Phần mềm CISCO ISE

Quaview của việc triển khai Trung tâm xúc tác đa năng

Khi bạn tích hợp nhiều cụm Catalyst Center với một hệ thống Cisco ISE, mỗi cụm Catalyst Center đều độc lập. Không có thông tin nào được chia sẻ từ cụm này sang cụm khác. Trong trường hợp này, khi Cisco Software-Defined Access (SD-Access) được triển khai trên Catalyst Center, tập hợp các mạng ảo (VN) và tất cả các SD-Access khác sẽ được lưu trữ cục bộ trong mỗi cụm.
Catalyst Center cung cấp một cơ chế để phối hợp các thành phần SD-Access và Group-Based Policy (GBP) trên nhiều cụm Catalyst Center được tích hợp với một hệ thống Cisco ISE duy nhất. Để cho phép quản trị toàn cầu SD-Access trên nhiều cụm Catalyst Center với một tập hợp VN nhất quán, tính năng Multiple Catalyst Center tận dụng kết nối bảo mật hiện có với Cisco ISE để truyền bá VN, nhóm bảo mật tags (SGT), Hợp đồng Truy cập và Chính sách Kiểm soát Truy cập Dựa trên Nhóm (GBAC) từ cụm này sang cụm khác. Cisco ISE lấy thông tin học được từ một cụm (được gọi là Nút Tác giả) và truyền đến các cụm khác (được gọi là Nút Đọc).
Tính năng Multiple Catalyst Center khả dụng khi tích hợp với Cisco ISE Phiên bản 3.2 trở lên.

Ghi chú

• Hoạt động của Multiple Catalyst Center bị tắt theo mặc định. Để sử dụng tính năng này, hãy chọn "Enable Multiple Catalyst Center" (trong mục Cài đặt Nâng cao) khi tích hợp Catalyst Center với Cisco ISE. Bạn có thể bật tính năng này ở bước cấu hình ban đầu hoặc sau đó (sau khi Cisco ISE đã được tích hợp). Sau khi tính năng này được bật, chỉ việc xóa tích hợp Cisco ISE mới có thể tắt tính năng này.
• Nếu bạn đang sử dụng các phiên bản Cisco ISE cũ hơn, bạn phải liên hệ với nhóm tài khoản của mình để gửi yêu cầu đến Hội đồng Thiết kế Cisco SDA để đưa vào chương trình Khả dụng Hạn chế. Gói Khả dụng Hạn chế cho Nhiều Trung tâm Catalyst sẽ được cung cấp cho phép truy cập vào phiên bản khả dụng hạn chế (LA) của chức năng này. Xem Hướng dẫn Triển khai Quy định từ Nhiều Trung tâm Cisco DNA sang Một Cisco ISE để biết thêm thông tin.

Tính năng Trung tâm xúc tác đa dạng có các vai trò cụ thể cho các cụm:

• Cụm nút tác giả
• Cụm nút đọc

Cụm nút tác giả

• Vai trò Nút Tác giả được gán cho cụm đầu tiên (với tùy chọn Trung tâm Đa Catalyst được bật) tích hợp với triển khai Cisco ISE, hoặc cụm đầu tiên bật tùy chọn Trung tâm Đa Catalyst. Cụm Nút Tác giả là điểm quản trị cho Chính sách Dựa trên Nhóm (GBP) và cho dữ liệu toàn cầu Cisco SD-Access. Cụm Nút Tác giả quản lý các VN, SGT, Hợp đồng Truy cập và Chính sách GBAC. Việc tạo, sửa đổi hoặc xóa các VN và thành phần GBP chỉ có thể được thực hiện trên cụm Nút Tác giả.
• Cụm nút tác giả đẩy thông tin VN và GBP tới Cisco ISE thông qua API ERS (REST) ​​để Cisco ISE sử dụng thông tin này và xuất bản tới tất cả các cụm Cisco Catalyst Center khác trong vai trò nút đọc thông qua Cisco ISE pxGrid.
• Chỉ có thể chỉ định một cụm làm Nút Tác giả. Đây là nút duy nhất có thể quản lý dữ liệu GBP và SDA toàn cục do người dùng định nghĩa (chẳng hạn như VN hoặc chính sách extranet).
• Nếu SGT hoặc VN đang hoạt động trên Nút tác giả, thì không thể xóa SGT hoặc VN.

Cụm nút đọc

• Tất cả các cụm Catalyst Center khác có bật tính năng Multi Catalyst Center đều được gán vai trò cụm Reader Node. Các cụm Reader Node có chức năng chỉ đọc. view của VN và SGT.
• Mặc dù cụm Reader Node sử dụng và duy trì cùng các VN, SGT, Hợp đồng truy cập và Chính sách GBAC được xác định trên cụm Author Node, nhưng cụm Reader Node không hiển thị Hợp đồng truy cập hoặc chính sách.
  VN chỉ có thể được tạo trên cụm Author Node. Sau khi được tạo, chúng sẽ được lan truyền đến các cụm Reader Node, nơi chúng có thể được sử dụng trong các hoạt động cung cấp fabric. Các cụm Reader Node cấu hình các thuộc tính mạng liên quan như Virtual Network Identifies (VNID), Route Targets (RT) và Route.
• Các bộ phân biệt (RD) cục bộ trong cụm đó.
  Ngoại trừ các tính năng VN và GBP, mỗi cụm Reader Node là một cụm độc lập quản lý cơ sở hạ tầng mạng riêng của mình.
• Tính năng Multiple Catalyst Center cho phép quản trị chính sách toàn cầu trên nhiều cụm Cisco Catalyst Center được tích hợp vào một Cisco ISE duy nhất. Tính năng này không thay đổi những hạn chế cơ bản của việc quản lý mạng ảo và cấu trúc trên nhiều cụm Cisco Catalyst Center. Một VN có thể có cùng tên trên nhiều cụm Cisco Catalyst Center, cho phép nó hỗ trợ các liên kết nhóm bảo mật-VN nhất quán trên nhiều cụm. Tuy nhiên, ở cấp độ cụm riêng lẻ, các thuộc tính mạng thực tế liên kết với VN (VRF, mục tiêu tuyến, bộ phân biệt tuyến, v.v.) không giống nhau giữa các cụm. Điều này cũng tương tự như khi vận hành các cụm Catalyst Center độc lập.
• Có thể thêm tối đa bốn cụm Catalyst Center làm cụm Reader Node. Trước khi thêm một nút Catalyst Center làm Reader, bạn phải xóa tất cả dữ liệu toàn cục Cisco SD-Access do quản trị viên tạo trên cụm Reader Node để Catalyst Center tích hợp với Cisco ISE. Điều này bao gồm các VN không mặc định (bất kỳ VN nào khác ngoài
  “DEFAULT_VN” và “INFRA_VN”, Chính sách Extranet, v.v.). Trong trường hợp có bất kỳ dữ liệu GBP nào không phải mặc định (SGT, Hợp đồng truy cập, GBP), người dùng có tùy chọn tự động dọn dẹp (xóa) tất cả dữ liệu GBP không phải mặc định hoặc hợp nhất bất kỳ dữ liệu GBP nào chưa có trong Cisco ISE.

Ghi chú

• Chỉ có thể tích hợp năm cụm Catalyst Center với một triển khai Cisco ISE. Điều này có nghĩa là một cụm Author Node và tối đa bốn cụm Reader Node.
• Có thể xóa SGT hoặc VN trên Nút Tác giả ngay cả khi chúng đang được sử dụng trên Nút Đọc. Trong trường hợp đó, các SGT hoặc VN cũ phải được xóa thủ công trên Nút Đọc (sau khi xóa mọi tham chiếu).

Quản lý chính sách Trung tâm xúc tác đa dạng

Sau khi tích hợp Catalyst Center với Cisco ISE và thực hiện đồng bộ hóa GBP, thông tin chính sách sẽ được đồng bộ hóa giữa Catalyst Center và Cisco ISE. Quyền biên soạn chính sách nằm trong Catalyst.

Trung tâm. Cửa sổ Cisco ISE để quản lý SGT, ACL Nhóm bảo mật (SGACL) và Chính sách thoát sẽ chuyển sang chế độ chỉ đọc.
Bạn có thể quản lý chính sách theo nhóm (Nhóm bảo mật, Hợp đồng truy cập và Chính sách GBAC) trong Cisco ISE thay vì trong Catalyst Center.
Trong GUI của Catalyst Center, hãy nhấp vào biểu tượng menu và chọn Chính sách > Kiểm soát truy cập theo nhóm > Chính sách > Cấu hình GBAC > Quản lý kiểm soát truy cập theo nhóm trong Cisco ISE.

Khuyến nghị nâng cấp cho Trung tâm xúc tác đa năng

Trong môi trường Multi-Catalyst Center, nên chạy cùng một phiên bản phần mềm Catalyst Center trên tất cả các cụm Author Node và Reader Node, ngoại trừ trong quá trình nâng cấp cụm. Bạn có thể nâng cấp tất cả các cụm Reader Node trước, sau đó nâng cấp cụm Author Node để tránh sự chênh lệch tính năng và tính năng không tương thích giữa các phiên bản phần mềm. Tránh thăng cấp cụm Reader Node lên vai trò Author Node giữa chu kỳ nâng cấp. Tất cả các cụm Catalyst Center nên được nâng cấp và chạy cùng một phiên bản phần mềm trước khi thăng cấp cụm Reader Node.
Hình 1: Đề xuất nâng cấp cho Trung tâm xúc tác đa năng

Chức năng cơ bản của tính năng Trung tâm Đa Catalyst không yêu cầu cùng một phiên bản phần mềm trong tất cả các cụm Author Node và Reader Node tham gia. Tuy nhiên, việc sử dụng các phiên bản mã không khớp nhau có thể dẫn đến sự khác biệt về bản sửa lỗi, khả năng và tính năng giữa các cụm. Khuyến nghị sử dụng cùng một phiên bản phần mềm Trung tâm Đa Catalyst trên tất cả các cụm Author Node và Reader Node.

Nhiều triển khai Trung tâm xúc tác

Có hai tùy chọn triển khai Trung tâm xúc tác đa năng.

Triển khai mới nhiều cụm Catalyst Center hiện chưa được tích hợp với Cisco ISE.
Một cụm Catalyst Center hiện có được tích hợp với Cisco ISE và các cụm Catalyst Center bổ sung mới không tích hợp Cisco ISE.

Kích hoạt nhiều trung tâm xúc tác

Chức năng cụm Multiple Catalyst Center bị tắt theo mặc định. Bạn có thể bật chức năng này trong hoặc sau khi tích hợp với Cisco ISE. Sau khi chức năng Multiple Catalyst Center được bật, bạn chỉ có thể tắt nó bằng cách xóa hoàn toàn tích hợp Cisco ISE.
Hoạt động của Multiple Catalyst Center yêu cầu chức năng pxGrid. Bạn không thể tắt pxGrid sau khi bật Multiple Catalyst Center.

Thủ tục

1. Bước 1 Trong GUI Catalyst Center, nhấp vào biểu tượng menu và chọn Hệ thống > Cài đặt > Máy chủ xác thực và chính sách.
2. Bước 2 Thêm Cisco ISE.
3. Bước 3: Nhập thông tin Cisco ISE cần thiết. Để biết thêm thông tin, hãy xem mục Tích hợp Catalyst Center và Cisco ISE.
4. Bước 4 Chọn Hệ thống > Cài đặt > Máy chủ xác thực và chính sách > Thêm > ISE > Cài đặt nâng cao.
   Công tắc Cài đặt nâng cao hiển thị nhiều tùy chọn nâng cao, bao gồm công tắc bật hoạt động của Trung tâm xúc tác đa năng.
5. Bước 5: Kích hoạt tùy chọn Vận hành Trung tâm xúc tác đa năng.
6. Bước 6 (Tùy chọn) Nếu bạn đang chỉnh sửa tích hợp Cisco ISE hiện có, hãy nhập lại mật khẩu quản trị viên Cisco ISE.
7. Bước 7 Nhấp vào Thêm.

Tích hợp nhiều Catalyst Center với một Cisco ISE duy nhất
Có một số điều kiện tiên quyết để tích hợp Catalyst Center và Cisco ISE lần đầu tiên. Để biết thêm thông tin, hãy xem mục Tích hợp Catalyst Center và Cisco ISE.

Trước khi bạn bắt đầu
Khi Catalyst Center đã được tích hợp với Cisco ISE, hãy hoàn thành các bước sau để tích hợp lại Catalyst
Trung tâm và Cisco ISE sau khi kích hoạt tính năng Trung tâm Đa Catalyst. Điều này cho phép Trung tâm Catalyst thương lượng vai trò cụm nút Tác giả hoặc Nút Đọc dựa trên việc đó là nút đầu tiên hay nút tiếp theo tham gia Cisco ISE với tính năng Trung tâm Đa Catalyst được bật.

Thủ tục

1. Bước 1 Trong GUI Catalyst Center, nhấp vào biểu tượng menu và chọn Hệ thống > Cài đặt > Máy chủ xác thực và chính sách.
2. Bước 2 Trong cột Hành động, di con trỏ chuột qua biểu tượng dấu ba chấm ( ) và chọn Chỉnh sửa.
3. Bước 3 Chọn Hệ thống > Cài đặt > Máy chủ xác thực và chính sách > Thêm > ISE > Cài đặt nâng cao.
4. Bước 4: Kích hoạt tùy chọn Vận hành Trung tâm xúc tác đa năng.
5. Bước 5 Nhập lại mật khẩu quản trị Cisco ISE.
6. Bước 6: Nhấp vào Thêm. Catalyst Center sẽ thương lượng vai trò Nút tác giả với Cisco ISE.
   • Nếu trạng thái của máy chủ Cisco ISE được cấu hình hiển thị “THẤT BẠI” do mật khẩu thay đổi, hãy nhấp vào Thử lại và cập nhật mật khẩu để đồng bộ lại kết nối Cisco ISE.
   • Trạng thái tích hợp có thể được xem trong khung trượt. Đảm bảo Trạng thái tích hợp hiển thị là Đang hoạt động trong cửa sổ Máy chủ Xác thực và Chính sách.
7. Bước 7 Để xác minh vai trò đã thương lượng của cụm với tư cách là Nút tác giả, hãy chọn Hệ thống > Cài đặt > Cấu hình hệ thống > Cài đặt nhiều Trung tâm xúc tác.

Tích hợp các cụm Catalyst Center khác với Cisco ISE làm Nút đọc

Để tích hợp các cụm Catalyst Center tiếp theo với cùng một Cisco ISE có bật Nhiều Catalyst Center, cụm Catalyst Center không được chứa bất kỳ VN nào không phải mặc định (bất kỳ VN nào khác ngoài “DEFAULT_VN” và “INFRA_VN”).

Trước khi bạn bắt đầu
Xác minh rằng cụm mà bạn muốn tích hợp chỉ bao gồm các VN mặc định trong Chính sách > Mạng ảo.

Thủ tục

1. Bước 1 Trong GUI Catalyst Center, nhấp vào biểu tượng menu và chọn Hệ thống > Cài đặt > Máy chủ xác thực và chính sách.
2. Bước 2 Nhấp vào Thêm và chọn ISE.
3. Bước 3: Nhập thông tin Cisco ISE cần thiết. Xem mục Tích hợp Catalyst Center và Cisco ISE.
4. Bước 4 Chọn Hệ thống > Cài đặt > Máy chủ xác thực và chính sách > Thêm > ISE > Cài đặt nâng cao.
5. Bước 5: Kích hoạt tùy chọn Vận hành Trung tâm xúc tác đa năng.
6. Bước 6 Nhấp vào Thêm.
7. Bước 7 (Tùy chọn) Khi tích hợp cụm với Cisco ISE lần đầu tiên, hãy nhấp vào Chấp nhận trong ngăn trượt của Catalyst Center để chấp nhận chứng chỉ do Cisco ISE đưa ra. Đóng ngăn trượt.
8. Bước 8 Trong cửa sổ Máy chủ chính sách và xác thực, hãy xác minh rằng trạng thái tích hợp hiển thị là Đang hoạt động.

Xóa mạng ảo

Cụm nút Tác giả không biết về việc sử dụng Mạng Ảo (VN) trên cụm nút Đọc. Bạn phải xóa tất cả các tham chiếu đến một VN trên tất cả các cụm nút Đọc trước khi thử xóa VN đó trên cụm nút Tác giả. Nếu bạn xóa một VN trên cụm nút Tác giả, VN đó sẽ bị xóa trên nút Tác giả và trên các cụm nút Đọc không có tham chiếu đến nó. Tuy nhiên, nếu một trong các nút Đọc đang sử dụng VN đó, trạng thái của VN đó sẽ hiển thị là Không đồng bộ với Tác giả. Bạn phải xóa tất cả các tham chiếu (ví dụ:ample, VN Addition trong Host Onboarding Section hoặc chỉ định cổng tĩnh) của VN trên cụm Reader Node và sau đó tiến hành xóa VN đó trên cụm Reader Node.

Xóa nhóm bảo mật

Cụm nút Tác giả không nhận biết được việc sử dụng nhóm bảo mật trên cụm nút Đọc. Bạn phải xóa tất cả các tham chiếu đến nhóm bảo mật trên tất cả các cụm nút Đọc trước khi thử xóa nhóm bảo mật đó trên cụm nút Tác giả. Nếu bạn xóa một nhóm bảo mật trên cụm nút Tác giả, nhóm bảo mật đó sẽ bị xóa trên cụm nút Tác giả, Cisco ISE và trên cụm nút Đọc nếu không có tham chiếu nào đến nó. Nếu một trong các cụm nút Đọc đang sử dụng nhóm bảo mật đó, trạng thái của nhóm bảo mật đó sẽ hiển thị là Không đồng bộ với Tác giả. Bạn phải xóa tất cả các tham chiếu đến nhóm bảo mật trên cụm nút Đọc, sau đó tiến hành xóa nhóm bảo mật đó trên cụm nút Đọc.

Thăng cấp nút Reader lên vai trò tác giả
Kiến trúc giải pháp Trung tâm Đa Catalyst có nhiều cụm Trung tâm Đa Catalyst và chỉ một cụm có thể là Tác giả chính sách. Có thể có những trường hợp Quản trị viên cần thăng cấp cụm Nút Đọc để đảm nhiệm vai trò cụm Nút Tác giả. Việc thăng cấp này chỉ nên được thực hiện khi:

Bạn đang đưa cụm Author Node ra khỏi dịch vụ hoặc khiến cụm này không khả dụng trong một khoảng thời gian dài.
Cụm nút tác giả sẽ không khả dụng hoặc không phản hồi trong một khoảng thời gian dài và cần phải thay đổi chính sách trong thời gian đó.

Việc thăng cấp từ Nút đọc lên Nút tác giả có thể được thực hiện theo hai cách:

1. Thăng chức một cách duyên dáng từ Nút đọc lên vai trò Tác giả.
2. Buộc thăng chức nút Reader lên vai trò Tác giả.

Thăng chức duyên dáng của Nút đọc lên Vai trò Tác giả
Bạn có thể tự tay thăng cấp cụm Reader Catalyst Center lên Vai trò Tác giả nếu cần trong quá trình triển khai Multiple Catalyst Center. Tất cả các cụm Reader Node đều có nút Thăng cấp lên Tác giả. Bạn có thể thăng cấp

Cụm nút Reader Node thành một nút Author Node trong khi cụm nút Author Node hiện tại của bạn vẫn đang hoạt động. Tuy nhiên, không bắt đầu hoạt động thăng cấp khi cụm nút Author Node hiện tại đang trong quá trình soạn thảo chính sách theo nhóm (ví dụ:ample, trong khi đồng bộ hóa các chính sách với Cisco ISE). Nếu cụm Nút tác giả đang bận, hoạt động thăng cấp sẽ được thực hiện.tagđược thực hiện cho đến khi Nút tác giả hoàn tất quá trình xử lý hiện tại của nó.

Ghi chú

• Khi cụm Reader Node được thăng cấp lên Vai trò Tác giả một cách bình thường, cụm Reader Node sẽ khởi tạo yêu cầu tới Cisco ISE để thay đổi vai trò (Reader thành Author).
• Khi Cisco ISE nhận được yêu cầu thay đổi vai trò, nó sẽ yêu cầu Nút Tác giả hiện tại giải phóng vai trò Tác giả chính sách. Sau đó, nút Tác giả hiện tại sẽ giải phóng vai trò Tác giả chính sách (nếu không có quá trình đồng bộ hóa nào đang diễn ra) và tiếp quản vai trò của cụm Nút Đọc.
• Nút Đọc hiện tại được chọn để thăng cấp sẽ đảm nhận vai trò của Nút Tác giả. Khi Vai trò Tác giả và Nút Đọc thay đổi, Cisco ISE sẽ cập nhật các cụm Nút Đọc khác về Nút Tác giả mới thông qua bản cập nhật cấu hình.

Thủ tục

1. Bước 1 Trên cụm Reader Node, chọn Hệ thống > Cài đặt > > Cấu hình hệ thống > Nhiều cài đặt Cisco Catalyst Center và xác minh Nút tác giả và Nút đọc.
2. Bước 2 Nhấp vào nút Thăng chức lên Tác giả.
3. Bước 3 Nhấp vào Tiếp tục để thăng cấp nút lên Vai trò Tác giả.

Quá trình chuyển đổi có thể mất vài phút.

Buộc thăng chức Nút đọc lên Vai trò Tác giả
Thúc đẩy thăng chức là một hình thức thăng chức thủ công, nhằm mục đích nghiêm ngặt là thăng chức cụm Nút đọc hiện tại lên vai trò Nút tác giả trong các trường hợp sau:

• Cụm Author Node hiện tại không còn hoạt động.
• Cụm nút tác giả hiện tại không phản hồi.
• Việc thăng cấp nhẹ nhàng từ Nút đọc lên Vai trò Tác giả mất hơn 5 phút.

Hình 3: Buộc thăng cấp Nút đọc lên Vai trò Tác giả

Không sử dụng tùy chọn ép buộc thăng cấp khi cụm Author Node hiện tại đang hoạt động với hoạt động biên soạn GBP, vì điều này có thể dẫn đến mất dữ liệu và cụm Author Node không đồng bộ với Cisco ISE. Do đó, chỉ nên ép buộc thăng cấp nếu bạn phải khôi phục dịch vụ ngay lập tức và chấp nhận rủi ro mất dữ liệu. Sau khi ép buộc thăng cấp, cụm Reader Node đã được thăng cấp sẽ trở thành cụm Author Node mới cho việc triển khai. Khi cụm Author Node cũ khả dụng, nó sẽ chuyển sang vai trò reader và tải xuống dữ liệu cấu hình mới nhất từ ​​Cisco ISE.
Khi khởi tạo việc thăng cấp cụm Nút Đọc, cụm Nút Đọc sẽ khởi tạo yêu cầu đến Cisco ISE để thay đổi Vai trò (hay nói cách khác, từ Đọc sang Tác giả). Khi Cisco ISE nhận được yêu cầu thay đổi vai trò, nó sẽ yêu cầu Nút Tác giả hiện tại giải phóng vai trò của Tác giả chính sách.

Nếu Nút Tác giả hiện tại không phản hồi và nếu quản trị viên chọn "Buộc Thăng cấp", ACA của cụm Nút Đọc sẽ khởi tạo yêu cầu buộc cụm Nút Đọc chuyển sang Vai trò Tác giả và ngược lại ngay lập tức trong Cisco ISE. Thông báo cập nhật cấu hình này được gửi đến tất cả các nút.
Các bước để buộc thăng hạng cụm Reader Node lên cụm Author Node hoàn toàn giống với các bước đã được giải thích trong phần thăng hạng nhẹ nhàng của Reader Node lên vai trò Author. Có một bước bổ sung ở cuối bài viết để khởi chạy chức năng Buộc Thăng hạng.

Tài liệu / Tài nguyên

Phần mềm CISCO ISE [tập tin pdf] Hướng dẫn sử dụng Phần mềm ISE, Phần mềm

Tài liệu tham khảo

• Hướng dẫn sử dụng