Contenido

Introducción

Prerequisites

Requirements

Componentes Utilizados

Aprovisionamiento sin intervención de ISE 3.1

Instalación de ZTP ISE por datos de usuario de VM

Instalación de ZTP ISE por imagen de configuración de ISE

Limitaciones

Introducción

Este documento describe cómo instalar y configurar ISE mediante aprovisionamiento sin intervención del usuario (ZTP) en ISE 3.1.

Colaborado por Saravanan Manoharan, Ingeniero de consultoría de seguridad.

Prerequisites

Requirements

Cisco recomienda que tenga conocimientos básicos sobre estos temas:

- ISE

- Máquina virtual VMware

- Ubuntu

Componentes Utilizados

La información de este documento se basa en la versión 3.1 de Cisco ISE.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Aprovisionamiento sin intervención de ISE 3.1

Este documento explica las dos opciones de ZTP en ISE 3.1

1. Instalación de ZTP ISE por datos de usuario de VM

2. Instalación de ZTP ISE por imagen de configuración de ISE

Instalación de ZTP ISE por datos de usuario de VM

Nota: Este método sólo se admite para la instalación de ISE en máquinas virtuales. Este documento utiliza ESXi 6.7 y este método de ZTP ISE install by VM user data se soporta solamente desde ESXi 6.5 y superiores

Paso 1. Implemente una nueva VM con la plantilla OVA ISE 3.1.

Implemente una nueva VM y elija el archivo 3.1 ISE OVA

- Introduzca el nombre de la máquina virtual

- Seleccione el almacén de datos

- Seleccionar aprovisionamiento grueso

Paso 2. Agregar nuevo puerto serie en la máquina virtual

Nota: La consola serial de VM es obligatoria para ver cualquier registro de instalación de ISE.

Paso 3. Crear un archivo de configuración

Introduzca los parámetros obligatorios como nombre de host, dirección IP, máscara de red IP, gateway predeterminada IP, dominio DNS, servidor de nombre principal, servidor NTP, zona horaria del sistema, SSH, nombre de usuario y contraseña. Los parámetros opcionales como IPV6, parche, parche en funcionamiento, servicios y detalles del repositorio también se pueden configurar en el archivo.

hostname=ise31ztp

ipv4_addr=10.122.112.188

ipv4_mask=255.255.255.0

ipv4_default_gw=10.122.112.1

domain=csslab.com

primary_nameserver=10.122.111.5

secondary_nameserver=10.122.111.6

primary_ntpserver=10.122.1.1

secondary_ntpserver=10.122.112.1

timezone=America/New_York

ssh=true

username=admin

password=Iseisc00l

#Repository Configuration are optional

repository_name=csslab_FTP

repository_protocol=FTP

repository_server_name=10.122.109.4

repository_path=cisco/saramano

ers=true

openapi=true

pxgrid=true

pxGrid_Cloud=true

Paso 4. Obtener la cadena codificada para el archivo de configuración

Utilice https://www.base64encode.org/ para codificar el contenido en el paso 3.

Paso 5. Introduzca la cadena codificada en los datos de usuario de ISE VM

Copie la cadena codificada del paso 4, navegue hasta Opciones de VM > Avanzadas > Parámetros de configuración > Editar configuración > Parámetros de configuración ADD

Ingrese el nuevo parámetro guestinfo.ise.ztp y pegue la cadena de configuración ZTP codificada copiada bajo Valor

Paso 6. El encendido de la máquina virtual y ZTP de la configuración de ISE se iniciaría automáticamente

Paso 7. Verifique el acceso CLI y GUI

Una vez finalizada la configuración, inicie sesión en la CLI con las credenciales de administrador y verifique la configuración con el comando show running-configuration

Ahora, verifique el acceso a la GUI web

Instalación de ZTP ISE por imagen de configuración de ISE

Nota: La configuración del archivo ZTP by .img es compatible con la instalación de ISO/OVA en VM y dispositivos físicos

Crear una imagen de configuración ZTP de ISE

Los siguientes pasos 1-4 se realizan en un equipo ubuntu con acceso raíz

Paso 1. Copiar el script de la guía 3.1

Copie la secuencia de comandos sin ninguna modificación de la Guía ZTP de ISE 3.1

#!/bin/bash

###########################################################

# This script is used to generate ise ztp image with ztp

# configuration file.

#

# Need to pass ztp configuration file as input.

#

# Copyright (c) 2021 by Cisco Systems, Inc.

# All rights reserved.

# Note:

# To mount the image use below command

# mount ise_ztp_config.img /ztp

# To mount the image from cdrom

# mount -o ro /dev/sr1 /ztp

#############################################################

if [ -z "$1" ];then

echo "Usage:$0 <ise-ztp.conf> [out-ztp.img]"

exit 1

elif [ ! -f $1 ];then

echo "file $1 not exist"

exit 1

else

conf_file=$1

fi

if [ -z "$2" ] ;then

image=ise_config.img

else

image=$2

fi

mountpath=/tmp/ise_ztp

ztplabel=ISE-ZTP

rm -fr $mountpath

mkdir -p $mountpath

dd if=/dev/zero of=$image bs=1k count=1440 > /dev/null 2>&1

if [ `echo $?` -ne 0 ];then

echo "Image creation failed\n"

exit 1

fi

mkfs.ext4 $image -L $ztplabel -F > /dev/null 2>&1

mount -o rw,loop $image $mountpath

cp $conf_file $mountpath/ise-ztp.conf

sync

umount $mountpath

sleep 1

# Check for automount and unmount

automountpath=$(mount | grep $ztplabel | awk '{print $3}')

if [ -n "$automountpath" ];then

umount $automountpath

fi

echo "Image created $image"

Paso 2. Hacer que el script sea ejecutable

Nano se utiliza en este ejemplo para crear el script shell (create_ztp_image.sh).

Pegue el script del paso 1 en el terminal

Pulse Ctrl+X para guardar el archivo

Asigne al archivo el nombre create_ztp_image.sh

Haga que el script anterior sea ejecutable. Este script se puede ejecutar en RHEL, CentOS o Ubuntu

Paso 3. Crear un archivo de configuración ZTP de ISE

Introduzca los parámetros obligatorios como nombre de host, dirección IP, máscara de red IP, gateway predeterminada IP, dominio DNS, servidor de nombre principal, servidor NTP, zona horaria del sistema, SSH, nombre de usuario y contraseña. Los parámetros opcionales como IPV6, parche, parche en funcionamiento, servicios y detalles del repositorio también se pueden configurar en el archivo.

hostname=ise31ztp_B

ipv4_addr=10.122.111.54

ipv4_mask=255.255.255.0

ipv4_default_gw=10.122.111.1

domain=csslab.com

primary_nameserver=10.122.111.5

secondary_nameserver=10.122.111.6

primary_ntpserver=10.122.1.1

secondary_ntpserver=10.122.111.1

timezone=America/New_York

ssh=true

username=admin

password=Iseisc00l

#Repository Configuration are optional

repository_name=csslab_FTP

repository_protocol=FTP

repository_server_name=10.122.109.4

repository_path=cisco/saramano

ers=true

openapi=true

pxgrid=true

pxGrid_Cloud=true

Nota: El archivo ejecutable y el archivo de configuración ZTP anterior deben colocarse en el mismo directorio.

Paso 4. Crear un archivo de imagen de configuración ZTP

Cree el archivo de imagen de configuración ZTP mediante el comando ./create_ztp_image.sh ise-ztp.conf ise31ztp.img

Paso 5. Creación y configuración de una nueva VM ISE

Introduzca un nombre de máquina virtual, seleccione el almacenamiento

Seleccione el SO invitado

Configure los recursos de VM como la CPU, la memoria y el disco duro

Agregue dos dispositivos CD/Drive a la máquina virtual. La principal es para el archivo ISO ISE y la segunda unidad de CD/DVD para montar el archivo de imagen ZTP ISE

Agregue un nuevo puerto serial. La consola serial de VM es obligatoria para ver cualquier registro de instalación de ISE.

Después de toda la configuración necesaria, encienda la máquina virtual.

Paso 6. Montar la imagen ISO y ZTP

En la consola de VM, elija Dispositivos extraíbles y monte ISE 3.1 ISO en la unidad principal de CD/DVD

Montar el archivo de imagen ise31ztp en la segunda unidad de CD/DVD

Apague la máquina virtual y vuelva a encender la unidad. La instalación del software ISE se iniciaría. Todos los pasos subsiguientes son automáticos y no se necesita ninguna intervención manual en ningún momento.

Acceda a la consola serial de VM para ver los registros de instalación de ISE. Después de la instalación del software ISE, la configuración se activa automáticamente

Una vez completada la configuración anterior, se inicia la aplicación ISE. Verifique el comando show running-config iniciando sesión en la CLI y verifique el acceso a la GUI web

Limitaciones

1. Si falla el ping al gateway, DNS o NTP, el proceso ZTP se bloquea.

2. Si el firewall bloquea el ICMP, ZTP no puede instalar ISE.

En el método Manual puede decir "No" en el caso de una falla de ping a la puerta de enlace, DNS, NTP, etc, para que el proceso de configuración continúe. En ZTP, esta es la limitación.

3. Necesita acceso raíz en el servidor Linux para crear la imagen de configuración de ISE

4. No se admite la contraseña cifrada/hash en el archivo de par de valores de clave para la cuenta "admin". Solo admite la contraseña sencilla