Ejemplo de Configuración de Acceso del Administrador de TACACS a los Controladores de LAN Inalámbricos de Acceso Convergente

Opciones de descarga

  • PDF     (1.2 MB)
    Visualice con Adobe Reader en una variedad de dispositivos
  • ePub     (1.3 MB)
    Visualice en diferentes aplicaciones en iPhone, iPad, Android, Sony Reader o Windows Phone
  • Mobi (Kindle)     (539.6 KB)
    Visualice en dispositivo Kindle o aplicación Kindle en múltiples dispositivos
Actualizado:20 de mayo de 2014
ID del documento:117711

Lenguaje no discriminatorio

El conjunto de documentos para este producto aspira al uso de un lenguaje no discriminatorio. A los fines de esta documentación, "no discriminatorio" se refiere al lenguaje que no implica discriminación por motivos de edad, discapacidad, género, identidad de raza, identidad étnica, orientación sexual, nivel socioeconómico e interseccionalidad. Puede haber excepciones en la documentación debido al lenguaje que se encuentra ya en las interfaces de usuario del software del producto, el lenguaje utilizado en función de la documentación de la RFP o el lenguaje utilizado por un producto de terceros al que se hace referencia. Obtenga más información sobre cómo Cisco utiliza el lenguaje inclusivo.

Acerca de esta traducción

Cisco ha traducido este documento combinando la traducción automática y los recursos humanos a fin de ofrecer a nuestros usuarios en todo el mundo contenido en su propio idioma. Tenga en cuenta que incluso la mejor traducción automática podría no ser tan precisa como la proporcionada por un traductor profesional. Cisco Systems, Inc. no asume ninguna responsabilidad por la precisión de estas traducciones y recomienda remitirse siempre al documento original escrito en inglés (insertar vínculo URL).

Introducción

Este documento proporciona un ejemplo de configuración de Terminal Access Controller Access Control System Plus (TACACS+) en un Cisco Converged Access Wireless LAN Controller (WLC) 5760/3850/3650 para la CLI y la GUI. Este documento también proporciona algunos consejos básicos para resolver problemas de la configuración.

TACACS+ es un protocolo cliente/servidor que proporciona seguridad centralizada a los usuarios que intentan obtener acceso de administración a un router o servidor de acceso a la red. TACACS+ proporciona estos servicios de autenticación, autorización y contabilidad (AAA):

  • Autenticación de usuarios que intentan iniciar sesión en el equipo de red

  • Autorización para determinar qué nivel de acceso deben tener los usuarios

  • Contabilidad para realizar un seguimiento de todos los cambios que realiza el usuario

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

  • Cómo configurar los WLC y los puntos de acceso ligeros (LAP) para el funcionamiento básico
  • Métodos de seguridad inalámbrica y protocolo ligero de punto de acceso (LWAPP)
  • Conocimiento básico de RADIUS y TACACS+
  • Conocimiento básico de la configuración de Cisco ACS

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

  • WLC 5760 que ejecuta Cisco IOS® XE versión 3.3.3
  • Servidor de control de acceso (ACS) 5.2

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Configurar

Nota: Use la Command Lookup Tool (clientes registrados solamente) para obtener más información sobre los comandos usados en esta sección.

Diagrama de la red

Configuraciones

Este es un proceso de dos pasos:

  • Configuración en el WLC
  • Configuración en el servidor RADIUS/TACACS

Configuración en el WLC

  1. Defina el servidor TACACS en el WLC. Asegúrese de configurar exactamente el mismo secreto compartido en el TACACS.
    tacacs-server host 10.106.73.71 key Cisco123
    tacacs server ACS
     address ipv4 10.106.102.50
     key Cisco123
     timeout 10
  2. Configure los grupos de servidores y asigne el servidor configurado en el paso anterior.
    aaa group server tacacs+ ACS
     server name ACS
    !
  3. Configure las políticas de autenticación y autorización para el acceso del administrador. En esto, se permite al grupo TACACS seguido por local, que es el repliegue.
    aaa authentication login Admin_Access group ACS local

    aaa authorization exec Admin_Access group ACS local
  4. Aplique la política a la línea vty y HTTP.
    line vty 0 4
     authorization exec Admin_Access
     login authentication Admin_Access
    line vty 5 15
     exec-timeout 0 0
     authorization exec Admin_Access
     login authentication Admin_Access
  5. Aplique lo mismo a HTTP.
    ip http server
    ip http authentication aaa login-authentication Admin_Access
    ip http authentication aaa exec-authorization Admin_Access

Configuración en ACS

  1. Elija Network Resources > Network Devices and AAA Clients para agregar el WLC como el cliente AAA para el TACACS en el ACS. Asegúrese de que el secreto compartido configurado aquí coincida con el configurado en el WLC.

  2. Elija Users and Identity Stores > Internal Identity Stores > Users para definir el usuario para el acceso del administrador.

  3. Elija Policy Elements > Authorization and Permissions > Device Administration > Shell Profiles para establecer los niveles de privilegio en 15.

  4. Elija Access Policies > Access Services > Default Device Admin para permitir los protocolos requeridos.

  5. Elija Access Policies > Access Services > Default Device Admin > Identity para crear una identidad para el administrador del dispositivo que permita a los usuarios internos con opciones de autenticación.

  6. Elija Access Policies > Access Services > Default Device Admin > Authorization para permitir el perfil de autorización Priv15 creado en el Paso 3. Aquí el cliente con la identidad pasada (usuarios internos) se coloca en el perfil Priv15.

Verificación

Use esta sección para confirmar que su configuración funciona correctamente.

Abra un explorador e introduzca la dirección IP del switch. Se muestra el mensaje Authentication Required . Ingrese las credenciales de usuario del grupo para iniciar sesión en el dispositivo.

Para verificar el acceso Telnet/SSH, Telnet/SSH a la dirección IP del switch e ingrese las credenciales.

Esto se muestra para el registro ACS.

Troubleshoot

En esta sección encontrará información que puede utilizar para solucionar problemas de configuración.

Nota: Consulte Información Importante sobre Comandos de Debug antes de usar un comando debug.

Ingrese el comando debug tacacs para resolver problemas de su configuración.

debug tacacs

*May 14 23:11:06.396: TPLUS: Queuing AAA Authentication request 4775 for processing
*May 14 23:11:06.396: TPLUS(000012A7) login timer started 1020 sec timeout
*May 14 23:11:06.396: TPLUS: processing authentication continue request id 4775
*May 14 23:11:06.396: TPLUS: Authentication continue packet generated for 4775
*May 14 23:11:06.396: TPLUS(000012A7)/0/WRITE/962571D4: Started 10 sec timeout
*May 14 23:11:06.396: TPLUS(000012A7)/0/WRITE: wrote entire 25 bytes request
*May 14 23:11:06.398: TPLUS(000012A7)/0/READ: socket event 1
*May 14 23:11:06.398: TPLUS(000012A7)/0/READ: read entire 12 header bytes (expect
 16 bytes data)
*May 14 23:11:06.398: TPLUS(000012A7)/0/READ: socket event 1
*May 14 23:11:06.398: TPLUS(000012A7)/0/READ: read entire 28 bytes response
*May 14 23:11:06.398: TPLUS(000012A7)/0/962571D4: Processing the reply packet
*May 14 23:11:06.398: TPLUS: Received authen response status GET_PASSWORD (8)
*May 14 23:11:08.680: TPLUS: Queuing AAA Authentication request 4775 for processing
*May 14 23:11:08.680: TPLUS(000012A7) login timer started 1020 sec timeout
*May 14 23:11:08.680: TPLUS: processing authentication continue request id 4775
*May 14 23:11:08.680: TPLUS: Authentication continue packet generated for 4775
*May 14 23:11:08.680: TPLUS(000012A7)/0/WRITE/962571D4: Started 10 sec timeout
*May 14 23:11:08.680: TPLUS(000012A7)/0/WRITE: wrote entire 25 bytes request
*May 14 23:11:08.687: TPLUS(000012A7)/0/READ: socket event 1
*May 14 23:11:08.687: TPLUS(000012A7)/0/READ: read entire 12 header bytes (expect
 6 bytes data)
*May 14 23:11:08.687: TPLUS(000012A7)/0/READ: socket event 1
*May 14 23:11:08.687: TPLUS(000012A7)/0/READ: read entire 18 bytes response
*May 14 23:11:08.687: TPLUS(000012A7)/0/962571D4: Processing the reply packet
*May 14 23:11:08.687: TPLUS: Received authen response status PASS (2)
*May 14 23:11:08.687: TPLUS: Queuing AAA Authorization request 4775 for processing
*May 14 23:11:08.687: TPLUS(000012A7) login timer started 1020 sec timeout
*May 14 23:11:08.687: TPLUS: processing authorization request id 4775
*May 14 23:11:08.687: TPLUS: Protocol set to None .....Skipping
*May 14 23:11:08.687: TPLUS: Sending AV service=shell
*May 14 23:11:08.687: TPLUS: Sending AV cmd*
*May 14 23:11:08.687: TPLUS: Authorization request created for 4775(surbg123)
*May 14 23:11:08.687: TPLUS: using previously set server 10.106.102.50 from
 group SURBG_ACS
*May 14 23:11:08.688: TPLUS(000012A7)/0/NB_WAIT/93C63F04: Started 10 sec timeout
*May 14 23:11:08.690: TPLUS(000012A7)/0/NB_WAIT: socket event 2
*May 14 23:11:08.690: TPLUS(000012A7)/0/NB_WAIT: wrote entire 61 bytes request
*May 14 23:11:08.690: TPLUS(000012A7)/0/READ: socket event 1
*May 14 23:11:08.690: TPLUS(000012A7)/0/READ: Would block while reading
*May 14 23:11:08.696: TPLUS(000012A7)/0/READ: socket event 1
*May 14 23:11:08.696: TPLUS(000012A7)/0/READ: read entire 12 header bytes (expect
 18 bytes data)
*May 14 23:11:08.696: TPLUS(000012A7)/0/READ: socket event 1
*May 14 23:11:08.696: TPLUS(000012A7)/0/READ: read entire 30 bytes response
*May 14 23:11:08.696: TPLUS(000012A7)/0/93C63F04: Processing the reply packet
*May 14 23:11:08.696: TPLUS: Processed AV priv-lvl=15
*May 14 23:11:08.696: TPLUS: received authorization response for 4775: PASS

Historial de revisiones

Revisión Fecha de publicación Comentarios
1.0
20-May-2014
Versión inicial
TAC Authored

Con la colaboración de ingenieros de Cisco

  • Surendra BG
    Cisco TAC Engineer.

¿Resultó útil este documento?

FeedbackComentarios

Contacte a Cisco

Este documento se aplica a estos productos