Configurazione dell'integrazione WLC 9800 con Aruba ClearPass - Dot1x & Installazione di FlexConnect per filiali

Opzioni per il download

  • PDF     (2.3 MB)
    Visualizza con Adobe Reader su diversi dispositivi
  • ePub     (2.1 MB)
    Visualizza in diverse app su iPhone, iPad, Android, Sony Reader o Windows Phone
  • Mobi (Kindle)     (1.7 MB)
    Visualizza su dispositivo Kindle o tramite app Kindle su più dispositivi
Aggiornato:22 giugno 2022
ID documento:217935

Linguaggio senza pregiudizi

La documentazione per questo prodotto è stata redatta cercando di utilizzare un linguaggio senza pregiudizi. Ai fini di questa documentazione, per linguaggio senza di pregiudizi si intende un linguaggio che non implica discriminazioni basate su età, disabilità, genere, identità razziale, identità etnica, orientamento sessuale, status socioeconomico e intersezionalità. Le eventuali eccezioni possono dipendere dal linguaggio codificato nelle interfacce utente del software del prodotto, dal linguaggio utilizzato nella documentazione RFP o dal linguaggio utilizzato in prodotti di terze parti a cui si fa riferimento. Scopri di più sul modo in cui Cisco utilizza il linguaggio inclusivo.

Informazioni su questa traduzione

Cisco ha tradotto questo documento utilizzando una combinazione di tecnologie automatiche e umane per offrire ai nostri utenti in tutto il mondo contenuti di supporto nella propria lingua. Si noti che anche la migliore traduzione automatica non sarà mai accurata come quella fornita da un traduttore professionista. Cisco Systems, Inc. non si assume alcuna responsabilità per l’accuratezza di queste traduzioni e consiglia di consultare sempre il documento originale in inglese (disponibile al link fornito).

    Introduzione

    In questo documento viene descritta l'integrazione del controller wireless Catalyst 9800 con Aruba ClearPass Policy Manager (CPPM) e Microsoft Active Directory (AD) per fornire l'autenticazione dot1x ai client wireless in un'implementazione di Flexconnect.

    Prerequisiti

    Requisiti

    Cisco raccomanda la conoscenza dei seguenti argomenti, che sono stati configurati e verificati:

    • Catalyst 9800 Wireless Controller
    • Aruba ClearPass Server (richiede licenza della piattaforma, licenza di accesso, licenza integrata)
    • AD Windows operativo
    • CA (Certification Authority) opzionale 
    • Server DHCP operativo 
    • Server DNS operativo (necessario per la convalida CRL certificato)
    • ESXi
    • Tutti i componenti pertinenti vengono sincronizzati con NTP e verificati per verificare che abbiano l'ora corretta (necessaria per la convalida del certificato)
    • Conoscenza degli argomenti:
      • Distribuzione C9800 e nuovo modello di configurazione
      • Funzionamento di FlexConnect su C9800 
      • Autenticazione Dot1x

    Componenti usati

    Le informazioni di questo documento si basano sulle seguenti versioni hardware e software:

    • C9800-L-C Cisco IOS-XE 17.3.3
    • C9130AX, 4800 AP
    • Aruba ClearPass, patch 6-8-0-109592 e 6.8-3
    • Server MS Windows
      • Active Directory (Criteri di gruppo configurati per il rilascio automatico di certificati basati su computer agli endpoint gestiti)
      • Server DHCP con opzione 43 e opzione 60
      • Server DNS
      • Server NTP per sincronizzare l'ora di tutti i componenti
      • CA

    Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

    Premesse

    Flusso traffico

    In una tipica implementazione aziendale con più filiali, ogni filiale è configurata per fornire accesso dot1x ai dipendenti aziendali. In questo esempio di configurazione, PEAP viene utilizzato per fornire accesso dot1x agli utenti aziendali tramite un'istanza ClearPass implementata nel centro dati centrale (DC). I certificati del computer vengono utilizzati insieme alla verifica delle credenziali dei dipendenti in un server AD Microsoft.

    1. Traffic Flow

    Esempio di rete

    2. Network Diagram

    Configurazione del controller wireless Catalyst 9800

    In questo esempio di configurazione, il nuovo modello di configurazione su C9800 viene utilizzato per creare i profili e i tag necessari per fornire accesso aziendale dot1x alle filiali aziendali. La configurazione risultante viene riepilogata nel diagramma.

    3. New Configuration Model – Tag Assignment

    C9800 - Configurazione dei parametri AAA per dot1x

    Passaggio 1. Aggiungere il server 'Corp' di Aruba ClearPass Policy Manager alla configurazione WLC 9800. Passare a Configurazione > Sicurezza > AAA > Server/Gruppi > RADIUS > Server. Fare clic su +Aggiungi e immettere le informazioni sul server RADIUS. Fare clic sul pulsante Applica a dispositivo come mostrato nell'immagine.

    4. AAA Radius Server

    Passaggio 2. Definire il gruppo di server AAA per gli utenti aziendali. Passare a Configurazione > Sicurezza > AAA > Server/Gruppi > RADIUS > Gruppi e fare clic su +Aggiungi, immettere il nome del gruppo di server RADIUS e assegnare le informazioni sul server RADIUS. Fare clic sul pulsante Applica alla periferica come mostrato nell'immagine.

    5. AAA Radius Server Group

    Passaggio 3. Definire l'elenco dei metodi di autenticazione dot1x per gli utenti aziendali. Selezionare Configurazione > Sicurezza > AAA > Elenco metodi AAA > Autenticazione e fare clic su +Aggiungi. Selezionare Tipo dot1x dal menu a discesa. Fare clic sul pulsante Applica alla periferica come mostrato nell'immagine.

    6. AAA Authentication Method

    C9800 - Configurazione del profilo WLAN aziendale

    Passaggio 1. Passare a Configurazione > Tag e profili > Wireless e fare clic su +Aggiungi. Immettere il nome di un profilo, il SSID 'Corp' e un ID WLAN non ancora in uso.

    7. WLAN Profile – General

    Passaggio 2. Passare alla scheda Protezione e alla scheda secondaria Layer2. Non è necessario modificare i parametri predefiniti di questo esempio di configurazione.

    8. WLAN Profile – Security – Layer2

    Passaggio 3. Passare alla scheda secondaria AAA e selezionare l'elenco dei metodi di autenticazione configurato in precedenza. Fare clic sul pulsante Applica alla periferica come mostrato nell'immagine.

    9. WLAN Profile – Security – AAA

    C9800 - Configura profilo criteri

    Passaggio 1. Passare a Configurazione > Tag e profili > Criterio e fare clic su +Aggiungi e immettere un nome e una descrizione per il profilo del criterio. Abilitare il criterio e disabilitare la commutazione centrale, il protocollo DHCP e l'associazione, in quanto il traffico dell'utente aziendale viene commutato localmente nell'access point, come mostrato nell'immagine.

    10. Policy Profile – General

    Passaggio 2. Passare alla scheda Access Policies (Criteri di accesso) e immettere manualmente l'ID della VLAN da usare sulla filiale per il traffico dell'utente aziendale. Questa VLAN non deve essere configurata sul modello C9800. Deve essere configurato nel profilo Flex, come descritto più avanti. Non selezionare un nome VLAN dall'elenco a discesa (vedere Cisco bug ID CSCvn48234) per maggiori informazioni). Fare clic sul pulsante Applica alla periferica come mostrato nell'immagine.

    11. Policy Profile – Access Policies

    C9800 - Configura tag criteri

    Dopo aver creato il profilo WLAN (WP_Corp) e il profilo delle policy (PP_Corp), è necessario creare un tag delle policy per associare questi profili WLAN e delle policy. Questo tag di criteri viene applicato ai punti di accesso. Assegnare questo tag ai punti di accesso per attivare la configurazione di questi punti per abilitare gli SSID selezionati.

    Passaggio 1. Passare a Configurazione > Tag e profili > Tag, selezionare la scheda Criterio e fare clic su +Aggiungi. Immettere il nome e la descrizione del tag criteri. Fare clic su +Add in WLAN-POLICY Maps. Selezionare il profilo WLAN e il profilo criteri creati in precedenza, quindi fare clic sul pulsante con il segno di spunta, come mostrato nell'immagine.

    12. Policy Tag – Map WLAN and Policy

    Passaggio 2. Verificare e fare clic sul pulsante Applica alla periferica come mostrato nell'immagine.

    13. Policy Tag – Apply

    C9800 - Profilo di join AP

    I profili di join AP e i profili Flex devono essere configurati e assegnati ai punti di accesso con tag del sito. È necessario utilizzare un tag del sito diverso per ogni succursale in modo da supportare la transizione rapida 802.11r (FT) all'interno di una succursale, ma limitare la distribuzione della chiave PMK del client solo tra i punti di accesso di tale succursale. È importante non riutilizzare lo stesso tag del sito in più succursali. Configurare un profilo di join AP. È possibile utilizzare un singolo profilo di join AP se tutte le diramazioni sono simili oppure creare più profili se alcuni dei parametri configurati devono essere diversi.

    Passaggio 1. Passare a Configurazione > Tag e profili > AP Join e fare clic su +Aggiungi. Immettere il nome e la descrizione del profilo di AP Join. Fare clic sul pulsante Applica alla periferica come mostrato nell'immagine.

    14. AP Join Profile – General

    C9800 - Flex Profile

    Configurare un profilo Flex. Anche in questo caso, è possibile usare un unico profilo per tutte le diramazioni, se sono simili e hanno la stessa mappatura VLAN/SSID. In alternativa, è possibile creare più profili se alcuni dei parametri configurati, ad esempio le assegnazioni della VLAN, sono diversi.

    Passaggio 1. Passare a Configurazione > Tag e profili > Flex e fare clic su +Aggiungi. Immettere il nome e la descrizione del profilo Flex.

    15. Flex Profile – General

    Passaggio 2. Passare alla scheda VLAN e fare clic su +Add. Immettere il nome e l'ID della VLAN locale alla filiale che l'access point deve utilizzare per commutare localmente il traffico dell'utente aziendale. Fare clic sul pulsante Save (Salva), come mostrato nell'immagine.

    16. Flex Profile – VLAN – Add

    Passaggio 3. Verificare e fare clic sul pulsante Applica a dispositivo, come mostrato nell'immagine.

    17. Flex Profile – VLAN – Apply

    C9800 - Tag sito

    I tag del sito vengono utilizzati per assegnare profili di join e profili Flex ai punti di accesso. Come accennato in precedenza, è necessario utilizzare un tag del sito diverso per ogni filiale per supportare la transizione rapida 802.11r (FT) all'interno di una filiale, ma limitare la distribuzione della chiave PMK del client solo tra gli access point della filiale. È importante non riutilizzare lo stesso tag del sito tra più filiali.

    Passaggio 1. Passare a Configurazione > Tag e profili > Tag, selezionare la scheda Sito e fare clic su +Aggiungi. Immettere un nome e una descrizione per il tag del sito, selezionare il profilo di aggiunta AP creato, deselezionare la casella Abilita sito locale e infine selezionare il profilo Flex creato in precedenza. Deselezionare la casella Attiva sito locale per modificare il punto di accesso da Modalità locale a FlexConnect. Infine, fare clic sul pulsante Applica al dispositivo come mostrato nell'immagine.

    18. Site Tag

    C9800 - Tag RF

    Passaggio 1. Passare a Configurazione > Tag e profili > Tag, selezionare la scheda RF e fare clic su +Aggiungi. Immettere un nome e una descrizione per il tag RF.Selezionare i profili RF definiti dal sistema dal menu a discesa. Fare clic sul pulsante Applica alla periferica come mostrato nell'immagine.

    19. RF Tag

    C9800 - Assegna tag all'access point 

    Ora che sono stati creati i tag che includono le varie policy e i profili richiesti per configurare i punti di accesso, è necessario assegnarli ai punti di accesso. Questa sezione illustra come eseguire manualmente un tag statico assegnato a un punto di accesso in base al relativo indirizzo MAC Ethernet. Per gli ambienti di produzione, si consiglia di utilizzare il flusso di lavoro PNP di Cisco DNA Center AP o un metodo di caricamento statico in blocchi CSV disponibile in 9800.

    Passaggio 1. Passare a Configura > Tag e profili > Tag, selezionare la scheda AP, quindi la scheda Static. Fare clic su +Aggiungi e immettere l'indirizzo MAC AP, quindi selezionare il tag criteri, il tag sito e il tag RF definiti in precedenza. Fare clic sul pulsante Applica a dispositivo come mostrato nell'immagine.

    20. Associate Tags to AP

    Configurazione di Aruba CPPM

    Configurazione iniziale del server Aruba ClearPass Policy Manager

    Aruba clearpass viene implementato tramite il modello OVF sul server ESXi con le seguenti risorse:

    • 2 CPU virtuali riservate
    • 6 GB di RAM
    • Disco da 80 GB (deve essere aggiunto manualmente dopo la distribuzione iniziale della VM prima che la macchina venga accesa)

    Applica licenze

    Applicare la licenza della piattaforma tramite: Amministrazione > Server Manager > Licenze. Aggiungi accesso e onboard

    Aggiunta del controller wireless C9800 come dispositivo di rete

    Selezionare Configurazione > Rete > Dispositivi > Aggiungi, come mostrato nell'immagine.

    21. CPPM – Device Details

    Configurare CPPM per l'utilizzo di Windows AD come origine di autenticazione

    Passare a Configurazione > Autenticazione > Origini > Aggiungi. Seleziona tipo: Active Directory dal menu a discesa come illustrato nell'immagine.

    22. CPPM – Authentication Sources

    Configura CPPM Servizio di autenticazione Dot1X

    Passaggio 1. Creare un "servizio" corrispondente a diversi attributi RADIUS:

    • Raggio:IETF | Nome: Indirizzo IP-NAS | UGUALE A | <INDIRIZZO IP>
    • Raggio:IETF | Nome: Service-Type | UGUALE A | 1,2,8

    Passaggio 2. Per la produzione, si consiglia di utilizzare il nome SSID anziché 'NAS-IP-Address' in modo che una condizione sia sufficiente in una distribuzione multi-WLC. Radius:Cisco:Cisco-AVPair | cisco-wlan-ssid | Dot1XSSID

    23. CPPM – Authentication Service – Conditions

    24. CPPM – Authentication Service – Authentication

    Verifica

    Attualmente non è disponibile una procedura di verifica per questa configurazione.

    Risoluzione dei problemi

    Al momento non sono disponibili informazioni specifiche per la risoluzione dei problemi di questa configurazione.

    Informazioni correlate

    Cronologia delle revisioni

    Revisione Data di pubblicazione Commenti
    1.0
    24-Jun-2022
    Versione iniziale
    TAC Authored

    Contributo dei tecnici Cisco

    • Igor Manassypov
      Cisco Sales Engineering

    Questo documento ti è stato utile?

    FeedbackFeedback

    Contattaci

    Questo documento si applica a questi prodotti