Contenu

Introduction

Scénario de déploiement

Topologie

OPENAUTH

Configuration de l'ancrage invité

Configuration étrangère

WEBAUTH

Configuration de l'ancrage invité

Configuration étrangère

Configurer OPENAUTH et WEBAUTH en parallèle

Configuration de l'ancrage invité

Configuration étrangère

Exemple de commande O/P WEBAUTH

Étranger

Ancrage

Introduction

Ce document couvre le déploiement de la fonctionnalité d'accès invité filaire sur le contrôleur LAN sans fil Cisco 5760 qui fait office d'ancrage étranger et le contrôleur LAN sans fil Cisco 5760 qui fait office d'ancrage invité dans la zone démilitarisée (DMZ) avec la version 03.03.2.SE. Aujourd'hui, des solutions existent pour fournir un accès invité via des réseaux filaires et sans fil sur le contrôleur LAN sans fil Cisco 5508. La fonctionnalité fonctionne de la même manière sur le commutateur Cisco Catalyst 3650 qui agit comme un contrôleur étranger.

Dans les réseaux d’entreprise, il est généralement nécessaire de fournir un accès réseau à ses invités sur le campus. Les exigences en matière d'accès invité incluent la fourniture d'une connectivité à Internet ou à d'autres ressources d'entreprise sélectives aux invités filaires et sans fil de manière cohérente et gérable. Le même contrôleur LAN sans fil peut être utilisé pour fournir un accès aux deux types d'invités sur le campus. Pour des raisons de sécurité, un grand nombre d'administrateurs réseau d'entreprise séparent l'accès invité d'un contrôleur DMZ via la tunnellisation. La solution d'accès invité est également utilisée comme méthode de secours pour les clients invités qui échouent aux méthodes d'authentification dot1x et MAC Authentication Bypass (MAB).

L'utilisateur invité se connecte au port filaire désigné sur un commutateur de couche d'accès pour y accéder et peut éventuellement être amené à passer en mode Consentement Web ou Authentification Web, selon les exigences de sécurité (détails dans les sections suivantes). Une fois l'authentification d'invité réussie, l'accès est fourni aux ressources réseau et le contrôleur invité gère le trafic client. L’ancrage étranger est le commutateur principal auquel le client se connecte pour accéder au réseau. Il initie des requêtes de tunnel. L'ancrage invité est le commutateur où le client est effectivement ancré. Outre le contrôleur WLAN de la gamme Cisco 5500, le contrôleur LAN sans fil Cisco 5760 peut être utilisé comme point d'ancrage invité. Avant de pouvoir déployer la fonctionnalité d'accès invité, un tunnel de mobilité doit être établi entre l'ancrage étranger et les commutateurs d'ancrage invité. La fonction d'accès invité fonctionne pour les modèles MC (Ancre étranger) » MC (Ancre invité) et MA (Ancre étrangère) » MC (Ancre invité). Le commutateur d'ancrage étranger relie le trafic invité filaire au contrôleur d'ancrage invité et plusieurs ancrages invités peuvent être configurés pour l'équilibrage de charge. Le client est ancré à un contrôleur d'ancrage DMZ. Il est également responsable de la gestion de l'attribution des adresses IP DHCP ainsi que de l'authentification du client. Une fois l’authentification terminée, le client peut accéder au réseau.

Scénario de déploiement

Le document couvre les cas d'utilisation courants où les clients filaires se connectent aux commutateurs d'accès pour l'accès au réseau. Deux modes d'accès sont expliqués dans différents exemples. Dans toutes les méthodes, la fonctionnalité d'accès invité filaire peut servir de méthode de secours pour l'authentification. Il s'agit généralement d'un cas d'utilisation lorsqu'un utilisateur invité apporte un périphérique final inconnu sur le réseau. Comme le demandeur de point de terminaison est manquant sur le périphérique final, le mode d'authentification dot1x échoue. De même, l'authentification MAB échouerait également, car l'adresse MAC du périphérique final serait inconnue du serveur d'authentification. Il convient de noter que dans de telles implémentations, les périphériques finaux d'entreprise auraient accès avec succès car ils auraient soit un demandeur dot1x, soit leurs adresses MAC dans le serveur d'authentification pour validation. Cela permet une certaine flexibilité dans le déploiement, car l'administrateur n'a pas besoin de restreindre et d'attacher les ports spécifiquement pour l'accès invité.

Topologie

Ce schéma présente la topologie utilisée dans le scénario de déploiement :

OPENAUTH

Configuration de l'ancrage invité

1. Activez le suivi IPDT (IP Device Tracking) et la surveillance DHCP sur les VLAN clients, dans ce cas le VLAN 75. Le VLAN client doit être créé sur l'ancrage invité.
ip device tracking

ip dhcp relay information trust-all

ip dhcp snooping vlan 75

ip dhcp snooping information option allow-untrusted

ip dhcp snooping

2. Créez le VLAN 75 et l'interface VLAN de couche 3.
vlan 75

interface Vlan75

ip address 75.1.1.1 255.255.255.0

ip helper-address 192.168.1.1

ip dhcp pool DHCP_75

network 75.1.1.0 255.255.255.0

default-router 75.1.1.1

lease 0 0 10

update arp

3. Créez un LAN invité qui spécifie le VLAN client avec le 5760 lui-même qui agit comme point d'ancrage de mobilité.
Pour openmode, la commande no security web-auth est requise.

guest-lan GUEST_LAN_OPENAUTH 3

client vlan 75

mobility anchor

no security web-auth

no shutdown

Configuration étrangère

1. Activez DHCP et créez le VLAN. Comme indiqué, le VLAN client n'a pas besoin d'être configuré sur l'étranger.
ip dhcp relay information trust-all

ip dhcp snooping information option allow-untrusted

ip dhcp snooping

ip device tracking

2. Le commutateur détecte l'adresse MAC du client entrant sur le canal de port configuré avec 'access-Session port-control auto' et applique la stratégie d'abonné OPENAUTH. La stratégie OPENAUTH décrite ici doit être créée en premier.
policy-map type control subscriber OPENAUTH

event session-started match-all

1 class always do-until-failure

2 activate service-template SERV-TEMP3-OPENAUTH

3 authorize

interface Po1

switchport trunk allowed vlan 19,137

switchport mode trunk

ip arp inspection trust

access-session port-control auto

service-policy type control subscriber OPENAUTH

ip dhcp snooping trust

end

3. L’apprentissage des adresses MAC doit être configuré sur le réseau étranger pour le VLAN.
mac address-table learning vlan 19

4. La stratégie OPENAUTH est référencée de manière séquentielle, qui dans ce cas pointe vers un service.
Le modèle nommé SERV-TEMP3 OPENAUTH est défini ici :

service-template SERV-TEMP3-OPENAUTH

tunnel type capwap name GUEST_LAN_OPENAUTH

5. Le modèle de service contient une référence au type et au nom du tunnel. Le VLAN 75 client doit uniquement exister sur l'ancrage invité, car il est responsable de la gestion du trafic client.
guest-lan GUEST_LAN_OPENAUTH 3

client vlan 75

mobility anchor 9.7.104.62

no security web-auth

no shutdown

6. La demande de tunnel est initiée de l'étranger à l'ancrage invité pour le client filaire et un succès de tunnel indique que le processus de construction du tunnel est terminé.
Sur ACCESS-SWITCH1, un client câblé se connecte au port Ethernet défini par l’administrateur réseau en mode d’accès. Il s'agit du port GigabitEthernet1/0/11 dans cet exemple.

interface GigabitEthernet1/0/11

switchport access vlan 19

switchport mode access

WEBAUTH

Configuration de l'ancrage invité

1. Activez la surveillance IPDT et DHCP sur les VLAN clients, dans ce cas le VLAN 75. Le VLAN client doit être créé sur l'ancrage invité.
ip device tracking

ip dhcp relay information trust-all

ip dhcp snooping vlan 75

ip dhcp snooping information option allow-untrusted

ip dhcp snooping

2. Créez le VLAN 75 et l'interface VLAN de couche 3.
vlan 75

interface Vlan75

ip address 75.1.1.1 255.255.255.0

ip helper-address 192.168.1.1

ip dhcp pool DHCP_75

network 75.1.1.0 255.255.255.0

default-router 75.1.1.1

lease 0 0 10

update arp

3. Créez un LAN invité qui spécifie le VLAN client avec le 5760 lui-même agissant comme point d'ancrage de mobilité. Pour openmode, la commande no security web-auth est requise.

guest-lan GUEST_LAN_WEBAUTH 3

client vlan VLAN0075

mobility anchor

security web-auth authentication-list default

security web-auth parameter-map webparalocal

no shutdown

Configuration étrangère

1. Activez DHCP et créez un VLAN. Comme indiqué, le VLAN client n'a pas besoin d'être configuré sur l'étranger.
ip dhcp relay information trust-all

ip dhcp snooping information option allow-untrusted

ip dhcp snooping

ip device tracking

2. Le commutateur détecte l'adresse MAC du client entrant sur le canal de port configuré avec 'access-Session port-control auto' et applique la politique d'abonné WEBAUTH. La politique WEBAUTH décrite ici doit être créée en premier.
policy-map type control subscriber WEBAUTH

event session-started match-all

1 class always do-until-failure

2 activate service-template SERV-TEMP3-WEBAUTH

3 authorize

interface po1

switchport trunk allowed vlan 19,137

switchport mode trunk

ip arp inspection trust

access-session port-control auto

service-policy type control subscriber WEBAUTH

ip dhcp snooping trust

end

3. L’apprentissage MAC doit être configuré sur le réseau étranger pour le VLAN.
mac address-table learning vlan 19

4. Configurez le rayon et la carte des paramètres.
aaa new-model

aaa group server radius rad-grp

server Radius1

dot1x system-auth-control

aaa authentication dot1x default group rad-grp

radius server Radius1

address ipv4 172.19.45.194 auth-port 1812 acct-port 1813

timeout 60

retransmit 3

key radius

parameter-map type webauth webparalocal

type webauth

timeout init-state sec 5000

5. La politique WEBAUTH est référencée de manière séquentielle, qui dans ce cas pointe vers un service. Le modèle nommé SERV-TEMP3 WEBAUTH tel que défini ici.
service-template SERV-TEMP3-WEBAUTH

tunnel type capwap name GUEST_LAN_WEBAUTH

6. Le modèle de service contient une référence au type et au nom du tunnel. Le VLAN 75 client doit uniquement exister sur l'ancre d'invité, car il est responsable de la gestion du trafic client.
guest-lan GUEST_LAN_WEBAUTH 3

client vlan 75

mobility anchor 9.7.104.62

security web-auth authentication-list default

security web-auth parameter-map webparalocal

no shutdown

7. La demande de tunnel est initiée de l'étranger à l'ancrage invité pour le client filaire et un succès de tunnel indique que le processus de construction du tunnel est terminé.
Sur ACCESS-SWITCH1, un client filaire se connecte au port Ethernet défini par l’administrateur réseau sur le mode d’accès. Il s'agit du port GigabitEthernet1/0/11 dans cet exemple.

interface GigabitEthernet1/0/11

switchport access vlan 19

switchport mode access

Configurer OPENAUTH et WEBAUTH en parallèle

Pour disposer de deux LAN invités et les affecter à des clients différents, vous devez les baser sur les VLAN sur lesquels les clients sont appris.

Configuration de l'ancrage invité

1. Activez la surveillance IPDT et DHCP sur le ou les VLAN(s) client(s), dans ce cas le VLAN 75. Le VLAN client doit être créé sur l'ancrage invité.
ip device tracking

ip dhcp relay information trust-all

ip dhcp snooping vlan 75

ip dhcp snooping information option allow-untrusted

ip dhcp snooping

2. Créez le VLAN 75 et l'interface VLAN de couche 3.
vlan 75

interface Vlan75

ip address 75.1.1.1 255.255.255.0

ip helper-address 192.168.1.1

ip dhcp pool DHCP_75

network 75.1.1.0 255.255.255.0

default-router 75.1.1.1

lease 0 0 10

update arp

3. Créez un LAN invité qui spécifie le VLAN client avec le 5760 lui-même qui agit comme point d'ancrage de mobilité.
Pour openmode, la commande no security web-auth est requise.

guest-lan GUEST_LAN_OPENAUTH 3

client vlan 75

mobility anchor

no security web-auth

no shutdown

guest-lan GUEST_LAN_WEBAUTH 4

client vlan VLAN0075

mobility anchor

security web-auth authentication-list joseph

security web-auth parameter-map webparalocal

no shutdown

Configuration étrangère

1. Activez DHCP et créez un VLAN. Comme indiqué, le VLAN client n'a pas besoin d'être configuré sur l'étranger.
ip dhcp relay information trust-all

ip dhcp snooping information option allow-untrusted

ip dhcp snooping

ip device tracking

2. Le commutateur détecte l'adresse MAC du client entrant sur le canal de port configuré avec 'access-Session port-control auto' et applique la stratégie d'abonné DOUBLEAUTH. La carte de classe mac1 contient les adresses MAC que vous ajoutez pour OPENAUTH. Tout le reste est WEBAUTH en utilisant la deuxième “ toujours ” class-map avec l'événement “ match-first ”. La politique DOUBLEAUTH décrite ici doit être créée en premier.
policy-map type control subscriber DOUBLEAUTH

event session-started match-first

1 class vlan19 do-until-failure

2 activate service-template SERV-TEMP3-OPENAUTH

3 authorize

2 class vlan18 do-until-failure

2 activate service-template SERV-TEMP4-WEBAUTH

3 authorize

interface po1

switchport trunk allowed vlan 19,137

switchport mode trunk

ip arp inspection trust

access-session port-control auto

service-policy type control subscriber DOUBLEAUTH

ip dhcp snooping trust

end

3. L’apprentissage MAC doit être configuré sur le réseau étranger pour les VLAN 18 et 19.
mac address-table learning vlan 18 19

4. Les cartes-classes VLAN 19 et VLAN18 contiennent les critères de correspondance VLAN en fonction desquels vous différencierez le LAN invité dans lequel le client se trouve. Elle est définie ici :
class-map type control subscriber match-any vlan18

match vlan 18

class-map type control subscriber match-any vlan19

match vlan 19

5. La stratégie OPENAUTH est référencée de manière séquentielle, qui dans ce cas pointe vers un service.
Le modèle nommé SERV-TEMP3 OPENAUTH tel que défini ici.

service-template SERV-TEMP3-OPENAUTH

tunnel type capwap name GUEST_LAN_OPENAUTH

service-template SERV-TEMP4-WEBAUTH

tunnel type capwap name GUEST_LAN_WEBAUTH

6. Le modèle de service contient une référence au type et au nom du tunnel. Le VLAN 75 client doit uniquement exister sur l'ancrage invité, car il est responsable de la gestion du trafic client.
guest-lan GUEST_LAN_OPENAUTH 3

client vlan 75

mobility anchor 9.7.104.62

no security web-auth

no shutdown

guest-lan GUEST_LAN_WEBAUTH 4

client vlan VLAN0075

mobility anchor 9.7.104.62

security web-auth authentication-list joseph

security web-auth parameter-map webparalocal

no shutdown

7. La demande de tunnel est initiée de l'étranger à l'ancrage invité pour le client filaire et un succès de tunnel indique que le processus de construction du tunnel est terminé.
Sur les COMMUTATEURS D’ACCÈS, plusieurs clients filaires se connectent au VLAN 18 ou au VLAN 19, qui peuvent ensuite être affectés aux LAN invités en conséquence. Il s'agit du port GigabitEthernet1/0/11 dans cet exemple.

interface GigabitEthernet1/0/11

switchport access vlan 19

switchport mode access

Exemple de commande O/P WEBAUTH

Étranger

FOREIGN#show wir client summary

Number of Local Clients : 2

MAC Address    AP Name                          WLAN State              Protocol

--------------------------------------------------------------------------------

0021.ccbc.44f9 N/A                              3    UP                 Ethernet

0021.ccbb.ac7d N/A                              4    UP                 Ethernet

ANCHOR#show mac address-table

Mac Address Table

-------------------------------------------

Vlan   Mac Address    Type       Ports

----   -----------    --------   -----

19   0021.ccbc.44f9   DYNAMIC     Po1

19   0021.ccbb.ac7d   DYNAMIC     Po1

FOREIGN#show access-session mac 0021.ccbc.44f9 details

Interface: Port-channel1

IIF-ID: 0x83D880000003D4

MAC Address: 0021.ccbc.44f9

IPv6 Address: Unknown

IPv4 Address: Unknown

User-Name: 0021.ccbc.44f9

Device-type: Un-Classified Device

Status: Unauthorized

Domain: DATA

Oper host mode: multi-auth

Oper control dir: both

Session timeout: N/A

Common Session ID: 090C895F000012A70412D338

Acct Session ID: Unknown

Handle: 0x1A00023F

Current Policy: OPENAUTH

Session Flags: Session Pushed

Local Policies:

Service Template: SERV-TEMP3-OPENAUTH (priority 150)

Tunnel Profile Name: GUEST_LAN_OPENAUTH

Tunnel State: 2

Method status list:

Method           State

webauth         Authc Success

Ancrage

#show wir client summary

Number of Local Clients : 1

MAC Address    AP Name                          WLAN State              Protocol

--------------------------------------------------------------------------------

0021.ccbc.44f9 N/A                              3    WEBAUTH_PEND       Ethernet

0021.ccbb.ac7d N/A                              4    WEBAUTH_PEND       Ethernet

ANCHOR#show wir client summary

Number of Local Clients : 2

MAC Address    AP Name                          WLAN State              Protocol

--------------------------------------------------------------------------------

0021.ccbc.44f9 N/A                              3    UP                 Ethernet

0021.ccbb.ac7d N/A                              4    UP                 Ethernet

ANCHOR#show mac address-table

Mac Address Table

-------------------------------------------

Vlan   Mac Address       Type       Ports

----   -----------       --------   -----

19   0021.ccbc.44f9   DYNAMIC     Po1

18   0021.ccbb.ac7d   DYNAMIC     Po1

ANCHOR#show wir client summary

Number of Local Clients : 1

MAC Address   AP Name                         WLAN State             Protocol

--------------------------------------------------------------------------------

0021.ccbc.44f9 N/A                             3   UP                 Ethernet

0021.ccbb.ac7d N/A                             4   UP                 Ethernet

ANCHOR#show access-session mac 0021.ccbc.44f9

Interface   MAC Address   Method Domain Status Fg Session ID

----------------------------------------------------------------------

Ca1         0021.ccbc.44f9 webauth DATA   Auth     090C895F000012A70412D338

ANCHOR#show access-session mac 0021.ccbc.44f9 details

Interface: Capwap1

IIF-ID: 0x6DAE4000000248

MAC Address: 0021.ccbc.44f9

IPv6 Address: Unknown

IPv4 Address: 75.1.1.11

User-Name: 0021.ccbc.44f9

Status: Authorized

Domain: DATA

Oper host mode: multi-auth

Oper control dir: both

Session timeout: N/A

Common Session ID: 090C895F000012A70412D338

Acct Session ID: Unknown

Handle: 0x4000023A

Current Policy: (No Policy)

Method status list:

Method           State

webauth         Authc Success