はじめに 本ドキュメントではISEのlive logのDetailsで複数出てくるSessionがどのようなものかISE GUIやpacket captureを使って説明します。 この内容は基本的にISEのVersionにはよりません。   Session 一覧   Audit Session Id CPMSessionID AcsSessionID Acct-Session-Id  この4つがあります。   以降、都合によりISE GUIの画面キャプチャとWiresharkの画面キャプチャは別環境からのものになります。ご注意ください。packet capture全体は本documentに添付します。 Audit Session Id/CPMSessionID これらはLive Logで表示できるSession IDと同じ値です。       ISEのLive Sessionsで表示している情報はこれらに基づいています。     このIDでISE内部で個々の接続を区別し、Guest認証成功/BYOD完了/Posture compliantといった情報を付与します。 いわゆる再認証ではこのIDは変わりません(1番目の絵)。 この値はSession開始時にNADからのRADIUS Access Request内Cisco AV pairのaudit-session-idでNAD-ISE間で共有されます。   　 Catalyst等でshow authentication session commandで表示されるCommon Session IDはこれです。   AcsSessionID これは   Audit Session IdがNAD側で指定されるのとは逆でISE側で指定します。 この値は最初のAccess requestの次のchallenge以降必ず含まれるState attribute内でやりとりされます。   見難いかもしれませんが、State attributeにはAudit Session IDとAcsSessionIDが両方含まれており、これにより他の接続のやりとりとの混同を防ぎます。   Acct-Session-Id これは上の２つの絵で緑色の四角でくくったものでRADIUS accountingの標準attributeです。   ISEの障害調査ではあまり使われておりませんため本稿でも割愛します。   まとめ 添付のpacket captureはBYODのFlow sampleとお考え下さい。 (10.6.1.13はNADのIP, 10.6.121.100はISEのIPです) No.1-No.20、No.25-No.38、No.41-54の3つのAccess Request -> Access Acceptまでの流れがありますが、 Audit Session Idは019F000D00002F6917CD992Cで維持されており、AcsSessionIDに相当するise21a/275659448/1363は数値が上がっているのがわかります。   ISEの最大session数は?やライセンス消費量のような文脈で出てくるsessionはAudit Session ID, 各認証のやり取りはAcsSessionID(Live logsの一行一行)と考えるとわかりやすいかと思います。これらの値でログを整理すると障害調査しやすくなります。 ... View more

はじめに 本ドキュメントではSD-Access環境でISEのtroubleshootingが必要となった場合のログ取得/注意点について説明します。 基本的には ISE 2.x - Support Bundle の取得方法 ISE : バージョン情報の確認方法について の内容と重複しますが、SD-Access環境に特化した内容やISEでのログ取得の機会があまりなく手っ取り早く 把握したい方向けの内容になります(情報はISE 2.4から取得しています)。 まず、DNA CenterとISEの組み合わせのサポート可否に関しては SD-Access Product Compatibility が、適宜Updateされていきますのでこの表にある組み合わせになっているか確認をお願いします。 (こちらに無い組み合わせの場合、SR内で無条件でVersion変更をお願いする場合があります) ISEのVersionはGUIであれば、 の About Identity Services Engine で確認できます。 SSH/consoleではshow versionでわかります。ADE-OSのversionとは違うのでご注意ください。 Support Bundle取得方法 Support BundleはISEの障害調査に必要な情報をまとめたファイルになり、tarを圧縮・暗号化したgpg形式となっています。 Support Bundleの取得は(Primary/Secondary/standalone)PANのGUIから取得したいNodeを選択して実施します。 取得する項目はよくわからない場合全部checkが無難ですが、一般的な調査では 　debug logs/local logs/monitoring and reporting logs/system logs/policy configuration が含まれていればよいかと思います。 日付の選択はSupport Bundle生成時の15日前までとなります。 Support Bundleは必ず暗号化したものを生成するので暗号化方式としてPublic keyかShared keyを選択します。 前者では使用者がpasswordを設定する必要はありませんが解凍できるのは弊社のみとなります。 後者では解凍するには使用者が設定した復号password(Encryption key)が必要になります。　　 Public keyの場合は生成されるSupport bundleのファイル名に"-pk-" が含まれるのでわかります。 Create Support Bundleで生成開始となり、 進捗はProgress barから確認でき生成完了後PCにdownload可能です。 生成時間は使用状況によっては10数分以上かかる場合もありますが、その間他の作業も可能でありこのメニューに戻れば再び進捗確認可能です。生成完了するとDownloadから直接PCに取得可能です。 Debug logのログレベル変更 問題によっては調査を進める上でより詳細なログが必要となる場合があります。その場合は調査に有効そうなComponentのログレベルをDEBUGに変更し事象を再現させてからSupport bundleを取得します。ログレベルの変更はNode毎になります。 Primary PANのGUIから 変更が可能です。目的の事象を再現できたら、ログレベルを元に戻してSupport bundleを取得します。 (Reset to Defaultで初期状態に戻せます) SD-Accessでは ers, infrastructure, pxgrid, trustsec のコンポーネントのログレベルを上げてログ取得いただく場合が多いです。 SD-Accessに特化しないISEの機能に関するcomponentは上記の   ISE 2.x - Support Bundle の取得方法をご確認ください。 Support Bundleによらないログ取得 既に取得したいログファイルが特定されている場合は で個別にdownload(ファイルはzip形式に圧縮)が可能です。 最後に ひとまずPrimary PANのCLIでshow tech-supportの出力を取得することも現在のdeploymentの状況を把握するのに役立ちますのでSR起票時の添付としては有効です。 ... View more

はじめに 本投稿ではISEのBase License expired後の挙動に関して周知します。 挙動 ISE 2.4以降ではBase LicenseがExpireし45日経過すると、下絵のようにAdmin GUIでLicense import以外の操作ができなくなります。   継続利用される場合はLicenseを購入され、Importをお願いいたします。   なお、この状態でのAAA機能の動作は保証できませんのでご注意ください。 ... View more

はじめに 本投稿ではISE(Appliance/VM)で電源断/再起動をする前の推奨作業を周知します。 推奨内容 ISEの各VersionのAdministrator guideに以下(2.4の例)の内容が追記されています。 Shut Down an ISE Node Before you issue the halt command, it is advised that you stop Cisco ISE application service (snip) It is recommended that you stop the application process before rebooting the appliance.   VM/Applianceに関わらず、ISEのhalt/reload前にはapplication stop ise の実施を推奨します。 ... View more

  はじめに 本投稿ではISEにNAD(Network Access Device)を登録する際のDevice名制限に伴うトラブル事例を紹介します。 特にSD-Access環境で気づきにくいものとなります。   ISEでのDevice名制限 ISEではNADのNameに使用できる文字は下の絵のように制限されます(英数字, -._)。 この絵では'#'を入力したことで赤字のmessageが表示されています。 SD-AccessではなくISE GUIで直接Device登録する場合はこのメッセージが表示されそもそも登録できないため、気づきやすく問題にはなりません。   SD-Access環境構築中の問題 SD-Access環境では基本設定をしたNADをDNA CenterでdiscoveryしDNAC-ISE連携後NADをprovisioingしてDNA CenterからISEにNADを登録します。 Discovery時NADのNameはDNA Centerがhostnameから取得しそれをNameとしてISEに登録しようとします。 一般的なIOS/IOS-XE deviceではhostname commandで'#'を含む文字列はWarningが出るものの C9300#conf t Enter configuration commands, one per line. End with CNTL/Z. C9300(config)#hostname test#1 % Hostname contains one or more illegal characters. test#1(config)# *Jan 25 13:32:00 JST: %CNS-3-WARNING: CNS ID not changed: bad hostname -Process= "Exec", ipl= 0, pid= 369 *Jan 25 13:32:00 JST: %CNS-3-WARNING: CNS ID not changed: bad hostname -Process= "Exec", ipl= 0, pid= 369 *Jan 25 13:32:00 JST: %CNS-3-WARNING: CNS ID not changed: bad hostname -Process= "Exec", ipl= 0, pid= 369 test#1(config)# のように設定できてしまいます。 DNA Centerもこのような名前を特に無効とは判断せずISEに登録しようとしますが、ISE側は登録を受け付けません。しかしながらその際DNA Center/ISE 共に操作者に見えるようなメッセージを出さないため、後でISEにNADが登録されていないように見えることになります(debug logを確認すればこの問題が発生していることはわかります)。   ここで述べている状態は SD-Access ソリューション 1.2 シスコ検証済みデザイン導入ガイド - Cisco のP.78のステップ7の画面でNetwork Devicesに何も登録されていない状態のことです。 SD-Accessで使用するDeviceのhostnameを決める際には予めご注意ください。 The valid name can contain alphanumeric, hyphen(-), period(.) and underscore(_)   ... View more

  はじめに 本投稿ではISEでの各端末(session)の接続状況や遷移に関してRadiusSimulator.jarを使用して説明します。 RadiusSimulator.jarに関して RadiusSimulator.jarに関しては Radius Simulatorの紹介で紹介していますのでよろしければご覧ください。 なお上記投稿に従ってdownloadしたRadiusSimulator.jar(61443 bytes)は送信Attributeに関して不具合があるため、 https://pubhub.devnetcloud.com/media/pxgrid-api/docs/overview/RadiusSimulator.jar?0.4772549612997896 からdownloadしたもの(101981 bytes)のほうがよいと思います。 環境準備 本投稿ではISE2.3とjdk1.8がinstallされたWindows 10 PC(terminalはcygwin)を使用しています。 java/javacにpathが通っており、RadiusSimulator.jarが現在のdirectoryにあることを確認。 ISEにNADとしてRadiusSimulator.jarを使用するPCを登録する。 ISEに試験用accountを作成する。 試験開始 RadiusSimulator.jarでuser01とuser02に関して認証requestをISEに送信します。 赤枠がcommandになり、 java -cp RadiusSimulator.jar -DUSERNAME=user01 -DPASSWORD=cisco -DCALLING_STATION_ID=11:11:11:11:11:11 -DAUDIT_SESSION_ID=11111 -DFRAMED_IP_ADDRESS=192.168.200.111 -DFRAMED_IP_MASK=255.255.255.0 -DNAS_IP_ADDRESS=64.104.24.56 -DRADIUS_SECRET=cisco RadiusAuthentication 10.71.228.32 -Dの後にparameter名, =の後に値が入ります。上記ではuser01とuser02に関して認証requestを送信し、Code=2(AccessAccept)がISEから返されています。ISEでLive Sessionを見ると となっており、Statusが Authenticated Calling-station-idがEndpoint ID, 仮想端末のIPが Framed-ip-address, Audit-session-idが設定通りになっていることがわかります。今回は認証requestなので最後が　RadiusAuthentication となっています。 次にAccounting Request(start)を各Sessionに関して送信します。 認証requestからの変更点は引数として-DACCT_SESSION_ID=XXXXX が追加され、RadiusAuthenticationがRadiusAccountingStartになっている点です。 ISEでLive Sessionを見ると Statusが Started に変わり、Account Session IDがコマンド通り追加されます。 AUDIT_SESSION_ID, ACCT_SESSION_ID に関してはsession内では固定値となる必要があります(AUDIT_SESSION_IDとACCT_SESSION_IDがイコールである必要はありません) 試しにuser02側のSessionを止めてみます。 コマンドの変更点はRadiusAccountingStartを RadiusAccountingStop に変えたのみです。 ISEのLive Sessionでは Terminated に変わっています。この状態で5分程たつとLive Sessionの一覧から削除されます。 これがSessionのLifecycleになります。 RADIUS Accountingが設定されていないと、StatusがAuthenticated止まりとなりその後どれくらいの時間でSessionが削除されるかや、 Startedのものが放っておくとどうなるかといったことも確認可能です。 ... View more

  はじめに Cisco DevNetでdownloadできるRadiusSimulator.jarを使ってRADIUS serverの簡単な動作確認をNAD(Network Access Device, AAA client)無しでできます。 本投稿ではそれを紹介します。   RadiusSimulator.jarの入手 Cisco DevNetにaccessし右上の"LOG IN"をクリックすると のようにGithub, Google, Facebook, Cisco(CCO)等のaccountでログインできます。   ログイン後 Technologies > Security > pxGrid をクリック   pxGrid関連のページに飛ぶので、Downloads > Load Traffic Simulator をクリックすると 入手できます。   検証環境準備 本投稿で使用している機材は JDK(1.8.0.144)がinstallされているWindows 7 PC(OSはMAC OSXでもLinuxでもよいと思います) Setup済みのISE 2.3 のみです。   ISE側の設定は認証account とNADとしてのRadiusSimulator PC です。   RadiusSimulator.jarの実行 実行コマンドは --- java -cp RadiusSimulator.jar -DUSERNAME=user01   -DPASSWORD=cisco   -DCALLING_STATION_ID=00:11:22:33:44:BB   -DAUDIT_SESSION_ID=11112   -DACCT_SESSION_ID=21112   -DFRAMED_IP_ADDRESS=192.168.100.102   -DFRAMED_IP_MASK=2 55.255.255.0   -DNAS_IP_ADDRESS=10.141.32.60   -DRADIUS_SECRET=cisco123   RadiusAuthentication   10.71.228.32 --- です。java コマンドにpathが通っており、RadiusSimulator.jarがあるdirectoryで実行することになります。 USERNAME/PASSWORD/NAS_IP_ADDRESS/RADIUS_SECRETはISEで設定してある値であり、それ以外はひとまず任意です。また、RadiusAuthenticationの後のIPはISEのIPで、NAS_IP_ADDRESSはRadiusSimulator.jarを動かしているPCのIPです。パラメータは適宜変更して下さい。   実行結果は の通りで、code=2はAccess AcceptがISEから返ったことを意味しており、以降はコマンドに対するレスポンスです。 ISE側で見ると   となります。   RadiusSimulator.jarの他のコマンドは   https://learninglabs.cisco.com/lab/pxgrid-intro-java/step/3 に例があります。 ... View more

はじめに ISEではLive log, Report, Context visibilityといったデータ表示の画面がいくつかありますが、表示内容をカスタマイズ可能です。 本投稿ではそれを紹介します。 カスタマイズボタン(Gear アイコン)の例 画面の右上にアイコンがあります。 Livelog Reports Context visibility   カスタマイズ方法 Livelogを例に説明します。Gearアイコンをクリックすると のように表示可能項目の一覧が表示されます。     各行の左端をクリックしてマウスを上下に移動することでその項目の表示順を変更できます。左から二列目のチェックボックスでその項目の表示/非表示を選択できます。Session IDにチェックを入れ上から二番目に移動し "Go" をクリックすると のように元のTime列/Status列の間にSession IDを表示できます。 これはadministrator account毎に保存可能です。元に戻したい場合は"Go"の下の"Reset to Default"をクリックします。 各項目の表示/非表示、表示順序をそれぞれの画面で設定可能です。 データのエクスポート "Export To(Export)" で、csvやpdfにデータを保存することが可能です。 Exportした内容は画面のカスタマイズに連動するものとそうでないものがあるので、一度確認の上利用下さい。 ... View more

はじめに ASAでCSR(Certificate Signing Request)を作成後、対応する証明書をimportする前にASAを再起動(意図したもの、意図しないものに関わらず)するとASDMからCSRが見えなくなり、importができなくなります。本記事ではそうなった時の対処を記載します。   CSRの作成 ASDMでは Configuration > Device Management > Certificate Management > Identity Certificates > Add から   Add Certificate でCSRが作成されます。     CLIでは以下の設定になります。 asa01# sho run crypto ca trustpoint CSRTEST crypto ca trustpoint CSRTEST enrollment terminal subject-name CN=asa01 keypair csrtestkeypair crl configure asa01#   再起動後の状態 通常は証明書を入手次第、下のようにCSRを選択するとInstallが可能になります。     証明書をInstallする前に何らかの理由でASAが再起動されると   CSRが消えてしまい、Installが出来なくなってしまいます。   対処 このような状態になった時は、CLIで当該trustpointが残っていることを確認し、 asa01# sho run crypto ca trustpoint CSRTEST crypto ca trustpoint CSRTEST enrollment terminal subject-name CN=asa01 keypair csrtestkeypair crl configure asa01#   crypto ca enroll <trustpoint名> をconfig modeで実行すると、 asa01# conf t asa01(config)# **crypto ca enroll CSRTEST** % Start certificate enrollment .. % The subject name in the certificate will be: CN=asa01 % The fully-qualified domain name in the certificate will be: asa01.hogesystems.com % Include the device serial number in the subject name? [yes/no]: no Display Certificate Request to terminal? [yes/no]: yes Certificate Request follows: -----BEGIN CERTIFICATE REQUEST----- MIIBuTCCASICAQAwNjEOMAwGA1UEAxMFYXNhMDExJDAiBgkqhkiG9w0BCQIWFWFz YTAxLmhvZ2VzeXN0ZW1zLmNvbTCBnzANBgkqhkiG9w0BAQEFAAOBjQAwgYkCgYEA rD4DRVYB6kogbThlk5BTifx05w2yPH/IIiCSrYpU80wD0P+9Af81tUU+y1a6FQff Ms4LCfPx1uup8CriQtfaQ2vWYhPAp3fm1ORNzbVzxNKt1eQej6ALTHXhA+MwUXfB APxCIBVTWVFvdJPybGuZQoSh/iknvYec7PKn8y+l4DkCAwEAAaBDMEEGCSqGSIb3 DQEJDjE0MDIwDgYDVR0PAQH/BAQDAgWgMCAGA1UdEQQZMBeCFWFzYTAxLmhvZ2Vz eXN0ZW1zLmNvbTANBgkqhkiG9w0BAQUFAAOBgQBs/pJtuuxCY0vI9Zpni1aj1cBz 2LkiXG/Tx32pK1pJHqLsvmC3+ET+Y6ZHMAUGvfMNag8kVP2ZaleRBx21mjiI2Vr2 u0s830EAmBrAkTX6ptG/YUGj07PCColAYjarqU4ag6Ybu9JbIQ8k9eyzngqAYhxV 8kEcW2OHfVNmmDHF/Q== -----END CERTIFICATE REQUEST----- Redisplay enrollment request? [yes/no]: no asa01(config)#   ASDMでRefreshすると、CSRが復帰し証明書のInstallをすることが可能になります。   CSRの作成/証明書の発行をし直す前に一度試してみるとよいと思います。   ... View more

  [はじめに] - 目的 当社製品に限らず電子証明書を使ったAAA処理の検証では製品で自己署名証明書を作成したり 製品でCSRを作成しそれをPrivate CAで署名、公的な証明書発行機関で署名の必要がありますが、 OpenSSLを使用することでWindows/MAC/Linuxのような通常の端末だけで証明書の発行まで可能です。 本ドキュメントでは証明書の作成、当社製品への適用例を挙げ検証の敷居が低くなればと思います。 - 準備 OpenSSLは多くのMAC/Linuxで最初から使えると思いますので、terminalでwhich opensslで確認ください。 WindowsではOpenSSLインストーラのバイナリやCygwin(https://cygwin.com/)でOpenSSLの導入が可能です。 本ドキュメントではCygwinでinstallしたOpenSSLを使用します。 openssl関連ドキュメントでは多くの場合サーバ上で1つCAをたてる目的でOpenSSLに付属のCA.shを使用して いますが、本ドキュメントでは複数の検証のための複数の証明書chainや容易に作成容易にやり直しが可能な 例を示します。 以降太字は実際の入力になります。 - 検証directory作成 適当に専用のdirectoryを作成し、opensslにpathが通っていることを確認 hiyoko@hiyoko-PC ~/certlab$ mkdir lab10 hiyoko@hiyoko-PC ~/certlab$ cd lab10 hiyoko@hiyoko-PC ~/certlab/lab10$ which openssl /usr/bin/openssl このdirectoryに以下の方法で各ファイルをそれぞれ作成 hiyoko@hiyoko-PC ~/certlab/lab10$ echo "01" > serial hiyoko@hiyoko-PC ~/certlab/lab10$ echo "00" > crlnumber hiyoko@hiyoko-PC ~/certlab/lab10$ touch index.txt hiyoko@hiyoko-PC ~/certlab/lab10$ openssl.cfg openssl.cfgには以下(オリジナルのopenssl.cnfから不要な箇所を削除・編集してます)をコピー openssl.cfg HOME = . RANDFILE = $ENV::HOME/.rnd [ ca ] default_ca = CA_default # The default ca section [ CA_default ] dir = . database = $dir/index.txt new_certs_dir = $dir serial = $dir/serial crlnumber = $dir/crlnumber RANDFILE = $dir/.rand # private random number file x509_extensions = usr_cert # The extentions to add to the cert name_opt = ca_default # Subject Name options cert_opt = ca_default # Certificate field options crl_extensions = crl_ext default_days = 365 default_crl_days= 30 default_md = default # use public key default MD preserve = no # keep passed DN ordering policy = policy_match [ policy_match ] countryName = match stateOrProvinceName = match organizationName = match organizationalUnitName = optional commonName = supplied emailAddress = optional [ req ] default_bits = 2048 distinguished_name = req_distinguished_name x509_extensions = rca string_mask = utf8only [ req_distinguished_name ] [ usr_cert ] [ crl_ext ] authorityKeyIdentifier=keyid:always [ rca ] subjectKeyIdentifier=hash authorityKeyIdentifier=keyid:always,issuer basicConstraints = CA:true keyUsage = digitalSignature, cRLSign, keyCertSign [ ica ] subjectKeyIdentifier = hash authorityKeyIdentifier = keyid:always, issuer basicConstraints = CA:TRUE, pathlen:0 keyUsage = digitalSignature, cRLSign, keyCertSign [ svr ] extendedKeyUsage = serverAuth nsComment = "OpenSSL Generated Certificate" basicConstraints = CA:FALSE keyUsage = digitalSignature, keyEncipherment subjectKeyIdentifier = hash authorityKeyIdentifier = keyid, issuer crlDistributionPoints = URI:http://www.hogesystems.com/revoke.crl authorityInfoAccess = OCSP;URI:http://ocsp.hogesystems.com subjectAltName = @alt_names [alt_names] DNS.1 = srv1.hogesystems.com DNS.2 = srv1.hogesystems.co.jp [ usr ] extendedKeyUsage = clientAuth, emailProtection nsComment = "OpenSSL Generated Certificate" basicConstraints = CA:FALSE keyUsage = digitalSignature, keyEncipherment subjectKeyIdentifier = hash authorityKeyIdentifier = keyid, issuer crlDistributionPoints = URI:http://www.hogesystems.com/revoke.crl authorityInfoAccess = OCSP;URI:http://ocsp.hogesystems.com [ ocsp ] basicConstraints = CA:FALSE subjectKeyIdentifier = hash authorityKeyIdentifier = keyid,issuer keyUsage = critical, digitalSignature, keyEncipherment, nonRepudiation extendedKeyUsage = critical, OCSPSigning この例では架空のHoge Systems社(東京港区六本木)の証明書chainを作成します。 以降ファイル名で使用しているkeyは秘密鍵、crtは証明書、csrは署名要求の意味です。 Subject/passphrase等は適宜変更ください。 検証が終了したらこのdirectoryを削除、別パラメータでchainを作る場合は別direcotryで上記を準備ください。 OpenSSLのコマンドには非常に多くのオプションがありますが、優良なdocumentがInternet上に多くあるので不明なものは 確認ください。   [CA証明書の作成] - Root CA 自分で自分の署名をするので、 hiyoko@hiyoko-PC ~/certlab/lab10$ openssl req -new -x509 -config openssl.cfg -extensions rca -newkey rsa:2048 -keyout rcakey.pem -subj "/C=JP/ST=Tokyo/L=Roppongi/O=HogeSystems/OU=RCA/CN=rca.hogesystems.com/emailAddress=rca-admin@hogesystems.com" -days 3650 > rcacrt.pem Generating a 2048 bit RSA private key .......................................................................................+++ ...............+++ writing new private key to 'rcakey.pem' Enter PEM pass phrase: cisco123 Verifying - Enter PEM pass phrase: cisco123 hiyoko@hiyoko-PC ~/certlab/lab10$ "rca"はopenssl.cfg内で使用しているSection名です(Root CA)。 "cisco123"はroot CAの秘密鍵で署名する際のpassphraseです。 入力しても実際には表示されません。   - 中間CA hiyoko@hiyoko-PC ~/certlab/lab10$ openssl req -new -config openssl.cfg -sha256 -newkey rsa:2048 -keyout icakey.pem -subj "/C=JP/ST=Tokyo/L=Roppongi/O=HogeSystems/OU=ICA/CN=ica.hogesystems.com/emailAddress=ica-admin@hogesystems.com" > icacsr.pem Generating a 2048 bit RSA private key .........................................................+++ ......................................................................................+++ writing new private key to 'icakey.pem' Enter PEM pass phrase: cisco1234 Verifying - Enter PEM pass phrase: cisco1234 hiyoko@hiyoko-PC ~/certlab/lab10$ openssl ca -config openssl.cfg -notext -extensions ica -md sha256 -keyfile rcakey.pem -cert rcacrt.pem -days 1825 -in icacsr.pem > icacrt.pem Using configuration from openssl.cfg Enter pass phrase for rcakey.pem: cisco123 Check that the request matches the signature Signature ok Certificate Details: Serial Number: 1 (0x1) Validity Not Before: Oct 11 05:41:16 2017 GMT Not After : Oct 10 05:41:16 2022 GMT Subject: countryName = JP stateOrProvinceName = Tokyo organizationName = HogeSystems organizationalUnitName = ICA commonName = ica.hogesystems.com emailAddress = ica-admin@hogesystems.com X509v3 extensions: X509v3 Subject Key Identifier: 9F:34:27:66:FF:92:0B:68:A1:BF:60:51:57:49:B0:C5:28:A7:CC:49 X509v3 Authority Key Identifier: keyid:0E:23:BA:E3:35:2B:DF:85:9D:56:4B:4D:08:06:2A:BB:54:C9:BB:01 X509v3 Basic Constraints: CA:TRUE, pathlen:0 X509v3 Key Usage: Digital Signature, Certificate Sign, CRL Sign Certificate is to be certified until Oct 10 05:41:16 2022 GMT (1825 days) Sign the certificate? [y/n]:y 1 out of 1 certificate requests certified, commit? [y/n]y Write out database with 1 new entries Data Base Updated hiyoko@hiyoko-PC ~/certlab/lab10$ "ica"はopenssl.cfg内で使用している名前です(Intermediate CA) "cisco1234"は中間CAの秘密鍵で署名する再のpassphraseです。 ここまでで hiyoko@hiyoko-PC ~/certlab/lab10$ ls 01.pem icacsr.pem index.txt.attr rcacrt.pem serial.old crlnumber icakey.pem index.txt.old rcakey.pem icacrt.pem index.txt openssl.cfg serial hiyoko@hiyoko-PC ~/certlab/lab10$ のようなファイルが作成されています。   [非CA証明書(サーバ用/クライアント用)の作成] - サーバ用証明書 hiyoko@hiyoko-PC ~/certlab/lab10$ openssl req -new -config openssl.cfg -sha256 -newkey rsa:2048 -keyout svr1key.pem -subj "/C=JP/ST=Tokyo/L=Roppongi/O=HogeSystems/OU=JTAC/CN=svr01.hogesystems.com/emailAddress=svr01-admin@hogesystems.com" -out svr1csr.pem Generating a 2048 bit RSA private key ...............+++ .........................................................................+++ writing new private key to 'svr1key.pem' Enter PEM pass phrase: cisco Verifying - Enter PEM pass phrase: cisco hiyoko@hiyoko-PC ~/certlab/lab10$ openssl ca -config openssl.cfg -notext -extensions svr -md sha256 -keyfile icakey.pem -cert icacrt.pem -in svr1csr.pem -out svr1crt.pem -days 365 Using configuration from openssl.cfg Enter pass phrase for icakey.pem: cisco1234 Check that the request matches the signature Signature ok Certificate Details: Serial Number: 2 (0x2) Validity Not Before: Oct 11 05:49:23 2017 GMT Not After : Oct 11 05:49:23 2018 GMT Subject: countryName = JP stateOrProvinceName = Tokyo organizationName = HogeSystems organizationalUnitName = JTAC commonName = svr01.hogesystems.com emailAddress = svr01-admin@hogesystems.com X509v3 extensions: X509v3 Extended Key Usage: TLS Web Server Authentication Netscape Comment: OpenSSL Generated Certificate X509v3 Basic Constraints: CA:FALSE X509v3 Key Usage: Digital Signature, Key Encipherment X509v3 Subject Key Identifier: B3:CD:2F:FE:00:3E:00:F5:9B:05:86:D0:F7:A0:05:D2:FF:2F:12:AE X509v3 Authority Key Identifier: keyid:9F:34:27:66:FF:92:0B:68:A1:BF:60:51:57:49:B0:C5:28:A7:CC:49 X509v3 CRL Distribution Points: Full Name: URI:http://www.hogesystems.com/revoke.crl Authority Information Access: OCSP - URI:http://ocsp.hogesystems.com X509v3 Subject Alternative Name: DNS:srv1.hogesystems.com, DNS:srv1.hogesystems.co.jp Certificate is to be certified until Oct 11 05:49:23 2018 GMT (365 days) Sign the certificate? [y/n]:y 1 out of 1 certificate requests certified, commit? [y/n]y Write out database with 1 new entries Data Base Updated hiyoko@hiyoko-PC ~/certlab/lab10$ 当社製品ではISE, ACS, ASA等にimportすることを想定したServer証明書になります。 X509v3 Extended Key UsageをTLS Web Server Authenticationとしています。 "svr"はopenssl.cfg内で使用している名前です。 "cisco"はこの証明書の秘密鍵のpassphraseです。   - クライアント用証明書 hiyoko@hiyoko-PC ~/certlab/lab10$ openssl req -new -config openssl.cfg -sha256 -newkey rsa:2048 -keyout pc1key.pem -subj "/C=JP/ST=Tokyo/L=Roppongi/O=HogeSystems/OU=JTAC/CN=pc01.hogesystems.com/emailAddress=emp01@hogesystems.com" -out pc1csr.pem Generating a 2048 bit RSA private key ......................................+++ ..........................+++ writing new private key to 'pc1key.pem' Enter PEM pass phrase: cisco Verifying - Enter PEM pass phrase: cisco hiyoko@hiyoko-PC ~/certlab/lab10$ openssl ca -config openssl.cfg -notext -extensions usr -md sha256 -keyfile icakey.pem -cert icacrt.pem -in pc1csr.pem -out pc1crt.pem -days 365 Using configuration from openssl.cfg Enter pass phrase for icakey.pem: cisco1234 Check that the request matches the signature Signature ok Certificate Details: Serial Number: 3 (0x3) Validity Not Before: Oct 11 06:03:30 2017 GMT Not After : Oct 11 06:03:30 2018 GMT Subject: countryName = JP stateOrProvinceName = Tokyo organizationName = HogeSystems organizationalUnitName = JTAC commonName = pc01.hogesystems.com emailAddress = emp01@hogesystems.com X509v3 extensions: X509v3 Extended Key Usage: TLS Web Client Authentication, E-mail Protection Netscape Comment: OpenSSL Generated Certificate X509v3 Basic Constraints: CA:FALSE X509v3 Key Usage: Digital Signature, Key Encipherment X509v3 Subject Key Identifier: 74:AC:2F:CB:E3:DC:E3:1B:02:B8:F7:FC:2A:F4:40:6C:BB:7F:8C:F3 X509v3 Authority Key Identifier: keyid:9F:34:27:66:FF:92:0B:68:A1:BF:60:51:57:49:B0:C5:28:A7:CC:49 X509v3 CRL Distribution Points: Full Name: URI:http://www.hogesystems.com/revoke.crl Authority Information Access: OCSP - URI:http://ocsp.hogesystems.com Certificate is to be certified until Oct 11 06:03:30 2018 GMT (365 days) Sign the certificate? [y/n]:y 1 out of 1 certificate requests certified, commit? [y/n]y Write out database with 1 new entries Data Base Updated hiyoko@hiyoko-PC ~/certlab/lab10$ 802.1xのsupplicantや当社のAnyConnectにimportすることを想定したClient証明書になります。 X509v3 Extended Key UsageをTLS Web Client Authenticationとしています。 "usr"はopenssl.cfg内で使用している名前です。 "cisco"はこの証明書の秘密鍵のpassphraseです。 もう一つpc2/emp02のクライアント証明書を作成しておきます。   [CRLの作成] ここまでで hiyoko@hiyoko-PC ~/certlab/lab10$ ls 01.pem icacsr.pem openssl.cfg pc2key.pem svr1csr.pem 02.pem icakey.pem pc1crt.pem rcacrt.pem svr1key.pem 03.pem index.txt pc1csr.pem rcakey.pem 04.pem index.txt.attr pc1key.pem serial crlnumber index.txt.attr.old pc2crt.pem serial.old icacrt.pem index.txt.old pc2csr.pem svr1crt.pem hiyoko@hiyoko-PC ~/certlab/lab10$ のようなファイルが作成されています。 pc1のクライアント証明書だけrevokeしておきます。 hiyoko@hiyoko-PC ~/certlab/lab10$ openssl ca -config openssl.cfg -cert rcacrt.pem -keyfile rcakey.pem -revoke pc1crt.pem Using configuration from openssl.cfg Enter pass phrase for rcakey.pem: cisco123 Revoking Certificate 03. Data Base Updated ここまで触れていなかったindex.txtをみてみると hiyoko@hiyoko-PC ~/certlab/lab10$ cat index.txt V 221010054116Z 01 unknown /C=JP/ST=Tokyo/O=HogeSystems/OU=ICA/CN=ica.hogesystems.com/emailAddress=ica-admin@hogesystems.com V 181011054923Z 02 unknown /C=JP/ST=Tokyo/O=HogeSystems/OU=JTAC/CN=svr01.hogesystems.com/emailAddress=svr01-admin@hogesystems.com R 181011060330Z 171011062912Z 03 unknown /C=JP/ST=Tokyo/O=HogeSystems/OU=JTAC/CN=pc01.hogesystems.com/emailAddress=emp01@hogesystems.com V 181011061448Z 04 unknown /C=JP/ST=Tokyo/O=HogeSystems/OU=JTAC/CN=pc02.hogesystems.com/emailAddress=emp02@hogesystems.com pc01のみRとなっておりこれがrevokeを意味します。 先のコマンドではindex.txtを編集しただけなのでCRLを作成します。 hiyoko@hiyoko-PC ~/certlab/lab10$ openssl ca -gencrl -config openssl.cfg -cert icacrt.pem -keyfile icakey.pem > icacrl.pem Using configuration from openssl.cfg Enter pass phrase for rcakey.pem: cisco123 これでicacrl.pemというCRLが作成されます。 hiyoko@hiyoko-PC ~/certlab/lab10$ ls 01.pem icacrt.pem index.txt.old pc2csr.pem serial.old 02.pem icacsr.pem openssl.cfg pc2key.pem svr1crt.pem 03.pem icakey.pem pc1crt.pem icacrl.pem svr1csr.pem 04.pem index.txt pc1csr.pem rcacrt.pem svr1key.pem crlnumber index.txt.attr pc1key.pem rcakey.pem crlnumber.old index.txt.attr.old pc2crt.pem serial hiyoko@hiyoko-PC ~/certlab/lab10$ - CRLの使用 HTTP serverをこのdirectoryで起動しておくと、ISE/ACS/ASA等からCRLのdownloadができます。 ソフトウェアは何でも構いませんが、ここではpythonを使用しています。 pythonもopenssl同様cygwinでのinstallが可能でMAC/Linuxでは初めから使用可能です。 hiyoko@hiyoko-PC ~/certlab/lab10$ python -m SimpleHTTPServer 8080 Serving HTTP on 0.0.0.0 port 8080 ... 10.6.8.100 - - [10/Oct/2017 20:14:32] "GET /icacrl.pem HTTP/1.1" 200 - 10.6.8.100 - - [10/Oct/2017 20:14:32] "GET /icacrl.pem HTTP/1.1" 200 - (snip) 上記は10.6.8.100のAAA serverからのCRLのdownloadが成功していることを意味してます。 - OCSPの使用 OpenSSLはocspのserver(responder)にもなります。 hiyoko@hiyoko-PC ~/certlab/lab10$ openssl ocsp -ignore_err -index index.txt -CA rcacrt.pem -rsigner rcacrt.pem -rkey rcakey.pem -port 80 Enter pass phrase for rcakey.pem: Waiting for OCSP client connections... で待ち受けるので別terminalやAAA serverからQueryを送信すれば hiyoko@hiyoko-PC ~/certlab/lab10$ openssl ocsp -issuer rcacrt.pem -nonce -CAfile rcacrt.pem -url http://localhost -serial 3 Response verify OK 3: revoked This Update: Oct 11 07:20:29 2017 GMT Revocation Time: Oct 11 06:29:12 2017 GMT hiyoko@hiyoko-PC ~/certlab/lab10$ openssl ocsp -issuer rcacrt.pem -nonce -CAfile rcacrt.pem -url http://localhost -serial 4 Response verify OK 4: good This Update: Oct 11 07:20:32 2017 GMT のようにCRL通りのresponseを返します(先にRevokeをした証明書のSerialNoは3です)。   [証明書の適用] 作成した証明書の適用例を簡単に記載します(例はACS5.8です)。 rcacrt.pem/icacrt.pemは Users and Identity Stores > Certificate Authorities でAddします。 CRLのURLも設定されています。   svr1crt.pemは System Administration > Configuration > Local Server Certificates > Local Certificates でAddします。   OCSP設定は Network Resources > OCSP Services でCreateします。 CRLの設定の代わりにOCSPのCheckを有効にすることで動作します。   クライアントへは(ここではWindows) MMCから証明書のsnap-inを開きクライアント証明書(pkcs12)、(中間)CA証明書をインポートします。   [よく使いそうなコマンド] 証明書と秘密鍵からpkcs12形式の証明書を作成 Windowsでクライアント証明書をimportする際等に使用します。 openssl pkcs12 -export -inkey pc1key.pem -in pc1crt.pem -out pc1.p12 PEM <-> DER変換 PEM(-----BEGIN CERTIFICATE-----等で始まるtext形式)を扱えずDER(Binary形式)が必要な製品がありえます。 openssl x509 -inform pem -outform der -in pc1crt.pem -out pc1crt.der 証明書の閲覧 openssl x509 -text -noout < pc1crt.pem 証明書の検証 rcacrt.pem->icacrt.pem->pc1crt.pemのチェーンが成立しているか確認する。 openssl verify -CAfile <(cat rcacrt.pem icacrt.pem) pc1crt.pem ... View more

    概要 本ドキュメントはISEで発生しうるdisk full issueに関する注意喚起となります。   内容 ISE でルートパーティションの使用率が 100% になってしまう事象 ( その結果認証サーバとしても動作不能 ) が複数件発生しております。過去にも /opt partition にて 100% はありましたが、 /( ルートパーティション ) で発生すると SSH や console も接続不可となり完全に制御不能となる可能性が高くなります。関連の不具合としては      CSCvc74307:  /var/cache/logwatch temp files are not removed  CSCvc74300:  /var/log/secure is fastly growing   CSCvc61195:  ADE.log/backup.log/restore.log logrotate not working     が上げられます(これらのIDは2.0patch5, 2.2patch1で修正済みであり、2.1はpatch4に盛り込む予定です。)       前兆は     で設定可能な       May 17 15:31:18 ise21a CISE_System_Statistics 0000000007 1 0 2017-05-17 15:31:18.236 +09:00 0000013101 70000 NOTICE System-Stats: ISE Utilization , ConfigVersionId=663, SysStatsUtilizationCpu=9.88%, SysStatsUtilizationNetwork=eth0: rcvd = 289037\; sent = 176430 \;rcvd_dropped = 0\; sent_dropped = 0, SysStatsUtilizationMemory=66.41%, SysStatsUtilizationDiskIO=1.54%, SysStatsUtilizationDiskSpace=22% / , SysStatsUtilizationDiskSpace=23% /boot, SysStatsUtilizationDiskSpace=1% /tmp, SysStatsUtilizationDiskSpace=2% /storedconfig, SysStatsUtilizationDiskSpace=24% /opt, AverageRadiusRequestLatency=0, AverageTacacsRequestLatency=0, DeltaRadiusRequestCount=0, DeltaTacacsRequestCount=0, SysStatsUtilizationLoadAvg=0.42, SysStatsCpuCount=2, SysStatsProcessMemoryMB=7079, ActiveSessionCount=4,   上記ログ赤字の%値で把握できます。 この値 が 80-90% 以上 になっている場合は TAC に SR をいただければ Linux の shell に access する 非公式の patch と対処 instruction を提供いたします。   100% になってしまい CLI access も不可な状況に陥った場合は追加で Boot 専用の ISO image での復旧を 案内いたします。       ... View more

    概要 ISEではtroubleshooting時によくsupport-bundleやpacket captureの取得をしますが、1.3からEndPoint Debugという機能が追加されました。support-bundleはISE node毎に一括してログ等を取得しますが、トラブルの原因となっているComponentを有る程度推測し、そのlog levelを手動で(DEBUG/TRACEに)上げて事象再現後の再取得が必要となる場合が多々あります。 一方EndPoint Debugは特定のデバイス/クライアント(端末)に 関連するログを全てDEBUG levelで取得 します。ユーザは特に どの Componentが怪しいかを意識することやlog levelの手動変更が不要 になります。 その特性から、ある端末はつながるが別の端末はつながらないといった場合にそれぞれEndPoint Debugを取得し内容を比較することや特定の端末がつながるときとつながらないときがあるといった場合にそれぞれを取得・比較することで原因特定につながることが考えられます。 逆にISEのNode間通信で問題がある、ISEがHigh CPU状態になるといったSystemの問題調査には有用ではない場合が多くなります。 本ドキュメントではISEでのEndPoint Debug取得方法を紹介します。 ・基本的にVersion依存はありません。 ・本ドキュメント作成で確認したVersionは2.1patch1です。   手順 ISE GUIで  Operations > Troubleshoot > Diagnostic Tools > EndPoint Debug の順にメニューを選択し、確認したい端末のMAC addressもしくはIP addressを入力しておきます。Startボタンをクリックするとログ取得が開始します。   開始の前に 警告(後述します) が表示されますが、Continueをクリックします。   取得中はStatusが Processing と表示されます。当該端末の接続を開始し、成功もしくは目的の事象の発生を確認後Stopをクリックします。   Statusが Stopped に変わり、ファイルが生成されているのがわかります。   ファイル名をクリックするとzipファイルとしてdownload可能です。    zip fileのdownload完了後はそのファイルをcheckしDelete FilesでISE上から削除可能です。   zip fileのサイズは接続の内容によりますが、数百キロバイト程度になります。Refresh後ファイルが削除されたことが確認できます。   Start -> 再現トライ -> Stopの流れはISE GUIでのtcpdumpと同様のイメージになります。   ファイルはTAC Service Reqeustにて送付ください。   注意点 このOperationはPAN GUIで実施しますが、端末がPSNで認証される場合等ではDEBUG levelのDebug ログのNode間通信が発生しある程度負荷となることが考えられます(上記の 警告 )。そのため、Automatic DisableにDefaultでcheckが入っております。 多数の端末に関して同時に取得や長時間の連続稼動はDeploymentに影響が出る可能性があります。     ... View more

    概要 本ドキュメントではACSでの手軽なpacket capture取得方法を紹介します。 ・基本的にVersion依存はありません。 ・本ドキュメント作成で確認したVersionは5.8patch6です。   前提環境 本ドキュメントでは例として以下の構成を使用します。 ACS   ----  (10.6.8.100) NAD   ----  (10.6.250.250) FTP server ---- (10.6.200.7) ACS-NAD間のtrafficをcaptureし、取得データをftp serverにUploadします。   実施例 以下は実例の画面キャプチャーです。   補足 上記の実施例では   tech dumptcp "-s 0 -i eth0 host 10.6.8.100 and host 10.6.250.250 -w captest.cap" コマンドでcaptureを開始し、確認したいトラフィックを流した後でCtrl-C でcaptureを終了しています。dirコマンドでACS上にcaptest.capのファイルが生成されていることが確認できるので、  copy disk:/captest.cap ftp://10.6.200.7 でACSからFTP serverにファイルをUploadしています。Username:/Password:はFTP serverのcredentialです。FTP serverは暫定的なもので構わずACS側でrepository設定は不要です。また、deleteコマンドでそのファイルをACS上から削除できます。 tech dumptcpの" "内は一般的なtcpdumpのoptionを使用できますので、もっと限定したtrafficを取得できる場合があります。 取得したファイルは以下のようにwiresharkで開くことが可能です。   ... View more

ACS5のCLIにも show running-config と show startup-config commandが存在します 。 通常、機器の再起動直後であればCLI設定の変更も無く   ( show running-config の出力) = ( show startup-config の出力) となるはずですが、ACSの configuration backupをrestoreしたことに伴う機器の自動再起動直後では差分が発生 する場合があります。 考えられるシナリオとしては、GUIからrepositoryの設定を変更しCLIにて write memory する前にconfiguration backupを取得するというものがあります。 GUIからrepository設定を変更した場合、それは runnning-configには即時更新 されますが、 startup-configの更新は write memory 実施がtrigger となります。 configuration backupはstartup-configとrunning-configを別々に保存している ため、 write memory 以前に backupを生成すると startupとrunnningの内容が違う状態 で保存されます。 それをrestoreすると再起動直後でもstartupとrunningで内容の不一致が発生 します。 こちらは不具合ではなく実装通りの動作となってなっております。このような状態で誤解を避ける意味で configuration backupを取得する場合は直前にCLIでwrite memoryを実施 いただくことを推奨しております。   ... View more

ISEでは  Operations > Troubleshoot > Diagnostic Tools > General Tools > TCP Dump にてInterface毎に条件をつけて packet captureを取得することが可能 となっております。 ISE1.1にて稀にTCP DumpをStart後 StopできずStatusが "Cleaning Up" もしくは "loading" の状態で固まってしまうことが報告されております。 この場合、以降TCP dumpを使用することができなくなってしまいます。 ConsoleでのCLI access後 Enter 入力 で復旧した報告もありますが、通常は - ISE servicesのrestart (application ise stop -> application ise start ) - OSを含むreload のいずれかが必要となります。 これらが難しい場合はTAC SRにてOS(Linux)のshellへの直接accessを可能にする 非公式patchを提供 させていただき、 stuckしているtcpdumpのprocessを直接killする という方法もあります。   ... View more