Inhalt

Einleitung

Voraussetzungen

Anforderungen

Verwendete Komponenten

Hintergrundinformationen

Konfigurieren

Netzwerkdiagramm

Verbinden des 9800 Controllers mit Cisco DNA Spaces

Erstellung der SSID auf DNA-Spaces

ACL- und URL-Filterkonfiguration auf dem Controller 9800

Captive Portal ohne RADIUS-Server auf DNA-Spaces

Konfiguration der Web Auth-Parameterzuordnung auf dem 9800-Controller

Erstellen der SSID auf dem 9800-Controller

Richtlinienprofil auf dem 9800-Controller konfigurieren

Konfigurieren der Richtlinien-Tag-Nummer auf dem 9800-Controller

Captive Portal mit RADIUS-Server auf DNA-Spaces

Konfiguration der Web Auth-Parameterzuordnung auf dem 9800-Controller

Konfiguration der RADIUS-Server auf dem Controller 9800

Erstellen der SSID auf dem 9800-Controller

Richtlinienprofil auf dem 9800-Controller konfigurieren

Konfigurieren der Richtlinien-Tag-Nummer auf dem 9800-Controller

Globale Parameterzuordnung konfigurieren

Portal zu DNA Spaces erstellen

Konfigurieren der Captive Portal-Regeln für DNA-Bereiche

Spezifische Informationen von DNA Spaces abrufen

Welche IP-Adressen verwenden DNA Spaces?

Welche URL verwendet das DNA Spaces-Anmeldeportal?

Was sind die RADIUS-Serverdetails für DNA Spaces?

Überprüfung

Fehlerbehebung

Häufige Probleme

Stets verfügbare Ablaufverfolgung

Bedingtes Debugging und Radio Active Tracing

Beispiel eines erfolgreichen Versuchs

Einleitung

In diesem Dokument wird die Konfiguration von Captive Portals auf Cisco DNA Spaces beschrieben.

Voraussetzungen

In diesem Dokument können Kunden auf dem Catalyst 9800 Wireless LAN Controller (C9800 WLC) DNA Spaces als externe Webauthentifizierungs-Anmeldeseite verwenden.

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

- Zugriff auf die Wireless Controller 9800 über eine Kommandozeile oder eine grafische Benutzeroberfläche

- Cisco DNS-Räume

Verwendete Komponenten

Die Informationen in diesem Dokument basierend auf folgenden Software- und Hardware-Versionen:

- 9800-L Controller Version 16.12.2s

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle verstehen.

Hintergrundinformationen

Die Web-Authentifizierung ist eine einfache Layer-3-Authentifizierungsmethode, ohne dass eine Komponente oder ein Client-Dienstprogramm erforderlich ist. Dies ist möglich

a) Mit der internen Seite des C9800 WLC, entweder unverändert oder nach Änderungen

b) Mit auf C9800 WLC hochgeladenem, angepasstem Anmeldebündel

c) Benutzerdefinierte Anmeldeseite auf einem externen Server

Die Nutzung des von DNA Spaces bereitgestellten Captive Portals ist im Wesentlichen eine Möglichkeit, externe Web-Authentifizierung für Clients auf dem C9800 WLC zu implementieren.

Ausführliche Informationen zum externen Webauthentifizierungsprozess finden Sie unter: https://www.cisco.com/c/en/us/td/docs/wireless/controller/9800/config-guide/web-authentication/b-configuring-web-based-authentication-on-cisco-catalyst-9800-series-controllers/m-external-web-authentication-configuration.html

Auf dem C9800 WLC wird die virtuelle IP-Adresse als globale Parameterzuordnung definiert und lautet in der Regel 192.0.2.1

Konfigurieren

Netzwerkdiagramm

Verbinden des 9800 Controllers mit Cisco DNA Spaces

Der Controller muss mit DNA Spaces über eine der Optionen verbunden werden - Direct Connect, über DNA Spaces Connector oder mit CMX Tethering.

In diesem Beispiel wird die Option "Direct Connect" verwendet, obwohl Captive-Portale für alle Setups auf die gleiche Weise konfiguriert sind.

Um den Controller mit Cisco DNA Spaces zu verbinden, muss er über HTTPS in der Lage sein, Cisco DNA Spaces Cloud zu erreichen. Weitere Informationen zur Verbindung des 9800 Controllers mit DNA Spaces finden Sie unter diesem Link: DNA Spaces - 9800 Controller Direct Connect

Erstellung der SSID auf DNA-Spaces

Schritt 1: Klicken Sie auf Captive Portals im Armaturenbrett von DNA Spaces:

Schritt 2: Öffnen Sie das spezifische Menü des Captive Portals, klicken Sie auf das Symbol mit den drei Zeilen in der oberen linken Ecke der Seite, und klicken Sie auf SSIDs:

Schritt 3: Klicken Sie auf Import/Configure SSID, wählen Sie CUWN (CMX/WLC) als Typ "Wireless Network" aus, und geben Sie den SSID-Namen ein:

ACL- und URL-Filterkonfiguration auf dem Controller 9800

Datenverkehr von einem Wireless-Client ist im Netzwerk erst nach Abschluss der Authentifizierung zulässig. Im Fall einer Webauthentifizierung stellt ein Wireless-Client zum Abschließen eine Verbindung zu dieser SSID her, empfängt eine IP-Adresse und setzt den Client-Richtlinienmanager in den Zustand Webauth_reqd. Da der Client noch nicht authentifiziert ist, wird der gesamte Datenverkehr, der von der Client-IP-Adresse stammt, verworfen, mit Ausnahme von DHCP, DNS und HTTP (das abgefangen und umgeleitet wird).

Standardmäßig erstellt der 9800 vor der Authentifizierung hardcodierte Zugriffskontrolllisten, wenn ein Web-Auth-WLAN eingerichtet wird. Diese fest codierten ACLs ermöglichen DHCP, DNS und Datenverkehr zum externen Web-Authentifizierungsserver. Der Rest wird wie jeder HTTP-Datenverkehr umgeleitet.

Wenn Sie jedoch einen bestimmten Nicht-HTTP-Datenverkehrstyp zulassen müssen, können Sie eine Pre-Auth-ACL konfigurieren. Anschließend müssen Sie den Inhalt der bestehenden, hartcodierten ACLs vor der Authentifizierung (aus Schritt 1 in diesem Abschnitt) imitieren und an Ihre Anforderungen anpassen.

Schritt 1: Überprüfen der aktuellen hardcodierten ACLs

CLI-Konfiguration:

Andressi-9800L#show ip access list

Extended IP access list WA-sec-34.235.248.212

10 permit tcp any host 34.235.248.212 eq www

20 permit tcp any host 34.235.248.212 eq 443

30 permit tcp host 34.235.248.212 eq www any

40 permit tcp host 34.235.248.212 eq 443 any

50 permit tcp any any eq domain

60 permit udp any any eq domain

70 permit udp any any eq bootpc

80 permit udp any any eq bootps

90 deny ip any any

Extended IP access list WA-v4-int-34.235.248.212

10 deny tcp any host 34.235.248.212 eq www

20 deny tcp any host 34.235.248.212 eq 443

30 permit tcp any any eq www

40 permit tcp any host 192.0.2.1 eq 443

WA-sec-34.235.248.212 wird als solcher aufgerufen, da es sich um eine automatische Webauthentifizierungs-Sicherheitszugriffskontrollliste (WA) oder die Portal-IP "34.235.248.212" handelt. Sicherheits-ACLs definieren, was zulässig ist (bei Genehmigung) oder was abgelehnt wird (bei Ablehnung)

Wa-v4-int ist eine Intercept-ACL, d. h. eine Punkt-ACL oder eine Umleitungs-ACL, die definiert, was zur Umleitung an die CPU gesendet wird (bei Genehmigung) oder was an das Datenflugzeug gesendet wird (bei Ablehnung).

WA-v4-int34.235.248.212 wird zuerst auf den vom Client kommenden Datenverkehr angewendet und hält den HTTP(s)-Datenverkehr in Richtung des DNA Spaces-Portals IP 34.235.248.212 auf dem Datenflugzeug (noch keine Drop- oder Forward-Aktion, nur Übergabe an das Datenflugzeug). Er sendet den gesamten HTTP(s)-Verkehr an die CPU (für die Umleitung außer dem virtuellen IP-Verkehr, der vom Webserver bedient wird). Andere Arten von Datenverkehr werden an das Datenflugzeug weitergeleitet.

WA-sec-34.235.248.212 lässt HTTP- und HTTPS-Datenverkehr zum DNS-Raum zu IP 34.235.248.212, den Sie in der Web-Authentifizierungsparameterübersicht konfiguriert haben. Außerdem lässt er DNS- und DHCP-Datenverkehr zu und verwirft den Rest. Der abzufangende HTTP-Datenverkehr wurde bereits abgefangen, bevor er diese ACL erreicht. Aus diesem Grund muss er nicht von dieser ACL abgedeckt werden.

Hinweis: Um die IP-Adressen der DNA-Spaces abzurufen, die in der ACL zugelassen werden sollen, klicken Sie auf die Option Manuell konfigurieren aus der SSID, die in Schritt 3 des Abschnitts Erstellen der SSID auf DNA-Spaces unter dem ACL-Konfigurationsabschnitt erstellt wurde. Ein Beispiel finden Sie im Abschnitt "What are the IP address that DNA Spaces use" am Ende des Dokuments.

DNA Spaces verwendet 2 IP-Adressen, und der Mechanismus in Schritt 1 lässt nur die Zulassung einer Portal-IP zu. Um den Zugriff vor der Authentifizierung auf weitere HTTP-Ressourcen zu ermöglichen, müssen Sie URL-Filter verwenden, die dynamisch Lücken in den Abfangrahmen- (Umleitung) und Sicherheits- (Vorauth)-ACLs für die IPs der Website erzeugen, deren URL Sie in den URL-Filter eingeben. DNS-Anfragen werden dynamisch für den 9800 abgefragt, um die IP-Adresse dieser URLs zu ermitteln und sie den ACLs dynamisch hinzuzufügen.

Schritt 2: Konfigurieren Sie den URL-Filter so, dass die DNS-Spaces-Domäne zugelassen wird. Navigieren Sie zu Konfiguration > Sicherheit > URL-Filter, klicken Sie auf +Hinzufügen, und konfigurieren Sie den Listennamen, wählen Sie PRE-AUTH als Typ, Aktion als PERMIT und die URL splash.dnaspaces.io (oder ".eu", wenn Sie das EMEA-Portal verwenden):

CLI-Konfiguration:

Andressi-9800L(config)#urlfilter list

Andressi-9800L(config-urlfilter-params)#action permit

Andressi-9800L(config-urlfilter-params)#url splash.dnaspaces.io

Die SSID kann für die Verwendung eines RADIUS-Servers oder ohne diesen konfiguriert werden. Wenn die Sitzungsdauer, die Bandbreitenbeschränkung oder die nahtlose Internetbereitstellung im Abschnitt "Aktionen" der Captive Portal Rule-Konfiguration konfiguriert ist, muss die SSID mit einem RADIUS-Server konfiguriert werden. Andernfalls muss der RADIUS-Server nicht verwendet werden. Alle Arten von Portalen auf DNA Spaces werden auf beiden Konfigurationen unterstützt.

Captive Portal ohne RADIUS-Server auf DNA-Spaces

Konfiguration der Web Auth-Parameterzuordnung auf dem 9800-Controller

Schritt 1: Navigieren Sie zu Configuration > Security > Web Auth, und klicken Sie auf +Add, um eine neue Parameterzuordnung zu erstellen. Konfigurieren Sie in dem sich öffnenden Fenster den Namen der Parameterzuordnung, und wählen Sie Zustimmung als Typ:

Schritt 2: Klicken Sie auf die im vorherigen Schritt konfigurierte Parameterzuordnung, navigieren Sie zur Registerkarte Advanced (Erweitert), und geben Sie die Umleitung für die Anmelde-URL, Append für die AP-MAC-Adresse, Append für die Client-MAC-Adresse, Append für die WLAN-SSID und die Portal-IPv4-Adresse ein. Klicken Sie auf Aktualisieren und Übernehmen:

Hinweis: Um die URL der Splash-Seite und die IPv4-Umleitungsadresse abzurufen, klicken Sie auf der SSID-Seite von DNA Spaces auf die Option Configure Manually (Manuell konfigurieren). Dies wird im Abschnitt "Welche URL verwendet das DNA Spaces-Portal?" am Ende des Dokuments veranschaulicht.

Hinweis: Das Cisco DNA Spaces-Portal kann in zwei IP-Adressen aufgelöst werden. Der 9800 Controller lässt jedoch nur die Konfiguration einer IP-Adresse zu. Wählen Sie eine dieser IP-Adressen, und konfigurieren Sie sie in der Parameterzuordnung als IPv4-Adresse des Portals.

Hinweis: Stellen Sie sicher, dass Sowohl virtuelle IPv4- als auch IPv6-Adressen werden in der globalen Web-Authentifizierungsparameterzuordnung konfiguriert. Wenn das virtuelle IPv6 nicht konfiguriert ist, werden die Clients manchmal zum internen Portal umgeleitet, anstatt zum konfigurierten DNA Spaces-Portal. Aus diesem Grund muss immer eine virtuelle IP konfiguriert werden. "192.0.2.1" kann als virtuelles IPv4 und FE80:0:0:0:903A::11E4 als virtuelles IPV6 konfiguriert werden. Es gibt wenig bis gar keine Gründe, andere IPs als diese zu verwenden.

CLI-Konfiguration:

Andressi-9800L(config)#parameter-map type webauth

Andressi-9800L(config-params-parameter-map)#type consent

Andressi-9800L(config-params-parameter-map)#timeout init-state sec 600

Andressi-9800L(config-params-parameter-map)#redirect for-login

Andressi-9800L(config-params-parameter-map)#redirect append ap-mac tag ap_mac

Andressi-9800L(config-params-parameter-map)#redirect append wlan-ssid tag wlan

Andressi-9800L(config-params-parameter-map)#redirect append client-mac tag client_mac

Andressi-9800L(config-params-parameter-map)#redirect portal ipv4

Andressi-9800L(config-params-parameter-map)#logout-window-disabled

Andressi-9800L(config-params-parameter-map)#success-window-disabled

Erstellen der SSID auf dem 9800-Controller

Schritt 1: Navigieren Sie zu Konfiguration > Tags & Profile > WLANs, und klicken Sie auf +Hinzufügen. Konfigurieren Sie den Profilnamen und die SSID, und aktivieren Sie das WLAN. Stellen Sie sicher, dass der SSID-Name mit dem in Schritt 3 des Abschnitts Erstellen der SSID auf DNA-Spaces konfigurierten Namen übereinstimmt.

Schritt 2: Navigieren Sie zu Sicherheit > Schicht 2. Setzen Sie den Layer 2-Sicherheitsmodus auf "None" (Keine), und stellen Sie sicher, dass die MAC-Filterung deaktiviert ist.

Schritt 3: Navigieren Sie zu Sicherheit > Layer 3. Aktivieren Sie die Webrichtlinie, und konfigurieren Sie die Webauthentifizierungsparameterzuordnung. Klicken Sie auf Auf Gerät anwenden.

Richtlinienprofil auf dem 9800-Controller konfigurieren

Schritt 1: Navigieren Sie zu Configuration > Tags & Profiles > Policy, und erstellen Sie ein neues Richtlinienprofil, oder verwenden Sie das standardmäßige Richtlinienprofil. Konfigurieren Sie auf der Registerkarte Access Policies (Zugriffsrichtlinien) das Client-VLAN, und fügen Sie den URL-Filter hinzu.

Konfigurieren der Richtlinien-Tag-Nummer auf dem 9800-Controller

Schritt 1: Navigieren Sie zu Konfiguration > Tags und Profile > Richtlinie. Erstellen Sie ein neues Policy-Tag, oder verwenden Sie das Standard-Policy-Tag. Ordnen Sie das WLAN dem Richtlinienprofil im Richtlinien-Tag zu.

Schritt 2: Wenden Sie die Richtlinien-Tag-Nummer auf den AP an, um die SSID zu übertragen. Navigieren Sie zu Configuration > Wireless > Access Points, wählen Sie den betreffenden Access Point aus, und fügen Sie die Policy Tag (Richtlinien-Tag) hinzu. Dadurch startet der AP seinen CAPWAP-Tunnel neu und stellt eine Verbindung zum 9800-Controller her:

CLI-Konfiguration:

Andressi-9800L(config)#wlan

Andressi-9800L(config-wlan)#no security wpa

Andressi-9800L(config-wlan)#no security wpa akm dot1x

Andressi-9800L(config-wlan)#no security wpa wpa2 ciphers aes

Andressi-9800L(config-wlan)#security web-auth

Andressi-9800L(config-wlan)#security web-auth parameter-map

Andressi-9800L(config-wlan)#no shutdown

Andressi-9800L(config)#wireless profile policy

Andressi-9800L(config-wireless-policy)#vlan <id>

Andressi-9800L(config-wireless-policy)#urlfilter list pre-auth-filter

Andressi-9800L(config-wireless-policy)#no shutdown

Andressi-9800L(config)#wireless tag policy

Andressi-9800L(config-policy-tag)#wlan

policy

Captive Portal mit RADIUS-Server auf DNA-Spaces

Hinweis: Der RADIUS-Server DNA Spaces unterstützt nur die PAP-Authentifizierung, die vom Controller ausgeht.

Konfiguration der Web Auth-Parameterzuordnung auf dem 9800-Controller

Schritt 1: Erstellen einer Web-Authentifizierungsparameterzuordnung Navigieren Sie zu Configuration > Security > Web Auth, klicken Sie auf +Add, konfigurieren Sie den Namen der Parameterzuordnung, und wählen Sie webauth als Typ aus:

Schritt 2: Klicken Sie auf die in Schritt 1 konfigurierte Parameterzuordnung, klicken Sie auf Erweitert, und geben Sie die Umleitung für die Anmeldung, Anfügen für AP-MAC-Adresse, Anfügen für Client-MAC-Adresse, Anfügen für WLAN-SSID und Portal-IPv4-Adresse ein. Klicken Sie auf Aktualisieren und anwenden:

Hinweis: Um die URL der Splash-Seite und die IPv4-Umleitungsadresse abzurufen, klicken Sie auf die Option Manuell konfigurieren der SSID, die in Schritt 3 des Abschnitts Erstellen der SSID auf DNA-Spaces unter Erstellen der SSIDs in WLC Direct Connect Abschnitt Erstellen der Konfiguration der Zugriffskontrollliste Abschnitt erstellt wurde.

Hinweis: Das Cisco DNA Spaces-Portal kann in zwei IP-Adressen aufgelöst werden. Der Controller 9800 lässt jedoch nur die Konfiguration einer IP-Adresse zu. In einem Fall können Sie eine dieser IP-Adressen in der Parameterzuordnung als IPv4-Adresse des Portals konfigurieren.

Anmerkung: Stellen Sie sicher, dass sowohl virtuelle IPv4- als auch IPv6-Adressen in der globalen Parameterzuordnung für die Webauthentifizierung konfiguriert sind.Wenn das virtuelle IPv6 nicht konfiguriert ist, werden die Clients manchmal zum internen Portal umgeleitet, anstatt zum konfigurierten DNA Spaces-Portal. Aus diesem Grund muss immer eine virtuelle IP konfiguriert werden. "192.0.2.1" kann als virtuelles IPv4 und FE80:0:0:0:903A::11E4 als virtuelles IPV6 konfiguriert werden. Es gibt wenig bis gar keine Gründe, andere IPs als diese zu verwenden.

CLI-Konfiguration:

Andressi-9800L(config)#parameter-map type webauth

Andressi-9800L(config-params-parameter-map)#type webauth

Andressi-9800L(config-params-parameter-map)#timeout init-state sec 600

Andressi-9800L(config-params-parameter-map)#redirect for-login

Andressi-9800L(config-params-parameter-map)#redirect append ap-mac tag ap_mac

Andressi-9800L(config-params-parameter-map)#redirect append wlan-ssid tag wlan

Andressi-9800L(config-params-parameter-map)#redirect append client-mac tag client_mac

Andressi-9800L(config-params-parameter-map)#redirect portal ipv4

Andressi-9800L(config-params-parameter-map)#logout-window-disabled

Andressi-9800L(config-params-parameter-map)#success-window-disabled

Konfiguration der RADIUS-Server auf dem Controller 9800

Schritt 1: Konfigurieren der RADIUS-Server Cisco DNA Spaces fungiert als RADIUS-Server für die Benutzerauthentifizierung und kann auf zwei IP-Adressen antworten. Navigieren Sie zu Configuration > Security > AAA, klicken Sie auf +Add, und konfigurieren Sie beide RADIUS-Server:

Hinweis: Um die RADIUS-IP-Adresse und den geheimen Schlüssel für den primären und den sekundären Server abzurufen, klicken Sie auf die Option Manuell konfigurieren der in Schritt 3 des Abschnitts erstellten SSID. Erstellen Sie die SSID auf DNA-Spaces, und navigieren Sie zum Abschnitt "RADIUS-Serverkonfiguration".

Schritt 2: Konfigurieren Sie die RADIUS-Servergruppe, und fügen Sie beide RADIUS-Server hinzu. Navigieren Sie zu Configuration > Security > AAA > Servers / Groups > RADIUS > Server Groups, klicken Sie auf +add, konfigurieren Sie den Serbegruppennamen, das MAC-Trennzeichen als Bindestrich, die MAC-Filterung als MAC, und weisen Sie die beiden RADIUS-Server zu:

Schritt 3: Konfigurieren einer Liste von Authentifizierungsmethoden Navigieren Sie zu Configuration > Security > AAA > AAA Method List > Authentication, und klicken Sie auf +add. Konfigurieren Sie den Namen der Methodenliste, wählen Sie login als Typ aus, und weisen Sie die Servergruppe zu:

Schritt 4: Konfigurieren einer Liste von Autorisierungsmethoden Navigieren Sie zu Configuration > Security > AAA > AAA Method List > Authorization, und klicken Sie auf +hinzufügen. Konfigurieren Sie den Namen der Methodenliste, wählen Sie Netzwerk als Typ aus, und weisen Sie die Servergruppe zu:

Erstellen der SSID auf dem 9800-Controller

Schritt 1: Navigieren Sie zu Konfiguration > Tags & Profile > WLANs, und klicken Sie auf +Hinzufügen. Konfigurieren Sie den Profilnamen und die SSID, und aktivieren Sie das WLAN. Stellen Sie sicher, dass der SSID-Name mit dem in Schritt 3 des Abschnitts Erstellen der SSID auf DNA-Spaces konfigurierten Namen übereinstimmt.

Schritt 2: Navigieren Sie zu Sicherheit > Schicht 2. Setzen Sie den Layer 2-Sicherheitsmodus auf None, aktivieren Sie die MAC-Filterung, und fügen Sie die Autorisierungsliste hinzu:

Schritt 3: Navigieren Sie zu Sicherheit > Layer 3. Aktivieren Sie die Webrichtlinie, konfigurieren Sie die Webauthentifizierungsparameterzuordnung und die Authentifizierungsliste. Aktivieren Sie On Mac Filter Failure (Bei Mac-Filterfehler), und fügen Sie die ACL für die Vorauthentifizierung hinzu. Klicken Sie auf Auf Gerät anwenden.

Richtlinienprofil auf dem 9800-Controller konfigurieren

Schritt 1: Navigieren Sie zu Configuration > Tags & Profiles > Policy, und erstellen Sie ein neues Richtlinienprofil, oder verwenden Sie das standardmäßige Richtlinienprofil. Konfigurieren Sie auf der Registerkarte Access Policies (Zugriffsrichtlinien) das Client-VLAN, und fügen Sie den URL-Filter hinzu.

Schritt 2: Aktivieren Sie auf der Registerkarte Advanced die Option AAA Override, und konfigurieren Sie optional die Abrechnungsmethodenliste:

Konfigurieren der Richtlinien-Tag-Nummer auf dem 9800-Controller

Schritt 1: Navigieren Sie zu Konfiguration > Tags und Profile > Richtlinie. Erstellen Sie ein neues Policy-Tag, oder verwenden Sie das Standard-Policy-Tag. Ordnen Sie das WLAN dem Richtlinienprofil im Richtlinien-Tag zu.

Schritt 2: Wenden Sie die Richtlinien-Tag-Nummer auf den AP an, um die SSID zu übertragen. Navigieren Sie zu Configuration > Wireless > Access Points, wählen Sie den betreffenden Access Point aus, und fügen Sie die Policy Tag (Richtlinien-Tag) hinzu. Dadurch startet der AP seinen CAPWAP-Tunnel neu und stellt eine Verbindung zum 9800-Controller her:

CLI-Konfiguration:

Andressi-9800L(config)#wlan

Andressi-9800L(config-wlan)#ip access-group web

Andressi-9800L(config-wlan)#no security wpa

Andressi-9800L(config-wlan)#no security wpa akm dot1x

Andressi-9800L(config-wlan)#no security wpa wpa2 ciphers aes

Andressi-9800L(config-wlan)#mac-filtering

Andressi-9800L(config-wlan)#security web-auth

Andressi-9800L(config-wlan)#security web-auth authentication-list

Andressi-9800L(config-wlan)#security web-auth on-macfilter-failure

Andressi-9800L(config-wlan)#security web-auth parameter-map

Andressi-9800L(config-wlan)#no shutdown

Andressi-9800L(config)#wireless profile policy

Andressi-9800L(config-wireless-policy)#aaa-override

Andressi-9800L(config-wireless-policy)#accounting-list

Andressi-9800L(config-wireless-policy)#vlan <id>

Andressi-9800L(config-wireless-policy)#urlfilter list pre-auth-filter

Andressi-9800L(config-wireless-policy)#no shutdown

Andressi-9800L(config)#wireless tag policy

Andressi-9800L(config-policy-tag)#wlan

policy

Globale Parameterzuordnung konfigurieren

Unempfehlenswerter Schritt: Führen Sie diese Befehle aus, um die HTTPS-Umleitung zu ermöglichen. Beachten Sie jedoch, dass die Umleitung im HTTPS-Datenverkehr des Clients nicht erforderlich ist, wenn das Client-Betriebssystem Captive Portal erkennt, eine intensivere CPU-Auslastung verursacht und immer eine Zertifikatwarnung ausgibt. Es wird daher empfohlen, die Konfiguration zu vermeiden, wenn sie nicht für einen bestimmten Anwendungsfall erforderlich ist.

Andressi-9800L(config)#parameter-map type webauth global

Andressi-9800L(config-params-parameter-map)#intercept-https-enable

Hinweis: Sie müssen über ein gültiges SSL-Zertifikat für die virtuelle IP verfügen, das auf dem Cisco Catalyst Wireless Controller der Serie 9800 installiert ist.

Schritt 1: Kopieren Sie die signierte zertifizierte Datei mit der Erweiterung .p12 auf einen TFTP-Server, und führen Sie diesen Befehl aus, um das Zertifikat zu übertragen und auf dem 9800-Controller zu installieren:

Andressi-9800L(config)#crypto pki import

pkcs12 tftp://

:/ password

Schritt 2: Führen Sie die folgenden Befehle aus, um das installierte Zertifikat der Webauthentifizierungsparameterzuordnung zuzuordnen:

Andressi-9800L(config)#parameter-map type webauth global

Andressi-9800L(config-params-parameter-map)#trustpoint

Portal zu DNA Spaces erstellen

Schritt 1: Klicken Sie auf Captive Portals im Armaturenbrett von DNA Spaces:

Schritt 2: Klicken Sie auf Neu erstellen, geben Sie den Portalnamen ein, und wählen Sie die Standorte aus, die das Portal nutzen können:

Schritt 3: Wählen Sie den Authentifizierungstyp aus, und wählen Sie aus, ob Sie Datenerfassung und Benutzervereinbarungen auf der Portal-Startseite anzeigen möchten und ob Benutzer sich anmelden dürfen, um eine Nachricht zu erhalten. Klicken Sie auf Weiter:

Schritt 4: Konfigurieren von Datenerfassungselementen Wenn Sie Daten von Benutzern erfassen möchten, aktivieren Sie das Feld Datenerfassung aktivieren, und klicken Sie auf +Feldelement hinzufügen, um die gewünschten Felder hinzuzufügen. Klicken Sie auf Weiter:

Schritt 5: Aktivieren Sie die Option Enable Terms & Conditions, und klicken Sie auf Save & Configure Portal:

Schritt 6: Bearbeiten Sie das Portal nach Bedarf, und klicken Sie auf Speichern:

Konfigurieren der Captive Portal-Regeln für DNA-Bereiche

Schritt 1: Klicken Sie auf Captive Portals im Armaturenbrett von DNA Spaces:

Schritt 2: Öffnen Sie das Captive Portal-Menü, und klicken Sie auf Captive Portal Rules:

Schritt 3: Klicken Sie auf + Neue Regel erstellen. Geben Sie den Regelnamen ein, und wählen Sie die zuvor konfigurierte SSID aus.

Schritt 4: Wählen Sie die Standorte aus, an denen das Portal verfügbar ist. Klicken Sie im Abschnitt STANDORTE auf Standort hinzufügen. Wählen Sie die gewünschte Option aus der Standorthierarchie aus.

Schritt 5: Wählen Sie die Aktion des Captive Portals aus. In diesem Fall wird das Portal angezeigt, wenn die Regel getroffen wird. Klicken Sie auf Speichern und veröffentlichen.

Spezifische Informationen von DNA Spaces abrufen

Welche IP-Adressen verwenden DNA Spaces?

Um zu überprüfen, welche IP-Adressen DNA-Spaces für das Portal in Ihrer Region verwenden, gehen Sie zur Seite des Captivals auf der Homepage von DNA Space. Klicken Sie im linken Menü auf SSID und anschließend unter Ihrer SSID auf Manuell konfigurieren. Die IP-Adressen werden im ACL-Beispiel angegeben. Dies sind die IP-Adressen des Portals zur Verwendung in ACLs und in der Webauthentifizierungsparameterzuordnung. DNA Spaces verwenden andere IP-Adressen für die gesamte NMSP-/Cloud-Anbindung der Kontrollebene.

Im ersten Abschnitt des Popup-Fensters werden in Schritt 7 die in der ACL-Definition genannten IP-Adressen angezeigt. Sie müssen diese Anweisungen nicht ausführen und keine ACL erstellen. Notieren Sie sich nur die IP-Adressen. Dies sind die IPs, die vom Portal in Ihrer Region verwendet werden

Welche URL verwendet das DNA Spaces-Anmeldeportal?

Um zu überprüfen, welche Login-Portal-URL DNA-Spaces für das Portal in Ihrer Region verwenden, gehen Sie zur Seite des Captivals auf der Homepage von DNA Space. Klicken Sie im linken Menü auf SSID und anschließend unter Ihrer SSID auf Manuell konfigurieren.

Blättern Sie im Pop-Up nach unten, das erscheint, und im zweiten Abschnitt zeigt Schritt 7 die URL an, die Sie in Ihrer Parameterzuordnung auf dem 9800 konfigurieren müssen.

Was sind die RADIUS-Serverdetails für DNA Spaces?

Um herauszufinden, welche RADIUS-Server-IP-Adressen Sie verwenden müssen, sowie das gemeinsame Geheimnis, gehen Sie auf die Seite des Captivals Portal auf der DNA-Space-Homepage. Klicken Sie im linken Menü auf SSID und anschließend unter Ihrer SSID auf Manuell konfigurieren.

Scrollen Sie im Popup-Fenster im dritten Abschnitt (RADIUS) nach unten, und in Schritt 7 erhalten Sie die IP-Adresse/den Port und den gemeinsamen geheimen Schlüssel für die RADIUS-Authentifizierung. Die Abrechnung ist optional und wird in Schritt 12 behandelt.

Überprüfung

Um den Status eines mit der SSID verbundenen Clients zu bestätigen, navigieren Sie zu Monitoring > Clients, klicken Sie auf die MAC-Adresse des Geräts, und suchen Sie nach Policy Manager State:

Fehlerbehebung

Häufige Probleme

1. Wenn für die virtuelle Schnittstelle auf dem Controller keine IP-Adresse konfiguriert wurde, werden die Clients zum internen Portal umgeleitet, anstatt zum Umleitungsportal, das in der Parameterzuordnung konfiguriert wurde.

2. Wenn Clients einen 503-Fehler erhalten, während sie zum Portal auf DNA-Spaces umgeleitet werden, stellen Sie sicher, dass der Controller in der Standorthierarchie auf DNA-Spaces konfiguriert ist.

Stets verfügbare Ablaufverfolgung

WLC 9800 bietet ALWAYS-ON-Tracing-Funktionen (immer aktiv). So wird sichergestellt, dass alle verbindungsbezogenen Fehler, Warnungen und Meldungen auf Benachrichtigungsebene ständig protokolliert werden und Sie Protokolle zu einem Vorfall oder einem Fehler anzeigen können, nachdem dieser aufgetreten ist.

Hinweis: Je nach Umfang der generierten Protokolle können Sie einige Stunden bis mehrere Tage zurückgehen.

Um die Traces anzuzeigen, die 9800 WLC standardmäßig gesammelt hat, können Sie sich über SSH/Telnet mit dem 9800 WLC verbinden und diese Schritte ausführen (Stellen Sie sicher, dass Sie die Sitzung in einer Textdatei protokollieren).

Schritt 1: Überprüfen Sie die aktuelle Uhrzeit des Controllers, damit Sie die Protokolle bis zum Auftreten des Problems nachverfolgen können.

# show clock

Schritt 2: Erfassen Sie die Syslogs aus dem Controller-Puffer oder dem externen Syslog gemäß der Systemkonfiguration. Dadurch erhalten Sie eine Kurzübersicht über den Systemstatus und etwaige Fehler.

# show logging

Schritt 3: Überprüfen Sie, ob Debug-Bedingungen aktiviert sind.

# show debugging

Cisco IOS-XE Conditional Debug Configs:

Conditional Debug Global State: Stop

Cisco IOS-XE Packet Tracing Configs:

Packet Infra debugs:

Ip Address                                               Port

------------------------------------------------------|----------

Hinweis: Wenn eine Bedingung aufgelistet wird, bedeutet dies, dass die Traces für alle Prozesse, bei denen die aktivierten Bedingungen auftreten (MAC-Adresse, IP-Adresse usw.) auf Debugging-Ebene protokolliert werden. Dies würde das Protokollvolumen erhöhen. Daher wird empfohlen, alle Bedingungen zu löschen, wenn gerade kein Debugging aktiv ist

Schritt 4: Wenn die zu testende MAC-Adresse in Schritt 3 nicht als Bedingung aufgeführt wurde, sammeln Sie die stets verfügbaren Traces für die jeweilige MAC-Adresse.

# show logging profile wireless filter { mac | ip } { <aaaa.bbbb.cccc> | <a.b.c.d> } to-file always-on-<FILENAME.txt>

Sie können entweder den Inhalt der Sitzung anzeigen oder die Datei auf einen externen TFTP-Server kopieren.

# more bootflash:always-on-<FILENAME.txt>

or

# copy bootflash:always-on-<FILENAME.txt> tftp://a.b.c.d/path/always-on-<FILENAME.txt>

Bedingtes Debugging und Radio Active Tracing

Wenn die stets verfügbaren Ablaufverfolgungen nicht genügend Informationen liefern, um den Auslöser für das zu untersuchende Problem zu bestimmen, können Sie bedingtes Debuggen aktivieren und die Radio Active (RA)-Ablaufverfolgung erfassen, die Ablaufverfolgungen auf Debugebene für alle Prozesse bereitstellt, die mit der angegebenen Bedingung interagieren (in diesem Fall Client-MAC-Adresse). Führen Sie diese Schritte aus, um das bedingte Debuggen zu aktivieren.

Schritt 1: Stellen Sie sicher, dass keine Debug-Bedingungen aktiviert sind.

# clear platform condition all

Schritt 2: Aktivieren Sie die Debug-Bedingung für die MAC-Adresse des Wireless-Clients, die Sie überwachen möchten.

Mit diesen Befehlen wird die angegebene MAC-Adresse 30 Minuten (1800 Sekunden) lang überwacht. Sie können diese Zeit optional auf bis zu 2085978494 Sekunden erhöhen.

# debug wireless mac <aaaa.bbbb.cccc> {monitor-time <seconds>}

Hinweis: Um mehr als einen Client gleichzeitig zu überwachen, führen Sie den Befehl „debug wireless mac <aaaa.bbbb.cccc>“ für jede MAC-Adresse aus.

Hinweis: Die Ausgabe der Client-Aktivität wird in der Terminal-Sitzung nicht angezeigt, da alles intern gepuffert wird, um später angezeigt zu werden.

Schritt 3: Reproduzieren Sie das Problem oder Verhalten, das Sie überwachen möchten.

Schritt 4: Stoppen Sie die Debugs, wenn das Problem reproduziert wird, bevor die standardmäßige oder konfigurierte Monitoring-Zeit abgelaufen ist.

# no debug wireless mac <aaaa.bbbb.cccc>

Sobald die Monitoring-Zeit abgelaufen ist oder das Wireless-Debugging beendet wurde, generiert der 9800 WLC eine lokale Datei mit dem Namen:

ra_trace_MAC_aaaabbbbcccc_HHMMSS.XXX_timezone_DayWeek_Month_Day_year.log

Schritt 5: Rufen Sie die Datei mit der MAC-Adressaktivität ab.  Sie können entweder die Datei „ra trace.log“ auf einen externen Server kopieren oder die Ausgabe direkt auf dem Bildschirm anzeigen.

Überprüfen Sie den Namen der RA-Tracing-Datei

# dir bootflash: | inc ra_trace

Datei auf externen Server kopieren:

# copy bootflash:ra_trace_MAC_aaaabbbbcccc_HHMMSS.XXX_timezone_DayWeek_Month_Day_year.log tftp://a.b.c.d/ra-FILENAME.txt

Inhalt anzeigen:

# more bootflash:ra_trace_MAC_aaaabbbbcccc_HHMMSS.XXX_timezone_DayWeek_Month_Day_year.log

Schritt 6: Wenn die Ursache immer noch nicht offensichtlich ist, rufen Sie die internen Protokolle ab, die eine ausführlichere Ansicht der Protokolle auf Debug-Ebene darstellen. Sie müssen den Client nicht noch einmal debuggen, da wir uns nur noch ausführlicher mit Debug-Protokollen befassen, die bereits gesammelt und intern gespeichert wurden.

# show logging profile wireless internal filter { mac | ip } { <aaaa.bbbb.cccc> | <a.b.c.d> } to-file ra-internal-<FILENAME>.txt

Hinweis: Diese Befehlsausgabe gibt Traces für alle Protokollierungsebenen für alle Prozesse zurück und ist sehr umfangreich. Wenden Sie sich an das Cisco TAC, um diese Nachverfolgungen zu analysieren.

Sie können entweder die Datei „ra-internal-FILENAME.txt“ auf einen externen Server kopieren oder die Ausgabe direkt auf dem Bildschirm anzeigen.

Datei auf externen Server kopieren:

# copy bootflash:ra-internal-<FILENAME>.txt tftp://a.b.c.d/ra-internal-<FILENAME>.txt

Inhalt anzeigen:

# more bootflash:ra-internal-<FILENAME>.txt

Schritt 7. Entfernen Sie die Debug-Bedingungen.

# clear platform condition all

Hinweis: Stellen Sie sicher, dass Sie die Debug-Bedingungen immer nach einer Fehlerbehebungssitzung entfernen.

Beispiel eines erfolgreichen Versuchs

Dies ist die Ausgabe von RA_traces für einen erfolgreichen Versuch, jede der Phasen während des Assoziierungs-/Authentifizierungsprozesses zu identifizieren, während eine Verbindung zu einer SSID ohne RADIUS-Server hergestellt wird.

802.11-Zuordnung/Authentifizierung:

Association received. BSSID 10b3.d694.00ee, WLAN 9800DNASpaces, Slot 1 AP 10b3.d694.00e0, 2802AP-9800L

Received Dot11 association request. Processing started,SSID: 9800DNASpaces1, Policy profile: DNASpaces-PP, AP Name: 2802AP-9800L, Ap Mac Address: 10b3.d694.00e0 BSSID MAC0000.0000.0000 wlan ID: 1RSSI: 0, SNR: 32

Client state transition: S_CO_INIT -> S_CO_ASSOCIATING

dot11 send association response. Sending association response with resp_status_code: 0

dot11 send association response. Sending assoc response of length: 144 with resp_status_code: 0, DOT11_STATUS: DOT11_STATUS_SUCCESS

Association success. AID 1, Roaming = False, WGB = False, 11r = False, 11w = False

DOT11 state transition: S_DOT11_INIT -> S_DOT11_ASSOCIATED

Station Dot11 association is successful

IP-Lernprozess:

IP-learn state transition: S_IPLEARN_INIT -> S_IPLEARN_IN_PROGRESS

Client IP learn successful. Method: ARP IP: 10.10.30.42

IP-learn state transition: S_IPLEARN_IN_PROGRESS -> S_IPLEARN_COMPLETE

Received ip learn response. method: IPLEARN_METHOD_AR

Layer-3-Authentifizierung:

Triggered L3 authentication. status = 0x0, Success

Client state transition: S_CO_IP_LEARN_IN_PROGRESS -> S_CO_L3_AUTH_IN_PROGRESS

L3 Authentication initiated. LWA

Client auth-interface state transition: S_AUTHIF_L2_WEBAUTH_DONE -> S_AUTHIF_WEBAUTH_PENDING

Client auth-interface state transition: S_AUTHIF_L2_WEBAUTH_DONE -> S_AUTHIF_WEBAUTH_PENDING

[webauth-httpd] [17798]: (info): capwap_90000005[34e1.2d23.a668][10.10.30.42]GET rcvd when in INIT state

[webauth-httpd] [17798]: (info): capwap_90000005[34e1.2d23.a668][10.10.30.42]HTTP GET request

[webauth-httpd] [17798]: (info): capwap_90000005[34e1.2d23.a668][10.10.30.42]Parse GET, src [10.10.30.42] dst [13.107.4.52] url [http://www.msftconnecttest.com/connecttest.txt]

[webauth-httpd] [17798]: (info): capwap_90000005[34e1.2d23.a668][10.10.30.42]Retrieved user-agent = Microsoft NCSI

[webauth-httpd] [17798]: (info): capwap_90000005[34e1.2d23.a668][10.10.30.42]GET rcvd when in LOGIN state

[webauth-httpd] [17798]: (info): capwap_90000005[34e1.2d23.a668][10.10.30.42]HTTP GET request

[webauth-httpd] [17798]: (info): capwap_90000005[34e1.2d23.a668][10.10.30.42]Parse GET, src [10.10.30.42] dst [151.101.24.81] url [http://www.bbc.com/]

[webauth-httpd] [17798]: (info): capwap_90000005[34e1.2d23.a668][10.10.30.42]Retrieved user-agent = Mozilla/5.0 (Windows NT 10.0; WOW64; Trident/7.0; rv:11.0) like Gecko

[webauth-httpd] [17798]: (info): capwap_90000005[34e1.2d23.a668][10.10.30.42]POST rcvd when in LOGIN state

Layer-3-Authentifizierung erfolgreich. Verschieben Sie den Client in den RUN-Status:

[34e1.2d23.a668:capwap_90000005] Received User-Name 34E1.2D23.A668 for client 34e1.2d23.a668

L3 Authentication Successful. ACL:[]

Client auth-interface state transition: S_AUTHIF_WEBAUTH_PENDING -> S_AUTHIF_WEBAUTH_DONE

%CLIENT_ORCH_LOG-6-CLIENT_ADDED_TO_RUN_STATE: Username entry (34E1.2D23.A668) joined with ssid (9800DNASpaces) for device with MAC: 34e1.2d23.a668

Managed client RUN state notification: 34e1.2d23.a668

Client state transition: S_CO_L3_AUTH_IN_PROGRESS -> S_CO_RU