ClearPass Access Tracker: đọc gì ở đó, và khi request không hiện ra

Ghi chú đọc tài liệu, không phải kết quả thử trên hệ thật. Nguồn chính: ClearPass 6.8 Deployment Guide của HPE. Mỗi ý có chú thích số trang ở cuối bài; đoạn nào chưa kiểm chứng được thì ghi rõ.

Access Tracker (Monitoring → Live Monitoring → Access Tracker) liệt kê từng yêu cầu xác thực và kết quả xử lý. Đây là chỗ nhìn đầu tiên khi có sự cố — và cũng là khoản phải tính vào dung lượng đĩa, vì Policy Manager ghi rất nhiều dữ liệu cho mỗi giao dịch¹.

Hai bẫy hay gặp nhất:

• Không có bản ghi ≠ bị chính sách từ chối. Yêu cầu chưa vào tới policy framework — sai shared secret hoặc sai IP thiết bị. Đi xem Event Viewer, đừng đi sửa chính sách¹.
• Trong cụm, log không replicate. Bản ghi chỉ nằm trên node đã xử lý yêu cầu; mở nhầm node thì tưởng request chưa từng tới¹.

Thành phần

Đọc gì ở đây

• Mỗi bản ghi là một giao dịch: thuộc tính nhận được, chính sách đã áp, kết quả trả về.
• DataFilter là thực thể dùng để lọc bản ghi trong Access Tracker và cả thông điệp syslog¹.

Khi request không xuất hiện trong Access Tracker

Đây là tình huống chẩn đoán quan trọng nhất: yêu cầu vắng mặt nghĩa là nó chưa vào được tới policy framework, chứ không phải bị chính sách từ chối. Deployment Guide chỉ hai chỗ phải kiểm¹:

1. Shared secret giữa mobility controller và cấu hình Network Access Device trong Policy Manager. Sai shared secret thì lỗi hiện ở Monitoring → Event Viewer.
2. Địa chỉ IP của controller khai trong Policy Manager. Lệch một chỗ là Event Viewer báo ERROR/WARN kiểu “nhận được yêu cầu xác thực từ một IP lạ”.

Nói cách khác: Access Tracker trống thì đi xem Event Viewer, đừng đi sửa chính sách.

Log trong cụm

• Log của từng yêu cầu xác thực được ghi riêng trên node đã xử lý yêu cầu đó, vào log database của chính node ấy. Muốn báo cáo tập trung thì dùng ClearPass Insight¹.

• Log Access Tracker và session log KHÔNG được replicate giữa Publisher và Subscriber. Cùng nhóm không replicate còn có: bản ghi authentication, bản ghi accounting, system event (dữ liệu Event Viewer) và dữ liệu giám sát hệ thống. Cấu hình và dữ liệu identity store thì có replicate¹.

  Hệ quả khi chẩn đoán trong cụm: phải tìm đúng node đã xử lý phiên đó. Không thấy bản ghi trên node đang mở không có nghĩa là request chưa từng tới ClearPass.

• Cluster file-backup mặc định chỉ gửi cấu hình. Muốn backup cả log Access Tracker thì bật thêm ở Administration → Server Manager → Server Configuration → Cluster-Wide Parameters, tab Database, trên node Publisher¹.

Chưa kiểm chứng. Nguồn là Deployment Guide 6.8. Đường dẫn menu và tên tham số có thể đã đổi ở bản hiện tại. Tôi chưa có nguồn nào mô tả chi tiết các cột, bộ lọc dựng sẵn hay tab chi tiết của một bản ghi.

Liên quan

• Vận hành ClearPass qua CLI (appadmin) — system upgrade có backup nhưng không phục hồi bản ghi Access Tracker nếu không khai cờ -w/-l

Nguồn

Footnotes

1. ClearPass 6.8 Deployment Guide, tr. PDF 148, 150, 152, 170–172, 215, 317 ↩ ↩² ↩³ ↩⁴ ↩⁵ ↩⁶ ↩⁷ ↩⁸