思科 BYOD+ISE 无线场景配置指南

### 思科 BYOD+ISE 无线场景配置指南知识点详解 #### 一、思科 Identity Service Engine (ISE) 概述 - **简介**：思科 Identity Service Engine（ISE）作为思科下一代身份服务引擎，提供了认证和授权的基础架构，支持TrustSec解决方案，并集成了802.1X认证功能，可用于移动终端设备的识别和管理，如Apple设备（iPhone, iPad, iPod）以及Android智能手机等。 - **服务特点**： - **设备识别Profiler**：ISE具备自动识别终端设备类型的能力，这与之前在NAC Profiler设备中提供的功能相同。 - **终端状态检查(Posture)**：ISE能够检查设备的安全状态，如是否安装了防病毒/反间谍软件以及其特征库文件的有效性等。 - **集成Web认证**：当ISE与无线控制器（WLC）集成后，可以处理来自Web认证的请求，并对其进行认证。 #### 二、演示环境准备 - **需求说明**：本文档假设了一个典型的BYOD（Bring Your Own Device）无线网络访问场景，重点在于通过ISE实现认证和授权的配置过程。 - **设备组件**：文档中涉及的主要硬件及软件包括思科无线控制器2504或2106（软件版本7.2.103）、Catalyst 3560交换机、ISE 1.0 MR版本、Windows 2008服务器（包含Active Directory、DNS、DHCP和CA证书服务器）。 - **网络拓扑**：文档提供了一个简化的网络拓扑图，明确了各设备的IP地址配置信息。例如，ISE的IP地址为10.10.10.70，无线控制器的IP地址为10.10.10.5等。 #### 三、ISE上创建内部用户 - **目的**：ISE可以单独作为身份验证数据库，用于控制用户的访问权限和策略。即使没有集成Active Directory，ISE也可以独立使用。 - **配置步骤**： 1. 使用浏览器访问ISE的IP地址（https://<ISE的IP地址>）。 2. 进入“Administration > Identity Management > Identities”菜单。 3. 在“Users”选项中点击“Add”，添加用户信息。例如，添加名为“employee”的用户，密码为“XXXX”。 4. 同样地，添加名为“contractor”的用户，密码同样为“XXXX”。 5. 确认已成功创建两个用户。 #### 四、ISE中添加WLC设备 - **目的**：所有向ISE发起RADIUS请求的网络设备都需要事先在ISE中添加。这是为了确保设备能够正确地与ISE进行通信并接受其管理。 - **配置步骤**： 1. 访问ISE的管理界面。 2. 进入相应的设备管理页面，添加WLC设备的IP地址。 3. 支持添加多个WLC设备，可以通过定义IP地址范围来表示多台实际设备。 4. 配置SNMP和SYSLOG等功能，以便ISE能够收集设备的状态信息。 #### 五、总结 本指南详细介绍了思科BYOD+ISE无线场景的配置流程，涵盖了ISE的基本介绍、演示环境的准备、ISE上创建内部用户以及在ISE中添加WLC设备等多个关键步骤。通过这些配置，可以有效地实现BYOD环境中终端设备的安全接入和管理。此外，文档还提到了ISE的高级功能，如设备识别Profiler和终端状态检查等，这些都是构建健壮网络环境的重要组成部分。