Contenido

Introducción

Prerequisites

Requirements

Componentes Utilizados

Casos de usuario

Cómo funciona la exclusión de clientes 802.1X

Configuración de Exclusión para Proteger los Servidores RADIUS de la Sobrecarga

Problemas que impiden que funcione la exclusión de 802.1X

Clientes no excluidos debido a la configuración del temporizador WLC EAP

Clientes no excluidos debido a la configuración de PEAP de ISE

Información Relacionada

Introducción

Este documento describe la Exclusión de Cliente 802.1X en un Controlador de LAN Inalámbrica AireOS (WLC). 802.1X Client Exclusion es una opción importante para tener en un autenticador 802.1X como un WLC. Esto se realiza para evitar una sobrecarga de la infraestructura del servidor de autenticación por parte de los clientes del protocolo de autenticación extensible (EAP) que son hiperactivos o funcionan incorrectamente.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

- WLC de Cisco AireOS

- Protocolo 802.1X

- Servicio de usuario de acceso telefónico de autenticación remota (RADIUS)

- Identity Service Engine (ISE)

Componentes Utilizados

La información de este documento se basa en AireOS.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Casos de usuario

Algunos ejemplos de casos de usuario son:

- Suplicante EAP configurado con credenciales incorrectas. La mayoría de los suplicantes, como los suplicantes EAP, cesan los intentos de autenticación después de unos pocos fallos sucesivos. Sin embargo, algunos suplicantes de EAP continúan los intentos de reautenticarse en caso de falla, posiblemente muchas veces por segundo. Algunos clientes sobrecargan servidores RADIUS y provocan una denegación de servicio (DoS) para toda la red.

- Después de una falla de red importante, cientos o miles de clientes EAP podrían intentar autenticarse simultáneamente. Como resultado, los servidores de autenticación podrían estar sobrecargados y proporcionar una respuesta lenta. Si los clientes o el autenticador agotan el tiempo de espera antes de que se procese la respuesta lenta, puede producirse un círculo vicioso donde los intentos de autenticación continúan agotando el tiempo de espera y luego intentan procesar la respuesta de nuevo.

Nota: Se requiere un mecanismo de control de admisión para permitir que los intentos de autenticación tengan éxito.

Cómo funciona la exclusión de clientes 802.1X

La exclusión de cliente 802.1X evita que los clientes envíen intentos de autenticación durante un período de tiempo después de que se produzcan fallos de autenticación 802.1X excesivos. En un AireOS WLC 802.1X, la exclusión del cliente se habilita globalmente bajo Security > Wireless Protection Policies > Client Exclusion Policies de forma predeterminada y se puede ver en esta imagen.

La exclusión de cliente se puede habilitar o inhabilitar por WLAN. De forma predeterminada, se habilita con un tiempo de espera de 60 segundos antes de que AireOS 8.5 y 180 segundos comiencen en AireOS 8.5.

Configuración de Exclusión para Proteger los Servidores RADIUS de la Sobrecarga

Para validar que el servidor RADIUS está protegido de sobrecarga debido a clientes inalámbricos que funcionan incorrectamente, verifique que estos parámetros estén en efecto:

- Se seleccionan excesivas fallas de autenticación 802.1X en las políticas globales de exclusión de clientes del WLC.

- La Exclusión de Cliente se establece en Activado en los parámetros avanzados de la WLAN.

- El valor de tiempo de espera de exclusión de cliente se establece en 60 a 300 segundos.

Nota: Los valores superiores a 300 segundos proporcionan una mejor protección, pero pueden provocar quejas de los usuarios.

- Configuración de los temporizadores EAP de AireOS y de los parámetros de protocolo de autenticación ampliable protegido ISE (PEAP)

Problemas que impiden que funcione la exclusión de 802.1X

Varios ajustes de configuración, en el WLC y en el servidor RADIUS podrían impedir que funcione la Exclusión del Cliente 802.1X.

Clientes no excluidos debido a la configuración del temporizador WLC EAP

De forma predeterminada, los clientes inalámbricos no se excluyen cuando Client Exclusion se establece en Enabled en la WLAN. Esto se debe a que los tiempos de espera de EAP predeterminados de 30 segundos que provocan que un cliente que se comporta mal nunca alcance suficientes fallas sucesivas para desencadenar una exclusión. Configure tiempos de espera EAP más cortos con un mayor número de retransmisiones para que la exclusión de clientes 802.1X entre en vigor. Vea el ejemplo de tiempo de espera.

config advanced eap identity-request-timeout 3

config advanced eap identity-request-retries 10

config advanced eap request-timeout 3

config advanced eap request-retries 10

Clientes no excluidos debido a la configuración de PEAP de ISE

Para que la Exclusión de Cliente 802.1X funcione, el servidor RADIUS debe enviar un Access-Reject cuando falla la autenticación. Si el servidor RADIUS es ISE y si PEAP está en uso, es posible que la exclusión no ocurra y depende de la configuración de PEAP de ISE. Dentro de ISE, navegue hasta Policy > Results > Authentication > Allowed Protocols > Default Network Access como se muestra en la imagen.

Si configura Retries (redondeado en rojo a la derecha) en 0, ISE debería enviar Access-Reject inmediatamente al WLC, que debería habilitar el WLC para excluir al cliente (si intenta tres veces autenticar).

Nota: La configuración de Reintentos es algo independiente de la casilla de verificación Permitir Cambio de Contraseña, es decir, se cumplirá el valor de los Reintentos, incluso si no se marca Permitir Cambio de Contraseña. Sin embargo, si Retries se establece en 0, Allow Password Change no funcionará.

Información Relacionada

- ID de bug de Cisco: CSCsq16858

- Evite los fallos de fusión de red RADIUS inalámbrica a gran escala

- Soporte Técnico y Documentación - Cisco Systems