Inhalt

Einführung

Bereitstellungsszenario

Topologie

ÖFFNUNG

Konfiguration des Gastanchors

Fremdkonfiguration

WEBAUTH

Konfiguration des Gastanchors

Fremdkonfiguration

Parallele Konfiguration von OPENAUTH und WEBAUTH

Konfiguration des Gastanchors

Fremdkonfiguration

Beispiel für die Verwendung eines WEBAUTH-Befehls: O/P

Ausländer

Anker

Einführung

In diesem Dokument wird die Bereitstellung der Funktion für den kabelgebundenen Gastzugriff auf dem Cisco 5760 Wireless LAN Controller erläutert, der als Foreign Anchor fungiert, sowie auf den Cisco 5760 Wireless LAN Controller, der als Guest Anchor in der Demilitarized Zone (DMZ) mit Version 03.03.2.SE fungiert. Heute gibt es Lösungen, die Gastzugriff über Wireless- und kabelgebundene Netzwerke des Cisco 5508 Wireless LAN Controllers ermöglichen. Die Funktion funktioniert auf dem Cisco Catalyst 3650 Switch, der als ausländischer Controller fungiert, ähnlich.

In Unternehmensnetzwerken ist es in der Regel erforderlich, den Gästen auf dem Campus Netzwerkzugriff bereitzustellen. Zu den Anforderungen für den Gastzugriff gehört die konsistente und verwaltbare Bereitstellung von Internetverbindungen oder anderen selektiven Unternehmensressourcen für kabelgebundene und Wireless-Gäste. Der gleiche Wireless LAN-Controller kann verwendet werden, um den Zugriff für beide Gasttypen auf dem Campus zu ermöglichen. Aus Sicherheitsgründen trennen zahlreiche Netzwerkadministratoren eines Unternehmens den Gastzugriff auf einen DMZ-Controller über Tunneling. Die Gastzugriffslösung wird auch als Fallback-Methode für Gastclients verwendet, bei denen die Authentifizierungsmethoden dot1x und MAB (MAC Authentication Bypass) fehlschlagen.

Der Gastbenutzer stellt über einen Access-Layer-Switch eine Verbindung mit dem festgelegten kabelgebundenen Port her und kann optional je nach den Sicherheitsanforderungen (Details in späteren Abschnitten) durch den Web-Consent- oder den Web-Authentifizierungsmodus geleitet werden. Wenn die Gastauthentifizierung erfolgreich ist, wird der Zugriff auf die Netzwerkressourcen gewährt, und der Gast-Controller verwaltet den Client-Datenverkehr. Der Auslandsanker ist der primäre Switch, an den der Client für den Netzwerkzugriff angeschlossen ist. Es initiiert Tunnelanfragen. Der Gastanker ist der Switch, an dem der Client tatsächlich verankert wird. Neben dem Cisco WLAN Controller der Serie 5500 kann der Cisco 5760 Wireless LAN Controller als Gastanker verwendet werden. Bevor die Gastzugriffsfunktion bereitgestellt werden kann, muss zwischen dem Auslandsanker und den Anker-Switches für Gäste ein Mobility Tunnel eingerichtet werden. Die Gastzugangsfunktion kann sowohl für MC- (Foreign Anchor) >> MC- (Guest Anchor) als auch für MA-Modelle (Foreign Anchor) >> MC- (Guest Anchor) verwendet werden. Der Auslandsanker-Switch leitet kabelgebundenen Gastdatenverkehr an den Gastanker-Controller weiter. Für den Lastenausgleich können mehrere Gastanker konfiguriert werden. Der Client ist an einem DMZ-Anker-Controller verankert. Er ist auch für die Verarbeitung der DHCP-IP-Adressenzuweisung sowie für die Authentifizierung des Clients verantwortlich. Nach Abschluss der Authentifizierung kann der Client auf das Netzwerk zugreifen.

Bereitstellungsszenario

Das Dokument behandelt häufige Anwendungsfälle, in denen kabelgebundene Clients für den Netzwerkzugriff mit Access Switches verbunden sind. In verschiedenen Beispielen werden zwei Zugriffsmodi erläutert. Bei allen Methoden kann die Funktion für den kabelgebundenen Gastzugriff als Fallbackmethode für die Authentifizierung fungieren. Dies ist in der Regel ein Anwendungsfall, wenn ein Gastbenutzer ein Endgerät bereitstellt, das dem Netzwerk unbekannt ist. Da das Endgerät die Endgerätekomponente nicht aufweist, schlägt der 802.1x-Authentifizierungsmodus fehl. Auch die MAB-Authentifizierung würde fehlschlagen, da die MAC-Adresse des Endgeräts dem Authentifizierungsserver nicht bekannt ist. Hierbei ist zu beachten, dass in solchen Implementierungen Unternehmensendgeräte erfolgreich auf das System zugreifen können, da sie entweder über eine 802.1x-Komponente oder ihre MAC-Adressen im Authentifizierungsserver zur Validierung verfügen. Dies ermöglicht eine flexible Bereitstellung, da der Administrator keine Ports speziell für den Gastzugriff einschränken und binden muss.

Topologie

Dieses Diagramm zeigt die im Bereitstellungsszenario verwendete Topologie:

ÖFFNUNG

Konfiguration des Gastanchors

1. Aktivieren Sie IP Device Tracking (IPDT) und DHCP Snooping auf Client-VLAN(s), in diesem Fall VLAN 75. Das Client-VLAN muss auf dem Gastanker erstellt werden.
ip device tracking

ip dhcp relay information trust-all

ip dhcp snooping vlan 75

ip dhcp snooping information option allow-untrusted

ip dhcp snooping

2. Erstellen Sie VLAN 75 und die L3-VLAN-Schnittstelle.
vlan 75

interface Vlan75

ip address 75.1.1.1 255.255.255.0

ip helper-address 192.168.1.1

ip dhcp pool DHCP_75

network 75.1.1.0 255.255.255.0

default-router 75.1.1.1

lease 0 0 10

update arp

3. Erstellen Sie ein Gast-LAN, das das Client-VLAN mit dem 5760 selbst angibt, das als Mobilitätsanker fungiert.
Für den openmode ist der Befehl no security web-auth erforderlich.

guest-lan GUEST_LAN_OPENAUTH 3

client vlan 75

mobility anchor

no security web-auth

no shutdown

Fremdkonfiguration

1. Aktivieren Sie DHCP und erstellen Sie das VLAN. Wie bereits erwähnt, muss das Client-VLAN nicht im Ausland eingerichtet werden.
ip dhcp relay information trust-all

ip dhcp snooping information option allow-untrusted

ip dhcp snooping

ip device tracking

2. Der Switch erkennt die MAC-Adresse des eingehenden Clients auf dem Port-Channel, der mit "access-Session port-control auto" konfiguriert wurde, und wendet die Subscriber-Richtlinie OPENAUTH an. Die hier beschriebene OPENAUTH-Richtlinie sollte zuerst erstellt werden.
policy-map type control subscriber OPENAUTH

event session-started match-all

1 class always do-until-failure

2 activate service-template SERV-TEMP3-OPENAUTH

3 authorize

interface Po1

switchport trunk allowed vlan 19,137

switchport mode trunk

ip arp inspection trust

access-session port-control auto

service-policy type control subscriber OPENAUTH

ip dhcp snooping trust

end

3. Das Lernen von MAC-Adressen sollte für das VLAN im Ausland konfiguriert werden.
mac address-table learning vlan 19

4. Die OPENAUTH-Richtlinie wird sequenziell bezeichnet, was in diesem Fall auf einen Service verweist.
Die Vorlage "SERV-TEMP3 OPENAUTH" wird hier definiert:

service-template SERV-TEMP3-OPENAUTH

tunnel type capwap name GUEST_LAN_OPENAUTH

5. Die Dienstvorlage enthält einen Verweis auf den Tunneltyp und den Namen. Das Client-VLAN 75 muss nur im Gastanker vorhanden sein, da es für die Verarbeitung des Client-Datenverkehrs zuständig ist.
guest-lan GUEST_LAN_OPENAUTH 3

client vlan 75

mobility anchor 9.7.104.62

no security web-auth

no shutdown

6. Die Tunnelanforderung wird für den kabelgebundenen Client vom Fremden zum Gastanker initiiert, und ein Tunneladdamingerfolg zeigt an, dass der Tunnelerstellungsprozess abgeschlossen ist.
Auf dem ACCESS-SWITCH1 wird ein kabelgebundener Client mit dem Ethernet-Port verbunden, der vom Netzwerkadministrator auf den Zugriffsmodus festgelegt wurde. In diesem Beispiel handelt es sich um Port GigabitEthernet1/0/11.

interface GigabitEthernet1/0/11

switchport access vlan 19

switchport mode access

WEBAUTH

Konfiguration des Gastanchors

1. Aktivieren Sie IPDT und DHCP-Snooping auf Client-VLAN(s), in diesem Fall VLAN 75. Das Client-VLAN muss auf dem Gastanker erstellt werden.
ip device tracking

ip dhcp relay information trust-all

ip dhcp snooping vlan 75

ip dhcp snooping information option allow-untrusted

ip dhcp snooping

2. Erstellen Sie VLAN 75 und die L3-VLAN-Schnittstelle.
vlan 75

interface Vlan75

ip address 75.1.1.1 255.255.255.0

ip helper-address 192.168.1.1

ip dhcp pool DHCP_75

network 75.1.1.0 255.255.255.0

default-router 75.1.1.1

lease 0 0 10

update arp

3. Erstellen Sie ein Gast-LAN, das das Client-VLAN angibt, wobei das 5760 selbst als Mobilitätsanker fungiert. Für den openmode ist der Befehl no security web-auth erforderlich.

guest-lan GUEST_LAN_WEBAUTH 3

client vlan VLAN0075

mobility anchor

security web-auth authentication-list default

security web-auth parameter-map webparalocal

no shutdown

Fremdkonfiguration

1. Aktivieren Sie DHCP und erstellen Sie ein VLAN. Wie bereits erwähnt, muss das Client-VLAN nicht im Ausland eingerichtet werden.
ip dhcp relay information trust-all

ip dhcp snooping information option allow-untrusted

ip dhcp snooping

ip device tracking

2. Der Switch erkennt die MAC-Adresse des eingehenden Clients auf dem Port-Channel, der mit "access-Session port-control auto" konfiguriert wurde, und wendet die WEBAUTH-Richtlinie für Teilnehmer an. Die hier beschriebene WEBAUTH-Richtlinie sollte zuerst erstellt werden.
policy-map type control subscriber WEBAUTH

event session-started match-all

1 class always do-until-failure

2 activate service-template SERV-TEMP3-WEBAUTH

3 authorize

interface po1

switchport trunk allowed vlan 19,137

switchport mode trunk

ip arp inspection trust

access-session port-control auto

service-policy type control subscriber WEBAUTH

ip dhcp snooping trust

end

3. MAC Learning sollte für VLAN im Ausland konfiguriert werden.
mac address-table learning vlan 19

4. Konfigurieren Sie den Radius und die Parameterzuordnung.
aaa new-model

aaa group server radius rad-grp

server Radius1

dot1x system-auth-control

aaa authentication dot1x default group rad-grp

radius server Radius1

address ipv4 172.19.45.194 auth-port 1812 acct-port 1813

timeout 60

retransmit 3

key radius

parameter-map type webauth webparalocal

type webauth

timeout init-state sec 5000

5. Die WEBAUTH-Richtlinie wird sequenziell bezeichnet, was in diesem Fall auf einen Dienst verweist. Die Vorlage mit dem Namen SERV-TEMP3 WEBAUTH, wie hier definiert.
service-template SERV-TEMP3-WEBAUTH

tunnel type capwap name GUEST_LAN_WEBAUTH

6. Die Dienstvorlage enthält einen Verweis auf den Tunneltyp und den Namen. Client-VLAN 75 muss nur im Gastanker vorhanden sein, da es für die Verarbeitung des Client-Datenverkehrs zuständig ist.
guest-lan GUEST_LAN_WEBAUTH 3

client vlan 75

mobility anchor 9.7.104.62

security web-auth authentication-list default

security web-auth parameter-map webparalocal

no shutdown

7. Die Tunnelanfrage wird vom Fremd- zum Gastanker für den kabelgebundenen Client initiiert, und ein "Tunnel-Erfolg" zeigt an, dass der Tunnelerstellungsvorgang abgeschlossen ist.
Auf dem ACCESS-SWITCH1 wird ein kabelgebundener Client mit dem Ethernet-Port verbunden, der vom Netzwerkadministrator auf den Zugriffsmodus festgelegt wurde. In diesem Beispiel handelt es sich um Port GigabitEthernet1/0/11.

interface GigabitEthernet1/0/11

switchport access vlan 19

switchport mode access

Parallele Konfiguration von OPENAUTH und WEBAUTH

Um zwei Gast-LANS zu haben und sie verschiedenen Clients zuzuweisen, müssen Sie diese auf den VLANs aufbauen, auf denen die Clients gelernt werden.

Konfiguration des Gastanchors

1. Aktivieren Sie IPDT und DHCP-Snooping auf den Client-VLAN(s), in diesem Fall VLAN 75. Das Client-VLAN muss auf dem Gastanker erstellt werden.
ip device tracking

ip dhcp relay information trust-all

ip dhcp snooping vlan 75

ip dhcp snooping information option allow-untrusted

ip dhcp snooping

2. Erstellen Sie VLAN 75 und die L3-VLAN-Schnittstelle.
vlan 75

interface Vlan75

ip address 75.1.1.1 255.255.255.0

ip helper-address 192.168.1.1

ip dhcp pool DHCP_75

network 75.1.1.0 255.255.255.0

default-router 75.1.1.1

lease 0 0 10

update arp

3. Erstellen Sie ein Gast-LAN, das das Client-VLAN mit dem 5760 selbst angibt, das als Mobilitätsanker fungiert.
Für den openmode ist der Befehl no security web-auth erforderlich.

guest-lan GUEST_LAN_OPENAUTH 3

client vlan 75

mobility anchor

no security web-auth

no shutdown

guest-lan GUEST_LAN_WEBAUTH 4

client vlan VLAN0075

mobility anchor

security web-auth authentication-list joseph

security web-auth parameter-map webparalocal

no shutdown

Fremdkonfiguration

1. Aktivieren Sie DHCP und erstellen Sie ein VLAN. Wie bereits erwähnt, muss das Client-VLAN nicht im Ausland eingerichtet werden.
ip dhcp relay information trust-all

ip dhcp snooping information option allow-untrusted

ip dhcp snooping

ip device tracking

2. Der Switch erkennt die MAC-Adresse des eingehenden Clients auf dem Port-Channel, der mit "access-Session port-control auto" konfiguriert wurde, und wendet die Subscriber-Richtlinie DOUBLEAUTH an. Die classMap mac1 enthält die MAC-Adressen, die Sie für OPENAUTH hinzufügen. Alles andere ist WEBAUTH unter Verwendung der zweiten "Always"-Klassenzuordnung mit dem Ereignis "Match First". Die hier beschriebene DOUBLEAUTH-Richtlinie sollte zuerst erstellt werden.
policy-map type control subscriber DOUBLEAUTH

event session-started match-first

1 class vlan19 do-until-failure

2 activate service-template SERV-TEMP3-OPENAUTH

3 authorize

2 class vlan18 do-until-failure

2 activate service-template SERV-TEMP4-WEBAUTH

3 authorize

interface po1

switchport trunk allowed vlan 19,137

switchport mode trunk

ip arp inspection trust

access-session port-control auto

service-policy type control subscriber DOUBLEAUTH

ip dhcp snooping trust

end

3. Die MAC-Lernfunktion sollte für die VLANs 18 und 19 im Ausland konfiguriert werden.
mac address-table learning vlan 18 19

4. Die Klassenzuordnungen VLAN 19 und VLAN 18 enthalten die Kriterien für die VLAN-Übereinstimmung, anhand derer Sie ermitteln können, in welches Gast-LAN der Client fällt. Sie wird hier definiert:
class-map type control subscriber match-any vlan18

match vlan 18

class-map type control subscriber match-any vlan19

match vlan 19

5. Die OPENAUTH-Richtlinie wird sequenziell bezeichnet, was in diesem Fall auf einen Service verweist.
Die Vorlage mit dem Namen SERV-TEMP3 OPENAUTH, wie hier definiert.

service-template SERV-TEMP3-OPENAUTH

tunnel type capwap name GUEST_LAN_OPENAUTH

service-template SERV-TEMP4-WEBAUTH

tunnel type capwap name GUEST_LAN_WEBAUTH

6. Die Dienstvorlage enthält einen Verweis auf den Tunneltyp und den Namen. Das Client-VLAN 75 muss nur im Gastanker vorhanden sein, da es für die Verarbeitung des Client-Datenverkehrs zuständig ist.
guest-lan GUEST_LAN_OPENAUTH 3

client vlan 75

mobility anchor 9.7.104.62

no security web-auth

no shutdown

guest-lan GUEST_LAN_WEBAUTH 4

client vlan VLAN0075

mobility anchor 9.7.104.62

security web-auth authentication-list joseph

security web-auth parameter-map webparalocal

no shutdown

7. Die Tunnelanfrage wird vom Fremd- zum Gastanker für den kabelgebundenen Client initiiert, und ein "Tunnel-Erfolg" zeigt an, dass der Tunnelerstellungsvorgang abgeschlossen ist.
Auf den ACCESS-SWITCHs gibt es mehrere kabelgebundene Clients, die eine Verbindung zu VLAN 18 oder VLAN 19 herstellen. Diese können dann den Gast-LANs entsprechend zugewiesen werden. In diesem Beispiel handelt es sich um Port GigabitEthernet1/0/11.

interface GigabitEthernet1/0/11

switchport access vlan 19

switchport mode access

Beispiel für die Verwendung eines WEBAUTH-Befehls: O/P

Ausländer

FOREIGN#show wir client summary

Number of Local Clients : 2

MAC Address    AP Name                          WLAN State              Protocol

--------------------------------------------------------------------------------

0021.ccbc.44f9 N/A                              3    UP                 Ethernet

0021.ccbb.ac7d N/A                              4    UP                 Ethernet

ANCHOR#show mac address-table

Mac Address Table

-------------------------------------------

Vlan   Mac Address    Type       Ports

----   -----------    --------   -----

19   0021.ccbc.44f9   DYNAMIC     Po1

19   0021.ccbb.ac7d   DYNAMIC     Po1

FOREIGN#show access-session mac 0021.ccbc.44f9 details

Interface: Port-channel1

IIF-ID: 0x83D880000003D4

MAC Address: 0021.ccbc.44f9

IPv6 Address: Unknown

IPv4 Address: Unknown

User-Name: 0021.ccbc.44f9

Device-type: Un-Classified Device

Status: Unauthorized

Domain: DATA

Oper host mode: multi-auth

Oper control dir: both

Session timeout: N/A

Common Session ID: 090C895F000012A70412D338

Acct Session ID: Unknown

Handle: 0x1A00023F

Current Policy: OPENAUTH

Session Flags: Session Pushed

Local Policies:

Service Template: SERV-TEMP3-OPENAUTH (priority 150)

Tunnel Profile Name: GUEST_LAN_OPENAUTH

Tunnel State: 2

Method status list:

Method           State

webauth         Authc Success

Anker

#show wir client summary

Number of Local Clients : 1

MAC Address    AP Name                          WLAN State              Protocol

--------------------------------------------------------------------------------

0021.ccbc.44f9 N/A                              3    WEBAUTH_PEND       Ethernet

0021.ccbb.ac7d N/A                              4    WEBAUTH_PEND       Ethernet

ANCHOR#show wir client summary

Number of Local Clients : 2

MAC Address    AP Name                          WLAN State              Protocol

--------------------------------------------------------------------------------

0021.ccbc.44f9 N/A                              3    UP                 Ethernet

0021.ccbb.ac7d N/A                              4    UP                 Ethernet

ANCHOR#show mac address-table

Mac Address Table

-------------------------------------------

Vlan   Mac Address       Type       Ports

----   -----------       --------   -----

19   0021.ccbc.44f9   DYNAMIC     Po1

18   0021.ccbb.ac7d   DYNAMIC     Po1

ANCHOR#show wir client summary

Number of Local Clients : 1

MAC Address   AP Name                         WLAN State             Protocol

--------------------------------------------------------------------------------

0021.ccbc.44f9 N/A                             3   UP                 Ethernet

0021.ccbb.ac7d N/A                             4   UP                 Ethernet

ANCHOR#show access-session mac 0021.ccbc.44f9

Interface   MAC Address   Method Domain Status Fg Session ID

----------------------------------------------------------------------

Ca1         0021.ccbc.44f9 webauth DATA   Auth     090C895F000012A70412D338

ANCHOR#show access-session mac 0021.ccbc.44f9 details

Interface: Capwap1

IIF-ID: 0x6DAE4000000248

MAC Address: 0021.ccbc.44f9

IPv6 Address: Unknown

IPv4 Address: 75.1.1.11

User-Name: 0021.ccbc.44f9

Status: Authorized

Domain: DATA

Oper host mode: multi-auth

Oper control dir: both

Session timeout: N/A

Common Session ID: 090C895F000012A70412D338

Acct Session ID: Unknown

Handle: 0x4000023A

Current Policy: (No Policy)

Method status list:

Method           State

webauth         Authc Success