目录

简介

先决条件

要求

使用的组件

信息

配置

配置

交换机配置

ISE 配置

验证

故障排除

简介

本文档介绍ISE和NAD客户端之间用于Trustsec环境数据下载的无建立(PAC)配置的初始设置。

先决条件

要求

- 熟悉Cisco TrustSec作为网络安全解决方案。

- 身份服务引擎(ISE)知识，用于管理网络安全。

- 基本了解可扩展身份验证协议(EAP)作为传输身份验证信息的框架。

使用的组件

身份服务引擎(ISE)版本3.4.x

Cisco IOS® 17.15.1或更高版本

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

信息

在无PAC模式下，TrustSec策略更容易实施，因为它们不需要保护访问凭证(PAC)，而保护访问凭证通常是在设备和身份服务引擎(ISE)之间进行安全通信所必需的。 此方法尤其适用于具有多个ISE节点的环境。如果主节点脱机，设备可以自动切换到备份而无需重新建立其凭证，从而减少了中断。无PAC身份验证可简化流程，使其更具扩展性和用户友好性，并支持符合零信任原则的现代安全方法。

在此模式下，设备首先发送包含用户名和密码的请求。ISE通过建议安全会话进行响应。设置此会话后，ISE会提供安全通信所需的重要信息。这包括安全密钥以及服务器身份和计时等详细信息。此信息用于确保安全持续地访问必要的策略和数据。

配置

配置

交换机配置

在本文档中，使用Cisco C9300交换机配置无PAC身份验证的设置。任何运行17.15.1或更高版本的交换机都可以通过身份服务引擎(ISE)执行无PAC身份验证。

步骤 1：在交换机的配置终端下配置交换机上的RADIUS服务器和RADIUS组。

RADIUS 服务器:

radius server

address ipv4

auth-port 1812 acct-port 1813

key

Radius组：

aaa group server radius trustsec

server name

步骤 2：将radius服务器组映射到cts authorization和dot1x，以使用无PAC进行身份验证。

CTS映射：

cts authorization list cts-mlist    // cts-mlist is the name of the authorization list

Dot1x身份验证：

aaa authentication dot1x default group

aaa authorization network cts-mlist group

步骤 3：在交换机的enable模式下配置CTS-ID和password

cts credentials id

password

ISE 配置

1.在ISE上，在Administration > Network Resources > Network Devices > Network Devices下配置网络设备。单击add将交换机添加到ISE服务器。

2.在ISE的IP地址字段中添加NAD IP地址，以处理来自交换机的trustsec身份验证的RADIUS请求。

3.为NAD客户端启用Radius身份验证设置，并输入Radius共享密钥。

4.启用Advanced Trustsec Settings，并使用CTS-ID更新Device name，使用password字段更新命令中的密码(cts credentials id <CTS-ID> password <Password>)。

验证

要验证交换机上的配置是否正常工作，请运行此命令以检查是否已将环境数据下载到交换机

Command:

show cts environment-data

CTS Environment Data

====================

Current state = COMPLETE

Last status = Successful

Service Info Table:

Local Device SGT:

SGT tag = 2-00:TrustSec_Devices

Server List Info:

Installed list: CTSServerList1-0001, 1 server(s):

Server: 10.127.196.169, port 1812, A-ID 35DE97B0FA3D6B801821DF8CD0501645

Status = ALIVE

auto-test = FALSE, keywrap-enable = FALSE, idle-time = 60 mins, deadtime = 20 secs

Security Group Name Table:

0-00:Unknown

2-00:TrustSec_Devices

3-00:Network_Services

4-00:Employees

5-00:Contractors

6-00:Guests

7-00:Production_Users

8-00:Developers

9-00:Auditors

10-00:Point_of_Sale_Systems

11-00:Production_Servers

12-00:Development_Servers

13-00:Test_Servers

14-00:PCI_Servers

15-00:BYOD

255-00:Quarantined_Systems

Environment Data Lifetime = 86400 secs

Last update time = 14:27:48 UTC Sun Feb 23 2025

Env-data expires in   0:23:51:23 (dd:hr:mm:sec)

Env-data refreshes in 0:23:51:23 (dd:hr:mm:sec)

Cache data applied           = NONE

State Machine is running

通过运行命令， cts refresh environment-data on the switch， radius request is sent to ISE for authentication.(cts refresh environment-data on the switch， radius request is sent to ISE for authentication.)

故障排除

要解决此问题，请在交换机上运行以下调试：

Debug Command:

debug cts environment-data all

debug cts env

debug cts aaa

debug radius

debug cts ifc events

debug cts authentication details

debug cts authorization all debug

调试代码段：

*Feb 23 14:48:14.974:CTS环境数据：强制环境数据刷新位掩码0x2

*Feb 23 14:48:14.974:CTS环境数据：download transport-type = CTS_TRANSPORT_IP_UDP

*Feb 23 14:48:14.974:    cts_env_data完成：在状态env_data_complete期间，获取事件0(env_data_request)

*Feb 23 14:48:14.974:@@ cts_env_data完成：env_data_complete -> env_data_waiting_rsp

*Feb 23 14:48:14.974:env_data_waiting_rsp_enter:state = WAITING_RESPONSE

*Feb 23 14:48:14.974:设备上存在安全密钥，请继续无数据包环境数据下载//从交换机启动无数据包身份验证

*Feb 23 14:48:14.974:cts_aaa_is_fragmented:(CTS env-data SM)NOT-FRAG attr_q(0)

*Feb 23 14:48:14.974:env_data_request_action:state = WAITING_RESPONSE

*Feb 23 14:48:14.974:env_data_download_complete:

状态(FALSE)，请求(x0),rec(x0)

*Feb 23 14:48:14.974:    状态(FALSE)、请求(x0)、rec(x0)、期望(x81)、

wait_for_server_list(x85)、 wait_for_multicast_SGT(xB5)、 wait_for_SGName_mapping_tbl(x1485)、

wait_for_SG-EPG_tbl(x18085)、wait_for_default_EPG_tbl(xC0085)、wait_for_default_SGT_tbl(x600085)、wait_for_default_SERVICE_ENTRY_tbl(xC000085)

*Feb 23 14:48:14.974:env_data_request_action:状态= WAITING_RESPONSE，已接收= 0x0请求= 0x0

*Feb 23 14:48:14.974:cts_env_data_aaa_req_setup :aaa_id = 15

*Feb 23 14:48:14.974:cts_aaa_req_setup:(CTS env-data SM)Private group appear DEAD， attempt public group

*Feb 23 14:48:14.974:cts_aaa_attr_add:AAA请求(0x7AB57A6AA2C0)

*Feb 23 14:48:14.974:  用户名= #CTSREQUEST#

*Feb 23 14:48:14.974:AAA环境添加属性：(CTS env-data SM)attr（测试）

*Feb 23 14:48:14.974:  cts-environment-data =测试

*Feb 23 14:48:14.974:cts_aaa_attr_add:AAA请求(0x7AB57A6AA2C0)

*Feb 23 14:48:14.974:AAA环境添加属性：(CTS env-data SM)attr(env-data-fragment)

*Feb 23 14:48:14.974:  cts-device-capability = env-data-fragment

*Feb 23 14:48:14.974:cts_aaa_attr_add:AAA请求(0x7AB57A6AA2C0)

*Feb 23 14:48:14.975:AAA环境添加属性：(CTS env-data SM)attr（多服务器IP支持）

*Feb 23 14:48:14.975:  cts-device-capability =多服务器 — ip-supported

*Feb 23 14:48:14.975:cts_aaa_attr_add:AAA请求(0x7AB57A6AA2C0)

*Feb 23 14:48:14.975:AAA环境添加属性：(CTS env-data SM)attr(wnlx)

*Feb 23 14:48:14.975:  clid = wnlx

*Feb 23 14:48:14.975:cts_aaa_req_send:AAA请求(0x7AB57A6AA2C0)已成功发送到AAA。

*Feb 23 14:48:14.975:RADIUS/ENCODE(0000000F)：源组件类型= CTS

*Feb 23 14:48:14.975:RADIUS(0000000F):配置NAS IP:0.0.0.0

*Feb 23 14:48:14.975:vrfid:[65535] ipv6表ID:[0]

*Feb 23 14:48:14.975:idb为空

*Feb 23 14:48:14.975:RADIUS(0000000F):配置NAS IPv6:::

*Feb 23 14:48:14.975:RADIUS/ENCODE(0000000F):acct_session_id:4003

*Feb 23 14:48:14.975:RADIUS(0000000F):发送

*Feb 23 14:48:14.975:RADIUS:无PAC模式，存在密钥

*Feb 23 14:48:14.975:RADIUS:已成功将CTS无数据包属性添加到RADIUS请求

*Feb 23 14:48:14.975:RADIUS/编码：Radius-Server 10.127.196.169的最佳本地IP地址10.127.196.234

*Feb 23 14:48:14.975:RADIUS:无PAC模式，存在密钥

*Feb 23 14:48:14.975:RADIUS(0000000F):将访问请求发送到来自交换机的10.127.196.169:1812 id 1645/11,len 249 // Radius访问请求

RADIUS:  身份验证器78 8A 70 5C E5 D3 DD F1 - B4 82 57 E2 1F 95 3B 92

*Feb 23 14:48:14.975:RADIUS:  User-Name [1] 14 "#CTSREQUEST#"

*Feb 23 14:48:14.975:RADIUS:  思科供应商[26] 33

*Feb 23 14:48:14.975:RADIUS:  Cisco AVpair [1] 27 "cts-environment-data=test"

*Feb 23 14:48:14.975:RADIUS:  思科供应商[26] 47

*Feb 23 14:48:14.975:RADIUS:  Cisco AVpair [1] 41 "cts-device-capability=env-data-fragment"

*Feb 23 14:48:14.975:RADIUS:  思科供应商[26] 58

*Feb 23 14:48:14.975:RADIUS:  Cisco AVpair [1] 52 "cts-device-capability=multiple-server-ip-supported"

*Feb 23 14:48:14.975:RADIUS:  User-Password [2] 18 *

*Feb 23 14:48:14.975:RADIUS:  Calling-Station-Id [31] 8 "wnlx"

*Feb 23 14:48:14.975:RADIUS:  Service-Type [6] 6 Outbound [5]

*Feb 23 14:48:14.975:RADIUS:  NAS-IP-Address [4] 6 10.127.196.234

*Feb 23 14:48:14.975:RADIUS:  思科供应商[26] 39

*Feb 23 14:48:14.975:RADIUS:  Cisco AVpair [1] 33 "cts-pac-capability=cts-pac-less" // CTS PAC Less cv-pair属性添加到ISE处理无平台身份验证数据包的请求

*Feb 23 14:48:14.975:RADIUS(0000000F):发送IPv4 Radius数据包

*Feb 23 14:48:14.975:RADIUS(0000000F):已启动5秒超时

*Feb 23 14:48:14.990:RADIUS:接收自id 1645/11 10.127.196.169:1812, Access-Accept， len 313。     //身份验证成功

RADIUS:  身份验证器92 4C 21 5C 99 28 64 8B - 23 06 4B 87 F6 FF 66 3C

*Feb 23 14:48:14.990:RADIUS:  User-Name [1] 14 "#CTSREQUEST#"

*Feb 23 14:48:14.990:RADIUS:  类[25] 78

RADIUS:  43 41 43 53 3A 30 61 37 66 63 34 61 39 54 37 68 [CACS:0a7fc4a9T7h]

RADIUS:  39 79 44 42 70 2F 7A 6A 64 66 66 56 49 55 74 4D [9yDBp/zjdffVIUtM]

RADIUS:  78 34 68 63 50 4C 4A 45 49 76 75 79 51 62 4C 70 [x4hcPLJEIvuyQbLp]

RADIUS:  31 48 7A 35 50 45 39 38 3A 69 73 65 33 34 31 2F [1Hz5PE98:ise341/]

RADIUS:  35 32 39 36 36 39 30 32 31 2F 32 31 [529669021/21]

*Feb 23 14:48:14.990:RADIUS:  思科供应商[26] 39

*Feb 23 14:48:14.990:RADIUS:  Cisco AVpair [1] 33"cts-pac-capability=cts-pac-less"

*Feb 23 14:48:14.990:RADIUS:  思科供应商[26] 43

*Feb 23 14:48:14.991:RADIUS:  Cisco AVpair [1] 37 "cts:server-list=CTSServerList1-0001"

*Feb 23 14:48:14.991:RADIUS:  思科供应商[26] 38

*Feb 23 14:48:14.991:RADIUS:  Cisco AVpair [1] 32 "cts:security-group-tag=0002-00"

*Feb 23 14:48:14.991:RADIUS:  思科供应商[26] 41

*Feb 23 14:48:14.991:RADIUS:  Cisco AVpair [1] 35 "cts:environment-data-expiry=86400"

*Feb 23 14:48:14.991:RADIUS:  思科供应商[26] 40

*Feb 23 14:48:14.991:RADIUS:  Cisco AVpair [1] 34 "cts:security-group-table=0001-17"

*Feb 23 14:48:14.991:RADIUS:无PAC模式，存在密钥

*Feb 23 14:48:14.991:RADIUS(0000000F):从1645/11号码收到

*Feb 23 14:48:14.991:cts_aaa_callback:(CTS env-data SM)AAA req(0x7AB57A6AA2C0)响应成功

*Feb 23 14:48:14.991:AAA CTX FRAG CLEAN:(CTS env-data SM)attr（测试）

*Feb 23 14:48:14.991:AAA CTX FRAG CLEAN:(CTS env-data SM)attr(env-data-fragment)

*Feb 23 14:48:14.991:AAA CTX FRAG CLEAN:(CTS env-data SM)attr（多服务器IP支持）

*Feb 23 14:48:14.991:AAA CTX FRAG CLEAN:(CTS env-data SM)attr(wnlx)

*Feb 23 14:48:14.991:  AAA属性：未知类型(450)。

*Feb 23 14:48:14.991:  AAA属性：未知类型(1324)。

*Feb 23 14:48:14.991:  AAA属性：server-list = CTSServerList1-0001。

*Feb 23 14:48:14.991:已收到SLIST名称。将cts_is_slist_send_to_binos_req设置为FALSE

*Feb 23 14:48:14.991:  AAA属性：security-group-tag = 0002-00。

*Feb 23 14:48:14.991:  AAA属性：environment-data-expiry = 86400。

*Feb 23 14:48:14.991:  AAA属性：security-group-table = 0001-17.CTS env-data:接收AAA属性。     //下载环境数据

CTS_AAA_SLIST

在1st Access-Accept中收到的slist name(CTSServerList1)

slist name(CTSServerList1)存在

CTS_AAA_SECURITY_GROUP_TAG

CTS_AAA_ENVIRONMENT_DATA_EXPIRY = 86400。

CTS_AAA_SGT_NAME_LIST

表(0001)在第1次访问接受中收到

将表(0001)从已安装复制到已接收，因为没有任何更改。

新名称(0001),gen(17)

CTS_AAA_DATA_END

*Feb 23 14:48:14.991:    cts_env_data WAITING_RESPONSE:在状态env_data_waiting_rsp期间，获取事件1(env_data_received)

*Feb 23 14:48:14.991:@@ cts_env_data WAITING_RESPONSE:env_data_waiting_rsp -> env_data_assessing

*Feb 23 14:48:14.991:env_data_assessing_enter:状态=正在评估

*Feb 23 14:48:14.991:cts_aaa_is_fragmented:(CTS env-data SM)NOT-FRAG attr_q(0)

*Feb 23 14:48:14.991:env_data_assessing_action:状态=正在评估

*Feb 23 14:48:14.991:env_data_download_complete:

状态(FALSE)，请求(x81),rec(xC87)

*Feb 23 14:48:14.991:期望与接收相同

*Feb 23 14:48:14.991:    status(TRUE)、req(x81)、rec(xC87)、expect(x81)

wait_for_server_list(x85)、 wait_for_multicast_SGT(xB5)、 wait_for_SGName_mapping_tbl(x1485)、

wait_for_SG-EPG_tbl(x18085)、wait_for_default_EPG_tbl(xC0085)、wait_for_default_SGT_tbl(x600085)、wait_for_default_SERVICE_ENTRY_tbl(xC000085)

*Feb 23 14:48:14.991:    cts_env_data评估：在状态env_data_assessing期间，获取事件4(env_data_complete)

*Feb 23 14:48:14.991:@@ cts_env_data正在评估：env_data_assessing -> env_data_complete

*Feb 23 14:48:14.991:env_data_complete_enter:状态=完成

*Feb 23 14:48:14.991:CTS-ifc-ev:env数据报告至核心，结果：成功

*Feb 23 14:48:14.991:env_data_install_action:状态= COMPLETE completed.types 0x0

*Feb 23 14:48:14.991:env_data_install_action:全新安装的sgt<->sgname表

*Feb 23 14:48:14.991:正在清理已安装的sg-epg列表

*Feb 23 14:48:14.991:正在清除已安装的默认epg列表

*Feb 23 14:48:14.991:env_data_install_action:mcast_sgt表已更新

*Feb 23 14:48:14.991:环境数据同步到备用状态2

*Feb 23 14:48:14.991:SLIST与上一次刷新相同。无需将其发送到BINOS

*Feb 23 14:48:14.991:CTS-sg-epg-events：将default_sg 0设置为env data