Solução de problemas de integração do ISE

Introdução

Este documento descreve as etapas de solução de problemas para a integração do CyberVision Center com o ISE.

Visão geral das práticas recomendadas

As práticas recomendadas são as etapas recomendadas que você deve considerar para garantir a operação correta da configuração do sistema. Recomendações:

• Consulte as notas de versão do Cisco Cyber Vision e do Cisco Identity Services Engine (ISE) para obter os recursos, diretrizes, limitações e advertências mais recentes
• Verificar e solucionar problemas de novas alterações de configuração após implementá-las

Diagrama de fluxo de alto nível do CCV-ISE

Diretrizes de Troubleshooting

Ao responder às próximas perguntas, você pode determinar o caminho de solução de problemas e os componentes que precisam de investigação adicional. Responda às perguntas subsequentes para determinar o status da instalação:

• Este é um sistema instalado recentemente ou uma instalação existente?
• O CyberVision já conseguiu visualizar o ISE?

Verifique o status dos serviços pxGrid usando o comando systemctl status pxgrid-agent.

• O ISE executa o pxGrid em alta disponibilidade?
• O que mudou na configuração ou na infraestrutura geral imediatamente antes de os aplicativos começarem a ter problemas?

Para descobrir um problema de rede, use as etapas gerais de solução de problemas de rede:

Etapa 1. Você consegue fazer ping do nome de host do CyberVision Center a partir do ISE?

Se não for possível fazer ping, conecte-se ao CLI do ISE usando Secure Shell (SSH) e Adicionar nome de host.

Etapa 2. Você consegue fazer ping no nome de host do ISE a partir do CyberVision Center?

Caso contrário, tente adicionar o nome de host do ISE ao arquivo/data/etc/hosts no Centro.

Etapa 3. Descobrir problemas de certificado.


Insira o comandoopenssl s_client -connect YourISEHostname:8910 do CyberVision Center.

Dados a Serem Coletados

Para problemas de rede:

• Arquitetura:

Um esquema mostrando esses detalhes entre o centro e o ISE é útil:

• Regras de firewall
• Rotas estáticas
• Configuração do Gateway
• Configurações de VLAN

• Logs a serem coletados para todos os problemas do ISE:

Você pode começar coletando um arquivo de diagnóstico Center para evitar a perda de dados.

Em seguida, ative os logs avançados no centro usando este procedimento:
Crie dois arquivos na pasta /data/etc/sbs.
O primeiro arquivo deve ser nomeado listener.conf e conter o conteúdo:

(Observe o espaço à esquerda na frente do nível de log.)

root@Center:~# cat /data/etc/sbs/listener.conf
configlog:
 loglevel: debug
root@Center:~#

O segundo arquivo deve ser nomeado pxgrid-agent.conf e conter o conteúdo:

(Observe o espaço à esquerda na frente do nível de log.) 

root@Center:~# cat /data/etc/sbs/pxgrid-agent.conf
configlog:
 loglevel: debug

Depois que os dois arquivos forem criados, reinicialize o Centro ou reinicie os serviços sbs-burrow epxgrid-agent.

Restart service using the command: 
#systemctl restart sbs-burrow
#systemctl restart pxgrid-agent

Em seguida, colete os logs do pxGrid (use as ferramentas de transferência de arquivos para exportar os logs do Centro).

root@Center:~# journalctl -u pxgrid-agent > /data/tmp/pxgridLogs.log

Colete capturas tcpdump para analisar o fluxo de comunicação entre o Centro e o ISE.

root@Center:~# tcpdump -i eth0 -n host CCV_IP and host ISE_IP -w /data/tmp/ccv_ise.pcap

• Ative as depurações no ISE e colete o pacote de suporte.

Para habilitar depurações no ISE, navegue até Administration > System > Logging > Debug Log Configuration. Defina níveis de log para:

Persona	Nome do componente	Nível de log	Arquivo a ser verificado
PAN (opcional)	profiler	DEBUG	profiler.log
PSN com sonda pxGrid habilitada	profiler	DEBUG	profiler.log
PxGrid	pxgrid	RASTREAR	pxgrid-server.log

Mensagens de log esperadas

Os logs de depuração do agente do pxGrid no centro mostram o agente sendo iniciado, o serviço registrado, o Cisco Cyber Vision (CCV) Estabelecendo uma conexão STOMP (Text Oriented Messaging Protocol) simples (ou de fluxo contínuo) com o ISE e enviando a operação de atualização para um ativo/componente:

Jul 11 13:05:02 center systemd[1]: Started Agent for interfacing with pxGrid.
Jul 11 13:05:02 center pxgrid-agent[5404]: pxgrid-agent Center type: standalone [caller=postgres.go:543]
Jul 11 13:05:03 center pxgrid-agent[5404]: pxgrid-agent RPC server listening to: '/tmp/pxgrid-agent.sock' [caller=main.go:119]
Jul 11 13:05:03 center pxgrid-agent[5404]: pxgrid-agent HTTP server listening to: '169.254.0.90:2027' [caller=main.go:154]
Jul 11 13:05:03 center pxgrid-agent[5404]: pxgrid-agent Request path=/pxgrid/control/AccountActivate body={} [caller=control.go:147]
Jul 11 13:05:03 center pxgrid-agent[5404]: pxgrid-agent Account activated [caller=pxgrid.go:58]
Jul 11 13:05:03 center pxgrid-agent[5404]: pxgrid-agent Request path=/pxgrid/control/ServiceRegister body={"name":"com.cisco.endpoint.asset","properties":{"assetTopic":"/topic/com.cisco.endpoint.asset","restBaseUrl":"https://Center:8910/
Jul 11 13:05:04 center pxgrid-agent[5404]: pxgrid-agent Service registered, ID: c514c790-2361-47b5-976d-4a1b5ccfa8b7 [caller=pxgrid.go:76]
Jul 11 13:05:04 center pxgrid-agent[5404]: pxgrid-agent Request path=/pxgrid/control/ServiceLookup body={"name":"com.cisco.ise.pubsub"} [caller=control.go:147]
Jul 11 13:05:05 center pxgrid-agent[5404]: pxgrid-agent Request path=/pxgrid/control/AccessSecret body={"peerNodeName":"com.cisco.ise.pubsub"} [caller=control.go:147]
Jul 11 13:05:06 center pxgrid-agent[5404]: pxgrid-agent Websocket connect url=wss://labise. aaalab .com:8910/pxgrid/ise/pubsub [caller=endpoint.go:129]
Jul 11 13:05:07 center pxgrid-agent[5404]: pxgrid-agent STOMP CONNECT host=10.48.78.177 [caller=endpoint.go:138]
Jul 11 13:06:59 center pxgrid-agent[5404]: pxgrid-agent STOMP SEND destination=/topic/com.cisco.endpoint.asset body={"opType":"UPDATE","asset":{"assetId":"01:80:c2:00:00:00","assetName":"LLDP/STP bridges Multicast 0:0:0","assetIpAddress"
Jul 11 13:10:04 center pxgrid-agent[5404]: pxgrid-agent Request path=/pxgrid/control/ServiceReregister body={"id":"c514c790-2361-47b5-976d-4a1b5ccfa8b7"} [caller=control.go:147]

Formato de mensagem esperado após integração bem-sucedida e o atributo assetGroup é publicado sem um valor, como mostrado:

 Jan 25 11:05:49 center pxgrid-agent[1063977]: pxgrid-agent STOMP SEND destination=/topic/com.cisco.endpoint.asset body={"opType":"UPDATE","asset":{"assetId":"48:4d:7e:e0:e2:52","assetName":"Dell 10.234.176.35","assetIpAddress":"10.234.176.35","assetMacAddress":"48:4d:7e:e0:e2:52","assetVendor":"Dell Inc.","assetProductId":"","assetSerialNumber":"","assetDeviceType":"","assetSwRevision":"","assetHwRevision":"","assetProtocol":"SMB","assetCustomAttributes":[{"key":"assetSource","value":"CCV"},{"key":"assetGroup","value":""},{"key":"assetCustomName","value":"test"},{"key":"assetGroupPath","value":""}],"assetConnectedLinks":[]}} length=513 [caller=endpoint.go:149] 

Formato de mensagem esperado (assetGroup com um valor, como mostrado). Isso confirma que o CyberVision Center está enviando os atributos e, se o mesmo não for refletido no ISE, você deverá investigar mais com o ISE.

Jan 25 11:09:28 center pxgrid-agent[1063977]: pxgrid-agent STOMP SEND destination=/topic/com.cisco.endpoint.asset body={"opType":"UPDATE","asset":{"assetId":"48:4d:7e:e0:e2:52","assetName":"Dell 10.234.176.35","assetIpAddress":"10.234.176.35","assetMacAddress":"48:4d:7e:e0:e2:52","assetVendor":"Dell Inc.","assetProductId":"","assetSerialNumber":"","assetDeviceType":"","assetSwRevision":"","assetHwRevision":"","assetProtocol":"SMB","assetCustomAttributes":[{"key":"assetSource","value":"CCV"},{"key":"assetGroup","value":"test group"},{"key":"assetCustomName","value":"test"},{"key":"assetGroupPath","value":"test group"}],"assetConnectedLinks":[]}} length=533 [caller=endpoint.go:149]

Informações Relacionadas

• Resumo da solução CCV e ISE
• Laboratório de demonstração: Usando a Cisco Cyber Vision para fornecer microssegmentação dinâmica usando o Cisco ISE
• Demonstração do ISE e do CCV 
• Guia de integração do ISE
• Suporte técnico e downloads da Cisco