AnyWeb Practice Circle: Cisco ISE verbindet ACI und …€¦ · AnyWeb Practice Circle: Cisco ISE verbindet ACI und SDA Wim van Moorsel Fabian Aeppli Maria Koceba Edi Layritz

AnyWeb Practice Circle: Cisco ISE verbindet ACI und SDA

Wim van MoorselFabian AeppliMaria KocebaEdi Layritz

AnyWeb AGPractice Circle Oktober 2017Page 2

ISE

End-to-End

Campus Data Center

Security / PolicyScalability


Präsentationen

Die Präsentationen stehen nach der Veranstaltung auf der AnyWeb Homepage zum Download bereit: https://www.anyweb.ch/events/


Begrüssung und Einführung 13:30 Use case: Segmentierung und Zonierung 13:45 Labor Aufbau: End-zu-End Segmentierung 14:00 DNA/SDA Einstieg 14:30 Kurze Pause 14:45 Einführung DNA Center mit Demo 15:00 ACI vergleichbar mit SDA 15:30 End-zu-End Geschichte mit DNA 15:45 DNA Readiness (Migration) 16:00 Networking und Apéro 16:15

– Austausch mit den Spezialisten

Agenda Practice Circle, 30. Oktober 2017

WvM1

Setup

End-2-End Segmentierungmit Cisco TrustSecMaria Koceba


Authentisierte Netzwerkinfrastruktur Rollenbasierte Zugriffskontrolle Sichere Kommunikation mit L2 Encryption

Cisco TrustSec


Rollenbasierte Zugriffskontrolle

- statisch- dynamisch

- Inline tagging- SXP

- Group Based Policies ACLs - Firewall Rules

- Die Lösung ist Netzwerktopologie unabhängig- basiert auf Security Group Tags – einer Software

definierten Segmentierung (SDN)


Labor Aufbau

1. Anbindung Switch – ISE (mit IBNS 2.0)2. Anbindung ISE – ACI3. Aufbau von TrustSec Domain4. Klassifizierung

ISE

SGT #1


1. Anbindung Switch - ISE- Switch in ISE erfassen- RADIUS Konfiguration

auf dem SwitchISE


2. Anbindung ISE - ACI

- Server Zertifikat von ACI in die ISE importieren

- Nur ein Tenant ist momentan möglich!

ISE


2. Anbindung ISE - ACI

ISE


3. Aufbau von TrustSec DomainISE

- Ermöglicht Download von Environment Data (SG, SGACLs) von ISE

- Die AAA Konfiguration des Seed Devices unterscheidet sich von Non-Seed Devices


Klassifizierungsmethoden


AuthN/AuthZ Policy

RADIUS (permit access + VLAN ID)

TrustSec (Tag)

Switchport Konfiguration mit dem IBNS 2.0

ISE


AuthN/AuthZ Results ISE


Propagation – inline tagging

- Vorteile:- Gute Skalierbarkeit- SGT Information bleibt

im Data Paket

- Zu beachten:- Einfluss auf L2 Frame

(MTU Grösse) - Es muss durch

Hardware unterstützt werden


Propagation – SXP (SGT eXchange Protokoll)

- Vorteile:- Einfach

implementierbar- Keine Hardware

Abhängigkeit

- Nachteile:- Eine Tabelle mehr…- Skaliert nicht so gut

FirepowerNGFW

SXP

pxGrid

SXP IP‐SGT Binding TableIP Address SGT SRC

10.1.100.98 50 Local

ISE

Ecosystem vendor products

www

WSARouter 2

Router 3Router 1

Switch 1ANY network device

ISE supports (e.g. 3rd party)_

ISE generiert IP‐SGT Zuweisung

Die IP‐SGT Informationenwerden zu pxGrid und SXP peers geschickt



- ISE erfährt IP zu SGT Zuweisung (von Switch) in AAA AccoutingPaket

- IP zu SGT Informationen werden dann mittels SXP zu ACI weitergegeben.

ISE



ISE


Enforcment auf ACI

- ACI default Verhalten: gibt es kein Contractzwischen zwei EPGs –wird der Verkehr geblockt.

Contract ACL


Enforcment auf dem Switch

- Default Verhalten: gibt es keine Policyzwischen zwei SG – wird der Verkehr zugelassen.

ISE

- Enforcment auf dem Switch muss noch ausdrücklich erlaubt werden


Enforcment auf dem Switch

- Aufgrund vom Tag und nicht von IP Adresse!

ISE


Zentral definierte Policy(auf dem ISE) mit dezentralen Forcierung

Komplexe Policies sind einfach zum Umsetzen

Flexibilität beim Erstellen neuen Client Gruppen

Aber immer noch relativ viel initiale (manuelle) Konfiguration auf den Switches

Vorteile von Cisco TrustSec


Wie geht es weiter???

… cool … aber geht’s auch einfacher?

Cisco DNA / SDA

Edi Layritz


Weniger tippen Gleiche Konfiguration auf allen Client Switchen Hohe Sicherheit

– End to End Policies– Sicherer Zugang zum Netz– Segmentierung / Zonierung

Gleiche IOS Version auf allen Switchen …

Was möchten wir?

Automatisierung kann uns helfen


DNA / SDA

Isches no wiit? Nei, neiiii


DNA ist nicht Desoxyribonukleinsäure ;-)

DNA / SDA - Begriffe


DNA – Digital Network Architecture


Eine Architektur:


SDA – Software Defined Access


Die Umsetzung:

BB

APIC-EM1.X

CampusFabric

ISE NDP

Automation

ISEAssurance

(NPD)

DNA Center

C


Ein homogenes Netz– Access - Control– Segmentierung– Policy Enforcement– Insights & Telemetrie – Ende November 2017

Automatisierung beim Ausrollen Einfacher Betrieb

Was bietet DNA?


It’s a journey


SDA – Campus Fabric

BB

APIC-EM1.X

CampusFabric

ISE NDP

Automation

ISEAssurance

(NPD)

DNA Center

C

BB

CampusFabric

C



BB

CampusFabric

C

Campus FabricAPIC-EM

1.X

ISE NDP

Automation

ISEAssurance

(NPD)

DNA Center



Die Fabric bildet ein Overlay Netz


Ein Overlay Netz bildet eine virtuelle Topologie um Geräte miteinander zu verbinden

Beispiele: MPLS VPN, DMVPN, CAPWAP

Campus Fabric verwendet LISP– Dies ermöglicht die fixe Zugehörigkeit von IP Adressen und

Standort (L3-Device) Einfacher Betrieb IP Mobility

– LISP – Locator ID Separation Protocol

Zur Enkapsulierung wird VXLAN mit SGT verwendet Jedes Packet wird mit der Gruppenzugehörigkeit

des Absender markiert

Layer 3 bis in den Access






APIC-EM1.X

ISE NDP

Automation

ISEAssurance

(NPD)

DNA Center

B

CampusFabric

C

B

CampusFabric

Edge Node– Hier werden die Endgeräte

angeschlossen

Border Node– Stellt den Übergang zum

restlichen Netz, dem DC und dem Internet sicher

Control Node– Führt Buch darüber wo

sich eine IP Adresse befindet

BB

C

BB

C


SDA – DNAC

APIC-EM1.X

ISE NDP

Automation

ISEAssurance

(NPD)

DNA Center

B

CampusFabric

C

B

CampusFabric

Campus Fabric DNA-Center

C

BB


SDA – DNAC


SDA – ISE

ISE NDP

Automation

ISEAssurance

(NPD)

DNA Center

B

CampusFabric

C

B

CampusFabric

Campus Fabric DNA-Center ISE

C

BB


SDA – ISE


It’s a journey


SDA - Hardware

APIC-EM1.X

ISE NDP

Automation

ISEAssurance

(NPD)

DNA Center

B

CampusFabric

C

B

CampusFabric

Campus Fabric DNA-Center Hardware

C

BB


SDA - Hardware

CBB

Border Node Cat 9500 Cat 3850 Cat 6800 ASR 1000 ISR 4430/4450 Nexus 7700

– M3 Cards

Control Node Cat 9500 Cat 3850 Cat 6800 ASR 1000 ISR 4430/4450

Edge Node Cat 9300/9400 Cat 3650/3850 Cat 4500

Switches

WLC 3504 5520 8540


SDA - Hardware

Zum jetzigen Zeitpunkt nur als Appliance lieferbar

Gründe dafür nach Cisco– Braucht viel Leistung– Leistung ist so garantiert

DNA-Center


DNA Center

Yet to come


DNA CenterEinbindung vom DNA Center


DNA CenterDNA-Center lernt die SGT’s vom ISE oder dem AD

SGT: Scalable Groups, Scalable Group Tags


DNA CenterSDA@AnyWeb – Laboraufbau


DNA CenterAufbau eines SDA mit DNA Center

Vorbereitungen Manuel– Grundkonfiguration der Switches

Netzwerkeinstellungen DNAC

Einfache Policies DNAC

Komplexe Policies ISE

Restliche Konfiguration DNAC


DNA Center


DNA CenterDiscover | Topology | Design | Policy | Provision


DNA Center




DNA Center



Add Location | set common Network Params | Device Credentials | IP Pools












Ein virtuelles Netzwerk (vrf) erstellen und Scalable Groups (VLAN) zufügen

Hinweis: Die eigentlichen Policies werden später erstellt



Assign Switch to Site | Add a Fabric | Assign Roles to Switches | onboard Hosts













Hier wird festgelegt, wie die Hosts der richtigen Gruppe zugewiesen werdenzur Auswahl stehen: Dynamisch Statisch




Dynamische Zuweisung des VLAN basierend auf der Rolle




Statische Zuweisung des VLAN zu einem Port


It’s a journey

So oder so?


DNA Center

Mit dem DNA-Center bauen wir ein Netzwerk auf

Einfach Klicken? Es werden:

– Adressen festgelegt– Segmentierungen und Zonen festgelegt– DHCP Server … bekanntgegeben– …

Ein Konzept ist wichtiger denn je!


DNA Center

Hands-on DNA-Center


DNA Center

Hands-on: Host Onbarding festlegenInterface Gi1/0/5 auf Switch Edge-1 statisch zuweisen

Aktueller Zustand: dynamischZiel: Port ist für einen Office Benutzer ohne Dot1x eingerichtet


DNA Center - Hands-on: Host Onbarding festlegen

Konfig auf Switch-Port vor der Änderung:



Port Gi 1/0/5 konfigurieren:



Port Gi 1/0/5 Änderungen speichern:

Port Gi 1/0/5 nach derÄnderung


It’s a journey

Isches no wiet? Nüd würkli


DNA Center

Hands-on: Policy erstellenBenutzer der Gruppe Office sollen PC’s der Gruppe NetMgtnicht erreichen können

Aktueller Zustand: Beide Gruppen sind im gleichen Virtuellen Netz, als im gleichen VRF. Verkehr zwischen diesen beiden Gruppen ist im SDA erlaubt

Ziel: Eine Policy die den Verkehr verhindert


DNA Center - Hands-on: Policy erstellen

Policy Dashboard



Add a Policy- Policy Name- Source- und Destination-gruppe bestimmen



Add a Policy- Deny Contract zufüge



Add a Policy- Policy speichern

Setup

End-2-End Segmentierungmit Cisco DNAMaria Koceba


Putting it together..

ISE

CISCO DNA CENTER

API

POLICY DOWNLOAD

Source Destination

Contract

FABRIC POLICIES

PERMITEmployees ProductionVersion

1.0

SGT #1


Access Control/Host On-boarding (User/Device Authentication)

Role-based Segmentation Guest Wireless Setup

Rolle von ISE in DNA Center


Macro- und Micro-Segmentierung dank DNA

Building Management VN

Network

Office Users VN

Inter-VN routing and policy enforcement on ‘Fusion Router’

Macro segmentation with ‘Virtual Networks’

Micro segmentation with ‘Scalable Groups

Contracts control access between SGTs


ISE & DNA Begriffe

Security Group Tag(SGT)

DNA-Center

Scalable Groups(SG)

TrustSec Matrix/Security Group ACL

(SGACL)

Policy Matrix/Contracts

AuthC & AuthZPolicies

Access Policies(Host On-Boarding)

TrustSec Policy Access ControlPolicies

ISE

Cisco ISE Cisco DNAC


Vision

Building Management VN

Office Users VN

Campus / BranchISEFirewall Management

APIC-DC

Web ServersPN

ACL Management

Email ServersPN

Data Center Fabric

Geteilten Gruppeninformationen

Cloud


DNA Readiness

Wie kann DNA / SDA eingeführt werden?

It’s a journey


It’s a journey

Isches no wiet? Nüd würkli

1.0? Ich han ken Ufwandgschücht!


DNA Readiness

Wie kann DNA / SDA eingeführt werden?

Warten auf Release 1.1 November 2017

Ziele festlegen

HW auf readiness prüfen inklusive IOS Stand

Vorgehen festlegen

Konzept erarbeiten

Aufbau, Test, Migration


DNA Readiness

Ziele festlegen

Welche Bereiche des Netzwerkes sollen umgestellt werden– Ergibt u.a. eine Liste der betroffenen Komponenten

Soll das Data Center eingebunden werden

Wird WLAN eingebunden

Zeitrahmen festlegen– Kann das Projekt mit dem regulären Lifecycle realisiert

werden– SDA Einführung Lifecycle anpassen oder umgekehrt


DNA Readiness

Ziele festlegen

Welche Funktionen sollen im SDA unterstützt werden?

Soll ein Proof of Concept durchgeführt werden– Anyweb empfiehlt das klar


DNA Readiness

Betroffene Komponenten (Switches, WLC, …) prüfen

Welche Hardware wird unterstützt?

Passt die Lizenz?

Materialliste erstellen– DNA-Center Appliance– ISE 2.3– Switches?– WLC?


DNA Readiness

Vorgehen festlegen

PoC / PoV– Aufbau– Tests

Migration– Schrittweise– Alles auf einmal – nicht empfohlen

Materialbestellung


DNA Readiness

Konzept erarbeiten

Das Netz wird neu gebaut!

Dem Konzept kommt eine grosse Bedeutung zu

Konzeptionelle Änderungen sind auch mit SDA nicht cool

Viele Bereiche des Netzwerkes inklusive Segmentierung und Benutzerauthentication sind betroffen


DNA Readiness

Aufbau, Tests, Migration

Grundlemente aufbauen– DNA-Center– ISE einbinden

Border vorbereiten– Wenn möglich eine nicht auf einem produktiven Router

Erster Edge/Access Switch einbinden

Ausführlich Testen

(schrittweise) Migration


It’s a journey

Ischs no wiit?Nei, jetzt simmer da Schatz!


Ausbildung– Standardkurse

• Network Programmability

– Zugeschnitten Planungsworkshop

– Design– PoC

Quick start– Mentoring

Mache den ersten Schritt– ACI– DNA– ISE

Weitere Schritte



Präsentationen

Die Präsentationen stehen nach der Veranstaltung auf der AnyWeb Homepage zum Download bereit– http://www.anyweb.ch/events/


30. November: AnyWeb Practice Circle Cyber Security


Networking und Apéro


DNA Center

Documents

AnyWeb Practice Circle: Cisco ISE verbindet ACI und …€¦ · AnyWeb Practice Circle: Cisco ISE verbindet ACI und SDA Wim van Moorsel Fabian Aeppli Maria Koceba Edi Layritz