Recurso BYOD do Cisco Prime IP Express - White Paper

Introduction

Este white paper explica a funcionalidade e a configuração do recurso BYOD do sistema Cisco Prime IP Express (CPIPE). O portal de registro BYOD do Cisco Prime IP Express é um portal da Web de autoatendimento fácil de gerenciar para registrar e gerenciar dispositivos. Ele é integrado ao DHCP e ao CDNS do Cisco Prime IP Express. A metodologia, a arquitetura e a configuração de BYOD necessárias para esse sistema são documentadas em detalhes. Usando este white paper como guia, você pode configurar o BYOD para registrar e gerenciar os dispositivos.

Instrução do problema

Todas as redes IP enfrentam um conjunto comum de problemas. Esses problemas são semelhantes aos enfrentados pelo Boston College antes do desenvolvimento de seu sistema automatizado de login na Internet, como a necessidade de:

• Forneça uma configuração prática e orientada pelo usuário de computadores com endereços IP e configurações de rede corretos.

• Configurar um grande número de computadores em pouco tempo

• Obter informações sobre os computadores que estão sendo configurados na rede

• Controlar o acesso aos recursos da rede IP

• Coletar informações para ajudar a solucionar problemas de rede e eventos de segurança

Visão geral funcional do recurso BYOD

Você pode usar o recurso BYOD do sistema Cisco Prime IP Express para resolver cada um dos problemas mencionados acima, pois ele fornece soluções abrangentes para que os funcionários usem seus próprios dispositivos habilitados para IP de forma bem gerenciada e segura. Ele elimina com eficiência os desafios dos administradores de TI para integrar e rastrear os dispositivos pessoais e corporativos. Algumas das vantagens deste recurso são:

• Fornece uma configuração prática e orientada pelo usuário do dispositivo com endereços IP e configurações de rede corretos.

• Configura um grande número de dispositivos em um curto período de tempo.

• Obtém informações sobre os dispositivos que estão sendo configurados na rede.

A rede DHCP Cisco Prime IP Express redireciona automaticamente os usuários para o portal de registro BYOD quando os usuários tentam conectar o dispositivo BYOD pela primeira vez, pois os usuários devem registrar seus dispositivos usando suas credenciais existentes do Ative Diretory. Durante o registro, informações sobre o dispositivo do usuário, como seu endereço MAC/DUID e outros metadados, são capturadas por meio da detecção automática ou entrada manual. Essas informações são usadas para mapear os usuários para seus dispositivos e rastrear a atividade de IP para auditoria e conformidade. O portal de registro BYOD é integrado ao DHCP do Cisco Prime IP Express.

Perspectiva do usuário:

O recurso BYOD oferece um processo simples para ativar o dispositivo e o acesso à rede Cisco Prime IP Express (CPIPE) para os usuários finais. Os procedimentos são:

• Conectar o dispositivo à rede

• Solicitação de http a partir de um navegador

• Você é redirecionado automaticamente para a página de registro do BYOD

• A página de registro preenche os detalhes do dispositivo e solicita as credenciais do usuário

• Fornecer credenciais, como nome de usuário e senha

• Aceitar Termos De Serviço

• Clique no botão Registrar

• Aguarde alguns segundos, o dispositivo será reinicializado.

Esse processo normalmente leva apenas cerca de três minutos. Quando concluído, o dispositivo é ativado e o cliente é criado no servidor DHCP.

Perspectiva do administrador:

Este sistema é um portal web de autoatendimento fácil de usar e substitui muitos processos demorados e sujeitos a erros. O gerenciamento desse sistema de autoatendimento é muito simples.

• Instalar o Cisco Prime IP Express Web Server

• Configurar um BYOD (servidores DHCP, CDNS)

• Instrua os usuários sobre como registrar seus dispositivos

• Instrua os usuários sobre como usar a página de login do usuário para gerenciar dispositivos

Arquitetura funcional

A arquitetura desse recurso exige no mínimo quatro componentes principais, um servidor DHCP local, um servidor CDNS, um servidor regional e um Ative Diretory. No servidor regional, a nova instância tomcat é executada para oferecer suporte ao BYOD. O servidor CDNS padrão é configurado com regra de redirecionamento de domínio com lista de ACL, o que garante que todas as consultas HTTP de um intervalo específico de endereços sejam resolvidas para o endereço do Servidor Web BYOD. Veja abaixo o diagrama da arquitetura funcional.

Fluxo do processo

O diagrama abaixo descreve o fluxo de processos da interface do usuário da Web, quando um usuário/cliente conecta o BYOD à rede.

• Quando um cliente conecta um novo dispositivo à rede, o pacote DHCPDISCOVER/SOLICIT é enviado ao DHCP.

• O DHCP oferece IP temporário e retorna a opção 6 para DHCPv4 ou a opção 23 para DHCPv6 com endereço de servidor CDNS.

• O cliente envia a consulta de resolução DNS ao servidor CDNS.

• A regra de redirecionamento de domínio CDNS fornece IP de servidor Web BYOD para dispositivo BYOD não registrado e redireciona para a página de registro do dispositivo.

• O servidor Web BYOD pega o IP do cliente dos dados do cabeçalho http e verifica a sub-rede/prefixo correspondente para localizar o endereço do servidor DHCP do cliente.

• Se a sub-rede/prefixo correspondente não for encontrada, a solicitação SCP será enviada ao CCM regional para localizar o servidor DHCP que atendeu a esse cliente e atualizar as informações de sub-rede/prefixo na memória BYOD.

• Envia consulta de concessão com endereço (conforme RFC 4388 para DHCPv4 e conforme RFC 5007 para DHCPv6) ao servidor DHCP correspondente para obter o identificador do cliente (ID do dispositivo) e é preenchido na página de registro do dispositivo juntamente com outros detalhes, como fornecedor do dispositivo, sistema operacional etc.

• O cliente fornece as credenciais do Ative Diretory e envia o formulário de login.

• O servidor Web BYOD autentica as credenciais em relação ao Ative Diretory.

• Na autenticação bem-sucedida, o servidor Web BYOD envia a solicitação SCP ao cluster ou par de failover DHCP para criar a entrada do cliente (nome da classe do cliente, autenticar até, tipo de dispositivo, Fornecedor, SO, MAC/DUID, nome de usuário) no banco de dados do cliente DHCP. Se o LDAP estiver configurado, o cliente será criado somente no banco de dados LDAP.

• Finalmente, o servidor Web BYOD envia a mensagem de registro bem-sucedida ao cliente com os detalhes de todos os dispositivos registrados por ele/ela.

• Se a autenticação falhar, o servidor Web BYOD responde ao cliente com mensagem de autenticação de falha.

Configuração de BYOD

Para montar o sistema de suporte ao recurso BYOD, você deve modificar a configuração do Cisco Prime IP Express de suas configurações prontas para uso para ativar alguns dos recursos avançados do servidor. Você pode realizar esse processo com facilidade (configuração de BYOD) usando o assistente de configuração de BYOD no servidor regional Cisco Prime IP Express.

Para obter informações sobre como instalar o Cisco Prime IP Express, consulte o Guia de Instalação do Cisco Prime IP Express.

Para obter mais informações sobre como usar a GUI, consulte o Guia de início rápido e o Guia do usuário.

Você pode encontrar toda a documentação de produção do Cisco Prime IP Express em: http://www.cisco.com/c/en/us/support/cloud-systems-management/prime-ip-express/tsd-products-support-series-home.html

Assistente de configuração de BYOD

As seções a seguir explicam o fluxo de trabalho do assistente de configuração de BYOD no servidor regional Cisco Prime IP Express. O processo geral envolve a configuração dos servidores DHCP e CDNS. Para configuração simples, o cliente padrão é usado para dispositivos BYOD não registrados, enquanto para configuração complexa; client-class-lookup-id e client-lookup-expression são usados. Os detalhes são fornecidos na documentação do usuário/guia de implantação.

Configuração DHCP

Para configurar o servidor DHCP, faça o seguinte:

• Selecione o valor Não para Failover.

• Selecione o valor Sim para DHCPv4.

• Selecione o valor Não para DHCPv6 e clique em Avançar.

• A página Assistente para configuração de DHCPv4 é aberta.

• Clique em Adicionar modelos de escopo para criar escopo.

• Insira o nome do modelo de escopo na caixa Nome e clique no botão Adicionar modelo de escopo DHCP.

• Clique em Salvar para salvar o modelo de escopo e clique em Avançar para ir para a próxima página.

• Digite (contate a sub-rede "byod-") na caixa de texto Expressão de nome de escopo.

• Insira (create-range first-addr last-addr) na caixa de texto Expressão de intervalo e clique em Salvar para salvar a página. Clique em Next.

• Clique em Adicionar sub-rede para criar a sub-rede.

• Digite o IP da sub-rede na caixa de texto Endereço, por exemplo 10.76.206.0, e clique em Adicionar sub-rede.

• Clique no ícone Pressionar para empurrar a sub-rede para o cluster local.

• Na lista suspensa Cluster ou Failover, selecione o nome do host do cluster local para o qual deseja enviar a sub-rede.

• Selecione o modelo de escopo na lista suspensa Modelo de escopo.

• Clique no botão Enviar sub-rede.

• Vá para a página de configuração de BYOD clicando em avançar.

Configuração de BYOD

Você pode usar a página de Configuração de BYOD para capturar os detalhes da configuração do servidor CDNS para criar a regra de redirecionamento de domínio (DNS spoof) e o tempo de concessão dos dispositivos não registrados.

1. As políticas e classes de clientes mencionadas abaixo são criadas no servidor regional e usadas mais nas páginas do assistente de configuração:

   Nome da política BYOD: BYOD_Unregistered.

   • Adicione a opção DHCPv4 dhcp-lease-time (51) e defina DHCPv6 valid-lifetime e preferido-lifetime.

   • Selecione a opção 6 do servidor de nomes de domínio para DHCPv4 e a opção 23 para DHCPv6.

   Nome da classe de cliente BYOD: BYOD_registrado

   • Defina os critérios de seleção para excluded - BYOD_Unregistered.

   Nome da classe de cliente BYOD: BYOD_Unregistered.

   • Defina os critérios de seleção -BYOD_Unregistered.

   • Definir política -BYOD_Unregistered.

2. Para configurar o BYOD, siga as etapas abaixo...

   • Selecione o servidor CDNS na lista suspensa.

   • Especifique a hora do cliente não registrado e clique em

   • Clique em Avançar para ir para a página Políticas.

   • Clique no ícone Enviar por push, selecione o nome do host do cluster local na lista Disponível e adicione-o aos clusters de destino usando as setas traseiras e clique no botão Enviar dados para clusters.

   • Feche a opção Exibir relatório de envio de dados clicando no botão Fechar.

   • Clique em Next (Avançar) para ir para a página Client Classes (Classes de cliente) e clique no ícone Push Data to Clusters (Enviar dados para clusters).

   • Feche a opção Exibir relatório de envio de dados clicando no botão Fechar e em Avançar para ir para a página Criação de escopo.

   • Especifique a porcentagem na caixa de texto em Valor para definir o intervalo de IP para o cliente não registrado. Por padrão, o valor é 10.

   • Clique em Avançar para ir para a página Relatório, esta página mostra o intervalo de IP atribuído ao cliente específico com outros detalhes, como Escopo, Cluster, Sub-rede e Intervalo de IP, como mostrado abaixo na figura.

   • Clique em Avançar para ir para a página de configuração https.

Configuração Regional De Servidor-Https

A página do assistente de configuração pode ser usada para a configuração de Https; esses detalhes são necessários para o BYOD Web Server.

Para configurar o Https, siga a etapa abaixo:

• Carregue o arquivo Keystore usando o botão Escolher arquivo e digite a senha do keystore na caixa de texto Senha do Keystore, clique no botão Carregar e, em seguida, clique em Avançar para recarregar a página do servidor.

Recarregando os servidores

Quando a configuração estiver concluída, a página do servidor de recarregamento poderá ser usada para recarregar o servidor DHCP, o servidor CDNS e o servidor Web BYOD,

Para fazer isso, siga as etapas abaixo:

• Especifique o valor em Sim ou Não para reiniciar o servidor Web BYOD, o servidor Web CDNS e o par Servidores/Failover DHCP, clique no botão Recarregar Servidores e, em seguida, clique em Avançar, a página Segurança será aberta.

• Escolha o valor do tipo de autenticação Ative Diretory na lista suspensa Valor.

• Clique em Salvar e Avançar, vá para a página do Ative Diretory e clique em Salvar.

• Insira o endereço IP, o nome do host e a porta, por exemplo, IP=10.76.206.5, o nome do host= tmh2-chn-cnrent-AD1 e a porta= 389 em suas respectivas caixas de texto e clique em Adicionar endereço.

• Digite o nome de domínio CPIPE.COM na caixa de texto Domínio.

• Clique em Avançar, páginas configuradas com êxito serão abertas. Clique em Finish (Concluir) para concluir o processo de configuração.

Página de registro do dispositivo

A página de registro do dispositivo permite que os usuários registrem seus dispositivos. Nesta página, alguns campos, como Tipo de dispositivo, SO do dispositivo, Fornecedor do dispositivo e ID do dispositivo/MAC, são preenchidos previamente e também permitem que o usuário edite os detalhes. No entanto, os usuários precisam inserir suas credenciais, como:

A página

• Nome de usuário

• Senha

• Termos de serviço

Página Êxito na Ativação

No registro bem-sucedido, a página de êxito da ativação exibe a mensagem com tempo de concessão para ativação automática e mensagem de reconexão de efeito imediato, como mostrado abaixo na figura.A página de êxito da ativação também exibe a lista de dispositivos registrados atual e anteriormente para o mesmo usuário. O usuário pode excluir um dispositivo clicando no ícone excluir.

Página de login do usuário para gerenciar dispositivos

A página de login do usuário permite que os usuários excluam seus dispositivos registrados. Para fazer login na página de login do usuário, os usuários precisam fornecer suas credenciais de login, como Nome de usuário, Senha e também precisam aceitar os Termos de serviço. No login bem-sucedido, a página BYOD Registered Devices é aberta. Esta página é usada para gerenciar dispositivos registrados, como excluir dispositivo.

• Nome de usuário

• Senha

• Termos de serviço

Expressão de pesquisa

A expressão de pesquisa identifica se o dispositivo é um dispositivo existente ou não registrado. Ele determina client-class para o atributo client-class-lookup-id do servidor DHCP e o servidor executa essa expressão em cada pacote de entrada para determinar a classe de cliente do pacote. Retorna uma string (nome da classe do cliente para o pacote, ou a string que indica que nenhum valor da classe do cliente foi considerado para a solicitação do cliente) conforme o valor de expressão especificado. A expressão de pesquisa serve para garantir que cada cliente receba sua classe de serviço apropriada através da mesma rede.

Configurando a expressão de pesquisa

Depois que o BYOD é configurado, a expressão de pesquisa pode ser configurada seguindo as etapas fornecidas abaixo:

• Entre no modo Especialista clicando em Especialista.

• Abrir a página Lista/Adicionar classes de clientes DHCP, (Navegação: Design > Configurações de DHCP > Classes de Cliente)

• Crie ou selecione uma classe já criada no painel Classes de clientes à esquerda.

• Na página Editar classe de cliente DHCP criada, em Criar nova política incorporada, insira a expressão em client-lookup-id e override-client-id, por exemplo, (solicite a opção "relay-agent-info" "remote-id") na caixa de texto client-lookup-id e (solicite a opção "relay-agent-info" "remote-id") na caixa de texto override-client-id.

• Clique em Save (Salvar) para salvar as configurações.

• Abra a página Gerenciar servidor (Navegação: Operar > Servidores > Gerenciar Servidores)

• Clique no link Local DHCP Server (Servidor DHCP local) no painel Manage Servers (Gerenciar servidores) à esquerda.

• Clique na guia Editar servidor DHCP local.

• Digite o nome de classe de cliente criado na caixa de texto client-class-lookup-id.

• Reinicie o servidor DHCP local para tornar essas alterações efetivas.

Suporte para criação de cliente LDAP

O Servidor Web BYOD permite o suporte "LDAP client create" quando o servidor DHCP IP Express é ativado com opção de cliente LDAP.

Se o servidor DHCP estiver ativado com a consulta de cliente no LDAP, a configuração LDAP do servidor regional será necessária para que o BYOD crie um cliente no LDAP.

Para criar e configurar o cliente LDAP no servidor regional, siga as etapas abaixo:

• Entre no modo Especialista clicando em Especialista.

• Abrir a página Lista/Adicionar servidores remotos LDAP, (Navegação: Implantar > DHCP > LDAP)

• Clique no ícone Adicionar LDAP no painel LDAP à esquerda. A janela Adicionar servidor LDAP DHCP será aberta.

• Insira o nome LDAP e o nome de host nas caixas de texto nome e nome de host e clique em Adicionar servidor DHCP LDAP. O servidor DHCP LDAP é adicionado com o nome fornecido no painel LDAP à esquerda.

• Clique no link LDAP recém-adicionado no painel LDAP à esquerda, a página Editar servidor remoto LDAP é aberta, nesse nome de página e nome de host são preenchidos automaticamente.

• Insira addr, valores de porta e nome de usuário e senha nas respectivas caixas de texto.

• Defina o valor para "enable" True.

• Defina o valor para "can-create" habilitado.

• Defina o valor para "can-query" habilitado.

• Defina o valor para "can-update" habilitado.

• Em Consulta, insira o valor "Caminho de pesquisa".

• Em Consulta, insira o valor "Caminho de pesquisa".

• Em Consulta, mantenha o valor padrão SUBTREE para "pesquisar escopo"

• Em Criar configurações, insira o valor "dn-create-format"

• Em Criar configurações, insira o valor "criar dicionário"

• Em Criar configurações, insira o valor create-object-classes

• Clique em Save (Salvar) para salvar as configurações.

• Abra a página Gerenciar servidores. (Navegação: Operar > Servidores > Gerenciar Servidores)

• Clique no link Local BYOD Web Server (Servidor Web BYOD local) no painel Gerentes Servidores à esquerda.

• Reinicie o Servidor Web BYOD local clicando no ícone Reiniciar servidor para tornar as alterações efetivas.

Impressão digital DHCP

Uma impressão digital DHCP é um identificador exclusivo para identificar um sistema operacional ou tipo de dispositivo específico.

O BYOD Web Server lê "dhcp_printing.conf" e tem um "HashMap" de impressões digitais (PRL) e descrição do SO.

Na resposta da consulta de aluguel de DHCPv4, o servidor Web BYOD obtém o valor do atributo definido pelo usuário na concessão e encontra o SO (valor de descrição) e o número do SO apropriados. Usando o número do SO, ele encontra a definição de classe apropriada e a descrição de classe fornece informações de tipo de dispositivo.

Se o fornecedor do SO e o tipo de dispositivo não puderem ser identificados usando o arquivo de impressão digital, serão usados dados de usuário-agente do cabeçalho http. A correspondência de padrões é feita com o arquivo principal que tem a lista de SO.

Para configurar a impressão digital do DHCP, siga as etapas abaixo:

• Entre no modo Especialista clicando em Especialista.

• Abrir a página Lista/Adicionar extensões DHCP, (Navegação: Implantar > DHCP > Extensões)

• Clique no ícone Adicionar ramais no painel Ramais à esquerda, a janela Adicionar extensão de servidor DHCP será aberta.

• Insira os valores "name", "lang", "file" e "entry" da Extensão nas respectivas caixas de texto.

• Clique em Add DHCP Server Extension (Adicionar extensão do servidor DHCP) e clique em Save (Salvar) para salvar as configurações. Um novo ramal será adicionado.

• Clique no link Ramal no painel Adicionar ramal à esquerda, a página Editar extensão DHCP é aberta.

• Clique no ícone "Anexar pontos de extensão" à direita, a janela Pontos de extensão é aberta conforme mostrado abaixo na figura.

• Em Anexar pontos de extensão, selecione pós-decodificação de pacote e clique em Salvar como mostrado abaixo na figura.

• Ou clique na guia Pontos de extensão DHCP e selecione Anexar lista suspensa em "pós-decodificação de pacote". Essa janela também pode ser usada para desanexar a extensão anexada.

• Abra a página Gerenciar servidores, (Navegação: Operar > Servidores > Gerenciar Servidores)

• Clique no link Local DHCP Server (Servidor DHCP local) no painel Manager Servers (Servidores gerenciadores) à esquerda.

• Reinicie o servidor DHCP local clicando no ícone Reiniciar servidor para tornar as alterações efetivas.

Note: A impressão digital deve ser configurada somente no servidor local.

Configuração do tema

Esta página permite que o administrador de BYOD edite a aparência das páginas do servidor Web BYOD editando os atributos do tema, como cores específicas ou código de cor e imagens de logotipo/fundo, para que correspondam às suas próprias marcas.

Há dois tipos de temas, o tema padrão não personalizável da Cisco e o outro é personalizável.

Para configurar o tema, siga as etapas abaixo:

• Entre no modo Especialista clicando em Especialista.

• Abrir página Lista/Adicionar tema personalizado, (Navegação: Implante > BYOD > Tema)

• Clique no ícone Adicionar tema no painel Tema à esquerda, janela Adicionar tema personalizado será aberta.

• Insira o nome do tema, a cor do plano de fundo, a cor da fonte do título da página de login e a cor da fonte do título da página nas respectivas caixas de texto.

• Clique em Adicionar tema personalizado, a próxima página será aberta com os detalhes fornecidos.

Note: Você pode usar esta página para fazer upload da imagem de fundo, imagem de cabeçalho de página comum, logotipo de página de login e logotipo de página comum.

• Clique no botão Background Image Browse (Procurar Imagem em Segundo Plano) e clique em Upload para carregar uma imagem para o plano de fundo.

• Repita o mesmo procedimento para carregar imagens para imagem de cabeçalho de página comum, log de página de login e logotipo de página comum.

• Clique em Save (Salvar) para salvar as configurações.

Página de conteúdo

A página Conteúdo permite que o administrador de BYOD configure mensagens como Mensagem de registro/página de login, Sobre conteúdo, Termos de serviços, Contatos e Ajuda específicos do cliente.

Quando o usuário insere o conteúdo e envia ou carrega arquivos (.html) (o formulário). Ele gera arquivos html específicos para cada atributo dentro do diretório de conteúdo da Web BYOD com nome de arquivo específico e os links de conteúdo apontam para os arquivos html específicos.

O conteúdo inserido é colocado entre a marca de parágrafo html para garantir que o conteúdo seja exibido no mesmo formato em que foi inserido.

Para configurar a página de conteúdo, siga as etapas abaixo:

• Entre no modo Especialista clicando em Especialista.

• Abrir página de conteúdo, (Navegação: Implante >BYOD > Conteúdo)

• Insira o conteúdo para Registrar/Login Page Message Content, About Content, Terms of Services Content, Contact Content e Help Content em suas respectivas caixas de texto.

• Ou clique nos respectivos botões Procurar e Carregar para importar o conteúdo.

• Clique em Save (Salvar) para salvar as configurações.

Glossário

A lista fornecida abaixo descreve os acrônimos dos termos usados em todo o documento.

BYOD: Traga seu próprio dispositivo

AD: Ative Diretory

CPIPE: Cisco Prime IP Express

DHCP: Protocolo de configuração dinâmica host

CDNS: Sistema de nome de domínio de cache

ACL: Lista de controle de acesso

SCP: Protocolo de configuração do sistema

CCM: Central Configuration Manager

RFC: Solicitação De Comando

DUID: Identificador exclusivo de DHCP

LDAP: Lightweight Diretory Access Protocol