常见系统维护任务

绑定以太网接口以实现高可用性

思科 ISE 支持将两个以太网接口绑定为一个虚拟接口，以为物理接口提供高可用性。此功能称为网络接口卡 (NIC) 绑定或 NIC 分组。当两个接口绑定后，它们将显示为一个具有一个 MAC 地址的单个设备。

思科 ISE 中的 NIC 绑定功能不支持负载均衡或链路聚合。NIC 绑定仅支持高可用性。

接口绑定可确保在以下情况下思科 ISE 中的服务不受影响：

物理接口故障
由于关闭或故障导致交换机端口连接丢失
交换机线卡故障

当两个接口绑定时，第一个成为主接口，另一个成为备用接口。所有流量都通过主接口传输。如果主接口发生故障，备用接口将接管并路由所有流量。绑定使用主接口的 IP 地址和 MAC 地址。

配置 NIC 绑定功能时，思科 ISE 会将固定的物理 NIC 配对为绑定 NIC。下表列出了可以形成绑定接口的 NIC 对。

表 1. 绑定在一起形成接口的物理 NIC
思科 ISE 物理 NIC 名称	Linux 物理 NIC 名称	绑定的 NIC 中的角色	绑定的 NIC 名称
千兆以太网 0	Eth0	主服务器	绑定 0
千兆以太网 1	Eth1	备份	绑定 0
千兆以太网 2	Eth2	主服务器	绑定 1
千兆以太网 3	Eth3	备份	绑定 1
千兆以太网 4	Eth4	主服务器	绑定 2
千兆以太网 5	Eth5	备份	绑定 2

支持的平台

您可以在所有支持的平台和节点 Persona 上使用 NIC 绑定功能。支持的平台包括：

SNS 硬件设备 - 绑定 0、1 和 2。
如果有六个 NIC，可在虚拟机上配置绑定 0、1 和 2。

绑定以太网接口指南

由于思科 ISE 最多可支持六个以太网接口，它只能有三个绑定，即绑定 0、绑定 1 和绑定 2。
您不能更改属于某个绑定的接口，也不能更改绑定中接口的角色。请参阅上表，了解有关哪些 NIC 可以绑定在一起及其在绑定中的角色的信息。
Eth0 或任何接口既充当管理接口，也充当运行时接口。其他接口用作运行时接口。
在您创建一个绑定之前，必须为主接口（主 NIC）分配 IP 地址。创建绑定 0 之前，必须为 Eth0 接口分配 IPv4 地址。类似地，在创建绑定 1 和 2 之前，必须为 Eth2 和 Eth4 接口分别分配 IPv4 或 IPv6 地址。
在您创建一个绑定之前，如果为备用接口（Eth1、Eth3 和 Eth5）分配了 IP 地址，请将该 IP 地址从备用接口删除。不应该给备用接口分配 IP 地址。
您可以选择仅创建一个绑定（绑定 0），并让剩余接口保持不变。在这种情况下，绑定 0 作为管理接口和运行时接口，剩余接口作为运行时接口。
您可以更改绑定中主接口的 IP 地址。绑定的接口将被分配新的 IP 地址，因为该地址将用作主接口的 IP 地址。
当您删除两个接口之间的绑定时，为绑定的接口分配的 IP 地址将重新分配给主接口。
如果要在属于某个部署的思科 ISE 节点上配置 NIC 绑定功能，则必须从部署中取消注册该节点，配置 NIC 绑定，然后将该节点重新注册到部署中。
如果作为某绑定中的主接口（Eth0、Eth2 或 Eth4）的物理接口配置了静态路由，则这些静态路由将自动更新，以在绑定的接口而非该物理接口上运行。

配置 NIC 绑定

您可以从思科 ISE CLI 配置 NIC 绑定。此过程介绍如何在 Eth0 和 Eth1 接口之间配置绑定 0。

开始之前

如果物理接口（如 Eth1、Eth3 或 Eth5）用作备用接口且配置了 IP 地址，请从该接口移除 IP 地址。不要为备用接口分配 IP 地址。

过程

步骤 1	使用您的管理员帐户登录思科 ISE CLI。
步骤 2	输入 configure terminal 进入配置模式。
步骤 3	输入 interface GigabitEthernet 0 命令。
步骤 4	输入 backup interface GigabitEthernet 1 命令。控制台会显示： `% Warning: IP address of interface eth1 will be removed once NIC bonding is enabled. Are you sure you want to proceed? Y/N [N]:`
步骤 5	输入 Y 并按 Enter。配置绑定 0 后，思科 ISE 会自动重启。等待所有服务正常运行。从 CLI 中输入 show application status ise 命令，检查是否所有服务都在运行。 ise/admin# configure terminal Enter configuration commands, one per line. End with CNTL/Z. ise/admin(config)# interface gigabitEthernet 0 ise/admin(config-GigabitEthernet)# backup interface gigabitEthernet 1 Changing backup interface configuration may cause ISE services to restart. Are you sure you want to proceed? Y/N [N]: Y Stopping ISE Monitoring & Troubleshooting Log Collector... Stopping ISE Monitoring & Troubleshooting Log Processor... ISE PassiveID Service is disabled ISE pxGrid processes are disabled Stopping ISE Application Server... Stopping ISE Certificate Authority Service... Stopping ISE EST Service... ISE Sxp Engine Service is disabled Stopping ISE Profiler Database... Stopping ISE Indexing Engine... Stopping ISE Monitoring & Troubleshooting Session Database... Stopping ISE AD Connector... Stopping ISE Database processes... Starting ISE Monitoring & Troubleshooting Session Database... Starting ISE Profiler Database... Starting ISE Application Server... Starting ISE Indexing Engine... Starting ISE Certificate Authority Service... Starting ISE EST Service... Starting ISE Monitoring & Troubleshooting Log Processor... Starting ISE Monitoring & Troubleshooting Log Collector... Starting ISE AD Connector... Note: ISE Processes are initializing. Use 'show application status ise' CLI to verify all processes are in running state. ise/admin(config-GigabitEthernet)#

验证 NIC 绑定配置

要验证 NIC 绑定功能是否已配置，请从思科 ISE CLI 运行 show running-config 命令。您将看到类似以下示例的输出：


!        
interface GigabitEthernet 0
  ipv6 address autoconfig
  ipv6 enable
  backup interface GigabitEthernet 1
  ip address 192.168.118.214 255.255.255.0
!

在输出中，“备用接口千兆以太网 1”表示在千兆以太网 0 上配置了 NIC 绑定，其中千兆以太网 0 作为主接口，千兆以太网 1 作为备用接口。ADE-OS 配置不会在运行配置中的备份接口上显示 IP 地址。但是，主接口和备用接口实际上使用相同的 IP 地址。

您也可以运行 show interface 命令查看已绑定的接口。


ise/admin# show interface  
bond0: flags=5187<UP,BROADCAST,RUNNING,PRIMARY,MULTICAST>  mtu 1500
        inet 10.126.107.60  netmask 255.255.255.0  broadcast 10.126.107.255
        inet6 fe80::8a5a:92ff:fe88:4aea  prefixlen 64  scopeid 0x20<link>
        ether 88:5a:92:88:4a:ea  txqueuelen 0  (Ethernet)
        RX packets 1726027  bytes 307336369 (293.0 MiB)
        RX errors 0  dropped 844  overruns 0  frame 0
        TX packets 1295620  bytes 1073397536 (1023.6 MiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

GigabitEthernet 0
        flags=6211<UP,BROADCAST,RUNNING,SUBORDINATE,MULTICAST>  mtu 1500
        ether 88:5a:92:88:4a:ea  txqueuelen 1000  (Ethernet)
        RX packets 1726027  bytes 307336369 (293.0 MiB)
        RX errors 0  dropped 844  overruns 0  frame 0
        TX packets 1295620  bytes 1073397536 (1023.6 MiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0
        device memory 0xfab00000-fabfffff  

GigabitEthernet 1
        flags=6211<UP,BROADCAST,RUNNING,SUBORDINATE,MULTICAST>  mtu 1500
        ether 88:5a:92:88:4a:ea  txqueuelen 1000  (Ethernet)
        RX packets 0  bytes 0 (0.0 B)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 0  bytes 0 (0.0 B)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0
        device memory 0xfaa00000-faafffff

删除 NIC 绑定

使用 no 形式的 backup interface 命令删除 NIC 绑定。

开始之前

过程

步骤 1	使用您的管理员帐户登录思科 ISE CLI。
步骤 2	输入 configure terminal 进入配置模式。
步骤 3	输入 interface GigabitEthernet 0 命令。
步骤 4	输入 no backup interface GigabitEthernet 1 命令。 `% Notice: Bonded Interface bond 0 has been removed.`
步骤 5	输入 Y 并按 Enter 键。绑定 0 现已删除。思科 ISE 会自动重启。等待所有服务成功运行。在 CLI 中输入 show application status ise 命令，检查是否所有服务都在运行。 ise/admin# configure terminal Enter configuration commands, one per line. End with CNTL/Z. ise/admin(config)# interface gigabitEthernet 0 ise/admin(config-GigabitEthernet)# no backup interface gigabitEthernet 1 Changing backup interface configuration may cause ISE services to restart. Are you sure you want to proceed? Y/N [N]: Y Stopping ISE Monitoring & Troubleshooting Log Collector... Stopping ISE Monitoring & Troubleshooting Log Processor... ISE PassiveID Service is disabled ISE pxGrid processes are disabled Stopping ISE Application Server... Stopping ISE Certificate Authority Service... Stopping ISE EST Service... ISE Sxp Engine Service is disabled Stopping ISE Profiler Database... Stopping ISE Indexing Engine... Stopping ISE Monitoring & Troubleshooting Session Database... Stopping ISE AD Connector... Stopping ISE Database processes... Starting ISE Monitoring & Troubleshooting Session Database... Starting ISE Profiler Database... Starting ISE Application Server... Starting ISE Indexing Engine... Starting ISE Certificate Authority Service... Starting ISE EST Service... Starting ISE Monitoring & Troubleshooting Log Processor... Starting ISE Monitoring & Troubleshooting Log Collector... Starting ISE AD Connector... Note: ISE Processes are initializing. Use 'show application status ise' CLI to verify all processes are in running state. ise/admin(config-GigabitEthernet)#

使用 DVD 重置丢失、忘记或泄漏的密码

开始之前

了解这些与连接相关的条件，这些条件可能会在您使用思科 ISE 软件 DVD 启动设备时引发问题。

您的终端服务器与设置为 exec 的思科 ISE 设备的串行控制台连接相关联。如果将其设置为 no exec，您可以使用键盘和视频显示器连接以及串行控制台连接。
您的思科 ISE 设备已连接键盘和视频显示器。您可以使用远程键盘和视频显示器连接或 VMware vSphere 客户端控制台连接。
您具有到思科 ISE 设备的串行控制台连接。

过程

步骤 1	确保思科 ISE 设备已接通电源。
步骤 2	插入思科 ISE 软件 DVD。
步骤 3	使用箭头键进行选择，如果使用本地串行控制台端口连接，请选择 System Utilities (Serial Console)，如果使用键盘和视频显示器连接至设备，请选择 System Utilities (Keyboard/Monitor)，然后按 Enter。系统会显示 ISO 实用工具菜单，如下所示。 `Available System Utilities: [1] Recover Administrator Password [2] Virtual Machine Resource Check [3] Perform System Erase [q] Quit and reload Enter option [1 - 3] q to Quit:`
步骤 4	输入 `1` 以恢复管理员密码。控制台会显示： `Admin Password Recovery This utility will reset the password for the specified ADE-OS administrator. At most the first five administrators will be listed. To cancel without saving changes, enter [q] to Quit and return to the utilities menu. [1]:admin [2]:admin2 [3]:admin3 [4]:admin4 Enter choice between [1 - 4] or q to Quit: 2 Password: Verify password: Save change and reboot? [Y/N]:`
步骤 5	输入要重置密码的管理员用户对应的编号。
步骤 6	输入新密码并进行验证。
步骤 7	输入 `Y` 以保存更改。

因管理员锁定而重置禁用的密码

如果连续五次输入错误密码，您的账户将被禁用。

按照这些指令，使用思科 ISE CLI 中的 application reset-passwd ise 命令重置管理员用户界面密码。此过程不会影响管理员的 CLI 密码。重置管理员密码后，新凭证立即生效，无需重启系统即可登录。

思科 ISE 在管理员登录 (Administrator Logins) 窗口中添加了一条日志条目。要查看此处窗口，请点击菜单图标 ()，然后选择操作 (Operations) > 报告 (Reports) > 报告 (Reports) > 审核 (Audit) > 管理员登录 (Administrator Logins)。必须重置管理员 ID 的密码才能再次使用您的凭证。

过程

步骤 1

访问直接控制台 CLI 并输入：

application reset-passwd ise administrator_ID

步骤 2

指定并确认一个新密码，该密码与该管理员 ID 最近使用的密码不同。


Enter new password:
Confirm new password:

Password reset successfully

更改思科 ISE 设备的 IP 地址

开始之前

在更改 IP 地址之前，将思科 ISE 节点从分布式部署中取消注册，然后使其成为独立节点。
更改思科 ISE 设备 IP 地址时，不要使用 no ip address 命令。

过程

步骤 1

登录到思科 ISE CLI。

步骤 2

输入以下命令：

configure terminal
interface GigabitEthernet 0
ip address new_ip_address new_subnet_mask

当提示更改 IP 地址时，输入 Y 。将显示类似的屏幕。

ise-13-infra-2/admin(config-GigabitEthernet)# ip address a.b.c.d 255.255.255.0

% Changing the IP address might cause ISE services to restart
Continue with IP address change? Y/N [N]: y
Stopping ISE Monitoring & Troubleshooting Log Collector...
Stopping ISE Monitoring & Troubleshooting Log Processor...
Stopping ISE Identity Mapping Service...
Stopping ISE pxGrid processes...
Stopping ISE Application Server...
Stopping ISE Certificate Authority Service...
Stopping ISE Profiler Database...
Stopping ISE Monitoring & Troubleshooting Session Database...
Stopping ISE AD Connector...
Stopping ISE Database processes...
Starting ISE Monitoring & Troubleshooting Session Database...
Starting ISE Profiler Database...
Starting ISE pxGrid processes...
Starting ISE Application Server...
Starting ISE Certificate Authority Service...
Starting ISE Monitoring & Troubleshooting Log Processor...
Starting ISE Monitoring & Troubleshooting Log Collector...
Starting ISE Identity Mapping Service...
Starting ISE AD Connector...
Note: ISE Processes are initializing. Use 'show application status ise'
CLI to verify all processes are in running state.

过程完成后，根据提示重启系统。

步骤 3

要重启系统，输入 Y 。

查看安装和升级历史

思科 ISE 提供一个命令行界面 (CLI) 命令来查看思科 ISE 版本和补丁的安装、升级和卸载详细信息。使用 show version history 命令查看详细信息：

日期 - 表示执行安装或卸载的日期和时间。
应用程序 - 思科 ISE 应用程序。
Version - 已安装或删除的版本
操作 - 安装、卸载、补丁安装或补丁卸载。
捆绑包文件名 - 指定已安装或已移除的捆绑包名称。
Repository - 从其安装思科 ISE 应用捆绑包的存储库。不适用于卸载。

过程

步骤 1

登录到思科 ISE CLI。

步骤 2

输入以下命令：show version history。

将显示以下输出：


ise/admin# show version history
---------------------------------------------
Install Date: Fri Nov 30 21:48:58 UTC 2022 
Application: ise 
Version: 3.x.0.xxx 
Install type: Application Install 
Bundle filename: ise.tar.gz 
Repository: SystemDefaultPkgRepos 

ise/admin#

执行系统清除

您可以执行系统清除以安全地清除思科 ISE 设备或 VM 中的所有信息。您可以使用此方法遵守 NIST 特别出版物 800-88 数据销毁标准。

此方法确保思科 ISE 符合 NIST 特别出版物 800-88 数据销毁标准。

开始之前

了解这些与连接相关的条件，这些条件可能会在您使用思科 ISE 软件 DVD 启动思科 ISE 设备时引发问题：

如果您的终端服务器与思科 ISE 设备的串行控制台连接相关联且设置为 exec，请将设置更改为 no exec。此更改允许您同时使用 KVM 连接和串行控制台连接。
使用远程 KVM 或 VMware vSphere 客户端控制台连接，建立到思科 ISE 设备的键盘、视频和鼠标 (KVM) 连接。
建立到思科 ISE 设备的串行控制台连接。

过程

步骤 1	确保思科 ISE 设备已接通电源。
步骤 2	插入思科 ISE 软件 DVD。
步骤 3	使用箭头键选择 System Utilities (Serial Console)，并按 Enter。系统随即会显示 ISO 实用工具菜单，如下所示： `Available System Utilities: [1] Recover administrator password [2] Virtual Machine Resource Check [3] System Erase [q] Quit and reload Enter option [1 - 3] q to Quit:`
步骤 4	输入 `3` 以执行系统清除。控制台会显示： `******** W A R N I N G ******** THIS UTILITY WILL PERFORM A SYSTEM ERASE ON THE DISK DEVICE(S). THIS PROCESS CAN TAKE UP TO 5 HOURS TO COMPLETE. THE RESULT WILL BE COMPLETE DATA LOSS OF THE HARD DISK. THE SYSTEM WILL NO LONGER BOOT AND WILL REQUIRE A RE-IMAGE FROM INSTALL MEDIA TO RESTORE TO FACTORY DEFAULT STATE. ARE YOU SURE YOU WANT TO CONTINUE? [Y/N] Y`
步骤 5	输入 `Y`。控制台会显示另一个警告对您进行提示： `THIS IS YOUR LAST CHANGE TO CANCEL. PROCEED WITH SYSTEM ERASE? [Y/N] Y`
步骤 6	输入 `Y` 以执行系统清除。控制台会显示： `Deleting system disk, please wait… Writing random data to all sectors of disk device (/dev/sda)… Writing zeros to all sectors of disk device (/dev/sda)… Completed! System is now erased. Press <Enter> to reboot.` 执行系统清除后要重新使用该设备，请使用思科 ISE DVD 启动系统并从启动菜单中选择安装选项。

思科身份服务引擎安装指南，版本 3.5

非歧视性语言

当地语言翻译版本说明

Book Title