Вопрос по SDA и ISE

[N3om]

@Andrii Oliinyk
Я знаю, как добавить сервер в настройках, но проблема в том, что в раскрывающемся списке для вторичного PSN нет IP-адреса PSN. Я обновил PSN, но IP-адрес остался прежним. Как сделать PSN видимым для DNAC?
Думаю, он мог быть случайно удален из настроек сети. Спасибо.

[Andrii Oliinyk]

У вас есть поля для PSN или нет?
Если есть, то просто введите туда IP-адреса...

[N3om]

@Андрей Олейник Если я хочу добавить сервер PSN в DNAC, что такое общий секретный ключ? Это учетная запись ssh, которую я использую для ISE? Спасибо.

[Andrii Oliinyk]

Этот PSK по сути является ключом, используемым NAD для RADIUS с PSN.
То же самое относится к TACACS. Рекомендуем ознакомиться с документами, предложенными в этой ветке.

[Rob Ingram]

@N3om,
обратитесь к руководству Cisco с инструкциями по интеграции DNAC с ISE —
[) pxGrid используется для обмена данными между ISE и DNAC, поэтому используется сертификат pxGrid. К сведению, необходимо убедиться, что сертификат pxGrid имеет EKU для аутентификации сервера и клиента.

[balaji.bandi]

Ознакомьтесь с требованиями и полезным руководством, доступным здесь: [) Вы должны включить pxgrid enable для одного узла. BB
=====Preenayamo Vasudevam=====
***** Оцените все полезные ответы *****
Как обратиться за помощью к сообществу Cisco

[N3om]

Здравствуйте Я просматривал документ по обновлению Cisco ISE до версии 3.3, но не нашел никаких упоминаний о том, что происходит во время обновления ISE до ISE-DNAC Intergration. Меняется ли интеграция во время обновления? Кроме того, если я использую раздельное обновление для ISE, я сначала обновлю DC в следующем порядке: сначала SEC-PAN, затем один PSN и затем один узел pxgrid. Что мне делать с интеграцией, когда один DC находится на версии 3.3, а другой DC все еще на версии 3.0? Спасибо.

[Andrii Oliinyk]

Интеграция DNAC-ISE (ERS&PxGrid) не изменяется, но состояния интеграции будут точно отражать состояния xPANs и xPxGrids. DNAC использует только первичные узлы для обмена данными. Вторичные узлы просто периодически проверяются на работоспособность. Не знаю, как это работает при раздельном обновлении.
Я предпочитаю резервное копирование и восстановление с изоляцией перенесенной части ISE-куба от производства (то есть с отменой его регистрации как в старом развертывании ISE, так и в DNAC). Конечно, это требует много работы и мер предосторожности, но, на мой взгляд, это самый надежный метод, который не приведет к несогласованности интеграции DNAC-ISE. Опять же, это при условии, что DNAC не будет содержать ошибок, связанных с интеграцией, которых в нем полно. В противном случае любой другой метод обновления ISE, отличный от резервного копирования и восстановления, будет сопряжен с большим риском сбоя с точки зрения интеграции DNAC-ISE.

[N3om]

@Андрей Олейник
(Dnac
использует только первичные узлы для обмена данными. Вторичные узлы просто периодически опрашиваются на предмет работоспособности) Например, если у меня есть 2 узла PAN-MNT, 2 PSN и 2 узла PXGRID, вы хотите сказать, что DNAC обменивается информацией только с PRI PAN, а не с другими узлами? Если да, то какой смысл в узлах PXGRID? Также по поводу обновления ISE: если IPS узла ISE останется прежним, то интеграция все равно будет продолжаться по мере обновления узлов, не так ли?

[Andrii Oliinyk]

1. Интеграция ERS с ISE/xPANs; поскольку sPAN не обслуживает ERS до тех пор, пока не будет повышен до первичного, зачем DNAC будет обращаться к нему с вызовами ERS? PxGrid ориентирован на ISE/xPxGrids для темы PxGrid. И даже несмотря на то, что с точки зрения ISE все персоны PxGrid являются активными, DNAC помечает второй PxGrid как резервный. Поэтому я предполагаю, что он обменивается данными по теме PxGrid так же, как и с ERS.
2. IP-адреса ISE остаются неизменными. И это одна из мер предосторожности, которую необходимо учитывать, чтобы не смешивать два куба одновременно для AAA и интеграции с DNAC.
   Всего хорошего!

[N3om]

@Андрей Олейник
А, понятно, я понимаю, что вы имеете в виду, так как у меня будут узлы в новом развертывании и узлы, которые все еще находятся в старом развертывании, поэтому DNAC не понравится это???
(IP-адреса ISE остаются неизменными. И это одна из мер предосторожности, которую необходимо учитывать, чтобы не смешивать два куба одновременно для AAA и интеграции с DNAC.)