瞭解ISE服務用途和故障排除

下載選項

PDF (1.0 MB)
在多種裝置上使用 Adobe Reader 檢視

已更新: 2026 年 8 月 6 日

文件 ID:222906

無偏見用語

本產品的文件集力求使用無偏見用語。針對本文件集的目的，無偏見係定義為未根據年齡、身心障礙、性別、種族身分、民族身分、性別傾向、社會經濟地位及交織性表示歧視的用語。由於本產品軟體使用者介面中硬式編碼的語言、根據 RFP 文件使用的語言，或引用第三方產品的語言，因此本文件中可能會出現例外狀況。深入瞭解思科如何使用包容性用語。

關於此翻譯

思科已使用電腦和人工技術翻譯本文件，讓全世界的使用者能夠以自己的語言理解支援內容。請注意，即使是最佳機器翻譯，也不如專業譯者翻譯的內容準確。Cisco Systems, Inc. 對這些翻譯的準確度概不負責，並建議一律查看原始英文文件（提供連結）。

簡介

本文檔介紹ISE服務、用途和故障排除。

必要條件

Radius

需求

思科建議您瞭解：

思科身分識別服務引擎

採用元件

本檔案所述內容不限於任何特定思科身分識別服務引擎的軟體和硬體版本。

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

背景資訊

思科身份服務引擎(ISE)是一個全面的解決方案，旨在通過集中式策略管理、身份驗證、授權和記帳(AAA)提供高級網路安全。它使組織能夠管理使用者、裝置和應用程式的網路訪問，同時確保安全性、合規性和無縫的使用者體驗。

為了實現這些目標，思科ISE利用一系列服務，每個服務負責使系統高效運行的特定任務。這些服務協同工作，可確保安全的網路訪問、強大的策略實施、詳細的日誌記錄、與外部系統的無縫整合以及高效的裝置分析。

ISE中的每項服務在維護解決方案的完整性和可用性方面起著至關重要的作用。有些服務處理核心功能，如資料庫管理和身份驗證，而有些服務則啟用高級功能，如裝置分析、證書管理和監控。

本文概述了思科ISE中的各種服務，解釋了它們的用途、重要性以及遇到問題的潛在故障排除步驟。無論您是管理員還是網路安全專業人員，瞭解這些服務都有助於確保您的ISE部署平穩安全運行。

瞭解並排除ISE服務故障

ISE利用下一個螢幕截圖中提到的服務來支援其功能。通過ISE節點的CLI運行show application status ise命令，驗證ISE中可用的狀態或服務。以下是一個示例輸出，顯示ISE上的狀態或可用服務：

Services available in ISE ISE中提供的服務。

現在，詳細瞭解每項服務。

資料庫監聽程式

資料庫監聽程式服務是一個關鍵元件，用於幫助管理ISE和資料庫伺服器之間的通訊。它偵聽和處理與資料庫相關的請求，確保ISE系統可以讀取和寫入其基礎資料庫。

ISE中資料庫監聽器服務的要點

通訊介面：它充當ISE和資料庫伺服器之間的通訊橋樑，允許系統檢索和儲存使用者憑證、會話資訊、網路策略等資料。
外部資料庫支援：可以將ISE配置為使用外部資料庫（如Oracle或Microsoft SQL Server）進行使用者身份驗證和策略儲存。資料庫監聽程式服務確保ISE可以安全高效地連線到此外部資料庫並與之互動。
資料處理：服務偵聽來自ISE系統的資料庫查詢，並將其轉換為外部資料庫上的相應操作。它可以處理諸如插入、更新或刪除記錄以及從資料庫檢索資訊之類的請求。
資料庫運行狀況監控：除了提供通訊通道外，它還有助於確保與外部資料庫的連線穩定且可操作。如果連線失敗，ISE會根據配置回退到本地儲存或進入降級模式。

資料庫伺服器

資料庫伺服器服務負責管理系統使用的資料的儲存和檢索。它處理與ISE用來儲存配置、策略資訊、使用者資料、身份驗證日誌、裝置配置檔案和其他必要資訊的底層資料庫的互動。

ISE中資料庫伺服器服務的要點

1.內部資料儲存：資料庫伺服器服務主要管理ISE用於本地儲存運算元據的內部嵌入式資料庫。這包括身份驗證和授權記錄、使用者配置檔案、網路訪問策略、裝置和終端資訊以及會話資訊等資料。

2.嵌入式資料庫：在大多數思科ISE部署中，系統使用嵌入式PostgreSQL資料庫進行本地儲存。資料庫伺服器服務確保此資料庫順利運行，並處理與儲存在其中的資料相關的所有查詢、更新和管理任務。

3.資料庫完整性：該服務確保所有事務都得到正確處理，並維護資料庫的完整性。它處理鎖定記錄、管理資料庫連線和執行資料庫查詢等任務。

驗證資料庫監聽程式和資料庫伺服器服務是否正在初始化或未運行，並對其進行故障排除

資料庫監聽程式和資料庫伺服器是必須同時運行才能使所有其他服務正常運行的基本服務。如果這些服務未在運行或在初始化過程中停滯，這些故障排除步驟可幫助進行恢復。

1.通過運行應用程式停止ise和應用程式啟動ise命令重新啟動ISE服務。

2.如果這是一個VM節點，從VM重新啟動該節點必須有助於恢復服務。

3.如果節點是物理節點，則從CIMC重新啟動/重新載入節點必須有助於恢復服務。

4.如果資料庫損毀，請聯絡Cisco TAC進行進一步的疑難排解。

當資料庫中存在差異或資料庫無法正確初始化時，資料庫監聽程式和資料庫伺服器通常關閉或無法啟動。在這些情況下，使用命令application reset-config ise執行應用程式重置必須有助於資料庫的恢復和全新啟動。運行application reset-config ise命令將刪除配置和證書，但保留IP地址和域名詳細資訊。建議在將此命令應用於部署中的任何節點之前，與Cisco TAC聯絡以瞭解更多資訊並瞭解潛在影響。

應用伺服器

應用伺服器是負責運行和管理ISE平台核心功能和服務的關鍵元件。它承載業務邏輯、使用者介面和服務，允許ISE在網路訪問控制、身份驗證、授權、記賬和策略管理中執行其角色。

ISE中應用伺服器服務的要點

1.使用者介面(UI):應用伺服器服務負責呈現基於Web的ISE使用者介面(UI)。這允許管理員配置和管理策略、檢視日誌和報告，以及與ISE的其他功能互動。

2.服務管理：它負責處理ISE提供的各種服務；包括策略管理、管理任務以及與分散式部署中的其他ISE節點的通訊。

3.集中處理：應用伺服器服務在ISE架構中扮演核心角色，提供解釋策略、身份驗證請求以及來自網路裝置、目錄和外部服務的資料的邏輯。

應用程式伺服器正在初始化或未運行的驗證

應用程式伺服器依賴於Web應用程式，如證書、資源、部署和許可。當任何Web應用程式無法初始化時，應用程式伺服器在初始化狀態下保持不動。根據節點上的配置資料，應用程式伺服器從未運行到初始→運行→態大約需要15 - 35分鐘。

確保ISE的管理員證書在所有節點的部署中有效且處於活動狀態。
確保部署中的所有節點都與主管理節點同步。
如果該節點是VM，請確保將建議的資源分配給該節點。

通過從ISE節點的CLI運行show application status ise命令來驗證應用伺服器的狀態。大多數與應用伺服器相關的日誌都位於Catalina.Out和Localhost.log檔案中。

如果滿足條件且應用伺服器在初始化狀態下保持不動，請從ISE的CLI/GUI保護支援捆綁包。通過運行應用程式停止ise和應用程式啟動ise命令恢復/重新啟動服務。

Profiler資料庫

Profiler資料庫用於儲存有關Profiler服務發現的網路裝置、終端和裝置配置檔案的資訊。這是ISE的關鍵元件，可根據網路特徵和行為自動識別和分類網路裝置（如電腦、智慧手機、印表機、IoT裝置等）。

有關ISE中的Profiler資料庫服務的要點

1.裝置分析：Profiler資料庫服務的主要功能是支援分析過程。ISE使用此服務來儲存分析過程中收集的資訊，例如：

裝置型別（例如，智慧手機、筆記型電腦、印表機、IoT裝置等）
裝置作業系統(Fsor示例，Windows®、macOS®、Cisco IOS®、Android®)
裝置製造商
有助於對裝置進行分類的網路行為或模式

2. Profiler資訊：儲存分析器屬性，如裝置硬體和軟體配置檔案，用於使裝置與預定義策略相匹配。此資訊用於根據裝置的配置檔案將裝置動態分配到正確的網路訪問策略或VLAN。

3.分析過程：分析過程通常基於：

活動分析：ISE主動查詢網路上的裝置以獲取資訊。
被動分析：ISE被動地從網路流量（例如DHCP請求、RADIUS屬性、HTTP報頭和其他網路協定）收集資料以確定裝置型別。

驗證ISE分析服務並對其進行故障排除

1.從ISE CLI運行show application status ise命令以驗證profiler資料庫服務是否正在運行。

2.在「主管理」節點的GUI中，導航到「管理」>「部署」>「選擇節點」。按一下編輯並驗證會話服務，並確保已啟用分析服務。

3.現在，導航到「管理」>「部署」>「選擇節點」。移動到Profiler配置並驗證是否已啟用保護端點資料所需的探測。

4.導航到Administration > System > Profiling，並驗證是否已為CoA配置分析器設定。

5.從「上下文可見性」>「端點」中，選擇端點並驗證由不同探測器為端點收集的屬性。

用於排除分析問題的有用調試：

profiler(profiler.log)
runtime-AAA(prrt-server.log)
nsf(ise-psc.log)
nsf-session(ise.psc.log)

ISE索引引擎

索引引擎是一項服務，負責高效地搜尋、索引和檢索ISE資料庫中儲存的資料。它增強了ISE的效能和可擴充性，尤其是在處理大量資料並提供對身份驗證、授權、監控和報告任務所需資訊的快速訪問方面。

關於ISE中的ISE索引引擎的要點

1.資料索引：ISE索引引擎為ISE中儲存的各種型別的資料建立索引，如身份驗證日誌、會話日誌、策略命中、分析資料和網路訪問記錄。索引有助於組織資料，確保搜尋和查詢更加高效。

2.日誌管理和報告：此服務通過提高報告和日誌查詢的效能，在日誌管理中扮演著關鍵角色。在搜尋特定的身份驗證事件時，索引引擎可以更快地檢索所需的記錄，這對於安全監控和法規遵從性報告至關重要。

3.資料檢索：索引引擎還負責確保ISE能夠在需要時從其基礎資料庫中高效地檢索索引資料。這允許ISE對來自使用者介面、外部工具或API的查詢提供快速響應。

驗證ISE索引引擎未運行或正在初始化

驗證正向和反向DNS查詢是否工作正常，或通過CLI驗證群集中的所有節點是否都使用nslookup <ISE節點的FQDN / IP地址>命令。
驗證ISE管理員證書對群集中的所有節點是否有效且處於活動狀態。
通過運行show ntp命令，驗證NTP是否與ISE節點同步運行。

索引引擎由上下文可視性使用，索引引擎必須啟動並運行，上下文可視性才能正常運行。有助於故障排除的有用日誌是ADE.log檔案。當出現問題時，可以通過運行show logging system ade/ADE.log tail命令從支援捆綁包中保護這些資料，也可以通過CLI對其進行跟蹤。

AD聯結器

AD聯結器(Active Directory Connector)是一種允許ISE與Microsoft Active Directory(AD)整合的服務，使ISE能夠根據使用者的AD憑證和組成員身份對使用者進行身份驗證、授權和管理。AD聯結器充當ISE和Active Directory之間的橋樑，允許ISE利用AD進行網路訪問控制(NAC)和策略實施。

ISE中AD聯結器服務的關鍵功能

與Active Directory整合：AD聯結器服務充當ISE和Active Directory之間的橋樑。它允許ISE安全連線到AD，從而允許ISE利用AD作為集中身份庫進行使用者身份驗證和策略實施。
同步:AD聯結器服務支援將使用者和組資料從Active Directory同步到ISE。這可以確保ISE更新有關使用者和組的資訊，這對於準確策略實施至關重要。
安全通訊：AD聯結器服務在ISE和Active Directory之間建立安全通訊通道，通常使用協定(如LDAP over SSL(LDAPS))以確保身份驗證和查詢過程中的資料隱私和完整性。
多個Active Directory域支援：該服務可以支援到多個Active Directory域的連線。這在大型或多域環境中尤其有用，在這些環境中，ISE必須對來自不同AD林或域的使用者進行身份驗證。
使用者和組查詢：這使ISE能夠查詢AD中的使用者和組資訊。這可能包括使用者名稱、組成員身份和其他可用於實施網路訪問策略的使用者屬性等詳細資訊。例如，可以基於使用者AD組成員身份應用網路訪問策略(例如：向不同組中的使用者授予不同的訪問級別)。

驗證NTP是否與節點同步，以及AD和ISE之間的時間差異；必須少於5分鐘。
驗證DNS伺服器是否可以解析與AD相關的FQDN和域。
導航到Operations > Reports > Reports > Diagnostics > AD Connector Operations並驗證與AD相關的事件或報告。

用於故障排除的有用日誌是ad_agent.log，其中包含運行時元件的調試日誌。

M&T會話資料庫

M&T會話資料庫（監控和故障排除會話資料庫）在儲存和管理網路訪問事件的會話相關資料方面起著重要作用。M&T會話資料庫儲存有關活動會話的資訊。這包括使用者身份驗證、裝置連線和網路訪問事件，這對於監控、故障排除和分析網路活動至關重要。

ISE中M&T會話資料庫服務的關鍵功能

會話資料儲存：M&T Session Database服務負責在網路上儲存和索引使用者和裝置資料會話。這包括會話開始和結束時間、身份驗證結果、使用者或裝置身份以及關聯的策略（如角色分配或VLAN分配）。資料還包括詳細說明會話生命週期的RADIUS記帳資訊，包括初始身份驗證和跟蹤會話事件的任何記帳消息。
即時和歷史資料：該服務提供對即時會話資料（活動會話）和歷史會話資料（過去會話）的訪問。這使管理員不僅能夠監控持續的使用者訪問，而且能夠檢視過去的會話日誌，以調查問題或驗證訪問事件。即時會話監控可確保網路中當前沒有未經授權的裝置。
增強型監控：提供對使用者和裝置活動的深入瞭解，包括應用於其會話的策略，有助於檢測潛在的安全問題或未經授權的訪問。
稽核和報告：通過儲存訪問事件的網路歷史並提供用於監管報告的資料來促進合規性審計和報告。

驗證ISE中的M&T會話資料庫並對其進行故障排除

1.驗證是否為該節點分配了建議的資源。

2.從ISE CLI保護和運行show tech-support以進一步驗證問題。

3.在ISE CLI中運行application configure ise命令並選擇選項1，重置M&T會話資料庫。

附註：只有在驗證部署中的潛在影響之後，才能完成重置M&T資料庫。請與Cisco TAC聯絡以進行進一步驗證。

已知缺陷: Cisco bug ID 32364

M&T日誌處理器

M&T日誌處理器（監控和故障排除日誌處理器）是一個負責收集、處理和管理ISE內各種服務生成的日誌資料的元件。它是Monitoring and Troubleshooting(M&T)框架的關鍵部分，可幫助管理員監控和排除ISE系統中的網路訪問事件、身份驗證嘗試、策略實施和其他活動故障。M&T日誌處理器專門處理日誌條目的處理，確保ISE可以儲存、分析和提供報告、稽核和故障排除所需的資訊。

ISE中M&T日誌處理器服務的主要功能

日誌收集和處理：M&T日誌處理器服務收集和處理由各種ISE元件生成的日誌，例如身份驗證請求、授權決策、記帳消息和策略實施活動。這些日誌包含有關使用者、裝置和網路訪問嘗試的詳細資訊，例如時間戳、使用者ID、裝置型別、應用的策略、訪問請求成功或失敗以及失敗原因。
報告和合規性：此服務處理的日誌對於合規性報告至關重要。許多法規要求組織保留使用者訪問和安全事件日誌。M&T日誌處理器服務確保所有相關日誌都得到處理，並可用於合規性稽核。它有助於根據日誌資料（如使用者訪問日誌、身份驗證成功/失敗率或策略實施日誌）生成詳細報告。

驗證ISE中的M&T日誌處理器服務並對其進行故障排除

確保ISE節點已按照思科安裝指南部署推薦資源。
要驗證問題，請通過ISE CLI運行show logging system ade/ADE.log tail命令以查詢相關異常/錯誤。

已知缺陷: Cisco bug ID15130

證書頒發機構服務

證書頒發機構(CA)服務是協助管理數位證書以保護通訊安全和驗證裝置、使用者及網路服務的關鍵元件。數位證書對於建立可信連線並確保客戶端（電腦、智慧手機、網路裝置）和網路基礎設施元件（交換機、無線接入點、VPN網關）之間的安全通訊至關重要。思科ISE中的CA服務與X.509證書配合使用，這些證書用於多種網路安全用途，包括802.1X身份驗證、VPN訪問、安全通訊和SSL/TLS加密。

ISE中證書頒發機構服務的關鍵功能

證書管理：證書頒發機構服務負責處理ISE內數位證書的建立、頒發、管理和續訂。這些憑證用於網路中的各種驗證通訊協定與加密目的。它可以充當內部證書頒發機構，也可以與外部CA（例如，Microsoft AD CS、VeriSign或DigiCert等公共CA）整合以頒發證書。
頒發證書：對於需要EAP-TLS或類似基於證書的身份驗證方法的環境，ISE可以為網路訪問裝置(NAD)、使用者或終端頒發證書。ISE可以自動生成和部署用於驗證裝置和使用者的證書，也可以從外部CA請求證書。
- 證書註冊：CA服務支援終端（例如筆記型電腦、電話和其他網路裝置）的證書註冊，這些終端需要使用證書向網路進行身份驗證。ISE使用SCEP（簡單證書註冊協定）或ACME（自動證書管理環境）等協定來簡化裝置的證書註冊。
- 證書續訂：該服務可自動為裝置和使用者續訂即將到期的證書。它確保證書始終保持有效且為最新，防止證書過期導致服務中斷。
與外部證書頒發機構整合：雖然ISE可以充當自己的CA，但更常見的是與外部CA（例如，Microsoft Active Directory證書服務）整合。 CA服務可以管理ISE和外部CA之間的互動，根據需要請求使用者、裝置和網路資源的證書。

EST服務

通過安全傳輸(EST)註冊服務是一種協定，用於在基於證書的身份驗證環境中向網路裝置和使用者安全地頒發數位證書。EST是一種證書註冊協定，允許裝置以安全、自動的方式向證書頒發機構(CA)請求證書。EST服務可用於裝置身份驗證，例如802.1X環境、VPN連線或BYOD（自帶裝置）場景，在這些場景中，裝置必須使用證書向網路進行身份驗證。

ISE中EST服務的主要功能

證書註冊：EST服務負責為需要證書進行身份驗證的裝置（如交換機、接入點或終端）啟用安全證書註冊。註冊通過安全傳輸（如HTTPS）完成，確保該進程經過加密並保護免受未經授權的訪問。
證書吊銷和續訂：註冊證書後，EST服務還負責管理證書撤銷或續訂。例如，裝置必須在當前證書過期時請求新證書，EST可以幫助自動完成此過程。
改進網路訪問控制：通過使裝置能夠使用證書進行身份驗證，EST服務增強了使用802.1X身份驗證的環境中網路的安全狀態。

驗證證書頒發機構和EST服務未運行/正在初始化

導航到Administration > System > Certificates > Certificate Authority > Internal CA settings。確保CA、EST和OCSP響應程式狀態已排序並啟用。
有助於故障排除的有用調試包括est、provisioning、ca-service和ca-service-cert。請參閱ise-psc.log、catalina.out、caservice.log和error.log檔案。
驗證ISE根CA和ISE消息證書在部署中有效。如果需要續訂ISE根CA，請導航到Administration > Certificates > Certificate Signing Requests > Generate Certificate Signing Request，選擇使用作為ISE根CA。點選續訂ISE根CA。

SXP引擎服務

SXP引擎服務負責使用安全組標籤(SGT)和安全組交換協定(SXP)管理和促進ISE與網路裝置之間的通訊。它在支援TrustSec策略方面發揮著關鍵作用，TrustSec策略用於根據裝置的安全組實施網路訪問控制，而不僅僅是IP地址或MAC地址。ISE中的SXP引擎主要用於交換安全組資訊，這有助於基於使用者或裝置身份、應用和位置實施策略。它使裝置能夠共用安全組標籤(SGT)，用於跨網路裝置（如路由器和交換機）實施安全策略。

ISE中SXP引擎服務的關鍵功能

與TrustSec整合：SXP通常部署在利用Cisco TrustSec的環境中，Cisco TrustSec解決方案可在有線和無線網路中實施一致的安全策略。SXP引擎便於裝置之間的SGT通訊，允許基於裝置或使用者的安全上下文的動態策略實施。
安全組標籤(SGT):TrustSec的政策執行核心圍繞SGT。這些標籤用於分類網路流量，而SXP協定可幫助共用這些標籤到特定使用者或裝置的對映。這允許對網路訪問和流量進行精細的、策略驅動的控制。

ISE中SXP引擎服務的驗證和故障排除

預設情況下，在ISE中禁用SXP引擎服務。要啟用它，請轉到ISE GUI >管理>部署，選擇節點。選中Enable SXP Service（啟用SXP服務）框，並選擇介面。然後，通過運行show application status ise命令，從ISE CLI驗證SXP引擎服務的狀態。
如果存在網路通訊問題，通過在CLI中運行show interface命令，驗證分配給SXP引擎的介面具有有效的IP地址，並確保網路中允許IP子網。
檢查RADIUS即時日誌以驗證ISE上的SXP連線事件。
啟用ISE節點上的SXP元件以調試和捕獲與SXP相關的日誌和異常。

TC-NAC服務

TC-NAC服務（TrustSec網路訪問控制）是一個促進在網路裝置上實施TrustSec策略的元件，確保訪問控制基於安全組標籤(SGT)而不是傳統IP或MAC地址。

TrustSec則是由思科開發的一個框架，它根據裝置角色、使用者或情景實現跨網路的安全策略實施，而不是使用VLAN或IP地址等傳統機制。它通過將裝置分為不同的安全組並使用SGT標籤，提供更精細和動態的網路訪問控制。

ISE中TC-NAC服務的主要功能

與第三方NAC系統整合：TC-NAC服務使ISE能夠與第三方網路訪問控制解決方案進行通訊和互動。對於已經部署了現有NAC基礎設施，但希望與思科ISE整合以改善功能、利用其他安全策略或利用思科其他網路安全功能的組織來說，這非常有用。
提供無縫策略實施：當與第三方NAC解決方案整合時，ISE可以接管策略實施和決策的某些方面。這樣可建立更統一的策略框架，確保思科和非Cisco NAC系統應用的策略在整個網路中保持一致。
支援傳統NAC系統：TC-NAC服務幫助具有傳統NAC系統的組織繼續使用這些系統，同時採用Cisco ISE增強安全功能。ISE可以與舊式NAC解決方案整合並延長其生命週期，同時提供訪問控制、安全性和合規性實施。
促進第三方NAC供應商通訊：此服務允許ISE促進與使用專有協定或標準的第三方NAC解決方案的通訊。ISE可以通過行業標準協定（如RADIUS、TACACS+或SNMP）或自定義API與第三方NAC系統互動，具體取決於使用的NAC解決方案。

驗證ISE中的TC-NAC服務並對其進行故障排除

導航到Administration > Deployment > PSN node > Enable Threat Centric NAC，驗證是否已啟用Threat Centric NAC。
如果SourceFire FireAMP介面卡出現問題，請驗證您的網路中是否允許埠443。
從「操作」>「以威脅為中心的NAC即時日誌」驗證終端會話詳細資訊。

以威脅為中心的NAC觸發的警報：

介面卡無法訪問(系統日誌ID:91002):表示無法訪問介面卡。
介面卡連線失敗(系統日誌ID:91018):表示介面卡可訪問，但介面卡和源伺服器之間的連線已關閉。
介面卡由於錯誤而停止(系統日誌ID:91006):如果介面卡未處於所需狀態，將觸發此警報。如果顯示此警報，請檢查介面卡配置和伺服器連線。有關詳細資訊，請參閱介面卡日誌。
介面卡錯誤(系統日誌ID:91009):表示Qualys介面卡無法與Qualys站點建立連線或從Qualys站點下載資訊。

用於診斷TC-NAC問題的有用調試：

va-runtime(varuntime.log)
va-service（varuntime.log和vaggregation.log）
TC-NAC(ise-psc.log)
anc(ise-psc.log)

PassiveID WMI服務

PassiveID WMI服務是允許ISE使用Windows Management Instrumentation(WMI)作為被動機制執行裝置分析的服務，用於識別和分析網路中的端點。在必須準確識別運行Windows OS的裝置以進行網路訪問控制和策略實施的環境中，它在裝置分析中起著至關重要的作用。

ISE中PassiveID WMI服務的關鍵功能

裝置身份收集：PassiveID WMI服務允許ISE使用Windows Management Instrumentation(WMI)從Windows裝置被動收集身份資訊。它無需裝置主動參與即可收集系統詳細資訊，如裝置主機名、作業系統版本及其他相關屬性。

2.與ISE策略整合：由PassiveID WMI服務收集的資訊已整合到ISE策略框架中。它有助於基於裝置屬性（如型別、作業系統和安全標準合規性）的動態應用策略。

驗證PassiveID WMI服務並對其進行故障排除

高度安全和精確的源，是接收使用者資訊最常見的源。作為探測，AD與WMI技術配合以提供經過驗證的使用者身份。此外，AD本身（而不是探測器）用作源系統（提供程式），其他探測器也從源系統中檢索使用者資料。

進行故障排除所需的有用調試和資訊。將這些屬性設定為PassiveID WMI問題的調試級別：

被動ID（被動式*）
runtime-logging(prrt-server.log)
Active Directory(ad)_agent.log) — 跟蹤級別
collector(collector.log)(在PassiveID、MnT節點上和在活動pxGrid節點上（如果會話已發佈）
pxGrid(pxgrid/)（如果會話已發佈，則在輔助MnT和活動pxGrid節點上）

排除PassiveID WMI故障所需的資訊：

以前奏效嗎？最近所做的任何更改（例如任何升級、ISE上的補丁安裝/DC上的升級？）
測試連線是否正常工作（在整合之前，請檢查測試連線？）
有關用於加入AD的使用者名稱以及用於WMI的使用者名稱（無論是管理員帳戶還是非管理員帳戶）的詳細資訊。
檢查DC中的事件(4768、4770)是否已記錄（從DC檢查事件檢視器日誌）。
捕獲日誌：設定被動ID和運行時記錄的調試級別，然後完成帶有時間戳跟蹤級別的DC、AD的wmi配置。

PassiveID Syslog服務

PassiveID Syslog服務是一項服務，它啟用PassiveID分析功能以收集和處理來自環境中網路裝置的syslog消息。這些系統日誌消息包含連線到網路的終端的重要資訊，ISE使用這些資訊來分析裝置以進行網路訪問控制和策略實施。

被動ID系統日誌服務的關鍵功能

1.被動身份驗證：Passive ID Syslog服務允許Cisco ISE通過從指示使用者和裝置活動的網路裝置（如交換機或路由器）收集系統日誌消息來被動驗證使用者和裝置。這適用於傳統主動驗證方法（例如802.1X）不合適或不可行的情況。

2.事件記錄：被動ID系統日誌服務依靠系統日誌協定從跟蹤使用者訪問和網路行為的網路裝置接收日誌。這些日誌中包含的資訊可能包括裝置登入嘗試、接入點和介面詳細資訊等內容，從而幫助ISE被動識別裝置或使用者。

PassiveID API服務

PassiveID API服務是一項服務，支援與需要有關連線到網路的裝置或使用者身份資訊的系統整合。它通常用於網路管理員希望執行基於身份的策略和操作而不要求每台裝置使用主動網路身份驗證協定（如802.1X）的環境。

被動ID API服務的主要功能

與外部系統整合：被動ID API允許ISE從第三方系統或網路裝置（如交換機、路由器、防火牆或任何可以生成身份相關事件的系統）接收身份資訊。這些外部系統可以傳送系統日誌消息、身份驗證日誌或其他相關資料等資訊，以幫助ISE被動識別使用者或裝置。
被動身份驗證：被動ID API服務用於通過收集身份資料來被動驗證使用者和裝置，而無需主動身份驗證（例如，不需要802.1X、MAB或Web身份驗證）。它可以捕獲網路裝置、Active Directory日誌或安全裝置中的資訊，並使用該資訊識別使用者或裝置。
對映身份資訊：被動ID API可用於將身份資料對映到特定安全策略。此資訊用於為使用者和裝置動態分配安全組標籤(SGT)或角色，從而影響網路訪問控制（如分段和防火牆策略）的實施。

PassiveID代理服務

PassiveID代理服務通過使用安裝在終端（如電腦、筆記型電腦、流動裝置等）上的PassiveID代理啟用裝置分析。 PassiveID代理允許ISE通過偵聽來自終端的流量來收集有關網路上的裝置的分析資訊，而無需主動掃描或直接與裝置互動。

被動ID代理服務的關鍵功能

被動使用者和裝置識別：被動ID代理服務負責被動收集身份相關資訊（通常是從網路裝置或終端），並將此資料傳送到ISE。此服務允許ISE根據使用者和裝置的活動或特徵進行身份驗證和識別，而無需裝置主動身份驗證（例如，不提供802.1X憑據）。
與其他思科元件整合：被動ID代理與交換機、無線控制器和接入點等思科網路裝置緊密合作，從網路流量、系統日誌或其他管理系統中收集身份相關資訊。它還可以與Cisco TrustSec和思科身份服務整合，以將此資料對映到特定安全組標籤(SGT)或其他基於身份的策略。
情景網路訪問控制：被動ID代理將此資訊傳送給思科ISE，思科ISE根據使用者或裝置的身份和情景應用適當的訪問控制策略。這可能包括：

基於角色的訪問控制
動態VLAN分配
網路分段
根據使用者角色或裝置安全狀態實施安全策略

PassiveID端點服務

PassiveID Endpoint Service是一項服務，負責基於PassiveID技術識別和分析網路上的終端（裝置）。此服務可幫助ISE收集、處理和分類連線到網路的裝置上的資訊，而無需與終端本身進行主動互動。PassiveID端點服務在分析分析、網路訪問控制和安全策略實施中扮演著關鍵角色。

PassiveID端點服務的關鍵功能

被動使用者和裝置識別：PassiveID端點服務允許ISE通過利用網路活動或系統日誌中的資訊被動地識別和驗證網路上的裝置。這包括根據使用者和裝置的網路行為或特徵(例如MAC地址、IP地址或從Active Directory(AD)等外部身份庫登入資訊)識別使用者和裝置。
從端點收集資料：終端服務從不同來源收集各種型別的終端特定資料：

使用者從外部身份庫（如Active Directory或其他目錄）登入資訊。
裝置特徵，例如IP地址、MAC地址和裝置型別（例如，裝置是Windows PC、行動電話還是IoT裝置）。
終端網路活動，例如DHCP請求、ARP請求和其他網路層通訊。

PassiveID SPAN服務

PassiveID SPAN服務利用網路裝置上的SPAN（交換連線埠分析器）連線埠映象，擷取和分析網路流量以進行端點分析。此服務通過分析網路通訊模式幫助ISE被動獲取有關網路內終端的資訊，而無需在裝置上安裝主動探測或代理。

PassiveID SPAN服務的主要功能

從SPAN流量進行被動身分識別收集：PassiveID SPAN服務允許ISE根據通過交換機上的SPAN埠映象或複製的網路流量收集身份資料。SPAN連線埠用於透過映象來自其他連線埠或VLAN的網路流量進行網路監控。通過捕獲此流量，ISE可以被動收集身份資訊，例如：

裝置的MAC地址
與裝置關聯的IP地址
DHCP請求或從捕獲流量獲取的其他身份相關資訊
來自網路裝置（例如交換機或無線控制器）的身份驗證日誌

2.捕獲使用者和裝置身份資訊：SPAN服務監聽通過網路的流量，並識別來自網路資料包的關鍵身份資訊，而無需直接與裝置互動。這可能包括以下資料：

通過EAP（可擴展身份驗證協定）等協定進行身份驗證時的使用者身份
基於MAC地址和IP地址的裝置標識
基於觀察到的流量模式和事件的裝置角色和行為

PassiveID Stack（PassiveID SPAN服務、PassiveID Syslog服務、PassiveID Endpoint Service、PassiveID Agent、PassiveID API服務）的驗證和疑難排解

PassiveID stack是提供者和所有服務的清單，且預設情況下PassiveID堆疊處於禁用狀態。導航到ISE GUI >管理>部署>選擇節點>啟用被動身份服務，點選儲存。要驗證PassiveID堆疊服務狀態，請登入到ISE節點的CLI並運行show application status ise命令。
如果被動ID代理出現問題，請檢查代理的FQDN是否可從ISE節點解析。為此，請登入到ISE CLI並運行nslookup < FQDN of Agent configured >命令。
確保ISE索引引擎處於活動狀態，並且在ISE中配置的DNS或名稱伺服器正在解析反向和正向DNS查詢。
要確保與系統日誌提供商無縫通訊，請確保UDP40514口連線埠和TCP11468口連線埠連線埠在網路中開啟。
要在節點上配置SPAN提供程式，請確保已啟用ISE被動身份服務。從ISE CLI運行show interface命令，驗證要在SPAN提供程式上配置的介面在ISE中可用。
要根據被動ID提供程式檢查日誌，必須檢視passiveid-syslog.log、passiveid-agent.log、passiveid-api.log、passiveid-endpoint.log、passiveid-span.log。可以從ISE節點的支援捆綁包保護上述日誌。

DHCP伺服器(dhcpd)

DHCP伺服器(dhcpd)服務為網路裝置提供動態主機配置協定(DHCP)功能。它主要用於將IP地址分配給嘗試連線到網路的裝置（終端）。在ISE中，DHCP伺服器在將IP地址提供給連線網路時請求這些地址的終端時起著關鍵作用。該服務還可以提供其他配置資訊，例如DNS伺服器、預設網關和其他網路設定。

ISE中DHCP伺服器(dhcpd)服務的關鍵功能

動態IP地址分配：ISE中的dhcpd服務充當DHCP伺服器，為連線到網路時請求IP地址的裝置提供IP地址分配。在裝置動態加入網路的場景中，例如在BYOD（自帶裝置）環境中，或者裝置配置為自動獲取IP地址時，這一點非常重要。
基於配置檔案的DHCP:dhcpd服務可以根據裝置的配置檔案分配IP地址。如果ISE已分析裝置（智慧手機、筆記型電腦、IoT裝置），則可以根據裝置型別或角色分配適當的IP地址或應用其他設定。
支援DHCP中繼：ISE可以充當DHCP中繼代理，如果ISE不處理實際IP地址分配，則將DHCP請求從裝置轉發到外部DHCP伺服器。在這種情況下，dhcpd服務可以將來自裝置的請求轉發到中央DHCP伺服器，而ISE繼續應用網路策略和訪問控制。

檢驗DHCP伺服器(dhcpd)並排除故障

聯絡Cisco TAC驗證DHCP伺服器軟體包是否安裝在ISE上。
登入到ISE > rpm -qi dhcp的根。

DNS伺服器（已命名）

DNS伺服器（命名）服務允許ISE充當DNS（域名系統）伺服器或DNS解析程式。它主要負責將域名解析為IP地址，反之亦然，從而促進網路中裝置之間的通訊。

ISE中DNS伺服器（命名）服務的關鍵功能

用於ISE通訊的DNS解析：ISE中的命名服務有助於將域名解析為IP地址。當ISE必須使用域名而不是IP地址連線到其他網路裝置或外部服務（例如Radius伺服器、Active Directory或外部NTP伺服器）時，這一點非常重要。

當ISE必須到達Radius伺服器或外部目錄服務（如Active Directory）時，它必須將伺服器的域名解析為IP地址。
ISE查詢系統上配置的DNS伺服器以解析這些域名，確保順利通訊。

2.外部服務的DNS解析：DNS服務使ISE能夠連線到需要域名的外部服務。例如，ISE必須解析外部服務的名稱，例如：

基於雲的服務。
NTP（網路時間協定）伺服器。
證書頒發機構(CA)或LDAP伺服器。

3.多域和冗餘DNS伺服器：可以將ISE配置為使用多個DNS伺服器實現冗餘。如果一個DNS伺服器不可用，ISE可以回退到另一個DNS伺服器以確保連續運行和DNS解析。

驗證DNS伺服器（已命名）並排除故障

在ISE節點的CLI中，通過運行ping <IP of DNS server / name server>命令驗證與部署的命名伺服器或DNS伺服器的可達性。
通過ISE CLI運行nslookup <FQDN / IP address of ISE節點>命令驗證ISE FQDN的DNS解析。

ISE消息服務

ISE消息服務是促進ISE系統內各種服務和元件之間非同步通訊的元件。它在ISE的整體系統架構中扮演著關鍵角色，使平台的不同部分能夠傳送和接收消息、管理任務以及同步活動。

ISE消息服務的主要功能

進程間通訊(IPC):ISE消息服務支援各種ISE服務之間的進程間通訊(IPC)。它確保不同的ISE模組和服務（如身份驗證、授權和策略實施）能夠以協調的方式交換資料和指令。
分散式環境支援：在較大或分散式ISE部署中（例如在多節點或高可用性配置中），消息服務有助於促進各種ISE節點之間的通訊。這可確保資料（如身份驗證請求、使用者會話和策略更新）在ISE系統中的不同節點之間正確同步。
策略和配置同步：消息服務參與在ISE節點之間同步配置和策略。當對主節點進行配置更改時，該服務確保這些更改傳播到系統中的輔助節點或備份節點。這對於保持一致性和確保跨不同位置或分散式ISE節點應用的網路訪問策略保持同步至關重要。

驗證ISE消息服務未運行或正在初始化

驗證防火牆中是否未阻止埠TCP 8671，該埠用於ISE裝置之間的節點間通訊。
驗證任何隊列連結錯誤，如果發現任何錯誤，請續訂ISE消息和ISE根CA證書。由於內部證書損壞問題，可能會發生隊列連結錯誤。要解決隊列連結錯誤，請參考ISE — 隊列連結錯誤文檔，續訂ISE消息和ISE根CA證書。
從GUI >管理>證書>選擇ISE消息證書。點選檢視(View)驗證證書的狀態。
您可以使用ade.Jog日誌對ISE消息服務進行故障排除，該服務可在支援捆綁包中獲得，也可以在出現問題時運行show logging system ade/ADE.Jog tail命令通過CLI進行跟蹤。
如果ADE.Jog日誌顯示rabbitmq:連線拒絕錯誤，請聯絡Cisco TAC從ISE根刪除Rabbitmq模組的鎖定。

ISE API網關資料庫服務

ISE API網關資料庫服務是一個元件，負責在ISE系統內管理和處理與API請求和響應相關的資料。它充當連線ISE API網關與ISE資料庫的中介，確保自定義應用更新或修改ISE內的資料。例如，調整訪問策略或通過服務管理的API呼叫新增/刪除使用者。

ISE API網關資料庫服務的主要功能

對ISE資料的API訪問：ISE API網關資料庫服務充當網橋，允許外部應用程式通過ISE RESTful API與ISE資料庫互動。這些API可用於檢索或修改儲存在ISE資料庫中的資料，例如：

使用者身份驗證日誌
網路訪問策略
裝置分析資訊
系統配置和設定

2.啟用外部系統整合：此服務在將ISE與外部系統整合時起著關鍵作用，例如：

外部身份驗證伺服器(LDAP、Active Directory、RADIUS)
網路管理系統(NMS)
安全資訊和事件管理(SIEM)解決方案
必須與ISE資料互動的自定義應用程式或服務

通過提供API訪問，API網關資料庫服務允許這些外部系統查詢ISE資料、向ISE傳送更新或觸發ISE內的特定操作以響應外部事件。

3.支援RESTful API通訊：ISE公開設計為通過HTTP/HTTPS工作的RESTful API。API網關資料庫服務負責管理API請求和響應流，確保請求經過身份驗證、處理，並從ISE資料庫返回相應資料。

ISE API閘道服務

ISE API網關服務是一個關鍵元件，它提供對ISE服務、資料和功能的RESTful API訪問。它充當ISE與外部系統之間的橋樑，允許這些系統與ISE網路訪問控制、策略實施、身份驗證和其他服務進行程式設計互動。API網關使第三方應用、網路管理系統和自定義應用能夠與Cisco ISE互動，而無需人工干預或直接訪問ISE使用者介面。

ISE API網關服務的關鍵功能

啟用API訪問ISE:ISE API網關服務使外部系統能夠使用RESTful API安全地訪問思科ISE資料和策略並與之互動。這提供了對ISE功能的程式設計訪問，如身份驗證、策略實施、會話管理等。
提供程式設計控制：API網關服務允許對ISE功能進行程式設計控制。管理員和開發人員可以使用API:

檢索或修改網路策略
查詢或管理使用者會話和身份驗證日誌
建立和管理網路訪問控制規則
訪問或更新裝置配置檔案
此控制可用於自動化或自定義工作流程協調，例如基於即時資料動態調整網路訪問策略，或將ISE整合到更廣泛的安全自動化平台中。

3.監測和報告：API網關服務允許外部系統從操作ISE日誌、會話歷史和策略實施詳細資訊中收集資料。這對以下方面很重要：

合規性報告
安全監控
事件響應

API呼叫可用於獲取日誌、稽核資訊和事件；允許安全團隊通過集中式控制面板或報告工具監控ISE活動。

驗證ISE API網關服務和ISE API網關資料庫服務並對其進行故障排除

驗證ISE節點的管理員證書是否處於活動狀態且有效。導航到Administration > Certificates > Select the node > Select Admin Certificate。點選View以驗證ISE節點的管理員證書的狀態。
設定ise-api-gateway、api-gateway和apiservice元件進行調試，並且可以通過運行以下命令跟蹤日誌：

show logging application ise-psc.log tail
show logging application api-gateway.log tail

ISE pxGrid直接服務

ISE pxGrid直接服務是支援ISE中的pxGrid（平台交換網格）功能的重要元件。pxGrid是一種思科技術，它有助於在思科網路安全解決方案和第三方應用、服務和裝置之間實現安全、標準化和可擴展的資料共用和整合。ISE pxGrid直接服務支援ISE與其他pxGrid相容系統之間的直接通訊，而無需中間裝置或服務。

ISE pxGrid Direct Service的主要功能

與第三方系統的直接整合：ISE pxGrid直接服務允許ISE直接與第三方網路安全系統整合，例如防火牆、路由器、NAC解決方案、SIEM平台和其他安全裝置。它允許這些系統交換有關網路訪問事件、安全事件和情景網路資料的資訊。
上下文共用：pxGrid的主要功能之一是共用情景資訊（如裝置身份、使用者角色、安全狀態和網路訪問資訊）。藉助pxGrid Direct Service，ISE可以直接與其他裝置或應用共用情景，而無需依賴RADIUS或TACACS+等傳統方法。
簡化通訊：通過使用pxGrid，ISE可以使用標準化協定與第三方解決方案通訊和交換資訊。這簡化了整合流程，因為系統不需要針對每個第三方解決方案進行自定義整合。
增強安全性和合規性：pxGrid直接服務通過確保網路生態系統中的所有系統都能訪問使用者、裝置和安全策略上的即時情景資料，提高了安全狀況和合規性。這可在整個環境中協調實施網路安全策略。

驗證ISEPxgrid Direct服務並對其進行故障排除

聯絡Cisco TAC以驗證/tmp資料夾中是否存在edda*.lock*。如果是，Cisco TAC可以刪除該鎖定並從根重新啟動Pxgrid Direct服務。
將PxGrid Direct元件設定為在ISE節點中調試以進行故障排除。可通過運行以下命令通過ISE支援捆綁包或ISE CLI保護日誌：

show logging application pxgriddirect-service.log
show logging application pxgriddirect-connector.log
這些日誌提供有關思科ISE獲取和接收的終端資料以及Pxgrid聯結器的連線狀態的資訊。

分段策略服務

分段策略服務是負責根據使用者身份、裝置狀態或其他資訊實施網路分段策略的關鍵元件。它有助於控制使用者/裝置對特定網段的訪問，確保只有授權使用者或合規裝置才能訪問網路的某些部分。網路分段對於減少網路表面攻擊、防止威脅橫向移動以及確保合規性至關重要。ISE中的分段策略服務用於動態執行這些網路分段規則，並在整個網路中靈活提供。

分段策略服務的主要功能

定義網段：ISE中的分段策略服務允許管理員根據使用者或裝置的特性定義各種網段（子網或VLAN）。舉例來說：

具有不同安全狀況的裝置可以分配到不同的網段（一個VLAN中的受信任裝置以及另一個VLAN中的不受信任裝置）。
可以將不同部門或角色的使用者分配給不同的網段，以實施最小許可權並限制對敏感資源的訪問。

2.動態分段：此服務支援動態網路分段，允許網段或VLAN根據即時條件進行更改。舉例來說：

可以根據使用者的角色或裝置運行狀況狀態將其分配給特定VLAN。
被視為不合規或運行過期作業系統的裝置可以移至隔離區或訪客VLAN，直至修復。

3.基於政策的執行：分段策略服務使用策略來確定裝置或使用者必須置於哪個分段中。這些政策考慮了多種因素，例如：

使用者身份：基於使用者角色或屬性。
裝置狀態：裝置的合規性狀態（運行最新防病毒軟體的裝置）。
位置:使用者或裝置在網路中的物理位置（辦公室、訪客區域、遠端訪問）。
ITme of Access:提出訪問請求時的當天時間、日時間或週時間。

4.安全策略實施：分段策略通過利用RADIUS和VLAN分配等行業標準，確保跨網路裝置（如交換機、路由器、防火牆等）一致地實施安全策略。這允許Cisco ISE與網路基礎設施裝置通訊以實施所需的分段策略。

驗證分段策略服務並對其進行故障排除

通過導航到工作中心(Work Centers)> TrustSec >概述(Overview)>控制面板(Dashboard)，驗證分段是否正確配置。
然後轉到「工作中心」>「TrustSec」>「報告」，然後選擇「TrustSec報告」以驗證分段策略服務狀態和報告。

REST身份驗證服務

REST身份驗證服務使用RESTful API提供身份驗證功能。它允許外部應用和系統通過使用標準REST協定通過HTTP(S)與ISE進行互動，從而驗證使用者或裝置。此服務允許將Cisco ISE身份驗證功能與必須驗證使用者或裝置但不能使用傳統方法（如RADIUS或TACACS+）的第三方應用或系統無縫整合。

REST身份驗證服務的關鍵功能

RESTful身份驗證：REST身份驗證服務通過REST API協定啟用身份驗證請求。這允許外部系統（應用、第三方網路裝置或服務）使用ISE作為身份驗證伺服器，但通過REST風格的Web服務呼叫而不是傳統的身份驗證協定（如RADIUS或TACACS+）對使用者或裝置進行身份驗證。
與外部應用程式整合：此服務專為外部應用而設計，外部應用必須驗證使用者或裝置，但不使用傳統驗證方法（例如RADIUS或TACACS+）。相反，它們可以通過REST API與ISE互動，REST API更易於將ISE身份驗證整合到基於Web或雲原生應用程式中。
靈活且可擴展的身份驗證：REST身份驗證服務提供了一種可擴展的身份驗證方法，該方法不限於網路裝置或內部解決方案。雲服務、移動應用和其他基於Web的平台可以使用它，這些平台必須通過查詢ISE的憑證和策略對使用者/裝置進行身份驗證。
易於應用：REST API提供標準化介面，與傳統方法相比，更易於應用並與現代軟體和應用整合。它提供JSON格式的響應並使用HTTP方法（如GET、POST、PUT和DELETE），對於Web開發人員和整合ISE進行身份驗證的系統來說，此方法更易於訪問。

Rest Auth的驗證和疑難排解

要排除與Open API相關的問題，請將apiservice元件設定為debug。
要排除與ERS API相關的問題，請將ers元件設定為調試。
如果API服務GUI頁面： https://{iseip}:{port}/api/swagger-ui/index.html或https://{iseip}:9060/ers/sdk可訪問，則表明API服務正在按預期工作。

有關Cisco API的詳細資訊，請參閱API文檔。

SSE聯結器

SSE聯結器（安全軟體定義邊緣聯結器）將ISE與思科安全軟體定義接入(SD-Access)解決方案整合。SSE聯結器允許ISE與Cisco DNA Center安全通訊，從而在SD-Access環境中實現自動網路策略、分段和邊緣安全管理。

SSE聯結器的主要功能

與第三方安全系統整合：SSE聯結器促進思科ISE與第三方安全系統(如防火牆、入侵防禦系統(IPS)、網路訪問控制(NAC)解決方案，以及安全資訊和事件管理(SIEM)系統的整合。它允許這些外部系統以安全方式從ISE傳送/接收資料，可用於更動態的策略實施。
即時威脅情報：通過將ISE與其他安全系統連線，SSE聯結器支援即時威脅情報的交換。此資訊可能包括可疑活動、受感染的終端或其他安全系統檢測到的惡意行為，從而允許ISE根據當前威脅級別或裝置狀態動態調整訪問策略。
自動補救：由SSE聯結器支援的整合可支援自動修復工作流程。例如，如果系統被外部安全裝置標籤為已受損，ISE可以自動實施阻止網路訪問的策略，或將終端重定向到補救網段以進行進一步調查。

驗證SSE聯結器並對其進行故障排除

僅當在ISE中啟用PassiveID服務時，才會啟用SSE聯結器。
debug中的sse-connector(connector.log)元件提供了有關SSE Connector相關消息的更多資訊。

Hermes（pxGrid雲代理）

Hermes（pxGrid雲代理）促進ISE和pxGrid（平台交換網格）生態系統在雲環境中的整合。Hermes是一種基於雲的代理，用於實現ISE與基於雲的服務或平台之間的通訊。它支援pxGrid框架以跨不同的網路和安全系統共用情景資訊。

Hermes(pxGrid Cloud Agent)的主要特性和功能

雲到本地整合：Hermes(pxGrid Cloud Agent)旨在實現基於雲的服務與本地ISE基礎設施之間的無縫整合。它將pxGrid的強大功能擴展到傳統的內部網路環境之外，實現了跨基於雲的應用程式和服務的安全資料交換和策略實施。
pxGrid生態系統支援：pxGrid是一種思科平台，用於跨網路安全解決方案安全地共用資訊。Hermes充當pxGrid的雲代理，實現ISE和各種基於雲的服務之間的安全、即時通訊。這種整合允許跨內部環境和雲環境實施一致的網路安全策略，從而便於管理和實施安全性。
基於雲的終端可視性：Hermes的一個核心優勢是能夠看到基於雲的終端，類似於ISE如何通過內部終端提供可視性。它可以收集雲中裝置和使用者的資料，例如合規狀態、安全狀態和身份資訊。這允許ISE在雲端終端（如本地裝置）上實施網路訪問策略。
將ISE無縫擴展至雲環境：Hermes的一個主要優勢是，它為ISE本地環境和越來越多的雲本地應用提供了無縫的網橋。這更易於將ISE安全策略、身份驗證方法和訪問控制擴展至雲服務，而無需對現有基礎設施進行全面徹底的改造。

驗證Hermes（Pxgrid雲代理）並對其進行故障排除

預設情況下，Hermes服務處於禁用狀態，將ISE與Cisco PxGrid連線，因為雲服務是通過Hermes啟用的。如果在ISE中禁用Hermes服務，請確認是否從ISE GUI >管理>部署，選擇ISE節點啟用Pxgrid雲選項。點選編輯，然後啟用Pxgrid Cloud。

2.用於排除與Pxgrid雲相關的問題的有用調試是hermes.log和pxcloud.log。這些調試僅在啟用Pxgrid雲的Pxgrid節點上可用。

McTrust（Meraki同步服務）

McTrust（Meraki同步服務）支援思科ISE和思科Meraki系統之間的整合，用於同步和管理網路裝置和訪問策略。McTrust服務充當聯結器，用於在Meraki雲託管網路基礎設施和ISE本地身份和策略管理系統之間同步使用者和裝置資訊。

McTrust（Meraki同步服務）的主要特性和功能

與Meraki裝置無縫整合：McTrust使ISE能夠與Meraki的雲託管裝置同步和整合。這包括屬於Meraki產品組合的Meraki接入點、交換機和安全裝置等裝置。它允許ISE直接與Meraki的基礎設施通訊，從而更輕鬆地將網路訪問控制策略應用到Meraki管理的裝置。
自動裝置同步：Meraki同步服務自動將ISE策略與Meraki網路裝置同步。在ISE中對網路訪問控制策略的任何更改都會自動反映在Meraki裝置中，無需手動干預。這樣，管理員可以輕鬆管理整個Meraki和ISE平台的網路訪問。
Meraki受管裝置的策略實施：McTrust允許ISE根據身份驗證和裝置狀態在Meraki裝置上實施網路訪問策略。它會動態地將策略分配給Meraki網路元素，例如根據請求訪問的裝置或使用者的安全狀態，調整VLAN分配、應用訪問控制清單(ACL)或限制對特定網路資源的訪問。
Meraki控制面板整合：McTrust將ISE直接與Meraki控制面板整合，從而提供統一的管理介面。通過此整合，管理員可以在Meraki雲託管介面中檢視和管理Meraki裝置和ISE託管資源的網路策略和訪問控制規則。

驗證McTrust（Meraki同步服務）並對其進行故障排除

登入ISE GUI >工作中心> TrustSec >整合>同步狀態。驗證發現的任何問題/錯誤。
確保ISE節點的所有管理員證書都處於活動狀態且有效。
使用Meraki同步服務進行調試時有用的故障排除是meraki-connector.log。

ISE節點匯出器

ISE節點匯出器是一個元件，用於通過ISE系統監控和收集來自ISE節點（無論是管理節點、監控節點還是策略服務節點）的效能度量。

ISE節點匯出器的主要特性和功能

指標匯出：ISE節點匯出器提供多種與效能相關的度量，例如CPU使用情況、記憶體使用情況、磁碟利用率、網路統計資訊、系統負載和其他作業系統級別的度量。這些度量用於監控ISE節點的運行狀況和效能，並且可以在監控控制面板（如Grafana）中視覺化顯示。
系統運行狀況監控：通過將效能資料匯出到Prometheus，ISE節點匯出器允許持續監控ISE節點的運行狀況和運行狀態。管理員可以根據預定義的閾值建立警報，以通知效能下降或系統問題。
Prometheus整合：ISE節點匯出器通常與Prometheus結合使用，Prometheus是一個開源監控和警報工具包，旨在實現可靠性和可擴充性。節點匯出器顯示系統級度量，Prometheus可以擦除這些度量以收集和儲存時序資料。

ISE Prometheus服務

ISE Prometheus服務將Prometheus與ISE整合，以啟用監控並從ISE收集效能指標。Prometheus是一個開源的監控和警報工具包，用於收集、儲存和分析時間序列資料，ISE Prometheus服務允許ISE向Prometheus公開其內部度量以用於監控。

ISE Prometheus服務的主要特性和功能

用於監控的度量收集：ISE Prometheus服務旨在匯出與ISE相關的各種操作和效能指標。這些度量通常包括（但不限於）CPU利用率和系統負載、記憶體使用、磁碟使用和I/O效能、網路統計資訊、身份驗證請求統計資訊、策略實施統計資訊、系統運行狀況和正常運行時間資料
Prometheus整合：Prometheus允許ISE以與Prometheus相容的格式公開資料，Prometheus定期銷毀資料。Prometheus將資料儲存在時間系列資料庫中，該資料庫跟蹤ISE系統的趨勢和歷史效能。
使用Grafana實現視覺化和報告：ISE中的Prometheus服務與Grafana（一種流行的開源視覺化工具）無縫整合。將度量匯出到Prometheus後，管理員可以使用Grafana儀表板即時顯示資料。這樣可以輕鬆識別ISE部署中的效能瓶頸、系統趨勢和潛在問題。

ISE Grafana服務

ISE Grafana提供系統效能指標，是監控和資料視覺化的開源平台。它與Prometheus整合以顯示從ISE收集的即時和歷史資料，允許管理員建立互動式儀表板，從而提供對ISE系統的運行狀況、效能和使用的見解。

ISE Grafana服務的主要特性和功能

可自定義的控制面板：Grafana高度可自定義，允許管理員根據監控需求建立和修改儀表板。可以建立自定義查詢以從Prometheus提取特定資料點，並且這些查詢可以用各種格式進行視覺化，如圖形、表格、熱圖等。
針對分散式ISE部署的集中監控：對於在不同位置部署多個ISE節點的分散式ISE部署，Grafana提供從每個節點收集的所有系統指標的集中檢視。這允許管理員從單個位置監控整個ISE部署的效能。
歷史資料和趨勢分析：利用儲存在Prometheus中的資料，Grafana允許對系統指標進行歷史分析，允許管理員跟蹤一段時間內的趨勢。例如，管理員可以監視過去一個月內CPU使用率的變化情況或身份驗證成功率的波動情況。此歷史資料對於容量規劃、趨勢分析和確定長期問題很有價值。

驗證ISE Grafana服務、ISE Prometheus服務、ISE節點匯出器並排除故障

ISE Grafana服務、ISE Prometheus服務和ISE節點匯出器服務協同工作，稱為Grafana堆疊服務。沒有特定調試程式可用於對這些服務進行故障排除。但是這些指令有助於進行疑難排解。

show logging application ise-prometheus/prometheus.log
show logging application ise-node-exporter/node-exporter.log
show logging application ise-grafana/grafana.log

附註：啟用監控後，ISE節點匯出器、ISE Prometheus服務和ISE Grafana服務必須正在運行，因為任何對這些服務的中斷都會在資料收集期間導致問題。

ISE MNT日誌分析彈性搜尋

ISE MNT LogAnalytics Elasticsearch是將Elasticsearch與ISE監控和故障排除(MNT)功能整合的元件。它用於與ISE日誌和事件相關的日誌聚合、搜尋和分析。Elasticsearch是一個廣泛使用的分散式搜尋和分析引擎，與ISE整合後，可增強系統儲存、分析和視覺化由ISE元件生成的日誌資料。

ISE MNT LogAnalytics Elasticsearch的主要特性和功能

日誌儲存和索引：ISE中的Elasticsearch服務負責儲存和索引ISE生成的日誌資料。Elasticsearch為分散式搜尋與分析引擎。它允許儲存ISE日誌，以便快速搜尋、查詢和檢索特定事件、錯誤或系統活動。
與日誌分析整合：ISE MNT LogAnalytics Elasticsearch與Log Analytics配合使用，可提供全面的日誌記錄解決方案。它使ISE能夠收集與身份驗證、策略實施、系統操作和其他活動相關的日誌資料。這些資料儲存在Elasticsearch中，可對ISE行為提供詳細的分析和見解。
集中日誌記錄：通過與Elasticsearch整合，ISE提供了集中日誌記錄解決方案，這對於需要分散式日誌收集的環境至關重要。這樣，管理員可以在單個統一介面中檢視和分析來自多個ISE節點的日誌，以便輕鬆進行故障排除和監控ISE效能。
日誌分析和故障排除：ISE MNT LogAnalytics Elasticsearch服務可幫助管理員分析系統行為並排除問題，以便輕鬆訪問日誌記錄資料。如果身份驗證失敗或系統意外中斷突然激增，Elasticsearch允許快速查詢日誌資料以確定根本原因。

驗證ISE M&T LogAnalytics Elasticsearch並排除故障

在ISE中禁用和重新啟用日誌分析服務必須有所幫助。導航到Operations > System 360 > Settings > Log analytics（使用切換選項禁用和啟用）。
從ISE根重新啟動M&T LogAnalytics可解決此問題。請與Cisco TAC聯絡以完成此操作。

已知缺陷: Cisco bug ID ·66198

ISE Logstash服務

ISE Logstash Service整合了Logstash（一個與ISE整合的開源資料處理管道），用於收集、轉換和轉發日誌。它以結構化格式處理ISE日誌，並將其傳送到集中日誌記錄系統進行分析、儲存和監控。

ISE Logstash服務的主要特性和功能

日誌收集和轉發：ISE Logstash Service從各種ISE元件（如身份驗證日誌、系統日誌、策略實施日誌等）收集日誌資料，然後轉發到中央位置（通常為Elasticsearch或其他日誌管理系統）進行儲存和分析。
日誌分析：Logstash可以將收集的日誌解析為結構化格式。它處理原始日誌資料並提取有意義的資訊，將日誌條目轉換為易於查詢和分析的格式。這可能涉及在將資料轉發到Elasticsearch或其他系統之前對資料進行過濾、解析和豐富。

驗證ISE Logstash服務並對其進行故障排除

沒有要啟用的特定調試。但是，運行show logging application ise-logstash/logstash.log命令可以深入瞭解服務的狀態。
在ISE中禁用和重新啟用日誌分析服務會有所幫助。導航到Operations > System 360 > Settings > Log Analytics（使用切換選項禁用和重新啟用）。

與Logstash相關的已知缺陷：

ISE Kibana服務

ISE Kibana服務是一個開源資料視覺化工具，具有ISE日誌記錄和監控。Kibana與Elasticsearch協同工作，後者儲存和索引日誌資料，是視覺化、搜尋和分析ISE日誌和效能度量的強大平台。

ISE Kibana服務的主要特性和功能

資料視覺化：ISE Kibana允許管理員建立從ISE收集的日誌資料的視覺化表示。這可能包括：

有關身份驗證、策略實施、使用者活動和系統運行狀況趨勢的圖表、圖表和表。
餅圖、折線圖和條形圖，用於跟蹤特定指標，如登入失敗次數、會話持續時間或一段時間的錯誤。

驗證ISE Kibana服務並對其進行故障排除

如果ISE Kibana服務未運行，請禁用並重新啟用ISE中的日誌分析。然後，導航到Operations > System 360 > Settings， Log Analytics（使用切換選項禁用和重新啟用）。
在許多情況下，/etc/hosts資料夾中可能存在重複條目，這可能會導致問題。聯絡TAC以刪除重複條目。

與Kibana問題相關的已知缺陷：

附註：啟用日誌分析後，ISE MNT LogAnalytics Elasticsearch、ISE Logstash Service和ISE Kibana Service必須運行，因為這些服務的任何中斷都會在資料收集期間產生問題。

ISE本地IPSec服務

ISE本地IPSec服務是指內建的IPSec（Internet協定安全）支援，可提供ISE節點之間或ISE與其他網路裝置之間的安全通訊。IPSec是一組協定，用於通過驗證和加密通訊會話中的每個IP資料包來保護網路通訊。本地IPSec服務是更廣泛的安全和網路訪問管理框架的一部分。它提供處理和管理IPsec VPN連線的功能，確保ISE系統和遠端終端之間傳輸的資料是安全的。這可能涉及到與客戶端裝置、網路訪問裝置（如路由器或防火牆）或其他ISE節點的互動，在這些節點中，IPsec加密和隧道是保護敏感資訊所必需的。

ISE本地IPSec服務的主要特性和功能

通過IPsec的安全通訊：ISE本地IPSec服務的主要功能是使用IPSec維護通訊通道並確保其安全。這涉及使用加密和身份驗證機制來確保ISE和其他裝置之間的資料傳輸，從而防止被攔截、篡改和未經授權的訪問。
IPSec VPN連線：ISE本地IPSec服務有助於促進使用IPSec協定的VPN連線，以提供安全、加密的隧道進行資料傳輸。這對於遠端工作人員、分支機構或其他位置通過不可信網路（如傳統網際網路接入）安全訪問ISE環境非常有用。
支援遠端訪問VPN:本地IPSec服務可參與遠端訪問VPN配置，其中位於非現場的使用者或裝置（如遠端員工或分支機構）通過IPsec隧道安全連線到ISE系統。此服務確保在到達ISE環境之前對所有遠端訪問流量進行加密和身份驗證。
IPsec VPN客戶端相容性：ISE本地IPSec服務確保與IPsec VPN客戶端的相容性。它支援常見的客戶端配置，使裝置能夠安全地連線到網路，而不會將敏感資料暴露於風險中。

驗證本機IPSec服務並對其進行故障排除

沒有針對本機IPSec服務啟用特定調試。通過ISE CLI驗證運行show logging application strongswan/charon.log tail命令的日誌。
如果發現隧道存在任何問題，請通過GUI > Administration > System > Settings > Protocols > IPSec > Native IPSec驗證隧道建立的狀態。

MFC探查器

MFC探查器是用於分析網路裝置和端點的專用元件。分析是網路訪問控制的關鍵部分，因為它允許ISE識別網路上的裝置，對它們進行分類，並根據裝置型別和行為應用適當的網路策略。

ISE中MFC Profiler服務的主要特性和功能

流量分析：ISE中的MFC探查器服務收集並分析流量資料。它監控終端在網路上的行為，包括使用的應用型別、訪問的服務以及裝置顯示的流量模式。此資料可幫助為每個端點構建配置檔案。
終端分析：MFC探查器服務允許ISE根據終端的行為識別終端並對其進行分類。它根據流量模式檢測終端是否為印表機、電腦或流動裝置。這有助於為不同型別的裝置實施特定策略，提高安全性和運營效率。

驗證MFC分析器服務並對其進行故障排除

導航到ISE GUI > Administration > Profiling > MFC Profiling and AI Rules。驗證服務是否已啟用。
如果服務已啟用，但通過ISE CLI中的show application status ise命令顯示為disabled/not running。通過參考上一步在ISE中禁用和重新啟用MFC分析服務。
有關調試的有用故障排除步驟，請參考調試中的MFC分析器元件。可以通過支援捆綁包驗證日誌或通過ISE CLI運行show logging application ise-pi-profiler.log tail命令跟蹤日誌。

MFC探查器的已知缺陷顯示為未運行而不是禁用狀態：

思科錯誤ID ·72853

ISE 3.4中包括的服務

MFA（Duo Sync服務）

在Cisco Identity Services Engine(ISE)3.4中，Duo Sync服務可促進無縫整合Duo Multi-Factor Authentication(MFA)，而無需外部Duo Authentication Proxy。此本機整合增強了VPN和TACACS+身份驗證工作流程的安全性。

ISE中MFA(Duo Sync Service)的主要特性和功能

原生Duo Integration（不需要Duo Proxy）：Cisco ISE 3.4支援與Duo直接整合，無需部署和管理單獨的Duo身份驗證代理。這簡化了部署，降低了基礎設施的複雜性。
Identity Sync with Duo:ISE 3.4包含一個Duo Sync服務，該服務支援從Active Directory到Duo的自動使用者同步，無需手動將使用者新增到Duo，因為同步是通過ISE處理的。

驗證MFA（Duo Sync服務）並對其進行故障排除

預設情況下，MFA Duo Sync服務處於禁用狀態。要啟用此服務，請導航到Administration > Identity Management > Settings > External Identity Source Settings > Toggle MFA。
如果服務已啟用，但通過ISE CLI中的show application status ise命令顯示為disabled/not running。通過參考前一步在ISE中禁用並重新啟用MFA Duo同步服務。
調試中有用的故障排除步驟，請在調試中運行ise-duo命令元件。可以通過支援捆綁包驗證日誌或通過ISE CLI運行show logging application ise-duo.log tail命令跟蹤日誌。

Acicon（ACI連線服務）

ACIconn（ACI聯結器）服務負責將思科ISE與思科以應用為中心的基礎設施(ACI)整合。此整合允許ISE與思科ACI動態共用終端身份和狀態資訊，以便進行軟體定義分段和策略實施。

ISE中Aciconn服務的主要特性和功能

與ACI的情景共用：ACIconn與思科APIC共用使用者身份、身份驗證狀態、狀態和會話詳細資訊。它支援基於ISE資料的情景感知微分段和策略決策。
動態端點到EPG對映：自動將ISE中身份驗證的使用者/裝置對映到思科ACI中的終端組(EPG)。在您的資料中心內實現基於身份的分段。
雙向通訊：ISE可以向ACI傳送更新，而ACI可以查詢ISE的終端狀態，從而支援即時訪問控制和分段更改。

驗證Acicon並對其進行故障排除

預設情況下，Aciconn服務處於禁用狀態。要啟用此服務，請導航到Workcenters > TrustSec > Settings -> ACI Settings > Enable ACI Integration並填寫所需詳細資訊以建立連線。
如果服務已啟用，但通過ISE CLI中的show application status ise命令顯示為已禁用/未運行。通過參考前一步在ISE中禁用和重新啟用ACI整合服務。
調試中有用的故障排除步驟，請檢查debug中的ACI聯結器元件。日誌可以通過支援捆綁包驗證，也可以通過ISE CLI運行show logging application aciconn.log tail和show logging application workloads.log tail命令來跟蹤日誌。

ISE Prometheus匯出器

ISE Prometheus Exporter是一種後台服務，它以與Prometheus（一種流行的開源監控和警報系統）相容的格式匯出思科ISE指標。這允許第三方監控工具（如Prometheus和Grafana）接收ISE指標以用於儀表板、警報和效能分析。

ISE中ISE Prometheus服務的主要特性和功能

標準化指標匯出：以Prometheus相容格式匯出思科ISE效能、使用率和運行狀況指標，並實現一致和結構化的監控資料。
第三方監控整合：與Prometheus、Grafana等監控工具無縫整合。
支援警報和報告：指標可用於在Prometheus或整合警報平台中定義警報。幫助確定一段時間內的趨勢或異常。

驗證ISE Prometheus匯出器並對其進行故障排除

ISE中預設啟用ISE Prometheus匯出器。如果該服務未運行，請運行應用程式停止ise和應用程式啟動ise命令以重新啟動服務。
有關調試的有用故障排除步驟，請檢查debug中的Prometheus元件。可以通過支援捆綁包驗證日誌或通過ISE CLI運行show logging application prometheus.log tail命令跟蹤日誌。

3.驗證節點上是否存在任何高資源利用率的例項，因為這會影響ISE Prometheus的效能。

ISE Prometheus警報管理器

ISE中的ISE Prometheus警報管理器根據由Prometheus匯出器服務匯出的指標管理警報。它處理收集的遙測資料，並在滿足特定閾值或條件時觸發警報或通知。

ISE中ISE Prometheus警報管理器服務的主要特性和功能

警報處理：監控ISE指標以發現異常或閾值漏洞，如高CPU、記憶體或身份驗證故障。
與Prometheus Exporter合作：通過對資料執行操作來補充指標匯出器，從而實現主動健康管理。
通知整合：將警報轉發到外部工具或儀表板（如電子郵件、SNMP陷阱或其他監控系統）。

驗證ISE Prometheus警報管理器並對其進行故障排除

ISE中預設啟用ISE Prometheus匯出器。如果該服務未運行，請運行應用程式停止ise和應用程式啟動ise命令以重新啟動服務。
有關調試的有用故障排除步驟，請檢查debug中的alertmanager元件。可以通過支援捆綁包驗證日誌或通過ISE CLI運行show logging application alertmanager.log tail命令跟蹤日誌。
驗證節點上是否存在任何高資源利用率的例項，因為這會影響ISE Prometheus的效能。

通訊協定引擎

Protocols Engine是ISE服務/模組，用於管理和處理網路協定互動，例如RADIUS、TACACS+、Diameter以及ISE支援的其他身份驗證和記帳協定。如果沒有按預期運行協定引擎，ISE將無法處理身份驗證請求或實施網路訪問策略。它確保網路裝置與ISE伺服器之間安全可靠的通訊。

ISE協定引擎服務的主要特性和功能

Radius處理：處理來自網路裝置的身份驗證、授權和記帳(AAA)請求。
TACACS+處理：管理裝置管理的TACACS+、身份驗證和命令授權。
協定解析和驗證：分析傳入的協定資料包並驗證正確性。

驗證和疑難排解通訊協定引擎

預設情況下，ISE協定引擎在ISE中啟用。如果該服務未運行，請運行應用程式停止ise和應用程式啟動ise命令以重新啟動服務。

2.調試過程中有用的故障排除步驟，請檢查ProtocolsEngine-AAA、ProtocolsEngine-config、ProtocolsEngine-GRPC、ProtocolsEngine-logging元件。可以通過支援捆綁包驗證日誌或通過ISE CLI運行show logging application protocols-engine.log tail命令跟蹤日誌。

ISE 3.5中包括的服務

遠端支援授權服務

遠端支援授權服務是安全管理思科技術支援中心(TAC)遠端支援會話授權的ISE服務。它根據配置的支援策略驗證是否允許遠端支援訪問，並確保只能建立經授權的遠端故障排除會話。此服務有助於維護安全管理訪問，同時允許思科TAC工程師在啟用遠端支援時協助進行故障排除。

ISE中遠端支援授權服務的主要特性和功能

遠端支援授權：驗證並授權Cisco TAC遠端支援會話。
安全訪問控制：確保只有在明確啟用和授權遠端支援時才授予遠端訪問。
支援會話管理：協調ISE節點和思科遠端支援基礎設施之間的授權請求。

在ISE中驗證和遠端支援授權服務

當遠端支援功能可用時，預設啟用遠端支援授權服務。如果該服務未運行，請運行應用程式停止ise和應用程式啟動ise命令以重新啟動服務。

用於調試的有用的故障排除步驟，包括調試模式下的RemoteSupportAuthorization-config、RemoteSupportAuthorization-service和RemoteSupportAuthorization-logging元件。可以從支援捆綁包驗證日誌，或者從運行CLI show logging application remote-support-authorization.log tail命令檢視日誌。

ISE Prometheous警報管理器服務

ISE Prometheus Alertmanager服務管理由Prometheus生成的警報，並在思科ISE內收集度量。它接收來自Prometheus監控服務的警報，分組並抑制重複警報，並將通知轉發到已配置的目標。此服務使管理員能夠監控ISE的運行狀況，並主動響應基礎設施或應用問題。

ISE中ISE Prometheus警報管理器服務的主要特性和功能

警報處理：接收從Prometheus度量生成的警報。
警報分組和重複資料消除：對類似的警報進行分組並抑制重複通知，以減少警報噪音。
通知管理：根據警報策略將警報路由到已配置的通知通道。

驗證ISE中的ISE代理警報管理器服務

預設情況下，ISE Prometheus警報管理器服務作為監控框架的一部分啟用。如果該服務未運行，請運行應用程式停止ise和應用程式啟動ise以重新啟動服務。

調試中有用的故障排除步驟包括Alertmanager-config、Alertmanager-service和Alertmanager-logging元件。可以從支援捆綁包中驗證日誌，也可以運行CLI show logging application alertmanager.log tail命令檢視日誌。

ISE DataGrid服務

ISE資料網格服務跨思科ISE節點提供分散式記憶體中資料儲存和同步。它使多個ISE服務能夠在節點之間安全地共用運行時資訊，如會話資料、終端資訊、快取和運行狀態。Data Grid Service允許服務訪問共用資料，而不單獨依賴主資料庫，從而提高了可擴充性、效能和高可用性。

ISE中ISE DataGrid服務的主要特性和功能

分散式資料儲存：維護所有ISE節點的共用記憶體資料。
會話和快取同步：在節點之間同步運行時資訊、端點資料和服務快取。
高可用性支援：通過在整個部署中提供可恢復的資料共用，使分散式服務能夠繼續高效運行。

驗證ISE中的ISE DataGrid服務

預設情況下啟用ISE資料網格服務。如果該服務未運行，請運行應用程式停止ise和應用程式啟動ise命令以重新啟動服務。
用於調試的有用故障排除步驟包括DataGrid-cluster、DataGrid-cache、DataGrid-config和DataGrid-logging元件（在調試模式下）。可以從支援包中驗證日誌，或者通過運行CLI show logging application datagrid.log tail命令檢視日誌。

ISE中的標準問題

除ISE服務問題外，ISE節點中還有一些問題以及基本的故障排除步驟：

驗證高平均負載、資源利用率問題（CPU/記憶體/磁碟）、資源不足

1.通過ISE CLI運行show inventory命令，驗證Cisco建議的資源已分配給節點。

2.從ISE節點的CLI運行tech top命令以驗證ISE的資源利用率。

3.通過ISE CLI運行show disk命令以驗證磁碟利用率。

4.清除非活動端點，清除節點的本地磁碟，並執行升級清理。

如果問題仍然存在，請與Cisco TAC聯絡，並在遇到問題的節點中提供安全支援捆綁包、堆轉儲和執行緒轉儲。

要保護堆轉儲，請登入到CLI ISE節點，運行application configure ise命令。選擇選項22。
要保護執行緒轉儲，請登入到CLI ISE節點，運行application configure ise命令。選擇選項23。執行緒轉儲包含在支援捆綁包中，或者可以通過運行show logging application appserver/cataline.out命令的ISE CLI進行跟蹤。\

驗證和排除監控問題

ISE的監控和故障排除(MnT)功能是ISE架構的主要模組之一，它提供監控、報告和警報功能。ISE在許多地方顯示監控資訊，包括：

Cisco ISE首頁
上下文可見性檢視
RADIUS即時日誌和即時會話
全域搜尋
以威脅為中心的NAC即時日誌
TACACS即時日誌

監控和故障排除類別中觀察到的一般問題：

Radius/ TACACS即時日誌不可用
未提供即時會話
運行狀況摘要不可用
在（MnT節點）上看到的效能（高CPU/記憶體）問題

要在MnT節點上啟用調試，以縮小問題範圍：

Cisco-mnt
收集器
Cpm-mnt
運行時記錄

除了偵錯中的元件外，以下資訊也可協助進行疑難排解：

活動會話是否也受到影響，還是僅影響活動日誌？
Radius或TACACS日誌是否受影響，或兩者都受影響？
您是否看到MnT節點上的CPU使用率高或交換空間使用率高？
您在MnT節點上看到多少緩衝區檔案？可在以下位置找到緩衝區檔案：/opt/CSCOcpm/mnt/data/collector
已啟用記憶體和CPU預留嗎？否則，請啟用它。
MnT/config/session DB重置是最近執行還是過去執行？
系統日誌是否從PSN傳送到MnT節點？

如果您使用的是MnT的系統日誌服務，則進行故障排除時需要以下資訊：

您是否使用安全系統日誌目標（如果沒有），請禁用它，因為眾所周知這會導致執行緒死鎖，導致收集器停止工作。
您是否使用安全系統日誌目標，請確保在Administration > Logging > Remote Logging Targets > Secure Syslog Collector 1和2下正確設定證書對映
驗證日誌記錄類別是否正確（建議刪除未使用/不需要的日誌記錄類別 — 這樣可以減少MnT節點上的負載）設定並且日誌記錄目標是否正確配置。
檢查支援捆綁包中的awrrep*.html檔案，瞭解並接收有關哪個元件傳送更頻繁的系統日誌的提示。例如，如果通過插入或更新查詢看到TACACS表，TAC可以檢查收集器日誌以關聯並瞭解哪些系統日誌被更頻繁地傳送。

如果問題與MnT節點上的效能相關，TAC需要以下資訊：