Implementando Controle de Acesso à Rede com Cisco ISE

Visão Geral

O Cisco Identity Services Engine (ISE) fornece controle de acesso centralizado à rede através de autenticação 802.1X, MAC Authentication Bypass (MAB), avaliação de postura e gerenciamento de acesso de convidados. O ISE atua como um servidor de políticas RADIUS que avalia as solicitações de autenticação de dispositivos de rede (switches, controladores sem fio) e retorna políticas de autorização, incluindo atribuições de VLAN, ACLs para download (dACLs) e Security Group Tags (SGTs). Esta habilidade abrange a implantação do ISE para autenticação 802.1X com fio corporativa com integração ao Active Directory, fallback MAB, aplicação de conformidade de postura e segmentação TrustSec.

Quando Usar

• Ao implantar ou configurar o controle de acesso à rede com recursos do Cisco ISE em seu ambiente
• Ao estabelecer controles de segurança alinhados aos requisitos de conformidade
• Ao construir ou melhorar a arquitetura de segurança para este domínio
• Ao realizar avaliações de segurança que exigem esta implementação

Pré-requisitos

• Appliance ou máquina virtual Cisco ISE 3.1+ (mínimo de 16 núcleos de CPU, 64 GB de RAM para produção)
• Switches Cisco com suporte a 802.1X (série Catalyst 9000 recomendada)
• Domínio do Active Directory com contas de usuário e computador
• Infraestrutura PKI para autenticação baseada em certificado EAP-TLS
• DNS e NTP configurados de forma consistente entre os nós do ISE e os dispositivos de rede
• Software suplicante nos endpoints (nativo do Windows, AnyConnect NAM ou SecureW2)

Conceitos Principais

Arquitetura 802.1X

O framework 802.1X envolve três componentes:

Fluxo de Autenticação

1. Endpoint connects to switch port
2. Switch sends EAP-Request/Identity to endpoint
3. Endpoint responds with EAP-Response/Identity
4. Switch forwards credentials to ISE via RADIUS Access-Request
5. ISE authenticates against AD/LDAP/internal store
6. ISE evaluates authorization policy
7. ISE returns RADIUS Access-Accept with attributes (VLAN, dACL, SGT)
8. Switch enforces authorization on the port

Métodos de Autenticação

Fluxo de Trabalho

Etapa 1: Configurar o ISE para Integração com o Active Directory

Navegue até Administration > Identity Management > External Identity Sources > Active Directory:

1. Adicione o ponto de junção do AD com o nome do domínio (por exemplo, corp.example.com)
2. Forneça credenciais de administrador de domínio para a conta de máquina do ISE
3. Junte o ISE ao domínio
4. Selecione grupos do AD para políticas de autorização:
   • Domain Users - Acesso padrão de funcionários
   • Domain Computers - Autenticação de máquina
   • IT-Admins - Acesso privilegiado
   • BYOD-Users - Acesso a dispositivos pessoais

Etapa 2: Configurar Dispositivos de Rede no ISE

Navegue até Administration > Network Resources > Network Devices:

Name: SW-ACCESS-01
IP Address: 10.0.1.1/32
RADIUS Shared Secret: C0mpl3x$3cretKey!
SNMP Settings: v2c, community string
Device Type: Cisco Switches
Location: Building-A-Floor-1

Crie uma hierarquia de Grupo de Dispositivos de Rede:

Device Type:
  ├── Cisco Switches
  │   ├── Access Layer
  │   └── Distribution Layer
  └── Wireless Controllers
Location:
  ├── Building-A
  └── Building-B

Etapa 3: Configurar o Switch para 802.1X

Aplique esta configuração ao switch de acesso:

! Habilitar AAA
aaa new-model
aaa authentication dot1x default group radius
aaa authorization network default group radius
aaa accounting dot1x default start-stop group radius
aaa accounting update newinfo periodic 2880

! Configurar servidor RADIUS
radius server ISE-PRIMARY
 address ipv4 10.0.5.10 auth-port 1812 acct-port 1813
 key 0 C0mpl3x$3cretKey!
 automate-tester username radius-test probe-on

radius server ISE-SECONDARY
 address ipv4 10.0.5.11 auth-port 1812 acct-port 1813
 key 0 C0mpl3x$3cretKey!
 automate-tester username radius-test probe-on

aaa group server radius ISE-GROUP
 server name ISE-PRIMARY
 server name ISE-SECONDARY
 deadtime 15

…