Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Configureren

Netwerkdiagram

Microsoft WSUS

ASA

ISE

500 Restatie voor WSUS

Postvereisten voor WSUS

AnyConnect-profiel

Clientprovisioningregels

Verificatieprofielen

machtigingsregels

Verifiëren

Pc met bijgewerkt GPO-beleid

Een kritische update in het WSUS goedkeuren

Controleer de PC-status op het WSUS

VPN-sessie ingesteld

Postmodule Ontvang beleid van ISE en voert verbetering uit

Volledige netwerktoegang

Problemen oplossen

Belangrijke opmerkingen

Optiegegevens voor WSUS-verbetering

Windows Update Service

SCCM-integratie

Gerelateerde informatie

Inleiding

Dit document beschrijft hoe u de functie Cisco Identity Services Engine (ISE) kunt configureren wanneer deze is geïntegreerd in de Microsoft Windows Server Update Services (WSUS).

Opmerking: Wanneer u tot het netwerk toegang hebt, wordt u opnieuw naar ISE gericht voor Cisco AnyConnect Secure Mobility Client versie 4.1 met een postmodule, die de nalevingsstatus op het WSUS controleert en de benodigde updates installeert om het station te conformeren. Zodra het station als compatibel is gemeld, biedt ISE volledige toegang tot het netwerk.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

- Cisco ISE-implementaties, verificatie en autorisatie

- Basiskennis van de manier waarop ISE en Cisco AnyConnect-functieagent werken

- Configuratie van de Cisco adaptieve security applicatie (ASA)

- Basiskennis van VPN en 802.1x

- Configuratie van de Microsoft WSUS-software

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

- Microsoft Windows versie 7

- Microsoft Windows versie 2012 met WBS versie 6.3

- Cisco ASA versies 9.3.1 en hoger

- Cisco ISE-softwareversies 1.3 en hoger

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u de potentiële impact van elke opdracht begrijpen.

Configureren

In deze sectie wordt beschreven hoe u de ISE en verwante netwerkelementen kunt configureren.

Netwerkdiagram

Dit is de topologie die voor de voorbeelden door dit document wordt gebruikt:

Hier is de verkeersstroom, zoals wordt geïllustreerd in het netwerkdiagram:

1. De externe gebruiker sluit zich aan via Cisco AnyConnect voor VPN-toegang tot de ASA. Dit kan elk type geünificeerde toegang zijn, zoals een bekabelde sessie van 802.1x/MAC-verificatie (MAB) die op de switch wordt afgesloten of een draadloze sessie die op de draadloze LAN-controller (WLC) wordt beëindigd.

2. Als onderdeel van het authenticatieproces bevestigt ISE dat de posterstatus van het eindstation niet gelijk is aan de conforme (ASA-VPN_quarantaine autorisatieregel) en dat de omleidingseigenschappen worden teruggegeven in het Radius Access-Accept bericht. Als resultaat hiervan richt de ASA al het HTTP verkeer naar ISE om.

3. De gebruiker opent een webbrowser en voert elk adres in. Nadat u de omleiding naar ISE hebt voltooid, is de Cisco AnyConnect 4 postmodule op het station geïnstalleerd. In de postmodule wordt het beleid vervolgens gedownload van de ISE (eis voor WSUS).

4. De postuur-module zoekt naar Microsoft WSUS en voert corrigerende maatregelen uit.

5. Na een geslaagde sanering stuurt de postmodule een rapport naar de ISE.

6. ISE geeft een Radius Change of Authorization (CoA) uit die volledige netwerktoegang biedt tot een conforme VPN-gebruiker (ASA-VPN_conform autorisatieregel).

Opmerking: De gebruiker moet lokale beheerrechten hebben, zodat het herstel kan werken (de mogelijkheid om Microsoft Windows updates op een pc te installeren).

Microsoft WSUS

Opmerking: Een gedetailleerde configuratie van het WSUS is buiten het bereik van dit document. Raadpleeg de Windows Server Update Services  implementeren in uw  Microsoft- documentatie van uw organisatie .

De WSUS-service wordt uitgevoerd via de standaard TCP-poort 8530. Het is belangrijk te bedenken dat voor sanering ook andere havens worden gebruikt. Dit is waarom het veilig is om het IP-adres van WSUS toe te voegen aan de toegangscontrolelijst (ACL) in de ASA (later beschreven in dit document).

Het groepsbeleid voor het domein is ingesteld voor Microsoft Windows-updates en wijst op de lokale WSUS-server:

Dit zijn de aanbevolen updates die beschikbaar zijn voor korrelig beleid dat gebaseerd is op verschillende niveaus van ernst:

De doelgerichtheid van de cliënt maakt een veel grotere flexibiliteit mogelijk. ISE kan postuur beleid gebruiken dat gebaseerd is op de verschillende Microsoft Active Directory (AD) computercontainers. Het WSUS kan updates goedkeuren die zijn gebaseerd op dit lidmaatschap.

ASA

Eenvoudige Secure Socket Layer (SSL) VPN-toegang voor de externe gebruiker wordt gebruikt (waarvan de details buiten het bereik van dit document zijn).

Hier is een voorbeeldconfiguratie:

interface GigabitEthernet0/0

nameif outside

security-level 10

ip address 172.16.32.100 255.255.255.0

interface GigabitEthernet0/1

nameif inside

security-level 100

ip address 172.16.31.100 255.255.255.0

aaa-server ISE protocol radius

interim-accounting-update periodic 1

dynamic-authorization

aaa-server ISE (inside) host 172.16.31.202

key cisco

webvpn

enable outside

anyconnect-essentials

anyconnect image disk0:/anyconnect-win-4.0.00051-k9.pkg 1

anyconnect enable

tunnel-group-list enable

error-recovery disable

group-policy POLICY internal

group-policy POLICY attributes

vpn-tunnel-protocol ikev1 ikev2 l2tp-ipsec ssl-client ssl-clientless

tunnel-group SSLVPN type remote-access

tunnel-group SSLVPN general-attributes

address-pool POOL-VPN

authentication-server-group ISE

accounting-server-group ISE

default-group-policy POLICY

ip local pool POOL-VPN 172.16.50.50-172.16.50.60 mask 255.255.255.0

Het is belangrijk om een toegangslijst op de ASA te vormen, die wordt gebruikt om het verkeer te bepalen dat naar ISE (voor gebruikers die nog niet voldoen) zou moeten worden verlegd:

access-list Posture-redirect extended deny udp any any eq domain

access-list Posture-redirect extended deny ip any host 172.16.31.103

access-list Posture-redirect extended deny ip any host 172.16.31.202

access-list Posture-redirect extended deny icmp any any

access-list Posture-redirect extended permit tcp any any eq www

Er is alleen ICMP-verkeer (Domain Name System), ISE, WSUS en Internet Control Message Protocol (DNS) toegestaan voor niet-conforme gebruikers. Al het andere verkeer (HTTP) wordt naar ISE verwezen voor AnyConnect 4 provisioning, die verantwoordelijk is voor houding en herstel.

ISE

Opmerking: AnyConnect 4 provisioning en opstelling is buiten het bereik van dit document. Raadpleeg de AnyConnect 4.0-integratie met ISE versie 1.3 Configuratievoorbeeld voor meer informatie, zoals hoe u de ASA als netwerkapparaat kunt configureren en de Cisco AnyConnect 7-toepassing kunt installeren.

500 Restatie voor WSUS

Voltooi deze stappen om het herstel van de houding voor WSUS te configureren:

1. Navigeer in op Policy > Voorwaarden > Posture > Remediation Actions > Windows Server Update Services Remediation om een nieuwe regel te maken.

2. Controleer of de instelling Microsoft Windows Update op ernst is ingesteld. Dit onderdeel is verantwoordelijk voor de detectie als het herstelproces wordt gestart.

De Microsoft Windows Update Agent sluit zich dan aan op de WWUS en controleert of er kritieke updates voor die PC zijn die op installatie wachten:

Postvereisten voor WSUS

Navigeer naar beleid > Voorwaarden > Postvereisten om een nieuwe regel te creëren. De regel gebruikt een dummy-voorwaarde genaamd pr_WSUSRule, wat betekent dat het WSUS gecontacteerd wordt om de aandoening te controleren wanneer herstel nodig is (Kritische updates).

Zodra aan deze voorwaarde is voldaan, installeert het WWUS de updates die voor die PC zijn gevormd. Dit kan elk type updates omvatten, en ook updates met een lagere ernst:

AnyConnect-profiel

Configureer het profiel van de postmodule met het AnyConnect 4-profiel (zoals beschreven in de AnyConnect 4.0-integratie met ISE versie 1.3 Configuratievoorbeeld):

Clientprovisioningregels

Zodra het AnyConnect-profiel klaar is, kan er verwezen worden naar het beleid voor clientprovisioning:

De gehele toepassing wordt samen met de configuratie geïnstalleerd op het eindpunt, dat wordt herleid naar de pagina van de Provisioning van de client. AnyConnect 4 kan worden bijgewerkt en er kan een extra module (functie) worden geïnstalleerd.

Verificatieprofielen

Maak een autorisatieprofiel voor omleiding naar het clientprovisioningprofiel:

machtigingsregels

Op deze afbeelding zijn de toelatingsregels te zien:

Voor het eerst wordt de ASA-VPN_quarantaineregel gebruikt. Als gevolg daarvan wordt het vergunningprofiel voor Posture teruggegeven en wordt het eindpunt verwezen naar het Customer Provisioning Portal voor AnyConnect 4 (met postmodule).

Zodra dit is gebeurd, wordt de ASA-VPN_compatibele regel gebruikt en is volledige netwerktoegang toegestaan.

Verifiëren

Deze sectie verschaft informatie die u kunt gebruiken om te controleren of de configuratie correct werkt.

Pc met bijgewerkt GPO-beleid

Het domeinbeleid met de configuratie van het WSUS moet worden geduwd nadat de PC zich in het domein inlogt. Dit kan voorkomen voordat de VPN-sessie wordt ingesteld (buiten de band) of nadat de Start Voordat Logon-functie wordt gebruikt (deze kan ook worden gebruikt voor 802.1x bekabelde/draadloze toegang).

Nadat de Microsoft Windows-client de juiste configuratie heeft, kan dit worden weerspiegeld in de Windows Update-instellingen:

Indien nodig kan een Group Policy Object (GPO) worden opgefrist en kan de serverontdekking van Microsoft Windows Update Agent worden gebruikt:

C:\Users\Administrator>gpupdate /force

Updating Policy...

User Policy update has completed successfully.

Computer Policy update has completed successfully.

C:\Users\Administrator>wuauclt.exe /detectnow

C:\Users\Administrator>

Een kritische update in het WSUS goedkeuren

Het goedkeuringsproces kan profiteren van de gerichtheid op de plaats van ontvangst:

Herhaal het rapport indien nodig met de mond.

Controleer de PC-status op het WSUS

Deze afbeelding toont hoe de PC-status in het WSUS moet worden gecontroleerd:

Eén update moet worden geïnstalleerd voor de volgende verfrissing met het WSUS.

VPN-sessie ingesteld

Nadat de VPN-sessie is vastgesteld, wordt de ASA-VPN_quarantaine ISE autorisatieregel gebruikt, die het Posture autorisatieprofiel teruggeeft. Als resultaat hiervan wordt het HTTP-verkeer van het eindpunt opnieuw gericht voor de AnyConnect 4 update en posture module provisioning:

Op dit punt geeft de sessiestatus van de ASA beperkte toegang aan met de omleiding van het HTTP-verkeer naar de ISE:

asav# show vpn-sessiondb detail anyconnect

Session Type: AnyConnect Detailed

Username     : cisco                  Index        : 69

Assigned IP  : 172.16.50.50           Public IP    : 192.168.10.21

<...some output omitted for clarity...>

ISE Posture:

Redirect URL : https://ise14.example.com:8443/portal/gateway?sessionId=ac101f64000

45000556b6a3b&portal=283258a0-e96e-...

Redirect ACL : Posture-redirec

Postmodule Ontvang beleid van ISE en voert verbetering uit

De postmodule ontvangt het beleid van de ISE. De uiteinden ise-psc.log tonen de vereiste aan die naar de postmodule wordt gestuurd:

2015-06-05 07:33:40,493 DEBUG  [portal-http-service12][] cisco.cpm.posture.runtime.

PostureHandlerImpl -:cisco:ac101f6400037000556b40c1:::- NAC agent xml

<?xml version="1.0" encoding="UTF-8"?><cleanmachines>

<version>2</version>

<encryption>0</encryption>

<package>

<id>10</id>

WSUS

<version/>

<description>This endpoint has failed check for any AS installation</description>

<type>10</type>

<optional>0</optional>

42#1

<remediation_type>1</remediation_type>

<remediation_retry>0</remediation_retry>

<remediation_delay>0</remediation_delay>

<action>10</action>

<check>

pr_WSUSCheck

</check>

<criteria/>

</package>

</cleanmachines>

De postmodule start automatisch de Microsoft Windows Update Agent om verbinding te maken met de WSUS en download updates zoals ingesteld in het WSUS-beleid (allemaal automatisch zonder enige gebruikersinterventie):

Opmerking: Voor sommige updates zou een systeemherstart nodig kunnen zijn.

Volledige netwerktoegang

U ziet dit nadat het station is gemeld als compatibel met de AnyConnect-postmodule:

Het rapport wordt verstuurd naar ISE, die het beleid herevalueert en de autorisatieregel ASA-VPN_compliance raakt. Dit biedt volledige netwerktoegang (via de Radius CoA). Navigeer naar Operations > Authenticaties om dit te bevestigen:

De debugs (ise-psc.log) bevestigen ook de compliance status, de CoA-trigger en de definitieve instellingen voor de functie:

DEBUG  [portal-http-service17][] cisco.cpm.posture.runtime.PostureManager -:cisco:

ac101f6400039000556b4200:::- Posture report token for endpoint mac

08-00-27-DA-EF-AD is Healthy

DEBUG  [portal-http-service17][] cisco.cpm.posture.runtime.PostureCoA -:cisco:

ac101f6400039000556b4200:::- entering triggerPostureCoA for session

ac101f6400039000556b4200

DEBUG  [portal-http-service17][] cisco.cpm.posture.runtime.PostureCoA -:cisco:ac

101f6400039000556b4200:::- Posture CoA is scheduled for session id

[ac101f6400039000556b4200]

DEBUG  [portal-http-service17][] cisco.cpm.posture.runtime.PostureHandlerImpl -:cisco:

ac101f6400039000556b4200:::- DM_PKG report non-AUP:html = <!--X-Perfigo-DM-Error=0-->

<!--error=0--><!--X-Perfigo-DmLogoff-Exit=0--><!--X-Perfigo-Gp-Update=0-->

<!--X-Perfigo-Auto-Close-Login-Scr=0--><!--X-Perfigo-Auto-Close-Login-Scr-Time=0-->

<!--user role=--><!--X-Perfigo-OrigRole=--><!--X-Perfigo-UserKey=dummykey-->

<!--X-Perfigo-RedirectUrl=--><!--X-Perfigo-ShowInfo=--><!--X-Perfigo-Session=-->

<!--X-Perfigo-SSO-Done=1--><!--X-Perfigo-Provider=Device Filter-->

<!--X-Perfigo-UserName=cisco--><!--X-Perfigo-DHCP-Release-Delay=4-->

<!--X-Perfigo-DHCP-Renew-Delay=1--><!--X-Perfigo-Client-MAC=08:00:27:DA:EF:AD-->

DEBUG  [pool-183-thread-1][]cisco.cpm.posture.runtime.PostureCoA -:cisco:

ac101f6400036000556b3f52:::- Posture CoA is triggered for endpoint [08-00-27-da-ef-ad]

with session [ac101f6400039000556b4200]

Ook bevestigt het rapport van de ISE, dat het station voldoet aan:

Opmerking: Het exacte adres van Media Access Control (MAC) van de fysieke netwerkinterface op Microsoft Windows PC is bekend vanwege de ACIDEX-uitbreidingen.

Problemen oplossen

Er is momenteel geen informatie over probleemoplossing beschikbaar voor deze configuratie.

Belangrijke opmerkingen

Deze sectie verschaft belangrijke informatie over de configuratie die in dit document wordt beschreven.

Optiegegevens voor WSUS-verbetering

Het is belangrijk de vereiste conditie te onderscheiden van de sanering. AnyConnect brengt de Microsoft Windows Update Agent in werking om de naleving te controleren, afhankelijk van de Windows-updates valideren met corrigerende instellingen.

Bij dit voorbeeld wordt het ernst-niveau gebruikt. Met de kritieke instelling controleert de Microsoft Windows Agent of er hangende (niet geïnstalleerde) kritische updates zijn. Als er iets is, dan begint het herstel.

Het herstelproces zou dan alle kritische en minder belangrijke updates op basis van de WSUS-configuratie kunnen installeren (updates goedgekeurd voor de specifieke machine).

Met de redactie van Windows updates die als Cisco Regels gebruiken, besluiten de voorwaarden die in de vereiste gedetailleerd zijn of het station voldoet.

Windows Update Service

Voor implementaties zonder een WSUS-server is er een ander hersteltype dat kan worden gebruikt met de naam Windows Update Remediation:

Dit type herstel maakt controle mogelijk over de instellingen voor Microsoft Windows Update en stelt u in staat onmiddellijke updates uit te voeren. Een typische voorwaarde die met dit hersteltype wordt gebruikt is pc_AutoUpdateCheck. Hiermee kunt u controleren of de instelling Microsoft Windows Update op het eindpunt is ingeschakeld. Als dit niet het geval is, kunt u dit activeren en het update uitvoeren.

SCCM-integratie

Een nieuwe functie voor de ISE versie 1.4, patchbeheer genaamd, maakt integratie met veel derden mogelijk. Afhankelijk van de verkoper zijn er meerdere opties beschikbaar voor zowel de omstandigheden als de oplossingen.

Voor Microsoft worden zowel de System Management Server (sms) als de System Center Configuration Manager (SCCM) ondersteund.

Gerelateerde informatie

- Postservices in de Cisco ISE Configuration Guide

- Administrator-gids voor Cisco Identity Services Engine, release 1.4

- Administrator-gids voor Cisco Identity Services Engine, release 1.3

- Windows Server Update Services implementeren in uw organisatie

- Technische ondersteuning en documentatie – Cisco Systems