Inhalt

Einführung

Voraussetzungen

Anforderungen

Verwendete Komponenten

Konfigurieren

Netzwerkdiagramm

Herausforderungen durch Unterstützung von Drittanbietern

Sitzungen

URL-Umleitung

CoA

Lösung auf ISE

Cisco ISE

Schritt 1: Aruba Wireless Controller zu Netzwerkgeräten hinzufügen

Schritt 2: Autorisierungsprofil konfigurieren

Schritt 3: Autorisierungsregeln konfigurieren

Aruba AP

Schritt 1: Captive Portal-Konfiguration

Schritt 2: Radius-Serverkonfiguration

Schritt 3: SSID-Konfiguration

Überprüfen

Schritt 1: Verbindung mit SSID mgarcarz_aruba mit EAP-PEAP

Schritt 2: Umleitung des Web-Browser-Datenverkehrs für BYOD

Schritt 3: Ausführung des Network Setup Assistant

Weitere Datenflüsse und CoA-Unterstützung

CWA mit CoA

Fehlerbehebung

Captive Portal von Aruba mit IP-Adresse statt FQDN

Aruba Captive Portal: Falsche Zugriffsrichtlinie

Aruba CoA-Portnummer

Umleitung auf einigen Aruba Geräten

Zugehörige Informationen

Einführung

In diesem Dokument wird die Fehlerbehebung für die Integration von Drittanbieterlösungen in die Cisco Identity Services Engine (ISE) beschrieben. Sie kann als Leitfaden für die Integration mit anderen Anbietern und Datenflüssen verwendet werden. ISE Version 2.0 unterstützt die Integration von Drittanbieterlösungen. Dies ist ein Konfigurationsbeispiel, in dem die Integration eines von Aruba IAP 204 verwalteten Wireless-Netzwerks mit ISE for Bring Your Own Device (BYOD)-Services erläutert wird.

Hinweis: Beachten Sie, dass Cisco nicht für die Konfiguration oder den Support von Geräten anderer Anbieter verantwortlich ist.

Voraussetzungen

Anforderungen

Cisco empfiehlt, über Kenntnisse in folgenden Bereichen zu verfügen:

- Aruba IAP-Konfiguration

- BYOD-Datenflüsse auf der ISE

- ISE-Konfiguration für Kennwort- und Zertifikatsauthentifizierung

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf den folgenden Softwareversionen:

- Aruba IAP 204 Software 6.4.2.3

- Cisco ISE, Version 2.0 und höher

Die Informationen in diesem Dokument wurden von den Geräten in einer bestimmten Laborumgebung erstellt. Alle in diesem Dokument verwendeten Geräte haben mit einer leeren (Standard-)Konfiguration begonnen. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die potenziellen Auswirkungen eines Befehls verstehen.

Konfigurieren

Netzwerkdiagramm

Es gibt zwei Wireless-Netzwerke, die vom Aruba AP verwaltet werden. Der erste (mgarcarz_byod) wird für den 802.1x Extensible Authentication Protocol-Protected EAP (EAP-PEAP)-Zugriff verwendet. Nach erfolgreicher Authentifizierung muss der Aruba Controller den Benutzer zum ISE BYOD-Portal - Native Supplicant Provisioning (NSP) Flow umleiten. Der Benutzer wird umgeleitet, die Anwendung Network Setup Assistant (NSA) wird ausgeführt, und das Zertifikat wird bereitgestellt und auf dem Windows-Client installiert. Für diesen Prozess wird die interne ISE-CA verwendet (Standardkonfiguration). Die NSA ist auch für die Erstellung eines Wireless-Profils für den zweiten Service Set Identifier (SSID) verantwortlich, der von Aruba (mgarcarz_byod_tls) verwaltet wird. Dieser wird für die 802.1x Extensible Authentication Protocol-Transport Layer Security (EAP-TLS)-Authentifizierung verwendet.

So können Benutzer privater Geräte integrieren und sicheren Zugriff auf das Unternehmensnetzwerk erhalten.

Dieses Beispiel kann problemlos für verschiedene Zugriffstypen geändert werden, z. B.:

- Central Web Authentication (CWA) mit BYOD-Service

- 802.1x-Authentifizierung mit Status und BYOD-Umleitung

- In der Regel wird für die EAP-PEAP-Authentifizierung Active Directory verwendet (um diesen Artikel kurz zu halten, interne ISE-Benutzer werden verwendet).

- In der Regel wird für die Zertifikatsbereitstellung ein externer SCEP-Server (Simple Certificate Enrollment Protocol) verwendet. In der Regel wird der Microsoft Network Device Enrollment Service (NDES) verwendet, um diesen Artikel kurz zu halten, die interne ISE-Zertifizierungsstelle.

Herausforderungen durch Unterstützung von Drittanbietern

Welche Herausforderungen ergeben sich bei der Verwendung von ISE-Gastdatenströmen (wie BYOD, CWA, NSP, Client Provisioning Portal (CPP)) mit Geräten von Drittanbietern?

Sitzungen

Cisco Network Access Devices (NAD) verwendet Radius cisco-av-pair, die als Audit-Session-ID bezeichnet wird, um den Authentication, Authorization, and Accounting (AAA)-Server über die Sitzungs-ID zu informieren. Dieser Wert wird von der ISE verwendet, um die Sitzungen nachzuverfolgen und die richtigen Services für jeden Datenfluss bereitzustellen. Andere Anbieter bieten keine Unterstützung für Cisco-av-Paare. Daher muss sich die ISE auf IETF-Attribute verlassen, die in Access-Request und Accounting-Request empfangen wurden.

Nachdem Sie Access-Request erhalten haben, erstellt die ISE synthetisierte Cisco Session-ID (von der Calling Station-ID, vom NAS-Port, von der NAS-IP-Adresse und vom gemeinsam genutzten geheimen Schlüssel). Dieser Wert hat nur eine lokale Bedeutung (nicht über das Netzwerk gesendet). Daher wird von jedem Datenfluss (BYOD, CWA, NSP, CPP) erwartet, dass korrekte Attribute hinzugefügt werden. Die ISE kann daher die Cisco Session-ID neu berechnen und eine Suche durchführen, um sie mit der richtigen Sitzung zu korrelieren und den Datenfluss fortzusetzen.

URL-Umleitung

Die ISE verwendet Radius cisco-av-pair, auch Url-Redirect und url-redirect-acl genannt, um die NAD darüber zu informieren, dass bestimmter Datenverkehr umgeleitet werden muss.

Andere Anbieter bieten keine Unterstützung für Cisco-av-Paare. Daher müssen diese Geräte in der Regel mit einer statischen Umleitungs-URL konfiguriert werden, die auf einen bestimmten Service (Authorization Profile) der ISE verweist. Sobald der Benutzer eine HTTP-Sitzung initiiert hat, werden diese NADs an die URL umgeleitet und außerdem zusätzliche Argumente (wie IP-Adresse oder MAC-Adresse) hinzugefügt, um die ISE die Identifizierung einer bestimmten Sitzung und die Fortsetzung des Datenflusses zu ermöglichen.

CoA

Die ISE verwendet Radius cisco-av-pair namens "Subscriber:Command", "Subscriber:reauthentication-type", um anzugeben, welche Aktionen NAD für eine bestimmte Sitzung ausführen muss. Andere Anbieter bieten keine Unterstützung für Cisco-av-Paare. In der Regel verwenden diese Geräte RFC CoA (3576 oder 5176) und eine der beiden definierten Meldungen:

- Disconnect-Anfrage (auch als "Packet of Disconnect" bezeichnet) - dass man die Sitzung trennt (sehr oft, um eine erneute Verbindung zu erzwingen)

- CoA-Push: Diese Push-Funktion dient zum transparenten Ändern des Sitzungsstatus ohne Verbindungstrennung (z. B. VPN-Sitzung und neue Zugriffskontrolllisten).

Die ISE unterstützt sowohl Cisco CoA mit cisco-av-pair als auch RFC CoA 3576/5176.

Lösung auf ISE

Zur Unterstützung von Drittanbietern führte die ISE 2.0 ein Konzept von Netzwerkgeräteprofilen ein, in dem das Verhalten bestimmter Anbieter beschrieben wird: Unterstützung von Sitzungen, URL-Umleitung und CoA.

Autorisierungsprofile haben einen bestimmten Typ (Netzwerkgeräteprofil), und sobald die Authentifizierung erfolgt, wird das ISE-Verhalten von diesem Profil abgeleitet. So können Geräte anderer Anbieter problemlos über die ISE verwaltet werden. Die Konfiguration auf der ISE ist flexibel und ermöglicht die Anpassung oder Erstellung neuer Netzwerkgeräteprofile.

In diesem Artikel wird die Verwendung des Standardprofils für das Aruba Gerät dargestellt.

Weitere Informationen zur Funktion:

Geräteprofile für den Netzwerkzugriff mit der Cisco Identity Services Engine

Cisco ISE

Schritt 1: Aruba Wireless Controller zu Netzwerkgeräten hinzufügen

Navigieren Sie zu Administration > Network Resources > Network Devices (Verwaltung > Netzwerkressourcen > Netzwerkgeräte). Wählen Sie das richtige Geräteprofil für den ausgewählten Anbieter aus. In diesem Fall: ArubaWireless.  Stellen Sie sicher, dass Sie den Shared Secret- und CoA-Port wie in den Bildern gezeigt konfigurieren.

Falls kein Profil für den gewünschten Anbieter verfügbar ist, kann es unter Administration > Network Resources > Network Device Profiles konfiguriert werden.

Schritt 2: Autorisierungsprofil konfigurieren

Navigieren Sie zu Richtlinien > Richtlinienelemente > Ergebnisse > Autorisierung > Autorisierungsprofile, und wählen Sie das gleiche Netzwerkgeräteprofil aus wie in Schritt 1. ArubaWireless. Das konfigurierte Profil lautet Aruba-redirect-BYOD mit BYOD-Portal und wie in den Bildern gezeigt.

Fehlender Teil der Webumleitungskonfiguration, in der eine statische Verbindung zum Autorisierungsprofil generiert wird. Aruba unterstützt zwar keine dynamische Umleitung zum Gastportal, aber jedem Autorisierungsprofil wird ein Link zugewiesen, der auf Aruba konfiguriert und im Bild dargestellt wird.

Schritt 3: Autorisierungsregeln konfigurieren

Navigieren Sie zu Richtlinien > Autorisierungsregeln, und die Konfiguration wird wie im Bild gezeigt angezeigt.

Zunächst stellt der Benutzer eine Verbindung zu SSID mgracarz_aruba her, und die ISE gibt das Authorization Profile Aruba-redirect-BYOD zurück, das den Client zum standardmäßigen BYOD-Portal umleitet. Nach Abschluss des BYOD-Prozesses stellt der Client eine Verbindung mit EAP-TLS her, und es wird der vollständige Zugriff auf das Netzwerk gewährt.

Aruba AP

Schritt 1: Captive Portal-Konfiguration

Um Captive Portal auf Aruba 204 zu konfigurieren, navigieren Sie zu Security > External Captive Portal und fügen Sie ein neues hinzu. Geben Sie diese Informationen für die korrekte Konfiguration und wie im Bild gezeigt ein.

- Typ: Radius-Authentifizierung

- IP- oder Hostname: ISE-Server

- URL: Link, der auf der ISE unter "Authorization Profile Configuration" (Konfiguration des Autorisierungsprofils) erstellt wird; Sie ist spezifisch für ein bestimmtes Autorisierungsprofil und kann hier unter der Web Redirection-Konfiguration gefunden werden.

- Port: Portnummer, auf der das ausgewählte Portal auf der ISE gehostet wird (standardmäßig: 8443), wie im Bild gezeigt.

Schritt 2: Radius-Serverkonfiguration

Navigieren Sie zu Security > Authentication Servers (Sicherheit > Authentifizierungsserver), um sicherzustellen, dass der CoA-Port mit dem auf der ISE konfigurierten Port identisch ist, wie im Bild gezeigt. (auf Aruba 204 ist er standardmäßig auf 5999 festgelegt, dies entspricht jedoch nicht dem RFC 5176 und funktioniert auch nicht mit der ISE).

Schritt 3: SSID-Konfiguration

- Die Registerkarte Sicherheit wird im Bild angezeigt.

- Registerkarte Zugriff: Wählen Sie Network-Based Access Rule (Netzwerkbasierte Zugriffsregel), um das Captive Portal auf der SSID zu konfigurieren.

Verwenden Sie das Captive Portal, das in Schritt 1 konfiguriert wurde. Klicken Sie auf Neu, wählen Sie Regeltyp: Captive Portal, Splash page type: Extern wie im Bild dargestellt.

Darüber hinaus sollte der gesamte Datenverkehr zum ISE-Server zugelassen werden (TCP-Ports im Bereich 1-2000), während die Regel auf Aruba standardmäßig konfiguriert ist: Lassen Sie alle Ziele scheint nicht richtig funktionieren, wie im Bild gezeigt.

Überprüfen

In diesem Abschnitt überprüfen Sie, ob Ihre Konfiguration ordnungsgemäß funktioniert.

Schritt 1: Verbindung mit SSID mgarcarz_aruba mit EAP-PEAP

Das erste Authentifizierungsprotokoll auf der ISE wird angezeigt. Es wurden Standard-Authentifizierungsrichtlinien verwendet, das Autorisierungsprofil Aruba-redirect-BYOD wurde wie im Bild gezeigt zurückgegeben.

ISE gibt RADIUS Access-Accept-Nachricht mit EAP Success zurück. Beachten Sie, dass keine weiteren Attribute zurückgegeben werden (keine Cisco av-pair url-redirect oder url-redirect-acl), wie im Bild gezeigt.

Aruba berichtet, dass die Sitzung eingerichtet ist (EAP-PEAP-Identität ist cisco) und dass die ausgewählte Rolle mgarcarz_aruba ist, wie im Bild gezeigt.

Diese Rolle ist für die Umleitung zur ISE (Captive Portal Funktionalität auf Aruba) zuständig.

In der Aruba CLI kann der aktuelle Autorisierungsstatus für diese Sitzung bestätigt werden:

04:bd:88:c3:88:14# show datapath user

Datapath User Table Entries

---------------------------

Flags: P - Permanent, W - WEP, T- TKIP, A - AESCCM

R - ProxyARP to User, N - VPN, L - local, I - Intercept, D - Deny local routing

FM(Forward Mode): S - Split, B - Bridge, N - N/A

IP              MAC           ACLs    Contract   Location  Age    Sessions   Flags     Vlan  FM

---------------  -----------------  -------  ---------  --------  -----  ---------  -----     ----  --

10.62.148.118    04:BD:88:C3:88:14   105/0      0/0     0         1        0/65535  P           1   N

10.62.148.71     C0:4A:00:14:6E:31   138/0      0/0     0         0        6/65535              1   B

0.0.0.0          C0:4A:00:14:6E:31   138/0      0/0     0         0        0/65535  P           1   B

172.31.98.1      04:BD:88:C3:88:14   105/0      0/0     0         1        0/65535  P        3333   B

0.0.0.0          04:BD:88:C3:88:14   105/0      0/0     0         0        0/65535  P           1   N

04:bd:88:c3:88:14#

Um die ACL-ID 138 auf die aktuellen Berechtigungen zu überprüfen, gehen Sie folgendermaßen vor:

04:bd:88:c3:88:14# show datapath acl 138

Datapath ACL 138 Entries

-----------------------

Flags: P - permit, L - log, E - established, M/e - MAC/etype filter

S - SNAT, D - DNAT, R - redirect, r - reverse redirect m - Mirror

I - Invert SA, i - Invert DA, H - high prio, O - set prio, C - Classify Media

A - Disable Scanning, B - black list, T - set TOS, 4 - IPv4, 6 - IPv6

K - App Throttle, d - Domain DA

----------------------------------------------------------------

1:  any  any  17 0-65535 8209-8211  P4

2:  any  172.31.98.1 255.255.255.255  6 0-65535 80-80  PSD4

3:  any  172.31.98.1 255.255.255.255  6 0-65535 443-443  PSD4

4:  any  mgarcarz-ise20.example.com  6 0-65535 80-80  Pd4

5:  any  mgarcarz-ise20.example.com  6 0-65535 443-443  Pd4

6:  any  mgarcarz-ise20.example.com  6 0-65535 8443-8443  Pd4  hits 37

7:  any  10.48.17.235 255.255.255.255  6 0-65535 1-20000  P4  hits 18

<....some output removed for clarity ... >

Dies entspricht der Konfiguration in der GUI für diese Rolle, wie im Bild gezeigt.

Schritt 2: Umleitung des Web-Browser-Datenverkehrs für BYOD

Sobald der Benutzer den Webbrowser öffnet und eine beliebige Adresse eingibt, erfolgt die Umleitung wie im Bild gezeigt.

Wenn man sich die Paketerfassungen anschaut, wird bestätigt, dass Aruba das Ziel (5.5.5.5) spuckt und die HTTP-Umleitung an die ISE zurückgibt.

Beachten Sie, dass es sich um dieselbe statische URL handelt, die in der ISE konfiguriert und auf Aruba in das Captive Portal kopiert wurde. Es werden jedoch zusätzlich mehrere Argumente wie folgt und wie im Bild gezeigt hinzugefügt:

- cmd = Anmeldung

- MAC = c0:4a:00:14:6e:31

- essig = mgarcarz_aruba

- ip = 10,62,148,7

- apname = 4bd88c38814 (mac)

- url = http://5.5.5.5

Aus diesen Gründen kann die ISE die Cisco Session ID neu erstellen, die entsprechende Sitzung auf der ISE ermitteln und den BYOD-Fluss (oder einen anderen konfigurierten) fortsetzen. Für Cisco Geräte wird audit_session_id normalerweise verwendet, dies wird jedoch von anderen Anbietern nicht unterstützt.

Um zu bestätigen, dass aus ISE-Debuggen der Wert für die Audit-Session-ID (der nie über das Netzwerk gesendet wird) angezeigt wird:

AcsLogs,2015-10-29 23:25:48,538,DEBUG,0x7fc0b39a4700,cntx=0000032947,CallingStationID=

c04a00146e31,FramedIPAddress=10.62.148.71,MessageFormatter::appendValue() attrName:

cisco-av-pair appending value:

audit-session-id=0a3011ebXbiuDA3yUNoLUvtCRyuPFxkqYJ7TT06foOZ7G1HXj1M

Die Korrelation dieser Daten nach der Registrierung des Geräts auf BYOD Seite 2:

AcsLogs,2015-10-29 23:25:48,538,DEBUG,0x7fc0b39a4700,cntx=0000032947,CallingStationID=

c04a00146e31,FramedIPAddress=10.62.148.71,Log_Message=[2015-10-29 23:25:48.533 +01:00

0000011874 88010 INFO  MyDevices: Successfully registered/provisioned the device

(endpoint), ConfigVersionId=145, UserName=cisco, MacAddress=c0:4a:00:14:6e:31,

IpAddress=10.62.148.71, AuthenticationIdentityStore=Internal Users,

PortalName=BYOD Portal (default), PsnHostName=mgarcarz-ise20.example.com,

GuestUserName=cisco, EPMacAddress=C0:4A:00:14:6E:31, EPIdentityGroup=RegisteredDevices

Staticassignment=true, EndPointProfiler=mgarcarz-ise20.example.com, EndPointPolicy=

Unknown, NADAddress=10.62.148.118, DeviceName=ttt, DeviceRegistrationStatus=Registered

AuditSessionId=0a3011ebXbiuDA3yUNoLUvtCRyuPFxkqYJ7TT06foOZ7G1HXj1M,

cisco-av-pair=audit-session-id=0a3011ebXbiuDA3yUNoLUvtCRyuPFxkqYJ7TT06foOZ7G1HXj1M

Bei nachfolgenden Anfragen wird der Client an BYOD Seite 3 umgeleitet. wo NSA heruntergeladen und ausgeführt wird.

Schritt 3: Ausführung des Network Setup Assistant

Die NSA hat die gleiche Aufgabe wie der Webbrowser. Zunächst muss die IP-Adresse der ISE ermittelt werden. Dies wird durch HTTP-Umleitung erreicht. Da dieser Benutzer jedoch nicht die Möglichkeit hat, IP-Adresse einzugeben (wie im Webbrowser), wird dieser Datenverkehr automatisch generiert. Das Standard-Gateway wird verwendet (auch enroll.cisco.com kann verwendet werden), wie im Bild gezeigt.

Die Antwort entspricht genau der des Webbrowsers. Auf diese Weise kann die NSA eine Verbindung zur ISE herstellen, ein XML-Profil mit Konfiguration abrufen, SCEP-Anfragen generieren, an die ISE senden, ein signiertes Zertifikat (signiert von der internen ISE-CA) erhalten, das Wireless-Profil konfigurieren und schließlich eine Verbindung zum konfigurierten SSID herstellen. Protokollierung vom Client abrufen (unter Windows ist in %temp%/spwProfile.log). Aus Gründen der Klarheit werden einige Ausgaben weggelassen:

Logging started

SPW Version: 1.0.0.46

System locale is [en]

Loading messages for english...

Initializing profile

SPW is running as High integrity Process - 12288

GetProfilePath: searched path = C:\Users\ADMINI~1.EXA\AppData\Local\Temp\ for file name = spwProfile.xml result: 0

GetProfilePath: searched path = C:\Users\ADMINI~1.EXA\AppData\Local\Temp\Low for file name = spwProfile.xml result: 0

Profile xml not found Downloading profile configuration...

Downloading profile configuration...

Discovering ISE using default gateway

Identifying wired and wireless network interfaces, total active interfaces: 1

Network interface - mac:C0-4A-00-14-6E-31, name: Wireless Network Connection, type: wireless

Identified default gateway: 10.62.148.100

Identified default gateway: 10.62.148.100, mac address: C0-4A-00-14-6E-31

redirect attempt to discover ISE with the response url

DiscoverISE - start

Discovered ISE - : [mgarcarz-ise20.example.com, sessionId: 0a3011ebXbiuDA3yUNoLUvtCRyuPFxkqYJ7TT06foOZ7G1HXj1M]

DiscoverISE - end

Successfully Discovered ISE: mgarcarz-ise20.example.com, session id: 0a3011ebXbiuDA3yUNoLUvtCRyuPFxkqYJ7TT06foOZ7G1HXj1M, macAddress: C0-4A-00-14-6E-31

GetProfile - start

GetProfile - end

Successfully retrieved profile xml

using V2 xml version

parsing wireless connection setting

Certificate template: [keysize:2048, subject:OU=Example unit,O=Company name,L=City,ST=State,C=US, SAN:MAC]

set ChallengePwd

creating certificate with subject = cisco and subjectSuffix = OU=Example unit,O=Company name,L=City,ST=State,C=US

Installed [LAB CA, hash: fd 72 9a 3b b5 33 72 6f  f8 45 03 58 a2 f7 eb 27^M

ec 8a 11 78^M

] as rootCA

Installed CA cert for authMode machineOrUser - Success

HttpWrapper::SendScepRequest - Retrying: [1] time, after: [2] secs , Error: [0], msg: [ Pending]

creating response file name C:\Users\ADMINI~1.EXA\AppData\Local\Temp\response.cer

Certificate issued - successfully

ScepWrapper::InstallCert start

ScepWrapper::InstallCert: Reading scep response file  [C:\Users\ADMINI~1.EXA\AppData\Local\Temp\response.cer].

ScepWrapper::InstallCert GetCertHash -- return val 1

ScepWrapper::InstallCert end

Configuring wireless profiles...

Configuring ssid [mgarcarz_aruba_tls]

WirelessProfile::SetWirelessProfile - Start

Wireless profile: [mgarcarz_aruba_tls] configured successfully

Connect to SSID

Successfully connected profile: [mgarcarz_aruba_tls]

WirelessProfile::SetWirelessProfile. - End

Diese Protokolle entsprechen genau den BYOD-Prozessen bei Cisco Geräten.

Hinweis: Radius CoA ist hier nicht erforderlich. Die Anwendung (NSA) erzwingt die Neuverbindung zu einer neu konfigurierten SSID.

In dieser Phase kann der Benutzer sehen, dass das System versucht, eine Verbindung zu einer endgültigen SSID herzustellen. Wenn Sie über mehr als ein Benutzerzertifikat verfügen, müssen Sie das entsprechende Benutzerzertifikat wie im Bild gezeigt auswählen.

Nach erfolgreicher Verbindung werden die NSA-Berichte wie im Bild gezeigt angezeigt.

Dies kann auf der ISE bestätigt werden. Das zweite Protokoll trifft auf die EAP-TLS-Authentifizierung, die alle Bedingungen für Basic_Authenticated_Access (EAP-TLS, Employee und BYOD Registered true) erfüllt, wie im Bild gezeigt.

Die Ansicht der Endgeräteidentität kann auch bestätigen, dass das Flag BYOD Registered auf true festgelegt ist, wie im Bild gezeigt.

Auf dem Windows-PC wurde automatisch ein neues Wireless-Profil erstellt (und für EAP-TLS konfiguriert), wie im Bild gezeigt.

In dieser Phase bestätigt Aruba, dass der Benutzer mit der endgültigen SSID verbunden ist, wie im Bild gezeigt.

Die Rolle, die automatisch erstellt wird und die gleiche Bezeichnung wie das Netzwerk trägt, bietet vollständigen Netzwerkzugriff, wie im Bild gezeigt.

Weitere Datenflüsse und CoA-Unterstützung

CWA mit CoA

Während im BYOD-Fluss keine CoA-Meldungen vorhanden sind, wird der CWA-Fluss mit dem selbst registrierten Gastportal hier gezeigt:

Die konfigurierten Autorisierungsregeln sind im Bild dargestellt.

Der Benutzer stellt über MAB-Authentifizierung eine Verbindung zum SSID her. Wenn er versucht, eine Verbindung zu einer Webseite herzustellen, wird eine Umleitung zum selbst registrierten Gastportal durchgeführt, in dem der Gast wie im Bild gezeigt ein neues Konto erstellen oder ein aktuelles Konto verwenden kann.

Nachdem der Gast erfolgreich verbunden wurde, wird eine CoA-Nachricht von der ISE an das Netzwerkgerät gesendet, um den Autorisierungsstatus wie im Bild gezeigt zu ändern.

Sie kann unter Operations > Authenitations (Vorgänge > Autorisierungen) und wie im Bild gezeigt überprüft werden.

CoA-Nachricht in ISE-Debuggen:

2015-11-02 18:47:49,553 DEBUG  [Thread-137][] cisco.cpm.prrt.impl.PrRTLoggerImpl -:::::-

DynamicAuthorizationFlow,DEBUG,0x7fc0e9cb2700,cntx=0000000561,sesn=c59aa41a-e029-4ba0-a31b

-44549024315e,CallingStationID=c04a00157634,[DynamicAuthorizationFlow::createCoACmd]

Processing incoming attribute vendor , name NAS-IP-Address, value=10.62.148.118.,

DynamicAuthorizationFlow.cpp:708

2015-11-02 18:47:49,567 DEBUG  [Thread-137][] cisco.cpm.prrt.impl.PrRTLoggerImpl -:::::-

DynamicAuthorizationFlow,DEBUG,0x7fc0e9cb2700,cntx=0000000561,sesn=c59aa41a-e029-4ba0-a31b

-44549024315e,CallingStationID=c04a00157634,[DynamicAuthorizationFlow::createCoACmd]

Processing incoming attribute vendor , name Acct-Session-Id, value=04BD88B88144-

C04A00157634-7AD.,DynamicAuthorizationFlow.cpp:708

2015-11-02 18:47:49,573 DEBUG  [Thread-137][] cisco.cpm.prrt.impl.PrRTLoggerImpl -:::::-

DynamicAuthorizationFlow,DEBUG,0x7fc0e9cb2700,cntx=0000000561,sesn=c59aa41a-e029-4ba0-a31b

-44549024315e,CallingStationID=c04a00157634,[DynamicAuthorizationFlow::createCoACmd]

Processing incoming attribute vendor , name cisco-av-pair, v

alue=audit-session-id=0a3011ebisZXypODwqjB6j64GeFiF7RwvyocneEia17ckjtU1HI.,DynamicAuthorizationFlow.cpp:708

2015-11-02 18:47:49,584 DEBUG  [Thread-137][] cisco.cpm.prrt.impl.PrRTLoggerImpl -:::::-

DynamicAuthorizationFlow,DEBUG,0x7fc0e9cb2700,cntx=0000000561,sesn=c59aa41a-e029-4ba0-a31b

-44549024315e,CallingStationID=c04a00157634,[DynamicAuthorizationRequestHelper::

setConnectionParams] defaults from nad profile : NAS=10.62.148.118, port=3799, timeout=5,

retries=2 ,DynamicAuthorizationRequestHelper.cpp:59

2015-11-02 18:47:49,592 DEBUG  [Thread-137][] cisco.cpm.prrt.impl.PrRTLoggerImpl -:::::-

DynamicAuthorizationFlow,DEBUG,0x7fc0e9cb2700,cntx=0000000561,sesn=c59aa41a-e029-4ba0-a31b

-44549024315e,CallingStationID=c04a00157634,[DynamicAuthorizationRequestHelper::set

ConnectionParams] NAS=10.62.148.118, port=3799, timeout=5, retries=1,

DynamicAuthorizationRequestHelper.cpp:86

2015-11-02 18:47:49,615 DEBUG  [Thread-137][] cisco.cpm.prrt.impl.PrRTLoggerImpl -:::::-

DynamicAuthorizationFlow,DEBUG,0x7fc0e9cb2700,cntx=0000000561,sesn=c59aa41a-e029-4ba0-a31b

-44549024315e,CallingStationID=c04a00157634,[DynamicAuthorizationFlow::onLocalHttpEvent]:

invoking DynamicAuthorization,DynamicAuthorizationFlow.cpp:246

und Disconnect-ACK von Aruba:

2015-11-02 18:47:49,737 DEBUG  [Thread-147][] cisco.cpm.prrt.impl.PrRTLoggerImpl -:::::-

DynamicAuthorizationFlow,DEBUG,0x7fc0e9eb4700,cntx=0000000561,sesn=c59aa41a-e029-4ba0-a31b

-44549024315e,CallingStationID=c04a00157634,[DynamicAuthorizationFlow::

onResponseDynamicAuthorizationEvent] Handling response

ID c59aa41a-e029-4ba0-a31b-44549024315e, error cause 0, Packet type 41(DisconnectACK).,

DynamicAuthorizationFlow.cpp:303

Die Paketerfassung mit CoA Diconnect-Request (40) und Diconnect-ACK (41) ist im Bild dargestellt.

Hinweis: RFC CoA wurde für die Authentifizierung im Zusammenhang mit dem Geräteprofil Aruba (Standardeinstellungen) verwendet. Für die Authentifizierung in Bezug auf Cisco Geräte wäre eine erneute Authentifizierung des Cisco CoA-Typs gewesen.

Fehlerbehebung

Dieser Abschnitt enthält Informationen, die Sie zur Fehlerbehebung bei Ihrer Konfiguration verwenden können.

Captive Portal von Aruba mit IP-Adresse statt FQDN

Wenn das Captive Portal auf Aruba mit einer IP-Adresse anstelle eines FQDN der ISE konfiguriert ist, schlägt die PSN NSA fehl:

Warning - [HTTPConnection] Abort the HTTP connection due to invalid certificate

CN

Der Grund hierfür ist eine strikte Zertifikatsvalidierung, wenn Sie eine Verbindung zur ISE herstellen. Wenn Sie die IP-Adresse verwenden, um eine Verbindung zur ISE herzustellen (als Ergebnis einer Umleitungs-URL mit IP-Adresse anstatt FQDN) und ein ISE-Zertifikat mit dem Betreffnamen = FQDN-Validierung angezeigt wird, schlägt fehl.

Hinweis: Webbrowser setzt BYOD-Portal fort (mit Warnung, die vom Benutzer genehmigt werden muss).

Aruba Captive Portal: Falsche Zugriffsrichtlinie

Standardmäßig ist für die Aruba Access-Policy, die mit Captive Portal konfiguriert ist, die TCP-Ports 80, 443 und 8080 zulässig.

Die NSA kann keine Verbindung mit dem TCP-Port 8905 herstellen, um ein XML-Profil von der ISE zu erhalten. Dieser Fehler wird gemeldet:

Failed to get spw profile url using - url

[https://mgarcarz-ise20.example.com:8905/auth/provisioning/evaluate?

typeHint=SPWConfig&referrer=Windows&mac_address=C0-4A-00-14-6E-31&spw_version=

1.0.0.46&session=0a3011ebXbiuDA3yUNoLUvtCRyuPFxkqYJ7TT06foOZ7G1HXj1M&os=Windows All]

- http Error: [2] HTTP response code: 0]

GetProfile - end

Failed to get profile. Error: 2

Aruba CoA-Portnummer

Standardmäßig stellt Aruba die Portnummer für den CoA Air Group CoA-Port 5999 bereit. Leider antwortete Aruba 204 nicht auf solche Anfragen, wie im Bild gezeigt.

Die Paketerfassung wird im Bild gezeigt.

Die beste Option für diese Option ist der CoA-Port 3977, wie in RFC 5176 beschrieben.

Umleitung auf einigen Aruba Geräten

Bei Aruba 3600 mit v6.3 ist festzustellen, dass die Umleitung etwas anders funktioniert als bei anderen Controllern. Die Paketerfassung und -erklärungen finden Sie hier und wie im Bild gezeigt.

packet 1: PC is sending GET request to google.com

packet 2: Aruba is returning HTTP 200 OK with following content:

<meta http-equiv='refresh' content='1; url=http://www.google.com/&arubalp=6b0512fc-f699-45c6-b5cb-e62b3260e5'>\n

packet 3: PC is going to link with  Aruba attribute returned in packet 2:

http://www.google.com/&arubalp=6b0512fc-f699-45c6-b5cb-e62b3260e5

packet 4: Aruba is redirecting to the ISE (302 code):

https://10.75.89.197:8443/portal/g?p=4voD8q6W5Lxr8hpab77gL8VdaQ&cmd=login&mac=80:86:f2:59:d9:db&ip=10.75.94.213&essid=SC%2DWiFi&apname=LRC-006&apgroup=default&url=http%3A%2F%2Fwww%2Egoogle%2Ecom%2F

Zugehörige Informationen

- Administratoranleitung für Cisco Identity Services Engine, Version 2.0

- Geräteprofile für den Netzwerkzugriff mit der Cisco Identity Services Engine

- Technischer Support und Dokumentation - Cisco Systems