Welche RADIUS-Condition braucht eine Cisco-ISE-Policy für den DTLS-Watchdog?

**Für den DTLS-Watchdog brauchst du in Cisco ISE in der Regel die RADIUS-Condition `Radius:Service-Type = Call Check`.** Das ist der entscheidende Match, weil der Watchdog kein normales Benutzer-Login ist, sondern ein reiner Erreichbarkeits-/Status-Request des NAD. ([cisco.com](https://www.cisco.com/c/en/us/td/docs/switches/lan/c9000/sec-crypto/radius/radius-configuration-guide/radius.html)) ## Warum genau diese Condition Bei RADIUS over DTLS sendet das Netzwerkgerät für den Watchdog typischerweise keinen 802.1X-, MAB- oder Benutzerkontext, sondern einen technischen Prüf-Request. Dafür wird üblicherweise `Service-Type = Call Check` verwendet. Wenn deine ISE-Policy darauf nicht matcht, landet der Request oft in einer falschen Regel oder im Default-Deny. ([cisco.com](https://www.cisco.com/c/en/us/td/docs/switches/lan/c9000/sec-crypto/radius/radius-configuration-guide/radius.html)) Der wichtige Unterschied ist also: - **normale Endgeräte-Authentifizierung** → z. B. Wired/Wireless 802.1X, MAB - **DTLS-Watchdog** → **`Radius:Service-Type = Call Check`** ([cisco.com](https://www.cisco.com/c/en/us/td/docs/security/ise/1-3/adminguide/b_ise_admin_guide_13/b_ise_admin_guide_sample_chapter_010011.pdf)) ## Praktisch sinnvoll in ISE Lege dafür eine **eigene, sehr weit oben stehende Regel** an, die nur diese technischen Requests matcht. Das ist sauberer, als den Watchdog in allgemeine Auth- oder AuthZ-Regeln hineinlaufen zu lassen. Gerade bei größeren Policy Sets vermeidet das Fehlmatches und unnötige Ablehnungen. Die Cisco-Dokumentation zu RADIUS DTLS beschreibt den DTLS-Kanal und die Watchdog-/Keepalive-Logik auf NAD-Seite; die passende ISE-Selektion erfolgt dann über den RADIUS-Attribut-Match. ([cisco.com](https://www.cisco.com/c/en/us/td/docs/switches/lan/c9000/sec-crypto/radius/radius-configuration-guide/radius.html)) ## Wichtiger Stolperstein Falls es bei dir **nicht** matcht, prüfe im ISE Live Log den **tatsächlich ankommenden Service-Type**. Je nach Plattform und Softwarestand kann ein technischer Request anders aussehen. Der Standardansatz für den DTLS-Watchdog ist aber **`Radius:Service-Type = Call Check`**. Wenn du stattdessen mit `Authorize-Only` arbeitest, ist das ein anderer Fall und würde auf **`Radius:Service-Type = Authorize Only`** zielen, nicht auf den DTLS-Watchdog. ([reddit.com](https://www.reddit.com/r/Cisco/comments/xx8h48))