配置Firepower 6.1与ISE的pxGrid修正

下载选项

PDF (1.4 MB)
在各种设备上使用 Adobe Reader 查看
ePub (1.2 MB)
在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上使用各种应用查看
Mobi (Kindle) (1.0 MB)
在 Kindle 设备上查看或在多个设备上使用 Kindle 应用查看

已更新: 2017 年 11 月 8 日

文档 ID:210524

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。深入了解思科如何使用包容性语言。

关于此翻译

思科采用人工翻译与机器翻译相结合的方式将此文档翻译成不同语言，希望全球的用户都能通过各自的语言得到支持性的内容。请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 Cisco Systems, Inc. 对于翻译的准确性不承担任何责任，并建议您总是参考英文原始文档（已提供链接）。

简介

本文描述如何配置Firepower 6.1 pxGrid修正用身份服务引擎(ISE)。Firepower 6.1+ ISE修正模块可以与ISE终端保护业务(EPS)一起使用自动化qurantine/列入黑名单在网络接入层的攻击者。

先决条件

要求

Cisco 建议您具有以下主题的基础知识：

思科ISE
思科Firepower

使用的组件

本文档中的信息基于以下软件和硬件版本：

Cisco ISE版本2.0 Patch4
思科Firepower 6.1.0
虚拟无线局域网控制器(vWLC) 8.3.102.0

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您使用的是真实网络，请确保您已经了解所有命令的潜在影响。

配置

此条款用Firepower不包括ISE集成初始配置，与激活目录(AD)的ISE集成，与AD的Firepower集成。对于此信息请导航对References部分。Firepower 6.1修正模块允许Firepower系统使用ISE EPS功能(检疫、unquarantine，端口关闭)作为修正，当关联规则匹配时。

Note:端口关闭为无线部署不是可用的。

网络图

流说明：

客户端连接对网络，验证与ISE并且点击与准许对网络的无限制访问的授权配置文件的一个授权规则。
从客户端的流量然后流经Firepower设备。
用户开始执行恶意活动并且点击反过来触发Firepower管理中心的关联规则(FMC)通过pxGrid执行ISE修正。
ISE分配EPSStatus检疫到终端并且触发RADIUS授权崔凡吉莱对网络接入设备(WLC或交换机)。
客户端点击分配限制访问的另一项授权策略(对门户的更改SGT或重定向或拒绝访问)。

Note:应该配置网络接入设备(纳季)发送认为的RADIUS到ISE为了提供它用于映射IP地址到终端的IP地址信息。

配置Firepower

步骤1.配置pxGrid缓解实例。

如镜像所显示，导航对策略>操作>实例并且添加pxGrid缓解实例。

步骤2.配置修正。

有两类型联机：缓和目的地并且缓和来源。在此示例来源使用缓解。如镜像所显示，选择修正类型并且单击添加：

如镜像所显示，分配缓解操作到修正：

步骤3.配置关联规则。

导航对策略>相关性>规则管理并且单击创建规则关联规则是修正的触发能发生。关联规则能包含几个情况。在此示例关联规则PingDC点击，如果入侵事件发生，并且目的IP地址是192.168.0.121。如镜像所显示，匹配ICMP echo应答的自定义入侵规则为测验的目的配置：

步骤4.配置相关性策略。

如镜像所显示，导航对策略>相关性>Policy管理并且单击创建策略，增加规则到策略并且分配对它的答复：

如镜像所显示，启用相关性策略：

配置ISE

步骤1.配置授权策略。

导航对策略>授权并且添加将点击的一项新的授权策略，在修正发生后。使用会话：EPSStatus等于检疫作为情况。有可以使用结果的几个选项：

允许访问并且分配不同的SGT (请强制执行在网络设备的访问控制限制)
拒绝访问(用户应该插入在网络外面，并且不应该能再连接)
对黑名单门户的重定向(在此方案自定义热点门户为此配置

自定义Portal配置

在本例中，热点门户配置作为黑名单。有与自定义文本的仅Acceptable Use Policy (AUP)页，并且没有接受AUP的可能性(这执行与Javascript)。为了达到此，您首先需要启用Javascript然后粘贴隐藏AUP按钮和控制在门户自定义配置方面的代码。

步骤1. Enable (event) Javascript。

导航对管理>System > Admin Access>设置>门户自定义。选择与HTML和Javascript的Enable (event)门户自定义并且点击“Save”。

步骤2.创建热点门户。

导航对访客访问>配置>访客门户并且单击创建，然后选择热点类型。

步骤3.配置门户自定义。

导航对入口页面自定义和更改标题和内容提供一适当的警告给用户。

移动对选项内容2，点击乒乓键HTML来源，并且粘贴脚本里面：

<script>
(function(){
    jQuery('.cisco-ise-aup-text').hide();
    jQuery('.cisco-ise-aup-controls').hide();
    setTimeout(function(){ jQuery('#portal-session-timeout-popup-screen, #portal-session-timeout-popup-popup, #portal-session-timeout-popup').remove(); }, 100);
})();
</script>

点击Untoggle HTML来源。