配置异常终端检测和执行在ISE2Cisco.PDFVIP

配置异常终端检测和执行在ISE 2.2 目录 简介 先决条件 要求 使用的组件 背景信息 配置 网络图 配置 步骤1. Enable (event)异常检测。 步骤2.配置授权策略。 验证 故障排除 相关信息 简介 本文描述异常终端检测和执行。这是在思科身份服务引擎介绍的一个新的描出的功能(ISE)方面增强 版网络可见度的。 先决条件 要求 Cisco 建议您了解以下主题： 在交换机的有线的MAC验证旁路(MAB)配置 在无线局域网控制器(WLC)的无线MAB配置 授权(CoA)配置的崔凡吉莱在两个设备的 使用的组件 本文档中的信息基于以下软件和硬件版本： 1. 身份服务引擎2.2 2. 无线局域网控制器8.0.100.0 3. Cisco Catalyst交换机3750 15.2(3)E2 4. Windows 10用有线的和无线适配器 本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原 始（默认）配置。如果您使用的是真实网络，请确保您已经了解所有命令的潜在影响。 背景信息 ISE能检测在MAC地址伪装涉及的终端。一旦它检测， ISE能采取行动(与CoA)和强制执行某些策略 限制可疑终端的访问。 一旦检测启用， ISE监控为现有终端接收的所有必威体育精装版信息和检查这些属性是否更改： 1. NAS端口类型-确定此终端访问方法是否更改。例如，如果通过有线的Dot1x连接的同一MAC地 址使用了无线Dot1x和签证versa。 2. DHCP中集集团ID -确定终端的客户端/供应商种类是否更改。 3. 操作系统-重大OS变成例如Windows苹果公司iOS。 4. 终端策略-重大的修改配置文件。例如，一更改从电话或打印机到PC。 一旦ISE检测以上提到的其中一更改， AnomalousBehaviour属性被添加到终端和集对真。这在授权 策略可以稍后用于，情况限制终端的访问在将来认证。 如果执行配置， ISE能发送CoA，一旦更改检测重新鉴别或执行终端的端口跳动。如果实际上，它 能根据配置的授权策略检疫异常终端。 配置 网络图 配置 简单MAB和AAA配置在交换机和WLC被执行。要使用此功能，请遵从这些步骤： 步骤1. Enable (event)异常检测。 导航对管理System 设置描出。 第一个选项允许ISE检测所有异常行为，但是CoA没有发送(可见性模式)。第二个选项允许ISE发送 CoA，一旦异常行为检测(执行模式)。 步骤2.配置授权策略。 如镜像所显示，配置Anomlousbehaviour属性作为在授权策略的一个条件， ： 验证 连接无线适配器。请使用ipconfig命令/all查找无线适配器MAC地址，如镜像所显示： 要模拟恶意用户，您可以伪装以太网适配器的MAC地址匹配普通用户的MAC地址。 一旦普通用户连接，您能看到在数据库的一个终端条目。之后，使用用欺骗性MAC地址，恶意用户 连接。 从报告您能看到从WLC的初始连接。之后，恶意用户连接，并且10几秒后， CoA被触发的归结于异 常客户端的检测。因为全局CoA类型设置为Reauth ，终端设法再连接。ISE已经设置 AnomalousBehaviour属性对真，因此ISE匹配第一个规则并且拒绝用户。 如镜像所显示，您能看到详细信息在上下文可见性选项卡的终端下：  正如你看到的终端可以从数据库删除清除此属性。 如镜像所显示，控制板包括一新的选项卡显示显示此行为的客户端数量： 故障排除 为了排除故障，启用仿形铣床调试，您导航对管理System 记录日志调试日志配置。 如镜像所显示，为了查找ISE Profiler.log文件，请导航对操作下载日志调试日志 ， ： 这些日志显示一些片断从Profiling.log文件。正如你看到的ISE能检测与C0:4A:00:21:49:C2 MAC地 址的终端通过比较类型属性的旧有和新的值更改访问方法。它是无线，但是更改对以太网。 2016-12-30 20:37:43,874 DEBUG [EndpointHandlerWorker-2-34-thread-1][] cisco.profiler.infrastructure.profiling.ProfilerManager -:Profiling:- Classify hierarchy C0:4A:00:21:49:C2 2016-12-30 20:37:43,874 DEBUG [MACSpoofingEventHandler