Configuración de TACACS+ para la administración de dispositivos de Cisco WLC

Introducción

Este documento describe cómo configurar TACACS+ para la administración de dispositivos de Cisco Wireless LAN Controller (WLC) con Identity Service Engine (ISE).

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

• Conocimientos básicos de Identity Service Engine (ISE)
• Conocimientos básicos de Cisco Wireless LAN Controller (WLC)

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

• Cisco Identity Service Engine 2.4
• Controlador de LAN inalámbrica de Cisco 8.5.135

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Configuración

Paso 1. Marque Device Administration License.

Vaya a la pestaña Administration > System > Licensing y verifique que la licencia Device Admin esté instalada, como se muestra en la imagen.

Nota: se necesita una licencia de administrador de dispositivo para utilizar la función TACACS+ en ISE.

Paso 2. Habilite Device Administration en los nodos PSN de ISE.

Vaya a Centros de trabajo > Administración de dispositivos > Descripción general, haga clic en la pestaña Implementación, seleccione el botón de opción Nodo PSN específico. Habilite Device Administration en el nodo ISE seleccionando la casilla de verificación y haga clic en Save, como se muestra en la imagen:

Paso 3. Cree un grupo de dispositivos de red.

Para agregar el WLC como un dispositivo de red en el ISE, navegue hasta Administration > Network Resources > Network Device Groups > All Device Types, cree un nuevo grupo para el WLC, como se muestra en la imagen:

Paso 4. Agregue el WLC como un dispositivo de red.

Vaya a Centros de trabajo > Administración de dispositivos > Recursos de red > Dispositivos de red. Haga clic en Agregar, proporcione el nombre, la dirección IP y seleccione el tipo de dispositivo como WLC, seleccione la casilla de verificación Configuración de autenticación TACACS+ y proporcione la clave secreta compartida, como se muestra en la imagen:

Paso 5. Cree un perfil TACACS para el WLC.

Vaya a Centros de trabajo > Administración de dispositivos > Elementos de política > Resultados > Perfiles TACACS. Haga clic en Agregar y proporcione un nombre. En la pestaña Task attribute view, seleccione WLC para Common Task Type. Hay perfiles predeterminados presentes desde los cuales seleccione Monitor para permitir el acceso limitado a los usuarios, como se muestra en la imagen.

Hay otro perfil predeterminado All que permite el acceso completo al usuario como se muestra en la imagen.

Paso 6. Cree un conjunto de políticas.

Vaya a Centros de trabajo > Administración de dispositivos > Conjuntos de políticas de administración de dispositivos. Haga clic en (+) y asigne un nombre al conjunto de políticas. En la condición de política, seleccione Device Type as WLC, Allowed protocols can be Default Device Admin, como se muestra en la imagen.

Paso 7. Crear directivas de autenticación y autorización.

En este documento, dos grupos de ejemplo Admin-Read-Write y Admin-Read-Only se configuran en el directorio activo y un usuario dentro de cada grupo admin1, admin2 respectivamente. Active Directory se integra con ISE a través de un punto de unión denominado AD-JointName.

Cree dos políticas de autorización, como se muestra en la imagen:

Paso 8. Configure el WLC para la administración del dispositivo.

Navegue hasta Security > AAA > TACACS+ haga clic en New y agregue Authentication, Accounting server, como se muestra en la imagen.

Cambie el orden de prioridad y convierta TACACS+ en superior y Local en inferior, como se muestra en la imagen:

Precaución: No cierre la sesión actual de la GUI del WLC. Se recomienda abrir la GUI de WLC en un navegador web diferente y verificar si el login con credenciales TACACS+ funciona o no. Si no es así, verifique la configuración y la conectividad con el nodo ISE en el puerto TCP 49.

Verificación

Navegue hasta Operaciones > TACACS > Registros en vivo y monitoree los Registros en vivo. Abra la GUI del WLC e inicie sesión con las credenciales de usuario de Active Directory, como se muestra en la imagen

Troubleshoot

Actualmente, no hay información específica de troubleshooting disponible para esta configuración.