セキュリティ

ISEやWLCの設定でSSID毎にEAP-TLS認証の調整は可能でしょうか

[環境]ISE（3.2）WLC9800（17.12）CW9164I AP端末Ａ：ＩＳＥ証明書端末Ｂ：ＩＳＥ証明書端末Ｃ：証明書なし[実装したい機能]ISEでCertificate Provisioning Portalsから発行した証明書をクライアントに設定して、EAP-TLS認証を行うにあたり①ＳＳＩＤ１は端末Ａが接続②ＳＳＩＤ２は端末Ｂが接続③端末Ｃはいづれにも接続できない③は接続には「既定証明書が必要」のひとつのポリシーセットで動作・①②を構成機器で完結できるような仕組みでどのように区分す...

Firepowerのsyslog保存期間

Firepower自体でのsyslog保存期間についてどなたかご存じの方がいたら、ご教示いただけますすでしょうか。Firepower 3100シリーズを使用しています。FirepowerはアプライアンスでASAとして動作せています。OSは、9.20(3)を使っています。syslog情報は、基本的に外部logサーバに転送する設定となっていますが、何らかの問題で外部logサーバが使えなくなったことを考えて、自装置にてsyslog保存期間があるのか知りたいと思います。条件として、装置や外部環境が安定し...

CX Cloud 紹介: Cisco Secure Endpoint 利用時

はじめにCX Cloud の構成「アセットとカバレッジ」「導入のライフサイクル」「ケース」CX Cloud デモ動画よくある質問Secure Endpoint と CX Cloud を接続するための特別な操作は必要ですかCX Cloud にアクセスしたところ「400 Bad Request」と表示されますCX Cloud や Success Tracks Community の英語版も利用可能ですかSuccess Tracks 契約のレベルの違いを教えてくださいCX Cloud のトラブルが発生...

Secure Access: SAML 認証の PAC 利用時、テナント制御が動作しない

1. 事象Secure Access の Security Profile で SAML Auth を有効にし PAC を利用している状態で Microsoft のテナントコントロールを有効にした場合、テナントコントロールが効かない場合がございます。2. 解決方法この動作は、仕様上起きる問題のため、以下の Workaround で回避をお願いします。Access Policy で以下の設定を行ってください。- 上位のアクセスルールSource: SAML userDestination: Any...

FXOS: FXOS 上にある任意のファイルを USB メモリーに書き出す方法

FXOS 上にある任意のファイルを USB ポートに挿した USB メモリーに書き出す方法をご紹介します Firepowerシリーズに実装されている USB ポートに USB メモリーを挿し，そこに FXOS 上に存在するファイルを書き出す方法をご紹介します．用意するもの FAT32 でフォーマットされた USB メモリー USB メモリーへの書き出し方法以下は，techsupport 配下に保存された FXOS の 'show tech fprm detail' コマンドによって...

解決済み! VPN Clientの接続が途中遮断されてしまう。

ASA5500シリーズでリモートアクセスVPNを構築しているのですが、接続後20分～30分ぐらいで接続が切れてしまいます。以下のコマンドを流していて、デフォルトのグループポリシーを引き継ぐ設定をしています。そのデフォルトグループポリシーでも、何か通信を遮断してしまうようなものの設定はありません。vpn-session-timeout nonevpn-idle-timeout nonecrypto ipsec security-association lifetime 86400何かコンフィグを変...

Secure Access: WebUI の日本語表示が動かない事象について（2024年11月）

はじめに事象内容はじめにこの投稿は、2024年11月29日現在発生している WebUI の日本語表示の問題に関して、TAC からのアナウンスとして作成したものです。問題が解消される時期は今のところ未定となっています。解消次第、本投稿をアップデートします。事象内容 Secure Access の WebUI が日本語で表示される設定になっているにもかかわらず、日本語で表示されない状態となっています。この事象は、日本語表示に問題がみられたため、Secure Access 開...

解決済み! Cisco ISE OSアップグレード時における自動PANフェールオーバー機能の併用について

物理筐体Cisco ISE 3615 2台と仮想版Cisco ISE 1台の3台構成で運用しています。仮想版ISEをヘルスチェックノードとし、自動PANフェールオーバー機能を有効化しています。この度、ISEのOSを 3.2 から 3.3 にバージョンアップさせるのですが、自動PANフェールオーバー機能を有効化したままで、OSアップグレードを行っても問題ないでしょうか。アップグレードはGUI(Web)の画面から「管理・システム > アップグレード > フルアップグレード」を予定していますが...

ISE: 複数のDNSサーバを設定している場合にPrimary DNSサーバでの名前解決に失敗時やタイムアウト時の挙動について

はじめに Cisco Identity Services Engine（ISE）において、複数のDNSサーバを設定されている場合に、 Primary DNSサーバでの名前解決の失敗やタイムアウト時の挙動についてお問合せを頂くことがございます。例えば以下のようなお問合せです。「Primary DNSが応答を返さない場合、一定時間でタイムアウトしてSecondary DNSへ問い合わせますか？」「タイムアウトは何秒でしょうか？」「Primary DNSが有効化レコードを応答できな...

ISE3.2以降のCLIの設定保存について

はじめにISE 3.1 以前ISE 3.2 以降参考情報はじめに ISE 3.2 から、CLI 設定の保存に関する仕様が変更されたため、以下に紹介します。 ISE 3.1 以前 ISE 3.1以前のバージョンの場合、CLIで設定変更後、write memory コマンドを利用して、設定を保存する必要があります。 ISE3.1で、write memory の実行例（実行可能） ise31/admin# write memory Generating configurati...

Cisco Secure EndpointでのWindows Updateに関する除外設定を知りたい

コンソール上の「シスコで維持している除外設定」にはWindows Updateに関する設定が見られない様です。 Windows Updateに関してはどのような仕様になっているでしょうか？

Umbrella: ローミングクライアントの EoL (End-of-Life) について

1. 概要2. Umbrella ローミングクライアントについて3. Umbrella ローミングクライアントの EoL について4. Cisco Secure Client に移行する際の注意点 ※ 2024 年 12 月 3 日現在の情報をもとに作成しています 1. 概要本記事は、Umbrella ローミングクライアントの簡単な説明と、以下のサポート記事に記載されている EoL 情報の抜粋からなります。 End-of-Life for Cisco Umbrella Roa...

解決済み! Cisco ISEの小規模HA(冗長化)構成におけるPrimary機障害発生時の動作について

物理筐体Cisco ISE x 2台を小規模HA(PAN+MNT+PSN)構成で冗長化させて運用しています。バージョンは3.2でPatchは3と4を適用してあります。 Cisco ISEを802.1xの認証サーバとして使用しており、スイッチやWLCからはradiusサーバとしてPrimary機とSecondary機のIPアドレスを設定してあります。先日、Primary機側が何らかの原因で突如動作を停止してしまいました。その際Secondary機側に問題はなく通常稼働していましたが、エンドポイン...

解決済み! Cisco ISEの小規模HA(冗長化)構成における自動フェールオーバー時の断時間について

物理筐体Cisco ISE x 2台を小規模HA(PAN+MNT+PSN)構成で冗長化させて運用していますが、この構成だとPrimary機の障害時にSecondary機を手動で昇格させねばならないため、ヘルスチェックノードを1台追加する事を予定しています。この構成においてPrimary機に障害が発生した場合はSecondary機が自動的にPrimaryに昇格すると思いますが、この際のサービス停止時間（＝新規認証が出来ないダウンタイム）はどのくらいになるのでしょうか。手動昇格と同じように15～3...

ISE : Bug Trend(2024年 9-10月)

はじめに本記事では、Identity Services Engine(ISE)をご利用いただいているお客様環境で発生した不具合のうち、1ヶ月間のTop 5を紹介させていただきます。ワールドワイドにおいてTACにService Request(SR)での報告数をベースとしています。本記事作成時点(2024/11/12)の情報のため、修正バージョンなど変更が発生している可能性があります。各不具合の最新情報についてはISEのリリースノートや各不具合情報をご確認ください。特にシビラリティが高い不具合に...

Umbrella: ブロックページと警告ページのカスタマイズについて

1. 概要2. カスタム外観の作成3. カスタム外観のポリシーへの適用4. 実際のページ例 ※ 2024 年 11 月 11 日現在の情報をもとに作成しています 1. 概要 DNS ポリシーや Web ポリシーで使われるブロック/警告ページは、ある程度、内容をカスタマイズすることが可能です。本記事では、ブロック/警告ページのカスタマイズについて紹介します。 2. カスタム外観の作成カスタマイズされたブロック/警告ページを作成するには、Umbrella Dashboar...

解決済み! Cisco Software Central上でCisco 1100 IPSEC Throughput Licenseが使用中とならない

こんにちは添付画像の丸箇所のように、Cisco Software Central上でCisco 1100 IPSEC Throughput Licenseが使用中となりません。一方、ルータにて以下のコマンドにて設定と再起動を行っています。license boot level securityk9platform hardware throughput crypto 250000write memoryreloadまたルータのライセンスステータスでthroughput (ISR_1100_8P_I...

解決済み! IPSEC環境でのadjust-mssの処理について

IPSEC環境下ではよくMTUやMSSの値を調整すると思いますが，「ip tcp adjust-mss」コマンドを適用するインタフェースについて教えていただきたく投稿しました。一般的にはLAN側インタフェースやトンネルインタフェースに適用すると思いますが，WAN側インタフェースに適用した場合は暗号化通信にしか適用されないため，暗号化されるパケットには適用されないという理解です。 MSSの処理タイミングについて説明されている記事などみあたらなかったため，私の認識であっているのか確認したく，ご存じ...

自宅PCから社内PCに接続しようとするとエラーになります

普段家で繋ぐWi-Fiでは正常に接続出来ます。が、外出時にポケットWi-Fiを使用して接続しようとした場合に以下のようなエラーになります。（接続先のgroup, username, passwordを入力し、OK押下時）"login denied, your environment does not meet the access criteria defined by your administrator"正常に繋がる時とエラーが出る時の違いは、使用するWi-Fiが異なることくらいなのですが、...