NTP-verificatie configureren in ISE

Inleiding

In dit document wordt beschreven hoe NTP-verificatie kan worden geconfigureerd op Cisco Identity Services Engine (ISE) en hoe de NTP-verificatieproblemen kunnen worden opgelost.

Voorwaarden

Vereisten

Aanbevolen wordt om kennis te hebben van deze onderwerpen:

• Cisco ISE CLI-configuratie
• Kennis van het Network Time Protocol (NTP)

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

• ISE 2.7 standalone node
• CISCO2911/K9 versie 15.2(1)T2
  
  

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Configureren

Netwerkdiagram

Configuraties

Voordat u begint

U moet de Super Admin- of System Admin-beheerdersrol hebben toegewezen voor ISE-toegang.

Zorg ervoor dat de NTP-poort niet wordt geblokkeerd in het transitpad tussen ISE- en NTP-server(s).

Er wordt aangenomen dat u uw NTP-servers hebt geconfigureerd op ISE. Als u uw NTP-server(s) wilt wijzigen, gaat u naar Beheer > Systeem > Instellingen > Systeemtijd. Voor een korte video zie je ISE NTP Configuration

Opmerking: in het geval van gedistribueerde implementatie kiest u dezelfde Network Time Protocol (NTP)-server voor alle knooppunten. Om problemen met de tijdzone tussen de knooppunten te voorkomen, moet u bij de installatie van elk knooppunt dezelfde NTP-servernaam opgeven. Dit zorgt ervoor dat de rapporten en logs van de verschillende knooppunten in uw implementatie altijd worden gesynchroniseerd met tijdstempels.

Opmerking: u kunt de tijdzone niet wijzigen vanuit de GUI. U kunt dat doen via CLI, waarvoor de ISE-service opnieuw moet worden opgestart voor dat specifieke knooppunt. Het wordt aanbevolen om de gewenste tijdzone (standaard UTC) te gebruiken op het moment van installatie wanneer de initiële installatiewizard u vraagt naar de tijdzones. Zie Cisco bug ID CSCvo49755 gerelateerd aan het inschakelen van de CLI klok tijdzone opdracht.

Als u zowel primaire als secundaire Cisco ISE-nodes in uw implementatie hebt, moet u zich aanmelden bij de gebruikersinterface van elke node en de systeemtijd en NTP-serverinstellingen (Network Time Protocol) configureren.

U kunt de NTP-verificatie in ISE configureren vanuit de GUI of CLI.

GUI-stappen

Stap 1. Navigeer naar Beheer > Systeem > Instellingen > Systeemtijd en klik op NTP-verificatiesleutels, zoals weergegeven in deze afbeelding.

Stap 2. Hier kunt u een of meer authenticatiesleutels toevoegen. Klik op Toevoegen, dan krijg je een pop-up. Hier ondersteunt het veld Key ID numerieke waarden tussen 1 en 65535 en ondersteunt het veld Key Value maximaal 15 alfanumerieke tekens. De sleutelwaarde is de eigenlijke NTP-sleutel die wordt gebruikt om ISE als client te verifiëren op de NTP-server. De sleutel-ID moet ook overeenkomen met de ID die is geconfigureerd op de NTP-server. Kies de vereiste Hashed Message Authentication Code (HMAC)-waarde uit de HMAC-vervolgkeuzelijst.

Stap 3. Klik op OK en sla de verificatiesleutels op. U keert terug naar het tabblad NTP-serverconfiguratie.

Stap 4. In de vervolgkeuzelijst met sleutels ziet u de sleutel-ID die u in stap 3 hebt geconfigureerd. Klik op de betreffende sleutel-ID als u meerdere sleutel-ID's hebt geconfigureerd. Klik vervolgens op Opslaan.

CLI-stappen

Stap 1. Configureer de NTP-verificatiesleutel.

admin(config)# ntp authentication-key ?
<1-65535> Key number >>> This is the Key ID
admin(config)# ntp authentication-key 1 ? >>> Here you can choose the HMAC value
md5 MD5 authentication
sha1 SHA1 authentication
sha256 SHA256 authentication
sha512 SHA512 authentication
admin(config)# ntp authentication-key 1 md5 ? >>> You can choose either to paste the hash of the actual key or type the key in plain text. 
hash Specifies an ENCRYPTED (hashed) key follows
plain Specifies an UNENCRYPTED plain text key follows

admin(config)# ntp authentication-key 1 md5 plain Ntp123 >>> Ensure there are no spaces given at the end of the key.

Stap 2. Definieer de NTP-server en koppel de sleutel-ID die is geconfigureerd in stap 1.

admin(config)# ntp server IP/HOSTNAME ?
key Peer key number
<cr> Carriage return.

admin(config)# ntp serve IP/HOSTNAME key ?
<1-65535>

admin(config)# ntp serve IP/HOSTNAME key 1 ?
<cr> Carriage return.

admin(config)# ntp serve IP/HOSTNAME key 1

Configuratie op router

De router fungeert als een NTP-server. Configureer deze opdrachten om de router in te schakelen als een NTP-server met NTP-verificatie.

ntp authentication-key 1 md5 Ntp123 >>> The same key that you configured on ISE
ntp authenticate
ntp master STRATUM

Verifiëren

Over ISE:

Gebruik de opdracht show ntp. Als de NTP-verificatie succesvol is, moet de ISE worden gesynchroniseerd met de NTP-server.

admin# sh ntp
Configured NTP Servers:
NTP_SERVER_IP

Reference ID : 0A6A23B1 (NTP_SERVER_IP)
Stratum : 3
Ref time (UTC) : Fri Mar 26 09:14:31 2021
System time : 0.000008235 seconds fast of NTP time
Last offset : +0.000003193 seconds
RMS offset : 0.000020295 seconds
Frequency : 10.472 ppm slow
Residual freq : +0.000 ppm
Skew : 0.018 ppm
Root delay : 0.000571255 seconds
Root dispersion : 0.000375993 seconds
Update interval : 519.3 seconds
Leap status : Normal >>> If there is any issue in NTP synchronization, it shows "Not synchronised".

210 Number of sources = 1
MS Name/IP address Stratum Poll Reach LastRx Last sample
===============================================================================
^* NTP_SERVER_IP 2 9 377 100 +3853ns[+7046ns] +/- 684us

M indicates the mode of the source.
^ server, = peer, # local reference clock.

S indicates the state of the sources.
* Current time source, + Candidate, x False ticker, ? Connectivity lost, ~ Too much variability

Warning: Output results can conflict at the time of changing synchronization.

admin#

Problemen oplossen

Deze sectie bevat informatie voor het troubleshooten van de configuratie.

1. Als de NTP-verificatie niet werkt, is de eerste stap om de bereikbaarheid tussen ISE en NTP-server te garanderen.
   
   
2. Controleer of de configuratie van de sleutel-ID overeenkomt met die op ISE en op de NTP-server.
   
   
3. Zorg ervoor dat de sleutel-ID is geconfigureerd als vertrouwde sleutel op de NTP-server.
   
   
4. De oudere versies van ISE zoals 2.4 en 2.6 ondersteunen de ntp trusted-key opdracht. Zorg er dus voor dat u de NTP-sleutel hebt geconfigureerd als vertrouwde sleutel op deze ISE-versies.
   
   
5. ISE 2.7 introduceert een gedragsverandering voor NTP-synchronisatie. Terwijl eerdere versies gebruik maken van ntpd, 2.7 en hogere versies maken gebruik van chrony. Chrony heeft andere eisen dan ntpd. Een van de meest opvallende is dat terwijl ntpd synchroniseert met servers met een rootdispersie van maximaal 10 seconden, chrony alleen synchroniseert wanneer de rootdispersie minder dan 3 seconden is. Dit zorgt ervoor dat de NTP-servers die in staat waren om pre-upgrade te synchroniseren, niet meer synchroon lopen op 2.7 zonder enige duidelijke reden.
   
   

   Vanwege deze wijziging worden NTP-synchronisatieproblemen vaak gezien als u de Windows NTP-server gebruikt omdat deze een zeer grote rootdispersie (3 of meer seconden) rapporteert en dit zorgt ervoor dat de chronologie de NTP-server als te onnauwkeurig negeert.

Referentiedefecten

Cisco bug ID CSCvw78019

Cisco bug ID CSCvw03693

Gerelateerde informatie

• Troubleshooting- en foutopsporingsgids voor NTP-problemen (Network Time Protocol)

Revisiegeschiedenis

Revisie	Publicatiedatum	Opmerkingen
4.0	04-Aug-2026	Hercertificering - bijgewerkte opmaak
3.0	28-May-2024	Bijgewerkte koppen, alt-tekst en opmaak.
2.0	16-May-2023	hercertificering
1.0	28-Jun-2021	Eerste vrijgave