Einleitung
In diesem Dokument wird die Fehlerbehebung bei der Integration von Wireless-Controllern der Serie 9800 mit Umbrella beschrieben.
Überblick
Dieser Artikel führt die Cisco Catalyst Switches der Serien 9200 und 9300 fort und dient als Anleitung zur Fehlerbehebung bei Registrierungsproblemen und zum Workflow zwischen 9800 und Cisco Umbrella.
Cisco Umbrella - Allgemeiner Workflow
4415377983508
-
Die Registrierung von Wireless-Controllern beim Cisco Umbrella-Server erfolgt in einem einmaligen Vorgang und über einen sicheren HTTPS-Tunnel.
-
API-Token für die Geräteregistrierung (9800) über das Cisco Umbrella Dashboard
-
Tragen Sie das Token auf den 9800 auf. Dadurch wird das Gerät beim Cisco Umbrella-Konto registriert. Als Nächstes erstellen Sie Cisco Umbrella Profile auf dem 9800. Profile werden automatisch an Cisco Umbrella weitergeleitet, da Identitäten und Richtlinien auf Identitätsbasis durchgesetzt werden.
-
Der Wireless-Client-Datenverkehr fließt zum Cisco Umbrella-Server.
-
Ein Wireless-Client sendet eine DNS-Anfrage an 9800.
-
9800 tastet das DNS-Paket ab und kennzeichnet es mit einem Cisco Umbrella Profile. Das Profil ist die Identität des Pakets, das sich ebenfalls auf Cisco Umbrella befindet.
-
Dieses EDNS-Paket wird zur Namensauflösung an den Cisco Umbrella Cloud-Server umgeleitet.
-
Cisco Umbrella erzwingt dann eine Richtlinie, die von der Identität abhängt, und wendet kategoriebasierte Filterregeln an, um die organisatorische Konformität sicherzustellen.
-
Abhängig von den Regeln wird entweder eine blockierte Seite oder eine aufgelöste IP-Adresse für die abgefragte DNS-Anforderung an den Client zurückgegeben.
Ausführliche Informationen zur Konfiguration des 9800 finden Sie im Sicherheitskonfigurationshandbuch.
Registrierung und Zertifikatimport
- Rufen Sie Ihr API-Token vom Umbrella Dashboard ab: Admin > API Keys > Legacy Network Devices (erstellen).
- Importieren Sie das Zertifizierungsstellenzertifikat mithilfe einer der folgenden Methoden über die CLI in den 9800:
Von URL importieren
Geben Sie den Befehl ein, und erlauben Sie 9800, das Zertifikat abzurufen:
crypto pki trustpool import url http://www.cisco.com/security/pki/trs/ios.p7b
Direkter Import im Terminal
Kopieren Sie das CA-Zertifikat (siehe Anhang), und fügen Sie es mithilfe des folgenden Befehls ein:
crypto pki trustpool import terminal
- Geben Sie mithilfe des folgenden Befehls das API-Token für die 9800-CLI ein:
parameter-map type umbrella global
token XXXXXXXXXXXXXXXXXXXXXXXXXXXX
Überprüfen der Cisco Umbrella-Konfiguration
Verwenden Sie den folgenden Befehl, um Details zur Konfiguration von Cisco Umbrella anzuzeigen:
Device# show umbrella config
Umbrella Configuration
========================
Token: 5XXXXXXABXXXXXFXXXXXXXXXDXXXXXXXXXXXABXX
API-KEY: NONE
OrganizationID: xxxxxxx
Local Domain Regex parameter-map name: dns_bypass
DNSCrypt:Enabled
Public-key: B735:1140:206F:225D:3E2B:D822:D7FD:691E:A1C3:3CC8:D666:8D0C:BE04:BFAB:CA43:FB79
UDP Timeout: 5 seconds
Resolver address:
1. 208.67.220.220
2. 208.67.222.222
3. 2620:119:53::53
4. 2620:119:35::35
ewc1#show umbrella deviceid detailed
Device registration details
1.global
Tag : global
Device-id : 010a2ed75e520fda
Description : Device Id recieved successfully
WAN interface : None
ewc1#show umbrella dnscrypt
DNSCrypt: Enabled
Public-key: B735:1140:206F:225D:3E2B:D822:D7FD:691E:A1C3:3CC8:D666:8D0C:BE04:BFAB:CA43:FB79
Certificate Update Status:
Last Successfull Attempt: 10:40:58 UTC Apr 8 2020
Certificate Details:
Certificate Magic : DNSC
Major Version : 0x0001
Minor Version : 0x0000
Query Magic : 0x7163373861576F6F
Serial Number : 1574811744
Start Time : 1574811744 (23:42:24 UTC Nov 26 2019)
End Time : 1606347744 (23:42:24 UTC Nov 25 2020)
Server Public Key : 88B4:E44B:35E9:64B4:90BD:DABA:E825:A24B:0415:A08B:E19D:7DDB:87A3:3CD7:7EDF:8E2F
Client Secret Key Hash: E323:7E82:C0C2:1F0C:55AE:1473:862D:6D26:9607:B41D:3F51:F587:9482:8709:401E:2EC4
Client Public key : 8D52:4D73:CF69:4890:F130:2845:4CBE:A9CA:87AF:4CDA:FE17:C626:2F8A:1780:CD18:C855
NM key Hash : FAAD:4C16:6DA3:D6F3:655D:FF98:36B7:73E7:9D1C:21F5:A0E3:A083:17D7:C308:522E:722D
Debuggen und Protokollieren
Um DNSCrypt zu deaktivieren, verwenden Sie den folgenden Befehl:
parameter-map type umbrella global > no dnscrypt
Möglicherweise wird dieser Fehler angezeigt: "Zertifikat kann nicht mit URL importiert werden":
crypto pki trustpool import urlhttp://www.cisco.com/security/pki/trs/ios.p7b
% Error: failed to open file.
% No certificates imported fromhttp://www.cisco.com/security/pki/trs/ios.p7b.
Problemumgehung:
Kopieren Sie das PEM-formatierte Zertifizierungsstellenzertifikat manuell von diesem Speicherort und fügen Sie es ein.
Aktivieren Sie anschließend die Debug-Protokolle für die Geräteregistrierung:
debug umbrella dnscrypt
debug umbrella device-registration
debug umbrella config
term monitor
Anmerkung: Es kann Fälle geben, in denen mehrere 9800 dieselbe deviceId zugewiesen werden können. Dies geschieht beim virtuellen 9800 (Embedded Wireless Controller (WC)).
Alle virtuellen WLCs haben die gleiche hardcodierte MAC-Adresse: "CC46D6CCCC".
Debug-Probe aus eWC A:
Nov 2 19:21:18.903 Central: UMBRELLA-DEV-REG:Device registration process start: umbrella parameter-map global (tag: global): TCP socket created, connect state will be verified before sending out request
Nov 2 19:21:18.915 Central: UMBRELLA-DEV-REG:Socket 0 event handler: event type = WRITE EVENT
Nov 2 19:21:18.915 Central: UMBRELLA-DEV-REG:Send POST request invoked
Nov 2 19:21:18.915 Central: UMBRELLA-DEV-REG:Get registration request info invoked
Nov 2 19:21:18.915 Central: UMBRELLA-DEV-REG:Get registration request info: Found new queued request for umbrella parameter-map global (tag: global), status :REQ QUEUED
Nov 2 19:21:18.915 Central: UMBRELLA-DEV-REG:Send POST request for umbrella parameter-map global (tag: global): status = 1
Nov 2 19:21:18.915 Central: UMBRELLA-DEV-REG:Send POST request for umbrella parameter-map global (tag: global): request license mode = TOKEN
Nov 2 19:21:18.915 Central: UMBRELLA-DEV-REG:Send POST request for umbrella parameter-map global (tag: global): POST size = 238, JSON size = 174,actual size = 412 , uri_size = 18
Nov 2 19:21:18.915 Central: UMBRELLA-DEV-REG:
Nov 2 19:21:18.915 Central: Dev reg json buffer :{"model":"B77A8731C7F4D6E92C07D7DCB68961470000A553","macAddress":"CC46D6CCCCCC","label":"global","tag":"global","serialNumber":"9KZNYR9FRRQ"} and bytes: 141
Nov 2 19:21:18.915 Central: UMBRELLA-DEV-REG:
Nov 2 19:21:18.915 Central: umbrella parameter-map name :global macAddr :cc46.d6cc.cccc
Nov 2 19:21:18.915 Central: UMBRELLA-DEV-REG:Build POST request invoked: post size = 238, size = 141
Nov 2 19:21:18.915 Central: UMBRELLA-DEV-REG:Build POST request: hostname = api.opendns.com
Nov 2 19:21:18.915 Central: UMBRELLA-DEV-REG:Build POST request: URI = /v3/networkdevices
Nov 2 19:21:18.916 Central: UMBRELLA-DEV-REG:Build POST request done
Nov 2 19:21:18.916 Central: UMBRELLA-DEV-REG:Send POST request for umbrella parameter-map global (tag: global): request buffer length = 368
Nov 2 19:21:18.916 Central: UMBRELLA-DEV-REG:Send POST request for umbrella parameter-map global (tag: global): Built request = POST /v3/networkdevices HTTP/1.1
Host: api.opendns.com
Authorization:OpenDNS,api_key="B0E16D19C32D42EC996B635X4X9005B9",token="B77A8731C7F4D6E92C07D7DCB68961470000A553"
Content-Type: application/json
Content-Length: 141
{"model":"B77A7561C7F4ABC92C07D7DCB68961470000A553","macAddress":"CC46D6CCCCCC","label":"global","tag":"global","serialNumber":"9KZNYR9FRRQ"}
----------------------------------------<OUTPUT OMITTED>----------------------------------------
Nov 2 19:21:23.553 Central: UMBRELLA-DEV-REG:Registration response: msg_part = 3, bytes = 256, resp: content-type: application/json
x-envoy-upstream-service-time: 1462
x-xss-protection: 1; mode=block
x-ingress-point: mil1
{"deviceId":"010a7859d0d39393","deviceKey":"B77A8731C7F4D6E92C07D7DCB68961470000A553-CC46D6CCCCCC-global","label":"global","seria
Nov 2 19:21:23.553 Central: UMBRELLA-DEV-REG:Registration response: msg_part = 4, bytes = 1
78, resp: lNumber":"9KZNYR9FPPQ","phishing":1,"createdAt":1635877282,"originId":xxxxxxxx,"
apiKey":"b0e16d19c32d42ec996b635x4x9005b9","deviceTypeId":1,"vendorId":51,"organizationId":xxxxx}
Debug-Beispiel aus eWC B:
Nov 2 19:21:41.909 Central: UMBRELLA-DEV-REG:Device registration process start: umbrella parameter-map global (tag: global): TCP socket created, connect state will be verified before sending out request
Nov 2 19:21:41.919 Central: UMBRELLA-DEV-REG:Socket 0 event handler: event type = WRITE EVENT
Nov 2 19:21:41.919 Central: UMBRELLA-DEV-REG:Send POST request invoked
Nov 2 19:21:41.919 Central: UMBRELLA-DEV-REG:Get registration request info invoked
Nov 2 19:21:41.919 Central: UMBRELLA-DEV-REG:Get registration request info: Found new queued request for umbrella parameter-map global (tag: global), status :REQ QUEUED
Nov 2 19:21:41.919 Central: UMBRELLA-DEV-REG:Send POST request for umbrella parameter-map global (tag: global): status = 1
Nov 2 19:21:41.919 Central: UMBRELLA-DEV-REG:Send POST request for umbrella parameter-map global (tag: global): request license mode = TOKEN
Nov 2 19:21:41.919 Central: UMBRELLA-DEV-REG:Send POST request for umbrella parameter-map global (tag: global): POST size = 238, JSON size = 174,actual size = 412 , uri_size = 18
Nov 2 19:21:41.919 Central: UMBRELLA-DEV-REG:
Nov 2 19:21:41.919 Central: Dev reg json buffer :{"model":"B77A7561C7F4ABC92C07D7DCB68961470000A553","macAddress":"CC46D6CCCCCC","label":"global","tag":"global","serialNumber":"9BRCYQ9KDRU"} and bytes: 141
Nov 2 19:21:41.919 Central: UMBRELLA-DEV-REG:
Nov 2 19:21:41.919 Central: umbrella parameter-map name :global macAddr :cc46.d6cc.cccc
Nov 2 19:21:41.919 Central: UMBRELLA-DEV-REG:Build POST request invoked: post size = 238, size = 141
Nov 2 19:21:41.919 Central: UMBRELLA-DEV-REG:Build POST request: hostname = api.opendns.com
Nov 2 19:21:41.919 Central: UMBRELLA-DEV-REG:Build POST request: URI = /v3/networkdevices
Nov 2 19:21:41.919 Central: UMBRELLA-DEV-REG:Build POST request done
Nov 2 19:21:41.919 Central: UMBRELLA-DEV-REG:Send POST request for umbrella parameter-map global (tag: global): request buffer length = 368
Nov 2 19:21:41.919 Central: UMBRELLA-DEV-REG:Send POST request for umbrella parameter-map global (tag: global): Built request = POST /v3/networkdevices HTTP/1.1
Host: api.opendns.com
Authorization:OpenDNS,api_key="B0E16D19C32D42EC996B635X4X9005B9",token="B77A8731C7F4D6E92C07D7DCB68961470000A553"
Content-Type: application/json
Content-Length: 141
{"model":"B77A8731C7F4D6E92C07D7DCB68961470000A553","macAddress":"CC46D6CCCCCC","label":"global","tag":"global","serialNumber":"9BRCYQ8RDRU"}
----------------------------------------<OUTPUT OMITTED>----------------------------------------
Nov 2 19:21:41.919 Central: UMBRELLA-DEV-REG:Registration response: msg_part = 3, bytes = 256, resp: content-type: application/json
x-envoy-upstream-service-time: 1462
x-xss-protection: 1; mode=block
x-ingress-point: mil1
{"deviceId":"010a7859d0d39393","deviceKey":"B77A8731C7F4D6E92C07D7DCB68961470000A553-CC46D6CCCCCC-global","label":"global","serialNumber":"9BRCYQ8RDRU"}
Nov 2 19:21:41.919 Central: UMBRELLA-DEV-REG:Registration response: msg_part = 4, bytes = 1
78, resp: lNumber":"9KZNYR9FPPQ","phishing":1,"createdAt":1635877282,"originId":573529511,"
apiKey":"b0e16d19c32d42ec996b635x4x9005b9","deviceTypeId":1,"vendorId":51,"organizationId":xxxxx}
Hier enthält die POST-Anfrage ein API-Token (Legacy-Geräte-API-Token aus dem Cisco Umbrella Dashboard), einen API-Schlüssel, eine Modellnummer (wie ein API-Token), die MAC-Adresse des Wireless LAN Controllers (WLC), den Namen der Parameterzuordnung (Tag) und die Seriennummer des Geräts.
Die Geräte-ID wird mithilfe des API-Tokens, des API-Schlüssels, des Tags und der MAC-Adresse generiert. Da beide 9800er Jahre die gleichen Werte für die oben genannten haben, wird beiden Geräten die gleiche Geräte-ID zugewiesen.
Dies ist ein erwartungsgemäßes Verhalten. Um dieses Problem zu beheben, müssen Sie eine benutzerdefinierte Parameterzuordnung
für einen oder beide 9800er Jahre erstellen.
parameter-map type umbrella <custom name>
Durch Erstellen einer benutzerdefinierten Parameterzuordnung "cpm"
erstellen wir ein neues Tag, das zu einer anderen Geräte-ID (deviceId)
führt.
{"deviceId":"010a30f6275c92ce","deviceKey":"0DCDA24CDD6A92D714FE357539FDCAE80051BA0A-DD46D6BBCCCC-global","label":"global","serialNumber":"F222424Q4M8","phishing":1,"createdAt":1641192490,"originId":563829932,"apiKey":"b0e16d15c32d4e8c996b635afa9005b9","deviceTypeId":1,"vendorId":51,"organizationId":******}
{"deviceId":"010a341b037ea6b9","deviceKey":"0DCDA24CDD6A92D714FE357539FDCAE80051BA0A-DD46D6BBCCCC-cpm","label":"global","serialNumber":"F222424Q4M8","phishing":1,"createdAt":1641825561,"originId":563829932,"apiKey":"b0e16d15c32d4e8c996b635afa9005b9","deviceTypeId":1,"vendorId":51,"organizationId":******}