المحتويات

المقدمة

المتطلبات الأساسية

المتطلبات

المكونات المستخدمة

معلومات أساسية

خلفية فنية

الأسئلة المتكررة

التكوين

قم بإنشاء شبكة WLAN التي تعتمد على خادم LDAP لمصادقة المستخدمين من خلال معيار 802.1x

الرسم التخطيطي للشبكة

إنشاء شبكة WLAN التي تعتمد على خادم LDAP لمصادقة المستخدمين من خلال بوابة ويب داخلية خاصة بواجهة مستخدم WLC

الرسم التخطيطي للشبكة

إستخدام أداة LDP لتكوين LDAP واستكشاف أخطائه وإصلاحها

التحقق من الصحة

استكشاف الأخطاء وإصلاحها

معلومات ذات صلة

المقدمة

يصف هذا وثيقة الإجراء أن يشكل AireOS WLC in order to صادقت زبون مع LDAP نادل بما أن المستعمل قاعدة معطيات.

المتطلبات الأساسية

المتطلبات

توصي Cisco بمعرفة الموضوعات التالية:

- خوادم Microsoft Windows

- خدمة Active Directory

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج التالية:

- برنامج Cisco WLC، الإصدار 8.2.110.0

- نظام التشغيل Microsoft Windows Server 2012 R2

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

معلومات أساسية

خلفية فنية

- LDAP هو بروتوكول يستخدم للوصول إلى خوادم الدليل.

- خوادم الدليل هي قواعد بيانات هرمية تركز على الكائنات.

- يتم تنظيم الكائنات في حاويات مثل الوحدات التنظيمية (OU) أو المجموعات أو حاويات Microsoft الافتراضية ك CN=Users.

- الجزء الأصعب من هذا الإعداد هو تكوين معلمات خادم LDAP بشكل صحيح على عنصر التحكم في الشبكة المحلية اللاسلكية (WLC).

أحلت ل كثير معلومة تفصيلي حول هذا مفهوم، التقديم قسم من كيف أن يشكل لاسلكي lan جهاز تحكم (WLC) لخفيف وزن دليل منفذ بروتوكول (LDAP) صحة.

الأسئلة المتكررة

- ما اسم المستخدم الذي يجب إستخدامه للربط بخادم LDAP؟

هناك طريقتان للربط مقابل خادم LDAP، مجهول أو مصدق (راجع لفهم الفرق بين الطريقتين).

يحتاج اسم مستخدم الربط هذا إلى أن يكون لديه امتيازات المسؤول حتى يتمكن من الاستعلام عن أسماء المستخدمين/كلمات المرور الأخرى.

- في حالة مصادقته: هل اسم مستخدم الربط داخل نفس الحاوية أكبر من جميع المستخدمين؟

لا: أستخدم المسار بأكمله. على سبيل المثال:

cn=administrator،cn=domain admin،cn=users،dc=labm،dc=cisco،dc=com

نعم: أستخدم اسم المستخدم فقط. على سبيل المثال:

مسؤول

- ماذا لو كان هناك مستخدمين في حاويات مختلفة؟ هل يجب أن يكون جميع مستخدمي LDAP اللاسلكية المعنيين في نفس الحاوية؟

لا، يمكن تحديد DN أساسي يتضمن جميع الحاويات المطلوبة.

- ما هي السمات التي يجب أن تبحث عنها وحدة التحكم في الشبكة المحلية اللاسلكية؟

يطابق عنصر التحكم في الشبكة المحلية اللاسلكية (WLC) سمة المستخدم ونوع الكائن المحدد.

ملاحظة: SAMAccountName حساس لحالة الأحرف ولكن الشخص ليس كذلك. وبالتالي، فإن sAMAccountName=Ricardo وsAMAccountName=Ricardo هما نفس الشيء ويعملان بينما samaccountName=Ricardo وsamaccountName=Ricardo لا يعملان.

- ما هي طرق بروتوكول المصادقة المتوسع (EAP) التي يمكن إستخدامها؟

EAP-FAST و PEAP-GTC و EAP-TLS فقط. تعمل الملفات الافتراضية لنظام التشغيل Android و iOS و MacOS باستخدام بروتوكول المصادقة المتوسع المحمي (PEAP).

بالنسبة لنظام التشغيل Windows، يجب إستخدام مدير الوصول إلى الشبكة (NAM) ل AnyConnect أو طالب Windows الافتراضي مع Cisco:PEAP على المحولات اللاسلكية المدعومة كما هو موضح في الصورة.

ملاحظة: تتضمن إضافات Cisco EAP ل Windows إصدار من طبقة مأخذ التوصيل الآمنة المفتوحة (OpenSSL 0.9.8k) يتأثر بمعرف تصحيح الأخطاء من Cisco CSCva09670، ولا تخطط Cisco لإصدار أي إصدارات أخرى من إضافات EAP ل Windows، وتوصي بأن يستخدم العملاء بدلا من ذلك AnyConnect Secure Mobility Client.

- لماذا يتعذر على عنصر التحكم في الشبكة المحلية اللاسلكية (WLC) العثور على مستخدمين؟

لا يمكن مصادقة المستخدمين داخل مجموعة. يجب أن تكون داخل حاوية افتراضية (CN) أو وحدة تنظيمية (OU) كما هو موضح في الصورة.

التكوين

هناك سيناريوهات مختلفة حيث يمكن إستخدام خادم LDAP، إما بمصادقة 802.1x أو بمصادقة الويب.

بالنسبة لهذا الإجراء، يجب مصادقة المستخدمين الموجودين داخل OU=SofiaLabOU فقط.

لمعرفة كيفية إستخدام أداة بروتوكول توزيع التسمية (LDP)، قم بتكوين LDAP واستكشاف أخطائه وإصلاحها، ارجع إلى دليل تكوين WLC LDAP.

قم بإنشاء شبكة WLAN التي تعتمد على خادم LDAP لمصادقة المستخدمين من خلال معيار 802.1x

الرسم التخطيطي للشبكة

في هذا السيناريو، تستخدم شبكة WLAN LDAP-dot1x خادم LDAP لمصادقة المستخدمين باستخدام 802.1x.

الخطوة 1. قم بإنشاء مستخدم 1 في عضو خادم LDAP في SofiaLabOU و SofiaLabGroup.

الخطوة 2. قم بإنشاء توصيف EAP في عنصر التحكم في الشبكة المحلية اللاسلكية (WLC) باستخدام أسلوب EAP المطلوب (إستخدام PEAP).

الخطوة 3. ربط عنصر التحكم في الشبكة المحلية اللاسلكية (WLC) بخادم LDAP.

تلميح: إذا لم يكن اسم مستخدم الربط في DN قاعدة المستخدم، يجب كتابة المسار بأكمله إلى مستخدم Admin كما هو موضح في الصورة. وإلا، يمكنك ببساطة إدخال المسؤول.

الخطوة 4. قم بتعيين أمر المصادقة المراد تعيينه على المستخدمين الداخليين + LDAP أو LDAP فقط.

الخطوة 5. قم بإنشاء LDAP-dot1x WLAN.

الخطوة 6. اضبط أسلوب تأمين L2 على WPA2 + 802.1x واضبط تأمين L3 على لاشيء.

الخطوة 7. قم بتمكين مصادقة EAP المحلية وتأكد من تعطيل خيارات خوادم المصادقة وخوادم المحاسبة وتمكين LDAP.

كل الإعدادات الأخرى يمكن أن تترك عند الافتراضيات.

ملاحظات:

أستخدم أداة LDP لتأكيد معلمات التكوين.

لا يمكن أن تكون قاعدة البحث مجموعة (مثل SofiaLabGroup).

PEAP-GTC أو Cisco:PEAP يجب إستخدامه بدلا من Microsoft:PEAP في المتلقي إذا كان جهاز Windows. Microsoft:يعمل PEAP بشكل افتراضي مع MacOS/iOS/Android.

إنشاء شبكة WLAN التي تعتمد على خادم LDAP لمصادقة المستخدمين من خلال بوابة ويب داخلية خاصة بواجهة مستخدم WLC

الرسم التخطيطي للشبكة

في هذا السيناريو، يستخدم WLAN LDAP-Web خادم LDAP لمصادقة المستخدمين مع مدخل ويب داخلي WLC.

تأكد من الخطوات 1. من خلال الخطوات 4. تم إتخاذها من المثال السابق. من هناك، يتم تعيين تكوين شبكة WLAN بشكل مختلف.

الخطوة 1. قم بإنشاء مستخدم 1 في عضو خادم LDAP في OU SofiaLabOU ومجموعة SofiaLabGroup.

الخطوة 2. قم بإنشاء توصيف EAP في عنصر التحكم في الشبكة المحلية اللاسلكية (WLC) باستخدام أسلوب EAP المطلوب (إستخدام PEAP).

الخطوة 3. ربط عنصر التحكم في الشبكة المحلية اللاسلكية بخادم LDAP.

الخطوة 4. تعيين أمر المصادقة المراد تعيينه على المستخدمين الداخليين + LDAP.

الخطوة 5. قم بإنشاء شبكة LDAP-Web WLAN كما هو موضح في الصور.

الخطوة 6. ضبط تأمين L2 على بلا تأمين و L3 على سياسة الويب - المصادقةكما هو موضح في الصور.

الخطوة 7.  قم بتعيين ترتيب أولوية المصادقة لمصادقة ويب لاستخدام LDAP وتأكد من تعطيل خيارات خوادم المصادقة وخوادم المحاسبة.

كل الإعدادات الأخرى يمكن أن تترك عند الافتراضيات.

إستخدام أداة LDP لتكوين LDAP واستكشاف أخطائه وإصلاحها

الخطوة 1. افتح أداة LDP إما في خادم LDAP أو في مضيف مع اتصال (يجب السماح بمنفذ TCP 389 إلى الخادم).

الخطوة 2. انتقل إلى اتصال > ربط، سجل الدخول باستخدام مستخدم مسؤول وحدد زر ربط باستخدام بيانات الاعتماد.

الخطوة 3. انتقل إلى عرض > شجرة وحدد موافق في DN الأساسي.

الخطوة 4. قم بتوسيع الشجرة لعرض البنية والبحث عن DN لقاعدة البحث. اعتبر أنه يمكن أن يكون أي نوع حاوية ما عدا المجموعات. يمكن أن يكون المجال بأكمله، أو OU محدد أو CN مثل CN=Users.

الخطوة 5. قم بتوسيع SofiaLabOU لمعرفة المستخدمين الموجودين بداخله. هناك User1 الذي تم إنشاؤه من قبل.

الخطوة 6. كل شيء مطلوب لتكوين LDAP.

الخطوة 7. لا يمكن إستخدام مجموعات مثل SofiaLabGroup كشبكة DN للبحث. قم بتوسيع المجموعة وابحث عن المستخدمين بداخلها، حيث يجب أن يكون User1 الذي تم إنشاؤه مسبقاكما هو موضح.

User1 كان هناك ولكن LDP لم يتمكن من العثور عليه. وهذا يعني أن عنصر التحكم في الشبكة المحلية اللاسلكية (WLC) غير قادر على القيام بذلك أيضا ولهذا السبب لا يتم دعم المجموعات كقاعدة بحث DN.

التحقق من الصحة

استخدم هذا القسم لتأكيد عمل التكوين بشكل صحيح.

(cisco-controller) >show ldap summary

Idx Server Address Port Enabled Secure

--- ------------------------- ------ ------- ------

1 10.88.173.121 389 Yes No

(cisco-controller) >show ldap 1

Server Index..................................... 1

Address.......................................... 10.88.173.121

Port............................................. 389

Server State..................................... Enabled

User DN.......................................... OU=SofiaLabOU,DC=labm,DC=cisco,DC=com

User Attribute................................... sAMAccountName

User Type........................................ Person

Retransmit Timeout............................... 2 seconds

Secure (via TLS)................................. Disabled

Bind Method ..................................... Authenticated

Bind Username.................................... CN=Administrator,CN=Domain Admins,CN=Users,DC=labm,DC=cisco,DC=com

استكشاف الأخطاء وإصلاحها

يوفر هذا القسم معلومات يمكنك استخدامها لاستكشاف أخطاء التكوين وإصلاحها.

(cisco-controller) >debug client <MAC Address>

(cisco-controller) >debug aaa ldap enable

(cisco-controller) >show ldap statistics

Server Index..................................... 1

Server statistics:

Initialized OK................................. 0

Initialization failed.......................... 0

Initialization retries......................... 0

Closed OK...................................... 0

Request statistics:

Received....................................... 0

Sent........................................... 0

OK............................................. 0

Success........................................ 0

Authentication failed.......................... 0

Server not found............................... 0

No received attributes......................... 0

No passed username............................. 0

Not connected to server........................ 0

Internal error................................. 0

Retries........................................ 0

معلومات ذات صلة

- LDAP - دليل التكوين WLC 8.2

- كيفية تكوين وحدة التحكم في الشبكة المحلية اللاسلكية (WLC) لمصادقة بروتوكول الوصول إلى الدليل خفيف الوزن (LDAP) - بواسطة Vinay Sharma

- مصادقة الويب باستخدام LDAP على تشكيل وحدات التحكم في الشبكة المحلية اللاسلكية (WLCs) مثال - بواسطة يحيى جابر وأيمن الفارس

- الدعم التقني والمستندات - Cisco Systems