配置ISE描出的设备传感器

Size: px

Start display at page:

Download "配置ISE描出的设备传感器"

喻赵
4 years ago
Views:

1 配置 ISE 描出的设备传感器目录简介先决条件要求使用的组件配置步骤 1. 标准的 AAA 配置步骤 2. 配置设备传感器步骤 3. 描出在 ISE 的 Configure 验证故障排除步骤 1. 由 CDP/LLDP 验证收集的信息第二步 : 检查设备传感器缓存第三步 : 检查属性是否是存在 Radius 核算步骤 4. 验证在 ISE 的仿形铣床调试相关信息相关的思科支持社区讨论简介本文描述如何配置设备传感器, 因此可以用于描出在 ISE 的目的设备传感器是接入设备功能它准许收集关于已连接终端的信息主要, 收集的信息由设备传感器能来自以下协议 : Cisco 发现协议 (CDP) 链路层发现协议 (LLDP) 动态主机配置协议 (DHCP) 在一些平台上也使用 H323 Sip ( 会话启动协议 ) MDN ( 组播域解决方法 ) 是可能的或 HTTP 协议设备传感器功能的配置可能性能从协议变化到协议为例上面是可用的在有软件的 E 思科 Catalyst 3850 一旦信息收集, 在 radius 核算和发送可以被封装对一个描出的服务器在此条款身份服务引擎 (ISE) 中使用作为一个描出的服务器先决条件要求 Cisco 建议您了解以下主题 : RADIUS 协议 CDP LLDP 和 DHCP 协议

2 思科身份服务引擎 Cisco Catalyst 交换机 2960 使用的组件本文档中的信息基于以下软件和硬件版本 : Cisco 身份服务引擎版本 1.3 补丁程序 3 Cisco Catalyst 交换机 2960s 版本 15.2(2a)E1 Cisco IP 电话 8941 版本 SCCP 配置步骤 1. 标准的 AAA 配置为了配置验证, 授权和核算 (AAA), 遵从下面步骤 : 1. 使用 aaa new-model 和 enable (event) 802.1X 全局在交换机, 启用 AAA 2. 配置 RADIUS 服务器和 enable (event) 动态授权 ( 授权的崔凡吉莱 - CoA) 3. 启用 CDP 和 LLDP 协议 4. 添加 switchport 身份验证配置! aaa new-model! aaa authentication dot1x default group radius aaa authorization network default group radius aaa accounting update newinfo aaa accounting dot1x default start-stop group radius! aaa server radius dynamic-author client server-key xyz! dot1x system-auth-control! lldp run cdp run! interface GigabitEthernet1/0/13 description IP_Phone_8941_connected switchport mode access switchport voice vlan 101 authentication event fail action next-method authentication host-mode multi-domain authentication order dot1x mab authentication priority dot1x mab authentication port-control auto mab dot1x pae authenticator dot1x timeout tx-period 2 spanningtree portfast end! radius-server host auth-port 1812 acct-port 1813 key xyz! 默认情况下在更新的软件版本 radius-server vsa send 命令启用如果看不到属性在核算发送, 请验证, 如果 in 命令启用步骤 2. 配置设备传感器 1. 确定从 CDP/LLDP 的哪些属性是需要的描出设备在 Cisco IP 电话 8941 的情况下您能使用以下 : LLDP SystemDescription 属性 CDP CachePlatform 属性

3 对于我们的目的它是获取那些当中的一个的足够, 因为他们两个提供把握出厂增加 70, 并且要求的最低的把握出厂被描出作为 Cisco-IP-Phone-8941 是 70 : 为了将被描出作为特定 Cisco IP 电话, youneed 满足所有的极小条件请来源于配置文件这意味着仿形铣床需要匹配 Cisco 设备 ( 最少的把握要素 10) 和 Cisco IP 电话 ( 最少的把握要素 20) 即

4 使仿形铣床匹配那两配置文件, 应该仍然描出作为特定 Cisco IP 电话, 因为每个 IP 电话型号有最少的把握要素 70 设备分配到有最高的把握要素的配置文件 2. 配置两张过滤器列表 - 一个 CDP 的和另一个 LLDP 的那些指示在 Radius 认为的消息应该包括哪些属性此步骤可选 3. 创建 CDP 和 LLDP 的两个过滤器 specs 在 fiter spec 中您能二者之一表明应该从核算消息包括或排除属性列表在示例中以下属性包括 : 从 CDP 的设备名从 LLDP 的系统说明若需要您能配置另外的属性是已发送通过 Radius 到 ISE 此步骤也可选 4. Add 命令设备它触发更新, 每当 TLV 为当前会话被添加, 被修改或者删除 5. 为了实际上发送通过设备传感器功能收集的信息, 您需要明确地通知交换机如此执行与命令设备! device-sensor filter-list cdp list cdp-list tlv name device-name tlv name platform-type! device-sensor filter-list lldp list lldp-list tlv name systemdescription! device-sensor filter-spec lldp include list lldp-list device-sensor filter-spec cdp include list cdp-list! device-sensor accounting device-sensor notify all-changes! 步骤 3. 描出在 ISE 的 Configure 1. 添加交换机作为在 Administration>Network Resources>Network 设备的一个网络设备请使用从交换机的 RADIUS 服务器密钥作为共享机密在验证设置 :

5 2. 启用在描出的节点的 Radius 探测器在 Administration>System>Deployment>ISE node>profiling 的配置方面如果所有 PSN 节点应该使用描出, 请启用在所有的探测器 :

6 3. 配置 ISE 验证规则在示例中使用在 ISE 预先配置的默认验证规则 : 4. 配置 ISE 授权规则使用被描出的思科 IP 电话规则, 在 ISE 预先配置 :

验证为了验证, 如果描出正确地工作, 请参考 Operations>Authentications 在 ISE : 使用 MAB

自从第一个认证 (18:49:42) 它已接收 Cisco-IP-Phone-8941 配置文件结果 ISE 回归授权允许所有流量 IP 电话

在此方案未知设备有基本访问对网络它可以通过早先添加对 ISE 内部终端数据库的 MAC 地址或允许非常基本网络访问达到未知设备

7 验证为了验证, 如果描出正确地工作, 请参考 Operations>Authentications 在 ISE : 使用 MAB (18:49:00), 首先设备验证十 (18:49:10) 它几秒后 reprofiled 作为 Cisco 设备和终于在 42 秒之后, 自从第一个认证 (18:49:42) 它已接收 Cisco-IP-Phone-8941 配置文件结果 ISE 回归授权允许所有流量 IP 电话 (Cisco_IP_Phones) 和可下载的 ACLs 的配置文件特定 (permit ip any any) 请注意 : 在此方案未知设备有基本访问对网络它可以通过早先添加对 ISE 内部终端数据库的 MAC 地址或允许非常基本网络访问达到未知设备最初描出用大约在本例中的 40 秒在下个验证 ISE 已经知道配置文件和正确属性 ( 权限加入语音域和 DACL) 立刻应用, 除非 ISE 接收新建的 / 更新属性和再需要 reprofile 设备

在 Administration>Identity Management>Identities>Endpoints>tested 终端您能看到什么样的属性由 Radius 探测器收集, 并且什么他们的值是 : 您能观察计算的总把握要素是 210 在此方案它来 fromt 事实终端也匹配的设备配置文件 ( 与总把握要素 30) 和 Cisco IP 电话配置文件 ( 与总把握要素 40)

8 在 Administration>Identity Management>Identities>Endpoints>tested 终端您能看到什么样的属性由 Radius 探测器收集, 并且什么他们的值是 : 您能观察计算的总把握要素是 210 在此方案它来 fromt 事实终端也匹配的设备配置文件 ( 与总把握要素 30) 和 Cisco IP 电话配置文件 ( 与总把握要素 40) 因为仿形铣床匹配在配置文件 Cisco-IP-Phone 的两个条件, 此配置文件的把握要素是 140 (70 根据描出策略的每个属性的 ) 总结 : =210. 故障排除步骤 1. 由 CDP/LLDP 验证收集的信息 switch#sh cdp neighbors g1/0/13 detail Device ID: SEP20BBC0DE06AE Entry address(es): Platform: Cisco IP Phone 8941, Capabilities: Host Phone Two-port Mac Relay Interface: GigabitEthernet1/0/13, Port ID (outgoing port): Port 1 Holdtime : 178 sec Second Port Status: Down

9 Version : SCCP advertisement version: 2 Duplex: full Power drawn: Watts Power request id: 57010, Power management id: 3 Power request levels are: Total cdp entries displayed : 1 switch# switch#sh lldp neighbors g1/0/13 detail Chassis id: Port id: 20BBC0DE06AE:P1 Port Description: SW Port System Name: SEP20BBC0DE06AE. System Description: Cisco IP Phone 8941, V3, SCCP Time remaining: 164 seconds System Capabilities: B,T Enabled Capabilities: B,T Management Addresses - not advertised Auto Negotiation - supported, enabled Physical media capabilities: 1000baseT(FD) 100base-TX(FD) 100base-TX(HD) 10base-T(FD) 10base-T(HD) Media Attachment Unit type: 16 Vlan ID: - not advertised MED Information: MED Codes: (NP) Network Policy, (LI) Location Identification (PS) Power Source Entity, (PD) Power Device (IN) Inventory H/W revision: 3 F/W revision: S/W revision: SCCP Serial number: PUC17140FBO Manufacturer: Cisco Systems, Inc. Model: CP-8941 Capabilities: NP, PD, IN Device type: Endpoint Class III Network Policy(Voice): VLAN 101, tagged, Layer-2 priority: 0, DSCP: 0 Network Policy(Voice Signal): VLAN 101, tagged, Layer-2 priority: 3, DSCP: 24 PD device, Power source: Unknown, Power Priority: Unknown, Wattage: 3.8 Location - not advertised Total entries displayed: 1 如果看不到收集的任何数据验证以下 : 检查验证会话的状态交换机的 ( 应该是成功的 ) :

10 piborowi#show authentication sessions int g1/0/13 details Interface: GigabitEthernet1/0/13 MAC Address: 20bb.c0de.06ae IPv6 Address: Unknown IPv4 Address: Unknown User-Name: 20-BB-C0-DE-06-AE Status: Authorized Domain: VOICE Oper host mode: multi-domain Oper control dir: both Session timeout: N/A Common Session ID: 0AE C216 Acct Session ID: 0x Handle: 0xAC0001F6 Current Policy: POLICY_Gi1/0/13 Local Policies: Service Template: DEFAULT_LINKSEC_POLICY_SHOULD_SECURE (priority 150) Server Policies: Method status list: Method dot1x State Stopped mab Authc Success 检查 CDP 和 LLDP 协议是否启用检查是否有关于 CDP/LLDP/etc. 的任何非默认命令, 并且那些如何能影响从终端的属性检索 switch#sh running-config all in cdp run cdp run switch#sh running-config all in lldp run lldp run 如果支持 CDP/LLDP/etc, 请验证在您的终端的配置指南第二步 : 检查设备传感器缓存 switch#show device-sensor cache interface g1/0/13 Device: 20bb.c0de.06ae on port GigabitEthernet1/0/ Proto Type:Name Len Value LLDP 6:system-description 40 0C F F 6E C C D 33 2D 34 2D CDP 6:platform-type F F 6E CDP 28:secondport-status-type C 如果看不到在此字段或信息的任何数据不完成验证设备传感器命令, 特别是 filter-list 和过滤器 specs 第三步 : 检查属性是否是存在 Radius 核算您能验证那使用 debug radius on 命令交换机或执行的数据包捕获在交换机和 ISE 之间

11 Radius 调试 : Mar 30 05:34:58.716: RADIUS( ): Send Accounting-Request to :1813 id 1646/85, len 378 Mar 30 05:34:58.716: RADIUS: authenticator 17 DA 12 8B E2 0F - 5D 3D EC 79 3C ED Mar 30 05:34:58.716: RADIUS: Vendor, Cisco [26] 40 Mar 30 05:34:58.716: RADIUS: Cisco AVpair [1] 34 "cdp-tlv= " Mar 30 05:34:58.716: RADIUS: Vendor, Cisco [26] 23 Mar 30 05:34:58.716: RADIUS: Cisco AVpair [1] 17 "cdp-tlv= " Mar 30 05:34:58.721: RADIUS: Vendor, Cisco [26] 59 Mar 30 05:34:58.721: RADIUS: Cisco AVpair [1] 53 "lldp-tlv= " Mar 30 05:34:58.721: RADIUS: User-Name [1] 19 "20-BB-C0-DE-06-AE" Mar 30 05:34:58.721: RADIUS: Vendor, Cisco [26] 49 Mar 30 05:34:58.721: RADIUS: Cisco AVpair [1] 43 "audit-sessionid=0ae e2481c" Mar 30 05:34:58.721: RADIUS: Vendor, Cisco [26] 19 Mar 30 05:34:58.721: RADIUS: Cisco AVpair [1] 13 "vlan-id=101" Mar 30 05:34:58.721: RADIUS: Vendor, Cisco [26] 18 Mar 30 05:34:58.721: RADIUS: Cisco AVpair [1] 12 "method=mab" Mar 30 05:34:58.721: RADIUS: Called-Station-Id [30] 19 "F D" Mar 30 05:34:58.721: RADIUS: Calling-Station-Id [31] 19 "20-BB-C0-DE-06-AE" Mar 30 05:34:58.721: RADIUS: NAS-IP-Address [4] Mar 30 05:34:58.721: RADIUS: NAS-Port [5] Mar 30 05:34:58.721: RADIUS: NAS-Port-Id [87] 23 "GigabitEthernet1/0/13" Mar 30 05:34:58.721: RADIUS: NAS-Port-Type [61] 6 Ethernet [15] Mar 30 05:34:58.721: RADIUS: Acct-Session-Id [44] 10 " " Mar 30 05:34:58.721: RADIUS: Acct-Status-Type [40] 6 Watchdog [3] Mar 30 05:34:58.721: RADIUS: Event-Timestamp [55] Mar 30 05:34:58.721: RADIUS: Acct-Input-Octets [42] Mar 30 05:34:58.721: RADIUS: Acct-Output-Octets [43] Mar 30 05:34:58.721: RADIUS: Acct-Input-Packets [47] Mar 30 05:34:58.721: RADIUS: Acct-Output-Packets [48] Mar 30 05:34:58.721: RADIUS: Acct-Delay-Time [41] 6 0 Mar 30 05:34:58.721: RADIUS( ): Sending a IPv4 Radius Packet Mar 30 05:34:58.721: RADIUS( ): Started 5 sec timeout Mar 30 05:34:58.737: RADIUS: Received from id 1646/ :1813, Accounting-response, len 20 数据包捕获 :

步骤 4. 验证在 ISE 的仿形铣床调试如果属性从交换机发送, 检查是可能的他们是否在 ISE 接收为了检查此, 请启用正确 PSN 节点的 (Administration>System>Logging>Debug 日志 Configuration>PSN>profiler>debug) 仿形铣床调试并且再次执行终端的验证 look for 在信息后 : 表明的调试 radius

12 步骤 4. 验证在 ISE 的仿形铣床调试如果属性从交换机发送, 检查是可能的他们是否在 ISE 接收为了检查此, 请启用正确 PSN 节点的 (Administration>System>Logging>Debug 日志 Configuration>PSN>profiler>debug) 仿形铣床调试并且再次执行终端的验证 look for 在信息后 : 表明的调试 radius 探测器接收属性 : :29:53,641 DEBUG [RADIUSParser-1-thread-1][] cisco.profiler.probes.radius.radiusparser -:::- MSG_CODE=[3002], VALID=[true], PRRT_TIMESTAMP=[ :29: :00], ATTRS=[Device IP Address= , RequestLatency=7, NetworkDeviceName=deskswitch, User-Name=20-BB-C0-DE-06-AE, NAS-IP-Address= , NAS-Port=60000, Called-Station-ID=F D, Calling-Station-ID=20-BB-C0-DE-06-AE, Acct-Status-Type=Interim-Update, Acct-Delay-Time=0, Acct-Input-Octets=362529, Acct-Output-Octets= , Acct-Session-Id= , Acct-Input-Packets=1138, Acct-Output-Packets=32272, Event-Timestamp= , NAS-Port-Type=Ethernet, NAS-Port-Id=GigabitEthernet1/0/13, cisco-av-pair=cdp-tlv=cdpcacheplatform=cisco IP Phone 8941, cisco-av-pair=cdp-tlv=cdpundefined28=00:02:00, cisco-av-pair=lldp-tlv=lldpsystemdescription=cisco IP Phone 8941\, V3\, SCCP , cisco-av-pair=audit-session-id=0ae c216, cisco-av-pair=vlan-id=101, cisco-av-pair=method=mab, AcsSessionID=ise13/ /2511, SelectedAccessService=Default Network Access, Step=11004, Step=11017, Step=15049, Step=15008, Step=15004, Step=11005, NetworkDeviceGroups=Location#All Locations, NetworkDeviceGroups=Device Type#All Device Types, Service-Type=Call Check, CPMSessionID=0AE C216, AllowedProtocolMatchedRule=MAB, Location=Location#All Locations, Device Type=Device Type#All Device Types, ] 表明的调试属性成功分析 :

13 :29:53,641 DEBUG [RADIUSParser-1-thread-1][] cisco.profiler.probes.radius.radiusparser -:::- MSG_CODE=[3002], VALID=[true], PRRT_TIMESTAMP=[ :29: :00], ATTRS=[Device IP Address= , RequestLatency=7, NetworkDeviceName=deskswitch, User-Name=20-BB-C0-DE-06-AE, NAS-IP-Address= , NAS-Port=60000, Called-Station-ID=F D, Calling-Station-ID=20-BB-C0-DE-06-AE, Acct-Status-Type=Interim-Update, Acct-Delay-Time=0, Acct-Input-Octets=362529, Acct-Output-Octets= , Acct-Session-Id= , Acct-Input-Packets=1138, Acct-Output-Packets=32272, Event-Timestamp= , NAS-Port-Type=Ethernet, NAS-Port-Id=GigabitEthernet1/0/13, cisco-av-pair=cdp-tlv=cdpcacheplatform=cisco IP Phone 8941, cisco-av-pair=cdp-tlv=cdpundefined28=00:02:00, cisco-av-pair=lldp-tlv=lldpsystemdescription=cisco IP Phone 8941\, V3\, SCCP , cisco-av-pair=audit-session-id=0ae c216, cisco-av-pair=vlan-id=101, cisco-av-pair=method=mab, AcsSessionID=ise13/ /2511, SelectedAccessService=Default Network Access, Step=11004, Step=11017, Step=15049, Step=15008, Step=15004, Step=11005, NetworkDeviceGroups=Location#All Locations, NetworkDeviceGroups=Device Type#All Device Types, Service-Type=Call Check, CPMSessionID=0AE C216, AllowedProtocolMatchedRule=MAB, Location=Location#All Locations, Device Type=Device Type#All Device Types, ] 表明的调试属性由转发器处理 : :29:53,643 DEBUG [forwarder-6][] cisco.profiler.infrastructure.probemgr.forwarder -:20:BB:C0:DE:06:AE:ProfilerCollection:- Endpoint Attributes: ID:null Name:null MAC: 20:BB:C0:DE:06:AE Attribute:AAA-Server value:ise13 (... more attributes...) Attribute:User-Name value:20-bb-c0-de-06-ae Attribute:cdpCachePlatform value:cisco IP Phone 8941 Attribute:cdpUndefined28 value:00:02:00 Attribute:lldpSystemDescription value:cisco IP Phone 8941, V3, SCCP Attribute:SkipProfiling value:false 转发器存储终端到思科 ISE 数据库与他们的属性数据一起, 然后通知在您的网络检测的新的终端分析器分析器分类终端对终端标识分组并且存储与匹配的配置文件的终端在数据库第五步 : 典型地, 在新的属性被添加到特定设备的后现有收藏, 此设备 / 终端被添加到描出队列为了检查是否必须分配根据新的属性的不同的数据图表 : :29:53,646 DEBUG [EndpointHandlerWorker-6-31-thread-1][] cisco.profiler.infrastructure.profiling.profilermanager -:20:BB:C0:DE:06:AE:Profiling:- Classify hierarchy 20:BB:C0:DE:06:AE :29:53,656 DEBUG [EndpointHandlerWorker-6-31-thread-1][] cisco.profiler.infrastructure.profiling.profilermanager -:20:BB:C0:DE:06:AE:Profiling:- Policy Cisco-Device matched 20:BB:C0:DE:06:AE (certainty 30) :29:53,659 DEBUG [EndpointHandlerWorker-6-31-thread-1][] cisco.profiler.infrastructure.profiling.profilermanager -:20:BB:C0:DE:06:AE:Profiling:- Policy Cisco-IP-Phone matched 20:BB:C0:DE:06:AE (certainty 40) :29:53,663 DEBUG [EndpointHandlerWorker-6-31-thread-1][] cisco.profiler.infrastructure.profiling.profilermanager -:20:BB:C0:DE:06:AE:Profiling:- Policy Cisco-IP-Phone-8941 matched 20:BB:C0:DE:06:AE (certainty 140)

14 :29:53,663 DEBUG [EndpointHandlerWorker-6-31-thread-1][] cisco.profiler.infrastructure.profiling.profilermanager -:20:BB:C0:DE:06:AE:Profiling:- After analyzing policy hierarchy: Endpoint: 20:BB:C0:DE:06:AE EndpointPolicy:Cisco-IP-Phone-8941 for:210 ExceptionRuleMatched:false 相关信息

1 WLAN 接入配置本文中的 AP 指的是 LA3616 无线网关 1.1 WLAN 接入简介 WLAN 接入为用户提供接入网络的服务无线服务的骨干网通常使用有线电缆作为线路连接安置在固定

1 WLAN 接入配置本文中的 AP 指的是 LA3616 无线网关 1.1 WLAN 接入简介 WLAN 接入为用户提供接入网络的服务无线服务的骨干网通常使用有线电缆作为线路连接安置在固定目录 1 WLAN 接入配置 1-1 1.1 WLAN 接入简介 1-1 1.1.1 无线扫描 1-1 1.1.2 关联 1-3 1.2 WLAN 客户端接入控制 1-4 1.2.1 基于 AP 组的接入控制 1-4 1.2.2 基于 SSID 的接入控制 1-4 1.3 零漫游 1-5 1.4 WLAN 接入配置任务简介 1-6