AnyWeb Practice Circle: Cisco ISE verbindet ACI und …€¦ · AnyWeb Practice Circle: Cisco ISE...

AnyWeb Practice Circle: Cisco ISE verbindet ACI und SDA

Wim van MoorselFabian AeppliMaria KocebaEdi Layritz

AnyWeb AGPractice Circle Oktober 2017Page 2

End-to-End

Campus Data Center

Security / PolicyScalability

Präsentationen

Die Präsentationen stehen nach der Veranstaltung auf der AnyWeb Homepage zum Download bereit: https://www.anyweb.ch/events/

Begrüssung und Einführung 13:30 Use case: Segmentierung und Zonierung 13:45 Labor Aufbau: End-zu-End Segmentierung 14:00 DNA/SDA Einstieg 14:30 Kurze Pause 14:45 Einführung DNA Center mit Demo 15:00 ACI vergleichbar mit SDA 15:30 End-zu-End Geschichte mit DNA 15:45 DNA Readiness (Migration) 16:00 Networking und Apéro 16:15

– Austausch mit den Spezialisten

Agenda Practice Circle, 30. Oktober 2017

End-2-End Segmentierungmit Cisco TrustSecMaria Koceba

Authentisierte Netzwerkinfrastruktur Rollenbasierte Zugriffskontrolle Sichere Kommunikation mit L2 Encryption

Cisco TrustSec

Rollenbasierte Zugriffskontrolle

- statisch- dynamisch

- Inline tagging- SXP

- Group Based Policies ACLs - Firewall Rules

- Die Lösung ist Netzwerktopologie unabhängig- basiert auf Security Group Tags – einer Software

definierten Segmentierung (SDN)

Labor Aufbau

1. Anbindung Switch – ISE (mit IBNS 2.0)2. Anbindung ISE – ACI3. Aufbau von TrustSec Domain4. Klassifizierung

SGT #1

1. Anbindung Switch - ISE- Switch in ISE erfassen- RADIUS Konfiguration

auf dem SwitchISE

2. Anbindung ISE - ACI

- Server Zertifikat von ACI in die ISE importieren

- Nur ein Tenant ist momentan möglich!

2. Anbindung ISE - ACI

3. Aufbau von TrustSec DomainISE

- Ermöglicht Download von Environment Data (SG, SGACLs) von ISE

- Die AAA Konfiguration des Seed Devices unterscheidet sich von Non-Seed Devices

Klassifizierungsmethoden

AuthN/AuthZ Policy

RADIUS (permit access + VLAN ID)

TrustSec (Tag)

Switchport Konfiguration mit dem IBNS 2.0

AuthN/AuthZ Results ISE

Propagation – inline tagging

- Vorteile:- Gute Skalierbarkeit- SGT Information bleibt

im Data Paket

- Zu beachten:- Einfluss auf L2 Frame

(MTU Grösse) - Es muss durch

Hardware unterstützt werden

Propagation – SXP (SGT eXchange Protokoll)

- Vorteile:- Einfach

implementierbar- Keine Hardware

Abhängigkeit

- Nachteile:- Eine Tabelle mehr…- Skaliert nicht so gut

FirepowerNGFW

pxGrid

SXP IP‐SGT Binding TableIP Address SGT SRC

10.1.100.98 50 Local

Ecosystem vendor products

WSARouter 2

Router 3Router 1

Switch 1ANY network device

ISE supports (e.g. 3rd party)_

ISE generiert IP‐SGT Zuweisung

Die IP‐SGT Informationenwerden zu pxGrid und SXP peers geschickt

- ISE erfährt IP zu SGT Zuweisung (von Switch) in AAA AccoutingPaket

- IP zu SGT Informationen werden dann mittels SXP zu ACI weitergegeben.

Enforcment auf ACI

- ACI default Verhalten: gibt es kein Contractzwischen zwei EPGs –wird der Verkehr geblockt.

Contract ACL

Enforcment auf dem Switch

- Default Verhalten: gibt es keine Policyzwischen zwei SG – wird der Verkehr zugelassen.

- Enforcment auf dem Switch muss noch ausdrücklich erlaubt werden

Enforcment auf dem Switch

- Aufgrund vom Tag und nicht von IP Adresse!

Zentral definierte Policy(auf dem ISE) mit dezentralen Forcierung

Komplexe Policies sind einfach zum Umsetzen

Flexibilität beim Erstellen neuen Client Gruppen

Aber immer noch relativ viel initiale (manuelle) Konfiguration auf den Switches

Vorteile von Cisco TrustSec

Wie geht es weiter???

… cool … aber geht’s auch einfacher?

Cisco DNA / SDA

Edi Layritz

Weniger tippen Gleiche Konfiguration auf allen Client Switchen Hohe Sicherheit

– End to End Policies– Sicherer Zugang zum Netz– Segmentierung / Zonierung

Gleiche IOS Version auf allen Switchen …

Was möchten wir?

Automatisierung kann uns helfen

DNA / SDA

Isches no wiit? Nei, neiiii

DNA ist nicht Desoxyribonukleinsäure ;-)

DNA / SDA - Begriffe

DNA – Digital Network Architecture

Eine Architektur:

SDA – Software Defined Access

Die Umsetzung:

APIC-EM1.X

CampusFabric

ISE NDP

Automation

ISEAssurance

DNA Center

Ein homogenes Netz– Access - Control– Segmentierung– Policy Enforcement– Insights & Telemetrie – Ende November 2017

Automatisierung beim Ausrollen Einfacher Betrieb

Was bietet DNA?

It’s a journey

SDA – Campus Fabric

APIC-EM1.X

CampusFabric

ISE NDP

Automation

ISEAssurance

DNA Center

CampusFabric

Campus FabricAPIC-EM

ISE NDP

Automation

ISEAssurance

DNA Center

Die Fabric bildet ein Overlay Netz

Ein Overlay Netz bildet eine virtuelle Topologie um Geräte miteinander zu verbinden

Beispiele: MPLS VPN, DMVPN, CAPWAP

Campus Fabric verwendet LISP– Dies ermöglicht die fixe Zugehörigkeit von IP Adressen und

Standort (L3-Device) Einfacher Betrieb IP Mobility

– LISP – Locator ID Separation Protocol

Zur Enkapsulierung wird VXLAN mit SGT verwendet Jedes Packet wird mit der Gruppenzugehörigkeit

des Absender markiert

Layer 3 bis in den Access

APIC-EM1.X

ISE NDP

Automation

ISEAssurance

DNA Center

CampusFabric

Edge Node– Hier werden die Endgeräte

angeschlossen

Border Node– Stellt den Übergang zum

restlichen Netz, dem DC und dem Internet sicher

Control Node– Führt Buch darüber wo

sich eine IP Adresse befindet

SDA – DNAC

APIC-EM1.X

ISE NDP

Automation

ISEAssurance

DNA Center

CampusFabric

Campus Fabric DNA-Center

SDA – DNAC

SDA – ISE

ISE NDP

Automation

ISEAssurance

DNA Center

CampusFabric

Campus Fabric DNA-Center ISE

SDA – ISE

It’s a journey

SDA - Hardware

APIC-EM1.X

ISE NDP

Automation

ISEAssurance

DNA Center

CampusFabric

Campus Fabric DNA-Center Hardware

SDA - Hardware

Border Node Cat 9500 Cat 3850 Cat 6800 ASR 1000 ISR 4430/4450 Nexus 7700

– M3 Cards

Control Node Cat 9500 Cat 3850 Cat 6800 ASR 1000 ISR 4430/4450

Edge Node Cat 9300/9400 Cat 3650/3850 Cat 4500

Switches

WLC 3504 5520 8540

SDA - Hardware

Zum jetzigen Zeitpunkt nur als Appliance lieferbar

Gründe dafür nach Cisco– Braucht viel Leistung– Leistung ist so garantiert

DNA-Center

DNA Center

Yet to come

DNA CenterEinbindung vom DNA Center

DNA CenterDNA-Center lernt die SGT’s vom ISE oder dem AD

SGT: Scalable Groups, Scalable Group Tags

DNA CenterSDA@AnyWeb – Laboraufbau

DNA CenterAufbau eines SDA mit DNA Center

Vorbereitungen Manuel– Grundkonfiguration der Switches

Netzwerkeinstellungen DNAC

Einfache Policies DNAC

Komplexe Policies ISE

Restliche Konfiguration DNAC

DNA Center

DNA CenterDiscover | Topology | Design | Policy | Provision

DNA Center

Add Location | set common Network Params | Device Credentials | IP Pools

Ein virtuelles Netzwerk (vrf) erstellen und Scalable Groups (VLAN) zufügen

Hinweis: Die eigentlichen Policies werden später erstellt

Assign Switch to Site | Add a Fabric | Assign Roles to Switches | onboard Hosts

Hier wird festgelegt, wie die Hosts der richtigen Gruppe zugewiesen werdenzur Auswahl stehen: Dynamisch Statisch

Dynamische Zuweisung des VLAN basierend auf der Rolle

Statische Zuweisung des VLAN zu einem Port

It’s a journey

So oder so?

DNA Center

Mit dem DNA-Center bauen wir ein Netzwerk auf

Einfach Klicken? Es werden:

– Adressen festgelegt– Segmentierungen und Zonen festgelegt– DHCP Server … bekanntgegeben– …

Ein Konzept ist wichtiger denn je!

DNA Center

Hands-on DNA-Center

DNA Center

Hands-on: Host Onbarding festlegenInterface Gi1/0/5 auf Switch Edge-1 statisch zuweisen

Aktueller Zustand: dynamischZiel: Port ist für einen Office Benutzer ohne Dot1x eingerichtet

DNA Center - Hands-on: Host Onbarding festlegen

Konfig auf Switch-Port vor der Änderung:

Port Gi 1/0/5 konfigurieren:

Port Gi 1/0/5 Änderungen speichern:

Port Gi 1/0/5 nach derÄnderung

It’s a journey

Isches no wiet? Nüd würkli

DNA Center

Hands-on: Policy erstellenBenutzer der Gruppe Office sollen PC’s der Gruppe NetMgtnicht erreichen können

Aktueller Zustand: Beide Gruppen sind im gleichen Virtuellen Netz, als im gleichen VRF. Verkehr zwischen diesen beiden Gruppen ist im SDA erlaubt

Ziel: Eine Policy die den Verkehr verhindert

DNA Center - Hands-on: Policy erstellen

Policy Dashboard

Add a Policy- Policy Name- Source- und Destination-gruppe bestimmen

Add a Policy- Deny Contract zufüge

Add a Policy- Policy speichern

End-2-End Segmentierungmit Cisco DNAMaria Koceba

Putting it together..

CISCO DNA CENTER

POLICY DOWNLOAD

Source Destination

Contract

FABRIC POLICIES

PERMITEmployees ProductionVersion

SGT #1

Access Control/Host On-boarding (User/Device Authentication)

Role-based Segmentation Guest Wireless Setup

Rolle von ISE in DNA Center

Macro- und Micro-Segmentierung dank DNA

Building Management VN

Network

Office Users VN

Inter-VN routing and policy enforcement on ‘Fusion Router’

Macro segmentation with ‘Virtual Networks’

Micro segmentation with ‘Scalable Groups

Contracts control access between SGTs

ISE & DNA Begriffe

Security Group Tag(SGT)

DNA-Center

Scalable Groups(SG)

TrustSec Matrix/Security Group ACL

(SGACL)

Policy Matrix/Contracts

AuthC & AuthZPolicies

Access Policies(Host On-Boarding)

TrustSec Policy Access ControlPolicies

Cisco ISE Cisco DNAC

Vision

Building Management VN

Office Users VN

Campus / BranchISEFirewall Management

APIC-DC

Web ServersPN

ACL Management

Email ServersPN

Data Center Fabric

Geteilten Gruppeninformationen

DNA Readiness

Wie kann DNA / SDA eingeführt werden?

It’s a journey

Isches no wiet? Nüd würkli

1.0? Ich han ken Ufwandgschücht!

DNA Readiness

Wie kann DNA / SDA eingeführt werden?

Warten auf Release 1.1 November 2017

Ziele festlegen

HW auf readiness prüfen inklusive IOS Stand

Vorgehen festlegen

Konzept erarbeiten

Aufbau, Test, Migration

DNA Readiness

Ziele festlegen

Welche Bereiche des Netzwerkes sollen umgestellt werden– Ergibt u.a. eine Liste der betroffenen Komponenten

Soll das Data Center eingebunden werden

Wird WLAN eingebunden

Zeitrahmen festlegen– Kann das Projekt mit dem regulären Lifecycle realisiert

werden– SDA Einführung Lifecycle anpassen oder umgekehrt

DNA Readiness

Ziele festlegen

Welche Funktionen sollen im SDA unterstützt werden?

Soll ein Proof of Concept durchgeführt werden– Anyweb empfiehlt das klar

DNA Readiness

Betroffene Komponenten (Switches, WLC, …) prüfen

Welche Hardware wird unterstützt?

Passt die Lizenz?

Materialliste erstellen– DNA-Center Appliance– ISE 2.3– Switches?– WLC?

DNA Readiness

Vorgehen festlegen

PoC / PoV– Aufbau– Tests

Migration– Schrittweise– Alles auf einmal – nicht empfohlen

Materialbestellung

DNA Readiness

Konzept erarbeiten

Das Netz wird neu gebaut!

Dem Konzept kommt eine grosse Bedeutung zu

Konzeptionelle Änderungen sind auch mit SDA nicht cool

Viele Bereiche des Netzwerkes inklusive Segmentierung und Benutzerauthentication sind betroffen

DNA Readiness

Aufbau, Tests, Migration

Grundlemente aufbauen– DNA-Center– ISE einbinden

Border vorbereiten– Wenn möglich eine nicht auf einem produktiven Router

Erster Edge/Access Switch einbinden

Ausführlich Testen

(schrittweise) Migration

It’s a journey

Ischs no wiit?Nei, jetzt simmer da Schatz!

Ausbildung– Standardkurse

• Network Programmability

– Zugeschnitten Planungsworkshop

– Design– PoC

Quick start– Mentoring

Mache den ersten Schritt– ACI– DNA– ISE

Weitere Schritte

Präsentationen

Die Präsentationen stehen nach der Veranstaltung auf der AnyWeb Homepage zum Download bereit– http://www.anyweb.ch/events/

30. November: AnyWeb Practice Circle Cyber Security

Networking und Apéro

DNA Center

AnyWeb Practice Circle: Cisco ISE verbindet ACI und …€¦ · AnyWeb Practice Circle: Cisco ISE...

Documents

Eine Coachingplattform, die verbindet & vernetzt

Solution Circle

Schwerpunkt: ALLES, WAS VERBINDET

full circle

Circle line

verbindet - Sargans

Robo CIRCLE

Spielen verbindet

Der Hochrhein Verbindet

Принципы функционирования ACI Запуск и эксплуатация фабрики ACI

CIRCLE THEOREMS

Insurance Circle - oic.or.th · สายด่วนประกันภัย 1186 Insurance Circle ส ำนักงำนคณะกรรมกำรก ำกับและส่งเสริมก

Young Trainer Circle Manual - Panduan Menggunakan CerdasMulia Young Trainer Circle

Cisco circle

CIRCLE KIT - zumtobel.com · CIRCLE KIT CIRCLE KIT Das Komplettpaket + Technische Highlights • Bedienung und Programmie rung erfolgt über die CIRCLE Bedienstelle. Keine speziellen

Circle K.pdf

HANDBUCH DER FVK-BEWEHRUNGSPRODUKTE€¦ · USA ACI • ACI 440.1R-06 • ACI 440R-07 • ACI 440.5-08 • ACI 440.6-08 • AASHTO GFRP-1 Zulassung / zertifizierte Prüfungen Technical

Golden Circle

Bulatan circle

HOJA DE VIDA LUIS ENRIQUE GARCÍA REYES ESTUDIOS … · 2015-10-20 · Códigos ACI 318-89, ACI 318-95, ACI 318-99, ACI 318-02, ACI 318-05, ACI 318-08, ACI 318-11 y ACI 318-14. Está