Cómo Funcionan Cisco ISE y TrustSec

La segmentación de redes corporativas ha dejado de ser una tarea viable mediante direccionamiento IP estático y listas de control de acceso convencionales. En entornos de trabajo híbridos, nubes distribuidas e infraestructuras con miles de dispositivos IoT, vincular la seguridad a la topología física o lógica genera cuellos de botella operativos y una superficie de ataque difícil de contener. Para abordar este problema, Cisco desarrolló Cisco TrustSec, una arquitectura de microsegmentación definida por software que sustituye las restricciones basadas en IP por identidades contextuales.

En el núcleo de esta arquitectura se encuentra Cisco Identity Services Engine (ISE), que actúa como el cerebro centralizado de políticas. La combinación de Cisco ISE y TrustSec permite implementar un modelo Zero Trust en el plano de datos de la red local, desacoplando por completo los privilegios de los usuarios de las VLANs o subredes a las que se conectan. A continuación, se examina a fondo cómo operan estas tecnologías de forma integrada, desde sus principios de diseño y protocolos subyacentes hasta su despliegue práctico y diagnóstico operativo.

Arquitectura y Flujo Operativo: Clasificación, Propagación y Aplicación

Cisco TrustSec transforma el tráfico de red incorporando metadatos de seguridad directamente en los paquetes. En lugar de evaluar direcciones IP de origen y destino en cada salto, los conmutadores y enrutadores toman decisiones de control de acceso basándose en roles asignados. Toda la operativa se divide en tres fases secuenciales:

[Endpoint / Usuario] 
        │ (1. Clasificación: 802.1X / MAB)
        ▼
   [Cisco ISE] ── Asigna SGT (Ej. Ventas = SGT 4)
        │
        ▼
[Switch de Acceso] ── (2. Propagación: Inline Tagging o SXP) ──► [Switch de Egreso]
                                                                        │
                                                                        ▼
                                                       (3. Aplicación: Matriz SGACL)
                                                              [Servidor / Destino]

1. Clasificación (Classification)

La clasificación es el proceso de asignar una etiqueta de grupo de seguridad (Security Group Tag o SGT) al tráfico cuando este entra a la red. El SGT es un valor numérico de 16 bits (del 1 al 65535) que identifica de manera unívoca el rol o privilegio del remitente (por ejemplo: 4 = Empleados, 10 = Contratistas, 50 = Servidores_Web).

• Autenticación en ISE: Cuando un endpoint se conecta a un puerto o red inalámbrica, se autentica mediante IEEE 802.1X o MAC Authentication Bypass (MAB).
• Evaluación de postura y contexto: Cisco ISE analiza el usuario, tipo de dispositivo, ubicación, hora y estado de cumplimiento.
• Inyección del SGT: Mediante atributos RADIUS específicos de Cisco (Vendor-Specific Attributes o VSA), ISE devuelve el SGT asignado al switch de acceso (Network Access Device o NAD), vinculando la IP/MAC del cliente con ese tag.

2. Propagación (Propagation)

Una vez clasificado el paquete, el switch de origen debe comunicar el SGT a lo largo de la infraestructura hasta llegar al dispositivo donde se encuentra el destino. Existen dos métodos principales:

• Etiquetado en línea (Inline Tagging): El switch inserta el SGT directamente en la cabecera del paquete utilizando Cisco Metadata (CMD), un campo de 16 bits añadido en la trama de Capa 2 (estándar IEEE 802.1AE o encapsulación propietaria). Cada switch de tránsito compatible lee y preserva esta etiqueta sin necesidad de inspeccionar capas superiores.
• Propagación fuera de banda (SXP): Para enlaces o equipos que no admiten etiquetado CMD por hardware, se utiliza el protocolo SXP para enviar la tabla de mapeos IP-a-SGT mediante una sesión TCP, como se detalla más adelante.

3. Aplicación (Enforcement)

La fase final ocurre en el dispositivo de red de egreso (el switch o firewall más cercano al recurso de destino). La aplicación en el egreso garantiza que la red no consuma recursos de procesamiento filtrando tráfico antes de tomar la decisión de enrutamiento hacia el salto final.

• El switch de egreso conoce el SGT de origen (transportado en la cabecera o resuelto vía IP-SGT) y el SGT de destino (asociado a la IP del servidor receptor).
• Con ambas identidades, consulta localmente la matriz de políticas descargada previamente desde Cisco ISE.
• Se aplica una Security Group Access Control List (SGACL), que define las reglas granulares (permitir HTTPS, denegar SSH, registrar eventos) entre el grupo origen y el grupo destino.

Cisco TrustSec frente a VLAN y ACL Tradicionales: Comparativa Técnica

Para entender el impacto de TrustSec, es necesario comparar sus capacidades frente a los métodos de segmentación basados en topología (VLANs, VRFs y listas de acceso IP estándar).

Mecanismos de Propagación y el Rol del Protocolo SXP

En redes homogéneas basadas íntegramente en conmutadores de última generación (como Cisco Catalyst 9000), el etiquetado en línea (Inline Tagging) transporta el SGT en cada salto de hardware. Sin embargo, en redes híbridas, enlaces WAN, redes MPLS de proveedores de servicios o centros de datos con equipos legados que no admiten la cabecera CMD, el paquete pierde su etiqueta al cruzar dispositivos no compatibles.

Aquí entra en juego el SGT Exchange Protocol (SXP), definido bajo especificaciones de IETF y diseñado para propagar mapeos de identidad sobre saltos no compatibles.

[Switch de Acceso]                                                [Firewall / Switch Core]
   (SXP Speaker)                                                       (SXP Listener)
         │                                                                   │
         ├─── 1. Conexión TCP Puerto 64999 (Autenticación MD5) ──────────────►│
         │                                                                   │
         ├─── 2. Negociación de Versión (SXP v1, v2, v3, v4, v5) ────────────►│
         │                                                                   │
         ├─── 3. Envío de Bindings [IP: 10.1.1.50 <-> SGT: 4] ───────────────►│
         │                                                                   │
         │    (El tráfico atraviesa la nube IP sin etiquetas CMD)             │
         ▼                                                                   ▼
   [Tráfico IP] ───────────────── [Red Intermedia / WAN] ───────────────► [Aplica SGACL]

Funcionamiento de SXP en Cuatro Fases

1. Establecimiento de la Sesión: Dos dispositivos de red (o un dispositivo y Cisco ISE) configuran una relación de vecindad mediante una sesión TCP en el puerto 64999 (o 64998 en versiones heredadas). La conexión se asegura mediante contraseñas MD5 compartidas.
2. Definición de Roles:
3. SXP Speaker: El nodo que conoce el mapeo IP-a-SGT (generalmente el switch de acceso o el propio Cisco ISE) y lo anuncia a sus vecinos.
4. SXP Listener: El nodo receptor (como un switch de distribución, un router de borde o un firewall Cisco Secure Firewall) que almacena los mapeos en su tabla local para ejecutar políticas.
5. Selección de Versión:
6. SXP v1 y v2: Soporte básico para IPv4.
7. SXP v3: Añade soporte para subredes completas.
8. SXP v4: Incorpora enlaces de múltiples saltos y soporte para IPv6.
9. SXP v5: Permite el transporte de asignaciones discriminadas por tablas de enrutamiento virtual (VRF-aware).
10. Almacenamiento y Consulta Local: El SXP Listener recibe las asociaciones [Dirección IP <-> SGT] y las inserta en su tabla de reenvío de hardware (FIB). Cuando un paquete IP sin etiqueta CMD llega al dispositivo de egreso, este realiza una búsqueda por IP de origen y destino en su base de datos SXP, recupera los SGTs correspondientes y aplica la matriz SGACL de inmediato.

Configuración Paso a Paso de TrustSec en Cisco ISE

La implementación operativa de TrustSec se gestiona centralizadamente desde la consola de administración de Cisco ISE. El siguiente flujo describe los pasos necesarios para configurar Security Groups, construir la matriz de políticas y desplegarla hacia la infraestructura.

       PASO 1                        PASO 2                         PASO 3
Habilitar TrustSec y NADs  ──►  Crear Security Groups  ──►  Definir Contratos SGACL
  (Credentials / PAC)              (Definir SGTs)              (Reglas Permit/Deny)
                                                                       │
                                                                       ▼
       PASO 6                        PASO 5                         PASO 4
Despliegue y Refresh       ◄──  Vincular a Políticas   ◄──  Construir la Matriz
  (Environment Data)             de Autorización              Egress Policy

Paso 1: Habilitar TrustSec en los Dispositivos de Red (NADs)

1. Diríjase a Administration > Network Resources > Network Devices.
2. Seleccione o añada el conmutador compatible.
3. En la sección Advanced TrustSec Settings, marque la casilla TrustSec Capable.
4. Configure el Device ID y la contraseña compartida (Password) que el switch utilizará para autenticarse contra ISE y descargar las credenciales protegidas (PAC – Protected Access Credential).

Paso 2: Creación de Grupos de Seguridad (SGTs)

1. Navegue a Work Centers > TrustSec > Components > Security Groups.
2. Haga clic en Add para crear los grupos necesarios:
3. Name: Empleados_Corporativos | Tag Value: 4
4. Name: Servidores_Criticos | Tag Value: 20
5. Asigne un color e icono para facilitar su visualización en la matriz.

Paso 3: Definición de Listas de Control de Acceso (SGACLs)

1. En el mismo menú de componentes, acceda a Security Group ACLs.
2. Cree los contratos de tráfico que regularán la comunicación entre grupos:
3. Ejemplo: SGACL_Restringida_Web:
   text
permit tcp dst eq 443
permit tcp dst eq 80
deny ip log

Paso 4: Configuración de la Matriz de Egreso (Egress Policy Matrix)

1. Vaya a Work Centers > TrustSec > TrustSec Policy > Egress Policy.
2. La interfaz presenta una tabla bidimensional: el eje vertical representa los Source SGTs y el eje horizontal los Destination SGTs.
3. Localice la celda de intersección entre el grupo origen (ej. Empleados_Corporativos) y el destino (ej. Servidores_Criticos).
4. Asigne la SGACL configurada previamente (SGACL_Restringida_Web) y establezca el comportamiento por defecto de la celda (Permit, Deny o Default).

Paso 5: Asignación de SGT en las Reglas de Autorización

1. Navegue a Policy > Policy Sets y seleccione el conjunto de políticas aplicable a los conmutadores de acceso.
2. En la sección Authorization Policy, cree o edite las reglas de asignación.
3. Configure el perfil de autorización para que, al cumplirse las condiciones del usuario (ej. pertenecer al grupo de Active Directory Ventas con dispositivo corporativo válido), se devuelva el atributo de seguridad:
4. Security Group: Empleados_Corporativos (SGT 4).

Paso 6: Despliegue y Forzado de Actualización

1. ISE almacena las políticas y las distribuye mediante peticiones RADIUS de control.
2. Para que los switches descarguen la matriz actualizada de inmediato, fuerce una solicitud de entorno desde el propio conmutador o mediante una notificación de cambio de autorización (CoA) enviada desde ISE.

Verificación y Troubleshooting en Switches y Routers

Cuando las políticas de TrustSec no se aplican según lo previsto, el diagnóstico debe realizarse en la interfaz de línea de comandos (CLI) del switch de acceso o de egreso. A continuación se presentan las consultas y soluciones más habituales mediante preguntas frecuentes operativas.

¿Cómo verificar si el switch descargó correctamente el Environment Data y la lista de SGTs desde ISE?

El switch debe negociar exitosamente una clave PAC y solicitar la lista de SGTs y configuraciones globales vía RADIUS.

Switch# show cts environment-data
CTS Environment Data
====================
Current state = COMPLETE
Last status = SUCCESS
Local Device SGT:
  SGT tag = 2 : TrustSec_Devices
Server List Info:
  Installed list: CTSServerList
  Server: 10.1.1.10, Port: 1812, AVPair: Yes (Active)
Environment Data Lifetime = 86400 secs
Last update time = 14:22:15 UTC Mon Nov 2 2026

Diagnóstico: Si el estado figura como INCOMPLETE o el último estado es FAILED, verifique la conectividad RADIUS con ISE, la sincronización de reloj NTP entre el switch y el nodo de ISE, y que la contraseña configurada en cts credentials coincida exactamente con la del Device ID en ISE.

¿Cómo comprobar el mapeo IP-a-SGT asignado a un endpoint activo?

Para validar que el switch clasificó al usuario con el SGT correcto tras la autenticación 802.1X/MAB:

Switch# show cts role-based sgt-map ip 10.1.1.50
IP-SGT Mapping Table
====================
IP Address         SGT    Source
------------------ ------ --------------------------------
10.1.1.50          4      LOCAL (802.1X authenticated)

Diagnóstico: Si la fuente indica UNKNOWN o el SGT es 0, revise el resultado de la sesión con show authentication sessions interface <id> details para confirmar si ISE devolvió el atributo VSA de TrustSec en el Access-Accept.

¿Cómo diagnosticar el estado de las sesiones de transporte SXP?

Si la red depende de SXP para propagar etiquetas a equipos remotos, compruebe que el túnel TCP esté operativo y transfiriendo mapeos:

Switch# show cts sxp connections
SXP Peer Connections:
Peer IP         Port   Mode       State         Version  Encap
--------------- ------ ---------- ------------- -------- -----
10.1.1.10       64999  Listener   On            4        TCP
10.2.1.1        64999  Speaker    On            4        TCP

Switch# show cts sxp sgt-map
IP-SGT Mapping Table:
IP Address         SGT    Source    VRF
------------------ ------ --------- ----------------------
10.1.2.100         20     SXP       default

Diagnóstico: Si el estado permanece en Pending_On o Open, verifique que el puerto TCP 64999 no esté bloqueado por firewalls intermedios y que la clave MD5 configurada en ambos extremos sea idéntica.

¿Cómo validar si las políticas SGACL se están ejecutando y descartando tráfico en el hardware?

En el switch de egreso, valide qué políticas se han descargado para un par de SGTs específico y si los contadores de paquetes están incrementando:

Switch# show cts role-based permissions from 4 to 20
RBACL Monitor:
From SGT: 4 [Empleados_Corporativos]
To SGT:   20 [Servidores_Criticos]
Applied SGACLs:
  SGACL_Restringida_Web

Switch# show cts role-based counters
Role-based IPv4 counters
From    To      SW-Permitted  SW-Denied  HW-Permitted  HW-Denied
----------------------------------------------------------------
4       20      0             0          142055        3421

Diagnóstico: Si los paquetes incrementan en HW-Denied cuando deberían pasar, verifique las líneas de la SGACL en ISE. Si todos los contadores permanecen en 0, confirme que el comando global cts role-based enforcement esté habilitado en el switch y en la interfaz VLAN/SVI de destino.

Referencias y Documentación Oficial de Cisco

Para diseños en producción que requieran validación de hardware, topologías de alta disponibilidad o integración con soluciones SD-Access, consulte las siguientes fuentes oficiales:

• Cisco Validated Designs (CVD) – Campus Micro-Segmentation: Documentos de arquitectura que proporcionan pautas de diseño probadas por ingeniería de Cisco para desplegar TrustSec en campus empresariales utilizando conmutadores Catalyst 9000 e ISE.
• Cisco Identity Services Engine Administrator Guide (TrustSec Engine): Manual de referencia técnica sobre la gestión de componentes TrustSec, rotación de claves PAC, configuraciones de alta disponibilidad para matrices SGACL y administración de roles administrativos.
• Cisco TrustSec Platform Support Matrix: Matriz técnica indispensable que detalla, por modelo de hardware y versión de Cisco IOS-XE / NX-OS, qué funciones específicas están soportadas: etiquetado en línea (Inline Tagging), aplicación por hardware en egreso (Hardware Enforcement), versiones de SXP y compatibilidad con MACsec.
• IETF Draft – SGT Exchange Protocol (SXP): Especificación técnica formal que describe la máquina de estados, el formato de mensajes y el intercambio de paquetes TCP para el protocolo SXP.

El despliegue coordinado de Cisco ISE y Cisco TrustSec traslada la seguridad corporativa a un plano puramente contextual. Al desvincular los privilegios de acceso de las direcciones IP y sustituir las extensas listas de acceso estáticas por etiquetas de grupo y matrices centralizadas, la infraestructura de red se vuelve resiliente, altamente escalable y alineada de forma nativa con los principios de mínima confianza (Zero Trust).

Please follow and like us: