Sommario

Introduzione

Prerequisiti

Requisiti

Componenti usati

Configurazione

Esempio di rete

Configurazione CLI

Configurazione GUI

Verifica

Introduzione

In questo documento viene descritto come configurare l'autenticazione Web esterna con i controller di accesso convergente. In questo esempio, la pagina del portale guest e l'autenticazione delle credenziali sono entrambe disponibili su Identity Services Engine (ISE).

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

1. Cisco converged access controller.

2. Autenticazione Web

3. Cisco ISE

Componenti usati

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

1. Controller Cisco 5760 (NGWC nel diagramma seguente), 03.06.05E

2. ISE 2.2

Configurazione

Esempio di rete

Configurazione CLI

Configurazione Radius sul controller

passaggio 1: Definisci server RADIUS esterno

radius server ISE.161

address ipv4 10.48.39.161 auth-port 1812 acct-port 1813

timeout 10

retransmit 5

key Cisco123

passaggio 2:. Definire il gruppo di raggi AAA e specificare il server radius da utilizzare

aaa group server radius ISE-Group

server name ISE.161

deadtime 10

passaggio 3. Definire l'elenco dei metodi che punta al gruppo del raggio e mapparlo sotto la WLAN.

aaa authentication login webauth group ISE-Group

Configurazione mappa parametri

passaggio 4. Configurare la mappa dei parametri globali con l'indirizzo ip virtuale richiesto per webauth esterno e interno. Il pulsante Disconnetti utilizza IP virtuale. È sempre buona norma configurare un IP virtuale non instradabile.

parameter-map type webauth global

type webauth

virtual-ip ipv4 1.1.1.1

passaggio 5: Consente di configurare una mappa di parametri denominata. Funzionerà come un tipo di metodo webauth. Questa condizione viene chiamata nella configurazione WLAN.

parameter-map type webauth web

type webauth

redirect for-login https://10.48.39.161:8443/portal/PortalSetup.action?portal=0c712cd0-6d90-11e5-978e-005056bf2f0a

redirect portal ipv4 10.48.39.161

ACL di preautenticazione. Questa condizione viene chiamata anche nella WLAN.

passaggio 6: Configurare Preauth_ACL che consente l'accesso ad ISE, DHCP e DNS prima del termine dell'autenticazione

ip access-list extended Preauth_ACL

permit ip any host 10.48.39.161

permit ip host 10.48.39.161 any

permit udp any eq bootps any

permit udp any any eq bootpc

permit udp any eq bootpc any

permit udp any eq domain any

permit udp any any eq domain

Configurazione WLAN

passaggio 7: configurazione della WLAN

wlan ext-webauth 7 ext-webauth

client vlan vlan232

ip access-group web Preauth_ACL

no security wpa

no security wpa akm dot1x

no security wpa wpa2

no security wpa wpa2 ciphers aes

security web-auth

security web-auth authentication-list webauth

security web-auth parameter-map web

session-timeout 1800

no shutdown

passaggio 8: Attivare il server HTTP.

ip http server

ip http secure-server (for secure web-auth, use 'no' to disable secure web)

Configurazione GUI

Stiamo seguendo la stessa procedura descritta sopra. Gli screenshot sono forniti solo come riferimento incrociato.

passaggio 1: Definire un server RADIUS esterno

passaggio 2:. Definire il gruppo di raggi AAA e specificare il server radius da utilizzare

passaggio 3. Definire l'elenco dei metodi che punta al gruppo del raggio e mapparlo sotto la WLAN.

Configurazione mappa parametri

passaggio 4. Configurare la mappa dei parametri globali con l'indirizzo ip virtuale richiesto per webauth esterno e interno. Il pulsante Disconnetti utilizza IP virtuale. È sempre buona norma configurare un IP virtuale non instradabile.

passaggio 5: Consente di configurare una mappa di parametri denominata. Funzionerà come un tipo di metodo webauth. Questa condizione viene chiamata nella configurazione WLAN.

ACL di preautenticazione. Questa condizione viene chiamata anche nella WLAN.

passaggio 6: Configurare Preauth_ACL che consente l'accesso ad ISE, DHCP e DNS prima del termine dell'autenticazione

Configurazione WLAN

passaggio 7: configurazione della WLAN

Verifica

Connettere un client e assicurarsi che, se si apre un browser, il client venga reindirizzato alla pagina del portale di accesso. Nello screenshot seguente viene illustrata la pagina del portale per gli ospiti ISE.

Dopo l'invio delle credenziali corrette, verrà visualizzata la pagina della riuscita:

Il server ISE effettuerà due autenticazioni: una sulla pagina guest stessa (la riga inferiore con solo il nome utente) e una seconda autenticazione quando il WLC fornisce lo stesso nome utente/password tramite l'autenticazione radius (solo questa autenticazione farà passare il client alla fase di riuscita). Se non si verifica l'autenticazione radius (con indirizzo MAC e dettagli WLC come NAS), è necessario verificare la configurazione radius.