóstico > Volcado TCP.
Paso 10. Seleccione la opción para Agregar una nueva captura.
Generación de una captura de paquetes en ISE.
Paso 11. Configure los parámetros para la captura.
Paso 12. En HostName, seleccione el nodo pxGrid principal seleccionado en FMC.
Paso 13. Filtrar el tráfico con esta sintaxis ip host <FMC IP>
Paso 14. Asigne un nombre a la captura y, a continuación, vaya a Guardar y Ejecutar.
Ejemplo de configuración de captura de paquetes.
Paso 15. En otra ventana, en el menú FMC, seleccione Integración > Otras integraciones > Orígenes de identidad. Y pruebe la conexión con ISE a través del canal pxGrid. Cuando reciba el resultado de la prueba, proceda a Detener la captura en ISE.
Detención de una captura de paquetes en ISE.
Paso 16. Descargue la captura e inicie el análisis. Este escenario muestra una captura de una conexión en funcionamiento que puede servir de referencia.
Comunicación de PxGrid entre ISE y FMC.
Paso 17. En ISE, puede recopilar depuraciones relacionadas con el procesamiento de pxGrid. Desplácese por el menú hasta Operaciones > Solucionar problemas > Asistente de depuración > Configuración de registro de depuración. Seleccione el nodo de ISE correspondiente para analizar y, a continuación, Editar.
Selección de un nodo para depurar en ISE.
Paso 18. Filtre los componentes mostrados y cambie el Nivel de Log a DEBUG. Esto depura el componente pxGrid para continuar con un análisis.Guarde la configuración.
Cambio del componente pxGrid al nivel de depuración.
Reproduzca el comportamiento que desea analizar y, a continuación, proceda a analizar los registros recopilados en el archivo pxgrid-server.log. Otros registros que puede revisar en el nodo ISE para solucionar problemas son:
#show logging application | include pxgrid
ise-pxgriddirect.log
pxgrid/pxgrid-server.log
pxgrid/pxgrid-test.log
pxgrid/pxgrid_dbsync_summary.log
pxgrid/pxgrid_internal_dbsync_summary.log
pxgriddirect.log
Consejo: Para obtener más recomendaciones sobre la recopilación de registros, consulte el vídeo How to Enable Debugs on ISE 3.x Versions.
Problemas Comunes
El cliente de suscriptor de PxGrid no está aprobado en ISE
En este caso práctico, el resultado relacionado con el botón pxGrid de prueba de FMC muestra este comportamiento:
Error en la conexión PxGrid de FMC.
Primary host:
[INFO]: PXGrid v2 is enabled
[ERROR]: pxgrid 2.0: failed account activation. accountState=PENDING
[ERROR]: Failed to contact pxGrid node at '10.4.49.41': pxgrid2.0: Could not activate account
Secondary host:
[INFO]: PXGrid v2 is enabled
[ERROR]: Performing request failed with a timeout.
[ERROR]: Failed to contact pxGrid node at '10.4.19.42': Request failed with a timeout.
En ISE, observe el comportamiento en el menú, Administration > PxGrid Services > Client Management > Clients, que indica que el cliente pxGrid (FMC) está pendiente de aprobación.
Paso 1. Seleccione el botón Aprobar y confirme la selección en la siguiente ventana e intente la integración de nuevo. Esta vez la integración se realiza correctamente.
Cliente FMC en estado pendiente.
Confirmación de la aprobación del cliente pxGrid.
Si desea habilitar la aprobación automática de clientes pxGrid basados en certificados, puede aprobar o rechazar los clientes de la página anterior, ya que puede aparecer esta alarma.
Error relacionado con la aprobación de clientes pxGrid.
Cadena de certificados de PxGrid ISE incompleta
Paso 1. En este escenario, si navega al menú Administration > System > Certificate, seleccione el certificado pxGrid y seleccione la opción View. Si tiene un problema con el certificado, pueden ocurrir estos errores:
Error relacionado con la cadena de certificados incompleta.
Paso 2. Primero verifique si la CA raíz de ISE está completada en la opción View. Si falta un certificado en la jerarquía, puede emitir la rootCA de implementación de ISE completa.
Paso 3. Vaya al menú Administration > System > Certificates > Certificate Management > Certificate Signing Request (CSR) y seleccione el mismo botón en la siguiente imagen.
Generación de una CSR en ISE.
Paso 4. En este menú, seleccione Usage ISE Root CA y regenere la ISE Root CA para todos los nodos. Continúe con el botón Reemplace la cadena del certificado de CA raíz de ISE.
Configuración de la solicitud de firma de certificado.
Paso 5. Espere a que se generen los certificados en todos los nodos de la implementación.Al finalizar, ISE muestra la siguiente notificación.
Confirmación de la generación de certificados.
Paso 6. Confirme si la cadena de confianza de certificados de pxGrid se ha completado seleccionando la opción Ver en Certificados del Sistema.
Referencia
- Página de desarrollador de PxGrid Cisco
- Guía del administrador de Cisco Identity Services Engine, versión 3.2, capítulo: Cisco pxGrid
- Guía de instalación de Cisco Identity Services Engine, versión 3.2, capítulo: Referencia de puertos de Cisco ISE
- Guía de referencia CLI de Cisco Identity Services Engine, versión 2.4
Historial de revisiones
| Revisión | Fecha de publicación | Comentarios |
|---|---|---|
2.0 |
16-Jul-2026
|
Ortografía, gramática, estructura de frases actualizadas, adición de líneas a secciones/legibilidad independientes, alertas de CCW actualizadas, texto alternativo actualizado. |
1.0 |
29-Aug-2023
|
Versión inicial |
ComentariosContacte a Cisco
- Abrir un caso de soporte
- (Requiere un Cisco Service Contract)