Inhalt

Einführung

Voraussetzungen

Anforderungen

Verwendete Komponenten

Konfiguration

Schritt 1: Aktivieren Sie Device Administration License (Gerätelizenz).

Schritt 2: Aktivieren Sie die Geräteadministration auf ISE-PSN-Knoten.

Schritt 3: Erstellen einer Netzwerkgerätegruppe.

Schritt 4: Fügen Sie WLC als Netzwerkgerät hinzu.

Schritt 5: Erstellen Sie ein TACACS-Profil für WLC.

Schritt 6: Erstellen eines Policy Set

Schritt 7: Erstellen von Authentifizierungs- und Autorisierungsrichtlinien.

Schritt 8: WLC für die Geräteadministration konfigurieren.

Überprüfen

Fehlerbehebung

Einführung

In diesem Dokument wird beschrieben, wie TACACS+ für die Geräteadministration von Cisco Wireless LAN Controller (WLC) mit der Identity Service Engine (ISE) konfiguriert wird.

Voraussetzungen

Anforderungen

Cisco empfiehlt, über Kenntnisse in folgenden Bereichen zu verfügen:

- Grundkenntnisse der Identity Service Engine (ISE)

- Grundkenntnisse des Cisco Wireless LAN Controller (WLC)

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf den folgenden Software- und Hardwareversionen:

- Cisco Identity Service Engine 2.4

- Cisco Wireless LAN Controller 8.5.135

Die Informationen in diesem Dokument wurden von den Geräten in einer bestimmten Laborumgebung erstellt. Alle in diesem Dokument verwendeten Geräte haben mit einer leeren (Standard-)Konfiguration begonnen. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die potenziellen Auswirkungen eines Befehls verstehen.

Konfiguration

Schritt 1: Aktivieren Sie Device Administration License (Gerätelizenz).

Navigieren Sie zur Registerkarte Administration > System > Licensing (Administration > System > Lizenzierung), und überprüfen Sie, ob die Device Admin-Lizenz installiert ist, wie im Bild gezeigt.

Hinweis: Für die Verwendung der TACACS+-Funktion auf der ISE ist eine Device Admin-Lizenz erforderlich.

Schritt 2: Aktivieren Sie die Geräteadministration auf ISE-PSN-Knoten.

Navigieren Sie zu Work Centers > Device Administration > Overview, klicken Sie auf die Registerkarte Deployment, wählen Sie das Optionsfeld Specific PSN Node (Spezifischer PSN-Knoten). Aktivieren Sie die Geräteadministration auf dem ISE-Knoten, indem Sie das Kontrollkästchen aktivieren und auf Speichern klicken, wie im Bild gezeigt:

Schritt 3: Erstellen einer Netzwerkgerätegruppe.

Um WLC als Netzwerkgerät zur ISE hinzuzufügen, wählen Sie Administration > Network Resources > Network Device Groups > All Device Types (Verwaltung > Netzwerkressourcen > Netzwerkgerätegruppen > Alle Gerätetypen), erstellen Sie eine neue Gruppe für WLC, wie im Bild gezeigt:

Schritt 4: Fügen Sie WLC als Netzwerkgerät hinzu.

Navigieren Sie zu Work Centers > Device Administration > Network Resources > Network Devices. Klicken Sie auf Hinzufügen, geben Sie Name, IP-Adresse an, wählen Sie den Gerätetyp als WLC aus, aktivieren Sie das Kontrollkästchen TACACS+ Authentication Settings (TACACS+-Authentifizierungseinstellungen), und stellen Sie den Schlüssel für den gemeinsamen geheimen Schlüssel bereit, wie im Bild gezeigt:

Schritt 5: Erstellen Sie ein TACACS-Profil für WLC.

Navigieren Sie zu Work Centers > Device Administration > Policy Elements > Results > TACACS Profiles. Klicken Sie auf Hinzufügen, und geben Sie einen Namen an. Wählen Sie auf der Registerkarte Aufgabenattribut-Ansicht WLC für allgemeinen Aufgabentyp aus. Es sind Standardprofile vorhanden, aus denen Monitor ausgewählt wird, um den Benutzern eingeschränkten Zugriff zu ermöglichen, wie im Bild gezeigt.

Es gibt ein anderes Standardprofil All, das den vollen Zugriff auf den Benutzer ermöglicht, wie im Bild gezeigt.

Schritt 6: Erstellen eines Policy Set

Navigieren Sie zu Work Center > Device Administration > Device Admin Policy Sets (Geräteverwaltung > Geräte-Admin-Richtliniensätze). Klicken Sie auf (+), und geben Sie dem Policy Set einen Namen. Wählen Sie in der Richtlinienbedingung Gerätetyp als WLC aus. Zulässige Protokolle können Standardgerätadministrator sein, wie im Bild gezeigt.

Schritt 7: Erstellen von Authentifizierungs- und Autorisierungsrichtlinien.

In diesem Dokument werden zwei Beispielgruppen Admin-Read-Write und Admin-Read-Only im Active Directory und ein Benutzer in jeder Gruppe admin1, admin2 konfiguriert. Active Directory ist über einen Joinpoint namens AD-JointName in die ISE integriert.

Erstellen Sie zwei Autorisierungsrichtlinien, wie im Bild gezeigt:

Schritt 8: WLC für die Geräteadministration konfigurieren.

Navigieren Sie zu Security > AAA > TACACS+ klicken Sie auf New, und fügen Sie, wie im Bild gezeigt, den Authentication, Accounting Server hinzu.

Ändern Sie die Prioritätsreihenfolge, und machen Sie TACACS+ oben und lokal nach unten, wie im Bild gezeigt:

Vorsicht: Schließen Sie die aktuelle GUI-Sitzung des WLC nicht. Es wird empfohlen, die WLC-GUI in einem anderen Webbrowser zu öffnen und zu überprüfen, ob die Anmeldung mit TACACS+-Anmeldeinformationen funktioniert. Falls nicht, überprüfen Sie die Konfiguration und die Verbindung zum ISE-Knoten am TCP-Port 49.

Überprüfen

Navigieren Sie zu Operations > TACACS > Live logs (Vorgänge > TACACS > Live-Protokolle), und überwachen Sie die Live Logs (Live-Protokolle). Öffnen Sie die WLC-GUI, und melden Sie sich mit den Anmeldeinformationen des Active Directory-Benutzers an, wie im Bild gezeigt.

Fehlerbehebung

Für diese Konfiguration sind derzeit keine spezifischen Informationen zur Fehlerbehebung verfügbar.