了解有Firepower和ISE的基于TrustSec的访问控制

Size: px

Start display at page:

Download "了解有Firepower和ISE的基于TrustSec的访问控制"

于须池
4 years ago
Views:

1 了解有 Firepower 和 ISE 的基于 TrustSec 的访问控制目录简介使用的组件概述用户 IP 映射方法轴向标记方法排除故障从 Firepower 设备的限制 Shell 从 Firepower 设备的专家模式从 Firepower 管理中心简介思科 TrustSec 使用 Layer2 以太网帧标记和映射分离流量, 无需影响现有 IP 基础设施标记的数据流可以处理与与更加极大的粒度的安全措施在身份服务引擎 (ISE) 和 Firepower 管理中心 (FMC) 之间的集成允许标记的 TrustSec 从客户端授权通信, 可以由 Firepower 用于运用根据客户端的安全组标记的访问控制策略本文讨论步骤集成与思科 Firepower 技术的 ISE 使用的组件本文使用根据组件在设置的示例 : 身份服务引擎 (ISE) 版本 21 Firepower 管理中心 (FMC) 版本 6x Cisco 可适应安全工具 (ASA) 5506-X 版本 962 Cisco 可适应安全工具 (ASA) 5506-X Firepower 模块, 版本 61 概述有传感器设备的两种方式能检测安全组标记 (SGT) 分配到流量 : 1 通过用户 IP 映射 2 通过轴向 SGT 标记用户 IP 映射方法

要保证 TrustSec 信息使用访问控制, ISE 的集成与 FMC 通过以下步骤 : 步骤 1:FMC 从 ISE 获取安全组的列表步骤 2: 访问控制策略在包括安全组作为情况的 FMC 创建步骤 3: 当终端验证并且授权与 ISE 时, 会话数据发布对 FMC 步骤 4:FMC 创建用户 IPSGT 映射文件, 并且推送它到传感器步骤 5: 流量的源 IP 地址用于匹配使用从用户

2 要保证 TrustSec 信息使用访问控制, ISE 的集成与 FMC 通过以下步骤 : 步骤 1:FMC 从 ISE 获取安全组的列表步骤 2: 访问控制策略在包括安全组作为情况的 FMC 创建步骤 3: 当终端验证并且授权与 ISE 时, 会话数据发布对 FMC 步骤 4:FMC 创建用户 IPSGT 映射文件, 并且推送它到传感器步骤 5: 流量的源 IP 地址用于匹配使用从用户 IP 映射的安全组会话数据步骤 6: 如果数据流源的安全组匹配在访问控制策略的条件, 行动由传感器相应地采取当 ISE 集成的配置保存在系统 > 集成 > 标识下来源 > 身份服务引擎时, FMC 获取一完整 SGT 列表注意 : 单击 Test 按钮 ( 如下所示 ) 不触发 FMC 获取 SGT 数据 FMC 和 ISE 之间的通信由 ADI ( 抽象目录接口 ) 实现, 是一唯一进程 ( 可以只有一个实例 ) 运行在 FMC 在 FMC 的其他进程订阅对 ADI 和请求数据目前订阅对 ADI 的唯一的组件是数据相关器 FMC 保存在本地数据库的 SGT 数据库包含两 SGT 名称和编号, 但是 FMC 当前使用一个唯一标识符 ( 安全标记 ID) 作为把柄, 当处理 SGT 数据时此数据库也被传播到传感器如果 ISE 安全组更改, 例如删除或组的新增内容, ISE 推送 pxgrid 通知对 FMC 更新本地 SGT 数据库当用户验证与 ISE 并且授权与安全组标记时, ISE 通过 pxgrid 通知 FMC, 提供知识 x 从领域 Y 登陆与 SGT Z FMC 的用户采取信息和插入到用户 IP 映射文件 FMC 使用一种算法确定时候推送获取的映射到传感器, 根据多少网络负载存在

3 注意 :FMC 不推送所有用户 IP 映射条目到传感器为了使推送的 FMC 映射, 必须通过领域首先有用户的知识如果用户在会话上不作为领域的部分, 传感器不会学习此用户映射信息非领域用户的支持为将来版本考虑 Firepower 系统版本 60 仅支持 IP 用户 SGT 映射没有使用在流量的实际标记或者从在 ASA 的 SXP 了解的 SGT-IP 映射当传感器拾起流入的数据流时, 喷鼻息进程采取来源 IP 并且查寻由对喷鼻息进程的 Firepower 模块推送 ) 的用户 IP 映射 ( 并且查找安全标记 ID 如果它匹配在访问控制策略 ( 不是 SGT 编号 ) 配置的 SGT ID, 则策略应用对流量轴向标记方法从 ASA 版本 962 和 ASA Firepower 模块 61 开始, 支持轴向 SGT 标记这意味着 Firepower 模块当前能够解压缩 SGT 编号直接地从数据包, 无需取决于在用户 IP FMC 提供的映射这为基于 TrustSec 的访问控制提供一其它方案, 当用户不作为领域的部分时 ( 例如设备没有能力在 8021x 验证上 ) 使用轴向标记方法, 传感器在 FMC 仍然回复从 ISE 检索 SGT 组和增加 SGT 数据库当用安全组组编号标记的流量到达 ASA, 如果 ASA 配置委托流入 SGT, 标记将通过到 Firepower 模块通过 dataplane Firepower 模块采取从数据包的标记并且直接地使用它评估访问控制策略 ASA 必须有在接口的适当的 TrustSec 配置为了收到标记的数据流 : interface GigabitEthernet1/1 nameif inside cts manual policy static sgt 6 trusted security-level 100 ip address 注意 : 仅 ASA 版本 962 和以上支持轴向标记 ASA 的更早版本不通过安全标记 dataplane 到 Firepower 模块如果传感器支持轴向标记, 首先将设法解压缩从流量的标记如果流量不是标记为的, 传感器落回到用户 IP 映射方法排除故障从 Firepower 设备的限制 Shell 显示从 FMC 的访问控制推行的策略 : > show access-control-config ===============[ Rule Set: (User) ]================ [ Rule: DenyGambling ] Action : Block ISE Metadata : Security Group Tags: [7:6] Destination Ports : HTTP (protocol 6, port 80) HTTPS (protocol 6, port 443) URLs : Gambling : Streaming Media : Hacking : Malware Sites : Peer to Peer

4 Logging Configuration DC : Enabled Beginning : Enabled End : Disabled Files : Disabled Safe Search : No Rule Hits : 3 Variable Set : Default-Set 注意 : 安全组标记指定两个编号 :[7:6] 在此一组数字, 7 是本地 SGT 数据库的唯一的 ID, 只为 FMC 和传感器所知 6 是实际 SGT 编号为所有当事人所知查看生成的日志, 当 SFR 处理流入的数据流和评估的访问策略 : > system support firewall-engine-debug Please specify an IP protocol: Please specify a client IP address: Please specify a client port: Please specify a server IP address: Please specify a server port: Monitoring firewall engine debug messages 示例流入的数据流的与轴向标记 : > AS 0 I 1 Starting with minimum 0, id 0 and IPProto first with zones -1 -> -1, geo 0(0) -> 0, vlan 0, sgt tag: 6, svc 676, payload 0, client 686, misc 0, user , url xff > AS 0 I 1: DataMessaging_GetURLData: Returning URL_BCTYPE for wwwpokercom > AS 0 I 1 rule order 1, 'DenyGambling', URL Lookup Success: waited: 0ms > AS 0 I 1 rule order 1, 'DenyGambling', URL Matched : 27:96 waited: 0ms > AS 0 I 1 match rule order 1, 'DenyGambling', action Block > AS 0 I 1 sending block response of 474 bytes 从 Firepower 设备的专家模式警告 : 以下说明可能影响系统性能运行仅命令故障排除目的, 或者, 当 Cisco 技术支持工程师要求此数据 Firepower 模块映射对本地喷鼻息进程的推进用户 IP 要验证什么喷鼻息知道关于映射, 您能使用以下命令发送查询打鼾 : > system support firewall-engine-dump-user-identity-data Successfully commanded snort 查看数据, 回车到专家模式 : > expert admin@firepower:~$ 喷鼻息创建转储文件在 /var/sf/detection_engines/guid/instance-x 目录下转储文件的名称是 user_identitydump admin@firepower:/var/sf/detection_engines/7eed8b44-707f-11e6-9d7d-e9a0c4d67697/instance-1$ sudo

5 cat user_identitydump Password: IP:USER Host ::ffff: ::ffff: : sgt 7, device_type 313, location_ip ::ffff: ::ffff: :47 realm 3 type 1 user_pat_start USER:GROUPS ~ 以上输出显示喷鼻息知道 IP 地址哪些被映射对 SGT ID 7, 是 SGT 第 6 ( 访客 ) 从 Firepower 管理中心您能检查 ADI 日志验证 FMC 和 ISE 之间的通信要查找 adi 组件日志, 请检查在 FMC 的 /var/log/messages 文件您将注意日志类似如下 : ADI_ISE_Test_Help:adiISEConnection [INFO] Preparing ISE Connection objects ADI_ISE_Test_Help:adiISEConnection [INFO] Preparing subscription objects ADI_ISE_Test_Help:adiISEConnection [INFO] subscribed successfully to EndpointProfileMetaDataCapability ADI_ISE_Test_Help:adiISEConnection [INFO] registered callback for capability EndpointProfileMetaDataCapability ADI_ISE_Test_Help:adiISEConnection [INFO] subscribed successfully to TrustSecMetaDataCapability ADI_ISE_Test_Help:adiISEConnection [INFO] registered callback for capability TrustSecMetaDataCapability ADI_ISE_Test_Help:adiISEConnection [INFO] subscribed successfully to SessionDirectoryCapability ADI_ISE_Test_Help:adiISEConnection [INFO] registered callback for capability SessionDirectoryCapability ADI_ISE_Test_Help:adiISEConnection [INFO] Connecting to ISE server ADI_ISE_Test_Help:adiISEConnection [INFO] Beginning to connect to ISE server ADI_ISE_Test_Help:adiISEConnection [INFO] successfully connected to ISE server ADI_ISE_Test_Help:adiISEConnection [INFO] Starting bulk download

IP505SM_manual_cn.doc

IP505SM_manual_cn.doc IP505SM 1 Introduction 1...4...4...4...5 LAN...5...5...6...6...7 LED...7...7 2...9...9...9 3...11...11...12...12...12...14...18 LAN...19 DHCP...20...21 4 PC...22...22 Windows...22 TCP/IP -...22 TCP/IP