Sommario

Introduzione

Prerequisiti

Requisiti

Componenti usati

Premesse

Flusso del traffico per la distribuzione Enterprise guest CWA

Esempio di rete

Configurazione

Configurazione dei parametri di Guest Wireless Access C9800

C9800 - Configurazione AAA per guest

C9800 - Configurazione dell'ACL di reindirizzamento

C9800 - Configurazione profilo WLAN guest

C9800 - Definizione profilo criteri guest

C9800 - Codice

C9800 - Profilo di join AP

C9800 - Flex Profile

C9800 - Tag sito

C9800 - Profilo RF

C9800 - Assegna tag all'access point

Configura istanza di Aruba CPPM

Configurazione iniziale di Aruba ClearPass Server

Richiedi licenza

Nome host server

Genera certificato server Web CPPM (HTTPS)

Definisci C9800 WLC come dispositivo di rete

Pagina portale guest e timer CoA

ClearPass - Configurazione CWA guest

Attributo metadati endpoint ClearPass: Allow-Guest-Internet

Configurazione criterio di imposizione riautenticazione ClearPass

Configurazione profilo di applicazione reindirizzamento portale guest ClearPass

Configurazione profilo di imposizione metadati ClearPass

Configurazione criteri di imposizione accesso a Internet guest ClearPass

Configurazione dei criteri di imposizione Post-AUP guest ClearPass

Configurazione del servizio di autenticazione MAB ClearPass

Configurazione servizio ClearPass Webauth

ClearPass - Accesso Web

Verifica - Autorizzazione CWA Guest

Appendice

Informazioni correlate

Introduzione

In questo documento viene descritta l'integrazione di Catalyst 9800 Wireless LAN Controller (WLC) con Aruba ClearPass per fornire SSID (Guest Wireless Service Set Identifier) che sfrutta l'autenticazione Web centrale (CWA) ai client wireless in una modalità di distribuzione Flexconnect del punto di accesso (AP).

L'autenticazione wireless degli utenti guest è supportata dal portale degli utenti guest mediante una pagina di criteri utente accettabili anonimi (AUP), ospitata in Aruba Clearpass in un segmento DMZ (Secure Demilitarized Zone).

Prerequisiti

In questa guida si presume che questi componenti siano stati configurati e verificati:

- Tutti i componenti pertinenti vengono sincronizzati con il protocollo NTP (Network Time Protocol) e verificati per verificare che abbiano l'ora corretta (necessaria per la convalida del certificato)

- Server DNS operativo (richiesto per i flussi di traffico guest, convalida CRL (Certificate Revocation List))

- Server DHCP operativo

- CA (Certification Authority) facoltativa (necessaria per firmare il portale guest CPPM)

- Catalyst 9800 WLC

- Aruba ClearPass Server (richiede licenza della piattaforma, licenza di accesso, licenza integrata)

- Vmware ESXi

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

- Distribuzione C9800 e nuovo modello di configurazione

- Switching Flexconnect su C9800

- Autenticazione CWA 9800 (fare riferimento a https://www.cisco.com/c/en/us/support/docs/wireless/catalyst-9800-series-wireless-controllers/213920-central-web-authentication-cwa-on-cata.html)

Componenti usati

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

- Cisco Catalyst C9800-L-C con 17.3.4c

- Cisco Catalyst C9130AX

- Aruba ClearPass, patch 6-8-0-109592 e 6.8-3

- Server MS Windows

- Active Directory (Criteri di gruppo configurati per il rilascio automatico di certificati basati su computer agli endpoint gestiti)

- Server DHCP con opzione 43 e opzione 60

- Server DNS

- Server NTP per sincronizzare l'ora di tutti i componenti

- La CA

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Premesse

Il diagramma fornisce i dettagli degli scambi di accesso Wifi guest prima che l'utente guest sia autorizzato ad accedere alla rete:

1. L'utente guest si associa alla Wifi guest in una sede remota.

2. La richiesta di accesso RADIUS iniziale viene inoltrata da C9800 al server RADIUS.

3. Il server cerca l'indirizzo MAC guest fornito nel database degli endpoint MAC locale.

Se l'indirizzo MAC non viene trovato, il server risponde con un profilo MAB (MAC Authentication Bypass). Questa risposta RADIUS include:

- ACL (Redirect Access Control List)

- Reindirizzamento URL

4. Il client passa attraverso il processo di apprendimento IP in cui gli viene assegnato un indirizzo IP.

5. C9800 esegue la transizione del client guest (identificato dall'indirizzo MAC) allo stato 'Web Auth Pending'.

6. La maggior parte dei moderni sistemi operativi per dispositivi, in associazione con le WLAN guest, esegue una sorta di rilevamento di portale vincolato.

L'esatto meccanismo di rilevamento dipende dall'implementazione specifica del sistema operativo. Il sistema operativo del client apre una finestra di dialogo a comparsa (pseudo browser) con una pagina reindirizzata da C9800 all'URL del portale guest ospitato dal server RADIUS fornito come parte della risposta di accesso e accettazione RADIUS.

7. L'utente guest accetta i termini e le condizioni nella schermata popup visualizzata. ClearPass imposta un flag per l'indirizzo MAC del client nel suo database di endpoint (DB) per indicare che il client ha completato un'autenticazione e avvia un Cambio di autorizzazione RADIUS (CoA), selezionando un'interfaccia basata sulla tabella di routing (se in ClearPass sono presenti più interfacce).

8. Il client guest WLC passa allo stato 'Esegui' e all'utente viene concesso l'accesso a Internet senza ulteriori reindirizzamenti.

Nota: Per il diagramma di flusso dello stato di Cisco 9800 Foreign, Anchor Wireless Controller con RADIUS e il portale guest ospitato esternamente, fare riferimento alla sezione Appendice di questo articolo.

Diagramma di stato di Guest Central Web Authentication (CWA)

Flusso del traffico per la distribuzione Enterprise guest CWA

In un'installazione aziendale tipica con più filiali, ogni filiale è configurata per fornire un accesso segmentato e sicuro ai guest tramite un portale guest una volta che il guest accetta il contratto di licenza.

In questo esempio di configurazione, 9800 CWA viene utilizzato per l'accesso guest tramite l'integrazione in un'istanza ClearPass separata, implementata esclusivamente per gli utenti guest nella DMZ protetta della rete.

Gli ospiti devono accettare i termini e le condizioni stabiliti nel portale pop-up di consenso Web fornito dal server DMZ ClearPass. In questo esempio di configurazione viene illustrato il metodo di accesso guest anonimo, ovvero non è necessario immettere nome utente e password guest per l'autenticazione al portale guest.

Il flusso del traffico che corrisponde a questa distribuzione è mostrato nell'immagine:

1. RAGGIO - Fase MAB

2. Reindirizzamento dell'URL del client guest al portale guest

3. Dopo l'accettazione da parte degli utenti guest del contratto di licenza sul portale per gli utenti guest, il certificato di riautenticazione RADIUS CoA viene rilasciato da CPPM a 9800 WLC

4. Agli ospiti è consentito l'accesso a Internet

Esempio di rete

Nota: Ai fini delle demo di laboratorio, viene utilizzata un'istanza singola o combinata del server Aruba CPPM per servire le funzioni del server di accesso alla rete (NAS) Guest e Corp SSID. L'implementazione di best practice suggerisce istanze NAS indipendenti.

Configurazione

In questo esempio di configurazione, viene utilizzato un nuovo modello di configurazione su C9800 per creare i profili e i tag necessari per fornire accesso aziendale dot1x e accesso guest CWA alla filiale aziendale. La configurazione risultante è riepilogata in questa immagine:

Configurazione dei parametri di Guest Wireless Access C9800

C9800 - Configurazione AAA per guest

Nota: Per quanto riguarda l'ID bug Cisco CSCvh03827, verificare che i server di autenticazione, autorizzazione e accounting (AAA) definiti non abbiano un bilanciamento del carico, in quanto il meccanismo si basa sulla persistenza di SessionID in WLC per gli scambi ClearPass RADIUS.

Passaggio 1. Aggiungere i server DMZ Aruba ClearPass alla configurazione WLC del 9800 e creare un elenco di metodi di autenticazione. Selezionare Configurazione > Sicurezza > AAA > Server/Gruppi > RADIUS > Server > +Aggiungi e immettere le informazioni sui server RADIUS.

Passaggio 2. Definire il gruppo di server AAA per i guest e assegnare il server configurato nel passaggio 1 a questo gruppo di server. Selezionare Configurazione > Sicurezza > AAA > Server/Gruppi > RADIUS > Gruppi > +Aggiungi.

Passaggio 3. Definire un elenco di metodi di autorizzazione per l'accesso guest e mappare il gruppo di server creato nel passaggio 2. Passare a Configurazione > Sicurezza > AAA > Elenco metodi AAA > Autorizzazione > +Aggiungi. Selezionare Tipo di rete, quindi Gruppo server AAA configurato nel passaggio 2.

Passaggio 4. Creare un elenco di metodi contabili per l'accesso guest e mappare il gruppo di server creato nel passaggio 2. Passare a Configurazione > Sicurezza > AAA > Elenco metodi AAA > Contabilità > +Aggiungi. Selezionare Type Identity (Identità tipo) dal menu a discesa, quindi AAA Server Group (Gruppo server AAA) configurato nel passo 2.

C9800 - Configurazione dell'ACL di reindirizzamento

L'ACL di reindirizzamento definisce il traffico che deve essere reindirizzato al portale guest rispetto a quello che può passare senza reindirizzamento. In questo caso, il rifiuto dell'ACL implica il bypass del reindirizzamento o del pass-through, mentre il rifiuto dell'autorizzazione implica il reindirizzamento al portale. Per ciascuna classe di traffico, è necessario considerare la direzione del traffico quando si creano le voci di controllo di accesso (ACE, Access Control Entries) e le voci di controllo di accesso (ACE, Access Control Entries) che corrispondono sia al traffico in entrata che al traffico in uscita.

Passare a Configurazione > Sicurezza > ACL e definire un nuovo ACL denominato CAPTIVE_PORTAL_REDIRECT. Configurare l'ACL con le seguenti ACE:

- ACE1: Consente al traffico ICMP (Internet Control Message Protocol) bidirezionale di ignorare il reindirizzamento ed è utilizzato principalmente per verificare la raggiungibilità.

- ACE10, ACE30: Consente il flusso del traffico DNS bidirezionale verso il server DNS 10.0.10.4 e non viene reindirizzato al portale. Per attivare il flusso guest sono necessarie una ricerca DNS e un'intercettazione per la risposta.

- ACE70, ACE80, ACE110, ACE120: Consente l'accesso HTTP e HTTPS al portale captive guest per la presentazione dell'utente al portale.

- ACE150: Tutto il traffico HTTP (porta UDP 80) viene reindirizzato.

C9800 - Configurazione profilo WLAN guest

Passaggio 1. Passare a Configurazione > Tag e profili > Wireless > +Aggiungi. Creare un nuovo profilo SSID WP_Guest, con la trasmissione di SSID 'Guest' a cui i client guest associano.

Nella stessa finestra di dialogo Aggiungi WLAN, selezionare la scheda Sicurezza > Layer 2.

- Modalità di sicurezza layer 2: Nessuna

- Filtro MAC: Attivato

- Elenco autorizzazioni: AAA_Authz_CPPM dal menu a discesa (configurato al punto 3. come parte della configurazione AAA)

C9800 - Definizione profilo criteri guest

Dalla GUI del WLC di C9800, selezionare Configurazione > Tag e profili > Criteri > +Aggiungi.

Nome: P_Guest

Stato: Attivato

Switching centrale: Disattivato

Autenticazione centrale: Attivato

DHCP centrale: Disattivato

Associazione centrale: Disattivato

Passare alla scheda Criteri di accesso nella stessa finestra di dialogo Aggiungi profilo criterio.

- Profilatura RADIUS: Attivato

- Gruppo VLAN/VLAN: 210 (ossia, la VLAN 210 è la VLAN locale guest a ciascuna postazione di succursale)

Nota: La VLAN guest per Flex non deve essere definita sul WLC 9800 in VLAN, nel numero di VLAN del tipo di gruppo VLAN/VLAN.

Difetto noto: l'ID bug Cisco CSCvn48234 impedisce la trasmissione dell'SSID se la stessa VLAN guest Flex è definita in WLC e nel profilo Flex.

Nella stessa finestra di dialogo Aggiungi profilo criterio, passare alla scheda Avanzate.

- Consenti sostituzione AAA: Attivato

- Stato NAC: Attivato

- Tipo NAC: RAGGIO

- Elenco contabile: AAA_Accounting_CPPM (definito nel passaggio 4 come parte della configurazione AAA)

Nota: Per abilitare il WLC C9800 per accettare i messaggi RADIUS CoA, è necessario lo stato 'NAC (Network Admission Control) - Abilita'.

C9800 - Codice

Dalla GUI di C9800, selezionare Configurazione > Tag e profili > Tag > Criteri > +Aggiungi.

-Nome: PT_CAN01

-Descrizione: Codice di matricola per il sito di succursale CAN01

Nella stessa finestra di dialogo Add Policy Tag, in WLAN-POLICY MAPS, fare clic su +Add, quindi mappare il profilo WLAN creato in precedenza a Policy Profile:

- Profilo WLAN: Ospite_PL

- Profilo delle politiche: P_Guest

C9800 - Profilo di join AP

Dalla GUI del WLC di C9800, selezionare Configurazione > Tag e profili > AP Join > +Aggiungi.

-Nome: Profilo_AP_diramazione

- Server NTP: 10.0.10.4 (fare riferimento al diagramma della topologia lab). Server NTP utilizzato dagli access point nel branch per la sincronizzazione.

C9800 - Flex Profile

I profili e i tag sono modulari e possono essere riutilizzati per più siti.

Nel caso dell'implementazione di FlexConnect, se si utilizzano gli stessi ID VLAN in tutti i siti di succursale, è possibile riutilizzare lo stesso profilo flessibile.

Passaggio 1. Su un'interfaccia GUI WLC C9800, selezionare Configurazione > Tag e profili > Flex > +Aggiungi.

-Nome: FP_Branch

- ID VLAN nativo: 10 (richiesto solo se si dispone di una VLAN nativa non predefinita in cui si desidera disporre di un'interfaccia di gestione AP)

Nella stessa finestra di dialogo Aggiungi profilo Flex, passare alla scheda ACL criterio e fare clic su +Aggiungi.

- Nome ACL: CAPTIVE_PORTAL_REDIRECT

- Central Web Auth: Attivato

In un'implementazione di Flexconnect, ogni access point gestito deve scaricare l'ACL di reindirizzamento localmente quando il reindirizzamento avviene sull'access point e non sul C9800.

Nella stessa finestra di dialogo Add Flex Profile, passare alla scheda VLAN e fare clic su +Add (fare riferimento al diagramma della topologia lab).

- Nome VLAN: ospite

- ID VLAN: 210

C9800 - Tag sito

Sulla GUI del WLC 9800, selezionare Configurazione > Tag e profili > Tag > Sito > Aggiungi.

Nota: Creare un codice di matricola univoco per ogni sito remoto che deve supportare i due SSID wireless come descritto.

Esiste un mapping 1-1 tra una posizione geografica, un tag del sito e una configurazione Flex Profile.

A un sito di connessione flessibile deve essere associato un profilo di connessione flessibile. È possibile disporre di un massimo di 100 punti di accesso per ogni sito flex connect.

-Nome: ST_CAN01

- Profilo di join AP: Profilo_AP_diramazione

- Profilo Flex: FP_Branch

- Attiva sito locale: Disattivato

C9800 - Profilo RF

Sulla GUI del WLC 9800, selezionare Configurazione > Tag e profili > Tag > RF > Aggiungi.

-Nome: Ramo_RF

- Profilo a radiofrequenza (RF) su banda 5 GHz: Typical_Client_Density_5gh (opzione definita dal sistema)

- Profilo RF su banda 2,4 GHz: Typical_Client_Density_2gh (opzione definita dal sistema)

C9800 - Assegna tag all'access point

Per assegnare tag definiti ai singoli access point nella distribuzione, sono disponibili due opzioni:

- Assegnazione basata sul nome AP, che sfrutta le regole regex che corrispondono ai pattern nel campo Nome AP (Configura > Tag e profili > Tag > AP > Filtro)

- Assegnazione basata sull'indirizzo MAC Ethernet AP (Configurazione > Tag e profili > Tag > AP > Statico)

Nell'implementazione di produzione con DNA Center, si consiglia di utilizzare DNAC e il flusso di lavoro PNP AP oppure un metodo di caricamento statico con valori delimitati da virgole (CSV) disponibile nel modello 9800 per evitare l'assegnazione manuale per punto di accesso. Selezionare Configura > Tag e profili > Tag > AP > Statico > Aggiungi (notare l'opzione Carica file).

- Indirizzo MAC AP: <AP_ETHERNET_MAC>

- Nome tag criteri: PT_CAN01

- Nome tag sito: ST_CAN01

- Nome tag RF: Ramo_RF

Nota: A partire dalla versione Cisco IOS®-XE 17.3.4c, il numero massimo di regole regex è 1000 per limitazione del controller. Se il numero di siti nella distribuzione supera questo numero, è necessario utilizzare l'assegnazione statica per MAC.

Nota: In alternativa, per utilizzare il metodo di assegnazione dei tag basato su regex di nome AP, selezionare Configura > Tag e profili > Tag > AP > Filtro > Aggiungi.

-Nome: BR_CAN01

- Nome punto di accesso regex: BR-CAN01-.(7) (questa regola corrisponde alla convenzione del nome AP adottata nell'organizzazione. In questo esempio, i tag vengono assegnati ai punti di accesso che dispongono di un campo Nome punto di accesso contenente 'BR_CAN01-' seguito da sette caratteri qualsiasi.)

-Priority: 1

- Nome tag criteri: PT_CAN01 (come definito)

- Nome tag sito: ST_CAN01

- Nome tag RF: Ramo_RF

Configura istanza di Aruba CPPM

Per la configurazione di Aruba CPPM basata su procedure ottimali/produzione, contattare la risorsa locale HPE Aruba SE.

Configurazione iniziale di Aruba ClearPass Server

Aruba ClearPass viene implementato con il modello OVF (Open Virtualization Format) sul server ESXi <> che alloca queste risorse:

- Due CPU virtuali riservate

- 6 GB di RAM

- Disco da 80 GB (deve essere aggiunto manualmente dopo la distribuzione iniziale della VM prima che la macchina venga accesa)

Richiedi licenza

Applicare la licenza della piattaforma tramite: Amministrazione > Server Manager > Licenze. Aggiungere licenze di piattaforma, accesso e integrate.

Nome host server

Passare a Amministrazione > Server Manager > Configurazione server e scegliere il server CPPM con il nuovo provisioning.

- Nome host: cppm

- FQDN: cppm.example.com

- Verifica dell'indirizzamento IP e del DNS della porta di gestione

Genera certificato server Web CPPM (HTTPS)

Questo certificato viene utilizzato quando la pagina di ClearPass Guest Portal viene presentata tramite HTTPS ai client guest che si connettono alla Wifi guest in Branch.

Passaggio 1. Caricare il certificato della catena di pub della CA.

Passare a Amministrazione > Certificati > Elenco scopi consentiti > Aggiungi.

- Utilizzo: Abilita altri

Passaggio 2. Creare la richiesta di firma del certificato.

Selezionare Amministrazione > Certificati > Archivio certificati > Certificati server > Utilizzo: Certificato server HTTPS.

- Fare clic su Create Certificate Signing Request

- Nome comune: CPPM

- Organizzazione: cppm.example.com

Compilare il campo SAN (deve essere presente un nome comune nella SAN, nonché IP e altri FQDN in base alle esigenze). Il formato è DNS: <fqdn1>,DNS:<fqdn2>,IP<ip1>.

Passaggio 3. Nella CA scelta, firmare il CSR del servizio HTTPS CPPM appena generato.

Passaggio 4. Passare a Modello di certificato > Server Web > Importa certificato.

- Tipo certificato: Certificato server

- Utilizzo: Certificato server HTTP

- File certificato: Individuare e selezionare il certificato del servizio HTTPS CPPM firmato dalla CA

Definisci C9800 WLC come dispositivo di rete

Selezionare Configurazione > Rete > Dispositivi > Aggiungi.

-Nome: WLC_9800_Branch

- Indirizzo IP o subnet: 10.85.54.99 (fare riferimento al diagramma della topologia lab)

- Cisco condiviso RADIUS: <password RADIUS WLC>

- Nome fornitore: Cisco

- Abilitare l'autorizzazione dinamica RADIUS: 1700

Pagina portale guest e timer CoA

È molto importante impostare i valori corretti del timer per tutta la configurazione. Se i timer non sono ottimizzati, è probabile che si verifichi un reindirizzamento ciclico del portale Web con il client non in 'Stato di esecuzione'.

Timer a cui prestare attenzione:

- Timer accesso Web portale: questo timer ritarda il reindirizzamento della pagina prima di consentire l'accesso alla pagina del portale guest per notificare al servizio CPPM la transizione dello stato, registrare il valore dell'attributo personalizzato 'Allow-Guest-Internet' dell'endpoint e attivare il processo CoA da CPPM a WLC. Passare a Guest > Configurazione > Pagine > Accesso Web.

- Scegliere il nome del portale guest: Registrazione utente anonimo Lab (questa configurazione della pagina del portale per gli utenti guest è descritta in dettaglio)

- Fare clic su Modifica

- Ritardo accesso: 6 secondi

- Timer ritardo CoA ClearPass: Ciò ritarda la creazione dei messaggi CoA da ClearPass al WLC. Questa operazione è necessaria affinché CPPM esegua internamente la transizione dello stato dell'endpoint client prima che il riconoscimento CoA (ACK) torni dal WLC. I test Lab mostrano i tempi di risposta al di sotto dei millisecondi dal WLC e, se il CPPM non ha completato l'aggiornamento degli attributi dell'endpoint, la nuova sessione RADIUS dal WLC corrisponde ai criteri di imposizione del servizio MAB non autenticato e al client viene assegnata di nuovo una pagina di reindirizzamento. Passare a CPPM > Amministrazione > Server Manager > Configurazione server e scegliere Server CPPM > Parametri servizio.

- Ritardo autorizzazione dinamica RADIUS (DM/CoA) - Impostato su 6 secondi

ClearPass - Configurazione CWA guest

La configurazione CWA ClearPass-side è composta da (3) punti/fasi di servizio:

Componente ClearPass

Tipo di servizio

Scopo

1. Responsabile delle politiche

Servizio: Autenticazione Mac

Se l'attributo personalizzato Allow-Guest-Internet = TRUE, consentirne l'accesso alla rete. In caso contrario, attivare Redirect e COA: Riautentica.

2. Guest

Accessi Web

Presenta la pagina di accesso anonimo AUP.

Dopo l'autenticazione impostare l'attributo personalizzato Allow-Guest-Internet = TRUE.

3. Responsabile delle politiche

Servizio: Autenticazione basata sul Web

Aggiorna endpoint su noto

Imposta attributo personalizzato Allow-Guest-Internet = TRUE

CACAO: Riautentica

Attributo metadati endpoint ClearPass: Allow-Guest-Internet

Creare un attributo di metadati di tipo Boolean per tenere traccia dello stato dell'endpoint guest come transizioni client tra lo stato 'Webauth in sospeso' e lo stato 'Esegui':

- I nuovi guest che si connettono a wifi hanno un attributo di metadati predefinito impostato su Allow-Guest-Internet=false. In base a questo attributo, l'autenticazione client passa attraverso il servizio MAB

- Il client guest, quando si fa clic sul pulsante di accettazione AUP, ha il suo attributo metadati aggiornato su Allow-Guest-Internet=true. Il successivo MAB basato su questo attributo impostato su True consente l'accesso non reindirizzato a Internet

Selezionare ClearPass > Configuration > Endpoints, scegliere un endpoint dall'elenco, fare clic sulla scheda Attributi, aggiungere Allow-Guest-Internet con il valore false e Save.

Nota: È inoltre possibile modificare lo stesso endpoint ed eliminare questo attributo subito dopo. In questo passaggio viene semplicemente creato un campo nel database di metadati degli endpoint che può essere utilizzato nei criteri.

Configurazione criterio di imposizione riautenticazione ClearPass

Creare un profilo di imposizione assegnato al client guest subito dopo che il client ha accettato le CDS nella pagina Portale guest.

Passare a ClearPass > Configurazione > Profili > Aggiungi.

- Modello: Autorizzazione dinamica RADIUS

-Nome: Cisco_WLC_Guest_COA

Raggio:IETF

Calling-Station-Id

%{Radius:IETF:Calling-Station-Id}

Radius:Cisco

Cisco-AVPair

sottoscrittore:comando=riautentica

Radius:Cisco

Cisco-AVPair

%{Radius:Cisco:AVPair:subscriber:audit-session-id}

Radius:Cisco

Cisco-AVPair

sottoscrittore:reauthenticate-type=last-type=last

Configurazione profilo di applicazione reindirizzamento portale guest ClearPass

Creare un profilo di imposizione da applicare al guest durante la fase MAB iniziale, quando l'indirizzo MAC non viene trovato nel database degli endpoint CPPM con 'Allow-Guest-Internet' impostato su 'true'.

In questo modo, il WLC 9800 reindirizza il client guest al portale guest CPPM per l'autenticazione esterna.

Passare a ClearPass > Applicazione > Profili > Aggiungi.

-Nome: Cisco_Portal_Redirect

-Tipo: RAGGIO

-Azione: Accetta

Profilo di applicazione reindirizzamento ClearPass

Nella stessa finestra di dialogo, nella scheda Attributi, configurare due Attributi in base a questa immagine:

Attributi profilo di reindirizzamento ClearPass

L'attributo url-redirect-acl è impostato su CAPTIVE-PORTAL-REDIRECT, che è il nome dell'ACL creato su C9800.

Nota: Nel messaggio RADIUS viene passato solo il riferimento all'ACL, non il contenuto dell'ACL. È importante che il nome dell'ACL creato sul WLC 9800 corrisponda esattamente al valore di questo attributo RADIUS, come mostrato.

L'attributo url-redirect è composto da diversi parametri:

- URL di destinazione in cui è ospitato il portale guest, https://cppm.example.com/guest/iaccept.php

- MAC client guest, macro %{Connection:Client-Mac-Address-Hyphen}

- Autenticator IP (9800 WLC attiva il reindirizzamento), macro %{Radius:IETF:NAS-IP-Address}

- azione cmd-login

L'URL della pagina di login Web di ClearPass Guest viene visualizzato quando si passa a CPPM > Guest > Configurazione > Pagine > Accessi Web > Modifica.

In questo esempio, il nome della pagina del portale guest in CPPM viene definito come inaccept.

Nota: La procedura di configurazione della pagina Portale guest è descritta di seguito.

Nota: Per i dispositivi Cisco, audit_session_id viene normalmente utilizzato, ma questa opzione non è supportata da altri fornitori.

Configurazione profilo di imposizione metadati ClearPass

Configurare Profilo di imposizione per aggiornare l'attributo dei metadati dell'endpoint utilizzato da CPPM per il monitoraggio della transizione dello stato.

Questo profilo viene applicato alla voce Guest Client MAC Address nel database degli endpoint e imposta l'argomento 'Allow-Guest-Internet' su 'true'.

Passare a ClearPass > Applicazione > Profili > Aggiungi.

- Modello: Applicazione aggiornamento entità ClearPass

-Tipo: Post_autenticazione

Nella stessa finestra di dialogo, selezionare la scheda Attributi.

-Tipo: Endpoint

-Nome: Allow-Guest-Internet

Nota: Affinché questo nome venga visualizzato nel menu a discesa, è necessario definire manualmente questo campo per almeno un Endpoint come descritto nella procedura.

-Valore: vero

Configurazione criteri di imposizione accesso a Internet guest ClearPass

Passare a ClearPass > Applicazione > Criteri > Aggiungi.

-Nome: Consenti guest WLC Cisco

- Tipo di applicazione: RAGGIO

- Profilo predefinito: Cisco_Portal_Redirect

Nella stessa finestra di dialogo passare alla scheda Regole e fare clic su Aggiungi regola.

-Tipo: Endpoint

-Nome: Allow-Guest-Internet

- Operatore: UGUALE A

- Valore True

- Nomi profilo / Selezionare per aggiungere: [RADIUS] [Consenti accesso al profilo]

Configurazione dei criteri di imposizione Post-AUP guest ClearPass

Passare a ClearPass > Applicazione > Criteri > Aggiungi.

-Nome: Policy di applicazione Cisco WLC Webauth

- Tipo di applicazione: WEBAUTH (SNMP/Agent/CLI/CoA)

- Profilo predefinito: [RADIUS_CoA] Cisco_Reauthenticate_Session

Nella stessa finestra di dialogo passare a Regole > Aggiungi.

-Condizioni: Autenticazione

-Nome: Stato

- Operatore: UGUALE A

-Valore: Utente

- Nomi profilo: <aggiungi ogni>:

- [Post Authentication] [Update Endpoint Known]

- [Post-autenticazione] [Make-Cisco-Guest-Valid]

- [RADIUS_CoA] [Cisco_WLC_Guest_COA]

Nota: Se si verifica uno scenario con una finestra popup di pseudo browser di reindirizzamento del portale guest continuo, è indicativo del fatto che i timer CPPM richiedano delle modifiche o che i messaggi RADIUS CoA non vengano scambiati correttamente tra CPPM e 9800 WLC. Verificare questi siti.

- Passare a CPPM > Monitoraggio > Monitoraggio in tempo reale > Access Tracker e verificare che la voce del registro RADIUS contenga i dettagli di RADIUS CoA.

- In 9800 WLC, selezionare Risoluzione dei problemi > Packet Capture, abilitare pcap sull'interfaccia in cui si prevede l'arrivo dei pacchetti RADIUS CoA e verificare che i messaggi RADIUS CoA vengano ricevuti dal CPPM.

Configurazione del servizio di autenticazione MAB ClearPass

Il servizio corrisponde alla coppia di valori attributo (AV) Radius: Cisco | CiscoAVPair | cisco-wlan-ssid

Passare a ClearPass > Configurazione > Servizi > Aggiungi.

Scheda Servizio:

-Nome: GuestPortal - Autenticazione Mac

-Tipo: Autenticazione MAC

- Altre opzioni: Selezione autorizzazione, endpoint profilo

Aggiungi regola di abbinamento:

-Tipo: Raggio: Cisco

-Nome: Cisco-AVPair

- Operatore: UGUALE A

-Valore: cisco-wlan-ssid=Guest (corrispondere al nome SSID Guest configurato)

Nota: 'Guest' è il nome dell'SSID guest trasmesso da 9800 WLC.

Nella stessa finestra di dialogo, scegliere la scheda Autenticazione.

- Metodi di autenticazione: Rimuovi [MAC AUTH], Aggiungi [Allow All MAC AUTH]

- Origini autenticazione: [Repository di endpoint][Database SQL locale], [Repository utente guest][Database SQL locale]

Nella stessa finestra di dialogo, scegliere la scheda Applicazione.

- Politica di applicazione: Consenti guest WLC Cisco

Nella stessa finestra di dialogo, scegliere la scheda Applicazione.

Configurazione servizio ClearPass Webauth

Passare a ClearPass > Applicazione > Criteri > Aggiungi.

-Nome: Guest_Portal_Webauth

-Tipo: Autenticazione basata sul Web

Nella stessa finestra di dialogo, nella scheda Applicazione, il criterio di applicazione: Policy di applicazione Cisco WLC Webauth.

ClearPass - Accesso Web

Per la pagina Anonymous AUP Guest Portal, utilizzare un singolo nome utente senza campo password.

Il nome utente utilizzato deve avere i seguenti campi definiti/impostati:

nomeutente_auth | Autenticazione nome utente: | 1

Per impostare il campo 'username_auth' per un utente, è necessario che tale campo sia esposto nel modulo 'modifica utente'. Passare a ClearPass > Guest > Configurazione > Pagine > Moduli, quindi scegliere create_user form.

Scegliere nome_visitatore (riga 20) e fare clic su Inserisci dopo.

Creare il nome utente da utilizzare dietro la pagina del portale guest AUP.

Passare a CPPM > Guest > Guest > Gestisci account > Crea.

- Nome ospite: Guest WiFi

- Nome della società: Cisco

- Indirizzo e-mail: guest@example.com

- Autenticazione nome utente: Consenti accesso guest solo con il nome utente: Attivato

- Attivazione account: Ora

- Scadenza account: L'account non scade

- Condizioni per l'utilizzo: Sono lo sponsor: Attivato

Crea modulo di accesso Web. Passare a CPPM > Guest > Configurazione > Accessi Web.

Gli attributi degli endpoint nella sezione post-autenticazione sono riportati di seguito.

username | Nome utente

nome_visitatore | Nome del visitatore

cn | Nome del visitatore

telefono_visitatore | Telefono visitatori

email | E-mail

posta | E-mail

nome_sponsor | Nome sponsor

e-mail_sponsor | E-mail dello sponsor

Allow-Guest-Internet | vero

Verifica - Autorizzazione CWA Guest

In CPPM, passare a Monitoraggio attivo > Access Tracker.

Nuovo utente Guest che connette e attiva il servizio MAB.

Scheda Riepilogo:

Nella stessa finestra di dialogo passare alla scheda Input.

Nella stessa finestra di dialogo passare alla scheda Output.

Appendice

A scopo di riferimento, qui è presentato un diagramma di flusso dello stato per le interazioni di controller di ancoraggio, esterni e Cisco 9800 con server RADIUS e portale guest ospitato esternamente.

Diagramma di stato dell'autenticazione Web centrale guest con WLC ancorato

Informazioni correlate

- Guida alle best practice per l'installazione di Cisco 9800

- Informazioni sul modello di configurazione dei controller wireless Catalyst 9800

- Informazioni su FlexConnect su Catalyst 9800 Wireless Controller

- Documentazione e supporto tecnico – Cisco Systems