НОВОСТИ Cisco ISE: Введение, требования, установка. Часть 1

NewsBot
Оффлайн

NewsBot

.
.
Регистрация
21.07.20
Сообщения
40.408
Реакции
1
Репутация
0
72b255788e87a9cf001eb2c7e8f68860

1. Введение


У каждой компании, даже самой малой есть потребность в проведении аутентификации, авторизации и учета пользователей (семейство протоколов ААА). На начальном этапе ААА вполне себе хорошо реализуется с использованием таких протоколов, как RADIUS, TACACS+ и DIAMETER. Однако с ростом количества пользователей и компании, растет и количество задач: максимальная видимость хостов и BYOD устройств, многофакторная аутентификация, создание многоуровневой политики доступа и многое другое.

Для таких задач отлично подходит класс решений NAC (Network Access Control) - контроль сетевого доступа. В цикле статей, посвященному
You must be registered for see links
(Identity Services Engine) - NAC решению для предоставления контроля доступа пользователям к внутренней сети с учетом контекста, мы подробно рассмотрим архитектуру, инициализацию, настройку и лицензирование решения.

Кратко напомню, что Cisco ISE позволяет:


  • Быстро и просто создавать гостевой доступ в выделенной WLAN;


  • Обнаруживать BYOD устройства (например, домашние ПК сотрудников, которые они принесли на работу);


  • Централизовать и применять политики безопасности к доменным и не доменным пользователям с помощью меток групп безопасности SGT (технология
    You must be registered for see links
    );


  • Проверять компьютеры на наличие установленного определенного ПО и соблюдение стандартов (posturing);


  • Классифицировать и профилировать оконечные и сетевые устройства;


  • Предоставлять видимость оконечных устройств;


  • Отдавать журналы событий logon/logoff пользователей, их учетки (identity) на NGFW для формирования user-based политики;


  • Нативно интегрироваться с Cisco StealthWatch и вносить в карантин подозрительные хосты, участвующие в инцидентах безопасности (
    You must be registered for see links
    );


  • И другие стандартные для ААА сервера фичи.

Про Cisco ISE уже писали коллеги по отрасли, поэтому в дальнейшем советую ознакомиться:
You must be registered for see links
,
You must be registered for see links
.

2. Архитектура


В архитектуре Identity Services Engine есть 4 сущности (ноды): нода управления (Policy Administration Node), нода распределения политик (Policy Service Node), мониторинговая нода (Monitoring Node) и PxGrid нода (PxGrid Node). Сisco ISE может быть в автономной (standalone) или распределенной (distributed) инсталляции. В Standalone варианте все сущности находятся на одной виртуальной машине или физическом сервере (Secure Network Servers - SNS), когда в Distributed - ноды распределены по разным устройствам.

Policy Administration Node (PAN) - обязательная нода, которая позволяет выполнять все административные операции на Cisco ISE. Она обрабатывает все системные конфигурации, связанные с ААА. В распределенной конфигурации (ноды можно устанавливать как отдельные виртуальные машины) у вас может быть максимум две PAN для отказоустойчивости - Active/Standby режим.

Policy Service Node (PSN) - обязательная нода, которая обеспечивает доступ к сети, состояние, гостевой доступ, предоставление услуг клиентам и профилирование. PSN оценивает политику и применяет ее. Как правило, PSN устанавливается несколько, особенно в распределенной конфигурации, для более избыточной и распределенной работы. Конечно же, эти ноды стараются устанавливать в разных сегментах, чтобы не терять возможности обеспечения аутентифицированного и авторизованного доступа ни на секунду.

Monitoring Node (MnT) - обязательная нода, которая хранит журналы событий, логи других нод и политик в сети. MnT нода предоставляет расширенные инструменты для мониторинга и устранения неполадок, собирает и сопоставляет различные данные, в также предоставляет содержательные отчеты. Cisco ISE позволяет иметь максимум две MnT ноды, тем самым формируя отказоустойчивость - Active/Standby режим. Тем не менее, логи собирают обе ноды, как активная, так и пассивная.

PxGrid Node (PXG) - нода, применяющая протокол PxGrid и обеспечивающая общение между другими устройствами, которые поддерживают PxGrid.

You must be registered for see links
- протокол, который обеспечивает интеграцию продуктов ИТ- и ИБ-инфраструктуры разных вендоров: систем мониторинга, систем обнаружения и предотвращения вторжений, платформ управления политиками безопасности и множества других решений. Cisco PxGrid позволяет обмениваться контекстом в однонаправленном или двунаправленном режиме со многими платформами без необходимости использования API, тем самым позволяя использовать технологию
You must be registered for see links
(SGT метки), изменять и применять ANC (Adaptive Network Control) политику, а также осуществлять профилирование - определение модели устройства, ОС, местоположение и другое.

В конфигурации высокой доступности ноды PxGrid реплицируют информацию между нодами через PAN. В случае, если PAN отключается, нода PxGrid перестает аутентифицировать, авторизовывать и проводить учет пользователей.

Ниже схематично изображена работа разных сущностей Cisco ISE в корпоративной сети.

287d802700a1edce13f205da88cdc5d4

Рисунок 1. Архитектура Cisco ISE
3. Требования


Cisco ISE может быть внедрен, как и большинство современных решений виртуально или физически как отдельный сервер.

Физические устройства с установленным ПО Cisco ISE называются SNS (Secure Network Server). Они бывают трех моделей: SNS-3615, SNS-3655 и SNS-3695 для малого, среднего и большого бизнеса. В таблице 1 приведена информация из
You must be registered for see links
SNS.

Таблица 1. Сравнительная таблица SNS для разных масштабов



Параметр



SNS 3615 (Small)



SNS 3655 (Medium)



SNS 3695 (Large)



Количество поддерживаемых оконечных устройств в Standalone инсталляции



10000



25000



50000



Количество поддерживаемых оконечных устройств для каждой PSN



10000



25000



100000



CPU (Intel Xeon 2.10 ГГц)



8 ядер



12 ядер



12 ядер



RAM



32 Гб (2 x 16 Гб)



96 Гб (6 x 16 Гб)



256 Гб (16 x 16 Гб)



HDD



1 х 600 Гб



4 х 600 Гб



8 х 600 Гб



Hardware RAID



Нет



RAID 10, наличие RAID контроллера



RAID 10, наличие RAID контроллера



Сетевые интерфейсы



2 х 10Gbase-T

4 х 1Gbase-T



2 х 10Gbase-T

4 х 1Gbase-T



2 х 10Gbase-T

4 х 1Gbase-T


Касательно виртуальных внедрений, поддерживаются гипервизоры VMware ESXi (рекомендуется минимум VMware версия 11 для ESXi 6.0), Microsoft Hyper-V и Linux KVM (RHEL 7.0). Ресурсы должны быть примерно такие же, как и в таблице выше, либо больше. Тем не менее, минимальные требования виртуальной машины для малого бизнеса: 2 CPU с частотой 2.0 ГГц и выше, 16 Гб RAM и 200 Гб HDD.

Для уточнения остальных деталей развертывания Cisco ISE обратитесь к
You must be registered for see links
или к
You must be registered for see links
,
You must be registered for see links
.

4. Установка


Как и большинство других продуктов Cisco, ISE можно протестировать несколькими способами:


  • You must be registered for see links
    – облачный сервис предустановленных лабораторных макетов (необходима учетная запись Cisco);


  • You must be registered for see links
    – запрос с
    You must be registered for see links
    Cisco определенного софта (способ для партнеров). Вы создаете кейс со следующим типичным описанием: Product type [ISE], ISE Software [ise-2.7.0.356.SPA.x8664], ISE Patch [ise-patchbundle-2.7.0.356-Patch2-20071516.SPA.x8664];


  • You must be registered for see links
    - обратитесь к любому авторизованному партнеру для проведения бесплатного пилотного проекта.

1) Создав виртуальную машину, если вы запросили ISO файл, а не OVA шаблон, у вас вылезет окно, в которой ISE требует выбрать установку. Для этого вместо логина и пароля следует написать "setup"!

Примечание: если вы развернули ISE из OVA шаблона, то данные для входа admin / MyIseYPass2 (это и многое другое указано в официальном
You must be registered for see links
).

0502540c6934efdca4735a65f4b4386c

Рисунок 2. Установка Cisco ISE

2) Затем следует заполнить необходимые поля, такие как IP-адрес, DNS, NTP и другие.

ee98713ebc376a7fdc81ea53ca8288f8

Рисунок 3. Инициализация Cisco ISE

3) После устройство перезагрузится, и вы сможете подключиться по веб-интерфейсу по заданному ранее IP-адресу.

c8a16e27edb0b4641399322db1fc652f

Рисунок 4. Веб-интерфейс Cisco ISE

4) Во вкладке Administration > System > Deployment можно выбрать, какие ноды (сущности) включены на том или ином устройстве. Нода PxGrid включается здесь же.

23e5c418820f0d713cb9807f443ccea2

Рисунок 5. Управление сущностями Cisco ISE

5) Затем во вкладке Administration > System > Admin Access > Authentication рекомендую настроить политику паролей, метод аутентификации (сертификат или пароль), срок истечения учетной записи и другие настройки.

21388c0bed9dd92179d975c33b3ab289

Рисунок 6. Настройка типа аутентификации
9094aa298b03398df962f4e575abb065

Рисунок 7. Настройки политики паролей
4c4c3de65f6316ebf75950f334f962d0

Рисунок 8. Настройка выключения аккаунта по истечение времени
0e8afbc05542f336c4ca428577571570

Рисунок 9. Настройка блокировки учетных записей

6) Во вкладке Administration > System > Admin Access > Administrators > Admin Users > Add можно создать нового администратора.

22673f95fa057da63e6c9a77c47237c5

Рисунок 10. Создание локального администратора Cisco ISE

7) Нового администратора можно сделать частью новой группы или уже предустановленных групп. Управления группами администраторов осуществляется в этой же панели во вкладке Admin Groups. В таблице 2 сведена информация об администраторах ISE, их правах и ролях.

Таблица 2. Группы администраторов Cisco ISE, уровни доступа, разрешения и ограничения



Название группы администраторов



Разрешения



Ограничения



Customization Admin



Настройка гостевого, спонсорского порталов, администрирование и кастомизация



Невозможность изменять политики, просматривать отчеты



Helpdesk Admin



Возможность просматривать главный дашборд, все отчеты, лармы и траблшутить потоки



Нельзя изменять, создавать и удалять отчеты, алармы и логи аутентификации



Identity Admin



Управление пользователями, привилегиями и ролями, возможность смотреть логи, отчеты и алармы



Нельзя изменять политики, выполнять задачи на уровне ОС



MnT Admin



Полный мониторинг, отчеты, алармы, логи и управление ими



Невозможность изменять никакие политики



Network Device Admin



Права на создание, изменение объектов ISE, просмотр логов, отчетов, главного дашборда



Нельзя изменять политики, выполнять задачи на уровне ОС



Policy Admin



Полное управление всеми политиками, изменение профилей, настроек, просмотр отчетности



Невозможность выполнять настройки с учетными данными, объектами ISE



RBAC Admin



Все настройки во вкладке Operations, настройка ANC политики, управление отчетностью



Нельзя изменять другие кроме ANC политики, выполнять задачи на уровне ОС



Super Admin



Права на все настройки, отчетность и управление, может удалять и изменять учетные данные администраторов



Не может изменить, удалить другого профиля из группы Super Admin



System Admin



Вс настройки во вкладке Operations, управление системными настройками, политикой ANC, просмотр отчетности



Нельзя изменять другие кроме ANC политики, выполнять задачи на уровне ОС



External RESTful Services (ERS) Admin



Полный доступ к REST API Cisco ISE



Только для авторизации, управления локальными пользователями, хостами и группами безопасности (SG)



External RESTful Services (ERS) Operator



Права на чтение REST API Cisco ISE



Только для авторизации, управления локальными пользователями, хостами и группами безопасности (SG)

61f24942c3b069f55fa27177110947c3

Рисунок 11. Предустановленные группы администраторов Cisco ISE

8) Дополнительно во вкладке Authorization > Permissions > RBAC Policy можно редактировать права предустановленных администраторов.

1f0333e7c3c77b20974363d713c2ea4a

Рисунок 12. Управление правами предустановленных профилей администраторов Cisco ISE

9) Во вкладке Administration > System > Settings доступны все системные настройки (DNS, NTP, SMTP и другие). Вы можете их заполнить здесь, в случае если пропустили при первоначальной инициализации устройства.

5. Заключение


На этом первая статья подошла к концу. Мы обсудили эффективность NAC решения Cisco ISE, его архитектуру, минимальные требования и варианты развертывания, а также первичную установку.

В следующей статье мы рассмотрим создание учетных записей, интеграцию с Microsoft Active Directory, а также создание гостевого доступа.

Если у вас появились вопросы по данной тематике или же требуется помощь в тестировании продукта, обращайтесь по
You must be registered for see links
.

Следите за обновлениями в наших каналах (
You must be registered for see links
,
You must be registered for see links
,
You must be registered for see links
,
You must be registered for see links
,
You must be registered for see links
).
 
Войдите или зарегистрируйтесь для ответа.
Сверху Снизу