DNAセンターのISE以外のRadiusの利用について

[NDLCnetwork]

DNAセンターを構築する際に、お客様が既に購入されている他社Radius（Netattest）を、DNAセンターで利用することは可能でしょうか。
ダイナミックVLANやassurance機能のみであれば、ISEを使うことはないため、利用できると思っています。
オートメーションなどのISEを使った認証がなければ、問題ないという理解でよいでしょうか。

[cja56910tf]

こんばんは。

まず、DNA Centerは認証サーバではないという事をお分かりいただいた上で、NDLCnetwork 様が DNA Center で他社製RADIUSサーバをどのように利用する事を期待されているか、またはDNA Centerでどのような事を実現されたいかに依ると思います。

上記画像の通りISE以外のRADIUSサーバをAAAサーバとして登録する事は可能ですが、他社製RADIUSサーバからどのような情報が得られるのかは知見・実績がないので分かりませんので、他の回答者の投稿を待つかCiscoハイタッチ営業などにお問い合わせいただくのが良いと思います。

ただ、当方の環境ではDNA Center と ISE を連携(pxGrid)させて使用していますが、アシュアランス機能でとても便利で役立っています。有線・無線で802.1xを使用し、認証サーバにISEを用いていますが、どのような属性を持つ端末がいつどの装置から接続したか/接続されていたかが、オンボーディング情報連携で一目で分かりますし、クライアント360の画面で得られる情報も段違いです。DNA Center の真価はISEと連携する事によって発揮されると言っても過言ではないと思います。実際、DNA Centerを導入されるお客様の環境ではISEも同時に導入される場合が多いですし、他社製RADIUSが存在する場合でも更新のタイミングでISEへのリプレースをお勧めもしています。ですので、NDLCnetwork 様のお客様におかれましてもISEの導入をお勧めされてみては如何でしょうか。DNA Center導入時に仮想版のISEも評価モードで導入し、ISE連携させた場合の得られる情報の違いをご覧いただくという案もよろしいかと存じます。DNA Centerはお客様の運用者様が用いられる製品なので、今まで苦労していたトラブルシュートが劇的に楽になり、コストダウンにもつながると提案されることをお勧めします。（※当方はCisco社の回し者ではありませんのでご安心下さい。）

最後にDNA Center に関するよくある質問と回答が下記にFAQとしてまとめられていますので、よろしければこちらもご一読される事をお勧めします。

https://community.cisco.com/t5/tkb-%E3%83%8D%E3%83%83%E3%83%88%E3%83%AF%E3%83%BC%E3%82%AF%E3%82%A4%E3%83%B3%E3%83%95%E3%83%A9-%E3%83%89%E3%82%AD%E3%83%A5%E3%83%A1%E3%83%B3%E3%83%88/cisco-dna-center-%E3%81%AB%E9%96%A2%E3%81%99%E3%82%8B%E3%82%88%E3%81%...

[MyHomeNWLab · Accepted solution]

SD-Accessではない、Designメニューのネットワーク階層におけるRADIUS設定であれば、Cisco ISE以外のその他のAAAサーバー (他社製のRADIUS製品)も想定されています。

  Cisco DNA Center User Guide, Release 2.3.7 - Configure Network Settings [Cisco DNA Center] - Cisco
  https://www.cisco.com/c/en/us/td/docs/cloud-systems-management/network-automation-and-management/dna-center/2-3-7/user_guide/b_cisco_dna_center_ug_2_3_7/m_configure-network-settings.html#task_bw1_vyb_yz
> Add Cisco ISE or Other AAA Servers

Catalyst Switchなどのネットワーク機器には、DNA Centerから一般的なIOS-XEのRADIUS設定として展開 (Push)されるため、
一般的な他社製RADIUS製品の利用時における考慮点と変わりないと思います。
そのため、要件とCisco ISEに依存している機能の精査ができれば他社のRADIUS製品も利用できると存じます。

ただ、Cisco独自のAVP (Attribute Value Pair)で実現するような機能もあるので、
要件が多岐に渡ると実現可否の判断や事前検証が難しくなると想定されるため、
そのリスクをプロジェクトとしてどう扱うかが重要になってくるかと存じます。
(既に利用している機能をそのまま引き継ぐ方針で、更改時に機能追加がないのであればリスクは低いかもしれませが。)

既存で利用している他社製のRADIUS製品の資産を"意地でも流用"したい要望や、
お客様がCisco ISEを費用面や運用性の側面で避けていて、どうしても他社製のRADIUS製品を使いたいケースがあるのであれば、
まずはPoCを提案してリスク低減をしていくアプローチもあるかと存じます。

[NDLCnetwork]

ありがとうございます。

やはり、どこまでの機能を利用して、それがISEでなくとも機能するかはPOCが必要そうですね。あるいは、Premierライセンスを購入頂いてISEをいつでも使えるよう、用意してしまうかだと思われます。
予算が相当変わってきてしまいますが...
ありがとうございました。