Contenu

Introduction

Conditions requises

Components Used

Informations générales

Affectation de VLAN dynamique avec le serveur RADIUS

Configuration

Diagramme du réseau

Configuration Steps

Configuration de Cisco ISE

Étape 1. Configurer le WLC Catalyst en tant que client AAA sur le serveur Cisco ISE

Étape 2. Configurer les utilisateurs internes sur Cisco ISE

Étape 3. Configurez les attributs RADIUS (IETF) utilisés pour l'attribution dynamique de VLAN

Configurer la commutation pour plusieurs VLAN

Configuration du WLC du Catalyst 9800

Étape 1. Configurer le WLC avec les détails du serveur d'authentification

Étape 2. Configurer les VLAN

Étape 3. Configurer les WLAN (SSID)

Étape 4. Configurer le profil de stratégie

Étape 5. Configurer la balise de stratégie

Étape 6. Attribuer le Balise de stratégie à un point d'accès

Vérification

Dépannage

Informations connexes

Introduction

Ce document décrit le concept d'affectation de VLAN dynamique et comment configurer le contrôleur de réseau local sans fil (WLC) Catalyst 9800 et Cisco Identity Service Engine (ISE) pour attribuer un LAN sans fil (WLAN) afin d'accomplir ceci pour les clients sans fil.

Conditions requises

Cisco vous recommande de prendre connaissance des rubriques suivantes :

- Avoir une connaissance de base du WLC et des points d'accès légers (LAP).

- Connaître le serveur AAA, par exemple ISE.

- posséder une connaissance approfondie des réseaux sans fil et des problèmes de sécurité sans fil ;

- Avoir des connaissances fonctionnelles sur l’affectation dynamique de VLAN.

- Connaître de base le contrôle et la mise en service du point d'accès sans fil (CAPWAP).

Components Used

Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

- WLC Cisco Catalyst 9800 (Catalyst 9800-CL) qui exécute la version 16.12.4a du micrologiciel.

- LAP de la gamme Cisco 2800 en mode local.

- Complicant Windows 10 natif.

- Cisco Identity Service Engine (ISE) qui exécute la version 2.7.

- Commutateur de la gamme Cisco 3850 qui exécute la version 16.9.6 du micrologiciel.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

Informations générales

Affectation de VLAN dynamique avec le serveur RADIUS

Dans la plupart des systèmes de réseau local sans fil (WLAN), chaque WLAN a une politique statique qui s'applique à tous les clients associés à un SSID (Service Set Identifier). Bien que puissante, cette méthode présente des limites car elle exige que les clients s'associent à différents SSID pour hériter de politiques de sécurité et de qualité de service différentes.

Cependant, la solution WLAN de Cisco prend en charge la mise en réseau d'identités. Cela permet au réseau d'annoncer un SSID unique et permet à des utilisateurs spécifiques d'hériter de politiques de sécurité ou de qualité de service différentes en fonction des informations d'identification de l'utilisateur.

L'affectation de VLAN dynamique est une fonction qui place un utilisateur sans fil dans un VLAN spécifique en fonction des informations fournies par l'utilisateur. La tâche d'affectation d'utilisateurs à un VLAN spécifique est gérée par un serveur d'authentification RADIUS, tel que Cisco ISE. Elle peut être utilisée, par exemple, pour permettre à l'hôte sans fil de rester sur le même VLAN alors qu'il se déplace au sein d'un réseau de campus.

Par conséquent, lorsqu'un client tente de s'associer à un LAP enregistré auprès d'un contrôleur, le WLC transmet les informations d'identification de l'utilisateur au serveur RADIUS pour validation. Une fois que l'authentification est réussie, le serveur RADIUS passe certains attributs de l'Internet Engineering Task Force (IETF) à l'utilisateur. Ces attributs RADIUS déterminent l'ID de VLAN qui doit être attribué au client sans fil. Le SSID du client n'a pas d'importance car l'utilisateur est toujours affecté à cet ID de VLAN prédéterminé.

Les attributs d'utilisateur RADIUS utilisés pour l'affectation de l'ID de VLAN sont :

- IETF 64 (Tunnel Type) — Définissez cette valeur sur VLAN.

- IETF 65 ( (Tunnel Medium Type) — Définissez cette valeur sur 802.

- IETF 81 (Tunnel Private Group ID) — Définissez cette valeur sur l'ID du VLAN

L'ID de VLAN est de 12 bits et prend une valeur comprise entre 1 et 4 094, inclus. Puisque Tunnel-Private-Group-ID est de type chaîne, comme défini dans RFC2868 pour une utilisation avec IEEE 802.1X, la valeur entière de l'ID de VLAN est codée en tant que chaîne. Lorsque ces attributs de tunnel sont envoyés, il est nécessaire de les entrer dans le champ Balise.

Configuration

Cette section vous fournit des informations pour configurer les fonctionnalités décrites dans ce document.

Diagramme du réseau

Ce document utilise la configuration réseau suivante :

Voici les détails de configuration des composants utilisés dans ce diagramme :

- L'adresse IP du serveur Cisco ISE (RADIUS) est 10.10.1.24.

- L'adresse de l'interface de gestion du WLC est 10.10.1.17.

- Le serveur DHCP interne sur le contrôleur est utilisé pour affecter l'adresse IP aux clients sans fil.

- Ce document utilise 802.1x avec PEAP comme mécanisme de sécurité.

- VLAN102 est utilisé dans toute cette configuration. Le nom d'utilisateur jonathga-102 est configuré pour être placé dans le VLAN102 par le serveur RADIUS.

Configuration Steps

Cette configuration est divisée en trois catégories :

- Configuration de Cisco ISE.

- Configurez le commutateur pour plusieurs VLAN.

- Configuration du WLC du Catalyst 9800.

Configuration de Cisco ISE

Cette configuration requiert les étapes suivantes :

- Configurez le WLC Catalyst en tant que client AAA sur le serveur Cisco ISE.

- Configurez les utilisateurs internes sur Cisco ISE.

- Configurez les attributs RADIUS (IETF) utilisés pour l'attribution dynamique de VLAN sur Cisco ISE.

Étape 1. Configurer le WLC Catalyst en tant que client AAA sur le serveur Cisco ISE

Cette procédure explique comment ajouter le WLC en tant que client AAA sur le serveur ISE afin que le WLC puisse transmettre les informations d'identification de l'utilisateur à ISE.

Procédez comme suit :

1. À partir de l'interface utilisateur graphique ISE, accédez à Administration > Network Resources > Network Deviceset sélectionnez Add.

2. Complétez la configuration avec l'adresse IP de gestion du WLC et le secret partagé RADIUS entre le WLC et ISE, comme indiqué sur l'image :

Étape 2. Configurer les utilisateurs internes sur Cisco ISE

Cette procédure explique comment ajouter les utilisateurs dans la base de données utilisateur interne de Cisco ISE.

Procédez comme suit :

1. À partir de l'interface utilisateur graphique ISE, accédez à Administration > Identity Management > Identities et sélectionnez Add.

2. Complétez la configuration avec le nom d'utilisateur, le mot de passe et le groupe d'utilisateurs, comme illustré dans l'image :

Étape 3. Configurez les attributs RADIUS (IETF) utilisés pour l'attribution dynamique de VLAN

Cette procédure explique comment créer un profil d'autorisation et une stratégie d'authentification pour les utilisateurs sans fil.

Procédez comme suit :

1. À partir de l'interface utilisateur graphique ISE, accédez à Policy > Policy Elements > Results > Authorization > Authorization profiles et sélectionnez Add pour créer un nouveau profil.

2. Complétez la configuration du profil d'autorisation avec les informations VLAN pour le groupe respectif. Cette image montre jonathga-VLAN-102 paramètres de configuration du groupe.

Une fois les profils d'autorisation configurés, une stratégie d'authentification pour les utilisateurs sans fil doit être créée. Vous pouvez utiliser une nouvelle Custom ou modifiez le Default Jeu de stratégies. Dans cet exemple, un profil personnalisé est créé.

3. Accéder à Policy > Policy Sets et sélectionnez Add pour créer une nouvelle stratégie comme l'illustre l'image :

Vous devez maintenant créer des stratégies d'autorisation pour les utilisateurs afin d'attribuer un profil d'autorisation respectif basé sur l'appartenance au groupe.

5. Ouvrez le Authorization policy et créez des stratégies pour accomplir cette condition, comme l'illustre l'image :

Configurer la commutation pour plusieurs VLAN

Pour autoriser plusieurs VLAN via le commutateur, vous devez émettre ces commandes pour configurer le port de commutateur connecté au contrôleur :

Switch(config-if)#switchport mode trunk

Switch(config-if)#switchport trunk encapsulation dot1q

Note: Par défaut, la plupart des commutateurs autorisent tous les VLAN créés sur ce commutateur à travers le port de jonction. Si un réseau câblé est connecté au commutateur, alors cette même configuration peut être appliquée au port de commutation qui se connecte au réseau câblé. Cela active la communication entre les mêmes VLAN dans le réseau câble et sans fil.

Configuration du WLC du Catalyst 9800

Cette configuration requiert les étapes suivantes :

- Configurez le WLC avec les détails du serveur d'authentification.

- Configurez les VLAN.

- Configurez les WLAN (SSID).

- Configurez le profil de stratégie.

- Configurez la balise Policy.

- Attribuez la balise Policy à un point d'accès.

Étape 1. Configurer le WLC avec les détails du serveur d'authentification

Il est nécessaire de configurer le WLC afin qu'il puisse communiquer avec le serveur RADIUS pour authentifier les clients.

Procédez comme suit :

1. À partir de l'interface graphique du contrôleur, accédez à Configuration > Security > AAA > Servers / Groups > RADIUS > Servers > + Add et saisissez les informations du serveur RADIUS comme indiqué dans l'image :

2. Pour ajouter le serveur RADIUS à un groupe RADIUS, accédez à Configuration > Security > AAA > Servers / Groups > RADIUS > Server Groups > + Add comme le montre l'image :

3. Pour créer une liste de méthodes d'authentification, accédez à Configuration > Security > AAA > AAA Method List > Authentication > + Add comme le montrent les images :

Étape 2. Configurer les VLAN

Cette procédure explique comment configurer des VLAN sur le WLC Catalyst 9800. Comme expliqué plus tôt dans ce document, l'ID de VLAN spécifié sous l'attribut Tunnel-Private-Group ID du serveur RADIUS doit également exister dans le WLC.

Dans l'exemple, l'utilisateur jonathga-102 est spécifié avec le Tunnel-Private-Group ID of 102 (VLAN =102) sur le serveur RADIUS.

1. Accéder à Configuration > Layer2 > VLAN > VLAN > + Add comme le montre l'image :

2. Saisissez les informations nécessaires comme indiqué sur l'image :

Note: Si vous ne spécifiez pas de nom, le VLAN reçoit automatiquement le nom VLANXXXX, où XXXX est l'ID VLAN.

Répétez les étapes 1 et 2 pour tous les VLAN nécessaires, une fois terminé, vous pouvez passer à l’étape 3.

3. Vérifiez que les VLAN sont autorisés dans vos interfaces de données.

- Si vous utilisez un canal de port, accédez à Configuration > Interface > Logical > PortChannel name > General. Si vous le voyez configuré comme Allowed VLAN = All la configuration est terminée. Si vous voyez Allowed VLAN = VLANs IDs, ajoutez les VLAN nécessaires et, après cela, sélectionnez Update & Apply to Device.

- Si aucun canal de port n'est utilisé, accédez à Configuration > Interface > Ethernet > Interface Name > General. Si vous le voyez configuré comme Allowed VLAN = All la configuration est terminée. Si vous voyez Allowed VLAN = VLANs IDs, ajoutez les VLAN nécessaires et, après cela, sélectionnez Update & Apply to Device.

Ces images montrent la configuration associée à la configuration de l'interface si vous utilisez Tous ou des ID de VLAN spécifiques.

Étape 3. Configurer les WLAN (SSID)

Cette procédure explique comment configurer les WLAN dans le WLC.

Procédez comme suit :

1. Pour créer le WLAN. Accéder à Configuration > Wireless > WLANs > + Add et configurez le réseau en fonction des besoins, comme l'illustre l'image :

2. Entrez les informations WLAN comme indiqué sur l’image :

3. Accéder à Security et sélectionnez la méthode de sécurité requise. Dans ce cas, WPA2 + 802.1x, comme le montrent les images :

ExpéditeurSecurity > AAA , sélectionnez la méthode d'authentification créée à l'étape 3 dans Configure the WLC with the Details of the Authentication Server comme l'illustre l'image :

Étape 4. Configurer le profil de stratégie

Cette procédure explique comment configurer le profil de stratégie dans le WLC.

Procédez comme suit :

1. Accéder à Configuration > Tags & Profiles > Policy Profile et configurer votre default-policy-profile ou en créer une nouvelle, comme le montrent les images :

2. A partir des versions Access Policies Attribuez par défaut le VLAN auquel les clients sans fil sont affectés lorsqu'ils se connectent à ce WLAN, comme illustré dans l'image :

Note: Dans l'exemple fourni, il incombe au serveur RADIUS d'affecter un client sans fil à un VLAN spécifique lors d'une authentification réussie. Par conséquent, le VLAN configuré sur le profil de stratégie peut être un VLAN à trou noir, le serveur RADIUS remplace ce mappage et affecte l'utilisateur qui passe par ce WLAN au VLAN spécifié sous le champ Tunnel-Group-Private-ID du serveur RADIUS.

3. A partir des versions Advance , activez la Allow AAA Override pour remplacer la configuration du WLC lorsque le serveur RADIUS retourne les attributs nécessaires pour placer le client sur le VLAN approprié, comme l'illustre l'image :

Étape 5. Configurer la balise de stratégie

Cette procédure explique comment configurer la balise Policy dans le WLC.

Procédez comme suit :

1. Accéder à Configuration > Tags & Profiles > Tags > Policy et en ajouter un nouveau si nécessaire, comme l'illustre l'image :

2. Ajoutez un nom à la balise de stratégie et sélectionnez +Add, comme le montre l'image :

3. Liez votre profil WLAN au profil de stratégie souhaité, comme illustré dans les images :

Étape 6. Attribuer le Balise de stratégie à un point d'accès

Cette procédure explique comment configurer la balise Policy dans le WLC.

Procédez comme suit :

1. Accéder à Configuration > Wireless > Access Points > AP Name > General Tags et attribuez la balise de stratégie appropriée, puis sélectionnez Update & Apply to Device comme le montre l'image :

Attention : N'oubliez pas que lorsque la balise de stratégie sur un AP est modifiée, elle abandonne son association au WLC et se reconnecte.

Vérification

Référez-vous à cette section pour vous assurer du bon fonctionnement de votre configuration.

Testez la connexion avec Windows 10 et le demandeur natif, une fois que vous êtes invité à entrer un nom d'utilisateur et un mot de passe, entrez les informations de l'utilisateur mappé à un VLAN sur ISE.

Dans l'exemple précédent, notez que jonathga-102 est attribué au VLAN102 comme spécifié dans le serveur RADIUS. Cet exemple utilise ce nom d'utilisateur pour recevoir l'authentification et être attribué à un VLAN par le serveur RADIUS :

Une fois l'authentification terminée, vous devez vérifier que votre client est affecté au VLAN approprié conformément aux attributs RADIUS envoyés. Effectuez les étapes suivantes pour accomplir cette tâche :

1. À partir de l'interface graphique du contrôleur, accédez à Monitoring > Wireless > Clients > Select the client MAC address > General > Security Information et recherchez le champ VLAN comme illustré dans l'image :

Dans cette fenêtre, vous pouvez observer que ce client est affecté au VLAN102 conformément aux attributs RADIUS configurés sur le serveur RADIUS.

À partir de l'interface de ligne de commande, vous pouvez utiliser le show wireless client summary detail pour afficher les mêmes informations que dans l'image :

2. Il est possible d'activer Radioactive traces pour assurer le transfert réussi des attributs RADIUS vers le WLC. Pour ce faire, procédez comme suit :

1. À partir de l'interface graphique du contrôleur, accédez à Troubleshooting > Radioactive Trace > +Add.

2. Saisissez l'adresse MAC du client sans fil.

3. Sélectionner Start.

4. Connectez le client au WLAN.

5. Accéder à Stop > Generate > Choose 10 minutes > Apply to Device > Select the trace file to download the log.

Cette partie de la sortie de trace assure une transmission réussie des attributs RADIUS :

2021/03/21 22:22:45.236 {wncd_x_R0-0}{1}: [radius] [25253]: (info): RADIUS: Received from id 1812/60 10.10.1.24:0, Access-Accept, len 352

2021/03/21 22:22:45.236 {wncd_x_R0-0}{1}: [radius] [25253]: (info): RADIUS:  authenticator e5 5e 58 fa da 0a c7 55 - 53 55 7d 43 97 5a 8b 17

2021/03/21 22:22:45.236 {wncd_x_R0-0}{1}: [radius] [25253]: (info): RADIUS:  User-Name           [1]     13  "jonathga-102"

2021/03/21 22:22:45.236 {wncd_x_R0-0}{1}: [radius] [25253]: (info): RADIUS:  State               [24]    40  ...

2021/03/21 22:22:45.236 {wncd_x_R0-0}{1}: [radius] [25253]: (info): RADIUS:  Class               [25]    54  ...

2021/03/21 22:22:45.236 {wncd_x_R0-0}{1}: [radius] [25253]: (info): 01:

2021/03/21 22:22:45.236 {wncd_x_R0-0}{1}: [radius] [25253]: (info): RADIUS:  Tunnel-Type         [64]     6  VLAN                   [13]

2021/03/21 22:22:45.236 {wncd_x_R0-0}{1}: [radius] [25253]: (info): 01:

2021/03/21 22:22:45.236 {wncd_x_R0-0}{1}: [radius] [25253]: (info): RADIUS:  Tunnel-Medium-Type  [65]     6  ALL_802                [6]

2021/03/21 22:22:45.236 {wncd_x_R0-0}{1}: [radius] [25253]: (info): RADIUS:  EAP-Message         [79]     6  ...

2021/03/21 22:22:45.236 {wncd_x_R0-0}{1}: [radius] [25253]: (info): RADIUS:  Message-Authenticator[80]    18  ...

2021/03/21 22:22:45.236 {wncd_x_R0-0}{1}: [radius] [25253]: (info): 01:

2021/03/21 22:22:45.236 {wncd_x_R0-0}{1}: [radius] [25253]: (info): RADIUS:  Tunnel-Private-Group-Id[81]     6  "102"

2021/03/21 22:22:45.236 {wncd_x_R0-0}{1}: [radius] [25253]: (info): RADIUS:  EAP-Key-Name        [102]   67  *

2021/03/21 22:22:45.237 {wncd_x_R0-0}{1}: [radius] [25253]: (info): RADIUS:   MS-MPPE-Send-Key   [16]    52  *

2021/03/21 22:22:45.237 {wncd_x_R0-0}{1}: [radius] [25253]: (info): RADIUS:   MS-MPPE-Recv-Key   [17]    52  *

2021/03/21 22:22:45.238 {wncd_x_R0-0}{1}: [eap-auth] [25253]: (info): SUCCESS for EAP method name: PEAP on handle 0x0C000008

2021/03/21 22:22:46.700 {wncd_x_R0-0}{1}: [aaa-attr-inf] [25253]: (info): [ Applied attribute :            username   0 "jonathga-102" ]

2021/03/21 22:22:46.700 {wncd_x_R0-0}{1}: [aaa-attr-inf] [25253]: (info): [ Applied attribute :               class   0 43 41 43 53 3a 33 33 30 32 30 41 30 41 30 30 30 30 30 30 33 35 35 36 45 32 32 31 36 42 3a 49 53 45 2d 32 2f 33 39 33 33 36 36 38 37 32 2f 31 31 32 36 34 30  ]

2021/03/21 22:22:46.700 {wncd_x_R0-0}{1}: [aaa-attr-inf] [25253]: (info): [ Applied attribute :         tunnel-type   1 13 [vlan] ]

2021/03/21 22:22:46.700 {wncd_x_R0-0}{1}: [aaa-attr-inf] [25253]: (info): [ Applied attribute :  tunnel-medium-type   1 6 [ALL_802] ]

2021/03/21 22:22:46.700 {wncd_x_R0-0}{1}: [aaa-attr-inf] [25253]: (info): [ Applied attribute :tunnel-private-group-id   1 "102" ]

2021/03/21 22:22:46.700 {wncd_x_R0-0}{1}: [aaa-attr-inf] [25253]: (info): [ Applied attribute :             timeout   0 1800 (0x708) ]

2021/03/21 22:22:46.700 {wncd_x_R0-0}{1}: [auth-mgr-feat_wireless] [25253]: (info): [0000.0000.0000:unknown] AAA override is enabled under policy profile

Dépannage

Il n'existe actuellement aucune information de dépannage spécifique pour cette configuration.

Informations connexes

- Guide de l'utilisateur final