المحتويات

مسألة

بعد تمكين المصادقة باستخدام إعادة التوجيه من محرك خدمات الهوية من Cisco (ISE) على محول Cisco Catalyst 9000 Series Switch، تكون نقاط النهاية السلكية بشكل متقطع غير قادرة على الحصول على عناوين IP من خلال بروتوكول التكوين الديناميكي للمضيف (DHCP). لا يتم ملاحظة أي مشاكل على المحولات غير Catalyst 9000 Series Switches باستخدام التكوينات نفسها.

البيئة

- عائلة المنتج: Catalyst 9000 Series

- أجهزة كمبيوتر Windows التي تواجه حالات فشل الحصول على DHCP

- لا ينكر إعادة توجيه قائمة التحكم في الوصول (ACL) على المحول Catalyst 9000 Series Switch حركة مرور DHCP بشكل صريح

قرار

1. أضف عبارات الرفض التالية إلى قائمة التحكم في الوصول لإعادة التوجيه لمعالجة حركة مرور DHCP بشكل صريح:

رفض UDP أي تمهيد eq أي

رفض بروتوكول UDP لأي كمبيوتر مكتبي من نوع eq

رفض UDP أي كمبيوتر مكتبي من نوع Eq

2. بعد تعديل قائمة التحكم في الوصول (ACL)، قم بإعادة مصادقة جهاز فاشل سابقا للتحقق من أنه يمكنه الآن إسترداد عنوان IP بنجاح من خلال DHCP.

السبب

تعالج المحولات Catalyst 9000 series switches الحزم بشكل مختلف عن نماذج المحولات القديمة عند تمكين المصادقة. أمر معالجة الحزمة على محولات Catalyst 9000 series هو كما يلي:

1. يتم إرسال الحزم التي تطابق قاعدة "إدخال التحكم في الوصول المسموح به" (ACE) إلى وحدة المعالجة المركزية لإعادة التوجيه إلى خادم AAA.

2. تتم إعادة توجيه الحزم التي تطابق قاعدة ACE للرفض من خلال المحول.

3. تتم معالجة الحزم التي لا تطابق قواعد ACE ولا تسمح بها أو ترفضها بواسطة قائمة التحكم في الوصول القابلة للتنزيل (DACL) التالية، وإذا لم توجد قائمة التحكم في الوصول إلى النقل (DACL)، فإن الحزم تصل إلى قائمة التحكم في الوصول (ACL) الرفض الضمني ويتم إسقاطها.

تختلف طريقة المعالجة هذه عن طرز المحولات الأقدم التي تستخدم قوائم التحكم في الوصول (ACL) الافتراضية التي تسمح بحركة مرور DHCP بشكل افتراضي ويتم معالجتها قبل قوائم التحكم في الوصول إلى النقل. لا تستخدم نماذج Catalyst 9000 series هذه قوائم التحكم في الوصول الافتراضية وبدلا من ذلك تعتمد بالكامل على قائمة التحكم في الوصول (ACL) المعاد توجيهها وقائمة التحكم في الوصول (DACL) الموجودة في جلسة العمل. قائمة التحكم في الوصول (ACL) الافتراضية لجلسات الوضع المغلق على محولات Catalyst السابقة هي التالية:

3750#sh ip access-lists auth-default-ACL

قائمة الوصول إلى IP الموسعة Auth-Default-ACL

10 السماح udp أي نطاق bootps 65347 أي نطاق bootpc 65348 (22 تطابق)

20 السماح udp أي نطاق تمهيد 65347 (12 تطابق)

30 رفض ip any

المحتوى ذي الصلة

- قوائم التحكم في الوصول (ACL) الافتراضية لمصادقة 802.1X

- الدعم الفني والتنزيلات من Cisco