Sommario

Introduzione

Prerequisiti

Requisiti

Componenti usati

Esempio di rete

Indirizzi IP

Configurazione iniziale

dispositivi di rete ISE

Registrazione di un'appliance ASA come dispositivo di rete

Genera PAC fuori banda (OOB) (Credenziale di accesso protetto) e scarica

Configurazione server ASDM AAA

Crea gruppo server AAA

Aggiungi server al gruppo di server

Importazione PAC scaricata da ISE

Aggiorna dati ambiente

Verifica

log ISE in tempo reale

Gruppi di sicurezza ISE

PAC ASDM

Dati di ambiente e gruppi di sicurezza ASDM

Configurazione ASDM SXP

Attiva SXP

Impostare l'indirizzo IP di origine SXP predefinito e la password SXP predefinita

Aggiungi peer SXP

Configurazione ISE SXP

Impostazione password SXP globale

Aggiungi dispositivo SXP

Verifica SXP

Verifica ISE SXP

Mapping ISE SXP

Verifica ASDM SXP

ASDM ha appreso i mapping da IP SXP a SGT

Acquisizione del pacchetto effettuata ad ISE

Introduzione

In questo documento viene descritto come configurare una connessione SXP (Security Group Exchange Protocol) tra ISE (Identity Services Engine) e ASAv (Virtual Adaptive Security Appliance).

SXP è il protocollo SGT (Security Group Tag) Exchange utilizzato da TrustSec per propagare i mapping IP-SGT ai dispositivi TrustSec. SXP è stato sviluppato per consentire alle reti, inclusi i dispositivi di terze parti o i dispositivi Cisco legacy che non supportano il tagging in linea SGT, di avere funzionalità TrustSec. SXP è un protocollo peer, un dispositivo funge da altoparlante e l'altro da listener. Il diffusore SXP è responsabile dell'invio dei binding IP-SGT e il listener è responsabile della raccolta di tali binding. La connessione SXP utilizza la porta TCP 64999 come protocollo di trasporto sottostante e MD5 per l'integrità/autenticità dei messaggi.

SXP è stato pubblicato come bozza IETF al seguente collegamento:

https://datatracker.ietf.org/doc/draft-smith-kandula-sxp/

Prerequisiti

Requisiti

Matrice di compatibilità TrustSec:

http://www.cisco.com/c/en/us/solutions/enterprise-networks/trustsec/solution-overview-listing.html

Componenti usati

ISE 2.3

ASA v 9.8.1

ASDM 7.8.1.150

Esempio di rete

Indirizzi IP

ISE: 14.36.143.223

ASAv: 14.36.143.30

Configurazione iniziale

dispositivi di rete ISE

Registrazione di un'appliance ASA come dispositivo di rete

Centri di lavoro > TrutSec > Componenti > Dispositivi di rete > Aggiungi

Genera PAC fuori banda (OOB) (Credenziale di accesso protetto) e scarica

Configurazione server ASDM AAA

Crea gruppo server AAA

Configurazione > Firewall > Identity by TrustSec > Impostazione gruppo server > Gestisci...

Gruppi di server AAA > Aggiungi

- Gruppo server AAA: <Nome gruppo>

- Abilita autorizzazione dinamica

Aggiungi server al gruppo di server

Server nel gruppo selezionato > Aggiungi

- Nome server o indirizzo IP: <ISE IP address>

- Porta di autenticazione server: 1812

- Porta accounting server: 1813

- Chiave privata server: Cisco 1023

- Password comune: Cisco 1023

Importazione PAC scaricata da ISE

Configurazione > Firewall > Identity by TrustSec > Impostazione gruppo server > Importa PAC...

- Password: Cisco 1023

Aggiorna dati ambiente

Configurazione > Firewall > Identity by TrustSec > Impostazione gruppo server > Aggiorna dati ambiente

Verifica

log ISE in tempo reale

Operazioni > RADIUS > Registri attivi

Gruppi di sicurezza ISE

Centri di lavoro > TrustSec > Componenti > Gruppi di sicurezza

PAC ASDM

Monitoraggio > Proprietà > Identità per TrustSec > PAC

Dati di ambiente e gruppi di sicurezza ASDM

Monitoraggio > Proprietà > Identità per TrustSec > Dati ambiente

Configurazione ASDM SXP

Attiva SXP

Configurazione > Firewall > Identity by TrustSec > Abilita SGT Exchange Protocol (SXP)

Impostare l'indirizzo IP di origine SXP predefinito e la password SXP predefinita

Configurazione > Firewall > Identity by TrustSec > Peer di connessione

Aggiungi peer SXP

Configurazione > Firewall > Identity by TrustSec > Peer di connessione > Aggiungi

- Indirizzo IP peer: <Indirizzo IP ISE>

Configurazione ISE SXP

Impostazione password SXP globale

Centri di lavoro > TrustSec > Impostazioni > Impostazioni SXP

- Password globale: Cisco 1023

Aggiungi dispositivo SXP

Centri di lavoro > TrustSec > SXP > Dispositivi SXP > Aggiungi

Verifica SXP

Verifica ISE SXP

Centri di lavoro > TrustSec > SXP > Dispositivi SXP

Mapping ISE SXP

Centri di lavoro > TrustSec > SXP > Tutti i mapping SXP

Verifica ASDM SXP

Monitoraggio > Proprietà > Identity by TrustSec > Connessioni SXP

ASDM ha appreso i mapping da IP SXP a SGT

Monitoraggio > Proprietà > Identità per TrustSec > Mapping IP

Acquisizione del pacchetto effettuata ad ISE