Einleitung
Dieses Dokument bietet eine kurze Übersicht über die grundlegenden Konfigurationsrichtlinien für umfangreiche Wireless-Bereitstellungen wie den AireOS Wireless LAN Controller (WLC) mit RADIUS mit der Cisco Identity Services Engine (ISE) oder dem Cisco Secure Access Control Server (ACS). In diesem Dokument werden andere Dokumente mit ausführlicheren technischen Informationen behandelt.
Symptome
In Universitätsumgebungen kommt es in der Regel zu einem GAA-Zusammenbruch (Authentication, Authorization, and Accounting). Dieser Abschnitt beschreibt die üblichen Symptome/Protokolle, die in dieser Umgebung beobachtet wurden.
1. RADIUS-Leistung überwachen
Der Dotx-Client hat eine große Verzögerung mit vielen erneuten Authentifizierungsversuchen.
Verwenden Sie den Befehl show radius auth statistics (GUI: Monitor > Statistics > RADIUS Servers), um nach Problemen zu suchen. Achten Sie insbesondere auf eine große Anzahl von Wiederholungen, Zurückweisungen und Timeouts. Hier ein Beispiel:
Server Index..................................... 2
Server Address................................... 192.168.88.1
Msg Round Trip Time.............................. 3 (msec)
First Requests................................... 1256
Retry Requests................................... 5688
Accept Responses................................. 22
Reject Responses................................. 1
Challenge Responses.............................. 96
Malformed Msgs................................... 0
Bad Authenticator Msgs........................... 0
Pending Requests................................. 1
Timeout Requests................................. 6824
Unknowntype Msgs................................. 0
Other Drops...................................... 0
Suchen nach:
- Hoher Wiederholungsversuch: Verhältnis der ersten Anfrage (sollte nicht mehr als 10 % betragen)
- Hohe Ablehnungsrate: Akzeptanzquote
- Hoher Zeitüberschreitungswert: Verhältnis der ersten Anfrage (sollte nicht mehr als 5 % betragen)
Wenn Probleme auftreten, überprüfen Sie auf:
- Falsch konfigurierte Clients
- Probleme mit der Netzwerkerreichbarkeit zwischen dem WLC und dem RADIUS-Server
- Probleme zwischen dem RADIUS-Server und der Backend-Datenbank (falls verwendet), z. B. mit Active Directory (AD)
2. Der WLC erkennt die RADIUS-Warteschlange als voll auf den Nachrichtenprotokollen
Der WLC erhält folgende Meldung über die RADIUS-Warteschlange:
Univ-WISM2-02: *aaa QueueReader: Dec 02 14:25:31.565: #AAA-3-3TXQUEUE_ADD_FAILED:
radius_db.c:889 Transmission queue full. Que name: Radius queue. Dropping
sessionpackets.
host = x.x.x.x.
3. AAA debuggen
Ein AAA-Debugging zeigt folgende Meldung an:
*aaaQueueReader: Dec 02 21 09:19:52.198: xx:xx:xx:xx:xx:xx Returning AAA Error
'Out of Memory' (-2) for mobile xx:xx:xx:xx:xx:xx
Bei einem AAA-Debugging wird das AAA-Fehler-Timeout (-5) für Mobilgeräte zurückgegeben. Der AAA-Server ist nicht erreichbar, gefolgt von der Client-Deautorisierung.
4. RADIUS-Server ist zu beschäftigt und reagiert nicht
Hier die Trap für die Systemzeit des Protokolls:
0 Wed Aug 20 15:30:40 2014 RADIUS auth-server x.x.x.x:1812 available
1 Wed Aug 20 15:30:40 2014 RADIUS auth-server x.x.x.x:1812 available
2 Wed Aug 20 15:30:40 2014 RADIUS server x.x.x.x:1812 activated on WLAN 6
3 Wed Aug 20 15:30:40 2014 RADIUS server x.x.x.x:1812 deactivated on WLAN 6
4 Wed Aug 20 15:30:40 2014 RADIUS auth-server x.x.x.x:1812 unavailable
5 Wed Aug 20 15:30:40 2014 RADIUS server x.x.x.x:1812 failed to respond to request
(ID 22) for client 68:96:7b:0e:46:7f / user 'user1@univ1.edu'
6 Wed Aug 20 15:29:57 2014 User Larry_Dull_231730 logged Out. Client MAC:84:a6:c8:
87:13:9c, Client IP:198.21.137.22, AP MAC:c0:7b:bc:cf:af:40, AP Name:Dot1x-AP
7 Wed Aug 20 15:28:42 2014 RADIUS server x.x.x.x:1812 failed to respond to request
(ID 183) for client 48:d7:05:7d:93:a5 / user ' user2@univ2.edu '
8 Wed Aug 20 15:28:42 2014 RADIUS auth-server x.x.x.x:1812 unavailable
9 Wed Aug 20 15:28:42 2014 RADIUS server x.x.x.x:1812 failed to respond to request
(ID 154) for client 40:0e:85:76:00:68 / user ' user1@univ1.edu '
10 Wed Aug 20 15:28:41 2014 RADIUS auth-server x.x.x.x:1812 available
11 Wed Aug 20 15:28:41 2014 RADIUS auth-server x.x.x.x:1812 unavailable
12 Wed Aug 20 15:28:41 2014 RADIUS server x.x.x.x:1812 failed to respond to request
(ID 99) for client 50:2e:5c:ea:e4:ba / user ' user3@univ3.edu '
13 Wed Aug 20 15:28:38 2014 RADIUS auth-server x.x.x.x:1812 available
14 Wed Aug 20 15:28:38 2014 RADIUS auth-server x.x.x.x:1812 unavailable
15 Wed Aug 20 15:28:38 2014 RADIUS server x.x.x.x:1812 failed to respond to request
(ID 30) for client b4:18:d1:60:6b:51 / user ' user1@univ1.edu '
16 Wed Aug 20 15:28:38 2014 RADIUS auth-server x.x.x.x:1812 available
17 Wed Aug 20 15:28:38 2014 RADIUS server x.x.x.x:1812 activated on WLAN 6
18 Wed Aug 20 15:28:38 2014 RADIUS server x.x.x.x:1812 deactivated on WLAN 6
19 Wed Aug 20 15:28:38 2014 RADIUS auth-server x.x.x.x:1812 unavailable
Best Practice-Optimierung
WLC-seitige Anpassung
- Extensible Authentication Protocol (EAP) - Sorgen Sie dafür, dass der 802.1X-Client-Ausschluss funktioniert.
- Die RADIUS-Zeitüberschreitung für die erneute Übertragung muss auf mindestens fünf Sekunden festgelegt werden.
- Legen Sie das Sitzungs-Timeout auf mindestens acht Stunden fest.
- Deaktivieren Sie Aggressive Failover, damit der WLC zwischen den RADIUS-Servern nicht von einem einzelnen fehlerhaften Supplicant ausfällt.
- Konfigurieren Sie Fast Secure Roaming für Ihre Clients.
RADIUS-serverseitige Optimierung
- Reduzieren Sie die Protokollierungsrate. Die meisten RADIUS-Server können für die Protokollierung konfiguriert werden. Wenn der ACS oder die ISE verwendet wird, kann ein Administrator auswählen, welche Kategorien bei der Überwachungsdatenbank protokolliert werden. Ein Beispiel wäre, wenn Accounting-Daten vom RADIUS-Server gesendet und mit einer anderen Anwendung wie SYSLOG angezeigt werden, dann schreiben Sie die Daten nicht lokal in die Datenbank. Stellen Sie auf der ISE sicher, dass die Protokollunterdrückung jederzeit aktiviert bleibt. Wenn sie zu Fehlerbehebungszwecken deaktiviert werden muss, gehen Sie zu Administration > System > Logging > Collection Filters, und verwenden Sie die Option Bypass Suppression, um die Unterdrückung für einen einzelnen Endpunkt oder Benutzer zu deaktivieren. In der ISE-Version 1.3 und höher kann im Live-Authentifizierungsprotokoll mit der rechten Maustaste auf einen Endpunkt geklickt werden, um die Unterdrückung ebenfalls zu deaktivieren.
- Stellen Sie sicher, dass die Latenz bei der Backend-Authentifizierung gering ist (AD, Lightweight Directory Access Protocol (LDAP), Rivest, Shamir, Adleman (RSA)). Wenn Sie den ACS oder die ISE verwenden, können die zusammenfassenden Berichte zur Authentifizierung ausgeführt werden, um die Latenz auf Serverbasis sowohl für die durchschnittliche Latenz als auch für die Spitzenlatenz zu überwachen. Je länger die Verarbeitung einer Anfrage dauert, desto geringer ist die Authentifizierungsrate, die der ACS oder die ISE verarbeiten können. 95 % der Zeit ist die hohe Latenz auf eine langsame Antwort von einer Backend-Datenbank zurückzuführen.
- Kennwortwiederholungen für das geschützte Extensible Authentication Protocol (PEAP) deaktivieren Die meisten Geräte unterstützen Kennwortwiederholungen im PEAP-Tunnel nicht, sodass ein Wiederholungsversuch vom EAP-Server dazu führt, dass das Gerät nicht mehr reagiert und mit einer neuen EAP-Sitzung neu startet. Dies führt zu EAP-Timeouts anstelle von Ablehnungen, was bedeutet, dass Client-Ausschlüsse nicht betroffen sind.
- Deaktivieren Sie nicht verwendete EAP-Protokolle. Dies ist nicht kritisch, erhöht jedoch die Effizienz des EAP-Austauschs und stellt sicher, dass ein Client keine schwache oder unbeabsichtigte EAP-Methode verwenden kann.
- PEAP Session Resume und Fast Reconnect aktivieren.
- Senden Sie keine MAC-Authentifizierungen an das AD, wenn dies nicht erforderlich ist. Dies ist eine häufige Fehlkonfiguration, die die Last auf den Domänencontrollern erhöht, gegen die sich die ISE authentifiziert. Dies führt häufig zu negativen Suchvorgängen, die zeitaufwendig sind und die durchschnittliche Latenz erhöhen.
- Verwenden Sie ggf. den Gerätesensor (ISE-spezifisch).
Feedback