Contenido

Introducción

Prerequisites

Requirements

Componentes Utilizados

Configurar

Diagrama de la red

Configuraciones

Configuración en el WLC

Configuración en ACS

Verificación

Troubleshoot

Introducción

Este documento proporciona un ejemplo de configuración de Terminal Access Controller Access Control System Plus (TACACS+) en un Cisco Converged Access Wireless LAN Controller (WLC) 5760/3850/3650 para la CLI y la GUI. Este documento también proporciona algunos consejos básicos para resolver problemas de la configuración.

TACACS+ es un protocolo cliente/servidor que proporciona seguridad centralizada a los usuarios que intentan obtener acceso de administración a un router o servidor de acceso a la red. TACACS+ proporciona estos servicios de autenticación, autorización y contabilidad (AAA):

- Autenticación de usuarios que intentan iniciar sesión en el equipo de red

- Autorización para determinar qué nivel de acceso deben tener los usuarios

- Contabilidad para realizar un seguimiento de todos los cambios que realiza el usuario

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

- Cómo configurar los WLC y los puntos de acceso ligeros (LAP) para el funcionamiento básico

- Métodos de seguridad inalámbrica y protocolo ligero de punto de acceso (LWAPP)

- Conocimiento básico de RADIUS y TACACS+

- Conocimiento básico de la configuración de Cisco ACS

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

- WLC 5760 que ejecuta Cisco IOS® XE versión 3.3.3

- Servidor de control de acceso (ACS) 5.2

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Configurar

Nota: Use la Command Lookup Tool (clientes registrados solamente) para obtener más información sobre los comandos usados en esta sección.

Diagrama de la red

Configuraciones

Este es un proceso de dos pasos:

- Configuración en el WLC

- Configuración en el servidor RADIUS/TACACS

Configuración en el WLC

1. Defina el servidor TACACS en el WLC. Asegúrese de configurar exactamente el mismo secreto compartido en el TACACS.
tacacs-server host 10.106.73.71 key Cisco123

tacacs server ACS

address ipv4 10.106.102.50

key Cisco123

timeout 10

2. Configure los grupos de servidores y asigne el servidor configurado en el paso anterior.
aaa group server tacacs+ ACS

server name ACS

!

3. Configure las políticas de autenticación y autorización para el acceso del administrador. En esto, se permite al grupo TACACS seguido por local, que es el repliegue.
aaa authentication login Admin_Access group ACS local

aaa authorization exec Admin_Access group ACS local

4. Aplique la política a la línea vty y HTTP.
line vty 0 4

authorization exec Admin_Access

login authentication Admin_Access

line vty 5 15

exec-timeout 0 0

authorization exec Admin_Access

login authentication Admin_Access

5. Aplique lo mismo a HTTP.
ip http server

ip http authentication aaa login-authentication Admin_Access

ip http authentication aaa exec-authorization Admin_Access

Configuración en ACS

1. Elija Network Resources > Network Devices and AAA Clients para agregar el WLC como el cliente AAA para el TACACS en el ACS. Asegúrese de que el secreto compartido configurado aquí coincida con el configurado en el WLC.

2. Elija Users and Identity Stores > Internal Identity Stores > Users para definir el usuario para el acceso del administrador.

3. Elija Policy Elements > Authorization and Permissions > Device Administration > Shell Profiles para establecer los niveles de privilegio en 15.

4. Elija Access Policies > Access Services > Default Device Admin para permitir los protocolos requeridos.

5. Elija Access Policies > Access Services > Default Device Admin > Identity para crear una identidad para el administrador del dispositivo que permita a los usuarios internos con opciones de autenticación.

6. Elija Access Policies > Access Services > Default Device Admin > Authorization para permitir el perfil de autorización Priv15 creado en el Paso 3. Aquí el cliente con la identidad pasada (usuarios internos) se coloca en el perfil Priv15.

Verificación

Use esta sección para confirmar que su configuración funciona correctamente.

Abra un explorador e introduzca la dirección IP del switch. Se muestra el mensaje Authentication Required . Ingrese las credenciales de usuario del grupo para iniciar sesión en el dispositivo.

Para verificar el acceso Telnet/SSH, Telnet/SSH a la dirección IP del switch e ingrese las credenciales.

Esto se muestra para el registro ACS.

Troubleshoot

En esta sección encontrará información que puede utilizar para solucionar problemas de configuración.

Nota: Consulte Información Importante sobre Comandos de Debug antes de usar un comando debug.

Ingrese el comando debug tacacs para resolver problemas de su configuración.

debug tacacs

*May 14 23:11:06.396: TPLUS: Queuing AAA Authentication request 4775 for processing

*May 14 23:11:06.396: TPLUS(000012A7) login timer started 1020 sec timeout

*May 14 23:11:06.396: TPLUS: processing authentication continue request id 4775

*May 14 23:11:06.396: TPLUS: Authentication continue packet generated for 4775

*May 14 23:11:06.396: TPLUS(000012A7)/0/WRITE/962571D4: Started 10 sec timeout

*May 14 23:11:06.396: TPLUS(000012A7)/0/WRITE: wrote entire 25 bytes request

*May 14 23:11:06.398: TPLUS(000012A7)/0/READ: socket event 1

*May 14 23:11:06.398: TPLUS(000012A7)/0/READ: read entire 12 header bytes (expect

16 bytes data)

*May 14 23:11:06.398: TPLUS(000012A7)/0/READ: socket event 1

*May 14 23:11:06.398: TPLUS(000012A7)/0/READ: read entire 28 bytes response

*May 14 23:11:06.398: TPLUS(000012A7)/0/962571D4: Processing the reply packet

*May 14 23:11:06.398: TPLUS: Received authen response status GET_PASSWORD (8)

*May 14 23:11:08.680: TPLUS: Queuing AAA Authentication request 4775 for processing

*May 14 23:11:08.680: TPLUS(000012A7) login timer started 1020 sec timeout

*May 14 23:11:08.680: TPLUS: processing authentication continue request id 4775

*May 14 23:11:08.680: TPLUS: Authentication continue packet generated for 4775

*May 14 23:11:08.680: TPLUS(000012A7)/0/WRITE/962571D4: Started 10 sec timeout

*May 14 23:11:08.680: TPLUS(000012A7)/0/WRITE: wrote entire 25 bytes request

*May 14 23:11:08.687: TPLUS(000012A7)/0/READ: socket event 1

*May 14 23:11:08.687: TPLUS(000012A7)/0/READ: read entire 12 header bytes (expect

6 bytes data)

*May 14 23:11:08.687: TPLUS(000012A7)/0/READ: socket event 1

*May 14 23:11:08.687: TPLUS(000012A7)/0/READ: read entire 18 bytes response

*May 14 23:11:08.687: TPLUS(000012A7)/0/962571D4: Processing the reply packet

*May 14 23:11:08.687: TPLUS: Received authen response status PASS (2)

*May 14 23:11:08.687: TPLUS: Queuing AAA Authorization request 4775 for processing

*May 14 23:11:08.687: TPLUS(000012A7) login timer started 1020 sec timeout

*May 14 23:11:08.687: TPLUS: processing authorization request id 4775

*May 14 23:11:08.687: TPLUS: Protocol set to None .....Skipping

*May 14 23:11:08.687: TPLUS: Sending AV service=shell

*May 14 23:11:08.687: TPLUS: Sending AV cmd*

*May 14 23:11:08.687: TPLUS: Authorization request created for 4775(surbg123)

*May 14 23:11:08.687: TPLUS: using previously set server 10.106.102.50 from

group SURBG_ACS

*May 14 23:11:08.688: TPLUS(000012A7)/0/NB_WAIT/93C63F04: Started 10 sec timeout

*May 14 23:11:08.690: TPLUS(000012A7)/0/NB_WAIT: socket event 2

*May 14 23:11:08.690: TPLUS(000012A7)/0/NB_WAIT: wrote entire 61 bytes request

*May 14 23:11:08.690: TPLUS(000012A7)/0/READ: socket event 1

*May 14 23:11:08.690: TPLUS(000012A7)/0/READ: Would block while reading

*May 14 23:11:08.696: TPLUS(000012A7)/0/READ: socket event 1

*May 14 23:11:08.696: TPLUS(000012A7)/0/READ: read entire 12 header bytes (expect

18 bytes data)

*May 14 23:11:08.696: TPLUS(000012A7)/0/READ: socket event 1

*May 14 23:11:08.696: TPLUS(000012A7)/0/READ: read entire 30 bytes response

*May 14 23:11:08.696: TPLUS(000012A7)/0/93C63F04: Processing the reply packet

*May 14 23:11:08.696: TPLUS: Processed AV priv-lvl=15

*May 14 23:11:08.696: TPLUS: received authorization response for 4775: PASS