Aumente el tiempo de espera de autenticación Web en el controlador de LAN inalámbrica

Introducción

Este documento proporciona los pasos necesarios para que el identificador de conjunto de servicios (SSID) de autenticación Web permita el acceso de un usuario VPN sin autenticación completa y sin desconexión cada pocos minutos. Para lograr esto, un usuario debe aumentar el tiempo de espera de autenticación Web (Web-auth) en el controlador de LAN inalámbrica (WLC).

Prerequisites

Requirements

Cisco recomienda que sepa cómo configurar el WLC para el funcionamiento básico y la autenticación web.

Componentes Utilizados

La información en este documento se basa en un WLC de la serie Cisco 5500 que ejecuta la versión de firmware 8.0.100.0.

Nota La explicación de configuración y autenticación web en este documento es aplicable a todos los modelos de WLC y cualquier imagen de Cisco Unified Wireless Network versión 8.0.100.0 y posteriores.

Antecedentes

En muchas configuraciones de red de clientes, hay configuraciones que permiten a un grupo de usuarios de la empresa o invitados el acceso VPN a ciertas direcciones IP sin el requisito de pasar seguridad de autenticación web. Estos usuarios reciben una dirección IP y se conectan directamente a la VPN sin necesidad de ninguna credencial para autenticarse a través de la seguridad de autenticación Web. Este SSID puede estar en uso por otro conjunto de usuarios que también pasan por una autenticación web normal y completa para obtener acceso a Internet. Este escenario es posible a través de una ACL de autenticación previa configurada en el SSID que permite conexiones de usuario a direcciones IP VPN antes de que pasen la autenticación. El problema para estos usuarios de VPN es que eligen la dirección IP pero nunca terminan la autenticación Web completa. Por lo tanto, se activa el temporizador de tiempo de espera de Web-auth y se desautentica el cliente:

*apfReceiveTask: Sep 03 12:01:55.694: 00:24:d7:cd:ac:30 172.30.0.118 WEBAUTH_REQD (8)
 Web-Auth Policy timeout

*apfReceiveTask: Sep 03 12:01:55.694: 00:24:d7:cd:ac:30 172.30.0.118 WEBAUTH_REQD (8)
 Pem timed out, Try to delete client in 10 secs.

El valor de este tiempo de espera es de 5 minutos y tiene un valor fijo en las versiones del WLC anteriores a 7.6. Esta breve duración del tiempo de espera hace que la red inalámbrica sea prácticamente inutilizable para este tipo de usuarios. La capacidad de cambiar este valor se agrega en la versión 8.0 del WLC, que permite a los usuarios acceder a la VPN a través del tráfico permitido por ACL previo a la autenticación.

Configurar

Nota: Use la Command Lookup Tool (clientes registrados solamente) para obtener más información sobre los comandos usados en esta sección.

Complete estos pasos para aumentar el tiempo de espera de Web-auth en el WLC:

1. Cree una ACL que permita el tráfico a la dirección IP de VPN.

   

2. Aplique la ACL como ACL de autenticación previa en la configuración de LAN inalámbrica (WLAN) en Seguridad de capa 3.

   

3. Inicie sesión a través de la CLI e ingrese el comando config wlan security web-auth timeout para aumentar el valor de tiempo de espera de la autenticación web:

   (WLC)>config wlan security web-auth timeout ?
   <value> Configures Web authentication Timeout (300-14400 seconds).
   
   (WLC)>config wlan security web-auth timeout 3600 
          
          

Verificación

Use esta sección para confirmar que su configuración funciona correctamente.

El valor de tiempo de espera de sesión Web-auth para su WLAN aparece como muestra este ejemplo de resultado:

(WLC)>show wlan 10
Web Based Authentication...................... Enabled
 Web Authentication Timeout.................... 3600

Troubleshoot

En esta sección encontrará información que puede utilizar para solucionar problemas de configuración.

Ingrese el comando debug client <mac-address> para ver el inicio del temporizador Web-auth para el usuario que se conecta a la VPN sin autenticación.