Avez-vous un compte?

  •   Contenu personnalisé
  •   Vos produits et votre soutien technique

Vous voulez un compte?

Créer un compte

Autorisation de Point d'accès dans un exemple de configuration réseau de réseau sans fil unifié Cisco

Options de téléchargement

  • PDF     (1.0 MB)
    Consulter à l'aide d'Adobe Reader sur un grand nombre d'appareils
  • ePub     (748.2 KB)
    Consulter à l’aide de différentes applications sur iPhone, iPad, Android ou Windows Phone
  • Mobi (Kindle)     (1.0 MB)
    Consulter sur un appareil Kindle ou à l’aide d’une application Kindle sur plusieurs appareils
Mis à jour:6 mars 2019
ID du document:98848
À propos des traductions

À propos de cette traduction

Cisco a traduit ce document en traduction automatisée vérifiée par une personne dans le cadre d’un service mondial permettant à nos utilisateurs d’obtenir le contenu d’assistance dans leur propre langue. Il convient cependant de noter que même la meilleure traduction automatisée ne sera pas aussi précise que celle fournie par un traducteur professionnel.

    Introduction

    La Sécurité est toujours un souci de nos jours et la vérification que seulement les Points d'accès légitimes (aps) se connectent à vos contrôleurs LAN Sans fil (WLCs) peut être nécessaire.

    Ce document explique comment configurer WLC pour autoriser les aps basés sur l'adresse MAC des aps.

    Conditions préalables

    Exigences

    Assurez-vous que vous répondez à ces exigences avant d'essayer cette configuration :

    • Connaissance de base de la façon configurer un Logiciel Cisco Identity Services Engine (ISE).

    • La connaissance de la configuration de Cisco aps et Cisco WLC.

    • La connaissance des solutions de sécurité de Cisco Unified Wireless.

    Composants utilisés

    Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

      • WLCs exécutant le logiciel d'AireOS 8.8.111.0.

      • Wave1 aps : 1700/2700/3700 et 3500 (1600/2600/3600 sont encore pris en charge mais des extrémités de supports d'AireOS sur la version 8.5.x).
      • Wave2 aps : 1800/2800/3800/4800, 1540 et 1560. 
      • Version 2.3.0.298 ISE.

    Les informations contenues dans ce document ont été créées à partir des périphériques d'un environnement de laboratoire spécifique. Tous les périphériques utilisés dans ce document ont démarré avec une configuration effacée (par défaut). Si votre réseau est opérationnel, assurez-vous que vous comprenez l'effet potentiel de toute commande.

    Conventions

    Pour plus d'informations sur les conventions utilisées dans ce document, reportez-vous à Conventions relatives aux conseils techniques Cisco.

    Autorisation du point d'accès léger (AP)

    Pendant la procédure d'enregistrement AP, les aps et le WLCs authentifient mutuellement utilisant les Certificats X.509.

    Les Certificats X.509 sont gravés dans l'éclair protégé sur le Point d'accès (AP) et WLC à l'usine par Cisco.

    Sur AP, des Certificats d'origine s'appellent la fabrication les Certificats installés (MIC). Tout le Cisco aps a fabriqué après juillet 18, 2005 ont MICs.

    En plus de cette authentification mutuelle qui se produit pendant la procédure d'enregistrement, le WLCs peut également limiter les aps qui s'inscrivent à eux ont basé sur l'adresse MAC d'AP.

    Le manque d'un mot de passe fort en employant l'adresse MAC d'AP ne devrait pas être une question parce que le contrôleur emploie la MIC pour authentifier AP avant d'autoriser AP par le serveur de RADIUS. L'utilisation de la MIC fournit l'authentification poussée.

    L'autorisation AP peut être exécutée de deux manières :

    • Utilisant la liste interne d'autorisation sur le WLC.

    • Utilisant la base de données d'adresse MAC sur un serveur d'AAA.

    Les comportements des aps diffèrent basé sur le certificat utilisé :

    • Aps avec SSCs — Le WLC utilisera seulement la liste interne d'autorisation et ne fera pas suivre à une demande un serveur de RADIUS pour ces aps.

    • Aps avec MICs — WLC peut utiliser la liste interne d'autorisation configurée sur le WLC ou utiliser un serveur de RADIUS pour autoriser les aps.

    Ce document discute l'autorisation AP utilisant chacun des deux la liste interne d'autorisation et le serveur d'AAA.

    Configurer

    Configuration utilisant la liste interne d'autorisation sur le WLC

    Sur le WLC, employez la liste d'autorisation AP pour limiter des aps basés sur leur adresse MAC. La liste d'autorisation AP est disponible sous le Security > AP Policies dans le GUI WLC.

    Cet exemple affiche comment ajouter AP avec l'adresse MAC 4c:77:6d:9e:61:62.

    1. Du GUI de contrôleur WLC, cliquez sur Security > AP Policies.and que la page de stratégies AP paraît.

    2. Cliquez sur le bouton d'ajouter du côté droit de l'écran.

    3. Sous ajoutez AP à la liste d'autorisation, écrivent l'adresse MAC AP (PAS le MAC address de radio AP). Puis, choisissez le type de certificat et cliquez sur Add.

      Dans cet exemple, AP avec le certificat MIC est ajouté.

      Remarque: Pour des aps avec SSCs, choisissez SSC sous le type de certificat.

      AP est ajouté à la liste d'autorisation AP et est répertorié sous la liste d'autorisation AP.

    4. Sous la configuration de politique, cochez la case pour Authorize MIC aps contre l'authentique-liste ou l'AAA.

      Quand ce paramètre est sélectionné, le WLC vérifie la liste locale d'autorisation d'abord. Si le MAC d'AP n'est pas présent, il vérifie le serveur de RADIUS.

    Vérifiez

    Afin de vérifier cette configuration, vous devez connecter AP à l'adresse MAC 4c:77:6d:9e:61:62 au réseau et au moniteur. Utilisez les événements de capwap de débogage/l'enable et debug aaa d'erreurs toutes les commandes d'enable d'exécuter ceci.

    Cette sortie affiche que met au point quand l'adresse MAC AP n'est pas présente dans la liste d'autorisation AP :

    Remarque: Certaines des lignes dans la sortie ont été déplacées à la deuxième ligne due aux contraintes de l'espace.

    (Cisco Controller) >debug capwap events enable
    (Cisco Controller) >debug capwap errors enable
    (Cisco Controller) >debug aaa all enable

    *spamApTask4: Feb 27 10:15:25.592: 70:69:5a:51:4e:c0 Join Request from 192.168.79.151:5256

    *spamApTask4: Feb 27 10:15:25.592: 70:69:5a:51:4e:c0 Unable to get Ap mode in Join request

    *spamApTask4: Feb 27 10:15:25.592: 70:69:5a:51:4e:c0 Allocate database entry for AP 192.168.79.151:5256, already allocated index 277

    *spamApTask4: Feb 27 10:15:25.592: 70:69:5a:51:4e:c0 AP Allocate request at index 277 (reserved)
    *spamApTask4: Feb 27 10:15:25.593: 24:7e:12:19:41:ef Deleting AP entry 192.168.79.151:5256 from temporary database.
    *spamApTask4: Feb 27 10:15:25.593: 70:69:5a:51:4e:c0 AP group received default-group is found in ap group configured in wlc.

    *spamApTask4: Feb 27 10:15:25.593: 70:69:5a:51:4e:c0 Dropping request or response packet to AP :192.168.79.151 (5256) by Controller: 10.48.71.20 (5246), message Capwap_wtp_event_response, state Capwap_no_state

    *spamApTask4: Feb 27 10:15:25.593: 70:69:5a:51:4e:c0 In AAA state 'Idle' for AP 70:69:5a:51:4e:c0
    *spamApTask4: Feb 27 10:15:25.593: 70:69:5a:51:4e:c0 Join Request failed!

    *spamApTask4: Feb 27 10:15:25.593: 70:69:5a:51:4e:c0 State machine handler: Failed to process msg type = 3 state = 0 from 192.168.79.151:5256

    *aaaQueueReader: Feb 27 10:15:25.593: Unable to find requested user entry for 4c776d9e6162
    *aaaQueueReader: Feb 27 10:15:25.593: 70:69:5a:51:4e:c0 Normal Response code for AAA Authentication : -9
    *aaaQueueReader: Feb 27 10:15:25.593: ReProcessAuthentication previous proto 8, next proto 40000001
    *aaaQueueReader: Feb 27 10:15:25.593: AuthenticationRequest: 0x7f01b4083638

    *aaaQueueReader: Feb 27 10:15:25.593: Callback.....................................0xd6cef02166

    *aaaQueueReader: Feb 27 10:15:25.593: protocolType.................................0x40000001

    *aaaQueueReader: Feb 27 10:15:25.593: proxyState...................................70:69:5A:51:4E:C0-00:00

    *aaaQueueReader: Feb 27 10:15:25.593: Packet contains 9 AVPs:

    *aaaQueueReader: Feb 27 10:15:25.593: AVP[01] User-Name................................4c776d9e6162 (12 bytes)

    *aaaQueueReader: Feb 27 10:15:25.593: AVP[02] Called-Station-Id........................70-69-5a-51-4e-c0 (17 bytes)

    *aaaQueueReader: Feb 27 10:15:25.593: AVP[03] Calling-Station-Id.......................4c-77-6d-9e-61-62 (17 bytes)

    *aaaQueueReader: Feb 27 10:15:25.593: AVP[04] Nas-Port.................................0x00000001 (1) (4 bytes)

    *aaaQueueReader: Feb 27 10:15:25.593: AVP[05] Nas-Ip-Address...........................0x0a304714 (170936084) (4 bytes)

    *aaaQueueReader: Feb 27 10:15:25.593: AVP[06] NAS-Identifier...........................0x6e6f (28271) (2 bytes)

    *aaaQueueReader: Feb 27 10:15:25.593: AVP[07] User-Password............................[...]

    *aaaQueueReader: Feb 27 10:15:25.593: AVP[08] Service-Type.............................0x0000000a (10) (4 bytes)

    *aaaQueueReader: Feb 27 10:15:25.593: AVP[09] Message-Authenticator....................DATA (16 bytes)

    *aaaQueueReader: Feb 27 10:15:25.593: 70:69:5a:51:4e:c0 Error Response code for AAA Authentication : -7
    *aaaQueueReader: Feb 27 10:15:25.593: 70:69:5a:51:4e:c0 Returning AAA Error 'No Server' (-7) for mobile 70:69:5a:51:4e:c0 serverIdx 0
    *aaaQueueReader: Feb 27 10:15:25.593: AuthorizationResponse: 0x7f017adf5770


    *aaaQueueReader: Feb 27 10:15:25.593: RadiusIndexSet(0), Index(0)
    *aaaQueueReader: Feb 27 10:15:25.593: resultCode...................................-7

    *aaaQueueReader: Feb 27 10:15:25.593: protocolUsed.................................0xffffffff

    *aaaQueueReader: Feb 27 10:15:25.593: proxyState...................................70:69:5A:51:4E:C0-00:00

    *aaaQueueReader: Feb 27 10:15:25.593: Packet contains 0 AVPs:

    *aaaQueueReader: Feb 27 10:15:25.593: 70:69:5a:51:4e:c0 User entry not found in the Local FileDB for the client.

    *spamApTask0: Feb 27 10:15:25.593: 70:69:5a:51:4e:c0 Join Version: = 134770432

    *spamApTask0: Feb 27 10:15:25.593: 00:00:00:00:00:00 apType = 54 apModel: AIR-AP4800-E-K

    *spamApTask0: Feb 27 10:15:25.593: 00:00:00:00:00:00 apType: Ox36 bundleApImageVer: 8.8.111.0
    *spamApTask0: Feb 27 10:15:25.593: 00:00:00:00:00:00 version:8 release:8 maint:111 build:0
    *spamApTask0: Feb 27 10:15:25.593: 70:69:5a:51:4e:c0 Join resp: CAPWAP Maximum Msg element len = 79

    *spamApTask0: Feb 27 10:15:25.593: 70:69:5a:51:4e:c0 Join Failure Response sent to 0.0.0.0:5256

    *spamApTask0: Feb 27 10:15:25.593: 70:69:5a:51:4e:c0 Radius Authentication failed. Closing dtls Connection.
    *spamApTask0: Feb 27 10:15:25.593: 70:69:5a:51:4e:c0 Disconnecting DTLS Capwap-Ctrl session 0xd6f0724fd8 for AP (192:168:79:151/5256). Notify(true)
    *spamApTask0: Feb 27 10:15:25.593: 70:69:5a:51:4e:c0 CAPWAP State: Dtls tear down

    *spamApTask0: Feb 27 10:15:25.593: 70:69:5a:51:4e:c0 acDtlsPlumbControlPlaneKeys: lrad:192.168.79.151(5256) mwar:10.48.71.20(5246)

    *spamApTask0: Feb 27 10:15:25.593: 70:69:5a:51:4e:c0 DTLS keys for Control Plane deleted successfully for AP 192.168.79.151

    *spamApTask4: Feb 27 10:15:25.593: 70:69:5a:51:4e:c0 DTLS connection closed event receivedserver (10.48.71.20/5246) client (192.168.79.151/5256)
    *spamApTask4: Feb 27 10:15:25.593: 70:69:5a:51:4e:c0 Entry exists for AP (192.168.79.151/5256)
    *spamApTask0: Feb 27 10:15:25.593: 70:69:5a:51:4e:c0 AP Delete request 
    *spamApTask4: Feb 27 10:15:25.593: 70:69:5a:51:4e:c0 AP Delete request 
    *spamApTask4: Feb 27 10:15:25.593: 70:69:5a:51:4e:c0 Unable to find AP 70:69:5a:51:4e:c0
    *spamApTask4: Feb 27 10:15:25.593: 70:69:5a:51:4e:c0 No AP entry exist in temporary database for 192.168.79.151:5256

    Cette exposition de sortie met au point quand l'adresse MAC du RECOUVREMENT est ajoutée à la liste d'autorisation AP :

    Remarque: Certaines des lignes dans la sortie ont été déplacées à la deuxième ligne due aux contraintes de l'espace.

    (Cisco Controller) >debug capwap events enable
    (Cisco Controller) >debug capwap errors enable
    (Cisco Controller) >debug aaa all enable

    *spamApTask4: Feb 27 09:50:25.393: 70:69:5a:51:4e:c0 Join Request from 192.168.79.151:5256

    *spamApTask4: Feb 27 09:50:25.393: 70:69:5a:51:4e:c0 using already alloced index 274
    *spamApTask4: Feb 27 09:50:25.393: 70:69:5a:51:4e:c0 Unable to get Ap mode in Join request

    *spamApTask4: Feb 27 09:50:25.393: 70:69:5a:51:4e:c0 Allocate database entry for AP 192.168.79.151:5256, already allocated index 274

    *spamApTask4: Feb 27 09:50:25.393: 70:69:5a:51:4e:c0 AP Allocate request at index 274 (reserved)
    *spamApTask4: Feb 27 09:50:25.393: 24:7e:12:19:41:ef Deleting AP entry 192.168.79.151:5256 from temporary database.
    *spamApTask4: Feb 27 09:50:25.393: 70:69:5a:51:4e:c0 AP group received default-group is found in ap group configured in wlc.

    *spamApTask4: Feb 27 09:50:25.393: 70:69:5a:51:4e:c0 Dropping request or response packet to AP :192.168.79.151 (5256) by Controller: 10.48.71.20 (5246), message Capwap_wtp_event_response, state Capwap_no_state

    *spamApTask4: Feb 27 09:50:25.394: 70:69:5a:51:4e:c0 Message type Capwap_wtp_event_response is not allowed to send in state Capwap_no_state for AP 192.168.79.151

    *spamApTask4: Feb 27 09:50:25.394: 70:69:5a:51:4e:c0 In AAA state 'Idle' for AP 70:69:5a:51:4e:c0
    *spamApTask4: Feb 27 09:50:25.394: 70:69:5a:51:4e:c0 Join Request failed!


    *aaaQueueReader: Feb 27 09:50:25.394: User 4c776d9e6162 authenticated
    *aaaQueueReader: Feb 27 09:50:25.394: 70:69:5a:51:4e:c0 Normal Response code for AAA Authentication : 0
    *aaaQueueReader: Feb 27 09:50:25.394: 70:69:5a:51:4e:c0 Returning AAA Success for mobile 70:69:5a:51:4e:c0
    *aaaQueueReader: Feb 27 09:50:25.394: AuthorizationResponse: 0x7f0288a66408


    *aaaQueueReader: Feb 27 09:50:25.394: structureSize................................194

    *aaaQueueReader: Feb 27 09:50:25.394: resultCode...................................0

    *aaaQueueReader: Feb 27 09:50:25.394: proxyState...................................70:69:5A:51:4E:C0-00:00

    *aaaQueueReader: Feb 27 09:50:25.394: Packet contains 2 AVPs:

    *aaaQueueReader: Feb 27 09:50:25.394: AVP[01] Service-Type.............................0x00000065 (101) (4 bytes)

    *aaaQueueReader: Feb 27 09:50:25.394: AVP[02] Airespace / WLAN-Identifier..............0x00000000 (0) (4 bytes)

    *aaaQueueReader: Feb 27 09:50:25.394: 70:69:5a:51:4e:c0 User authentication Success with File DB on WLAN ID :0 
    *spamApTask0: Feb 27 09:50:25.394: 70:69:5a:51:4e:c0 Join Version: = 134770432

    *spamApTask0: Feb 27 09:50:25.394: 00:00:00:00:00:00 apType = 54 apModel: AIR-AP4800-E-K

    *spamApTask0: Feb 27 09:50:25.394: 00:00:00:00:00:00 apType: Ox36 bundleApImageVer: 8.8.111.0
    *spamApTask0: Feb 27 09:50:25.394: 00:00:00:00:00:00 version:8 release:8 maint:111 build:0
    *spamApTask0: Feb 27 09:50:25.394: 70:69:5a:51:4e:c0 Join resp: CAPWAP Maximum Msg element len = 79

    *spamApTask0: Feb 27 09:50:25.394: 70:69:5a:51:4e:c0 Join Response sent to 0.0.0.0:5256

    *spamApTask0: Feb 27 09:50:25.394: 70:69:5a:51:4e:c0 CAPWAP State: Join

    *spamApTask0: Feb 27 09:50:25.394: 70:69:5a:51:4e:c0 capwap_ac_platform.c:2095 - Operation State 0 ===> 4
    *spamApTask0: Feb 27 09:50:25.394: 70:69:5a:51:4e:c0 Capwap State Change Event (Reg) from capwap_ac_platform.c 2136

    *apfReceiveTask: Feb 27 09:50:25.394: 70:69:5a:51:4e:c0 Register LWAPP event for AP 70:69:5a:51:4e:c0 slot 0

    Autorisation AP contre un serveur d'AAA

    Vous pouvez également configurer WLCs pour utiliser des serveurs de RADIUS pour autoriser des aps utilisant MICs. Le WLC utilise l'adresse MAC d'AP en tant que chacun des deux le nom d'utilisateur et mot de passe en envoyant les informations à un serveur de RADIUS. Par exemple, si l'adresse MAC d'AP est 4c:77:6d:9e:61:62, chacun des deux le nom d'utilisateur et mot de passe utilisé par le contrôleur pour autoriser AP seront ce MAC address utilisant le delimeter défini.

    Cet exemple affiche comment configurer le WLCs pour autoriser des aps utilisant Cisco ISE.

    1. Du GUI de contrôleur WLC, cliquez sur Security > des stratégies AP. La page de stratégies AP paraît.  

    2. Sous la configuration de politique, cochez la case pour Authorize MIC aps contre l'authentique-liste ou l'AAA.

      Quand ce paramètre est sélectionné, le WLC vérifie la liste locale d'autorisation d'abord. Si le MAC d'AP n'est pas présent, il vérifie le serveur de RADIUS.

    3. Allez au Security > RADIUS Authentication du GUI de contrôleur afficher la page de serveurs d'authentification RADIUS. En cette page nous pouvons définir le délimiteur de MAC. Le WLC obtiendra le MAC address AP et l'enverra au serveur de Radius à l'aide du délimiteur defnied ici. c'est important de sorte que le nom d'utilisateur apparie ce qui est configuré dans le serveur de Radius. Dans cet exemple nous n'utiliserons aucun Delimeter de sorte que le nom d'utilisateur soit 4c776d9e6162.

    4. Puis, cliquez sur New afin de définir un serveur de RADIUS.

    5. Définissez les paramètres de serveur de RADIUS sur le RADIUS Authentication Servers > New page. Ces paramètres incluent l'adresse IP du serveur RADIUS, secret partagé, numéro de port et état du serveur. Une fois fait, cliquez sur Apply. Cet exemple utilise Cisco ISE en tant que serveur de RADIUS avec l'adresse IP 10.48.39.128.

    Configurez Cisco ISE pour autoriser des aps

    Afin de permettre à Cisco ISE d'autoriser des aps, vous devez se terminer ces étapes :

    1. Configurez le WLC en tant que client d'AAA sur Cisco ISE.

    2. Ajoutez les adresses MAC AP à la base de données utilisateur sur Cisco ISE.

    Configurez le WLC en tant que client d'AAA sur Cisco ISE

    1. Allez à la gestion > aux ressources de réseau > aux périphériques de réseau > ajoutent. La nouvelle page de périphérique de réseau paraît.  

    2. À cette page, définissez le nom WLC, l'adresse IP d'interface de gestion et les configurations d'authentifications de Radius comme le secret partagé.

       

    3. Cliquez sur Submit.

    Ajoutez l'adresse MAC AP à la base de données utilisateur sur Cisco ISE

    1. Allez à la gestion > à la Gestion de l'identité. Ici nous devons nous assurer que la politique de mot de passe permet l'utilisation du nom d'utilisateur pendant que le mot de passe et la stratégie doivent également permettre à l'utilisation du whitout de caractères de MAC address le besoin de différents types de caractères. Allez aux configurations > aux configurations > à la politique de mot de passe d'authentification de l'utilisateur : 

        

    2. Alors allez aux identités > aux utilisateurs et cliquez sur Add. Quand la page d'installation utilisateur paraît, définissez le nom d'utilisateur et mot de passe pour cet AP comme affiché. Conseil : employez le champ description pour entrer le mot de passe pour être plus tard facile de savoir ce qui a été défini comme mot de passe.

      Le mot de passe devrait également être l'adresse MAC d'AP. Dans cet exemple, c'est 4c776d9e6162.

    3. Cliquez sur Submit. 

    Définissez un positionnement de stratégie

    1. Nous devons définir une stratégie réglée pour apparier la demande d'authentification provenant le WLC. D'abord nous établissons une condition allant à la stratégie > aux éléments > aux états de stratégie, et créant un nouvel état pour apparier l'emplacement WLC, dans ces exemple, « LAB_WLC » et Radius : Les égaux de type de service appellent le contrôle qui est utilisé pour l'authentification de MAC. Ici la condition est nommée « AP_Authentic ».    
    2. Cliquez sur Save.
    3. Créez alors un nouveau service permis de protocoles pour l'authentification AP. Assurez-vous que vous sélectionner seulement « permettez PAP/ASCII » :   
    4.  Sélectionnez le service précédemment créé dans les protocoles/ordre permis de serveur. Développez la vue et sous la stratégie d'authentification > l'utilisation > les utilisateurs internes de sorte qu'ISE ait recherché le DB interne pour le nom d'utilisateur/mot de passe d'AP.
    5. Cliquez sur Save.

    Vérifiez

    Afin de vérifier cette configuration, vous devez connecter AP à l'adresse MAC 4c:77:6d:9e:61:62 au réseau et au moniteur. Employez les événements de capwap de débogage/l'enable et debug aaa d'erreurs toutes les commandes d'enable afin d'exécuter ceci.

    Comme vu du met au point, le WLC passé sur l'adresse MAC AP au serveur 10.48.39.128 de RADIUS, et le serveur a avec succès authentifié AP. AP s'inscrit alors au contrôleur.

    Remarque: Certaines des lignes dans la sortie ont été déplacées à la deuxième ligne due aux contraintes de l'espace.

    *spamApTask4: Feb 27 14:58:07.566: 70:69:5a:51:4e:c0 Join Request from 192.168.79.151:5248

    *spamApTask4: Feb 27 14:58:07.566: 70:69:5a:51:4e:c0 using already alloced index 437
    *spamApTask4: Feb 27 14:58:07.566: 70:69:5a:51:4e:c0 Unable to get Ap mode in Join request

    *spamApTask4: Feb 27 14:58:07.566: 70:69:5a:51:4e:c0 Allocate database entry for AP 192.168.79.151:5248, already allocated index 437

    *spamApTask4: Feb 27 14:58:07.566: 70:69:5a:51:4e:c0 AP Allocate request at index 437 (reserved)
    *spamApTask4: Feb 27 14:58:07.566: 24:7e:12:19:41:ef Deleting AP entry 192.168.79.151:5248 from temporary database.
    *spamApTask4: Feb 27 14:58:07.566: 70:69:5a:51:4e:c0 AP group received default-group is found in ap group configured in wlc.

    *spamApTask4: Feb 27 14:58:07.566: 70:69:5a:51:4e:c0 Dropping request or response packet to AP :192.168.79.151 (5248) by Controller: 10.48.71.20 (5246), message Capwap_wtp_event_response, state Capwap_no_state

    *spamApTask4: Feb 27 14:58:07.566: 70:69:5a:51:4e:c0 Message type Capwap_wtp_event_response is not allowed to send in state Capwap_no_state for AP 192.168.79.151

    *spamApTask4: Feb 27 14:58:07.566: 70:69:5a:51:4e:c0 In AAA state 'Idle' for AP 70:69:5a:51:4e:c0
    *spamApTask4: Feb 27 14:58:07.566: 70:69:5a:51:4e:c0 Join Request failed!

    *spamApTask4: Feb 27 14:58:07.566: 70:69:5a:51:4e:c0 State machine handler: Failed to process msg type = 3 state = 0 from 192.168.79.151:5248

    *spamApTask4: Feb 27 14:58:07.566: 24:7e:12:19:41:ef Failed to parse CAPWAP packet from 192.168.79.151:5248

    *aaaQueueReader: Feb 27 14:58:07.566: 70:69:5a:51:4e:c0 Normal Response code for AAA Authentication : -9
    *aaaQueueReader: Feb 27 14:58:07.566: ReProcessAuthentication previous proto 8, next proto 40000001
    *aaaQueueReader: Feb 27 14:58:07.566: AuthenticationRequest: 0x7f01b404f0f8


    *aaaQueueReader: Feb 27 14:58:07.566: Callback.....................................0xd6cef02166

    *aaaQueueReader: Feb 27 14:58:07.566: protocolType.................................0x40000001

    *aaaQueueReader: Feb 27 14:58:07.566: proxyState...................................70:69:5A:51:4E:C0-00:00

    *aaaQueueReader: Feb 27 14:58:07.566: Packet contains 9 AVPs:

    *aaaQueueReader: Feb 27 14:58:07.566: AVP[02] Called-Station-Id........................70:69:5a:51:4e:c0 (17 bytes)

    *aaaQueueReader: Feb 27 14:58:07.566: AVP[03] Calling-Station-Id.......................4c:77:6d:9e:61:62 (17 bytes)

    *aaaQueueReader: Feb 27 14:58:07.566: AVP[04] Nas-Port.................................0x00000001 (1) (4 bytes)

    *aaaQueueReader: Feb 27 14:58:07.566: AVP[05] Nas-Ip-Address...........................0x0a304714 (170936084) (4 bytes)

    *aaaQueueReader: Feb 27 14:58:07.566: AVP[06] NAS-Identifier...........................0x6e6f (28271) (2 bytes)

    *aaaQueueReader: Feb 27 14:58:07.566: AVP[08] Service-Type.............................0x0000000a (10) (4 bytes)

    *aaaQueueReader: Feb 27 14:58:07.566: AVP[09] Message-Authenticator....................DATA (16 bytes)

    *aaaQueueReader: Feb 27 14:58:07.566: 70:69:5a:51:4e:c0 radiusServerFallbackPassiveStateUpdate: RADIUS server is ready 10.48.39.128 port 1812 index 1 active 1
    *aaaQueueReader: Feb 27 14:58:07.566: 70:69:5a:51:4e:c0 NAI-Realm not enabled on Wlan, radius servers will be selected as usual
    *aaaQueueReader: Feb 27 14:58:07.566: 70:69:5a:51:4e:c0 Found the radius server : 10.48.39.128 from the global server list
    *aaaQueueReader: Feb 27 14:58:07.566: 70:69:5a:51:4e:c0 Send Radius Auth Request with pktId:185 into qid:0 of server at index:1
    *aaaQueueReader: Feb 27 14:58:07.566: 70:69:5a:51:4e:c0 Sending the packet to v4 host 10.48.39.128:1812 of length 130
    *aaaQueueReader: Feb 27 14:58:07.566: 70:69:5a:51:4e:c0 Successful transmission of Authentication Packet (pktId 185) to 10.48.39.128:1812 from server queue 0, proxy state 70:69:5a:51:4e:c0-00:00
    *aaaQueueReader: Feb 27 14:58:07.566: 00000000: 01 b9 00 82 d9 c2 ef 27 f1 bb e4 9f a8 88 5a 6d .......'......Zm
    *aaaQueueReader: Feb 27 14:58:07.566: 00000010: 4b 38 1a a6 01 0e 34 63 37 37 36 64 39 65 36 31 K8....4c776d9e61
    *aaaQueueReader: Feb 27 14:58:07.566: 00000020: 36 32 1e 13 37 30 3a 36 39 3a 35 61 3a 35 31 3a 62..70:69:5a:51:
    *aaaQueueReader: Feb 27 14:58:07.566: 00000030: 34 65 3a 63 30 1f 13 34 63 3a 37 37 3a 36 64 3a 4e:c0..4c:77:6d:
    *aaaQueueReader: Feb 27 14:58:07.566: 00000040: 39 65 3a 36 31 3a 36 32 05 06 00 00 00 01 04 06 9e:61:62........
    *aaaQueueReader: Feb 27 14:58:07.566: 00000050: 0a 30 47 14 20 04 6e 6f 02 12 54 46 96 61 2a 38 .0G...no..TF.a*8
    *aaaQueueReader: Feb 27 14:58:07.566: 00000060: 5a 57 22 5b 41 c8 13 61 97 6c 06 06 00 00 00 0a ZW"[A..a.l......
    *aaaQueueReader: Feb 27 14:58:07.566: 00000080: 15 f9 ..
    *aaaQueueReader: Feb 27 14:58:07.566: 70:69:5a:51:4e:c0 User entry not found in the Local FileDB for the client.
    *radiusTransportThread: Feb 27 14:58:07.587: Vendor Specif Radius Attribute(code=26, avp_len=28, vId=9)
    *radiusTransportThread: Feb 27 14:58:07.588: 70:69:5a:51:4e:c0 *** Counted VSA 150994944 AVP of length 28, code 1 atrlen 22)
    *radiusTransportThread: Feb 27 14:58:07.588: Vendor Specif Radius Attribute(code=26, avp_len=28, vId=9)
    *radiusTransportThread: Feb 27 14:58:07.588: 70:69:5a:51:4e:c0 AVP: VendorId: 9, vendorType: 1, vendorLen: 22

    *radiusTransportThread: Feb 27 14:58:07.588: 00000000: 70 72 6f 66 69 6c 65 2d 6e 61 6d 65 3d 55 6e 6b profile-name=Unk
    *radiusTransportThread: Feb 27 14:58:07.588: 00000010: 6e 6f 77 6e nown
    *radiusTransportThread: Feb 27 14:58:07.588: 70:69:5a:51:4e:c0 Processed VSA 9, type 1, raw bytes 22, copied 0 bytes
    *radiusTransportThread: Feb 27 14:58:07.588: 70:69:5a:51:4e:c0 Access-Accept received from RADIUS server 10.48.39.128 (qid:0) with port:1812, pktId:185
    *radiusTransportThread: Feb 27 14:58:07.588: RadiusIndexSet(1), Index(1)
    *radiusTransportThread: Feb 27 14:58:07.588: structureSize................................432

    *radiusTransportThread: Feb 27 14:58:07.588: protocolUsed.................................0x00000001

    *radiusTransportThread: Feb 27 14:58:07.588: proxyState...................................70:69:5A:51:4E:C0-00:00

    *radiusTransportThread: Feb 27 14:58:07.588: Packet contains 4 AVPs:

    *radiusTransportThread: Feb 27 14:58:07.588: AVP[01] User-Name................................4c776d9e6162 (12 bytes)

    *radiusTransportThread: Feb 27 14:58:07.588: AVP[02] State....................................ReauthSession:0a302780bNEx79SKIFosJ2ioAmIYNOiRe2iDSY3drcFsHuYpChs (65 bytes)

    *radiusTransportThread: Feb 27 14:58:07.588: AVP[03] Class....................................DATA (83 bytes)

    *radiusTransportThread: Feb 27 14:58:07.588: AVP[04] Message-Authenticator....................DATA (16 bytes)

    *spamApTask0: Feb 27 14:58:07.588: 70:69:5a:51:4e:c0 Join Version: = 134770432

    *spamApTask0: Feb 27 14:58:07.588: 00:00:00:00:00:00 apType = 54 apModel: AIR-AP4800-E-K

    *spamApTask0: Feb 27 14:58:07.588: 00:00:00:00:00:00 apType: Ox36 bundleApImageVer: 8.8.111.0
    *spamApTask0: Feb 27 14:58:07.588: 00:00:00:00:00:00 version:8 release:8 maint:111 build:0
    *spamApTask0: Feb 27 14:58:07.588: 70:69:5a:51:4e:c0 Join resp: CAPWAP Maximum Msg element len = 79

    *spamApTask0: Feb 27 14:58:07.588: 70:69:5a:51:4e:c0 Join Response sent to 0.0.0.0:5248

    *spamApTask0: Feb 27 14:58:07.588: 70:69:5a:51:4e:c0 CAPWAP State: Join

    Dépanner

    Utilisez ces commandes de dépanner votre configuration :

    • mettez au point l'enable d'événements de capwap — Configures mettent au point des événements LWAPP.

    • mettez au point l'enable de paquet de capwap — Configures mettent au point du tracé de paquets LWAPP.

    • mettez au point l'enable d'erreurs de capwap — Configures mettent au point des erreurs de paquets LWAPP.
    • le debug aaa tout activent — Configures mettent au point de tous les messages d'AAA
    TAC Authored

    Contribution d’experts de Cisco

    • Tiago Antunes
      Ingénieur TAC Cisco

    Ce document vous est-il utile?

    FeedbackCommentaires

    Contacter Cisco

    Discussions connexes de communautés de Cisco

    Ce document s’applique à ces produits

    Suivez-nous
    Salle de presseÉvénementsBloguesCommunauté
    À propos de nous
    Communiquer Avec Nous
    Travailler Avec Nous