Danh mục sản phẩm
Giải pháp Wi-Fi bảo mật và tự động với Cisco ISE và BYOD Portal
Mật khẩu Wi-Fi, dù dùng chung hay cấp riêng cho từng người, đều dễ bị chia sẻ ra ngoài, còn MAC bypass buộc IT thêm địa chỉ MAC thủ công mỗi lần nhân viên đổi điện thoại hay laptop. Với doanh nghiệp từ vài trăm người dùng trở lên, hai cách này vừa tốn công vừa khó truy vết. Giải pháp dưới đây dành cho doanh nghiệp khoảng 300 người dùng có đủ ba nhóm: máy do công ty cấp, thiết bị cá nhân của nhân viên và khách đến làm việc. Giải pháp dùng Cisco ISE làm điểm xác thực chung, kết hợp BYOD Self-Service Portal cho thiết bị cá nhân: nhân viên tự đăng ký thiết bị bằng tài khoản Active Directory, ISE cấp chứng chỉ riêng cho từng máy, và thiết bị từ đó tự kết nối bằng 802.1X EAP-TLS.
⚡ Điểm nhanh giải pháp
- Xác thực: 802.1X EAP-TLS bằng chứng chỉ riêng cho từng thiết bị, không còn mật khẩu Wi-Fi để lộ.
- Ba nhóm thiết bị, một nền tảng: máy công ty nhận chứng chỉ từ GPO hoặc MDM (giải thích ở mục 3), máy cá nhân tự đăng ký qua BYOD Portal, khách dùng Guest Portal; ISE phân quyền khác nhau cho từng nhóm.
- Đăng ký thiết bị cá nhân: nhân viên tự làm qua BYOD Portal bằng tài khoản AD, IT không cấu hình tay từng máy.
- Giới hạn thiết bị: mặc định 5 thiết bị mỗi nhân viên, quản trị viên chỉnh được từ 1 đến 999.
- Hệ điều hành hỗ trợ BYOD (ISE 3.5): Windows 10 và 11, macOS, iOS, Android, ChromeOS, và Linux (Ubuntu, RHEL, SLES) khi cài AnyConnect 5.1.2.04 trở lên.
- Thiết bị không có 802.1X: dùng MAB kết hợp Profiling, đưa vào VLAN riêng với ACL tối thiểu.
- Wi-Fi khách: SSID Guest riêng với Guest Portal, tài khoản tạm tự hết hạn.
- License: BYOD cần gói Advantage; gói Essentials có RADIUS, 802.1X, MAB và Guest nhưng không có BYOD.
- Cách tính license: theo số thiết bị hoạt động đồng thời tối đa trong ngày, không theo số nhân viên.
- Mã đặt hàng chính: SNS-3815-K9 (appliance) hoặc R-ISE-VMC-K9= (máy ảo), cùng ISE-A-LIC (license Advantage); chi tiết ở mục Đặt hàng.
1. Vì sao mật khẩu Wi-Fi và MAC bypass không còn phù hợp
- Mật khẩu Wi-Fi (dùng chung hoặc từng người một mật khẩu): chỉ cần một người chia sẻ là lộ. Đổi mật khẩu nghĩa là cấu hình lại thiết bị, mật khẩu không gắn với một thiết bị cụ thể nên không thu hồi được từng máy, và nhân viên đã nghỉ việc vẫn có thể giữ mật khẩu cũ.
- MAC bypass thủ công: mỗi lần đổi máy là một yêu cầu cho IT. MAC address không gắn với danh tính người dùng, và có thể bị giả mạo.
- Không truy vết được: log chỉ cho biết một MAC hay một mật khẩu đã vào mạng, không biết ai đang dùng.
Mô hình chứng chỉ giải quyết cả ba điểm: mỗi thiết bị có chứng chỉ riêng gắn với người dùng, thu hồi được từng thiết bị, và mọi kết nối đều có danh tính.
2. Các thuật ngữ cần biết
- BYOD (Bring Your Own Device): thiết bị cá nhân của nhân viên dùng cho công việc.
- 802.1X EAP-TLS: cách xác thực mà thiết bị dùng chứng chỉ riêng thay cho mật khẩu.
- MAB (MAC Authentication Bypass): xác thực thiết bị bằng địa chỉ MAC, dùng cho thiết bị không có 802.1X.
- MDM (Mobile Device Management, quản lý thiết bị di động): hệ thống để IT quản lý từ xa laptop, điện thoại, máy tính bảng của công ty. MDM có thể tự cài ứng dụng, áp chính sách bảo mật, xoá dữ liệu khi mất máy, và đẩy chứng chỉ cùng profile Wi-Fi xuống thiết bị mà người dùng không phải làm gì. Ví dụ phổ biến: Microsoft Intune, Jamf (cho máy Apple), Meraki Systems Manager.
- GPO (Group Policy Object): chính sách do Active Directory đẩy xuống các máy Windows đã join domain. GPO có thể cấu hình Wi-Fi 802.1X và tự xin chứng chỉ cho máy từ Microsoft CA.
- Microsoft CA: máy chủ cấp chứng chỉ của Windows Server (Active Directory Certificate Services), dùng để cấp chứng chỉ cho máy và người dùng trong doanh nghiệp.
3. Giải pháp tổng thể cho các nhóm thiết bị
Một doanh nghiệp 300 người thường có cả máy do IT cấp, điện thoại hoặc laptop cá nhân, thiết bị IoT và khách ra vào. Các nhóm này không nên dùng chung một cách kết nối, nhưng nên dùng chung một nền tảng xác thực là ISE để IT quản lý và truy vết ở một nơi.
| Nhóm | Cách có chứng chỉ hoặc tài khoản | SSID | Quyền truy cập (đề xuất) |
|---|---|---|---|
| Máy công ty cấp | IT đẩy chứng chỉ và profile Wi-Fi bằng GPO (máy Windows join domain, chứng chỉ từ Microsoft CA) hoặc MDM; kết nối đầu tiên đã là EAP-TLS | SSID Corp | Đầy đủ theo nhóm AD |
| Thiết bị cá nhân | Nhân viên tự đăng ký qua BYOD Portal bằng tài khoản AD, ISE cấp chứng chỉ riêng | SSID Onboarding để đăng ký, rồi SSID Corp | Hẹp hơn máy công ty, ví dụ chỉ Internet và vài ứng dụng cần thiết |
| Máy in, camera, IoT | MAB có kiểm soát hoặc iPSK | SSID hoặc cổng riêng | VLAN riêng, ACL tối thiểu |
| Khách | Tài khoản tạm qua Guest Portal | SSID Guest | Chỉ ra Internet, tách khỏi mạng nội bộ |
Mô hình ba SSID
- SSID Corp: 802.1X EAP-TLS cho cả máy công ty lẫn thiết bị cá nhân đã đăng ký.
- SSID Onboarding: chỉ để thiết bị cá nhân đăng ký lần đầu.
- SSID Guest: cho khách.
Cách ISE phân biệt máy công ty và máy cá nhân: cả hai cùng vào SSID Corp bằng EAP-TLS, nhưng chứng chỉ đến từ hai nguồn khác nhau. Policy trên ISE dựa vào nguồn cấp chứng chỉ (CA doanh nghiệp hay CA dùng cho BYOD) hoặc việc thiết bị đã đăng ký qua BYOD để cấp quyền khác nhau. Đây là thiết kế VNExperts đề xuất, cần kiểm tra khi khảo sát với CA và MDM thực tế của khách.
Máy công ty không cần BYOD Portal: vì IT đã quản lý máy nên đẩy chứng chỉ trực tiếp được; BYOD Portal chỉ cần cho thiết bị cá nhân. Nếu khách chỉ có máy công ty cấp và không cho dùng thiết bị cá nhân thì không cần tính năng BYOD, nhưng cần đối chiếu lại gói license khi báo giá. Cách đẩy chứng chỉ bằng GPO hoặc MDM là thực hành triển khai chung của VNExperts, không phải trích dẫn từ tài liệu Cisco.
4. Kiến trúc hệ thống
Cisco ISE là điểm xác thực duy nhất. Wi-Fi controller chuyển mọi yêu cầu kết nối sang ISE, ISE kiểm tra tài khoản với Active Directory rồi quyết định thiết bị nào được vào mạng.
- Wi-Fi (AP + WLC): phát ba SSID (Corp, Onboarding, Guest). WLC làm RADIUS client của ISE.
- Cisco ISE (2 node, HA): chứa BYOD Portal, Guest Portal, bộ chính sách RADIUS và CA cấp chứng chỉ cho thiết bị cá nhân.
- Active Directory: nguồn tài khoản và nhóm nhân viên. Vô hiệu hoá tài khoản AD thì mọi thiết bị của người đó mất quyền vào mạng.
- Mạng nội bộ: chỉ mở cho thiết bị có chứng chỉ hợp lệ, phân quyền theo nhóm người dùng.
Cisco mô tả hai mô hình BYOD: dual SSID (một SSID để đăng ký, một SSID để truy cập mạng) và single SSID (cùng một WLAN cho cả hai việc). Bài này dùng dual SSID vì tách rõ mạng đăng ký với mạng làm việc; với iOS, single SSID tự kết nối sau khi đăng ký xong, còn dual SSID yêu cầu người dùng chọn lại mạng thủ công.
5. Máy do công ty cấp
Máy do IT quản lý không cần BYOD Portal:
- IT đẩy chứng chỉ máy và profile Wi-Fi 802.1X bằng GPO (máy Windows join domain) hoặc MDM (điện thoại, máy Mac, máy Windows do MDM quản lý).
- Máy kết nối thẳng SSID Corp bằng EAP-TLS, không qua SSID Onboarding.
- ISE kiểm tra chứng chỉ do CA doanh nghiệp cấp và tài khoản trong AD, rồi cho quyền đầy đủ theo nhóm.
6. Thiết bị cá nhân: tự đăng ký qua BYOD Portal
Thiết bị cá nhân chỉ cần đăng ký một lần; từ lần sau tự kết nối bằng chứng chỉ mà không hỏi mật khẩu.
- Kết nối SSID Onboarding: nhân viên chọn mạng đăng ký. Mạng này chỉ cho vào BYOD Portal, chưa vào được mạng nội bộ.
- Chuyển hướng: ISE nhận ra thiết bị chưa đăng ký và đưa trình duyệt tới BYOD Portal.
- Tự đăng ký: nhân viên đăng nhập bằng tài khoản AD và đặt tên cho thiết bị.
- Cài đặt tự động: portal cài profile Wi-Fi và chứng chỉ riêng theo từng hệ điều hành (xem mục 6.1).
- Kết nối lại: thiết bị tự chuyển sang SSID Corp và xác thực bằng EAP-TLS.
- ISE kiểm tra: xác minh chứng chỉ, thiết bị đã đăng ký và tài khoản AD còn hoạt động.
- Cho vào mạng: ISE trả về quyền truy cập (VLAN hoặc ACL) theo nhóm người dùng.
Thiết bị mới chạy từ bước 1; thiết bị đã đăng ký chỉ chạy bước 5 đến 7.
6.1. Hệ điều hành hỗ trợ và cách cài đặt
Theo bảng tương thích ISE 3.5 của Cisco:
| Hệ điều hành | Hỗ trợ BYOD | Cách onboarding | Lưu ý |
|---|---|---|---|
| Windows | Windows 10 và 11 | Network Setup Assistant do ISE cung cấp | Cần quyền quản trị trên máy để cài |
| macOS | 10.13 đến 26.x (xem bảng Cisco) | Network Setup Assistant | Từ macOS 10.15, người dùng phải cho phép tải xuống |
| iOS | 11.x đến 26.x | ISE gửi profile over-the-air (chứng chỉ và Wi-Fi profile EAP-TLS) | Chứng chỉ được cấp hai lần trong quá trình onboarding |
| Android | 7.x đến 16.x | ISE chuyển hướng tới Google Play để tải ứng dụng Cisco Network Setup Assistant (NSA), mở ứng dụng và làm theo hướng dẫn | Cần Android 11 trở lên hoặc bật Broadcast SSID; Android 9 và 10 phải bật Location trước khi chạy trình cài; hostname phải có trong trường SAN của chứng chỉ |
| Linux | Ubuntu 18.04 đến 24.04, RHEL 7.5 trở lên, SLES 12.3 trở lên | Cài Cisco AnyConnect 5.1.2.04 trở lên rồi đăng ký qua BYOD | Cisco ghi Linux được xác minh cho BYOD và posture, không mô tả riêng việc xác thực 802.1X; nên chạy thử mỗi bản phân phối |
| ChromeOS | Chrome 49 trở lên | Qua trình duyệt Chrome | Chromebook là thiết bị được quản lý và không hỗ trợ dịch vụ Posture |
Máy Linux hoặc thiết bị nào không đạt yêu cầu trên có thể được cấp chứng chỉ thủ công và cấu hình supplicant (NetworkManager hoặc wpa_supplicant), đặt vào nhóm riêng trong policy. Không dùng MAB cho máy Linux của nhân viên.
6.2. Lưu ý khi triển khai BYOD
- MAC ngẫu nhiên: luồng BYOD mặc định không hỗ trợ MAC ngẫu nhiên. Android 10 tạo MAC ngẫu nhiên mỗi khi tạo profile kết nối mới, nên cần chỉnh rule authorization như Cisco hướng dẫn (bỏ điều kiện BYOD_is_Registered và MAC_in_SAN) để Android hoạt động.
- Android mất kết nối sau khoảng 30 ngày không dùng: có báo cáo của người dùng trên Cisco Community (chưa phải tài liệu chính thức); nên thử với máy thật và hướng dẫn nhân viên không gỡ ứng dụng NSA.
- Chuỗi chứng chỉ: BYOD không hỗ trợ chuỗi chứng chỉ dài hơn ba chứng chỉ.
- Chứng chỉ portal: dùng chứng chỉ HTTPS do CA được thiết bị tin cậy ký để trình duyệt không cảnh báo khi đăng ký.
- CA cấp chứng chỉ: ISE có CA tích hợp để cấp chứng chỉ BYOD; nếu khách đã có Microsoft CA thì ISE cũng có thể xin chứng chỉ qua SCEP.
- Chạy thử trước: thử trên một nhóm nhỏ với đủ Windows, macOS, iOS, Android và Linux trước khi mở cho toàn bộ nhân viên.
7. Thiết bị không hỗ trợ 802.1X: MAB có kiểm soát
Máy in, camera, thiết bị IoT thường không có supplicant 802.1X nên vẫn xác thực bằng MAB. Cách làm dưới đây giữ nhóm thiết bị này trong phạm vi hẹp và giảm rủi ro giả mạo MAC.
Đưa thiết bị vào ISE
- Nhập danh sách MAC đã duyệt vào Endpoint Identity Group bằng file CSV.
- Bật Profiling để ISE nhận diện loại thiết bị (máy in, camera, điện thoại IP) qua DHCP, CDP/LLDP, OUI; thiết bị lạ được đưa vào VLAN cách ly cho đến khi IT duyệt.
- Gắn mỗi nhóm một quyền riêng: VLAN riêng và ACL chỉ cho tới máy chủ cần thiết, ví dụ máy in chỉ tới print server, camera chỉ tới đầu ghi.
Các lớp giảm rủi ro giả mạo MAC
MAB không chống giả mạo MAC tuyệt đối. Các lớp dưới đây giảm rủi ro và giới hạn thiệt hại nếu bị giả mạo.
| Lớp bảo vệ | Cách hoạt động |
|---|---|
| Kiểm tra MAC và loại thiết bị | Chỉ cho vào khi MAC thuộc nhóm đã duyệt và profile khớp; laptop giả MAC máy in sẽ có dấu vết DHCP khác nên bị từ chối |
| Ràng buộc vị trí | Chỉ chấp nhận thiết bị tại cổng switch hoặc vùng mạng quy định |
| Quyền tối thiểu | VLAN riêng và ACL hẹp, nếu bị giả mạo cũng không chạm tới mạng nhân viên |
| Bảo vệ ở switch | DHCP snooping, Dynamic ARP Inspection, IP Source Guard |
| Nâng lên 802.1X | Thiết bị đời mới hỗ trợ EAP-TLS thì dùng chứng chỉ thay cho MAC |
| iPSK cho Wi-Fi | Mỗi thiết bị hoặc nhóm một khoá riêng trên cùng SSID, do ISE quyết định; khoá nào lộ thì chỉ đổi khoá đó |
Về iPSK: thiết bị kết nối vào SSID, WLC hỏi ISE qua RADIUS, ISE tra MAC trong nhóm thiết bị rồi trả về khoá riêng của thiết bị hoặc nhóm đó. iPSK không cần supplicant 802.1X nên dùng được cho máy in, camera, IoT, nhưng vẫn là khoá chia sẻ, không gắn với chứng chỉ của máy; với laptop và điện thoại nhân viên, EAP-TLS qua BYOD an toàn hơn. Cisco lưu ý iOS 14 và Android 10 dùng MAC ngẫu nhiên có thể làm hỏng cấu hình iPSK nên cần tắt tính năng này cho SSID đó. Tài liệu cấu hình của Cisco ghi iPSK hỗ trợ Local Mode và FlexConnect (central authentication, local switching), không hỗ trợ local authentication.
8. Wi-Fi cho khách bằng tài khoản tạm
Khách dùng SSID Guest riêng, ISE chuyển hướng tới Guest Portal. Khách không đăng ký BYOD và không vào được mạng nội bộ nhờ VLAN và ACL tách riêng. ISE có ba loại portal khách:
| Loại | Cách khách vào mạng | Phù hợp |
|---|---|---|
| Sponsored | Sponsor (lễ tân hoặc nhân viên được phân quyền) tạo tài khoản và cấp username/password cho khách | Khách họp, đối tác, nhà thầu cần định danh |
| Self-Registered | Khách tự tạo tài khoản; tuỳ cấu hình có thể cần sponsor duyệt | Sự kiện, khách đến thường xuyên |
| Hotspot | Không cần thông tin đăng nhập, thường chỉ cần chấp nhận điều khoản sử dụng | Khu vực công cộng |
Mỗi tài khoản khách gắn với một guest type, quyết định thời hạn hiệu lực (tính từ lần đăng nhập đầu hoặc theo ngày sponsor chỉ định), khung giờ truy cập và số thiết bị tối đa mỗi khách. Tài khoản hết hạn thì khách không vào được mạng nữa.
9. Vận hành hằng ngày: đổi máy, mất máy, nghỉ việc
Phần lớn tình huống do nhân viên tự xử lý qua My Devices Portal; IT chỉ cần thao tác trên AD khi có người nghỉ việc.
| Tình huống | Cách xử lý | IT cấu hình tay? |
|---|---|---|
| Đổi điện thoại hoặc laptop cá nhân | Nhân viên đăng ký thiết bị mới qua BYOD Portal; nếu đã đủ số thiết bị cho phép thì xoá thiết bị cũ trong My Devices | Không |
| Mất thiết bị | Nhân viên đánh dấu Lost trong My Devices: thiết bị vào Blocked List, nhưng chứng chỉ chưa bị thu hồi. Cần có policy chặn nhóm Blocked List thì thiết bị mới mất truy cập | Cần tạo policy một lần |
| Thiết bị bị đánh cắp | Đánh dấu Stolen: nếu thiết bị đã được cấp chứng chỉ thì chứng chỉ bị thu hồi và thiết bị mất truy cập | Không |
| Tìm lại được thiết bị | Dùng Reinstate để khôi phục thiết bị đã đánh dấu Lost mà không phải đăng ký lại; thiết bị Stolen về trạng thái Not Registered nên phải xoá và đăng ký lại | Không |
| Nhân viên nghỉ việc | Vô hiệu hoá tài khoản AD; ISE từ chối xác thực các thiết bị của người đó | Chỉ thao tác trên AD |
| Chia sẻ mật khẩu Wi-Fi | Không còn mật khẩu chung; chứng chỉ chỉ dùng được trên thiết bị đã được cấp | Không |
Lưu ý quan trọng: trạng thái Lost không tự chặn thiết bị. Muốn chặn thật, cần tạo authorization policy cho nhóm Blocked List, hoặc dùng Stolen khi cần thu hồi chứng chỉ ngay.
10. License và thành phần cần chuẩn bị
Vì sao BYOD cần gói Advantage
| Gói | Có gì liên quan đến giải pháp này | Đủ cho giải pháp này? |
|---|---|---|
| Essentials | RADIUS, 802.1X, MAB, Web Authentication, Guest access, Easy Connect | Không: không có BYOD |
| Advantage | Toàn bộ Essentials, thêm BYOD (đăng ký và cấp chứng chỉ thiết bị bằng CA tích hợp), Profiling | Có |
| Premier | Toàn bộ Advantage, thêm các tính năng cao cấp khác | Có, nhưng không bắt buộc cho giải pháp này |
License tính theo số thiết bị hoạt động đồng thời tối đa trong ngày, không theo số nhân viên. Mỗi thiết bị dùng license của tính năng cao nhất mà nó sử dụng, nên cần cộng cả thiết bị khách và thiết bị IoT khi ước tính số lượng. Nếu đã có Microsoft CA, ISE cũng có thể xin chứng chỉ qua SCEP thay vì dùng CA tích hợp, nhưng tính năng BYOD vẫn thuộc gói Advantage.
Các thành phần khác cần có
- Wi-Fi controller và AP hỗ trợ RADIUS, CoA và URL redirect (kiểm tra phiên bản WLC và ISE khi khảo sát).
- Active Directory làm nguồn tài khoản, ISE được join vào domain.
- Chứng chỉ HTTPS cho portal do CA được tin cậy ký.
- Với máy công ty: hệ thống GPO hoặc MDM của khách.
11. Ứng dụng phù hợp
- Doanh nghiệp vài trăm người dùng, nhân viên thường xuyên đổi điện thoại hoặc dùng thiết bị cá nhân.
- Công ty đang dùng mật khẩu Wi-Fi chung hoặc MAC bypass và muốn chấm dứt việc IT cấu hình từng máy.
- Tổ chức cần truy vết: biết người nào, thiết bị nào, vào mạng lúc nào.
- Văn phòng có nhiều khách, đối tác ra vào, cần Wi-Fi khách tách khỏi mạng nội bộ.
12. Câu hỏi thường gặp
Dùng license Essentials có triển khai được BYOD không? Không. Theo tài liệu license của Cisco, BYOD nằm ở gói Advantage; Essentials chỉ có RADIUS, 802.1X, MAB, Web Authentication, Guest và Easy Connect. Với Essentials vẫn làm được 802.1X EAP-TLS nhưng chứng chỉ phải cấp bằng cách khác, và không có portal để nhân viên tự đăng ký.
Máy công ty cấp có cần dùng BYOD Portal không? Không. Máy do IT quản lý nhận chứng chỉ và profile Wi-Fi qua GPO hoặc MDM nên vào thẳng SSID Corp bằng EAP-TLS. BYOD Portal dành cho thiết bị cá nhân; ISE phân quyền khác nhau cho hai nhóm dựa vào nguồn cấp chứng chỉ.
Android tải ứng dụng nào trên Google Play? Cisco Network Setup Assistant (NSA). Khi nhân viên đăng ký qua BYOD Portal, ISE tự chuyển hướng tới Google Play để tải ứng dụng này.
Máy Linux có dùng BYOD Portal để tự đăng ký được không? Có theo bảng tương thích ISE 3.5 của Cisco: Linux (RHEL 7.5+, SLES 12.3+, Ubuntu 18.04 đến 24.04) được xác minh cho BYOD với AnyConnect 5.1.2.04 trở lên. Nên chạy thử trên từng bản phân phối trước khi triển khai; máy không đạt thì cấp chứng chỉ thủ công.
Nhân viên mất điện thoại thì thiết bị có bị chặn ngay không? Chưa chắc. Đánh dấu Lost chỉ đưa thiết bị vào Blocked List, thiết bị vẫn truy cập được nếu chưa có policy chặn nhóm này. Đánh dấu Stolen sẽ thu hồi chứng chỉ nếu thiết bị đã được cấp. Nên tạo sẵn policy chặn Blocked List khi triển khai.
Mỗi nhân viên đăng ký được bao nhiêu thiết bị? Mặc định là 5, quản trị viên đặt được từ 1 đến 999.
Nhân viên nghỉ việc có cần thu hồi từng chứng chỉ không? Không cần làm tay từng cái: vô hiệu hoá tài khoản AD thì ISE từ chối xác thực các thiết bị của người đó.
Dùng RADIUS mã nguồn mở thay cho ISE được không? Được một phần. RADIUS mã nguồn mở xử lý tốt xác thực 802.1X và MAB, nhưng BYOD Portal, Guest Portal, Profiling và giao diện quản trị phải tự xây hoặc dùng thêm sản phẩm khác, đồng thời không có hãng hỗ trợ. Đây là đánh giá của VNExperts, không phải tài liệu Cisco. Nếu mục tiêu là "nhân viên tự đổi thiết bị, IT không cấu hình tay" thì ISE đáp ứng sẵn hơn.
Có cần mua thêm gì ngoài ISE? Cần Wi-Fi controller và AP hỗ trợ RADIUS, CoA và URL redirect, Active Directory để làm nguồn tài khoản, và chứng chỉ HTTPS cho portal. Kiểm tra phiên bản WLC và ISE khi khảo sát.
13. Đặt hàng
Cisco ISE gồm ba thành phần: nền tảng chạy ISE (appliance phần cứng hoặc máy ảo), license phần mềm và support. Trong đó ISE-SEC-SUB là mã cha của phần subscription; ISE-A-LIC (license) và SVS-ISE-SUP-B (support) là mã con đặt dưới mã cha. Với mô hình 2 node chạy HA, chọn một trong hai cách cho nền tảng: appliance SNS-3815-K9 hoặc license máy ảo R-ISE-VMC-K9=.
| Mã đặt hàng (PID) | Mô tả | Số lượng đề xuất | Ghi chú |
|---|---|---|---|
| SNS-3815-K9 | Small Secure Network Server for ISE Applications (appliance phần cứng cỡ nhỏ) | 2 (HA), nếu chọn phần cứng | 1RU, AMD 9115 16 nhân, RAM 64 GB, 2 x 10GBase-T và 4 x 10GE SFP, 1 hoặc 2 nguồn 1200 W; nên chọn 2 nguồn để dự phòng; rail kit đã kèm sẵn; ổ đĩa chọn 1 trong 3: NVMe 960 GB (không RAID), SED 960 GB (RAID-0) hoặc SED-FIPS 1,6 TB (RAID-0) |
| R-ISE-VMC-K9= | Cisco ISE Virtual Machine Common PID (license máy ảo, vĩnh viễn) | 2 (HA), nếu chọn máy ảo | Mua một license cho mỗi máy ảo (node ISE); tự cung cấp hạ tầng ảo hoá đáp ứng cấu hình tối thiểu của Cisco |
| ISE-SEC-SUB (mã cha) | Subscription SKU, chọn kỳ hạn license cho toàn bộ các mã con bên dưới | 1 | Kỳ hạn 1, 3 hoặc 5 năm, mặc định 36 tháng; có thể co-term; trả trước cả kỳ |
| └ ISE-A-LIC (mã con) | Cisco Identity Services Engine Advantage Subscription | Theo số thiết bị kết nối đồng thời tối đa trong ngày; mua từ 50 trở lên | Cần cho BYOD và Profiling; kỳ hạn theo ISE-SEC-SUB |
| └ SVS-ISE-SUP-B (mã con) | Support Basic cho subscription ISE | Đi kèm license | Các gói SVS-ISE-SUP-S, -E, -P là gói support cao hơn, mua tách |
Lưu ý khi đặt hàng
- Chọn phần cứng hoặc máy ảo cho nền tảng, không cần cả hai. Appliance SNS-3815-K9 phù hợp khi chưa có hạ tầng ảo hoá; máy ảo phù hợp khi đã có sẵn.
- License ISE mua riêng với nền tảng, và cần có Smart Account của Cisco vì mọi license ISE quản lý bằng Smart Licensing.
- Số lượng ISE-A-LIC tính theo thiết bị kết nối đồng thời tối đa, không theo số nhân viên; cần cộng cả thiết bị cá nhân, máy công ty, khách và IoT. Chốt con số cuối sau khảo sát.
- ISE có bản dùng thử 90 ngày hỗ trợ 100 endpoint, kích hoạt khi cài đặt, dùng được để chạy thử trước khi mua.
- Công suất SNS-3815-K9 theo Cisco: 50.000 endpoint đồng thời cho node chỉ chạy persona PSN và 25.000 cho node chạy nhiều persona (ISE 3.4 P4 trở lên), cao hơn nhiều so với quy mô 300 người dùng.
Nền tảng ảo hoá hỗ trợ khi chọn R-ISE-VMC-K9= (theo tài liệu ISE 3.5)
| Nền tảng | Phiên bản Cisco ghi | Lưu ý |
|---|---|---|
| VMware ESXi | 7.0, 8.0 và 9.0 (cả ISO và OVA) | Hỗ trợ vMotion và cold migration (cold migration phải tắt ISE trước) |
| KVM | KVM on QEMU 2.12.0-99 trở lên | Cisco không nêu phiên bản RHEL cụ thể |
| Microsoft Hyper-V | Cisco ghi Hyper-V, không nêu phiên bản; Azure Stack HCI 23H2 trở lên dùng cùng yêu cầu | Cần xác nhận phiên bản Windows Server với Cisco |
| Nutanix AHV | AOS 6.8 và 7.0, AHV 10.0 | Chỉ dùng ISO, không import OVA vì OVA làm hỏng SMBIOS khiến node không cấp license được |
| Red Hat OpenShift | OpenShift 4.19 trở lên (ISE 3.4 patch 4 trở lên) | Cần OpenShift Virtualization plug-in và CNI; chỉ dùng ISO |
Yêu cầu tài nguyên:
- Máy ảo tương đương SNS-3815 (cỡ Small): 32 vCPU và 64 GB RAM, CPU từ 2,0 GHz trở lên. Trên VMware, Cisco yêu cầu reserve CPU 32 GHz và RAM 64 GB đúng mức cấp phát; Nutanix AHV không hỗ trợ CPU reservation; tài liệu không nêu reservation cho KVM và Hyper-V.
- Cisco hỗ trợ hyperthreading và khuyến nghị bật; số vCPU gấp đôi số core vật lý của dòng SNS tương đương, nên tính tài nguyên theo core vật lý.
- Ổ đĩa từ 300 GB đến 2,4 TB tùy vai trò node; node chạy PAN hoặc MnT nên dùng template 600 GB hoặc 1,2 TB, node PSN hoặc pxGrid chuyên dụng dùng 300 GB là đủ; dùng một virtual disk, định dạng 512n hoặc 512e, không hỗ trợ 4Kn.
- Hiệu năng lưu trữ: ổ host khuyến nghị tối thiểu 10.000 RPM, tốc độ ghi tối thiểu 50 MB/s và đọc tối thiểu 300 MB/s.
- Card mạng: tối thiểu 1 NIC, khuyến nghị từ 2 NIC, tối đa 6 NIC; VMware dùng E1000E hoặc VMXNET3, KVM nên dùng VirtIO.
- Cisco ISE không hỗ trợ snapshot để sao lưu dữ liệu trên mọi nền tảng ảo hoá; cần dùng backup của ISE.
Mã đặt hàng, đơn giá và tình trạng hàng cần được xác nhận lại trên Cisco Commerce Workspace (CCW) tại thời điểm báo giá. Liên hệ VNExperts để được tư vấn cấu hình và báo giá.
Thông tin liên quan
- Cisco ISE là gì, kiến trúc, tính năng và license
- LAB Cisco TrustSec với ISE
- Liên hệ VNExperts để được tư vấn và khảo sát
Ghi chú minh bạch
Nội dung kỹ thuật được tổng hợp từ tài liệu chính hãng của Cisco:
- License và cách tính: Cisco ISE Licensing Guide
- Mã đặt hàng, SKU license, kỳ hạn và Smart Licensing: Cisco ISE Licensing Guide (Ordering Guide)
- Thông số SNS-3815-K9: Cisco Secure Network Server 3800 Series Data Sheet
- Nền tảng ảo hoá và yêu cầu máy ảo: Cisco ISE Installation Guide 3.5, hardware and virtual appliance requirements
- Hệ điều hành client, Linux, ChromeOS, Android: ISE 3.5 Network Component Compatibility
- BYOD (dual/single SSID, My Devices, giới hạn thiết bị, MAC ngẫu nhiên): Cisco ISE Administrator Guide 3.1, mục BYOD, bản cũ hơn bảng tương thích 3.5
- Guest (loại portal, thời hạn tài khoản, sponsor): Cisco ISE Administrator Guide 3.2, mục Guest and Secure WiFi
- iPSK: Configure Catalyst 9800 WLC iPSK with ISE, thử nghiệm trên ISE 3.0
- SCEP với CA bên ngoài: Configure ISE SCEP Support for BYOD
- Ứng dụng Android và lỗi 30 ngày: Cisco Community, Cisco Network Setup Assistant app, báo cáo của người dùng, chưa phải tài liệu chính thức
