Instalación y configuración de ISE 3.1 mediante aprovisionamiento sin intervención (ZTP)

Introducción

Este documento describe cómo instalar y configurar ISE mediante aprovisionamiento sin intervención del usuario (ZTP) en ISE 3.1.

Colaborado por Saravanan Manoharan, Ingeniero de consultoría de seguridad.

Prerequisites

Requirements

Cisco recomienda que tenga conocimientos básicos sobre estos temas:

• ISE
• Máquina virtual VMware
• Ubuntu

Componentes Utilizados

La información de este documento se basa en la versión 3.1 de Cisco ISE.

  

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Aprovisionamiento sin intervención de ISE 3.1 

Este documento explica las dos opciones de ZTP en ISE 3.1 

1. Instalación de ZTP ISE por datos de usuario de VM 
2. Instalación de ZTP ISE por imagen de configuración de ISE

Instalación de ZTP ISE por datos de usuario de VM 

Nota: Este método sólo se admite para la instalación de ISE en máquinas virtuales. Este documento utiliza ESXi 6.7 y este método de ZTP ISE install by VM user data se soporta solamente desde ESXi 6.5 y superiores

Paso 1. Implemente una nueva VM con la plantilla OVA ISE 3.1.

Implemente una nueva VM y elija el archivo 3.1 ISE OVA 

• Introduzca el nombre de la máquina virtual
• Seleccione el almacén de datos
• Seleccionar aprovisionamiento grueso

Paso 2. Agregar nuevo puerto serie en la máquina virtual

Nota: La consola serial de VM es obligatoria para ver cualquier registro de instalación de ISE.

Paso 3. Crear un archivo de configuración 

Introduzca los parámetros obligatorios como nombre de host, dirección IP, máscara de red IP, gateway predeterminada IP, dominio DNS, servidor de nombre principal, servidor NTP, zona horaria del sistema, SSH, nombre de usuario y contraseña. Los parámetros opcionales como IPV6, parche, parche en funcionamiento, servicios y detalles del repositorio también se pueden configurar en el archivo.

hostname=ise31ztp
ipv4_addr=10.122.112.188
ipv4_mask=255.255.255.0
ipv4_default_gw=10.122.112.1
domain=csslab.com
primary_nameserver=10.122.111.5
secondary_nameserver=10.122.111.6
primary_ntpserver=10.122.1.1
secondary_ntpserver=10.122.112.1
timezone=America/New_York
ssh=true
username=admin
password=Iseisc00l
#Repository Configuration are optional
repository_name=csslab_FTP
repository_protocol=FTP
repository_server_name=10.122.109.4
repository_path=cisco/saramano
ers=true
openapi=true
pxgrid=true
pxGrid_Cloud=true

Paso 4. Obtener la cadena codificada para el archivo de configuración 

Utilice https://www.base64encode.org/ para codificar el contenido en el paso 3. 

Paso 5. Introduzca la cadena codificada en los datos de usuario de ISE VM 

Copie la cadena codificada del paso 4, navegue hasta Opciones de VM > Avanzadas > Parámetros de configuración > Editar configuración > Parámetros de configuración ADD

Ingrese el nuevo parámetro guestinfo.ise.ztp y pegue la cadena de configuración ZTP codificada copiada bajo Valor

Paso 6. El encendido de la máquina virtual y ZTP de la configuración de ISE se iniciaría automáticamente

Paso 7. Verifique el acceso CLI y GUI

Una vez finalizada la configuración, inicie sesión en la CLI con las credenciales de administrador y verifique la configuración con el comando show running-configuration

Ahora, verifique el acceso a la GUI web 

Instalación de ZTP ISE por imagen de configuración de ISE

Nota: La configuración del archivo ZTP by .img es compatible con la instalación de ISO/OVA en VM y dispositivos físicos

Crear una imagen de configuración ZTP de ISE

Los siguientes pasos 1-4 se realizan en un equipo ubuntu con acceso raíz

Paso 1. Copiar el script de la guía 3.1

Copie la secuencia de comandos sin ninguna modificación de la Guía ZTP de ISE 3.1  

#!/bin/bash
###########################################################
# This script is used to generate ise ztp image with ztp
# configuration file.
#
# Need to pass ztp configuration file as input.
#
# Copyright (c) 2021 by Cisco Systems, Inc.
# All rights reserved.
# Note:
# To mount the image use below command
# mount ise_ztp_config.img /ztp
# To mount the image from cdrom
# mount -o ro /dev/sr1 /ztp
#############################################################
if [ -z "$1" ];then
echo "Usage:$0 <ise-ztp.conf> [out-ztp.img]"
exit 1
elif [ ! -f $1 ];then
echo "file $1 not exist"
exit 1
else
conf_file=$1
fi
if [ -z "$2" ] ;then
image=ise_config.img
else
image=$2
fi
mountpath=/tmp/ise_ztp
ztplabel=ISE-ZTP
rm -fr $mountpath
mkdir -p $mountpath
dd if=/dev/zero of=$image bs=1k count=1440 > /dev/null 2>&1
if [ `echo $?` -ne 0 ];then
echo "Image creation failed\n"
exit 1
fi
mkfs.ext4 $image -L $ztplabel -F > /dev/null 2>&1
mount -o rw,loop $image $mountpath
cp $conf_file $mountpath/ise-ztp.conf
sync
umount $mountpath
sleep 1
# Check for automount and unmount
automountpath=$(mount | grep $ztplabel | awk '{print $3}')
if [ -n "$automountpath" ];then
umount $automountpath
fi
echo "Image created $image"

Paso 2. Hacer que el script sea ejecutable

Nano se utiliza en este ejemplo para crear el script shell (create_ztp_image.sh).

Pegue el script del paso 1 en el terminal 

Pulse Ctrl+X para guardar el archivo 

Asigne al archivo el nombre create_ztp_image.sh

Haga que el script anterior sea ejecutable. Este script se puede ejecutar en RHEL, CentOS o Ubuntu

Paso 3. Crear un archivo de configuración ZTP de ISE

Introduzca los parámetros obligatorios como nombre de host, dirección IP, máscara de red IP, gateway predeterminada IP, dominio DNS, servidor de nombre principal, servidor NTP, zona horaria del sistema, SSH, nombre de usuario y contraseña. Los parámetros opcionales como IPV6, parche, parche en funcionamiento, servicios y detalles del repositorio también se pueden configurar en el archivo.

hostname=ise31ztp_B
ipv4_addr=10.122.111.54
ipv4_mask=255.255.255.0
ipv4_default_gw=10.122.111.1
domain=csslab.com
primary_nameserver=10.122.111.5
secondary_nameserver=10.122.111.6
primary_ntpserver=10.122.1.1
secondary_ntpserver=10.122.111.1
timezone=America/New_York
ssh=true
username=admin
password=Iseisc00l
#Repository Configuration are optional
repository_name=csslab_FTP
repository_protocol=FTP
repository_server_name=10.122.109.4
repository_path=cisco/saramano
ers=true
openapi=true
pxgrid=true
pxGrid_Cloud=true

Nota: El archivo ejecutable y el archivo de configuración ZTP anterior deben colocarse en el mismo directorio.

Paso 4. Crear un archivo de imagen de configuración ZTP 

Cree el archivo de imagen de configuración ZTP mediante el comando ./create_ztp_image.sh ise-ztp.conf ise31ztp.img

Paso 5. Creación y configuración de una nueva VM ISE

Introduzca un nombre de máquina virtual, seleccione el almacenamiento

Seleccione el SO invitado 

Configure los recursos de VM como la CPU, la memoria y el disco duro

Agregue dos dispositivos CD/Drive a la máquina virtual. La principal es para el archivo ISO ISE y la segunda unidad de CD/DVD para montar el archivo de imagen ZTP ISE

Agregue un nuevo puerto serial. La consola serial de VM es obligatoria para ver cualquier registro de instalación de ISE. 

Después de toda la configuración necesaria, encienda la máquina virtual.

Paso 6. Montar la imagen ISO y ZTP 

En la consola de VM, elija Dispositivos extraíbles y monte ISE 3.1 ISO en la unidad principal de CD/DVD 

Montar el archivo de imagen ise31ztp en la segunda unidad de CD/DVD

Apague la máquina virtual y vuelva a encender la unidad. La instalación del software ISE se iniciaría. Todos los pasos subsiguientes son automáticos y no se necesita ninguna intervención manual en ningún momento.

Acceda a la consola serial de VM para ver los registros de instalación de ISE. Después de la instalación del software ISE, la configuración se activa automáticamente

Una vez completada la configuración anterior, se inicia la aplicación ISE. Verifique el comando show running-config iniciando sesión en la CLI y verifique el acceso a la GUI web

Limitaciones

1. Si falla el ping al gateway, DNS o NTP, el proceso ZTP se bloquea.
2. Si el firewall bloquea el ICMP, ZTP no puede instalar ISE.

En el método Manual puede decir "No" en el caso de una falla de ping a la puerta de enlace, DNS, NTP, etc, para que el proceso de configuración continúe. En ZTP, esta es la limitación.

3. Necesita acceso raíz en el servidor Linux para crear la imagen de configuración de ISE 
4. No se admite la contraseña cifrada/hash en el archivo de par de valores de clave para la cuenta "admin". Solo admite la contraseña sencilla