Network Access Control mit Cisco ISE

IEEE 802.1X, Guest Access und Trust Sec

Bedingt durch die zunehmende Dynamik von Endgeräten und Benutzern können heute LAN und WLAN-Netze nicht mehr als ausreichend sicher angesehen werden. Es sind zusätzliche Maßnahmen erforderlich, um den Zugriff auf diese abzusichern (NAC) und die Netze Kontext-basiert zu segmentieren. Die Cisco ISE ermöglicht es Administratoren, zentral zu entscheiden, wer (Authentisierung) unter bestimmten Bedingungen (Context) welche Rechte zugewiesen bekommt (Autorisierung).

Die Authentisierung kann in LAN/WLAN-Umgebungen zum einen über MAB oder IEEE 802.1X, aber auch über WebAuth erfolgen. Letzteres spielt insbesondere im Zusammenhang mit Guest Access und BYOD eine bedeutende Rolle.

Den Benutzern lässt sich über RADIUS eine Vielzahl von Rechten zuweisen. Die Kontrolle der Kommunikation kann z. B. über statische oder dynamische Access Lists erfolgen. Eine Segmentierung kann über VLANs oder auch über SGTs erfolgen. In letzterem Fall arbeitet die ISE eng mit dem Cisco DNA-Center zusammen.

Neben der Cisco ISE wird in diesem Kurs auch die notwendige Peripherie wie ein Active Directory und eine Microsoft PKI mit einbezogen. Die Möglichkeiten von Profiling und Posture Assessment zur weitergehenden Kontrolle werden vorgestellt.

Kursinhalt

Einblick in IEEE 802.1X, Komponenten und Protokolle
Einblick in unterschiedliche EAP-Methoden (PEAP, EAP-TLS etc.)
Kennwort- und Zertifikats-basierte Authentisierung
Überblick über die Identity Service Engine
Lizensierung und Smart Licensing
Installation und Basis-Konfiguration einer ISE
Node Types in ISE Deployments
NAC-Konfiguration von LAN- und WLAN-Komponenten (IEEE 802.1X
MAB und WebAuth)
Möglichkeiten des Guest Access im Netzwerk
Policy-basierte Kontrolle auf der ISE
Authentisierungs- und Autorisierungs-Regeln
Hintergründe zur Verwendung von SGTs
Profiling und Posture Assessment
Bring Your Own Devices

Sie erhalten das ausführliche deutschsprachige Unterlagenpaket von ExperTeach – Print, E-Book und personalisiertes PDF! Bei Online-Teilnahme erhalten Sie das E-Book sowie das personalisierte PDF.

Zielgruppe

Der Kurs ist für diejenigen gedacht, die die Cisco ISE einsetzen wollen und Know-how für die Implementierung und den Betrieb von NAC-Lösungen brauchen.

Voraussetzungen

Neben grundlegenden Netzwerk- und IP-Kenntnissen sollte ein Grundverständnis zum Betrieb eines Cisco-Netzes vorhanden sein. Hintergrundwissen zu RADIUS und 802.1X ist Vorteilhaft - dieses kann mit Hilfe des Kurses Security mit 802.1X – Sicherheit für LAN und WLAN erworben werden.

1	Network Access, IEEE 802.1X und AAA
1.1	Network Access Control im Überblick
1.2	Hintergründe zu IEEE 802.1X
1.2.1	EAP-Methoden
1.2.2	RADIUS – EAP und weitere Attribute
1.3	Den Authenticator einrichten
1.3.1	Switches als Network Access Device
1.3.2	Konfiguration im WLAN
1.4	Der Supplicant als Client
1.4.1	Anyconnect NAM
1.4.2	Native Windows Supplicant
1.5	TACACS+

2	ISE Grundkonfiguration
2.1	ISE-Konzept
2.1.1	Das ISE 2.x-Lizenzmodell (1/3)
2.1.2	Das ISE 3.x Lizenzmodell
2.2	Installation der ISE (1/3)
2.2.1	ADE OS-Konfiguration
2.2.2	Die ISE über die CLI verwalten
2.3	ISE-Access
2.3.1	ISE GUI
2.3.2	Launch Menü
2.3.3	Zertifikate und ISE
2.3.4	Admin Access
2.4	Maintenance
2.4.1	Backup
2.4.2	Policy Export
2.5	ISE– Basic Settings
2.6	Deployments
2.6.1	Node Registration
2.6.2	Zertifikatsverwaltung im Deployment
2.6.3	Redundanz in ISE-Deployments
2.7	Network Access Devices
2.7.1	Network Device Groups
2.7.2	Im- und Export von Network Devices

3	Radius Authentication und Authorization Policies
3.1	Das ISE AAA-Konzept
3.2	Policy Sets
3.2.1	Regelwerke
3.2.2	Allowed Protocols
3.3	Die Authentication Policy
3.3.1	Authentication Condition Elements
3.3.2	Neue Authentication Policies
3.3.3	Fallback-Szenarien
3.4	User Stores
3.4.1	Interne User
3.4.2	Interne Endpoints
3.4.3	Externe Datenbanken
3.4.4	RADIUS Proxy-Konfiguration
3.4.5	Identity Source Sequence
3.4.6	Certificate Authentication Profiles
3.4.7	Identity Stores in der Authentication Policy
3.4.8	Authorization Policy
3.4.9	Authorization Condition
3.4.10	Authorization Profiles
3.5	Maschinen und User-Authentisierung
3.5.1	Chaining mit EAP-FASTv2
3.5.2	Chaining Results
3.6	pxGrid
3.6.1	pxGrid – Zentraler Informationsaustausch
3.6.2	pxGrid aktivieren
3.6.3	ISE als pxGrid Controller

4	Logging, Monitoring und Diagnostic Tools
4.1	Operationen im Überblick
4.2	Radius Live Authentications
4.2.1	Details der Authentisierung (1/3)
4.2.2	Abgleich mit dem NAD
4.3	Radius Reports
4.3.1	Diagnostic Reports
4.3.2	Audit Reports
4.4	Troubleshooting – Authentisierung
4.4.1	TCP Dumps
4.4.2	Endpoint Debugs
4.4.3	Konfiguration der NADs
4.4.4	Optimierung des Loggings
4.4.5	NAD – Log-Timer
4.4.6	Aggregation der Logs
4.4.7	Collection Filter
4.4.8	Log Targets
4.5	Alarme

5	Security Group Access
5.1	SGT – Ein Einblick
5.1.1	Security Groups – Klassifizierung
5.1.2	Die Arbeitsweise von SGTs
5.1.3	SGTs – Die Übermittlung
5.1.4	SGT Exchange Protocol (SXP)
5.1.5	Zuweisung der SGTs
5.2	SGT-Konfiguration auf der ISE
5.2.1	Anlegen von Security Groups auf der ISE
5.2.2	PACs einrichten
5.3	Zuweisung von SGTs
5.3.1	Statisches Mapping der SGTs
5.3.2	SXP einrichten
5.4	Access Control mit SGTs
5.4.1	SGACLs auf der ISE
5.4.2	Die TrustSec Policy
5.4.3	SGACLs auf dem Switch
5.4.4	SGTs zur Network Segmentation im SD-Access
5.5	MACSec

6	Guest Access
6.1	Web Access als Dot1X-Alternative
6.2	Gast-Zugang – Möglichkeiten
6.2.1	Local Web Auth (LWA)
6.2.2	Central Web Auth (CWA)
6.3	Guest Access – Konfiguration der ISE
6.3.1	Den Gast kontaktieren
6.3.2	Weitere Guest Settings
6.3.3	Zertifikate für die Portale
6.3.4	Guest Types
6.4	Gästeportale
6.4.1	Konfiguration des Portals
6.4.2	Portal-Customization
6.4.3	Ein neues Portal einrichten
6.5	Guest Access Policies
6.5.1	Authorization – Redirect zum Portal
6.5.2	Authorization Redirect Profile
6.5.3	Redirect ACl
6.6	Die Switch-Konfiguration
6.7	Guest Access im Einsatz
6.7.1	Aus Sicht der ISE
6.7.2	Kontrolle am Switch
6.7.3	Auf dem WLCs
6.8	Guest Accounts – Die Möglichkeiten
6.8.1	Self Registration
6.8.2	Das Sponsorportal
6.9	Reports über Gäste (1/2)

7	BYOD
7.1	Bring your own Device – Das Prinzip
7.1.1	Single SSID
7.1.2	Dual-SSID
7.2	BYOD-Konfiguration der ISE
7.2.1	Die Portale für BYOD
7.2.2	Das BYOD Device Portal
7.2.3	Das My Device Portal (1/3)
7.3	Device Registration
7.3.1	Client Provisioning
7.3.2	Native Supplicant Provisioning
7.4	ISE und Zertifikate
7.4.1	SCEP Proxy
7.4.2	ISE als CA
7.5	BYOD aus Sicht des Users (1/3)
7.5.1	Certificate Provisioning Portal
7.6	MDM Integration

8	Profiling
8.1	Profiling Services
8.2	Konfiguration der Sensoren
8.2.1	Device Sensoren
8.2.2	Erfassung der wichtigsten Attribute
8.3	Analyzer – Konfiguration der Endpoint Policies
8.3.1	Regeln festlegen
8.3.2	Profiling Conditions definieren
8.3.3	Scan Actions als Result
8.3.4	Exception Actions
8.3.5	Konfiguration von CoA
8.4	Profiling Ergebnisse (1/3)
8.4.1	Logical Profiles
8.4.2	Endpoint Profiler Summary
8.5	Profiling und Authorization
8.6	Feed Service

9	Posture Assessment
9.1	Posture Assessment
9.2	Client Provisioning
9.2.1	Provisioning Policies
9.2.2	Provisioning Profiles
9.2.3	Provisioning Portal
9.2.4	Provisioning in der Authorization Policy
9.2.5	Provisioning im Authorization Profile
9.3	Ablauf des Posture Assessments
9.3.1	Posture Conditions
9.3.2	Posture Requirement
9.3.3	Remediation
9.3.4	Posture Policies
9.3.5	Das Monitoring auf der ISE
9.4	Anyconnect 4.0 als NAC Client

Classroom Training: Bevorzugen Sie die klassische Trainingsmethode? Ein Kurs in einem unserer Training Center, mit einem kompetenten Trainer und dem direkten Austausch zwischen allen Teilnehmern? Dann buchen Sie einen der Classroom Training Termine!
Hybrid Training: Hybrid Training bedeutet, dass zusätzliche Online-Teilnehmer an einem Präsenzkurs teilnehmen können. Die Dynamik eines realen Kurses bleibt erhalten, wovon besonders auch die Online-Teilnehmer profitieren. Als Online-Teilnehmer eines Hybrid-Kurses nutzen Sie eine Collaboration-Plattform wie WebEx Training Center oder Saba Meeting. Dazu wird nur ein PC mit Browser und Internet-Anschluss benötigt, ein Headset und idealerweise eine Webcam. Im Kursraum setzen wir speziell entwickelte und angepasste hochwertige Audio- und Videotechnik ein. Sie sorgt dafür, dass die Kommunikation zwischen allen Beteiligten angenehm und störungsfrei funktioniert.
Online Training: Möchten Sie einen Kurs online besuchen? Zu diesem Kursthema bieten wir Ihnen Online-Kurstermine an. Als Teilnehmer benötigen Sie dazu einen PC mit Internet-Anschluss (mindestens 1 Mbit/s), ein Headset, falls Sie per VoIP arbeiten möchten und optional eine Kamera. Weitere Informationen und technische Empfehlungen finden Sie hier.
Inhouse-Schulung: Benötigen Sie einen maßgeschneiderten Kurs für Ihr Team? Neben unserem Standard-Angebot bieten wir Ihnen an, Kurse speziell nach Ihren Anforderungen zu gestalten. Gerne beraten wir Sie hierzu und erstellen Ihnen ein individuelles Angebot.
Inhouse-Schulung jetzt anfragen >>>

Die gesamte Beschreibung dieses Kurses mit Terminen und Preisen zum Download als PDF.

Kursinhalt

Einblick in IEEE 802.1X, Komponenten und Protokolle
Einblick in unterschiedliche EAP-Methoden (PEAP, EAP-TLS etc.)
Kennwort- und Zertifikats-basierte Authentisierung
Überblick über die Identity Service Engine
Lizensierung und Smart Licensing
Installation und Basis-Konfiguration einer ISE
Node Types in ISE Deployments
NAC-Konfiguration von LAN- und WLAN-Komponenten (IEEE 802.1X
MAB und WebAuth)
Möglichkeiten des Guest Access im Netzwerk
Policy-basierte Kontrolle auf der ISE
Authentisierungs- und Autorisierungs-Regeln
Hintergründe zur Verwendung von SGTs
Profiling und Posture Assessment
Bring Your Own Devices

Sie erhalten das ausführliche deutschsprachige Unterlagenpaket von ExperTeach – Print, E-Book und personalisiertes PDF! Bei Online-Teilnahme erhalten Sie das E-Book sowie das personalisierte PDF.

Zielgruppe

Der Kurs ist für diejenigen gedacht, die die Cisco ISE einsetzen wollen und Know-how für die Implementierung und den Betrieb von NAC-Lösungen brauchen.

Voraussetzungen

1	Network Access, IEEE 802.1X und AAA
1.1	Network Access Control im Überblick
1.2	Hintergründe zu IEEE 802.1X
1.2.1	EAP-Methoden
1.2.2	RADIUS – EAP und weitere Attribute
1.3	Den Authenticator einrichten
1.3.1	Switches als Network Access Device
1.3.2	Konfiguration im WLAN
1.4	Der Supplicant als Client
1.4.1	Anyconnect NAM
1.4.2	Native Windows Supplicant
1.5	TACACS+

2	ISE Grundkonfiguration
2.1	ISE-Konzept
2.1.1	Das ISE 2.x-Lizenzmodell (1/3)
2.1.2	Das ISE 3.x Lizenzmodell
2.2	Installation der ISE (1/3)
2.2.1	ADE OS-Konfiguration
2.2.2	Die ISE über die CLI verwalten
2.3	ISE-Access
2.3.1	ISE GUI
2.3.2	Launch Menü
2.3.3	Zertifikate und ISE
2.3.4	Admin Access
2.4	Maintenance
2.4.1	Backup
2.4.2	Policy Export
2.5	ISE– Basic Settings
2.6	Deployments
2.6.1	Node Registration
2.6.2	Zertifikatsverwaltung im Deployment
2.6.3	Redundanz in ISE-Deployments
2.7	Network Access Devices
2.7.1	Network Device Groups
2.7.2	Im- und Export von Network Devices

3	Radius Authentication und Authorization Policies
3.1	Das ISE AAA-Konzept
3.2	Policy Sets
3.2.1	Regelwerke
3.2.2	Allowed Protocols
3.3	Die Authentication Policy
3.3.1	Authentication Condition Elements
3.3.2	Neue Authentication Policies
3.3.3	Fallback-Szenarien
3.4	User Stores
3.4.1	Interne User
3.4.2	Interne Endpoints
3.4.3	Externe Datenbanken
3.4.4	RADIUS Proxy-Konfiguration
3.4.5	Identity Source Sequence
3.4.6	Certificate Authentication Profiles
3.4.7	Identity Stores in der Authentication Policy
3.4.8	Authorization Policy
3.4.9	Authorization Condition
3.4.10	Authorization Profiles
3.5	Maschinen und User-Authentisierung
3.5.1	Chaining mit EAP-FASTv2
3.5.2	Chaining Results
3.6	pxGrid
3.6.1	pxGrid – Zentraler Informationsaustausch
3.6.2	pxGrid aktivieren
3.6.3	ISE als pxGrid Controller

4	Logging, Monitoring und Diagnostic Tools
4.1	Operationen im Überblick
4.2	Radius Live Authentications
4.2.1	Details der Authentisierung (1/3)
4.2.2	Abgleich mit dem NAD
4.3	Radius Reports
4.3.1	Diagnostic Reports
4.3.2	Audit Reports
4.4	Troubleshooting – Authentisierung
4.4.1	TCP Dumps
4.4.2	Endpoint Debugs
4.4.3	Konfiguration der NADs
4.4.4	Optimierung des Loggings
4.4.5	NAD – Log-Timer
4.4.6	Aggregation der Logs
4.4.7	Collection Filter
4.4.8	Log Targets
4.5	Alarme

5	Security Group Access
5.1	SGT – Ein Einblick
5.1.1	Security Groups – Klassifizierung
5.1.2	Die Arbeitsweise von SGTs
5.1.3	SGTs – Die Übermittlung
5.1.4	SGT Exchange Protocol (SXP)
5.1.5	Zuweisung der SGTs
5.2	SGT-Konfiguration auf der ISE
5.2.1	Anlegen von Security Groups auf der ISE
5.2.2	PACs einrichten
5.3	Zuweisung von SGTs
5.3.1	Statisches Mapping der SGTs
5.3.2	SXP einrichten
5.4	Access Control mit SGTs
5.4.1	SGACLs auf der ISE
5.4.2	Die TrustSec Policy
5.4.3	SGACLs auf dem Switch
5.4.4	SGTs zur Network Segmentation im SD-Access
5.5	MACSec

6	Guest Access
6.1	Web Access als Dot1X-Alternative
6.2	Gast-Zugang – Möglichkeiten
6.2.1	Local Web Auth (LWA)
6.2.2	Central Web Auth (CWA)
6.3	Guest Access – Konfiguration der ISE
6.3.1	Den Gast kontaktieren
6.3.2	Weitere Guest Settings
6.3.3	Zertifikate für die Portale
6.3.4	Guest Types
6.4	Gästeportale
6.4.1	Konfiguration des Portals
6.4.2	Portal-Customization
6.4.3	Ein neues Portal einrichten
6.5	Guest Access Policies
6.5.1	Authorization – Redirect zum Portal
6.5.2	Authorization Redirect Profile
6.5.3	Redirect ACl
6.6	Die Switch-Konfiguration
6.7	Guest Access im Einsatz
6.7.1	Aus Sicht der ISE
6.7.2	Kontrolle am Switch
6.7.3	Auf dem WLCs
6.8	Guest Accounts – Die Möglichkeiten
6.8.1	Self Registration
6.8.2	Das Sponsorportal
6.9	Reports über Gäste (1/2)

7	BYOD
7.1	Bring your own Device – Das Prinzip
7.1.1	Single SSID
7.1.2	Dual-SSID
7.2	BYOD-Konfiguration der ISE
7.2.1	Die Portale für BYOD
7.2.2	Das BYOD Device Portal
7.2.3	Das My Device Portal (1/3)
7.3	Device Registration
7.3.1	Client Provisioning
7.3.2	Native Supplicant Provisioning
7.4	ISE und Zertifikate
7.4.1	SCEP Proxy
7.4.2	ISE als CA
7.5	BYOD aus Sicht des Users (1/3)
7.5.1	Certificate Provisioning Portal
7.6	MDM Integration

8	Profiling
8.1	Profiling Services
8.2	Konfiguration der Sensoren
8.2.1	Device Sensoren
8.2.2	Erfassung der wichtigsten Attribute
8.3	Analyzer – Konfiguration der Endpoint Policies
8.3.1	Regeln festlegen
8.3.2	Profiling Conditions definieren
8.3.3	Scan Actions als Result
8.3.4	Exception Actions
8.3.5	Konfiguration von CoA
8.4	Profiling Ergebnisse (1/3)
8.4.1	Logical Profiles
8.4.2	Endpoint Profiler Summary
8.5	Profiling und Authorization
8.6	Feed Service

9	Posture Assessment
9.1	Posture Assessment
9.2	Client Provisioning
9.2.1	Provisioning Policies
9.2.2	Provisioning Profiles
9.2.3	Provisioning Portal
9.2.4	Provisioning in der Authorization Policy
9.2.5	Provisioning im Authorization Profile
9.3	Ablauf des Posture Assessments
9.3.1	Posture Conditions
9.3.2	Posture Requirement
9.3.3	Remediation
9.3.4	Posture Policies
9.3.5	Das Monitoring auf der ISE
9.4	Anyconnect 4.0 als NAC Client

Classroom Training: Bevorzugen Sie die klassische Trainingsmethode? Ein Kurs in einem unserer Training Center, mit einem kompetenten Trainer und dem direkten Austausch zwischen allen Teilnehmern? Dann buchen Sie einen der Classroom Training Termine!
Hybrid Training: Hybrid Training bedeutet, dass zusätzliche Online-Teilnehmer an einem Präsenzkurs teilnehmen können. Die Dynamik eines realen Kurses bleibt erhalten, wovon besonders auch die Online-Teilnehmer profitieren. Als Online-Teilnehmer eines Hybrid-Kurses nutzen Sie eine Collaboration-Plattform wie WebEx Training Center oder Saba Meeting. Dazu wird nur ein PC mit Browser und Internet-Anschluss benötigt, ein Headset und idealerweise eine Webcam. Im Kursraum setzen wir speziell entwickelte und angepasste hochwertige Audio- und Videotechnik ein. Sie sorgt dafür, dass die Kommunikation zwischen allen Beteiligten angenehm und störungsfrei funktioniert.
Online Training: Möchten Sie einen Kurs online besuchen? Zu diesem Kursthema bieten wir Ihnen Online-Kurstermine an. Als Teilnehmer benötigen Sie dazu einen PC mit Internet-Anschluss (mindestens 1 Mbit/s), ein Headset, falls Sie per VoIP arbeiten möchten und optional eine Kamera. Weitere Informationen und technische Empfehlungen finden Sie hier.
Inhouse-Schulung: Benötigen Sie einen maßgeschneiderten Kurs für Ihr Team? Neben unserem Standard-Angebot bieten wir Ihnen an, Kurse speziell nach Ihren Anforderungen zu gestalten. Gerne beraten wir Sie hierzu und erstellen Ihnen ein individuelles Angebot.
Inhouse-Schulung jetzt anfragen >>>

Die gesamte Beschreibung dieses Kurses mit Terminen und Preisen zum Download als PDF.

Dauer & Preise

Preise zzgl. MwSt.

Termine in Deutschland

5 Tage

€ 2.995,-

Online Training

5 Tage

€ 2.995,-

ExperTeach Kennung

CTRU

			Datum	Ort
20240617	1	3	17.06.-21.06.24	Frankfurt
20240617	1	3	17.06.-21.06.24	Live Online
20240916	0	3	16.09.-20.09.24	Frankfurt
20240916	0	3	16.09.-20.09.24	Live Online
20241202	2	3	02.12.-06.12.24	Frankfurt
20241202	2	3	02.12.-06.12.24	Live Online