ISE 3.3 — 802.1x — EAP-TLS — TLS1.3

[Paul Dycus]

Здравствуйте,
мы внедряем 802.1X в нашей среде. Наши рабочие станции Windows 10 успешно проходят аутентификацию с помощью EAP-TLS через TLS 1.2. Однако наши новые компьютеры с Windows 11 пытаются пройти аутентификацию с помощью EAP-TLS с TLS 1.3, и эти попытки постоянно заканчиваются неудачей. Я просмотрел документацию по Cisco Identity Services Engine (ISE) и не смог найти однозначного подтверждения того, что TLS 1.3 поддерживается для аутентификации EAP-TLS. Хотя наш сервер ISE настроен на разрешение TLS 1.3 на странице «Настройки безопасности», это, по-видимому, применимо только к некоторым службам (например, Admin GUI/API), но не обязательно к рабочим процессам AAA/EAP. Сообщите, пожалуйста, поддерживает ли ISE EAP-TLS через TLS 1.3, и если нет, то какую версию TLS и конфигурацию набора шифров вы рекомендуете для обеспечения надежной аутентификации.
Примечание: мы можем вручную настроить наши компьютеры с Windows 11 для аутентификации с использованием TLS 1.2.

[Cristian Matei]

Здравствуйте, В патче 2 для ISE 3.3 добавлена поддержка TLS 1.3 для EAP, однако только для функций EAP-TLS и TEAP-сервера, поэтому внутренний метод не может быть EAP-TLS: https://www.cisco.com/c/en/us/td/docs/security/ise/3-3/admin_guide/b_ise_admin_3_3/b_ISE_admin_33_segmentation.html https://www.cisco.com/c/en/us/td/docs/security/ise/3-3/release_notes/b_ise_33_RN.html ISE 3.5 добавил поддержку TLS 1.3 также для PEAP: https://www.cisco.com/c/en/us/td/docs/security/ise/3-3/release_notes/b_ise_33_RN.html Если вам необходимо использовать EAP-TLS с TLS 1.3 в качестве внутреннего метода, на данный момент решения нет; единственный вариант — настроить компьютеры с Windows на использование TLS 1.2 для 802.1x: [) Спасибо, Кристиан.

[Marcelo Morais]

@Paul Dycus
, пожалуйста, ознакомьтесь с
[ISE — Что нам нужно знать о TLS]
. Надеюсь, это поможет!