المحتويات

المقدمة

المتطلبات الأساسية

المتطلبات

المكونات المستخدمة

التكوين

الرسم التخطيطي للشبكة

تكوين واجهة سطر الأوامر (CLI)

تكوين واجهة المستخدم الرسومية

التحقق من الصحة

المقدمة

يحدد هذا المستند كيفية تكوين مصادقة الويب الخارجية باستخدام وحدات التحكم في الوصول المجمع. توجد صفحة مدخل الضيف ومصادقة بيانات الاعتماد على محرك خدمات الهوية (ISE) في هذا المثال.

المتطلبات الأساسية

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

1. وحدات التحكم في الوصول المجمع من Cisco.

2. مصادقة الويب

3. Cisco ISE

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

1. وحدة التحكم Cisco 5760 (NGWC على المخطط أدناه)، 03.06.05E

2- المعيار المستقل 2-2

التكوين

الرسم التخطيطي للشبكة

تكوين واجهة سطر الأوامر (CLI)

تهيئة RADIUS على وحدة التحكم

الخطوة 1: تحديد خادم RADIUS الخارجي

radius server ISE.161

address ipv4 10.48.39.161 auth-port 1812 acct-port 1813

timeout 10

retransmit 5

key Cisco123

الخطوة الثانية:. قم بتعريف مجموعة AAA RADIUS وحدد خادم RADIUS الذي سيتم إستخدامه

aaa group server radius ISE-Group

server name ISE.161

deadtime 10

الخطوة 3. قم بتعريف قائمة الطرق التي تشير إلى مجموعة RADIUS وقم بتخطيطها تحت الشبكة المحلية اللاسلكية (WLAN).

aaa authentication login webauth group ISE-Group

تكوين خريطة المعلمة

الخطوة 4. تكوين خريطة المعلمة العامة بعنوان IP الظاهري المطلوب لمصادقة ويب الخارجية والداخلية. يستخدم زر تسجيل الخروج عنوان IP الظاهري. دائما ما يكون من الممارسات الجيدة تكوين عنوان IP ظاهري غير قابل للتوجيه.

parameter-map type webauth global

type webauth

virtual-ip ipv4 1.1.1.1

الخطوة 5: قم بتكوين خريطة معلمة مسماة.سيعمل كنوع من أسلوب WebAuth. سيتم إستدعاء هذا ضمن تكوين WLAN.

parameter-map type webauth web

type webauth

redirect for-login https://10.48.39.161:8443/portal/PortalSetup.action?portal=0c712cd0-6d90-11e5-978e-005056bf2f0a

redirect portal ipv4 10.48.39.161

قائمة التحكم في الوصول (ACL) للمصادقة السابقة. سيتم إستدعاء هذا أيضا تحت الشبكة المحلية اللاسلكية (WLAN).

الخطوة 6: قم بتكوين preauth_acl الذي يسمح بالوصول إلى ISE و DHCP و DNS قبل انتهاء المصادقة

ip access-list extended Preauth_ACL

permit ip any host 10.48.39.161

permit ip host 10.48.39.161 any

permit udp any eq bootps any

permit udp any any eq bootpc

permit udp any eq bootpc any

permit udp any eq domain any

permit udp any any eq domain

تكوين WLAN

الخطوة 7: قم بتكوين الشبكة المحلية اللاسلكية (WLAN)

wlan ext-webauth 7 ext-webauth

client vlan vlan232

ip access-group web Preauth_ACL

no security wpa

no security wpa akm dot1x

no security wpa wpa2

no security wpa wpa2 ciphers aes

security web-auth

security web-auth authentication-list webauth

security web-auth parameter-map web

session-timeout 1800

no shutdown

الخطوة 8: قم بتشغيل خادم HTTP.

ip http server

ip http secure-server (for secure web-auth, use 'no' to disable secure web)

تكوين واجهة المستخدم الرسومية

ونحن نسير هنا على نفس الخطوات المذكورة أعلاه. يتم توفير لقطات الشاشة فقط للمرجع التبادلي.

الخطوة 1: تحديد خادم RADIUS خارجي

الخطوة الثانية:. قم بتعريف مجموعة AAA RADIUS وحدد خادم RADIUS الذي سيتم إستخدامه

الخطوة 3. قم بتعريف قائمة الطرق التي تشير إلى مجموعة RADIUS وقم بتخطيطها تحت الشبكة المحلية اللاسلكية (WLAN).

تكوين خريطة المعلمة

الخطوة 4. تكوين خريطة المعلمة العامة بعنوان IP الظاهري المطلوب لمصادقة ويب الخارجية والداخلية. يستخدم زر تسجيل الخروج عنوان IP الظاهري. دائما ما يكون من الممارسات الجيدة تكوين عنوان IP ظاهري غير قابل للتوجيه.

الخطوة 5: قم بتكوين خريطة معلمة مسماة.سيعمل كنوع من أسلوب WebAuth. سيتم إستدعاء هذا ضمن تكوين WLAN.

قائمة التحكم في الوصول (ACL) للمصادقة السابقة. سيتم إستدعاء هذا أيضا تحت الشبكة المحلية اللاسلكية (WLAN).

الخطوة 6: قم بتكوين preauth_acl الذي يسمح بالوصول إلى ISE و DHCP و DNS قبل انتهاء المصادقة

تكوين WLAN

الخطوة 7: قم بتكوين الشبكة المحلية اللاسلكية (WLAN)

التحقق من الصحة

قم بتوصيل عميل وتأكد من أنه إذا قمت بفتح مستعرض، فسيتم إعادة توجيه العميل إلى صفحة مدخل تسجيل الدخول الخاصة بك. توضح لقطة الشاشة التالية صفحة مدخل ضيف ISE.

عندما يتم إرسال وثائق الإعتماد اللائقة، ستظهر صفحة النجاح :

سيقوم خادم ISE بالإبلاغ عن مصادقة واحدة: واحدة على صفحة الضيف نفسها (السطر السفلي باسم المستخدم فقط) ومصادقة ثانية بمجرد أن توفر وحدة التحكم في الشبكة المحلية اللاسلكية (WLC) نفس اسم المستخدم/كلمة المرور من خلال مصادقة RADIUS (هذه المصادقة فقط هي التي ستجعل العميل ينتقل إلى مرحلة النجاح). إن لا يقع ال radius صحة هوية (مع عنوان MAC وتفاصيل WLC ك NAS)، ال radius تشكيل أن يكون دققت.