TACACS configureren met ISE Gigabit Ethernet 1-interface

Inleiding

In dit document wordt de ISE TACACS+-configuratie beschreven met Gigabit Ethernet 1 Interface, waarbij routers en switches als netwerkapparaten werken.

---

Achtergrondinformatie

Cisco ISE ondersteunt maximaal 6 Ethernet-interfaces. Het kan slechts drie obligaties hebben; obligatie 0, 1 en 2. U kunt de interfaces die deel uitmaken van een binding niet wijzigen of de rol van de interface in een binding wijzigen. 

---

Voorwaarden

Vereisten

Cisco raadt u aan kennis te hebben over deze onderwerpen:

• Basiskennis van netwerken
• Cisco Identity Service Engine

---

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende hardware- en softwareversies:

• Cisco C9200-Switch
• Cisco IOS^® Software Release 17.x
• Cisco Identity Service Engine v3.3 en hoger

---

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

---

Configureren

Het doel van Gigabit Ethernet 1 van ISE configureren voor TACACS+ is om de router en switch te verifiëren met TACACS+ met ISE als verificatieserver.

---

Netwerkdiagram

Netwerktopologie

---

Configuratie van Identity Services Engine voor TACACS+

IP-adres configureren voor Gigabit Ethernet 1-interface in ISE

1. Meld u aan bij de CLI van de ISE PSN-node waar de apparaatbeheerder is ingeschakeld en controleer de beschikbare interfaces door de opdracht interface tonen uit te voeren:

---

Verificatie van interfaces in ISE

---

2. Wijs vanuit CLI in hetzelfde PSN-knooppunt een IP-adres toe aan de Gigabit Ethernet 1-interface door de volgende opdrachten uit te voeren:

• HostNameOffice#T configureren
• hostnameoffice/admin(config)#interface Gigabit Ethernet 1
• hostnameoffice/admin(config-GigabitEthernet-1)# <ip-adres> <subnet netmask> % Als u het IP-adres wijzigt, kunnen de ISE-services mogelijk opnieuw worden opgestart
• Doorgaan met IP-adreswijziging?
• Doorgaan? [Ja, nee] Ja

---

3. Als u stap 2 uitvoert, worden de ISE-knooppuntservices opnieuw opgestart. Als u de status van de ISE-services wilt controleren, voert u de opdracht Toepassingsstatus weergeven uit en zorgt u ervoor dat de status van de services wordt uitgevoerd, vergelijkbaar met de volgende schermafbeelding:

---

Verificatie van servicestatus van ISE

---

4. Controleer het IP-adres van de Gig1-interface door de opdracht Show Interface uit te voeren:

---

Verificatie van ISE Gig2 interface IP-adres van CLI

---

5. Controleer de toelaatbaarheid van poort 49 in de ISE-node door de showpoorten uit te voeren | inc 49 opdracht:

---

verificatie van de haventoelage 49 in ISE

---

Apparaatbeheer inschakelen in ISE

1. Navigeer naar de GUI van ISE > Beheer > Implementatie > Selecteer de PSN-node en controleer vervolgens de service Apparaatbeheer inschakelen:

---

Apparaatbeheerservice inschakelen in ISE

---

Een netwerkapparaat toevoegen in ISE

1. Navigeer naar Werkcentra > Apparaatbeheer > Netwerkbronnen > Netwerkapparaten. Klik op Naam en IP-adres toevoegen en opgeven. Schakel het selectievakje TACACS+-verificatie-instellingen in en geef de sleutel Gedeeld geheim op.

---

Configuratie van netwerkapparaat in ISE

---

2. Controleer de stappen voor deze procedure door alle vereiste netwerkapparaten voor TACACS-verificatie toe te voegen.

---

TACACS+-opdrachtsets configureren

Voor de volgende demonstratie worden twee opdrachtreeksen geconfigureerd:

• Permit_all_commands, wordt toegewezen aan de gebruikersbeheerder en staat alle opdrachten op het apparaat toe. 
• permit_show_commands, is toegewezen aan een gebruiker en staat alleen show commando's toe

---

1. Navigeer naar Work Centers > Apparaatbeheer > Beleidsresultaten > TACACS-opdrachtsets. Klik op Toevoegen en geef de naam PermitAllCommands op, kies vervolgens het selectievakje Permit any command dat niet wordt vermeld en klik op Indienen.

---

Configuratie van opdrachtsets in ISE

2. Navigeer naar Work Centers > Apparaatbeheer > Beleidsresultaten > TACACS-opdrachtreeksen.Klik op Toevoegen en geef de naam PermitShowCommands, klik op Toevoegen en vervolgens op Toon- enafsluitopdrachten. Als argumenten leeg blijven, worden standaard alle argumenten opgenomen. Klik op Indienen. 

---

Configuratie van permit_show_commands in ISE

---

Het TACACS+-profiel configureren

Er wordt één TACACS+-profiel geconfigureerd en de opdrachtautorisatie wordt uitgevoerd via opdrachtreeksen.

---

1. Om een TACACS+-profiel te configureren, bladert u naar Werkcentra > Apparaatbeheer > Beleidsresultaten > TACACS-profielen. Klik op Toevoegen en geef een naam op voor het Shell-profiel. Selecteer vervolgens het selectievakje Standaardprivilege en voer de waarde 15 in en klik op Indienen.

---

Configuratie van het TACACS-profiel in ISE

---

TACACS+-verificatie- en machtigingsprofiel configureren

1. Meld u aan bij de ISE PAN GUI > Beheer > Werkcentra > Apparaatbeheer > Beleidssets voor Apparaatbeheer. Klik op het pictogram + om een nieuw beleid te maken. In dit voorbeeld wordt de beleidsset New Policy Set 1 genoemd.

---

Configuratie van beleid ingesteld in ISE

---

2. Voordat u de beleidsset opslaat, moet u de voorwaarden configureren. Klik op het + pictogram om de voorwaarden voor de beleidsset te configureren.

---

Configuratie van beleidsvoorwaarden in ISE

---

3. Nadat u in stap 2 op het + pictogram hebt geklikt, wordt het dialoogvenster Condities studio geopend. Configureer de vereiste voorwaarden en Sla de voorwaarde op met de nieuwe of bestaande voorwaarden. Klik op Gebruik.

---

Configuratie van beleidsvoorwaarden in ISE

---

---

4. Nadat de voorwaarden zijn geconfigureerd en opgeslagen, configureert u de toegestane protocollen als standaardapparaatbeheer. Sla de beleidsset op die u hebt gemaakt door op de optie Opslaan te klikken.

---

Configuratiebevestiging beleidsset.

---

5. Vouw de nieuwe beleidsset > Verificatiebeleid (1) > Maak een nieuw verificatiebeleid door op het +-pictogram te klikken of door op het tandwielpictogram te klikken. Plaats vervolgens een nieuwe rij.

---

Configuratie van het verificatiebeleid in de beleidsset.

---

6. Vouw de nieuwe beleidsset > Autorisatiebeleid (1) uit. Klik op het pictogram + of klik op het tandwielpictogram. Plaats vervolgens een nieuwe rij voor het maken van een autorisatiebeleid.

---

Configuratie van autorisatiebeleid

---

7. Configureer het autorisatiebeleid met voorwaarden, opdrachtsets en een Shell-profiel dat is toegewezen aan het autorisatiebeleid.

---

Volledige configuratie van autorisatiebeleid in ISE

---

---

8. Bekijk de eerste 6 stappen voor het configureren van beleidssets voor switch en andere netwerkapparaten die voor TACACS+ worden gebruikt.

---

Netwerktoegangsgebruikers configureren voor NAD's TACACS-verificatie in ISE

1. Navigeer naar Work Centers > Apparaatbeheer > Identiteiten > Gebruikers. Klik op het pictogram + om een nieuwe gebruiker te maken.

---

Netwerktoegangsgebruikers configureren in ISE

---

2. Geef de gebruikersnaam en wachtwoordgegevens op, wijs de gebruiker toe aan een gebruikersidentiteitsgroep (optioneel) en klik op Indienen.

---

Netwerkgebruikers configureren - Doorgaan

---

3. Na het indienen van de gebruikersnaamconfiguratie in Werkcentra > Identiteiten > Gebruikers > Netwerktoegangsgebruikers, wordt de gebruiker zichtbaar geconfigureerd en ingeschakeld.

---

Bevestiging van gebruikersconfiguratie voor netwerktoegang.

---

Router configureren voor TACACS+

Configureer Cisco IOS Router voor TACACS+-verificatie en -autorisatie

1. Meld u aan bij de CLI van de router en voer de volgende opdrachten uit voor het configureren van TACACS in de router:

• ASR1001-X(config)#aaa new-model --- opdracht vereist om aaa in NAD in te schakelen
• ASR1001-X(config)#aaa session-id common. ----opdracht vereist om aaa in NAD in te schakelen.
• ASR1001-X(config)#aaa Aanmeldingsverificatie standaardgroep tacacs+ lokaal
• ASR1001-X(config)#aaa authorisation exec default group tacacs+
• ASR1001-X(config)#aaa authorisation network list1 group tacacs+
• ASR1001-X(config)#tacacs server ise1
• ASR1001-X(config-server-tacacs)#ipv4 <IP-adres van TACACS-server > . --- ISE-interface G1 IP-adres.
• ASR1001-X(config-server-tacacs)# sleutel XXXXX
• ASR1001-X(config)# aaa group server tacacs+ isegroup
• ASR1001-X(config-sg-tacacs+)#servernaam ise1
• ASR1001-X(config-sg-tacacs+)#ip vrf forwarding Mgmt-intf
• ASR1001-X(config-sg-tacacs+)#ip tacacs source-interface GigabitEthernet0
• ASR1001-X(config-sg-tacacs+)#ip tacacs source-interface GigabitEthernet1
• ASR1001-X(config)#exit

---

2. Controleer na het opslaan van de TACACS+-configuraties van de router de TACACS+-configuratie door de opdracht show run aaa uit te voeren:

ASR1001-X#show run aaa

!

Standaard aanmeldingsgroep voor AAA-verificatie isGroup Local

AAA Authorisation Exec Default Group isGroup

AAA Authorisation Network List1 Group iSegroup

gebruikersnaam admin wachtwoord 0 XXXXXXX

!

Tacacs-server ISE1

 IPv4-adres <IP-adres van TACACS-server>

 sleutel XXXXX

!

!

AAA Group Server Tacacs+ isGroup

 Servernaam ISE1

 ip vrf forwarding Mgmt-intf

 ip tacacs source-interface Gigabit Ethernet1

!

!

!

nieuw AAA-model

AAA Sessie-ID Vaak

!        

!      

---

Switch voor TACACS+ configureren

Switch voor TACACS+-verificatie en -autorisatie configureren

1. Meld u aan bij de CLI van de switch en voer de volgende opdrachten uit voor het configureren van TACACS in de switch:

• C9200L-48P-4X#configure t
• Voer configuratieopdrachten in, één per regel.  Eindig met CNTL/Z.
• C9200L-48P-4X(config)#aaa new-model. --- opdracht vereist om aaa in NAD in te schakelen
• C9200L-48P-4X(config)#aaa session-id common. -- opdracht vereist om aaa in NAD in te schakelen.
• C9200L-48P-4X(config)#aaa-verificatie aanmeldingsstandaardgroep isegroup lokaal
• C9200L-48P-4X(config)#aaa authorisation exec default group isegroup
• C9200L-48P-4X(config)#aaa authorisation network list1 group isegroup
• C9200L-48P-4X(config)#tacacs-server ise1
• C9200L-48P-4X(config-server-tacacs)#ipv4 <IP-adres van TACACS-server> -- ISE Interface G1 IP-adres.
• C9200L-48P-4X(config-server-tacacs)#key XXXXX
• C9200L-48P(config)#aaa group server tacacs+ isegroup
• C9200L-48P(config-sg-tacacs+)#servernaam ise1
• C9200L-48P-4X(config)#exit
• C9200L-48P-4X#wr mem

---

---

2. Nadat u de TACACS+-configuraties van de switch hebt opgeslagen, controleert u de TACACS+-configuratie door de opdracht show run aaa uit te voeren.

C9200L-48P#show run aaa

!

Standaard aanmeldingsgroep voor AAA-verificatie isGroup Local

AAA Authorisation Exec Default Group isGroup

AAA Authorisation Network List1 Group iSegroup

gebruikersnaam admin wachtwoord 0 XXXXX

!

!

Tacacs-server ISE1

 IPv4-adres <IP-adres van TACACS-server>

 sleutel XXXXX

!

!

AAA Group Server Tacacs+ isGroup

 Servernaam ISE1

!

!

!

nieuw AAA-model

AAA Sessie-ID Vaak

!

!

---

Verificatie

Verificatie via router

Controleer vanuit de CLI van de router de verificatie van TACACS+ tegen ISE met de Gigabit Ethernet 1-interface door de test uit te voeren aaa group tacacsgroupname username password new command.

---

Dit is een voorbeeld van de uitvoer van de router en ISE:

Verificatie van poort 49 vanaf router:

ASR1001-X#telnet ISE Gig 1 interface IP 49

Proberen te ISE GIg 1 interface IP, 49... Open (Openstaand)

ASR1001-X#test aaa groep isegrouter XXXX nieuw

Wachtwoord verzenden

Gebruiker is geverifieerd

GEBRUIKERSKENMERKEN

Gebruikersnaam 0 "Router"

reply-message 0 "Password:"

---

Log voor verificatie vanuit ISE in op de GUI > Operations > TACACS live logs, en filter vervolgens met het IP-adres van de router in het veld Network Device Details:

---

TACACS live logs van ISE - Router Verificatie.

---

Verificatie van de Switch

Controleer vanuit de CLI van de switch de verificatie van TACACS+ tegen ISE met Gigabit Ethernet 1 door de opdracht test aaa group tacacsgroupname username password newn uit te voeren:

Dit is een sample output van de switch en ISE:

Verificatie van poort 49 van switch:

C9200L-48P# telnet ISE Gig1 interface IP 49

Proberen te ISE Gig1 interface IP, 49... Open (Openstaand)

C9200L-48P#test aaa groep isegroup switch XXXX nieuw

Wachtwoord verzenden

Gebruiker is geverifieerd

GEBRUIKERSKENMERKEN

Gebruikersnaam 0 "switch"

reply-message 0 "Password:"

---

Log voor verificatie vanuit ISE in op de GUI > Operations > TACACS live logs, en filter vervolgens met de switch-IP in het veld Network Device Details (Netwerkapparaatgegevens).

---

TACACS live logs van ISE - Switch verificatie.

Problemen oplossen

In dit gedeelte worden enkele veelvoorkomende problemen met betrekking tot TACACS+-verificaties besproken. 

---

Scenario 1: De TACACS+-verificatie mislukt met "Fout: 13017 Ontvangen TACACS+-pakket van onbekend netwerkapparaat of AAA-client".

Dit scenario treedt op wanneer het netwerkapparaat niet wordt toegevoegd als Netwerkbronnen in ISE. In de volgende schermafbeelding wordt de switch niet toegevoegd aan de netwerkbronnen van ISE. 

---

Probleemoplossingsscenario - Netwerkapparaten worden niet toegevoegd in ISE.

---

Bij het testen van de verificatie vanaf de switch/het netwerkapparaat bereikt het pakketje naar verwachting ISE. De verificatie mislukt echter met de fout "Fout: 13017 ontvangen TACACS+-pakket van onbekend netwerkapparaat of AAA-client."

---

TACACS live logs - Fout wanneer netwerkapparaat niet aan ISE wordt toegevoegd.

---

Verificatie vanaf het netwerkapparaat (Switch)

Switch#test aaa groep isegroup switch XXXXXX nieuw

Gebruiker afgewezen

Oplossing: Controleer of de switch/router/het netwerkapparaat is toegevoegd als het netwerkapparaat in ISE. Als het apparaat niet is toegevoegd, voegt u het netwerkapparaat toe aan de lijst met netwerkapparaten in ISE. 

---

Scenario 2: ISE laat het TACACS+-pakket in stilte vallen zonder enige informatie

Dit scenario treedt op wanneer de service Apparaatbeheer is uitgeschakeld in ISE. In dit scenario laat ISE het pakket vallen en worden er geen live logs gezien, hoewel de verificatie wordt geïnitieerd vanaf het netwerkapparaat dat wordt toegevoegd aan de netwerkbronnen van ISE. In deze schermafbeelding is Apparaatbeheer uitgeschakeld in ISE. 

---

Scenario, apparaatbeheer is niet ingeschakeld in ISE.

---

Wanneer een gebruiker de verificatie start vanaf het netwerkapparaat, laat ISE de pakketten stilletjes vallen zonder enige informatie in de live logs en reageert ISE niet op het Syn-pakket dat door het netwerkapparaat is verzonden om het TACACS-verificatieproces te voltooien. 

---

ISE droppingpakketten geruisloos tijdens TACACS

---

ISE toont geen live logs tijdens de authenticatie.

---

Geen TACACS live logs - Verificatie van ISE

---

Verificatie vanaf het netwerkapparaat (Switch)

Switch#

Switch#test aaa groep isegroup switch XXXX nieuw

Gebruiker afgewezen

Switch#

*14 mrt 13:54:28.144: T+: Versie 192 (0xC0), type 1, volgend 1, codering 1, SC 0

*14 mrt 13:54:28.144: T+: session_id 10158877 (0x9B031D), dlen 14 (0xE)

*14 mrt 13:54:28.144: T+: type: AUTHEN/START, priv_lvl:15 actie: LOGIN ascii

*14 mrt 13:54:28.144: T+: svc:LOGIN user_len:6 port_len:0 (0x0) raddr_len:0 (0x0) data_len:0

*14 mrt 13:54:28.144: T+: gebruiker: switch

*14 mrt 13:54:28.144: T+: poort:  

*14 mrt 13:54:28.144: T+: rem_addr:  

*14 mrt 13:54:28.144: T+: gegevens:  

*14 mrt 13:54:28.144: T+: eindpakket

---

Oplossing: Apparaatbeheer inschakelen in ISE. 

---

referentie

• Problemen met TACACS-verificatie oplossen
• Cisco Identity Services Engine Administrator Guide, versie 3.3
• VRF voor TACACS-servers

Revisiegeschiedenis

Revisie	Publicatiedatum	Opmerkingen
2.0	31-Aug-2026	Bijgewerkte introductie, spelling, grammatica, ingevoegde horizontale lijnen naar afzonderlijke secties voor leesbaarheid, alt-tekst en vaste CCW-waarschuwingen.
1.0	21-Mar-2025	Eerste vrijgave