Foro-Cisco ISE Posture p/ VPN de Acceso Remoto con Cisco Secure Client

[Cisco Moderador]

Foro Ask Me Anything (del 7 al 15 de noviembre de 2024)

Este foro está dedicado a las preguntas relacionadas con el webinar "Cisco ISE Posture para VPN de Acceso Remoto con Cisco Secure Client", del pasado jueves 7 de noviembre de 2024. Revisen la grabación, envíenos sus dudas o comentarios, y compartan su experiencia. 
Nota: Favor de publicar su post como comentario aquí abajo a más tardar el 15 de noviembre de 2024. 

Publique su pregunta a continuación dando clic en "Responder"

(Las respuestas serán tratadas en función de la disponibilidad de los expertos)
¡ No olvide agradecer al experto dándole un voto de utilidad !

Documentación Ver el Video

---

Nuestros expertos

Adrián Lira - Ingeniero egresado del Instituto Politécnico Nacional bajo la especialidad en Comunicaciones y Electrónica impartida en ESIME. Se unió a Cisco en 2019 al equipo de AAA como TAC Engineer certificado en CCNA y DEVNET ayudando a la resolución de casos de la plataforma ISE (Identity Services Engine) y sus diversas integraciones, actualmente se desempeña como capitán del equipo atendiendo casos complejos, escalaciones y documentando artículos de configuración y troubleshooting.

Javier Acevedo - Ingeniero en Comunicaciones y Electrónica, egresado del Instituto Politécnico Nacional. Anteriormente trabajó como Ingeniero de soporte en Megcable (MCM Telecom) dentro del Centro de Control de la red. En 2022 se unió a Cisco como Technical Consulting Engineer, obtuvo las certificaciones de CCNA y DEVNET. A continuación, comenzó a trabajar en el equipo de VPN convirtiéndose en experto en las tecnologías como AnyConnect, DMVPN, GETVPN, FlexVPN, etc. Actualmente se encuentra trabajando, dando soporte a clientes con problemas en estas tecnologías específicas y apoya a la creación de contenido de calidad para nuestros clientes.

Próximos Eventos Eventos Anteriores

Para obtener más información, visite los contenidos de la sección de Discusiones Seguridad.
Si usted tiene dudas o está experimentando problemas técnicos con alguno de los productos Cisco, publique su pregunta, solicite información o utilice el motor de búsqueda de la Comunidad de Cisco en español, antes de abrir un caso con el TAC.

[olgarcia]

Cuando se configura la DACL, ¿es necesario agregar reglas de ACL al ISE o el FTD la asigna sin más cuando hace el llamado si ya está configurada?

[Jonathan Casillas]

Hola! La redirect ACL solo se configura en el FTD y se nombra en ISE. Las DACL para permisos de postura Compliant, NonCompliant y Uknown si se configuran en ISE.

[Jimena Saez]

Muchas gracias a Adrián Lira y a Jorge Acevedo por tan valiosa exposición, y nuevamente a todo el equipo que nos estuvo apoyando con el Q&A: Diana Aguilar, Victor Montes, Roberto Higuera, Ernesto Cruz, Angel Sánchez, Jonathan Casillas, Angel Ortiz y más!

Quedaron pendientes las siguientes preguntas en el panel de Q&A:

Q1: Buen día, ¿dónde puedo encontrar documentación sobre la configuración de la integración de ISE y Fortigate para el uso de VPNs SSL y la postura de ISE? - Héctor Hugo Z (min.50)

Q2: Indicaron factibilidad de integración con MFA, ¿existe información para integración con Microsoft Authenticator? - P.G.S. (min.55)

Q3: En este caso de uso, ¿serían los mismos pasos? - Marco (min.68)

Q4: Y si la ip falla o no está disponible de lado de Cisco la access list falla la 72.x no está disponible ¿cómo se genera la autenticación al ISE? - Mario Alberto G. (min.91)

Q5: ¿Pueden compartir el defecto que mencionó Adrián sobre la actualización del módulo de vpn a través del ISE? - Luis B. (min.93)

Q6: ¿Cuántas conexiones de vpn permite revisar? - José Luis (min.95)

Y otra más del panel del Chat:

Q7: ¿Se puede redireccionar a una url interna de la empresa en caso de no cumplir con la política de autorización? - Marcelo N. (min.52)

[Jimena Saez]

Q1: Buen día, ¿dónde puedo encontrar documentación sobre la configuración de la integración de ISE y Fortigate para el uso de VPNs SSL y la postura de ISE? - Héctor Hugo Z. (min.50)

[Jonathan Casillas]

Buenas tardes, la documentación disponible de integración ISE-Fortigate y muchas otras esta disponible en el siguiente enlace https://community.cisco.com/t5/security-knowledge-base/ise-berg/ta-p/5041171/redirect_from_archived_page/true#fortigate

[Jimena Saez]

Q2: Indicaron factibilidad de integración con MFA, ¿existe información para integración con Microsoft Authenticator? - P.G.S. (min.55)

[Jonathan Casillas]

Buenas tardes! Por favor revisar el siguiente enlace, https://community.cisco.com/t5/network-access-control/ise-vpn-with-ad-auth-and-microsoft-authenticator-as-second/td-p/5127912

[Jimena Saez]

Q3: En este caso de uso, ¿serían los mismos pasos? - Marco (min.68) *revisar el video.

[rhiguera]

Si, para este punto en la presentación se mostraba que el endpoint no contaba con el modulo de postura ni de cumplimiento, por lo que es necesario pasar por el portal de provisionamiento de ISE, el cual brindará dichos recursos. Esto es necesario para verificar el estatus de la postura.

[Jimena Saez]

Q4: Y si la ip falla o no está disponible de lado de Cisco la access list falla la 72.x no está disponible ¿cómo se genera la autenticación al ISE? - Mario Alberto G. (min.91)

[Jonathan Casillas]

Hola, la parte de postura entra HASTA la autorización. En un flujo VPN, ya cuenta con IP como lo es con Wireless, para un flujo wired el puerto no tendra IP hasta que la auth haya sido exitosa.

[Jimena Saez]

Q5: ¿Pueden compartir el defecto que mencionó Adrián sobre la actualización del módulo de vpn a través del ISE? - Luis B. (min.93)

[rhiguera]

Buenas tardes! Claro, el defecto mencionado es el siguiente: AnyConnect software upgrade is not supported against ISE over a VPN tunnel.

 CSCvr25989 : Bug Search Tool.

[Jimena Saez]

Q6: ¿Cuántas conexiones de vpn permite revisar? - José Luis (min.95)