Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Achtergrondinformatie

Configureren

ISE-voorconfiguratie

Azure SFTP-configuratie

Configuratie ISE GUI Repository

ISE CLI Repository-configuratie

Verifiëren

Problemen oplossen

resolutie

resolutie

Inleiding

In dit document wordt beschreven hoe Azure Blob Storage wordt geconfigureerd als SFTP-server met verificatie van Public Key Infrastructure met Identity Services Engine.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

- Algemene ISE-kennis

- Configuratie ISE-opslagplaats

- Public Key Infrastructure (PKI)-verificatie

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende softwareversies:

- ISE 3.3, 3.4, 3.5 VM op Azure

- Azure-abonnement op toegang tot Storage Center

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

Als cloud-native service is de Azure Blob Storage SFTP-repository eenvoudig te implementeren en ideaal voor op Azure gebaseerde ISE-implementaties. Het elimineert on-premises connectiviteitsproblemen, schaalt automatisch om te voldoen aan fluctuerende opslagbehoeften en garandeert een hoge beschikbaarheid en duurzaamheid voor grote datasets — en dat alles zonder de noodzaak van handmatig infrastructuurbeheer.

Configureren

ISE-voorconfiguratie

1. Sleutelparen genereren op ISE: aanmelden bij de GUI van de primaire beheerdersknooppunt. Navigeer naar Beheer > Systeem > Onderhoud > Repository.

2. Klik onder Repository List op de optie Genereer sleutelparen.

3. Voer een wachtwoordgroep (meer dan 13 tekens) in en klik op OK. Dit is nodig om het sleutelpaar te beschermen.

Sleutelpaar genereren op ISE

4. Klik op Openbare sleutel exporteren en download de sleutel id_rsa.pub op uw computer (zorg ervoor dat deze wordt opgeslagen voor toekomstige referenties).

Azure SFTP-configuratie

1. Azure Storage Account maken en configureren: Meld u aan bij het Azure Portal en navigeer naar Storage-accounts. Klik op het tabblad Bronnen op Maken om een nieuwe opslagaccount aan te maken. Vul de gegevens in:

Veld

Waarde

Abonnement

Uw Azure-abonnement

resourcegroep

Bestaande selecteren of nieuwe maken

Naam opslagaccount

Moet wereldwijd uniek zijn

regio

Selecteer uw voorkeursregio

Redundancy

Lokaal redundante opslag (LRS) — aanvaardbaar voor lab/non-prod

Een opslagaccount maken

2. Klik op Volgende en selecteer onder het tabblad Geavanceerd het selectievakje Hiërarchische naamruimte inschakelen. Deze optie is verplicht. SFTP kan alleen worden ingeschakeld voor hiërarchische naamruimteaccounts.

3. Selecteer het selectievakje SFTP inschakelen.

4. Laat de rest van de opties als standaard of tweak volgens uw vereisten.

Opslagaccount configureren

5. Klik op Volgende om Networking te configureren.

6. Stel netwerktoegang in om openbare toegang vanaf alle netwerken mogelijk te maken.

7. Stel de routeringsvoorkeur in op Microsoft-netwerkroutering.

Opmerking: in productieomgevingen kunt u overwegen de toegang tot specifieke IP-bereiken (de IP-adressen van de ISE-knooppunten) te beperken met behulp van firewallregels op de opslagaccount.

Netwerkinstelling

8. Klik op Volgende en laat gegevensbescherming, beveiliging en codering standaard staan. Er is geen extra configuratie vereist voor laboratorium- of standaardimplementaties.

9. Klik op Bekijken + maken. Zodra de validatie is voltooid, klikt u op Maken.

10. Wacht tot de implementatie is voltooid en klik vervolgens op Ga naar resource.

11. SFTP configureren op Azure Storage-account: voeg in uw nieuw gemaakte opslagaccount een container toe door naar Gegevensopslag > Containers > Container toevoegen te navigeren

12. Geef een containernaam op. Klik op Maken.

13. Voeg sftp-gebruiker toe door naar Instellingen > SFTP in het linkermenu te navigeren. Klik op Lokale gebruiker toevoegen en configureer het volgende:

Veld

Waarde

Username

Een beschrijvende naam

Authenticatiemethode

SSH-sleutelpaar — geen wachtwoord gebruiken

SSH public key source

Bestaande sleutel gebruiken (gegenereerd in stap 1, de id_rsa.pub-sleutel)

Opmerking: in een implementatie met meerdere knooppunten, wanneer primaire PAN en primaire MnT afzonderlijke knooppunten zijn, heeft het bestand id_rsa.pub RSA-openbare sleutels van zowel primaire PAN- als primaire MnT-knooppunten.

14. Open het bestand id_rsa.pub in een teksteditor van uw keuze en kopieer en plak beide knooppunten (beginnend met ssh-rsa en eindigend met root@your_node_name) afzonderlijk door tweemaal op de optieToets toevoegen te klikken.

Sample key: ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAACAQCdjUFU6QaMQfxuR/yzbw1QWZ8EwUJjN/C0cNNMlkMOQE9flJQ6GoClguU2UkBiRCZ0Y5vm2sYy/2WWtl+Byg+qH+TL85I4XNdC9eS/o44e+YuePUtXPWVe+cLVHKNFIhV7fA2SH8PscmWAsz7W0U7vRee9qrWQhDWcW+h3V+i7bHgU0SWnhq5RjEYK2AwwqmCnLG8uaPA9NOlvI0J2qB/M5Z8Vht+RN7AoxpdPySTg/AbUtLrZcCDTfV+qfCTAY62QSqmuwQ6E8z8/HbEKAe8h9awL2YfO0p1jdqsIOCajWHW18foI1HoJ6A0AWsphONL6tELifsGgYxdkGfNjaH8Z5mWM7JxDgQrrQnIIwN6dNhKOFOaKAUYrDQmgtYt9kPQ46s/5B/HnTgdiZfdlIHP6hgN+bw5RYAEN3Xdx9Jjz2jpWF0KVqlODCIMFRYLzEuH3/aHV9Rmbmn5AR0mnuRcErRbt4Yesyn1hVx6WV1jy7t+0AbZ+QuvovTCfmpuV3dou6tJ9/B9PNzVB3TuJk/ZY3GE5A9kZ/67PPjw/R6rudiQ8b+eAzM0+kPooLCbVz/ATO46gNy9QpEOqW41MSi/4lUeWLiOdgQ4sNUdxzIK6BgXYVyf2H85q2f8lwa7t+nA2NSN4XpiwJRDmuQ/J/hv27kbTx9bLHyUPZkg4ZcNnCQ== root@isexxx

Openbare sleutel toevoegen aan Azure

15. Klik op Machtigingen. Selecteer de container die in deze stap is gemaakt en stel de rechten in voor de container om te lezen, schrijven, lijsten, verwijderen en maken.

16. Stel de hoofddirectory in op de hoofdmap van de container.

17. Bewaar de gebruiker.

Configuratie ISE GUI Repository

1. Navigeer naar Beheer > Systeem > Onderhoud > Repository en klik op Toevoegen. Vul de velden als volgt in:

Veld

Waarde

Naam opslagplaats

Een beschrijvend label (zoals Azure-SFTP)

Protocol

SFTP

Servernaam

<storage_account_name>.blob.core.windows.net

Pad

/ (hoofdmap)

Verificatie

PKI

Gebruikersnaam

<storage_account_name>.<container_name>.<sftp_local_useraname>

wachtwoord

Blanco laten

2. Klik op Indienen om de repository op te slaan.

Configuratie ISE SFTP-opslagplaats

Waarschuwing: de hostsleutel van de sftp-server moet worden toegevoegd via CLI met behulp van de crypto host_key add executable command voordat deze repository kan worden gebruikt. Zorg er ook voor dat de tekenreeks van de hostsleutel overeenkomt met de hostnaam die wordt gebruikt in de URL van de configuratie van de repository. Als u toegang wilt krijgen tot de PKI-repository, genereert u sleutelparen van de GUI en exporteert u de publieke sleutel naar uw lokale machine. Kopieer deze publieke sleutel naar de PKI-enabled SFTP-server en voeg deze toe aan het bestand 'authorised_keys'.

3. Meld u aan bij zowel de primaire beheerknooppunt als de primaire bewakingsknooppunt en voeg de cryptohostsleutel toe met de opdracht crypto host_key ad host <sftp server >. Zorg ervoor dat de ISE-node de SFTP-hostnaam kan oplossen.

isenode1/iseadmin#crypto host_key add host xxxxxsftp.blob.core.windows.net

host key fingerprint added

# Host xxxxxsftp.blob.core.windows.net found: line 1

xxxxxsftp.blob.core.windows.net RSA SHA256:sP18dIvbSZgtEa5a2ea+Fy4P54Wd2ocEkToBq6xG74g

4. Ga terug naar ISE GUI onder Repository en selecteer de nieuw gemaakte repository en klik op Valideren. Repository succesvol gevalideerd.

Succesvolle validatie van repository

Opmerking: de optie voor validatie in de repository valideert de configuratie van de repository alleen op de primaire admin node.

Opmerking: in het geval van SFTP-repository die is gemaakt met RSA public key, worden de repositories die zijn gemaakt via de GUI niet gerepliceerd in de CLI en worden de repositories die zijn gemaakt via de CLI niet gerepliceerd in de GUI. Als u dezelfde repository op de CLI en GUI wilt configureren, genereert u RSA-openbare sleutels op zowel CLI als GUI en exporteert u beide sleutels naar de SFTP-server.

ISE CLI Repository-configuratie

1. SSH in de CLI (opdrachtregelinterface) van de primaire beheerdersknooppunt. Voeg de cryptosleutel toe aan elk knooppunt in de implementatie waar u vanuit CLI toegang wilt krijgen tot de op PKI gebaseerde SFTP-opslagplaats.

2. Genereer een openbare rsa-sleutel voor CLI.

isenode1/iseadmin#crypto key generate rsa passphrase <passphrase>

3. Exporteer het gegenereerde bestand met de publieke sleutel naar de lokale schijfopslagplaats (elke opslagplaats waartoe u toegang hebt om het bestand te downloaden).

isenode1/iseadmin#crypto key export <give a name for this file> repository <repository name>

4. Download dit bestand uit de repository en open het in teksteditor om de publieke sleutel te kopiëren voor CLI-toegang.

5. Upload SSH Public Key naar Azure, hetzelfde als de GUI-sleutel die is toegevoegd onder het scherm voor het maken van lokale gebruikers van Azure SFTP (vanaf stap 3).

6. Klik op Toets toevoegen en plak de volledige openbare SSH-sleutel (in het veld openbare SSH-sleutel).

7. Geef desgewenst een beschrijving van de sleutel (bijvoorbeeld ISE-CLI-Key).

8. Klik op Volgende en sla op.

Verifiëren

1. Controleer CLI-toegang tot de sftp-repository met de opdracht "show repository <Repository name>". Het toont de opgeslagen bestanden op deze sftp-server.

isenode1/iseadmin#show repository Azure-SFTP

SB-pk-260522-2236.tar.gpg

ops-OPS10-260525-1026.tar.gpg

2. Controleer GUI-toegang tot de sftp-repository door naar Repository te navigeren en Selecteer de nieuw gemaakte repository en klik op Valideren. Repository succesvol gevalideerd.

3. Navigeer naar Beheer > Systeem > Back-up en herstel. Maak een configuratieback-up en ga vervolgens naar de onderkant van deze pagina, selecteer de SFTP-opslagplaats en onder Configuratie is de recente back-up zichtbaar om te herstellen.

SFTP-opslagplaatsvalidatie

Opmerking: vanwege de cosmetische Cisco-bug IDCSCwu68863, wordt de grootte van back-ups op Azure-opslag hier gezien als 0 bytes, maar er is geen functionele impact. Deze back-ups kunnen indien nodig met succes worden hersteld.

Problemen oplossen

1. In de ISE GUI geeft de validatie van de repository de volgende fout:

Fout

resolutie

Controleer of de juiste publieke sleutel is geïmporteerd op de SFTP-server onder SSH-sleutels (Zie stap 2 van SFTP configureren op Azure Storage Account). Deze fout treedt op als de gebruiker na succesvolle validatie van de repository opnieuw een nieuw sleutelpaar op de GUI heeft gegenereerd.

2. De validatie van de GUI-repository is geslaagd, maar er is geen uitvoer van de opdracht show repository <sftp repository> uitgevoerd.

Fout schermafbeelding

resolutie

Controleer of de openbare RSA-sleutel die is gegenereerd vanuit CLI is toegevoegd onder Azure ssh-configuratie.

3. Schakel de opdracht Foutopsporing in om het probleem met de SFTP-opslagplaats verder op te lossen:

isenode1/iseadmin#debug transfer 7

Foutopsporingslogs