Inhalt

Einleitung

Voraussetzungen

Anforderungen

Verwendete Komponenten

Hintergrundinformationen

Datenverkehrsfluss für CWA Guest Enterprise-Bereitstellung

Netzwerkdiagramm

Konfigurieren

Konfigurieren der C9800-Parameter für den Wireless-Gastzugriff

C9800 - AAA-Konfiguration für Gast

C9800 - Konfigurieren der Umleitungs-ACL

C9800 - Konfiguration des Gast-WLAN-Profils

C9800 - Definition des Gastrichtlinienprofils

C9800 - Richtlinien-Tag

C9800 - AP-Beitrittsprofil

C9800 - Flex Profile

C9800 - Site-Tag

C9800 - RF-Profil

C9800 - Zuweisen von Tags zu AP

Aruba CPPM-Instanz konfigurieren

Aruba ClearPass Server - Erstkonfiguration

Lizenzen beantragen

Hostname des Servers

CPPM-Webserverzertifikat (HTTPS) generieren

Definieren des C9800 WLC als Netzwerkgerät

Gastportalseite und CoA-Timer

ClearPass - Gast-CWA-Konfiguration

Metadatenattribut für ClearPass-Endpunkt: Gast-Internet zulassen

Konfiguration der ClearPass-Richtlinie zur erneuten Authentifizierung

Konfiguration des Durchsetzungsprofils für die ClearPass-Gastportal-Umleitung

Konfiguration des Durchsetzungsprofils für ClearPass-Metadaten

Richtlinienkonfiguration für die Durchsetzungsrichtlinie für den Gastzugriff mit ClearPass

Konfiguration der Durchsetzungsrichtlinie für ClearPass-Gastzugriff nach AUP

Konfiguration des ClearPass MAB-Authentifizierungsdiensts

Konfiguration des ClearPass-Webauthentifizierungsdiensts

ClearPass - Webanmeldung

Verifizierung - CWA-Gastautorisierung

Anhang

Zugehörige Informationen

Einleitung

In diesem Dokument wird die Integration des Catalyst 9800 Wireless LAN Controller (WLC) mit Aruba ClearPass zur Bereitstellung von Guest Wireless Service Set Identifier (SSID) beschrieben. Diese Funktion nutzt die zentrale Webauthentifizierung (CWA) für Wireless-Clients im Flexconnect-Modus bei Access Point-Bereitstellungen.

Die Wireless-Gastauthentifizierung wird vom Gastportal mit einer Seite für anonyme akzeptable Benutzerrichtlinien (AUP) unterstützt, die auf Aruba Clearpass in einem DMZ-Segment (Secure Demilitarized Zone) gehostet wird.

Voraussetzungen

In diesem Leitfaden wird davon ausgegangen, dass diese Komponenten konfiguriert und verifiziert wurden:

- Alle relevanten Komponenten werden mit dem Network Time Protocol (NTP) synchronisiert und auf korrekte Uhrzeit überprüft (für die Zertifikatsvalidierung erforderlich).

- Operativer DNS-Server (für Datenverkehrsflüsse von Gästen erforderlich, Validierung der Zertifikatsperrliste (Certificate Revocation List, CRL))

- Betriebs-DHCP-Server

- Eine optionale Zertifizierungsstelle (Certificate Authority, CA) (zum Signieren des vom CPPM gehosteten Gastportals erforderlich)

- Catalyst 9800 WLC

- Aruba ClearPass Server (erfordert Plattformlizenz, Zugriffslizenz, Onboard-Lizenz)

- VMware ESXi

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

- C9800-Bereitstellung und neues Konfigurationsmodell

- Flexconnect-Switching beim C9800

- 9800 CWA-Authentifizierung (siehe: https://www.cisco.com/c/en/us/support/docs/wireless/catalyst-9800-series-wireless-controllers/213920-central-web-authentication-cwa-on-cata.html)

Verwendete Komponenten

Die Informationen in diesem Dokument basierend auf folgenden Software- und Hardware-Versionen:

- Cisco Catalyst C9800-L-C mit 17.3.4c

- Cisco Catalyst Serie C9130AX

- Aruba ClearPass, Patch 6-8-0-109592 und 6.8-3

- MS Windows-Server

- Active Directory (GP konfiguriert für die automatisierte, computerbasierte Zertifikatausgabe an verwaltete Endpunkte)

- DHCP-Server mit Option 43 und Option 60

- DNS-Server

- NTP-Server zur Zeitsynchronisierung aller Komponenten

- CA

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle verstehen.

Hintergrundinformationen

Das Diagramm zeigt die Einzelheiten des Wi-Fi-Gastzugriffaustauschs, bevor der Gastbenutzer Zugang zum Netzwerk erhält:

1. Der Gastbenutzer wird dem Gast-Wi-Fi in einer Außenstelle zugewiesen.

2. Die ursprüngliche RADIUS-Zugriffsanforderung wird vom C9800 an den RADIUS-Server weitergeleitet.

3. Der Server sucht die angegebene Gast-MAC-Adresse in der lokalen MAC-Endpunktdatenbank.

Wenn die MAC-Adresse nicht gefunden wird, antwortet der Server mit einem MAB-Profil (MAC Authentication Bypass). Diese RADIUS-Antwort umfasst:

- ACL (URL Redirect Access Control List)

- URL-Umleitung

4. Der Client durchläuft den IP-Lernprozess, bei dem ihm eine IP-Adresse zugewiesen wird.

5. C9800 setzt den Gastclient (gekennzeichnet durch seine MAC-Adresse) in den Status "Web Auth Pending" (Webauthentifizierung ausstehend) um.

6. Die meisten modernen Geräte-Betriebssysteme in Verbindung mit Gast-WLANs führen eine Art Captive Portal Detection durch.

Der genaue Erkennungsmechanismus hängt von der jeweiligen Betriebssystemimplementierung ab. Das Client-Betriebssystem öffnet ein Popup-Dialogfeld (Pseudo-Browser) mit einer Seite, die von C9800 an die Gastportal-URL umgeleitet wird, die vom RADIUS-Server gehostet wird, der als Teil der RADIUS Access-Accept-Antwort bereitgestellt wird.

7. Der Gastbenutzer akzeptiert die Geschäftsbedingungen des angezeigten Popup-Fensters ClearPass, das die Client-MAC-Adresse in der Endpunktdatenbank (DB) markiert, um anzugeben, dass der Client eine Authentifizierung abgeschlossen hat und eine RADIUS-Autorisierungsänderung (CoA) initiiert, indem eine Schnittstelle auf Basis der Routing-Tabelle ausgewählt wird (wenn auf ClearPass mehrere Schnittstellen vorhanden sind).

8. WLC wechselt den Guest Client in den 'Run'-Status und der Benutzer erhält ohne weitere Umleitungen Zugang zum Internet.

Anmerkung: Das Statusdiagramm des Cisco 9800 Foreign, Anchor Wireless Controller mit RADIUS und dem extern gehosteten Gastportal finden Sie im Anhang dieses Artikels.

Zustandsdiagramm zur Guest Central Web Authentication (CWA)

Datenverkehrsfluss für CWA Guest Enterprise-Bereitstellung

In einer typischen Unternehmensbereitstellung mit mehreren Zweigstellen ist jede Zweigstelle so eingerichtet, dass sie Gästen über ein Gastportal sicheren, segmentierten Zugriff gewährt, sobald der Gast die EULA akzeptiert.

In diesem Konfigurationsbeispiel wird der 9800 CWA für den Gastzugriff über die Integration mit einer separaten ClearPass-Instanz verwendet, die ausschließlich für Gastbenutzer in der sicheren DMZ des Netzwerks bereitgestellt wird.

Die Gäste müssen die Bedingungen akzeptieren, die im Popup-Portal für die Web-Zustimmung des DMZ ClearPass-Servers aufgeführt sind. Dieses Konfigurationsbeispiel konzentriert sich auf die Methode für den anonymen Gastzugriff (d. h., für die Authentifizierung im Gastportal ist kein Gastbenutzername/Kennwort erforderlich).

Der Datenverkehrsfluss, der dieser Bereitstellung entspricht, wird im folgenden Image angezeigt:

1. RADIUS - MAB-Phase

2. Gastclient-URL zu Gastportal umleiten

3. Nach der Gastakzeptanz der EULA auf dem Gastportal wird RADIUS CoA Reauthentifizieren von CPPM an 9800 WLC ausgegeben

4. Gastzugriff auf das Internet

Netzwerkdiagramm

Anmerkung: Zu Demonstrationszwecken wird eine einzelne/kombinierte Aruba CPPM Server-Instanz verwendet, um sowohl die Funktionen des Gast- als auch des Unternehmens-SSID-Netzwerkzugriffsservers (NAS) zu bedienen. Eine Best Practice-Implementierung schlägt unabhängige NAS-Instanzen vor.

Konfigurieren

In diesem Konfigurationsbeispiel wird ein neues Konfigurationsmodell auf dem C9800 verwendet, um die erforderlichen Profile und Tags zu erstellen, um dot1x Corporate Access und CWA Guest Access für die Zweigstelle des Unternehmens bereitzustellen. Die resultierende Konfiguration ist in diesem Bild zusammengefasst:

Konfigurieren der C9800-Parameter für den Wireless-Gastzugriff

C9800 - AAA-Konfiguration für Gast

Anmerkung: Informationen zu Cisco Bug-ID CSCvh03827: Stellen Sie sicher, dass die definierten AAA-Server (Authentication, Authorization, and Accounting) keinen Lastenausgleich aufweisen, da der Mechanismus auf der SessionID-Persistenz in WLC- und ClearPass RADIUS-Austauschen beruht.

Schritt 1: Fügen Sie den/die Aruba ClearPass DMZ-Server der 9800 WLC-Konfiguration hinzu, und erstellen Sie eine Liste der Authentifizierungsmethoden. Navigieren Sie zu Configuration > Security > AAA > Servers/Groups > RADIUS > Servers > +Add, und geben Sie die RADIUS-Serverinformationen ein.

Schritt 2: Definieren Sie eine AAA-Servergruppe für Gäste, und weisen Sie den in Schritt 1 konfigurierten Server dieser Servergruppe zu. Navigieren Sie zu Configuration > Security > AAA > Servers/Groups > RADIUS > Groups > +Add.

Schritt 3: Definieren Sie eine Liste von Autorisierungsmethoden für den Gastzugriff, und ordnen Sie die in Schritt 2 erstellte Servergruppe zu. Navigieren Sie zu Konfiguration > Sicherheit > AAA > AAA-Methodenliste > Autorisierung > +Hinzufügen. Wählen Sie Network (Netzwerk) und anschließend AAA Server Group (AAA-Servergruppe) aus, die in Schritt 2 konfiguriert wurde.

Schritt 4: Erstellen Sie eine Liste mit den Abrechnungsmethoden für den Gastzugriff, und ordnen Sie die in Schritt 2 erstellte Servergruppe zu. Navigieren Sie zu Konfiguration > Sicherheit > AAA > AAA-Methodenliste > Abrechnung > +Hinzufügen. Wählen Sie im Dropdown-Menü Type Identity (Identitätstyp) aus, und konfigurieren Sie dann in Schritt 2 die AAA-Servergruppe.

C9800 - Konfigurieren der Umleitungs-ACL

Die Umleitungs-ACL legt fest, welcher Datenverkehr zum Gastportal umgeleitet werden muss und welcher Datenverkehr ohne Umleitung weitergeleitet werden darf. In diesem Fall impliziert die ACL-Verweigerung eine Umleitung oder Weiterleitung, während "Zulassen" eine Umleitung zum Portal impliziert. Für jede Datenverkehrsklasse muss die Richtung des Datenverkehrs berücksichtigt werden, wenn Sie Zugriffskontrolleinträge (Access Control Entries, ACEs) erstellen und ACEs erstellen, die sowohl Eingangs- als auch Ausgangsdatenverkehr abgleichen.

Navigieren Sie zu Configuration > Security > ACL, und definieren Sie eine neue ACL mit dem Namen CAPTIVE_PORTAL_REDIRECT. Konfigurieren Sie die ACL mit diesen ACEs:

- ACE1: Umleitung von bidirektionalem ICMP-Datenverkehr (Internet Control Message Protocol), der hauptsächlich zur Überprüfung der Erreichbarkeit verwendet wird

- ACE10, ACE30: Bidirektionaler DNS-Datenverkehrsfluss zum DNS-Server 10.0.10.4 und keine Umleitung zum Portal Eine DNS-Suche und ein Abfangen der Antwort sind erforderlich, um den Gastdatenfluss auszulösen.

- ACE70, ACE80, ACE110, ACE120: Ermöglicht HTTP- und HTTPS-Zugriff auf das Captive Portal des Gasts, damit der Benutzer das Portal erhält.

- ACE150: Der gesamte HTTP-Datenverkehr (UDP-Port 80) wird umgeleitet.

C9800 - Konfiguration des Gast-WLAN-Profils

Schritt 1: Navigieren Sie zu Konfiguration > Tags & Profile > Wireless > +Hinzufügen. Erstellen Sie ein neues SSID-Profil "WP_Guest", und übertragen Sie die SSID "Guest", der die Gastclients zugeordnet sind.

Navigieren Sie im selben Dialogfeld WLAN hinzufügen zur Registerkarte Sicherheit > Schicht 2.

- Layer 2-Sicherheitsmodus: None

- MAC-Filterung: Aktiviert

- Autorisierungsliste: AAA_Authz_CPPM aus dem Dropdown-Menü (konfiguriert unter Schritt 3 als Teil der AAA-Konfiguration)

C9800 - Definition des Gastrichtlinienprofils

Navigieren Sie in der C9800 WLC-GUI zu Konfiguration > Tags & Profile > Richtlinie > +Hinzufügen.

Name: PP_Gast

Status: Aktiviert

Zentrales Switching: Deaktiviert

Zentrale Authentifizierung: Aktiviert

Zentrales DHCP: Deaktiviert

Zentralverband: Deaktiviert

Navigieren Sie zur Registerkarte Zugriffsrichtlinien im selben Dialogfeld Richtlinienprofil hinzufügen.

- RADIUS-Profilerstellung: Aktiviert

- VLAN/VLAN-Gruppe: 210 (d. h., VLAN 210 ist das lokale Gast-VLAN in jeder Außenstelle)

Anmerkung: Gast-VLAN für Flex muss auf dem 9800 WLC nicht unter VLANs in der VLAN-/VLAN-Gruppentyp-VLAN-Nummer definiert werden.

Bekannter Fehler: Die Cisco Bug-ID CSCvn48234 bewirkt, dass die SSID nicht übertragen wird, wenn dasselbe Flex-Gast-VLAN unter WLC und im Flex-Profil definiert ist.

Navigieren Sie im selben Dialogfeld Richtlinienprofil hinzufügen zur Registerkarte Erweitert.

- AAA-Außerkraftsetzung zulassen: Aktiviert

- NAC-Staat: Aktiviert

- NAC-Typ: RADIUS

- Abrechnungsliste: AAA_Accounting_CPPM (wird in Schritt 4 als Teil der AAA-Konfiguration definiert)

Anmerkung: 'Network Admission Control (NAC) State - Enable' ist erforderlich, damit der C9800 WLC RADIUS-CoA-Nachrichten annehmen kann.

C9800 - Richtlinien-Tag

Navigieren Sie in der C9800-Benutzeroberfläche zu Konfiguration > Tags & Profile > Tags > Policy > +Add.

-Name: PT_CAN01

-Beschreibung: Richtlinien-Tag für CAN01-Zweigstelle

Klicken Sie im selben Dialogfeld Add Policy Tag (Richtlinientag hinzufügen) unter WLAN-POLICY MAPS auf +Add (Hinzufügen), und ordnen Sie das zuvor erstellte WLAN-Profil dem Richtlinienprofil zu:

- WLAN-Profil: WP_Gast

- Richtlinienprofil: PP_Gast

C9800 - AP-Beitrittsprofil

Navigieren Sie in der C9800 WLC-GUI zu Konfiguration > Tags & Profile > AP Join > +Add.

-Name: Außenstellen-AP-Profil

- NTP-Server: 10.0.10.4 (siehe Topologiediagramm der Übungseinheit). Dies ist der NTP-Server, der von den Access Points in der Außenstelle für die Synchronisierung verwendet wird.

C9800 - Flex Profile

Die Profile und Tags sind modular und können für mehrere Standorte wiederverwendet werden.

Bei einer FlexConnect-Bereitstellung können Sie dasselbe Flex-Profil wiederverwenden, wenn in allen Zweigstellen dieselben VLAN-IDs verwendet werden.

Schritt 1: Navigieren Sie auf einer C9800 WLC-GUI zu Configuration > Tags & Profiles > Flex > +Add.

-Name: FP_Außenstelle

- Native VLAN-ID: 10 (nur erforderlich, wenn Sie über ein natives VLAN verfügen, das nicht der Standardeinstellung entspricht und über eine AP-Verwaltungsschnittstelle verfügen soll)

Navigieren Sie im selben Dialogfeld Flex-Profil hinzufügen zur Registerkarte Richtlinien-ACL, und klicken Sie auf +Hinzufügen.

- ACL-Name: CAPTIVE_PORTAL_REDIRECT

- Zentrale Webauthentifizierung: Aktiviert

Bei einer Flexconnect-Bereitstellung wird erwartet, dass jeder verwaltete Access Point die Umleitungszugriffskontrollliste lokal herunterlädt, während die Umleitung am Access Point und nicht am C9800 erfolgt.

Navigieren Sie im selben Dialogfeld Add Flex Profile (Flex-Profil hinzufügen) zur Registerkarte VLAN, und klicken Sie auf +Add (siehe Topologiediagramm der Übung).

- VLAN-Name: Gast

- VLAN-ID: 210

C9800 - Site-Tag

Navigieren Sie in der GUI des 9800 WLC zu Configuration > Tags & Profiles > Tags > Site > Add.

Anmerkung: Erstellen Sie für jeden Remote-Standort ein eindeutiges Site-Tag, das die beiden Wireless-SSIDs wie beschrieben unterstützt.

Es gibt eine 1-1-Zuordnung zwischen einem geografischen Standort, einer Site-Tag-Nummer und einer Flex Profile-Konfiguration.

Einem Flex Connect-Standort muss ein Flex Connect-Profil zugeordnet sein. Sie können maximal 100 Access Points pro Flex Connect-Standort einrichten.

-Name: ST_CAN01

- Zugangsprofil: Außenstellen-AP-Profil

- Flex Profile: FP_Außenstelle

- Lokalen Standort aktivieren: Deaktiviert

C9800 - RF-Profil

Navigieren Sie in der GUI des 9800 WLC zu Configuration > Tags & Profiles > Tags > RF > Add.

-Name: Zweigstelle_RF

- 5-GHz-Band-Funkfrequenzprofil: Typical_Client_Density_5gh (systemdefinierte Option)

- 2,4-GHz-Band-RF-Profil: Typical_Client_Density_2gh (systemdefinierte Option)

C9800 - Zuweisen von Tags zu AP

Es stehen zwei Optionen zur Verfügung, um definierten Tags einzelnen APs in der Bereitstellung zuzuweisen:

- Namensbasierte Zuweisung des Access Points, bei der reguläre Ausdrücke verwendet werden, die mit Mustern im Feld "AP-Name" übereinstimmen (Konfigurieren > Tags & Profile > Tags > AP > Filter)

- Adressbasierte Zuweisung von AP-Ethernet-MACs (Konfigurieren > Tags & Profile > Tags > AP > Statisch)

In der Produktionsbereitstellung mit DNA Center wird dringend empfohlen, entweder DNAC- und AP PNP-Workflow oder eine statische CSV-Upload-Methode (Comma-Separated Values) zu verwenden, die in 9800 verfügbar ist, um eine manuelle Zuweisung pro AP zu vermeiden. Navigieren Sie zu Configure > Tags & Profiles > Tags > AP > Static > Add (Beachten Sie die Option Upload File).

- AP-MAC-Adresse: <AP_ETHERNET_MAC>

- Policy-Tag-Name: PT_CAN01

- Site-Tag-Name: ST_CAN01

- RF-Tag-Name: Zweigstelle_RF

Anmerkung: Ab Cisco IOS®-XE 17.3.4c gelten maximal 1.000 reguläre Ausdrücke pro Controller-Begrenzung. Wenn die Anzahl der Standorte in der Bereitstellung diese Anzahl überschreitet, muss die statische Zuweisung pro MAC genutzt werden.

Anmerkung: Alternativ können Sie zur Verwendung der auf dem AP-Namensregex basierenden Tag-Zuweisungsmethode zu Configure > Tags & Profiles > Tags > AP > Filter > Add navigieren.

-Name: BR_CAN01

- AP-Namensregex: BR-CAN01-.(7) (Diese Regel entspricht der AP-Namenskonvention innerhalb der Organisation. In diesem Beispiel werden die Tags APs zugewiesen, die über ein Feld "AP Name" mit dem Zusatz "BR_CAN01-" verfügen, gefolgt von sieben Zeichen.)

-Priorität: 1

- Policy-Tag-Name: PT_CAN01 (wie definiert)

- Site-Tag-Name: ST_CAN01

- RF-Tag-Name: Zweigstelle_RF

Aruba CPPM-Instanz konfigurieren

Wenden Sie sich für produktions-/Best Practices-basierte Aruba CPPM-Konfigurationen an Ihre lokale HPE Aruba SE-Ressource.

Aruba ClearPass Server - Erstkonfiguration

Aruba ClearPass wird mithilfe der OVF-Vorlage (Open Virtualization Format) auf dem ESXi <> -Server bereitgestellt, der die folgenden Ressourcen zuweist:

- Zwei reservierte virtuelle CPUs

- 6 GB RAM

- 80 GB Festplatte (muss manuell nach der anfänglichen VM-Bereitstellung hinzugefügt werden, bevor der Computer eingeschaltet wird)

Lizenzen beantragen

Wenden Sie die Plattformlizenz an über: Administration > Server Manager > Licensing (Verwaltung > Server-Manager > Lizenzierung). Hinzufügen von Plattform-, Zugangs- und Onboard-Lizenzen.

Hostname des Servers

Navigieren Sie zu Administration > Server Manager > Server Configuration, und wählen Sie den neu bereitgestellten CPPM-Server aus.

- Hostname: Cppm

- FQDN: cppm.example.com

- Überprüfen der IP-Adressierung und des DNS des Management-Ports

CPPM-Webserverzertifikat (HTTPS) generieren

Dieses Zertifikat wird verwendet, wenn die Seite des ClearPass-Gastportals über HTTPS für Gastclients angezeigt wird, die eine Verbindung mit dem Gast-Wi-Fi in der Außenstelle herstellen.

Schritt 1: Laden Sie das CA Pub Chain-Zertifikat hoch.

Navigieren Sie zu Administration > Certificates > Trust List > Add.

- Verwendung: Andere aktivieren

Schritt 2: Erstellen einer Zertifikatsignierungsanforderung

Navigieren Sie zu Administration > Certificates > Certificate Store > Server Certificates > Usage: HTTPS-Serverzertifikat.

- Klicken Sie auf die Anforderung zum Erstellen einer Zertifikatssignatur.

- Allgemeine Bezeichnung: CPPM

- Organisation: cppm.example.com

Stellen Sie sicher, dass das SAN-Feld ausgefüllt wird (in SAN sowie IP und anderen FQDNs muss nach Bedarf ein gemeinsamer Name angegeben werden). Format ist DNS: <fqdn1>,DNS:<fqdn2>,IP<ip1>.

Schritt 3: Signieren Sie in der ausgewählten Zertifizierungsstelle die neu generierte CSR für den CPPM HTTPS-Service.

Schritt 4: Navigieren Sie zu Zertifikatvorlage > Webserver > Zertifikat importieren.

- Zertifikatstyp: Serverzertifikat

- Verwendung: HTTP-Serverzertifikat

- Zertifikatsdatei: Durchsuchen und CA-signiertes CPPM HTTPS-Service-Zertifikat auswählen

Definieren des C9800 WLC als Netzwerkgerät

Navigieren Sie zu Konfiguration > Netzwerk > Geräte > Hinzufügen.

-Name: WLC_9800 Zweigstelle

- IP- oder Subnetzadresse: 10.85.54.99 (siehe Topologiediagramm der Übungseinheit)

- RADIUS Shared Cisco: <WLC RADIUS-Kennwort>

- Name des Anbieters: Cisco

- Aktivieren Sie die dynamische RADIUS-Autorisierung: 1700

Gastportalseite und CoA-Timer

Es ist sehr wichtig, während der gesamten Konfiguration die richtigen Timer-Werte einzustellen. Wenn die Timer nicht eingestellt sind, werden Sie wahrscheinlich auf eine zyklische Webportal-Umleitung stoßen, bei der sich der Client nicht im Ausführungszustand befindet.

Zeitgeber für:

- Portal Web Login timer: Dieser Timer verzögert die Weiterleitungsseite, bevor der Zugriff auf die Gastportalseite möglich ist, um den CPPM-Dienst über den Statusübergang zu informieren, das benutzerdefinierte Endpoint-Attribut "Allow-Guest-Internet" zu registrieren und den CoA-Prozess von CPPM zu WLC auszulösen. Navigieren Sie zu Gast > Konfiguration > Seiten > Webanmeldungen.

- Name des Gastportals auswählen: Registrierung anonymer Gäste im Labor (die Konfiguration dieser Seite für das Gastportal wird wie dargestellt detailliert dargestellt)

- Klicken Sie auf Bearbeiten

- Anmeldeverzögerung: 6 Sekunden

- ClearPass CoA-Verzögerungszeitgeber: Dadurch wird die Generierung von CoA-Nachrichten von ClearPass an den WLC verzögert. Dies ist erforderlich, damit CPPM den Status des Client-Endpunkts intern erfolgreich ändern kann, bevor die CoA-Bestätigung (ACK) vom WLC zurückkommt. Labortests zeigen die Antwortzeiten von WLC in Millisekunden. Wenn CPPM die Aktualisierung der Endpunktattribute nicht abgeschlossen hat, wird die neue RADIUS-Sitzung von WLC mit der Durchsetzungsrichtlinie für den nicht authentifizierten MAB-Dienst abgeglichen, und der Client erhält erneut eine Umleitungsseite. Navigieren Sie zu CPPM > Administration > Server Manager > Server Configuration, und wählen Sie CPPM Server > Service Parameters.

- Verzögerung der RADIUS Dynamic Authorization (DM/CoA) - auf 6 Sekunden eingestellt

ClearPass - Gast-CWA-Konfiguration

Die ClearPass-seitige CWA-Konfiguration besteht aus (3) Servicepunkten/Phasen:

ClearPass-Komponente

Servicetyp

Zweck

1. Richtlinien-Manager

Dienst: Mac-Authentifizierung

Wenn das benutzerdefinierte Attribut Allow-Guest-Internet = TRUE lautet, lassen Sie es im Netzwerk zu. Triggern Sie andernfalls Redirect und COA: Erneut authentifizieren.

2. Gast

Web-Anmeldungen

Anonyme Login-AUP-Seite präsentieren.

Nach der Authentifizierung legen Sie das benutzerdefinierte Attribut Allow-Guest-Internet = TRUE fest.

3. Richtlinien-Manager

Dienst: Webbasierte Authentifizierung

Endpunkt auf bekannt aktualisieren

Legen Sie das benutzerdefinierte Attribut Allow-Guest-Internet = TRUE fest.

Kakao: Erneute Authentifizierung

Metadatenattribut für ClearPass-Endpunkt: Gast-Internet zulassen

Erstellen Sie ein Metadatenattribut vom Typ Boolean, um den Zustand des Gastendpunkts zu verfolgen, während der Client zwischen dem Zustand 'Webauth Pending' und dem Zustand 'Run' wechselt:

- Für neue Gäste, die eine Wi-Fi-Verbindung herstellen, ist das Metadaten-Standardattribut Allow-Guest-Internet=false festgelegt. Basierend auf diesem Attribut durchläuft die Client-Authentifizierung den MAB-Dienst.

- Wenn Sie auf die Schaltfläche "AUP Accept" (AUP akzeptieren) klicken, wird das Metadatenattribut des Gastclients auf Allow-Guest-Internet=true aktualisiert. Nachfolgende MAB-Datei, die auf diesem Attribut auf True festgelegt ist, ermöglicht den nicht umgeleiteten Zugriff auf das Internet.

Navigieren Sie zu ClearPass > Configuration > Endpoints, wählen Sie einen beliebigen Endpunkt aus der Liste aus, klicken Sie auf die Registerkarte Attributes, fügen Sie Allow-Guest-Internet mit dem Wert false und Save hinzu.

Anmerkung: Sie können denselben Endpunkt bearbeiten und dieses Attribut direkt danach löschen. In diesem Schritt wird lediglich ein Feld in der Endpunktmetadaten-Datenbank erstellt, das in Richtlinien verwendet werden kann.

Konfiguration der ClearPass-Richtlinie zur erneuten Authentifizierung

Erstellen Sie ein Durchsetzungsprofil, das dem Gast-Client zugewiesen wird, sobald der Client auf der Seite des Gastportals AUP akzeptiert.

Navigieren Sie zu ClearPass > Configuration > Profiles > Add.

- Vorlage: RADIUS - dynamische Autorisierung

-Name: Cisco_WLC_Gast_COA

Radius:IETF

Anrufende Station-ID

%{Radius:IETF:Calling-Station-ID}

Radius:Cisco

Cisco AVPair

Subscriber:command=reauthentifizieren

Radius:Cisco

Cisco AVPair

%{Radius:Cisco:Cisco-AVPair:Subscriber:Audit-Session-ID}

Radius:Cisco

Cisco AVPair

Teilnehmer:reAuthenticate-type=last-type=last

Konfiguration des Durchsetzungsprofils für die ClearPass-Gastportal-Umleitung

Erstellen Sie ein Durchsetzungsprofil, das in der anfänglichen MAB-Phase auf Guest angewendet wird, wenn die MAC-Adresse in der CPPM-Endpunktdatenbank nicht gefunden wird und Allow-Guest-Internet auf "true" festgelegt ist.

Dies veranlasst den 9800 WLC, den Guest Client zur externen Authentifizierung an das CPPM-Gastportal umzuleiten.

Navigieren Sie zu ClearPass > Enforcement > Profiles > Add.

-Name: Cisco_Portal_Weiterleitung

-Typ: RADIUS

-Aktion: Akzeptieren

Durchsetzungsprofil für ClearPass-Umleitung

Konfigurieren Sie im selben Dialog auf der Registerkarte Attribute zwei Attribute gemäß diesem Bild:

ClearPass-Umleitungsprofilattribute

Das Attribut url-redirect-acl wird auf CAPTIVE-PORTAL-REDIRECT festgelegt, d. h. auf den Namen der auf C9800 erstellten ACL.

Anmerkung: In der RADIUS-Meldung wird nur der Verweis auf die ACL übergeben, nicht der ACL-Inhalt. Es ist wichtig, dass der Name der auf dem 9800 WLC erstellten ACL genau dem Wert dieses RADIUS-Attributs entspricht, wie dargestellt.

Das url-redirect-Attribut besteht aus mehreren Parametern:

- Die Ziel-URL, unter der das Gastportal gehostet wird: https://cppm.example.com/guest/iaccept.php

- Gast-Client-MAC, Makro %{Connection:Client-Mac-Address-Hyphen}

- Authentikator-IP (9800 WLC löst die Umleitung aus), Makro %{Radius:IETF:NAS-IP-Adresse}

- cmd-login-Aktion

Die URL der ClearPass Guest Web-Anmeldeseite wird angezeigt, wenn Sie zu CPPM > Gast > Konfiguration > Seiten > Web-Anmeldungen > Bearbeiten navigieren.

In diesem Beispiel wird der Seitenname des Gastportals in CPPM als iaccept definiert.

Anmerkung: Die Konfigurationsschritte für die Seite "Guest Portal" werden wie beschrieben ausgeführt.

Anmerkung: Für Cisco Geräte wird normalerweise audit_session_id verwendet, was jedoch von anderen Anbietern nicht unterstützt wird.

Konfiguration des Durchsetzungsprofils für ClearPass-Metadaten

Konfigurieren Sie das Durchsetzungsprofil, um das Metadatenattribut des Endpunkts zu aktualisieren, das für die Statusübergangsverfolgung durch CPPM verwendet wird.

Dieses Profil wird auf den Eintrag "Guest Client MAC Address" in der Endpunktdatenbank angewendet und setzt das Argument "Allow-Guest-Internet" auf "true".

Navigieren Sie zu ClearPass > Enforcement > Profiles > Add.

- Vorlage: Durchsetzung der ClearPass-Entitätsaktualisierung

-Typ: Nachauthentifizierung

Im selben Dialog befindet sich die Registerkarte Attribute.

-Typ: Endpunkt

-Name: Gast-Internet zulassen

Anmerkung: Damit dieser Name im Dropdown-Menü angezeigt wird, müssen Sie dieses Feld für mindestens einen Endpunkt manuell definieren, wie unter Schritte beschrieben.

-Wert: wahr

Richtlinienkonfiguration für die Durchsetzungsrichtlinie für den Gastzugriff mit ClearPass

Navigieren Sie zu ClearPass > Enforcement > Policies > Add.

-Name: WLC Cisco Gastzugriff

- Durchsetzungstyp: RADIUS

- Standardprofil: Cisco_Portal_Weiterleitung

Navigieren Sie im selben Dialogfeld zur Registerkarte Regeln, und klicken Sie auf Regel hinzufügen.

-Typ: Endpunkt

-Name: Gast-Internet zulassen

- Betreiber: GLEICH

- Wert True

- Profilnamen/Hinzuzufügende Auswahl: [RADIUS] [Zugriffsprofil zulassen]

Konfiguration der Durchsetzungsrichtlinie für ClearPass-Gastzugriff nach AUP

Navigieren Sie zu ClearPass > Enforcement > Policies > Add.

-Name: Cisco WLC-Webauthentifizierungs-Durchsetzungsrichtlinie

- Durchsetzungstyp: WEBAUTH (SNMP/Agent/CLI/CoA)

- Standardprofil: [RADIUS_CoA] Cisco_Reauthentifizierung_Sitzung

Navigieren Sie im selben Dialogfeld zu Regeln > Hinzufügen.

- Voraussetzungen: Authentifizierung

-Name: Status

- Betreiber: GLEICH

-Wert: Benutzer

- Profilnamen: <jeweils hinzufügen>:

- [Nach Authentifizierung] [Endpunkt aktualisieren bekannt]

- [Nach der Authentifizierung] [Make-Cisco-Guest-Valid]

- [RADIUS_CoA] [Cisco_WLC_Guest_COA]

Anmerkung: Wenn ein Szenario mit einem ständigen Pseudo-Browser-Popup für die Umleitung durch das Gastportal auftritt, ist dies ein Hinweis darauf, dass entweder die CPPM-Timer angepasst werden müssen oder dass die RADIUS-CoA-Nachrichten nicht ordnungsgemäß zwischen CPPM und dem 9800 WLC ausgetauscht werden. Überprüfen Sie diese Standorte.

- Navigieren Sie zu CPPM > Monitoring > Live Monitoring > Access Tracker, und stellen Sie sicher, dass der RADIUS-Protokolleintrag RADIUS-CoA-Details enthält.

- Navigieren Sie auf 9800 WLC zu Troubleshooting > Packet Capture, aktivieren Sie pcap auf der Schnittstelle, an der das Eintreffen der RADIUS CoA-Pakete erwartet wird, und überprüfen Sie, ob RADIUS CoA-Nachrichten vom CPPM empfangen werden.

Konfiguration des ClearPass MAB-Authentifizierungsdiensts

Der Dienst wird auf dem AV-Paar Radius abgeglichen: Cisco | CiscoAVPair | cisco-wlan-ssid

Navigieren Sie zu ClearPass > Configuration > Services > Add.

Registerkarte "Service":

-Name: GuestPortal - Mac-Authentifizierung

-Typ: MAC-Authentifizierung

- Weitere Optionen: Autorisierung auswählen, Endgeräte profilieren

Zuordnungsregel hinzufügen:

-Typ: RADIUS: Cisco

-Name: Cisco AVPair

- Betreiber: GLEICH

-Wert: cisco-wlan-ssid=Gast (Übereinstimmung mit konfiguriertem Gast-SSID-Namen)

Anmerkung: "Guest" ist der Name der vom 9800 WLC übertragenen Guest-SSID.

Wählen Sie im selben Dialogfeld die Registerkarte Authentifizierung.

- Authentifizierungsmethoden: [MAC AUTH] entfernen, [Alle MAC AUTH zulassen] hinzufügen

- Authentifizierungsquellen: [Endpunkte-Repository][Lokale SQL-Datenbank], [Gast-Benutzer-Repository][Lokale SQL-Datenbank]

Wählen Sie im selben Dialogfeld die Registerkarte Durchsetzung.

- Durchsetzungsrichtlinie: WLC Cisco Gastzugriff

Wählen Sie im selben Dialogfeld die Registerkarte Durchsetzung.

Konfiguration des ClearPass-Webauthentifizierungsdiensts

Navigieren Sie zu ClearPass > Enforcement > Policies > Add.

-Name: Gast_Portal_Webauth

-Typ: Webbasierte Authentifizierung

Im selben Dialogfeld wird auf der Registerkarte "Durchsetzung" die Richtlinie: Cisco WLC-Webauthentifizierungs-Durchsetzungsrichtlinie

ClearPass - Webanmeldung

Verwenden Sie für die Seite "Anonymous AUP Guest Portal" einen einzigen Benutzernamen ohne Kennwortfeld.

Für den verwendeten Benutzernamen müssen die folgenden Felder definiert/festgelegt sein:

Benutzername_Authentifizierung | Benutzername-Authentifizierung: | 1

Um das Feld 'username_auth' für einen Benutzer festzulegen, muss dieses Feld zuerst im Formular 'Benutzer bearbeiten' verfügbar gemacht werden. Navigieren Sie zu ClearPass > Guest > Configuration > Pages > Forms, und wählen Sie create_user form aus.

Wählen Sie visitor_name (Zeile 20) aus, und klicken Sie auf Einfügen nach.

Erstellen Sie nun den Benutzernamen, der hinter der Seite des AUP-Gastportals verwendet werden soll.

Navigieren Sie zu CPPM > Gast > Gast > Konten verwalten > Erstellen.

- Gastname: GastWiFi

- Name des Unternehmens: Cisco

- E-Mail-Adresse: guest@example.com

- Benutzername-Authentifizierung: Gastzugriff nur unter Verwendung des Benutzernamens erlauben: Aktiviert

- Kontoaktivierung: Jetzt

- Kontoablauf: Das Konto läuft nicht ab.

- Nutzungsbedingungen: Ich bin der Sponsor: Aktiviert

Web-Anmeldeformular erstellen. Navigieren Sie zu CPPM > Gast > Konfiguration > Web-Anmeldungen.

Endpunktattribute im Abschnitt "Nach der Authentifizierung":

Benutzername | Benutzername

Besuchername | Besuchername

cn | Besuchername

Besucher_Telefon | Besuchertelefon

E-Mail | E-Mail

Post | E-Mail

Name des Sponsors | Name des Sponsors

Sponsor-E-Mail | Sponsor-E-Mail

Gast-Internet zulassen | wahr

Verifizierung - CWA-Gastautorisierung

Navigieren Sie im CPPM zu Live Monitoring > Access Tracker.

Der neue Gastbenutzer, der den MAB-Dienst verbindet und auslöst.

Registerkarte "Übersicht":

Navigieren Sie im selben Dialogfeld zur Registerkarte Eingabe.

Navigieren Sie im selben Dialogfeld zur Registerkarte Ausgabe.

Anhang

Zu Referenzzwecken wird hier ein Statusflussdiagramm für Cisco 9800 Foreign, Anchor Controller Interactions mit RADIUS Server und extern gehostetes Gastportal dargestellt.

Zustandsdiagramm zur Guest Central-Webauthentifizierung mit Anker-WLC

Zugehörige Informationen

- Cisco 9800 - Best Practices-Leitfaden zur Bereitstellung

- Catalyst Wireless Controller der Serie 9800 - Konfigurationsmodell

- FlexConnect auf Catalyst 9800 Wireless Controller verstehen

- Technischer Support und Dokumentation für Cisco Systeme