Introducción
Este documento proporciona una breve descripción general de las pautas de configuración básicas para implementaciones inalámbricas a gran escala como el controlador de LAN inalámbrica (WLC) AireOS con RADIUS con Cisco Identity Services Engine (ISE) o Cisco Secure Access Control Server (ACS). Este documento hace referencia a otros documentos con mayor detalle técnico.
Síntomas observados
Normalmente, los entornos universitarios se encuentran con este estado de fusión Autenticación, Autorización y Contabilización (AAA). Esta sección describe los Síntomas/Registros habituales observados en este entorno.
1. Supervise el rendimiento de RADIUS
El cliente Dotx experimenta un gran retraso con muchos reintentos de autenticación.
Utilice el comando show radius auth statistics (GUI: Monitor > Statistics > RADIUS Servers) para buscar problemas. Busque específicamente un gran número de reintentos, rechazos y tiempos de espera. Aquí tiene un ejemplo:
Server Index..................................... 2
Server Address................................... 192.168.88.1
Msg Round Trip Time.............................. 3 (msec)
First Requests................................... 1256
Retry Requests................................... 5688
Accept Responses................................. 22
Reject Responses................................. 1
Challenge Responses.............................. 96
Malformed Msgs................................... 0
Bad Authenticator Msgs........................... 0
Pending Requests................................. 1
Timeout Requests................................. 6824
Unknowntype Msgs................................. 0
Other Drops...................................... 0
Busque:
- Reintento alto: Ratio de primera solicitud (no debe ser superior al 10%)
- Rechazo alto: Aceptar proporción
- Tiempo de espera alto: Ratio de primera solicitud (no debe ser superior al 5%)
Si hay problemas, compruebe la existencia de:
- Clientes mal configurados
- Problemas de alcance de red entre el WLC y el servidor RADIUS
- Problemas entre el servidor RADIUS y la base de datos backend, si está en uso, como con Active Directory (AD)
2. El WLC ve la cola de RADIUS llena en los msglogs
El WLC recibe este mensaje sobre la cola RADIUS:
Univ-WISM2-02: *aaa QueueReader: Dec 02 14:25:31.565: #AAA-3-3TXQUEUE_ADD_FAILED:
radius_db.c:889 Transmission queue full. Que name: Radius queue. Dropping
sessionpackets.
host = x.x.x.x.
3. Debug AAA
Una depuración de AAA muestra este mensaje:
*aaaQueueReader: Dec 02 21 09:19:52.198: xx:xx:xx:xx:xx:xx Returning AAA Error
'Out of Memory' (-2) for mobile xx:xx:xx:xx:xx:xx
Una depuración de AAA devuelve el tiempo de espera de error AAA (-5) para los dispositivos móviles. El servidor AAA es inalcanzable y va seguido de la desautorización del cliente.
4. El servidor RADIUS está demasiado ocupado y no responde
Esta es la trampa de tiempo del sistema de registro:
0 Wed Aug 20 15:30:40 2014 RADIUS auth-server x.x.x.x:1812 available
1 Wed Aug 20 15:30:40 2014 RADIUS auth-server x.x.x.x:1812 available
2 Wed Aug 20 15:30:40 2014 RADIUS server x.x.x.x:1812 activated on WLAN 6
3 Wed Aug 20 15:30:40 2014 RADIUS server x.x.x.x:1812 deactivated on WLAN 6
4 Wed Aug 20 15:30:40 2014 RADIUS auth-server x.x.x.x:1812 unavailable
5 Wed Aug 20 15:30:40 2014 RADIUS server x.x.x.x:1812 failed to respond to request
(ID 22) for client 68:96:7b:0e:46:7f / user 'user1@univ1.edu'
6 Wed Aug 20 15:29:57 2014 User Larry_Dull_231730 logged Out. Client MAC:84:a6:c8:
87:13:9c, Client IP:198.21.137.22, AP MAC:c0:7b:bc:cf:af:40, AP Name:Dot1x-AP
7 Wed Aug 20 15:28:42 2014 RADIUS server x.x.x.x:1812 failed to respond to request
(ID 183) for client 48:d7:05:7d:93:a5 / user ' user2@univ2.edu '
8 Wed Aug 20 15:28:42 2014 RADIUS auth-server x.x.x.x:1812 unavailable
9 Wed Aug 20 15:28:42 2014 RADIUS server x.x.x.x:1812 failed to respond to request
(ID 154) for client 40:0e:85:76:00:68 / user ' user1@univ1.edu '
10 Wed Aug 20 15:28:41 2014 RADIUS auth-server x.x.x.x:1812 available
11 Wed Aug 20 15:28:41 2014 RADIUS auth-server x.x.x.x:1812 unavailable
12 Wed Aug 20 15:28:41 2014 RADIUS server x.x.x.x:1812 failed to respond to request
(ID 99) for client 50:2e:5c:ea:e4:ba / user ' user3@univ3.edu '
13 Wed Aug 20 15:28:38 2014 RADIUS auth-server x.x.x.x:1812 available
14 Wed Aug 20 15:28:38 2014 RADIUS auth-server x.x.x.x:1812 unavailable
15 Wed Aug 20 15:28:38 2014 RADIUS server x.x.x.x:1812 failed to respond to request
(ID 30) for client b4:18:d1:60:6b:51 / user ' user1@univ1.edu '
16 Wed Aug 20 15:28:38 2014 RADIUS auth-server x.x.x.x:1812 available
17 Wed Aug 20 15:28:38 2014 RADIUS server x.x.x.x:1812 activated on WLAN 6
18 Wed Aug 20 15:28:38 2014 RADIUS server x.x.x.x:1812 deactivated on WLAN 6
19 Wed Aug 20 15:28:38 2014 RADIUS auth-server x.x.x.x:1812 unavailable
Ajuste de prácticas recomendadas
Ajuste del lado WLC
- Protocolo de autenticación extensible (EAP): permite que funcione la exclusión de clientes de 802.1X.
- Habilitar la exclusión de clientes globalmente para 802.1X.
- Establezca la exclusión de clientes en las LAN inalámbricas (WLAN) 802.1X en al menos 120 segundos.
- Establezca los temporizadores EAP como se describe en el artículo 802.1X Client Exclusion on an AireOS WLC.
- Establezca los tiempos de espera de retransmisión RADIUS en al menos cinco segundos.
- Establezca Session-Timeout en al menos ocho horas.
- Inhabilite la conmutación por fallas agresiva, que no permite que un solo suplicante que se comporta mal cause la falla del WLC entre los servidores RADIUS.
- Configure la itinerancia segura y rápida para sus clientes.
Ajuste del lado del servidor RADIUS
- Reduzca la velocidad de registro. La mayoría de los servidores RADIUS son configurables acerca del registro que almacenarán. Si se utiliza ACS o ISE, un administrador puede elegir qué categorías se registran en la base de datos de supervisión. Un ejemplo podría ser que si los datos de cuentas se envían fuera del servidor RADIUS y se visualizan con otra aplicación como SYSLOG, no escriba los datos en la base de datos localmente. En ISE, asegúrese de que la supresión de registros esté habilitada en todo momento. Si debe desactivarse para solucionar problemas, vaya a Administration > System > Logging > Collection Filters y utilice la opción Bypass Suppression para desactivar la supresión en un terminal o usuario individual. En ISE versión 1.3 y posteriores, se puede hacer clic con el botón derecho del ratón en un terminal del registro de autenticación en directo para deshabilitar también la supresión.
- Asegúrese de que la latencia de autenticación del servidor sea baja (AD, protocolo ligero de acceso a directorios (LDAP), Rivest, Shamir, Adleman (RSA)). Si utiliza ACS o ISE, se pueden ejecutar los informes de resumen de autenticación para supervisar la latencia por servidor tanto para la latencia media como para la máxima. Cuanto más tiempo se tarda en procesar una solicitud, menor es la tasa de autenticación que pueden procesar ACS o ISE. El 95% de las veces, la latencia alta se debe a una respuesta lenta de una base de datos backend.
- Deshabilite los reintentos de contraseña del protocolo de autenticación extensible protegido (PEAP). La mayoría de los dispositivos no admiten reintentos de contraseña dentro del túnel PEAP, por lo que un reintento del servidor EAP hace que el dispositivo deje de responder y se reinicie con una nueva sesión EAP. Esto provoca tiempos de espera EAP en lugar de rechazos, lo que significa que no se alcanzarán las exclusiones de clientes.
- Inhabilite los protocolos EAP no utilizados. Esto no es crítico, pero añade cierta eficiencia al intercambio EAP y garantiza que un cliente no pueda utilizar un método EAP débil o no intencionado.
- Active Reanudación de sesión PEAP y Reconexión rápida.
- No enviar autenticaciones MAC al AD si no es necesario. Se trata de un error de configuración común que aumenta la carga en los controladores de dominio con los que se autentica ISE. A menudo, esto lleva a búsquedas negativas que consumen mucho tiempo y aumentan la latencia media.
- Utilice el sensor de dispositivos donde corresponda (específico de ISE).
Comentarios