Inhalt

Einleitung

Voraussetzungen

Anforderungen

Verwendete Komponenten

Konfigurieren eines Catalyst 9800, verbunden mit einem anderen Catalyst 9800

Netzwerkdiagramm

Konfigurieren von AAA auf beiden 9800-Geräten

WLANs auf den WLCs konfigurieren

Erstellen des Richtlinienprofils und des Richtlinien-Tags auf dem externen WLC

Erstellen Sie das Richtlinienprofil auf dem Anker-WLC.

Umleiten der ACL-Konfiguration auf beiden 9800s

ISE konfigurieren

Konfigurieren eines Catalyst 9800, verankert in einem AireOS WLC

Catalyst 9800 - Fremdkonfiguration

AAA-Konfigurationen auf dem Anker AireOS WLC

WLAN-Konfiguration auf dem AireOS WLC

Umleitung der ACL auf dem AireOS WLC

ISE konfigurieren

Unterschiede in der Konfiguration, wenn der AireOS-WLC der Fremdhersteller ist und der Catalyst 9800 der Auslöser ist

Überprüfung

Fehlerbehebung

Informationen zur Fehlerbehebung beim Catalyst 9800

Clientdetails

Integrierte Paketerfassung

RadioActive Traces

Informationen zur Fehlerbehebung in AireOS

Clientdetails

Debugger von der CLI

Referenzen

Einleitung

In diesem Dokument wird beschrieben, wie Sie eine zentrale Webauthentifizierung (CWA) auf dem Catalyst 9800 konfigurieren und Fehler bei der Suche nach einem anderen Wireless LAN Controller (WLC) als Mobilitätsanker beheben. Dabei werden sowohl der Anker auf AireOS als auch ein anderer 9800 WLC abgedeckt.

Voraussetzungen

Anforderungen

Es wird empfohlen, sich mit den 9800 WLC, AireOS WLC und der Cisco ISE vertraut zu machen. Es wird davon ausgegangen, dass Sie vor Beginn der CWA-Ankerkonfiguration den Mobility Tunnel zwischen den beiden WLCs bereits aufgerufen haben. Dies ist nicht Bestandteil des Konfigurationsbeispiels. Wenn Sie Hilfe hierzu benötigen, lesen Sie das Dokument "Building Mobility Tunnels on Catalyst 9800 Controller".

Verwendete Komponenten

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die potenziellen Auswirkungen eines Befehls verstehen.

9800 17,2,1

5520 8.5.164 IRCM-Image

ISE 2.4

Konfigurieren eines Catalyst 9800, verbunden mit einem anderen Catalyst 9800

Netzwerkdiagramm

Konfigurieren von AAA auf beiden 9800-Geräten

Sowohl beim Anker als auch im Ausland müssen Sie zuerst den RADIUS-Server hinzufügen und sicherstellen, dass CoA aktiviert ist. Dies können Sie hier tun: Configuration>Security>AAA>Servers/Groups>Servers> Klicken Sie auf die Schaltfläche Add (Hinzufügen).

Sie müssen nun eine Servergruppe erstellen und den Server, den Sie gerade konfiguriert haben, in diese Gruppe einfügen. Dies erfolgt hier Configuration>Security>AAA>Servers/Groups>Server Groups>+Add.

Erstellen Sie jetzt eine Autorisierungsmethodenliste (eine Authentifizierungsmethodenliste ist für CWA nicht erforderlich), wobei der Typ das Netzwerk und der Gruppentyp die Gruppe ist. Fügen Sie der Methodenliste die Servergruppe aus der vorherigen Aktion hinzu.

Diese Konfiguration erfolgt hier: Configuration>Security>AAA>Servers/AAA Method List>Authorization>+Add

(Optional) Erstellen Sie eine Accounting-Methodenliste unter Verwendung derselben Servergruppe wie die Autorisierungsmethodenliste. Die Accounting-Liste kann hier erstellt werden: Configuration>Security>AAA>Servers/AAA Method List>Accounting>+Add

WLANs auf den WLCs konfigurieren

Erstellen und konfigurieren Sie die WLANs auf beiden WLCs. Die WLANs sollten auf beiden übereinstimmen. Der Sicherheitstyp sollte MAC-Filterung sein, und die Liste der Autorisierungsmethoden aus dem vorherigen Schritt sollte angewendet werden. Diese Konfiguration wird unter Configuration>Tags & Profiles>WLANs>+Add vorgenommen.

Erstellen des Richtlinienprofils und des Richtlinien-Tags auf dem externen WLC

Rufen Sie die externe WLC-Webbenutzeroberfläche auf.

Um das Richtlinienprofil zu erstellen, gehen Sie zu Configuration>Tags & Profiles>Policy>+Add

Beim Verankern müssen Sie das zentrale Switching verwenden.

Auf der Registerkarte "Erweitert" sind AAA-Überschreibungen und RADIUS NAC für CWA obligatorisch. Hier können Sie auch die Accounting-Methodenliste anwenden, wenn Sie eine wählen.

Aktivieren Sie auf der Registerkarte "Mobilität" NICHT das Kontrollkästchen "Exportanker", sondern fügen Sie den Anker-WLC zur Ankerliste hinzu. Klicken Sie auf "Apply to Device" (Auf Gerät anwenden). Zur Erinnerung: Es wird davon ausgegangen, dass Sie bereits einen Mobility Tunnel zwischen den beiden Controllern eingerichtet haben.

Damit die APs dieses Richtlinienprofil verwenden können, müssen Sie ein Richtlinien-Tag erstellen und auf die APs anwenden, die Sie verwenden möchten.

Um das Richtlinien-Tag zu erstellen, gehen Sie zu Configuration>Tags & Profiles>Tags?Richtlinie>+Hinzufügen

Um dies mehreren APs gleichzeitig hinzuzufügen, gehen Sie zu Configuration>Wireless Setup>Advanced>Start Now. Klicken Sie auf die Aufzählungsbalken neben "Tag APs", und fügen Sie den gewünschten APs das Tag hinzu.

Erstellen Sie das Richtlinienprofil auf dem Anker-WLC.

Gehen Sie zur WLC-Webbenutzeroberfläche mit Anker. Fügen Sie unter Configuration>Tags & Profiles>Tags>Policy>+Add das Richtlinienprofil für den Anker 9800 hinzu. Vergewissern Sie sich, dass dies mit dem Richtlinienprofil im Ausland übereinstimmt, mit Ausnahme der Registerkarte "Mobilität" und der Accounting-Liste.

Sie fügen hier keinen Anker hinzu, aktivieren aber das Kontrollkästchen "Anker exportieren". Fügen Sie hier nicht die Accounting-Liste hinzu. Zur Erinnerung: Es wird davon ausgegangen, dass Sie bereits einen Mobility Tunnel zwischen den beiden Controllern eingerichtet haben.

Anmerkung: Es gibt keinen Grund, dieses Profil einem WLAN in einem Richtlinien-Tag zuzuordnen. Dies führt bei Bedarf zu Problemen. Wenn Sie dasselbe WLAN für APs in diesem WLC verwenden möchten, erstellen Sie ein anderes Richtlinienprofil für dieses WLAN.

Umleiten der ACL-Konfiguration auf beiden 9800s

Als Nächstes müssen Sie die Umleitungskonfiguration für die ACL auf beiden 9800er-Geräten erstellen. Die Einträge im Ausland sind unerheblich, da es sich um den Anker-WLC handelt, der die ACL auf den Datenverkehr anwendet. Die einzige Voraussetzung ist, dass es vorhanden ist und einen Eintrag hat. Die Einträge auf dem Anker müssen den Zugriff auf die ISE an Port 8443 "verweigern" und alles andere "zulassen". Diese ACL wird nur auf Datenverkehr angewendet, der vom Client "eingeht", sodass keine Regeln für den Rückverkehr erforderlich sind. DHCP und DNS werden ohne Einträge in der ACL weitergeleitet.

ISE konfigurieren

Der letzte Schritt ist die Konfiguration der ISE für CWA. Für dieses Beispiel gibt es zahlreiche Optionen, in diesem Beispiel werden jedoch die Grundlagen beibehalten und das standardmäßig selbst registrierte Gastportal verwendet.

Auf der ISE müssen Sie ein Autorisierungsprofil, einen Richtliniensatz mit einer Authentifizierungsrichtlinie und einer Autorisierungsrichtlinie erstellen, die das Autorisierungsprofil verwendet, die 9800(fremd) zur ISE als Netzwerkgerät hinzufügen und einen Benutzernamen und ein Kennwort für die Anmeldung am Netzwerk erstellen.

Um das Autorisierungsprofil zu erstellen, gehen Sie zu Richtlinien > Richtlinienelemente > Autorisierung > Ergebnisse > Autorisierungsprofile >+Hinzufügen. Stellen Sie sicher, dass der zurückgegebene Zugriffstyp "access_accept" lautet, und legen Sie dann die AVPs (Attribut-Wert-Paare) fest, die Sie zurücksenden möchten. Für CWA sind die Umleitungs-ACL und die Umleitungs-URL obligatorisch, Sie können jedoch auch Dinge wie VLAN-ID und Sitzungs-Timeout zurücksenden. Es ist wichtig, dass der ACL-Name mit dem Namen der Umleitungszugriffskontrollliste auf dem Fremd- und dem Anker 9800 übereinstimmt.

Anschließend müssen Sie eine Möglichkeit konfigurieren, das soeben erstellte Autorisierungsprofil auf die Clients anzuwenden, die CWA durchlaufen. Dazu können Sie einen Richtliniensatz erstellen, der die Authentifizierung bei Verwendung von MAB umgeht, und das Autorisierungsprofil bei Verwendung der in der angerufenen Station-ID gesendeten SSID anwenden. Auch hier gibt es viele Möglichkeiten, dies zu erreichen. Wenn Sie also etwas Spezifischeres oder Sicheres brauchen, dann ist das nur der einfachste Weg.

Um den Richtliniensatz zu erstellen, gehen Sie zu Policy>Policy Sets, und drücken Sie auf der linken Seite des Bildschirms die Schaltfläche +. Nennen Sie den neuen Richtliniensatz, und stellen Sie sicher, dass er auf "default network access" (Standard-Netzwerkzugriff) oder eine beliebige zulässige Protokollliste gesetzt ist, die "Process Host Lookup" für MAB( ermöglicht, die zulässige Protokollliste zu überprüfen, gehen Sie zu Policy>Policy Elements>Results>Authentication>Allowed Protocols). Drücken Sie jetzt das +-Zeichen in der Mitte des neuen Richtliniensatzes, den Sie erstellt haben.

Für diesen Richtliniensatz wird jedes Mal, wenn MAB in der ISE verwendet wird, dieser Richtliniensatz angewendet. Später können Sie Autorisierungsrichtlinien festlegen, die mit der angerufenen Station-ID übereinstimmen, sodass je nach verwendetem WLAN unterschiedliche Ergebnisse angewendet werden können. Dieser Prozess ist sehr anpassbar, mit einer Vielzahl von Dingen, die Sie abgleichen können.

Erstellen Sie im Richtliniensatz die Richtlinien. Die Authentifizierungsrichtlinie kann auf der MAB erneut übereinstimmen. Sie müssen jedoch den ID-Speicher so ändern, dass "interne Endpunkte" verwendet werden. Außerdem müssen die Optionen geändert werden, damit die Authentifizierung fehlschlägt und der Benutzer nicht gefunden wird.

Nachdem die Authentifizierungsrichtlinie festgelegt wurde, müssen Sie in der Autorisierungsrichtlinie zwei Regeln erstellen. Diese Richtlinie liest sich wie eine ACL, sodass die Regel nach der Authentifizierung oben und die Regel vor der Autorisierung unten angezeigt werden müssen. Die Regel nach der Autorisierung vergleicht Benutzer, die bereits einen Gastdatenfluss durchlaufen haben. Das heißt, wenn sie bereits angemeldet sind, werden sie diese Regel treffen und dort aufhören. Wenn sie sich nicht angemeldet haben, werden sie die Liste weiter herunterfahren und die Vorauth-Regel für die Umleitung drücken. Es empfiehlt sich, die Autorisierungsrichtlinien mit der angerufenen Station-ID abzugleichen, die mit der SSID endet, sodass sie nur auf WLANs zutrifft, die dafür konfiguriert sind.

Nachdem der Richtliniensatz konfiguriert wurde, müssen Sie die ISE über den 9800 (ausländisch) informieren, damit die ISE ihr als Authentifizierer vertrauen kann. Dies kann unter Admin>Network Resources>Network Device>+ erfolgen. Sie müssen den Namen eingeben, die IP-Adresse (oder in diesem Fall das gesamte Admin-Subnetz) festlegen, RADIUS aktivieren und den gemeinsamen geheimen Schlüssel festlegen. Das gemeinsam genutzte Geheimnis der ISE muss mit dem gemeinsam genutzten geheimen Schlüssel des 9800 übereinstimmen. Andernfalls schlägt dieser Prozess fehl. Nachdem die Konfiguration hinzugefügt wurde, drücken Sie die Schaltfläche zum Senden, um sie zu speichern.

Schließlich müssen Sie den Benutzernamen und das Kennwort hinzufügen, die der Client auf der Anmeldeseite eingeben wird, um zu überprüfen, ob er Zugriff auf das Netzwerk haben soll. Dies erfolgt unter Admin>Identity Management>Identity>Users>+Add, und klicken Sie nach dem Hinzufügen auf Submit (Senden).  Wie bei allen anderen ISE-Lösungen ist auch diese benutzerdefinierbar und muss kein lokal gespeicherter Benutzer sein, sondern die einfachste Konfiguration.

Konfigurieren eines Catalyst 9800, verankert in einem AireOS WLC

Catalyst 9800 - Fremdkonfiguration

Führen Sie die gleichen Schritte aus wie zuvor, und überspringen Sie den Abschnitt "Erstellen Sie das Richtlinienprofil für den Anker-WLC".

AAA-Konfigurationen auf dem Anker AireOS WLC

Fügen Sie den Server zum WLC hinzu, indem Sie Security>AAA>RADIUS>Authentication>New wählen. Fügen Sie die Server-IP-Adresse, den gemeinsamen geheimen Schlüssel und die CoA-Unterstützung hinzu.

WLAN-Konfiguration auf dem AireOS WLC

Um das WLAN zu erstellen, gehen Sie zu WLANs>Create New>Go.

Konfigurieren Sie den Profilnamen, die WLAN-ID und die SSID, und klicken Sie auf "Apply" (Anwenden).

Dadurch gelangen Sie zur WLAN-Konfiguration. Auf der Registerkarte "Allgemein" können Sie die Schnittstelle hinzufügen, die die Clients verwenden sollen, wenn Sie die ISE nicht so konfigurieren möchten, dass sie in den AVPs gesendet wird. Wechseln Sie anschließend zum Register Security>Layer2 und stimmen Sie mit der Konfiguration für Layer-2-Sicherheit überein, die Sie auf dem 9800 verwendet haben, und aktivieren Sie "MAC-Filterung".

Wechseln Sie nun zur Registerkarte Security>AAA Servers und setzen Sie den ISE-Server als "Authentication Servers" ein. Legen Sie keine Einstellungen für die "Buchhaltungsserver" fest. Deaktivieren Sie das Kontrollkästchen "Aktivieren" für die Rechnungsstellung.

Wechseln Sie zur Registerkarte Erweitert, und aktivieren Sie "AAA-Außerkraftsetzung zulassen", und ändern Sie den "NAC-Status" in "ISE NAC".

Das Letzte ist, es selbst zu verankern. Gehen Sie zurück zur WLANs-Seite, und bewegen Sie den Mauszeiger über das blaue Kästchen rechts neben WLAN>Mobility Anchors. Legen Sie "Switch IP Address (Anchor)" auf local fest, und drücken Sie die Schaltfläche "Mobility Anchor Create" (Mobility-Anker erstellen). Es sollte dann mit der Priorität 0 lokal verankert angezeigt werden.

Umleitung der ACL auf dem AireOS WLC

Dies ist die letzte erforderliche Konfiguration für den AireOS WLC. Um die Umleitungsliste zu erstellen, gehen Sie zu Security>Access Control Lists>Access Control Lists>New. Geben Sie den Namen der Zugriffskontrollliste ein (dieser muss mit dem in den AVPs gesendeten Inhalt übereinstimmen), und drücken Sie "Apply" (Anwenden).

Klicken Sie nun auf den Namen der gerade erstellten ACL. Klicken Sie auf die Schaltfläche Neue Regel hinzufügen. Im Gegensatz zum 9800 stellt der AireOS WLC eine Sicherheits-ACL dar, wenn sie auf den Client angewendet wird. Das heißt, wir müssen den Datenverkehr zur ISE zulassen und den Rückverkehr zulassen. DHCP und DNS sind standardmäßig zulässig.

ISE konfigurieren

Der letzte Schritt ist die Konfiguration der ISE für CWA. Für dieses Beispiel gibt es zahlreiche Optionen, in diesem Beispiel werden jedoch die Grundlagen beibehalten und das standardmäßig selbst registrierte Gastportal verwendet.

Auf der ISE müssen Sie ein Autorisierungsprofil, einen Richtliniensatz mit einer Authentifizierungsrichtlinie und einer Autorisierungsrichtlinie erstellen, die das Autorisierungsprofil verwendet, die 9800(fremd) zur ISE als Netzwerkgerät hinzufügen und einen Benutzernamen und ein Kennwort für die Anmeldung am Netzwerk erstellen.

Um das Autorisierungsprofil zu erstellen, gehen Sie zuRichtlinien > Richtlinienelemente > Autorisierung > Ergebnisse > Autorisierungsprofile >+Hinzufügen. Stellen Sie sicher, dass der zurückgegebene Zugriffstyp "access_accept" lautet, und legen Sie dann die AVPs (Attribut-Wert-Paare) fest, die Sie zurücksenden möchten. Für CWA sind die Umleitungs-ACL und die Umleitungs-URL obligatorisch, Sie können jedoch auch Dinge wie VLAN-ID und Sitzungs-Timeout zurücksenden. Es ist wichtig, dass der ACL-Name mit dem Namen der Umleitungszugriffskontrollliste auf dem Fremd- und dem Anker-WLC übereinstimmt.

Anschließend müssen Sie eine Möglichkeit konfigurieren, das soeben erstellte Autorisierungsprofil auf die Clients anzuwenden, die CWA durchlaufen. Dazu können Sie einen Richtliniensatz erstellen, der die Authentifizierung bei Verwendung von MAB umgeht, und das Autorisierungsprofil bei Verwendung der in der angerufenen Station-ID gesendeten SSID anwenden. Auch hier gibt es viele Möglichkeiten, dies zu erreichen. Wenn Sie also etwas Spezifischeres oder Sicheres brauchen, dann ist das nur der einfachste Weg.

Um den Richtliniensatz zu erstellen, gehen Sie zuPolicy>Policy Settings, und drücken Sie auf der linken Seite des Bildschirms die Taste +. Nennen Sie den neuen Richtliniensatz, und stellen Sie sicher, dass er auf "default network access" (Standard-Netzwerkzugriff) oder eine beliebige zulässige Protokollliste gesetzt ist, die "Process Host Lookup" für MAB( ermöglicht, die zulässige Protokollliste zu überprüfen, gehen Sie zu Policy>Policy Elements>Results>Authentication>Allowed Protocols). Drücken Sie jetzt das +-Zeichen in der Mitte des neuen Richtliniensatzes, den Sie erstellt haben.

Für diesen Richtliniensatz wird jedes Mal, wenn MAB in der ISE verwendet wird, dieser Richtliniensatz angewendet. Später können Sie Autorisierungsrichtlinien festlegen, die mit der angerufenen Station-ID übereinstimmen, sodass je nach verwendetem WLAN unterschiedliche Ergebnisse angewendet werden können. Dieser Prozess kann mit einer Vielzahl von Elementen individuell angepasst werden, die Sie

Erstellen Sie im Richtliniensatz die Richtlinien. Die Authentifizierungsrichtlinie kann auf der MAB erneut übereinstimmen. Sie müssen jedoch den ID-Speicher so ändern, dass "interne Endpunkte" verwendet werden. Außerdem müssen die Optionen geändert werden, damit die Authentifizierung fehlschlägt und der Benutzer nicht gefunden wird.

Nachdem die Authentifizierungsrichtlinie festgelegt wurde, müssen Sie in der Autorisierungsrichtlinie zwei Regeln erstellen. Diese Richtlinie liest sich wie eine ACL, sodass die Regel nach der Authentifizierung oben und die Regel vor der Autorisierung unten angezeigt werden müssen. Die Regel nach der Autorisierung vergleicht Benutzer, die bereits einen Gastdatenfluss durchlaufen haben. Das heißt, wenn sie bereits angemeldet sind, werden sie diese Regel treffen und dort aufhören. Wenn sie sich nicht angemeldet haben, werden sie die Liste weiter herunterfahren und die Vorauth-Regel für die Umleitung drücken. Es empfiehlt sich, die Autorisierungsrichtlinien mit der angerufenen Station-ID abzugleichen, die mit der SSID endet, sodass sie nur auf WLANs zutrifft, die dafür konfiguriert sind.

Nachdem der Richtliniensatz konfiguriert wurde, müssen Sie die ISE über den 9800 (ausländisch) informieren, damit die ISE ihr als Authentifizierer vertrauen kann. Dies kann unterAdmin > Netzwerkressourcen > Netzwerkgerät >+ Sie müssen den Namen eingeben, die IP-Adresse (oder in diesem Fall das gesamte Admin-Subnetz) festlegen, RADIUS aktivieren und den gemeinsamen geheimen Schlüssel festlegen. Das gemeinsam genutzte Geheimnis der ISE muss mit dem gemeinsam genutzten geheimen Schlüssel des 9800 übereinstimmen. Andernfalls schlägt dieser Prozess fehl. Nachdem die Konfiguration hinzugefügt wurde, drücken Sie die Schaltfläche zum Senden, um sie zu speichern.

Schließlich müssen Sie den Benutzernamen und das Kennwort hinzufügen, die der Client auf der Anmeldeseite eingeben wird, um zu überprüfen, ob er Zugriff auf das Netzwerk haben soll. Dies geschieht unterAdmin > Identitätsverwaltung > Identität > Benutzer >+Hinzufügenund klicken Sie auf Submit (Senden), nachdem Sie sie hinzugefügt haben.  Wie bei allen anderen ISE-Lösungen ist auch diese benutzerdefinierbar und muss kein lokal gespeicherter Benutzer sein, sondern die einfachste Konfiguration.

Unterschiede in der Konfiguration, wenn der AireOS-WLC der Fremdhersteller ist und der Catalyst 9800 der Auslöser ist

Wenn Sie möchten, dass der AireOs WLC der ausländische Controller ist, ist die Konfiguration identisch mit der vorherigen Konfiguration mit nur zwei Unterschieden.

1. Die AAA-Abrechnung erfolgt niemals am Anker, sodass der 9800 über keine Accounting-Methodenliste verfügt und der AireOS WLC die Accounting-Funktion aktiviert hätte und auf die ISE verweist.

2. Das AireOS müsste auf dem 9800-Gerät verankert werden, anstatt sich selbst zu bedienen. Im Richtlinienprofil des 9800-Geräts ist kein Anker ausgewählt, aber das Kontrollkästchen "Export Anchor" (Anker exportieren) ist aktiviert.

3. Beachten Sie, dass beim Exportieren von AireOS-WLCs in den 9800 kein Konzept für Richtlinienprofile existiert, sondern nur der WLAN-Profilname gesendet wird. Daher wendet der 9800 den von AireOS gesendeten WLAN-Profilnamen sowohl auf den WLAN-Profilnamen als auch auf den Richtlinienprofilnamen an. Bei der Verankerung von einem AireOS-WLC an einen 9800-WLC müssen jedoch der WLAN-Profilname auf beiden WLCs und der Name des Richtlinienprofils auf dem 9800 übereinstimmen.

Überprüfung

Um die Konfigurationen auf dem 9800 WLC zu überprüfen, führen Sie die Befehle aus.

- AAA

Show Run | section aaa|radius

- WLAN

Show wlan id <wlan id>

- Richtlinienprofil

Show wireless profile policy detailed <profile name>

- Richtlinien-Tag

Show wireless tag policy detailed <policy tag name>

- ACL

Show IP access-list <ACL name>

- Überprüfen Sie, ob die Mobilität mit dem Anker verbunden ist.

Show wireless mobility summary

Führen Sie die Befehle aus, um die Konfigurationen auf dem AireOS WLC zu überprüfen.

- AAA

Show radius summary

Anmerkung: RFC3576 ist die CoA-Konfiguration.

- WLAN

Show WLAN <wlan id>

- ACL

Show acl detailed <acl name>

- Überprüfen Sie, ob die Mobilität mit dem Ausland verbunden ist.

Show mobility summary

Fehlerbehebung

Die Fehlerbehebung sieht je nach dem Punkt, an dem der Client anhält, anders aus. Wenn der WLC beispielsweise nie eine Antwort von der ISE auf der MAB erhält, bleibt der Client im "Policy Manager State: Zuordnen" und nicht in den Anker exportiert. In dieser Situation führen Sie nur eine Fehlerbehebung für das Ausland durch, und Sie können eine RA-Ablaufverfolgung und eine Paketerfassung für den Datenverkehr zwischen dem WLC und der ISE sammeln. Ein weiteres Beispiel wäre, dass MAB erfolgreich übergeben wurde, aber der Client die Umleitung nicht erhält. In diesem Fall müssen Sie sicherstellen, dass der Fremdhersteller die Umleitung in den AVPs erhalten und auf den Client angewendet hat. Sie müssen auch den Anker überprüfen, um sicherzustellen, dass der Client mit der richtigen ACL vorhanden ist.  Dieser Umfang der Fehlerbehebung ist nicht Bestandteil des Designs dieses technischen Dokuments (überprüfen Sie die Referenzen für allgemeine Richtlinien zur Client-Fehlerbehebung).

Weitere Hilfe bei der Fehlerbehebung für CWA auf dem 9800 WLC finden Sie in der Cisco Live! Präsentation: DGTL-TSCENT-404

Informationen zur Fehlerbehebung beim Catalyst 9800

Clientdetails

show wireless client mac-address

detail

Hier sehen Sie "Policy Manager State", "Session Manager > Auth Method", "Mobility Role".

Sie finden diese Informationen auch in der GUI unter Monitoring>Clients

Integrierte Paketerfassung

Über die Kommandozeile startet der Befehl #monitor capture <capture name>, danach folgen die Optionen.

Gehen Sie in der GUI zu Troubleshoot>Packet Capture>+Add

RadioActive Traces

Über die CLI

debug wireless mac|ip

Beenden Sie den Befehl mit der Form no (Nein). Diese wird in einer Datei im Bootflash "ra_trace" protokolliert, dann in der MAC- oder IP-Adresse des Clients sowie in Datum und Uhrzeit.

Gehen Sie in der GUI zu Troubleshoot>Radioactive Trace>+Add. Fügen Sie die MAC- oder IP-Adresse des Clients hinzu, klicken Sie auf "Anwenden", und drücken Sie dann auf "Start". Nachdem Sie den Prozess einige Male beendet haben, erstellen Sie das Protokoll und laden es auf Ihr Gerät herunter.

Informationen zur Fehlerbehebung in AireOS

Clientdetails

In der CLI zeigen Sie Client-Details an.

Über GUI Monitor>Clients

Debugger von der CLI

Debug client

Debug mobility handoff

Debug mobility config

Referenzen

Gebäude für Mobility-Tunnel mit 9800 Controllern

Wireless-Debuggen und Protokollerfassung für 9800