Cisco ACS: Funzioni Principali e Architettura

Cisco Secure ACS (ora succeduto da Cisco Identity Services Engine — ISE) era il server policy RADIUS/TACACS+ di punta per il controllo accesso reti aziendali. Le sue funzioni rimangono il blueprint per i moderni NAC.

1. Autenticazione (Chi Sei?)

• Protocolli: RADIUS, TACACS+, RADIUS-DTLS, Kerberos, bind LDAP, SAML/OIDC (versioni successive).
• Identity Store: DB interno, Active Directory, LDAP (OpenLDAP, AD LDS), ODBC, RSA SecurID, server token.
• Metodi: PAP, CHAP, MS-CHAPv2, EAP-TLS, EAP-PEAP, EAP-FAST, EAP-TTLS.

2. Autorizzazione (Cosa Puoi Fare?)

• Elementi Policy: Gruppi identità, condizioni di rete (ora, posizione, posture dispositivo), NDG (Network Device Groups).
• Attributi Risultato: Cisco-AVPairs → VLAN, ACL, dACL, URL-redirect, timer reauth, session timeout.
• RBAC: Autorizzazione comandi shell (TACACS+) per amministrazione dispositivo (privilegio 0–15).

3. Gestione Policy

• Oggetti policy centralizzati (servizi, condizioni, risultati) riutilizzabili tra NAD (Network Access Devices).
• Simulazione policy / modalità test (simula richiesta RADIUS senza traffico live).
• Import/export bulk via CSV, API ERS (External RESTful Services).

4. Accesso Ospiti e BYOD

• Portale di auto-registrazione (personalizzabile, multi-lingua).
• Flussi di approvazione sponsor.
• Assegnazione VLAN/ACL ospite; accettazione AUP.
• Registrazione dispositivo (integrazione MDM) → posture check → profiling.

5. Onboarding Dispositivo (BYOD)

• Iscrizione certificati SCEP/EST per EAP-TLS.
• Provisioning supplicant nativo (iOS .mobileconfig, configurazione Wi-Fi Android, XML Windows).
• Onboarding zero-touch tramite QR code / link email.

6. Monitoraggio, Report e Risoluzione Problemi

• Log Live: Flussi RADIUS/TACACS+ in tempo reale (auth, authz, acct).
• Report: Top fallimenti, top utenti, utilizzo dispositivi, trend posture.
• Traccia di Audit: Modifiche admin, deploy policy.
• Risoluzione Problemi: Cattura pacchetti (pcap), log debug per servizio.

7. Integrazione ed Estensibilità

• Integrazione NAD: Catalyst, Nexus, Meraki, AireOS, IOS-XE — configurazione client RADIUS/TACACS+.
• MDM/EMM: AirWatch, MobileIron, Intune, Jamf — attributi posture via ERS.
• SIEM: Splunk, QRadar, Elastic — streaming syslog/CEF/JSON.
• API: ERS (REST) per CRUD su tutti gli oggetti; pxGrid per condivisione minacce.

Nota Migrazione

ACS 5.8 ha raggiunto Fine Vendita (2017) e Fine Supporto (2022). Migra a Cisco ISE 3.x — parità funzionalità più pxGrid, TrustSec, integrazione SD-Access e sviluppo attivo.