Konfigurieren der dynamischen VLAN-Zuweisung mit WLCs basierend auf der ISE zur Active Directory-Gruppenzuordnung

Einleitung

Voraussetzungen

In diesem Dokument wird beschrieben, wie der WLAN-Controller (WLC) und der Identity Services Engine (ISE)-Server konfiguriert werden, um WLAN-Clients dynamisch einem bestimmten VLAN zuzuweisen.

Anforderungen

Verwendete Komponenten

Die Informationen in diesem Dokument basierend auf folgenden Software- und Hardware-Versionen:

• Cisco WLC der Serie 5520 mit Firmware-Version 8.8.111.0

• Cisco AP der Serie 4800

• Native Windows-Komponente und AnyConnect NAM

• Cisco Secure ISE Version 2.3.0.298

• Microsoft Windows 2016 Server als Domänencontroller konfiguriert

• Cisco Switch der Serie 3560-CX mit Version 15.2(4)E1

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Konventionen

Weitere Informationen zu Dokumentkonventionen finden Sie unter Cisco Technical Tips Conventions (Technische Tipps von Cisco zu Konventionen).

Dynamische VLAN-Zuordnung mit RADIUS-Server

In den meisten WLAN-Systemen verfügt jedes WLAN über eine statische Richtlinie, die für alle Clients gilt, die einem Service Set Identifier (SSID) oder WLAN in der Controller-Terminologie zugeordnet sind. Diese Methode ist zwar leistungsstark, weist jedoch Einschränkungen auf, da sie von Clients verlangt, dass sie mit verschiedenen SSIDs verknüpft werden, um unterschiedliche QoS- und Sicherheitsrichtlinien zu erben.

Die Cisco WLAN-Lösung trägt dieser Einschränkung durch die Unterstützung von Identitätsnetzwerken Rechnung. Dadurch kann das Netzwerk eine einzelne SSID ankündigen, aber bestimmte Benutzer können auf Basis der Benutzeranmeldeinformationen verschiedene QoS-, VLAN-Attribute und/oder Sicherheitsrichtlinien erben.

Die VLAN-ID ist 12 Bit und hat einen Wert zwischen 1 und einschließlich 4094. Da die Tunnel-Private-Group-ID vom Typ "string" ist, wie in RFC 2868 für die Verwendung mit IEEE 802.1X definiert, wird der ganzzahlige Wert der VLAN-ID als Zeichenfolge codiert. Wenn diese Tunnelattribute gesendet werden, müssen Sie das Feld "Tag" ausfüllen.

Wie in RFC 2868 erwähnt, Abschnitt 3.1: Das Tag-Feld ist ein Oktett lang und dient dazu, Attribute im gleichen Paket, die sich auf den gleichen Tunnel beziehen, zu gruppieren. Gültige Werte für dieses Feld sind 0x01 bis 0x1F einschließlich. Wenn das Tag-Feld nicht verwendet wird, muss es 0 (0x00) sein. Weitere Informationen zu allen RADIUS-Attributen finden Sie unter RFC 2868.

Konfigurieren

In diesem Abschnitt finden Sie die erforderlichen Informationen zum Konfigurieren der in diesem Dokument beschriebenen Funktionen.

Netzwerkdiagramm

Konfigurationen

Nachfolgend sind die Konfigurationsdetails der in diesem Diagramm verwendeten Komponenten aufgeführt:

• Die IP-Adresse des ISE (RADIUS)-Servers lautet 10.48.39.128.

• Die Management- und AP-Manager-Schnittstellenadresse des WLC lautet 10.48.71.20.

• Der DHCP-Server befindet sich im LAN-Netzwerk und ist für die jeweiligen Client-Pools konfiguriert. Er wird im Diagramm nicht dargestellt.

• In dieser Konfiguration werden VLAN1477 und VLAN1478 verwendet. Benutzer aus der Marketing-Abteilung werden für die Platzierung im VLAN1477 konfiguriert, und Benutzer aus der Personalabteilung werden für die Platzierung im VLAN1478 durch den RADIUS-Server konfiguriert Wenn beide Benutzer eine Verbindung mit derselben SSID herstellen — office_hq.

  VLAN1477: 192.168.77.0/24 Gateway: 192.168.77.1 VLAN1478: 192.168.78.0/24. Gateway: 192.168.78.1 

• Dieses Dokument verwendet 802.1x mit PEAP-mschapv2 als Sicherheitsmechanismus.

Hinweis: Cisco empfiehlt zum Schutz des WLAN die Verwendung erweiterter Authentifizierungsmethoden wie EAP-FAST und EAP-TLS.

Bevor Sie diese Konfiguration durchführen, gehen wir von folgenden Voraussetzungen aus:

• Die LAP ist bereits beim WLC registriert.

• Dem DHCP-Server wird ein DHCP-Bereich zugewiesen.

• Zwischen allen Geräten im Netzwerk besteht Layer-3-Verbindung.

• In diesem Dokument wird die erforderliche Konfiguration auf der Wireless-Seite erläutert. Es wird davon ausgegangen, dass das kabelgebundene Netzwerk vorhanden ist.

• Die entsprechenden Benutzer und Gruppen werden in AD konfiguriert.

Um eine dynamische VLAN-Zuordnung mit WLCs basierend auf der ISE-AD-Gruppenzuordnung zu erreichen, müssen folgende Schritte ausgeführt werden:

1. Integration von ISE in AD und Konfiguration von Authentifizierungs- und Autorisierungsrichtlinien für Benutzer auf der ISE.
2. WLC-Konfiguration zur Unterstützung der 802.1x-Authentifizierung und AAA-Übersteuerung für die SSID "office_hq".
3. Konfiguration der Endclient-Komponente.

Integration von ISE in AD und Konfiguration von Authentifizierungs- und Autorisierungsrichtlinien für Benutzer auf der ISE

1. Melden Sie sich mit einem Admin-Konto bei der ISE-Webbenutzeroberfläche an.
2. Navigieren Sie zu Administration > Identity management > External Identity Sources > Active directory.
   
   
   
   
3. Klicken Sie auf Hinzufügen, und geben Sie den Domänennamen und den Namen des Identitätsspeichers in den Active Directory-Verknüpfungspunktnamen-Einstellungen ein. Im Beispiel ist die ISE in der Domäne registriert. wlaaan.com und der Verbindungspunkt wird wie folgt angegeben: AD.wlaaan.com - Name von örtlicher Bedeutung für die ISE.
   
   
   
   
4. Ein Popup-Fenster wird geöffnet, nachdem Submit wird gedrückt, und Sie werden gefragt, ob Sie sofort der ISE bei AD beitreten möchten. Presse Yes und geben Active Directory-Benutzeranmeldeinformationen mit Administratorrechten an, um der Domäne einen neuen Host hinzuzufügen.
   
   
   
   
5. Danach müssen Sie ISE erfolgreich bei AD registriert haben.
   
   
   
   Sollten Sie Probleme mit dem Registrierungsprozess haben, können Sie das Diagnostic Tool  um die für die AD-Verbindung erforderlichen Tests auszuführen.
6. Sie müssen Gruppen für die aktiven Verzeichnisse abrufen, die verwendet werden, um entsprechende Autorisierungsprofile zuzuweisen. Navigieren Sie zu Administration > Identity management > External Identity Sources > Active directory > > Groups , und klicken Sie dann auf Add und wählen Select Groups from Active Directory.
   
   
   
   
7. Ein neues Popup-Fenster wird geöffnet, in dem Sie entweder einen Filter angeben können, um bestimmte Gruppen abzurufen, oder alle Gruppen aus AD abrufen können.
   Wählen Sie die entsprechenden Gruppen aus der AD-Gruppenliste aus, und drücken Sie OK.
   
   
   
   
8. Die entsprechenden Gruppen werden der ISE hinzugefügt und können gespeichert werden. Presse Save.
   
   
   
   
9. WLC zur ISE-Netzwerkgeräteliste hinzufügen - navigieren Sie zu Administration > Network Resources > Network Devices und drücken Sie Add.
   Vollständige Konfiguration durch Bereitstellung der WLC-Management-IP-Adresse und des gemeinsamen RADIUS-Geheimnisses zwischen WLC und ISE.
   
   
   
   
10. Nachdem Sie ISE zu AD hinzugefügt und den WLC zur Geräteliste hinzugefügt haben, können Sie die Konfiguration der Authentifizierungs- und Autorisierungsrichtlinien für Benutzer starten.
    • Erstellen Sie ein Autorisierungsprofil, um Benutzer von Marketing zu VLAN1477 und von der HR-Gruppe zu VLAN1478 zuzuweisen.
      Navigieren Sie zu Policy > Policy Elements > Results > Authorization > Authorization profiles und klicken Sie auf Add um ein neues Profil zu erstellen.
      
      
      
      
    • Füllen Sie die Autorisierungsprofilkonfiguration mit VLAN-Informationen für die jeweilige Gruppe aus. Das Beispiel zeigt: Marketing Gruppenkonfigurationseinstellungen.
      
      
      
      Ähnliche Konfigurationen sind für andere Gruppen erforderlich, und die entsprechenden VLAN-Tag-Attribute müssen konfiguriert werden.
    • Nach der Konfiguration der Autorisierungsprofile können Sie Authentifizierungsrichtlinien für Wireless-Benutzer definieren. Dies kann entweder durch die Konfiguration Custom oder die Änderung der Default Richtliniensatz. In diesem Beispiel wird der Standard-Richtliniensatz geändert. Navigieren Sie zu Policy > Policy Sets > Default. Standardmäßig für dot1x Authentifizierungstyp verwendet, verwendet die ISE All_User_ID_Stores, obwohl es auch mit den aktuellen Standardeinstellungen funktioniert, da AD Teil der Identitätsquellenliste von All_User_ID_Storeswird in diesem Beispiel eine spezifischere Regel verwendet WLC_lab für den jeweiligen LAB-Controller und verwendet AD als einzige Quelle für die Authentifizierung.
      
      
      
      
    • Nun müssen Sie Autorisierungsrichtlinien für Benutzer erstellen, die entsprechende Autorisierungsprofile auf Basis der Gruppenmitgliedschaft zuweisen. Navigieren Sie zu Authorization policy Richtlinien erstellen, um diese Anforderung zu erfüllen.
      
      

WLC-Konfiguration zur Unterstützung der dot1x-Authentifizierung und AAA-Aufhebung für SSID "office_hq"

1. Konfigurieren der ISE als RADIUS-Authentifizierungsserver auf dem WLC Navigieren Sie zu Security > AAA > RADIUS > Authentication  in der Webbenutzeroberfläche aus und stellen die ISE-IP-Adresse und Informationen zum gemeinsamen geheimen Schlüssel bereit.
   
   
   
   
2. Konfigurieren der SSID office_hq unter dem WLANs Abschnitt des WLC; in diesem Beispiel wird die SSID mit WPA2/AES+dot1x und AAA überschreiben. Schnittstelle Dummy wird für das WLAN ausgewählt, da das richtige VLAN ohnehin über RADIUS zugewiesen wird. Diese Dummy-Schnittstelle muss auf dem WLC erstellt werden und erhält eine IP-Adresse. Die IP-Adresse muss jedoch ungültig sein, und das VLAN, in dem sie gespeichert ist, kann nicht auf dem Uplink-Switch erstellt werden, sodass der Client nirgendwo hingehen kann, wenn kein VLAN zugewiesen wird.
   
   
   
   
   
   
   
   
   
   
   
   
   
   
3. Darüber hinaus müssen Sie dynamische Schnittstellen auf dem WLC für Benutzer-VLANs erstellen. Navigieren Sie zu Controller > Interfaces UI-Menü. Der WLC kann die über AAA empfangene VLAN-Zuweisung nur dann berücksichtigen, wenn er über eine dynamische Schnittstelle in diesem VLAN verfügt.
   
   
   

Überprüfung

Verwenden Sie die native Komponente Windows 10 und AnyConnect NAM, um Verbindungen zu testen.

Da Sie die EAP-PEAP-Authentifizierung verwenden und die ISE ein selbstsigniertes Zertifikat (Self-Signed Certificate, SSC) verwendet, müssen Sie einer Zertifikatwarnung zustimmen oder die Zertifikatvalidierung deaktivieren. In einer Unternehmensumgebung müssen Sie ein signiertes und vertrauenswürdiges Zertifikat auf der ISE verwenden und sicherstellen, dass auf den Endbenutzergeräten das entsprechende Stammzertifikat in der Liste der vertrauenswürdigen Zertifizierungsstellen installiert ist.

Testen Sie die Verbindung mit Windows 10 und dem nativen Supplicant:

1. Offen Network & Internet settings > Wi-Fi > Manage known networks  und ein neues Netzwerkprofil erstellen, indem Sie auf die Schaltfläche Add new network  -Taste;geben Sie die erforderlichen Informationen ein.
   
   
   
   
2. Überprüfen Sie das Authentifizierungsprotokoll auf der ISE, und stellen Sie sicher, dass das richtige Profil für den Benutzer ausgewählt ist.
   
   
   
   
3. Überprüfen Sie den Client-Eintrag im WLC, und stellen Sie sicher, dass er dem richtigen VLAN zugewiesen ist und sich im RUN-Status befindet.
   
   
   
   
4. Über die WLC-CLI kann der Client-Status mithilfe des show client dertails :
   
   

   show client detail f4:8c:50:62:14:6b 
   Client MAC Address............................... f4:8c:50:62:14:6b
   Client Username ................................. Bob
   Client Webauth Username ......................... N/A
   Hostname: ....................................... 
   Device Type: .................................... Intel-Device
   AP MAC Address................................... 70:69:5a:51:4e:c0
   AP Name.......................................... AP4C77.6D9E.6162  
   AP radio slot Id................................. 1  
   Client State..................................... Associated     
   User Authenticated by ........................... RADIUS Server
   Client User Group................................ Bob
   Client NAC OOB State............................. Access
   Wireless LAN Id.................................. 3  
   Wireless LAN Network Name (SSID)................. office_hq
   Wireless LAN Profile Name........................ office_hq
   Hotspot (802.11u)................................ Not Supported
   Connected For ................................... 242 secs
   BSSID............................................ 70:69:5a:51:4e:cd  
   Channel.......................................... 36 
   IP Address....................................... 192.168.78.36
   Gateway Address.................................. 192.168.78.1
   Netmask.......................................... 255.255.255.0
   ...
   Policy Manager State............................. RUN
   ...
   EAP Type......................................... PEAP
   Interface........................................ vlan1478
   VLAN............................................. 1478
   Quarantine VLAN.................................. 0
   Access VLAN...................................... 1478

Verbindung mit Windows 10 und AnyConnect NAM testen:

1. Wählen Sie die SSID aus der Liste der verfügbaren SSIDs und den jeweiligen EAP-Authentifizierungstyp (in diesem Beispiel PEAP) sowie das interne Authentifizierungsformular aus.
   
   
   
   
2. Geben Sie Benutzernamen und Kennwort für die Benutzerauthentifizierung ein.
   
   
   
   
3. Da die ISE eine SSC an den Client sendet, müssen Sie manuell auswählen, ob das Zertifikat vertrauenswürdig ist (in der Produktionsumgebung wird dringend empfohlen, das vertrauenswürdige Zertifikat auf der ISE zu installieren).
   
   
   
   
4. Überprüfen Sie die Authentifizierungsprotokolle auf der ISE, und stellen Sie sicher, dass das richtige Autorisierungsprofil für den Benutzer ausgewählt ist.
   
   
   
   
5. Überprüfen Sie den Client-Eintrag auf dem WLC, und stellen Sie sicher, dass dieser dem richtigen VLAN zugewiesen ist und sich im RUN-Status befindet.
   
   
   
   
6. Über die WLC-CLI kann der Client-Status mithilfe des show client dertails :
   
   

   Client MAC Address............................... f4:8c:50:62:14:6b
   Client Username ................................. Alice
   Client Webauth Username ......................... N/A
   Hostname: ....................................... 
   Device Type: .................................... Intel-Device
   AP MAC Address................................... 70:69:5a:51:4e:c0
   AP Name.......................................... AP4C77.6D9E.6162  
   AP radio slot Id................................. 1  
   Client State..................................... Associated     
   User Authenticated by ........................... RADIUS Server
   Client User Group................................ Alice
   Client NAC OOB State............................. Access
   Wireless LAN Id.................................. 3  
   Wireless LAN Network Name (SSID)................. office_hq
   Wireless LAN Profile Name........................ office_hq
   Hotspot (802.11u)................................ Not Supported
   Connected For ................................... 765 secs
   BSSID............................................ 70:69:5a:51:4e:cd  
   Channel.......................................... 36 
   IP Address....................................... 192.168.77.32
   Gateway Address.................................. 192.168.77.1
   Netmask.......................................... 255.255.255.0
   ...
   Policy Manager State............................. RUN
   ...
   Policy Type...................................... WPA2
   Authentication Key Management.................... 802.1x
   Encryption Cipher................................ CCMP-128 (AES)
   Protected Management Frame ...................... No
   Management Frame Protection...................... No
   EAP Type......................................... PEAP
   Interface........................................ vlan1477
   VLAN............................................. 1477

Fehlerbehebung

1. Verwenden Sie test aaa radius username  password  wlan-id    um die RADIUS-Verbindung zwischen WLC und ISE und dem test aaa show radius um die Ergebnisse zu zeigen.
   
   

   test aaa radius username Alice password <removed> wlan-id 2
   
   Radius Test Request
     Wlan-id........................................ 2
     ApGroup Name................................... none
   
     Attributes                      Values    
     ----------                      ------    
     User-Name                       Alice     
     Called-Station-Id               00-00-00-00-00-00:AndroidAP
     Calling-Station-Id              00-11-22-33-44-55
     Nas-Port                        0x00000001 (1)
     Nas-Ip-Address                  10.48.71.20
     NAS-Identifier                  0x6e6f (28271)
     Airespace / WLAN-Identifier     0x00000002 (2)
     User-Password                   cisco!123 
     Service-Type                    0x00000008 (8)
     Framed-MTU                      0x00000514 (1300)
     Nas-Port-Type                   0x00000013 (19)
     Cisco / Audit-Session-Id        1447300a0000003041d5665c
     Acct-Session-Id                 5c66d541/00:11:22:33:44:55/743
   
   
   
   test radius auth request successfully sent. Execute 'test aaa show radius' for response
   
   (Cisco Controller) >test aaa show radius 
   
   Radius Test Request
     Wlan-id........................................ 2
     ApGroup Name................................... none
   Radius Test Response
   
   Radius Server            Retry Status
   -------------            ----- ------
   10.48.39.128             1     Success
   
   Authentication Response:
     Result Code: Success
   
     Attributes                      Values    
     ----------                      ------    
     User-Name                       Alice     
     State                           ReauthSession:1447300a0000003041d5665c
     Class                           CACS:1447300a0000003041d5665c:rmanchur-ise/339603379/59
     Tunnel-Type                     0x0000000d (13)
     Tunnel-Medium-Type              0x00000006 (6)
     Tunnel-Group-Id                 0x000005c5 (1477)
   
   
   
   (Cisco Controller) >

2. Verwenden Sie debug client  um Verbindungsprobleme bei Wireless-Clients zu beheben.
3. Verwenden Sie debug aaa all enable um Authentifizierungs- und Autorisierungsprobleme auf dem WLC zu beheben.
   
   
   

   Hinweis: Verwenden Sie diesen Befehl nur mit dem debug mac addr um die Ausgabe auf Basis der MAC-Adresse zu begrenzen, für die das Debugging durchgeführt wird.

4.  Lesen Sie die ISE-Live-Protokolle und Sitzungsprotokolle, um Probleme bei der Authentifizierung und bei der AD-Kommunikation zu identifizieren.