Configurazione dell'assegnazione dinamica della VLAN con i WLC basati su ISE per la mappa del gruppo di Active Directory

Introduzione

Prerequisiti

Nel documento viene descritto come configurare il controller WLC (Wireless LAN Controller) e il server Identity Services Engine (ISE) in modo da assegnare dinamicamente i client WLAN (Wireless LAN) a una VLAN specifica.

Requisiti

Componenti usati

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

• Cisco serie 5520 WLC con firmware versione 8.8.11.0

• Cisco serie 4800 AP

• Supplicant Windows nativo e Anyconnect NAM

• Cisco Secure ISE versione 2.3.0.298

• Microsoft Windows 2016 Server configurato come controller di dominio

• Cisco serie 3560-CX Switch con versione 15.2(4)E1

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Convenzioni

Per ulteriori informazioni sulle convenzioni usate, consultare il documento Cisco sulle convenzioni nei suggerimenti tecnici.

Assegnazione dinamica di VLAN con server RADIUS

Nella maggior parte dei sistemi WLAN, ogni WLAN dispone di un criterio statico che viene applicato a tutti i client associati a un SSID (Service Set Identifier) o a una WLAN nella terminologia del controller. Sebbene potente, questo metodo presenta delle limitazioni in quanto richiede ai client di associarsi a SSID diversi per ereditare criteri QoS e di sicurezza diversi.

La soluzione WLAN di Cisco risolve questo limite con il supporto delle reti di identità. In questo modo, la rete può annunciare un singolo SSID, ma determinati utenti possono ereditare diversi attributi QoS e VLAN e/o criteri di sicurezza in base alle credenziali dell'utente.

L'ID VLAN è 12 bit e assume un valore compreso tra 1 e 4094 inclusi. Poiché Tunnel-Private-Group-ID è di tipo stringa, come definito nella RFC2868 per l'utilizzo con IEEE 802.1X, il valore intero dell'ID VLAN viene codificato come stringa. Quando vengono inviati questi attributi del tunnel, è necessario compilare il campo Tag.

Come indicato nella RFC 2868, sezione 3.1: il campo Tag è lungo un ottetto e serve a raggruppare gli attributi nello stesso pacchetto e fa riferimento allo stesso tunnel. I valori validi per questo campo sono compresi tra 0x01 e 0x1F inclusi. Se il campo Tag non è utilizzato, deve essere zero (0x00). Per ulteriori informazioni su tutti gli attributi RADIUS, consultare la RFC 2868.

Configurazione

In questa sezione vengono fornite le informazioni necessarie per configurare le funzionalità descritte nel documento.

Esempio di rete

Configurazioni

Di seguito sono riportati i dettagli di configurazione dei componenti utilizzati nel diagramma:

• L'indirizzo IP del server ISE (RADIUS) è 10.48.39.128.

• L'indirizzo dell'interfaccia di gestione e AP-manager del WLC è 10.48.71.20.

• Il server DHCP risiede nella rete LAN ed è configurato per i rispettivi pool di client; non viene visualizzato nel diagramma.

• In questa configurazione vengono usate le VLAN1477 e VLAN1478. Gli utenti del reparto Marketing sono configurati in modo da essere inseriti nella VLAN1477 e gli utenti del reparto HR sono configurati in modo da essere inseriti nella VLAN1478 dal server RADIUS quando entrambi gli utenti si connettono allo stesso SSID — office_hq.

  VLAN147: 192,168.77.0/24. Gateway: 192.168.77.1 VLAN1478: 192.168.78.0/24. Gateway: 192.168.78.1 

• Questo documento utilizza 802.1x con PEAP-mschapv2 come meccanismo di sicurezza.

Nota: Cisco consiglia di utilizzare metodi di autenticazione avanzati, come l'autenticazione EAP-FAST e EAP-TLS, per proteggere la WLAN.

Prima di eseguire la configurazione, vengono fatti i seguenti presupposti:

• Il LAP è già registrato nel WLC

• Al server DHCP è assegnato un ambito DHCP

• Connettività di livello 3 esistente tra tutti i dispositivi della rete

• Nel documento viene descritta la configurazione richiesta sul lato wireless e si presume che la rete cablata sia installata

• I rispettivi utenti e gruppi sono configurati in Active Directory

Per eseguire l'assegnazione dinamica della VLAN con i WLC basati sulla mappatura ISE al gruppo AD, è necessario eseguire i seguenti passaggi:

1. Integrazione da ISE ad AD e configurazione dei criteri di autenticazione e autorizzazione per gli utenti su ISE.
2. Configurazione WLC per supportare l'autenticazione dot1x e l'override AAA per SSID 'office_hq'.
3. Fine configurazione del supplicant client.

Integrazione da ISE ad AD e configurazione dei criteri di autenticazione e autorizzazione per gli utenti su ISE

1. Accedere all'interfaccia utente Web ISE utilizzando un account admin.
2. Passa a Administration > Identity management > External Identity Sources > Active directory.
   
   
   
   
3. Fare clic su Aggiungi e immettere il nome del dominio e il nome dell'archivio identità dalle impostazioni di Nome punto di accesso Active Directory. Nell'esempio, l'ISE è registrata sul dominio wlaaan.com e il punto di unione è specificato come AD.wlaaan.com - nome significativo per ISE.
   
   
   
   
4. Viene visualizzata una finestra popup dopo Submit che chiede se si desidera partecipare immediatamente ad ISE to AD. Premere Yes e fornire le credenziali utente di Active Directory con diritti di amministratore per aggiungere un nuovo host al dominio.
   
   
   
   
5. A questo punto, è necessario che ISE sia stata correttamente registrata in Active Directory.
   
   
   
   In caso di problemi con il processo di registrazione, è possibile utilizzare il Diagnostic Tool  per eseguire i test richiesti per la connettività AD.
6. È necessario recuperare i gruppi per le directory attive utilizzate per assegnare i rispettivi profili di autorizzazione. Passa a Administration > Identity management > External Identity Sources > Active directory > > Groups , quindi scegliere Add e scegliere Select Groups from Active Directory.
   
   
   
   
7. Viene visualizzata una nuova finestra popup in cui è possibile specificare un filtro per recuperare gruppi specifici o recuperare tutti i gruppi da Active Directory.
   Scegliere i rispettivi gruppi dall'elenco dei gruppi AD e premere OK.
   
   
   
   
8. I rispettivi gruppi vengono aggiunti ad ISE e possono essere salvati. Premere Save.
   
   
   
   
9. Aggiungere WLC all'elenco dei dispositivi di rete ISE - passare a Administration > Network Resources > Network Devices e premere Add.
   Configurazione completa, fornendo l'indirizzo IP di gestione WLC e il segreto condiviso RADIUS tra WLC e ISE.
   
   
   
   
10. Ora, dopo aver aggiunto ISE ad AD e il WLC all'elenco dei dispositivi, è possibile avviare la configurazione dei criteri di autenticazione e autorizzazione per gli utenti.
    • Creare un profilo di autorizzazione per assegnare gli utenti da Marketing a VLAN1477 e dal gruppo HR a VLAN1478.
      Passa a Policy > Policy Elements > Results > Authorization > Authorization profiles e fare clic sul pulsante Add per creare un nuovo profilo.
      
      
      
      
    • Completare la configurazione del profilo di autorizzazione con le informazioni sulla VLAN per il rispettivo gruppo; nell'esempio viene mostrato Marketing impostazioni di configurazione del gruppo.
      
      
      
      Una configurazione simile deve essere eseguita per altri gruppi e devono essere configurati i rispettivi attributi del tag VLAN.
    • Dopo aver configurato i profili di autorizzazione, è possibile definire i criteri di autenticazione per gli utenti wireless. A tale scopo, è possibile configurare Custom o modificare Default Set di criteri. In questo esempio viene modificato il set di criteri Predefinito. Passa a Policy > Policy Sets > Default. Per impostazione predefinita, per dot1x tipo di autenticazione, verrà utilizzato da ISE All_User_ID_Stores, anche se funziona anche con le impostazioni predefinite correnti poiché AD fa parte dell'elenco di origini di identità di All_User_ID_Stores, in questo esempio viene utilizzata una regola più specifica WLC_lab per il rispettivo controller LAB e utilizza AD come unica origine per l'autenticazione.
      
      
      
      
    • È ora necessario creare criteri di autorizzazione per gli utenti che assegnano i rispettivi profili di autorizzazione in base all'appartenenza ai gruppi. Passa a Authorization policy e creare regole per soddisfare tale requisito.
      
      

Configurazione WLC per il supporto dell'autenticazione dot1x e sostituzione AAA per SSID 'office_hq'

1. Configurare ISE come server di autenticazione RADIUS su WLC. Passa a Security > AAA > RADIUS > Authentication  nell'interfaccia utente Web e fornire l'indirizzo IP ISE e le informazioni segrete condivise.
   
   
   
   
2. Configura SSID office_hq sotto la WLANs sul WLC; in questo esempio viene configurato il SSID con WPA2/AES+dot1x e AAA. Interfaccia Dummy per la WLAN, in quanto la VLAN corretta viene comunque assegnata tramite RADIUS. Questa interfaccia fittizia deve essere creata sul WLC e deve essere specificato un indirizzo IP, ma l'indirizzo IP non deve essere valido e la VLAN in cui viene inserita non può essere creata nello switch uplink in modo che se non viene assegnata alcuna VLAN, il client non possa andare da nessuna parte.
   
   
   
   
   
   
   
   
   
   
   
   
   
   
3. Inoltre, è necessario creare interfacce dinamiche sul WLC per le VLAN utente. Passa a Controller > Interfaces Menu UI. Il WLC può onorare l'assegnazione VLAN ricevuta tramite AAA solo se ha un'interfaccia dinamica in quella VLAN.
   
   
   

Verifica

Per verificare le connessioni, usare il supplicant nativo Windows 10 e Anyconnect NAM.

Poiché si utilizza l'autenticazione EAP-PEAP e ISE utilizza un certificato autofirmato (SSC), è necessario accettare un avviso di certificato o disabilitare la convalida del certificato. In un ambiente aziendale, è necessario utilizzare un certificato firmato e attendibile su ISE e verificare che i dispositivi dell'utente finale dispongano del certificato radice appropriato installato nell'elenco delle CA attendibili.

Test connessione con Windows 10 e supplicant nativo:

1. Open (Aperto) Network & Internet settings > Wi-Fi > Manage known networks  e creare un nuovo profilo di rete premendo il pulsante Add new network  pulsante;immettere le informazioni richieste.
   
   
   
   
2. Verificare che l'utente abbia selezionato il profilo corretto per l'accesso con autenticazione ISE.
   
   
   
   
3. Verificare che la voce del client sul WLC sia stata assegnata alla VLAN corretta e che si trovi nello stato RUN.
   
   
   
   
4. Dalla CLI del WLC, è possibile controllare lo stato del client con show client dertails :
   
   

   show client detail f4:8c:50:62:14:6b 
   Client MAC Address............................... f4:8c:50:62:14:6b
   Client Username ................................. Bob
   Client Webauth Username ......................... N/A
   Hostname: ....................................... 
   Device Type: .................................... Intel-Device
   AP MAC Address................................... 70:69:5a:51:4e:c0
   AP Name.......................................... AP4C77.6D9E.6162  
   AP radio slot Id................................. 1  
   Client State..................................... Associated     
   User Authenticated by ........................... RADIUS Server
   Client User Group................................ Bob
   Client NAC OOB State............................. Access
   Wireless LAN Id.................................. 3  
   Wireless LAN Network Name (SSID)................. office_hq
   Wireless LAN Profile Name........................ office_hq
   Hotspot (802.11u)................................ Not Supported
   Connected For ................................... 242 secs
   BSSID............................................ 70:69:5a:51:4e:cd  
   Channel.......................................... 36 
   IP Address....................................... 192.168.78.36
   Gateway Address.................................. 192.168.78.1
   Netmask.......................................... 255.255.255.0
   ...
   Policy Manager State............................. RUN
   ...
   EAP Type......................................... PEAP
   Interface........................................ vlan1478
   VLAN............................................. 1478
   Quarantine VLAN.................................. 0
   Access VLAN...................................... 1478

Test della connessione a Windows 10 e Anyconnect NAM:

1. Scegliere il SSID dall'elenco SSID disponibili e il rispettivo tipo di autenticazione EAP (in questo esempio PEAP) e il modulo di autenticazione interna.
   
   
   
   
2. Specificare nome utente e password per l'autenticazione utente.
   
   
   
   
3. Poiché ISE sta inviando un certificato SSC al client, è necessario scegliere manualmente di considerare attendibile il certificato (nell'ambiente di produzione si consiglia di installare il certificato attendibile su ISE).
   
   
   
   
4. Verificare i log di autenticazione su ISE e accertarsi che sia selezionato il profilo di autorizzazione corretto per l'utente.
   
   
   
   
5. Verificare che la voce del client sul WLC sia stata assegnata alla VLAN corretta e che si trovi nello stato RUN.
   
   
   
   
6. Dalla CLI del WLC, è possibile controllare lo stato del client con show client dertails :
   
   

   Client MAC Address............................... f4:8c:50:62:14:6b
   Client Username ................................. Alice
   Client Webauth Username ......................... N/A
   Hostname: ....................................... 
   Device Type: .................................... Intel-Device
   AP MAC Address................................... 70:69:5a:51:4e:c0
   AP Name.......................................... AP4C77.6D9E.6162  
   AP radio slot Id................................. 1  
   Client State..................................... Associated     
   User Authenticated by ........................... RADIUS Server
   Client User Group................................ Alice
   Client NAC OOB State............................. Access
   Wireless LAN Id.................................. 3  
   Wireless LAN Network Name (SSID)................. office_hq
   Wireless LAN Profile Name........................ office_hq
   Hotspot (802.11u)................................ Not Supported
   Connected For ................................... 765 secs
   BSSID............................................ 70:69:5a:51:4e:cd  
   Channel.......................................... 36 
   IP Address....................................... 192.168.77.32
   Gateway Address.................................. 192.168.77.1
   Netmask.......................................... 255.255.255.0
   ...
   Policy Manager State............................. RUN
   ...
   Policy Type...................................... WPA2
   Authentication Key Management.................... 802.1x
   Encryption Cipher................................ CCMP-128 (AES)
   Protected Management Frame ...................... No
   Management Frame Protection...................... No
   EAP Type......................................... PEAP
   Interface........................................ vlan1477
   VLAN............................................. 1477

Risoluzione dei problemi

1. Utilizzare il test aaa radius username  password  wlan-id    per verificare la connessione RADIUS tra WLC e ISE e test aaa show radius per mostrare i risultati.
   
   

   test aaa radius username Alice password <removed> wlan-id 2
   
   Radius Test Request
     Wlan-id........................................ 2
     ApGroup Name................................... none
   
     Attributes                      Values    
     ----------                      ------    
     User-Name                       Alice     
     Called-Station-Id               00-00-00-00-00-00:AndroidAP
     Calling-Station-Id              00-11-22-33-44-55
     Nas-Port                        0x00000001 (1)
     Nas-Ip-Address                  10.48.71.20
     NAS-Identifier                  0x6e6f (28271)
     Airespace / WLAN-Identifier     0x00000002 (2)
     User-Password                   cisco!123 
     Service-Type                    0x00000008 (8)
     Framed-MTU                      0x00000514 (1300)
     Nas-Port-Type                   0x00000013 (19)
     Cisco / Audit-Session-Id        1447300a0000003041d5665c
     Acct-Session-Id                 5c66d541/00:11:22:33:44:55/743
   
   
   
   test radius auth request successfully sent. Execute 'test aaa show radius' for response
   
   (Cisco Controller) >test aaa show radius 
   
   Radius Test Request
     Wlan-id........................................ 2
     ApGroup Name................................... none
   Radius Test Response
   
   Radius Server            Retry Status
   -------------            ----- ------
   10.48.39.128             1     Success
   
   Authentication Response:
     Result Code: Success
   
     Attributes                      Values    
     ----------                      ------    
     User-Name                       Alice     
     State                           ReauthSession:1447300a0000003041d5665c
     Class                           CACS:1447300a0000003041d5665c:rmanchur-ise/339603379/59
     Tunnel-Type                     0x0000000d (13)
     Tunnel-Medium-Type              0x00000006 (6)
     Tunnel-Group-Id                 0x000005c5 (1477)
   
   
   
   (Cisco Controller) >

2. Utilizzare il debug client  per risolvere i problemi di connettività dei client wireless.
3. Utilizzare il debug aaa all enable per risolvere i problemi di autenticazione e autorizzazione sul WLC.
   
   
   

   Nota: utilizzare questo comando solo con debug mac addr per limitare l'output in base all'indirizzo MAC per il quale viene eseguito il debug.

4.  Per identificare i problemi relativi agli errori di autenticazione e ai problemi di comunicazione di Active Directory, consultare i log di ISE in tempo reale e i log delle sessioni.