Cambio de los tipos de mensajes de autorización en Catalyst 1300

Objetivo 

El objetivo de este artículo es proporcionar una descripción general del cambio de los tipos de mensajes de autorización en los switches Catalyst 1300.

Dispositivos aplicables | Versión de software 

• Switches Catalyst 1200 |4.1.3.36
• Switches Catalyst 1300 |4.1.3.36

Introducción 

Change of Authorization (CoA) es una extensión del protocolo RADIUS que permite cambios dinámicos en una sesión de usuario AAA o dot1x. Cuando cambia una política para un usuario de un grupo en AAA, los administradores pueden transmitir paquetes CoA de RADIUS desde el servidor AAA, como Cisco Identity Services Engines (ISE), para reiniciar la autenticación y aplicar la nueva política.

Esta función requiere comunicación entre el cliente de autorización dinámica (servidor RADIUS) y el servidor de autorización dinámica (switch Catalyst). Como se observa en el diagrama de red a continuación, el cliente de autorización dinámica envía un mensaje de desconexión o CoA al servidor de autorización dinámica y el switch proporciona una respuesta.

El dispositivo admite las siguientes acciones de CoA:

• CoA Session Reauth - Esto fuerza una reautenticación en el puerto al enviar un paquete CoA con un comando reauthenticate.
• CoA Session Terminate - Esto envía una solicitud de desconexión con un comando de terminación basado en una solicitud del administrador.
• Rebote de puerto CoA: envía un paquete de solicitud CoA con un comando Bounce Host Port que desactivará y volverá a activar el puerto en el switch.
• CoA Session Termination with Port Bounce - Esto termina la sesión existente y rebota el puerto.
• CoA Session Termination with Port Shutdown (Terminación de la sesión de CoA con cierre de puerto): Esto finaliza la sesión y cierra el puerto administrativamente.

Códigos de respuesta de solicitud de CoA

Las solicitudes CoA, como se describe en RFC 5176, se utilizan para permitir la identificación de sesión, la reautenticación de host y la terminación de sesión. El modelo contiene una única solicitud (CoA-Request) y dos posibles códigos de respuesta:

• Reconocimiento de CoA (ACK) [CoA-ACK]
• CoA sin confirmación (NAK) [CoA-NAK]

La solicitud se inicia desde un cliente CoA (normalmente un servidor RADIUS o de políticas) y se dirige al dispositivo que actúa como receptor.

Código de respuesta de ACK de CoA

Si un estado de autorización se cambia correctamente, se envía un reconocimiento positivo (ACK). Los atributos devueltos dentro de un ACK de CoA pueden variar en función de la solicitud de CoA.

Código de respuesta NAK de CoA

Un reconocimiento negativo (NAK) indica un error al cambiar el estado de autorización y puede incluir atributos que indiquen el motivo del error.

Comandos y respuestas compatibles

CoA es una extensión del protocolo RADIUS general y hace que el servidor ISE envíe paquetes al puerto UDP 1700 en el switch.

• 40 - Disconnect-Request - procesado por el switch. El switch responde con Disconnect-ACK o Disconnect-NAK.
• 41 - Disconnect-ACK - enviado por el switch
• 42 - Disconnect-NAK - enviado por el switch
• 43 - CoA-Request - procesado por el switch. El switch responde con CoA-ACK o CoA-NAK.
• 44 - CoA-ACK - enviado por el switch
• 45 - CoA-NAK - enviado por el switch

Conclusión

Ahora que comprende los tipos de mensajes de CoA, consulte los siguientes artículos para configurar CoA en los switches Catalyst 1300.

Configuración del Cambio de Autorización en Catalyst 1300 Usando la Interfaz de Usuario Web

Configuración del cambio de autorización en el switch Catalyst 1300 mediante CLI