Configuración del sensor de dispositivos para la creación de perfiles de ISE

Introducción

Este documento describe cómo configurar el sensor de dispositivos para que se pueda utilizar con fines de creación de perfiles en ISE.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

• protocolo Radius
• Protocolo de descubrimiento de Cisco (CDP), protocolo de descubrimiento de la capa de enlace (LLDP) y protocolo de configuración dinámica de host (DHCP)
• Cisco Identity Service Engine (ISE)
• Switch Cisco Catalyst 2960

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

• parche 3 de la versión 1.3 de Cisco ISE
• Switch Cisco Catalyst 2960s versión 15.2(2a)E1
• Cisco IP Phone 8941 versión SCCP 9-3-4-17

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Antecedentes

El sensor de dispositivos es una función de los dispositivos de acceso. Permite recopilar información sobre los terminales conectados. Principalmente, la información recolectada por el sensor de dispositivos puede provenir de estos protocolos:

• CDP
• LLDP
• DHCP

Una vez que se recopila la información, se puede encapsular en la contabilidad de RADIUS y enviarse a un servidor de generación de perfiles. En este artículo, ISE se utiliza como servidor de definición de perfiles.

Configurar

Paso 1. Configuración AAA estándar

Para configurar la Autenticación, Autorización y Contabilización (AAA), consulte estos pasos:

1. Activar AAA mediante aaa new-model y active 802.1X globalmente en el switch.

2. Configure el servidor Radius y habilite la autorización dinámica (Cambio de autorización - CoA).

3. Habilite los protocolos CDP y LLDP.

4. Agregar configuración de autenticación de puerto de switch

!
aaa new-model
!
aaa authentication dot1x default group radius
aaa authorization network default group radius
aaa accounting update newinfo
aaa accounting dot1x default start-stop group radius
!
aaa server radius dynamic-author
 client 1.1.1.1 server-key xyz
!
dot1x system-auth-control
!
lldp run
cdp run
!
interface GigabitEthernet1/0/13
 description IP_Phone_8941_connected
 switchport mode access
 switchport voice vlan 101
 authentication event fail action next-method
 authentication host-mode multi-domain
 authentication order dot1x mab
 authentication priority dot1x mab
 authentication port-control auto
 mab
 dot1x pae authenticator
 dot1x timeout tx-period 2
 spanning-tree portfast
end
!
radius-server host 1.1.1.1 auth-port 1812 acct-port 1813 key xyz
!

Paso 2. Configurar sensor de dispositivos

1. Determine qué atributos de CDP/LLDP son necesarios para perfilar el dispositivo. En el caso del teléfono IP 8941 de Cisco, puede utilizar lo siguiente:

• atributo LLDP SystemDescription
• atributo CDP CachePlatform

Para nuestro propósito, es suficiente obtener solo uno de ellos, ya que ambos proporcionan un aumento de Certainty Factory de 70, y la Certainty Factory mínima requerida para ser perfilada como Cisco-IP-Phone-8941 es 70:

2. Configure dos listas de filtros: una para CDP y otra para LLDP. Éstos indican qué atributos deben incluirse en los mensajes de contabilidad Radius. This step is optional.

3. Cree dos especificaciones de filtro para CDP y LLDP. En la especificación de filtro, puede indicar la lista de atributos que se deben incluir o excluir de los mensajes de cuentas. En el ejemplo, se incluyen estos atributos:

• device-name from CDP
• descripción del sistema de LLDP

Puede configurar atributos adicionales para que se transmitan a través de Radius a ISE si es necesario. Este paso también es opcional.

4. Añada el comando device-sensor notify all-changes. Activa actualizaciones cada vez que se agregan, modifican o eliminan TLV para la sesión actual.

5. Para enviar realmente la información recopilada a través de la funcionalidad del sensor de dispositivos, debe decirle explícitamente al switch que lo logre con el comando device-sensor accounting.

!
device-sensor filter-list cdp list cdp-list
 tlv name device-name
 tlv name platform-type
!
device-sensor filter-list lldp list lldp-list
 tlv name system-description
!
device-sensor filter-spec lldp include list lldp-list
device-sensor filter-spec cdp include list cdp-list
!
device-sensor accounting
device-sensor notify all-changes
!

Paso 3. Configuración de perfiles en ISE

1. Agregue el switch como un dispositivo de red en Administration > Network Resources > Network Devices. Utilice la clave del servidor RADIUS del switch como secreto compartido en Configuración de autenticación:

2. Active la sonda Radius en el nodo de definición de perfiles en Administration > System > Deployment > ISE node > Profiling Configuration. Si se deben utilizar todos los nodos PSN para la creación de perfiles, habilite la sonda en todos ellos:

3. Configure las reglas de autenticación de ISE. En el ejemplo, se utilizan las reglas de autenticación predeterminadas preconfiguradas en ISE:

4. Configure las reglas de autorización de ISE. Se utiliza la regla 'Profiling Cisco IP Phones', que está preconfigurada en ISE:

Verificación

Para verificar si la generación de perfiles funciona correctamente, consulte Operations > Authentications sobre ISE:

En primer lugar, el dispositivo se autenticó mediante MAB (18:49:00). Diez segundos más tarde (18:49:10) se redefinió como Cisco-Device y, finalmente, después de 42 segundos desde las primeras autenticaciones (18:49:42), recibió el perfil Cisco-IP-Phone-8941. Como resultado, ISE devuelve un perfil de autorización específico para los teléfonos IP (Cisco_IP_Phones) y una ACL descargable que permite todo el tráfico (permit ip any). Tenga en cuenta que, en esta situación, el dispositivo desconocido tiene acceso básico a la red. Se puede conseguir añadiendo una dirección Mac a la base de datos de terminales interna de ISE o permitiendo un acceso a la red muy básico para dispositivos anteriormente desconocidos.

IN Administration > Identity Management > Identities > Endpoints > tested endpoint puede ver qué tipo de atributos ha recopilado el sondeo Radius y cuáles son sus valores:

Como puede observar, el factor de certeza total calculado es 210 en este escenario. Se debe al hecho de que el terminal también coincidía con el perfil de Cisco-Device (con un factor de certeza total de 30) y el perfil de Cisco-IP-Phone (con un factor de certeza total de 40). Dado que el generador de perfiles cumple ambas condiciones en el perfil Cisco-IP-Phone-8941, el factor de certeza para este perfil es de 140 (70 para cada atributo según la política de creación de perfiles). En resumen: 30+40+70+70=210.

Troubleshoot

Paso 1. Verificar la información recopilada por CDP/LLDP

switch#sh cdp neighbors g1/0/13 detail
-------------------------
Device ID: SEP20BBC0DE06AE
Entry address(es):
Platform: Cisco IP Phone 8941 ,  Capabilities: Host Phone Two-port Mac Relay
Interface: GigabitEthernet1/0/13,  Port ID (outgoing port): Port 1
Holdtime : 178 sec
Second Port Status: Down

Version :
SCCP 9-3-4-17

advertisement version: 2
Duplex: full
Power drawn: 3.840 Watts
Power request id: 57010, Power management id: 3
Power request levels are:3840 0 0 0 0


Total cdp entries displayed : 1

switch#
switch#sh lldp neighbors g1/0/13 detail
------------------------------------------------
Chassis id: 0.0.0.0
Port id: 20BBC0DE06AE:P1
Port Description: SW Port
System Name: SEP20BBC0DE06AE.

System Description:
Cisco IP Phone 8941, V3, SCCP 9-3-4-17

Time remaining: 164 seconds
System Capabilities: B,T
Enabled Capabilities: B,T
Management Addresses - not advertised
Auto Negotiation - supported, enabled
Physical media capabilities:
    1000baseT(FD)
    100base-TX(FD)
    100base-TX(HD)
    10base-T(FD)
    10base-T(HD)
Media Attachment Unit type: 16
Vlan ID: - not advertised

MED Information:

    MED Codes:
          (NP) Network Policy, (LI) Location Identification
          (PS) Power Source Entity, (PD) Power Device
          (IN) Inventory

    H/W revision: 3
    F/W revision: 0.0.1.0
    S/W revision: SCCP 9-3-4-17
    Serial number: PUC17140FBO
    Manufacturer: Cisco Systems , Inc.
    Model: CP-8941
    Capabilities: NP, PD, IN
    Device type: Endpoint Class III
    Network Policy(Voice): VLAN 101, tagged, Layer-2 priority: 0, DSCP: 0
    Network Policy(Voice Signal): VLAN 101, tagged, Layer-2 priority: 3, DSCP: 24
    PD device, Power source: Unknown, Power Priority: Unknown, Wattage: 3.8
    Location - not advertised


Total entries displayed: 1

Si no ve ningún dato recopilado, compruebe lo siguiente:

• Verifique el estado de la sesión de autenticación en el switch (debe ser exitosa):
  
  

piborowi#show authentication sessions int g1/0/13 details
            Interface:  GigabitEthernet1/0/13
          MAC Address:  20bb.c0de.06ae
         IPv6 Address:  Unknown
         IPv4 Address:  Unknown
            User-Name:  20-BB-C0-DE-06-AE
               Status:  Authorized
               Domain:  VOICE
       Oper host mode:  multi-domain
     Oper control dir:  both
      Session timeout:  N/A
    Common Session ID:  0AE51820000002040099C216
      Acct Session ID:  0x00000016
               Handle:  0xAC0001F6
       Current Policy:  POLICY_Gi1/0/13

Local Policies:
        Service Template: DEFAULT_LINKSEC_POLICY_SHOULD_SECURE (priority 150)

Server Policies:

Method status list:
       Method           State
       dot1x            Stopped

       mab              Authc Success

• Verifique si los protocolos CDP y LLDP están habilitados. Verifique si hay algún comando no predeterminado con respecto a CDP/LLDP/Etc. y cómo puede afectar esto a la recuperación de atributos desde el punto final
  

  switch#sh running-config all | in cdp run
  cdp run
  switch#sh running-config all | in lldp run
  lldp run

• Verifique en la guía de configuración de su terminal si es compatible con CDP/LLDP/LDP, etc.

Paso 2. Compruebe la caché del sensor de dispositivos

switch#show device-sensor cache interface g1/0/13
Device: 20bb.c0de.06ae on port GigabitEthernet1/0/13
--------------------------------------------------
Proto Type:Name                       Len Value
LLDP     6:system-description          40 0C 26 43 69 73 63 6F 20 49 50 20 50 68 6F 6E 65
                                          20 38 39 34 31 2C 20 56 33 2C 20 53 43 43 50 20
                                          39 2D 33 2D 34 2D 31 37
CDP      6:platform-type               24 00 06 00 18 43 69 73 63 6F 20 49 50 20 50 68 6F
                                          6E 65 20 38 39 34 31 20
CDP     28:secondport-status-type       7 00 1C 00 07 00 02 00

Si no ve ningún dato en este campo o la información no está completa, verifique los comandos 'device-sensor', en particular las listas de filtros y las especificaciones de filtros.

Paso 3. Verifique si los atributos están presentes en Radius Accounting

Puede comprobar que mediante el debug radius en el switch o realizar la captura de paquetes entre el switch e ISE.

Depuración de RADIUS:

Mar 30 05:34:58.716: RADIUS(00000000): Send Accounting-Request to 1.1.1.1:1813 id 1646/85, len 378
Mar 30 05:34:58.716: RADIUS:  authenticator 17 DA 12 8B 17 96 E2 0F - 5D 3D EC 79 3C ED 69 20
Mar 30 05:34:58.716: RADIUS:  Vendor, Cisco       [26]  40
Mar 30 05:34:58.716: RADIUS:   Cisco AVpair       [1]   34  "cdp-tlv=                        "
Mar 30 05:34:58.716: RADIUS:  Vendor, Cisco       [26]  23
Mar 30 05:34:58.716: RADIUS:   Cisco AVpair       [1]   17  "cdp-tlv=       "
Mar 30 05:34:58.721: RADIUS:  Vendor, Cisco       [26]  59
Mar 30 05:34:58.721: RADIUS:   Cisco AVpair       [1]   53  "lldp-tlv=                                          "
Mar 30 05:34:58.721: RADIUS:  User-Name           [1]   19  "20-BB-C0-DE-06-AE"
Mar 30 05:34:58.721: RADIUS:  Vendor, Cisco       [26]  49
Mar 30 05:34:58.721: RADIUS:   Cisco AVpair       [1]   43  "audit-session-id=0AE518200000022800E2481C"
Mar 30 05:34:58.721: RADIUS:  Vendor, Cisco       [26]  19
Mar 30 05:34:58.721: RADIUS:   Cisco AVpair       [1]   13  "vlan-id=101"
Mar 30 05:34:58.721: RADIUS:  Vendor, Cisco       [26]  18
Mar 30 05:34:58.721: RADIUS:   Cisco AVpair       [1]   12  "method=mab"
Mar 30 05:34:58.721: RADIUS:  Called-Station-Id   [30]  19  "F0-29-29-49-67-0D"
Mar 30 05:34:58.721: RADIUS:  Calling-Station-Id  [31]  19  "20-BB-C0-DE-06-AE"
Mar 30 05:34:58.721: RADIUS:  NAS-IP-Address      [4]   6   10.229.20.43
Mar 30 05:34:58.721: RADIUS:  NAS-Port            [5]   6   60000
Mar 30 05:34:58.721: RADIUS:  NAS-Port-Id         [87]  23  "GigabitEthernet1/0/13"
Mar 30 05:34:58.721: RADIUS:  NAS-Port-Type       [61]  6   Ethernet                  [15]
Mar 30 05:34:58.721: RADIUS:  Acct-Session-Id     [44]  10  "00000018"
Mar 30 05:34:58.721: RADIUS:  Acct-Status-Type    [40]  6   Watchdog                  [3]
Mar 30 05:34:58.721: RADIUS:  Event-Timestamp     [55]  6   1301463298
Mar 30 05:34:58.721: RADIUS:  Acct-Input-Octets   [42]  6   538044
Mar 30 05:34:58.721: RADIUS:  Acct-Output-Octets  [43]  6   3201914
Mar 30 05:34:58.721: RADIUS:  Acct-Input-Packets  [47]  6   1686
Mar 30 05:34:58.721: RADIUS:  Acct-Output-Packets [48]  6   35354
Mar 30 05:34:58.721: RADIUS:  Acct-Delay-Time     [41]  6   0
Mar 30 05:34:58.721: RADIUS(00000000): Sending a IPv4 Radius Packet
Mar 30 05:34:58.721: RADIUS(00000000): Started 5 sec timeout
Mar 30 05:34:58.737: RADIUS: Received from id 1646/85 10.62.145.51:1813, Accounting-response, len 20

Captura de paquete:

Paso 4. Verificar depuraciones de perfiles en ISE

Si los atributos se enviaron desde el switch, es posible comprobar si se recibieron en ISE. Para verificar esto, habilite los debugs del generador de perfiles para el nodo PSN correcto (Administration > System > Logging > Debug Log Configuration > PSN > profiler > debug) y realice la autenticación del terminal una vez más.

Busque esta información:

• Depuración que indica que la sonda radius recibió atributos:
  
  

2015-11-25 19:29:53,641 DEBUG  [RADIUSParser-1-thread-1][] 
cisco.profiler.probes.radius.RadiusParser -:::- 
MSG_CODE=[3002], VALID=[true], PRRT_TIMESTAMP=[2015-11-25 19:29:53.637 +00:00], 
ATTRS=[Device IP Address=10.229.20.43, RequestLatency=7, 
NetworkDeviceName=deskswitch, User-Name=20-BB-C0-DE-06-AE, 
NAS-IP-Address=10.229.20.43, NAS-Port=60000, Called-Station-ID=F0-29-29-49-67-0D, 
Calling-Station-ID=20-BB-C0-DE-06-AE, Acct-Status-Type=Interim-Update, 
Acct-Delay-Time=0, Acct-Input-Octets=362529, Acct-Output-Octets=2871426, 
Acct-Session-Id=00000016, Acct-Input-Packets=1138, Acct-Output-Packets=32272, 
Event-Timestamp=1301458555, NAS-Port-Type=Ethernet, NAS-Port-Id=GigabitEthernet1/0/13, 
cisco-av-pair=cdp-tlv=cdpCachePlatform=Cisco IP Phone 8941 , 
cisco-av-pair=cdp-tlv=cdpUndefined28=00:02:00, 
cisco-av-pair=lldp-tlv=lldpSystemDescription=Cisco IP Phone 8941\, V3\, SCCP 9-3-4-17, 
cisco-av-pair=audit-session-id=0AE51820000002040099C216, cisco-av-pair=vlan-id=101, 
cisco-av-pair=method=mab, AcsSessionID=ise13/235487054/2511, SelectedAccessService=Default Network Access, 
Step=11004, Step=11017, Step=15049, Step=15008, Step=15004, Step=11005, NetworkDeviceGroups=Location#All Locations, 
NetworkDeviceGroups=Device Type#All Device Types, Service-Type=Call Check, CPMSessionID=0AE51820000002040099C216, 
AllowedProtocolMatchedRule=MAB, Location=Location#All Locations, Device Type=Device Type#All Device Types, ]

• Depuración que indica que los atributos se analizaron correctamente:
  
  

2015-11-25 19:29:53,642 DEBUG  [RADIUSParser-1-thread-1][] cisco.profiler.probes.radius.RadiusParser -:::- Parsed IOS Sensor 1: cdpCachePlatform=[Cisco IP Phone 8941]
2015-11-25 19:29:53,642 DEBUG  [RADIUSParser-1-thread-1][] cisco.profiler.probes.radius.RadiusParser -:::- Parsed IOS Sensor 2: cdpUndefined28=[00:02:00]
2015-11-25 19:29:53,642 DEBUG  [RADIUSParser-1-thread-1][] cisco.profiler.probes.radius.RadiusParser -:::- Parsed IOS Sensor 3: lldpSystemDescription=[Cisco IP Phone 8941, V3, SCCP 

• Depuración que indica que el reenviador procesa los atributos:
  
  

2015-11-25 19:29:53,643 DEBUG  [forwarder-6][] cisco.profiler.infrastructure.probemgr.Forwarder -:20:BB:C0:DE:06:AE:ProfilerCollection:- Endpoint Attributes:
ID:null
Name:null
MAC: 20:BB:C0:DE:06:AE
        Attribute:AAA-Server     value:ise13
        (... more attributes ...)
        Attribute:User-Name      value:20-BB-C0-DE-06-AE
        Attribute:cdpCachePlatform       value:Cisco IP Phone 8941
        Attribute:cdpUndefined28         value:00:02:00
        Attribute:lldpSystemDescription  value:Cisco IP Phone 8941, V3, SCCP 9-3-4-17
        Attribute:SkipProfiling  value:false

Paso 5. Definición de perfiles de nuevos atributos y asignación de dispositivos

Normalmente, después de agregar nuevos atributos a la colección existente para un dispositivo específico, este dispositivo/terminal se agrega a la cola de generación de perfiles para comprobar si se le debe asignar un perfil diferente basado en nuevos atributos:

2015-11-25 19:29:53,646 DEBUG  [EndpointHandlerWorker-6-31-thread-1][] 
cisco.profiler.infrastructure.profiling.ProfilerManager -:20:BB:C0:DE:06:AE:Profiling:- 
Classify hierarchy 20:BB:C0:DE:06:AE

2015-11-25 19:29:53,656 DEBUG  [EndpointHandlerWorker-6-31-thread-1][] 
cisco.profiler.infrastructure.profiling.ProfilerManager -:20:BB:C0:DE:06:AE:Profiling:- 
Policy Cisco-Device matched 20:BB:C0:DE:06:AE (certainty 30)

2015-11-25 19:29:53,659 DEBUG  [EndpointHandlerWorker-6-31-thread-1][] 
cisco.profiler.infrastructure.profiling.ProfilerManager -:20:BB:C0:DE:06:AE:Profiling:- 
Policy Cisco-IP-Phone matched 20:BB:C0:DE:06:AE (certainty 40)

2015-11-25 19:29:53,663 DEBUG  [EndpointHandlerWorker-6-31-thread-1][] 
cisco.profiler.infrastructure.profiling.ProfilerManager -:20:BB:C0:DE:06:AE:Profiling:- 
Policy Cisco-IP-Phone-8941 matched 20:BB:C0:DE:06:AE (certainty 140)

2015-11-25 19:29:53,663 DEBUG  [EndpointHandlerWorker-6-31-thread-1][] 
cisco.profiler.infrastructure.profiling.ProfilerManager -:20:BB:C0:DE:06:AE:Profiling:- 
After analyzing policy hierarchy: Endpoint: 20:BB:C0:DE:06:AE EndpointPolicy:Cisco-IP-Phone-8941 for:210 ExceptionRuleMatched:false

Información Relacionada

• https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html
• https://www.cisco.com/en/US/docs/security/ise/1.0/user_guide/ise10_prof_pol.html
• Asistencia técnica y descargas de Cisco