VPN с одним паролем в 2022-м уже не проходил аудит — а прямой «FortiGate → Azure MFA» без промежуточного RADIUS-сервера в экосистеме Microsoft не существует. Рабочая схема, которую я разворачивал не раз: FortiGate как NAS, Cisco ISE как policy/RADIUS proxy, два Microsoft NPS с Azure MFA Extension, AD для первого фактора, Azure MFA для второго. Ниже — пошаговый runbook без воды.
Identity Services Engine
Cisco Identity Services Engine 3.0
Вышел Cisco ISE 3.0, подробности о новинке здесь. Обновление согласно инструкции от производителя прошло гладко и без запинок. Политики (RADIUS, Tacacs+) и сетевые устройства перенеслись, pxGrid подписчики информацию получают (FortiManger и Cisco Stealthwatch). Смотрим, изучаем — подробности позже.
CTS-Test-Server
После обновления Cisco ISE 2.6 до версии 2.7 коммутаторы компании с включенным TrustSec перестали определять «живость» управляющего CTS сервера, и статус сервера постоянно был «DEAD».
Статус окружения можно посмотреть с помощью CLI команд:
sh cts environment-data и sh cts server-list.
Change the IP Address of a Cisco ISE Appliance
Before version 2.4 quick way was: Log in to the Cisco ISE CLI (you can use VM console or SSH). Enter the following commands: application stop ise configure terminal interface GigabitEthernet 0 ip address new_ip_address new_subnet_mask The system prompts you for the IP address change. Enter Y… Enter Y to restart the system. In version … Читать далее