Contents

Introduction

Prerequisites

Requirements

Components Used

Configure

配置

1. 添加在ISE和enable (event) DTL协议的网络设备。

2. 配置DTL端口和空闲超时。

3. 从ISE信任存储导出DTL RADIUS认证发布者。

4. 配置信任点和进口证明书对证明人。

5. 交换机的出口许可证。

6. 导入对ISE信任存储的交换机认证。

7. 配置在交换机的RADIUS。

8. 配置由于ISE的策略。

Verify

Troubleshoot

1. ISE不收到任何请求。

2. DTL握手发生故障。

Introduction

本文描述配置和排除故障在数据包传输层安全协议(DTL)的RADIUS。DTL为RADIUS提供加密服务，在安全隧道被传输。

Prerequisites

Requirements

Cisco 建议您了解以下主题：

- 思科身份服务引擎(ISE)

- RADIUS协议

- Cisco IOS

Components Used

本文档中的信息基于以下软件和硬件版本：

- 思科身份服务引擎2.2

- 与IOS 16.6.1的Catalyst 3650

The information in this document was created from the devices in a specific lab environment.All of the devices used in this document started with a cleared (default) configuration.If your network is live, make sure that you understand the potential impact of any command.

Configure

配置

1. 添加在ISE和enable (event) DTL协议的网络设备。

连接到Administration >网络资源>网络设备。点击添加并且提供至少必选字段：

- 名字-设备的友好名称被添加。

- Ip address ip_address，证明人使用与ISE联系。配置设备的范围是可能的。为了执行那，请指定适当的掩码(小于32)。

- 设备配置文件-设备的一般设置。它准许指定什么协议被处理，授权(CoA)设置和RADIUS属性配置的被详述的更改。欲了解更详细的信息，请连接对Administration >网络资源>网络设备配置文件。

- 网络设备组-设置设备类型， IPSec功能和设备位置。此设置不是必须的。如果不选择自定义值，默认设置假设。

Select复选框RADIUS认证设置和在Select复选框DTL下需要的RADIUS DTL设置。这通过DTL安全隧道仅允许与证明人的RADIUS通信。注意共有的秘密文本框变灰。在RADIUS DTL的情况下此值是固定的，并且同一个字符串在证明人边被配置。

2. 配置DTL端口和空闲超时。

您能配置使用DTL通信和空闲超时在管理>System >设置>协议> RADIUS> RADIUS DTL的端口。

注意DTL端口是与RADIUS端口不同。默认情况下， RADIUS使用对1645， 1646和1812， 1813。默认情况下DTL为认证、授权、记帐和CoA使用端口2083。空闲超时指定ISE和证明人多久维护隧道，不用通过它的任何实际通信。此超时用秒钟被测量并且范围自60到600秒。

3. 从ISE信任存储导出DTL RADIUS认证发布者。

为了设立在ISE和证明人之间的隧道，两个实体需要交换和验证证书。证明人必须委托ISE RADIUS DTL认证，因此意味着其发布者必须是存在证明人的信任存储。如镜像所显示，为了导出ISE认证的签署人，请连接对管理>System >证书， ：

找出与分配的RADIUS DTL角色的认证并且检查发出由字段此认证。这是必须从ISE信任存储被导出认证的普通的名字。为了执行那，请连接对管理>System > CertificatesTrusted证书。Select复选框在适当的认证旁边和请点击导出。

4. 配置信任点和进口证明书对证明人。

为了配置信任点，请登陆到交换机并且执行命令：

configure terminal

crypto pki trustpoint isetp

enrollment terminal

revocation-check none

exit

与crypto命令pki的进口证明书验证isetp。当提示是接受认证，类型。

Switch3650(config)#crypto pki authenticate isetp

Enter the base 64 encoded CA certificate.

End with a blank line or the word "quit" on a line by itself

-----BEGIN CERTIFICATE-----

MIIDWTCCAkGgAwIBAgIQL9s4RrhtWLpJjBYB5v0dtTANBgkqhkiG9w0BAQUFADA/

MRMwEQYKCZImiZPyLGQBGRYDY29tMRcwFQYKCZImiZPyLGQBGRYHZXhhbXBsZTEP

MA0GA1UEAxMGTEFCIENBMB4XDTE1MDIxMjA3MzgxM1oXDTI1MDIxMjA3NDgxMlow

PzETMBEGCgmSJomT8ixkARkWA2NvbTEXMBUGCgmSJomT8ixkARkWB2V4YW1wbGUx

DzANBgNVBAMTBkxBQiBDQTCCASIwDQYJKoZIhvcNAQEBBQADggEPADCCAQoCggEB

AMDSfJwvbJLHHJf4vDTalGjKrDI73c/y269IMZV48xpCruNhglcU8CW/T9Ysj6xk

Oogtx2vpG4XJt7KebDZ/ac1Ymjg7sPBPcnyDZCd2a1b39XakD2puE8lVi4RVkjBH

pss2fTWeuor9dzgb/kWb0YqIsgw1sRKQ2Veh1IXmuhX+wDqELHPIzgXn/DOBF0qN

vWlevrAlmBTxC04t1aPwyRk6b6ptjMeaIv2nqy8tOrldMVYKsPDj8aOrFEQ2d/wg

HDvd6C6LKRBpmAvtrqyDtinEl/CRaEFH7dZpvUSJBNuh7st3JIG8gVFstweoMmTE

zxUONQw8QrZmXDGTKgqvisECAwEAAaNRME8wCwYDVR0PBAQDAgGGMA8GA1UdEwEB

/wQFMAMBAf8wHQYDVR0OBBYEFO0TzYQ4kQ3fN6x6JzCit3/l0qoHMBAGCSsGAQQB

gjcVAQQDAgEAMA0GCSqGSIb3DQEBBQUAA4IBAQAWbWGBeqE2u6IGdKEPhv+t/rVi

xhn7KrEyWxLkWaLsbU2ixsfTeJDCM8pxQItsj6B0Ey6A05c3YNcvW1iNpupGgc7v

9lMt4/TB6aRLVLijBPB9/p2/3SJadCe/YBaOn/vpmfBPPhxUQVPiBM9fy/Al+zsh

t66bcO3WcD8ZaKaER0oT8Pt/4GHZA0Unx+UxpcNuRRz4COArINXE0ULRfBxpIkkF

pWNjH0rlV55edOga0/r60Cg1/J9VAHh3qK2/3zXJE53N+A0h9whpG4LYgIFLB9ep

ZDim7KGsf+P3zk7SsKioGB4kqidHnm34XjlkWFnrCMQH4HC1oEymakV3Kq24

-----END CERTIFICATE-----

Certificate has the following attributes:

Fingerprint MD5: B33EAD49 87F18924 590616B9 C8880D9D

Fingerprint SHA1: FD729A3B B533726F F8450358 A2F7EB27 EC8A1178

% Do you accept this certificate? [yes/no]: yes

Trustpoint CA certificate accepted.

% Certificate successfully imported

5. 交换机的出口许可证。

选择和认证将用于在交换机的DTL信任点并且导出它：

Switch3650(config)#crypto pki export TP-self-signed-721943660 pem terminal

% Self-signed CA certificate:

-----BEGIN CERTIFICATE-----

MIICKTCCAZKgAwIBAgIBATANBgkqhkiG9w0BAQUFADAwMS4wLAYDVQQDEyVJT1Mt

U2VsZi1TaWduZWQtQ2VydGlmaWNhdGUtNzIxOTQzNjYwMB4XDTE2MDQyNzExNDYw

NloXDTIwMDEwMTAwMDAwMFowMDEuMCwGA1UEAxMlSU9TLVNlbGYtU2lnbmVkLUNl

cnRpZmljYXRlLTcyMTk0MzY2MDCBnzANBgkqhkiG9w0BAQEFAAOBjQAwgYkCgYEA

xRybTGD526rPYuD2puMJu8ANcDqQnwunIERgvIWoLwBovuAu7WcRmzw1IDTDryOH

PXt1n5GcQSAOgn+9QdvKl1Z43ZkRWK5E7EGmjM/aL1287mg4/NlrWr4KMSwDQBJI

noJ52CABXUoApuiiJ8Ya4gOYeP0TmsZtxP1N+s+wqjMCAwEAAaNTMFEwDwYDVR0T

AQH/BAUwAwEB/zAfBgNVHSMEGDAWgBSEOKlAPAHBPedwichXL+qUM+1riTAdBgNV

HQ4EFgQUhDipQDwBwT3ncInIVy/qlDPta4kwDQYJKoZIhvcNAQEFBQADgYEAlBNN

wKSS8yBuOH0/jUV7sy3Y9/oV7Z9bW8WFV9QiTQ1lZelvWMTbewozwX2LJvxobGcj

Pi+n99RIH8dBhWwoYl9GTN2LVI22GIPX12jNLqps+Mq/u2qxVm0964Sajs5OlKjQ

69XFfCVot1NA6z2eEP/69oL9x0uaJDZa+6ileh0=

-----END CERTIFICATE-----

为了列出被配置的所有trustpoints，请执行show crypto命令pki trustpoints。一旦认证被打印控制，请复制它到文件并且保存在您的PC。

6. 导入交换机认证ISE信任存储。

在ISE，请连接对Administration >证书>信任证书并且点击导入。

现在请点击访问并且选择交换机的认证。提供(可选地)友好名称并且为在ISE内的认证选择复选框信任并且为客户端验证和Syslog委托。如镜像所显示，然后请点击提交， ：

7. 配置在交换机的RADIUS。

添加在交换机的RADIUS配置。为了配置交换机与在DTL的ISE沟通，请使用命令：

radius server ISE22

address ipv4 10.48.23.86

key radius/dtls

dtls port 2083

dtls trustpoint client TP-self-signed-721943660

dtls trustpoint server isetp

其余AAA特定配置取决于您的需求和设计。对待此配置为例：

aaa group server radius ISE

server name ISE22

radius-server attribute 6 on-for-login-auth

radius-server attribute 8 include-in-access-req

radius-server attribute 25 access-request include

aaa authentication dot1x default group ISE

aaa authorization network default group ISE

8. 配置由于ISE的策略。

配置由于ISE的认证和授权策略。此步骤取决于您的设计和需求。

Verify

为了验证用户能验证，使用测试aaa命令在交换机：

Switch3650#test aaa group ISE alice Krakow123 new-code

User successfully authenticated

USER ATTRIBUTES

username             0   "alice"

Switch3650#

您应该看到消息用户成功验证。连接对ISE操作> RADIUS> LiveLog和适当的日志的挑选详细资料(请点击放大镜) ：

在报告的右边，有步骤列表。检查在列表的第一步是RADIUS信息包被加密。

另外，您能开始在ISE的信息包获取和再次执行aaa命令的测试。为了开始捕获，请连接对操作>排除故障>诊断的Tools>一般Tools> TCP转储。选择用于认证的策略服务节点并且点击开始：

当认证完成时，请点击终止并且下载。当您打开信息包获取时，您应该能发现用DTL加密的数据流：

信息包#813 - #822是DTL握手的一部分。当握手成功协商时，传递应用数据。注意信息包的编号可能变化并且取决于例如使用的认证方法(PAP、EAP-PEAP、EAP-TLS等等)。每个信息包内容被加密：

当所有数据传输时，隧道没有立即被切断。 IdleTimeout在ISE配置了确定隧道多久可以设立，不用通过它的通信。如果计时器到期，并且新的访问请求必须被发送到ISE， DTL握手执行，并且隧道被重建。

Troubleshoot

1. ISE不收到任何请求。

注意默认DTL端口是2083年。默认RADIUS端口是1645,1646和1812,1813。保证防火墙不阻塞UDP/2083数据流。

2. DTL握手发生故障。

在关于ISE的详细资料报表您可以发现DTL握手发生了故障：

可能的来源是交换机或ISE没有在握手期间被发送的信任认证。验证身份验证配置。验证适当的认证分配到在ISE的RADIUS DTL角色和到在交换机的trustpoints。