Dépannage de l'intégration ISE

Introduction

Ce document décrit les étapes de dépannage pour l'intégration de CyberVision Center à ISE.

Présentation des meilleures pratiques

Les Méthodes Recommandées sont les étapes à prendre en compte pour garantir le bon fonctionnement de la configuration du système. Recommandations:

• Reportez-vous aux notes de version de Cisco Cyber Vision et à celles de Cisco Identity Services Engine (ISE) pour connaître les dernières fonctionnalités, directives, limites et mises en garde
• Vérifier et dépanner toute nouvelle modification de configuration après l'avoir implémentée

Diagramme de flux de haut niveau CCV-ISE

Instructions de dépannage

En répondant aux questions à venir, vous pouvez déterminer le chemin de dépannage et les composants qui nécessitent un examen plus approfondi. Répondez aux questions suivantes afin de déterminer l'état de votre installation :

• S'agit-il d'un système nouvellement installé ou d'une installation existante ?
• La solution CyberVision a-t-elle déjà été en mesure de voir l'ISE ?

Vérifiez l'état des services pxGrid à l'aide de la commande systemctl status pxgrid-agent.

• ISE exécute-t-il pxGrid en haute disponibilité ?
• Qu'est-ce qui a changé dans la configuration ou dans l'infrastructure globale juste avant que les applications ne commencent à avoir des problèmes ?

Afin de détecter un problème réseau, suivez les étapes générales de dépannage réseau :

Étape 1. Pouvez-vous envoyer une requête ping à CyberVision Center Hostname depuis ISE ?

Si vous ne parvenez pas à envoyer une requête ping, connectez-vous à ISE CLI à l'aide de Secure Shell (SSH) et Add hostname.

Étape 2. Pouvez-vous envoyer une requête ping à ISE Hostname depuis CyberVision Center ?

Si ce n'est pas le cas, essayez d'ajouter le nom d'hôte ISE dans le/data/etc/hosts fichier de Center.

Étape 3. Détecter les problèmes de certificat.


Entrez la commande openssl s_client -connect YourISEHostname:8910 à partir de CyberVision Center.

Données à collecter

Pour les problèmes réseau :

• Architecture:

Un schéma montrant ces détails entre le centre et ISE est utile :

• Règles de pare-feu
• Routes statique
• Configuration de la passerelle
• Configurations VLAN

• Journaux à collecter pour tous les problèmes ISE :

Vous pouvez commencer par collecter un fichier de diagnostic du Centre afin d'éviter de perdre des données.

Activez ensuite les journaux avancés sur le centre à l'aide de la procédure suivante :
Créez deux fichiers dans le dossier /data/etc/sbs.
Le premier fichier doit être nommé listener.conf et contenir le contenu suivant :

(Notez l'espace d'en-tête devant le niveau de journalisation.)

root@Center:~# cat /data/etc/sbs/listener.conf
configlog:
 loglevel: debug
root@Center:~#

Le deuxième fichier doit être nommé pxgrid-agent.conf et contenir le contenu suivant :

(Notez l'espace d'en-tête devant le niveau de journalisation.) 

root@Center:~# cat /data/etc/sbs/pxgrid-agent.conf
configlog:
 loglevel: debug

Une fois les deux fichiers créés, redémarrez le Centre ou redémarrez les services sbs-burrow etpxgrid-agent.

Restart service using the command: 
#systemctl restart sbs-burrow
#systemctl restart pxgrid-agent

Ensuite, collectez les journaux pxGrid (utilisez les outils de transfert de fichiers afin d'exporter les journaux à partir du Centre).

root@Center:~# journalctl -u pxgrid-agent > /data/tmp/pxgridLogs.log

Collecter des captures tcpdump pour analyser le flux de communication entre le Centre et ISE.

root@Center:~# tcpdump -i eth0 -n host CCV_IP and host ISE_IP -w /data/tmp/ccv_ise.pcap

• Activez les débogages sur ISE et collectez le bundle de support.

Pour activer les débogages sur ISE, accédez à Administration > System > Logging > Debug Log Configuration. Définissez les niveaux de journalisation suivants :

Persona	Nom du composant	Niveau de consignation	Fichier à vérifier
PAN (facultatif)	profileur	DÉBOGUER	profiler.log
PSN avec sonde pxGrid activée	profileur	DÉBOGUER	profiler.log
PxGrid	grille pxgrid	TRACE	pxgrid-server.log

Messages de journal attendus

Les journaux de débogage de l'agent pxGrid du centre indiquent l'agent en cours de démarrage, le service enregistré, la connexion STOMP (Simple Text Oriented Messaging Protocol) de Cisco Cyber Vision (CCV) avec ISE et l'envoi d'une opération de mise à jour pour un actif/composant :

Jul 11 13:05:02 center systemd[1]: Started Agent for interfacing with pxGrid.
Jul 11 13:05:02 center pxgrid-agent[5404]: pxgrid-agent Center type: standalone [caller=postgres.go:543]
Jul 11 13:05:03 center pxgrid-agent[5404]: pxgrid-agent RPC server listening to: '/tmp/pxgrid-agent.sock' [caller=main.go:119]
Jul 11 13:05:03 center pxgrid-agent[5404]: pxgrid-agent HTTP server listening to: '169.254.0.90:2027' [caller=main.go:154]
Jul 11 13:05:03 center pxgrid-agent[5404]: pxgrid-agent Request path=/pxgrid/control/AccountActivate body={} [caller=control.go:147]
Jul 11 13:05:03 center pxgrid-agent[5404]: pxgrid-agent Account activated [caller=pxgrid.go:58]
Jul 11 13:05:03 center pxgrid-agent[5404]: pxgrid-agent Request path=/pxgrid/control/ServiceRegister body={"name":"com.cisco.endpoint.asset","properties":{"assetTopic":"/topic/com.cisco.endpoint.asset","restBaseUrl":"https://Center:8910/
Jul 11 13:05:04 center pxgrid-agent[5404]: pxgrid-agent Service registered, ID: c514c790-2361-47b5-976d-4a1b5ccfa8b7 [caller=pxgrid.go:76]
Jul 11 13:05:04 center pxgrid-agent[5404]: pxgrid-agent Request path=/pxgrid/control/ServiceLookup body={"name":"com.cisco.ise.pubsub"} [caller=control.go:147]
Jul 11 13:05:05 center pxgrid-agent[5404]: pxgrid-agent Request path=/pxgrid/control/AccessSecret body={"peerNodeName":"com.cisco.ise.pubsub"} [caller=control.go:147]
Jul 11 13:05:06 center pxgrid-agent[5404]: pxgrid-agent Websocket connect url=wss://labise. aaalab .com:8910/pxgrid/ise/pubsub [caller=endpoint.go:129]
Jul 11 13:05:07 center pxgrid-agent[5404]: pxgrid-agent STOMP CONNECT host=10.48.78.177 [caller=endpoint.go:138]
Jul 11 13:06:59 center pxgrid-agent[5404]: pxgrid-agent STOMP SEND destination=/topic/com.cisco.endpoint.asset body={"opType":"UPDATE","asset":{"assetId":"01:80:c2:00:00:00","assetName":"LLDP/STP bridges Multicast 0:0:0","assetIpAddress"
Jul 11 13:10:04 center pxgrid-agent[5404]: pxgrid-agent Request path=/pxgrid/control/ServiceReregister body={"id":"c514c790-2361-47b5-976d-4a1b5ccfa8b7"} [caller=control.go:147]

Le format de message attendu après l'intégration réussie et l'attribut assetGroup est publié sans valeur, comme indiqué :

 Jan 25 11:05:49 center pxgrid-agent[1063977]: pxgrid-agent STOMP SEND destination=/topic/com.cisco.endpoint.asset body={"opType":"UPDATE","asset":{"assetId":"48:4d:7e:e0:e2:52","assetName":"Dell 10.234.176.35","assetIpAddress":"10.234.176.35","assetMacAddress":"48:4d:7e:e0:e2:52","assetVendor":"Dell Inc.","assetProductId":"","assetSerialNumber":"","assetDeviceType":"","assetSwRevision":"","assetHwRevision":"","assetProtocol":"SMB","assetCustomAttributes":[{"key":"assetSource","value":"CCV"},{"key":"assetGroup","value":""},{"key":"assetCustomName","value":"test"},{"key":"assetGroupPath","value":""}],"assetConnectedLinks":[]}} length=513 [caller=endpoint.go:149] 

Format de message attendu (assetGroup avec une valeur, comme illustré). Cela confirme que CyberVision Center envoie les attributs et si ceux-ci ne sont pas reflétés dans le côté ISE, vous devez approfondir votre enquête avec ISE.

Jan 25 11:09:28 center pxgrid-agent[1063977]: pxgrid-agent STOMP SEND destination=/topic/com.cisco.endpoint.asset body={"opType":"UPDATE","asset":{"assetId":"48:4d:7e:e0:e2:52","assetName":"Dell 10.234.176.35","assetIpAddress":"10.234.176.35","assetMacAddress":"48:4d:7e:e0:e2:52","assetVendor":"Dell Inc.","assetProductId":"","assetSerialNumber":"","assetDeviceType":"","assetSwRevision":"","assetHwRevision":"","assetProtocol":"SMB","assetCustomAttributes":[{"key":"assetSource","value":"CCV"},{"key":"assetGroup","value":"test group"},{"key":"assetCustomName","value":"test"},{"key":"assetGroupPath","value":"test group"}],"assetConnectedLinks":[]}} length=533 [caller=endpoint.go:149]

Informations connexes

• Présentation des solutions CCV et ISE
• Travaux pratiques de démonstration : Utilisation de Cisco Cyber Vision pour fournir une microsegmentation dynamique à l'aide de Cisco ISE
• Démonstration d'ISE et CCV 
• Guide d'intégration ISE
• Assistance technique de Cisco et téléchargements