Muy buenas tardes, muchas gracias por el webinar.
Estoy indagando sobre la implementación de ISE en nuestra infraestructura ya que actualmente contamos con un ACS version 5.2.
Tenia pensado utilizar la herramienta de migración pero lamentablemente solo es posible desde ACS 5.5 o superior, por lo cual estoy revisando la implementación de ISE desde "0" en Standalone.
1.- Una de las primeras preguntas que tengo es sobre las versiones de OVA disponibles y su diferencia entre ellas, asumiendo que cada ova tiene diferentes tamaños de nodo y a su vez requisitos minimos de harware (CPU, RAM, HDD), existe otra caracteristica que me ayude a saber cual OVA debo utilizar ?
Por ejemplo
Cisco-vISE-300-3.3.0.430.ova (Extra small, small, medium)
vs
Cisco-vISE-600-3.3.0.430a.ova (small, medium)
2.- Para los usuarios con acceso remoto a traves de Anyconnect o Secure Client a traves de ASA o FTD se realiza a traves de perfiles donde se tiene split tunneling con las IPs o segmentos permitidos y me gustaria saber como se puede realizar en ISE para que un usuario que esta en el perfil A no pueda conectarse a traves del perfil B.
Observe esta guia e ise identifica al usuario local y asigna los recursos correspondientes al grupo al que pertenece pero no impide el registro si utiliza un perfil diferente.
Ejemplo:
Test1: usuario local en ISE, pertenece al Grupo A de ISE y le corresponderia el perfil del GroupPolicy_A de Anyconnect
Test2: usuario local en ISE, pertenece al Grupo B de ISE y le corresponderia el perfil del GroupPolicy_B de Anyconnect
Pero al loguear por anyconnect el usuario Test2 selecciona el perfil Group_Policy_A, ISE le brinda el acceso y asigna los recursos asignados en la politica de ISE, pero en anyconnect se asigna el split tunneling del Group_Policy_A lo cual no deberia de ser correcto ya que el usuario Test2 no le corresponderia utilizar ese Group_Policy.
3.- Sobre el licenciamiento, mencionaron que el servicio de TACACs se realiza por nodo, por lo que si tengo 10 dispositivos que utilizaran TACACs tendria que adquirir 10 licencias de nodo de administración ?
Para mayor contexto sobre la implementación de ISE
ACS utiliza radius (Acceso remoto) y tacacs aproximadamente para adminsitrar 15 dispositivos.
No se cuenta con AD pero se esta viendo la posibilidad de implementarlo en un futuro.
Se plantea integrar con FMC.
Implementación en nube privada con Vmware Esxi.
Quedo atento a su respuesta.
Saludos coordiales.
