Fehlerbehebung bei CWA mit WLC 9800 und SE

Einleitung

In diesem Dokument wird die Fehlerbehebung in CWA mit dem Wireless LAN Controller (WLC) 9800 und der Identity Services Engine (ISE) beschrieben.

Hintergrundinformationen

Netzwerkadministratoren, die den Wireless-Zugriff für private Geräte sichern möchten, entscheiden sich häufig für Wireless-Netzwerke, die CWA verwenden. Dieses Dokument konzentriert sich auf das Flussdiagramm von CWA, das bei der Fehlerbehebung gängiger Probleme hilft. Es behandelt allgemeine Probleme des Prozesses, wie Protokolle im Zusammenhang mit dem CWA gesammelt werden, wie diese Protokolle analysiert werden und wie eine Embedded Packet Capture (EPC) auf dem WLC gesammelt wird, um den Datenverkehrsfluss zu bestätigen.

CWA ist die gängigste Konfiguration für Unternehmen, die Benutzern die Verbindung mit dem Unternehmensnetzwerk über ihre privaten Geräte gestatten. Sie wird auch als Bring Your Own Device (BYOD) bezeichnet. Diese Informationen enthalten Schritte zur Fehlerbehebung, die vor dem Öffnen eines TAC-Tickets durchzuführen sind.

Dies ist der CWA-Paketfluss:

CWA-Paketfluss

Detaillierter Datenfluss

Erste Zuordnung und RADIUS-Authentifizierung:

Erste Zuordnung und RADIUS-Authentifizierung

DHCP, DNS und Verbindungsüberprüfung:

DHCP, DNS und Konnektivitätsprüfung

Die Konnektivitätsprüfung wird mithilfe der Captive Portal-Erkennung durch das Betriebssystem oder den Browser des Client-Geräts durchgeführt.

Gerätebetriebssysteme sind vorprogrammiert, um ein HTTP GET für bestimmte Domänen auszuführen:

• Apple = captive.apple.com
• Android = connectivitycheck.gstatic.com
• Windows = msftconnectest.com

Browser führen diese Prüfung auch beim Öffnen aus:

• Chrome = clients3.google.com
• Firefox = detectportal.firefox.com

Überwachung und Umleitung des Datenverkehrs:

Überwachung und Weiterleitung des Datenverkehrs

Client-Anmeldung beim ISE-Gastanmeldeportal:

Client-Anmeldung beim ISE-Gastanmeldeportal

Client-Anmeldung und CoA:

Client-Anmeldung und CoA

Fehlerbehebung

Häufige Symptome, dass ein Benutzer nicht zur Anmeldeseite weitergeleitet wird

Beginnen wir mit dem ersten Teil des Flusses:

Erste Zuordnung und RADIUS-Authentifizierung

Ist die erste RADIUS-Authentifizierung erfolgreich?

Überprüfen Sie das Ergebnis der MAC-Filterauthentifizierung:

ISE-Live-Protokolle mit MAC-Filterauthentifizierungsergebnis

Stellen Sie sicher, dass die erweiterte Option für die Authentifizierung auf Weiter eingestellt ist, wenn der Benutzer nicht gefunden wird:

Erweiterte Option wurde nicht gefunden

Erhält der WLC die URL und ACL für die Umleitung?

Überprüfen Sie die ISE-Live-Protokolle und die WLC-Client-Sicherheitsinformationen unter Überwachung. Überprüfen Sie, ob die ISE eine Umleitungs-URL und ACL im Access Accept sendet und diese vom WLC empfangen und in den Client-Details auf den Client angewendet werden:

ACL und URL umleiten

Ist die Umleitungszugriffskontrollliste korrekt?

Überprüfen Sie den ACL-Namen für einen beliebigen Tippfehler. Vergewissern Sie sich, dass es genauso ist, wie es von der ISE gesendet wurde:

ACL-Überprüfung umleiten

Wurde der Client zur Webauthentifizierung verschoben?

Überprüfen Sie die Clientdetails auf den Status Webauthentifizierung ausstehend. Wenn sich der Status nicht in diesem Zustand befindet, überprüfen Sie, ob AAA override und RADIUS NAC im Richtlinienprofil aktiviert sind:

Client-Details, aaa override und RADIUS NAC

Wenn das Problem weiterhin besteht, überprüfen Sie den Fluss:

DHCP, DNS und Konnektivitätsprüfung

Lässt der WLC DHCP- und DNS-Datenverkehr zu?

Überprüfen Sie den Inhalt der Umleitungszugriffskontrollliste im WLC:

ACL-Inhalte im WLC umleiten

Die Umleitungs-ACL definiert, welcher Datenverkehr von der permit-Anweisung abgefangen und umgeleitet wird und welcher Datenverkehr von der Interception und Umleitung mit einer deny-Anweisung ignoriert wird.

In diesem Beispiel dürfen DNS und Datenverkehr zu/von der ISE-IP-Adresse fließen, und jeglicher TCP-Datenverkehr an Port 80 (WWW) wird abgefangen.

Empfängt der DHCP-Server eine DHCP-Erkennung/Anforderung? 

Mit EPC überprüfen, ob DHCP-Austausch erfolgt. EPC kann mit internen Filtern wie dem DHCP-Protokoll und/oder der inneren Filter-MAC verwendet werden, wobei Sie die MAC-Adresse des Client-Geräts verwenden und im EPC nur DHCP-Pakete abrufen können, die von der MAC-Adresse des Client-Geräts gesendet oder an diese gesendet wurden.

Beachten Sie in diesem Beispiel die DHCP Discover-Pakete, die als Broadcast über VLAN 3 gesendet wurden:

WLC-EPC zur DHCP-Verifizierung

Bestätigen Sie das erwartete Client-VLAN im Richtlinienprofil:

VLAN im Richtlinienprofil

Überprüfen Sie das WLC-VLAN, die Switch-Port-Trunk-Konfiguration und das DHCP-Subnetz:

VLAN, Switch-Port und DHCP-Subnetz

VLAN 3 ist im WLC vorhanden und verfügt außerdem über eine Switch Virtual Interface (SVI) für VLAN 3. Beim Überprüfen der IP-Adresse des DHCP-Servers befindet es sich jedoch in einem anderen Subnetz. Die IP-Adresse des DHCP-Servers ist unterschiedlich. Daher ist auf der SVI eine IP-Helper-Adresse erforderlich.

Best Practices schreiben vor, dass SVIs für Client-Subnetze in der kabelgebundenen Infrastruktur konfiguriert werden müssen, sodass sie am WLC vermieden werden.

In jedem Fall muss der Befehl ip helper-address zur SVI hinzugefügt werden, unabhängig davon, wo sich diese befindet.

Eine Alternative besteht darin, die IP-Adresse des DHCP-Servers im Richtlinienprofil zu konfigurieren:

IP-Hilfsadresse bei SVI oder Richtlinienprofil

Anschließend können Sie mit EPC überprüfen, ob der DHCP-Austausch erfolgreich ist und ob der DHCP-Server IP-Adressen für den DNS-Server bereitstellt:

DHCP-Angebotsdetails der DNS-Server-IP

Findet die automatische Umleitung statt?

Mit WLC EPC überprüfen, ob der DNS-Server auf Abfragen antwortet:

DNS-Abfrage und -Antworten

• Wenn die Umleitung nicht automatisch erfolgt, öffnen Sie einen Browser, und versuchen Sie eine zufällige IP-Adresse. Beispiel: 10.0.0.1.
• Wenn die Umleitung dann funktioniert, ist es möglich, dass Sie ein DNS-Auflösungsproblem haben.

Wenn das Problem weiterhin besteht, überprüfen Sie den Fluss erneut:

Überwachung und Weiterleitung des Datenverkehrs

Zeigt der Browser nicht die Anmeldeseite an?

Überprüfen Sie, ob der Client das TCP-SYN an Port 80 sendet und der WLC es abfängt:

TCP-Neuübertragungen an Port 80

In diesem Beispiel sendet der Client TCP-SYN-Pakete an Port 80, erhält jedoch keine Antwort und führt TCP-Neuübertragungen durch.

Stellen Sie sicher, dass der Befehl ip http server in der globalen Konfiguration oder webauth-http-enable in der globalen Parameterzuordnung vorhanden ist:

HTTP-Interception-Befehle

Nach der Anwendung des Befehls fängt der WLC den TCP-Datenverkehr ab und fälscht die Ziel-IP-Adresse, um auf den Client zu antworten und eine Umleitung durchzuführen.

TCP-Abfangen durch WLC

Wenn das Problem weiterhin besteht, fahren Sie mit folgendem Ablauf fort:

Client-Anmeldung beim ISE-Gastanmeldeportal

Kann der Client den ISE-Hostnamen auflösen?

Überprüfen Sie, ob die Umleitungs-URL eine IP-Adresse oder einen Hostnamen verwendet, und ob der Client den ISE-Hostnamen auflöst:

ISE-Hostnamenauflösung

Ein häufiges Problem tritt auf, wenn die Umleitungs-URL den ISE-Hostnamen enthält, aber das Client-Gerät diesen Hostnamen nicht in die ISE-IP-Adresse auflösen kann. Wenn ein Hostname verwendet wird, stellen Sie sicher, dass er über DNS aufgelöst werden kann.

Wird die Anmeldeseite immer noch nicht geladen?

Überprüfen Sie mit WLC EPC und ISE TCPdump, ob der Client-Datenverkehr den ISE Policy Services Node (PSN) erreicht. Konfigurieren und Initiieren der Erfassungen auf dem WLC und der ISE:

WLC EPC und ISE TCPDump

Erfassen Sie nach der Problemwiedergabe die erfassten Daten, und korrelieren Sie den Datenverkehr. In diesem Beispiel wird der ISE-Hostname aufgelöst, gefolgt von der Kommunikation zwischen dem Client und der ISE auf Port 8443:

WLC- und ISE-Verkehr

Warum liegt eine Sicherheitsverletzung aufgrund des Zertifikats vor?

1. Wenn Sie ein selbst signiertes Zertifikat auf der ISE verwenden, wird es erwartet, dass der Client eine Sicherheitswarnung auslöst, wenn er versucht, die Anmeldeseite des ISE-Portals anzuzeigen.

Auf dem WLC EPC oder ISE TCPdump können Sie überprüfen, ob das ISE-Zertifikat vertrauenswürdig ist.

In diesem Beispiel wird die Verbindung vom Client mit einer Warnmeldung (Stufe: Fatal, Beschreibung: Zertifikat unbekannt), was bedeutet, dass das ISE-Zertifikat unbekannt ist (vertrauenswürdig)

Nicht vertrauenswürdiges ISE-Zertifikat

Wenn auf der Clientseite markiert ist, werden folgende Beispielausgaben angezeigt:

Client-Gerät, das dem ISE-Zertifikat nicht vertraut

Wenn die Umleitung funktioniert, die Anmeldung jedoch fehlschlägt, überprüfen Sie den letzten Teil des Datenflusses:

Client-Anmeldung und CoA

Schlägt die Gastanmeldung fehl?

Überprüfen Sie die ISE-Protokolle auf fehlgeschlagene Authentifizierung. Stellen Sie sicher, dass die Anmeldeinformationen korrekt sind.

Fehler bei der Gastauthentifizierung aufgrund falscher Anmeldeinformationen.

War die Anmeldung erfolgreich, aber der Client wechselt nicht in den Status "RUN"?

Überprüfen Sie die ISE-Protokolle auf Authentifizierungsdetails und Ergebnisse:

Umleitungsschleife

In diesem Beispiel erhält der Client erneut das Autorisierungsprofil, das die Umleitungs-URL und die Umleitungs-ACL enthält. Daraus ergibt sich eine Umleitungsschleife.

Überprüfen Sie den Policy Set. Die Regel zur Überprüfung von Guest_Flow muss vor der Regel für die Umleitung platziert werden:

Guest_Flow-Regel

Fällt COA aus?

Mit EPC und ISE TCPDump können Sie den CoA-Datenverkehr überprüfen. Prüfen Sie, ob der CoA-Port (1700) zwischen dem WLC und der ISE offen ist. Stellen Sie sicher, dass die Übereinstimmung des gemeinsamen geheimen Schlüssels vorliegt.

CoA-Datenverkehr

Ab Version 17.6.1 wird RADIUS (einschließlich CoA) über diesen Port unterstützt. Wenn Sie den Service-Port für RADIUS verwenden möchten, benötigen Sie folgende Konfiguration:

aaa server radius dynamic-author 
 client 10.48.39.28 vrf Mgmt-intf server-key cisco123

interface GigabitEthernet0
 vrf forwarding Mgmt-intf
 ip address x.x.x.x x.x.x.x

!if using aaa group server:
aaa group server radius group-name
 server name nicoISE
 ip vrf forwarding Mgmt-intf
 ip radius source-interface GigabitEthernet0

Zusammenfassung

Dies ist die zusammengefasste CWA-Checkliste:

• Stellen Sie sicher, dass sich der Client im richtigen VLAN befindet und eine IP-Adresse und einen DNS erhält.
• Abrufen von Client-Details am WLC und Ausführen von Paketerfassungen, um den DHCP-Austausch anzuzeigen.
• Überprüfen, ob der Client Hostnamen über DNS auflösen kann
• Pingen Sie den Hostnamen über die Eingabeaufforderung.
• Der WLC muss auf Port 80 lauschen.
• Überprüfen Sie den globalen Befehl ip http server oder global parameter map command webauth-http-enable.
• Um die Zertifikatswarnung zu entfernen, installieren Sie ein vertrauenswürdiges Zertifikat auf der ISE.
• Es ist nicht erforderlich, ein vertrauenswürdiges Zertifikat auf dem WLC in CWA zu installieren.
• Legen Sie die Option "Authentication Policy at ISE Advanced" (Authentifizierungsrichtlinie bei erweiterter ISE) auf Continue (Weiter) fest, wenn der Benutzer nicht gefunden wird.
• Sponsoren Gastbenutzern erlauben, eine Verbindung herzustellen und die URL-Umleitung und die ACL zu erhalten.

Die wichtigsten Tools zur Fehlerbehebung:

• • WLC-EPC
  • : Innenfilter: DHCP-Protokoll, MAC-Adresse
  • WLC-Monitor
  • : Überprüfen Sie die Details zur Client-Sicherheit.
  • WLC RA-Verfolgung
  • : Debugging mit detaillierten Informationen auf der WLC Seite.
  • ISE-Live-Protokolle
  • : Authentifizierungsdetails.
  • ISE-TCPDump
  • : Sammeln von Paketerfassungen an der ISE PSN-Schnittstelle

Ressourceninformationen

• Konfigurieren von Central Web Authentication (CWA) auf Catalyst 9800 WLC und ISE 

Revisionsverlauf

Überarbeitung	Veröffentlichungsdatum	Kommentare
2.0	26-Aug-2026	Umfassende Überarbeitung, Grammatik, Formatierung
1.0	25-Aug-2023	Erstveröffentlichung