Pergunte ao Especialista Forúm - Mitigação de ataques em redes de computadores utilizando 802.1X, TrustSec e MacSec

[Tiago Santos da Silva]

Seja bem vido ao forúm de “Perguntas e Respostas”.

Nessa sessão, nosso especialista convidado responderá todas as perguntas relacionadas com o tema em questão.

Especialista convidado

Luis Matos é Arquiteto de Soluções da área de serviços avançados, atua há 20 anos na área de segurança. Especialista em soluções complexas de Datacenter, Backbones Internet/MPLS e Segurança para o segmento de operadorasde telecomunicações, grandes bancos e aeroportos. Possui certificações técnicas da área de redes, dentre elas: PENTA CCIE (Routing & Switching, Service Provider, Security, Voice, Data Center), CCNA, CCDA, CCNP, DCNIS, CCDP, MCP, MCP+INTERNET e MCSE. Certificado CISCO há mais de 14 anos, é um dos 30 profissionais que detém este nível de certificação CISCO no mundo.

Clique no botão “perguntar” a continuação, para fazer a sua primeira pergunta. Depois de escrever sua pergunta na caixa de texto, clique em “envio”. Sua pergunta será respondida no transcurso do dia, volte em breve para revisar a resposta.

[lumatos]

Cada caso deve ser tratado de forma individual, mas já detectamos incompatibilidade do AnyConnect com versões antigas de outros agentes de VPN. Antes da instalação em massa do AnyConnect em toda a rede do cliente é de extrema importância que sejam realizados testes de compatibilidade com todos os agentes presentes nas estações de trabalho. O TAC da Cisco pode auxiliar na detecção do conflito e na resolução do mesmo.

[Tiago Santos da Silva]

Há alguma forma do ISE entender que o certificado público do cliente que foi importado em Trusted CA foi renovado? Ou será necessário importar novamente a CA pública no ISE?

[lumatos]

Caso seja realizada qualquer tipo de alteração nos certificados de qualquer um dos elementos da cadeia, a cadeia inteira deverá ser importada novamente para o ISE.

[Tiago Santos da Silva]

Os Switches 2960 possui trustsec?

[lumatos]

Esta linha de switches (2960) possui um suporte limitado ao TrustSec, não é possível fazer o enforcement das políticas nesta plataforma. Para maiores detalhes sobre as features de TrustSec suportadas pelas diferentes plataformas: https://www.cisco.com/c/dam/en/us/solutions/collateral/enterprise-networks/trustsec/software-platform-capability-matrix.pdf

[Tiago Santos da Silva]

Alguma novidade/alteração sobre o limite existente de 20 Maximum GUI Concurrent Sessions no ISE?

[Tiago Santos da Silva]

Geralmente eu coloco o AP em modo trunk no switch e não uso configuração de 802.1x, está errado dessa forma?

[Tiago Santos da Silva]

Em uma implementação notamos que o ISE não se comporta bem quando precisamos fazer um RDP em outra máquina com 802.1x, considerando suplicante Windows. Qual a sua recomendação neste caso?

[Tiago Santos da Silva]

Gostaria de saber em um ambiente com anyconnect se o preferencial é a utilização o Eap-channing? com ou sem certificado (independente).

[Tiago Santos da Silva]

Que estratégia você recomendaria para upgrade do ISE? Implementar um PSN temporário enquanto realizada o upgrade?

[Tiago Santos da Silva]

Se podemos ter personas distribuídas, em termos de licença, cada servidor que hosteia a persona implica em 1 licença de VM da versão 2.4 para cima?

[Tiago Santos da Silva]

Como aumentar o tempo de resposta do COA visto que em localidades remotas e de alta latência, tenho dificuldade para visualizar a tela de login do captive portal?

[Tiago Santos da Silva]

É uma boa prática realizar autenticação 802.1x entre switches na porta trunk, com o intuito de fechar o máximo a quantidade de portas? qual é a recomendação de deixar todas as portas 100% fechadas?

[Tiago Santos da Silva]

Podemos implementar Trustsec utilizando um switch 9300 como core realizando o enforcement e 2960x na camada de acesso utilizando o SXP sem o bloqueio de "conversa" lateral?

[Tiago Santos da Silva]

É possível incluir um Access Point Standalone ao ISE? digo inclusive aplicar policies nesse Access Point?