المحتويات

المقدمة

المتطلبات الأساسية

المتطلبات

المكونات المستخدمة

معلومات أساسية

التكوين

الرسم التخطيطي للشبكة

توصيل وحدة التحكم 9800 بمساحات DNA من Cisco

إنشاء SSID على مساحات DNA

تكوين عامل تصفية ACL و URL على وحدة التحكم 9800

مدخل أسير بدون خادم RADIUS على مساحات DNA

تكوين خريطة معلمة مصادقة الويب على وحدة التحكم 9800

قم بإنشاء SSID في وحدة التحكم 9800

تكوين ملف تعريف النهج على وحدة التحكم 9800

تكوين علامة النهج على وحدة التحكم 9800

بوابة بديلة مزودة بخادم RADIUS على مساحات DNA

تكوين خريطة معلمة مصادقة الويب على وحدة التحكم 9800

تهيئة خوادم RADIUS على وحدة التحكم 9800

قم بإنشاء SSID في وحدة التحكم 9800

تكوين ملف تعريف النهج على وحدة التحكم 9800

تكوين علامة النهج على وحدة التحكم 9800

تكوين خريطة المعلمة العامة

إنشاء البوابة على مساحات DNA

تكوين قواعد البوابة المقيدة على مساحات DNA

الحصول على معلومات محددة من مساحات DNA

ما هي عناوين IP التي تستخدمها مساحات DNA ؟

ما هو عنوان URL الذي تستخدمه بوابة تسجيل الدخول إلى DNA Spaces ؟

ما هي تفاصيل خادم RADIUS لمساحات DNA ؟

التحقق من الصحة

استكشاف الأخطاء وإصلاحها

المشكلات الشائعة

التتبع الدائم

التصحيح الشرطي والتتبع النشط اللاسلكلي

مثال لمحاولة ناجحة

المقدمة

يصف هذا المستند كيفية تكوين المنافذ المقيدة على مساحات DNA من Cisco.

المتطلبات الأساسية

يسمح هذا وثيقة زبون على المادة حفازة 9800 لاسلكي lan جهاز تحكم (C9800 WLC) أن يستعمل DNA Spaces كخارجي صحة هوية هوية دخول.

المتطلبات

توصي Cisco بأن تكون لديك معرفة بالمواضيع التالية:

- واجهة سطر الأوامر (CLI) أو وصول واجهة المستخدم الرسومية (GUI) إلى وحدات التحكم اللاسلكية 9800

- مساحات مركز بنية الشبكة الرقمية (DNA) من Cisco

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

- 9800-L جهاز تحكم، الإصدار 16.12.2s

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

معلومات أساسية

مصادقة الويب هي طريقة مصادقة بسيطة للطبقة 3 دون الحاجة إلى أداة مساعدة عميل أو ملتمس. يمكن فعل ذلك

أ) مع الصفحة الداخلية على C9800 WLC إما كما هو أو تعديلات لاحقة

ب) مع تحميل حزمة تسجيل الدخول المخصصة إلى C9800 WLC

ج) صفحة تسجيل دخول مخصصة مستضافة على خادم خارجي

للاستفادة من البوابة المقيدة التي توفرها مساحات DNA هي أساسا طريقة لتنفيذ مصادقة الويب الخارجية للعملاء على C9800 WLC.

تم وصف عملية مصادقة الويب الخارجية بالتفصيل على الموقع: https://www.cisco.com/c/en/us/td/docs/wireless/controller/9800/config-guide/web-authentication/b-configuring-web-based-authentication-on-cisco-catalyst-9800-series-controllers/m-external-web-authentication-configuration.html

في C9800 WLC، يتم تحديد عنوان IP الظاهري كخريطة معلمة عامة وعادة ما يكون 192.0.2.1

التكوين

الرسم التخطيطي للشبكة

توصيل وحدة التحكم 9800 بمساحات DNA من Cisco

يجب أن تكون وحدة التحكم متصلة بمساحات DNA مع أي من الخيارات - Direct Connect أو عبر موصل مسافات DNA أو مع ربط CMX.

في هذا المثال، يتم إستخدام خيار الاتصال المباشر، على الرغم من تكوين المنافذ المقيدة بنفس الطريقة لجميع الوحدات.

لتوصيل وحدة التحكم بمساحات DNA من Cisco، يجب أن تكون قادرة على الوصول إلى سحابة مساحات DNA من Cisco عبر HTTPS. لمزيد من المعلومات حول كيفية توصيل وحدة التحكم 9800 بمساحات DNA، ارجع إلى هذا الارتباط: مساحات DNA - الاتصال المباشر لوحدة التحكم 9800

إنشاء SSID على مساحات DNA

الخطوة 1. انقر على البوابات المقيدة في لوحة المعلومات لمسافات DNA:

الخطوة 2. افتح القائمة المحددة للمدخل المقيد، انقر فوق رمز الأسطر الثلاثة في الركن العلوي الأيسر من الصفحة وانقر فوق SSIDs:

الخطوة 3. انقر على إستيراد/تكوين SSID، وحدد CUWN (CMX/WLC) كنوع "الشبكة اللاسلكية" وأدخل اسم SSID:

تكوين عامل تصفية ACL و URL على وحدة التحكم 9800

لا يسمح بحركة المرور من عميل لاسلكي على الشبكة حتى تكتمل المصادقة. في حالة مصادقة الويب، يتم من أجل إكماله اتصال عميل لاسلكي ب SSID هذا ويستلم عنوان IP ثم يتم نقل حالة مدير نهج العميل إلى حالة WebAuth_reqd. بما أن العميل لم تتم مصادقته بعد، فإن كل مصدر حركة مرور البيانات من عنوان IP الخاص بالعميل يتم إسقاطه باستثناء DHCP و DNS و HTTP (الذي يتم اعتراضه وإعادة توجيهه).

بشكل افتراضي، تقوم 9800 بإنشاء قوائم التحكم في الوصول (ACL) المشفرة مسبقا للمصادقة عند إعداد شبكة WLAN الخاصة بمصادقة الويب. تتيح قوائم التحكم في الوصول (ACL) هذه التي تم ترميزها ترميزا ثابتا إمكانية وصول DHCP و DNS وحركة المرور إلى خادم مصادقة الويب الخارجي. ويتم إعادة توجيه جميع الأجزاء المتبقية مثل أي حركة مرور ل HTTP.

ومع ذلك، إذا كنت بحاجة إلى السماح بنوع حركة مرور محدد غير HTTP من خلال، فيمكنك تكوين قائمة التحكم في الوصول (ACL) مسبقة المصادقة. ستحتاج بعد ذلك إلى تقليد محتوى قائمة التحكم في الوصول (ACL) الحالية المشفرة مسبقا للمصادقة (من الخطوة 1 من هذا القسم) وتزويدها باحتياجاتك.

الخطوة 1. التحقق من قوائم التحكم في الوصول (ACL) الحالية المشفرة

CLI تشكيل:

Andressi-9800L#show ip access list

Extended IP access list WA-sec-34.235.248.212

10 permit tcp any host 34.235.248.212 eq www

20 permit tcp any host 34.235.248.212 eq 443

30 permit tcp host 34.235.248.212 eq www any

40 permit tcp host 34.235.248.212 eq 443 any

50 permit tcp any any eq domain

60 permit udp any any eq domain

70 permit udp any any eq bootpc

80 permit udp any any eq bootps

90 deny ip any any

Extended IP access list WA-v4-int-34.235.248.212

10 deny tcp any host 34.235.248.212 eq www

20 deny tcp any host 34.235.248.212 eq 443

30 permit tcp any any eq www

40 permit tcp any host 192.0.2.1 eq 443

يتم إستدعاء WA-sec-34.235.248.212 على هذا النحو لأنه قائمة تحكم في الوصول (ACL) لمدخل المدخل أو أمان مصادقة الويب (WA) التلقائي "34.235.248.212". قامت قوائم التحكم في الوصول الخاصة بالأمان بتحديد ما هو مسموح به (عند السماح) أو ما تم إسقاطه (عند الرفض)

WA-V4-int هي قائمة تحكم في الوصول (ACL) معترضة، وهي قائمة تحكم في الوصول (ACL) فردية أو قائمة تحكم في الوصول (ACL) معاد توجيهها وتحدد ما يتم إرساله إلى وحدة المعالجة المركزية (CPU) لإعادة التوجيه (عند السماح) أو ما يتم إرساله إلى مستوى البيانات (عند الرفض).

يتم تطبيق WA-V4-int34.235.248.212 أولا على حركة المرور الواردة من العميل، كما يتم الحفاظ على حركة مرور HTTP(s) نحو مدخل DNA Spaces IP 34.235.248.212 على مستوى البيانات (لا يتم إسقاط الإجراء أو إعادة توجيهه بعد، فقط يتم تسليمه إلى لوحة البيانات). وهو يرسل إلى وحدة المعالجة المركزية (لإعادة التوجيه ما عدا حركة مرور IP الظاهرية التي تتم خدمتها بواسطة خادم الويب) جميع حركة مرور HTTP(s). يتم توفير أنواع أخرى من حركة المرور لمستوى البيانات.

يسمح WA-sec-34.235.248.212 لحركة مرور HTTP و HTTPS إلى مساحة DNA IP 34.235.248.212 التي قمت بتكوينها في خريطة معلمات مصادقة الويب، كما يسمح بحركة مرور DNS و DHCP ويسقط الباقي. تم بالفعل اعتراض حركة مرور HTTP التي سيتم اعتراضها قبل أن تضرب قائمة التحكم في الوصول هذه وبالتالي لا يلزم تغطيتها بواسطة قائمة التحكم في الوصول (ACL) هذه.

ملاحظة: للحصول على عناوين IP الخاصة بمساحات DNA التي يتم السماح بها في قائمة التحكم في الوصول (ACL)، انقر فوق خيار التكوين يدويا من SSID الذي تم إنشاؤه في الخطوة 3 من القسم إنشاء SSID على مساحات DNA ضمن قسم تكوين قائمة التحكم في الوصول. يوجد مثال في القسم "ما هي عناوين IP التي تستخدمها مسافات DNA" في نهاية المستند.

تستخدم مساحات الشبكة الرقمية (DNA) عنوانين ل IP ولا تسمح الآلية الموجودة في الخطوة 1 إلا بالسماح بعنوان IP لمدخل واحد. للسماح بالوصول المسبق للمصادقة إلى المزيد من مصادر HTTP، تحتاج إلى إستخدام عوامل تصفية URL التي تحدث فجوات بشكل ديناميكي في قوائم التحكم في الوصول الخاصة ببروتوكول الإنترنت (إعادة التوجيه) والضمان (السابق) ل IPs المتعلقة بموقع الويب الذي تقوم بإدخال URL الخاص به في عامل تصفية URL. يتم تدوين طلبات DNS بشكل ديناميكي ل 9800 لمعرفة عنوان IP الخاص بعناوين URLs هذه وإضافتها إلى قوائم التحكم في الوصول (ACLs) بشكل ديناميكي.

الخطوة 2. قم بتكوين عامل تصفية URL للسماح بمجال "مساحات DNA". انتقل إلى التكوين > الأمان > عوامل تصفية URL، وانقر فوق +إضافة وتكوين اسم القائمة، وحدد PRE-AUTH كنوع، والإجراء هو ALLOWED وعنوان URL splash.dnaspace.io(أو .eu إذا كنت تستخدم مدخل أوروبا والشرق الأوسط وإفريقيا):

CLI تشكيل:

Andressi-9800L(config)#urlfilter list

Andressi-9800L(config-urlfilter-params)#action permit

Andressi-9800L(config-urlfilter-params)#url splash.dnaspaces.io

يمكن تكوين SSID لاستخدام خادم RADIUS أو بدونه. في حالة تكوين مدة جلسة العمل هذه أو الحد الأقصى للنطاق الترددي أو توفير الإنترنت بسلاسة في قسم الإجراءات ضمن تكوين قاعدة المدخل الموقوف، فسيلزم تكوين SSID باستخدام خادم RADIUS، وإلا، فلا حاجة لاستخدام خادم RADIUS. يتم دعم جميع أنواع البوابات على مساحات DNA على كلا التكوينين.

مدخل أسير بدون خادم RADIUS على مساحات DNA

تكوين خريطة معلمة مصادقة الويب على وحدة التحكم 9800

الخطوة 1. انتقل إلى التكوين > الأمان > مصادقة الويب، انقر فوق +إضافة لإنشاء خريطة معلمة جديدة. في الإطار الذي يظهر اسم خريطة المعلمة، حدد الموافقة كنوع:

الخطوة 2. انقر فوق خريطة المعلمات التي تم تكوينها في الخطوة السابقة، وانتقل إلى علامة التبويب خيارات متقدمة، وأدخل عنوان URL لإعادة التوجيه، وإلحاق لعنوان MAC لنقطة الوصول، وإلحاق لعنوان MAC للعميل، وإلحاق لمعرف SSID للشبكة المحلية اللاسلكية (WLAN) وعنوان IPv4 للمدخل كما هو موضح انقر تحديث وتطبيق:

ملاحظة: للحصول على عنوان URL الخاص بصفحة البداية وعنوان إعادة توجيه IPv4، انقر فوق خيار التكوين يدويا في صفحة SSID الخاصة بمساحات DNA. وهذا موضح في نهاية المستند في "ما هو عنوان URL الذي تستخدمه بوابة "DNA Spaces"؟

ملاحظة: يمكن أن تحل مدخل مسافات DNA من Cisco على عنوانين IP، ولكن وحدة التحكم 9800 تسمح بتكوين عنوان IP واحد فقط، واختر أي من عناوين IP هذه وتكوينها على خريطة المعلمة كعنوان IPv4 للمدخل.

ملاحظة: تأكد من تم تكوين كل من عنواني IPv4 و IPv6 الافتراضيين في خريطة معلمات مصادقة الويب العالمية،. في حالة عدم تكوين IPv6 الظاهري، تتم أحيانا إعادة توجيه العملاء إلى البوابة الداخلية بدلا من مدخل DNA Spaces الذي تم تكوينه. ولهذا السبب يجب تكوين عنوان IP ظاهري دائما. يمكن تكوين "192.0.2.1" على هيئة IPv4 ظاهري و FE80:0:0:903a::11E4 على هيئة IPv6 ظاهري. هناك أسباب قليلة أو معدومة لاستخدام عناوين IP أخرى من تلك.

CLI تشكيل:

Andressi-9800L(config)#parameter-map type webauth

Andressi-9800L(config-params-parameter-map)#type consent

Andressi-9800L(config-params-parameter-map)#timeout init-state sec 600

Andressi-9800L(config-params-parameter-map)#redirect for-login

Andressi-9800L(config-params-parameter-map)#redirect append ap-mac tag ap_mac

Andressi-9800L(config-params-parameter-map)#redirect append wlan-ssid tag wlan

Andressi-9800L(config-params-parameter-map)#redirect append client-mac tag client_mac

Andressi-9800L(config-params-parameter-map)#redirect portal ipv4

Andressi-9800L(config-params-parameter-map)#logout-window-disabled

Andressi-9800L(config-params-parameter-map)#success-window-disabled

قم بإنشاء SSID في وحدة التحكم 9800

الخطوة 1. انتقل إلى التكوين > علامات وملفات التعريف > شبكات WLAN، انقر +إضافة. قم بتكوين اسم التوصيف و SSID وتمكين شبكة WLAN. تأكد من أن اسم SSID هو نفس اسم المكون في الخطوة 3 من القسم إنشاء SSID في مساحات DNA.

الخطوة 2. انتقل إلى التأمين > الطبقة 2. اضبط حالة تأمين الطبقة 2 على بلا، تأكد من تعطيل تصفية MAC.

الخطوة 3. انتقل إلى التأمين > الطبقة 3. تمكين نهج ويب، تكوين تعيين معلمة مصادقة ويب. انقر فوق تطبيق على الجهاز.

تكوين ملف تعريف النهج على وحدة التحكم 9800

الخطوة 1. انتقل إلى التكوين > علامات وملفات التعريف > السياسة وقم بإنشاء توصيف سياسة جديد أو أستخدم ملف تعريف السياسة الافتراضي. في علامة التبويب سياسات الوصول، قم بتكوين شبكة VLAN الخاصة بالعميل وأضف عامل تصفية URL.

تكوين علامة النهج على وحدة التحكم 9800

الخطوة 1. انتقل إلى التكوين > العلامات وملفات التعريف > السياسة. قم بإنشاء علامة نهج جديدة أو أستخدم علامة النهج الافتراضية. قم بتعيين شبكة WLAN إلى ملف تعريف النهج في علامة النهج.

الخطوة 2. تطبيق علامة النهج على نقطة الوصول لبث SSID. انتقل إلى التكوين > لاسلكي > نقاط الوصول، وحدد نقطة الوصول المعنية وأضف علامة النهج. وهذا يتسبب في أن تعيد نقطة الوصول تشغيل نفق CAPWAP الخاص بها والانضمام مرة أخرى إلى وحدة التحكم 9800:

CLI تشكيل:

Andressi-9800L(config)#wlan

Andressi-9800L(config-wlan)#no security wpa

Andressi-9800L(config-wlan)#no security wpa akm dot1x

Andressi-9800L(config-wlan)#no security wpa wpa2 ciphers aes

Andressi-9800L(config-wlan)#security web-auth

Andressi-9800L(config-wlan)#security web-auth parameter-map

Andressi-9800L(config-wlan)#no shutdown

Andressi-9800L(config)#wireless profile policy

Andressi-9800L(config-wireless-policy)#vlan <id>

Andressi-9800L(config-wireless-policy)#urlfilter list pre-auth-filter

Andressi-9800L(config-wireless-policy)#no shutdown

Andressi-9800L(config)#wireless tag policy

Andressi-9800L(config-policy-tag)#wlan

policy

بوابة بديلة مزودة بخادم RADIUS على مساحات DNA

ملاحظة: يدعم خادم DNA Spaces RADIUS مصادقة PAP القادمة من وحدة التحكم فقط.

تكوين خريطة معلمة مصادقة الويب على وحدة التحكم 9800

الخطوة 1. إنشاء خريطة معلمة مصادقة ويب. انتقل إلى التكوين > الأمان > مصادقة الويب، وانقر فوق +إضافة، ثم قم بتكوين اسم خريطة المعلمة، وحدد مصادقة الويب كنوع:

الخطوة 2. انقر فوق خريطة المعلمة المكونة في الخطوة 1، وانقر فوق خيارات متقدمة وأدخل إعادة التوجيه لتسجيل الدخول، وإضافة إلى عنوان MAC لنقطة الوصول، وإلحاق لعنوان MAC للعميل، وإلحاق لمعرف SSID للشبكة المحلية اللاسلكية (WLAN) وعنوان IPv4 للمدخل. انقر فوق تحديث وتطبيق:

ملاحظة: للحصول على عنوان URL الخاص بصفحة البداية وعنوان إعادة توجيه IPv4، انقر فوق خيار التكوين اليدوي من SSID الذي تم إنشاؤه في الخطوة 3 من القسم إنشاء SSID على مساحات DNA ضمن قسم إنشاء SSIDs في قسم الاتصال المباشر الخاص ب WLC إنشاء تكوين قائمة التحكم في الوصول على التوالي.

ملاحظة: يمكن أن تحل بوابة مساحات DNA من Cisco على عنوانين IP، ولكن وحدة التحكم 9800 تسمح بتكوين عنوان IP واحد فقط، في حالة واحدة أختر أي من عناوين IP هذه ليتم تكوينها على خريطة المعلمة كعنوان IPv4 للمدخل.

ملاحظة: تأكد من تكوين كل من عنواني IPv4 و IPv6 الافتراضيين في خريطة معلمات مصادقة الويب العالمية.إذا لم يتم تكوين IPv6 الظاهري، تتم أحيانا إعادة توجيه العملاء إلى البوابة الداخلية بدلا من مدخل DNA Spaces الذي تم تكوينه. ولهذا السبب يجب تكوين عنوان IP ظاهري دائما. يمكن تكوين "192.0.2.1" على هيئة IPv4 ظاهري و FE80:0:0:903a::11E4 على هيئة IPv6 ظاهري. هناك أسباب قليلة أو معدومة لاستخدام عناوين IP أخرى من تلك.

CLI تشكيل:

Andressi-9800L(config)#parameter-map type webauth

Andressi-9800L(config-params-parameter-map)#type webauth

Andressi-9800L(config-params-parameter-map)#timeout init-state sec 600

Andressi-9800L(config-params-parameter-map)#redirect for-login

Andressi-9800L(config-params-parameter-map)#redirect append ap-mac tag ap_mac

Andressi-9800L(config-params-parameter-map)#redirect append wlan-ssid tag wlan

Andressi-9800L(config-params-parameter-map)#redirect append client-mac tag client_mac

Andressi-9800L(config-params-parameter-map)#redirect portal ipv4

Andressi-9800L(config-params-parameter-map)#logout-window-disabled

Andressi-9800L(config-params-parameter-map)#success-window-disabled

تهيئة خوادم RADIUS على وحدة التحكم 9800

الخطوة 1. قم بتكوين خوادم RADIUS. تعمل مساحات بنية الشبكة الرقمية (DNA) من Cisco بخادم RADIUS لمصادقة المستخدم ويمكنها الاستجابة على عنواني IP. انتقل إلى التكوين > الأمان > AAA، انقر فوق +إضافة وقم بتكوين كلا خادمي RADIUS:

ملاحظة: للحصول على عنوان RADIUS ومفتاح سري لكل من الخوادم الأساسية والثانوية، انقر على خيار التكوين اليدوي من SSID الذي تم إنشاؤه في الخطوة 3 من القسم أنشئ SSID على مساحات DNA وانتقل إلى قسم تكوين خادم RADIUS.

الخطوة 2. قم بتكوين مجموعة خوادم RADIUS وأضف كلا خادمي RADIUS. انتقل إلى التكوين > الأمان > AAA > الخوادم / المجموعات > RADIUS > مجموعات الخوادم، انقر فوق +إضافة، قم بتكوين اسم مجموعة الخوادم، محدد عناوين MAC كواصلة، تصفية عناوين MAC مثل MAC، وقم بتعيين خادمي RADIUS:

الخطوة 3. قم بتكوين قائمة أساليب المصادقة. انتقل إلى التكوين > التأمين > AAA > قائمة طرق AAA > المصادقة، انقر +إضافة. قم بتكوين اسم قائمة الطرق، ثم حدد تسجيل الدخول كنوع، ثم قم بتعيين مجموعة الخوادم:

الخطوة 4. تكوين قائمة أساليب التخويل. انتقل إلى التكوين > الأمان > AAA > قائمة طرق AAA > التفويض، انقر فوق +إضافة. قم بتكوين اسم قائمة الطرق، ثم حدد الشبكة كنوع، ثم قم بتعيين مجموعة الخوادم:

قم بإنشاء SSID في وحدة التحكم 9800

الخطوة 1. انتقل إلى التكوين > علامات وملفات التعريف > شبكات WLAN، انقر +إضافة. قم بتكوين اسم التوصيف و SSID وتمكين شبكة WLAN. تأكد من أن اسم SSID هو نفس اسم المكون في الخطوة 3 من القسم إنشاء SSID في مساحات DNA.

الخطوة 2. انتقل إلى التأمين > الطبقة 2. اضبط وضع تأمين الطبقة 2 على بلا، وقم بتمكين تصفية MAC وإضافة قائمة التخويل:

الخطوة 3. انتقل إلى التأمين > الطبقة 3. تمكين نهج ويب وتكوين خريطة معلمات مصادقة الويب وقائمة المصادقة. تمكين على فشل مرشح Mac وإضافة قائمة التحكم في الوصول (ACL) للمصادقة المسبقة. انقر فوق تطبيق على الجهاز.

تكوين ملف تعريف النهج على وحدة التحكم 9800

الخطوة 1. انتقل إلى التكوين > علامات وملفات التعريف > السياسة وقم بإنشاء توصيف سياسة جديد أو أستخدم ملف تعريف السياسة الافتراضي. في علامة التبويب سياسات الوصول، قم بتكوين شبكة VLAN الخاصة بالعميل وأضف عامل تصفية URL.

الخطوة 2. في علامة التبويب خيارات متقدمة، قم بتمكين تجاوز AAA وتكوين قائمة طرق المحاسبة إختياريا:

تكوين علامة النهج على وحدة التحكم 9800

الخطوة 1. انتقل إلى التكوين > العلامات وملفات التعريف > السياسة. قم بإنشاء علامة نهج جديدة أو أستخدم علامة النهج الافتراضية. قم بتعيين شبكة WLAN إلى ملف تعريف النهج في علامة النهج.

الخطوة 2. تطبيق علامة النهج على نقطة الوصول لبث SSID. انتقل إلى التكوين > لاسلكي > نقاط الوصول، وحدد نقطة الوصول المعنية وأضف علامة النهج. وهذا يتسبب في أن تعيد نقطة الوصول تشغيل نفق CAPWAP الخاص بها والانضمام مرة أخرى إلى وحدة التحكم 9800:

CLI تشكيل:

Andressi-9800L(config)#wlan

Andressi-9800L(config-wlan)#ip access-group web

Andressi-9800L(config-wlan)#no security wpa

Andressi-9800L(config-wlan)#no security wpa akm dot1x

Andressi-9800L(config-wlan)#no security wpa wpa2 ciphers aes

Andressi-9800L(config-wlan)#mac-filtering

Andressi-9800L(config-wlan)#security web-auth

Andressi-9800L(config-wlan)#security web-auth authentication-list

Andressi-9800L(config-wlan)#security web-auth on-macfilter-failure

Andressi-9800L(config-wlan)#security web-auth parameter-map

Andressi-9800L(config-wlan)#no shutdown

Andressi-9800L(config)#wireless profile policy

Andressi-9800L(config-wireless-policy)#aaa-override

Andressi-9800L(config-wireless-policy)#accounting-list

Andressi-9800L(config-wireless-policy)#vlan <id>

Andressi-9800L(config-wireless-policy)#urlfilter list pre-auth-filter

Andressi-9800L(config-wireless-policy)#no shutdown

Andressi-9800L(config)#wireless tag policy

Andressi-9800L(config-policy-tag)#wlan

policy

تكوين خريطة المعلمة العامة

خطوة غير مستحسنة: قم بتشغيل هذه الأوامر للسماح بإعادة توجيه HTTPS ولكن الرجاء ملاحظة أن إعادة التوجيه في حركة مرور HTTPS العميل غير مطلوبة إذا قام نظام تشغيل العميل بالكشف عن المدخل الموقوف وتسبب في إستخدام أكثر كثافة لوحدة المعالجة المركزية (CPU) وتلقي دائما تحذيرا بالشهادة. لذلك يوصى بتجنب تكوينها ما لم تكن هناك حاجة إليها لحالة إستخدام محددة للغاية.

Andressi-9800L(config)#parameter-map type webauth global

Andressi-9800L(config-params-parameter-map)#intercept-https-enable

ملاحظة: يجب أن يكون لديك شهادة SSL صالحة لبروتوكول IP الظاهري المثبت في وحدة التحكم اللاسلكية Cisco Catalyst 9800 Series.

الخطوة 1. انسخ الملف المعتمد بالملحق .p12 إلى خادم TFTP وشغل هذا الأمر لنقل الشهادة وتثبيتها في وحدة التحكم 9800:

Andressi-9800L(config)#crypto pki import

pkcs12 tftp://

:/ password

الخطوة 2. لتعيين الشهادة المثبتة إلى خريطة معلمات مصادقة الويب، قم بتشغيل الأوامر التالية:

Andressi-9800L(config)#parameter-map type webauth global

Andressi-9800L(config-params-parameter-map)#trustpoint

إنشاء البوابة على مساحات DNA

الخطوة 1. انقر على البوابات المقيدة في لوحة المعلومات لمسافات DNA:

الخطوة 2. انقر على إنشاء جديد، وأدخل اسم المدخل وحدد المواقع التي يمكنها إستخدام المدخل:

الخطوة 3. حدد نوع المصادقة، أختر إذا كنت تريد عرض التقاط البيانات واتفاقيات المستخدم في الصفحة الرئيسية للمدخل وإذا كان يسمح للمستخدمين باختيار تلقي رسالة. طقطقت بعد ذلك:

الخطوة 4. تكوين عناصر التقاط البيانات. إذا كنت تريد التقاط بيانات من المستخدمين، حدد مربع تمكين التقاط البيانات وانقر فوق +إضافة عنصر حقل لإضافة الحقول المطلوبة. طقطقت بعد ذلك:

الخطوة 5. تحقق من شروط التمكين وانقر فوق حفظ وتكوين البوابة:

الخطوة 6. قم بتحرير المدخل حسب الحاجة، انقر فوق حفظ:

تكوين قواعد البوابة المقيدة على مساحات DNA

الخطوة 1. انقر على البوابات المقيدة في لوحة المعلومات لمسافات DNA:

الخطوة 2. افتح قائمة المدخل المقيد وانقر فوق قواعد المدخل المقيد:

الخطوة 3. انقر فوق + إنشاء قاعدة جديدة. أدخل اسم القاعدة، أختر SSID الذي تم تكوينه مسبقا.

الخطوة 4. حدد المواقع التي يتوفر فيها المدخل. انقر فوق + إضافة مواقع في قسم المواقع. أختر المطلوب من التدرج الهرمي للمواقع.

الخطوة 5. أختر الإجراء الخاص بالبوابة المقيدة. في هذه الحالة، عند الوصول إلى القاعدة، يتم عرض المدخل. انقر فوق حفظ ونشر.

الحصول على معلومات محددة من مساحات DNA

ما هي عناوين IP التي تستخدمها مساحات DNA ؟

للتحقق من ما يستخدمه IP من مساحات DNA للمدخل في منطقتك، انتقل إلى صفحة Captival Portal على الصفحة الرئيسية لمساحة DNA. انقر على SSID في القائمة اليسرى ثم انقر على التكوين يدويا تحت SSID الخاص بك. يتم ذكر عناوين IP في مثال قائمة التحكم في الوصول (ACL). هذه هي عناوين IP الخاصة بالمدخل للاستخدام في قوائم التحكم في الوصول ومخطط معلمات مصادقة الويب. تستخدم مساحات DNA عنوان IP آخر لاتصال NMSP/السحابة الإجمالي لمستوى التحكم.

في القسم الأول من القائمة المنبثقة التي تظهر، تعرض الخطوة 7 عناوين IP المذكورة في تعريف قائمة التحكم في الوصول (ACL). لا تحتاج إلى تنفيذ هذه التعليمات وإنشاء أي قائمة تحكم في الوصول (ACL)، فقط لاحظ عناوين IP. هذه هي عناوين IP التي تستخدمها البوابة في منطقتك

ما هو عنوان URL الذي تستخدمه بوابة تسجيل الدخول إلى DNA Spaces ؟

للتحقق من ما تستخدمه مساحات DNA الخاصة بعنوان URL الخاص بوابة تسجيل الدخول للمدخل في منطقتك، انتقل إلى صفحة Captival Portal على الصفحة الرئيسية لمساحة DNA. انقر على SSID في القائمة اليسرى ثم انقر على التكوين يدويا تحت SSID الخاص بك.

قم بالتمرير لأسفل في القائمة المنبثقة التي تظهر وفي القسم الثاني، تظهر الخطوة 7 عنوان URL الذي يجب أن تقوم بتكوينه في خريطة المعلمة في 9800.

ما هي تفاصيل خادم RADIUS لمساحات DNA ؟

لمعرفة ما هي عناوين IP الخاصة بخادم RADIUS التي تحتاج إلى إستخدامها، بالإضافة إلى السر المشترك، انتقل إلى صفحة Captival Portal على الصفحة الرئيسية لمساحة DNA. انقر على SSID في القائمة اليسرى ثم انقر على التكوين يدويا تحت SSID الخاص بك.

في القائمة المنبثقة التي تظهر، قم بالتمرير لأسفل في القسم الثالث (RADIUS) والخطوة 7 تعطيك ip/port والسر المشترك لمصادقة RADIUS. المحاسبة إختيارية وتتم تغطيتها في الخطوة 12.

التحقق من الصحة

لتأكيد حالة عميل متصل بتنقل SSID إلى المراقبة > العملاء، انقر فوق عنوان MAC الخاص بالجهاز وابحث عن حالة "إدارة النهج":

استكشاف الأخطاء وإصلاحها

المشكلات الشائعة

1. إذا لم يكن للواجهة الظاهرية على وحدة التحكم عنوان IP مكون، تتم إعادة توجيه العملاء إلى البوابة الداخلية بدلا من بوابة إعادة التوجيه التي تم تكوينها في خريطة المعلمة.

2. إذا كان العملاء يتلقون خطأ 503 أثناء إعادة توجيههم إلى البوابة على مساحات DNA، فتأكد من تكوين وحدة التحكم في التسلسل الهيكلي للموقع على مساحات DNA.

التتبع الدائم

يوفر WLC 9800 إمكانات التتبع الدائمة. وهذا يضمن تسجيل جميع الأخطاء المتعلقة باتصال العميل والتنبيهات ورسائل مستوى الإشعار بشكل مستمر، كما يمكنك عرض السجلات الخاصة بحادث أو حالة فشل بعد حدوثه.

ملاحظة: استنادا إلى حجم السجلات التي يتم إنشاؤها، يمكنك الرجوع بضع ساعات إلى عدة أيام.

لعرض المسارات التي تم تجميعها بواسطة عنصر التحكم في الشبكة المحلية اللاسلكية (WLC) طراز 9800 بشكل افتراضي، يمكنك الاتصال عبر SSH/Telnet بعنصر التحكم في الشبكة المحلية اللاسلكية (WLC) طراز 9800 والقيام بهذه الخطوات (تأكد من تسجيل الجلسة إلى ملف نصي).

الخطوة 1. تحقق من الوقت الحالي لوحدة التحكم بحيث يمكنك تعقب السجلات في الوقت السابق إلى وقت حدوث المشكلة.

# show clock

الخطوة 2. قم بتجميع syslog من المخزن المؤقت لوحدة التحكم أو syslog الخارجية كما هو محدد بواسطة تكوين النظام. يوفر هذا طريقة عرض سريعة لصحة النظام والأخطاء إن وجدت.

# show logging

الخطوة 3. تحقق ما إذا تم تمكين أي شروط تصحيح أخطاء.

# show debugging

Cisco IOS-XE Conditional Debug Configs:

Conditional Debug Global State: Stop

Cisco IOS-XE Packet Tracing Configs:

Packet Infra debugs:

Ip Address                                               Port

------------------------------------------------------|----------

ملاحظة: إذا رأيت أي شرط مدرج في القائمة، فهذا يعني أنه يتم تسجيل المسارات إلى مستوى تصحيح الأخطاء لجميع العمليات التي تواجه الشروط الممكنة (عنوان MAC وعنوان IP، وما إلى ذلك). وهذا من شأنه أن يزيد من حجم السجلات. لذلك، يُوصى بمسح جميع الشروط عند عدم التصحيح النشط

الخطوة 4. إذا لم يكن عنوان MAC تحت الاختبار مدرجا كشرط في الخطوة 3، قم بتجميع آثار مستوى الإشعار الموجودة دائما لعنوان MAC المحدد.

# show logging profile wireless filter { mac | ip } { <aaaa.bbbb.cccc> | <a.b.c.d> } to-file always-on-<FILENAME.txt>

يمكنك إما عرض المحتوى على الجلسة أو يمكنك نسخ الملف إلى خادم TFTP خارجي.

# more bootflash:always-on-<FILENAME.txt>

or

# copy bootflash:always-on-<FILENAME.txt> tftp://a.b.c.d/path/always-on-<FILENAME.txt>

التصحيح الشرطي والتتبع النشط اللاسلكلي

إذا لم تمنحك المسارات الدائمة معلومات كافية لتحديد مشغل المشكلة قيد التحقيق، يمكنك تمكين تصحيح الأخطاء المشروط والتقاط تتبع Radio Active (RA)، الذي يوفر تتبع مستوى تصحيح الأخطاء لجميع العمليات التي تتفاعل مع الشرط المحدد (عنوان MAC للعميل في هذه الحالة). لتمكين تصحيح الأخطاء المشروط، قم بهذه الخطوات.

الخطوة 1. تأكد من عدم تمكين شروط تصحيح الأخطاء.

# clear platform condition all

الخطوة 2. قم بتمكين شرط تصحيح الأخطاء لعنوان MAC للعميل اللاسلكي الذي تريد مراقبته.

تبدأ هذه الأوامر بمراقبة عنوان mac المتوفر لمدة 30 دقيقة (1800 ثانية). يمكنك زيادة هذا الوقت اختياريًا حتى 2085978494 ثانية.

# debug wireless mac <aaaa.bbbb.cccc> {monitor-time <seconds>}

ملاحظة: لمراقبة أكثر من عميل واحد في كل مرة، قم بتشغيل الأمر debug wireless mac <aaa.bbbb.cccc> لكل عنوان MAC.

ملاحظة: لا ترى إخراج نشاط العميل على جلسة العمل الطرفية، حيث يتم تخزين كل شيء مؤقتا داخليا لعرضه لاحقا.

الخطوة 3. قم بإعادة إنتاج المشكلة أو السلوك الذي تريد مراقبته.

الخطوة 4. قم بإيقاف تصحيح الأخطاء إذا تم نسخ المشكلة قبل انتهاء وقت المراقبة الافتراضي أو المكون.

# no debug wireless mac <aaaa.bbbb.cccc>

بمجرد انقضاء وقت المراقبة أو توقف التصحيح اللاسلكي، ينشئ WLC 9800 ملفًا محليًا باسم:

ra_trace_MAC_aaaabbbbcccc_HHMMSS.XXX_timezone_DayWeek_Month_Day_year.log

الخطوة 5. قم بتجميع ملف نشاط عنوان mac.    يمكنك إما نسخ الأمر RA trace  .log إلى خادم خارجي أو عرض المخرجات مباشرة على الشاشة.

التحقق من اسم ملف تتبع مسار RA

# dir bootflash: | inc ra_trace

نسخ الملف إلى خادم خارجي:

# copy bootflash:ra_trace_MAC_aaaabbbbcccc_HHMMSS.XXX_timezone_DayWeek_Month_Day_year.log tftp://a.b.c.d/ra-FILENAME.txt

عرض المحتوى:

# more bootflash:ra_trace_MAC_aaaabbbbcccc_HHMMSS.XXX_timezone_DayWeek_Month_Day_year.log

الخطوة 6. إذا كان السبب الرئيسي لا يزال غير واضح، فقم بجمع السجلات الداخلية التي تعد طريقة عرض توضيحية أكثر لسجلات مستوى تصحيح الأخطاء. لا تحتاج إلى تصحيح أخطاء العميل مرة أخرى حيث إننا نلقي نظرة أكثر تفصيلا على سجلات تصحيح الأخطاء التي تم تجميعها بالفعل وتخزينها داخليا.

# show logging profile wireless internal filter { mac | ip } { <aaaa.bbbb.cccc> | <a.b.c.d> } to-file ra-internal-<FILENAME>.txt

ملاحظة: يؤدي إخراج الأمر هذا إلى إرجاع آثار لجميع مستويات التسجيل لجميع العمليات وهو كبير الحجم إلى حد ما. يُرجى إشراك Cisco TAC للمساعدة في تحليل مسارات التتبع هذه.

يمكنك إما نسخ RA-internal-FILEName.txt إلى خادم خارجي أو عرض المخرج مباشرة على الشاشة.

نسخ الملف إلى خادم خارجي:

# copy bootflash:ra-internal-<FILENAME>.txt tftp://a.b.c.d/ra-internal-<FILENAME>.txt

عرض المحتوى:

# more bootflash:ra-internal-<FILENAME>.txt

الخطوة 7. قم بإزالة شروط تصحيح الأخطاء.

# clear platform condition all

ملاحظة: تأكد من إزالة شروط تصحيح الأخطاء دائما بعد جلسة أستكشاف الأخطاء وإصلاحها.

مثال لمحاولة ناجحة

هذا هو مخرج RA_TRACE لمحاولة ناجحة لتعريف كل مرحلة من المراحل أثناء عملية الاقتران/المصادقة أثناء التوصيل بمعرف SSID بدون خادم RADIUS.

802. 11 الاقتران/المصادقة:

Association received. BSSID 10b3.d694.00ee, WLAN 9800DNASpaces, Slot 1 AP 10b3.d694.00e0, 2802AP-9800L

Received Dot11 association request. Processing started,SSID: 9800DNASpaces1, Policy profile: DNASpaces-PP, AP Name: 2802AP-9800L, Ap Mac Address: 10b3.d694.00e0 BSSID MAC0000.0000.0000 wlan ID: 1RSSI: 0, SNR: 32

Client state transition: S_CO_INIT -> S_CO_ASSOCIATING

dot11 send association response. Sending association response with resp_status_code: 0

dot11 send association response. Sending assoc response of length: 144 with resp_status_code: 0, DOT11_STATUS: DOT11_STATUS_SUCCESS

Association success. AID 1, Roaming = False, WGB = False, 11r = False, 11w = False

DOT11 state transition: S_DOT11_INIT -> S_DOT11_ASSOCIATED

Station Dot11 association is successful

عملية التعرف على IP:

IP-learn state transition: S_IPLEARN_INIT -> S_IPLEARN_IN_PROGRESS

Client IP learn successful. Method: ARP IP: 10.10.30.42

IP-learn state transition: S_IPLEARN_IN_PROGRESS -> S_IPLEARN_COMPLETE

Received ip learn response. method: IPLEARN_METHOD_AR

مصادقة من المستوى الثالث:

Triggered L3 authentication. status = 0x0, Success

Client state transition: S_CO_IP_LEARN_IN_PROGRESS -> S_CO_L3_AUTH_IN_PROGRESS

L3 Authentication initiated. LWA

Client auth-interface state transition: S_AUTHIF_L2_WEBAUTH_DONE -> S_AUTHIF_WEBAUTH_PENDING

Client auth-interface state transition: S_AUTHIF_L2_WEBAUTH_DONE -> S_AUTHIF_WEBAUTH_PENDING

[webauth-httpd] [17798]: (info): capwap_90000005[34e1.2d23.a668][10.10.30.42]GET rcvd when in INIT state

[webauth-httpd] [17798]: (info): capwap_90000005[34e1.2d23.a668][10.10.30.42]HTTP GET request

[webauth-httpd] [17798]: (info): capwap_90000005[34e1.2d23.a668][10.10.30.42]Parse GET, src [10.10.30.42] dst [13.107.4.52] url [http://www.msftconnecttest.com/connecttest.txt]

[webauth-httpd] [17798]: (info): capwap_90000005[34e1.2d23.a668][10.10.30.42]Retrieved user-agent = Microsoft NCSI

[webauth-httpd] [17798]: (info): capwap_90000005[34e1.2d23.a668][10.10.30.42]GET rcvd when in LOGIN state

[webauth-httpd] [17798]: (info): capwap_90000005[34e1.2d23.a668][10.10.30.42]HTTP GET request

[webauth-httpd] [17798]: (info): capwap_90000005[34e1.2d23.a668][10.10.30.42]Parse GET, src [10.10.30.42] dst [151.101.24.81] url [http://www.bbc.com/]

[webauth-httpd] [17798]: (info): capwap_90000005[34e1.2d23.a668][10.10.30.42]Retrieved user-agent = Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0) like Gecko

[webauth-httpd] [17798]: (info): capwap_90000005[34e1.2d23.a668][10.10.30.42]POST rcvd when in LOGIN state

نجحت مصادقة الطبقة 3، قم بنقل العميل إلى حالة RUN:

[34e1.2d23.a668:capwap_90000005] Received User-Name 34E1.2D23.A668 for client 34e1.2d23.a668

L3 Authentication Successful. ACL:[]

Client auth-interface state transition: S_AUTHIF_WEBAUTH_PENDING -> S_AUTHIF_WEBAUTH_DONE

%CLIENT_ORCH_LOG-6-CLIENT_ADDED_TO_RUN_STATE: Username entry (34E1.2D23.A668) joined with ssid (9800DNASpaces) for device with MAC: 34e1.2d23.a668

Managed client RUN state notification: 34e1.2d23.a668

Client state transition: S_CO_L3_AUTH_IN_PROGRESS -> S_CO_RU