Microsoft WSUS를 사용하여 ISE 버전 1.4 상태 구성

Microsoft WSUS 를사용하여 ISE 버전 1.4 상태구성 목차 소개사전요구사항요구사항사용되는구성요소구성네트워크다이어그램 Microsoft WSUS ASA ISE WSUS 에대한상태개선 WSUS 에대한상태요구사항 AnyConnect 프로파일클라이언트프로비저닝규칙권한부여프로파일권한부여규칙다음을확인합니다. 업데이트된 GPO 정책이있는 PC WSUS 에서중요업데이트승인 WSUS 에서 PC 상태확인 VPN 세션설정포스처모듈은 ISE 에서정책을수신하고교정수행전체네트워크액세스문제해결중요참고사항 WSUS 교정에대한옵션세부정보 Windows 업데이트서비스 SCCM 통합관련정보 소개 이문서에서는 Microsoft WSUS(Windows Server Update Services) 와통합될때 Cisco ISE(Identity Services Engine) 상태기능을구성하는방법에대해설명합니다. 참고 : 네트워크에액세스할때 Cisco AnyConnect Secure Mobility Client Version 4.1 프로비저

닝을위한 ISE 로리디렉션됩니다. 포스처모듈에서는 WSUS 의규정준수상태를확인하고스테이션규정준수를위해필요한업데이트를설치합니다. 스테이션이규정준수상태로보고되면 ISE 는전체네트워크액세스를허용합니다. 사전요구사항 요구사항 다음주제에대한지식을보유하고있으면유용합니다. Cisco ISE 구축, 인증및권한부여 ISE와 Cisco AnyConnect 포스처에이전트가작동하는방식에대한기본지식 Cisco ASA(Adaptive Security Appliance) 구성 기본 VPN 및 802.1x 지식 Microsoft WSUS 구성 사용되는구성요소 이문서의정보는다음소프트웨어및하드웨어버전을기반으로합니다. Microsoft Windows 버전 7 Microsoft Windows 버전 2012(WSUS 버전 6.3 포함 ) Cisco ASA 버전 9.3.1 이상 Cisco ISE 소프트웨어버전 1.3 이상이문서의정보는특정랩환경의디바이스를토대로작성되었습니다. 이문서에사용된모든디바이스는초기화된 ( 기본 ) 컨피그레이션으로시작되었습니다. 현재네트워크가작동중인경우, 모든명령어의잠재적인영향을미리숙지하시기바랍니다. 구성 이섹션에서는 ISE 및관련네트워크요소를구성하는방법에대해설명합니다. 네트워크다이어그램 이문서의예제에사용되는토폴로지입니다.

다음은네트워크다이어그램에표시된트래픽흐름입니다. 1. 원격사용자는 ASA에대한 VPN 액세스를위해 Cisco AnyConnect를통해연결합니다. 이는스위치에서종료되는 802.1x/MAB(MAC Authentication Bypass) 유선세션또는 WLC(Wireless LAN Controller) 에서종료되는무선세션과같은모든유형의통합액세스가될수있습니다. 2. 인증프로세스의일부로서, ISE는엔드스테이션의상태상태가규정준수 (ASA- VPN_quarantine 권한부여규칙 ) 와같지않으며리디렉션특성이 Radius Access-Accept 메시지에반환되는지확인합니다. 따라서 ASA는모든 HTTP 트래픽을 ISE로리디렉션합니다. 3. 사용자가웹브라우저를열고주소를입력합니다.ISE로리디렉션을수행한후 Cisco AnyConnect 4 포스처모듈이스테이션에설치됩니다. 그런다음상태모듈은 ISE에서정책을다운로드합니다 (WSUS에대한요구사항 ). 4. 포스처모듈은 Microsoft WSUS를검색하고리미디에이션을수행합니다. 5. 성공적으로교정이완료되면상태모듈이 ISE에보고서를보냅니다. 6. ISE는호환 VPN 사용자 (ASA-VPN_ 호환권한부여규칙 ) 에대한전체네트워크액세스를제공하는 CoA(Radius Change of Authorization) 를발행합니다. 참고 : 교정이작동하려면 (PC 에 Microsoft Windows 업데이트를설치하는기능 ) 사용자에게로컬관리권한이있어야합니다. Microsoft WSUS

참고 :WSUS 의자세한구성은이문서의범위를벗어납니다. 자세한내용은조직 Microsoft 에서 Windows Server Update Services 배포설명서를참조하십시오. WSUS 서비스는표준 TCP 포트 8530 을통해구축됩니다. 교정에다른포트도사용된다는점을기억해야합니다. 따라서 WSUS 의 IP 주소를 ASA 의리디렉션 ACL(Access Control List) 에추가해야합니다 ( 이문서의뒷부분에설명 ). 도메인에대한그룹정책은 Microsoft Windows 업데이트를위해구성되었으며로컬 WSUS 서버를가리킵니다.

다음은여러심각도수준을기반으로하는세분화된정책에대해활성화된권장업데이트입니다. 클라이언트측표적화는훨씬더큰유연성을제공합니다.ISE 는다른 Microsoft AD(Active

Directory) 컴퓨터컨테이너를기반으로하는포스처정책을사용할수있습니다.WSUS 는이구성원자격을기반으로하는업데이트를승인할수있습니다. ASA 원격사용자에대한 SSL(Simple Secure Sockets Layer) VPN 액세스가사용됩니다 ( 자세한내용은이문서의범위를벗어남 ). 다음은컨피그레이션의예입니다. interface GigabitEthernet0/0 nameif outside security-level 10 ip address 172.16.32.100 255.255.255.0 interface GigabitEthernet0/1 nameif inside security-level 100 ip address 172.16.31.100 255.255.255.0 aaa-server ISE protocol radius interim-accounting-update periodic 1 dynamic-authorization aaa-server ISE (inside) host 172.16.31.202 key cisco webvpn enable outside anyconnect-essentials anyconnect image disk0:/anyconnect-win-4.0.00051-k9.pkg 1 anyconnect enable tunnel-group-list enable error-recovery disable group-policy POLICY internal group-policy POLICY attributes vpn-tunnel-protocol ikev1 ikev2 l2tp-ipsec ssl-client ssl-clientless tunnel-group SSLVPN type remote-access tunnel-group SSLVPN general-attributes address-pool POOL-VPN authentication-server-group ISE accounting-server-group ISE default-group-policy POLICY ip local pool POOL-VPN 172.16.50.50-172.16.50.60 mask 255.255.255.0 ISE 로리디렉션되어야하는트래픽을확인하기위해사용되는 ASA 에서액세스목록을구성하는것이중요합니다 ( 아직규정을준수하지않는사용자의경우 ). access-list Posture-redirect extended deny udp any any eq domain access-list Posture-redirect extended deny ip any host 172.16.31.103 access-list Posture-redirect extended deny ip any host 172.16.31.202 access-list Posture-redirect extended deny icmp any any access-list Posture-redirect extended permit tcp any any eq www DNS(Domain Name System), ISE, WSUS 및 ICMP(Internet Control Message Protocol) 트래픽만비준수사용자에게허용됩니다. 다른모든트래픽 (HTTP) 은 AnyConnect 4 프로비저닝을위한

ISE 로리디렉션되며, 이는포스처및리미디에이션을담당합니다. ISE 참고 :AnyConnect 4 프로비저닝및포스처는이문서의범위를벗어납니다.ASA 를네트워크디바이스로구성하고 Cisco AnyConnect 7 애플리케이션설치방법등자세한내용은 AnyConnect 4.0 Integration with ISE Version 1.3 Configuration Example 을참조하십시오. WSUS 에대한상태개선 WSUS 에대한상태개선을구성하려면다음단계를완료합니다. 1. 새규칙을생성하려면 Policy > Conditions > Posture > Remediation Actions > Windows Server Update Services Remediation으로이동합니다. 2. Microsoft Windows Updates 설정이 Severity Level로설정되어있는지확인합니다. 이부품은교정프로세스가시작되면탐지를담당합니다. 그런다음 Microsoft Windows Update 에이전트는 WSUS에연결하여설치대기중인 PC에대한중요업데이트가있는지확인합니다. WSUS 에대한상태요구사항 새규칙을생성하려면 Policy > Conditions > Posture > Requirements 로이동합니다. 규칙은 pr_wsusrule 이라는더미조건을사용합니다. 즉, 교정이필요할때조건을확인하기위해 WSUS 에연결됩니다 ( 중요업데이트 ). 이조건이충족되면 WSUS 는해당 PC 에대해구성된업데이트를설치합니다. 여기에는모든유형

의업데이트와심각도가낮은업데이트가포함될수있습니다. AnyConnect 프로파일 AnyConnect 4.0 Integration with ISE Version 1.3 Configuration Example 에설명된대로 AnyConnect 4 프로파일과함께포스처모듈프로파일을구성합니다.

클라이언트프로비저닝규칙 AnyConnect 프로파일이준비되면클라이언트프로비저닝정책에서이를참조할수있습니다. 컨피그레이션과함께전체애플리케이션이엔드포인트에설치되며, 이는클라이언트프로비저닝포털페이지로리디렉션됩니다.AnyConnect 4 가업그레이드되고추가모듈 ( 상태 ) 이설치될수있습니다. 권한부여프로파일

클라이언트프로비저닝프로파일로리디렉션하기위한권한부여프로파일을만듭니다. 권한부여규칙 이그림에서는권한부여규칙을보여줍니다. 처음으로 ASA-VPN_quarantine 규칙이사용됩니다. 따라서 Posture 권한부여프로파일이반환되고엔드포인트는 AnyConnect 4( 포스처모듈포함 ) 프로비저닝을위한클라이언트프로비저닝포털로리디렉션됩니다. 규정준수가완료되면 ASA-VPN_compliant 규칙이사용되며전체네트워크액세스가허용됩니다. 다음을확인합니다. 이섹션에서는컨피그레이션이제대로작동하는지확인하는데사용할수있는정보를제공합니다. 업데이트된 GPO 정책이있는 PC

PC 가도메인에로그인한후 WSUS 구성이있는도메인정책을푸시해야합니다. 이는 VPN 세션이설정되기전 ( 대역외 ) 또는로그온전시작기능을사용하는경우 (802.1x 유선 / 무선액세스에도사용할수있음 ) 이후에발생할수있습니다. Microsoft Windows 클라이언트에올바른구성이적용되면 Windows Update 설정에서이를반영할수있습니다. 필요한경우 GPO( 그룹정책개체 ) 새로고침및 Microsoft Windows Update 에이전트서버검색을사용할수있습니다. C:\Users\Administrator>gpupdate /force Updating Policy... User Policy update has completed successfully. Computer Policy update has completed successfully. C:\Users\Administrator>wuauclt.exe /detectnow C:\Users\Administrator> WSUS 에서중요업데이트승인 승인프로세스는클라이언트사이트대상지정시다음과같은이점을얻을수있습니다.

필요한경우보고서를 Wuauck 으로재전송합니다. WSUS 에서 PC 상태확인 이이미지는 WSUS 에서 PC 상태를확인하는방법을보여줍니다.

WSUS 를사용하여다음새로고치려면하나의업데이트를설치해야합니다. VPN 세션설정 VPN 세션이설정되면 ASA-VPN_quarantine ISE 권한부여규칙이사용되며, 이규칙은 Posture 권한부여프로파일을반환합니다. 따라서엔드포인트의 HTTP 트래픽은 AnyConnect 4 업데이트및포스처모듈프로비저닝을위해리디렉션됩니다.

이시점에서 ASA 의세션상태는 ISE 로 HTTP 트래픽을리디렉션하여제한된액세스를나타냅니다. asav# show vpn-sessiondb detail anyconnect Session Type: AnyConnect Detailed Username : cisco Index : 69 Assigned IP : 172.16.50.50 Public IP : 192.168.10.21 <...some output omitted for clarity...> ISE Posture: Redirect URL : https://ise14.example.com:8443/portal/gateway?sessionid=ac101f64000 45000556b6a3b&portal=283258a0-e96e-... Redirect ACL : Posture-redirec 포스처모듈은 ISE 에서정책을수신하고교정수행 포스처모듈은 ISE 에서정책을수신합니다.ise-psc.log 디버그는상태모듈에전송되는요구사항을표시합니다. 2015-06-05 07:33:40,493 DEBUG [portal-http-service12][] cisco.cpm.posture.runtime. PostureHandlerImpl -:cisco:ac101f6400037000556b40c1:::- NAC agent xml <?xml version="1.0" encoding="utf-8"?><cleanmachines> <version>2</version> <encryption>0</encryption> <package> <id>10</id>

<version/> <description>this endpoint has failed check for any AS installation</description> <type>10</type> <optional>0</optional> <remediation_type>1</remediation_type> <remediation_retry>0</remediation_retry> <remediation_delay>0</remediation_delay> <action>10</action> <check> </check> <criteria/> </package> </cleanmachines> 포스처모듈은 Microsoft Windows Update 에이전트가 WSUS 에연결하도록자동으로트리거하고 WSUS 정책에구성된대로업데이트를다운로드합니다 ( 사용자개입없이모두자동으로 ).

참고 : 일부업데이트는시스템을다시시작해야할수있습니다.

전체네트워크액세스 스테이션이 AnyConnect 포스처모듈에의해규정준수상태로보고되면다음과같이표시됩니다.

보고서는정책을재평가하고 ASA-VPN_compliant 권한부여규칙에도달하는 ISE 로전송됩니다. 이렇게하면전체네트워크액세스 (Radius CoA 를통해 ) 가제공됩니다. Operations( 운영 ) > Authentications( 인증 ) 로이동하여확인합니다. 디버그 (ise-psc.log) 는또한규정준수상태, CoA 트리거및상태에대한최종설정을확인합니다. DEBUG [portal-http-service17][] cisco.cpm.posture.runtime.posturemanager -:cisco: ac101f6400039000556b4200:::- Posture report token for endpoint mac 08-00-27-DA-EF-AD is Healthy DEBUG [portal-http-service17][] cisco.cpm.posture.runtime.posturecoa -:cisco: ac101f6400039000556b4200:::- entering triggerposturecoa for session ac101f6400039000556b4200 DEBUG [portal-http-service17][] cisco.cpm.posture.runtime.posturecoa -:cisco:ac

101f6400039000556b4200:::- Posture CoA is scheduled for session id [ac101f6400039000556b4200] DEBUG [portal-http-service17][] cisco.cpm.posture.runtime.posturehandlerimpl -:cisco: ac101f6400039000556b4200:::- DM_PKG report non-aup:html =         DEBUG [pool-183-thread-1][]cisco.cpm.posture.runtime.posturecoa -:cisco: ac101f6400036000556b3f52:::- Posture CoA is triggered for endpoint [08-00-27-da-ef-ad] with session [ac101f6400039000556b4200] 또한 ISE Detailed Posture Assessment 보고서에서는스테이션이규정을준수함을확인합니다.

참고 :Microsoft Windows PC 의물리적네트워크인터페이스의정확한 MAC(Media Access Control) 주소는 ACIDEX 확장으로알려져있습니다. 문제해결 현재이구성에사용할수있는문제해결정보가없습니다. 중요참고사항 이섹션에서는이문서에설명된구성에대한몇가지중요한정보를제공합니다. WSUS 교정에대한옵션세부정보 요구사항조건을교정과구분하는것이중요합니다.AnyConnect 는 Validate Windows updates using remediation 설정에따라 Microsoft Windows Update Agent 가규정준수를확인하도록트리거합니다. 이예에서는 Severity Level 이사용됩니다. 중요설정을사용하면 Microsoft Windows 에이전트가보류중인중요업데이트가있는지확인합니다. 있는경우교정이시작됩니다. 그런다음리미디에이션프로세스는 WSUS 컨피그레이션에따라중요하며덜중요한모든업데이트를설치할수있습니다 ( 특정시스템에대해승인된업데이트 ). Validate Windows updates using set as Cisco Rules(Cisco 규칙으로설정을사용하여 Validate Windows 업데이트를사용할경우, 요구사항에자세히나와있는조건이스테이션의준수여부를결정합니다. Windows 업데이트서비스 WSUS 서버가없는구축의경우 Windows Update Remediation 이라고할수있는다른교정유형이있습니다.

이교정유형을사용하면 Microsoft Windows Update 설정을제어할수있으며즉시업데이트를수행할수있습니다. 이교정유형과함께사용되는일반적인조건은 pc_autoupdatecheck 입니다. 이렇게하면엔드포인트에서 Microsoft Windows Update 설정이활성화되어있는지확인할수있습니다. 그렇지않은경우이를활성화하고업데이트를수행할수있습니다. SCCM 통합 ISE 버전 1.4 의새로운기능인패치관리를사용하면많은타사공급업체와통합할수있습니다. 공급업체에따라여러가지옵션을조건및교정에사용할수있습니다. Microsoft 의경우 SMS(System Management Server) 및 SCCM(System Center Configuration Manager) 이모두지원됩니다. 관련정보 Cisco ISE 컨피그레이션가이드의포스처서비스 Cisco Identity Services Engine 관리자가이드, 릴리스 1.4 Cisco Identity Services Engine 관리자가이드, 릴리스 1.3 조직에 Windows Server Update Services 배포 기술지원및문서 Cisco Systems