Este documento explica cómo configurar el controlador de LAN inalámbrico (WLC) para la autenticación EAP (Extensible Authentication Protocol) con el uso de un servidor RADIUS externo como Access Control Server (ACS) 5.2.
Asegúrese de cumplir estos requisitos antes de realizar esta configuración:
Tener un conocimiento básico del WLC y los Lightweight Access Points (LAP)
Tener un conocimiento funcional del servidor AAA
Conozca a fondo las redes inalámbricas y los problemas de seguridad inalámbrica
La información que contiene este documento se basa en las siguientes versiones de software y hardware.
Cisco 5508 WLC que ejecuta la versión de firmware 7.0.220.0
LAP de la serie 3502 de Cisco
Microsoft Windows 7 Native Supplicant con controlador Intel 6300-N versión 14.3
Cisco Secure ACS que ejecuta la versión 5.2
Switch Cisco serie 3560
The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.
Consulte Convenciones de Consejos Técnicos de Cisco para obtener más información sobre las convenciones sobre documentos.
En esta sección encontrará la información para configurar las funciones descritas en este documento.
Nota: Utilice la herramienta Command Lookup (sólo para clientes registrados) para obtener más información sobre los comandos utilizados en esta sección.
En este documento, se utiliza esta configuración de red:
Estos son los detalles de configuración de los componentes utilizados en este diagrama:
La dirección IP del servidor ACS (RADIUS) es 192.168.150.24.
La dirección de la interfaz de administración y administrador de AP del WLC es 192.168.75.44.
Los servidores DHCP dirigen 192.168.150.25.
La VLAN 253 se utiliza a lo largo de esta configuración. Ambos usuarios se conectan al mismo SSID "goa". Sin embargo, user1 está configurado para autenticarse usando PEAP-MSCHAPv2 y user2 usando EAP-FAST.
Los usuarios se asignarán en VLAN 253:
VLAN 253: 192.168.153.x/24. Gateway: 192.168.153.1
VLAN 75: 192.168.75.x/24. Gateway: 192.168.75.1
Los switches se configuran para todas las VLAN de Capa 3.
Al servidor DHCP se le asigna un alcance DHCP.
Existe conectividad de capa 3 entre todos los dispositivos de la red.
El LAP ya está unido al WLC.
Cada VLAN tiene una máscara /24.
ACS 5.2 tiene instalado un certificado firmado automáticamente.
Esta configuración se divide en tres pasos de alto nivel:
La configuración del servidor RADIUS se divide en cuatro pasos:
ACS 5.x es un sistema de control de acceso basado en políticas. Es decir, ACS 5.x utiliza un modelo de políticas basado en reglas en lugar del modelo basado en grupos utilizado en las versiones 4.x.
El modelo de políticas basado en reglas ACS 5.x proporciona un control de acceso más potente y flexible en comparación con el enfoque basado en grupos más antiguo.
En el modelo anterior basado en grupos, un grupo define la política porque contiene y une tres tipos de información:
Información de identidad - Esta información puede basarse en la pertenencia a grupos AD o LDAP o en una asignación estática para usuarios internos de ACS.
Otras restricciones o condiciones: restricciones de tiempo, restricciones de dispositivos, etc.
Permisos: niveles de privilegio de VLAN o Cisco IOS®.
El modelo de política ACS 5.x se basa en las reglas del formulario:
Si la condición es resultado
Por ejemplo, utilizamos la información descrita para el modelo basado en grupos:
Si la condición de identidad, la condición de restricción y el perfil de autorización.
Como resultado, esto nos da la flexibilidad de limitar en qué condiciones se permite al usuario acceder a la red, así como qué nivel de autorización se permite cuando se cumplen condiciones específicas.
En esta sección, configuramos el cliente AAA para el WLC en el servidor RADIUS.
Este procedimiento explica cómo agregar el WLC como un cliente AAA en el servidor RADIUS para que el WLC pueda pasar las credenciales del usuario al servidor RADIUS.
Complete estos pasos:
Desde la GUI de ACS, vaya a Recursos de Red > Grupos de Dispositivos de Red > Ubicación y haga clic en Crear (en la parte inferior ).
Agregue los campos obligatorios y haga clic en Enviar.
Ahora verá esta pantalla:
Haga clic en Tipo de dispositivo > Crear.
Haga clic en Submit (Enviar). Ahora verá esta pantalla:
Vaya a Recursos de Red > Dispositivos de Red y Clientes AAA.
Haga clic en Crear y rellene los detalles como se muestra aquí:
Haga clic en Submit (Enviar). Ahora verá esta pantalla:
En esta sección, crearemos usuarios locales en ACS. Ambos usuarios (user1 y user2) se asignan en el grupo denominado "Usuarios inalámbricos".
Vaya a Usuarios y Almacenes de Identidad > Grupos de Identidad > Crear.
Una vez que haga clic en Enviar, la página tendrá el siguiente aspecto:
Cree usuarios user1 y user2, y asígnelos al grupo "Usuarios inalámbricos".
Haga clic en Usuarios y Almacenes de Identidad > Grupos de Identidad > Usuarios > Crear.
Del mismo modo, cree user2.
La pantalla tendrá el siguiente aspecto:
Verifique que Permit Access esté configurado.
En esta sección, seleccionaremos qué métodos de autenticación se utilizarán y cómo se configurarán las reglas. Crearemos reglas basadas en los pasos anteriores.
Complete estos pasos:
Vaya a Políticas de Acceso > Servicios de Acceso > Acceso a Red Predeterminado > Editar: "Acceso de red predeterminado".
Seleccione el método EAP que desea que autentiquen los clientes inalámbricos. En este ejemplo, utilizamos PEAP-MSCHAPv2 y EAP-FAST.
Haga clic en Submit (Enviar).
Verifique el grupo de identidad que ha seleccionado. En este ejemplo, utilizamos Usuarios Internos, que creamos en ACS. Guarde los cambios.
Para verificar el perfil de autorización, vaya a Políticas de acceso > Servicios de acceso > Acceso de red predeterminado > Autorización.
Puede personalizar en qué condiciones permitirá el acceso del usuario a la red y qué perfil de autorización (atributos) pasará una vez autenticado. Esta granularidad sólo está disponible en ACS 5.x. En este ejemplo, seleccionamos Location, Device Type, Protocol, Identity Group y EAP Authentication Method.
Haga clic en Aceptar y Guardar cambios.
El siguiente paso es crear una regla. Si no se define ninguna regla, se permite el acceso al cliente sin ninguna condición.
Haga clic en Crear > Regla-1. Esta regla se aplica a los usuarios del grupo "Usuarios inalámbricos".
Guarde los cambios. La pantalla tendrá el siguiente aspecto:
Si desea que los usuarios que no coincidan con las condiciones se nieguen, edite la regla predeterminada para decir "denegar acceso".
Ahora definiremos las Reglas de selección de servicio. Utilice esta página para configurar una política simple o basada en reglas para determinar qué servicio aplicar a las solicitudes entrantes. En este ejemplo, se utiliza una política basada en reglas.
La configuración requiere estos pasos:
Es necesario configurar el WLC para que se pueda comunicar con el servidor RADIUS para autenticar a los clientes, y también para cualquier otra transacción.
Complete estos pasos:
Desde la GUI del controlador, haga clic en Seguridad.
Introduzca la dirección IP del servidor RADIUS y la clave secreta compartida utilizada entre el servidor RADIUS y el WLC.
Esta clave secreta compartida debe ser la misma que la configurada en el servidor RADIUS.
Este procedimiento describe cómo configurar las interfaces dinámicas en el WLC.
Complete estos pasos:
La interfaz dinámica se configura desde la GUI del controlador, en la ventana Controller > Interfaces.
Haga clic en Apply (Aplicar).
Esto lo lleva a la ventana de edición de esta interfaz dinámica (VLAN 253 aquí).
Introduzca la dirección IP y la puerta de enlace predeterminada de esta interfaz dinámica.
Haga clic en Apply (Aplicar).
Las interfaces configuradas tendrán el siguiente aspecto:
Este procedimiento explica cómo configurar las WLAN en el WLC.
Complete estos pasos:
Desde la GUI del controlador, vaya a WLANs > Create New para crear una nueva WLAN. Se muestra la ventana Nuevas WLAN.
Introduzca la información de WLAN ID y WLAN SSID.
Puede introducir cualquier nombre como el WLAN SSID. Este ejemplo utiliza goa como el SSID WLAN.
Haga clic en Aplicar para ir a la ventana Editar del objetivo WLAN.
En nuestro cliente de prueba, utilizamos suplicante nativo de Windows 7 con una tarjeta Intel 6300-N que ejecuta la versión de controlador 14.3. Se recomienda probar utilizando los controladores más recientes de los proveedores.
Complete estos pasos para crear un perfil en Windows Zero Config (WZC):
Vaya a Panel de control > Red e Internet > Administrar redes inalámbricas.
Haga clic en la pestaña Agregar.
Haga clic en Crear manualmente un perfil de red.
Añada los detalles tal como se configuraron en el WLC.
Nota: El SSID distingue entre mayúsculas y minúsculas.
Haga clic en Next (Siguiente).
Haga clic en Cambiar configuración de conexión para verificar dos veces la configuración.
Asegúrese de tener PEAP habilitado.
En este ejemplo, no estamos validando el certificado del servidor. Si marca esta casilla y no puede conectarse, intente desactivar la función y vuelva a realizar la prueba.
También puede utilizar sus credenciales de Windows para iniciar sesión. Sin embargo, en este ejemplo no vamos a usar eso. Click OK.
Haga clic en Advanced settings para configurar Username y Password.
La utilidad Cliente ya está lista para conectarse.
En nuestro cliente de prueba, utilizamos suplicante nativo de Windows 7 con una tarjeta Intel 6300-N que ejecuta la versión de controlador 14.3. Se recomienda probar utilizando los controladores más recientes de los proveedores.
Complete estos pasos para crear un perfil en WZC:
Vaya a Panel de control > Red e Internet > Administrar redes inalámbricas.
Haga clic en la pestaña Agregar.
Haga clic en Crear manualmente un perfil de red.
Añada los detalles tal como se configuraron en el WLC.
Nota: El SSID distingue entre mayúsculas y minúsculas.
Haga clic en Next (Siguiente).
Haga clic en Cambiar configuración de conexión para verificar dos veces la configuración.
Asegúrese de que EAP-FAST está habilitado.
Nota: De forma predeterminada, WZC no tiene EAP-FAST como método de autenticación. Debe descargar la utilidad de un proveedor externo. En este ejemplo, como se trata de una tarjeta Intel, tenemos Intel PROSet instalado en el sistema.
Habilite Permitir aprovisionamiento PAC automático y asegúrese de que Validar certificado de servidor no esté activado.
Haga clic en la ficha Credenciales de usuario e ingrese las credenciales del usuario2. También puede utilizar sus credenciales de Windows para iniciar sesión. Sin embargo, en este ejemplo no vamos a usar eso.
Click OK.
La utilidad Cliente ya está lista para conectarse para el usuario 2.
Nota: Cuando el usuario 2 intenta autenticarse, el servidor RADIUS enviará una PAC. Acepte el PAC para completar la autenticación.
Utilize esta sección para confirmar que su configuración funcione correctamente.
La herramienta Output Interpreter Tool (clientes registrados solamente) (OIT) soporta ciertos comandos show. Utilice la OIT para ver un análisis del resultado del comando show.
Desde la GUI del WLC, vaya a Monitor > Clients, y seleccione la dirección MAC.
Estadísticas RADIUS del WLC:
(Cisco Controller) >show radius auth statistics Authentication Servers: Server Index..................................... 1 Server Address................................... 192.168.150.24 Msg Round Trip Time.............................. 1 (msec) First Requests................................... 8 Retry Requests................................... 0 Accept Responses................................. 1 Reject Responses................................. 0 Challenge Responses.............................. 7 Malformed Msgs................................... 0 Bad Authenticator Msgs........................... 0 Pending Requests................................. 0 Timeout Requests................................. 0 Unknowntype Msgs................................. 0 Other Drops...................................... 0
Registros ACS:
Complete estos pasos para ver los recuentos de aciertos:
Si verifica los registros dentro de los 15 minutos de la autenticación, asegúrese de actualizar el recuento de aciertos.
Tiene una pestaña para Hit Count en la parte inferior de la misma página.
Haga clic en Supervisión e informes y aparecerá una ventana emergente Nueva. Vaya a Authentications -Radius -Today. También puede hacer clic en Detalles para verificar qué regla de selección de servicio se aplicó.
Desde la GUI del WLC, vaya a Monitor > Clients, y seleccione la dirección MAC.
Registros ACS:
Complete estos pasos para ver los recuentos de aciertos:
Si verifica los registros dentro de los 15 minutos de la autenticación, asegúrese de actualizar el recuento de HIT.
Tiene una pestaña para Hit Count en la parte inferior de la misma página.
Haga clic en Supervisión e informes y aparecerá una ventana emergente Nueva. Vaya a Authentications -Radius -Today. También puede hacer clic en Detalles para verificar qué regla de selección de servicio se aplicó.
En esta sección encontrará información que puede utilizar para solucionar problemas de configuración.
La herramienta Output Interpreter Tool (clientes registrados solamente) (OIT) soporta ciertos comandos show. Utilice la OIT para ver un análisis del resultado del comando show.
Nota: Consulte Información Importante sobre Comandos Debug antes de utilizar los comandos debug.
Si experimenta algún problema, ejecute estos comandos en el WLC:
debug client <mac add of the client>
debug aaa all enable
show client detail <mac addr> - Verifique el estado del administrador de políticas.
show radius auth statistics - Verifique la razón de la falla.
debug disable-all - Desactive las depuraciones.
clear stats radius auth all - Clear radius statistics en el WLC.
Verifique los registros en el ACS y observe la razón de la falla.
Revisión | Fecha de publicación | Comentarios |
---|---|---|
1.0 |
21-Aug-2012 |
Versión inicial |