配置ISE 2.4和FMC pxGrid集成

Size: px

Start display at page:

Download "配置ISE 2.4和FMC pxGrid集成"

犹堰阳是
4 years ago
Views:

1 配置 ISE 2.4 和 FMC pxgrid 集成 Contents Introduction Prerequisites Requirements Components Used 配置 ISE 步骤 1. Enable (event) pxgrid 服务步骤 2. 配置 ISE 审批所有 pxgrid 基于认证的帐户步骤 3. 导出 ISE MNT Admin 认证和 pxgrid CA 证书配置 FMC 步骤 4. 添加新的领域到 FMC 步骤 5. 生成 FMC CA 证书步骤 6. 从与使用的生成的证书提取认证和专用密钥 Openssl 步骤 7. 安装证书到 FMC 里步骤 8. 导入 FMC 认证到 ISE 步骤 9. 配置在 FMC 的 pxgrid 连接 Verify 在 ISE 的验证在 FMC 的验证 Troubleshoot Introduction 本文描述身份服务引擎 (ISE) pxgrid 版本 2.4 和 Firepower 管理中心 (FMC) 版本的集成的配置流程 Prerequisites Requirements Cisco 建议您了解以下主题 : ISE 2.4 FMC 激活目录 / 轻量级目录访问协议 (LDAP) Components Used 本文档中的信息基于以下软件和硬件版本 : 独立 ISE 2.4

FMCv 6.2.3 激活目录 2012R2 The information in this document was created from the devices in a specific lab environment.

2 FMCv 激活目录 2012R2 The information in this document was created from the devices in a specific lab environment.all of the devices used in this document started with a cleared (default) configuration. 如果您的网络处于活动状态, 请确保您了解所有命令的潜在影响配置 ISE 步骤 1. Enable (event) pxgrid 服务 1. 记录到 ISE Admin GUI, 连接对 Administration > 配置 2. 如镜像所显示, 选择 ISE 节点用于 pxgrid 人 3. 如镜像所显示, Enable (event) pxgrid 服务和点击 Save

3 4. 验证 pxgrid 服务从 CLI 运作 Note: 它也许花费 pxgrid 服务的 5 分钟能充分地开始和确定高性能的 (HA) 状态, 如果超过一个 pxgrid 节点是在使用中的 5. SSH 到 ISE pxgrid 节点 CLI 里和检查应用程序状态 # show application status ise in pxgrid pxgrid Infrastructure Service running pxgrid Publisher Subscriber Service running pxgrid Connection Manager running pxgrid Controller running # 6. 访问 ISE Admin GUI 并且验证服务是联机和工作连接对 Administration > pxgrid 服务 7. 在页底端, ISE 应该显示连接到 pxgrid <pxgrid 节点 FQDN> 如镜像所显示

导出 ISE MNT Admin 认证和 pxgrid CA 证书 1. 连接对 Administration > 证书 >System 证书 2. 扩展主要的监控 (MNT) 节点, 如果没启用在主要的管理节点 3.

4 步骤 2. 配置 ISE 审批所有 pxgrid 基于认证的帐户 1. 连接对 Administration > pxgrid Services> 设置 2. 检查机箱 : 如镜像所显示, 请自动地审批新的基于认证的帐户并且点击 Save Note: 如果此选项不是启用的, 管理员应该手工审批与 ISE 的 FMC 连接步骤 3. 导出 ISE MNT Admin 认证和 pxgrid CA 证书 1. 连接对 Administration > 证书 >System 证书 2. 扩展主要的监控 (MNT) 节点, 如果没启用在主要的管理节点 3. 选择与的认证使用由 Admin 字段 Note: 此指南使用默认 ISE 自签证书 Admin 使用方法如果使用一个 Certificate Authority (CA) 签字的 Admin 认证您需要导出签署在 ISE MNT 节点的 Admin 认证的根 CA 4. 点击导出 5. 选择选项到出口许可证和专用密钥 6. 设置加密密钥 7. 如镜像所显示, 导出并且保存文件

5 9. 返回到 ISE 系统证书屏幕 10. 确定在认证的字段发出的与在列使用的 pxgrid 使用方法 Note: 在 ISE 中的更旧的版本, 这是自签证书, 默认情况下, 但是从 2.2 内部 ISE CA 一系列向前发行此认证 11. 如镜像所显示, 选择认证并且点击视图 12. 确定最高级 ( 根 ) 认证在这种情况下它是证书服务根 CA - tim24adm" 13. 关闭认证 View 窗口如镜像所显示

6 14. 扩展 ISE 认证机关菜单 15. 选择认证机关证书 16. 选择被识别的根证明并且点击导出如镜像所显示, 然后请保存 pxgrid 根 CA 证书

7 配置 FMC 步骤 4. 添加新的领域到 FMC 1. 访问 FMC GUI 并且连接对系统 > 集成 > 领域 2. 如镜像所显示, 点击新的领域 3. 填好表格并且点击测试激活目录 (AD) 加入按钮 Note:AD 加入用户名应该以用户主体名字 (UPN) 格式或测试失败 4. 如果测试 AD 加入是成功的, 点击 OK 键 5. 如镜像所显示, 点击 Directory 选项然后点击添加目录 6. 配置 IP/ 主机名和测试连接

8 Note: 如果测试失败, 请验证在领域 Configuration 选项的证件 7. 单击 Ok 8. 如镜像所显示, 点击用户下载选项 9. 如果不已经选择, 启用的用户和组下载 10. 当前点击下载 11. 一旦列表填充, 请添加期望组并且选择添加包括

9 12. 保存领域配置 13. Enable (event) 如镜像所显示的领域状态步骤 5. 生成 FMC CA 证书 1. 如镜像所显示, 连接对对象 > 对象 Management> 内部 CAs 2. 点击生成 CA 3. 如镜像所显示, 填好表格并且点击生成自已签署的 CA

10 4. 一旦生成完成, 如镜像所显示, 请在生成的 CA 证书右边点击铅笔 5. 单击 Download

6. 配置并且证实加密密码并且点击 OK 键 7. 保存公钥加密标准 (PKCS) p12 文件对您的本地文件系统步骤 6. 从与使用的生成的证书提取认证和专用密钥 Openssl 这也许执行在 FMC 的根, 或者在所有客户端能够运行 Openssl 命令此示例使用一标准的 Linux shell 1.

11 6. 配置并且证实加密密码并且点击 OK 键 7. 保存公钥加密标准 (PKCS) p12 文件对您的本地文件系统步骤 6. 从与使用的生成的证书提取认证和专用密钥 Openssl 这也许执行在 FMC 的根, 或者在所有客户端能够运行 Openssl 命令此示例使用一标准的 Linux shell 1. 请使用 openssl 为了从 p12 文件提取 certficate (CER) 和专用密钥 (PVK) 2. 抽出 CER 文件然后配置认证 Export 键从在 FMC 的 cert 生成 ~$ openssl pkcs12 -nokeys -clcerts -in <filename.p12> -out <filename.cer> Password: Last login: Tue May 15 18:46:41 UTC 2018 Enter Import Password: MAC verified OK 3. 抽出 PVK 文件, 配置 Export 键的认证, 然后设置一个新的 PEM 通行证惯用语并且确认

~$ openssl pkcs12 -nocerts -in <filename.p12> -out <filename.pvk> Password: Last login: Tue May 15 18:46:41 UTC 2018 Enter Import Password: MAC verified OK 4. 您在下一步将需要此 PEM 惯用语步骤 7. 安装证书到 FMC 里 1.

12 ~$ openssl pkcs12 -nocerts -in <filename.p12> -out <filename.pvk> Password: Last login: Tue May 15 18:46:41 UTC 2018 Enter Import Password: MAC verified OK 4. 您在下一步将需要此 PEM 惯用语步骤 7. 安装证书到 FMC 里 1. 连接对对象 > 对象 Management> PKI > 内部 Certs 2. 如镜像所显示, 点击添加内部 Cert 3. 配置一个名字对于内部认证 4. 访问到 CER 文件的位置并且选择它一旦身份验证数据填充, 请选择第二 5. Browse 选项和选择 PVK 文件 6. 删除所有导致的袋子归因于和在 PVK 部分的任何落后的值 PVK 应该开始与开始被加密的专用密钥并且末端与 -----END 被加密的专用密钥 Note: 如果 PVK 文本有任何字符在导致的和落后的连字符外面, 您不能点击 OK 键 7. 当 PVK 在第 6. 步, 被导出了请检查被加密的机箱并且配置被创建的密码 8. 单击 Ok

13 步骤 8. 导入 FMC 认证到 ISE 1. 访问 ISE GUI 并且连接对管理 >System > 证书 > 信任证书 2. 单击 Import

14 3. 点击选择文件并且选择 FMC CER 文件从您的本地系统可选 : 配置一友好名称 4. 检查信任在 ISE 内的认证可选 : 配置一个说明 5. 如镜像所显示, 点击提交步骤 9. 配置在 FMC 的 pxgrid 连接 1. 如镜像所显示, 连接对系统 > 集成 > 身份来源 2. 点击 ISE 3. 配置 IP 地址或主机名 - ISE pxgrid 节点 4. 在 pxgrid 服务器 CA 右边选择 +

如果测试是成功的, 请点击 OK, 则保存在屏幕的右上 Note: 当您运行 2 ISE pxgrid 节点时, 显示成功和一个显示故障一台主机是正常的, 因为 pxgrid 在一个 ISE 节点每次积极地只运行

15 5. 名叫服务器 CA 文件然后访问对签署 CA 的 pxgrid 根收集在第 3. 步并且点击 Save 6. 在 MNT 服务器 CA 右边选择 + 7. 名叫服务器 CA 文件然后访问对在收集的 Admin 认证第 3. 步并且点击 Save 8. 选择 FMC CER 文件从下拉列表 9. 点击测试 10. 如果测试是成功的, 请点击 OK, 则保存在屏幕的右上 Note: 当您运行 2 ISE pxgrid 节点时, 显示成功和一个显示故障一台主机是正常的, 因为 pxgrid 在一个 ISE 节点每次积极地只运行它取决于配置哪台主要的主机也许显示故障和第二主机是否也许显示成功这依靠所有在 ISE 的哪个节点是活动 pxgrid 节点 Verify 在 ISE 的验证 1. 打开 ISE GUI 并且连接对 Administration > pxgrid 服务如果所有是成功的, 应该有在客户端列表列出的两火力连接一实际 FMC 的 (iseagent-hostname-

33bytes) 和一个使用的测试设备的, 当您点击 Test 按钮在 FMC (firesightisetest-hostname- 33bytes) iseagent firepower 连接应该显示 6 个 sub

CSCvo75376 有主机名 - 限制和容量下载发生故障 Test 按钮在 FMC 显示连通性故障这影响 2.3p6, 2.4p6 和 2.6 当前推荐是运行 2.3 补丁程序 5 或 2.

打开 FMC GUI 并且连接给分析 > Users > 激活的会话通过在 ISE 的会话目录功能发布的所有激活的会话在 FMC 的激活的会话表里应该显示从 FMC CLI sudo 模式, adi_cli 会话

16 33bytes) 和一个使用的测试设备的, 当您点击 Test 按钮在 FMC (firesightisetest-hostname- 33bytes) iseagent firepower 连接应该显示 6 个 sub 和出现联机 firesightisetest firepower 连接应该显示 0 sub 和出现脱机如镜像所显示, 膨胀观点的 iseagent firepower 客户端应该显示六订阅 Note: 由于 CSCvo75376 有主机名 - 限制和容量下载发生故障 Test 按钮在 FMC 显示连通性故障这影响 2.3p6, 2.4p6 和 2.6 当前推荐是运行 2.3 补丁程序 5 或 2.4 修补 5, 直到发布一个正式补丁程序在 FMC 的验证 1. 打开 FMC GUI 并且连接给分析 > Users > 激活的会话通过在 ISE 的会话目录功能发布的所有激活的会话在 FMC 的激活的会话表里应该显示从 FMC CLI sudo 模式, adi_cli 会话应该显示从 ISE 发送的用户会话信息到 FMC ssh admin@<fmc IP ADDRESS> Password: Last login: Tue May 15 19:03:01 UTC 2018 from dhcp cisco.com on ssh Last login: Wed May 16 16:28: from dhcp cisco.com

17 Copyright , Cisco and/or its affiliates. All rights reserved. Cisco is a registered trademark of Cisco Systems, Inc. All other trademarks are property of their respective owners. Cisco Fire Linux OS v6.2.3 (build 13) Cisco Firepower Management Center for VMWare v6.2.3 (build 83) admin@firepower:~$ sudo -i Password: Last login: Wed May 16 16:01:01 UTC 2018 on cron root@firepower:~# adi_cli session received user session: username tom, ip ::ffff: , location_ip ::ffff: , realm_id 2, domain rtpaaa.net, type Add, identity Passive. received user session: username xiayao, ip ::ffff: , location_ip ::, realm_id 2, domain rtpaaa.net, type Add, identity Passive. received user session: username admin, ip ::ffff: , location_ip ::, realm_id 2, domain rtpaaa.net, type Add, identity Passive. received user session: username administrator, ip ::ffff: , location_ip ::, realm_id 2, domain rtpaaa.net, type Add, identity Passive. Troubleshoot 目前没有针对此配置的故障排除信息

Basic System Administration

Basic System Administration 基本系统管理 ESX Server 3.5 ESX Server 3i 版本 3.5 Virtual Center 2.5 基本管理指南基本管理指南修订时间 :20080410 项目 :VI-CHS-Q208-490 我们的网站提供最新的技术文档, 网址为 : http://www.vmware.com/cn/support/