思科 ISE 中的监控和故障排除服务
监控和故障排除 (MnT) 服务是所有思科 ISE 运行时服务的综合身份解决方案。操作菜单包含以下组件，且仅可从主策略管理节点 (PAN) 查看。请注意，操作 (Operations) 菜单不会显示在主监控节点中。
-
监控：实时呈现代表网络上的访问活动状态的有意义数据。通过查看展示，您可以轻松地解释并监控操作条件。
-
故障排除：提供用来解决网络上的访问问题的上下文指导。然后，您可以解决用户的问题并及时提供解决方案。
-
报告：提供标准报告的目录，这些报告可用来分析趋势和监控系统性能以及网络活动。您可以用各种方式自定义这些报告，并可保存这些报告以供将来使用。您可以在所有报告中针对以下字段使用通配符和多个值搜索记录：身份 (Identity)、终端 ID (Endpoint ID) 和 ISE 节点 (ISE Node)（运行状况摘要 (Health Summary) 报告除外）。
|
有关故障排除技术说明的完整列表，请参阅 ISE 故障排除技术说明。 |
提交 TAC 支持案例
您现在可以通过思科 ISE 提交 TAC 支持案例，以请求对思科 ISE 的部署问题提供支持。使用 TAC 支持案例功能，您可以轻松地为您遇到问题的特定节点提出支持案例。除了您通过支持案例管理器 (SCM) 上提供的表格提供的信息之外，节点序列号和正在使用的思科 ISE 版本等信息也会被发送到思科 TAC。
 注 |
在气隙环境中部署思科 ISE 时，支持案例管理器 (SCM) 功能不起作用。 |
过程
|
步骤 1 |
在思科 ISE 门户主页中，点击右上角的问号图标。 |
|
步骤 2 |
在显示的交互式帮助 (Interactive Help) 菜单中，从资源 (Resources) 下拉列表中选择TAC 支持案例 (TAC Support Cases)。 |
|
步骤 3 |
从TAC 支持案例 (TAC Support Cases) 窗口的节点列表 (Nodes List) 下拉列表中，最多选择四个要为其打开支持案例的节点。主 PAN 和 MnT 节点会被默认选中。 |
|
步骤 4 |
点击 提交支持案例。支持案例管理器将在新选项卡中打开。 （可选）点击案例列表 (Cases List) 可在支持案例管理器上查看已创建的 TAC 案例的状态。 |
|
步骤 5 |
在支持案例管理器的 SSO 身份验证 (SSO Authentication) 窗口中，使用您的 cisco.com 凭证登录。如果无法登录，请联系思科客户支持获取帮助。 |
|
步骤 6 |
填写所需的详细信息，并为 SCM 上的思科 ISE 部署创建新的 TAC 支持案例。建议您使用在支持案例管理器 (SCM) 中打开 TAC 支持案例的程序获取帮助和故障排除。 |
远程支持授权
远程支持授权功能包含两个默认 CLI 用户：Customersuppadmin 和 Customersuppreadonly。默认情况下，这些用户处于禁用状态。
启用远程支持授权后，这些用户会被激活，以提供对 RADKit CLI 的访问权限。禁用 RADKit 后，这些用户会自动停用。
#show users status
USERNAME ROLE DISABLED LOCKED
admin Admin
customersuppadmin Admin *
customersuppreadonly User *此功能默认不启用。按照以下步骤启用并配置“远程支持授权”服务。
开始之前
-
确保您拥有完成思科 SSO 身份验证所需的凭证。
-
思科 ISE 部署需要连接到特定 URL。您必须将这些 URL 添加到防火墙或代理的允许列表中，以支持出站连接。有关所需 URL 和 IP 地址的列表，请参阅https://prod.radkit-cloud.cisco.com/endpoints
-
此功能需要互联网访问权限。如果没有直接互联网访问权限，请配置所需的代理设置。有关详细信息，请参阅在思科 ISE 上配置代理设置。
-
您的思科 ISE 节点向 RADKit 的注册通过用户电子邮件地址的 SSO 身份验证完成。在 SSO 身份验证后，RADKit 证书会下载到思科 ISE 节点中，以便 RADKit 云与思科 ISE 节点之间进行进一步加密通信。
RADKit 的实现方式在本地环境和云环境中相同。
过程
|
步骤 1 |
在思科 ISE GUI 中，点击菜单图标 ( |
|
步骤 2 |
在电子邮箱字段中，输入与您的思科账户关联的电子邮件 ID，然后点击开始配置。 |
|
步骤 3 |
在远程支持授权页面中，点击创建远程支持授权以设置授权。 系统将显示设置授权页面。 |
|
步骤 4 |
在思科专家电子邮件地址选项卡中，输入思科专家的电子邮件 ID。 |
|
步骤 5 |
在访问级别字段中，如果要提供只读访问权限，请选择观察者（只读）；如果要为思科 ISE UI 或 CLI 提供完全管理员访问权限，请选择管理员（读写）。 （可选）如果您有未关闭的服务请求，请在现有 SR 编号字段中输入服务请求编号。 |
|
步骤 6 |
点击下一步 (Next)。 在安排访问页面中，指定访问的时间和时长。
|
|
步骤 7 |
点击下一步 (Next)。 |
|
步骤 8 |
在访问权限协议页面中输入以下详细信息： |
|
步骤 9 |
点击下一步 (Next)。 系统将显示摘要页面，其中包含之前页面中输入的所有详细信息。 请点击复制按钮复制信息，并将摘要页面上显示的服务 ID 提供给思科技术人员。 |
|
步骤 10 |
点击完成 (Finish)。 在当前授权页面中点击编辑，可编辑当前授权会话的详情。 点击取消授权可取消远程支持授权会话。 点击查看日志可查看 UI 管理员用户的 UI 会话审核报告。 要查看 CLI 会话审核日志，请选择。下载 RADKit 部分下的特定文件以查看会话日志。 您可以在远程支持授权页面的历史授权选项卡中查看之前的授权记录。 |
)，然后选择禁用远程支持授权
过程
|
步骤 1 |
在思科 ISE GUI 中，点击菜单图标 ( |
||
|
步骤 2 |
点击禁用以禁用远程支持授权服务。
|
运行状况检查
思科 ISE 引入了按需运行状况检查选项，用于诊断思科 ISE 部署中的所有节点。执行任何操作之前，先在所有节点上进行运行状况检查有助于减少停机时间，并通过发现关键问题（如有）来改善思科 ISE 系统的整体功能。运行状况检查可提供组件的工作状态，并显示有关部署中的问题（如有）的故障排除建议。
|
部署类型 |
说明 |
|---|---|
|
平台支持检查 |
检查部署中支持的平台。不符合建议的要求规格的平台可能会导致性能问题。 检查 34xx 和其他不受支持的平台详细信息，并检查系统是否至少有 12 核心的 CPU、300 GB 硬盘以及 16 GB 内存。 |
|
部署验证 |
检查部署状态节点是否处于同步状态或在进行中。 |
|
DNS 解析 |
检查主机名和 IP 地址的正向和反向查找。 建议使用正向和反向 DNS 解析，以便让部署运行状况检查正常运行。 |
|
信任存储区证书验证 |
检查您的信任存储区证书是否有效或已过期。 删除或更新未使用或已过期的证书，以确保思科 ISE 达到最佳功能。 |
|
系统证书验证 |
检查每个节点的系统证书验证。 删除或更新未使用或已过期的证书，以确保思科 ISE 达到最佳功能。 |
|
磁盘空间检查 |
检查平台支持检查中的硬盘，以及磁盘中可进一步用于升级程序的空间。 我们建议您在开始升级操作之前运行磁盘空间检查，以避免出现性能问题。 |
|
NTP 连通性和时间源检查 |
检查系统中配置的 NTP 以及时间源是否为 NTP 服务器。 NTP 同步对于思科 ISE 服务（例如 AD 操作、升级工作流程等）至关重要。 |
|
平均负载检查 |
按指定时间间隔检查系统负载。有效间隔配置为 1 分钟、5 分钟和 15 分钟。 负载平均检查失败可能会导致思科 ISE 中出现性能问题。 |
|
MDM 验证 |
检查已配置的 MDM 服务器和思科 ISE PSN 服务器之间的连接。 要在思科 ISE 中使用 MDM 支持的功能，MDM 验证检查必须成功完成。 |
|
许可证验证 |
检查智能许可是否已配置且有效。如果您的智能许可证未配置或无效，则思科 ISE GUI 中会显示警告，要求您配置并验证许可证。 思科 ISE 仅支持智能许可。升级到最新的思科 ISE 版本前，请将传统许可证转换为智能许可证。 |
|
服务或流程故障 |
检查服务或应用的状态是否处于运行或失败状态。 |
|
I/O 带宽性能检查 |
检查磁盘读取和写入速度，以避免任何思科 ISE 性能问题。 |
注 |
部署旁边的数字表示节点数量及其运行状况检查详细信息。例如，如果部署带有 0/2，则 0 表示处于“失败”、“进行中”和“已完成”状态的节点数，而 2 表示部署中的节点数。 |
注 |
在运行状况检查期间，如果任何节点在 15 分钟内没有发回响应，则该特定节点的运行状况检查会超时。 |
执行运行状况检查
过程
|
步骤 1 |
在思科 ISE GUI 中，点击菜单 图标 ( |
|||||||||||||||
|
步骤 2 |
点击启动运行状况检查 (Start health checks)。 信息弹出窗口将显示以下消息： 已触发健康状况检查 (Health Checks triggered)。 |
|||||||||||||||
|
步骤 3 |
点击确定 (Ok) 查看状态。 |
|||||||||||||||
|
步骤 4 |
在运行状况检查 (Health Checks) 窗口中，您将能够查看每个组件的运行状况。以下颜色用于指示相应思科 ISE 组件的运行状况：
|
|||||||||||||||
|
步骤 5 |
点击下载报告 (Download report)。 HealthChecksReport.json 文件将保存在本地系统中，其中包含思科 ISE 部署的详细运行状况信息。 触发运行状况检查后，状态将在运行状况检查 (Health Check) 窗口中保留三小时。在运行状况检查 (Health Check) 窗口刷新或过期前，将无法运行健康状况检查。 |
网络权限框架事件流程
网络权限框架 (NPF) 身份验证和授权事件流程使用下表列出的过程：
|
流程阶段 |
说明 |
|---|---|
|
1 |
网络访问设备 (NAD) 执行正常授权或 Flex 授权。 |
|
2 |
使用 Web 授权分析无代理的未知身份。 |
|
3 |
RADIUS 服务器进行身份验证和授权。 |
|
4 |
在端口配置身份的授权。 |
|
5 |
丢弃未经授权的终端通信。 |
用于监控和故障排除功能的用户角色和权限
监控和故障排除功能与默认用户角色相关联。允许您执行的任务与分配给您的用户角色直接相关。
有关为每个用户角色设置的权限和限制的信息，请参阅思科 ISE 管理员组。
注 |
不支持在没有思科 TAC 监管的情况下使用根 shell 访问思科 ISE，并且思科不对由此导致的任何服务中断负责。 |
监控数据库中存储的数据
思科 ISE 监控服务会收集数据并将所收集的数据存储于专用监控数据库中。根据用于监控网络功能的数据速率和数据量，可能需要将某个节点专用于监控。如果思科 ISE 网络以高速率从策略服务节点或网络设备收集日志数据，则我们建议将某个思科 ISE 节点专用于监控。
要管理监控数据库中存储的信息，需要对数据库执行完整备份和增量备份。这包括清除不需要的数据，然后还原数据库。
反馈