ISE 3.3でのエンドポイント分類のWiFi分析について
内容
概要
このドキュメントでは、WiFi Analytics for Endpoint Classificationの動作について説明します。また、設定方法、確認方法、およびトラブルシューティング方法についても説明します。
前提条件
要件
次の項目に関する知識があることが推奨されます。
- 9800ワイヤレスLANコントローラ(WLC)の設定
- Identity Services Engine（ISE）の設定
- RADIUS 認証.許可およびアカウンティング(AAA)パケットフローと用語
このドキュメントでは、RADIUSサーバとしてISEを使用してクライアントを認証するWLANがすでに動作していることを前提としています。
この機能を動作させるには、少なくとも次のものが必要です。
- 9800 WLC Cisco IOS® XEダブリン17.10.1
- Services Engine v3.3を確認します。
- 802.11ac Wave2または802.11ax(Wi-Fi 6/6E)アクセスポイント
使用するコンポーネント
このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。
- 9800 WLC Cisco IOSXE v17.12.x
- Identity Services Engine(ISE)v3.3
- Android 13デバイス
このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。
背景説明
WiFi Device Analyticsを通じて、Cisco 9800 WLCは、このデバイスに接続された一連のエンドポイントからモデル番号やOSバージョンなどの属性を学習し、ISEと共有できます。ISEは、この情報をエンドポイントの分類（プロファイリングとも呼ばれる）に使用できます。
現在、WiFi Analyticsは次のベンダーでサポートされています。
- Apple
- Intel
- サムスン
WLCは、RADIUSアカウンティングパケットを使用して、属性情報をISEサーバと共有します。
WiFi分析データフロー
RADIUS AAAフロー上のRADIUSアカウンティングパケットは、RADIUSサーバがエンドポイント認証の試行に対する応答としてRADIUS Access-Acceptパケットを送信した後にのみ送信されることに注意してください。つまり、WLCは、そのエンドポイントのRADIUSセッションがRADIUSサーバ(ISE)とネットワークアクセスデバイス(WLC)の間で確立された後にのみ、エンドポイントの属性情報を共有します。
ISEがエンドポイントの分類と許可に使用できるすべての属性を次に示します。
- デバイス情報ファームウェアのバージョン
- DEVICE_INFO_HW_MODEL
- DEVICE_INFO_MANUFACTURER_MODEL
- デバイス情報モデル名
- DEVICE_INFO_MODEL_NUM（デバイス情報モデル番号）
- デバイス情報OSバージョン
- DEVICE_INFO_VENDOR_TYPE（デバイス情報ベンダータイプ）
注:WLCは接続しているエンドポイントのタイプに応じて属性を多く送信できますが、ISEでの認可ポリシーの作成に使用できるのは、リストに示されている属性だけです。
ISEはアカウンティングパケットを受信すると、その中でこの分析データを処理して使用し、それを使用してエンドポイントプロファイル/アイデンティティグループを再割り当てできます。
WiFi Endpoint Analytics属性は、WiFi_Device_Analyticsディクショナリの下に一覧表示されます。ネットワーク管理者は、これらの属性をエンドポイント認証ポリシーおよび条件に含めることができます。
WiFi Device Analyticsディクショナリ
ISEがエンドポイント用に保存する現在の属性値が変更されると、ISEは認可変更(CoA)を開始し、更新された属性を考慮に入れてエンドポイントを評価できます。
設定
WLCでの設定
ステップ 1：デバイス分類機能をグローバルに有効にする
Configuration > Wireless > Wireless Globalの順に移動し、Device Classificationチェックボックスをオンにします。
デバイス分類の設定
ステップ 2：TLVキャッシングとRADIUSプロファイリングの有効化
Configuration > Tags and Profiles > Policyの順に移動し、RADIUSクライアントが接続しているWLANで使用されているPolicy Profileを選択します。
ワイヤレスポリシーの選択
Access Policiesをクリックし、RADIUS Profiling、HTTP TLV Caching、およびDHCP TLV Cachingオプションを確認します。前のステップで行ったアクションにより、デバイス分類のグローバル状態がEnabledステータスとして表示されるようになりました。 
RADIUSのプロファイリングとキャッシングの設定
WLC CLIにログインし、dot11 TLVアカウンティングを有効にします。
vimontes-wlc#configure terminal
vimontes-wlc(config)#wireless profile policy policy-profile-name
vimontes-wlc(config-wireless-policy)#dot11-tlv-accounting
注：このコマンドを使用する前に、ワイヤレスポリシープロファイルを無効にする必要があります。このコマンドは、Cisco IOS XE Dublin 17.10.1以降のバージョンでのみ使用できます。
ISEでの設定
ステップ 1：展開内のPSNでプロファイリングサービスを有効にする
Administration > Deploymentの順に移動し、PSNの名前をクリックします。
ISE PSNノードの選択
Policy Serviceセクションまでスクロールし、Enable Profiling Serviceチェックボックスにチェックマークを付けます。[Save] ボタンをクリックします。
プロファイラサービスの構成
ステップ 2：ISE PSNでのRADIUSプロファイリングプローブの有効化
ページの一番上までスクロールし、Profiling Configurationタブをクリックします。これにより、ISEで使用できるすべてのプロファイリングプローブが表示されます。RADIUS Probeを有効にして、Saveをクリックします。
RADIUSプロファイリングプローブの設定
ステップ 3：CoAタイプとエンドポイント属性フィルタの設定
[Administration] > [System] > [Settings] > [Profiling] の順に選択します。CoA TypeをReauthに設定し、Endpoint Attribute Filterチェックボックスがオフになっていることを確認します。
CoAタイプと属性フィルタの設定
ステップ 4：WiFi分析データ属性を使用した認証ポリシーの設定
Policy > Policy Setsメニューに移動し、ワイヤレスネットワークで使用されているPolicy Setを選択します。
ポリシーセットの選択
Authorization Policiesをクリックし、Endpoint PolicyとWiFi Device Analyticsディクショナリ属性を含むように認可条件を設定します。
許可ポリシーの設定
確認
ISE GUIで、Operations > RADIUS > Live logsの順に移動します。複数のフィールドを使用して、このウィンドウのエントリをフィルタリングし、テスト対象エンドポイントレコードを検索できます。
エンドポイントのテスト用のISEライブログ
a.最初のエンドポイント認証要求がISEに到達します。このセッションのアカウンティングパケットがこの時点でISEに到達していないため、エンドポイントプロファイルフィールドは空です。
b.エンドポイント属性を含むアカウンティングパケットが受信されたため、CoAがISEからNADに送信されます。
c. CoAの送信に成功すると、エンドポイントが再認証されます。今回は、新しく割り当てられたエンドポイントプロファイルを確認し、別の認可結果が割り当てられていることを確認できます。
注:CoAパケットには常に空のIDフィールドがありますが、エンドポイントIDは最初の認証パケットと同じです。
Change of Authorization(COA)レコードのDetails列にあるアイコンをクリックします。
CoAパケットの詳細へのアクセス
CoAの詳細情報が新しいブラウザタブに表示されます。Other Attributesセクションまでスクロールします。
CoAソースコンポーネントはプロファイラとして表示されます。CoA理由は、認証ポリシーで使用されるエンドポイントIDグループ、ポリシー、論理プロファイルの変更として表示されます。
CoAのトリガーコンポーネントと理由
Context Visibility > Endpoints > Authenticationタブに移動します。このタブで、フィルタを使用してテスト用エンドポイントを検索します。
エンドポイントのMACアドレスをクリックして、エンドポイント属性にアクセスします。
コンテキストの可視性のエンドポイント
このアクションは、ISEがこのエンドポイントに関して保存しているすべての情報を表示します。Attributesセクションをクリックし、Other Attributesを選択します。
コンテキストの可視性に関するその他の属性選択のエンドポイント
WiFi_Device_Analyticsディクショナリ属性が見つかるまで下にスクロールします。このセクションでこれらの属性を見つけることは、ISEがアカウンティングパケットを通じてそれらを正常に受信し、エンドポイント分類に使用できることを意味します。
コンテキストの可視性に関するWiFi分析属性
参考として、Windows 10とiPhoneの属性の例を次に示します。
Windows 10エンドポイント属性の例
iPhoneエンドポイント属性の例
トラブルシュート
ステップ 1：アカウンティングパケットがISEに到達する
WLC CLIで、DOT11 TLVアカウンティング、DHCP TLVキャッシングおよびHTTP TLVキャッシングがポリシープロファイル設定で有効になっていることを確認します。
vimontes-wlc#show running-config | section wireless profile policy policy-profile-name
wireless profile policy policy-profile-name
aaa-override
accounting-list AAA-LIST
dhcp-tlv-caching
dot11-tlv-accounting
http-tlv-caching
radius-profiling
no shutdown
エンドポイントの接続中にWLCまたはISEエンドでパケットキャプチャを収集します。収集したファイルを分析するには、Wiresharkなどの既知のパケット分析ツールを使用できます。
RADIUSアカウンティングパケット（エンドポイントのMACアドレスをテストする）とコールステーションID（エンドポイントのMACアドレスをテストする）でフィルタリングします。たとえば、次のフィルタを使用できます。
radius.code == 4 && radius.Calling_Station_Id == "xx-xx-xx-xx-xx-xx"
見つかったら、Cisco-AVPairフィールドを展開して、アカウンティングパケット内のWiFi分析データを見つけます。
アカウンティングパケット内のエンドポイントTLV属性
ステップ 2：ISEがエンドポイント属性を使用してアカウンティングパケットを解析
ISE側で、これらのコンポーネントをDEBUGレベルに設定して、その後にWLCから送信されたRADIUSアカウンティングパケットがISEに到達し、正しく処理されるようにすることができます。
その後、ISEサポートバンドルを収集してログファイルを収集できます。サポートバンドルの収集方法の詳細については、「関連情報」のセクションを参照してください。
トラブルシューティングのためにデバッグするコンポーネント
注：コンポーネントは、エンドポイントを認証するPSNでのみデバッグレベルに有効化されます。
iseLocalStore.logで、Accounting-Startメッセージがログに記録されます。コンポーネントをDEBUGレベルに有効にする必要はありません。ここで、ISEはWiFi Analytics属性を含む着信アカウンティングパケットを確認する必要があります。
2023-09-27 18:19:23.600 +00:00 0000035538 3000 NOTICE Radius-Accounting: RADIUS Accounting start request, ConfigVersionId=1493,
Device IP Address=172.16.5.169, UserName=bob, NetworkDeviceName=lab-wlc, User-Name=bob, NAS-IP-Address=172.16.5.169, NAS-Port=260613,
Framed-IP-Address=172.16.5.76, Class=CACS:A90510AC0000005BD7DDDAA7:iselab/484624451/303, Called-Station-ID=00-1e-f6-5c-16-ff,
Calling-Station-ID=0a-5a-f0-b3-b5-9c, NAS-Identifier=vimontes-wlc, Acct-Status-Type=Start, Acct-Delay-Time=0, Acct-Session-Id=00000018,
Acct-Authentic=Remote, Event-Timestamp=1695838756, NAS-Port-Type=Wireless - IEEE 802.11, cisco-av-pair=dc-profile-name=Samsung Galaxy S22+,
cisco-av-pair=dc-device-name=Victor-s-S22, cisco-av-pair=dc-device-class-tag=Samsung Galaxy S22+, cisco-av-pair=dc-certainty-metric=40,
cisco-av-pair=64:63:2d:6f:70:61:71:75:65:3d:01:00:00:00:00:00:00:00:00:00:00:00, cisco-av-pair=dc-protocol-map=1025, cisco-av-pair=dhcp-option=host-name=Victor-s-S22,
cisco-av-pair=dhcp-option=dhcp-class-identifier=android-dhcp-13, cisco-av-pair=dhcp-option=dhcp-parameter-request-list=1\, 3\, 6\, 15\, 26\, 28\, 51\, 58\, 59\, 43\, 114\, 108,
cisco-av-pair=dot11-device-info=DEVICE_INFO_MODEL_NUM=Samsung Galaxy S22+, cisco-av-pair=dot11-device-info=DEVICE_INFO_FIRMWARE_VERSION=WH6,
cisco-av-pair=dot11-device-info=DEVICE_INFO_SALES_CODE=MXO, cisco-av-pair=dot11-device-info=DEVICE_INFO_DEVICE_FORM=1,
cisco-av-pair=dot11-device-info=DEVICE_INFO_OS_VERSION=Android 13, cisco-av-pair=dot11-device-info=DEVICE_INFO_COUNTRY_CODE=Unknown,
cisco-av-pair=dot11-device-info=DEVICE_INFO_VENDOR_TYPE=2, cisco-av-pair=audit-session-id=A90510AC0000005BD7DDDAA7, cisco-av-pair=vlan-id=2606, cisco-av-pair=method=dot1x,
cisco-av-pair=cisco-wlan-ssid=VIcSSID, cisco-av-pair=wlan-profile-name=ISE-AAA, Airespace-Wlan-Id=1, AcsSessionID=iselab/484624451/304, SelectedAccessService=Default Network Access,
RequestLatency=15, Step=11004, Step=11017, Step=15049, Step=15008, Step=22083, Step=11005, NetworkDeviceGroups=IPSEC#Is IPSEC Device#No, NetworkDeviceGroups=Location#All Locations,
NetworkDeviceGroups=Device Type#All Device Types, CPMSessionID=A90510AC0000005BD7DDDAA7, TotalAuthenLatency=15, ClientLatency=0, Network Device Profile=Cisco, Location=Location#All Locations,
Device Type=Device Type#All Device Types, IPSEC=IPSEC#Is IPSEC Device#No,
prrt-server.logで、ISEは受信したアカウンティングパケットのsyslogメッセージをWiFi Analytics属性を含めて解析します。CallingStationIDフィールドとCPMSessionIDフィールドを使用して、正しいセッションとエンドポイントが追跡されていることを確認します。
Radius,2023-09-27 18:19:23,586,DEBUG,0x7f50a2b67700,cntx=0000192474,sesn=iselab/484624451/304,
CPMSessionID=A90510AC0000005BD7DDDAA7,CallingStationID=0a-5a-f0-b3-b5-9c,FramedIPAddress=172.16.5.76,RADIUS PACKET::
Code=4(AccountingRequest) Identifier=39 Length=934 [1] User-Name - value: [bob] [4] NAS-IP-Address - value: [172.16.5.169] [5] NAS-Port - value: [260613] [8] Framed-IP-Address - value: [172.16.5.76] [25] Class - value: [****] [30] Called-Station-ID - value: [00-1e-f6-5c-16-ff] [31] Calling-Station-ID - value: [0a-5a-f0-b3-b5-9c] [32] NAS-Identifier - value: [vimontes-wlc] [40] Acct-Status-Type - value: [Start] [41] Acct-Delay-Time - value: [0] [44] Acct-Session-Id - value: [00000018] [45] Acct-Authentic - value: [Remote] [55] Event-Timestamp - value: [1695838756] [61] NAS-Port-Type - value: [Wireless - IEEE 802.11] [26] cisco-av-pair - value: [dc-profile-name=Samsung Galaxy S22+] [26] cisco-av-pair - value: [dc-device-name=Victor-s-S22] [26] cisco-av-pair - value: [dc-device-class-tag=Samsung Galaxy S22+] [26] cisco-av-pair - value: [dc-certainty-metric=40] [26] cisco-av-pair - value: [dc-opaque=<01><00><00><00><00><00><00><00><00><00><00><00>] [26] cisco-av-pair - value: [dc-protocol-map=1025] [26] cisco-av-pair - value: [dhcp-option=<00><0c><00><0c>Victor-s-S22] [26] cisco-av-pair - value: [dhcp-option=<00><<00><0f>android-dhcp-13] [26] cisco-av-pair - value: [dhcp-option=<00>7<00><0c><01><03><06><0f><1a><1c>3:;+rl] [26] cisco-av-pair - value: [dot11-device-info=<00><00><00><13>Samsung Galaxy S22+] [26] cisco-av-pair - value: [dot11-device-info=<00><01><00><03>WH6] [26] cisco-av-pair - value: [dot11-device-info=<00><02><00><03>MXO] [26] cisco-av-pair - value: [dot11-device-info=<00><03><00><01>1] [26] cisco-av-pair - value: [dot11-device-info=<00><04><00> Android 13] [26] cisco-av-pair - value: [dot11-device-info=<00><05><00><07>Unknown] [26] cisco-av-pair - value: [dot11-device-info=<00> <00><01>2] [26] cisco-av-pair - value: [audit-session-id=A90510AC0000005BD7DDDAA7] [26] cisco-av-pair - value: [vlan-id=2606] [26] cisco-av-pair - value: [method=dot1x] [26] cisco-av-pair - value: [cisco-wlan-ssid=VIcSSID] [26] cisco-av-pair - value: [wlan-profile-name=ISE-AAA] [26] Airespace-Wlan-Id - value: [<00><00><00><01>] ,RADIUSHandler.cpp:2453
ステップ 3：エンドポイント属性が更新され、エンドポイントが分類される
このsyslogメッセージは、プロファイラコンポーネントと共有されます。Profiler.logは解析されたsyslogメッセージを受信し、エンドポイント属性を抽出します。
2023-09-27 18:19:23,601 DEBUG [SyslogListenerThread][[]] cisco.profiler.probes.radius.SyslogMonitor -:::::- Radius Packet Received 1266 2023-09-27 18:19:23,601 DEBUG [SyslogListenerThread][[]] cisco.profiler.probes.radius.SyslogDefragmenter -:::::- parseHeader inBuffer=<181>Sep 27 18:19:23 iselab
CISE_RADIUS_Accounting 0000000297 3 0 2023-09-27 18:19:23.600 +00:00 0000035538 3000 NOTICE Radius-Accounting: RADIUS Accounting start request, ConfigVersionId=1493, Device IP Address=172.16.5.169,
UserName=bob, NetworkDeviceName=lab-wlc, User-Name=bob, NAS-IP-Address=172.16.5.169, NAS-Port=260613, Framed-IP-Address=172.16.5.76, Class=CACS:A90510AC0000005BD7DDDAA7:iselab/484624451/303,
Called-Station-ID=00-1e-f6-5c-16-ff, Calling-Station-ID=0a-5a-f0-b3-b5-9c, NAS-Identifier=vimontes-wlc, Acct-Status-Type=Start, Acct-Delay-Time=0, Acct-Session-Id=00000018, Acct-Authentic=Remote,
Event-Timestamp=1695838756, NAS-Port-Type=Wireless - IEEE 802.11, cisco-av-pair=dc-profile-name=Samsung Galaxy S22+, cisco-av-pair=dc-device-name=Victor-s-S22,
cisco-av-pair=dc-device-class-tag=Samsung Galaxy S22+, cisco-av-pair=dc-certainty-metric=40,
cisco-av-pair=64:63:2d:6f:70:61:71:75:65:3d:01:00:00:00:00:00:00:00:00:00:00:00, cisco-av-pair=dc-protocol-map=1025, 2023-09-27 18:19:23,601 DEBUG [SyslogListenerThread][[]] cisco.profiler.probes.radius.SyslogMonitor -:::::- Radius Packet Received 1267 2023-09-27 18:19:23,601 DEBUG [SyslogListenerThread][[]] cisco.profiler.probes.radius.SyslogDefragmenter -:::::- parseHeader inBuffer=<181>Sep 27 18:19:23 iselab CISE_RADIUS_Accounting 0000000297 3 1
cisco-av-pair=dhcp-option=host-name=Victor-s-S22, cisco-av-pair=dhcp-option=dhcp-class-identifier=android-dhcp-13, cisco-av-pair=dhcp-option=dhcp-parameter-request-list=1\, 3\, 6\, 15\, 26\, 28\, 51\, 58\, 59\, 43\, 114\, 108,
cisco-av-pair=dot11-device-info=DEVICE_INFO_MODEL_NUM=Samsung Galaxy S22+, cisco-av-pair=dot11-device-info=DEVICE_INFO_FIRMWARE_VERSION=WH6, cisco-av-pair=dot11-device-info=DEVICE_INFO_SALES_CODE=MXO,
cisco-av-pair=dot11-device-info=DEVICE_INFO_DEVICE_FORM=1, cisco-av-pair=dot11-device-info=DEVICE_INFO_OS_VERSION=Android 13, cisco-av-pair=dot11-device-info=DEVICE_INFO_COUNTRY_CODE=Unknown,
cisco-av-pair=dot11-device-info=DEVICE_INFO_VENDOR_TYPE=2, cisco-av-pair=audit-session-id=A90510AC0000005BD7DDDAA7, cisco-av-pair=vlan-id=2606, cisco-av-pair=method=dot1x, cisco-av-pair=cisco-wlan-ssid=VIcSSID,
cisco-av-pair=wlan-profile-name=ISE-AAA, Airespace-Wlan-Id=1, AcsSessionID=iselab/484624451/304,
エンドポイントの属性情報が更新されます。
2023-09-27 18:19:23,602 DEBUG [RADIUSParser-1-thread-2][[]] cisco.profiler.probes.radius.RadiusParser -:A90510AC0000005BD7DDDAA7::::- Device Analytics data 1: DEVICE_INFO_FIRMWARE_VERSION=[WH6] 2023-09-27 18:19:23,602 DEBUG [RADIUSParser-1-thread-2][[]] cisco.profiler.probes.radius.RadiusParser -:A90510AC0000005BD7DDDAA7::::- Device Analytics data 1: DEVICE_INFO_SALES_CODE=[MXO] 2023-09-27 18:19:23,602 DEBUG [RADIUSParser-1-thread-2][[]] cisco.profiler.probes.radius.RadiusParser -:A90510AC0000005BD7DDDAA7::::- Device Analytics data 1: DEVICE_INFO_DEVICE_FORM=[1] 2023-09-27 18:19:23,602 DEBUG [RADIUSParser-1-thread-2][[]] cisco.profiler.probes.radius.RadiusParser -:A90510AC0000005BD7DDDAA7::::- Device Analytics data 1: DEVICE_INFO_OS_VERSION=[Android 13] 2023-09-27 18:19:23,602 DEBUG [RADIUSParser-1-thread-2][[]] cisco.profiler.probes.radius.RadiusParser -:A90510AC0000005BD7DDDAA7::::- Device Analytics data 1: DEVICE_INFO_COUNTRY_CODE=[Unknown] 2023-09-27 18:19:23,602 DEBUG [RADIUSParser-1-thread-2][[]] cisco.profiler.probes.radius.RadiusParser -:A90510AC0000005BD7DDDAA7::::- Device Analytics data 1: DEVICE_INFO_VENDOR_TYPE=[2]
2023-09-27 18:19:23,602 DEBUG [RADIUSParser-1-thread-2][[]] cisco.profiler.probes.radius.RadiusParser -:A90510AC0000005BD7DDDAA7::::- Endpoint: EndPoint[id=,name=] MAC: 0A:5A:F0:B3:B5:9C Attribute:AAA-Server value:iselab Attribute:Acct-Authentic value:Remote Attribute:Acct-Delay-Time value:0 Attribute:Acct-Session-Id value:00000018 Attribute:Acct-Status-Type value:Start Attribute:AcsSessionID value:iselab/484624451/304 Attribute:Airespace-Wlan-Id value:1 Attribute:BYODRegistration value:Unknown Attribute:CPMSessionID value:A90510AC0000005BD7DDDAA7 Attribute:Called-Station-ID value:00-1e-f6-5c-16-ff Attribute:Calling-Station-ID value:0a-5a-f0-b3-b5-9c Attribute:Class value:CACS:A90510AC0000005BD7DDDAA7:iselab/484624451/303 Attribute:ClientLatency value:0 Attribute:DEVICE_INFO_COUNTRY_CODE value:Unknown Attribute:DEVICE_INFO_DEVICE_FORM value:PHONE Attribute:DEVICE_INFO_FIRMWARE_VERSION value:WH6 Attribute:DEVICE_INFO_MODEL_NUM value:Samsung Galaxy S22+ Attribute:DEVICE_INFO_OS_VERSION value:Android 13 Attribute:DEVICE_INFO_SALES_CODE value:MXO Attribute:DEVICE_INFO_VENDOR_TYPE value:SAMSUNG Attribute:Device IP Address value:172.16.5.169 Attribute:Device Type value:Device Type#All Device Types Attribute:DeviceRegistrationStatus value:NotRegistered Attribute:EndPointPolicy value:Unknown Attribute:EndPointPolicyID value: Attribute:EndPointSource value:RADIUS Probe Attribute:Event-Timestamp value:1695838756 Attribute:Framed-IP-Address value:172.16.5.76 Attribute:IPSEC value:IPSEC#Is IPSEC Device#No Attribute:Location value:Location#All Locations Attribute:MACAddress value:0A:5A:F0:B3:B5:9C Attribute:MatchedPolicy value:Unknown Attribute:MatchedPolicyID value: Attribute:MessageCode value:3000 Attribute:NAS-IP-Address value:172.16.5.169 Attribute:NAS-Identifier value:vimontes-wlc Attribute:NAS-Port value:260613 Attribute:NAS-Port-Type value:Wireless - IEEE 802.11 Attribute:Network Device Profile value:Cisco Attribute:NetworkDeviceGroups value:IPSEC#Is IPSEC Device#No, Location#All Locations, Device Type#All Device Types Attribute:NetworkDeviceName value:lab-wlc Attribute:NmapSubnetScanID value:0 Attribute:OUI value:UNKNOWN Attribute:PolicyVersion value:0 Attribute:PortalUser value: Attribute:PostureApplicable value:Yes Attribute:RequestLatency value:15 Attribute:StaticAssignment value:false Attribute:StaticGroupAssignment value:false Attribute:Total Certainty Factor value:0 Attribute:TotalAuthenLatency value:15 Attribute:User-Name value:bob Attribute:cisco-av-pair value:dc-profile-name=Samsung Galaxy S22+, dc-device-name=Victor-s-S22, dc-device-class-tag=Samsung Galaxy S22+, dc-certainty-metric=40, 64:63:2d:6f:70:61:71:75:65:3d:01:00:00:00:00:00:00:00:00:00:00:00, dc-protocol-map=1025, dhcp-option=host-name=Victor-s-S22, dhcp-option=dhcp-class-identifier=android-dhcp-13, dhcp-option=dhcp-parameter-request-list=1\, 3\, 6\, 15\, 26\, 28\, 51\, 58\, 59\, 43\, 114\, 108, dot11-device-info=DEVICE_INFO_MODEL_NUM=Samsung Galaxy S22+, dot11-device-info=DEVICE_INFO_FIRMWARE_VERSION=WH6, dot11-device-info=DEVICE_INFO_SALES_CODE=MXO, dot11-device-info=DEVICE_INFO_DEVICE_FORM=1, dot11-device-info=DEVICE_INFO_OS_VERSION=Android 13, dot11-device-info=DEVICE_INFO_COUNTRY_CODE=Unknown, dot11-device-info=DEVICE_INFO_VENDOR_TYPE=2, audit-session-id=A90510AC0000005BD7DDDAA7, vlan-id=2606, method=dot1x, cisco-wlan-ssid=VIcSSID, wlan-profile-name=ISE-AAA Attribute:dhcp-class-identifier value:android-dhcp-13 Attribute:dhcp-parameter-request-list value:1, 3, 6, 15, 26, 28, 51, 58, 59, 43, 114, 108 Attribute:host-name value:Victor-s-S22 Attribute:ip value:172.16.5.76 Attribute:SkipProfiling value:false
属性の更新により、新しいエンドポイントプロファイリングイベントがトリガーされます。プロファイリングポリシーが再度評価され、新しいプロファイルが割り当てられます。
2023-09-27 18:19:24,098 DEBUG [pool-533-thread-35][[]] cisco.profiler.infrastructure.profiling.ProfilerManager -:A90510AC0000005BD7DDDAA7::62cc7a10-5d62-11ee-bf1f-b6bb1580ab0d:Profiling:- Policy Android matched 0A:5A:F0:B3:B5:9C (certainty 30) 2023-09-27 18:19:24,098 DEBUG [pool-533-thread-35][[]] cisco.profiler.infrastructure.profiling.ProfilerManager -:A90510AC0000005BD7DDDAA7::62cc7a10-5d62-11ee-bf1f-b6bb1580ab0d:Profiling:- EndPoint is profiled by Admin First: ADMINFIRST 2023-09-27 18:19:24,098 DEBUG [pool-533-thread-35][[]] cisco.profiler.infrastructure.profiling.ProfilerManager -:A90510AC0000005BD7DDDAA7::62cc7a10-5d62-11ee-bf1f-b6bb1580ab0d:Profiling:- Policy Android matched 0A:5A:F0:B3:B5:9C (certainty 30)com.cisco.profiler.infrastructure.profiling.ProfilerManager$MatchingPolicyInternal@14ec7800
ステップ 4：CoAと再認証
WiFi Device Analytics属性の変更が発生したため、ISEはエンドポイントセッションのCoAを送信する必要があります。
2023-09-27 18:19:24,103 DEBUG [pool-533-thread-35][[]] cisco.profiler.infrastructure.profiling.ProfilerManager -:A90510AC0000005BD7DDDAA7::62cc7a10-5d62-11ee-bf1f-b6bb1580ab0d:Profiling:- Endpoint 0A:5A:F0:B3:B5:9C IdentityGroup / Logical Profile Changed/ WiFi device analytics attribute changed. Issuing a Conditional CoA
2023-09-27 18:19:24,103 DEBUG [pool-533-thread-35][[]] cisco.profiler.infrastructure.profiling.ProfilerManager -:A90510AC0000005BD7DDDAA7::62cc7a10-5d62-11ee-bf1f-b6bb1580ab0d:Profiling:- ConditionalCoAEvent with Endpoint Details : EndPoint[id=62caa550-5d62-11ee-bf1f-b6bb1580ab0d,name=]
MAC: 0A:5A:F0:B3:B5:9C
Attribute:AAA-Server value:iselab
Attribute:Airespace-Wlan-Id value:1
Attribute:AllowedProtocolMatchedRule value:Default
Attribute:AuthenticationIdentityStore value:Internal Users
Attribute:AuthenticationMethod value:MSCHAPV2
Attribute:AuthenticationStatus value:AuthenticationPassed
Attribute:AuthorizationPolicyMatchedRule value:Catch Policy
Attribute:BYODRegistration value:Unknown
Attribute:CLASSIFICATION_FLOW value:none
Attribute:CacheUpdateTime value:1695838764086
Attribute:Called-Station-ID value:00-1e-f6-5c-16-ff
Attribute:Calling-Station-ID value:0a-5a-f0-b3-b5-9c
Attribute:ClientLatency value:0
Attribute:DEVICE_INFO_COUNTRY_CODE value:Unknown
Attribute:DEVICE_INFO_DEVICE_FORM value:PHONE
Attribute:DEVICE_INFO_FIRMWARE_VERSION value:WH6
Attribute:DEVICE_INFO_MODEL_NUM value:Samsung Galaxy S22+
Attribute:DEVICE_INFO_OS_VERSION value:Android 13
Attribute:DEVICE_INFO_SALES_CODE value:MXO
Attribute:DEVICE_INFO_VENDOR_TYPE value:SAMSUNG
Attribute:DTLSSupport value:Unknown
Attribute:DestinationIPAddress value:172.16.5.112
Attribute:DestinationPort value:1812<
Attribute:Device IP Address value:172.16.5.169
Attribute:Device Type value:Device Type#All Device Types
Attribute:DeviceRegistrationStatus value:NotRegistered
Attribute:DoReplicate value:false
Attribute:EnableFlag value:Enabled
Attribute:EndPointMACAddress value:0A-5A-F0-B3-B5-9C
Attribute:EndPointPolicy value:Android
Attribute:EndPointPolicyID value:ffafa000-8bff-11e6-996c-525400b48521
Attribute:EndPointProfilerServer value:iselab.vimontes.cisco.com
Attribute:EndPointSource value:RADIUS Probe
Attribute:EndPointVersion value:4
Attribute:FailureReason value:-
Attribute:FirstCollection value:1695838763963
Attribute:Framed-IP-Address value:172.16.5.76
Attribute:IPSEC value:IPSEC#Is IPSEC Device#No
Attribute:IdentityGroup value:Android
Attribute:IdentityGroupID value:ffa36b00-8bff-11e6-996c-525400b48521
Attribute:IdentityPolicyMatchedRule value:Default
Attribute:IdentitySelectionMatchedRule value:Default
Attribute:IsThirdPartyDeviceFlow value:false
Attribute:LastActivity value:1695838764083
Attribute:LastNmapScanTime value:0
Attribute:Location value:Location#All Locations
Attribute:LogicalProfile value:
Attribute:MACAddress value:0A:5A:F0:B3:B5:9C
Attribute:MatchedPolicy value:Android
Attribute:MatchedPolicyID value:ffafa000-8bff-11e6-996c-525400b48521
Attribute:MessageCode value:3000
Attribute:NAS-IP-Address value:172.16.5.169
Attribute:NAS-Identifier value:vimontes-wlc
Attribute:NAS-Port value:260613
Attribute:NAS-Port-Type value:Wireless - IEEE 802.11
Attribute:Network Device Profile value:Cisco
Attribute:NetworkDeviceGroups value:IPSEC#Is IPSEC Device#No, Location#All Locations, Device Type#All Device Types
Attribute:NetworkDeviceName value:lab-wlc
Attribute:NetworkDeviceProfileId value:b0699505-3150-4215-a80e-6753d45bf56c
Attribute:NetworkDeviceProfileName value:Cisco
Attribute:NmapScanCount value:0
Attribute:NmapSubnetScanID value:0
Attribute:OUI value:UNKNOWN
Attribute:PolicyVersion value:0
Attribute:PortalUser value:
Attribute:PostureApplicable value:Yes
Attribute:PostureAssessmentStatus value:NotApplicable
Attribute:PreviousMACAddress value:0A:5A:F0:B3:B5:9C
Attribute:RadiusFlowType value:Wireless802_1x
Attribute:Response value:{Class=CACS:A90510AC0000005BD7DDDAA7:iselab/484624451/303; EAP-Key-Name=19:12:31:7e:8a:2e:d7:9f:3b:00:3e:ab:bd:27:22:2a:30:45:b8:7a:1b:ab:b6:1a:b1:e6:21:ee:bd:b1:2c:b8:f5:a8:c9:27:27:c1:0e:95:fa:a0:b6:dc:1f:a4:e6:98:2c:89:5e:b1:5c:11:56:ea:d9:93:a8:92:b0:47:57:3a:6e; MS-MPPE-Send-Key=****; MS-MPPE-Recv-Key=****; LicenseTypes=1; }
Attribute:SSID value:3c-41-0e-31-77-80:VIcSSID
Attribute:SelectedAccessService value:Default Network Access
Attribute:SelectedAuthenticationIdentityStores value:Internal Users, All_AD_Join_Points, Guest Users
Attribute:SelectedAuthorizationProfiles value:PermitAccess
Attribute:Service-Type value:Framed
Attribute:StaticAssignment value:false
Attribute:StaticGroupAssignment value:false
Attribute:StepData value:4= Normalised Radius.RadiusFlowType, 71=All_User_ID_Stores, 72=Internal Users, 95= WiFi_Device_Analytics.DEVICE_INFO_MODEL_NUM, 96= WiFi_Device_Analytics.DEVICE_INFO_MODEL_NUM, 97= WiFi_Device_Analytics.DEVICE_INFO_MODEL_NUM, 98= WiFi_Device_Analytics.DEVICE_INFO_MODEL_NUM, 99= EndPoints.EndPointPolicy, 100= EndPoints.EndPointPolicy, 101= EndPoints.EndPointPolicy
Attribute:TLSCipher value:ECDHE-RSA-AES256-GCM-SHA384
Attribute:TLSVersion value:TLSv1.2
Attribute:TimeToProfile value:139
Attribute:Total Certainty Factor value:30
Attribute:TotalAuthenLatency value:15
Attribute:UpdateTime value:0
Attribute:User-Name value:bob
Attribute:UserType value:User
Attribute:allowEasyWiredSession value:false
Attribute:dhcp-class-identifier value:android-dhcp-13
Attribute:dhcp-parameter-request-list value:1, 3, 6, 15, 26, 28, 51, 58, 59, 43, 114, 108
Attribute:epid value:epid:293810839814635520
Attribute:host-name value:Victor-s-S22
Attribute:ip value:172.16.5.76
Attribute:undefined-186 value:00:0f:ac:04
Attribute:undefined-187 value:00:0f:ac:04
Attribute:undefined-188 value:00:0f:ac:01
Attribute:undefined-189 value:00:0f:ac:06
Attribute:SkipProfiling value:false
パケットキャプチャは、ISEがCoAをWLCに送信するのに役立ちます。また、CoAの処理後に新しいAccess-Requestパケットが受信されることも示しています。
エンドポイントプロファイリング後のRADIUS CoAパケット
エンドポイントプロファイリング後のRADIUS CoAと新しいアクセス要求
関連情報
更新履歴
| 改定 | 発行日 | コメント |
|---|---|---|
1.0 |
05-Oct-2023 |
初版 |
フィードバック