Ejemplo de configuración de proxy de autenticación web

Introducción

En este documento se describe cómo configurar la autenticación web para trabajar con una configuración de proxy.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

• Configuración básica del controlador de LAN inalámbrica
• Seguridad de autenticación web

Componentes Utilizados

La información contenida en este documento se basa en un controlador LAN inalámbrico Cisco, versión 7.0 y posterior.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Configurar

Los administradores de red tienen un servidor proxy en su red que, en primer lugar, envía tráfico web al servidor proxy, que, a su vez, envía el tráfico a Internet. Las conexiones entre el cliente y el servidor proxy pueden utilizar un puerto TCP, que no sea el puerto 80, para la comunicación. Este puerto suele ser el puerto TCP 3128 o 8080. De forma predeterminada, la autenticación web solo se escucha en el puerto 80. Por lo tanto, cuando una HTTP GET abandona la computadora, se envía al puerto de proxy pero es abandonada por el controlador.

En esta sección se describe cómo configurar la autenticación web para trabajar con una configuración de proxy:

1. Configure el Controlador LAN inalámbrico (WLC) de Cisco para escuchar en el puerto de proxy.
2. Configure el archivo de configuración automática de proxy (PAC) para devolver la dirección IP virtual directa.
3. Cree una lista de control de acceso (ACL) de autenticación previa para permitir que el cliente descargue el archivo PAC antes de la autenticación web.

Como solución rápida, puede configurar manualmente el navegador web para devolver 192.0.2.1.

Para conocer los detalles de cada uno de estos procesos, consulte las siguientes subsecciones.

Configurar la WLC

En este procedimiento se describe cómo cambiar el puerto en el que el controlador escucha al puerto que escucha el servidor proxy.

1. Vaya a la página Controlador > General .
   
   
2. En el campo Puerto de redirección de proxy WebAuth, introduzca el puerto en el que quiere que el WLC escuche para redirigir al cliente.
   
   
3. Seleccione deshabilitado o habilitado de la lista desplegable del modo de redireccionamiento del proxy WebAuth:
   
   
   1. Si elige Desactivado, a los clientes se les presenta la página de autenticación web normal para el acceso directo o la autenticación. Por lo tanto, si utiliza un proxy, debe configurar todos los exploradores del cliente para no usar el proxy para 192.0.2.1 (u otras dirección IP virtual que use la WLC). Consulte Configurar explorador Web.
      
      
   2. Si elige habilitado, el WLC escucha en los puertos 80, 8080 y 3128 de forma predeterminada, para que no tenga que introducir estos puertos en el campo de texto Puerto de redireccionamiento del proxy WebAuth. Si un cliente envía un HTTP GET en estos puertos, ve una pantalla que le pide cambiar la configuración de proxy a automática.
      
      
4. Guarde la configuración.
   
   
5. Reinicie el controlador.

En resumen, introduzca un número de puerto en el puerto de redireccionamiento del proxy WebAuth para definir el puerto que escucha el WLC. Cuando está activado el modo de redireccionamiento, redirige al cliente a la pantalla de configuración de proxy y espera implementar de forma dinámica un archivo de Detección automática de proxy web (WPAD) o un archivo PAC para la configuración automática de proxy. Cuando está desactivado, el cliente se redirige a la página de autenticación web normal.

Configurar el archivo PAC

La dirección IP virtual del WLC debe devolverse en forma 'directa' para que Web Auth autentique correctamente a los usuarios. Directa significa que el servidor proxy no aplica un proxy a la solicitud y el cliente cuenta con permisos para contactarse directamente con la dirección IP. Esto lo configura normalmente el administrador del servidor proxy en el servidor proxy en el archivo WPAD o PAC. Este es un ejemplo de configuración de un archivo PAC:

function FindProxyForURL(url, host) {
      // our local URLs from the domains below example.com don't need a proxy:
      if (shExpMatch(host, "*.example.com"))
      if (shExpMatch(host, "192.0.2.1"))   <-- (Line states return 1.1.1 directly)
      {
         return "DIRECT";
      }

      // URLs within this network are accessed through
      // port 8080 on fastproxy.example.com:
      if (isInNet(host, "10.0.0.0",  "255.255.248.0"))
      {
         return "PROXY fastproxy.example.com:8080";
      }

      // All other requests go through port 8080 of proxy.example.com.
      // should that fail to respond, go directly to the WWW:
      return "PROXY proxy.example.com:8080; DIRECT";

Crear ACL de autenticación previa

Realice un ACL de autenticación previa en el identificador del conjunto de servicios de autenticación web (SSID) para que los clientes inalámbricos puedan descargar el archivo PAC antes del registro de clientes a Web Auth. La ACL de autenticación previa debe permitir el acceso solo al puerto en el que se encuentra el archivo PAC. El acceso al puerto del proxy permite a los clientes conectarse a Internet sin autenticación web.

1. Vaya a Seguridad > Lista de control de acceso para crear un ACL en el controlador.
2. Cree reglas para permitir el tráfico del puerto de descarga de PAC al proxy en ambos sentidos.
   
   
   
   

   Nota : No permita el puerto HTTP proxy.

3. En la configuración de WLAN del controlador, no olvide elegir el ACL que acaba de crear como ACL de autenticación previa.
   
   

Reparación rápida: Configurar navegador web

En este procedimiento se describe cómo configurar manualmente una excepción para que un navegador web del cliente llegue directamente a 192.0.2.1.

1. En Internet Explorer, vaya a Herramientas > Opciones de Internet.
   
   
2. Haga clic en la pestaña Conexiones , y, luego, en el botón Configuración de LAN.
   
   
3. En el área del servidor Proxy, marque la casilla de verificación Utilizar un servidor proxy para la LAN, e introduzca la dirección (IP) y el puerto en los que escucha el servidor.
   
   
   
   
4. Haga clic en Avanzado e introduzca la dirección IP virtual del WLC en el área Excepciones.
   

Verificación

Actualmente, no hay un procedimiento de verificación disponible para esta configuración.

Troubleshoot

Actualmente, no hay información específica de troubleshooting disponible para esta configuración.