Sommario

Introduzione

Prerequisiti

Requisito

Componenti usati

Configurazione

Esempio di rete

Configurazione AAA su 9800 WLC

Autenticazione dei client con il server esterno

Autenticazione locale dei client

Configurazione della WLAN

Configurazione del profilo di policy

Configurazione del tag di policy

Assegnazione tag criteri

Registra localmente l'indirizzo MAC sul WLC per l'autenticazione locale

Immettere l'indirizzo MAC nel database degli endpoint ISE

Creare una regola di autenticazione

Creazione regola di autorizzazione

Verifica

Risoluzione dei problemi

Debug condizionale e traccia Radioactive (RA)

Introduzione

Questo documento descrive come configurare una rete WLAN (Wireless Local Area Network) con sicurezza dell'autenticazione MAC su Cisco Catalyst 9800 WLC.

Prerequisiti

Requisito

Cisco raccomanda la conoscenza dei seguenti argomenti:

- Indirizzo MAC

- Cisco Catalyst serie 9800 Wireless Controller

- Identity Service Engine (ISE)

Componenti usati

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

- Cisco IOS® XE Gibraltar v16.12

- ISE v2.2

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Configurazione

Esempio di rete

Configurazione AAA sui controller 9800 WLC

Autenticazione dei client con il server esterno

GUI:

Leggere i punti 1-3 della sezione 'Configurazione AAA su 9800 WLC' da questo collegamento:

Configurazione AAA su WLC serie 9800

Passaggio 4. Creare un metodo di rete di autorizzazione.

IndividuateConfiguration > Security > AAA > AAA Method List > Authorization > + Adde create l'oggetto.

CLI:

# config t

# aaa new-model

# radius server <radius-server-name>

# address ipv4 <radius-server-ip> auth-port 1812 acct-port 1813

# timeout 300

# retransmit 3

# key <shared-key>

# exit

# aaa group server radius <radius-grp-name>

# server name <radius-server-name>

# exit

# aaa server radius dynamic-author

# client <radius-server-ip> server-key <shared-key>

# aaa authorization network <AuthZ-method-name> group <radius-grp-name>

Autenticazione locale dei client

Creare un metodo di rete di autorizzazione locale.

IndividuateConfiguration > Security > AAA > AAA Method List > Authorization > + Adde create l'oggetto.

CLI:

# config t

# aaa new-model

# aaa authorization network AuthZ-local local

Configurazione della WLAN

GUI:

Passaggio 1. Creare la WLAN.

IndividuareConfiguration > Wireless > WLANs > + Adde configurare la rete in base alle esigenze.

Passaggio 2. Immettere le informazioni sulla WLAN.

Passaggio 3. Passare allaSecurityscheda e disabilitareLayer 2 Security Modee abilitareMAC Filtering. DaAuthorization List, scegliere il metodo di autorizzazione creato nel passo precedente. Quindi fate clic suSave & Apply to Device.

CLI:

# config t

# wlan <profile-name> <wlan-id> <ssid-name>

# mac-filtering <authZ-network-method>

# no security wpa akm dot1x

# no security wpa wpa2 ciphers aes

# no shutdown

Configurazione del profilo di policy

È necessario abilitareaaa-overridenel profilo dei criteri per garantire il corretto funzionamento del filtro mac per SSID.

Configurazione del profilo delle policy su 9800 WLC

Configurazione del tag di policy

Codice di matricola su 9800 WLC

Assegnazione tag criteri

Assegnazione codice su 9800 WLC

Registra l'indirizzo MAC consentito.

Registra localmente l'indirizzo MAC sul WLC per l'autenticazione locale

Passare aConfiguration > Security > AAA > AAA Advanced > AP Authentication > + Add.

Scrivere l'indirizzo MAC in lettere minuscole senza separatore e fare clic suSave & Apply to Device.

Nota: nelle versioni precedenti alla 17.3, l'interfaccia utente Web ha modificato qualsiasi formato MAC digitato nel formato 'nessun separatore' mostrato nella figura. Nella versione 17.3 e successive, l'interfaccia utente Web rispetta qualsiasi struttura immessa ed è pertanto essenziale non immettere alcun separatore. Miglioramento bug Cisco ID bug CSCv43870 tiene traccia del supporto di diversi formati per l'autenticazione MAC.

CLI:

# config t

# username <aabbccddeeff> mac

Immettere l'indirizzo MAC nel database degli endpoint ISE

Passaggio 1. (Facoltativo) Creare un nuovo gruppo di endpoint.

Passare aWork Centers > Network Access > Id Groups > Endpoint Identity Groups > + Add.

Passaggio 2. Passare aWork Centers > Network Access > Identities > Endpoints > +Add.

Configurazione di ISE

Aggiunta di controller 9800 WLC a ISE.

Leggi le istruzioni in questo link: Declare WLC to ISE.

Creare una regola di autenticazione

Le regole di autenticazione vengono utilizzate per verificare se le credenziali degli utenti sono corrette, ovvero per verificare se l'utente è effettivamente l'utente a cui sono state assegnate, e per limitare i metodi di autenticazione che possono essere utilizzati dall'utente.

Passaggio 1. Passare aPolicy > Authenticationcome mostrato nell'immagine.

Confermare che la regola MAB predefinita esiste sull'ISE.

Passaggio 2. Verificare che la regola di autenticazione predefinita per MAB esista già:

In caso contrario, è possibile aggiungerne uno nuovo facendo clic suInsert new row above.

Creazione regola di autorizzazione

La regola di autorizzazione permette di stabilire quali autorizzazioni (ovvero quale profilo di autorizzazione) vengono applicate al client.

Passaggio 1. Passare aPolicy > Authorizationcome mostrato nell'immagine.

Passaggio 2. Inserite una nuova regola come mostrato nell'immagine.

Passaggio 3. Immettere i valori.

Innanzitutto, scegliete un nome per la regola e il gruppo di identità in cui è memorizzato il punto finale (MACaddressgroup), come mostrato nell'immagine.

In seguito, scegliere altre condizioni che fanno il processo di autorizzazione per rientrare in questa regola. In questo esempio, il processo di autorizzazione raggiunge questa regola se utilizza il servizio MAB wireless e il relativo ID stazione chiamato (il nome dell'SSID) termina conmac-authcome mostrato nell'immagine.

Infine, scegliere il profilo di autorizzazione assegnato, in questo caso,PermitAccessai client che hanno eseguito la regola. Fare clicDonee salvarlo.

Verifica

Usare questi comandi per verificare la configurazione corrente:

# show wlan { summary | id | name | all }

# show run wlan

# show run aaa

# show aaa servers

# show ap config general

# show ap name <ap-name> config general

# show ap tag summary

# show ap name <AP-name> tag detail

# show wlan { summary | id | name | all }

# show wireless tag policy detailed <policy-tag-name>

# show wireless profile policy detailed <policy-profile-name>

Risoluzione dei problemi

WLC 9800 offre funzionalità di traccia ALWAYS-ON. In questo modo, tutti gli errori, gli avvisi e i messaggi relativi alla connettività del client vengono registrati costantemente ed è possibile visualizzare i registri relativi a un evento imprevisto o a una condizione di errore dopo che si è verificato.

Nota: anche se dipende dal volume di log generati, è possibile tornare indietro di alcune ore a diversi giorni.

Per visualizzare le tracce raccolte per impostazione predefinita dal 9800 WLC, è possibile connettersi al 9800 WLC tramite SSH/Telnet e leggere i seguenti passaggi (verificare di aver registrato la sessione su un file di testo).

Passaggio 1. Controllare l'ora corrente del controller in modo da poter tenere traccia dei registri dall'ora precedente a quella in cui si è verificato il problema.

# show clock

Passaggio 2. Raccogliere syslog dal buffer del controller o dal syslog esterno in base alla configurazione del sistema. Questo fornisce una rapida panoramica dello stato e degli eventuali errori del sistema.

# show logging

Passaggio 3. Verificare se sono abilitate le condizioni di debug.

# show debugging

IOSXE Conditional Debug Configs:

Conditional Debug Global State: Stop

IOSXE Packet Tracing Configs:

Packet Infra debugs:

Ip Address                                               Port

------------------------------------------------------|----------

Nota: se nell'elenco è presente una condizione, le tracce vengono registrate a livello di debug per tutti i processi che soddisfano le condizioni abilitate (indirizzo MAC, indirizzo IP e così via). In questo modo si aumenta il volume dei registri. È pertanto consigliabile cancellare tutte le condizioni quando non si esegue il debug attivo.

Passaggio 4. Se l'indirizzo MAC sottoposto al test non è stato elencato come condizione nel Passaggio 3., raccogliere le tracce del livello di notifica sempre attive per l'indirizzo MAC specifico.

# show logging profile wireless filter { mac | ip } { <aaaa.bbbb.cccc> | <a.b.c.d> } to-file always-on-<FILENAME.txt>

È possibile visualizzare il contenuto della sessione oppure copiare il file su un server TFTP esterno.

# more bootflash:always-on-<FILENAME.txt>

or

# copy bootflash:always-on-<FILENAME.txt> tftp://a.b.c.d/path/always-on-<FILENAME.txt>

Debug condizionale e traccia Radioactive (RA)

Se le tracce sempre attive non forniscono informazioni sufficienti per determinare il trigger del problema in esame, è possibile abilitare il debug condizionale e acquisire la traccia Radio attiva (RA), che fornisce le tracce a livello di debug per tutti i processi che interagiscono con la condizione specificata (in questo caso l'indirizzo MAC del client). Per abilitare il debug condizionale, leggere i passaggi seguenti.

Passaggio 5. Verificare che non vi siano condizioni di debug abilitate.

# clear platform condition all

Passaggio 6. Abilitare la condizione di debug per l'indirizzo MAC del client wireless che si desidera monitorare.

Questi comandi iniziano a monitorare l'indirizzo MAC fornito per 30 minuti (1800 secondi). È possibile aumentare questo tempo fino a 2085978494 secondi.

# debug wireless mac <aaaa.bbbb.cccc> {monitor-time <seconds>}

Nota: Per monitorare più client alla volta, eseguire il comando debug wireless mac

per indirizzo MAC.

Nota: non si visualizza l'output dell'attività del client nella sessione terminale, in quanto tutto viene memorizzato internamente per essere visualizzato successivamente.

Passaggio 7. Riprodurre il problema o il comportamento che si desidera monitorare.

Passaggio 8. Interrompere i debug se il problema viene riprodotto prima che il tempo di monitoraggio predefinito o configurato sia attivo.

# no debug wireless mac <aaaa.bbbb.cccc>

Allo scadere del tempo di monitoraggio o dopo aver interrotto il debug wireless, il WLC 9800 genera un file locale con il nome: ra_trace_MAC_aaaabbbbcccc_HHMMSS.XXX_timezone_DayWeek_Month_Day_year.log

Passaggio 9. Recuperare il file dell'attività dell'indirizzo MAC.   È possibile copiare il filera trace .logsu un server esterno o visualizzare l'output direttamente sullo schermo.

Controllare il nome del file delle tracce RA:

# dir bootflash: | inc ra_trace

Copiare il file su un server esterno:

# copy bootflash:ra_trace_MAC_aaaabbbbcccc_HHMMSS.XXX_timezone_DayWeek_Month_Day_year.log tftp://a.b.c.d/ra-FILENAME.txt

Visualizzare il contenuto:

# more bootflash:ra_trace_MAC_aaaabbbbcccc_HHMMSS.XXX_timezone_DayWeek_Month_Day_year.log

Passaggio 10. Se la causa principale non è ancora ovvia, raccogliere i log interni che offrono una visualizzazione più dettagliata dei log a livello di debug. non è necessario eseguire di nuovo il debug del client, in quanto è sufficiente esaminare in dettaglio i log di debug già raccolti e archiviati internamente.

# show logging profile wireless internal filter { mac | ip } { <aaaa.bbbb.cccc> | <a.b.c.d> } to-file ra-internal-<FILENAME>.txt

Nota: questo output del comando restituisce tracce per tutti i livelli di registrazione per tutti i processi ed è piuttosto voluminoso. Coinvolgere Cisco TAC per analizzare queste tracce.

È possibile copiare il filera-internal-FILENAME.txtsu un server esterno oppure visualizzarlo direttamente sullo schermo.

Copiare il file su un server esterno:

# copy bootflash:ra-internal-<FILENAME>.txt tftp://a.b.c.d/ra-internal-<FILENAME>.txt

Visualizzare il contenuto:

# more bootflash:ra-internal-<FILENAME>.txt

Passaggio 11. Rimuovere le condizioni di debug.

# clear platform condition all

Nota: assicurarsi di rimuovere sempre le condizioni di debug dopo una sessione di risoluzione dei problemi.