el - fecha de última edición por
Jimena Saez
Presentación del webinar Community Live
Cisco ISE Posture para VPN de Acceso Remoto con Cisco Secure Client
Con la colaboración de Adrián Lira y Javier Acevedo.
En este webinar, exploramos cómo integrar Cisco Identity Services Engine (ISE) con el Cisco Secure Client para planificar y asegurar la compatibilidad de dispositivos mediante un enfoque de postura en conexiones VPN de Acceso Remoto. Aprendimos cómo Cisco ISE puede mejorar la seguridad evaluando el estado de los dispositivos que se conectan a la red, y asegurando que solo aquellos que cumplan con las políticas establecidas puedan acceder. También abordamos técnicas de troubleshooting para optimizar la solución y resolver problemas comunes..
Recuerde que la presentación está disponible en pdf para su comodidad. Si este documento le ha resultado útil, no olvide calificar esta publicación con un voto de utilidad para validar su relevancia. ¡Muchas gracias!
¿Cómo enviar una pregunta?
Ponemos a su disposición nuestro evento Ask Me Anything (AMA) en cuyo foro podrán externar dudas y solicitar apoyo de nuestros expertos en casos específicos de los temas abordados. ¡Esperamos sus preguntas!
Lista de las Q&A del webinar Community Live
Encuentre la lista de preguntas formuladas durante el seminario web Community Live de nuestro evento. Cualquier duda que no haya sido respondida durante la sesión será resuelta posteriormente aquí o en el foro de "Preguntas".
Lista de Preguntas y Respuestas (Q&A)
- Cisco ISE Posture para VPN de Acceso Remoto con Cisco Secure Client
- Pregunta: La lista de acceso para la redirección se realiza ¿en el ISE, Firewall o ambas ? - Gabriel S. (min.20)
- Pregunta: Hola ¿qué es Posture? - Luis P. (min.26)
- Pregunta: ¿Es posible validar que este SW no solo este instalado, que este corriendo al momento de la validación? - José P. (min.39)
- Pregunta: Hola, estas políticas de validación de postura ¿afectan o pueden funcionar en paralelo con políticas que se tengan definidas para soluciones de SD-Access ? - Yair J. (min.42)
- Pregunta: ¿Esto se aplicaría en el mismo apartado de la condición, o hay que generar una condición adicional? - José P. (min.44)
- Pregunta: Tengo una pregunta acerca de los requerimientos, ¿cómo evaluar condiciones en los requerimientos? ejemplo: una máquina puede tener antivirus A o antivirus B, si el cliente tiene A validar los demás módulos de la marca A como DLP, antimalwar...
- Pregunta: Puedo pausar las posturas para un usuario en específico? - Alfonso A. (min.46)
- Pregunta: ¿Hay algún listado de funcionalidades que se pueden habilitar con el agente de AnyConnect? - Nicolas D. (min.47)
- Pregunta: Buenos días, por favor ¿cuáles son los diferentes licenciamientos con los que cuenta el ISE? - Luis B. (min.48)
- Pregunta: Hola, al implementar ISE Posture con VPN, ¿cuál es el roll de enroll.cisco.com y que requerimientos tengo que tomar en cuenta si uso split tunnel o tunnel all en el VPN? - JP M. (min.48)
- Pregunta: ¿Qué mejoras tiene ISE 4.0 respecto al ISE 3.2 y 3.3? (lo más diferenciador) - David H. (min.49)
- Pregunta: ¿ISE es integrable con XDR CISCO ó MDR CISCO? - Antonio V. V. (min.50)
- Pregunta: Buen día, ¿dónde puedo encontrar documentación sobre la configuración de la integración de ISE y Fortigate para el uso de VPNs SSL y la postura de ISE? - Héctor H. Z. (min.50)
- Pregunta: Las configuraciones en ISE ¿podrían ser automatizadas? - Antonio V. V. (min.51)
- Pregunta: Gracias Roberto, ese requerimiento con opción de condición A o condición B ya existe pero quisiera hacer otra validación luego de validar el requerimiento anterior… - Jonnathan R. (min.51)
- Pregunta: Si un usuario está non-compliance tengo logs para validar ¿por qué? - Manuel F. R. (min.53)
- Pregunta: Ese WebRedirection ¿requiere de algún modulo especial dentro del ISE para el proceso de redirección y compliant? - Fidel V. (min.53)
- Pregunta: Esto que estamos viendo ¿pudiera ser un paso para evolucionar al Cisco Secure Access? - Mario M. (min.54)
- Pregunta: Indicaron factibilidad de integración con MFA, ¿existe información para integración con Microsoft Authenticator? - P. G. S. (min.55)
- Pregunta: Hola, al implementar ISE Posture con VPN, ¿cuál es el roll de enroll.cisco.com y qué requerimientos tengo que tomar en cuenta si uso split tunnel o tunnel all en el VPN? - JP M. (min.55)
- Pregunta: ¿Con la adopción hoy en día con el tema de cloud, ya se tiene algo de ISE en nube o existe un servicio específico de cisco para los controles de accesos? - Brayan R. (min.55)
- Pregunta: ¿Este flujo puede ser complementado con DUO o cualquier otro MFA? - Marco (min.57)
- Pregunta: Hola, la solución de Cisco ISE, ¿se puede integrar al XDR de Trendmicro? - Erick A. (min.58)
- Pregunta: ¿Por qué al integrar un ISE con una WLC 9800 las ACL se deben invertir del lado de la WLC? - José Luis (min.59)
- Pregunta: ¿Hay que habilitar puertos específicos en el antivirus para el correcto funcionamiento del agente de Secure Client? - Nicolas D. (min.59)
- Pregunta: En temas de conceptos, si en las policy set tengo configurado políticas de MAB, apuntando a un logical profiles con el DACL "permit all" ¿eso también se considera como postura?, ¿o solo se valida postura cuando requiero que el endpoint cump...
- Pregunta: Indicaron factibilidad de integración con MFA, ¿existe información para integración con Microsoft Authenticator? - P. G. S. (min.60)
- Pregunta: Cuando un antivirus X no está en la base de Datos de Posture ISE, ¿cómo haría para hacer "Posture" y "Remediation"? - David H. (min.61)
- Pregunta: Esa ACL cuando es a un host ¿si son más de uno se colocan en la misma línea? o es una línea por host. - Pablo G. (min.62)
- Pregunta: Para la asignación de direcciones IP, ¿se puede integrar con Active directory? - José Luis (min.62)
- Pregunta: ¿Por qué al integrar un ISE con una WLC 9800 las ACL se deben invertir del lado de la WLC? - Pablo G. (min.62)
- Pregunta: En este flujo ¿se puede agregar autenticación por SAML? - Luis B. (min.62)
- Pregunta: Indicaron factibilidad de MFA, ¿existe información para integración con Microsoft Authenticator? - P. G. S. (min.63)
- Pregunta: ¿El accounting no es necesario, guarda logs el ISE aunque no esté configurado? ¿Lo recomiendan habilitar en el perfil de VPNRA? - Oliver G. (min.64)
- Pregunta: ¿Siempre se debe usar dACL para el estado de las posturas o qué otra alternativas hay? - Jhon R. C. (min.64)
- Pregunta: si tengo una WLAN con Cisco Meraki y quiero realizar autenticación 802.1x por medio de Azure (entraId) ¿puedo tener de intermediario al ISE?, ya que por lo que he leído e investigado Meraki no soporta una integración directamente con Azure....
- Pregunta: Hola. ¿Es compatible con Cyberark Identity como MFA ? - Marcelo N. (min.66)
- Pregunta: Hola! ¿Es posible permitir el acceso a ciertos recursos al mismo tiempo que se lleva a cabo el proceso de remediación? - Sonia M. P. (min.67)
- Pregunta: En este caso de uso ¿serían los mismos pasos? - Marco (min.68)
- Pregunta: Buen día. ¿Integrar ISE con Meraki MR es posible? - John S. (min.68)
- Pregunta: el DACL y el ACL del Firewall usado en el profile de autho de Redirect ¿ocupa ingresar la ip del enroll? - Cesar P. (min.69)
- Pregunta: ¿Qué permisos de Windows requiere el usuario para instalar el ISE posture? - Luis B. (min.69)
- Pregunta: Buen día. ¿Integrar ISE con Meraki MR es posible? - John S. (min.70)
- Pregunta: ¿Para qué se ocupa la ip que agregaron en el Discovery Host? - Cesar P. (min.72)
- Pregunta: ¿Cuándo un equipo no pasa la postura y se mantiene en no compliant, se puede sacar un log desde los módulos? ¿Se puede observar desde la consola de ise? o cómo se puede forzar al equipo para que haga su postura. Para el tema que no sean com...
- Pregunta: ¿Qué opciones hay en ambientes donde los users no tienen privilegios de admin? que son la mayoría - Luis B. (min.75)
- Pregunta: Para el flujo de client provisioning ¿qué opciones hay en ambientes donde los users no tienen privilegios de admin?, - Luis B. (min.78)
- Pregunta: ¿Es posible hacer un escaneo en tiempo real de malware para diferentes dispositivos y según el resultado dar el veredicto de cumplimiento ? - Wilson Z. (min.79)
- Pregunta: En el perfil de la postura, ¿para qué se agregó la ip del Discovery Host? - Cesar P. (min.80)
- Pregunta: ¿Podemos hacer client provisioning en MAC y/o linux? - Luis B. (min.80)
- Pregunta: Hola, para implementar esta solución ¿es necesario adquirir otro tipo de licencia? porque tengo actualmente en ISE licenciamiento Premier para 2000 dispositivos, ¿o se usarían estas? - Jairo C. (min.82)
- Pregunta: ¿Se puede integrar mediante PXGRID, a un tercero para validar esto ? ¿o talvez el secure endpoint puede informar esto al ISE.? - Wilson Z. (min.83)
- Pregunta: Buen día, ¿qué puertos son los que usa ISE para el proceso de postura?, y poder restringir desde un ASA el acceso a estos puertos puntuales. - Héctor H. Z. (min.84)
- Pregunta: ¿DART genera logs del flujo de postura? - Luis B. (min.84)
- Pregunta: ¿Podemos exportar el análisis/detalle desde los módulos y desde ise? - Brayan R. (min.84)
- Pregunta: Y en el caso se Cisco Secure Client ¿se adquieren licencias? comentar que también tengo servicios de Secure Endpoint y Umbrella, por si ya estarían consideradas en estas. - Jairo C. (min.89)
- Pregunta: ¿Y si la ip falla o no está disponible de lado de cisco la access list falla la 72.x no está disponible como se genera la autenticación al ISE? - Mario A. G. (min.91)
- Pregunta: ¿Pueden compartir el defecto que mencionó Adrian sobre la actualización del módulo de vpn a través del ISE? - Luis B. (min.93)
- Pregunta: ¿Cuántas conexiones de vpn permite revisar? - José Luis (min.95)
- Pregunta: Gracias, lo revisaré. - Jairo C. (min.98)
- Pregunta del Chat: ¿Se puede redireccionar a una url interna de la empresa en caso de no cumplir con la política de autorización. - Marcelo N. (min.52)
- Pregunta PQ#1: ¿Cuál es el rol principal de Cisco ISE en un entorno de acceso remoto por VPN?
- Pregunta PQ#2: ¿Qué acción se toma si un usuario no cumple con los requisitos de postura en Cisco ISE durante el acceso a la red?
- Pregunta PQ#3: ¿Cuál es el propósito principal de las DACL (Listas de Control de Acceso Dinámicas) en la configuración de Cisco ISE para usuarios de VPN de acceso remoto?
Pregunta: La lista de acceso para la redirección se realiza ¿en el ISE, Firewall o ambas ? - Gabriel S. (min.20)
Respuesta (Roberto Eduardo H.): Hola Gabriel, la lista de acceso para la redirección se configura en el Firewall. Para ello, más adelante estará abordándose este tema.
Pregunta: Hola ¿qué es Posture? - Luis P. (min.26)
Respuesta (Roberto Eduardo H.): Hola Luis, posture en Cisco ISE se refiere a la evaluación y verificación del estado de seguridad de los dispositivos antes y durante el acceso a la red.
Pregunta: ¿Es posible validar que este SW no solo este instalado, que este corriendo al momento de la validación? - José P. (min.39)
Respuesta (Victor M. A.): Hola José. Es correcto, se puede validar que el software también esté en ejecución al momento del escaneo del dispositivo.
Pregunta: Hola, estas políticas de validación de postura ¿afectan o pueden funcionar en paralelo con políticas que se tengan definidas para soluciones de SD-Access ? - Yair J. (min.42)
Respuesta (Ernesto C. L.): Hola Yair, estos son flujos completamente distintos.
Pregunta: ¿Esto se aplicaría en el mismo apartado de la condición, o hay que generar una condición adicional? - José P. (min.44)
Respuesta (Victor M. A.): Aplica si la condición es configurada para verificar la versión o fecha de definición del software de antimalware.
Pregunta: Tengo una pregunta acerca de los requerimientos, ¿cómo evaluar condiciones en los requerimientos? ejemplo: una máquina puede tener antivirus A o antivirus B, si el cliente tiene A validar los demás módulos de la marca A como DLP, antimalware etc. si tiene B no validar más y continuar. - Jonnathan R. (min.46)
Respuesta (Roberto Eduardo H.): Dentro de la configuración para los requerimientos es posible marcar un apartado para que se cumpla condición A o condición B.
Pregunta: Puedo pausar las posturas para un usuario en específico? - Alfonso A. (min.46)
Respuesta (Ernesto C. L.): Hola Alfonso, Es correcto puedes hacer una política para un usuario en específico o pausarlo.
Pregunta: ¿Hay algún listado de funcionalidades que se pueden habilitar con el agente de AnyConnect? - Nicolas D. (min.47)
Respuesta (Victor M. A.): Hola, Nicolas. En este link podrás encontrar las tablas de software soportado por el módulo de cumplimiento para la evaluación de requerimientos de postura. https://www.cisco.com/c/en/us/support/security/identity-services-engine/products-device-support-tables-list.html
Pregunta: Buenos días, por favor ¿cuáles son los diferentes licenciamientos con los que cuenta el ISE? - Luis B. (min.48)
Respuesta (Ernesto C. L.): Hola Luis, en el siguiente link encontraras la información correspondiente al licenciamiento de ISE https://www.cisco.com/c/en/us/products/collateral/security/identity-services-engine/ise-licensing-guide-og.html
Pregunta: Hola, al implementar ISE Posture con VPN, ¿cuál es el roll de enroll.cisco.com y que requerimientos tengo que tomar en cuenta si uso split tunnel o tunnel all en el VPN? - JP M. (min.48)
Respuesta (Roberto Eduardo H.): El rol de enroll.cisco.com entra en la parte de encontrar el nodo de ISE que estará realizando la postura, y por parte del tunnel, tienes que asegurarte en ambos que este se encuentre en la lista de acceso de redirección.
Pregunta: ¿Qué mejoras tiene ISE 4.0 respecto al ISE 3.2 y 3.3? (lo más diferenciador) - David H. (min.49)
Respuesta (Ernesto C. L.): Hola David, aun no existe ISE 4.0 la versión actual es ISE 3.4, Las nuevas funcionalidades de 3.3 las puedes encontrar en el siguiente link https://www.cisco.com/c/en/us/td/docs/security/ise/3-3/release_notes/b_ise_33_RN.html
Pregunta: ¿ISE es integrable con XDR CISCO ó MDR CISCO? - Antonio V. V. (min.50)
Respuesta (Jonathan Daniel C.): La integración directa entre Cisco Identity Services Engine (ISE) y Cisco Extended Detection and Response (XDR) no está disponible. Sin embargo, Cisco está trabajando en el desarrollo de esta funcionalidad para futuras versiones. Para obtener información actualizada sobre las integraciones soportadas por Cisco XDR, puede consultar la documentación oficial en el siguiente enlace: https://www.cisco.com/c/en/us/products/security/xdr/integrations.html
Pregunta: Buen día, ¿dónde puedo encontrar documentación sobre la configuración de la integración de ISE y Fortigate para el uso de VPNs SSL y la postura de ISE? - Héctor H. Z. (min.50)
Respuesta (TBC): en espera.
Pregunta: Las configuraciones en ISE ¿podrían ser automatizadas? - Antonio V. V. (min.51)
Respuesta (Victor M. A.): Hola Antonio. Pueden automatizarse por medio de API calls. En este enlace podrás encontrar toda la información al respecto. https://developer.cisco.com/docs/identity-services-engine/latest/
Pregunta: Gracias Roberto, ese requerimiento con opción de condición A o condición B ya existe pero quisiera hacer otra validación luego de validar el requerimiento anterior… - Jonnathan R. (min.51)
Respuesta (Roberto Eduardo H.): Hola Jonnathan, esta validación adicional tras evaluar los requerimientos no está soportado.
Pregunta: Si un usuario está non-compliance tengo logs para validar ¿por qué? - Manuel F. R. (min.53)
Respuesta (Roberto Eduardo H.): Hola Manuel, si, dentro de ISE encontrarás el reporte de porque aparece como no compliant dentro de los posture reports, al igual que en Cisco Secure Client, puedes revisar las condiciones que este cumple y cuales no, más adelante se abordará esto en la presentación.
Pregunta: Ese WebRedirection ¿requiere de algún modulo especial dentro del ISE para el proceso de redirección y compliant? - Fidel V. (min.53)
Respuesta (Victor M. A.): Hola Fidel. No se requiere de ningún módulo adicional dentro de ISE o el NAD para el web redirection. El proceso de redirección es realizado siempre por el NAD.
Pregunta: Esto que estamos viendo ¿pudiera ser un paso para evolucionar al Cisco Secure Access? - Mario M. (min.54)
Respuesta (Ernesto C. L.): Hola Mario, son productos distintos.
Pregunta: Indicaron factibilidad de integración con MFA, ¿existe información para integración con Microsoft Authenticator? - P. G. S. (min.55)
Respuesta (TBC): en espera.
Pregunta: Hola, al implementar ISE Posture con VPN, ¿cuál es el roll de enroll.cisco.com y qué requerimientos tengo que tomar en cuenta si uso split tunnel o tunnel all en el VPN? - JP M. (min.55)
Respuesta (Victor M. A.): Hola JP, esta pregunta ya fue respondida arriba.
Pregunta: ¿Con la adopción hoy en día con el tema de cloud, ya se tiene algo de ISE en nube o existe un servicio específico de cisco para los controles de accesos? - Brayan R. (min.55)
Respuesta (Ernesto C. L.): Hola Brayan, por su puesto puedes usar ISE en cloud en el siguiente link encontraras más información https://www.ciscolive.com/c/dam/r/ciscolive/emea/docs/2024/pdf/LTRSEC-2000.pdf
Pregunta: ¿Este flujo puede ser complementado con DUO o cualquier otro MFA? - Marco (min.57)
Respuesta (Victor M. A.): Hola, Marco. Así es, es posible implementar este flujo junto con el MFA.
Pregunta: Hola, la solución de Cisco ISE, ¿se puede integrar al XDR de Trendmicro? - Erick A. (min.58)
Respuesta (Jonathan Daniel C.): En la siguiente documentación podrás encontrar todas las soluciones soportadas https://community.cisco.com/t5/security-knowledge-base/ise-berg/ta-p/5041171
Pregunta: ¿Por qué al integrar un ISE con una WLC 9800 las ACL se deben invertir del lado de la WLC? - José Luis (min.59)
Respuesta (Victor M. A.): Hola, Jose Luis. Esto depende de la lógica de evaluación de la ACL. En el caso de la WLC 9800, un "deny" implica no redirigir el tráfico que coincida con la línea de la ACL mientras que un "permit" implica redirigir el tráfico.
Pregunta: ¿Hay que habilitar puertos específicos en el antivirus para el correcto funcionamiento del agente de Secure Client? - Nicolas D. (min.59)
Respuesta (Diana A. M.): Hola Nicolas, el puerto por default para la conexión de SSL sería el 443 por lo que no es necesario habilitar ningún puerto especial para su funcionamiento base ni el de postura.
Respuesta (Diana A. M.): En caso de que se cambie la configuración por default y se configure un puerto diferente, solo se tendría que permitir ese nuevo puerto.
Pregunta: En temas de conceptos, si en las policy set tengo configurado políticas de MAB, apuntando a un logical profiles con el DACL "permit all" ¿eso también se considera como postura?, ¿o solo se valida postura cuando requiero que el endpoint cumpla con requerimientos específicos? - Darwin B. (min.59)
Respuesta (Roberto Eduardo H.): No, siguen siendo conceptos aislados, la postura entra cuando empiezas a realizar validaciones de requerimientos específicos en los dispositivos de la red.
Pregunta: Indicaron factibilidad de integración con MFA, ¿existe información para integración con Microsoft Authenticator? - P. G. S. (min.60)
Respuesta (Roberto Eduardo H.): Hola, espero la siguiente documentación te sea de utilidad respecto a esta integración: https://www.cisco.com/c/en/us/support/docs/security/anyconnect-secure-mobility-client/215935-configure-asa-anyconnect-vpn-with-micros.html
Pregunta: Cuando un antivirus X no está en la base de Datos de Posture ISE, ¿cómo haría para hacer "Posture" y "Remediation"? - David H. (min.61)
Respuesta (Victor M. A.): Hola David. Si un Antivirus X no se encuentra en la base de datos, no será posible detectarlo durante el escaneo, por lo que el requerimiento no será evaluado correctamente. En este caso, puedes proceder abriendo un caso con TAC para crear la petición de soporte para dicho antivirus.
Pregunta: Esa ACL cuando es a un host ¿si son más de uno se colocan en la misma línea? o es una línea por host. - Pablo G. (min.62)
Respuesta (Victor M. A.): Hola, Pablo. Es una línea por host.
Pregunta: Para la asignación de direcciones IP, ¿se puede integrar con Active directory? - José Luis (min.62)
Respuesta (Victor M. A.): Hola, Jose Luis. ¿Podrías ser más específico con tu pregunta?
Pregunta: ¿Por qué al integrar un ISE con una WLC 9800 las ACL se deben invertir del lado de la WLC? - Pablo G. (min.62)
Respuesta (Victor M. A.): Pablo, esto depende de la lógica de evaluación de la ACL. En el caso de la WLC 9800, un "deny" implica no redirigir el tráfico que coincida con la línea de la ACL mientras que un "permit" implica redirigir el tráfico.
Pregunta: En este flujo ¿se puede agregar autenticación por SAML? - Luis B. (min.62)
Respuesta (Ernesto C. L.): Hola Luis, Puedes usar SAML en este flujo en el siguiente link encontraras un ejemplo https://www.cisco.com/c/en/us/support/docs/security/anyconnect-secure-mobility-client/215672-integrate-duo-saml-sso-with-anyconnect-s.html
Pregunta: Indicaron factibilidad de MFA, ¿existe información para integración con Microsoft Authenticator? - P. G. S. (min.63)
Respuesta (Ernesto C. L.): Hola! Buen día en el siguiente enlace encontraras la integraciones que ISE con Microsoft https://community.cisco.com/t5/security-knowledge-base/ise-berg/ta-p/5041171
Pregunta: ¿El accounting no es necesario, guarda logs el ISE aunque no esté configurado? ¿Lo recomiendan habilitar en el perfil de VPNRA? - Oliver G. (min.64)
Respuesta (Victor M. A.): Oliver, es necesario configurar el accounting de lado del FTD/FMC ya que ISE lo requiere para un manejo correcto de la sesión de los clientes.
Pregunta: ¿Siempre se debe usar dACL para el estado de las posturas o qué otra alternativas hay? - Jhon R. C. (min.64)
Respuesta (Ernesto C. L.): Hola Jhon, Puedes usar una dACL o una ACL.
Pregunta: si tengo una WLAN con Cisco Meraki y quiero realizar autenticación 802.1x por medio de Azure (entraId) ¿puedo tener de intermediario al ISE?, ya que por lo que he leído e investigado Meraki no soporta una integración directamente con Azure. - Erick A. (min.64)
Respuesta (Jonathan Daniel C.): ISE puede usar a EntraID como Identity Store, por favor revisar https://community.cisco.com/t5/security-knowledge-base/cisco-ise-with-microsoft-active-directory-entra-id-and-intune/ta-p/4763635
Pregunta: Hola. ¿Es compatible con Cyberark Identity como MFA ? - Marcelo N. (min.66)
Respuesta (Ernesto C. L.): Hola Marcelo, en el siguiente link encontraras todas las integraciones que ISE puede realizar con Cyberark https://community.cisco.com/t5/security-knowledge-base/ise-berg/ta-p/5041171
Pregunta: Hola! ¿Es posible permitir el acceso a ciertos recursos al mismo tiempo que se lleva a cabo el proceso de remediación? - Sonia M. P. (min.67)
Respuesta (Ernesto C. L.): Hola Sonia. Es correcto en la ACL que usas para el proceso de remediación puedes permitir el acceso a otros recursos.
Pregunta: En este caso de uso ¿serían los mismos pasos? - Marco (min.68)
Respuesta (TBC): en espera.
Pregunta: Buen día. ¿Integrar ISE con Meraki MR es posible? - John S. (min.68)
Respuesta (Roberto Eduardo H.): Hola John, claro, espero la siguiente documentación te sea de utilidad: https://community.cisco.com/t5/security-knowledge-base/how-to-integrate-meraki-networks-with-ise/ta-p/3618650
Pregunta: el DACL y el ACL del Firewall usado en el profile de autho de Redirect ¿ocupa ingresar la ip del enroll? - Cesar P. (min.69)
Respuesta (Ernesto C. L.): Hola Cesar. No es necesario poner la ip de enroll en la acl o dacl de redirect.
Pregunta: ¿Qué permisos de Windows requiere el usuario para instalar el ISE posture? - Luis B. (min.69)
Respuesta (Jonathan Daniel C.): Para instalar el módulo de posture de Cisco ISE en un equipo con Windows, el usuario debe tener permisos de administrador local en el sistema. Esto es necesario para garantizar que el proceso de instalación pueda realizar cambios en el sistema, como la creación de carpetas, la modificación de configuraciones y la instalación de los servicios necesarios para el posture.
Pregunta: Buen día. ¿Integrar ISE con Meraki MR es posible? - John S. (min.70)
Respuesta (Ernesto C. L.): Hola John, en el siguiente link encontraras las integraciones compatibles de Meraki con ISE https://community.cisco.com/t5/security-knowledge-base/how-to-integrate-meraki-networks-with-ise/ta-p/3618650
Pregunta: ¿Para qué se ocupa la ip que agregaron en el Discovery Host? - Cesar P. (min.72)
Respuesta (Victor M. A.): Hola, Cesar. El módulo de cumplimiento enviará tráfico HTTP hacia la IP configurada en el campo Discovery Host durante el proceso de "Discovery".
Pregunta: ¿Cuándo un equipo no pasa la postura y se mantiene en no compliant, se puede sacar un log desde los módulos? ¿Se puede observar desde la consola de ise? o cómo se puede forzar al equipo para que haga su postura. Para el tema que no sean compatibles con los protocolos 802.1x ¿se debe poner algún bypass? - Brayan R. (min.72)
Respuesta (Roberto Eduardo H.): Se puede generar desde el software de Cisco Secure Client lo que es un DART Bundle al igual que revisar el módulo de posture para revisar que condiciones fueron pasadas y cuales no, al igual que en ISE se pueden revisar los posture reports. Respecto al tema de compatibilidad, podría realizarse vía MAB.
Pregunta: ¿Qué opciones hay en ambientes donde los users no tienen privilegios de admin? que son la mayoría - Luis B. (min.75)
Respuesta (Ernesto C. L.): Hola Luis, puedes hacer la misma configuración de posture para usuarios que no sean admin.
Pregunta: Para el flujo de client provisioning ¿qué opciones hay en ambientes donde los users no tienen privilegios de admin?, - Luis B. (min.78)
Respuesta (Victor M. A.): Luis, para estos casos el flujo sigue siendo el mismo.
Pregunta: ¿Es posible hacer un escaneo en tiempo real de malware para diferentes dispositivos y según el resultado dar el veredicto de cumplimiento ? - Wilson Z. (min.79)
Respuesta (Ernesto C. L.): Hola Wilson, ISE solo vería si la versión que especificaste como compliant este instalada pero el escaneo lo tienes que hacer desde el propio antimalware ISE no lo puede realizar.
Pregunta: En el perfil de la postura, ¿para qué se agregó la ip del Discovery Host? - Cesar P. (min.80)
Respuesta (Victor M. A.): Cesar, la pregunta ya fue respondida arriba.
Pregunta: ¿Podemos hacer client provisioning en MAC y/o linux? - Luis B. (min.80)
Respuesta (Victor M. A.): Hola, Luis. Así es, actualmente Windows, MAC y Linux son sistemas operativos soportados para este flujo.
Pregunta: Hola, para implementar esta solución ¿es necesario adquirir otro tipo de licencia? porque tengo actualmente en ISE licenciamiento Premier para 2000 dispositivos, ¿o se usarían estas? - Jairo C. (min.82)
Respuesta (Roberto Eduardo H.): Del lado de ISE, se estarían utilizando las licencias premier.
Pregunta: ¿Se puede integrar mediante PXGRID, a un tercero para validar esto ? ¿o talvez el secure endpoint puede informar esto al ISE.? - Wilson Z. (min.83)
Respuesta (Ernesto C. L.): Puedes usar otras integración de pxGrid y ocupar el tópico de ANC para poner usuarios en cuarentena, pero tendrías que tomar las acciones directamente desde el antimalware.
Pregunta: Buen día, ¿qué puertos son los que usa ISE para el proceso de postura?, y poder restringir desde un ASA el acceso a estos puertos puntuales. - Héctor H. Z. (min.84)
Respuesta (Victor M. A.): Héctor, el ISE emplea el puerto asignado al portal de provisionamiento de posture. Por defecto, este puerto es el 8443.
Pregunta: ¿DART genera logs del flujo de postura? - Luis B. (min.84)
Respuesta (Victor M. A.): Luis, es correcto. El DART incluye todos los logs relacionados al flujo de postura.
Pregunta: ¿Podemos exportar el análisis/detalle desde los módulos y desde ise? - Brayan R. (min.84)
Respuesta (Ernesto C. L.): Hola Brayan. Puedes ir a Operations>Reports>Endpoint y generar un reporte del endpoint con el estado que obtuvo.
Pregunta: Y en el caso se Cisco Secure Client ¿se adquieren licencias? comentar que también tengo servicios de Secure Endpoint y Umbrella, por si ya estarían consideradas en estas. - Jairo C. (min.89)
Respuesta (Roberto Eduardo H.): Sí, se requieren licencias de Apex.
Respuesta (Angel S. G.): Hola Jairo, Es necesario tener licencias para Secure client, Advantage o Premier dependiendo de tus necesidades, en este link hay más detalles de lo que cubre cada licencia: https://www.cisco.com/c/en/us/products/collateral/security/anyconnect-secure-mobility-client/secure-client-og.html
Pregunta: ¿Y si la ip falla o no está disponible de lado de cisco la access list falla la 72.x no está disponible como se genera la autenticación al ISE? - Mario A. G. (min.91)
Respuesta (TBC): en espera.
Pregunta: ¿Pueden compartir el defecto que mencionó Adrian sobre la actualización del módulo de vpn a través del ISE? - Luis B. (min.93)
Respuesta (TBC): en espera.
Pregunta: ¿Cuántas conexiones de vpn permite revisar? - José Luis (min.95)
Respuesta (TBC): en espera.
Pregunta: Gracias, lo revisaré. - Jairo C. (min.98)
Respuesta (Diana A. M.): Hola Jairo, solo mencionar que los nombres de las licencias sufrieron un cambio de AnyConnect a CSC. La licencia necesario sería la "premier" anteriormente conocida como "Apex" así como menciona mi compañero Roberto.
Pregunta del Chat: ¿Se puede redireccionar a una url interna de la empresa en caso de no cumplir con la política de autorización. - Marcelo N. (min.52)
Respuesta (TBC): en espera.
Pregunta PQ#1: ¿Cuál es el rol principal de Cisco ISE en un entorno de acceso remoto por VPN?
Opciones de respuesta: a) Gestionar conexiones VPN b) Evaluar la postura de los dispositivos y hacer cumplir las políticas de red c) Proteger los dispositivos finales mediante firewalls c) Proteger los dispositivos finales mediante firewalls // Respuesta Correcta: b) Evaluar la postura de los dispositivos y hacer cumplir las políticas de red
Pregunta PQ#2: ¿Qué acción se toma si un usuario no cumple con los requisitos de postura en Cisco ISE durante el acceso a la red?
Opciones de respuesta: a) Se bloquea el acceso a la red completamente b) Se aplica una acción de remediación configurada b) Se aplica una acción de remediación configurada c) Se le asigna una nueva dirección IP d) Se le permite el acceso limitado solo a servicios críticos // Respuesta b) Se aplica una acción de remediación configurada
Pregunta PQ#3: ¿Cuál es el propósito principal de las DACL (Listas de Control de Acceso Dinámicas) en la configuración de Cisco ISE para usuarios de VPN de acceso remoto?
Opciones de respuesta: a) Restringir el acceso a la red según el estado de cumplimiento de la postura b) Proporcionar acceso completo a todos los usuarios c) Asignar direcciones IP estáticas a los usuarios d) Monitorear el tráfico de red en tiempo real // Respuesta Correcta: a) Restringir el acceso a la red según el estado de cumplimiento de la postura
Nuestros expertos
Si usted tiene dudas o está experimentando problemas técnicos con alguno de los productos Cisco, publique su pregunta, solicite información o utilice el motor de búsqueda de la Comunidad de Cisco en español, antes de abrir un caso con el TAC.