implementing-network-access-control-with-cisco-ise

使用 Cisco ISE 实现网络访问控制

概述

Cisco Identity Services Engine (ISE) 通过 802.1X 认证、MAC 认证旁路 (MAB)、终端合规评估和访客访问管理提供集中式网络访问控制。ISE 充当 RADIUS 策略服务器，评估来自网络设备（交换机、无线控制器）的认证请求，并返回授权策略，包括 VLAN 分配、可下载 ACL (dACL) 和安全组标签 (SGT)。本技能涵盖部署 ISE 以实现企业有线 802.1X 认证，包括 Active Directory 集成、MAB 回退、终端合规强制执行和 TrustSec 分段。

何时使用

• 在您的环境中部署或配置使用 Cisco ISE 实现网络访问控制功能时
• 建立符合合规要求的安全控制时
• 为该领域构建或改进安全架构时
• 执行需要此实现的安全评估时

先决条件

• Cisco ISE 3.1+ 设备或虚拟机（生产环境最低要求 16 个 CPU 核心、64GB 内存）
• 支持 802.1X 的 Cisco 交换机（推荐 Catalyst 9000 系列）
• 具有用户和计算机账户的 Active Directory 域
• 用于基于证书的 EAP-TLS 认证的 PKI 基础设施
• 在 ISE 节点和网络设备之间一致配置的 DNS 和 NTP
• 终端上的请求方软件（Windows 原生、AnyConnect NAM 或 SecureW2）

核心概念

802.1X 架构

802.1X 框架涉及三个组件：

组件	角色	示例
请求方	请求网络访问的客户端	Windows 802.1X 客户端、AnyConnect NAM
认证方	控制端口访问的网络设备	Cisco Catalyst 交换机
认证服务器	策略决策引擎	Cisco ISE (RADIUS)

认证流程

1. Endpoint connects to switch port
2. Switch sends EAP-Request/Identity to endpoint
3. Endpoint responds with EAP-Response/Identity
4. Switch forwards credentials to ISE via RADIUS Access-Request
5. ISE authenticates against AD/LDAP/internal store
6. ISE evaluates authorization policy
7. ISE returns RADIUS Access-Accept with attributes (VLAN, dACL, SGT)
8. Switch enforces authorization on the port

认证方法

方法	使用场景	安全级别
EAP-TLS	基于证书，最高安全性	高
PEAP-MSCHAPv2	通过 AD 的用户名/密码	中
EAP-FAST	Cisco 专有，快速重新认证	中
MAB	非 802.1X 设备（打印机、IP 电话）	低

工作流

步骤 1：配置 ISE 进行 Active Directory 集成

导航至 Administration > Identity Management > External Identity Sources > Active Directory：

1. 使用域名添加 AD 加入点（例如 corp.example.com）
2. 为 ISE 机器账户提供域管理员凭据
3. 将 ISE 加入域
4. 为授权策略选择 AD 组：
   • Domain Users - 标准员工访问
   • Domain Computers - 机器认证
   • IT-Admins - 特权访问
   • BYOD-Users - 个人设备访问

步骤 2：在 ISE 中配置网络设备

导航至 Administration > Network Resources > Network Devices：

Name: SW-ACCESS-01
IP Address: 10.0.1.1/32
RADIUS Shared Secret: C0mpl3x$3cretKey!
SNMP Settings: v2c, community string
Device Type: Cisco Switches
Location: Building-A-Floor-1

创建网络设备组层次结构：

Device Type:
  ├── Cisco Switches
  │   ├── Access Layer
  │   └── Distribution Layer
  └── Wireless Controllers
Location:
  ├── Building-A
  └── Building-B

步骤 3：为 802.1X 配置交换机

将此配置应用于接入交换机：

! Enable AAA
aaa new-model
aaa authentication dot1x default group radius
aaa authorization network default group radius
aaa accounting dot1x default start-stop group radius
aaa accounting update newinfo periodic 2880

! Configure RADIUS server
radius server ISE-PRIMARY
 address ipv4 10.0.5.10 auth-port 1812 acct-port 1813
 key 0 C0mpl3x$3cretKey!
 automate-tester username radius-test probe-on

radius server ISE-SECONDARY
 address ipv4 10.0.5.11 auth-port 1812 acct-port 1813
 key 0 C0mpl3x$3cretKey!
 automate-tester username radius-test probe-on

aaa group server radius ISE-GROUP
 server name ISE-PRIMARY
 server name ISE-SECONDARY
 deadtime 15
 ip radius source-interface Loopback0

! Enable 802.1X globally
dot1x system-auth-control

! Enable RADIUS CoA (Change of Authorization)
aaa server radius dynamic-author
 client 10.0.5.10 server-key C0mpl3x$3cretKey!
 client 10.0.5.11 server-key C0mpl3x$3cretKey!

! Enable device tracking for IP-to-MAC mapping
device-tracking tracking auto-source

! Configure access port template
interface range GigabitEthernet1/0/1-48
 description 802.1X Access Port
 switchport mode access
 switchport access vlan 100

 ! Authentication settings
 authentication host-mode multi-auth
 authentication order dot1x mab
 authentication priority dot1x mab
 authentication port-control auto
 authentication periodic
 authentication timer reauthenticate server
 authentication timer inactivity server dynamic
 authentication violation restrict

 ! 802.1X settings
 dot1x pae authenticator
 dot1x timeout tx-period 10
 dot1x max-reauth-req 2

 ! MAB fallback
 mab

 ! Enable spanning-tree portfast (required for timely auth)
 spanning-tree portfast

 ! Apply pre-auth ACL
 ip access-group PRE-AUTH-ACL in

! Pre-authentication ACL (allow DHCP, DNS, ISE portal)
ip access-list extended PRE-AUTH-ACL
 permit udp any any eq 67
 permit udp any any eq 68
 permit udp any any eq 53
 permit tcp any host 10.0.5.10 eq 8443
 permit tcp any host 10.0.5.11 eq 8443
 deny ip any any

步骤 4：配置 ISE 认证策略

导航至 Policy > Policy Sets：

认证策略：

规则名称	条件	允许的协议	身份源
Dot1X-EAP-TLS	Radius:EAP-Type EQUALS EAP-TLS	EAP-TLS	AD with Certificate
Dot1X-PEAP	Radius:EAP-Type EQUALS PEAP	PEAP-MSCHAPv2	Active Directory
MAB	Radius:Service-Type EQUALS Call-Check	MAB Lookup	Internal Endpoints
Default	Default	Default	Deny Access

步骤 5：配置 ISE 授权策略

授权策略：

规则名称	条件	授权配置文件
IT-Admin-Wired	AD:Group EQUALS IT-Admins AND Dot1X	VLAN10-FullAccess
Employee-Compliant	AD:Group EQUALS Domain Users AND Posture:Compliant	VLAN100-Corporate
Employee-NonCompliant	AD:Group EQUALS Domain Users AND Posture:NonCompliant	VLAN200-Remediation
Printer-MAB	EndpointIdentityGroup EQUALS Printers	VLAN150-Printers
IP-Phone-MAB	EndpointIdentityGroup EQUALS IP-Phones	VLAN50-Voice
BYOD-Onboarding	AD:Group EQUALS BYOD-Users AND !Registered	BYOD-Portal-Redirect
Guest-Access	GuestEndpointGroup EQUALS GuestEndpoints	VLAN300-Guest
Default	Default	DenyAccess

授权配置文件：

Profile: VLAN100-Corporate
  VLAN: 100
  dACL: PERMIT_ALL
  SGT: Employees (0x0005)
  Reauthentication Timer: 28800

Profile: VLAN200-Remediation
  VLAN: 200
  dACL: REMEDIATION-ACL (allow only remediation server access)
  Web Redirection: Posture Discovery
  Reauthentication Timer: 300

Profile: DenyAccess
  Access Type: ACCESS_REJECT

步骤 6：配置态势评估

导航至 Work Centers > Posture：

态势条件：

- Windows Firewall Enabled (Registry check)
- Antivirus Running and Updated (AV compound condition)
- OS Patch Level Current (Windows Update check)
- Disk Encryption Enabled (BitLocker check)

态势要求：

Requirement: Corporate-Windows-Compliance
  OS: Windows All
  Conditions: Windows Firewall AND Antivirus AND OS Patches
  Remediation: Auto-remediate with AnyConnect ISE Posture Module

态势策略：

Rule: Windows-Endpoints
  Identity Group: Any
  OS: Windows All
  Requirement: Corporate-Windows-Compliance

步骤 7：配置 TrustSec 分段

启用基于 SGT 的分段：

! On switch - enable CTS
cts credentials id SW-ACCESS-01 password CtsP@ss
cts role-based enforcement
cts role-based sgt-map 10.0.100.0/24 sgt 5

! Download SGT policy from ISE
cts role-based permissions

ISE TrustSec 矩阵（SGACL）：

源 SGT	目标 SGT	策略
Employees (5)	Servers (10)	Permit_HTTP_HTTPS
Employees (5)	PCI_Zone (15)	Deny_All
IT-Admins (3)	Servers (10)	Permit_All
Guest (7)	Internet (99)	Permit_HTTP_HTTPS
Guest (7)	Servers (10)	Deny_All

故障排除

# On switch - verify authentication status
show authentication sessions
show authentication sessions interface Gi1/0/1 details
show dot1x all

# Check RADIUS connectivity
test aaa server radius ISE-PRIMARY username testuser password testpass

# On ISE - check live logs
# Navigate to Operations > RADIUS > Live Logs
# Filter by MAC address or username
# Review Authentication Details for failure reason

# Common failure reasons:
# 12514 - EAP-TLS handshake failed (certificate issue)
# 22056 - Subject not found in identity store
# 24408 - User not found in Active Directory
# 24454 - User password expired

最佳实践

• 先使用监控模式 - 在实施封闭模式强制执行之前，先以监控模式（开放认证）部署
• 低影响模式 - 使用 authentication open 配合预认证 dACL 实现逐步推广
• MAB 数据库 - 为打印机、电话预先填充已知 MAC 地址的端点数据库
• 分析 - 启用 ISE 分析以按类型自动对端点进行分类
• CoA 支持 - 确保配置授权变更（Change of Authorization）以实现动态策略更新
• 高可用性 - 以主/备节点对部署 ISE，并配置 PAN 故障转移
• 证书基础设施 - 使用机器证书进行 EAP-TLS 以获得最强的认证

参考资料

• Cisco ISE Admin Guide 3.1
• Cisco 802.1X Design Guide
• CiscoLive ISE Deployment Guide 2025
• Cisco ISE Wired 802.1X Configuration