Fehlerbehebung bei NMSP-Problemen mit MSE und konvergentem Zugriff(5760/3850/3650/4500s8e)

Einführung

Network Mobility Services Protocol (NMSP) verwaltet die Kommunikation zwischen dem Mobility Services Enginer (MSE) und dem Wireless LAN Controller (WLC).

NMSP ist ein bidirektionales Protokoll, das entweder über eine verbindungsorientierte oder eine verbindungslose Übertragung ausgeführt werden kann.Kontextsensitive Switches können NMSP für die Kommunikation mit einer oder mehreren MSEs verwenden. Der NMSP basiert auf einem bidirektionalen System von Anfragen und Antworten zwischen der MSE und dem Access Controller. Sehen wir uns nun an, wie diese Kommunikation zwischen MSE und WLC aktiviert wird.

Hier haben wir für diesen Beitrag 3850 (IOS-basiertes WLC) und MSE verwendet.

Problem:

Probleme bei der Einrichtung eines NMSP-Tunnels zwischen 3850 und MSE.

Verwendete Geräte:

MSE: Virtuelle MSE 8.0.110 (MR1)

WLC: 3850 3.3.5SE

Prime-Infrastruktur (PI): 2,2/1

Da NMSP über SSL (Secure Socket Layer) arbeitet, müssen Sie die MSE-Anmeldeinformationen für WLC konfigurieren. Die MSE verwendet ihre MAC-Adresse und ihren Schlüssel-Hash, daher sollte WLC diese beiden Parameter berücksichtigen. Sie können diese Details über die MSE CLI abrufen, wie unten gezeigt.

[root@robin ~]# cmdshell

cmd> show server-auth-info
aufrufen-Befehl: com.aes.server.cli.cmdGetServerAuthInfo
Hohe Markierung für AesLog-Warteschlange: 50000
Low-mark für AesLog-Warteschlange: 500
—
Serverauthentifizierungsinformationen
—
MAC-Adresse: 00:50:56:99:34:89
SHA1-Schlüssel-Hash: e0afbe2e2abeed5a2f9ffc75f059da6a1bf2bfa0
SHA2-Schlüssel-Hash: 6ab919e20afc103d025af210c2a9dda151af9403ef52e80a35ae1ecb6d3c177
Zertifikatstyp: SSC

Konfigurieren Sie jetzt die NMSP-Einstellungen auf einer Plattform für konvergenten Zugriff (5760/3850/3650).
Hier haben wir 3850 für dieses Beispiel verwendet. Wir müssen die MAC-Adresse der MSE als Benutzername und Schlüssel-Hash als Kennwort konfigurieren. Hinweis: Die auf meinem 3850 ausgeführte Version ist 3.3.5 SE- und SHA2-Verschlüsselung, die in IOS-XE verwendet wird.

Verwendete Befehle:

3850c(config)#Benutzername 0050569c3489 aaa Attributliste NMSP
3850c(config)#aaa-Attributliste NMSP
3850c(config)#Attributtyp Passwort 6ab919e20afc103d025af210c2a9dda151af9403ef52e80a35ae1ecb6d c177
3850c(config)#aaa authorized-download wcm_loc_serv_cert local

Klicken Sie in der Prime-Infrastruktur auf: Services > Mobilitätsdienste > Services synchronisieren
Wählen Sie den 3850 aus, und klicken Sie auf die Schaltfläche "MSE-Zuweisung ändern".
Wählen Sie dann die passende MSE und Services aus, die Sie zwischen WLC (3850) und MSE synchronisieren möchten.

Überprüfen:

Nach Abschluss der Synchronisierungsservices können Sie diese über die Benutzeroberfläche WLC, MSE oder PI überprüfen.

Via 3850 CLI:

Über die MSE-GUI

Für MSE v8.0 oder höher: (https://<MSE_IP>/mseui/)

Fehlerbehebung:

Wenn NMSP immer noch inaktiv ist:

1) Hash-Schlüssel überprüfen und falls keine Übereinstimmung vorliegt, den Hash manuell eingeben (siehe oben)

2) Die NTP-Zeitsynchronisierung muss zwischen MSE und WLC erfolgen.

Debugger:

Fehlerszenario:

Fehler bei der Validierung von Hash-Schlüsseln:

Debuggen der Trace-nmsp-Verbindungsebene 3850c#set
3850c#show trace messages nmsp

[03.06.15 22:28:10.762 UTC a27 10241] Neue NMSP-Verbindung zugewiesen 0

[03.06.15 22:28:10.762 UTC a28 10241] sslConnectionInit: SSL_new() conn ssl b3f8a8d0
[03.06.15 22:28:10.762 UTC a29 10241] sslConnectionInit: SSL_do_handshake für conn ssl b3f8a8d0, conn-Zustand: INIT, SSL-Status: HANDSHAKING
[03.06.15 22:28:10.762 UTC a2a 10241] SSL-Zustand = 0x6000; wobei "= 0x10"; ret = 0x1
[03.06.15 22:28:10.762 UTC a2b 10241] ret_type_string=unbekannt
[03.06.15 22:28:10.762 UTC a2c 10241] ret_desc_string=unbekannt
[03.06.15 22:28:10.762 UTC a2d 10241] SSL_state_string=before/accept initialization
[03.06.15 22:28:10.762 UTC a2e 10241] SSL-Zustand = 0x6000; wobei "= 0x2001"; ret = 0x1
[03.06.15 22:28:10.762 UTC a2f 10241] ret_type_string=unbekannt
[03.06.15 22:28:10.762 UTC a30 10241] ret_desc_string=unbekannt
[03.06.15 22:28:10.762 UTC a31 10241] SSL_state_string=before/accept initialization
[03.06.15 22:28:10.762 UTC a32 10241] SSL-Zustand = 0x2111; wobei "= 0x2002"; ret = 0xffffffff
[03.06.15 22:28:10.762 UTC a33 10241] ret_type_string=unbekannt
[03.06.15 22:28:10.762 UTC a34 10241] ret_desc_string=unbekannt
[03.06.15 22:28:10.762 UTC a35 10241] SSL_state_string=SSLv3-Read-Client hello B
—Mehr?????? ????????[03.06.15 22:28:10.762 UTC a36 10241] — gibt WANT_READ für conn ssl b3f8a8d0 zurück
[03.06.2015 22:28:10.762 UTC a37 10241] sslConnectionInit() Success with Connection state: INIT, SSL-Status: HANDSHAKING
[03.06.15 22:28:10.768 UTC a38 10241] doSSLRecvLoop: Handshake für Anschluss 0 noch nicht abgeschlossen
[03.06.15 22:28:10.768 UTC a39 10241] sslConnectionInit: SSL_do_handshake für conn ssl b3f8a8d0, conn-Zustand: INIT, SSL-Status: HANDSHAKING
[03.06.15 22:28:10.768 UTC a3a 10241] SSL-Zustand = 0x2111; wobei "= 0x2001"; ret = 0x1
[03.06.15 22:28:10.768 UTC a3b 10241] ret_type_string=unbekannt
[03.06.15 22:28:10.768 UTC a3c 10241] ret_desc_string=unbekannt
[03.06.2015 22:28:10.768 UTC a3d 10241] SSL_state_string=SSLv3 Read client hello B
[03.06.15 22:28:10.768 UTC a3e 10241] SSL-Zustand = 0x2130; wobei "= 0x2001"; ret = 0x1
[03.06.15 22:28:10.768 UTC a3f 10241] ret_type_string=unbekannt
[03.06.15 22:28:10.768 UTC a40 10241] ret_desc_string=unbekannt
[03.06.15 22:28:10.768 UTC a41 10241] SSL_state_string=SSLv3-Schreibserver hello A
[03.06.15 22:28:10.768 UTC a42 10241] SSL-Zustand = 0x2140; wobei "= 0x2001"; ret = 0x1
[03.06.15 22:28:10.768 UTC a43 10241] ret_type_string=unbekannt
[03.06.15 22:28:10.768 UTC a44 10241] ret_desc_string=unbekannt
[03.06.15 22:28:10.768 UTC a45 10241] SSL_state_string=SSLv3-Schreibzertifikat A
—Mehr?????? ???????.[03.06.15 22:28:10.768 UTC a46 10241] SSL-Zustand = 0x2160; wobei "= 0x2001"; ret = 0x1
[03.06.15 22:28:10.768 UTC a47 10241] ret_type_string=unbekannt
[03.06.15 22:28:10.768 UTC a48 10241] ret_desc_string=unbekannt
[03.06.15 22:28:10.768 UTC a49 10241] SSL_state_string=SSLv3-Schreibzertifikatanforderung A
[03.06.15 22:28:10.768 UTC a4a 10241] SSL-Zustand = 0x2100; wobei "= 0x2001"; ret = 0x1
[03.06.15 22:28:10.768 UTC a4b 10241] ret_type_string=unbekannt
[03.06.15 22:28:10.768 UTC a4c 10241] ret_desc_string=unbekannt
[03.06.15 22:28:10.768 UTC a4d 10241] SSL_state_string=SSLv3-Flush-Daten
[03.06.15 22:28:10.768 UTC a4e 10241] SSL-Zustand = 0x2180; wobei "= 0x2002"; ret = 0xffffffff
[03.06.15 22:28:10.768 UTC a4f 10241] ret_type_string=unbekannt
[03.06.15 22:28:10.768 UTC a50 10241] ret_desc_string=unbekannt
[03.06.15 22:28:10.768 UTC a51 10241] SSL_state_string=SSLv3-Clientzertifikat A
[03.06.15 22:28:10.768 UTC a52 10241] — gibt WANT_READ für conn ssl b3f8a8d0 zurück
[03.06.15 22:28:11.068 UTC a53 10241] doSSLRecvLoop: Handshake für Anschluss 0 noch nicht abgeschlossen
[03.06.2015 22:28:11.068 UTC a54 10241] sslConnectionInit: SSL_do_handshake für conn ssl b3f8a8d0, conn-Zustand: INIT, SSL-Status: HANDSHAKING
[03.06.15 22:28:11.069 UTC a55 10241] Peer-Zertifikatsvalidierung Fertig für conn ssl b3f8a8d0, Aufruf von authlist.
—Mehr?????? ????????[03.06.2015 22:28:11.070 UTC a56 10241] Autorisierte Authentifizierung fehlgeschlagen für conn ssl b3f8a8d0
[03.06.2015 22:28:12.070 UTC a57 10241] Peer nicht auf der Authentifizierungsliste validiert
[03.06.15 22:28:12.070 UTC a58 10241] SSL-Zustand = 0x2182; wobei = 0x4008; ret = 0x22e
[03.06.15 22:28:12.070 UTC a59 10241] ret_type_string=fatal
[03.06.2015 22:28:12.070 UTC a5a 10241] ret_desc_string=Certificate unbekannt
[03.06.15 22:28:12.070 UTC a5b 10241] SSL_state_string=SSLv3-Clientzertifikat C
[03.06.15 22:28:12.070 UTC a5c 10241] SSL-Zustand = 0x2182; wobei "= 0x2002"; ret = 0xffffffff
[03.06.15 22:28:12.070 UTC a5d 10241] ret_type_string=unbekannt
[03.06.15 22:28:12.070 UTC a5e 10241] ret_desc_string=unbekannt
[03.06.15 22:28:12.070 UTC a5f 10241] SSL_state_string=SSLv3-Clientzertifikat C
[03.06.15 22:28:12.070 UTC a60 10241] — Handshake ist für conn ssl b3f8a8d0 fehlgeschlagen, ssl_err 1 error = error:140890B2:SSL-Routinen:SSL3__CLIENT_CERTIFICATE: Kein Zertifikat zurückgegeben
[03.06.15 22:28:12.070 UTC a61 10241] Freigeben von Nmsp conn ssl b3f8a8d0, conn id 0

Erfolgsszenario:

[06.06.15 17:47:53.600 UTC 4f2 10205] Senden von NMSP_APP_MEAS_NOTIFY_MSG an LocServer 0
[06.06.15 17:56:34.305 UTC 4f3 10205] Neue NMSP-Verbindung zugewiesen 0
—Mehr?????? sslConnectionInit: SSL_new() conn ssl 590a6048
[06.06.15 17:56:34.306 UTC 4f5 10205] sslConnectionInit: SSL_do_handshake für conn ssl 590a6048, CONN-Status: INIT, SSL-Status: HANDSHAKING
[06/06/15 17:56:34.306 UTC 4f6 10205] SSL-Zustand = 0x6000; wobei "= 0x10"; ret = 0x1
[06.06.15 17:56:34.306 UTC 4f7 10205] ret_type_string=unbekannt
[06.06.15 17:56:34.306 UTC 4f8 10205] ret_desc_string=unbekannt
[06.06.15 17:56:34.307 UTC 4f9 10205] SSL_state_string=before/accept initialization
[06/06/15 17:56:34.307 UTC 4fa 10205] SSL-Zustand = 0x6000; wobei "= 0x2001"; ret = 0x1
[06.06.15 17:56:34.307 UTC 4fb 10205] ret_type_string=unbekannt
[06/06/15 17:56:34.307 UTC 4fc 10205] ret_desc_string=unbekannt
[06.06.15 17:56:34.307 UTC 4fd 10205] SSL_state_string=before/accept initialization
[06/06/15 17:56:34.307 UTC 4fe 10205] SSL-Zustand = 0x2111; wobei "= 0x2002"; ret = 0xffffffff
[06.06.15 17:56:34.307 UTC 4ff 10205] ret_type_string=unbekannt
[06.06.15 17:56:34.307 UTC 500 10205] ret_desc_string=unbekannt
[06.06.15 17:56:34.307 UTC 501 10205] SSL_state_string=SSLv3 Read client hello B
[06.06.15 17:56:34.307 UTC 502 10205] — gibt WANT_READ für conn ssl 590a6048 zurück
[06.06.15 17:56:34.307 UTC 503 10205] sslConnectionInit() war erfolgreich mit dem Verbindungsstatus: INIT, SSL-Status: HANDSHAKING
—Mehr?????? ????????.[06.06.15 17:56:34.309 UTC 504 10205] doSSLRecvLoop: Handshake für Anschluss 0 noch nicht abgeschlossen
[06.06.15 17:56:34.309 UTC 505 10205] sslConnectionInit: SSL_do_handshake für conn ssl 590a6048, CONN-Status: INIT, SSL-Status: HANDSHAKING
[06/06/15 17:56:34.309 UTC 506 10205] SSL-Zustand = 0x2111; wobei "= 0x2001"; ret = 0x1
[06.06.15 17:56:34.309 UTC 507 10205] ret_type_string=unbekannt
[06.06.15 17:56:34.309 UTC 508 10205] ret_desc_string=unbekannt
[06.06.15 17:56:34.309 UTC 509 10205] SSL_state_string=SSLv3 Read client hello B
[06/06/15 17:56:34.309 UTC 50a 10205] SSL-Zustand = 0x2130; wobei "= 0x2001"; ret = 0x1
[06.06.15 17:56:34.309 UTC 50b 10205] ret_type_string=unbekannt
[06.06.15 17:56:34.309 UTC 50c 10205] ret_desc_string=unbekannt
[06.06.15 17:56:34.309 UTC 50d 10205] SSL_state_string=SSLv3-Schreibserver hello A
[06/06/15 17:56:34.310 UTC 50e 10205] SSL-Zustand = 0x2140; wobei "= 0x2001"; ret = 0x1
[06.06.15 17:56:34.310 UTC 50f 10205] ret_type_string=unbekannt
[06/06/15 17:56:34.310 UTC 510 10205] ret_desc_string=unbekannt
[06.06.15 17:56:34.310 UTC 511 10205] SSL_state_string=SSLv3-Schreibzertifikat A
[06/06/15 17:56:34.310 UTC 512 10205] SSL-Zustand = 0x2160; wobei "= 0x2001"; ret = 0x1
[06.06.15 17:56:34.310 UTC 513 10205] ret_type_string=unbekannt
—Mehr?????? ????????.[06.06.15 17:56:34.310 UTC 514 10205] ret_desc_string=unbekannt
[06.06.15 17:56:34.310 UTC 515 10205] SSL_state_string=SSLv3-Schreibzertifikatanforderung A
[06/06/15 17:56:34.310 UTC 516 10205] SSL-Zustand = 0x2100; wobei "= 0x2001"; ret = 0x1
[06.06.15 17:56:34.310 UTC 517 10205] ret_type_string=unbekannt
[06.06.15 17:56:34.310 UTC 518 10205] ret_desc_string=unbekannt
[06.06.15 17:56:34.310 UTC 519 10205] SSL_state_string=SSLv3-Flush-Daten
[06/06/15 17:56:34.310 UTC 51a 10205] SSL-Zustand = 0x2180; wobei "= 0x2002"; ret = 0xffffffff
[06.06.15 17:56:34.310 UTC 51b 10205] ret_type_string=unbekannt
[06.06.15 17:56:34.310 UTC 51c 10205] ret_desc_string=unbekannt
[06.06.15 17:56:34.310 UTC 51d 10205] SSL_state_string=SSLv3-Clientzertifikat A
[06.06.15 17:56:34.310 UTC 51e 10205] — gibt WANT_READ für conn ssl 590a6048 zurück
[06.06.15 17:56:34.610 UTC 51f 10205] doSSLRecvLoop: Handshake für Anschluss 0 noch nicht abgeschlossen
[06.06.15 17:56:34.610 UTC 520 10205] sslConnectionInit: SSL_do_handshake für conn ssl 590a6048, CONN-Status: INIT, SSL-Status: HANDSHAKING
[06.06.15 17:56:34.616 UTC 521 10205] Peer-Zertifikatsvalidierung abgeschlossen für conn ssl 590a6048, Anrufer/Authentizität.
[06.06.15 17:56:34.622 UTC 522 10205] Autorisierte Authentifizierung erfolgreich für conn ssl 590a6048
??????????? ???????.[06.06.15 17:56:35.616 UTC 523 10205] Peer validiert für AuthList
[06/06/15 17:56:35.616 UTC 524 10205] SSL-Zustand = 0x2180; wobei "= 0x2001"; ret = 0x1
[06.06.15 17:56:35.616 UTC 525 10205] ret_type_string=unbekannt
[06.06.15 17:56:35.616 UTC 526 10205] ret_desc_string=unbekannt
[06.06.15 17:56:35.616 UTC 527 10205] SSL_state_string=SSLv3-Clientzertifikat A
[06/06/15 17:56:35.633 UTC 528 10205] SSL-Zustand = 0x2190; wobei "= 0x2001"; ret = 0x1
[06.06.15 17:56:35.633 UTC 529 10205] ret_type_string=unbekannt
[06.06.15 17:56:35.633 UTC 52a 10205] ret_desc_string=unbekannt
[06.06.15 17:56:35.633 UTC 52b 10205] SSL_state_string=SSLv3-Read-Client-Schlüsselaustausch A
[06/06/15 17:56:35.635 UTC 52c 10205] SSL-Zustand = 0x21a0; wobei "= 0x2001"; ret = 0x1
[06.06.15 17:56:35.636 UTC 52d 10205] ret_type_string=unbekannt
[06.06.15 17:56:35.636 UTC 52e 10205] ret_desc_string=unbekannt
[06/06/15 17:56:35.636 UTC 52f 10205] SSL_state_string=SSLv3-Lesebescheinigung A prüfen
[06/06/15 17:56:35.636 UTC 530 10205] SSL-Zustand = 0x21c0; wobei "= 0x2001"; ret = 0x1
[06.06.15 17:56:35.636 UTC 531 10205] ret_type_string=unbekannt
[06/06/15 17:56:35.636 UTC 532 10205] ret_desc_string=unbekannt
—Mehr?????? ????????.[06.06.15 17:56:35.636 UTC 533 10205] SSL_state_string=SSLv3 gelesen A
[06/06/15 17:56:35.636 UTC 534 10205] SSL-Zustand = 0x21d0; wobei "= 0x2001"; ret = 0x1
[06.06.15 17:56:35.636 UTC 535 10205] ret_type_string=unbekannt
[06/06/15 17:56:35.636 UTC 536 10205] ret_desc_string=unbekannt
[06.06.15 17:56:35.636 UTC 537 10205] SSL_state_string=SSLv3 write change cipher spec A
[06/06/15 17:56:35.636 UTC 538 10205] SSL-Zustand = 0x21e0; wobei "= 0x2001"; ret = 0x1
[06.06.15 17:56:35.636 UTC 539 10205] ret_type_string=unbekannt
[06.06.15 17:56:35.636 UTC 53a 10205] ret_desc_string=unbekannt
[06.06.15 17:56:35.636 UTC 53b 10205] SSL_state_string=SSLv3 write finished A
[06/06/15 17:56:35.637 UTC 53c 10205] SSL-Zustand = 0x2100; wobei "= 0x2001"; ret = 0x1
[06.06.15 17:56:35.637 UTC 53d 10205] ret_type_string=unbekannt
[06.06.15 17:56:35.637 UTC 53e 10205] ret_desc_string=unbekannt
[06.06.15 17:56:35.637 UTC 53f 10205] SSL_state_string=SSLv3-Flush-Daten
[06.06.15 17:56:35.637 UTC 540 10205] SSL-Zustand = 0x3; wobei "= 0x20"; ret = 0x1
[06.06.15 17:56:35.637 UTC 541 10205] ret_type_string=unbekannt
[06.06.15 17:56:35.637 UTC 542 10205] ret_desc_string=unbekannt
[06.06.15 17:56:35.637 UTC 543 10205] SSL_state_string=SSL-Aushandlung erfolgreich abgeschlossen
[06.06.15 17:56:35.637 UTC 544 10205] SSL-Zustand = 0x3; wobei "= 0x2002"; ret = 0x1
—Mehr?????? ????????.[06.06.15 17:56:35.637 UTC 545 10205] ret_type_string=unbekannt
[06.06.15 17:56:35.637 UTC 546 10205] ret_desc_string=unbekannt
[06.06.15 17:56:35.637 UTC 547 10205] SSL_state_string=SSL-Aushandlung erfolgreich abgeschlossen
[06.06.15 17:56:35.637 UTC 548 10205] SSL_do_handshake() war erfolgreich für conn ssl 590a6048
[06.06.15 17:56:35.637 UTC 549 10205] NMSP-Verbindungserfolg! für Verbindung 0