AAA トラブルシューティング

[JapanTAC_CSC]

• サポートケースをオープンする際に必要な情報
• トラブルシューティングに役立つドキュメント
• テクニカルTips / 事例紹介
• 設定や運用に役立つドキュメント
• ISE 不具合トレンド

---

サポートケースをオープンする際に必要な情報

Japan TAC にサポートケースを申請する前に、以下で案内するログなどの技術情報をご準備ください。これらの情報を提供いただく事で、TAC による一次切り分けが容易になり、原因の特定に要する時間を短縮することが可能となります。
これらのログによる一次切り分け後に、さらなる原因追求のために新たな情報を追加でお願いする場合もありますのでご了承ください。

Japan TAC に サポートケースを申請する場合は、サポートケースガイド をご参照ください。

お問い合わせ時にご準備いただきたい情報

• ISE SRお問い合わせ時に必要な情報について
• ISE 2.x - Support Bundle の取得方法
• ISE 3.0 サポートバンドルの取得方法
• ISE2.x: 認証レポート(Live logs)の利用について
• ISE : show tech-supportの取得方法について

ご利用時に把握していただきたい情報 

• [注意喚起]ISE 3.2でのconfiguration backupのrestoreに関して その2
• ISE : 物理アプライアンス SNS-3500シリーズをご利用のお客様へ
• [注意喚起]ISE 3.2でのconfiguration backupのrestoreに関して
• ISE：3.2 GUI において日本語機能をご利用の際の注意点
• ISEのSmart Licensingに必要なURLの変更と影響について (ISE3.1Patch5 / ISE3.0 Patch7以降)
• ISEでのDebug有効化によるPerformance影響に関して
• SD-Access環境構築時のNetwork機器のhostnameに関する注意点
• ISE2.7 Patch 8 インストールに関する注意喚起
• ISEの電源断／再起動時の注意
• ISE : 物理アプライアンス SNS-3515をご利用のお客様へ
• ISE: ISE Appliance (SNS-3515-K9/SNS-3595-K9) をご利用頂く上での補足情報
• ISE : VM版ISE Snapshotの利用について
• Microsoft社セキュリティアドバイザリ(ADV190023)のISEへの影響に関して
• ISE : MACアドレス ランダム化によるCisco ISEへの影響 - Field Notice(FN-70610)
• ISE1.3へのUpgradeでの注意点
• ACS to ISE Migration Toolご利用時の留意点、注意点など
• ACS 5.x - Active Directory アップグレード時の留意点

バージョンごとのサポート状況について

すでにサポート終了を迎えているバージョンやEoLアナウンスメントが公開されているバージョンもございます。
サポート終了を迎えているバージョンでのご利用時、Japan TAC にお問い合わせを頂いてもご支援を提供できない点は予めご了承ください。
ご利用バージョンのサポート状況を確認の上、計画的に最新バージョンへのアップグレード、最新パッチの適用もご検討ください。

2024年8月14日時点で、ISEに関するサポート状況は以下の通りです。

Version	サポート状況
2.6以前(1.xを含む)	TACサポート終了
2.7	開発エンジニアによるサポート終了
3.0	開発エンジニアによるサポート終了
3.1以降	EoLアナウンスメント未発表

最後に

本ページでは、Cisco Communityに投稿されたAAAに関する記事をページ後半にまとめておりますので、トラブルシューティング時や、設計・設定の際にご活用ください。

• 最近投稿されたドキュメント(*1)
  • ISE : Bug Trend(2024年 3-4月)
  • ISE: ISEのISOイメージをUSBメモリーに展開する方法とそれを使用したISEのインストール方法
  • ISE : ローカルディスクを利用したリイメージ方法
  • ISE : Bug Trend(2024年 5-6月)
  • 事象：スイッチ上でMAB認証後の通信不可について
  • ISEを用いたAD連携による、ASAでの L2TP over IPsec (IKEv1) の設定方法について
  • OCSPを用いたISEによる端末のEAP-TLS認証の設定方法について
  • マシン認証(MAR)とユーザー認証(dot1x)を組み合わせた二要素認証(2FA)の設定について
  • ISEを用いたAD連携による、ASAでのVPN認証（Cisco Secure Client）の設定方法について

その他、導入・設計に関して役に立ちそうなまとめページもございますので、必要に応じてこちらもご確認ください。

• Cisco ISE に関するよくある質問と回答（FAQ）
• Ask the Experts リンク集: Cisco ISE
• Cisco ISE 公開導入事例
• Cisco ISE お役立ちリンク集 - Identity Services Engine -

---

トラブルシューティングに役立つドキュメント

ISE

• ISEのtroubleshootingで必要となるlog
• ISE - 事例別　確認ログ一覧
• ISE2.x: 認証レポート(Live logs)の利用について
• ISE 2.x - Support Bundle の取得方法
• ISE 3.0 サポートバンドルの取得方法
• ISE - Support Bundle取得時のOptionの事後確認について
• ISE 2.x - ログレベル変更したComponentの確認について
• ISE 調査用ログ取得方法/注意点(SD-Access環境)
• ISE : Live Logsの表示上限数と上限数以上の認証ログ確認方法について
• ISE: EndPoint Debugの取得方法
• ISE 3.x: Debug Wizard についての紹介
• ISE 2.x Advanced Tools を使ったAD上のコンピュータアカウントのテスト方法
• ISE 3.1: GUI で packet capture の取得手順
• ISE: メモリ使用率の確認方法とよくあるご質問について
• ISE : CLIによる個別ログの取得方法について
• ISE : show tech-supportの取得方法について
• ISE : ログのリアルタイム監視(tail)について
• ISEとMDM連携の際のトラブルシュート例
• ISE 2.6 : ERS実行結果の確認方法について
• [UCS C] CIMC 3.0(X) 以降のバージョンにてテクニカルサポートデータを取得する方法

IOS / IOS-XE

• IOS-XE 16.x AAA関連 debug 取得方法
• Catalyst 2960 系の認証の問題が発生した時に必要な情報
• catalyst switch での AAA / Dot1X / MAB に関連する問題が発生した際に取得するログ

その他

• NEAT(Network Edge Authentication Topology): 問題発生時に取得いただきたいログ
• AnyConnect NAM のトラブルシュートで取得する情報
• ACS 5.x と Active Directory の連携に関するトラブルシューティング

---

テクニカルTips / 事例紹介

AAA[MAB/802.1x/Radius/TACACS+]

• 事象：スイッチ上でMAB認証後の通信不可について
• [事例] C1111 で authentication timer inactivity コマンドが動作しない
• ISE: Security settingsのTLS versionに関して
• RADIUSのUser-Password attributeに関して
• RADIUSのAuthenticator headerとMessage-Authenticator attributeに関して
• [事例紹介]ISE：IP Rangeと IP Addressで登録したNADのマッチ順番について
• 事例 : ISE : パスワード変更したにも関わらずパスワード期限切れでアカウントが無効となってしまう
• ISE Session いろいろ
• 事例: ISE2.x TACACS+ を利用した際、ASAが特権モードに移行できない
• [ISE/事例紹介]:クライアント証明書でEAP-TLS認証に失敗する(Unknown CA)
• Radius Simulatorの紹介
• ISE: 事例紹介/CRL取得不可が原因で認証に失敗する(Unable to download CRL)
• 事象: ISEでRADIUS認証した際に2回目以降の認証ログが表示されない (Suppression機能)
• HUB 配下の端末が認証セッションに残る問題
• CDP bypass
• ASAのAAA server group内server選択方法に関して
• IOS Router/SwitchのVersionによる送信されるRADIUS attributeの変化に関して

Administration[GUI/CLI] (管理)

• ISE: 複数のDNSサーバを設定している場合にPrimary DNSサーバでの名前解決に失敗時やタイムアウト時の挙動について
• ISE : /opt/CSCOcpm/mnt/config/配下のプロパティファイルをローカルPCにコピーする方法
• AAA: ISE Release log4j2 hotpatch適用状況の確認方法について
• ISE：CLI / GUI 管理者パスワードの理解とGUI のパスワード期限切れの対応方法
• 暗号スイート(Cipher suite)表記に関して(OpenSSLとIANA)
• [ISE/事例紹介]：ISE のサーバー証明書更新不可
• 事例: ISE2.6 Patch11においてGUIでSystem Time PageへアクセスするとGUIがクラッシュする
• ISEのQueue Link Errorの影響例
• ISE：Primary PAN Admin 証明書更新（変更）時に他のノードのサービス再起動
• ISE： /localdiskが100%によるHigh Disk Space Utilizationの対処方法
• Context Visibility関連障害のCLIでの対処
• ISE :管理IPアドレス許可設定はSNMPも制御される
• 【ISE事例紹介】：「No data available」となり表示されない
• [事例]ISE:GUIでバックアップ実行時にスタックする事象について
• ISE2.6: M&T Log CollectorとM&T Log Processorプロセス統合
• Microsoft社セキュリティアドバイザリ(ADV190023)のISEへの影響に関して
• [ISE/事例紹介]：ISE の SAML 証明書の期限切れのアラーム解消について
• ISE: バックアップの強制終了に関して(2.4以降)
• ISEの期限切れが近い証明書「VeriSign Class 3 Secure Server CA - G3」について
• 【事例】ISE: SSH接続ができない事例について
• ISE Backup 実行時のステータスの確認について
• ISEのsession statusに関して
• ISE Deployment環境でのPatchインストール順について
• ISE: RBAC(Role Based Access Control) policy を使ったネットワークデバイスの閲覧制御の設定例
• ISE 2.x 以降の逆引き DNS 設定について
• ISE : バージョン情報の確認方法について
• ISEのdisk full 問題

API

• ISE: APIを使い古いセッションの削除方法

BYOD

• [事例] ISE BYODページにアクセスすると「お使いのブラウザは現在サポートされていません。」と表示される

Guest/Sponsor Portal(ゲスト/スポンサーポータル)

• ISE: 全角文字を含むゲスト/ネットワークアクセスユーザーをCSVでインポートした際に文字化けしてしまう問題の解決方法
• ISE guest portal / hotspot 等 redirect が行われるページで google chrome だと接続出来ない事がある

Licensing(ライセンス)

• ISE 3.0 スマートライセンス期限切れによる機能制限されている状態でスマートライセンス登録の接続方式を変更する方法
• 事象：ISE：SLR：ライセンス適用後正しい予約数が表示されない
• ISE GUI のライセンスページにある Consumption Count 表示について

Posture(ポスチャ)

• ISE 2.7以降でクライアントプロビジョニング(Client Provisioning)が無効(invalid)になる

Profiler(プロファイラ)

Comming Soon

pxGrid

• ISEのpxGrid証明書のSerial Number表示に関して
• Visual Studio CodeからISE へのpxGrid 2.0接続

Report(レポート)

• ISE2.x : Reportの各種出力方法について
• ISE表示データのカスタマイズ機能

Secure Network Server/SNS

• [事象] ISE SNS-36xx の CIMC にて Watchdog Hard reset, メッセージが出力される
• [事例]ISE/SNS-36xx アプライアンスでシリアルコンソールの接続ができない
• セキュリティアプライアンス(SNS-34xx-K9)のシリアルボーレート

TrustSec

• [英語]TrustSec Troubleshooting Guide
• Catalystにおいて不定期に不特定のNADでTrustSec通信ができなくなる事象に関して

その他

• AnyConnect NAMの802.11r(Fast BSS Conversion)対応状況に関して
• Wireshark以外でのpacket capture(Windows)
• Web BrowserによるISE GUIの表示取得に関して(mhtml/html)
• CiscoISE: Bug Search Tool におけるpatch番号の読み方

---

設定や運用に役立つドキュメント

AAA[MAB/Dot1x/Radius/TACACS+]

• ISEを用いたAD連携による、ASAでのVPN認証（Cisco Secure Client）の設定方法について
• マシン認証(MAR)とユーザー認証(dot1x)を組み合わせた二要素認証(2FA)の設定について
• OCSPを用いたISEによる端末のEAP-TLS認証の設定方法について
• ISEを用いたAD連携による、ASAでの L2TP over IPsec (IKEv1) の設定方法について
• ISEでのEAP Session Resumeに関して
• 分散環境のPSN間でMAR Cacheを共有するための設定
• EAP-TEAPによるEAP chaining
• IOS XE 16.X： SISF によるDevice Tracking の設定
• IBNSとIBNS 2.0
• OpenSSLによる証明書検証環境構築(802.1x,CRL,OCSP)(ISE編)
• Cisco ASA：RADIUSを使ったASAへのログイン設定と注意点
• ASA - Active Directory(LDAP)連携の設定例

Administration[GUI/CLI] (管理)

• [ISE] Cisco Identity Services EngineのGUIを日本語に変更する手順
• SNMPv3によるISEのプロセス監視
• ISE2.x Software Version の Downgrade について
• ISE 2.x のサポートする MIB/OID について
• ISE2.x バックアップとリストア方法
• 2台の ISE の Cluster 構成方法
• ISE - SFTPレポジトリの設定方法

API

Comming Soon

BYOD

• [英語]Cisco ISE BYOD Prescriptive Deployment Guide
• ISE 2.1 - Certificate Provisioning Portal の構築例

Guest/Sponsor Portal(ゲスト/スポンサーポータル)

• ISE ゲストアカウント作成 スポンサーポータルで入力必須項目の設定
• ISE で GuestPortal の Retry URL を設定する方法
• ISE: SponsorPortalのユーザをActiveDirectory上のユーザで認証する設定

Licensing(ライセンス)

• ISEのSLR Return(返却)方法と注意点
• ISE: Air Gapped環境におけるSpecific License Reservation(SLR)の有効方法
• [事例] ISE 障害時スマートライセンスのリホスト(rehost)について
• ISE ライセンスの種類と GUI 表示メニュー

Posture(ポスチャ)

• [英語]ISE Posture Prescriptive Deployment Guide

Profiler(プロファイラ)

Comming Soon

pxGrid

• ISEとWindowsVMでpxGrid 2.0検証環境の構築
• ISEとWindowsVMでpxGrid検証環境の構築

Secure Network Server/SNS

• ISE : ローカルディスクを利用したリイメージ方法
• ISE: ISEのISOイメージをUSBメモリーに展開する方法とそれを使用したISEのインストール方法
• ISE : SNS-3500 / SNS-3600 / SNS-3700 シリーズの RMA 時に使用する UCS 型番の紹介
• ISE:SNS-3595（CIMC 3.x 版）RMA 作業時のRAIDの設定
• SNS-3515 RMA 作業時の概要
• SNS-3595 RMA 作業時の概要
• ISE: SNS-35xx ISE Appliance に関する CIMC/BIOS のアップグレードについて
• SNS-34XX / SNS-35XX - CIMC上のKVMコンソールを使用した ISE クリーンインストール手順
• SNS-3495 RMA時 RAID 設定
• SNS-3495 RMA 作業時の概要
• SNS-3415 に必要な BIOS 設定について
• SNS-3415 RMA時 RAID 設定
• SNS-3415 RMA 作業時の概要
• SNS-34XX ACS クリーンインストール
• [UCS C] C220M5/C240M5 FANモジュール 交換手順
• [UCS C] C220M5 / C240M5 HDD/SSD 交換手順

TrustSec

Comming Soon

---

ISE 不具合トレンド

• ISE : Bug Trend(2024年 5-6月)
• ISE : Bug Trend(2024年 3-4月)
• ISE : Bug Trend(2024年 1-2月)
• ISE : Bug Trend(2023年 11-12月)
• ISE : Bug Trend(2023年 9-10月)
• ISE : Bug Trend(2023年 7-8月)
• ISE : Bug Trend(2023年 5-6月)
• ISE : Bug Trend(2023年 3-4月)

---

*1：2024年5月以降のものとなりますので、最新の投稿状況はこちらをご確認ください。

*1：弊社開発部門においてSeverity 1と判断したものと脆弱性対応のみサポートは継続し、それらを除いた不具合修正やPatch提供がサポートされなくなります。
また原則としてJapan TACエンジニアから開発エンジニアへのエスカレーションもできなくなるため、SR上ではログや過去事例で確認できる範囲でのご支援となります。