أستكشاف أخطاء مصادقة الويب وإصلاحها على وحدة تحكم شبكة محلية لاسلكية (WLC)

المقدمة

يصف هذا المستند تلميحات لاستكشاف أخطاء مصادقة الويب وإصلاحها في بيئة وحدة تحكم شبكة محلية لاسلكية (WLC).

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

• التحكم في نقاط الوصول اللاسلكية (CAPWAP) وإمدادها.

• كيفية تكوين نقطة الوصول في الوضع Lightweight (LAP) و WLC للتشغيل الأساسي.

• معرفة أساسية بمصادقة الويب وكيفية تكوين مصادقة الويب على WLCs.

أحلت لمعلومة على كيف أن يشكل ويب صحة هوية على WLCs، لاسلكي lan جهاز تحكم ويب تشكيل مثال.

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى وحدة تحكم WLC 5500 تشغل إصدار البرنامج الثابت 8.3.121.

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

المنتجات ذات الصلة

يمكن أيضا إستخدام هذا المستند مع هذا الجهاز:

• وحدات التحكم اللاسلكية للسلسلة Cisco 5500 Series

• وحدات التحكم اللاسلكية للسلسلة Cisco 8500 Series

• وحدات التحكم اللاسلكية للسلسلة Cisco 2500 Series

• وحدة التحكم Cisco Airespace 3500 Series WLAN Controller

• وحدة التحكم في شبكة LAN اللاسلكية Cisco Airespace 4000 Series

• سلسلة وحدات التحكم اللاسلكية Flex 7500 من Cisco

• (Cisco Wireless Services Module 2 (WiSM2

مصادقة الويب على WLCs

مصادقة الويب هي ميزة أمان للطبقة 3 تتسبب في عدم السماح لحركة مرور IP، باستثناء الحزم المرتبطة ب DHCP/نظام اسم المجال (DNS)، من عميل معين حتى يقوم ذلك العميل بتوفير اسم مستخدم وكلمة مرور صحيحين بشكل صحيح باستثناء حركة المرور المسموح بها من خلال قائمة التحكم في الوصول قبل المصادقة (ACL). مصادقة الويب هي سياسة الأمان الوحيدة التي تسمح للعميل بالحصول على عنوان IP قبل المصادقة. وهي طريقة مصادقة بسيطة دون الحاجة إلى أداة مساعدة العميل أو جهاز العميل. يمكن إجراء مصادقة الويب محليا على عنصر التحكم في الشبكة المحلية اللاسلكية (WLC) أو عبر خادم RADIUS. يتم إستخدام مصادقة الويب بشكل نموذجي من قبل العملاء الذين يرغبون في نشر شبكة وصول الضيف.

تبدأ مصادقة الويب عندما تعترض وحدة التحكم حزمة GET الأولى لـ TCP HTTP (المنفذ 80) من العميل. حتى يصل مستعرض ويب العميل إلى هذا الحد، يجب على العميل أولا الحصول على عنوان IP، وإجراء ترجمة لعنوان URL إلى عنوان IP (دقة DNS) لمستعرض الويب. يتيح ذلك لمستعرض الويب معرفة عنوان IP لإرسال HTTP GET.

عند تكوين مصادقة الويب على شبكة WLAN، تحظر وحدة التحكم جميع حركات مرور البيانات (حتى تكتمل عملية المصادقة) من العميل، باستثناء حركة مرور بيانات DHCP وDNS. عندما يرسل العميل أول HTTP GET إلى منفذ TCP 80، تقوم وحدة التحكم بإعادة توجيه العميل إلى https://192.0.2.1/login.html (إذا كان هذا هو بروتوكول الإنترنت الظاهري الذي تم تكوينه) للمعالجة. وفي النهاية تُظهر هذه العملية صفحة ويب تسجيل الدخول.

ملاحظة: عند إستخدام خادم ويب خارجي لمصادقة الويب، تحتاج منصات WLC إلى قائمة تحكم في الوصول (ACL) للمصادقة المسبقة لخادم الويب الخارجي.

يشرح هذا القسم عملية إعادة توجيه مصادقة الويب بالتفصيل.

• فعلى سبيل المثال، أنت تفتح مستعرض الويب وتكتب عنوان URL، http://www.example.com.   يرسل العميل طلب DNS لعنوان URL هذا للحصول على عنوان IP للوجهة. يمرر WLC طلب DNS إلى خادم DNS ويستجيب خادم DNS مرة أخرى مع رد DNS، والذي يحتوي على عنوان IP الخاص بالوجهة www.example.com والذي يتم إعادة توجيهه بدوره إلى العملاء اللاسلكيين.

• ثم يحاول العميل فتح اتصال TCP بعنوان IP للوجهة. وهو يرسل حزمة TCP syn الموجهة إلى عنوان IP من www.example.com.

• تحتوي عنصر التحكم في الشبكة المحلية اللاسلكية (WLC) على قواعد تم تكوينها للعميل ومن ثم يمكن أن تعمل كوكيل ل www.example.com. وهو يرسل حزمة TCP syn-ACK إلى العميل مع المصدر كعنوان IP من www.example.com. يرسل العميل حزمة TCP ACK مرة أخرى من أجل إكمال مصافحة TCP ثلاثية الإتجاه ويتم إنشاء اتصال TCP بالكامل.

• يرسل العميل حزمة HTTP GET الموجهة إلى www.example.com. يعترض عنصر التحكم في الشبكة المحلية اللاسلكية (WLC) هذه الحزمة ويرسلها لمعالجة إعادة التوجيه. تعمل عبّارة تطبيق  HTTP على إعداد نص HTML وإرساله مجددًا  كإجابة على طلب HTTP GET بواسطة العميل. تجعل HTML هذا العميل يذهب إلى عنوان URL الافتراضي لصفحة الويب الخاصة بعنصر التحكم في الشبكة المحلية اللاسلكية (WLC)، على سبيل المثال، http://<Virtual-Server-IP>/login.html.

• يقوم العميل بإغلاق اتصال TCP بعنوان IP، على سبيل المثال www.example.com.

• يريد العميل الآن الانتقال إلى http://<virtualip>/login.html ولذلك يحاول فتح اتصال TCP باستخدام عنوان IP الظاهري الخاص بوحدة التحكم في الشبكة المحلية اللاسلكية (WLC). إنه يرسل حزمة TCP syn ل 192.0.2.1 (وهو عنوان IP الظاهري هنا) إلى عنصر التحكم في الشبكة المحلية اللاسلكية (WLC).

• تستجيب WLC مجددًا مع TCP SYN-ACK ويرسل العميل TCP ACK مجددًا إلى WLC لإكمال الاتصال.

• يرسل العميل HTTP GET ل /login.html إلى 192.0.2.1 لطلب صفحة تسجيل الدخول.

• يسمح بهذا الطلب حتى خادم ويب عنصر التحكم في الشبكة المحلية اللاسلكية (WLC) ويستجيب الخادم مرة أخرى باستخدام صفحة تسجيل الدخول الافتراضية. يستلم العميل صفحة تسجيل الدخول على نافذة المستعرض حيث يمكن للمستخدم المتابعة وتسجيل الدخول.

في هذا المثال، عنوان IP للعميل هو 192.168.68.94. قام العميل بحل عنوان URL لخادم ويب الذي قام بالوصول إليه، 10.1.0.13. كما يمكنك أن ترى، قام العميل بالمصافحة ثلاثية الإتجاه لبدء اتصال TCP ثم أرسل حزمة HTTP GET التي بدأت بالحزمة 96 (00 هي حزمة HTTP). لم يتم تشغيل هذا بواسطة المستخدم، ولكن تم تشغيل مشغلات الكشف التلقائي للمداخل لنظام التشغيل (كما يمكننا التخمين من عنوان URL المطلوب). يعترض جهاز التحكم الحزم والردود بالرمز 200. تحتوي حزمة الرمز 200 على عنوان URL لإعادة التوجيه:

<HTML><HEAD>
<TITLE> Web Authentication Redirect</TITLE>
<META http-equiv="Cache-control" content="no-cache">
<META http-equiv="Pragma" content="no-cache">
<META http-equiv="Expires" content="-1">
<META http-equiv="refresh" content="1; URL=https://192.0.2.1/login.html?redirect=http://captive.apple.com/hotspot-detect.html">
</HEAD></HTML>

ثم يقوم بإغلاق اتصال TCP من خلال المصافحة ثلاثية الإتجاه.

ثم يبدأ العميل اتصال HTTPS بعنوان URL لإعادة التوجيه الذي يرسله إلى 192.0.2.1، وهو عنوان IP الظاهري لوحدة التحكم. يجب على العميل التحقق من صحة شهادة الخادم أو تجاهلها لإظهار قناة اتصال SSL. في هذه الحالة، تكون شهادة موقعة ذاتيا، وبالتالي يتجاهلها العميل. يتم إرسال صفحة ويب تسجيل الدخول من خلال نفق SSL هذا. تبدأ الحزمة 112 الحركات.

لديك الخيار لتكوين اسم المجال لعنوان IP الظاهري الخاص ب WLC. إذا قمت بتكوين اسم المجال لعنوان IP الظاهري، سيتم إرجاع اسم المجال هذا في حزمة HTTP OK من وحدة التحكم إستجابة لحزمة HTTP GET من العميل. ثم يتعين عليك إجراء تحليل DNS لاسم المجال هذا. بمجرد حصولها على عنوان IP من تحليل DNS، تحاول فتح جلسة TCP باستخدام عنوان IP هذا، وهو عنوان IP تم تكوينه على واجهة افتراضية لوحدة التحكم.

أخيرا، يتم تمرير صفحة الويب عبر النفق إلى العميل ويرسل المستخدم اسم المستخدم/كلمة المرور من خلال نفق طبقة مآخذ التوصيل الآمنة (SSL).

يتم إجراء مصادقة الويب باستخدام إحدى الطرق الثلاث التالية:

• إستخدام صفحة ويب داخلية (الافتراضي).

• أستخدم صفحة تسجيل دخول مخصصة.

• أستخدم صفحة تسجيل دخول من خادم ويب خارجي.

ملاحظات:
- تحتوي حزمة مصادقة الويب المخصصة على حد أقصى يصل إلى 30 حرفا لأسماء الملفات. تأكد من أنه لا يوجد أسماء ملفات ضمن الحزمة أكبر من 30 حرف.

- من الإصدار 7.0 من WLC فصاعدا، إذا تم تمكين مصادقة الويب على الشبكة المحلية اللاسلكية (WLAN) وكان لديك أيضا قواعد قائمة التحكم في الوصول إلى وحدة المعالجة المركزية (CPU)، فإن قواعد مصادقة الويب المستندة إلى العميل تكون لها دائما أسبقية أعلى ما دام العميل غير مصدق عليه في حالة WebAuth_Reqd. بمجرد انتقال العميل إلى حالة "التشغيل"، يتم تطبيق قواعد قائمة التحكم في الوصول (ACL) الخاصة بوحدة المعالجة المركزية (CPU).

- لذلك، إذا تم تمكين قوائم التحكم في الوصول لوحدة المعالجة المركزية (CPU) في عنصر التحكم في الشبكة المحلية اللاسلكية (WLC)، يلزم وجود قاعدة السماح لبروتوكول IP للواجهة الظاهرية (في أي إتجاه) في هذه الشروط:
  - عندما لا تكون قائمة التحكم في الوصول (ACL) الخاصة بوحدة المعالجة المركزية (CPU) مزودة بقاعدة "السماح للجميع" لكلا الاتجاهين.
  - عند وجود قاعدة السماح للجميع، ولكن هناك أيضا قاعدة رفض للمنفذ 443 أو 80 ذات أسبقية أعلى.

- يجب أن تكون قاعدة السماح ل IP الظاهري لبروتوكول TCP والمنفذ 80 إذا تم تعطيل SecureWeb أو المنفذ 443 إذا تم تمكين SecureWeb. وهذا مطلوب للسماح بوصول العميل إلى عنوان IP للواجهة الظاهرية بعد المصادقة الناجحة عندما تكون قوائم التحكم في الوصول (ACL) لوحدة المعالجة المركزية موجودة.

أستكشاف أخطاء مصادقة الويب وإصلاحها

بعد تكوين مصادقة الويب وإذا لم تعمل الميزة كما هو متوقع، أكمل الخطوات التالية:

1. تحقق مما إذا كان العميل يحصل على عنوان IP أم لا. إذا لم تكن هناك مساحة، يمكن للمستخدمين إلغاء تحديد خانة الاختيار DHCP المطلوب على الشبكة المحلية اللاسلكية (WLAN) وإعطاء العميل اللاسلكي عنوان IP ثابت. وهذا يفترض الارتباط بنقطة الوصول.
2. الخطوة التالية في العملية هي دقة DNS لعنوان الربط في متصفح الويب. عندما يتصل عميل WLAN بشبكة WLAN مكونة لمصادقة الويب، يحصل العميل على عنوان IP من خادم DHCP. يقوم المستخدم بفتح مستعرض ويب ويدخل عنوان موقع ويب. وبعد ذلك يقوم العميل بإجراء تحليل DNS للحصول على عنوان IP الخاص بموقع الويب. الآن، عندما يحاول العميل الوصول إلى موقع الويب، فإن عنصر التحكم في الشبكة المحلية اللاسلكية (WLC) يعترض جلسة عمل HTTP GET الخاصة بالعميل ويعيد توجيه المستخدم إلى صفحة تسجيل الدخول لمصادقة الويب.
3. لذلك، تأكد من قدرة العميل على تنفيذ تحليل DNS لكي يعمل إعادة التوجيه. في Microsoft Windows، أختر بدء > تشغيل، وأدخل CMD لفتح نافذة الأمر، ثم قم "nslookup www.cisco.com" وانظر ما إذا كان عنوان IP يعود مرة أخرى.

   في MacS/Linux، افتح نافذة طرفية وقم بالبحث www.cisco.com وانظر ما إذا كان عنوان IP يعود.

   إذا كنت تعتقد أن العميل لا يحصل على دقة DNS، يمكنك إما:

   • أدخل إما عنوان IP الخاص بعنوان URL (على سبيل المثال، http://www.cisco.com هو http://192.168.219.25).
   • حاول كتابة أي عنوان IP (حتى غير موجود) يجب حله من خلال المحول اللاسلكي.

   عند إدخال عنوان URL هذا، هل يعرض صفحة ويب؟ إذا كانت الإجابة بنعم، فإنها على الأرجح مشكلة DNS. قد تكون أيضا مشكلة في الشهادة. تستخدم وحدة التحكم، بشكل افتراضي، شهادة موقعة ذاتيا وتحذر معظم متصفحات الويب من إستخدامها.

4. لمصادقة الويب مع صفحة ويب مخصصة، تأكد من أن كود HTML لصفحة الويب المخصصة مناسب.

   يمكنك تنزيل نموذج من برنامج مصادقة الويب من تنزيلات برامج Cisco. على سبيل المثال، بالنسبة لوحدات التحكم 5508، أختر المنتجات > لاسلكي > وحدة التحكم في الشبكة المحلية (LAN) اللاسلكية > وحدات التحكم المستقلة > وحدات التحكم في الشبكة المحلية (LAN) اللاسلكية Cisco 5500 Series > Cisco 5508 Wireless LAN Controller > البرامج الموجودة على الهيكل > حزمة مصادقة الويب لوحدة تحكم الشبكة المحلية اللاسلكية وتنزيل ملف webAuth_bundle.zip.

   تتم إضافة هذه المعلمات إلى URL عند إعادة توجيه مستعرض الإنترنت الخاص بالمستخدم إلى صفحة تسجيل الدخول المخصصة:

   • ap_mac - عنوان MAC لنقطة الوصول التي يقترن بها المستخدم اللاسلكي.
   • switch_url - عنوان URL لوحدة التحكم التي يجب نشر بيانات اعتماد المستخدم إليها.
   • إعادة التوجيه - عنوان URL الذي يتم إعادة توجيه المستخدم إليه بعد نجاح المصادقة.
   • رمز الحالة - رمز الحالة الذي تم إرجاعه من خادم مصادقة ويب لوحدة التحكم.
   • WLAN - WLAN SSID المقترن به المستخدم اللاسلكي.

   هذه هي رموز الحالة المتوفرة:

   • رمز الحالة 1 - تم تسجيل دخولك بالفعل. لا حاجة إلى إجراء آخر من جانبك.
   • رمز الحالة 2 - لم يتم تكوينك للمصادقة مقابل مدخل ويب. لا حاجة إلى إجراء آخر من جانبك.
   • رمز الحالة 3 - لا يمكن إستخدام اسم المستخدم المحدد في هذا الوقت. ربما تم تسجيل دخول اسم المستخدم إلى النظام بالفعل؟
   • رمز الحالة 4 - تم استثنائك.
   • رمز الحالة 5 - مجموعة اسم المستخدم وكلمة المرور التي أدخلتها غير صحيحة. يُرجى إعادة المحاولة.
5. يجب تجميع جميع الملفات والصور التي يجب أن تظهر على صفحة الويب المخصصة في ملف .tar قبل تحميله إلى عنصر التحكم في الشبكة المحلية اللاسلكية (WLC). تأكد من أن أحد الملفات المضمنة في حزمة tar. هو login.html. تتلقى رسالة الخطأ هذه إذا لم تقم بتضمين ملف login.html:

   

   
   ارجع إلى قسم إرشادات مصادقة الويب المخصصة في مثال تكوين مصادقة الويب لوحدة تحكم الشبكة المحلية (LAN) اللاسلكية للحصول على مزيد من المعلومات حول كيفية إنشاء إطار مصادقة ويب مخصص.

   ملاحظة: الملفات الكبيرة والملفات التي لها أسماء طويلة يمكن أن ينتج عنها خطأ في الاستخراج. يوصى بأن تكون الصور بتنسيق .jpg.

6. تأكد من عدم حظر خيار البرمجة النصية على مستعرض العميل حيث أن صفحة الويب المخصصة على عنصر التحكم في الشبكة المحلية اللاسلكية (WLC) هي برنامج نصي من نوع HTML بشكل أساسي.
7. إذا كان لديك اسم مضيف تم تكوينه للواجهة الظاهرية الخاصة بوحدة التحكم في الشبكة المحلية اللاسلكية (WLC)، فتأكد من توفر تحليل DNS لاسم مضيف الواجهة الظاهرية.

   ملاحظة: انتقل إلى قائمة وحدة التحكم > الواجهات من واجهة المستخدم الرسومية (GUI) الخاصة بوحدة التحكم في الشبكة المحلية اللاسلكية (WLC) لتخصيص اسم مضيف DNS للواجهة الظاهرية.

8. يقوم جدار الحماية المثبت على كمبيوتر العميل أحيانا بحظر صفحة تسجيل الدخول لمصادقة الويب. قم بتعطيل جدار الحماية قبل محاولة الوصول إلى صفحة تسجيل الدخول. يمكن تمكين جدار الحماية مرة أخرى بمجرد اكتمال مصادقة الويب.
9. يمكن وضع جدار حماية المخطط/الحل بين العميل وخادم مصادقة الويب، والذي يعتمد على الشبكة. بالنسبة لكل تصميم/حل شبكة يتم تنفيذه، يجب على المستخدم النهائي التأكد من السماح بهذه المنافذ على جدار حماية الشبكة.
   
   

   البروتوكول	المنفذ
   حركة مرور بيانات HTTP/HTTPS	منفذ TCP 80/443
   بيانات CAPWAP/حركة مرور التحكم	منفذ UDP 5247/5246
   LWAPP Data/Control Traffic (قبل rel 5.0)	منفذ UDP 1222/1223
   حزم Eoip	بروتوكول الإنترنت IP طراز 97
   قابلية التنقل	منفذ UDP 16666 (غير آمن) UDP منفذ 16667 (نفق IPsec الآمن)

10. لكي تحدث مصادقة الويب، يجب على العميل أن يرتبط أولا بشبكة WLAN المناسبة على عنصر التحكم في الشبكة المحلية اللاسلكية (WLC). انتقل إلى قائمة المدرب > العملاء على واجهة المستخدم الرسومية (GUI) الخاصة بوحدة التحكم في الشبكة المحلية اللاسلكية (WLC) لمعرفة ما إذا كان العميل مقترنا بوحدة التحكم في الشبكة المحلية اللاسلكية (WLC). تحقق مما إذا كان لدى العميل عنوان IP صالح.
11. قم بتعطيل إعدادات الوكيل في مستعرض العميل حتى يتم إكمال مصادقة ويب.
12. الطريقة الافتراضية لمصادقة الويب هي بروتوكول مصادقة كلمة المرور (PAP). تأكد من السماح بمصادقة PAP على خادم RADIUS لكي يعمل هذا. للتحقق من حالة مصادقة العميل، تحقق من تصحيح الأخطاء وتسجيل الرسائل من خادم RADIUS. يمكنك إستخدام الأمر debug aaa all على عنصر التحكم في الشبكة المحلية اللاسلكية (WLC) لعرض تصحيح الأخطاء من خادم RADIUS.
13. قم بتحديث برنامج تشغيل الأجهزة على الكمبيوتر إلى أحدث التعليمات البرمجية من موقع ويب الخاص بالشركة المصنعة.
14. تحقق من الإعدادات الموجودة في الطالب (برنامج على الكمبيوتر المحمول).
15. عند إستخدام المطالبة Windows Zero Config المضمنة في Windows:
    • تحقق من تثبيت أحدث تصحيحات للمستخدم.
    • قم بتشغيل تصحيح الأخطاء على المطالب.
16. على العميل، قم بتشغيل EAPOL (WPA+WPA2) وسجلات RASTLS من نافذة أمر. أختر ابدأ > تشغيل > CMD:

    netsh ras set tracing eapol enable
          netsh ras set tracing rastls enable

    invalider in order to أعجزت ال log، ركضت ال نفسه أمر غير أن استبدلت enable مع يعجز. بالنسبة للطراز XP، يمكن تحديد موقع جميع السجلات في C:\Windows\tracing.

17. إذا كان لا يزال لديك صفحة ويب خاصة بتسجيل الدخول، فقم بتجميع هذا الإخراج وتحليله من عميل واحد:

    debug client <mac_address in format xx:xx:xx:xx:xx:xx>
    debug dhcp message enable
    debug aaa all enable
    debug dot1x aaa enable
    debug mobility handoff enable

18. إذا لم يتم حل المشكلة بعد إكمال هذه الخطوات، فقم بجمع هذه الأخطاء واستخدم مدير حالة الدعم لفتح طلب خدمة.

    debug pm ssh-appgw enable
    debug pm ssh-tcp enable
    debug pm rules enable
    debug emweb server enable
    debug pm ssh-engine enable packet <client ip>

معلومات ذات صلة

• مثال تكوين مصادقة الويب لوحدة تحكم الشبكة المحلية (LAN) اللاسلكية
• مثال تكوين المصادقة الخارجية للويب مع وحدات تحكم الشبكة المحلية (LAN) اللاسلكية
• الدعم الفني والتنزيلات من Cisco