300-715 考试难度如何？

考试时长 120 分钟，建议有 3-6 个月的系统备考时间。通过本课程的系统练习，可以有效提升通过率。

考试费用是多少？

300-715 考试费用为 $330 USD。认证有效期为 3 年。

Cisco专业级🔒 安全

Cisco CCNP Security Implementing and Configuring Cisco Identity Services Engine (300-715 SISE)

300-715 SISE 是 CCNP Security concentration 考试，聚焦 Cisco ISE 部署、802.1X/MAB 策略、Profiling、Posture、Guest/BYOD、TrustSec/pxGrid/TACACS+ 七大场景。120 分钟 65 题，825/1000 及格。本课程 292 道真题按 ISE workflow 切片。

开始刷题查看学习路径

单次题量

292

题库总量

120m

考试时长

825/1000

及格分

$330

考试费

✓

一句话定论 · 值得考

Cisco 店里做 NAC / 802.1X / 零信任内网准入的资深网工 — SISE 是 CCNP Security 里 ISE 深度最高的一门，金融/医疗/政府有线无线接入控制场景含金量极高；非 Cisco ISE 店没必要碰。

这张认证到底考什么

先把考试形式、适合人群、备考时长和学习范围讲清楚，再决定要不要投入时间。

Cisco 300-715 SISE (Implementing and Configuring Cisco Identity Services Engine) 是 CCNP Security 的 Concentration 考试，必须和 Core 350-701 SCOR 组合才能拿 CCNP Security 证书。考试 60 题左右 / 90 分钟 / 及格 825/1000 / 考试费 $300 USD，证书有效期 3 年。

SISE 在 CCNP Security 里的定位：2020 年 2 月 Cisco 改版后 CCNP Security 走 "1 Core + 1 Concentration" 双考模式。SCOR 是入口覆盖安全全景，SISE 是 6 门 Concentration 里唯一只深挖 Identity Services Engine (ISE) 的。其他 Concentration（SNCF Firepower / SVPN VPN / SESA Email / SWSA Web / SAUTO Automation）虽然也涉及 ISE，但都是蜻蜓点水 — 只有 SISE 会深度考到 Profiling policy、Posture condition、TrustSec SGT matrix、pxGrid API 订阅这种细粒度配置。

真实场景里 ISE 有多重要：ISE 是 Cisco 内网准入控制 (NAC) 的旗舰产品，也是 Cisco 零信任架构 (ZTNA) 在园区/分支有线无线接入层的核心。一个典型中大型 Cisco 企业客户的部署：交换机/AP 当 NAD (Network Access Device)，员工笔记本通过 802.1X + EAP-TLS 证书认证，手机和哑终端走 MAB + Profiling，访客走 Guest Portal，IoT/打印机按 Profiling 自动分 VLAN，合规检查通过 Posture + AnyConnect，最终用 TrustSec SGT 替代传统 VLAN/ACL 做东西向微隔离。SISE 考的就是这整条链路每一段的配置。

考纲六大领域（官方 v1.0 权重）：Architecture and Deployment 20% / Policy Enforcement 25% / Web Auth and Guest Services 15% / Profiler 15% / BYOD 10% / Endpoint Compliance 10% / Network Access Device Administration 5%。Policy Enforcement 是大头（25%），这一块就是 802.1X + MAB + Authorization Policy 的组合 — Conditions (Identity / EndpointPurpose / NetworkAccess / 自定义)、Results (dACL / VLAN / SGT / URL Redirect) 的配对逻辑是考试最集中的火力点。

平台和版本：考纲锁定 ISE 3.x（当前是 3.3），和老 2.x 的 Java Web Start Admin Portal 差异很大 — 3.x 全面 HTML5、加入 Context Visibility 和 ISE-PIC 独立许可、支持 IPv6 management、pxGrid 2.0 WebSocket 取代旧的 XMPP。如果你用的还是 ISE 2.4/2.6 的文档备考，很多 UI 路径和特性名称会对不上号。

经验门槛：Cisco 官方推荐 3-5 年 ISE 实施经验，CCNA 是默认起点。SISE 最硬核的地方不是概念本身，而是 "知道某个按钮藏在 ISE Admin GUI 的哪一层菜单" — 没真机点过的人光靠看书背不下来 Policy Set > Authentication Policy > Authorization Policy > Authorization Profile 这四层嵌套的配置逻辑。Cisco dCloud 免费提供 ISE 3.x lab（需要 CCO 账号），备考必用。

你会反复碰到的核心服务

Cisco ISE802.1XMABWebAuthRADIUSTACACS+ProfilingPostureBYOD OnboardingGuest PortalTrustSecSGTSGACLSXPpxGridActive Directory IntegrationPKI / SCEP

学完以后你能带走什么

通过 Cisco 300-715 SISE 认证考试
独立部署 ISE 集群（PAN/MnT/PSN 节点拆分）并配置 HA
编写 802.1X / MAB / WebAuth 的 Authentication 与 Authorization Policy，处理复杂条件组合
用 Profiling probes 自动识别并分组企业网络里的 IoT / 打印机 / 无主机端点

考试详情

考试代码

300-715

发证机构

Cisco Systems

时长

120 分钟

题目数

65 题

及格分

825/1000

有效期

3 年

考试费用

$330 USD

题型

单选题、多选题

考试语言

English

官方页面

打开官方页面

适合谁考

适合人群

Network Security Engineer（网络安全工程师）— 负责企业 NAC 部署
Identity and Access Management Specialist（IAM 专家）— 零信任项目里的设备上线
Cisco Wireless / Switching Engineer — 准备上 802.1X 或已接手 ISE 运维
已持 CCNP Security Core（350-701 SCOR）的候选人，补 concentration exam
大型企业 / 运营商接入控制负责人（Gartner NAC 领导者象限要求）

开始前最好先有

6-12 个月 Cisco 交换/无线接入网络运维经验
理解 802.1X 认证基本流程（Supplicant / Authenticator / Authentication Server 三角色）
熟悉 RADIUS 协议与 Access-Request/Access-Accept/CoA 消息
具备 Active Directory 或 LDAP 目录集成经验
有 Cisco ISE 实验环境访问权限（可用 Cisco DevNet 的 ISE 沙盒或 VMware 本地部署）
推荐先通过 CCNP Security Core 350-701 SCOR（非强制但策略概念依赖 SCOR）

值不值得考？职业价值

Cisco SISE 持证人的薪资区间、对应岗位、以及真实的职业影响。

澳洲

$125K-170KAUD

美国

$115K-170KUSD

中国

¥280K-520KCNY

新加坡

$95K-145KSGD

Senior Network Access Control EngineerISE SpecialistNetwork Security Engineer (NAC focus)Zero Trust Architect (Campus)Cisco Security ConsultantIdentity and Access EngineerMSSP NAC Deployment EngineerCCIE Security Candidate高级网络准入工程师ISE 实施顾问零信任园区架构师

SISE 的真实市场定位

SISE 不是通用 cloud / DevSecOps 方向的简历金字招牌，它是 "Cisco 店里做 NAC 和零信任园区接入" 这个具体岗位的硬通货。谁在招？—— 银行和证券公司内网团队（合规强制要求所有终端 802.1X + Posture）、医院 HIS 网络（医疗设备 Profiling + 分段）、政府和军队园区（TrustSec 微隔离替代老旧 ACL）、澳洲 Telstra Purple / Kyndryl / NTT 的托管网络服务、美国 WWT 和 Presidio 做 Cisco 集成的专业服务团队、制造业 OT/IT 融合的 IEC 62443 合规项目。这些客户已经重度投资 Cisco Catalyst 交换机 + Meraki / C9800 无线控制器 + ISE 集群，迁移到别的 NAC 平台（Aruba ClearPass / Fortinet FortiNAC / Forescout）成本极高。

Salary.com / Levels.fyi 2026 数据：美国 Network Access Control Engineer / ISE Specialist 中位数 ~$135K USD，叠加 CCNP Security 标签 25-75 分位 $115K-$165K。澳洲 Canberra / Sydney 金融和政府项目里有 ISE 实战经验的 Senior 拿到 $140-170K AUD 很常见，带 Baseline/NV1 clearance 能再 +$15K。新加坡 DBS、OCBC 等银行内网团队 ISE 岗位 $120-145K SGD。中东 ADNOC、Saudi Aramco 给驻场 ISE 顾问开 $160K+ USD 免税包。

SISE 最适合的三类人

Cisco 店里负责园区有线/无线接入的 Senior 网工：你已经在生产环境上跑着 Catalyst 9000 + C9800 + ISE，但日常只会点 GUI 复制已有 policy，没系统梳理过 Authorization Profile 里 dACL / VLAN / SGT / URL Redirect 的优先级和叠加逻辑。SISE 强制你把碎片化运维经验重新结构化，顺带解锁 CCNP Security 头衔。
瞄准 CCIE Security Lab 的候选人：CCIE Security Lab 有整整一个 module 专门考 ISE（大约占 25% 工时），考场上要你在 2 小时内配出一套 PSN 集群 + 802.1X + Profiling + Posture + pxGrid 到 Firepower 的完整集成。SISE 考纲基本是这个 module 的理论版，先过 SISE 再上 CCIE rack 会省至少 40 小时摸索时间。
MSSP / 系统集成商的 NAC 交付工程师：每周给不同客户部署 ISE，但没 CCNP Security 头衔，公司投不了 Cisco Gold Partner 或 Advanced Security Architecture Specialization 需要的 RFP。考完直接给团队凑证书数，公司通常全额报销 + $500-1500 USD 通过奖金。

不适合考 SISE 的三类人

纯云 / SaaS 方向：你的工作全在 Zscaler ZPA、Cloudflare Access、Tailscale、Okta Workforce Identity 这类 SASE/ZTNA 平台上。ISE 里 80% 的内容（802.1X RADIUS、MAB、有线/无线 NAD 集成、TrustSec SGT）在纯云环境完全用不上。应该走 Zscaler ZDTA、SC-300 Identity and Access Administrator 或 Okta Certified Administrator。
Aruba ClearPass / Fortinet FortiNAC / Forescout 店的 NAC 工程师：虽然 802.1X 和 RADIUS 是标准协议，但 SISE 80% 的考点是 Cisco ISE GUI 的具体菜单路径、Cisco 私有的 TrustSec SGT/SGACL、pxGrid 2.0 API、CoA 和 ERS API 格式。日常只会 ClearPass 的话应该考 ACMP；Fortinet 店应该走 NSE 6 FortiNAC。
纯开发 / Security Engineer 偏 AppSec：SISE 考的是网络层准入控制，和 SAST/DAST、代码审计、SBOM 这些 AppSec 话题没有任何交集。应该走 CSSLP 或 Practical DevSecOps。

备考节奏

有 AWS 实操经验

8-12 周

零基础切入

16-24 周

建议日投入

1.5-2.5 小时/天

学习路径预览

6 章

Cisco SISE 考试概述与备考指南

45 min

ISE 部署与管理

70 min

网络接入与 802.1X

70 min

Profiling、Posture 与 Guest

70 min

TrustSec 与 pxGrid

70 min

考前冲刺与实战演练

60 min

分阶段备考路径

过来人总结的分阶段备考节奏，按周拆分，不是空话。

第一阶段：OCG 通读 + ISE 架构打底（3-4 周）

官方教材是 Aaron Woland 等人的 *CCNP Security Identity Services Engine SISE 300-715 Official Cert Guide*（Cisco Press，约 750 页）。每天 30-40 页，第一遍重点吃透 **ISE Persona/Node 架构**（PAN / MnT / PSN / pxGrid 四种角色的职责和分布式部署拓扑）和 **RADIUS Access-Request / Access-Accept / CoA-Request 消息结构** — 这是整个 SISE 的地基。配合 Katherine McNamara 在 Cisco Live 的 BRKSEC-2500 (ISE 最佳实践) 和 BRKSEC-3229 (ISE 深度排错) 视频交叉印证（Cisco Live 网站免费）。每章末的 DIKTA 题错了就把对应章节重读一遍。

第二阶段：ISE 3.x 实验 — Policy Set / Profiling / Guest / BYOD（3-5 周）

光看书记不住 GUI 菜单路径，必须上 lab。**首选 Cisco dCloud** 里的 "ISE 3.3 Sandbox" 或 "ISE Lab with Catalyst 9300" 场景（免费，CCO 账号登录），自带 ISE + 9300 交换机 + Windows 10 终端。**必须亲手配完的 6 个场景**：(1) 802.1X with PEAP-MSCHAPv2 打 AD，Authorization Policy 按 AD 组分配 dACL；(2) EAP-TLS 证书认证，ISE 签发用户证书 + 部署 SCEP；(3) MAB + Profiling，让 ISE 用 DHCP + HTTP + RADIUS 探测自动识别打印机和 IP 电话；(4) Self-Registered Guest Portal 完整生命周期（访客注册 → Sponsor 审批 → VLAN 分配 → 到期自动清理）；(5) BYOD Single-SSID flow，员工首次连 WiFi 自动下发证书到手机 (My Devices Portal)；(6) Posture with AnyConnect，检查 AV 开启 + 系统补丁，不合规走 Remediation VLAN。每个场景都要会看 **Live Logs / Live Sessions / RADIUS Authentication Report** 排错，这比背 policy 理论重要 10 倍。

第三阶段：TrustSec + pxGrid + TACACS+ 设备管理（2-4 周）

**TrustSec**：在 dCloud 上配 SGT Assignment (Static IP-SGT / Dynamic through Authorization) + SGACL Matrix + SXP (SGT Exchange Protocol) 传播到不支持 inline tagging 的老设备；理解 **SGT inline vs SXP 的适用场景** — Catalyst 9000 和 ASR1K 支持 inline，Catalyst 3750 只能 SXP。**pxGrid 2.0**：订阅 Session Directory topic，观察 ISE 把 user-IP-SGT 绑定推送给 Firepower / StealthWatch / ThousandEyes 的完整消息流；熟悉 pxGrid 2.0 从 XMPP 切到 WebSocket + REST 的架构变化。**TACACS+ 设备管理**：配 Device Admin Policy Set，用 Shell Profile 下发 privilege level，用 Command Set 白名单/黑名单限制网工能执行的 IOS 命令 — 这是很多企业做 SOX / ISO 27001 合规的硬性要求。**ERS API / OpenAPI**：SISE 3.2+ 考纲加入了通过 REST API 管理 ISE 内部对象（endpoints、identity groups、authorization profiles），动手调用一次 Postman collection。

第四阶段：Boson ExSim + 排错冲刺 + 考纲盲点回扫（2-3 周）

**Boson ExSim-Max for 300-715**（$99 USD）是 SISE 模考的金标准，稳定 80%+ 再去真考。ExamTopics 题库只用来补题感，v1.0 考纲后很多老题和 ISE 2.x 强绑定已经不适用。**排错冲刺**：吃透 ISE **Live Logs** 里每个 failure reason 的含义，特别是 `22056 Subject not found in the applicable identity store`、`24408 User authentication against Active Directory failed`、`11007 Could not locate Network Device or AAA Client`、`15039 Rejected per authorization profile` 这四个高频错。**盲点回扫清单**：(1) Policy Set → Authentication Policy → Authorization Policy 三层匹配顺序和 first-match 逻辑；(2) Authorization Profile 里 dACL vs VLAN vs SGT vs URL Redirect 同时下发时的冲突规则；(3) Profiling 的 5 种探测方式（DHCP / RADIUS / HTTP User-Agent / NMAP / SNMP）对比；(4) Guest Portal 三种类型（Hotspot / Sponsored / Self-Registered）的账号生命周期；(5) Posture 的 Initial / Compliant / NonCompliant 状态迁移和 CoA 触发；(6) TrustSec SGT 在 inline-tagged 和 SXP 两种传播方式下的报文差异。考前 72 小时只看这份清单，不再碰新内容。

通过者的真实经验

过来人的备考时长、分数、以及踩过的坑。

我们银行合规要求所有员工终端必须 802.1X + EAP-TLS + Posture，ISE 集群有 2 PAN + 2 MnT + 8 PSN 跑了 4 年。我运维了 3 年 ISE 但从没系统学过 **Profiling**，因为日常只用 AD 组做认证，很少碰哑终端。考前被 Profiling 15% 权重逼着认真刷了一遍，结果发现我们生产环境里 VoIP 电话用错了 Profiling condition（用 OUI 而不是更精确的 CDP/LLDP），改完后 false positive 降到接近零。SISE 对我最大价值不是证书本身，而是把日常碎片知识重新结构化。建议：**生产环境运维派一定要把 Profiling 和 Posture 当重点学**，因为这两块平时最容易偷懒跳过。

K. Nakamura883/1000

Senior NAC Engineer, 日本大型城市银行内网团队 · 备考 13 周

客户是迪拜一家主权财富基金，要求全站 TrustSec SGT 微隔离替代传统 VLAN ACL。我作为 Cisco 顾问交付 ISE + Catalyst 9500 + C9800，顺便把 SISE 考了。备考最痛的是 **TrustSec 的 SXP 和 inline-tagged 传播模式对比** — 客户核心是 9500 支持 inline，接入层一部分老 3850 只能 SXP，设计时 SGT propagation path 必须两种混用。考题里有 4 道直接问 "某个拓扑里 SGT 丢失最可能的原因"，答案基本都是 SXP speaker/listener 角色配反或者 inline 模式被某台不支持的中间设备剥掉。建议：**画一张你自己客户网络的 SGT propagation path 图**，比背书有用 10 倍。考场 60 题我 55 分钟做完，剩 35 分钟检查标记的 12 道题。

D. Okonkwo912/1000

Cisco Security Consultant, 中东系统集成商 · 备考 9 周

公司要凑 Cisco Advanced Security Architecture Specialization，需要 3 张 CCNP Security。我已经有 SCOR 和 SVPN，最后一张选了 SISE。本以为 8 年 ISE 实施经验轻松过，结果被 **ISE 3.x 的新特性** 和 **pxGrid 2.0 架构变化** 狠狠教育 — 我客户项目大部分还在 ISE 2.7，考纲却全面切到 3.x，Context Visibility、ISE-PIC 独立许可模型、pxGrid 从 XMPP 切 WebSocket 这些变化全是考点。还有 **ISE 的 ERS API 和 OpenAPI 双 API 体系** 区别（ERS 是旧 XML，OpenAPI 是新 REST+JSON，3.1+ 才有），考了 2 道。教训：**老 ISE 工程师最容易栽在版本差异上**，别以为经验多就能裸考，先用 dCloud 最新版 ISE 3.3 把新功能点一遍再上考场。

Y. Sharma857/1000

MSSP NAC Deployment Engineer, 8 年 Cisco 经验，CCIE Security 候选 · 备考 16 周

同赛道认证对比

	Cisco SISE	Cisco CCNA	Cisco SCOR
机构	Cisco	Cisco	Cisco
级别	专业级	助理级	专业级
考试费	$330	$330	$330
时长	120 min	120 min	120 min
单次考试题量	65	100	65
有效期	3 年	3 年	3 年

备考技巧与常见失误

💡

**不能回头改题**：和所有 Cisco CCNP 一样，点 Next 之后不能返回。多选题和 drag-drop 题每道确认好再提交，别手快。

💡

**时间分配**：60 题 / 90 分钟 = 90 秒一题，比 SCOR 略紧。选择题压到 60-70 秒，留 25-30 分钟给 2-3 道 lab-based sim 题（在模拟 ISE GUI 里点击配 policy）或 drag-drop 拓扑题。

💡

**lab-based sim 必看 Live Logs**：sim 题大部分答案藏在 Live Logs 的 **Failure Reason** 和 **Detailed Steps** 里 — failure code (11xxx / 12xxx / 15xxx / 22xxx / 24xxx) 对应不同故障类别。考前一周把常见 10 个 failure code 背熟。

💡

**认证方法选型题关键词反推**：题目出现 "无 supplicant 的哑终端 + 自动识别" → MAB + Profiling；"证书双向认证 + 无密码" → EAP-TLS；"AD 域用户 + 密码单因素" → PEAP-MSCHAPv2；"访客自助注册 + Sponsor 审批" → Self-Registered Guest Portal；"BYOD 单 SSID 自动下发证书" → BYOD Single-SSID flow with Native Supplicant Provisioning。

💡

**Authorization 结果叠加题**：看到题目同时出现 dACL + VLAN + SGT + URL Redirect，先判断 Posture 阶段（pre-posture 时 URL Redirect 限制流量到 ISE，post-posture 才放开），再判断 dACL 和端口 ACL 叠加顺序（dACL 是 per-user 叠加在端口 ACL 之上）。

💡

**ISE 3.x vs 2.x 版本差异题**：考纲明确 3.x，看到 Context Visibility、ISE-PIC 独立许可、pxGrid 2.0 WebSocket、OpenAPI (新 REST)、SAML for Sponsor/MyDevices Portal 这些关键词都是 3.x 特有，直接选对应选项；看到老的 Java Admin Portal / pxGrid 1.0 XMPP 这些描述就是陷阱项。

💡

**母语非英语申请 ESL +30 分钟**：Pearson VUE 报名时 Accommodations 里申请，免费。90 + 30 = 120 分钟能明显降低 GUI 截图题和长场景题的时间压力。

💡

**考前 72 小时只看盲点清单**：(1) Policy Set → Authentication → Authorization 三层匹配顺序；(2) Authorization Profile dACL/VLAN/SGT/URL Redirect 叠加规则；(3) MAB / 802.1X / EAP-TLS / PEAP 选型；(4) Profiling 5 种探测方式准确度；(5) TrustSec SGT 传播（inline vs SXP）；(6) Posture 状态迁移和 CoA 触发；(7) 常见 Live Log failure code。新内容这时候进去只会冲乱已熟的。

⚠️

**Policy Set 匹配顺序记反** — ISE 的 Policy Set 是 **first-match top-down**，每个 Policy Set 内部又分 **Authentication Policy → Authorization Policy** 两层，也都是 first-match。考题常给 4-5 条 Policy Set 规则问某个会话命中哪一条。关键坑：**Policy Set Condition 通常用 `Device:Device Type` 或 `Radius:NAS-Port-Type`**（有线 vs 无线），写反会导致无线会话掉到有线 Policy Set 里，Authorization 全错。记死：**Policy Set 是入口分流，别在里面写用户组条件，用户组条件放到 Authorization Policy 里**。

⚠️

**Authorization Profile 里 dACL / VLAN / SGT / URL Redirect 同时下发时的叠加规则** — 一个 Authorization Profile 可以同时返回 dACL + VLAN + SGT + URL Redirect，但不是所有组合都生效。**VLAN 下发覆盖交换机端口原 VLAN**；**dACL 叠加在端口 ACL 之上（per-user ACL）**；**SGT 通过 RADIUS AVP 传给 NAD，再由 TrustSec 标签 propagate**；**URL Redirect 只在 Central Web Auth 或 Posture 未完成时生效，Posture 过了就自动移除**。考题会给一个 profile 问用户连接后实际能访问什么 IP，很多人忘了 URL Redirect 的 **pre-posture 阶段只开 DNS + DHCP + ISE IP 三条通路** 这个细节。

⚠️

**MAB 和 802.1X 谁优先搞错** — 交换机端口默认 `authentication order dot1x mab`，意思是 **先尝试 802.1X，失败后 fallback 到 MAB**。很多人以为 MAB 比 802.1X "简单"所以应该先走 — 错。正确逻辑是 802.1X 有真实身份凭证优先，没有 supplicant 或超时才 fallback 到基于 MAC 的 MAB。考题会给端口配置问哑终端 (IP 电话) 多久能上线，答案和 **dot1x timeout tx-period** + **dot1x max-reauth-req** 两个定时器相关，默认要等 90 秒才 fallback 到 MAB，这在生产环境是个大坑 — IP 电话启动慢会被用户抱怨。解决方案是配 **authentication order mab dot1x + authentication priority dot1x mab**（order 先 MAB 加速上线，priority 仍让 802.1X 抢占）。

⚠️

**Profiling 的 5 种探测方式和准确度顺序** — DHCP (Class-Identifier / fingerprint) → RADIUS (Calling-Station-Id / Framed-IP) → HTTP (User-Agent) → NMAP (主动扫描) → SNMP Query (从 NAD 拉 CDP/LLDP/ARP)。**准确度从高到低大致是 CDP/LLDP > DHCP > HTTP User-Agent > OUI > NMAP**，但准确度最高的 CDP/LLDP 需要 SNMP 探测器主动去拉交换机（需 SNMP community），默认不开。考题常问 "IP 电话识别不准最可能原因"，答案往往是 **SNMP Query 探测器没启用** 或者 **ISE 没配 SNMP trap 接收器**，而不是 DHCP fingerprint 库不够新。另外记死：**Profiling 只影响 Endpoint Identity Group 归属，不直接决定授权结果**，授权还要 Authorization Policy 配合用 `EndPoints:LogicalProfile` 或 `EndPoints:EndPointPolicy` 条件匹配。

⚠️

**EAP-TLS 证书信任链配置漏装** — EAP-TLS 双向证书认证要求 **ISE 信任客户端证书的签发 CA**（不是 Root CA 一键信任就完事），也要求 **客户端信任 ISE 的 EAP 证书链**。常见故障：ISE 只导入了 Root CA 忘了 Intermediate CA，导致客户端证书链断裂，Live Log 报 `12514 EAP-TLS failed SSL/TLS handshake because of an unknown CA in the client certificates chain`。解决：在 **Administration > System > Certificates > Trusted Certificates** 里把完整证书链（Root + 所有 Intermediate）都导入，并勾上 "Trust for client authentication and Syslog"。考题会给一段 Live Log 输出问故障点，看到 `unknown CA` 就选证书链不完整。

⚠️

**TrustSec SXP Speaker/Listener 角色配反** — SXP 是 **单向推送**协议：**Speaker** 把本地 IP-SGT 映射推给 **Listener**。考点：ISE 作为 SGT 的权威源，通常是 **Speaker**，把 Authorization 结果（user-IP-SGT 绑定）推给不支持 inline tagging 的老交换机（作为 Listener）；而支持 inline 的新核心交换机通常不需要 SXP。配反会导致 SGT 不传播但 ISE 和 NAD 都看不到错误日志。记死：**SGT 源头是 Speaker，消费者是 Listener，SGT 跟着流量方向传播不是反向**。

⚠️

**Posture Agent 类型和能力差异** — ISE 支持三种 Posture agent：**AnyConnect ISE Posture Module**（持久安装，能力最全，支持 patch check / file check / registry / AV/AS / firewall state）、**Temporal Agent**（浏览器下载运行一次，会话结束自动删除，能力受限）、**Stealth Mode**（完全无 agent，用 HTTP probe 做最基础检查，ISE 3.x 才有）。考题会给一个 "BYOD 设备不愿装持久 agent 但要做 AV 检查" 的场景问用哪种，答 Temporal Agent；"员工企业笔记本要做 patch level + registry 检查" 答 AnyConnect Posture。很多人把 **Stealth Mode 当成万能方案**，它其实只能做最简单的 OS 判断，不能做 AV 状态检查。

⚠️

**TACACS+ Shell Profile 和 Command Set 职责混淆** — TACACS+ 设备管理有两个授权结果对象：**Shell Profile** 下发 **privilege level**（0-15）和自定义属性（IOS 命令 `privilege exec level X ...` 对应）；**Command Set** 定义具体能执行的 **命令白名单/黑名单**（正则匹配）。典型配置：给网工组下发 Shell Profile privilege=15（能进 enable 模式）+ Command Set 黑名单 `deny "reload"` 和 `deny "erase startup-config"`（防误操作）。考题会给一个 "允许运维进 enable 但不能 reload 设备" 的需求问怎么配，答案必须 **两个对象一起下发**：Shell Profile 给 privilege，Command Set 限制具体命令。很多人以为 Shell Profile 本身就能限制命令 — 错。

常见问题

如果你准备考 Cisco SISE，先从真题型练习开始。

292 道练习题、章节学习路径、模考、错题复盘和 AI 导师都在备考页里。

进入备考页

$29 起 · 前 2 章可免费试学

学员评价

评价加载中…

你可能顺手也会看这些

Cisco CCNA

Cisco · 助理级

$330100 题120 min

Cisco SCOR

Cisco · 专业级

$33065 题120 min