пограничный коммутатор Cisco SDA подключен к другому коммутатору

[michael-w]

Я хотел бы вернуться к этому вопросу на случай, если у кого-то еще возникнет такая ситуация. Мы пытались минимизировать конфигурацию на стороне Stratix, но изменили порты на магистральные на нашей стороне и на стороне Stratix. Мы сделали нативный VLAN, чтобы он соответствовал VLAN, который мы использовали для нашего VN, и затем смогли применить SGT на основе MAC-адресов устройств за Stratix без ручного применения политики на уровне порта. Мы успешно протестировали применение 2 разных SGT к 2 разным устройствам за Stratix. Конечно, они могут взаимодействовать внутри Stratix, но как только они попадают в порт нашего пограничного коммутатора, к ним применяются отдельные политики SGT.

[michael-w]

Ответил не в той ветке на этом форуме, все еще жду ответа на вышеуказанный вопрос.

[michael-w]

Есть ли способ обеспечить это с помощью ISE?

[Torbjørn]

В описанной мной конфигурации политика будет применяться к пограничному узлу SDA, как и к любому другому трафику в фабрике. Это не потребует дополнительной настройки ISE, кроме той, которую вы выполняете для политики в фабрике SDA. Рад помочь! Пожалуйста, отметьте как полезное/решение, если применимо.
Свяжитесь с нами: https://torbjorn.dev

[michael-w]

Спасибо,
@Torbjørn
. Я должен был спросить, есть ли способ перенести эту конфигурацию из ISE, вместо того чтобы делать это вручную на пограничном коммутаторе?

[Torbjørn]

Нет, это нужно настроить на switchport. Желательно настроить как статический порт в разделе host onboarding в вашей структуре на Cat-C. Рады помочь! Пожалуйста, отметьте как полезное/решение, если применимо.
Свяжитесь с нами: https://torbjorn.dev

[Andrii Oliinyk]

Это все еще должно быть возможно, но я не уверен, что DOT1X будет работать с этой настройкой. Но MAB должен работать со стандартной политикой (я бы сказал, что это будет политика PMAP_DefaultWiredDot1xClosedAuth_MAB_1X вместо PMAP_DefaultWiredDot1xClosedAuth_1X_MAB).
Вам необходимо, чтобы MAC-адреса за портом на C9300 были аутентифицированы (с возвратом необходимых SGT в AccessAccept) на ISE надлежащим образом. Если вы все сделаете правильно, подключение должно работать.

[Flavio Miranda]

@michael-w Похоже, коммутатор Stratix поддерживает
«Протокол обмена тегами групп безопасности (SXP)». Вы пробовали добавить это устройство в ISE и применить к нему SGT? https://literature.rockwellautomation.com/idc/groups/literature/documents/um/1783-um012_-en-p.pdf https://www.cisco.com/c/en/us/td/docs/solutions/Verticals/CPwE/5-1/Network_Security/DIG/CPwE-5-1-NetworkSecurity-DIG.pdf

[michael-w]

Спасибо
@flavio
за предоставленную ссылку на Rockwell. Судя по всему, поддерживается только модель 5800. В настоящее время у нас установлена модель 5700, есть также несколько моделей 5200, но они не планировались к использованию в этом проекте.
Из предоставленного вами документа:
TrustSec поддерживается только на моделях с каталожными номерами 1783-MMS10AR, 1783-MMS10EAR,
1783-MMX8EA, 1783-MMX8TA, 1783-MMX8SA Они соответствуют моделям 5800.

[Flavio Miranda]

Действительно, я пропустил это.

[Andrii Oliinyk]

Вы не указали, как ваш Stratix подключен к C9300 EN. Предполагая, что это интерфейс доступа (без тегов) в произвольной VLAN, просто следуйте инструкциям
@Torbjørn
: подключите Stratix в качестве конечного хоста пользователя со статическим SGT. В противном случае, если интерфейс является .1q trunk с несколькими VLAN, вы все равно можете создать статические записи IP- или VLAN-to-SGT на EdgeNode с подключенным Stratix.
Удачи!

[michael-w]

Спасибо, порт 9300 — это порт доступа, такой же, как порт Stratix.

[Andrii Oliinyk]

Не могли бы вы уточнить:

1. вы удалили AAA из порта на EdgeNode? Я предполагаю, что вы это сделали, поскольку интерфейс был переведен в режим trunk.
2. вы назначаете SGT на stratix через AAA с ISE или ...?