WLAN FlexConnect avec remplacement AAA 802.1x sur les contrôleurs sans fil Catalyst 9800

Introduction

Ce document décrit comment configurer un contrôleur LAN sans fil élastique (WLC 9800) avec des points d'accès (AP) en mode FlexConnect et un réseau local sans fil (WLAN) 802.1x commuté localement avec la priorité AAA (Authentication, Authorization and Accounting) du réseau local virtuel (VLAN).

Conditions préalables

Exigences

Cisco vous recommande de prendre connaissance des rubriques suivantes :

• Mode de configuration WLC 9800
• FlexConnect

Composants utilisés

Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

• WLC 9800 v16.10

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

Configurer

Diagramme du réseau

Configuration

Configuration AAA sur un contrôleur WLC 9800

Vous pouvez suivre les instructions de ce lien :

Configuration AAA sur un contrôleur WLC 9800

Configuration d’un réseau local sans fil (WLAN)

Vous pouvez suivre les instructions de ce lien :

Configuration d’un réseau local sans fil (WLAN)

Définir AP comme mode FlexConnect

Contrairement à la configuration AireOS, sur le WLC 9800, il n'est pas possible de configurer le mode AP local ou flexconnect directement à partir du point d'accès. Procédez comme suit pour configurer un point d'accès en mode FlexConnect.

IUG

Étape 1. Configurer un profil flexible.

Naviguez jusqu'à Configuration > Balises et profils > Flex et modifiez le default-flex-profile ou cliquez sur +Add pour en créer un nouveau.

Étape 2. Ajoutez les VLAN nécessaires (les VLAN du WLAN par défaut ou les VLAN envoyés depuis ISE).

Remarque : à l'étape 3 de la section Policy Profile Configuration, vous sélectionnez le VLAN par défaut attribué au SSID. Si vous utilisez un nom de VLAN à cette étape, assurez-vous que vous utilisez le même nom de VLAN dans la configuration Flex Profile, sinon les clients ne pourront pas se connecter au WLAN.

Vous pouvez éventuellement ajouter des listes de contrôle d’accès spécifiques par VLAN.

 Affectez éventuellement un groupe de serveurs Radius pour permettre aux points d'accès FlexConnect d'effectuer une authentification locale.

Étape 3. Configurez une balise de site.

Accédez à Configuration > Tags & Profiles > Tags > Site. Modifiez la balise default-site-tag (qui est la balise attribuée par défaut à tous les AP) ou créez-en une nouvelle (cliquez sur +Add pour en créer une nouvelle). 

Assurez-vous de désactiver l'option Enable Local Site, sinon l'option Flex Profile n'est pas disponible. 

Remarque : tout point d'accès qui obtient une balise de site avec Activer le site local activé est configuré en mode local. De même, tout AP qui obtient une balise de site avec Enable Local Site désactivé, est configuré en mode flexconnect.

 Étape 4. Associez un point d'accès au WLC 9800 et attribuez la balise Site configurée à l'étape 2.

Accédez à Configuration > Wireless > Access Points > AP name et définissez la balise Site. Cliquez ensuite sur Update & Apply to Device pour définir la modification.

Remarque : sachez qu'après avoir modifié la balise sur un AP, il perd son association avec le WLC 9800 et se reconnecte dans environ 1 minute. 

 Étape 5. Une fois que le point d'accès se reconnecte, notez que le mode AP est Flex

CLI 

# config t
# wireless profile flex new-flex-profile
# arp-caching
# description "New flex profile"
# native-vlan-id 2601

# config t
# wireless tag site new-flex-site
# flex-profile new-flex-profile
# no local-site
# site-tag new-flex-site

# config t
# ap <eth-mac-address>
# site-tag new-flex-site
Associating site-tag will cause associated AP to reconnect
# exit

#show ap name <ap-name> config general | inc AP Mode
AP Mode                                         : FlexConnect

Configuration du commutateur

Configurez l'interface du commutateur à laquelle le point d'accès est connecté.

# config t
# interface <int-id>
# switchport trunk native vlan 2601
# switchport mode trunk
# spanning-tree portfast trunk
# end

Configuration du profil des politiques

Dans un profil de stratégie, vous pouvez décider à quel VLAN attribuer les clients, entre autres paramètres (comme la liste de contrôle d'accès [ACL], la qualité de service [QoS], l'ancrage de mobilité, les minuteurs, etc.).

IUG

Étape 1. Configurez le profil de stratégie à attribuer au WLAN.

Accédez à Configuration > Tags & Profiles > Policy et créez-en un nouveau ou modifiez le default-policy-profile.

 Étape 2. Dans l'onglet Général, attribuez un nom au profil de stratégie et changez son état en ENABLED.

 Étape 3. Dans l'onglet Access Policies, affectez le VLAN auquel les clients sans fil sont affectés lorsqu'ils se connectent à ce WLAN par défaut.

Vous pouvez sélectionner un nom de VLAN dans la liste déroulante ou saisir manuellement un ID de VLAN.

Remarque : Si vous sélectionnez un nom de VLAN dans la liste déroulante, assurez-vous qu'il correspond au nom de VLAN utilisé à l'étape 2 de la section Définir AP comme mode FlexConnect.

ou

Étape 4. Accédez à l'onglet Advanced et activez les options Central Authentication Enable et Allow AAA Overrideoptions. La commutation centrale doit être désactivée.

L'authentification centrale doit être activée si vous voulez que le processus d'authentification soit effectué de manière centralisée par le WLC 9800. Désactivez-la si vous souhaitez que les points d'accès FlexConnect authentifient les clients sans fil.

CLI 

# config t
# wireless profile policy new-policy-profile
# central association
# vlan <vlan-id or vlan-name>
# no shutdown

Configuration des balises des politiques

La balise de stratégie est utilisée pour lier le SSID au profil de stratégie. Vous pouvez soit créer une nouvelle balise de politiques, soit utiliser la balise de politique par défaut.

Remarque : la balise default-policy-tag lie automatiquement tout SSID avec un ID WLAN compris entre 1 et 16 au le profil default-policy-profile. Il ne peut pas être modifié ni supprimé. Si vous disposez d'un WLAN avec l'ID 17 ou supérieur, la balise default-policy-tag ne peut pas être utilisée.

IUG:

Accédez à Configuration > Tags & Profiles > Tags > Policy et ajoutez-en un nouveau si nécessaire.

Liez votre profil de réseau WLAN au profil de politiques souhaité.

CLI :

# config t
# wireless tag policy <policy-tag-name>
# wlan <profile-name> policy <policy-profile-name>

Attribution de balise de stratégie

Attribuez la balise Policy au point d'accès

IUG

Pour attribuer la balise à un point d'accès, accédez à Configuration > Wireless > Access Points > AP Name > General Tags, effectuez l'attribution nécessaire, puis cliquez sur Update & Apply to Device.

Remarque : sachez qu'après avoir modifié la balise de stratégie sur un AP, il perd son association au WLC 9800 et se reconnecte dans environ 1 minute.

Pour attribuer la même balise de stratégie à plusieurs points d'accès, accédez à Configuration > Wireless > Wireless Setup > Start Now > Apply.

Sélectionnez les AP auxquels vous voulez attribuer la balise et cliquez sur + Tag APs

Sélectionnez la balise souhaitée et cliquez sur Enregistrer et appliquer au périphérique

CLI 

# config t
# ap <ethernet-mac-addr>
# policy-tag <policy-tag-name>
# end

Configuration ISE

Pour la configuration ISE v1.2, vérifiez ce lien :

Configuration ISE

Vérifier

Vous pouvez utiliser ces commandes pour vérifier la configuration actuelle

# show run wlan
# show run aaa
# show aaa servers
# show ap config general
# show ap name <ap-name> config general 
# show ap tag summary
# show ap name <AP-name> tag detail
# show wlan { summary | id | name | all }
# show wireless tag policy detailed <policy-tag-name>
# show wireless profile policy detailed <policy-profile-name> 

# show clock

# show logging

# show debugging
IOSXE Conditional Debug Configs:

Conditional Debug Global State: Stop

IOSXE Packet Tracing Configs:


Packet Infra debugs:

Ip Address                                               Port
------------------------------------------------------|----------

# show logging profile wireless filter { mac | ip } { <aaaa.bbbb.cccc> | <a.b.c.d> } to-file always-on-<FILENAME.txt> 

# more bootflash:always-on-<FILENAME.txt>
or
# copy bootflash:always-on-<FILENAME.txt> tftp://a.b.c.d/path/always-on-<FILENAME.txt> 

# clear platform condition all

# debug wireless mac <aaaa.bbbb.cccc> {monitor-time <seconds>}

# no debug wireless mac <aaaa.bbbb.cccc>

# dir bootflash: | inc ra_trace

# copy bootflash:ra_trace_MAC_aaaabbbbcccc_HHMMSS.XXX_timezone_DayWeek_Month_Day_year.log tftp://a.b.c.d/ra-FILENAME.txt

# more bootflash:ra_trace_MAC_aaaabbbbcccc_HHMMSS.XXX_timezone_DayWeek_Month_Day_year.log

# show logging profile wireless internal filter { mac | ip } { <aaaa.bbbb.cccc> | <a.b.c.d> } to-file ra-internal-<FILENAME>.txt

# copy bootflash:ra-internal-<FILENAME>.txt tftp://a.b.c.d/ra-internal-<FILENAME>.txt

# more bootflash:ra-internal-<FILENAME>.txt

# clear platform condition all