ISEでのSXPログメカニズムの理解(&N);Catalystコミュニケーション
はじめに
このドキュメントでは、ISEとCatalyst 9300スイッチ間のSecurity Group Exchange Protocol(SXP)接続を設定し、理解する方法について説明します。
前提条件
要件
SXPプロトコル(SXP)およびIdentity Services Engine(ISE)の設定に関する知識があることが推奨されます。
使用するコンポーネント
このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。
- ソフトウェアCisco IOS® XE 17.6.5以降が稼働するCisco Catalyst 9300スイッチ
Cisco ISE リリース 3.1 以降
このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。
背景説明
SXPは、TrustSecがIPからSGTへのマッピングをTrustSecデバイスに伝播するために使用するセキュリティグループタグ(SGT)交換プロトコルです。
SXPは、SGTインラインタギングをサポートしないサードパーティ製デバイスやレガシーのシスコデバイスを含むネットワークでTrustSec機能を使用できるようにするために開発されました。
SXPはピアリングプロトコルです。1つのデバイスをスピーカーとして、もう1つのデバイスをリスナーとして機能させることができます。
- SXPスピーカはIP-SGTバインディングを送信し、リスナーはこれらのバインディングを収集します。
- SXP接続では、基盤となるトランスポートプロトコルとしてTCPポート64999を使用し、メッセージの整合性と信頼性のためにMD5を使用します。
コンフィギュレーション
ネットワーク図
Traffic flow
PCはC9300Aで認証され、ISEはポリシーセットを使用してSGTを動的に割り当てます。
認証に合格すると、ポリシーで設定されているFramed-IP address RADIUS属性およびSGTと同じIPを持つバインディングが作成されます。
バインディングは、デフォルトドメインの下のすべてのSXPバインディングに伝搬されます。
C9300Bは、SXPプロトコルを介してISEからSXPマッピング情報を受信します。
スイッチの設定
スイッチをSXPリスナーとして設定し、ISEからIP-SGTマッピングを取得します。
|
cts sxpの有効化 |
ISE の設定
ステップ 1：ISEでのSXPサービスの有効化
ノードをAdministration > System > Deployment > Editの順に移動し、Policy Serviceの下でEnable SXP Serviceを選択します。
ステップ 2：SXPデバイスの追加
対応するスイッチのSXPリスナーおよびスピーカーを設定するには、Work Centers > Trustsec > SXP > SXP Devicesの順に移動します。
ピアロールがListenerのスイッチを追加し、default domainに割り当てます。
ステップ 3：SXPの設定
ISEがRADIUS認証を通じてダイナミックIP-SGTマッピングを学習するように、Add radius mappings into SXP IP SGT mapping tableにチェックマークが付いていることを確認します。
確認
ステップ 1：スイッチ上のSXP接続
|
C9300B#show cts sxp connections vrf Mgmt-vrf
0x7F128DF555E0 VRF:Mgmt-vrf、fd: 1、ピアip: 10.127.197.53 |
ステップ 2：ISE SXPの検証
Work Centers > Trustsec > SXP > SXP Devicesで、スイッチのSXPステータスがONになっていることを確認します。
ステップ 3：RADIUS アカウンティング
認証が成功した後、ISEがRADIUSアカウンティングパケットからFramed-IPアドレスのRADIUS属性を受信したことを確認します。
ステップ 4：ISE SXPマッピング
Workcenters > Trustsec > SXP > All SXP Mappingsの順に移動し、RADIUSセッションから動的に学習したIP-SGTマッピングを表示します。
学習者：
Local:ISEで静的に割り当てられたIP-SGTバインディング。
Session:RADIUSセッションから動的に学習されたIP-SGTバインディング。
注:ISEには、別のデバイスからIP-SGTバインディングを受信する機能があります。これらのバインディングは、「All SXP Mappings」の下に「Learned by SXP」として表示される場合があります。
ステップ 5：スイッチでのSXPマッピング
スイッチは、SXPプロトコルを介してISEからIP-SGTマッピングを学習しました。
|
C9300B#show cts sxp sgt-map vrf Mgmt-vrf brief C9300B#show cts role-based sgt-map vrf Mgmt-vrf all IPアドレスSGTソース IP-SGTアクティブバインディングの要約 |
トラブルシュート
このセクションでは、設定のトラブルシューティングに役立つ情報を紹介します。
ISEレポート
ISEでは、次の図に示すように、SXPバインディングおよび接続レポートを生成することもできます。
ISE でのデバッグ
デバッグレベルで設定する次の属性を持つISEサポートバンドルを収集します。
- sxp
- sgtbinding
- nsf
- nsf-session
- TrustSecの略
ユーザがISEサーバから認証されると、ISEはAccess Accept応答パケットにSGTを割り当てます。ユーザがIPアドレスを取得すると、スイッチはRadius Accounting Packetでフレーム化されたIPアドレスを送信します。
show logging application localStore/iseLocalStore.logの出力を示します。
|
2024-07-18 09:55:55.051 +05:30 0000017592 3002 NOTICE Radius-Accounting: RADIUS Accounting watchdog update, ConfigVersionId=129, Device IP Address=10.197.213.22, UserName=cisco, NetworkDevice=Name pk、User-Name=cisco、NAS-IP-Address=10.197.213.22、NAS-Port=50124、Framed-IP-Address=10.197.213.23、Class=CACS:16D5C50A00000017C425E3C6:pk3-1a/510648097/25、Called-Station-ID=C4 B2-39-ED-AB-18、Calling-Station-ID=B4-96-91-F9-56-8B、Acct-Status-Type=Interim-Update、Acct-Delay-Time=0、Acct-Input-Octets=413、Acct-Output-Octets=0、Acct-Session-Id=00000007、Acct-Authentic=Remote、Acct-Input-Packets=4、 t-Output-Packets=0、Event-Timestamp=1721277745、NAS-Port-Type=Ethernet、NAS-Port-Id=TenGigabitEthernet1/0/24、cisco-av-pair=audit-session-id=16D5C50A00000017C425E3C6、cisco-av-pair=method=dot1x、cisco-av-pair=cts:security-group-tag=0005-00、AcsSessionID = 3-1a/510648097/28、SelectedAccessService=既定のネットワークアクセス、RequestLatency=6、Step=11004、Step=11017、Step=15049、Step=15008、Step=22085、Step=11005、NetworkDeviceGroups=IPSEC#Is IPSEC Device#No, NetworkDeviceGroups=Location#All locations, NetworkDeviceGroups=Device Type#All Device Types, CPMSessionID=16D5C5 A00000017C425E3C6、TotalAuthenLatency=6、ClientLatency=0、Network Device Profile=Cisco、Location=Location#All Locations、Device Type=Device Type#All Device Types、IPSEC=IPSEC#Is IPSEC Device#No, |
show logging application ise-psc.log:
|
|
SXPノードはIP + SGTマッピングをH2DBテーブルに保存し、後でPANノードがIP + SGTマッピングを収集して、ワークセンター>Trustsec > SXP >すべてのSXPマッピングに反映します。
show logging application sxp_appserver/sxp.logの出力を示します。
|
2024-07-18 10:01:01,312 INFO [sxpservice-http-96441] cisco.ise.sxp.rest.SxpGlueRestAPI:147 - SXP-PEERFセッションバインディングの追加batch-size: 1 2024-07-18 10:01:01,344 DEBUG [SxpNotificationSerializer-Thread] cisco.cpm.sxp.engine.SxpEngine:1543 - [VPN: 'default']新しいバインディングの追加：MasterBindingIdentity [ip=10.197.213.23/32, peerSequence=10.127.197.53,10.197.2 3.22、tag=5、isLocal=true、sessionId=16D5C50A00000017C425E3C6、vn=DEFAULT_VN] |
SXPノードは、最新のIP-SGTバインディングでピアスイッチを更新します。
|
2024-07-18 10:01:01,346 DEBUG [pool-7-thread-4] opendaylight.sxp.core.service.UpdateExportTask:93 - SXP_PERF:SEND_UPDATE_BUFFER_SIZE=32 |
スイッチのデバッグ
SXPの接続とアップデートのトラブルシューティングを行うには、スイッチで次のデバッグを有効にします。
debug cts sxp conn
debug cts sxpエラー
デバッグcts sxp mdb
debug cts sxpメッセージ
スイッチがSXPスピーカISEからSGT-IPマッピングを受信しました。
これらのログを表示するには、Show loggingをチェックします。
|
7月18日04:23:04.324: CTS-SXP-INTNL:mdb_send_msg mdb_process_add_ipsgt_devid開始 |
関連情報
更新履歴
| 改定 | 発行日 | コメント |
|---|---|---|
2.0 |
20-Jun-2025
|
初版リリース |
1.0 |
24-Jul-2024
|
初版 |
フィードバック