منع انصهار شبكة RADIUS اللاسلكية واسعة النطاق

المقدمة

يقدم هذا المستند نظرة عامة مختصرة على إرشادات التكوين الأساسية لعمليات النشر اللاسلكية واسعة النطاق مثل وحدة التحكم في الشبكة المحلية اللاسلكية (WLC) AireOS مع RADIUS باستخدام محرك خدمات الهوية (ISE) من Cisco أو خادم التحكم في الوصول الآمن (ACS) من Cisco. يشير هذا المستند إلى مستندات أخرى ذات تفاصيل فنية أكبر.

الأعراض التي لوحظت

عادة ما تواجه بيئات الجامعات حالة انهيار المصادقة والتفويض والمحاسبة (AAA) هذه. يصف هذا القسم الأعراض/السجلات المعتادة التي تتم مشاهدتها في هذه البيئة.

1. أداء جهاز RADIUS للمراقبة

يواجه عميل Dotx تأخيرا كبيرا مع العديد من المحاولات للمصادقة.

أستخدم الأمر show radius auth statistics (GUI: مراقبة > إحصائيات > خوادم RADIUS) للبحث عن المشاكل. ابحث بشكل خاص عن أعداد كبيرة من عمليات إعادة المحاولة والرفض وحالات انتهاء المهلة. فيما يلي مثال:

Server Index..................................... 2
 Server Address................................... 192.168.88.1
 Msg Round Trip Time.............................. 3 (msec)
 First Requests................................... 1256
 Retry Requests................................... 5688
 Accept Responses................................. 22
 Reject Responses................................. 1
 Challenge Responses.............................. 96
 Malformed Msgs................................... 0
 Bad Authenticator Msgs........................... 0
 Pending Requests................................. 1
 Timeout Requests................................. 6824
 Unknowntype Msgs................................. 0
 Other Drops...................................... 0

بحث عن:

• إعادة المحاولة العالية: نسبة الطلب الأولى (يجب ألا تكون أكثر من 10٪)
• الرفض العالي: قبول النسبة
• مهلة عالية: نسبة الطلب الأولى (يجب ألا تكون أكثر من 5٪)

إذا كانت هناك مشاكل، فتحقق مما يلي:

• عملاء تم تكوينهم بشكل غير صحيح
• مشكلات إمكانية الوصول إلى الشبكة بين عنصر التحكم في الشبكة المحلية اللاسلكية (WLC) وخادم RADIUS
• المشاكل بين خادم RADIUS وقاعدة بيانات النهاية الخلفية، إذا كانت قيد الاستخدام، مثل مع Active Directory (AD)

2. ترى WLC قائمة انتظار RADIUS ممتلئة على Msglogs

تتلقى وحدة التحكم في الشبكة المحلية اللاسلكية هذه الرسالة حول قائمة انتظار RADIUS:

Univ-WISM2-02: *aaa QueueReader: Dec 02 14:25:31.565: #AAA-3-3TXQUEUE_ADD_FAILED:
radius_db.c:889 Transmission queue full. Que name: Radius queue. Dropping 
sessionpackets.
host = x.x.x.x.

3. تصحيح الأخطاء AAA

يعرض تصحيح أخطاء AAA هذه الرسالة:

*aaaQueueReader: Dec 02 21 09:19:52.198: xx:xx:xx:xx:xx:xx Returning AAA Error
'Out of Memory' (-2) for mobile xx:xx:xx:xx:xx:xx

يرجع تصحيح أخطاء AAA مهلة خطأ AAA (-5) للأجهزة المحمولة. يتعذر الوصول إلى خادم AAA ويتبعه إلغاء تخويل العميل.

4. خادم RADIUS مشغول جدا ولا يستجيب

وفيما يلي التراكب الزمنية لنظام السجل:

0 Wed Aug 20 15:30:40 2014 RADIUS auth-server x.x.x.x:1812 available
 1 Wed Aug 20 15:30:40 2014 RADIUS auth-server x.x.x.x:1812 available
 2 Wed Aug 20 15:30:40 2014 RADIUS server x.x.x.x:1812 activated on WLAN 6
 3 Wed Aug 20 15:30:40 2014 RADIUS server x.x.x.x:1812 deactivated on WLAN 6
 4 Wed Aug 20 15:30:40 2014 RADIUS auth-server x.x.x.x:1812 unavailable
 5 Wed Aug 20 15:30:40 2014 RADIUS server x.x.x.x:1812 failed to respond to request
 (ID 22) for client 68:96:7b:0e:46:7f / user 'user1@univ1.edu'
 6 Wed Aug 20 15:29:57 2014 User Larry_Dull_231730 logged Out. Client MAC:84:a6:c8:
 87:13:9c, Client IP:198.21.137.22, AP MAC:c0:7b:bc:cf:af:40, AP Name:Dot1x-AP
 7 Wed Aug 20 15:28:42 2014 RADIUS server x.x.x.x:1812 failed to respond to request
 (ID 183) for client 48:d7:05:7d:93:a5 / user ' user2@univ2.edu '
 8 Wed Aug 20 15:28:42 2014 RADIUS auth-server x.x.x.x:1812 unavailable
 9 Wed Aug 20 15:28:42 2014 RADIUS server x.x.x.x:1812 failed to respond to request
 (ID 154) for client 40:0e:85:76:00:68 / user ' user1@univ1.edu '
 10 Wed Aug 20 15:28:41 2014 RADIUS auth-server x.x.x.x:1812 available
 11 Wed Aug 20 15:28:41 2014 RADIUS auth-server x.x.x.x:1812 unavailable
 12 Wed Aug 20 15:28:41 2014 RADIUS server x.x.x.x:1812 failed to respond to request
 (ID 99) for client 50:2e:5c:ea:e4:ba / user ' user3@univ3.edu '
 13 Wed Aug 20 15:28:38 2014 RADIUS auth-server x.x.x.x:1812 available
 14 Wed Aug 20 15:28:38 2014 RADIUS auth-server x.x.x.x:1812 unavailable
 15 Wed Aug 20 15:28:38 2014 RADIUS server x.x.x.x:1812 failed to respond to request
 (ID 30) for client b4:18:d1:60:6b:51 / user ' user1@univ1.edu '
 16 Wed Aug 20 15:28:38 2014 RADIUS auth-server x.x.x.x:1812 available
 17 Wed Aug 20 15:28:38 2014 RADIUS server x.x.x.x:1812 activated on WLAN 6
 18 Wed Aug 20 15:28:38 2014 RADIUS server x.x.x.x:1812 deactivated on WLAN 6
 19 Wed Aug 20 15:28:38 2014 RADIUS auth-server x.x.x.x:1812 unavailable

ضبط أفضل الممارسات

ضبط جانب WLC

• بروتوكول المصادقة المتوسع (EAP) - أجعل إستثناء عميل 802.1X يعمل.
  
  
  • تمكين إستثناء العملاء بشكل عام ل 802.1X.
    
  • قم بتعيين إستثناء العميل على شبكات 802.1X المحلية اللاسلكية (WLANs) إلى 120 ثانية على الأقل.
    
  • قم بتعيين وحدات توقيت EAP كما هو موضح في إستثناء عميل 802.1X على مقال AireOS WLC.
  
  
  
• اضبط فترات إعادة إرسال RADIUS على خمسة ثواني على الأقل.
  
  
• تعيين مهلة جلسة العمل إلى ثماني ساعات على الأقل.
  
  
• قم بتعطيل تجاوز الفشل الشديد، والذي لا يسمح لمطالب واحد لسوء التصرف أن يتسبب في فشل WLC بين خوادم RADIUS.
  
  
• قم بتكوين التجوال الآمن السريع لعملائك.
  
  
  • تأكد من أن عملاء Microsoft Windows EAP يستخدمون Wi-Fi Protected Access 2 (WPA2)/معيار التشفير المتقدم (AES) حتى يمكنهم إستخدام التخزين المؤقت للمفتاح الانتهازي (OKC).
    
    
  • إذا كنت تستطيع فصل عملاء Apple iOS عن شبكة WLAN الخاصة بهم، فيمكنك تمكين 802.11r على شبكة WLAN تلك.
    
    
  • قم بتمكين إدارة المفاتيح المركزية من Cisco (CCKM) لأي شبكة محلية لاسلكية (WLAN) تدعم هواتف 792x (ولكنها لا تقم بتمكين CCKM على أي معرف مجموعة خدمة (SSID) يدعم عملاء Microsoft Windows أو Android، لأنهم يميلون إلى وجود تطبيقات CCKM إشكالية).
    
    
  • قم بتمكين التخزين المؤقت للمفتاح اللاصق (SKC) لأي شبكة WLAN EAP تدعم نظام التشغيل Macintosh (في Mac OS) X و/أو عملاء Android.
    
    راجع التجوال عبر الشبكة المحلية اللاسلكية (WLAN) 802.11 والتجوال الآمن السريع على CUWN للحصول على مزيد من المعلومات.
    
    

    ملاحظة:  راقب إستخدام ذاكرة التخزين المؤقت للمفتاح الرئيسي غير الحكيم (PMK) الخاص بك في أوقات الذروة باستخدام الأمر show pmk-cache all. إذا وصلت إلى الحد الأقصى لحجم ذاكرة التخزين المؤقت ل PMK، أو اقتربت منها، فمن المحتمل أن تحتاج إلى تعطيل SKC.

    
    
  • إذا كنت تستخدم ISE مع التنميط، فعليك إستخدام تنميط DHCP/HTTP من جانب WLC. وهذا يؤدي إلى تضمين بيانات إنشاء الملفات في حزمة محاسبة RADIUS تتسم بسهولة موازنة الأحمال، مما يضمن وصول جميع بيانات نقطة النهاية إلى شبكة الخدمات العامة (PSN) نفسها.
    
    
  • تأكد من إيقاف تشغيل المحاسبة المؤقتة ما لم تكن بحاجة إليها لخدمات الفوترة المستندة إلى البايت. وإلا فإن المحاسبة المؤقتة لا تضيف سوى حمل عمل دون أية فائدة إضافية.
    
    
  • تشغيل أفضل رمز WLC.
    
    

  موالفة RADIUS من جانب الخادم

  • تقليل معدل التسجيل. تكون معظم خوادم RADIUS قابلة للتكوين حول التسجيل الذي ستخزنه. في حالة إستخدام ACS أو ISE، يمكن للمسؤول إختيار الفئات التي يتم تسجيلها إلى قاعدة بيانات المراقبة. وقد يكون أحد الأمثلة إذا تم إرسال بيانات المحاسبة من خادم RADIUS وعرضها باستخدام تطبيق آخر مثل syslog، فلا تقم بعد ذلك بكتابة البيانات إلى قاعدة البيانات محليا. على ISE، تأكد من أن كبح السجل يبقى ممكنا في كل الأوقات. إذا كان يجب تعطيله لأغراض أستكشاف الأخطاء وإصلاحها، فانتقل بعد ذلك إلى الإدارة > النظام > التسجيل > مرشحات التجميع واستخدم خيار الكبت الالتفافي لتعطيل الكبت على نقطة نهاية فردية أو مستخدم واحد. في الإصدار 1.3 من ISE والإصدارات الأحدث، يمكن النقر بزر الماوس الأيمن فوق نقطة نهاية في سجل المصادقة المباشرة لتعطيل القمع أيضا.
    
    
  • تأكد من أن زمن الوصول إلى المصادقة الخلفية منخفض (AD، بروتوكول الوصول إلى الدليل خفيف الوزن (LDAP)، Rivest، Shamir، Adleman (RSA)). إذا كنت تستخدم ACS أو ISE، يمكن تشغيل تقارير ملخص المصادقة من أجل مراقبة زمن الوصول لكل خادم على أساس كل خادم بالنسبة لكل من متوسط زمن الوصول وزمن الوصول الأقصى. وكلما طال وقت معالجة طلب ما، قل معدل المصادقة الذي يمكن ل ACS أو ISE معالجته. 95٪ من الوقت، يرجع زمن الوصول العالي إلى إستجابة بطيئة من قاعدة بيانات خلفية.
    
    
  • تعطيل عمليات إعادة محاولة كلمة مرور بروتوكول المصادقة المتوسع المحمي (PEAP). لا تدعم معظم الأجهزة عمليات إعادة محاولة إدخال كلمة المرور داخل نفق PEAP، لذلك تتسبب إعادة المحاولة من خادم EAP في إيقاف إستجابة الجهاز وإعادة تشغيله بجلسة عمل EAP جديدة. وهذا يتسبب في حالات انتهاء المهلة الزمنية ل EAP بدلا من الرفض، مما يعني أن إستثناءات العميل لن يتم الوصول إليها.
    
    
  • تعطيل بروتوكولات EAP غير المستخدمة. وهذا ليس أمرا بالغ الأهمية ولكنه يضيف بعض الكفاءة إلى تبادل EAP ويضمن أن العميل لا يستطيع إستخدام أسلوب EAP ضعيف أو غير مقصود.
    
    
  • تمكين إستئناف جلسة PEAP وإعادة الاتصال السريع.
    
    
  • عدم إرسال مصادقة MAC إلى الإعلان إذا لم تكن هناك حاجة لذلك. هذا تكوين خاطئ شائع يزيد الحمل على وحدات التحكم بالمجال التي يقوم ISE بالمصادقة ضدها. وغالبا ما تؤدي هذه إلى عمليات بحث سلبية تستهلك الوقت وتزيد من متوسط زمن الوصول.
    
    
  • أستخدم مستشعر الجهاز حيثما ينطبق ذلك (ISE محدد).