Problemen oplossen ISE Agentless-houding wordt niet geactiveerd na sessieherverificatie

Downloadopties

PDF (250.0 KB)
Met Adobe Reader op diverse apparaten bekijken
ePub (86.5 KB)
Bekijken in diverse apps op iPhone, iPad, Android, Sony Reader of Windows Phone
Mobi (Kindle) (72.2 KB)
Op Kindle-apparaat of via Kindle-app op meerdere apparaten bekijken

Bijgewerkt:5 november 2026

Document-id:226554

Inclusief taalgebruik

De documentatie van dit product is waar mogelijk geschreven met inclusief taalgebruik. Inclusief taalgebruik wordt in deze documentatie gedefinieerd als taal die geen discriminatie op basis van leeftijd, handicap, gender, etniciteit, seksuele oriëntatie, sociaaleconomische status of combinaties hiervan weerspiegelt. In deze documentatie kunnen uitzonderingen voorkomen vanwege bewoordingen die in de gebruikersinterfaces van de productsoftware zijn gecodeerd, die op het taalgebruik in de RFP-documentatie zijn gebaseerd of die worden gebruikt in een product van een externe partij waarnaar wordt verwezen. Lees meer over hoe Cisco gebruikmaakt van inclusief taalgebruik.

Over deze vertaling

Cisco heeft dit document vertaald via een combinatie van machine- en menselijke technologie om onze gebruikers wereldwijd ondersteuningscontent te bieden in hun eigen taal. Houd er rekening mee dat zelfs de beste machinevertaling niet net zo nauwkeurig is als die van een professionele vertaler. Cisco Systems, Inc. is niet aansprakelijk voor de nauwkeurigheid van deze vertalingen en raadt aan altijd het oorspronkelijke Engelstalige document (link) te raadplegen.

Inhoud

uitgifte

Agentless posture-functionaliteit in Identity Services Engine (ISE) 3.3 kan niet worden geactiveerd na gebeurtenissen voor sessieherverificatie. Tijdens de eerste verificatie werkt de agentloze houding correct en worden eindpunten compliant. Wanneer echter opnieuw wordt geverifieerd, ontvangen eindpunten de RADIUS Accounting Interim Update-gebeurtenissen in plaats van de gebeurtenissen voor het starten van de boekhouding, waardoor de agentloze posturele stroom niet wordt aangeroepen. Als gevolg hiervan komen eindpunten overeen met een onbekend houdingsbeleid en blijven ze in een onbekende houdingsstaat, wat van invloed is op de netwerktoegang voor getroffen apparaten.

Het probleem manifesteert zich met eindpunten die vastzitten in de status "Posture Pending" of "Unknown" na herverificatie, waarbij ongeveer 800 van de 1200 eindpunten zijn aangetast in de gerapporteerde omgeving. Uit loganalyse blijkt dat ISE tijdens de herverificatie ACCOUNTING_UPDATE-gebeurtenissen ontvangt met agentlessEnabled=true, maar dat de posturele stroom niet opnieuw wordt aangeroepen voor de bestaande sessie-ID.

milieu

Identity Services Engine (ISE) versie 3.3 Patch 4
Bekabelde 802.1X-verificatie met MAC-verificatiebypass (MAB)
Configuratie van positie zonder agents ingeschakeld
Tijdsduur voor herverificatie van sessie geconfigureerd (time-out van 420 seconden)
Cisco Catalyst-switches als netwerktoegangsapparaten
Ongeveer 1200 eindpunten in het milieu

resolutie

Dit gedrag wordt verwacht en door ontwerp in ISE. De positie van de agent wordt alleen geactiveerd door de gebeurtenissen bij de start van de boekhouding van RADIUS en mag niet opnieuw worden aangeroepen door de gebeurtenissen bij de tussentijdse boekhoudkundige update tijdens de herverificatie van de sessie wanneer het IP-adres van het frame ongewijzigd blijft.

technische analyse

Het ISE NetAccessEventHandler-codepad bewapent alleen de agentloze posturele stroom op nieuwe RADIUS Accounting-Start-pakketten. Tijdens de herverificatie verzenden netwerkapparaten doorgaans pakketten met dezelfde Act-Session-ID, waardoor de functie shouldInvokePostureFlow() false teruggeeft, waardoor een herevaluatie van de houding wordt voorkomen.

Logbewijs dat het gedrag toont:

Initiële verificatie (Agentless Posture Trigged):

2026-04-01 11:28:20,466 DEBUG [PrRTEvents-Executor-2][[]] cisco.cpm.posture.events.NetAccessEventHandler -:0A01281F00003BB490592B5C::::- agentlessEnabled=true, sessionId=0A01281F00003BB490592B5C, ipAddress=10.30.21.130, mac=F8-ED-FC-AD-35-77, psn=ise1.auk.edu.kw, event=ACCOUNTING_START, domainName=null

2026-04-01 11:28:20,466 DEBUG [PrRTEvents-Executor-2][[]] cisco.cpm.posture.events.NetAccessEventHandler -:0A01281F00003BB490592B5C::::- Need to invoke agentless posture flow for new sessionId=0A01281F00003BB490592B5C

Reauthenticatie (Agentless-houding niet geactiveerd):

2026-04-01 11:35:37,669 DEBUG [PrRTEvents-Executor-2][[]] cisco.cpm.posture.events.NetAccessEventHandler -:0A01281F00003BB490592B5C::::- agentlessEnabled=true, sessionId=0A01281F00003BB490592B5C, ipAddress=10.30.21.130, mac=F8-ED-FC-AD-35-77, psn=ise1.auk.edu.kw, event=ACCOUNTING_UPDATE, domainName=null

Aanbevolen workaround

Om de impact van dit gedrag te beperken, configureert u de houdingsleaseinstellingen om de naleving van het eindpunt tijdens herverificatiescenario's te handhaven:

Stap 1: Configureer de juiste leaseduur voor de houding in het ISE-houdingsbeleid om ervoor te zorgen dat eindpunten geen netwerktoegang verliezen tussen houdingsevaluaties.

Stap 2: Bewaak de eindpuntstatus en pas leasetimers aan op basis van de beveiligingsvereisten en herverificatiefrequentie van uw organisatie.

Oorzaak

Dit wordt verwacht gedrag gedocumenteerd in Cisco Bug ID CSCwu48086. De agentloze houding in ISE is zodanig ontworpen dat deze alleen wordt geactiveerd bij gebeurtenissen in de RADIUS Accounting Start en wordt niet geactiveerd door tussentijdse boekhoudkundige update. Tijdens sessieherverificatie verzenden netwerktoegangsapparaten tussentijdse boekhoudupdates met hetzelfde IP-adres en sessie-ID in Framed, die het beoordelingsproces van de lichaamshouding zonder agents niet opnieuw oproepen. De ISE-code controleert specifiek op nieuwe sessies (ACCOUNTING_START-gebeurtenissen) voordat de agentloze houdingsstromen worden gestart.