Augmenter le délai d'attente d'authentification Web sur le contrôleur de réseau local sans fil

Introduction

Ce document fournit les étapes requises pour que le SSID (Web-auth Service Set Identifier) permette à un utilisateur VPN d'accéder à un réseau sans authentification complète et sans déconnexion toutes les quelques minutes. Pour ce faire, un utilisateur doit augmenter le délai d'attente de l'authentification Web (authentification Web) sur le contrôleur de réseau local sans fil (WLC).

Conditions préalables

Conditions requises

Cisco vous recommande de savoir comment configurer le WLC pour le fonctionnement de base et l'authentification Web.

Components Used

Les informations de ce document sont basées sur un WLC de la gamme Cisco 5500 qui exécute le microprogramme version 8.0.100.0.

Remarque L'explication de configuration et d'authentification Web de ce document s'applique à tous les modèles WLC et à toute image Cisco Unified Wireless Network version 8.0.100.0 et ultérieure.

Informations générales

Dans de nombreuses configurations de réseau client, il existe des paramètres qui permettent à un groupe d'utilisateurs de l'entreprise ou à des invités d'accéder à certaines adresses IP sans devoir passer par la sécurité de l'authentification Web. Ces utilisateurs reçoivent une adresse IP et se connectent directement au VPN sans avoir besoin d'informations d'identification pour être authentifiés via la sécurité de l'authentification Web. Ce SSID peut être utilisé par un autre groupe d'utilisateurs qui passent également par une authentification Web normale et complète afin d'accéder à Internet. Ce scénario est possible via une liste de contrôle d'accès pré-authentification configurée sur le SSID qui permet aux utilisateurs de se connecter aux adresses IP VPN avant de passer l'authentification. Le problème pour ces utilisateurs VPN est qu'ils choisissent l'adresse IP mais ne terminent jamais l'authentification Web complète. Par conséquent, le temporisateur d'expiration de l'authentification Web est activé et le client est déauthentifié :

*apfReceiveTask: Sep 03 12:01:55.694: 00:24:d7:cd:ac:30 172.30.0.118 WEBAUTH_REQD (8)
 Web-Auth Policy timeout

*apfReceiveTask: Sep 03 12:01:55.694: 00:24:d7:cd:ac:30 172.30.0.118 WEBAUTH_REQD (8)
 Pem timed out, Try to delete client in 10 secs.

La valeur de ce délai d'attente est de 5 minutes et a une valeur fixe dans les versions de WLC antérieures à 7.6. Ce court délai d'attente rend le réseau sans fil presque inutilisable pour ce type d'utilisateurs. La possibilité de modifier cette valeur est ajoutée dans la version 8.0 du WLC, qui permet aux utilisateurs d'accéder au VPN via le trafic autorisé par les listes de contrôle d'accès pré-authentification.

Configuration

Note: Utilisez l'Outil de recherche de commande (clients inscrits seulement) pour obtenir plus d'informations sur les commandes utilisées dans cette section.

Complétez ces étapes afin d'augmenter le délai d'attente d'authentification Web sur le WLC :

1. Créez une liste de contrôle d’accès qui autorise le trafic vers l’adresse IP VPN.

   

2. Appliquez la liste de contrôle d'accès en tant que liste de contrôle d'accès de préautorisation sur la configuration du réseau local sans fil (WLAN) sous Sécurité de couche 3.

   

3. Connectez-vous via l'interface de ligne de commande et entrez la commande config wlan security web-auth timeout afin d'augmenter la valeur du délai d'attente d'authentification Web :

   (WLC)>config wlan security web-auth timeout ?
   <value> Configures Web authentication Timeout (300-14400 seconds).
   
   (WLC)>config wlan security web-auth timeout 3600 
          
          

Vérification

Référez-vous à cette section pour vous assurer du bon fonctionnement de votre configuration.

La valeur de délai d'expiration de session d'authentification Web pour votre WLAN apparaît comme le montre cet exemple de sortie :

(WLC)>show wlan 10
Web Based Authentication...................... Enabled
 Web Authentication Timeout.................... 3600

Dépannage

Cette section fournit des informations que vous pouvez utiliser pour dépanner votre configuration.

Entrez la commande debug client <mac-address> afin de voir le compteur d'authentification Web commencer pour l'utilisateur qui se connecte au VPN sans authentification.