Wi-Fi analyses begrijpen voor endpointclassificatie op ISE 3.3

Inleiding

In dit document wordt beschreven hoe WiFi Analytics voor endpointclassificatie werkt. Het beschrijft ook hoe te te vormen, te verifiëren, en het problemen op te lossen.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• 9800 draadloze LAN-controllers (WLC)
• Configuratie van Identity Services Engine (ISE)
• RADIUS-verificatie. Autorisatie en accounting (AAA), pakketstroom en terminologie

Dit document gaat ervan uit dat er al een werkende WLAN-verificatie-clients zijn die ISE als RADIUS-server gebruiken.

Deze optie werkt alleen als minimaal het volgende is vereist:

• 980 WLC Cisco IOS® XE Dublin 17.10.1 
• Identificeer Services Engine v3.3.
• 802.11ac Wave2- of 802.11ax (Wi-Fi 6/6E) access points

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

• 980 WLC Cisco IOS XE v17.12.x
• Identity Services Engine (ISE) v3.3
• Android 13-apparaat

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

Via WiFi-apparaatanalyse kan Cisco 9800 WLC kenmerken, zoals modelnummer en OS-versie, leren van een aantal eindpunten die met dit apparaat zijn verbonden en deze delen met ISE. ISE kan deze informatie gebruiken voor Endpoint Classification, ook bekend als Profiling, doeleinden.

Op dit moment wordt WiFi Analytics ondersteund door de volgende leveranciers:

• appel
• Intel
• Samsung

De WLC deelt de attribuutinformatie met de server van ISE met behulp van RADIUS-accounting pakketten.WiFi analyse-gegevensstroom

Het is belangrijk om te onthouden dat RADIUS-accounting-pakketten op een RADIUS AAA-stroom alleen worden verzonden nadat de RADIUS-server een RADIUS-access-acceptabel pakket verstuurt als antwoord op de verificatiepoging voor endpoints. In volgorde van woorden deelt WLC de endpointattribuutinformatie alleen nadat een RADIUS-sessie voor dat eindpunt is ingesteld tussen de RADIUS-server (ISE) en Network Access Device (WLC).

Dit zijn alle eigenschappen waar ISE gebruik van kan maken voor Endpoint Classification en autorisatie:

• APPARAAT_INFO_FIRMWARE_VERSIE
• APPARAAT_INFO_HW_MODEL
• APPARAAT_INFO_FABRIKANT_MODEL
• APPARAAT_INFO_MODEL_NAAM
• APPARAAT_INFO_MODEL_NUM
• APPARAAT_INFO_OS_VERSIE
• APPARAAT_INFO_LEVERANCIER_TYPE

Zodra ISE het Accounting pakket ontvangt, kan het deze analysegegevens verwerken en gebruiken binnen het pakket, en het gebruiken om een eindpuntprofiel/identiteitsgroep opnieuw toe te wijzen.

De eigenschappen van de WiFi Endpoint Analytics worden in het woordenboek WiFi_Device_Analytics vermeld. Netwerkbeheerders kunnen deze kenmerken opnemen in het beleid en de voorwaarden voor de endpointautorisatie.

Woordenboek voor WiFi-apparaatanalyse

Als er veranderingen in de huidige attribuutwaarden plaatsvinden die ISE opslaat voor het eindpunt, start ISE vervolgens een Verandering van autorisatie (CoA), zodat het eindpunt kan worden geëvalueerd met inachtneming van de geactualiseerde eigenschappen.

Configureren

Configuraties op WLC

Stap 1. De functie voor apparaatclassificatie wereldwijd inschakelen

Navigeer naar Configuration > Wireless > Wireless Global en vink het aanvinkvakje Apparaatclassificatie aan. 

Configuratie van apparaatclassificatie

Stap 2. TLV-caching en RADIUS-profilering inschakelen

Navigeer naar Configuration > Tags en profielen > Policy en selecteer het beleidsprofiel dat wordt gebruikt door het WLAN waar de RADIUS-clients verbinding maken.

Draadloos beleid selecteren

Klik op Toegangsbeleid en controleer de opties RADIUS-profielen, HTTP TLV-caching en DHCP TLV-caching. Vanwege de actie die is ondernomen in de vorige stap, wordt nu de status Ingeschakeld weergegeven in de Global State of Device Classification. Configuratie van RADIUS-profielen en -caching

Log in op WLC CLI en schakel dot11 TLV-accounting in.

vimontes-wlc#configure terminal
vimontes-wlc(config)#wireless profile policy policy-profile-name
vimontes-wlc(config-wireless-policy)#dot11-tlv-accounting

Configuraties op ISE 

Stap 1. Profilingservices inschakelen in de PSN’s bij de implementatie

Navigeer naar Beheer > implementatie en klik op de naam van de PSN.

Selectie van ISE-PSN-knooppunt

Blader naar beneden naar de sectie Beleidsservice en vink het aanvinkvakje Enable Profiling Service aan. Klik op de knop Opslaan.

Configuratie van profielservices

Stap 2. De RADIUS-profileringssonde inschakelen op ISE-PSN

Blader naar boven op de pagina en klik op het tabblad Configuratie profielen. Dit toont alle het profileren sondes beschikbaar aan gebruik op ISE. Schakel de RADIUS-sonde in en klik op Opslaan.

Configuratie van RADIUS-profielen

Stap 3. Filter van CoA-type en endpointkenmerken instellen

Ga naar Beheer > Systeem > Instellingen > Profileren. Stel CoA Type in op Reauth en controleer of het selectievakje Endpoint Attribute Filter niet is ingeschakeld.

Configuratie van CoA-filter voor type en kenmerken

Stap 4. Autorisatiebeleid configureren met WiFi Analytics Data Attributes

Navigeer naar het menu Beleidssets > Beleidssets en selecteer de Beleidsset die wordt gebruikt door uw draadloze netwerk.

Selectie van beleidsset

Klik op Autorisatiebeleid en configureer de autorisatievoorwaarden om de woordenboekkenmerken Endpoint Policy en WiFi Device Analytics op te nemen.Configuratie van autorisatiebeleid

Verifiëren

Op ISE GUI, navigeer naar Operations > RADIUS > Live logs. U kunt meerdere velden gebruiken om de items in dit venster te filteren en de records van de testendpoints te vinden.

ISE-livelogs voor testendpoints

a. Initiële endpointverificatie-aanvraag bereikt ISE. Het veld Endpoint Profile is leeg omdat het Accounting-pakket voor deze sessie op dit punt nog geen ISE-encryptie heeft bereikt.

b. CoA wordt verzonden van ISE naar het NAD sinds het boekhoudpakket met endpointkenmerken nu is ontvangen.

c. Nadat de CoA met succes is verzonden, wordt endpoint opnieuw geauthenticeerd. Ditmaal kunt u het nieuwe toegewezen endpointprofiel bekijken en zien of er een ander autorisatieresultaat is toegewezen.

Klik op het pictogram in de kolom Details in het veld Wijzigen van autorisatie.

Toegang tot CoA-pakketgegevens

De CoA gedetailleerde informatie wordt weergegeven in een nieuwe browser tabblad. Blader naar beneden naar de sectie Andere kenmerken.

CoA-broncomponent wordt weergegeven als profiler. CoA Reason wordt weergegeven als wijziging in endpointidentiteitsgroep/beleid/logisch profiel die worden gebruikt in het autorisatiebeleid.

CoA-triggercomponent en reden

Navigeer naar Context Visibility > Endpoints > Verificatie tabblad. Gebruik in dit tabblad de filters om het testendpoint te vinden. 

Klik op het MAC-adres van het eindpunt om toegang te krijgen tot de endpointkenmerken.

Endpoint op zichtbaarheid context

Deze actie geeft alle informatie weer die ISE over dit eindpunt opslaat. Klik op de sectie Kenmerken en selecteer vervolgens Andere kenmerken.

Endpoint andere selectie van kenmerken op zichtbaarheid context

Scroll naar beneden tot je de attributen van het woordenboek WiFi_Device_Analytics vindt. De plaatsbepaling van deze eigenschappen op deze sectie betekent dat ISE hen met succes door de pakketten van de Boekhouding ontving en voor Endpoint Classificatie kan worden gebruikt.

WiFi-analysekenmerken op contextzichtbaarheid

Hier zijn voorbeelden van Windows 10- en iPhone-kenmerken:

Voorbeeld van Windows 10-endpointkenmerkenVoorbeeld van iPhone Endpoint Attributes

Problemen oplossen

Stap 1. Boekhoudpakketten bereiken ISE

Zorg er bij WLC CLI voor dat DOT11 TLV-accounting, DHCP TLV-caching en HTTP TLV-caching zijn ingeschakeld op de configuraties van beleidsprofielen.

vimontes-wlc#show running-config | section wireless profile policy policy-profile-name
wireless profile policy policy-profile-name
 aaa-override
 accounting-list AAA-LIST
 dhcp-tlv-caching
 dot11-tlv-accounting
 http-tlv-caching
 radius-profiling
 no shutdown

Verzamel pakketopnamen op WLC- of ISE-eindpunten terwijl u een eindpunt aansluit. U kunt elk bekend pakketanalyseprogramma gebruiken, zoals Wireshark, om de verzamelde bestanden te analyseren.

Filter op RADIUS-accounting pakketten en door Calling Station ID (testend endpoint MAC Address). Dit filter kan bijvoorbeeld worden gebruikt: 

radius.code == 4 && radius.Calling_Station_Id == "xx-xx-xx-xx-xx-xx"

Nadat u de locatie hebt bepaald, vouwt u de velden Cisco-AVPair uit om de WiFi-analysegegevens in het accounting pakket te vinden.

Endpoint TLV-kenmerken in een accounting pakket

Stap 2. ISE Parseert het accounting pakket met de endpointkenmerken

Op ISE-end kunnen deze componenten op DEBUG-niveau worden ingesteld om ervoor te zorgen dat RADIUS-accounting pakketten die tegen dan WLC worden verzonden, ISE bereiken en correct worden verwerkt.

U kunt vervolgens ISE-ondersteuningsbundel verzamelen om de logbestanden te verzamelen. Raadpleeg het gedeelte Verwante informatie voor meer informatie over het verzamelen van ondersteuningsbundels.

Te debuggen componenten voor probleemoplossing

Op iseLocalStore.log wordt het bericht Accounting-Start geregistreerd zonder dat een component op DEBUG-niveau moet worden ingeschakeld. Hier moet ISE het inkomende accounting pakket zien dat de WiFi Analytics kenmerken bevat.

2023-09-27 18:19:23.600 +00:00 0000035538 3000 NOTICE Radius-Accounting: RADIUS Accounting start request, ConfigVersionId=1493, 
Device IP Address=172.16.5.169, UserName=bob, NetworkDeviceName=lab-wlc, User-Name=bob, NAS-IP-Address=172.16.5.169, NAS-Port=260613,
Framed-IP-Address=172.16.5.76, Class=CACS:A90510AC0000005BD7DDDAA7:iselab/484624451/303, Called-Station-ID=00-1e-f6-5c-16-ff, 
Calling-Station-ID=0a-5a-f0-b3-b5-9c, NAS-Identifier=vimontes-wlc, Acct-Status-Type=Start, Acct-Delay-Time=0, Acct-Session-Id=00000018, 
Acct-Authentic=Remote, Event-Timestamp=1695838756, NAS-Port-Type=Wireless - IEEE 802.11, cisco-av-pair=dc-profile-name=Samsung Galaxy S22+, 
cisco-av-pair=dc-device-name=Victor-s-S22, cisco-av-pair=dc-device-class-tag=Samsung Galaxy S22+, cisco-av-pair=dc-certainty-metric=40, 
cisco-av-pair=64:63:2d:6f:70:61:71:75:65:3d:01:00:00:00:00:00:00:00:00:00:00:00, cisco-av-pair=dc-protocol-map=1025, cisco-av-pair=dhcp-option=host-name=Victor-s-S22, 
cisco-av-pair=dhcp-option=dhcp-class-identifier=android-dhcp-13, cisco-av-pair=dhcp-option=dhcp-parameter-request-list=1\, 3\, 6\, 15\, 26\, 28\, 51\, 58\, 59\, 43\, 114\, 108, 
cisco-av-pair=dot11-device-info=DEVICE_INFO_MODEL_NUM=Samsung Galaxy S22+, cisco-av-pair=dot11-device-info=DEVICE_INFO_FIRMWARE_VERSION=WH6, 
cisco-av-pair=dot11-device-info=DEVICE_INFO_SALES_CODE=MXO, cisco-av-pair=dot11-device-info=DEVICE_INFO_DEVICE_FORM=1, 
cisco-av-pair=dot11-device-info=DEVICE_INFO_OS_VERSION=Android 13, cisco-av-pair=dot11-device-info=DEVICE_INFO_COUNTRY_CODE=Unknown, 
cisco-av-pair=dot11-device-info=DEVICE_INFO_VENDOR_TYPE=2, cisco-av-pair=audit-session-id=A90510AC0000005BD7DDDAA7, cisco-av-pair=vlan-id=2606, cisco-av-pair=method=dot1x, 
cisco-av-pair=cisco-wlan-ssid=VIcSSID, cisco-av-pair=wlan-profile-name=ISE-AAA, Airespace-Wlan-Id=1, AcsSessionID=iselab/484624451/304, SelectedAccessService=Default Network Access, 
RequestLatency=15, Step=11004, Step=11017, Step=15049, Step=15008, Step=22083, Step=11005, NetworkDeviceGroups=IPSEC#Is IPSEC Device#No, NetworkDeviceGroups=Location#All Locations, 
NetworkDeviceGroups=Device Type#All Device Types, CPMSessionID=A90510AC0000005BD7DDDAA7, TotalAuthenLatency=15, ClientLatency=0, Network Device Profile=Cisco, Location=Location#All Locations, 
Device Type=Device Type#All Device Types, IPSEC=IPSEC#Is IPSEC Device#No, 

Op prt-server.log parseert ISE het ontvangen pakketanalysebericht, inclusief de WiFi Analytics-kenmerken. Gebruik de velden CallingStationID en CPMSessionID om ervoor te zorgen dat de juiste sessie en het juiste eindpunt worden bijgehouden. 

Radius,2023-09-27 18:19:23,586,DEBUG,0x7f50a2b67700,cntx=0000192474,sesn=iselab/484624451/304,
CPMSessionID=A90510AC0000005BD7DDDAA7,CallingStationID=0a-5a-f0-b3-b5-9c,FramedIPAddress=172.16.5.76,RADIUS PACKET:: 
Code=4(AccountingRequest) Identifier=39 Length=934
     [1] User-Name - value: [bob] 
     [4] NAS-IP-Address - value: [172.16.5.169] 
     [5] NAS-Port - value: [260613] 
     [8] Framed-IP-Address - value: [172.16.5.76] 
     [25] Class - value: [****] 
     [30] Called-Station-ID - value: [00-1e-f6-5c-16-ff] 
     [31] Calling-Station-ID - value: [0a-5a-f0-b3-b5-9c] 
     [32] NAS-Identifier - value: [vimontes-wlc] 
     [40] Acct-Status-Type - value: [Start] 
     [41] Acct-Delay-Time - value: [0] 
     [44] Acct-Session-Id - value: [00000018] 
     [45] Acct-Authentic - value: [Remote] 
     [55] Event-Timestamp - value: [1695838756] 
     [61] NAS-Port-Type - value: [Wireless - IEEE 802.11] 
     [26] cisco-av-pair - value: [dc-profile-name=Samsung Galaxy S22+] 
     [26] cisco-av-pair - value: [dc-device-name=Victor-s-S22] 
     [26] cisco-av-pair - value: [dc-device-class-tag=Samsung Galaxy S22+] 
     [26] cisco-av-pair - value: [dc-certainty-metric=40] 
     [26] cisco-av-pair - value: [dc-opaque=<01><00><00><00><00><00><00><00><00><00><00><00>] 
     [26] cisco-av-pair - value: [dc-protocol-map=1025] 
     [26] cisco-av-pair - value: [dhcp-option=<00><0c><00><0c>Victor-s-S22] 
     [26] cisco-av-pair - value: [dhcp-option=<00><<00><0f>android-dhcp-13] 
     [26] cisco-av-pair - value: [dhcp-option=<00>7<00><0c><01><03><06><0f><1a><1c>3:;+rl] 
     [26] cisco-av-pair - value: [dot11-device-info=<00><00><00><13>Samsung Galaxy S22+] 
     [26] cisco-av-pair - value: [dot11-device-info=<00><01><00><03>WH6] 
     [26] cisco-av-pair - value: [dot11-device-info=<00><02><00><03>MXO] 
     [26] cisco-av-pair - value: [dot11-device-info=<00><03><00><01>1] 
     [26] cisco-av-pair - value: [dot11-device-info=<00><04><00>
Android 13] 
     [26] cisco-av-pair - value: [dot11-device-info=<00><05><00><07>Unknown] 
     [26] cisco-av-pair - value: [dot11-device-info=<00>
<00><01>2] 
     [26] cisco-av-pair - value: [audit-session-id=A90510AC0000005BD7DDDAA7] 
     [26] cisco-av-pair - value: [vlan-id=2606] 
     [26] cisco-av-pair - value: [method=dot1x] 
     [26] cisco-av-pair - value: [cisco-wlan-ssid=VIcSSID] 
     [26] cisco-av-pair - value: [wlan-profile-name=ISE-AAA] 
     [26] Airespace-Wlan-Id - value: [<00><00><00><01>] ,RADIUSHandler.cpp:2453

Stap 3. Endpoint Attributes worden bijgewerkt en Endpoint wordt geclassificeerd

Dit syslog bericht wordt dan gedeeld met de profiler component. Profiler.log ontvangt het geparste syslog bericht en haalt de endpointkenmerken uit.

2023-09-27 18:19:23,601 DEBUG  [SyslogListenerThread][[]] cisco.profiler.probes.radius.SyslogMonitor -:::::- Radius Packet Received 1266
2023-09-27 18:19:23,601 DEBUG  [SyslogListenerThread][[]] cisco.profiler.probes.radius.SyslogDefragmenter -:::::- parseHeader inBuffer=<181>Sep 27 18:19:23 iselab 
CISE_RADIUS_Accounting 0000000297 3 0 2023-09-27 18:19:23.600 +00:00 0000035538 3000 NOTICE Radius-Accounting: RADIUS Accounting start request, ConfigVersionId=1493, Device IP Address=172.16.5.169, 
UserName=bob, NetworkDeviceName=lab-wlc, User-Name=bob, NAS-IP-Address=172.16.5.169, NAS-Port=260613, Framed-IP-Address=172.16.5.76, Class=CACS:A90510AC0000005BD7DDDAA7:iselab/484624451/303, 
Called-Station-ID=00-1e-f6-5c-16-ff, Calling-Station-ID=0a-5a-f0-b3-b5-9c, NAS-Identifier=vimontes-wlc, Acct-Status-Type=Start, Acct-Delay-Time=0, Acct-Session-Id=00000018, Acct-Authentic=Remote, 
Event-Timestamp=1695838756, NAS-Port-Type=Wireless - IEEE 802.11, cisco-av-pair=dc-profile-name=Samsung Galaxy S22+, cisco-av-pair=dc-device-name=Victor-s-S22, 
cisco-av-pair=dc-device-class-tag=Samsung Galaxy S22+, cisco-av-pair=dc-certainty-metric=40, 
cisco-av-pair=64:63:2d:6f:70:61:71:75:65:3d:01:00:00:00:00:00:00:00:00:00:00:00, cisco-av-pair=dc-protocol-map=1025,
2023-09-27 18:19:23,601 DEBUG  [SyslogListenerThread][[]] cisco.profiler.probes.radius.SyslogMonitor -:::::- Radius Packet Received 1267
2023-09-27 18:19:23,601 DEBUG  [SyslogListenerThread][[]] cisco.profiler.probes.radius.SyslogDefragmenter -:::::- parseHeader inBuffer=<181>Sep 27 18:19:23 iselab CISE_RADIUS_Accounting 0000000297 3 1  
cisco-av-pair=dhcp-option=host-name=Victor-s-S22, cisco-av-pair=dhcp-option=dhcp-class-identifier=android-dhcp-13, cisco-av-pair=dhcp-option=dhcp-parameter-request-list=1\, 3\, 6\, 15\, 26\, 28\, 51\, 58\, 59\, 43\, 114\, 108, 
cisco-av-pair=dot11-device-info=DEVICE_INFO_MODEL_NUM=Samsung Galaxy S22+, cisco-av-pair=dot11-device-info=DEVICE_INFO_FIRMWARE_VERSION=WH6, cisco-av-pair=dot11-device-info=DEVICE_INFO_SALES_CODE=MXO, 
cisco-av-pair=dot11-device-info=DEVICE_INFO_DEVICE_FORM=1, cisco-av-pair=dot11-device-info=DEVICE_INFO_OS_VERSION=Android 13, cisco-av-pair=dot11-device-info=DEVICE_INFO_COUNTRY_CODE=Unknown, 
cisco-av-pair=dot11-device-info=DEVICE_INFO_VENDOR_TYPE=2, cisco-av-pair=audit-session-id=A90510AC0000005BD7DDDAA7, cisco-av-pair=vlan-id=2606, cisco-av-pair=method=dot1x, cisco-av-pair=cisco-wlan-ssid=VIcSSID, 
cisco-av-pair=wlan-profile-name=ISE-AAA, Airespace-Wlan-Id=1, AcsSessionID=iselab/484624451/304,

De informatie over endpointkenmerken wordt bijgewerkt.

2023-09-27 18:19:23,602 DEBUG  [RADIUSParser-1-thread-2][[]] cisco.profiler.probes.radius.RadiusParser -:A90510AC0000005BD7DDDAA7::::- Device Analytics data  1: DEVICE_INFO_FIRMWARE_VERSION=[WH6]
2023-09-27 18:19:23,602 DEBUG  [RADIUSParser-1-thread-2][[]] cisco.profiler.probes.radius.RadiusParser -:A90510AC0000005BD7DDDAA7::::- Device Analytics data  1: DEVICE_INFO_SALES_CODE=[MXO]
2023-09-27 18:19:23,602 DEBUG  [RADIUSParser-1-thread-2][[]] cisco.profiler.probes.radius.RadiusParser -:A90510AC0000005BD7DDDAA7::::- Device Analytics data  1: DEVICE_INFO_DEVICE_FORM=[1]
2023-09-27 18:19:23,602 DEBUG  [RADIUSParser-1-thread-2][[]] cisco.profiler.probes.radius.RadiusParser -:A90510AC0000005BD7DDDAA7::::- Device Analytics data  1: DEVICE_INFO_OS_VERSION=[Android 13]
2023-09-27 18:19:23,602 DEBUG  [RADIUSParser-1-thread-2][[]] cisco.profiler.probes.radius.RadiusParser -:A90510AC0000005BD7DDDAA7::::- Device Analytics data  1: DEVICE_INFO_COUNTRY_CODE=[Unknown]
2023-09-27 18:19:23,602 DEBUG  [RADIUSParser-1-thread-2][[]] cisco.profiler.probes.radius.RadiusParser -:A90510AC0000005BD7DDDAA7::::- Device Analytics data  1: DEVICE_INFO_VENDOR_TYPE=[2]

2023-09-27 18:19:23,602 DEBUG  [RADIUSParser-1-thread-2][[]] cisco.profiler.probes.radius.RadiusParser -:A90510AC0000005BD7DDDAA7::::- Endpoint: EndPoint[id=,name=]
MAC: 0A:5A:F0:B3:B5:9C
	Attribute:AAA-Server	 value:iselab
	Attribute:Acct-Authentic	 value:Remote
	Attribute:Acct-Delay-Time	 value:0
	Attribute:Acct-Session-Id	 value:00000018
	Attribute:Acct-Status-Type	 value:Start
	Attribute:AcsSessionID	 value:iselab/484624451/304
	Attribute:Airespace-Wlan-Id	 value:1
	Attribute:BYODRegistration	 value:Unknown
	Attribute:CPMSessionID	 value:A90510AC0000005BD7DDDAA7
	Attribute:Called-Station-ID	 value:00-1e-f6-5c-16-ff
	Attribute:Calling-Station-ID	 value:0a-5a-f0-b3-b5-9c
	Attribute:Class	 value:CACS:A90510AC0000005BD7DDDAA7:iselab/484624451/303
	Attribute:ClientLatency	 value:0
	Attribute:DEVICE_INFO_COUNTRY_CODE	 value:Unknown
	Attribute:DEVICE_INFO_DEVICE_FORM	 value:PHONE
	Attribute:DEVICE_INFO_FIRMWARE_VERSION	 value:WH6
	Attribute:DEVICE_INFO_MODEL_NUM	 value:Samsung Galaxy S22+
	Attribute:DEVICE_INFO_OS_VERSION	 value:Android 13
	Attribute:DEVICE_INFO_SALES_CODE	 value:MXO
	Attribute:DEVICE_INFO_VENDOR_TYPE	 value:SAMSUNG
	Attribute:Device IP Address	 value:172.16.5.169
	Attribute:Device Type	 value:Device Type#All Device Types
	Attribute:DeviceRegistrationStatus	 value:NotRegistered
	Attribute:EndPointPolicy	 value:Unknown
	Attribute:EndPointPolicyID	 value:
	Attribute:EndPointSource	 value:RADIUS Probe
	Attribute:Event-Timestamp	 value:1695838756
	Attribute:Framed-IP-Address	 value:172.16.5.76
	Attribute:IPSEC	 value:IPSEC#Is IPSEC Device#No
	Attribute:Location	 value:Location#All Locations
	Attribute:MACAddress	 value:0A:5A:F0:B3:B5:9C
	Attribute:MatchedPolicy	 value:Unknown
	Attribute:MatchedPolicyID	 value:
	Attribute:MessageCode	 value:3000
	Attribute:NAS-IP-Address	 value:172.16.5.169
	Attribute:NAS-Identifier	 value:vimontes-wlc
	Attribute:NAS-Port	 value:260613
	Attribute:NAS-Port-Type	 value:Wireless - IEEE 802.11
	Attribute:Network Device Profile	 value:Cisco
	Attribute:NetworkDeviceGroups	 value:IPSEC#Is IPSEC Device#No, Location#All Locations, Device Type#All Device Types
	Attribute:NetworkDeviceName	 value:lab-wlc
	Attribute:NmapSubnetScanID	 value:0
	Attribute:OUI	 value:UNKNOWN
	Attribute:PolicyVersion	 value:0
	Attribute:PortalUser	 value:
	Attribute:PostureApplicable	 value:Yes
	Attribute:RequestLatency	 value:15
	Attribute:StaticAssignment	 value:false
	Attribute:StaticGroupAssignment	 value:false
	Attribute:Total Certainty Factor	 value:0
	Attribute:TotalAuthenLatency	 value:15
	Attribute:User-Name	 value:bob
	Attribute:cisco-av-pair	 value:dc-profile-name=Samsung Galaxy S22+, dc-device-name=Victor-s-S22, dc-device-class-tag=Samsung Galaxy S22+, dc-certainty-metric=40, 64:63:2d:6f:70:61:71:75:65:3d:01:00:00:00:00:00:00:00:00:00:00:00, dc-protocol-map=1025, dhcp-option=host-name=Victor-s-S22, dhcp-option=dhcp-class-identifier=android-dhcp-13, dhcp-option=dhcp-parameter-request-list=1\, 3\, 6\, 15\, 26\, 28\, 51\, 58\, 59\, 43\, 114\, 108, dot11-device-info=DEVICE_INFO_MODEL_NUM=Samsung Galaxy S22+, dot11-device-info=DEVICE_INFO_FIRMWARE_VERSION=WH6, dot11-device-info=DEVICE_INFO_SALES_CODE=MXO, dot11-device-info=DEVICE_INFO_DEVICE_FORM=1, dot11-device-info=DEVICE_INFO_OS_VERSION=Android 13, dot11-device-info=DEVICE_INFO_COUNTRY_CODE=Unknown, dot11-device-info=DEVICE_INFO_VENDOR_TYPE=2, audit-session-id=A90510AC0000005BD7DDDAA7, vlan-id=2606, method=dot1x, cisco-wlan-ssid=VIcSSID, wlan-profile-name=ISE-AAA
	Attribute:dhcp-class-identifier	 value:android-dhcp-13
	Attribute:dhcp-parameter-request-list	 value:1, 3, 6, 15, 26, 28, 51, 58, 59, 43, 114, 108
	Attribute:host-name	 value:Victor-s-S22
	Attribute:ip	 value:172.16.5.76
	Attribute:SkipProfiling	 value:false

De attributenupdate leidt tot een nieuwe endpoint profiling gebeurtenis. Profileringsbeleid wordt opnieuw geëvalueerd en er wordt een nieuw profiel toegewezen.

2023-09-27 18:19:24,098 DEBUG  [pool-533-thread-35][[]] cisco.profiler.infrastructure.profiling.ProfilerManager -:A90510AC0000005BD7DDDAA7::62cc7a10-5d62-11ee-bf1f-b6bb1580ab0d:Profiling:- Policy Android matched 0A:5A:F0:B3:B5:9C (certainty 30)
2023-09-27 18:19:24,098 DEBUG  [pool-533-thread-35][[]] cisco.profiler.infrastructure.profiling.ProfilerManager -:A90510AC0000005BD7DDDAA7::62cc7a10-5d62-11ee-bf1f-b6bb1580ab0d:Profiling:- EndPoint is profiled by Admin First: ADMINFIRST
2023-09-27 18:19:24,098 DEBUG  [pool-533-thread-35][[]] cisco.profiler.infrastructure.profiling.ProfilerManager -:A90510AC0000005BD7DDDAA7::62cc7a10-5d62-11ee-bf1f-b6bb1580ab0d:Profiling:- Policy Android matched 0A:5A:F0:B3:B5:9C (certainty 30)com.cisco.profiler.infrastructure.profiling.ProfilerManager$MatchingPolicyInternal@14ec7800

Stap 4. CoA en opnieuw authenticeren

ISE moet een CoA verzenden voor de endpointsessie omdat er een wijziging is opgetreden in de eigenschappen van de WiFi-apparaatanalyse.

2023-09-27 18:19:24,103 DEBUG  [pool-533-thread-35][[]] cisco.profiler.infrastructure.profiling.ProfilerManager -:A90510AC0000005BD7DDDAA7::62cc7a10-5d62-11ee-bf1f-b6bb1580ab0d:Profiling:- Endpoint 0A:5A:F0:B3:B5:9C IdentityGroup / Logical Profile Changed/ WiFi device analytics attribute changed. Issuing a Conditional CoA
2023-09-27 18:19:24,103 DEBUG  [pool-533-thread-35][[]] cisco.profiler.infrastructure.profiling.ProfilerManager -:A90510AC0000005BD7DDDAA7::62cc7a10-5d62-11ee-bf1f-b6bb1580ab0d:Profiling:- ConditionalCoAEvent with Endpoint Details : EndPoint[id=62caa550-5d62-11ee-bf1f-b6bb1580ab0d,name=]
MAC: 0A:5A:F0:B3:B5:9C
	Attribute:AAA-Server	 value:iselab
	Attribute:Airespace-Wlan-Id	 value:1
	Attribute:AllowedProtocolMatchedRule	 value:Default
	Attribute:AuthenticationIdentityStore	 value:Internal Users
	Attribute:AuthenticationMethod	 value:MSCHAPV2
	Attribute:AuthenticationStatus	 value:AuthenticationPassed
	Attribute:AuthorizationPolicyMatchedRule	 value:Catch Policy
	Attribute:BYODRegistration	 value:Unknown
	Attribute:CLASSIFICATION_FLOW	 value:none
	Attribute:CacheUpdateTime	 value:1695838764086
	Attribute:Called-Station-ID	 value:00-1e-f6-5c-16-ff
	Attribute:Calling-Station-ID	 value:0a-5a-f0-b3-b5-9c
	Attribute:ClientLatency	 value:0
	Attribute:DEVICE_INFO_COUNTRY_CODE	 value:Unknown
	Attribute:DEVICE_INFO_DEVICE_FORM	 value:PHONE
	Attribute:DEVICE_INFO_FIRMWARE_VERSION	 value:WH6
	Attribute:DEVICE_INFO_MODEL_NUM	 value:Samsung Galaxy S22+
	Attribute:DEVICE_INFO_OS_VERSION	 value:Android 13
	Attribute:DEVICE_INFO_SALES_CODE	 value:MXO
	Attribute:DEVICE_INFO_VENDOR_TYPE	 value:SAMSUNG
	Attribute:DTLSSupport	 value:Unknown
	Attribute:DestinationIPAddress	 value:172.16.5.112
	Attribute:DestinationPort	 value:1812<
	Attribute:Device IP Address	 value:172.16.5.169
	Attribute:Device Type	 value:Device Type#All Device Types
	Attribute:DeviceRegistrationStatus	 value:NotRegistered
	Attribute:DoReplicate	 value:false
	Attribute:EnableFlag	 value:Enabled
	Attribute:EndPointMACAddress	 value:0A-5A-F0-B3-B5-9C
	Attribute:EndPointPolicy	 value:Android
	Attribute:EndPointPolicyID	 value:ffafa000-8bff-11e6-996c-525400b48521
	Attribute:EndPointProfilerServer	 value:iselab.vimontes.cisco.com
	Attribute:EndPointSource	 value:RADIUS Probe
	Attribute:EndPointVersion	 value:4
	Attribute:FailureReason	 value:-
	Attribute:FirstCollection	 value:1695838763963
	Attribute:Framed-IP-Address	 value:172.16.5.76
	Attribute:IPSEC	 value:IPSEC#Is IPSEC Device#No
	Attribute:IdentityGroup	 value:Android
	Attribute:IdentityGroupID	 value:ffa36b00-8bff-11e6-996c-525400b48521
	Attribute:IdentityPolicyMatchedRule	 value:Default
	Attribute:IdentitySelectionMatchedRule	 value:Default
	Attribute:IsThirdPartyDeviceFlow	 value:false
	Attribute:LastActivity	 value:1695838764083
	Attribute:LastNmapScanTime	 value:0
	Attribute:Location	 value:Location#All Locations
	Attribute:LogicalProfile	 value:
	Attribute:MACAddress	 value:0A:5A:F0:B3:B5:9C
	Attribute:MatchedPolicy	 value:Android
	Attribute:MatchedPolicyID	 value:ffafa000-8bff-11e6-996c-525400b48521
	Attribute:MessageCode	 value:3000
	Attribute:NAS-IP-Address	 value:172.16.5.169
	Attribute:NAS-Identifier	 value:vimontes-wlc
	Attribute:NAS-Port	 value:260613
	Attribute:NAS-Port-Type	 value:Wireless - IEEE 802.11
	Attribute:Network Device Profile	 value:Cisco
	Attribute:NetworkDeviceGroups	 value:IPSEC#Is IPSEC Device#No, Location#All Locations, Device Type#All Device Types
	Attribute:NetworkDeviceName	 value:lab-wlc
	Attribute:NetworkDeviceProfileId	 value:b0699505-3150-4215-a80e-6753d45bf56c
	Attribute:NetworkDeviceProfileName	 value:Cisco
	Attribute:NmapScanCount	 value:0
	Attribute:NmapSubnetScanID	 value:0
	Attribute:OUI	 value:UNKNOWN
	Attribute:PolicyVersion	 value:0
	Attribute:PortalUser	 value:
	Attribute:PostureApplicable	 value:Yes
	Attribute:PostureAssessmentStatus	 value:NotApplicable
	Attribute:PreviousMACAddress	 value:0A:5A:F0:B3:B5:9C
	Attribute:RadiusFlowType	 value:Wireless802_1x
	Attribute:Response	 value:{Class=CACS:A90510AC0000005BD7DDDAA7:iselab/484624451/303; EAP-Key-Name=19:12:31:7e:8a:2e:d7:9f:3b:00:3e:ab:bd:27:22:2a:30:45:b8:7a:1b:ab:b6:1a:b1:e6:21:ee:bd:b1:2c:b8:f5:a8:c9:27:27:c1:0e:95:fa:a0:b6:dc:1f:a4:e6:98:2c:89:5e:b1:5c:11:56:ea:d9:93:a8:92:b0:47:57:3a:6e; MS-MPPE-Send-Key=****; MS-MPPE-Recv-Key=****; LicenseTypes=1; }
	Attribute:SSID	 value:3c-41-0e-31-77-80:VIcSSID
	Attribute:SelectedAccessService	 value:Default Network Access
	Attribute:SelectedAuthenticationIdentityStores	 value:Internal Users, All_AD_Join_Points, Guest Users
	Attribute:SelectedAuthorizationProfiles	 value:PermitAccess
	Attribute:Service-Type	 value:Framed
	Attribute:StaticAssignment	 value:false
	Attribute:StaticGroupAssignment	 value:false
	Attribute:StepData	 value:4= Normalised Radius.RadiusFlowType, 71=All_User_ID_Stores, 72=Internal Users, 95= WiFi_Device_Analytics.DEVICE_INFO_MODEL_NUM, 96= WiFi_Device_Analytics.DEVICE_INFO_MODEL_NUM, 97= WiFi_Device_Analytics.DEVICE_INFO_MODEL_NUM, 98= WiFi_Device_Analytics.DEVICE_INFO_MODEL_NUM, 99= EndPoints.EndPointPolicy, 100= EndPoints.EndPointPolicy, 101= EndPoints.EndPointPolicy
	Attribute:TLSCipher	 value:ECDHE-RSA-AES256-GCM-SHA384
	Attribute:TLSVersion	 value:TLSv1.2
	Attribute:TimeToProfile	 value:139
	Attribute:Total Certainty Factor	 value:30
	Attribute:TotalAuthenLatency	 value:15
	Attribute:UpdateTime	 value:0
	Attribute:User-Name	 value:bob
	Attribute:UserType	 value:User
	Attribute:allowEasyWiredSession	 value:false
	Attribute:dhcp-class-identifier	 value:android-dhcp-13
	Attribute:dhcp-parameter-request-list	 value:1, 3, 6, 15, 26, 28, 51, 58, 59, 43, 114, 108
	Attribute:epid	 value:epid:293810839814635520
	Attribute:host-name	 value:Victor-s-S22
	Attribute:ip	 value:172.16.5.76
	Attribute:undefined-186	 value:00:0f:ac:04
	Attribute:undefined-187	 value:00:0f:ac:04
	Attribute:undefined-188	 value:00:0f:ac:01
	Attribute:undefined-189	 value:00:0f:ac:06
	Attribute:SkipProfiling	 value:false

Packet Capture helpt ervoor te zorgen dat ISE de CoA naar de WLC stuurt. Het toont ook aan dat een nieuw access-request pakket wordt ontvangen na verwerking van de CoA.

Radius CoA-pakket na endpointprofilering

Radius CoA en nieuwe access-aanvraag na endpointprofilering

Gerelateerde informatie

• Beheerdershandleiding voor Cisco Identity Services Engine, release 3.3
• Releaseopmerkingen voor Cisco Identity Services Engine, release 3.3
• Verzamel ondersteuningsbundel op de Identity Services Engine