Introducción
Este documento proporciona una breve descripción general de las pautas de configuración básicas para implementaciones inalámbricas a gran escala, como AireOS Wireless LAN Controller (WLC) con RADIUS con Cisco Identity Services Engine (ISE) o Cisco Secure Access Control Server (ACS). Este documento hace referencia a otros documentos con mayor detalle técnico.
Síntomas observados
Normalmente, los entornos universitarios encuentran este estado de fusión de autenticación, autorización y contabilidad (AAA). Esta sección describe los síntomas/registros habituales observados en este entorno.
1. Supervisión del rendimiento RADIUS
El cliente Dotx experimenta un gran retraso con muchos reintentos de autenticación.
Utilice el comando show radius auth statistics (GUI: Supervisar > Estadísticas > Servidores RADIUS) para buscar problemas. Busque específicamente un gran número de intentos, rechazos y tiempos de espera. Aquí tiene un ejemplo:
Server Index..................................... 2
Server Address................................... 192.168.88.1
Msg Round Trip Time.............................. 3 (msec)
First Requests................................... 1256
Retry Requests................................... 5688
Accept Responses................................. 22
Reject Responses................................. 1
Challenge Responses.............................. 96
Malformed Msgs................................... 0
Bad Authenticator Msgs........................... 0
Pending Requests................................. 1
Timeout Requests................................. 6824
Unknowntype Msgs................................. 0
Other Drops...................................... 0
Busque:
- Reintento alto: Relación de la primera solicitud (no debe ser superior al 10%)
- Rechazo alto: Ratio de aceptación
- Tiempo de espera alto: Relación de la primera solicitud (no debe ser superior al 5%)
Si hay problemas, compruebe:
- Clientes mal configurados
- Problemas de alcance de la red entre el WLC y el servidor RADIUS
- Problemas entre el servidor RADIUS y la base de datos backend, si se está utilizando, como con Active Directory (AD)
2. El WLC ve la cola RADIUS llena en los Msglogs
El WLC recibe este mensaje acerca de la cola RADIUS:
Univ-WISM2-02: *aaa QueueReader: Dec 02 14:25:31.565: #AAA-3-3TXQUEUE_ADD_FAILED:
radius_db.c:889 Transmission queue full. Que name: Radius queue. Dropping
sessionpackets.
host = x.x.x.x.
3. Debug AAA
Un debug de AAA muestra este mensaje:
*aaaQueueReader: Dec 02 21 09:19:52.198: xx:xx:xx:xx:xx:xx Returning AAA Error
'Out of Memory' (-2) for mobile xx:xx:xx:xx:xx:xx
Una depuración de AAA devuelve el tiempo de espera de error AAA (-5) para los dispositivos móviles. El servidor AAA es inalcanzable y es seguido por la desautorización del cliente.
4. El servidor RADIUS está demasiado ocupado y no responde
Esta es la trampa de hora del sistema de registro:
0 Wed Aug 20 15:30:40 2014 RADIUS auth-server x.x.x.x:1812 available
1 Wed Aug 20 15:30:40 2014 RADIUS auth-server x.x.x.x:1812 available
2 Wed Aug 20 15:30:40 2014 RADIUS server x.x.x.x:1812 activated on WLAN 6
3 Wed Aug 20 15:30:40 2014 RADIUS server x.x.x.x:1812 deactivated on WLAN 6
4 Wed Aug 20 15:30:40 2014 RADIUS auth-server x.x.x.x:1812 unavailable
5 Wed Aug 20 15:30:40 2014 RADIUS server x.x.x.x:1812 failed to respond to request
(ID 22) for client 68:96:7b:0e:46:7f / user 'user1@univ1.edu'
6 Wed Aug 20 15:29:57 2014 User Larry_Dull_231730 logged Out. Client MAC:84:a6:c8:
87:13:9c, Client IP:198.21.137.22, AP MAC:c0:7b:bc:cf:af:40, AP Name:Dot1x-AP
7 Wed Aug 20 15:28:42 2014 RADIUS server x.x.x.x:1812 failed to respond to request
(ID 183) for client 48:d7:05:7d:93:a5 / user ' user2@univ2.edu '
8 Wed Aug 20 15:28:42 2014 RADIUS auth-server x.x.x.x:1812 unavailable
9 Wed Aug 20 15:28:42 2014 RADIUS server x.x.x.x:1812 failed to respond to request
(ID 154) for client 40:0e:85:76:00:68 / user ' user1@univ1.edu '
10 Wed Aug 20 15:28:41 2014 RADIUS auth-server x.x.x.x:1812 available
11 Wed Aug 20 15:28:41 2014 RADIUS auth-server x.x.x.x:1812 unavailable
12 Wed Aug 20 15:28:41 2014 RADIUS server x.x.x.x:1812 failed to respond to request
(ID 99) for client 50:2e:5c:ea:e4:ba / user ' user3@univ3.edu '
13 Wed Aug 20 15:28:38 2014 RADIUS auth-server x.x.x.x:1812 available
14 Wed Aug 20 15:28:38 2014 RADIUS auth-server x.x.x.x:1812 unavailable
15 Wed Aug 20 15:28:38 2014 RADIUS server x.x.x.x:1812 failed to respond to request
(ID 30) for client b4:18:d1:60:6b:51 / user ' user1@univ1.edu '
16 Wed Aug 20 15:28:38 2014 RADIUS auth-server x.x.x.x:1812 available
17 Wed Aug 20 15:28:38 2014 RADIUS server x.x.x.x:1812 activated on WLAN 6
18 Wed Aug 20 15:28:38 2014 RADIUS server x.x.x.x:1812 deactivated on WLAN 6
19 Wed Aug 20 15:28:38 2014 RADIUS auth-server x.x.x.x:1812 unavailable
Ajuste de las prácticas recomendadas
Ajuste del Lado WLC
- Protocolo de autenticación extensible (EAP): permite que funcione la exclusión de clientes 802.1X.
- Habilitar la exclusión de clientes globalmente para 802.1X.
- Establezca la exclusión del cliente en las LAN inalámbricas (WLAN) 802.1X en al menos 120 segundos.
- Configure los temporizadores EAP como se describe en la Exclusión de Cliente 802.1X en un artículo AireOS WLC.
- Establezca los tiempos de espera de retransmisión RADIUS en al menos cinco segundos.
- Establezca Session-Timeout en al menos ocho horas.
- Inhabilite la conmutación por fallas agresiva, que no permite que un solo suplicante de mal comportamiento haga que el WLC falle entre los servidores RADIUS.
- Configure Fast Secure Roaming para sus clientes.
Ajuste del lado del servidor RADIUS
- Reduzca la velocidad de registro. La mayoría de los servidores RADIUS son configurables sobre el registro que almacenarán. Si se utiliza el ACS o el ISE, un administrador puede elegir qué categorías se registran en la base de datos de supervisión. Un ejemplo podría ser si los datos de contabilización se envían fuera del servidor RADIUS y se visualizan con otra aplicación como SYSLOG, no escriba los datos en la base de datos localmente. En ISE, asegúrese de que la supresión de registros permanezca habilitada en todo momento. Si se debe inhabilitar para solucionar problemas, vaya a Administration > System > Logging > Collection Filters y utilice la opción Bypass Suppression para inhabilitar la supresión en un terminal o usuario individual. En ISE versión 1.3 y posteriores, se puede hacer clic con el botón derecho en un terminal en el registro de autenticación en vivo para inhabilitar la supresión también.
- Asegúrese de que la latencia de autenticación del motor es baja (AD, protocolo ligero de acceso a directorios (LDAP), Rivest, Shamir, Adleman (RSA)). Si utiliza el ACS o el ISE, los informes de resumen de autenticación se pueden ejecutar para monitorear la latencia por servidor tanto para la latencia media como para la máxima. Cuanto más tarde en procesarse una solicitud, menor será la velocidad de autenticación que puede procesar el ACS o el ISE. El 95% del tiempo, la latencia alta se debe a una respuesta lenta de una base de datos backend.
- Desactive los reintentos de contraseña del protocolo de autenticación extensible protegido (PEAP). La mayoría de los dispositivos no admiten reintentos de contraseñas dentro del túnel PEAP, por lo que un reintento del servidor EAP hace que el dispositivo deje de responder y reinicie con una nueva sesión EAP. Esto provoca tiempos de espera de EAP en lugar de rechazos, lo que significa que no se alcanzarán las exclusiones del cliente.
- Desactive Protocolos EAP no utilizados. Esto no es crítico, pero añade cierta eficiencia al intercambio EAP y asegura que un cliente no pueda utilizar un método EAP débil o no intencionado.
- Habilite la reanudación de la sesión PEAP y la conexión rápida.
- No envíe las autenticaciones MAC al AD si no es necesario. Se trata de un error de configuración común que aumenta la carga en los controladores de dominio con los que se autentica ISE. A menudo, esto lleva a búsquedas negativas que llevan mucho tiempo y aumentan la latencia media.
- Utilice el sensor de dispositivos cuando corresponda (específico de ISE).
Comentarios