ISE에서 포스처 리스 이해

다운로드 옵션

  • PDF     (898.6 KB)
    다양한 디바이스에서 Adobe Reader로 보기
  • ePub     (686.7 KB)
    iPhone, iPad, Android, Sony Reader 또는 Windows Phone의 다양한 앱에서 보기
  • Mobi (Kindle)     (581.7 KB)
    Kindle 디바이스에서 보기 또는 다양한 디바이스의 Kindle 앱에서 보기
업데이트:2026년 8월 19일
문서 ID:222876

편견 없는 언어

본 제품에 대한 문서 세트는 편견 없는 언어를 사용하기 위해 노력합니다. 본 설명서 세트의 목적상, 편견 없는 언어는 나이, 장애, 성별, 인종 정체성, 민족 정체성, 성적 지향성, 사회 경제적 지위 및 교차성에 기초한 차별을 의미하지 않는 언어로 정의됩니다. 제품 소프트웨어의 사용자 인터페이스에서 하드코딩된 언어, RFP 설명서에 기초한 언어 또는 참조된 서드파티 제품에서 사용하는 언어로 인해 설명서에 예외가 있을 수 있습니다. 시스코에서 어떤 방식으로 포용적인 언어를 사용하고 있는지 자세히 알아보세요.

이 번역에 관하여

Cisco는 전 세계 사용자에게 다양한 언어로 지원 콘텐츠를 제공하기 위해 기계 번역 기술과 수작업 번역을 병행하여 이 문서를 번역했습니다. 아무리 품질이 높은 기계 번역이라도 전문 번역가의 번역 결과물만큼 정확하지는 않습니다. Cisco Systems, Inc.는 이 같은 번역에 대해 어떠한 책임도 지지 않으며 항상 원본 영문 문서(링크 제공됨)를 참조할 것을 권장합니다.

소개

이 문서에서는 Cisco ISE의 상태 임대 구성에 대해 설명 합니다.

사전 요구 사항

요구 사항

  • Cisco ISE의 상태 흐름에 대한 지식
  • Cisco ISE의 AAA 정책에 대한 지식

사용되는 구성 요소

이 문서의 정보는 다음 소프트웨어 및 하드웨어 버전을 기반으로 합니다.

  • Cat9300 스위치 버전 17.9.5
  • ISE(Identity Service Engine) v3.2
  • ISE Posture Module 5.1.6을 사용하는 PC Windows 10 Enterprise

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우 모든 명령의 잠재적인 영향을 미리 숙지하시기 바랍니다.

배경 정보

포스처 리스는 Cisco ISE의 기능으로, DB에서 최대 365일까지 마지막으로 알려진 컴플라이언스 상태를 저장하고 컴플라이언스를 확인하기 위해 엔드포인트에 도달하지 않습니다. 그러나 포스처 리스가 만료되면 Cisco ISE는 엔드포인트에 대한 재인증 또는 포스처 재평가를 자동으로 트리거하지 않습니다. 동일한 세션이 사용되고 있으므로 엔드포인트는 동일한 규정 준수 상태를 유지합니다. 엔드포인트가 재인증되면 포스처가 실행되고 포스처 임대 시간이 재설정됩니다.

포스처 리스는 Oracle DB에 저장되며 시간을 EPOCH 시간으로 저장하는 엔드포인트 속성입니다. 컨텍스트 가시성 및 Oracle DB에서도 동일한 사항을 검증할 수 있습니다.

Posture Expiry

포스처 리스와 함께 ISE에는 Last Known Posture Compliant State에서 구성한 구성 가능한 시간(최대 200일/4800시간/288000분)에 대해 마지막으로 알려진 컴플라이언스 상태를 캐시하는 기능이 하나 더 있습니다. 이 기능을 통해 Cisco ISE는 마지막 규정 준수 상태를 캐시할 수 있으며, 엔드포인트가 Last Known Posture Compliant State(마지막으로 알려진 포스처 규정 준수 상태) 내에서 규정준수가 되지 않을 경우 ISE는 포스처 정책에 구성된 유예 기간까지 엔드포인트를 규정준수로 표시합니다.

마지막으로 알려진 포스처 규정 준수 상태 값은 Oracle DB에 저장되며 EPOCH 시간에도 저장됩니다.

설정

Cisco ISE에서 포스처 리스를 구성하려면

1. Work Centers(작업 센터) > Posture(포스처) > Settings(설정) > Posture Lease로 이동합니다. Perform Posture Assessment __일마다 Perform Posture Assessment(포스처 평가 수행)를 확인하고 일 수(1-365일)를 구성합니다. 이 예에서는 1일로 설정됩니다.

2. Cache Last Known Posture Compliant Status(캐시 마지막 알려진 포스처 규정 준수 상태)를 선택하고 마지막 알려진 포스처 규정 준수 상태 시간(최대 200일/4800시간/288000분)을 구성합니다. 이 예에서는 2일로 구성됩니다.

Posture Lease Configuration

3. 간소화를 위해 하나의 상태 정책(Windows FW 검사)만 2분의 유예 기간으로 활성화되었습니다.

Posture Policy - Grace Period Settings

다음을 확인합니다.

엔드포인트는 처음으로 연결되며 규정을 준수합니다.

Verify Endpoint Connects and is Compliant

Compliant Status

ISE-PSC.log(Posture in DEBUG)

ise-psc.log에서 EP가 처음 연결되므로 DB에 만료 시간이 없음을 확인할 수 있습니다.

2024-11-30 22:55:08,485 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-8][[]] cisco.cpm.posture.runtime.PostureManager -:08C9C50A000000147BE04019::::- posture expriy time retrieved from DB is "" for B4-96-91-26-EB-A1
2024-11-30 22:55:08,485 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-8][[]] cisco.cpm.posture.runtime.PostureManager -:08C9C50A000000147BE04019::::- PostureExpiry value for B4-96-91-26-EB-A1 is not a number :

EP는 상태 검사를 통해 처리되며 규정을 준수합니다. EP가 규정준수가 되면 ISE는 만료 시간을 1일(1733073953816)로 하여 DB를 업데이트합니다.

2024-11-30 22:55:55,306 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-1][[]] cisco.cpm.posture.runtime.PostureManager -:08C9C50A000000147BE04019:alice:::- posture_bypass_test is null fast reconnect expiry time is1733073953816 2024-12-01T22:55:54.306+0530
2024-11-30 22:55:55,307 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-1][[]] cisco.cpm.posture.runtime.PostureManager -:08C9C50A000000147BE04019:alice:::- updating fast reconnect for end point B4:96:91:26:EB:A1 with 1 days of expiry time1733073953816 <------Updating posture lease in DB (EDF_POSTUREEXPIRY)
2024-11-30 22:55:55,307 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-1][[]] cisco.cpm.posture.runtime.PostureHandlerImpl -:08C9C50A000000147BE04019:alice:::- updated posutre lease for session 08C9C50A000000177E20CE15

또한 ISE는 유예 기간 만료 시간 1733160354306(2일)로 DB를 업데이트합니다.

2024-11-30 22:55:55,306 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-1][[]] cisco.cpm.posture.edf.PostureUdid -:08C9C50A000000147BE04019:alice:::- Starting new thread for updateGracePeriodTime
2024-11-30 22:55:55,306 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-1][[]] cisco.cpm.posture.runtime.GracePeriodManager -:08C9C50A000000147BE04019:alice:::- remove user from expiry list
2024-11-30 22:55:54,306 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-1][[]] cisco.cpm.posture.runtime.GracePeriodUtil -:08C9C50A000000147BE04019:alice:::- updating grace period for device with udid: 6d8a638f9acadd2851a6cd7eae947060a898ebc1 , maclist: [B4:96:91:26:EB:A1], <---- grace period expiry time 1733160354306 <----------- Updating last known compliance status in DB (LAST_COMP_EXPIRY)

EP를 다시 연결한 후에는 세션이 직접 불만 사항이 됩니다. 포스처 리스가 활성화되면 ISE는 DB에서 포스처 만료 시간을 검색하고 다음 규정을 준수하는 세션으로 표시합니다.

Session Becomes Compliant

2024-11-30 23:04:17,673 DEBUG [PolicyEngineEvaluationThread-5][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- Posture status in session is not compliant
2024-11-30 23:04:17,673 DEBUG [PolicyEngineEvaluationThread-5][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- fast reconnect is enabled
2024-11-30 23:04:17,677 DEBUG [PolicyEngineEvaluationThread-5][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- Querying posture expiry time by MAC B4-96-91-26-EB-A1
2024-11-30 23:04:17,679 DEBUG [PolicyEngineEvaluationThread-5][[]] cisco.cpm.posture.runtime.PostureManager -:::::- posture expriy time retrieved from DB is "1733073953816" for B4-96-91-26-EB-A1
2024-11-30 23:04:17,679 DEBUG [PolicyEngineEvaluationThread-5][[]] cisco.cpm.posture.runtime.PostureManager -:::::- posture lease expiry time 1733073953816 2024-12-01T22:55:53.816+0530 for B4-96-91-26-EB-A1
2024-11-30 23:04:17,679 DEBUG [PolicyEngineEvaluationThread-5][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- retrieved fast reconnect expiry time 1733073953816 2024-12-01T22:55:53.816+0530 for B4-96-91-26-EB-A1
2024-11-30 23:04:17,679 DEBUG [PolicyEngineEvaluationThread-5][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- B4-96-91-26-EB-A1 is within fast reconnect expiry
2024-11-30 23:04:17,680 DEBUG [PolicyEngineEvaluationThread-5][[]] cisco.cpm.posture.runtime.PosturePolicyUtil -:::::- User null belongs to groups NAC Group:NAC:IdentityGroups:Endpoint Identity Groups:Profiled:Workstation,NAC Group:NAC:IdentityGroups:Any
2024-11-30 23:04:17,680 DEBUG [PolicyEngineEvaluationThread-5][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- PostureStatusPIP for mac B4-96-91-26-EB-A1 - Attribute Session.PostureStatus value is Compliant

시나리오 1: 상태 임대 사용 안 함

1. 상태 임대를 비활성화하고 캐시 Last Known Posture Compliant Status를 활성화하여 Last Known Posture Compliant State를 2일로 설정합니다. 이 시나리오는 상태 임대가 만료되고 EP가 나중에 연결되는 경우에도 유효합니다.

Posture Lease Status

2. EP가 인증되면 포스처 리스가 활성화되지 않으므로 ISE는 포스처 확인을 수행합니다.

2024-12-01 18:39:50,901 DEBUG [PolicyEngineEvaluationThread-3][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- Posture status in session is not compliant
2024-12-01 18:39:50,901 DEBUG [PolicyEngineEvaluationThread-3][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- fast reconnect is not enabled. Posture status retrieved from LSD for B4-96-91-26-EB-A1 is Unknown
2024-12-01 18:39:50,901 DEBUG [PolicyEngineEvaluationThread-3][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- PostureStatusPIP for mac B4-96-91-26-EB-A1 - Attribute Session.PostureStatus value is Unknown

3. EP가 규정 준수가 되면 ISE는 유예 기간 만료 시간 1733231423117(2일) 내에 DB를 업데이트합니다.

2024-12-01 18:40:23,116 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-3][[]] cisco.cpm.posture.edf.PostureUdid -:08C9C50A000000227EB700E6:alice:::- Starting new thread for updateGracePeriodTime
2024-12-01 18:40:23,117 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-3][[]] cisco.cpm.posture.runtime.GracePeriodManager -:08C9C50A000000227EB700E6:alice:::- remove user from expiry list
2024-12-01 18:40:23,117 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-3][[]] cisco.cpm.posture.runtime.GracePeriodUtil -:08C9C50A000000227EB700E6:alice:::- updating grace period for device with udid: 6d8a638f9acadd2851a6cd7eae947060a898ebc1 , maclist: [B4:96:91:26:EB:A1], grace period expiry time 1733231423117 <--------------Updating last known compliance status in DB (LAST_COMP_EXPIRY)
2024-12-01 18:40:23,117 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-3][[]] cisco.cpm.posture.edf.PostureUdid -:08C9C50A000000227EB700E6:alice:::- Starting new thread for updateLastCompExpiryTime [B4:96:91:26:EB:A1], grace period expiry time 1733057867397

Status Compliant or Pending

이제 EP는 불만 사항이 됩니다. 포스처 정책에서와 같이 windows FW만 선택됩니다.

4. Windows FW를 비활성화하고 EP를 다시 연결합니다. EP는 Non-Complaint가 되지만 포스처 정책에서 2분의 유예 기간이 구성됩니다. 이로 인해 AC Posture 모듈은 유예 기간 중(In grace period)으로 상태를 표시합니다.

EP Becomes Non-Complaint

5. RADIUS 라이브 로그에서 상태 검사가 실패했더라도 EP가 불만 신고로 표시된 것을 볼 수 있습니다. 유예 기간이 만료된 후 세션이 Non-Compliant가 되었습니다.

EP Marked as Compliant

6. ise-psc.log에서 EP가 연결되는 경우를 볼 수 있습니다. 임대가 활성화되지 않았으므로 EP는 LSD를 검사하여 포스처 상태를 검색합니다.

2024-11-30 23:26:16,482 DEBUG [PolicyEngineEvaluationThread-16][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- Posture status in session is not compliant
2024-11-30 23:26:16,482 DEBUG [PolicyEngineEvaluationThread-16][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- fast reconnect is not enabled. Posture status retrieved from LSD for B4-96-91-26-EB-A1 is Unknown
2024-11-30 23:26:16,483 DEBUG [PolicyEngineEvaluationThread-16][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- PostureStatusPIP for mac B4-96-91-26-EB-A1 - Attribute Session.PostureStatus value is Unknown

7. 상태 검사가 수행되며 EP에 대해 실패합니다. 그런 다음 ISE는 DB를 검사하여 lastCompliantExpiry 값을 검색합니다. 이 값은 1733160354306(2일)입니다.

2024-11-30 23:27:19,123 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-10][[]] cisco.cpm.posture.runtime.PostureHandlerImpl -:08C9C50A000000147BE04019:alice:::- Last compliant expiry period for device with mac: 6d8a638f9acadd2851a6cd7eae947060a898ebc1 has not expired lastCompliantExpiry: 1733160354306.

8. lastCompliantExpiry가 여전히 유효하므로 2분으로 구성된 포스처 정책에 구성된 유예 기간을 추가로 확인합니다.

2024-11-30 23:27:19,123 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-10][[]] cisco.cpm.posture.runtime.PostureHandlerImpl -:08C9C50A000000147BE04019:alice:::- handleGracePeriod - calculateGracePeriod: B4-96-91-26-EB-A1.

2024-11-30 23:27:19,544 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-10][[]] cisco.cpm.posture.runtime.PostureHandlerImpl -:08C9C50A000000147BE04019:alice:::- calculateGracePeriod - matched policy: Default_Firewall_Policy_Win with grace period: 2 for mac: B4-96-91-26-EB-A1
2024-11-30 23:27:19,544 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-10][[]] cisco.cpm.posture.runtime.PostureHandlerImpl -:08C9C50A000000147BE04019:alice:::- calculateGracePeriod - grace period is: 2 for mac: B4-96-91-26-EB-A1

2024-11-30 23:27:19,546 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-10][[]] cisco.cpm.posture.runtime.GracePeriodManager -:08C9C50A000000147BE04019:alice:::- Added user with mac B4-96-91-26-EB-A1 udid 6d8a638f9acadd2851a6cd7eae947060a898ebc1 grace period list with an expiration time of 2024/11/30 23:29:19 and startTime of 2024/11/30 23:27:19 <---------------- Updating the Grace period in DB (LAST_GRACE_EXPIRY)
2024-11-30 23:27:19,546 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-10][[]] cisco.cpm.posture.runtime.PostureHandlerImpl -:08C9C50A000000147BE04019:alice:::- handleGracePeriod - device with mac: B4-96-91-26-EB-A1 - has grace period: 2 mins.
2024-11-30 23:27:19,546 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-10][[]] cisco.cpm.posture.runtime.PostureHandlerImpl -:08C9C50A000000147BE04019:alice:::- Device with session id: 08C9C50A0000001A7E3D5087, client mac: B4-96-91-26-EB-A1 - has grace period: 2. Marking posture status as compliant

9. 유예 기간이 끝나면 AC 모듈이 실패한 보고서를 ISE로 전송합니다. ISE는 DB의 유예 기간을 확인하고 만료된 유예 기간을 찾습니다. 그런 다음 세션을 불만족 세션으로 표시하고 DB에서 LastCompExpiryTime 및 GracePeriodTime을 제거합니다.

2024-11-30 23:29:23,289 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-4][[]] cisco.cpm.posture.runtime.GracePeriodManager -:08C9C50A000000177E20CE15:alice:::- value from cache 1732989439545 and db 1732989439545
2024-11-30 23:29:23,289 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-4][[]] cisco.cpm.posture.runtime.GracePeriodManager -:08C9C50A000000177E20CE15:alice:::- getGracePeriodAndUpdate - StartTime 1732989439545
2024-11-30 23:29:23,289 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-4][[]] cisco.cpm.posture.runtime.GracePeriodManager -:08C9C50A000000177E20CE15:alice:::- Calculated the GracePeriod exp in min 0
2024-11-30 23:29:23,289 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-4][[]] cisco.cpm.posture.runtime.PostureHandlerImpl -:08C9C50A000000177E20CE15:alice:::- GracePeriod value is 0 and removeUser
2024-11-30 23:29:23,289 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-4][[]] cisco.cpm.posture.edf.PostureUdid -:08C9C50A000000177E20CE15:alice:::- Starting new thread for updateGracePeriodTime
2024-11-30 23:29:23,289 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-4][[]] cisco.cpm.posture.runtime.GracePeriodManager -:08C9C50A000000177E20CE15:alice:::- remove user from expiry list
2024-11-30 23:29:23,289 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-4][[]] cisco.cpm.posture.edf.PostureUdid -:08C9C50A000000177E20CE15:alice:::- Starting new thread for updateLastCompExpiryTime
2024-11-30 23:29:23,289 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-4][[]] cisco.cpm.posture.edf.PostureUdid -:08C9C50A000000177E20CE15:alice:::- Starting new thread for updateGracePeriodTime

10. EP가 다시 연결되고 불만 상태가 되면 ISE는 포스처 정책의 유예 기간을 준수하지 않습니다. 마지막 규정 준수 기간이 이미 만료되었으며 세션이 Non-Complaint로 직접 업데이트됩니다.

2024-12-01 00:49:40,004 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-6][[]] cisco.cpm.posture.runtime.PostureHandlerImpl -:08C9C50A000000177E20CE15:alice:::- handleGracePeriod - Last compliant period expired for device with mac: B4-96-91-26-EB-A1.

시나리오 2: 캐시 마지막으로 알려진 포스처 규정 준수 상태와 함께 포스처 임대 비활성화

Disable Posture Lease

1. 이 경우 기본적으로 ISE는 lastCompliantexpiry 시간을 DB에서 365일로 업데이트합니다.

2. 포스처 임대가 활성화되지 않으므로 포스처 확인이 발생하고 ISE가 DB에서 lastCompliant 만료 시간을 365일로 업데이트하면 EP가 불만사항이 됩니다.

2024-12-01 00:58:17,191 DEBUG [PolicyEngineEvaluationThread-12][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- Posture status in session is not compliant
2024-12-01 00:58:17,191 DEBUG [PolicyEngineEvaluationThread-12][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- fast reconnect is not enabled. Posture status retrieved from LSD for B4-96-91-26-EB-A1 is Unknown
2024-12-01 00:58:17,191 DEBUG [PolicyEngineEvaluationThread-12][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- PostureStatusPIP for mac B4-96-91-26-EB-A1 - Attribute Session.PostureStatus value is Unknown

2024-12-01 00:58:56,722 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-10][[]] cisco.cpm.posture.runtime.PostureHandlerImpl -:08C9C50A000000147BE04019:alice:::- handleGracePeriod - Device is compliant. Removing device with mac: B4-96-91-26-EB-A1 from grace period map

2024-12-01 00:58:56,723 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-10][[]] cisco.cpm.posture.runtime.GracePeriodUtil -:08C9C50A000000147BE04019:alice:::- Last cache time period is not set, setting lastCompliant expiry time to 365 days
2024-12-01 00:58:56,723 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-10][[]] cisco.cpm.posture.runtime.GracePeriodUtil -:08C9C50A000000147BE04019:alice:::- updating grace period for device with udid: 6d8a638f9acadd2851a6cd7eae947060a898ebc1 , maclist: [B4:96:91:26:EB:A1], grace period expiry time 1764530936723 <------------Updating last known compliance status in DB (LAST_COMP_EXPIRY)
2024-12-01 00:58:56,723 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-10][[]] cisco.cpm.posture.edf.PostureUdid -:08C9C50A000000147BE04019:alice:::- Starting new thread for updateLastCompExpiryTime

시나리오 3: 상태 임대에 대한 라이트 세션 디렉토리 (LSD) 의 효과

1. LSD를 활성화하거나 비활성화해도 이러한 두 속성이 모두 Oracle DB에 저장되고 구축 전반에 걸쳐 복제되므로 상태 임대 및 최종 규정 준수 상태에 영향을 주지 않습니다. 반면 LSD는 제한된 EP 특성을 메모리에 저장하고 다른 PSN에 복제합니다.

LSD가 활성화된 경우

2. LSD를 활성화하려면 Administration(관리) > System(시스템) > Settings(설정) > Light Data Distribution(광원 데이터 분배) > Check RADIUS Session Directory(RADIUS 세션 디렉토리 확인)로 이동합니다.

Enable LSD

3. EP는 처음 연결 및 상태 확인을 처리 합니다. EP가 규정 준수가 되면 DB에서 포스처 임대 및 마지막으로 알려진 규정 준수 특성을 업데이트합니다.

2024-12-02 19:36:43,274 DEBUG [PolicyEngineEvaluationThread-11][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- fast reconnect is enabled
2024-12-02 19:36:43,276 WARN [PolicyEngineEvaluationThread-11][[]] cisco.cpm.posture.runtime.PostureManager -:::::- Cannot find endpoint B4-96-91-26-EB-A1 in end point DB
2024-12-02 19:36:43,276 INFO [PolicyEngineEvaluationThread-11][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- not able to find user name in posture pip for B4-96-91-26-EB-A1 08C9C50A0000002B87B7D6EC. Set posture status to unknown

2024-12-02 19:37:27,164 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-5][[]] cisco.cpm.posture.runtime.PostureManager -:08C9C50A000000227EB700E6::::- posture expriy time retrieved from DB is "" for B4-96-91-26-EB-A1



2024-12-02 19:37:29,110 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-6][[]] cisco.cpm.posture.runtime.GracePeriodUtil -:08C9C50A0000002B87B7D6EC:alice:::- updating grace period for device with udid: 6d8a638f9acadd2851a6cd7eae947060a898ebc1 , maclist: [B4:96:91:26:EB:A1], grace period expiry time 1733321249110 <--------------------Updated last known compliance status in DB



2024-12-02 19:37:29,113 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-6][[]] cisco.cpm.posture.runtime.PostureManager -:08C9C50A0000002B87B7D6EC:alice:::- posture_bypass_test is null fast reconnect expiry time is 1733234849113 2024-12-03T19:37:29.113+0530
2024-12-02 19:37:29,113 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-6][[]] cisco.cpm.posture.runtime.PostureManager -:08C9C50A0000002B87B7D6EC:alice:::- updating fast reconnect for end point B4:96:91:26:EB:A1 with 1 days of expiry time 1733234849113 <------Updated posture lease in DB

4. PSN에 분산된 LSD의 특성입니다. 다음 속성에서는 포스처 리스 상태 또는 마지막 컴플라이언스 상태를 볼 수 없습니다.

2024-12-02 19:37:32,221 DEBUG [LSD-consumers-pool-28][[]] cisco.cpm.lsd.service.SessionDirectory -:::::- Updating session sessionID:[08C9C50A0000002B87B7D6EC] status:[Authenticated] randomId:[0352b361-e72a-40e7-a0c8-b1ef779f73a5] auditSessionID:[08C9C50A0000002B87B7D6EC] accountingSessionID:[null] endpointMAC:[B4-96-91-26-EB-A1] callingStationId: [B4-96-91-26-EB-A1] endpointIP:[10.197.201.180], IPv6 : [[]], psnIP:[10.127.197.170] psnFQDN: [labpsn01.vmlab.local] deviceIP:[10.197.201.8] destinationIP:[10.127.197.170] nasIP:[10.197.201.8] nasIPv6:[null] postureStatus: [Compliant] timeStamp:[1733148451] cts:security-group-tag:[7] cts:vn:[null] proxyFlow:[null] retry count : 1

5. 이제 구축에서 다른 PSN으로 EP를 인증합니다. 인증 요청이 다른 PSN에 랜딩한 후 PSN이 DB에서 포스처 리스 시간을 검색하고 세션을 규정 준수로 직접 표시하는 것을 볼 수 있습니다. 라이브 로그에서도 동일한 내용을 확인할 수 있습니다.

2024-12-02 20:08:27,449 DEBUG [PolicyEngineEvaluationThread-5][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- Posture status in session is not compliant
2024-12-02 20:08:27,449 DEBUG [PolicyEngineEvaluationThread-5][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- fast reconnect is enabled
2024-12-02 20:08:27,468 DEBUG [PolicyEngineEvaluationThread-5][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- Querying posture expiry time by MAC B4-96-91-26-EB-A1
2024-12-02 20:08:27,471 DEBUG [PolicyEngineEvaluationThread-5][[]] cisco.cpm.posture.runtime.PostureManager -:::::- posture expriy time retrieved from DB is "1733234849113" for B4-96-91-26-EB-A1
2024-12-02 20:08:27,471 DEBUG [PolicyEngineEvaluationThread-5][[]] cisco.cpm.posture.runtime.PostureManager -:::::- posture lease expiry time 1733234849113 2024-12-03T19:37:29.113+0530 for B4-96-91-26-EB-A1
2024-12-02 20:08:27,472 DEBUG [PolicyEngineEvaluationThread-5][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- retrieved fast reconnect expiry time 1733234849113 2024-12-03T19:37:29.113+0530 for B4-96-91-26-EB-A1
2024-12-02 20:08:27,472 DEBUG [PolicyEngineEvaluationThread-5][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- B4-96-91-26-EB-A1 is within fast reconnect expiry

PSN Marks Session as Compliant

LSD가 비활성화된 경우:

1. LSD를 비활성화하려면 Administration > System > Settings > Light Data Distribution > Uncheck RADIUS Session Directory로 이동합니다.

Disable LSD

2. EP는 처음 연결 및 상태를 통해 처리. EP가 규정 준수를 완료하면 DB에서 포스처 임대 및 마지막으로 알려진 규정 준수 특성을 업데이트합니다.

2024-12-02 20:40:10,417 DEBUG [PolicyEngineEvaluationThread-9][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- fast reconnect is enabled
2024-12-02 20:40:10,423 WARN [PolicyEngineEvaluationThread-9][[]] cisco.cpm.posture.runtime.PostureManager -:::::- Cannot find endpoint B4-96-91-26-EB-A1 in end point DB
2024-12-02 20:40:10,423 INFO [PolicyEngineEvaluationThread-9][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- not able to find user name in posture pip for B4-96-91-26-EB-A1 08C9C50A0000003087F1EE30. Set posture status to unknown



2024-12-02 20:40:45,679 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-1][[]] cisco.cpm.posture.runtime.GracePeriodUtil -:08C9C50A0000002E87E4FE87:alice:::- updating grace period for device with udid: 6d8a638f9acadd2851a6cd7eae947060a898ebc1 , maclist: [B4:96:91:26:EB:A1], grace period expiry time 1733325045679<--------------------Updated last known compliance status in DB (LAST_COMP_EXPIRY)



2024-12-02 20:40:45,682 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-1][[]] cisco.cpm.posture.runtime.PostureManager -:08C9C50A0000002E87E4FE87:alice:::- posture_bypass_test is null fast reconnect expiry time is 1733238645682 2024-12-03T20:40:45.682+0530
2024-12-02 20:40:45,682 DEBUG [https-jsse-nio-10.127.197.170-8445-exec-1][[]] cisco.cpm.posture.runtime.PostureManager -:08C9C50A0000002E87E4FE87:alice:::- updating fast reconnect for end point B4:96:91:26:EB:A1 with 1 days of expiry time 1733238645682<------Updated posture lease in DB (EDF_POSTUREEXPIRY)

3. 이제 구축에서 다른 PSN으로 EP를 인증합니다. 인증 요청이 다른 PSN에 도착하면 PSN이 DB에서 포스처 리스 시간을 검색하고 세션을 규정 준수로 직접 표시하는 것을 볼 수 있습니다. 라이브 로그에서 이를 확인할 수 있습니다.

2024-12-02 20:49:56,115 DEBUG [PolicyEngineEvaluationThread-10][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- Posture status in session is not compliant
2024-12-02 20:49:56,115 DEBUG [PolicyEngineEvaluationThread-10][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- fast reconnect is enabled
2024-12-02 20:49:56,119 DEBUG [PolicyEngineEvaluationThread-10][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- Querying posture expiry time by MAC B4-96-91-26-EB-A1
2024-12-02 20:49:56,123 DEBUG [PolicyEngineEvaluationThread-10][[]] cisco.cpm.posture.runtime.PostureManager -:::::- posture expriy time retrieved from DB is "1733238645682" for B4-96-91-26-EB-A1
2024-12-02 20:49:56,123 DEBUG [PolicyEngineEvaluationThread-10][[]] cisco.cpm.posture.runtime.PostureManager -:::::- posture lease expiry time 1733238645682 2024-12-03T20:40:45.682+0530 for B4-96-91-26-EB-A1
2024-12-02 20:49:56,123 DEBUG [PolicyEngineEvaluationThread-10][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- retrieved fast reconnect expiry time 1733238645682 2024-12-03T20:40:45.682+0530 for B4-96-91-26-EB-A1
2024-12-02 20:49:56,123 DEBUG [PolicyEngineEvaluationThread-10][[]] cisco.cpm.posture.pip.PostureStatusPIP -:::::- B4-96-91-26-EB-A1 is within fast reconnect expiry

Final Posture Status

이 두 시나리오에서 LSD가 포스처 리스에 영향을 주지 않음을 확인할 수 있습니다.

자주 묻는 질문(FAQ)

Q: Posture Lease와 Cached Last Known Posture 모두 서로 독립적입니까?

A : 예, 캐시된 마지막으로 알려진 상태를 활성화하지 않고 포스처 임대를 활성화할 수 있으며 그 반대의 경우도 마찬가지입니다. Posture Lease는 엔드포인트 규정 준수 상태를 구성된 시간 동안 엔드포인트 특성으로 저장합니다. 캐시된 Last Known Posture는 엔드포인트가 규정을 준수하지 않는 경우(엔드포인트 특성이 아님) 유예 기간이 주어지는 DB에 저장된 시간입니다.

Q: Posture Lease 및 Cached Last Known Posture 모두 노드 간에 복제됩니까?

A: 포스처 리스는 엔드포인트 특성이며 모든 노드에 복제됩니다. 캐시된 Last Known Posture는 엔드포인트 속성이 아니지만 값이 Oracle DB에 있으며 모든 노드에 복제됩니다.

Q: 노드를 재부팅하면 이러한 값이 제거됩니까?

A: 아니요. 둘 다 Oracle DB에 저장되며 이러한 노드를 다시 로드해도 값이 제거되지 않습니다.

Q: Posture Lease로 인해 보안 문제가 발생합니까?

A: 포스처 리스가 활성화된 경우 ISE는 엔드포인트의 포스처 상태를 확인하지 않습니다. 엔드포인트가 규정을 준수하지 않으면 보안 문제가 발생할 수 있으며 ISE는 이를 불만 사항으로 처리할 수 있습니다. 이 위험을 최소화하기 위해 포스처 리스와 함께 포스처 재평가를 사용하는 것이 좋습니다.

알려진 결함

  • Cisco 버그 ID CSCwk07454 - PSN이 올바른 Posture Lease 만료 시간으로 DB를 업데이트하지 않음
  • Cisco 버그 ID CSCwi58421 - 포스처 리스가 활성화된 경우 PSN 노드가 올바른 포스처 만료 시간으로 DB를 업데이트하지 않음

개정 이력

개정 게시 날짜 의견
2.0
19-Aug-2026
서론, 맞춤법, 문법, 가독성을 위한 별도의 섹션에 삽입된 수평선, 고정 URL 및 CCW 오류 업데이트
1.0
20-Mar-2025
최초 릴리스
TAC Authored

Cisco 엔지니어가 작성

  • 스와잘 사르카르
    기술 컨설팅 엔지니어

이 문서가 도움이 되셨습니까?

Feedback피드백

지원 문의

이 문서가 적용되는 제품