Proteja un puerto de switch Flexconnect AP con Dot1x

Introducción

Este documento describe la configuración para proteger los puertos de switch donde los puntos de acceso (AP) FlexConnect se autentican con Dot1x.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

• FlexConnect en controlador de LAN inalámbrica (WLC)
• 802.1x en switches Cisco
• Topología de autenticación de extremo de la red (NEAT)

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

• WS-C3560CX-8PC-S, 15.2(4)E1

• AIR-CT-2504-K9, 8.2.141.0
• Identity Service Engine (ISE) 2.0
• Puntos de acceso basados en IOS (series x500, x600 y x700).

Los AP de Wave 2 basados en AP OS no soportan flexconnect trunk dot1x en el momento de escribir este artículo.

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Configurar

Diagrama de la red

En esta configuración, el punto de acceso actúa como suplicante de 802.1x y el switch lo autentica frente a ISE mediante EAP-FAST. Una vez configurado el puerto para la autenticación 802.1x, el switch no permite que ningún tráfico que no sea tráfico 802.1x pase a través del puerto hasta que el dispositivo conectado al puerto se autentique correctamente.

Una vez que el punto de acceso se autentica correctamente en ISE, el switch recibe el atributo de Cisco VSA "device-traffic-class=switch" y mueve automáticamente el puerto al enlace troncal.

Esto significa que, si el AP soporta el modo FlexConnect y ha conmutado localmente los SSIDs configurados, puede enviar el tráfico etiquetado. Asegúrese de que el soporte de vlan esté habilitado en el AP y de que esté configurada la vlan nativa correcta. 

Configuración de AP:

1. Si el AP ya está unido al WLC, vaya a la ficha Wireless (Inalámbrico) y haga clic en el punto de acceso. Vaya al campo Credenciales y en el encabezado Credenciales del Suplicante 802.1x, marque la casilla Anular credenciales globales para establecer el nombre de usuario y la contraseña 802.1x para este punto de acceso. 

También puede establecer un nombre de usuario y una contraseña de comando para todos los puntos de acceso que se unen al WLC con el menú Global Configuration.

2. Si el punto de acceso aún no se ha unido a un WLC, debe consolar en el LAP para establecer las credenciales y utilizar este comando CLI:

LAP#debug capwap console cli
LAP#capwap ap dot1x username <username> password <password> 

Configuración del switch

1. Habilite dot1x en el switch globalmente y agregue el servidor ISE al switch

aaa new-model

!
aaa authentication dot1x default group radius

!
aaa authorization network default group radius

!

dot1x system-auth-control

!

ISE del servidor RADIUS
address ipv4 10.48.39.161 auth-port 1645 acct-port 1646
  key 7 123A0C0411045D5679

2. Ahora configure el puerto del switch AP

interface GigabitEthernet0/4
switchport access vlan 231
switchport trunk allowed vlan 231,232
switchport mode access
authentication host-mode multi-host
pedido de autenticación dot1x
authentication port-control auto
dot1x page authenticator
spanning-tree portfast edge

Configuración de ISE:

1. En ISE, simplemente se puede habilitar NEAT para el perfil de autorización de AP para establecer el atributo correcto; sin embargo, en otros servidores RADIUS, se puede configurar manualmente.

2. En ISE, también es necesario configurar la política de autenticación y la política de autorización. En este caso, llegamos a la regla de autenticación predeterminada que es dot1x con cable, pero se puede personalizar según el requisito. 

En cuanto a la política de autorización (Port_AuthZ), en este caso agregamos las credenciales de AP a un grupo de usuarios (APs) y enviamos el perfil de autorización (AP_Flex_Trunk) basado en esto. 

Verificación

Use esta sección para confirmar que su configuración funciona correctamente.

1. En el switch, una vez puede utilizar el comando "debug authentication feature autocfg all" para verificar si el puerto se está moviendo al puerto trunk o no. 

20 de febrero 12:34:18.19: %LINK-3-UPDOWN: Interfaz GigabitEthernet0/4, estado cambiado a activo
20 de febrero 12:34:19.12: %LINEPROTO-5-UPDOWN: Protocolo de línea en la interfaz GigabitEthernet0/4, estado cambiado a activo
akshat_sw#
akshat_sw#
20 de febrero 12:38:11.13: AUTH-FEAT-AUTOCFG-EVENT: En dot1x AutoCfg start_fn, epm_handle: 3372220456
20 de febrero 12:38:11.13: AUTH-FEAT-AUTOCFG-EVENT: [588d.0997.061d, Gi0/4] Tipo de dispositivo = Switch
20 de febrero 12:38:11.13: AUTH-FEAT-AUTOCFG-EVENT: [588d.0997.061d, Gi0/4] nuevo cliente
20 de febrero 12:38:11.13: AUTH-FEAT-AUTOCFG-EVENT: [Gi0/4] Estado Interno De La Aplicación De Macro Autocfg : 1
20 de febrero 12:38:11.13: AUTH-FEAT-AUTOCFG-EVENT: [Gi0/4] Tipo de dispositivo: 2
20 de febrero 12:38:11.13: AUTH-FEAT-AUTOCFG-EVENT: [Gi0/4] Configuración automática: stp tiene port_config 0x85777D8
20 de febrero 12:38:11.13: AUTH-FEAT-AUTOCFG-EVENT: [Gi0/4] Configuración automática: stp port_config tiene bpdu guard_config 2
20 de febrero 12:38:11.16: AUTH-FEAT-AUTOCFG-EVENT: [Gi0/4] Aplicando auto-cfg en el puerto.
20 de febrero 12:38:11.16: AUTH-FEAT-AUTOCFG-EVENT: [Gi0/4] Vlan: 231 Vlan-Str: 231
20 de febrero 12:38:11.16: AUTH-FEAT-AUTOCFG-EVENT: [Gi0/4] Aplicando la macro dot1x_autocfg_supp
20 de febrero 12:38:11.16: Aplicando el comando... 'no switchport access vlan 231' en Gi0/4
20 de febrero 12:38:11.127: Aplicando el comando... 'no switchport nonegotiate' en Gi0/4
20 de febrero 12:38:11.127: Aplicando comando... 'switchport mode trunk' en Gi0/4
20 de febrero 12:38:11.134: Aplicando el comando... 'switchport trunk native vlan 231' en Gi0/4
20 de febrero 12:38:11.134: Aplicando el comando... 'spanning-tree portfast trunk' en Gi0/4
20 de febrero 12:38:12.120: %LINEPROTO-5-UPDOWN: Protocolo de línea en la interfaz GigabitEthernet0/4, estado cambiado a inactivo
20 de febrero 12:38:15.139: %LINEPROTO-5-UPDOWN: Protocolo de línea en la interfaz GigabitEthernet0/4, estado cambiado a activo

2. El resultado de "show run int g0/4" muestra que el puerto ha cambiado a un puerto trunk.

Configuración actual 295 bytes
!
interface GigabitEthernet0/4
switchport trunk allowed vlan 231, 232, 239
switchport trunk native vlan 231
switchport mode trunk
authentication host-mode multi-host
pedido de autenticación dot1x
authentication port-control auto
dot1x page authenticator
spanning-tree portfast edge trunk
Finalizar

3. En ISE, en Operations>>Radius Livelogs, se puede ver que la autenticación se ha realizado correctamente y que se ha enviado el perfil de autorización correcto. 

4. Si conectamos un cliente después de esto, su dirección mac se aprende en el puerto del switch AP en el cliente vlan 232. 

akshat_sw#sh mac address-table int g0/4
Tabla de dirección MAC
-------------------------------------------

Puertos De Tipo De Dirección Vlan Mac
---- ----------- -------- -----
231 588d.0997.061d STATIC Gi0/4 - AP 
232 c0ee.fbd7.8824 DYNAMIC Gi0/4 - Cliente 

En el WLC, en el detalle del cliente se puede ver que este cliente pertenece a vlan 232 y el SSID se conmuta localmente. Aquí hay un fragmento.

(Cisco Controller) >show client detail c0:ee:fb:d7:88:24
Dirección MAC del cliente............................... c0:ee:fb:d7:88:24
Nombre de usuario del cliente................................. N/A
Dirección MAC del PA.................................b4:14:89:82:cb:90
Nombre de AP.......................................... Aks_desk_3502
ID de ranura de radio AP.................................1
Estado del cliente..................................... Asociado
Grupo de usuarios cliente................................
Estado OOB de NAC del cliente............................. Acceso
ID de LAN inalámbrica..................................2
Nombre de la red LAN inalámbrica (SSID)................. Port-Auth
Nombre del perfil de LAN inalámbrica........................ Port-auth
Zona Wi-Fi (802.11u)................................ Not Supported
BSSID..........................................b4:14:89:82:cb:9f
Conectado para................................... 42 segundos
Canal..........................................44
IP Address....................................... 192.168.232.90
Dirección de gateway.................................. 192.168.232.1
Máscara de red.......................................... 255.255.255.0
Id De Asociación....................................1
Algoritmo de autenticación......................... Sistema abierto
Código de motivo.......................................1
Código de estado...................................... 0

Switching de datos FlexConnect....................... Local
Estado de Dhcp de FlexConnect.......................... Local
Switching central basado en FlexConnect Vlan......... No
Autenticación de FlexConnect....................... Central
Asociación central de FlexConnect.................. No
NOMBRE DE VLAN de FlexConnect............................vlan 232
VLAN de cuarentena..................................0
Acceder a VLAN...................................... 232
VLAN de puente local..............................232

Troubleshoot

En esta sección encontrará información que puede utilizar para solucionar problemas de configuración.

• Si la autenticación falla, utilice los comandos debug dot1x, debug authentication.
• Si el puerto no se mueve al trunk, ingrese el comando debug authentication feature autocfg all.
• Asegúrese de que tiene configurado el modo de host múltiple (autenticación de host-modo de host múltiple). Multi-Host debe estar habilitado para permitir las direcciones MAC inalámbricas del cliente.
• El comando "aaa authorization network" debe configurarse para que el switch acepte y aplique los atributos enviados por ISE. 

Los puntos de acceso basados en Cisco IOS sólo admiten TLS 1.0. Esto puede causar un problema si su servidor RADIUS está configurado para permitir solamente las autenticaciones de TLS 1.2 802.1X

Referencias

Configuración del suplicante dot1x con AP y un WLC 9800