WLAN FlexConnect avec remplacement AAA 802.1x sur les contrôleurs sans fil Catalyst 9800

Introduction

Ce document décrit comment configurer un contrôleur LAN sans fil élastique (WLC 9800) avec des points d'accès en mode FlexConnect et un réseau local sans fil 802.1x commuté localement avec l'option AAA (Authentification, Autorisation et Comptabilité) du réseau local virtuel (VLAN).

Conditions préalables

Conditions requises

Cisco vous recommande de prendre connaissance des rubriques suivantes :

• Mode de configuration du WLC 9800
• FlexConnect

Components Used

Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

• 9800 WLC v16.10

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Si votre réseau est en ligne, assurez-vous de bien comprendre l’incidence possible des commandes.

Configuration

Diagramme du réseau

Configuration

Configuration AAA sur WLC 9800

Vous pouvez suivre les instructions de ce lien :

Configuration AAA sur WLC 9800

Configuration WLAN

Vous pouvez suivre les instructions de ce lien :

Configuration WLAN

Définir AP comme mode FlexConnect

Contrairement à la configuration d'AireOS, sur le WLC 9800 il n'est pas possible de configurer le mode local ou flexconnect AP directement à partir de l'AP. Suivez ces étapes pour configurer un AP en mode FlexConnect.

IUG

Étape 1. Configurez un profil flexible.

Accéder à Configuration > Balises et profils > Flex et modifiez le profil flex par défaut ou cliquez sur +Ajouter pour en créer un nouveau.

Étape 2. Ajoutez les VLAN nécessaires (à la fois les VLAN du WLAN par défaut ou les VLAN poussés depuis ISE).

Remarque : À l'étape 3 de la section Configuration du profil de stratégie, vous sélectionnez le VLAN par défaut attribué au SSID. Si vous utilisez un nom de VLAN à cette étape, assurez-vous que vous utilisez le même nom de VLAN dans la configuration Flex Profile, sinon les clients ne pourront pas se connecter au WLAN.

Vous pouvez éventuellement ajouter des listes de contrôle d’accès spécifiques par VLAN.

 Vous pouvez éventuellement affecter un groupe de serveurs Radius pour permettre aux AP FlexConnect d'effectuer une authentification locale.

Étape 3. Configurez une balise de site.

Naviguez jusqu'à Configuration > Tags & Profiles > Tags > Site. Modifiez la balise default-site (qui est la balise attribuée par défaut à tous les points d'accès) ou créez-en une (cliquez sur +Ajouter pour en créer une nouvelle). 

Assurez-vous de désactiver l'option Activer le site local, sinon l'option Profil flexible n'est pas disponible. 

Note: Tout point d'accès qui obtient une balise de site avec Activer le site local activé, est configuré en mode local. De même, tout point d'accès qui obtient une balise de site avec Activer le site local désactivé, est configuré en mode flexconnect.

 Étape 4. Associez un point d'accès au WLC 9800 et attribuez l'étiquette de site configurée à l'étape 2.

Accédez à Configuration > Wireless > Access Points > AP name et définissez l'étiquette Site. Cliquez ensuite sur Mettre à jour et appliquer au périphérique pour définir la modification.

Remarque : Sachez qu'après avoir modifié la balise sur un AP, il perd son association au WLC 9800 et se reconnecte dans un délai d'environ 1 minute. 

 Étape 5. Une fois que le point d'accès se reconnecte, remarquez que le mode AP est Flex

CLI 

# config t
# wireless profile flex new-flex-profile
# arp-caching
# description "New flex profile"
# native-vlan-id 2601

# config t
# wireless tag site new-flex-site
# flex-profile new-flex-profile
# no local-site
# site-tag new-flex-site

# config t
# ap <eth-mac-address>
# site-tag new-flex-site
Associating site-tag will cause associated AP to reconnect
# exit

#show ap name <ap-name> config general | inc AP Mode
AP Mode                                         : FlexConnect

Configuration du commutateur

Configurez l'interface du commutateur à laquelle le point d'accès est connecté.

# config t
# interface <int-id>
# switchport trunk native vlan 2601
# switchport mode trunk
# spanning-tree portfast trunk
# end

Configuration du profil de stratégie

Dans un profil de stratégie, vous pouvez décider à quel VLAN attribuer les clients, entre autres paramètres (liste de contrôle d'accès [ACL], qualité de service [QoS], ancrage de mobilité, minuteurs, etc.).

IUG

Étape 1. Configurez le profil de stratégie à attribuer au WLAN.

Accédez à Configuration > Balises et profils > Stratégie et créez-en un nouveau ou modifiez le profil de stratégie par défaut.

 Étape 2. Dans l'onglet Général, attribuez un nom au profil de stratégie et modifiez son état en ACTIVÉ.

 Étape 3. Dans l'onglet Access Policies, affectez le VLAN auquel les clients sans fil sont affectés lorsqu'ils se connectent à ce WLAN par défaut.

Vous pouvez sélectionner un nom de VLAN dans la liste déroulante ou taper manuellement un ID de VLAN.

Remarque : Si vous sélectionnez un nom de VLAN dans la liste déroulante, assurez-vous qu'il correspond au nom de VLAN utilisé à l'étape 2 de la section Définir l'AP comme mode FlexConnect.

ou

Étape 4. Accédez à l'onglet Advanced et activez l'option Central Authentication Enable et Allow AAA Overrideoptions. La commutation centrale doit être désactivée.

L'authentification centrale doit être activée si vous voulez que le processus d'authentification soit exécuté de manière centralisée par le WLC 9800. Désactivez-le si vous voulez que les AP FlexConnect authentifient les clients sans fil.

CLI 

# config t
# wireless profile policy new-policy-profile
# central association
# vlan <vlan-id or vlan-name>
# no shutdown

Configuration des balises de stratégie

La balise de stratégie est utilisée pour lier le SSID au profil de stratégie. Vous pouvez créer une nouvelle balise de stratégie ou utiliser la balise default-policy.

Remarque : la balise default-policy mappe automatiquement tout SSID avec un ID WLAN compris entre 1 et 16 au profil de stratégie par défaut. Il ne peut être ni modifié ni supprimé. Si vous avez un WLAN avec ID 17 ou supérieur, le tag default-policy-tag ne peut pas être utilisé.

IUG:

Naviguez jusqu'à Configuration > Tags & Profiles > Tags > Policy et ajoutez-en un nouveau si nécessaire.

Liez votre profil WLAN au profil de stratégie souhaité.

CLI :

# config t
# wireless tag policy <policy-tag-name>
# wlan <profile-name> policy <policy-profile-name>

Attribution de balise de stratégie

Attribuer la balise Policy au point d'accès

IUG

Pour affecter la balise à un point d'accès, accédez à Configuration > Wireless > Access Points > AP Name > General Tags, effectuez l'affectation requise, puis cliquez sur Update & Apply to Device.

Remarque : Sachez qu'après avoir modifié la balise de stratégie sur un point d'accès, il perd son association au WLC 9800 et se joint en 1 minute environ.

Pour affecter la même balise de stratégie à plusieurs points d'accès, accédez à Configuration > Wireless > Wireless Setup > Start Now > Apply.

Sélectionnez les points d'accès auxquels vous voulez affecter la balise et cliquez sur + Tag APs

Sélectionnez la balise blanchie et cliquez sur Enregistrer et appliquer au périphérique

CLI 

# config t
# ap <ethernet-mac-addr>
# policy-tag <policy-tag-name>
# end

Configuration ISE

Pour la configuration d'ISE v1.2, vérifiez ce lien :

Configuration ISE

Vérification

Vous pouvez utiliser ces commandes pour vérifier la configuration actuelle

# show run wlan
# show run aaa
# show aaa servers
# show ap config general
# show ap name <ap-name> config general 
# show ap tag summary
# show ap name <AP-name> tag detail
# show wlan { summary | id | name | all }
# show wireless tag policy detailed <policy-tag-name>
# show wireless profile policy detailed <policy-profile-name> 

# show clock

# show logging

# show debugging
IOSXE Conditional Debug Configs:

Conditional Debug Global State: Stop

IOSXE Packet Tracing Configs:


Packet Infra debugs:

Ip Address                                               Port
------------------------------------------------------|----------

# show logging profile wireless filter { mac | ip } { <aaaa.bbbb.cccc> | <a.b.c.d> } to-file always-on-<FILENAME.txt> 

# more bootflash:always-on-<FILENAME.txt>
or
# copy bootflash:always-on-<FILENAME.txt> tftp://a.b.c.d/path/always-on-<FILENAME.txt> 

# clear platform condition all

# debug wireless mac <aaaa.bbbb.cccc> {monitor-time <seconds>}

# no debug wireless mac <aaaa.bbbb.cccc>

# dir bootflash: | inc ra_trace

# copy bootflash:ra_trace_MAC_aaaabbbbcccc_HHMMSS.XXX_timezone_DayWeek_Month_Day_year.log tftp://a.b.c.d/ra-FILENAME.txt

# more bootflash:ra_trace_MAC_aaaabbbbcccc_HHMMSS.XXX_timezone_DayWeek_Month_Day_year.log

# show logging profile wireless internal filter { mac | ip } { <aaaa.bbbb.cccc> | <a.b.c.d> } to-file ra-internal-<FILENAME>.txt

# copy bootflash:ra-internal-<FILENAME>.txt tftp://a.b.c.d/ra-internal-<FILENAME>.txt

# more bootflash:ra-internal-<FILENAME>.txt

# clear platform condition all