Cisco Secure ACS (agora sucedido pelo Cisco Identity Services Engine — ISE) era o servidor de políticas RADIUS/TACACS+ flagship para controle de acesso à rede empresarial. Suas funções permanecem o blueprint para NAC moderno.
1. Autenticação (Quem é Você?)
- Protocolos: RADIUS, TACACS+, RADIUS-DTLS, Kerberos, LDAP bind, SAML/OIDC (versões posteriores).
- Identity Stores: DB interno, Active Directory, LDAP (OpenLDAP, AD LDS), ODBC, RSA SecurID, token servers.
- Métodos: PAP, CHAP, MS-CHAPv2, EAP-TLS, EAP-PEAP, EAP-FAST, EAP-TTLS.
2. Autorização (O Que Pode Fazer?)
- Elementos de Política: Grupos de identidade, condições de rede (tempo, localização, posture do dispositivo), NDGs (Network Device Groups).
- Atributos de Resultado: Cisco-AVPairs → VLAN, ACL, dACL, URL-redirect, timer reauth, session timeout.
- RBAC: Autorização comandos shell (TACACS+) para admin de dispositivo (privilégio 0–15).
3. Gerenciamento de Políticas
- Objetos de política centralizados (serviços, condições, resultados) reutilizáveis entre NADs (Network Access Devices).
- Simulação de política / modo teste (simula requisição RADIUS sem tráfego vivo).
- Import/export em massa via CSV, ERS (External RESTful Services) API.
4. Acesso Convidado e BYOD
- Portal de auto-registro (customizável, multi-idioma).
- Workflows de aprovação por sponsor.
- Atribuição VLAN/ACL convidado; aceite AUP.
- Registro de dispositivo (integração MDM) → verificação posture → profiling.
5. Onboarding de Dispositivo (BYOD)
- Enrollment certificado SCEP/EST para EAP-TLS.
- Provisionamento supplicant nativo (iOS .mobileconfig, Android Wi-Fi config, Windows XML).
- Onboarding zero-touch via QR code / link email.
6. Monitoramento, Relatórios e Troubleshooting
- Logs Ao Vivo: Fluxos RADIUS/TACACS+ em tempo real (auth, authz, acct).
- Relatórios: Top falhas, top usuários, utilização dispositivos, tendências posture.
- Audit Trail: Mudanças admin, deployments de política.
- Troubleshooting: Captura pacote (pcap), debug logs por serviço.
7. Integração e Extensibilidade
- Integração NAD: Catalyst, Nexus, Meraki, AireOS, IOS-XE — config cliente RADIUS/TACACS+.
- MDM/EMM: AirWatch, MobileIron, Intune, Jamf — atributos posture via ERS.
- SIEM: Splunk, QRadar, Elastic — streaming syslog/CEF/JSON.
- API: ERS (REST) para CRUD em todos objetos; pxGrid para compartilhamento ameaças.
Nota de Migração
ACS 5.8 atingiu End-of-Sale (2017) e End-of-Support (2022). Migre para Cisco ISE 3.x — paridade de features mais pxGrid, TrustSec, integração SD-Access e desenvolvimento ativo.
