пограничный коммутатор Cisco SDA подключен к другому коммутатору
-
SGACL оцениваются на выходе на основе тега, установленного на входе. В описанной вами конфигурации нет возможности распространить применение политики на коммутатор Stratix, но вы можете установить статический SGT на порту доступа пограничного узла и использовать его для всех устройств, подключенных к коммутатору Stratix. Рады помочь! Пожалуйста, отметьте как полезное/решение, если применимо.
Свяжитесь с нами: https://torbjorn.dev -
Я хотел бы вернуться к этому вопросу на случай, если у кого-то еще возникнет такая ситуация. Мы пытались минимизировать конфигурацию на стороне Stratix, но изменили порты на магистральные на нашей стороне и на стороне Stratix. Мы сделали нативный VLAN, чтобы он соответствовал VLAN, который мы использовали для нашего VN, и затем смогли применить SGT на основе MAC-адресов устройств за Stratix без ручного применения политики на уровне порта. Мы успешно протестировали применение 2 разных SGT к 2 разным устройствам за Stratix. Конечно, они могут взаимодействовать внутри Stratix, но как только они попадают в порт нашего пограничного коммутатора, к ним применяются отдельные политики SGT.
-
Ответил не в той ветке на этом форуме, все еще жду ответа на вышеуказанный вопрос.
-
Есть ли способ обеспечить это с помощью ISE?
-
В описанной мной конфигурации политика будет применяться к пограничному узлу SDA, как и к любому другому трафику в фабрике. Это не потребует дополнительной настройки ISE, кроме той, которую вы выполняете для политики в фабрике SDA. Рад помочь! Пожалуйста, отметьте как полезное/решение, если применимо.
Свяжитесь с нами: https://torbjorn.dev -
Спасибо,
@Torbjørn
. Я должен был спросить, есть ли способ перенести эту конфигурацию из ISE, вместо того чтобы делать это вручную на пограничном коммутаторе? -
Нет, это нужно настроить на switchport. Желательно настроить как статический порт в разделе host onboarding в вашей структуре на Cat-C. Рады помочь! Пожалуйста, отметьте как полезное/решение, если применимо.
Свяжитесь с нами: https://torbjorn.dev -
Это все еще должно быть возможно, но я не уверен, что DOT1X будет работать с этой настройкой. Но MAB должен работать со стандартной политикой (я бы сказал, что это будет политика PMAP_DefaultWiredDot1xClosedAuth_MAB_1X вместо PMAP_DefaultWiredDot1xClosedAuth_1X_MAB).
Вам необходимо, чтобы MAC-адреса за портом на C9300 были аутентифицированы (с возвратом необходимых SGT в AccessAccept) на ISE надлежащим образом. Если вы все сделаете правильно, подключение должно работать. -
@michael-w Похоже, коммутатор Stratix поддерживает
«Протокол обмена тегами групп безопасности (SXP)». Вы пробовали добавить это устройство в ISE и применить к нему SGT? https://literature.rockwellautomation.com/idc/groups/literature/documents/um/1783-um012_-en-p.pdf https://www.cisco.com/c/en/us/td/docs/solutions/Verticals/CPwE/5-1/Network_Security/DIG/CPwE-5-1-NetworkSecurity-DIG.pdf -
Спасибо
@flavio
за предоставленную ссылку на Rockwell. Судя по всему, поддерживается только модель 5800. В настоящее время у нас установлена модель 5700, есть также несколько моделей 5200, но они не планировались к использованию в этом проекте.
Из предоставленного вами документа:
TrustSec поддерживается только на моделях с каталожными номерами 1783-MMS10AR, 1783-MMS10EAR,
1783-MMX8EA, 1783-MMX8TA, 1783-MMX8SA Они соответствуют моделям 5800. -
Действительно, я пропустил это.
-
Вы не указали, как ваш Stratix подключен к C9300 EN. Предполагая, что это интерфейс доступа (без тегов) в произвольной VLAN, просто следуйте инструкциям
@Torbjørn
: подключите Stratix в качестве конечного хоста пользователя со статическим SGT. В противном случае, если интерфейс является .1q trunk с несколькими VLAN, вы все равно можете создать статические записи IP- или VLAN-to-SGT на EdgeNode с подключенным Stratix.
Удачи! -
Спасибо, порт 9300 — это порт доступа, такой же, как порт Stratix.
-
Не могли бы вы уточнить:
- вы удалили AAA из порта на EdgeNode? Я предполагаю, что вы это сделали, поскольку интерфейс был переведен в режим trunk.
- вы назначаете SGT на stratix через AAA с ISE или ...?
Здравствуйте! Похоже, вам интересна эта беседа, но у вас пока нет учетной записи.
Вы устали просматривать одни и те же посты каждый раз, когда заходите на сайт? После регистрации, вам не придётся искать обсуждения в которых вы принимали участие, настройте уведомления о новых сообщениях так как вам это удобно (по электронной почте или уведомлением). У вас появится возможность сохранять закладки и ставить лайки постам, чтобы выразить свою благодарность другим участникам сообщества.
С вашими комментариями этот пост может стать ещё лучше 💗
Зарегистрироваться Войти