Tecnología inalámbrica / Movilidad : LAN inalámbrica (WLAN)

Ejemplo de configuración para restringir el acceso a WLAN en función del SSID con WLC y Cisco Secure ACS

20 Mayo 2008 - Traducción manual
Otras Versiones: PDFpdf | Traducción Automática (31 Julio 2013) | Inglés (23 Octubre 2006) | Comentarios

Contenido

Introducción
Requisitos previos
      Requerimientos
      Componentes utilizados
      Convenciones
Antecedentes
Configuración de la red
Configuración
      Configuración de WLC
      Configuración de Cisco Secure ACS
Configuración del cliente inalámbrico y verificación
Resolución de problemas
      Comandos para resolución de problemas
Discusiones relacionadas de la comunidad de soporte de Cisco

Introducción

Este documento proporciona un ejemplo de configuración para restringir el acceso por usuario a una WLAN en función del identificador de conjunto de servicios (SSID).

Requisitos previos

Requerimientos

Asegúrese de que cumple estos requerimientos antes de intentar esta configuración:

  • Tener conocimiento de cómo configurar el controlador para redes LAN inalámbricas (WLC) y el punto de acceso ligero (LAP) para el funcionamiento básico

  • Tener conocimiento básico sobre cómo configurar Cisco Secure Access Control Server (ACS)

  • Tener conocimiento del protocolo de punto de acceso ligero (LWAPP) y de los métodos de seguridad inalámbricos

Componentes utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware:

  • WLC de la serie 2000 de Cisco que ejecuta el firmware 4.0

  • LAP de la serie 1000 de Cisco

  • Servidor Cisco Secure ACS versión 3.2

  • Adaptador de cliente inalámbrico 802.11a/b/g de Cisco que ejecuta firmware 2.6

  • Cisco Aironet Desktop Utility (ADU) versión 2.6

La información que contiene este documento se creó a partir de los dispositivos en un entorno de laboratorio específico. Todos los dispositivos que se utilizan en este documento se iniciaron con una configuración sin definir (predeterminada). Si la red está funcionando, asegúrese de haber comprendido el impacto que puede tener cualquier comando.

Convenciones

Consulte Convenciones sobre consejos técnicos de Cisco para obtener más información sobre las convenciones del documento.

Antecedentes

Con el uso del acceso a WLAN en función del SSID, es posible autenticar a los usuarios según el SSID que utilicen para conectar con la WLAN. El servidor Cisco Secure ACS se utiliza para autenticar usuarios. La autenticación se produce en dos etapas en Cisco Secure ACS:

  1. Autenticación EAP

  2. Autenticación de SSID según las restricciones de acceso a la red (NAR) en Cisco Secure ACS

Si la autenticación según EAP y SSID son correctas, el usuario puede acceder a la WLAN, en caso contrario, se anula la asociación del usuario.

Cisco Secure ACS utiliza la característica NAR para restringir el acceso del usuario en función del SSID. NAR es una definición, que se realiza en Cisco Secure ACS, de condiciones adicionales que se deben cumplir para que un usuario pueda acceder a la red. Cisco Secure ACS aplica estas condiciones con la información de los atributos que se envía desde los clientes AAA. Aunque hay varias maneras de configurar NAR, todas consisten en establecer coincidencias con la información de atributos enviada por el cliente AAA. Por lo tanto, debe comprender el formato y el contenido de los atributos que envían los clientes AAA si desea utilizar correctamente definiciones NAR.

Cuando se configura una definición NAR, se puede elegir que el filtro funcione positiva o negativamente. Es decir, en la definición NAR se especifica si se permite o deniega el acceso a la red, en función de una comparación entre la información enviada desde los clientes AAA y la información almacenada en NAR. Sin embargo, si una NAR no encuentra información suficiente para funcionar, se establece predeterminadamente la denegación de acceso.

Puede definir y aplicar una definición NAR para un usuario o un grupo de usuarios específico. Consulte Informe oficial de las restricciones de acceso a red (en inglés) para obtener más información.

Cisco Secure ACS admite dos tipos de filtros NAR:

  1. Filtros basados en IP: los filtros de NAR basados en IP limitan el acceso en función de las direcciones IP del cliente usuario final y del cliente AAA. Consulte Acerca de los filtros NAR basados en IP (en inglés) para obtener más información sobre este tipo de filtro NAR.

  2. Filtros no basados en IP: los filtros que no están basados en IP limitan el acceso en función de una comparación de cadena simple de un valor enviado desde el cliente AAA. El valor puede ser el número de ID de la línea que llama (CLI), el número del servicio de identificación de número marcado (DNIS), la dirección MAC, o bien otro valor que se origine del cliente. Para que este tipo de NAR funcione, el valor de la descripción de NAR debe coincidir exactamente con el que se envía desde el cliente, independientemente del formato que se utilice. Por ejemplo: (217) 555-4534 no coincide con 217-555-4534. Consulte Acerca de los filtros NAR no basados en IP (en inglés) para obtener más información sobre este tipo de filtro NAR.

En este documento se utilizan los filtros no basados en IP para realizar la autenticación basada en SSID. Un filtro NAR no basado en IP (es decir, un filtro NAR basado en DNIS/CLI) es una lista de llamadas/punto de ubicaciones de acceso permitidos o denegados, que se pueden utilizar en la restricción de un cliente AAA cuando no se tiene establecida una conexión basada en IP. La función de NAR no basada en IP generalmente utiliza el número de CLI y el de DNIS. Existen excepciones en el uso de los campos de DNIS/CLI. Puede introducir el nombre de SSID en el campo DNIS y realizar una autenticación en función del SSID. Esto se produce porque WLC envía al servidor RADIUS el nombre de SSID en el atributo DNIS. De esta manera, al generar NAR DNIS en el usuario o grupo, puede crear restricciones de SSID por usuario.

Si utiliza RADIUS, los campos de NAR que se muestran a continuación utilizan estos valores:

  • AAA client (Cliente AAA): dirección IP de NAS (atributo 4) o, si ésta no existe, se utiliza el identificador de NAS (RADIUS atributo 32).

  • Port (Puerto): puerto de NAS (atributo 5) o, si éste no existe, se utiliza la ID del puerto de NAS (atributo 87).

  • CLI: se utiliza la ID de la estación que llama (atributo 31).

  • DNIS: se utiliza la ID de la estación que llama (atributo 30).

Consulte Restricciones de acceso a red (en inglés) para obtener más información sobre el uso de NAR.

Como WLC envía el nombre de SSID en el atributo DNIS, se pueden crear restricciones de SSID por usuario. En este caso, los campos de NAR tienen estos valores:

  • AAA client (Cliente AAA): dirección IP de WLC

  • Port (puerto): *

  • CLI: *

  • DNIS: *nombre de ssid

El resto de este documento proporciona un ejemplo de configuración con el procedimiento correspondiente.

Configuración de la red

En esta configuración de ejemplo, WLC se registra al LAP. Se utilizan dos WLAN. Una WLAN para los usuarios del departamento de administración (Admin) y otra WLAN para los usuarios del departamento de ventas (Sales). El cliente A1 inalámbrico (usuario de Admin) y S1 (usuario de Sales) se conectan a la red inalámbrica. Es necesario configurar el WLC y el servidor RADIUS para que el usuario A1 de Admin pueda acceder solamente a la WLAN Admin y tenga acceso restringido a la WLAN Sales, mientras que el usuario S1 de Ventas pueda acceder a la WLAN Sales y tenga acceso restringido a la WLAN Admin. Todos los usuarios utilizan la autentificación LEPA como método de autentificación de capa 2.

Nota: En este documento se asume que WLC está registrado en el controlador. Si no está familiarizado con WLC y no sabe cómo configurar su funcionamiento básico, consulte Registro de AP ligero (LAP) en un controlador para redes LAN inalámbricas (WLC) (en inglés).

wlan-ssid-wlc-acs-network.gif

Configuración

Para establecer los dispositivos para esta configuración, es necesario llevar a cabo los siguientes pasos:

  1. Configurar el WLC para las dos WLAN y el servidor RADIUS.

  2. Configurar Cisco Secure ACS.

  3. Configurar el cliente inalámbrico y verificarlo.

Configuración de WLC

Siga los pasos a continuación para configurar el WLC para esta configuración:

  1. WLC se debe configurar para reenviar las credenciales de usuario a servidor RADIUS externo. A continuación, el servidor RADIUS externo (Cisco Secure ACS en este caso) valida las credenciales del usuario y permite el acceso a los clientes inalámbricos. Complete estos pasos:

    1. Seleccione Security > RADIUS Authentication (Seguridad > Autenticación de RADIUS) en la interfaz gráfica de usuario del controlador para mostrar la página del servidor de autenticación RADIUS.

      wlan-ssid-wlc-acs-1.gif

    2. Haga clic en New (Nuevo) para definir los parámetros del servidor RADIUS.

      Entre estos parámetros se incluyen la dirección IP del servidor RADIUS, la contraseña, el número de puerto y el estado del servidor. Las casillas de verificación Network User (Usuario de red) y Management (Administración) determinan si la autenticación basada en RADIUS se aplica a usuarios de red y de la administración. En este ejemplo se utiliza Cisco Secure ACS como servidor RADIUS con la dirección IP 172.16.1.60.

      wlan-ssid-wlc-acs-2.gif

    3. Haga clic en Apply (Aplicar).

  2. Configure una WLAN para el departamento de administración con el SSID Admin y la otra WLAN para el departamento de ventas con el SSID Sales. Para ello, complete los siguientes pasos:

    1. Haga clic en WLANs en la interfaz gráfica de usuario del controlador para crear una WLAN. Aparece la ventana de WLAN. Esta ventana enumera las WLAN configuradas en el controlador.

    2. Haga clic en New (Nueva) para configurar una WLAN nueva.

      En este ejemplo se crea una WLAN denominada Admin para el departamento de administración y el valor del campo WLAN ID (ID de la WLAN) es 1. Haga clic en Apply (Aplicar).

      wlan-ssid-wlc-acs-3.gif

    3. En la ventana WLANs > Edit (WLANs > Editar), defina los parámetros específicos de la WLAN:

      1. En los menús desplegables de Layer 2 Security (Seguridad de capa 2), seleccione 802.1x. De forma predeterminada, la opción de Layer 2 Security (Seguridad de capa 2) es 802.1x. De esta forma se activa la autenticación 802.1x para la WLAN.

      2. En General Policies (Políticas generales), active la casilla Allow AAA override (Permitir anulación de AAA). Cuando la casilla Allow AAA Override (Permitir anulación de AAA) está activada y un cliente tiene parámetros de autenticación del controlador para redes WLAN y de AAA incompatibles, la autenticación del cliente se realiza mediante el servidor AAA.

      3. Seleccione el servidor RADIUS apropiado del menú desplegable que aparece en RADIUS Servers (Servidores RADIUS). El resto de parámetros se pueden modificar en función de los requerimientos de la red WLAN. Haga clic en Apply (Aplicar).

        wlan-ssid-wlc-acs-4.gif

    4. De igual manera, para crear una WLAN para el departamento de ventas, repita los pasos b y c. A continuación, se muestran las capturas de pantallas.

      wlan-ssid-wlc-acs-5.gif

      wlan-ssid-wlc-acs-6.gif

Configuración de Cisco Secure ACS

En el servidor Cisco Secure ACS, debe:

  1. Configurar el WLC como un cliente AAA.

  2. Crear la base de datos del usuario y definir NAR para la autenticación basada en SSID.

  3. Activar la autenticación EAP.

Siga estos pasos en Cisco Secure ACS:

  1. Para definir el controlador como un cliente AAA en el servidor ACS, haga clic en Network Configuration (Configuración de red) desde la interfaz gráfica de usuario de ACS. En AAA Clients (Clientes AAA), haga clic en Add Entry (Agregar entrada).

    wlan-ssid-wlc-acs-7.gif

  2. Cuando aparezca la página Network Configuration (Configuración de red), defina el nombre del WLC, la dirección IP, la contraseña y el método de autenticación (RADIUS Cisco Airespace).

    wlan-ssid-wlc-acs-8.gif

  3. Haga clic en User Setup (Configuración de usuario) desde la interfaz gráfica de usuario de ACS, introduzca el nombre de usuario y haga clic en Add/Edit (Agregar/editar). En este ejemplo el usuario es A1.

  4. Cuando aparezca la página User Setup (Configuración de usuario), defina todos los parámetros específicos del usuario. En este ejemplo, el nombre de usuario, la contraseña y la información del usuario complementaria se configuran porque estos parámetros son necesarios para la autenticación LEAP.

    wlan-ssid-wlc-acs-9.gif

  5. Desplácese hacia abajo en la página User Setup (Configuración de usuario), hasta que vea la sección Network Access Restrictions (Restricciones de acceso a la red). En la interfaz del usuario de la restricción de acceso DNIS/CLI, seleccione Permitted Calling/Point of Access Locations (Llamadas/punto de ubicaciones de acceso) y defina los siguientes parámetros:

    • AAA client (Cliente AAA): dirección IP de WLC (172.16.1.30, en el ejemplo)

    • Port (puerto): *

    • CLI: *

    • DNIS: *nombre de ssid

  6. El atributo DNIS define el SSID con el que el usuario puede acceder. El WLC envía el SSID en el atributo DNIS al servidor RADIUS.

    Si el usuario sólo tiene que acceder a la WLAN denominada Admin, introduzca *Admin para el campo DNIS. Esto garantiza que el usuario sólo tenga acceso a la WLAN denominada Admin. Haga clic en Enter (Introducir).

    Nota: El SSID debe estar siempre precedido por *. Es obligatorio.

    wlan-ssid-wlc-acs-10.gif

  7. Haga clic en Submit (Enviar).

  8. De igual manera, cree un usuario para el usuario del departamento de ventas. A continuación, se muestran las capturas de pantallas.

    wlan-ssid-wlc-acs-11.gif

    wlan-ssid-wlc-acs-20.gif

  9. Repita el mismo proceso para agregar más usuarios a la base de datos.

    Nota: De forma predeterminada, todos los usuarios se incluyen en el grupo predeterminado. Si desea asignar usuarios específicos a diferentes grupos, consulte la sección User Group Management (Administración de grupos de usuarios) en User Guide for Cisco Secure ACS for Windows Server 3.2 (Guía del usuario de Cisco Secure ACS para Windows Server).

    Nota: Si no ve la sección Network Access Restrictions (Restricciones de acceso a la red) en la ventana User Setup (Configuración de usuario), puede deberse a que no esté activada. Para activar la sección Network Access Restrictions (Restricciones de acceso a la red) para los usuarios, seleccione Interfaces > Advanced Options (Interfaces > Opciones avanzadas) de la interfaz gráfica de usuario de ACS, User-Level Network Access Restrictions (Restricciones de acceso a red para usuarios) y haga clic en Submit (Enviar). Así se activa NAR y aparece la ventana User Setup (Configuración de usuario).

    wlan-ssid-wlc-acs-12.gif

    wlan-ssid-wlc-acs-10.gif

  10. Para activar la autenticación EAP, haga clic en System Configuration (Configuración del sistema) y en Global Authentication Setup (Configuración de autenticación global) para asegurarse de que el servidor esté configurado para realizar el método de autenticación EAP.

    En los parámetros de configuración de EAP, seleccione el método EAP apropiado. En este ejemplo, se utiliza la autenticación EAP. Haga clic en Submit (Enviar) cuando haya terminado.

    wlan-ssid-wlc-acs-13.gif

Configuración del cliente inalámbrico y verificación

Utilice esta sección para confirmar que la configuración funciona correctamente. Intente asociar un cliente inalámbrico a LAP con la autenticación LEAP, para verificar que la configuración funciona según lo esperado.

Nota: En este documento se considera que el perfil del cliente está configurado para la autenticación LEAP. Consulte Uso de autenticación EAP (en inglés) para obtener más información sobre cómo configurar el adaptador de cliente inalámbrico 802.11 a/b/g para la autenticación LEAP.

Nota: En la ADU puede ver que ha configurado dos perfiles de clientes. Uno para los usuarios del departamento de administración, con SSID Admin, y otro para los usuarios del departamento de ventas, con SSID Sales. Los dos perfiles están configurados para la autenticación LEAP.

wlan-ssid-wlc-acs-14.gif

Cuando se activa el perfil para el usuario inalámbrico del departamento de administración, se pide al usuario que proporcione el nombre de usuario y la contraseña para la autenticación LEAP. Aquí tiene un ejemplo:

wlan-ssid-wlc-acs-15.gif

LAP y, a continuación, WLC transmiten las credenciales del usuario al servidor externo RADIUS (Cisco Secure ACS) para validar las credenciales. WLC transmite las credenciales, entre las que se incluye el atributo DNIS (nombre de SSID) para que el servidor RADIUS lo valide.

El servidor RADIUS verifica las credenciales del usuario, comparando los datos con los de la base de datos de usuarios (y con las NAR), y permite el acceso al cliente inalámbrico siempre que las credenciales del usuario sean válidas.

A partir de la autenticación correcta de RADIUS, el cliente inalámbrico se asocia a LAP.

wlan-ssid-wlc-acs-16.gif

De la misma manera, cuando un usuario del departamento de ventas activa el perfil Sales, el servidor RADIUS autentica al usuario en función del nombre de usuario y la contraseña de LEAP y del SSID.

wlan-ssid-wlc-acs-17.gif

El informe Passed Authentications (Autenticaciones aprobadas) del servidor ACS muestra que el cliente ha pasado la autenticación de RADIUS (autenticación EAP y SSID). Aquí tiene un ejemplo:

wlan-ssid-wlc-acs-18.gif

Ahora, si el usuario Sales intenta acceder al SSID de Admin, el servidor RADIUS deniega el acceso del usuario a la WLAN. Aquí tiene un ejemplo:

wlan-ssid-wlc-acs-19.gif

De esta manera, se puede restringir el acceso de los usuarios en función del SSID. En un entorno empresarial, se puede agrupar a todos los usuarios de un departamento en un solo grupo y el acceso a la WLAN se puede permitir en función del SSID que utilicen, como se ha explicado anteriormente en el documento.

Resolución de problemas

Comandos para resolución de problemas

La herramienta Output Interpreter (Intérprete de resultados) (OIT) (sólo para clientes registrados) admite determinados comandos show. Utilice la OIT para ver un análisis del resultado del comando show.

Nota: Consulte Información importante sobre comandos de depuración (en inglés) antes de utilizar los comandos debug:

  • debug dot1x aaa enable: activa la depuración de las interacciones de 802.1x AAA.

  • debug dot1x packet enable: activa la depuración de todos los paquetes dot1x.

  • debug aaa all enable: configura la depuración de todos los mensajes AAA.

También puede utilizar el informe de autenticaciones aprobadas y el informe de autenticaciones fallidas del servidor Cisco Secure ACS para resolver los problemas de configuración. Estos informes se encuentran en la ventana Reports and Activity (Informes y actividad) en la interfaz gráfica de usuario de ACS.


Discusiones relacionadas de la comunidad de soporte de Cisco

La Comunidad de Soporte de Cisco es un foro donde usted puede preguntar y responder, ofrecer sugerencias y colaborar con colegas.


Document ID: 71811