Cleachdadh Mion-sgrùdadh Lìonra Tèarainte CISCO

Fiosrachadh toraidh

Sònrachaidhean:

• Ainm Bathar: Cleachdadh Mion-sgrùdaidh Lìonra Tèarainte Cisco
• Amalachadh: Amalachadh Cisco ISE airson ANC

Cleachdadh Mion-sgrùdaidh Lìonra Tèarainte Cisco agus Amalachadh Cisco ISE airson ANC

Stàladh SMC

Log a-steach don chonsól, taip an àithne SystemConfig. Cuir a-steach rèiteachadh an lìonra airson an inneil.

Stàladh Nòd Stòr-dàta

Log a-steach don chonsól, taip an àithne SystemConfig. Cuir a-steach rèiteachadh an lìonra airson an inneil.

Tha sinn air an eadar-aghaidh riaghlaidh a rèiteachadh, agus seo an dàrna eadar-aghaidh lìonra airson conaltradh eadar nódan dàta (conaltradh le nódan dàta eile).

Stàladh Neach-cruinneachaidh Sruthaidh

Log a-steach don chonsól, taip an àithne SystemConfig. Dèan cinnteach gu bheil na roghainnean telemetry uile air an taghadh.

Cuir air dòigh na puirt airson an telemetrachd.

• Sruth-lìonra: 2055
• Modúl Faicsinneachd Lìonra: 2030
• Logaichean Balla-teine: 8514

Cuir a-steach rèiteachadh an lìonra airson an inneil.

Stàladh Braitear Sruthaidh

Log a-steach don chonsól, taip an àithne SystemConfig. Cuir a-steach rèiteachadh an lìonra airson an inneil.

Stàladh Brocair Telemetry Cisco
Brocair Telemetry Cisco am prìomh phàirt de

’S e inneal cumhachdach a th’ ann an Cisco Secure Network Analytics (ris an canar Cisco Stealthwatch roimhe) airson telemetry a bharrachadh, agus thathar ga chleachdadh sa mhòr-chuid:

• Gus cruinneachadh agus cruinneachadh trafaic Netflow, SNMP agus Syslog a dhèanamh nas sìmplidhe.
• Bidh e a’ sìmpleachadh rèiteachadh agus cur dàta Netflow le bhith a’ cleachdadh aon às-phortaiche anns na h-Innealan Lìonra agad an àite às-phortaichean eadar-dhealaichte, gu h-àraidh nuair a bhios innealan-anailis netflow eadar-dhealaichte agad leithid Cisco Secure Network Analytics, SolarWinds no LiveAction, no ma tha iomadh neach-cruinneachaidh sruth agad le Cisco Secure Network Analytics.
• A bharrachd air an sin, bidh e a’ sìmpleachadh nan sruthan telemetry nuair a thathar a’ cleachdadh iomadh ceann-uidhe agus diofar fhuasglaidhean riaghlaidh logaichean.

Tha ailtireachd Cisco Telemetry Broker air a dhèanamh suas de dhà phàirt: 

• Nòd Manaidsear
• Nòd Bròcair.

Tha na Nòdan Broker uile air an riaghladh le aon mhanaidsear Cisco Telemetry Broker a’ cleachdadh an Eadar-aghaidh Riaghlaidh. Feumaidh an Nòd Riaghlaidh aon eadar-aghaidh lìonra airson trafaic riaghlaidh. Feumaidh an Nòd Broker dà eadar-aghaidh lìonra. Aon eadar-aghaidh riaghlaidh airson conaltradh leis a’ mhanaidsear agus an eadar-aghaidh Telemetry gus Telemetry a chuir gu Flow Collector a chuireas an uair sin gu na cinn-uidhe rèiteichte leithid SMC Management Console ann am fuasgladh Cisco Secure Network Analytics. Tha Seòladh IP/Port Destination Flow Collector an trafaic telemetry ann am fuasgladh Cisco Secure Network Analytics air a chur ris an Nòd Riaghlaidh agus air a phutadh sìos chun an Nòd Broker tron ​​eadar-aghaidh riaghlaidh gus innse dhaibh càite an tèid an trafaic NetFlow.

Nuair a bhios tu a’ stàladh an Nòd Broker, feumaidh tu a cheangal ris an Nòd manaidsear a’ cleachdadh an àithne sudo ctb-manage agus seòladh IP agus teisteanasan rianaire an Nòd Manaidsear a thoirt seachad. Cho luath ‘s a thèid an Nòd Broker a chur ris an Nòd Manaidsear, bidh an Web Tha eadar-aghaidh cleachdaiche an Nòd Manaidsear a’ taisbeanadh an Nòd Broker a chaidh a chur ris leis an t-Seòladh IP riaghlaidh aige. Gus crìoch a chur air an amalachadh eadar an Nòd Broker agus an Nòd Manaidsear, feumaidh tu Eadar-aghaidh Lìonra Dàta no Telemetry an Nòd Broker a chur ris an Nòd Manaidsear. Mu dheireadh, bidh na h-Innealan Lìonra leithid ballachan-teine, Routers agus Switches a’ cleachdadh Seòladh IP Eadar-aghaidh Telemetry an Nòd Broker mar an Netflow Exporter.

Cuir an Nòd Manaidsear an sàs
Ruith an àithne sudo ctb-install –init.

Cuir a-steach am fiosrachadh a leanas:

• Facal-faire airson an neach-rianachd
• Ainm an òstair
• Seòladh IPv4, masg fo-lìonra, agus seòladh geata bunaiteach airson eadar-aghaidh an Lìonra Riaghlaidh
• Seòladh IP frithealaiche ainmean DNS

Cuir an Nòd Broker an sàs
Ruith an àithne sudo ctb-install –init.

Cuir a-steach am fiosrachadh a leanas:

• Facal-faire airson an neach-rianachd
• Ainm an òstair
• Seòladh IPv4, masg fo-lìonra, agus seòladh geata bunaiteach airson eadar-aghaidh an Lìonra Riaghlaidh
• Seòladh IP frithealaiche ainmean DNS

Ruith an àithne sudo ctb-manage. 
Cuir a-steach am fiosrachadh a leanas:

• Seòladh IP an nód Manaidsear
• Ainm-cleachdaiche cunntas rianaire an nód Manaidsear

Log a-steach gu Cisco Telemetry Broker. Ann an web brabhsair, cuir a-steach seòladh IP eadar-aghaidh riaghlaidh a’ Mhanaidsear airson nód a’ mhanaidsear. Bho phrìomh chlàr-taice, tagh Nòdan Broker.

Anns a’ chlàr Broker Nodes, briog air an nód broker. Anns an earrann Telemetry Interface, rèitich an Telemetry Interface agus an geata bunaiteach.

A-nis gu bheil na h-innealan SNA air an rèiteachadh le seòladh IP riaghlaidh, feumaidh sinn an Inneal Suidheachaidh Innealan (AST) a chrìochnachadh air gach co-phàirt de SNA.

Cuiridh an Inneal Suidheachaidh Innealan (AST) air dòigh na h-innealan gus am bi e comasach dhaibh conaltradh a dhèanamh ris a’ chòrr den chleachdadh SNA.

SMC

• Faigh cothrom air eadar-aghaidh grafaigeach SMC.
• Atharraich na faclan-faire bunaiteach airson admin, root, agus sysadmin.

• Gun atharrachaidhean sam bith airson Eadar-aghaidh Lìonra Riaghlaidh.
• Rèitich Ainm an Aoigh agus na Fearainn.
• Cuir air dòigh na frithealaichean DNS.
• Cuir air dòigh am frithealaiche NTP.
• Mu dheireadh clàraich an SMC.
• Ath-thòisichidh an SMC.

Nòd Stòr-dàta
Lean an aon mhodh-obrach, is e an aon eadar-dhealachadh rèiteachadh Roghainnean an Riaghlaidh Mheadhanaich. Anns an earrann seo cuir a-steach seòladh IP SMC 198.19.20.136 agus an t-ainm-cleachdaiche/facal-faire.

Neach-cruinneachaidh sruthadh
Lean an aon mhodh-obrach, is e an aon eadar-dhealachadh rèiteachadh Roghainnean an Riaghlaidh Mheadhanaich. Anns an earrann seo cuir a-steach seòladh IP SMC 198.19.20.136 agus an t-ainm-cleachdaiche/facal-faire.

Sensor Sruth

• Lean an aon mhodh-obrach, is e an aon eadar-dhealachadh rèiteachadh Roghainnean an Riaghlaidh Mheadhanaich. Anns an earrann seo cuir a-steach seòladh IP SMC 198.19.20.136 agus an t-ainm-cleachdaiche/facal-faire.
• Gus an rèiteachadh a chrìochnachadh, Tòisich an nód DataStore.
• SSH chun nód DataStore agus ruith an àithne SystemConfig.
• Lean an còmhradh eadar-ghnìomhach gus an nód DataStore a thòiseachadh.
• Faigh cothrom air GUI SMC, anns an Stiùireadh Meadhanach chì sinn gu bheil a h-uile inneal Cisco SNA ceangailte ri SMC.

Rèiteachadh Brocair Telemetry Cisco
Faigh cothrom air eadar-aghaidh cleachdaiche nòd Cisco Telemetry Broker Manager. Briog air Cuir Ceann-uidhe ris agus tagh Ceann-uidhe UDP. Rèitich na paramadairean a leanas.

• Ainm Ceann-uidhe: SNA-FC
• Seòladh IP Ceann-uidhe: 198.19.20.137
• Port UDP Ceann-uidhe: 2055
• Cliog air Add Rule.
• Cuir a-steach 2055 mar am Port UDP a tha a’ faighinn.

Briog air Cuir Ceann-uidhe ris agus tagh Ceann-uidhe UDP.
Dèan rèiteachadh air na paramadairean a leanas.

• Ainm Ceann-uidhe: Manaidsear
• Seòladh IP Ceann-uidhe: 198.19.20.136
• Port UDP Ceann-uidhe: 514
• Cliog air Add Rule.
• Cuir a-steach 2055 mar am Port UDP a tha a’ faighinn.

Amalachadh Einnsean Seirbheisean Dearbh-aithne Cisco ISE
Seòl gu Rianachd > pxGrid > Teisteanasan.

Lìon am foirm mar a leanas:

• Briog anns an raon Tha mi airson agus tagh Luchdaich sìos Sreath Teisteanas Root
• Briog anns an raon Ainmean an Aoigh agus tagh rianaire
• Briog anns an raon Cruth Luchdaich sìos Teisteanas agus tagh an roghainn PEM
• Cliog Cruthaich
• Luchdaich sìos an file mar ISE-CA-ROOT-CHAIN.zip.
• Air an eadar-aghaidh cleachdaiche grafaigeach SMC, briog air Riaghladh Meadhanach. Air duilleag Riaghladh Meadhanach, lorg inneal SMC Manager, agus an uair sin tagh Deasaich Rèiteachadh an Inneil.
• Cliog air Coitcheann.
• Scrollaich sìos gu Stòr Earbsa agus cliog air Cuir Ùr ris. Tagh CertificateServicesRootCA-admin_.cer fileBriog air Cuir Teisteanas ris.
• Bidh an SMC a-nis a’ cur earbsa ann an teisteanasan a chaidh a thoirt seachad leis an ISE CA.
• Briog air an taba Inneal. Scrollaich sìos chun earrann Aithneachaidhean Luchd-dèiligidh SSL/TLS a bharrachd agus briog air Cuir Ùr ris.
• Faighnichidh e dhut a bheil feum agad CSR a chruthachadh, tagh Tha agus cliog air Air adhart.

Lìon a-steach an CSR mar a leanas:

• Fad Iuchair RSA
• Eagrachadh
• Aonad Eagrachaidh
• Sgìre no Baile-mòr
• Stàite no Mòr-roinn
• Còd na Dùthcha
• Seòladh puist-d

Briog air Gin CSR, agus an uair sin Luchdaich sìos CSR.

Faigh cothrom air eadar-aghaidh cleachdaiche eadar-aghaidh Cisco ISE. Seòl gu Rianachd > pxGrid > Teisteanasan.

Cleachd am fiosrachadh a leanas:

• Anns an raon Tha mi airson, tagh Ginich teisteanas singilte (le iarrtas airson teisteanas a shoidhnigeadh)
• Cuir an CSR a-steach don raon Mion-fhiosrachadh Iarrtas Soidhnidh Teisteanais
• Sgrìobh SMC anns an raon Tuairisgeul
• Tagh Seòladh IP anns an raon SAN agus cuir a-steach 198.19.20.136 mar an Seòladh IP co-cheangailte.
• Tagh cruth PKCS12 mar an roghainn Cruth Luchdaich sìos Teisteanas
• Cuir a-steach facal-faire
• Cliog Cruthaich
• Sàbhail an teisteanas a chaidh a chruthachadh leis an ainm SMC-PXGRID.

Nota:
Ann an cuid de chleachdaidhean Cisco ISE a th’ ann mar-thà, is dòcha gu bheil teisteanasan siostaim agad a tha air tighinn gu crìch, air an cleachdadh airson seirbheisean rianachd, eap agus pxGrid mar a chithear gu h-ìosal.

Tha seo air sgàth 's gu bheil teisteanasan CA taobh a-staigh Cisco ISE a tha a' soidhnigeadh nan teisteanasan siostaim seo air tighinn gu crìch.

Gus teisteanasan an t-siostaim ùrachadh. Seòl gu Rianachd > Teisteanasan > Iarrtasan airson Teisteanasan a Shoidhnigeadh. Anns an raon Cleachdadh, tagh ISE Root CA, agus an uairsin cliog air Cuir Slabhra Teisteanais ISE Root CA na àite.

Bidh Cisco ISE a’ gineadh teisteanasan CA a-staigh ùra. Na dìochuimhnich an raon Earbsach airson atharrachadh airson nan seirbheisean iomchaidh leithid pxGrid.

A-nis tha teisteanasan an t-siostaim dligheach.

Faigh cothrom air Eadar-aghaidh Cleachdaiche SMC. Rach gu Riaghladh Meadhanach. Anns an taba Rèiteachadh Innealan SMC, sgrolaich sìos chun fhoirm Cuir Aithne-aithne Luchd-dèiligidh SSL/TLS ris, agus an uairsin cliog air Tagh. File, tagh an teisteanas SMC-PXGRID.

Anns an SMC GUI, seòl gu Deploy > Cisco ISE Configuration.

Rèitich Rèiteachadh ISE leis na paramadairean a leanas:

• Ainm a' Chruinneachaidh: ISE-CLUSTER
• Teisteanas: SMC-PXGRID
• Prìomh Nòd PxGrid: 198.19.20.141
• Ainm a’ Chleachdaiche: SMC-PXGRID

Seòl gu Monitor > Luchd-cleachdaidh.
Thoir an aire gum faic sinn dàta luchd-cleachdaidh air SMC.

Poileasaidhean Smachd Lìonra Atharrachail (ANC) ISE
Tagh Obrachaidhean > Smachd Lìonra Atharrachail > Liosta Poileasaidhean > Cuir ris agus cuir a-steach SW_QUARANTINE airson Ainm a’ Phoileasaidh agus Cuarantain airson a’ Ghnìomh.

Faigh cothrom air an SMC GUI. Tagh seòladh IP anns a’ bhòrd-stiùiridh, chì sinn gu bheil Poileasaidh ISE ANC air a lìonadh.

Poileasaidhean Ùghdarrachaidh ISE

• Leigidh poileasaidhean eisgeachd ùghdarrachaidh cruinneil leat riaghailtean a mhìneachadh a tha a’ dol thairis air gach riaghailt ùghdarrachaidh anns na seataichean poileasaidh agad uile. Cho luath ‘s a chuireas tu poileasaidh eisgeachd ùghdarrachaidh cruinneil air dòigh, thèid a chur ris na seataichean poileasaidh uile.
• Bidh riaghailt eisgeachd ùghdarrachaidh ionadail a’ sgrìobhadh thairis air riaghailtean eisgeachd cruinneil. Mar sin thèid riaghailt eisgeachd ionadail a phròiseasadh an toiseach, an uairsin riaghailt eisgeachd cruinneil, agus mu dheireadh, riaghailt àbhaisteach poileasaidh ùghdarrachaidh.
• Is e aon de na cùisean cleachdaidh inntinneach de na Riaghailtean Eisgeachd seo nuair a bhios tu a’ rèiteachadh Cisco Secure Network Analytics (Stealth watch) le Cisco ISE airson Riaghladh Freagairtean a’ cleachdadh Poileasaidh Lìonra Atharrachail (ANC) gus am bi, nuair a thèid rabhadh a thogail, gun iarr Cisco Secure Network Analytics (Stealth watch) air Cisco ISE an aoigh a chuir ann an cuarantine le Poileasaidh Smachd Lìonra Atharrachail tro Px Grid.
• An cleachdadh as fheàrr airson Poileasaidh Ùghdarrais a rèiteachadh air Cisco ISE gus an aoigh a chuir ann an cuarantine an dàrna cuid san Eisgeachd Ionadail no san Eisgeachd Chruinneil.
• Ma tha thu airson Poileasaidh ANC a chur an sàs anns a h-uile seata poileasaidh agad, VPN, gun uèir uèirleasach i.e. a h-uile neach-cleachdaidh VPN agus gun uèir uèirleasach, cleachd an Eisgeachd Chruinneil.
• Ma tha thu airson Poileasaidh ANC a chur an sàs air luchd-cleachdaidh VPN no luchd-cleachdaidh le uèirichean a-mhàin. Cleachd am Poileasaidh Ionadail taobh a-staigh Seataichean Poileasaidh VPN no Seata Poileasaidh le uèirichean fa leth.

Gnìomh agus Freagairt Fèin-ghluasadach le ANC
Suidheachadh: Tha companaidh a’ cleachdadh Cisco Umbrella mar an fhrithealaiche DNS gus casg a chuir air bagairtean eadar-lìn. Tha sinn ag iarraidh inneal-rabhaidh gnàthaichte gus am bi inneal-rabhaidh ann nuair a bhios luchd-cleachdaidh a-staigh a’ cleachdadh frithealaichean DNS taobh a-muigh eile gus casg a chuir air ceangal ri frithealaichean DNS meallta a dh’ fhaodadh trafaic ath-stiùireadh gu làraich taobh a-muigh airson adhbharan droch-rùnach, nuair a thèid inneal-rabhaidh a thogail. Nuair a thèid inneal-rabhaidh a thogail, iarraidh Cisco Secure Network Analytics air Cisco ISE an aoigh a bhios a’ cleachdadh Frithealaichean DNS meallta le Poileasaidh Smachd Lìonra Atharrachail a chuir ann an cuarantine tro PxGrid. Seòl gu Configure > Host Management. Anns a’ bhuidheann aoigheachd phàrant Inside Hosts, cruthaich Buidheann Aoigheachd leis an ainm Corporra Lìonraidhean airson do lìonraidhean a-staigh.

Anns a’ bhuidheann aoigheachd phàrant Outside Hosts, cruthaich Buidheann Aoigheachd leis an ainm Frithealaichean DNS Umbrella airson seòlaidhean IP Umbrella.

Tha luchd-cleachdaidh a-staigh a’ cleachdadh Cisco Umbrella mar an fhrithealaiche DNS gus casg a chuir air bagairtean eadar-lìn. Cuir air dòigh rabhadh gnàthaichte gus am bi rabhadh air a bhrosnachadh nuair a bhios luchd-cleachdaidh a-staigh a’ cleachdadh frithealaichean DNS taobh a-muigh eile gus casg a chuir air ceangal ri frithealaiche DNS meallta a dh’ fhaodadh trafaic ath-stiùireadh gu làraich taobh a-muigh airson adhbharan droch-rùnach. Nuair a thèid rabhadh a thogail, iarraidh Cisco Secure Network Analytics air Cisco ISE an aoigh a bhios a’ cleachdadh Frithealaichean DNS meallta le Poileasaidh Smachd Lìonra Atharrachail a chuir ann an cuarantine tro PxGrid.

Seòl gu Rèiteachadh > Riaghladh Poileasaidh.
Cruthaich Tachartasan Pearsanta leis an fhiosrachadh a leanas:

• Ainm: Trafaic DNS gun chead
• Buidhnean Aoigheachd Cuspaireil: Lìonraidhean Corporra
• Buidhnean Aoigheachd Co-aoisean: Aoigheachd Taobh a-muigh ach a-mhàin Frithealaichean DNS Umbrella
• Port/Pròtacalan Co-aoisean: 53/UDP 53/TCP

Gu bunaiteach, thèid an tachartas seo a thòiseachadh nuair a bhios aoigh sam bith taobh a-staigh Buidheann Aoigheachd Lìonraidhean Corporra a’ conaltradh ri aoigh sam bith taobh a-staigh Buidheann Aoigheachd Taobh a-muigh ach a-mhàin an fheadhainn taobh a-staigh Buidheann Aoigheachd Frithealaichean DNS Umbrella, tro 53/UDP no 53/TCP, thèid rabhadh a thogail.

Seòl gu Configure > Response Management. Briog air Actions.

Tagh Gnìomh Poileasaidh ISE ANC. Thoir ainm agus tagh cruinneachadh Cisco ISE ris am bu chòir fios a chur gus poileasaidh cuarantain a chur an sàs airson briseadh no ceangal sam bith ri frithealaichean meallta.

Fon earrann Riaghailtean. Cruthaich Riaghailt ùr. Cuiridh an riaghailt seo an gnìomh roimhe an sàs nuair a bhios aoigh sam bith taobh a-staigh an lìonra a-staigh a’ feuchainn ri trafaic DNS a chuir gu Frithealaichean DNS meallta. Anns an earrann Thèid Riaghailt a bhrosnachadh ma tha, tagh Seòrsa, sgrolaich sìos agus tagh an tachartas gnàthaichte a chaidh a chruthachadh roimhe. Fo na Gnìomhan Co-cheangailte, tagh an gnìomh ISE ANC a chaidh a chruthachadh roimhe.

Bho òstair a-staigh, fosgail consol CMD. Cuir an gnìomh an àithne nslookup, agus an uairsin an àithne server 8.8.8.8. Sgrìobh a-steach beagan sheòlaidhean airson an fhrithealaiche DNS 8.8.8.8 gus fhuasgladh.

Seòl gu Monitor > ISE ANC Policy Assignments. Bu chòir dhut fhaicinn gun do chuir Cisco Secure Network Analytics Poileasaidh Smachd Lìonra Atharrachail an sàs tro PxGrid agus ISE gus an Host a chuir ann an cuarantine.

Ceistean Cumanta

C: Ciamar a chuireas mi crìoch air an Inneal Suidheachaidh Innealan (AST) air gach pàirt SNA?
A: Cho luath ‘s a bhios innealan SNA air an rèiteachadh le seòladh IP riaghlaidh, faodaidh tu an AST a chrìochnachadh air gach co-phàirt le bhith a’ leantainn an stiùiridh shònraichte a tha air a thoirt seachad airson a’ cho-phàirt sin anns an leabhar-làimhe cleachdaiche no an stiùireadh rèiteachaidh.

Sgrìobhainnean/Goireasan

Cleachdadh Mion-sgrùdadh Lìonra Tèarainte CISCO [pdfLeabhar-stiùiridh Cleachdadh Anailiseachd Lìonra Tèarainte, Cleachdadh Anailiseachd Lìonra, Cleachdadh Anailiseachd, Cleachdadh

Iomraidhean

• Leabhar-làimhe cleachdaiche