WLAN FlexConnect con anulación de 802.1x AAA en los controladores inalámbricos Catalyst 9800

Introducción

Este documento describe cómo configurar un controlador de LAN inalámbrica elástico (9800 WLC) con puntos de acceso (AP) en modo FlexConnect y una red de área local inalámbrica (WLAN) 802.1x conmutada localmente con la invalidación de autenticación, autorización y contabilidad (AAA) de la red de área local virtual (VLAN).

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

• Modo de configuración del WLC 9800
• FlexConnect

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

• 9800 WLC v16.10

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Configurar

Diagrama de la red

Configuración

Configuración de AAA en WLC 9800

Puede seguir las instrucciones de este enlace:

Configuración de AAA en WLC 9800

Configuración de WLAN

Puede seguir las instrucciones de este enlace:

Configuración de WLAN

Establecer AP como modo FlexConnect

A diferencia de la configuración de AireOS, en el WLC 9800 no es posible configurar el modo de flexconnect o local AP directamente desde el AP. Siga estos pasos para configurar un AP en el modo FlexConnect.

GUI

Paso 1. Configuración de un perfil flexible.

Desplácese hasta Configuración > Etiquetas y perfiles > Flex y modifique el default-flex-profile o haga clic en +Agregar para crear uno nuevo.

Paso 2. Agregue las VLAN necesarias (tanto las VLAN de la WLAN predeterminada como las VLAN transferidas desde ISE).

Nota: En el paso 3 de la sección Configuración del Perfil de Política, seleccione la VLAN predeterminada asignada al SSID. Si utiliza un nombre de VLAN en ese paso, asegúrese de utilizar el mismo nombre de VLAN en la configuración de Flex Profile; de lo contrario, los clientes no podrán conectarse a la WLAN.

Opcionalmente, puede agregar ACL específicas por VLAN.

 Opcionalmente, asigne un grupo de servidores Radius para permitir que los AP FlexConnect realicen la autenticación local.

Paso 3. Configurar una etiqueta de sitio.

Vaya a Configuración > Etiquetas y perfiles > Etiquetas > Sitio. Modifique la etiqueta default-site-tag (que es la etiqueta asignada de forma predeterminada a todos los AP) o cree una nueva etiqueta (haga clic en +Agregar para crear una nueva). 

Asegúrese de desactivar la opción Enable Local Site; de lo contrario, la opción Flex Profile no estará disponible. 

Nota: Cualquier AP que obtenga una etiqueta del sitio con la opción Habilitar sitio local habilitada, se configura como modo local. Del mismo modo, cualquier AP que tenga una etiqueta de sitio con Habilitar sitio local desactivado, se configura como modo flexconnect.

 Paso 4. Asocie un AP al WLC 9800 y asigne la etiqueta del sitio configurada en el paso 2.

Vaya a Configuration > Wireless > Access Points > AP name y establezca la etiqueta Site. A continuación, haga clic en Update & Apply to Device para establecer el cambio.

Nota: Tenga en cuenta que después de cambiar la etiqueta en un AP, pierde su asociación con el WLC 9800 y se une de nuevo dentro de aproximadamente 1 minuto. 

 Paso 5. Una vez que el AP se une nuevamente, observe que el modo AP es Flex

CLI

# config t
# wireless profile flex new-flex-profile
# arp-caching
# description "New flex profile"
# native-vlan-id 2601

# config t
# wireless tag site new-flex-site
# flex-profile new-flex-profile
# no local-site
# site-tag new-flex-site

# config t
# ap <eth-mac-address>
# site-tag new-flex-site
Associating site-tag will cause associated AP to reconnect
# exit

#show ap name <ap-name> config general | inc AP Mode
AP Mode                                         : FlexConnect

Configuración del switch

Configure la interfaz del switch a la que el AP está conectado.

# config t
# interface <int-id>
# switchport trunk native vlan 2601
# switchport mode trunk
# spanning-tree portfast trunk
# end

Configuración del perfil de la política

Dentro de un perfil de política puede decidir a qué VLAN asignar los clientes, entre otras configuraciones (como la lista de controles de acceso [ACL], calidad de servicio [QoS], ancla de movilidad, temporizadores, etc.).

GUI

Paso 1. Configure el perfil de política que se asignará a la WLAN.

Navegue hasta Configuration > Tags & Profiles > Policy y cree uno nuevo o modifique el default-policy-profile.

 Paso 2. En la ficha General, asigne un nombre al perfil de directiva y cambie su estado a ENABLED (HABILITADO).

 Paso 3. En la pestaña Access Policies , asigne la VLAN a la que están asignados los clientes inalámbricos cuando se conectan a esta WLAN de forma predeterminada.

Puede seleccionar un nombre de VLAN en el menú desplegable o escribir manualmente un ID de VLAN.

Nota: Si selecciona un nombre de vlan del menú desplegable, asegúrese de que coincida con el nombre de vlan utilizado en el paso 2 de la sección Establecer AP como modo FlexConnect.

or

Paso 4. Vaya a la pestaña Advanced y habilite las opciones Central Authentication Enable y Allow AAA . El Switching Central debe estar inhabilitado.

La autenticación central debe estar habilitada si desea que el proceso de autenticación sea realizado centralmente por el WLC 9800. Desactívela si desea que los puntos de acceso de FlexConnect autentiquen los clientes inalámbricos.

CLI

# config t
# wireless profile policy new-policy-profile
# central association
# vlan <vlan-id or vlan-name>
# no shutdown

Configuración de etiquetas de políticas

La etiqueta de directiva se utiliza para vincular el SSID con el perfil de directiva. Puede crear una nueva etiqueta de política o utilizar la etiqueta de política predeterminada.

Nota: La etiqueta de política predeterminada asigna automáticamente cualquier SSID con una ID de WLAN entre 1 y 16 al perfil de política predeterminado. No se puede modificar ni eliminar. Si tiene una WLAN con ID 17 o superior, no se puede utilizar default-policy-tag.

GUI:

Navegue hasta Configuration > Tags & Profiles > Tags > Policy y agregue uno nuevo si es necesario.

Vincule su perfil de WLAN con el perfil de política deseado.

CLI:

# config t
# wireless tag policy <policy-tag-name>
# wlan <profile-name> policy <policy-profile-name>

Asignación de etiquetas de políticas

Asigne la etiqueta Policy al AP

GUI

Para asignar la etiqueta a un AP, navegue hasta Configuration > Wireless > Access Points > AP Name > General Tags, realice la asignación necesaria y luego haga clic en Update & Apply to Device .

Nota: Tenga en cuenta que después de cambiar la etiqueta de la política en un AP, pierde su asociación al WLC 9800 y se une de nuevo dentro de aproximadamente 1 minuto.

Para asignar la misma etiqueta de política a varios AP, navegue hasta Configuration > Wireless > Wireless Setup > Start Now > Apply .

Seleccione los AP a los que desea asignar la etiqueta y haga clic en + Tag APs

Seleccione la etiqueta deseada y haga clic en Guardar y aplicar al dispositivo

CLI

# config t
# ap <ethernet-mac-addr>
# policy-tag <policy-tag-name>
# end

Configuración de ISE

Para la configuración de ISE v1.2, verifique este enlace:

Configuración de ISE

Verificación

Puede utilizar estos comandos para verificar la configuración actual

# show run wlan
# show run aaa
# show aaa servers
# show ap config general
# show ap name <ap-name> config general 
# show ap tag summary
# show ap name <AP-name> tag detail
# show wlan { summary | id | name | all }
# show wireless tag policy detailed <policy-tag-name>
# show wireless profile policy detailed <policy-profile-name> 

# show clock

# show logging

# show debugging
IOSXE Conditional Debug Configs:

Conditional Debug Global State: Stop

IOSXE Packet Tracing Configs:


Packet Infra debugs:

Ip Address                                               Port
------------------------------------------------------|----------

# show logging profile wireless filter { mac | ip } { <aaaa.bbbb.cccc> | <a.b.c.d> } to-file always-on-<FILENAME.txt> 

# more bootflash:always-on-<FILENAME.txt>
or
# copy bootflash:always-on-<FILENAME.txt> tftp://a.b.c.d/path/always-on-<FILENAME.txt> 

# clear platform condition all

# debug wireless mac <aaaa.bbbb.cccc> {monitor-time <seconds>}

# no debug wireless mac <aaaa.bbbb.cccc>

# dir bootflash: | inc ra_trace

# copy bootflash:ra_trace_MAC_aaaabbbbcccc_HHMMSS.XXX_timezone_DayWeek_Month_Day_year.log tftp://a.b.c.d/ra-FILENAME.txt

# more bootflash:ra_trace_MAC_aaaabbbbcccc_HHMMSS.XXX_timezone_DayWeek_Month_Day_year.log

# show logging profile wireless internal filter { mac | ip } { <aaaa.bbbb.cccc> | <a.b.c.d> } to-file ra-internal-<FILENAME>.txt

# copy bootflash:ra-internal-<FILENAME>.txt tftp://a.b.c.d/ra-internal-<FILENAME>.txt

# more bootflash:ra-internal-<FILENAME>.txt

# clear platform condition all