Wanneer eindpunten met Secure Client worden geïmplementeerd achter een MX75-netwerktunnel die verbinding maakt met Secure Access, zijn de identiteit van de roamende client en de gebruikersidentiteiten niet goed zichtbaar in het systeem. De volgende specifieke gedragingen worden waargenomen:
Dit gedrag verhindert een goede identiteitsscheiding en beleidstoepassing voor eindpunten die via de netwerktunnelinfrastructuur verbinding maken.
Het probleem werd opgelost door een workaround-configuratie te implementeren met behulp van een aanpak voor een geregistreerd netwerk in plaats van te vertrouwen op zichtbaarheid van de roamingidentiteit via de MX75-netwerktunnel.
Stap 1: RSM (Roaming Security Module) configureren met geregistreerd netwerk
Vervang de bestaande netwerktunnelconfiguratie door een RSM-implementatie in combinatie met een geregistreerde netwerkconfiguratie. Deze configuratie maakt een juiste identiteitstoewijzing en beleidstoepassing mogelijk.
Stap 2: Zichtbaarheid van identiteit valideren
Controleer na het implementeren van de geregistreerde netwerkconfiguratie of:
Gebruikersidentiteiten worden correct weergegeven in Activiteit zoeken
De identiteit van de roamende client is zichtbaar en correct toegewezen
Regels voor verkeerssturing op basis van de functie voor gebruikers- en cliëntidentiteit zoals verwacht
Stap 3: Test de verkeerssturingsfunctionaliteit
Bevestig dat de op het domein gebaseerde verkeerssturingsregels en het op identiteit gebaseerde beleid correct worden toegepast met de nieuwe configuratie.
Voor omgevingen waar identiteitsscheiding over privénetwerken niet vereist is, kunt u overwegen om RSM - Internet-configuratie te implementeren. Deze aanpak stuurt RSM-verkeer rechtstreeks naar het internet in plaats van via de privénetwerktunnel, die een goede zichtbaarheid van de identiteit kan bieden met behoud van beveiligingscontroles.
Tijdens het oplossen van problemen werd diagnostische output verzameld met behulp van policy.test.sse.cisco.com om het gedrag van identiteitsattributie aan te tonen wanneer eindpunten zich achter de MX75-tunnel bevonden. De analyse bevestigde dat het routeren van roamingidentiteiten door een netwerktunnel weliswaar technisch mogelijk is, maar dat het geen aanbevolen of ondersteunde operationele stroom is voor dit specifieke implementatiescenario.
De hoofdoorzaak is gerelateerd aan hoe Secure Access omgaat met identiteitsattributie wanneer verkeer door de netwerktunnelinfrastructuur gaat. Wanneer eindpunten verbinding maken via de MX75-netwerktunnel, kent het systeem al het verkeer toe aan de tunnelidentiteit in plaats van de individuele roamingclient en gebruikersidentiteiten te behouden. Dit gedrag is van ontwerp voor netwerktunnelverbindingen, maar is in strijd met de vereiste van zichtbaarheid van de individuele identiteit en beleidstoepassing.
Hoewel het technisch haalbaar is om roamingidentiteiten door netwerktunnels te routeren, wordt deze configuratie niet aanbevolen of ondersteund als een standaard operationele stroom vanwege de beperkingen voor identiteitstoekenning die hierboven zijn beschreven.
| Revisie | Publicatiedatum | Opmerkingen |
|---|---|---|
1.0 |
14-May-2026
|
Eerste vrijgave |