أستكشاف أخطاء تكامل وحدة التحكم اللاسلكية Umbrella (9800) وإصلاحها

المقدمة

يوضح هذا المستند كيفية أستكشاف أخطاء دمج وحدة التحكم اللاسلكية من السلسلة 9800 وإصلاحها باستخدام Umbrella.

نظرة عامة

هذه المقالة هي إستمرار للمحولات Cisco Catalyst 9200 و Catalyst 9300 switches وتعمل كدليل لاستكشاف أخطاء التسجيل وإصلاحها بالإضافة إلى سير العمل بين 9800 و Cisco Umbrella.

سير عمل Cisco Umbrella العام

4415377983508

1. تسجيل وحدة التحكم اللاسلكية مع خادم Cisco Umbrella هو عملية تتم مرة واحدة ويحدث عبر نفق HTTPS آمن.

2. الحصول على رمز API المميز لتسجيل الجهاز (9800) من لوحة معلومات Cisco Umbrella.

3. تطبيق الرمز المميز على 9800. يقوم هذا بتسجيل الجهاز إلى حساب Cisco Umbrella. بعد ذلك، قم بإنشاء ملف تعريف Cisco Umbrella/s على 9800. يتم دفع ملفات التخصيص تلقائيا إلى Cisco Umbrella حيث يتم فرض الهويات والنهج على أساس كل هوية.

4. تتدفق حركة مرور بيانات العميل اللاسلكي إلى خادم Cisco Umbrella.

5. يرسل عميل لاسلكي طلب DNS إلى 9800.

6. يقوم 9800 بالتطفل على حزمة DNS ووضع علامات عليه باستخدام ملف تعريف Cisco Umbrella. التوصيف هو هوية الحزمة الموجودة أيضا على Cisco Umbrella.

7. تتم إعادة توجيه حزمة EDNS هذه إلى خادم Cisco Umbrella Cloud لحل الاسم.

8. ثم تقوم Cisco Umbrella بفرض سياسة عليها تعتمد على الهوية وتطبق قواعد التصفية المستندة إلى الفئة لضمان التوافق التنظيمي.

9. بناء على القواعد، يقوم إما بإرجاع صفحة محظورة أو عنوان IP تم حله إلى العميل لطلب DNS الذي تم الاستعلام عنه.

توجد الخطوات التفصيلية لتكوين 9800 في دليل تكوين الأمان.

التسجيل واستيراد الشهادة

1. الحصول على رمز API المميز من لوحة معلومات Umbrella: Admin > مفاتيح API > (إنشاء) أجهزة الشبكة القديمة.
2. قم باستيراد شهادة CA إلى 9800 عن طريق CLI باستخدام أي من الطريقتين التاليتين:
   إستيراد من URL
   أصدرت الأمر وسمحت ل 9800 أن يجلب الشنطة: 

   crypto pki trustpool import url http://www.cisco.com/security/pki/trs/ios.p7b

   الاستيراد مباشرة في الوحدة الطرفية
   نسخ ولصق شهادة CA (راجع المرفق) باستخدام الأمر: 

   crypto pki trustpool import terminal

3. دخلت ال API رمز إلى 9800 CLI يستعمل الأمر: 

   parameter-map type umbrella global 
   token XXXXXXXXXXXXXXXXXXXXXXXXXXXX

التحقق من تكوين Cisco Umbrella

Device# show umbrella config

Umbrella Configuration
========================
Token: 5XXXXXXABXXXXXFXXXXXXXXXDXXXXXXXXXXXABXX
API-KEY: NONE
OrganizationID: xxxxxxx
Local Domain Regex parameter-map name: dns_bypass
DNSCrypt:Enabled 
Public-key: B735:1140:206F:225D:3E2B:D822:D7FD:691E:A1C3:3CC8:D666:8D0C:BE04:BFAB:CA43:FB79
UDP Timeout: 5 seconds
Resolver address:
1. 208.67.220.220 
2. 208.67.222.222 
3. 2620:119:53::53 
4. 2620:119:35::35

ewc1#show umbrella deviceid detailed 

Device registration details 
1.global
     Tag : global 
     Device-id : 010a2ed75e520fda 
     Description : Device Id recieved successfully 
     WAN interface : None 

ewc1#show umbrella dnscrypt
   DNSCrypt: Enabled
   Public-key: B735:1140:206F:225D:3E2B:D822:D7FD:691E:A1C3:3CC8:D666:8D0C:BE04:BFAB:CA43:FB79
   Certificate Update Status:
        Last Successfull Attempt: 10:40:58 UTC Apr 8 2020
   Certificate Details:
       Certificate Magic     : DNSC
       Major Version         : 0x0001
       Minor Version         : 0x0000
       Query Magic           : 0x7163373861576F6F
       Serial Number         : 1574811744
       Start  Time           : 1574811744 (23:42:24 UTC Nov 26 2019)
       End Time              : 1606347744 (23:42:24 UTC Nov 25 2020)
       Server Public Key     : 88B4:E44B:35E9:64B4:90BD:DABA:E825:A24B:0415:A08B:E19D:7DDB:87A3:3CD7:7EDF:8E2F

       Client Secret Key Hash: E323:7E82:C0C2:1F0C:55AE:1473:862D:6D26:9607:B41D:3F51:F587:9482:8709:401E:2EC4
       Client Public key     : 8D52:4D73:CF69:4890:F130:2845:4CBE:A9CA:87AF:4CDA:FE17:C626:2F8A:1780:CD18:C855

       NM key Hash           : FAAD:4C16:6DA3:D6F3:655D:FF98:36B7:73E7:9D1C:21F5:A0E3:A083:17D7:C308:522E:722D

تصحيح الأخطاء والتسجيل

لتعطيل تشفير DNSCrypt، أستخدم هذا الأمر: 

parameter-map type umbrella global > no dnscrypt

قد ترى هذا الخطأ: "يتعذر إستيراد الشهادة باستخدام URL":

crypto pki trustpool import urlhttp://www.cisco.com/security/pki/trs/ios.p7b

% Error: failed to open file.

% No certificates imported fromhttp://www.cisco.com/security/pki/trs/ios.p7b.

الحل: 

نسخ ولصق شهادة المرجع المصدق المنسقة بتنسيق PEM يدويا من هذا الموقع.

بعد ذلك، قم بتمكين سجلات تصحيح أخطاء تسجيل الأجهزة:

debug umbrella dnscrypt
debug umbrella device-registration
debug umbrella config
term monitor

ملاحظة: يمكن أن تكون هناك مثيلات يمكن فيها تعيين معرف الجهاز نفسه لعدد 9800. وهذا يحدث في حالة وحدة التحكم اللاسلكية المضمنة (WC) طراز 9800 الافتراضي.

تحتوي جميع مراكز التحكم في الشبكة المحلية اللاسلكية (WC) الظاهرية على عنوان MAC نفسه الذي تم ترميزه ترميزا ثابتا: "CC46D6CCCCCC".

نموذج تصحيح الأخطاء من eWC A:

Nov 2 19:21:18.903 Central: UMBRELLA-DEV-REG:Device registration process start: umbrella parameter-map global (tag: global): TCP socket created, connect state will be verified before sending out request
Nov 2 19:21:18.915 Central: UMBRELLA-DEV-REG:Socket 0 event handler: event type = WRITE EVENT
Nov 2 19:21:18.915 Central: UMBRELLA-DEV-REG:Send POST request invoked
Nov 2 19:21:18.915 Central: UMBRELLA-DEV-REG:Get registration request info invoked
Nov 2 19:21:18.915 Central: UMBRELLA-DEV-REG:Get registration request info: Found new queued request for umbrella parameter-map global (tag: global), status :REQ QUEUED 
Nov 2 19:21:18.915 Central: UMBRELLA-DEV-REG:Send POST request for umbrella parameter-map global (tag: global): status = 1
Nov 2 19:21:18.915 Central: UMBRELLA-DEV-REG:Send POST request for umbrella parameter-map global (tag: global): request license mode = TOKEN
Nov 2 19:21:18.915 Central: UMBRELLA-DEV-REG:Send POST request for umbrella parameter-map global (tag: global): POST size = 238, JSON size = 174,actual size = 412 , uri_size = 18
Nov 2 19:21:18.915 Central: UMBRELLA-DEV-REG:
Nov 2 19:21:18.915 Central: Dev reg json buffer :{"model":"B77A8731C7F4D6E92C07D7DCB68961470000A553","macAddress":"CC46D6CCCCCC","label":"global","tag":"global","serialNumber":"9KZNYR9FRRQ"} and bytes: 141
Nov 2 19:21:18.915 Central: UMBRELLA-DEV-REG:
Nov 2 19:21:18.915 Central: umbrella parameter-map name :global macAddr :cc46.d6cc.cccc 
Nov 2 19:21:18.915 Central: UMBRELLA-DEV-REG:Build POST request invoked: post size = 238, size = 141
Nov 2 19:21:18.915 Central: UMBRELLA-DEV-REG:Build POST request: hostname = api.opendns.com
Nov 2 19:21:18.915 Central: UMBRELLA-DEV-REG:Build POST request: URI = /v3/networkdevices
Nov 2 19:21:18.916 Central: UMBRELLA-DEV-REG:Build POST request done
Nov 2 19:21:18.916 Central: UMBRELLA-DEV-REG:Send POST request for umbrella parameter-map global (tag: global): request buffer length = 368
Nov 2 19:21:18.916 Central: UMBRELLA-DEV-REG:Send POST request for umbrella parameter-map global (tag: global): Built request = POST /v3/networkdevices HTTP/1.1
Host: api.opendns.com
Authorization:OpenDNS,api_key="B0E16D19C32D42EC996B635X4X9005B9",token="B77A8731C7F4D6E92C07D7DCB68961470000A553"
Content-Type: application/json
Content-Length: 141

{"model":"B77A7561C7F4ABC92C07D7DCB68961470000A553","macAddress":"CC46D6CCCCCC","label":"global","tag":"global","serialNumber":"9KZNYR9FRRQ"}
----------------------------------------<OUTPUT OMITTED>----------------------------------------
Nov 2 19:21:23.553 Central: UMBRELLA-DEV-REG:Registration response: msg_part = 3, bytes = 256, resp: content-type: application/json
x-envoy-upstream-service-time: 1462
x-xss-protection: 1; mode=block
x-ingress-point: mil1

{"deviceId":"010a7859d0d39393","deviceKey":"B77A8731C7F4D6E92C07D7DCB68961470000A553-CC46D6CCCCCC-global","label":"global","seria
Nov 2 19:21:23.553 Central: UMBRELLA-DEV-REG:Registration response: msg_part = 4, bytes = 1
78, resp: lNumber":"9KZNYR9FPPQ","phishing":1,"createdAt":1635877282,"originId":xxxxxxxx,"
apiKey":"b0e16d19c32d42ec996b635x4x9005b9","deviceTypeId":1,"vendorId":51,"organizationId":xxxxx}

نموذج تصحيح الأخطاء من eWC B:

Nov 2 19:21:41.909 Central: UMBRELLA-DEV-REG:Device registration process start: umbrella parameter-map global (tag: global): TCP socket created, connect state will be verified before sending out request
Nov 2 19:21:41.919 Central: UMBRELLA-DEV-REG:Socket 0 event handler: event type = WRITE EVENT
Nov 2 19:21:41.919 Central: UMBRELLA-DEV-REG:Send POST request invoked
Nov 2 19:21:41.919 Central: UMBRELLA-DEV-REG:Get registration request info invoked
Nov 2 19:21:41.919 Central: UMBRELLA-DEV-REG:Get registration request info: Found new queued request for umbrella parameter-map global (tag: global), status :REQ QUEUED 
Nov 2 19:21:41.919 Central: UMBRELLA-DEV-REG:Send POST request for umbrella parameter-map global (tag: global): status = 1
Nov 2 19:21:41.919 Central: UMBRELLA-DEV-REG:Send POST request for umbrella parameter-map global (tag: global): request license mode = TOKEN
Nov 2 19:21:41.919 Central: UMBRELLA-DEV-REG:Send POST request for umbrella parameter-map global (tag: global): POST size = 238, JSON size = 174,actual size = 412 , uri_size = 18
Nov 2 19:21:41.919 Central: UMBRELLA-DEV-REG:
Nov 2 19:21:41.919 Central: Dev reg json buffer :{"model":"B77A7561C7F4ABC92C07D7DCB68961470000A553","macAddress":"CC46D6CCCCCC","label":"global","tag":"global","serialNumber":"9BRCYQ9KDRU"} and bytes: 141
Nov 2 19:21:41.919 Central: UMBRELLA-DEV-REG:
Nov 2 19:21:41.919 Central: umbrella parameter-map name :global macAddr :cc46.d6cc.cccc 
Nov 2 19:21:41.919 Central: UMBRELLA-DEV-REG:Build POST request invoked: post size = 238, size = 141
Nov 2 19:21:41.919 Central: UMBRELLA-DEV-REG:Build POST request: hostname = api.opendns.com
Nov 2 19:21:41.919 Central: UMBRELLA-DEV-REG:Build POST request: URI = /v3/networkdevices
Nov 2 19:21:41.919 Central: UMBRELLA-DEV-REG:Build POST request done
Nov 2 19:21:41.919 Central: UMBRELLA-DEV-REG:Send POST request for umbrella parameter-map global (tag: global): request buffer length = 368
Nov 2 19:21:41.919 Central: UMBRELLA-DEV-REG:Send POST request for umbrella parameter-map global (tag: global): Built request = POST /v3/networkdevices HTTP/1.1
Host: api.opendns.com
Authorization:OpenDNS,api_key="B0E16D19C32D42EC996B635X4X9005B9",token="B77A8731C7F4D6E92C07D7DCB68961470000A553"
Content-Type: application/json
Content-Length: 141

{"model":"B77A8731C7F4D6E92C07D7DCB68961470000A553","macAddress":"CC46D6CCCCCC","label":"global","tag":"global","serialNumber":"9BRCYQ8RDRU"}
----------------------------------------<OUTPUT OMITTED>----------------------------------------
Nov 2 19:21:41.919 Central: UMBRELLA-DEV-REG:Registration response: msg_part = 3, bytes = 256, resp: content-type: application/json
x-envoy-upstream-service-time: 1462
x-xss-protection: 1; mode=block
x-ingress-point: mil1

{"deviceId":"010a7859d0d39393","deviceKey":"B77A8731C7F4D6E92C07D7DCB68961470000A553-CC46D6CCCCCC-global","label":"global","serialNumber":"9BRCYQ8RDRU"}
Nov 2 19:21:41.919 Central: UMBRELLA-DEV-REG:Registration response: msg_part = 4, bytes = 1
78, resp: lNumber":"9KZNYR9FPPQ","phishing":1,"createdAt":1635877282,"originId":573529511,"
apiKey":"b0e16d19c32d42ec996b635x4x9005b9","deviceTypeId":1,"vendorId":51,"organizationId":xxxxx}

هنا، يحتوي طلب POST على رمز API المميز (الرمز المميز للجهاز القديم API من لوحة معلومات Cisco Umbrella)، ومفتاح API، ورقم الطراز (مثل رمز API المميز)، وعنوان MAC لوحدة التحكم في الشبكة المحلية اللاسلكية (WLC)، واسم خريطة المعلمة (العلامة)، والرقم التسلسلي للجهاز.

يتم إنشاء معرف الجهاز باستخدام رمز API المميز ومفتاح API والعلامة وعنوان MAC. ونظرا لأن كلا من معرفات الأجهزة هذه 9800 لها نفس القيم المذكورة أعلاه، يتم تعيين نفس معرف الجهاز لكليهما.

هذا سلوك متوقع. لحل هذه المشكلة، يجب إنشاء خريطة معلمة مخصصة على واحد أو كلا من معرفات 9800؛

parameter-map type umbrella <custom name>

بإنشاء خريطة معلمة مخصصة "cpm"، نقوم بإنشاء علامة تمييز جديدة ينتج عنها معرف جهاز مختلف (DeviceId).

{"deviceId":"010a30f6275c92ce","deviceKey":"0DCDA24CDD6A92D714FE357539FDCAE80051BA0A-DD46D6BBCCCC-global","label":"global","serialNumber":"F222424Q4M8","phishing":1,"createdAt":1641192490,"originId":563829932,"apiKey":"b0e16d15c32d4e8c996b635afa9005b9","deviceTypeId":1,"vendorId":51,"organizationId":******}

{"deviceId":"010a341b037ea6b9","deviceKey":"0DCDA24CDD6A92D714FE357539FDCAE80051BA0A-DD46D6BBCCCC-cpm","label":"global","serialNumber":"F222424Q4M8","phishing":1,"createdAt":1641825561,"originId":563829932,"apiKey":"b0e16d15c32d4e8c996b635afa9005b9","deviceTypeId":1,"vendorId":51,"organizationId":******}