Всем привет. Предполагаем внедрять у себя ISE 1.2 с аутентификацией пользователей в AD. В принципе, сделать, чтобы юзер авторизовался на ethernet-порту коммутатора, введя свои логин/пароль из AD, получается, но работает это как-то так: сначала пользователь еще не прошел авторизацию и доступа к контроллеру AD еще нет, пользователь вводит логин/пароль и система пускает его используя кэшированный пароль для учетки, а затем 802.1x supplicant используя логин/пароль (тоже, судя по всему, из кэша) авторизуется на порту и на основании атрибутов пользователя из AD получает нужный VLAN. Хуже, когда пользователь, к примеру, сменил пароль на одной машине, а потом пробует залогиниться на другой - возникает проблема т.к. вход под кэшированным паролем в систему он осуществить может, но авторизацию с этим паролем уже нет. Возможно подход в принципе неправильный и нужно сначала давать ограниченный аксесс-листом доступ для взаимодействия с контроллером, а после авторизации навешивать нужный VLAN и DACL с более широкими полномочиями, но тут я пока не могу понять возможно ли так сделать. Кто-нибудь уже имеет опыт интеграции ISE с AD ?

Для описанной проблемы существует специально машинная авторизация.
Сделай группу для учеток компов в АД и правило отдельное на радиусе. Можно их даже в специальный VLAN терминировать. Как только пользователь залогинится на машине в AD - происходит переподключение от его учетки. Это дефолтное поведение любой винды.

Bug$
Перво наперво, делаете Authorization Rule вида: if match AD/COmputers, then ACL_AD.
СЛедом правила уже для юзеров.

P.S. Pavel ответил уже.

Да, действительно с машинной авторизацией получается так как нужно. Спасибо за помощь.

Поторопился с выводами - на WinXP работает, на Win7 - нет. Почему-то на семерке при машинной авторизации получаю в логах Event 5440 Endpoint abandoned EAP session and started new
Failure Reason 24441 Account not permitted to log on using the current workstation. Нагуглил несколько похожих ситуаций - но те решения не помогли. В целом отличие между логом входа XP-шки и 7-рки такие:
- для XP используется EAP-FAST, для 7-ой EAP-TLS
- для XP используется Username типа host/<Имя компьютера>, а для 7-ки host/<Имя компьютера>.<Имя домена>
В логах коммутатора так же проскакивает сообщение %AUTHMGR-7-FAILOVER: Failing over from 'dot1x' for client (Unknown MAC) on Interface - и это только если туда включить компьютер с Win7 - на XP все работает как и задумано - авторизация происходит только если машина принадлежит домену и по атрибутам назначается номер VLAN.
Служба "Проводная автонастройка" на 7-ке запущена, проверка подлинности включена. Безрезультатно бьюсь уже который день, может кто сталкивался - подскажите куда смотреть.

Находил это, но не могу понять каким боком здесь машинная авторизация т.е. авторизуется на данном этапе не пользователь, а компьютер (если я правильно все понимаю) - в AD можно запретить юзеру логиниться на конкретной машине, но в том и дело, что юзер еще не залогинился, кому и что тут запрещается в таком случае? На всякий случай проверил - всем юзерам (именно юзерам, а не компьютерам) разрешено Log on to All computers. Возможно я просто не до конца понимаю приведенный вами текст

Сегодня ни с того ни с сего аналогичная ошибка стала появляться и в случае подключения WinXP - настройки те же и на ISE и на подключаемой машине, а работает уже по-другому Уже начинаю верить в мистику

Непонятное продолжается: взял ноут с XP-шкой, вогнал в домен - для него все работает как и задумано. Выгнал из домена машину, для котрой машинная аутентификация не работает, а потом вогнал обратно в домен - теперь в логе ISE для этой машины вижу такое: 12110 PAC verification failed, а username для нее хоть убейся теперь host/anonymous, почему anonymous, она ведь в домене зарегана с другим именем?

hi

any suggestions here?
i am facing the issue 5440 Endpoint abandoned EAP session and started new

br