Configurar a autenticação da Web para convidados em APs autônomos

Introduction

Este documento descreve como configurar o acesso de convidado em access points (APs) autônomos com o uso da página da Web interna incorporada no próprio AP.

Prerequisites

Requirements

A Cisco recomenda que você tenha conhecimento destes tópicos antes de tentar esta configuração:

• Como configurar APs autônomos para operação básica
• Como configurar o servidor RADIUS local em APs autônomos
• Como a autenticação da Web como medida de segurança de Camada 3 funciona

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

• AIR-CAP3502I-E-K9 que executa a imagem do Cisco IOS^® 15.2(4)JA1
• Adaptador sem fio Intel Centrino Advanced-N 6200 AGN (Versão do driver 13.4.0.9)
• utilitário suplicante do Microsoft Windows 7

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Informações de Apoio

A autenticação da Web é um recurso de segurança de Camada 3 (L3) que permite que os APs autônomos bloqueiem o tráfego IP (exceto pacotes relacionados ao DHCP e ao Servidor de Nomes de Domínio (DNS)) até que o convidado forneça um nome de usuário e uma senha válidos no portal da Web para o qual o cliente é redirecionado quando um navegador é aberto.

Com a autenticação da Web, um nome de usuário e uma senha separados devem ser definidos para cada convidado. O convidado é autenticado com o nome de usuário e a senha pelo servidor RADIUS local ou por um servidor RADIUS externo.

Este recurso foi apresentado no Cisco IOS versão 15.2(4)JA1.  

Configuração de AP

Note: Este documento supõe que a Interface Virtual de Bridge (BVI) 1 no AP tem um endereço IP de 192.168.10.2 /24 e que o pool DHCP é definido internamente no AP para os endereços IP de 192.168.10.10 a 192.168.10.254 (IP os endereços 192.168.10.1 a 192.168.10.10 estão excluídos).

Conclua estes passos para configurar o AP para acesso de convidado:

1. Adicione um novo SSID (Service Set Identifier, Identificador do conjunto de serviços), nomeie-o como Convidado e configure-o para autenticação da Web:
   
   

   ap(config)#dot11 ssid Guest
   
   ap(config-ssid)#authentication open
   
   ap(config-ssid)#web-auth
   
   ap(config-ssid)#guest-mode
   
   ap(config-ssid)#exit

   
   
2. Crie uma regra de autenticação, na qual você deve especificar o protocolo de autenticação de proxy e nomeá-lo web_auth:
   
   

   ap(config)#ip admission name web_auth proxy http

   
   
3. Aplique o SSID (Guest) e a regra de autenticação (web_auth) à interface de rádio. Este exemplo usa rádio 802.11b/g:
   
   

   ap(config)#interface dot11radio 0 
   
   ap(config-if)#ssid Guest
   
   ap(config-if)#ip admission web_auth
   
   ap(confi-if)#no shut
   
   ap(config-if)#exit

   
   
4. Defina a lista de métodos que especifica onde as credenciais de usuário são autenticadas. Ligue o nome da lista de métodos à regra de autenticação web_auth e nomeie-a web_list:
   
   

   ap(config)#ip admission name web_auth method-list authentication web_list

   
   
5. Conclua estes passos para configurar a Autenticação, Autorização e Contabilidade (AAA) no AP e no servidor RADIUS local e vincule a lista de métodos ao servidor RADIUS local no AP:
   
   
   1. Ativar AAA:
      
      

      ap(config)#aaa new-model

      
      
   2. Configure o servidor RADIUS local:
      
      

      ap(config)#radius-server local
      
      ap(config-radsrv)#nas 192.168.10.2 key cisco
      
      ap(config-radsrv)#exit

      
      
   3. Crie as contas de convidado e especifique sua vida útil (em minutos). Crie uma conta de usuário com um nome de usuário e senha user1 e defina o valor de vida útil como 60 minutos:
      
      

      ap(config)#dot11 guest
      
      ap(config-guest-mode)#username  user1 lifetime 60 password user1
      
      ap(config-guest-mode)#exit
      
      ap(config)#

      
      Você pode criar outros usuários com o mesmo processo.
      
      

      Note: Você deve habilitar radius-server local para criar contas de convidado.

      
      
   4. Defina o AP como um servidor RADIUS:
      
      

      ap(config)#radius-server host 192.168.10.2 auth-port 1812
       acct-port 1813 key cisco

      
      
   5. Vincule a lista de autenticação da Web ao servidor local:
      
      

      ap(config)#aaa authentication login web_list group radius

Note: Você pode usar um servidor radius externo para hospedar as contas de usuário convidado. Para fazer isso, configure o comando radius-server host para apontar para o servidor externo em vez do endereço IP do AP. 

Configurar o cliente sem fio

Conclua estes passos para configurar o cliente sem fio:

1. Para configurar a rede sem fio no utilitário suplicante do Windows com o SSID chamado Guest, navegue até Rede e Internet > Gerenciar redes sem fio e clique em Adicionar.
   
   
2. Selecione Conectar manualmente a uma rede sem fio e insira as informações necessárias, como mostrado nesta imagem:
   
   
   
   
3. Clique em Next.  

Verificar

Após a conclusão da configuração, o cliente pode se conectar ao SSID normalmente e isso é visto no console do AP:

%DOT11-6-ASSOC: Interface Dot11Radio0, Station ap 0027.10e1.9880
 Associated KEY_MGMT[NONE]

ap#show dot11 ass

802.11 Client Stations on Dot11Radio0:

SSID [Guest] :

MAC Address    IP address   IPV6 address  Device    Name  Parent  State

0027.10e1.9880  0.0.0.0     ::           ccx-client  ap   self    Assoc

O cliente tem um endereço IP dinâmico de 192.168.10.11. No entanto, quando você tenta fazer ping no endereço IP do cliente, ele falha porque o cliente não está totalmente autenticado:

ap#PING 192.168.10.11

 Type escape sequence to abort.

 Sending 5, 100-byte ICMP Echos to 192.168.10.11, timeout is 2 seconds:

 .....

 Success rate is 0 percent (0/5)

Se o cliente abrir um navegador e tentar acessar http://1.2.3.4, por exemplo, o cliente será redirecionado para a página de login interno:

 

Note: Este teste é concluído com um endereço IP aleatório inserido diretamente (onde a URL inserida é 1.2.3.4) sem a necessidade de tradução de uma URL através do DNS, porque o DNS não foi usado no teste. Em cenários normais, o usuário entra no URL da página inicial e o tráfego DNS é permitido até que o cliente envie a mensagem HTTP GET para o endereço resolvido, que é interceptado pelo AP. O AP falsifica o endereço do site e redireciona o cliente para a página de login armazenada internamente.

Quando o cliente é redirecionado para a página de login, as credenciais do usuário são inseridas e verificadas no servidor RADIUS local, de acordo com a configuração do AP. Após a autenticação bem-sucedida, o tráfego que vem e vai para o cliente é totalmente permitido.

Esta é a mensagem enviada ao usuário após a autenticação bem-sucedida:

Após a autenticação bem-sucedida, você pode visualizar as informações de IP do cliente:

ap#show dot11 ass

802.11 Client Stations on Dot11Radio0:

SSID [Guest] :

MAC Address     IP address    IPV6 address  Device    Name  Parent  State

0027.10e1.9880  192.168.10.11     ::       ccx-client  ap    self   Assoc

Os pings ao cliente após a conclusão da autenticação bem-sucedida devem funcionar corretamente:

ap#ping 192.168.10.11

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 192.168.10.11, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 1/3/6 ms

Troubleshoot

Atualmente, não existem informações disponíveis específicas sobre Troubleshooting para esta configuração.

Note: O roaming entre APs durante a autenticação da Web não proporciona uma experiência tranquila, pois os clientes devem fazer login em cada novo AP ao qual se conectam.  

Personalização

Semelhante ao IOS em roteadores ou switches, você pode personalizar sua página com um arquivo personalizado; no entanto, não é possível redirecionar para uma página da web externa.

Use estes comandos para personalizar os arquivos do portal:

• arquivo de página de login http de proxy de admissão de IP
• arquivo de página de proxy de admissão de IP expirado
• arquivo da página de sucesso http de proxy de admissão de IP
• arquivo de página de falha http de proxy de admissão de IP