أستكشاف أخطاء CWA وإصلاحها مع WLC 9800 و ISE

خيارات التنزيل

  • PDF     (5.4 MB)
    عرض باستخدام Adobe Reader على مجموعة متنوعة من الأجهزة
تم التحديث:٢٦ أغسطس ٢٠٢٦
معرّف المستند:220852

لغة خالية من التحيز

تسعى مجموعة الوثائق لهذا المنتج جاهدة لاستخدام لغة خالية من التحيز. لأغراض مجموعة الوثائق هذه، يتم تعريف "خالية من التحيز" على أنها لغة لا تعني التمييز على أساس العمر، والإعاقة، والجنس، والهوية العرقية، والهوية الإثنية، والتوجه الجنسي، والحالة الاجتماعية والاقتصادية، والتمييز متعدد الجوانب. قد تكون الاستثناءات موجودة في الوثائق بسبب اللغة التي يتم تشفيرها بشكل ثابت في واجهات المستخدم الخاصة ببرنامج المنتج، أو اللغة المستخدمة بناءً على وثائق RFP، أو اللغة التي يستخدمها منتج الجهة الخارجية المُشار إليه. تعرّف على المزيد حول كيفية استخدام Cisco للغة الشاملة.

حول هذه الترجمة

ترجمت Cisco هذا المستند باستخدام مجموعة من التقنيات الآلية والبشرية لتقديم محتوى دعم للمستخدمين في جميع أنحاء العالم بلغتهم الخاصة. يُرجى ملاحظة أن أفضل ترجمة آلية لن تكون دقيقة كما هو الحال مع الترجمة الاحترافية التي يقدمها مترجم محترف. تخلي Cisco Systems مسئوليتها عن دقة هذه الترجمات وتُوصي بالرجوع دائمًا إلى المستند الإنجليزي الأصلي (الرابط متوفر).

المقدمة

يوضح هذا المستند كيفية أستكشاف أخطاء المصادقة الشبكية المركزية (CWA) وإصلاحها باستخدام وحدة التحكم في الشبكة المحلية (LAN) اللاسلكية (WLC) 9800 ومحرك خدمات الهوية (ISE).

معلومات أساسية

غالبا ما يختار مسؤولو الشبكة الذين يسعون إلى تأمين الوصول اللاسلكي للأجهزة الشخصية شبكات لاسلكية تستخدم CWA. يركز هذا المستند على مخطط تدفق CWA، الذي يساعد في أستكشاف المشكلات الشائعة وإصلاحها. وهو يغطي المشاكل الشائعة في العملية، وكيفية تجميع السجلات المتعلقة ب CWA، وكيفية تحليل هذه السجلات، وكيفية تجميع التقاط حزمة مضمن (EPC) على عنصر التحكم في الشبكة المحلية اللاسلكية (WLC) لتأكيد تدفق حركة المرور.

يعتبر CWA الإعداد الأكثر شيوعا للشركات التي تسمح للمستخدمين بالاتصال بشبكة الشركة باستخدام أجهزتهم الشخصية، والمعروف أيضا باسم إحضار جهازك الخاص (BYOD). توفر هذه المعلومات خطوات أستكشاف الأخطاء وإصلاحها التي يجب تنفيذها قبل فتح حالة مركز المساعدة الفنية.

هنا تدفق حزمة CWA:

CWA Packet Flowتدفق حزم CWA

جريان تفصيلي

الاقتران الأول ومصادقة RADIUS:

First Assocition and RADIUS Authenticationأول اقتران ومصادقة RADIUS

فحص DHCP و DNS والاتصال:

DHCP, DNS and Connectivity Checkفحص DHCP و DNS والاتصال

يتم إجراء التحقق من الاتصال باستخدام الكشف عن المدخل المقيد بواسطة نظام تشغيل جهاز العميل (OS) أو المستعرض.

تمت برمجة أنظمة تشغيل الأجهزة مسبقا لإجراء HTTP GET نحو مجالات محددة:

  • أبل = captive.apple.com
  • Android = connectivitycheck.gstatic.com
  • Windows = msftconnectest.com

تؤدي المستعرضات أيضا هذا التحقق عند فتحه:

  • الكروم = clients3.google.com
  • Firefox = detectportal.firefox.com

اعتراض حركة المرور وإعادة التوجيه:

Traffic interception and redirectionاعتراض حركة المرور وإعادة توجيهها

تسجيل دخول العميل إلى بوابة تسجيل دخول ضيف ISE:

Client login into ISE guest login portalتسجيل دخول العميل إلى بوابة تسجيل دخول ضيف ISE

تسجيل دخول العميل وتسجيل CoA:

Client login and CoAتسجيل دخول العميل وتسجيل CoA

استكشاف الأخطاء وإصلاحها

العرض الشائع لعدم إعادة توجيه المستخدم إلى صفحة تسجيل الدخول

فلنبدأ بالجزء الأول من التدفق:

First Assocition and RADIUS Authenticationأول اقتران ومصادقة RADIUS

هل مصادقة RADIUS الأولى ناجحة؟

تحقق من نتيجة مصادقة تصفية MAC:

ISE Live Logs Showing MAC Filtering authentication resultسجلات ISE Live التي تظهر نتيجة مصادقة تصفية MAC

تأكد من تعيين الخيار المتقدم للمصادقة على متابعة إذا لم يتم العثور على المستخدم:

User not Found Advanced Optionلم يتم العثور على خيار متقدم للمستخدم

هل تتلقى WLC عنوان URL المعاد توجيهه وقائمة التحكم في الوصول؟

تحقق من سجلات ISE المباشرة ومعلومات أمان عميل WLC تحت المراقبة تحقق من أن ISE يرسل عنوان URL إعادة التوجيه وقائمة التحكم في الوصول في قبول الوصول ويتم إستلامه بواسطة WLC ويتم تطبيقه على العميل في تفاصيل العميل:

Redirect ACL and URLإعادة توجيه قائمة التحكم في الوصول (ACL) و URL

هل قائمة التحكم في الوصول (ACL) لإعادة التوجيه صحيحة؟

تحقق من اسم قائمة التحكم بالوصول (ACL) لأي خطأ مطبعي. تأكد من أنه تم إرساله تماما بواسطة ISE:

Redirect ACL Verificationالتحقق من قائمة التحكم في الوصول (ACL) المعاد توجيهها

هل تم نقل العميل إلى مصادقة ويب معلقة؟

التحقق من تفاصيل العميل لحالة تعليق مصادقة ويب. إذا لم يكن في هذه الحالة، فتحقق من تمكين تجاوز AAA و RADIUS NAC في ملف تعريف السياسة:

Client Details, AAA Override and RADIUS NACتفاصيل العميل وتجاوز المصادقة والتفويض والمحاسبة (AAA) و RADIUS NAC

إذا إستمرت المشكلة، فأعد زيارة التدفق:

DHCP, DNS and Connectivity Checkفحص DHCP و DNS والاتصال

هل تسمح WLC بحركة مرور DHCP و DNS؟

تحقق من محتويات قائمة التحكم في الوصول (ACL) المعاد توجيهها في عنصر التحكم في الشبكة المحلية اللاسلكية (WLC):

Redirect ACL Contents in the WLCإعادة توجيه محتويات قائمة التحكم في الوصول (ACL) في عنصر التحكم في الشبكة المحلية اللاسلكية (WLC)

تحدد قائمة التحكم في الوصول (ACL) المعاد توجيهها حركة المرور التي يتم اعتراضها وإعادة توجيهها بواسطة بيان الترخيص وحركة المرور التي يتم تجاهلها من الاعتراض وإعادة التوجيه باستخدام بيان الرفض.

في هذا المثال، يسمح بتدفق DNS وحركة المرور من/من عنوان ISE IP، ويتم اعتراض أي حركة مرور ل TCP على المنفذ 80 (WWW).

هل يتلقى خادم DHCP اكتشاف/طلب DHCP؟ 

تحقق مع EPC إذا حدث تبادل DHCP. يمكن إستخدام EPC مع المرشحات الداخلية مثل بروتوكول DHCP و/أو MAC للتصفية الداخلية حيث يمكنك إستخدام عنوان MAC لجهاز العميل والحصول على حزم EPC التي يتم إرسالها بواسطة عنوان MAC لجهاز العميل أو إرسالها إليه فقط.

في هذا المثال، لاحظ أن DHCP يكتشف الحزم التي يتم إرسالها كبث على شبكة VLAN 3:

WLC EPC to Verify DHCPWLC EPC للتحقق من DHCP

تأكيد شبكة VLAN الخاصة بالعميل المتوقع في ملف تعريف النهج:

VLAN in the Policy ProfileVLAN في ملف تعريف السياسة

دققت ال WLC VLAN، switchport شنطة تشكيل، و DHCP subnet:

VLAN, Switchport and DHCP SubnetVLAN و switchport وشبكة DHCP الفرعية

VLAN 3 موجود في عنصر التحكم في الشبكة المحلية اللاسلكية (WLC) ولديه أيضا واجهة ظاهرية للمحول (SVI) لشبكة VLAN رقم 3. ومع ذلك، عند التحقق من عنوان IP لخادم DHCP، يكون على شبكة فرعية مختلفة؛ لذلك، هناك حاجة إلى عنوان مساعد IP في SVI.

تقضي أفضل الممارسات بتكوين SVIs للشبكات الفرعية للعملاء في البنية الأساسية السلكية، مما يتجنبها في عنصر التحكم في الشبكة المحلية اللاسلكية (WLC).

في أي حالة، يجب إضافة الأمر ip helper-address إلى SVI بغض النظر عن مكان إقامته.

البديل هو تكوين عنوان IP لخادم DHCP في ملف تعريف السياسة:

IP helper-address at SVI or Policy Profileعنوان مساعد IP في SVI أو ملف تعريف السياسة

يمكنك بعد ذلك التحقق باستخدام EPC ما إذا كان تبادل DHCP ناجحا وما إذا كان خادم DHCP يوفر IP (عناوين) DNS للخادم:

DHCP Offer Detail of DNS Server IPتفاصيل عرض DHCP لخادم DNS

هل تحدث عملية إعادة التوجيه التلقائية؟

التحقق باستخدام WLC EPC إذا رد خادم DNS على الاستعلامات:

DNS Query and Responsesاستجابات واستعلام DNS

  • إذا لم تكن عملية إعادة التوجيه تلقائية، فافتح المستعرض وحاول إستخدام عنوان IP عشوائي. على سبيل المثال، 10.0.0.1.
  • إذا كانت عملية إعادة التوجيه تعمل، فمن المحتمل أن تكون لديك مشكلة في حل DNS.

إذا إستمرت المشكلة، فأعد زيارة التدفق:

Traffic interception and redirectionاعتراض حركة المرور وإعادة توجيهها

هل لا يعرض المستعرض صفحة تسجيل الدخول؟

تحقق مما إذا كان العميل يرسل نظام TCP إلى منفذ 80 ويعرضه عنصر التحكم في الشبكة المحلية اللاسلكية (WLC):

TCP Retransmissions to Port 80عمليات إعادة إرسال بروتوكول TCP إلى المنفذ 80

في هذا المثال، يرسل العميل حزم TCP syn إلى المنفذ 80 ولكنه لا يحصل على أي رد ويقوم بإعادة إرسال TCP.

تأكد من أن لديك الأمر ip http server في التكوين العام أو webAuth-http-enable في parameter-map global:

HTTP Interception Commandsأوامر اعتراض HTTP

بعد تطبيق الأمر، يعترض WLC حركة مرور TCP والمخادع عنوان IP للوجهة للرد على العميل وإعادة التوجيه.

TCP Interception by WLCاعتراض TCP بواسطة WLC

إذا إستمرت المشكلة، فقم بالمتابعة مع التدفق:

Client login into ISE guest login portalتسجيل دخول العميل إلى بوابة تسجيل دخول ضيف ISE

هل يمكن للعميل حل اسم مضيف ISE؟

دققت إن ال redirect url يستعمل عنوان أو hostname، وإن الزبون يحل ال ise hostname:

ISE Hostname resolutionدقة اسم المضيف ل ISE

تحدث مشكلة مشتركة عندما يحتوي عنوان URL لإعادة التوجيه على اسم المضيف ISE، ولكن جهاز العميل غير قادر على حل اسم المضيف هذا إلى عنوان ISE IP. إذا تم إستخدام اسم المضيف، فتأكد من أنه قابل للحل عبر DNS.

هل لا تزال صفحة تسجيل الدخول غير محملة؟

تحقق من خلال WLC EPC و ISE TCPdump إذا وصلت حركة مرور بيانات العميل إلى عقدة خدمات سياسة ISE (PSN). شكلت وشرعت الالتقاط على ال WLC و ISE:

WLC EPC and ISE TCPDumpWLC EPC و ISE TCPDump

بعد نسخ المشكلة، قم بجمع عمليات الالتقاط وربط حركة المرور. في هذا المثال، يتم حل اسم مضيف ISE ، ويليه الاتصال بين العميل و ISE على المنفذ 8443:

WLC and ISE Trafficحركة مرور WLC و ISE

لماذا يوجد انتهاك للأمان بسبب الشهادة؟

  1. إذا كنت تستخدم شهادة موقعة ذاتيا على ISE، فمن المتوقع أن يرسل العميل تحذير أمان عندما يحاول تقديم صفحة تسجيل دخول مدخل ISE.

على WLC EPC أو ISE TCPdump، يمكنك التحقق مما إذا كانت شهادة ISE موثوق بها أم لا.

في هذا المثال، يتم إغلاق الاتصال من العميل باستخدام تنبيه (المستوى: مميت، الوصف: الشهادة غير معروفة)، مما يعني أن شهادة ISE غير معروفة (موثوق بها

ISE Untrusted Certificateشهادة ISE غير الموثوق بها

إذا تم التحقق من جانب العميل، يمكنك رؤية مخرجات المثال التالية:

Client Device that does not Trust ISE Certificateجهاز العميل الذي لا يثق بشهادة ISE

إذا كان إعادة التوجيه يعمل ولكن فشل تسجيل الدخول، تحقق من الجزء الأخير من التدفق:

Client login and CoAتسجيل دخول العميل وتسجيل CoA

هل فشل تسجيل دخول الضيف؟

تحقق من سجلات ISE بحثا عن مصادقة فاشلة. تأكد من صحة بيانات الاعتماد.

Guest Authentication Fails due to Wrong Credentialsفشلت مصادقة الضيف بسبب بيانات اعتماد غير صحيحة

هل نجح تسجيل الدخول ولكن العميل لا ينتقل إلى تشغيل الحالة؟

تحقق من سجلات ISE للحصول على تفاصيل المصادقة ونتائجها:

Redirection Loopحلقة إعادة التوجيه

في هذا المثال، يستقبل العميل ملف تعريف التخويل مرة أخرى الذي يحتوي على عنوان URL لإعادة التوجيه وقائمة التحكم في الوصول (ACL) لإعادة التوجيه. هذا ينتج في إعادة توجيه أنشوطة.

تحقق من مجموعة النهج. يجب وضع القاعدة التحقق من Guest_Flow قبل قاعدة إعادة التوجيه:

Guest_Flow Ruleقاعدة Guest_Flow

هل الكاكاو فاشل؟

باستخدام EPC و ISE TCPDump، يمكنك التحقق من حركة مرور CoA. دققت إن ال CoA ميناء (1700) يكون فتح بين ال WLC و ISE. تأكد من التطابقات السرية المشتركة.

CoA Trafficحركة مرور CoA

note-icon

ملاحظة: في الإصدار 17.4.x والإصدارات الأحدث، تأكد أيضا من تكوين مفتاح خادم CoA عند تكوين خادم RADIUS. أستخدم المفتاح نفسه مثل السر المشترك (هم نفس التقصير على ISE). الغرض هو أن يشكل إختياريا مفتاح مختلف ل CoA من المفتاح المشترك إن يكون هذا هو ما قام خادم RADIUS بتكوينه. في Cisco IOS® XE 17.3، أستخدم واجهة مستخدم الويب ببساطة نفس السر المشترك مثل مفتاح CoA.

اعتبارا من الإصدار 17.6.1، يتم دعم RADIUS (بما في ذلك CoA) من خلال هذا المنفذ. إذا كنت ترغب في إستخدام منفذ الخدمة ل RADIUS، فأنت بحاجة إلى هذا التكوين:

aaa server radius dynamic-author 
 client 10.48.39.28 vrf Mgmt-intf server-key cisco123

interface GigabitEthernet0
 vrf forwarding Mgmt-intf
 ip address x.x.x.x x.x.x.x

!if using aaa group server:
aaa group server radius group-name
 server name nicoISE
 ip vrf forwarding Mgmt-intf
 ip radius source-interface GigabitEthernet0

ملخص

هذه هي القائمة المرجعية الملخصة ل CWA:

  • ضمنت أن يجلس العميل على ال VLAN صحيح ويحصل على عنوان IP و DNS.
  • احصل على تفاصيل العميل في عنصر التحكم في الشبكة المحلية اللاسلكية (WLC) وقم بتشغيل التقاط الحزم لعرض تبادل DHCP.
  • تحقق من قدرة العميل على حل أسماء المضيف عبر DNS.
  • يؤز ال hostname من الأمر رسالة حث.
  • يجب أن تكون وحدة التحكم في الشبكة المحلية اللاسلكية (WLC) في وضع الإصغاء على المنفذ 80.
  • تحقق من الأمر العام ip http server أو أمر خريطة المعلمة العامة webauth-http-enable.
  • لإزالة تحذير الشهادة، قم بتثبيت شهادة موثوق بها على ISE.
  • لا توجد حاجة لتثبيت شهادة موثوق بها على عنصر التحكم في الشبكة المحلية اللاسلكية (WLC) في CWA.
  • قم بتعيين نهج المصادقة في الخيار ISE Advanced للمتابعة إذا لم يتم العثور على المستخدم.
  • السماح للمستخدمين الضيوف المدعومين بالاتصال وإعادة توجيه URL وقوائم التحكم في الوصول (ACL).

الأدوات الرئيسية المستخدمة في أستكشاف الأخطاء وإصلاحها:

    • WLC EPC
    • : عوامل التصفية الداخلية: بروتوكول DHCP، عنوان MAC.
    • شاشة WLC
    • : تحقق من تفاصيل أمان العميل.
    • تتبع WLC RA
    • : تصحيح الأخطاء باستخدام معلومات تفصيلية على جانب عنصر التحكم في الشبكة المحلية اللاسلكية (WLC).
    • سجلات ISE المباشرة
    • : تفاصيل المصادقة.
    • ISE TCPDump
    • : قم بتجميع التقاط الحزم في واجهة ISE PSN.

معلومات المورد

محفوظات المراجعة

المراجعة تاريخ النشر التعليقات
2.0
26-Aug-2026
تغيير رئيسي، قواعد، تنسيق
1.0
25-Aug-2023
الإصدار الأولي
TAC Authored

تمت المساهمة بواسطة مهندسو Cisco

  • Tiago Antunes
    Technical Leader

هل كان هذا المستند مفيدًا؟

Feedbackالتعليقات

اتصل بنا

ينطبق هذا المستند على هذه المنتجات