Guida all'integrazione di WLC e NAC Guest Server (NGS)

Introduzione

In questo documento vengono fornite le linee guida per l'integrazione di NAC Guest Server e Wireless LAN Controller.

Prerequisiti

Requisiti

Nessun requisito specifico previsto per questo documento.

Componenti usati

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

• Cisco Wireless LAN Controller (WLC) 4.2.61.0

• Catalyst 3560 con IOS^® versione 12.2(25)SEE2

• Cisco ADU versione 4.0.0.279

• NAC Guest Server versione 1.0

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Convenzioni

Per ulteriori informazioni sulle convenzioni usate, consultare il documento Cisco sulle convenzioni nei suggerimenti tecnici.

Premesse

Cisco NAC Guest Server è un sistema completo di provisioning e reporting che fornisce accesso temporaneo alla rete a ospiti, visitatori, collaboratori esterni, consulenti o clienti. Il server guest funziona insieme a Cisco NAC Appliance o Cisco Wireless LAN Controller, che fornisce il portale captive e il punto di imposizione per l'accesso guest.

Cisco NAC Guest Server consente a qualsiasi utente con privilegi di creare facilmente account guest temporanei e sponsor guest. Cisco NAC Guest Server esegue l'autenticazione completa degli sponsor, ossia gli utenti che creano account guest, e consente agli sponsor di fornire i dettagli dell'account all'guest tramite stampa, e-mail o SMS. L'intera esperienza, dalla creazione di account utente all'accesso alla rete guest, viene archiviata per il controllo e la creazione di report.

Quando si creano gli account guest, viene eseguito il provisioning in Cisco NAC Appliance Manager (Clean Access Manager) o vengono archiviati nel database incorporato in Cisco NAC Guest Server. Quando si utilizza il database incorporato del server guest, i dispositivi di accesso alla rete esterni, ad esempio Cisco Wireless LAN Controller, possono autenticare gli utenti sul server guest con il protocollo RADIUS (Remote Authentication Dial In User Service).

Cisco NAC Guest Server esegue il provisioning dell'account Guest per il periodo di tempo specificato al momento della creazione dell'account. Alla scadenza dell'account, il server guest elimina l'account direttamente da Cisco NAC Appliance Manager o invia un messaggio RADIUS per notificare al dispositivo di accesso alla rete (NAD) il periodo di validità rimanente per l'account prima che il NAD rimuova l'utente.

Cisco NAC Guest Server fornisce un'importante contabilità dell'accesso alla rete guest consolidando l'intero audit trail dalla creazione degli account guest all'utilizzo degli account guest, in modo che i report possano essere eseguiti attraverso un'interfaccia di gestione centrale.

Nozioni base sull'accesso guest

Cisco NAC Guest Server utilizza una serie di termini per spiegare i componenti necessari per fornire l'accesso guest.

Utente Guest

L'utente guest è la persona che ha bisogno di un account utente per accedere alla rete.

Sponsor

Lo sponsor è la persona che crea l'account utente guest. Questa persona è spesso un dipendente dell'organizzazione che fornisce l'accesso alla rete. Gli sponsor possono essere persone specifiche (3) con determinati ruoli di lavoro o qualsiasi dipendente in grado di eseguire l'autenticazione in una directory aziendale, ad esempio Microsoft Active Directory (AD).

Dispositivo di imposizione di rete

Questi dispositivi sono i componenti dell'infrastruttura di rete che forniscono l'accesso alla rete. Inoltre, i dispositivi di imposizione di rete spingono gli utenti guest a un portale vincolato, dove possono immettere i dettagli dell'account guest. Quando un guest immette il proprio nome utente e la propria password temporanei, il dispositivo di imposizione di rete controlla tali credenziali rispetto agli account guest creati dal server guest.

Guest Server

Questo è il Cisco NAC Guest Server, che unisce tutti i componenti dell'accesso guest. Il server guest collega tra loro: lo sponsor che crea l'account guest, i dettagli dell'account passati al guest, l'autenticazione guest rispetto al dispositivo di imposizione di rete e la verifica del dispositivo di imposizione di rete del guest con il server guest. Inoltre, Cisco NAC Guest Server consolida le informazioni di accounting provenienti dai dispositivi di imposizione di rete per fornire un singolo punto di accesso guest ai report.

La documentazione dettagliata relativa a NGS è disponibile in CCO.

http://www.cisco.com/en/US/docs/security/nac/guestserver/configuration_guide/10/nacguestserver.html

Panoramica sulla topologia Lab

Configurazione del controller WLC

Per configurare il WLC, attenersi alla procedura seguente:

1. Inizializzare il controller e il punto di accesso.

2. Configurare le interfacce del controller.

3. Configurare RADIUS.

4. Configurare le impostazioni WLAN.

Inizializzazione

Per la configurazione iniziale, utilizzare una connessione console come HyperTerminal e seguire le istruzioni di installazione per popolare le informazioni di accesso e interfaccia. Anche il comando reset system avvia questi prompt.

Welcome to the Cisco Wizard Configuration Tool
Use the '-' character to backup
System Name [Cisco_44:36:c3]: WLC
Enter Administrative User Name (24 characters max): admin
Enter Administrative Password (24 characters max): admin
Service Interface IP Address Configuration [none][DHCP]: <ENTER>
Enable Link Aggregation (LAG) [yes][NO]:no
Management Interface IP Address: 10.10.51.2
Management Interface Netmask: 255.255.255.0
Management Interface Default Router: 10.10.51.1
Management Interface VLAN Identifier (0 = untagged): 0
Management Interface Port Num [1 to 2]: 1
Management Interface DHCP Server IP Address: 10.10.51.1
AP Transport Mode [layer2][LAYER3]: layer3
AP Manager Interface IP Address: 10.10.51.3
AP-Manager is on Management subnet, using same values
AP Manager Interface DHCP Server (10.10.5<X>.1):<ENTER>
Virtual Gateway IP Address: 1.1.1.1
Mobility/RF Group Name: mobile-1
Enable Symmetric Mobility Tunneling: No
Network Name (SSID): wireless-1
Allow Static IP Addresses [YES][no]:<ENTER>
Configure a RADIUS Server now? [YES][no]:<ENTER>
Enter the RADIUS Server's Address: 10.1.1.12
Enter the RADIUS Server's Port [1812]:<ENTER>
Enter the RADIUS Server's Secret: cisco
Enter Country Code (enter 'help' for a list of countries) [US]:<ENTER>
Enable 802.11b Network [YES][no]:<ENTER>
Enable 802.11a Network [YES][no]:<ENTER>
Enable 802.11g Network [YES][no]:<ENTER>
Enable Auto-RF [YES][no]:<ENTER>
Configure a NTP server now? [YES][no]: no
Configure the system time now? [YES][no]: yes
Enter the date in MM/DD/YY format: mm/dd/yy
Enter the time in HH:MM:SS format: hh:mm:ss

Cisco NAC Guest Server

Cisco NAC Guest Server è una soluzione di provisioning e reporting che fornisce accesso temporaneo alla rete a client quali guest, collaboratori esterni, ecc. Cisco NAC Guest Server funziona con le soluzioni Cisco Unified Wireless Network o Cisco NAC Appliance. In questo documento viene descritta la procedura per integrare Cisco NAC Guest Server con un Cisco WLC, che crea un account utente guest e verifica l'accesso temporaneo alla rete del guest.

Per completare l'integrazione, procedere come segue:

1. Aggiungere Cisco NAC Guest Server come server di autenticazione nel WLC.

   1. Accedere al WLC (https://10.10.51.2, admin/admin) per configurare questa opzione.

   2. Scegliere Sicurezza > RADIUS > Autenticazione.

      

   3. Scegliere Nuovo.

   4. Aggiungere l'indirizzo IP (10.1.1.14) per Cisco NAC Guest Server.

   5. Aggiungere il segreto condiviso.

   6. Confermare il segreto condiviso.

      

   7. Scegliere Applica.

      

2. Aggiungere Cisco NAC Guest Server come server di accounting nel WLC.

   1. Scegliere Sicurezza > RADIUS >Accounting.

      

   2. Scegliere Nuovo.

   3. Aggiungere l'indirizzo IP (10.1.1.14) per Cisco NAC Guest Server.

   4. Aggiungere il segreto condiviso.

   5. Confermare il segreto condiviso.

      

   6. Scegliere Applica.

      

3. Modificare la WLAN (wireless-x) in modo da utilizzare il NAC Guest Server.

   1. Modificare la WLAN (wireless-x).

   2. Scegliere la scheda Protezione.

   3. Impostare Protezione di livello 2 su Nessuna e Protezione di livello 3 per utilizzare l'autenticazione Web.

      

   4. Selezionare i server AAA nella scheda Security (Sicurezza).

   5. Nella casella Server 1 scegliere il server RADIUS (10.1.1.14).

   6. Nella casella Server 1 scegliere Accounting Server (10.1.1.14).

      

   7. Scegliere la scheda Avanzate.

   8. Abilitare Consenti sostituzione AAA. In questo modo, è possibile impostare il timeout della sessione per client da NAC Guest Appliance.

      

      Nota: quando la sostituzione AAA è abilitata sull'SSID, la durata rimanente dell'utente guest su NGS viene trasferita sul WLC come timeout della sessione al momento dell'accesso dell'utente guest.

   9. Scegliere Apply (Applica) per salvare la configurazione WLAN.

      

4. Verificare se il controller è stato aggiunto come client Radius in Cisco NAC Guest Server.

   1. Selezionare NAC Guest Server (https://10.1.1.14/admin) per configurare questa opzione.

      Nota: se si specifica l'opzione /admin nell'URL, viene visualizzata la pagina Amministrazione.

      

   2. Selezionate Client raggio.

   3. Selezionate Agg raggio (Add Radius).

   4. Immettere le informazioni sul client Radius:

      • Immettere un nome: nome sistema WLC.

      • Immettere l'indirizzo IP: indirizzo IP del WLC (10.10.51.2).

      • Immettere lo stesso segreto condiviso immesso al passaggio 1.

      • Conferma il tuo segreto condiviso.

      • Immettere una descrizione.

      • Scegliere Aggiungi client Radius.

        

   5. Riavviare il servizio Radius per rendere effettive le modifiche.

   6. Selezionate Client raggio.

   7. Selezionate Riavvia (Restart) nella casella Raggio riavvio (Restart Radius).

      

5. Creare un utente locale, ovvero Lobby Ambassador, nel Cisco NAC Guest Server.

   1. Scegliere Utenti locali.

   2. Scegliere Aggiungi utente.

      Nota: è necessario compilare tutti i campi.

   3. Immettere un nome: lobby.

   4. Immettere un cognome: Ambasciatore.

   5. Immettere Nome utente: sala di attesa.

   6. Immettere una password: password.

   7. Lasciare Gruppo come predefinito.

   8. Immettere L'Indirizzo Di Posta Elettronica: lobby@xyz.com.

   9. Scegliere Aggiungi utente.

      

6. Eseguire il login come utente locale e creare un account guest.

   1. Accedere al NAC Guest Server (https://10.1.1.14) con il nome utente e la password creati al punto 5 e configurare quanto segue:

      

   2. Scegliere Crea per un account utente guest.

      Nota: è necessario compilare tutti i campi.

   3. Immettere un nome.

   4. Immettere un cognome.

   5. Inserire la società.

   6. Immettere l'indirizzo di posta elettronica.

      Nota: l'indirizzo e-mail è il nome utente.

   7. Inserire il campo Fine conto: ora.

   8. Scegliere Aggiungi utente.

      

7. Connettersi alla WLAN guest e accedere come utente guest.

   1. Collegare il client wireless alla rete WLAN guest (wireless-x).

   2. Aprire il browser Web da reindirizzare alla pagina Accesso Web-Auth.

      Nota: in alternativa, digitare https://1.1.1.1/login.html per essere reindirizzati alla pagina Accesso.

   3. Immettere il nome utente guest creato nel passo 6.

   4. Immettere la password generata automaticamente al passaggio 6.

   5. Telnet su WLC e verificare che il timeout della sessione sia stato impostato con il comando show client detail.

   6. Alla scadenza del timeout della sessione, il client guest viene disconnesso e il ping viene interrotto.

      

Nota: per configurare l'autenticazione Web dal controller LAN Wireless, dal WLC al server guest NAC (NGS), è necessario usare l'autenticazione in modalità PAP sulle proprietà di autenticazione Web. Se il criterio di autenticazione Web è impostato su CHAP, l'autenticazione ha esito negativo perché CHAP non è supportato con NGS.

Informazioni correlate

• Appliance Cisco NAC - Guida all'installazione e alla configurazione di Clean Access Manager, versione 4.1(3)
• Supporto switch appliance Cisco NAC e controller LAN wireless
• Guida alla configurazione di Cisco Wireless LAN Controller, versione 7.0.116.0
• (Video) Integrazione di Cisco Identity Services Engine (ISE) e Wireless LAN Controller (WLC)
• NAC (Clean Access): configurazione dell'accesso guest
• Guida all'installazione: Cisco Guest Access Using the Cisco Wireless LAN Controller, release 4.1
• Documentazione e supporto tecnico – Cisco Systems