本文描述如何配置思科身份服务引擎(ISE)状态功能,当集成与MS Windows服务器更新服务时(WSUS)。
Cisco 建议您了解以下主题:
本文档中的信息基于以下软件和硬件版本:
本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始(默认)配置。如果您使用的是真实网络,请确保您已经了解所有命令的潜在影响。
此部分描述如何配置ISE和相关网元。
这是使用示例在本文中的拓扑:
这是通信流,如网络图所示:
WSUS服务通过标准的TCP端口8530部署。为修正记住那,其他端口也使用是重要的。这就是为什么它是安全添加WSUS的IP地址对在ASA (描述的以后的重定向访问控制表(ACL)在本文)。
域的组策略为Microsoft Windows更新和点配置对本地WSUS服务器:
这些是为粒状策略启用根据不同的级别严重性的推荐的更新:
客户端瞄准允许较大适应性。ISE能使用根据不同的Microsoft Active Directory的状态策略(AD)计算机容器。WSUS能审批根据此会员的更新。
远程用户的简单安全套接字协议层(SSL) VPN访问被使用(详细信息是超出本文的范围)。
这是配置示例:
interface GigabitEthernet0/0
nameif outside
security-level 10
ip address 172.16.32.100 255.255.255.0
interface GigabitEthernet0/1
nameif inside
security-level 100
ip address 172.16.31.100 255.255.255.0
aaa-server ISE protocol radius
interim-accounting-update periodic 1
dynamic-authorization
aaa-server ISE (inside) host 172.16.31.202
key cisco
webvpn
enable outside
anyconnect-essentials
anyconnect image disk0:/anyconnect-win-4.0.00051-k9.pkg 1
anyconnect enable
tunnel-group-list enable
error-recovery disable
group-policy POLICY internal
group-policy POLICY attributes
vpn-tunnel-protocol ikev1 ikev2 l2tp-ipsec ssl-client ssl-clientless
tunnel-group SSLVPN type remote-access
tunnel-group SSLVPN general-attributes
address-pool POOL-VPN
authentication-server-group ISE
accounting-server-group ISE
default-group-policy POLICY
ip local pool POOL-VPN 172.16.50.50-172.16.50.60 mask 255.255.255.0
配置access-list ASA是重要的,用于为了确定流量应该重定向到ISE (为不是兼容的)的用户:
access-list Posture-redirect extended deny udp any any eq domain
access-list Posture-redirect extended deny ip any host 172.16.31.103
access-list Posture-redirect extended deny ip any host 172.16.31.202
access-list Posture-redirect extended deny icmp any any
access-list Posture-redirect extended permit tcp any any eq www
仅域名系统(DNS)、ISE、WSUS和互联网控制消息协议(ICMP)流量为固执的用户允许。所有另一个流量(HTTP)重定向对AnyConnect 4供应的ISE,对状态和修正负责。
完成这些步骤为了配置WSUS的状态修正:
Microsoft Windows更新代理程序然后连接对WSUS和检查是否有等候安装为该PC的任何关键更新:
导航对策略>情况>状态>需求为了创建新规则。规则使用呼叫pr_WSUSRule的一个假的情况,因此意味着WSUS被接触为了检查情况,当修正是必要的时(关键更新)。
一旦此情况符合, WSUS安装为该PC配置的更新。这些能包括任一种更新,并且那些以低严重性成水平:
与AnyConnect 4配置文件一起配置状态模块配置文件, (正如与ISE版本1.3配置示例的AnyConnect 4.0集成所描述) :
一旦AnyConnect配置文件准备好,可以从客户端提供的策略被参考:
整个应用程序,与配置一起,在终端安装,重定向对客户端供应入口页面。AnyConnect 4也许升级和已安装的附加模块(状态)。
创建重定向的一授权配置文件对客户端供应配置文件:
此镜像显示授权规则:
第一次,使用ASA-VPN_quarantine规则。结果,状态授权配置文件返回,并且终端重定向到AnyConnect 4 (用状态模块)供应的客户端设置的门户。
一旦兼容,使用ASA-VPN_compliant规则,并且全双工网络访问允许。
此部分提供您能使用为了验证的信息您配置适当地工作。
与WSUS配置的域策略,在PC登录域后,应该推送。这能发生,在VPN会话建立前(在波段外面)或以后,如果开始,在使用前登录功能(它可以也用于有线的802.1x/无线访问)。
一旦Microsoft Windows客户机有正确配置,这可以从Windows更新设置反射:
若需要,可以使用组策略对象(GPO)刷新和Microsoft Windows更新代理程序服务器发现:
C:\Users\Administrator>gpupdate /force
Updating Policy...
User Policy update has completed successfully.
Computer Policy update has completed successfully.
C:\Users\Administrator>wuauclt.exe /detectnow
C:\Users\Administrator>
审批流程能受益于客户端站点瞄准:
若需要再发出与wuauclt的报告。
此镜像显示如何检查在WSUS的PC状态:
应该为与WSUS的下刷新安装一次更新。
在VPN会话建立后,使用
ISE授权规则,返回状态授权配置文件。结果,从终端的HTTP数据流为AnyConnect 4更新和状态模块供应重定向:这时,在ASA的会话状态指示与HTTP数据流的重定向的有限访问对ISE :
asav# show vpn-sessiondb detail anyconnect
Session Type: AnyConnect Detailed
Username : cisco Index : 69
Assigned IP : 172.16.50.50 Public IP : 192.168.10.21
<...some output omitted for clarity...>
ISE Posture:
Redirect URL : https://ise14.example.com:8443/portal/gateway?sessionId=ac101f64000
45000556b6a3b&portal=283258a0-e96e-...
Redirect ACL : Posture-redirec
状态模块接收从ISE的策略。ise-psc.log调试显示发送到状态模块的要求:
2015-06-05 07:33:40,493 DEBUG [portal-http-service12][] cisco.cpm.posture.runtime.
PostureHandlerImpl -:cisco:ac101f6400037000556b40c1:::- NAC agent xml
<?xml version="1.0" encoding="UTF-8"?><cleanmachines>
<version>2</version>
<encryption>0</encryption>
<package>
<id>10</id>
<name>WSUS</name>
<version/>
<description>This endpoint has failed check for any AS installation</description>
<type>10</type>
<optional>0</optional>
<path>42#1</path>
<remediation_type>1</remediation_type>
<remediation_retry>0</remediation_retry>
<remediation_delay>0</remediation_delay>
<action>10</action>
<check>
<id>pr_WSUSCheck</id>
</check>
<criteria/>
</package>
</cleanmachines>
状态模块自动地触发Microsoft Windows更新代理程序连接到WSUS和下载更新如WSUS策略所配置的一样(自动全部没有任何用户干涉) :
在站点报告如兼容由AnyConnect状态模块后,您将看到此:
报告被发送对ISE,复评策略并且点击
授权规则。这提供全双工网络访问(通过Radius CoA)。导航对操作>认证为了确认此:调试(ise-psc.log)也确认符合状态、CoA触发和最终设置状态的:
DEBUG [portal-http-service17][] cisco.cpm.posture.runtime.PostureManager -:cisco:
ac101f6400039000556b4200:::- Posture report token for endpoint mac
08-00-27-DA-EF-AD is Healthy
DEBUG [portal-http-service17][] cisco.cpm.posture.runtime.PostureCoA -:cisco:
ac101f6400039000556b4200:::- entering triggerPostureCoA for session
ac101f6400039000556b4200
DEBUG [portal-http-service17][] cisco.cpm.posture.runtime.PostureCoA -:cisco:ac
101f6400039000556b4200:::- Posture CoA is scheduled for session id
[ac101f6400039000556b4200]
DEBUG [portal-http-service17][] cisco.cpm.posture.runtime.PostureHandlerImpl -:cisco:
ac101f6400039000556b4200:::- DM_PKG report non-AUP:html = <!--X-Perfigo-DM-Error=0-->
<!--error=0--><!--X-Perfigo-DmLogoff-Exit=0--><!--X-Perfigo-Gp-Update=0-->
<!--X-Perfigo-Auto-Close-Login-Scr=0--><!--X-Perfigo-Auto-Close-Login-Scr-Time=0-->
<!--user role=--><!--X-Perfigo-OrigRole=--><!--X-Perfigo-UserKey=dummykey-->
<!--X-Perfigo-RedirectUrl=--><!--X-Perfigo-ShowInfo=--><!--X-Perfigo-Session=-->
<!--X-Perfigo-SSO-Done=1--><!--X-Perfigo-Provider=Device Filter-->
<!--X-Perfigo-UserName=cisco--><!--X-Perfigo-DHCP-Release-Delay=4-->
<!--X-Perfigo-DHCP-Renew-Delay=1--><!--X-Perfigo-Client-MAC=08:00:27:DA:EF:AD-->
DEBUG [pool-183-thread-1][]cisco.cpm.posture.runtime.PostureCoA -:cisco:
ac101f6400036000556b3f52:::- Posture CoA is triggered for endpoint [08-00-27-da-ef-ad]
with session [ac101f6400039000556b4200]
并且, ISE选派了状态评估报告确认站点是兼容的:
当前没有此配置的故障排除信息联机。
此部分提供关于在本文描述的配置的一些重要信息。
区分从修正的需求条件是重要的。AnyConnect触发Microsoft Windows更新代理程序检查标准,从属在验证Windows更新使用修正设置。
对于此示例,使用严重级别。使用关键设置, Microsoft Windows代理程序证实是否有其中任一待定(不已安装)关键更新。如果有,则修正开始。
修正进程也许然后安装根据WSUS配置的所有关键和较不重要更新(为特定计算机审批的更新)。
使用验证Windows更新使用集作为思科规定,在需求被选派决定的条件站点是否是兼容的。
对于没有WSUS服务器的部署,有能使用呼叫Windows Update修正的另一个修正类型:
此修正类型允许对Microsoft Windows更新设置的控制并且使您执行立即更新。使用与此修正类型的一个典型的情况是pc_AutoUpdateCheck。这允许您证实Microsoft Windows更新设置是否在终端启用。否则,您可启用它和执行更新。
呼叫补丁程序管理的ISE版本1.4的一新特性允许与许多第三方供应商的集成。从属在供应商,多个选项为条件和补救是可用的。
对于Microsoft,支持系统管理服务器(SMS)和系统中心配置管理器(SCCM)。