Risoluzione dei problemi di CWA con WLC 9800 e SE

Introduzione

In questo documento viene descritto come risolvere i problemi di CWA con Wireless LAN Controller (WLC) 9800 e Identity Services Engine (ISE).

Premesse

Gli amministratori di rete che desiderano proteggere l'accesso wireless per i dispositivi personali spesso optano per le reti wireless che utilizzano CWA. Questo documento si concentra sul diagramma di flusso di CWA, che aiuta a risolvere i problemi più comuni. Descrive i problemi comuni del processo, come raccogliere i log relativi a CWA, come analizzare questi log e come raccogliere un EPC (Embedded Packet Capture) sul WLC per confermare il flusso del traffico.

CWA è l'impostazione più comune per le società che consente agli utenti di connettersi alla rete aziendale utilizzando i propri dispositivi personali, noti anche come BYOD (Bring Your Own Device). In queste informazioni viene descritto come risolvere i problemi prima di aprire una richiesta TAC.

Di seguito è riportato il flusso del pacchetto CWA:

Flusso pacchetti CWA

Flusso dettagliato

Prima associazione e autenticazione RADIUS:

Prima associazione e autenticazione RADIUS

Controllo DHCP, DNS e connettività:

Verifica di DHCP, DNS e connettività

Il controllo della connettività viene eseguito utilizzando il rilevamento del portale vincolato dal sistema operativo del dispositivo client o dal browser.

I sistemi operativi dei dispositivi sono pre-programmati per eseguire un HTTP GET verso domini specifici:

• Apple = captive.apple.com
• Android = connectivitycheck.gstatic.com
• Windows = msftconnectest.com

I browser eseguono questo controllo anche quando vengono aperti:

• Chrome = clients3.google.com
• Firefox = detectportal.firefox.com

Intercettazione e reindirizzamento del traffico:

Intercettazione e reindirizzamento del traffico

Accesso client al portale di accesso guest ISE:

Accesso client al portale di accesso guest ISE

Accesso client e CoA:

Accesso client e CoA

Risoluzione dei problemi

Sintomo comune del mancato reindirizzamento di un utente alla pagina di accesso

Cominciamo con la prima parte del flusso:

Prima associazione e autenticazione RADIUS

La prima autenticazione RADIUS è riuscita?

Verificare il risultato dell'autenticazione del filtro MAC:

Log ISE Live che mostrano il risultato dell'autenticazione del filtro MAC

Verificare che l'opzione avanzata per l'autenticazione sia impostata su Continua se l'utente non viene trovato:

Opzione avanzata utente non trovato

Il WLC riceve l'URL di reindirizzamento e l'ACL?

Controllare i log ISE in tempo reale e le informazioni sulla sicurezza del client WLC in Monitoraggio Verificare che ISE invii l'URL di reindirizzamento e l'ACL nell'Access Accept e che venga ricevuto dal WLC e applicato al client nei dettagli del client:

Reindirizzamento di ACL e URL

L'ACL di reindirizzamento è corretto?

Controllare se il nome dell'ACL è stato digitato. Accertarsi che sia esattamente come quando viene inviato dall'ISE:

Verifica ACL di reindirizzamento

Il client è stato spostato in modalità Web-Auth in sospeso?

Verificare i dettagli del client per lo stato Web Auth Pending. Se non si trova in questo stato, verificare se nel profilo dei criteri sono abilitati le sostituzioni AAA e il NAC RADIUS:

Dettagli client, aaa override e RADIUS NAC

Se il problema persiste, rivedere il flusso:

Verifica di DHCP, DNS e connettività

Il WLC consente il traffico DHCP e DNS?

Verificare il contenuto dell'ACL di reindirizzamento nel WLC:

Reindirizza i contenuti dell'ACL nel WLC

L'ACL di reindirizzamento definisce il traffico intercettato e reindirizzato dall'istruzione allow e il traffico ignorato dall'intercettazione e dal reindirizzamento con un'istruzione deny.

Nell'esempio, il DNS e il traffico da/verso l'indirizzo IP ISE sono autorizzati a passare e il traffico TCP sulla porta 80 (WWW) viene intercettato.

Il server DHCP riceve una richiesta/individuazione DHCP? 

Verificare con l'EPC se avviene lo scambio DHCP. L'EPC può essere utilizzato con i filtri interni come il protocollo DHCP e/o l'indirizzo MAC del filtro interno, dove è possibile utilizzare l'indirizzo MAC del dispositivo client e ottenere nell'EPC solo i pacchetti DHCP inviati o inviati all'indirizzo MAC del dispositivo client.

Nell'esempio, notare che il comando DHCP Discover viene inviato come broadcast sulla VLAN 3:

EPC WLC per verificare DHCP

Confermare la VLAN client prevista nel profilo dei criteri:

VLAN nel profilo dei criteri

Verificare la VLAN WLC, la configurazione dello switchport Trunk e la subnet DHCP:

VLAN, switchport e subnet DHCP

la VLAN 3 è presente nel WLC e ha anche un'interfaccia virtuale di switch (SVI) per la VLAN 3. Tuttavia, quando si verifica l'indirizzo IP del server DHCP, la VLAN 3 si trova su una subnet diversa; pertanto, è necessario un indirizzo ip dell'helper sulla SVI.

In base alle best practice, le SVI per le subnet client devono essere configurate nell'infrastruttura cablata, evitando di trovarle nel WLC.

In ogni caso, il comando ip helper-address deve essere aggiunto all'SVI indipendentemente da dove si trova.

In alternativa, è possibile configurare l'indirizzo IP del server DHCP nel profilo dei criteri:

Indirizzo dell'helper IP presso SVI o Policy Profile

È quindi possibile verificare con EPC se lo scambio DHCP ha esito positivo e se il server DHCP offre IP server DNS:

Dettagli offerta DHCP dell'indirizzo IP del server DNS

Viene eseguito il reindirizzamento automatico?

Verificare con EPC WLC se il server DNS risponde alle query:

Query e risposte DNS

• Se il reindirizzamento non è automatico, aprire un browser e provare con un indirizzo IP casuale. Ad esempio 10.0.0.1.
• Se il reindirizzamento funziona, è possibile che si sia verificato un problema di risoluzione DNS.

Se il problema persiste, rivedere il flusso:

Intercettazione e reindirizzamento del traffico

Il browser non visualizza la pagina di accesso?

Verificare se il client invia il comando TCP SYN alla porta 80 e se il WLC la intercetta:

Ritrasmissioni TCP sulla porta 80

In questo esempio, il client invia i pacchetti TCP SYN alla porta 80 ma non riceve alcuna risposta ed esegue ritrasmissioni TCP.

Verificare di avere il comando ip http server nella configurazione globale o webauth-http-enablenella mappa dei parametri globale:

comandi di intercettazione http

Dopo aver applicato il comando, il WLC intercetta il traffico TCP e falsifica l'indirizzo IP di destinazione per rispondere al client e reindirizzarlo.

Intercettazione TCP da parte del WLC

Se il problema persiste, continuare con il flusso:

Accesso client al portale di accesso guest ISE

Il client può risolvere il nome host ISE?

Verificare se l'URL di reindirizzamento utilizza un indirizzo IP o un nome host, e se il client risolve il nome host ISE:

Risoluzione ISE Hostname

Un problema comune si verifica quando l'URL di reindirizzamento contiene il nome host ISE, ma il dispositivo client non è in grado di risolvere tale nome host nell'indirizzo IP ISE. Se viene utilizzato un nome host, verificare che sia risolvibile tramite DNS.

La pagina di accesso non viene ancora caricata?

Verificare con WLC EPC e ISE TCPdump se il traffico del client raggiunge il nodo ISE Policy Services (PSN). Configurare e avviare le clip sul WLC e sull'ISE:

WLC EPC e ISE TCPDump

Dopo la riproduzione, è possibile raccogliere le immagini acquisite e correlare il traffico. Nell'esempio, il nome host ISE viene risolto, seguito dalla comunicazione tra il client e ISE sulla porta 8443:

Traffico WLC e ISE

Motivi per cui è presente una violazione della sicurezza dovuta al certificato

1. Se si utilizza un certificato autofirmato su ISE, è previsto che il client visualizzi un avviso di sicurezza quando tenta di presentare la pagina di accesso del portale ISE.

Sul WLC EPC o ISE TCP dump, è possibile verificare se il certificato ISE è attendibile.

In questo esempio, la connessione viene chiusa dal client con un avviso (Livello: Fatal, Descrizione: Certificate Unknown), il che significa che il certificato ISE non è noto (attendibile

certificato ISE non attendibile

Se si seleziona sul lato client, verranno visualizzati i seguenti output di esempio:

Dispositivo client non attendibile con certificato ISE

Se il reindirizzamento funziona ma l'accesso non riesce, controllare la parte finale del flusso:

Accesso client e CoA

L'accesso guest non riesce?

Controllare i registri ISE per verificare se l'autenticazione non è riuscita. Assicurarsi che le credenziali siano corrette.

Autenticazione guest non riuscita a causa di credenziali errate

L'accesso è riuscito ma il client non passa allo stato di esecuzione?

Per i dettagli e i risultati dell'autenticazione, consultare i log ISE:

Ciclo di reindirizzamento

In questo esempio, il client riceve nuovamente il profilo di autorizzazione contenente l'URL di reindirizzamento e l'ACL di reindirizzamento. Il risultato è un ciclo di reindirizzamento.

Controllare il set di criteri. La regola di controllo di Guest_Flow deve essere posizionata prima della regola di reindirizzamento:

Regola Guest_Flow

Il Certificato di autenticità sta fallendo?

Con EPC e ISE TCPDump, è possibile verificare il traffico CoA. Verificare che la porta CoA (1700) sia aperta tra il WLC e l'ISE. Verificare le corrispondenze del segreto condiviso.

Traffico CoA

A partire dalla versione 17.6.1, questa porta supporta RADIUS (incluso CoA). Se si desidera utilizzare la porta di servizio per RADIUS, è necessaria la configurazione seguente:

aaa server radius dynamic-author 
 client 10.48.39.28 vrf Mgmt-intf server-key cisco123

interface GigabitEthernet0
 vrf forwarding Mgmt-intf
 ip address x.x.x.x x.x.x.x

!if using aaa group server:
aaa group server radius group-name
 server name nicoISE
 ip vrf forwarding Mgmt-intf
 ip radius source-interface GigabitEthernet0

Riepilogo

Di seguito è riportato un riepilogo dell'elenco di controllo di CWA:

• Verificare che il client si trovi sulla VLAN corretta e ottenga un indirizzo IP e un DNS.
• Ottenere i dettagli del client sul WLC ed eseguire le acquisizioni dei pacchetti per visualizzare lo scambio DHCP.
• Verificare che il client sia in grado di risolvere i nomi host tramite DNS.
• Eseguire il ping del nome host dal prompt dei comandi.
• Il WLC deve essere in ascolto sulla porta 80.
• Verificare il comando globale ip http server o il comando globale parameter map webauth-http-enable.
• Per rimuovere l'avviso del certificato, installare un certificato attendibile in ISE.
• Non è necessario installare un certificato attendibile sul WLC in CWA.
• Impostare l'opzione Authentication Policy at ISE Advanced su Continue se l'utente non viene trovato.
• Consente agli utenti guest sponsorizzati di connettersi e ottenere l'URL Redirect e l'ACL.

Strumenti principali utilizzati per la risoluzione dei problemi:

• • EPC WLC
  • : Filtri interni: Protocollo DHCP, indirizzo MAC.
  • Monitor WLC
  • : Verificare i dettagli di protezione del client.
  • Traccia WLC RA
  • : Debug con informazioni dettagliate sul lato WLC.
  • log ISE in tempo reale
  • : Dettagli autenticazione.
  • IPT ISE
  • : Raccogli le clip dei pacchetti sull'interfaccia PSN dell'ISE.

Informazioni sulle risorse

• Configurazione dell'autenticazione Web centrale (CWA) su Catalyst 9800 WLC e ISE 

Cronologia delle revisioni

Revisione	Data di pubblicazione	Commenti
2.0	26-Aug-2026	Revisione, grammatica, formattazione
1.0	25-Aug-2023	Versione iniziale