Trustsec и статические сопоставления

[Andrii Oliinyk]

Моя версия SW — 3.2, но я не думаю, что у вас возникла ошибка с версией 3.0. У меня тоже есть выпадающий список, но я его игнорирую и просто ввожу необходимые значения в редактируемую область базы данных. У вас должен быть тот же результат, что и на изображениях выше.

[jalejand]

Для сценария без экстрасети (граничный контроль трафика к внешнему пункту назначения) необходимо включить следующие настройки в границе:

1. принудительное применение на основе ролей cts 2) cts role-based enforcement vlan-list (L3 handoff VLAN) 3) cts role-based sgt-map vrf (VRF клиента фабрики) x.x.x.x sgt xxx (это называется статической привязкой и поддерживает VRF; для динамического сопоставления с помощью ISE можно использовать SXP). Для сценария экстрасети:
   измените список vlan, чтобы включить VLAN, используемый для передачи L3 в GRT.
   С уважением

[KevinR99]

Отлично, сработало на славу. Спасибо за быстрый ответ, очень признателен. Кев.

[KevinR99]

Я посмотрел ISE, который у меня есть в лаборатории SDA. Я бы предпочел использовать его для определения и распространения моих статических сопоставлений. Однако, когда я смотрю в Рабочие центры - TrustSec - Компоненты - Статическое сопоставление IP SGT , я вижу раскрывающийся список рядом с полем IP-адреса, как будто ISE будет заполнять IP-адреса. Поэтому я не могу определить свой внешний IP-адрес фабрики. Существуют ли какие-либо требования к лицензированию или другие требования к ISE, которые позволяют мне настраивать и развертывать статические сопоставления SGT? Спасибо, Кев.

[KevinR99]

См. выше

[KevinR99]

Я по-прежнему не могу определить статические сопоставления SGT в ISE. Я надеялся, что смогу определить их там и распространить на свои границы, чтобы они знали, к какому SGT я хочу сопоставить внешние устройства. Затем я смогу использовать это сопоставление в матрице trustsec. Когда я перехожу в Trustsec - IP SGT static mapping , мне предлагается выпадающий список в первой строке рядом с IP-адресом. Как будто ему нужно знать IP-адрес устройства, прежде чем я смогу статически назначить SGT. Я хочу сообщить ISE IP-адрес и SGT, чтобы они были переданы в мой Border через SXP. Кев.

[Andrii Oliinyk]

Это не доступно для вас? ![andydoesntlikeuucp_0-1694431780548.png]

[KevinR99]

Он доступен, но поле IP-адреса, похоже, ожидает, что значения будут доступны в раскрывающемся меню. Когда я ввожу IP-адрес, он не принимается, и я не могу нажать кнопку «Сохранить».

[Andrii Oliinyk]

кхм... я проверю это в лаборатории и отправлю отзыв

[Rob Ingram]

@KevinR99
Вы добавляете IP-адрес вручную, нет раскрывающегося списка с предварительно заполненными IP-адресами/сетями. Вы можете нажать кнопку «Сохранить» только после добавления как минимум минимальных значений — IP-адреса, SGT и «Отправить в домен SXP». ![RobIngram_0-1694462033831.png] ![RobIngram_1-1694462086488.png]

[Andrii Oliinyk]

Могу подтвердить: проблем с сохранением конфигурации нет.

[racarvalho]

Привет, Jalejand, Я пытаюсь
направить трафик к внешнему пункту назначения на границе с экстрасетью на Cat9500 с помощью: cts role-based enforcement
cts role-based enforcement vlan-list 1093 (l3 hanoff vlan of infra_vn)
cts sxp enable
cts sxp default password cisco
cts sxp connection peer <ISE-ADDR> source <Loopback0> password default mode local listener Соединение SXP включено, и с помощью команды «show cts role-based sgt-map» я могу видеть все свои статические сопоставления из ISE. Я настроил политику с запретом IP от внутреннего SGT к статическому сопоставлению. Но «show cts role-based permissions» пусто. Я что-то упустил для сценария экстрасети? SDA 2.3.5.5 ISE 3.2p6 IOS-XE 17.9.5 С уважением,

[KevinR99]

Какую версию ISE вы используете? У меня версия 3.0. Рядом с полями «IP-адрес» и «Виртуальные сети» есть раскрывающиеся списки, но в них ничего нет. Когда я пытаюсь ввести значение, оно стирается, как только я перехожу к следующему полю, и, поскольку я не могу заполнить все поля, кнопка «Сохранить» никогда не активируется.

[KevinR99]

Работает. Когда я увидел раскрывающийся список, я предположил, что он будет заполняться по мере ввода адресов, или когда я ввел адрес и перешел к следующему полю, мой адрес был принят. Однако, как вы сказали, нужно игнорировать раскрывающийся список, а после ввода адреса нажать клавишу «Ввод», и он будет принят. Затем я убедился, что статические сопоставления передаются на мои устройства. Спасибо за ваш вклад.