La ubicación basó la autorización con el motor de los Servicios de movilidad (MSE) y el Identity Services Engine (ISE) ISE 2.0
Contenido
Introducción
Este artículo demostrará cómo integrar MSE (motor del servicio de la movilidad) con el Identity Services Engine (ISE) para la autorización basada ubicación. El propósito es permitir o negar el acceso al dispositivo de red inalámbrica basado en su ubicación física.
Prerequisites
Requisitos y topología de la solución
Mientras que la configuración MSE está fuera del ámbito de este documento, aquí está el concepto general de la solución:
- MSE es manejado por la infraestructura primera (antes NC) para la configuración, la creación de las correspondencias, y la asignación del WLC
- MSE comunica con el regulador del Wireless LAN (WLC) (después de ser asignadoa por la prima) usando el protocolo NMSP. Esto da básicamente la información sobre la fuerza de señal recibida (RSSI) recibida por los AP para los clientes conectados, que no prohibe a MSE al calcultate su ubicación.
Pasos básicos para hacer eso:
Primero usted tiene que definir una correspondencia en la infraestructura primera (PI), fija la área de cobertura en esta correspondencia, y coloca los AP.
Cuando usted agrega MSE para preparar, elija el servicio de CAS.
Una vez que MSE se agrega, en la prima, elija los servicios de sincronización, y marque su WLC/y las correspondencias para asignarlas al MSE.
Antes de integre MSE con el ISE, MSE tiene que ser en servicio, que significa:
- MSE necesita ser agregado para preparar la infraestructura, y los servicios sincronizados
- El servicio de CAS necesita ser habilitado y las necesidades de seguimiento del cliente de red inalámbrica de ser habilitado
- Las correspondencias tienen que ser configuradas en la prima
- NMSP debe ser acertado entre MSE y el WLCs (“el estatus del nmsp de la demostración” en la línea de comando del WLC)
En esta configuración, habrá solamente un edificio con 2 suelos:
Componentes usados
- Versión 8.0.110 MSE
- Versión 2.0 ISE
MSE de integración con el ISE
Van a los recursos de red, los servicios de ubicación, y el tecleo agrega para agregar MSE.
Los parámetros son que se explica por sí mismo, y usted puede conexión de prueba, y también las operaciones de búsqueda de la ubicación del cliente por el MAC address:
La cosa siguiente a hacer, es ir al árbol de la ubicación, y el tecleo consigue la actualización. Esto permitirá que el ISE traiga los edificios y el suelo de MSE, y lo hace disponible en el ISE, similar a cuando usted agrega a los grupos AD.
Configurar la autorización
Los atributos MSE: La ubicación del mapa se puede ahora utilizar en las directivas de la autorización.
Configure las 2 reglas abajo:
Los usuarios en Floor1 deben poder autenticar.
Vemos en la autenticación detallamos el perfil correcto, así como el atributo de la ubicación del MAPA
Con la configuración antedicha, si el punto final se está moviendo a partir de una zona a otra, no deauthenticated. Si usted quiere seguir el movimiento del usuario, y envía un CoA si el cambio de la autorización, usted puede habilitar la opción de seguimiento en el perfil de la autorización, que marcará para saber si hay la ubicación que cambia cada 5 minutos. Observe que esto puede ser perturbador a las operaciones de itinerancia rápidas normales.
Resolución de problemas
Para esta característica, la configuración ISE es directa, sin embargo, la mayoría de los problemas pudieron suceder si MSE no puede localizar el dispositivo.
Algunas cosas a marcar para aseegurarse MSE se ponen correctamente:
1- Aseegurese que el WLC donde el usuario conectado tiene conexión válida NMSP al MSE ISE está integrado con:
(b2504) >show nmsp status
MSE IP Address Tx Echo Resp Rx Echo Req Tx Data Rx Data
-------------- ------------ ----------- ------- -------
10.48.39.241 3711 3711 15481 7
Si no, este documento ayudará
2- Marque si MSE puede seguir los dispositivos
[root@loc-server ~]# service msed status
...
-------------
Context Aware Service
-------------
Total Active Elements(Wireless Clients, Tags, Rogue APs, Rogue Clients, Interferers, Wired Clients): 29
Active Wireless Clients: 29
Active Tags: 0
Active Rogue APs: 0
Active Rogue Clients: 0
ComentariosContacte a Cisco
- Abrir un caso de soporte
- (Requiere un Cisco Service Contract)