Sommario

Introduzione

Introduzione

Prerequisiti

Requisiti

Componenti usati

Configurazione

Panoramica

Facoltativo - Crea certificato dispositivo WLC e ISE RADIUS DTLS

Aggiungi sezioni di configurazione nel file openssl.cnf

Crea certificato dispositivo WLC

Crea certificato dispositivo ISE

Importa certificati nei dispositivi

Importazione di certificati ad ISE

Importa certificati in WLC

Configura DTLS RADIUS

Configurazione di ISE

Configurazione WLC

Verifica

Verifica informazioni certificato

Esegui test di autenticazione

Risoluzione dei problemi

CA sconosciuta segnalata dal WLC

CA sconosciuta segnalata da ISE

Verifica revoca in corso

Risoluzione dei problemi di definizione del tunnel DTLS sull'acquisizione dei pacchetti

Introduzione

Questo documento descrive un metodo per creare i certificati necessari per configurare le DTLS RADIUS tra ISE e il WLC 9800.

Introduzione

RADIUS DTLS è un formato sicuro del protocollo RADIUS in cui i messaggi RADIUS vengono inviati tramite un tunnel DTLS (Data Transport Layer Security). Per creare questo tunnel tra il server di autenticazione e l'autenticatore, è necessario un set di certificati. Questo insieme di certificati richiede l'impostazione di determinate estensioni di certificati per l'utilizzo chiavi avanzato (EKU), in particolare l'autenticazione client sul certificato WLC e l'autenticazione sia del server che del client per il certificato ISE.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

- Come configurare il WLC 9800, il punto di accesso (AP) per le operazioni di base

- Come utilizzare l'applicazione OpenSSL

- Infrastruttura a chiave pubblica (PKI) e certificati digitali

Componenti usati

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

- Applicazione OpenSSL (versione 3.0.2).

- ISE (versione 3.1.0.518)

- 9800 WLC (versione 17.12.3)

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Configurazione

Panoramica

Lo scopo è creare un'Autorità di certificazione a due livelli con una CA radice e una CA intermedia per firmare i certificati dell'endpoint. Una volta firmati, i certificati vengono importati nel WLC e nell'ISE. Infine, i dispositivi sono configurati per eseguire l'autenticazione DTLS RADIUS con tali certificati.

Nota: questo documento utilizza comandi specifici di Linux per creare e disporre i file. I comandi vengono spiegati in modo da poter eseguire la stessa azione su altri sistemi operativi in cui è disponibile OpenSSL.

Facoltativo - Crea certificato dispositivo WLC e ISE RADIUS DTLS

Il protocollo RADIUS DTLS deve scambiare certificati tra ISE e WLC per creare il tunnel DTLS. Se non si dispone ancora di certificati validi, è possibile creare una CA locale per generare i certificati. Per ulteriori informazioni, fare riferimento a Configurazione di un'autorità di certificazione a più livelli su OpenSSL per generare certificati compatibili con Cisco IOS® XE ed eseguire i passaggi descritti nel documento dall'inizio alla fine del passaggio Crea certificato CA intermedio.

Aggiungi sezioni di configurazione nel file openssl.cnf

Aprire il file di configurazione openssl.cnf e, in fondo, copiare e incollare le sezioni WLC e ISE utilizzate per generare una richiesta CSR (Certificate Sign Request) valida.

Entrambe le sezioni ISE_device_req_ext e WLC_device_req_ext fanno riferimento a un elenco di SAN da includere nel CSR:

#Section used for CSR generation, it points to the list of subject alternative names to add them to CSR

[ ISE_device_req_ext ]

subjectAltName = @ISE_alt_names

[ WLC_device_req_ext ]

subjectAltName = @WLC_alt_names

#DEFINE HERE SANS/IPs NEEDED for **ISE** device certificates

[ISE_alt_names]

DNS.1   = ISE.example.com

DNS.2   = ISE2.example.com

#DEFINE HERE SANS/IPs NEEDED for **WLC** device certificates

[WLC_alt_names]

DNS.1   = WLC.example.com

DNS.2   = WLC2.example.com

Come misura di sicurezza, l'autorità di certificazione ignora qualsiasi SAN presente in un CSR per firmarlo in modo che i dispositivi non autorizzati non possano ricevere un certificato valido per un nome che non sono autorizzati a utilizzare. Per aggiungere di nuovo le SAN al certificato firmato, utilizzare il parametro subjectAltName per puntare alle stesse SAN di elenco utilizzate per la generazione di CSR.

ISE richiede che sul certificato siano presenti gli EKU serverAuth e clientAuth, mentre il WLC richiede solo clientAuth. Vengono aggiunti al certificato firmato con il parametro extendedKeyUsage.

Copiare e incollare le sezioni utilizzate per la firma del certificato nella parte inferiore del file openssl.cnf:

#This section contains the extensions used for the device certificate sign

[ ISE_cert ]

basicConstraints=CA:FALSE

subjectKeyIdentifier=hash

authorityKeyIdentifier=keyid,issuer:always

#EKU client and server is needed for RADIUS DTLS on ISE

extendedKeyUsage = serverAuth, clientAuth

subjectAltName = @ISE_alt_names

[ WLC_cert ]

basicConstraints=CA:FALSE

subjectKeyIdentifier=hash

authorityKeyIdentifier=keyid,issuer:always

#EKU client is needed for RADIUS DTLS on WLC

extendedKeyUsage = clientAuth

subjectAltName = @WLC_alt_names

Crea certificato dispositivo WLC

Creare una nuova cartella per archiviare i certificati WLC nel computer in cui è installato OpenSSL nella cartella dei certificati CA intermedia denominata IntermCA.db.certs. La nuova cartella si chiama WLC:

mkdir ./IntermCA/IntermCA.db.certs/WLC

Modificare i parametri DNS nella sezione [WLC_alt_names] del file openssl.cnf. Modificare i nomi di esempio forniti per i valori desiderati. Questi valori popolano il campo SAN del certificato WLC:

[WLC_alt_names]

DNS.1   = WLC.example.com    <-----Change the values after the equals sign

DNS.2   = WLC2.example.com   <-----Change the values after the equals sign

Creare la chiave privata WLC e la CSR WLC con le informazioni della sezione WLC_device_req_ext per le SAN:

openssl req -newkey rsa:4096 -keyout ./IntermCA/IntermCA.db.certs/WLC/WLC.key -nodes -config openssl.cnf -out ./IntermCA/IntermCA.db.certs/WLC/WLC.csr -reqexts WLC_device_req_ext

OpenSSL apre una richiesta interattiva per l'immissione dei dettagli del nome distinto (DN):

Prompt interattivo nome distinto certificato WLC

Attenzione: il nome comune (CN) specificato sul prompt interattivo deve essere identico a uno dei nomi presenti nella sezione [WLC_alt_names] del file openssl.cnf.

Utilizzare la CA denominata IntermCA per firmare il CSR del WLC denominato WLC.csr con le estensioni definite in [WLC_cert] e archiviare il certificato firmato all'interno di ./IntermCA/IntermCA.db.certs/WLC. Il certificato del dispositivo WLC è denominato WLC.crt:

openssl ca -config openssl.cnf -extensions WLC_cert -name IntermCA -out ./IntermCA/IntermCA.db.certs/WLC/WLC.crt -infiles ./IntermCA/IntermCA.db.certs/WLC/WLC.csr

9800 WLC richiede che il certificato sia in formato pfx per poterlo importare. Creare un nuovo file contenente la catena di CA che hanno firmato il certificato WLC, denominato certfile:

cat ./RootCA/RootCA.crt ./IntermCA/IntermCA.crt > ./IntermCA/IntermCA.db.certs/WLC/certfile.crt

Per creare il file .pfx, eseguire uno di questi comandi in base alla versione WLC.

Per le versioni precedenti alla 17.12.1:

openssl pkcs12 -export -macalg sha1 -legacy -descert -out ./IntermCA/IntermCA.db.certs/WLC/WLC.pfx -inkey ./IntermCA/IntermCA.db.certs/WLC/WLC.key -in ./IntermCA/IntermCA.db.certs/WLC/WLC.crt -certfile ./IntermCA/IntermCA.db.certs/WLC/certfile.crt

Per la versione 17.12.1 o successive:

openssl pkcs12 -export -out ./IntermCA/IntermCA.db.certs/WLC/WLC.pfx -inkey ./IntermCA/IntermCA.db.certs/WLC/WLC.key -in ./IntermCA/IntermCA.db.certs/WLC/WLC.crt -certfile ./IntermCA/IntermCA.db.certs/WLC/certfile.crt

Crea certificato dispositivo ISE

Creare una nuova cartella in cui archiviare i certificati ISE nel computer in cui è installato OpenSSL nella cartella dei certificati CA intermedi denominata IntermCA.db.certs. La nuova cartella si chiama ISE:

mkdir ./IntermCA/IntermCA.db.certs/ISE

Modificare i parametri DNS nella sezione [ISE_alt_names] del file openssl.cnf. Per modificare i nomi di esempio forniti per i valori desiderati, questi valori popolano il campo SAN del certificato WLC:

[ISE_alt_names]

DNS.1   = ISE.example.com   <-----Change the values after the equals sign

DNS.2   = ISE2.example.com  <-----Change the values after the equals sign

Creare la chiave privata ISE e ISE CSR con le informazioni della sezione ISE_device_req_ext per le SAN:

openssl req -newkey rsa:2048 -sha256 -keyout ./IntermCA/IntermCA.db.certs/ISE/ISE.key -nodes -config openssl.cnf -out ./IntermCA/IntermCA.db.certs/ISE/ISE.csr -reqexts ISE_device_req_ext

OpenSSL apre una richiesta interattiva per l'immissione dei dettagli del nome distinto (DN):

Prompt interattivo del nome distinto del certificato ISE

Attenzione: il CN specificato sul prompt interattivo deve essere esattamente uguale a uno dei Nomi nella sezione [ISE_alt_names] del file openssl.cnf.

Utilizzare l'autorità di certificazione IntermCA per firmare l'ISE CSR denominata ISE.csr con le estensioni definite in [ISE_cert] e archiviare il certificato firmato in ./IntermCA/IntermCA.db.certs/WLC. Il certificato del dispositivo ISE è denominato ISE.crt:

openssl ca -config openssl.cnf -extensions ISE_cert -name IntermCA -out ./IntermCA/IntermCA.db.certs/ISE/ISE.crt -infiles ./IntermCA/IntermCA.db.certs/ISE/ISE.csr

Importa certificati nei dispositivi

Importazione di certificati ad ISE

1. Importare il certificato CA radice dalla catena di certificati ISE nell'archivio dei certificati protetti.

2. Passare a Amministrazione>Sistema>Certificati>Certificati attendibili.

3. Fare clic su Browse (Sfoglia) e selezionare il file Root.crt.

4. Selezionare le caselle di controllo Trust for authentication within ISE and Trust for client authentication and Syslog, quindi fare clic su Submit:

Finestra di dialogo Importazione certificato CA radice ISE

Eseguire la stessa operazione per il certificato intermedio, se esistente.

Nota: ripetere i passaggi per ogni certificato CA che fa parte della catena di convalida dei certificati ISE. Inizia sempre con il certificato CA radice e termina con il certificato CA intermedio più basso della catena.

Finestra di dialogo ISE Intermediate CA Certificate Import

Attenzione: se il certificato ISE e il certificato WLC sono emessi da CA diverse, è necessario importare anche tutti i certificati CA che appartengono alla catena di certificati WLC. ISE non accetta il certificato WLC sullo scambio di certificati DTLS finché non vengono importati tali certificati CA.

Menu di importazione dei certificati dei dispositivi ISE

Suggerimento: in questo passaggio è sufficiente importare il certificato del dispositivo ISE. Questo certificato è uno scambio ISE per stabilire il tunnel DTLS. Non è necessario importare il certificato del dispositivo WLC e la chiave privata, in quanto il certificato WLC viene verificato con l'utilizzo dei certificati CA importati in precedenza.

Importa certificati in WLC

1. Passare a Configurazione > Sicurezza > Gestione PKI sul WLC e passare alla scheda Aggiungi certificato.

2. Fare clic sull'elenco a discesa Import PKCS12 Certificate (Importa certificato PKCS12) e impostare il tipo di trasporto su Desktop (HTTPS).

3. Fare clic sul pulsante Seleziona file e selezionare il file .pfx preparato in precedenza.

4. Digitare la password per l'importazione e fare clic su Import (Importa).

Finestra di dialogo Importazione certificato WLC

Per informazioni dettagliate sul processo di importazione, consultare il documento sulla generazione e il download dei certificati CSR sui WLC di Catalyst 9800.

Disabilita il controllo delle revoche all'interno di ogni trust point creato automaticamente se il WLC non dispone di un elenco di revoche di certificati che possa controllare attraverso la rete:

9800#configure terminal

9800(config)#crypto pki trustpoint WLC.pfx

9800(config)#revocation-check none

9800(config)#exit

9800(config)#crypto pki trustpoint WLC.pfx-rrr1

9800(config)#revocation-check none

9800(config)#exit

Nota: se è stata creata una CA multilivello su OpenSSL con il documento Configura CA multilivello su OpenSSL per generare certificati Cisco IOS XE, è necessario disabilitare il controllo di revoca perché non viene creato alcun server CRL.

L'importazione automatica crea i trust point necessari per contenere il certificato WLC e i relativi certificati CA.

Suggerimento: se i certificati WLC sono stati emessi dalla stessa CA dei certificati ISE, è possibile utilizzare gli stessi trust creati automaticamente dall'importazione del certificato WLC. Non è necessario importare i certificati ISE separatamente.

Se il certificato WLC è rilasciato da una CA diversa dal certificato ISE, è necessario importare anche i certificati ISE CA nel WLC in modo che il WLC possa considerare attendibile il certificato del dispositivo ISE.

Creare un nuovo trust point per la CA radice e importare la CA radice ISE:

9800(config)#crypto pki trustpoint ISEroot

9800(ca-trustpoint)#revocation-check none

9800(ca-trustpoint)#enrollment terminal

9800(ca-trustpoint)#chain-validation stop

9800(ca-trustpoint)#exit

9800(config)#crypto pki authenticate ISEroot

Enter the base 64 encoded CA certificate.

End with a blank line or the word "quit" on a line by itself

------Paste the ISE root CA-----

Importare il successivo certificato CA intermedio sulla catena di CA ISE, in altre parole, il certificato CA rilasciato dalla CA radice:

hamariomed1(config)#crypto pki trustpoint ISEintermediate

hamariomed1(ca-trustpoint)#revocation-check none

hamariomed1(ca-trustpoint)#chain-validation continue ISErootCA

hamariomed1(ca-trustpoint)#enrollment terminal

hamariomed1(ca-trustpoint)#exit

hamariomed1(config)#crypto pki authenticate ISEintermediate

Enter the base 64 encoded CA certificate.

End with a blank line or the word "quit" on a line by itself

------Paste the ISE intermediate CA-------

Ogni CA aggiuntiva della catena richiede un trust point separato. Ogni trust point nella catena deve fare riferimento al trust point che contiene il certificato dell'autorità di certificazione del certificato che si desidera importare con il comando chain-validation continue <nome trustpoint autorità di certificazione>.

Importa tutti i certificati CA contenuti nella catena di CA. Dopo aver importato la CA dell'autorità di certificazione del certificato del dispositivo ISE, prendere nota del nome di questo trust point.

non è necessario importare il certificato del dispositivo ISE sul WLC perché le DTLS RADIUS funzionino.

Configura DTLS RADIUS

Configurazione di ISE

Aggiungere il WLC come dispositivo di rete in ISE, a tale scopo, selezionare Amministrazione>Risorse di rete>Dispositivi di rete>Aggiungi

Immettere il nome del dispositivo e l'indirizzo IP dell'interfaccia WLC da cui proviene il traffico RADIUS. In genere, l'indirizzo IP dell'interfaccia di gestione wireless. Scorrere verso il basso e selezionare RADIUS Authentication Settings (Impostazioni di autenticazione RADIUS) e DTLS Required (DTLS richiesto), quindi fare clic su Submit (Invia):

Nuova configurazione dispositivo di rete

Impostazioni Radius DTLS per il dispositivo di rete su ISE

Configurazione WLC

Definire un nuovo server Radius insieme all'indirizzo IP ISE e alla porta predefinita per le DTLS Radius. Questa configurazione è disponibile solo dalla CLI:

9800#configure terminal

9800(config)#radius server ISE

9800(config-radius-server)#address ipv4

9800(config-radius-server)#dtls port 2083

Le DTLS Radius devono utilizzare il segreto condiviso radius/dtls, il WLC 9800 ignora qualsiasi chiave configurata diversa da questa:

9800(config-radius-server)#key radius/dtls

Usare il comandodtls trustpoint client

per configurare il trust point che contiene il certificato del dispositivo WLC da scambiare per il tunnel DTLS.

Utilizzare il comandodtls trustpoint server

per configurare il trust point che contiene l'autorità di certificazione dell'autorità di certificazione per il certificato del dispositivo ISE.

I nomi dei trust point client e server sono gli stessi solo se i certificati WLC e ISE sono emessi dalla stessa CA:

9800(config-radius-server)#dtls trustpoint client WLC.pfx

9800(config-radius-server)#dtls trustpoint server WLC.pfx

Configurare il WLC in modo da verificare la presenza di uno dei nomi alternativi del soggetto (SAN) presenti nel certificato ISE. Questa configurazione deve corrispondere esattamente a una delle SAN presenti nel campo SAN del certificato.

Il WLC 9800 non esegue una corrispondenza basata su espressioni regolari per il campo SAN. Ciò significa, ad esempio, che il comando dtls match-server-identity hostname *.example.com per un certificato con caratteri jolly che ha *.example.com sul suo campo SAN è corretto, ma lo stesso comando per un certificato che contiene www.example.com sul campo SAN non lo è.

Il WLC non confronta questo nome con alcun server dei nomi:

9800(config-radius-server)#dtls match-server-identity hostname ISE.example.com

9800(config-radius-server)#exit

Creare un nuovo gruppo di server per utilizzare il nuovo DTLS Radius per l'autenticazione:

9800(config)#aaa group server radius Radsec

9800(config-sg-radius)#server name ISE

9800(config-sg-radius)#exit

Da questo momento in poi è possibile utilizzare questo gruppo di server come qualsiasi altro gruppo di server sul WLC. Per ulteriori informazioni, fare riferimento a Configurazione dell'autenticazione 802.1X sui controller wireless Catalyst serie 9800 per l'utilizzo di questo server per l'autenticazione dei client wireless.

Verifica

Verifica informazioni certificato

Per verificare le informazioni relative ai certificati creati, sul terminale Linux eseguire il comando:

openssl x509 -in

-text -noout

Visualizza le informazioni complete sul certificato. Questa opzione è utile per determinare l'autorità di certificazione di un determinato certificato o se i certificati contengono gli EKU e le SAN richiesti:

Informazioni sul certificato del dispositivo Cisco IOS XE mostrate da OpenSSL

Esegui test di autenticazione

Dal WLC è possibile verificare la funzionalità DTLS Radius con il comandotest aaa group

new-code

9800#test aaa group Radsec testuser Cisco123 new-code

User successfully authenticated

USER ATTRIBUTES

username             0   "testuser"

Nota: un output di rifiuto di accesso sul comando test indica che il WLC ha ricevuto un messaggio RADIUS Access-Reject, nel qual caso il DTLS RADIUS funziona. Tuttavia, può anche indicare che non è stato possibile stabilire il tunnel DTLS. Il comando di test non distingue entrambi gli scenari. Vedere la sezione relativa alla risoluzione dei problemi per determinare se si è verificato un problema.

Risoluzione dei problemi

Per verificare la causa di un errore di autenticazione, è possibile attivare questi comandi prima di eseguire un test di autenticazione.

9800#debug radius

9800#debug radius radsec

9800#terminal monitor

Questo è l'output di un'autenticazione riuscita con debug abilitati:

9800#test aaa group Radsec testuser Cisco123 new-code

User successfully authenticated

USER ATTRIBUTES

username             0   "testuser"

9800#

Jul 18 21:24:38.301: %PARSER-5-HIDDEN: Warning!!! ' test platform-aaa group server-group Radsec user-name testuser Cisco123 new-code blocked count delay level profile rate users ' is a hidden command. Use of this command is not recommended/supported and will be removed in future.

Jul 18 21:24:38.313: RADIUS/ENCODE(00000000):Orig. component type = Invalid

Jul 18 21:24:38.313: RADIUS/ENCODE(00000000): dropping service type, "radius-server attribute 6 on-for-login-auth" is off

Jul 18 21:24:38.313: RADIUS(00000000): Config NAS IP: 0.0.0.0

Jul 18 21:24:38.313: vrfid: [65535]  ipv6 tableid : [0]

Jul 18 21:24:38.313: idb is NULL

Jul 18 21:24:38.313: RADIUS(00000000): Config NAS IPv6: ::

Jul 18 21:24:38.313: RADIUS(00000000): sending

Jul 18 21:24:38.313: RADIUS/DECODE(00000000): There is no General DB. Want server details may not be specified

Jul 18 21:24:38.313: RADSEC: DTLS default secret

Jul 18 21:24:38.313: RADIUS/ENCODE: Best Local IP-Address 172.16.5.11 for Radius-Server 172.16.18.123

Jul 18 21:24:38.313: RADSEC: DTLS default secret

Jul 18 21:24:38.313: RADIUS(00000000): Send Access-Request to 172.16.18.123:2083 id 53808/10, len 54

RADIUS:  authenticator C3 4E 34 0A 91 EF 42 53 - 7E C8 BB 50 F3 98 B3 14

Jul 18 21:24:38.313: RADIUS:  User-Password       [2]   18  *

Jul 18 21:24:38.313: RADIUS:  User-Name           [1]   10  "testuser"

Jul 18 21:24:38.313: RADIUS:  NAS-IP-Address      [4]   6   172.16.5.11

Jul 18 21:24:38.313: RADIUS_RADSEC_ENQ_WAIT_Q: Success Server(172.16.18.123)/Id(10)

Jul 18 21:24:38.313: RADIUS_RADSEC_CLIENT_PROCESS: Got DATA SEND MSG

Jul 18 21:24:38.313: RADIUS_RADSEC_SOCK_SET:  0 Success

Jul 18 21:24:38.313: RADIUS_RADSEC_GENERATE_HASHKEY: hash key(0) generated for sock(0)

Jul 18 21:24:38.313: RADIUS_RADSEC_GENERATE_HASHBUCKET: hash bucket(0) generated for sock(0)

Jul 18 21:24:38.313: RADIUS_RADSEC_HASH_KEY_ADD_CTX: add [radius_radsec ctx(0x7522CE91BAC0)] succeedd for sock_no(0)

Jul 18 21:24:38.313: RADIUS_RADSEC_GET_SOURCE_ADDR: Success

Jul 18 21:24:38.313: RADIUS_RADSEC_GET_SOCK_ADDR: Success

Jul 18 21:24:38.313: RADIUS_RADSEC_SET_LOCAL_SOCK: Success

Jul 18 21:24:38.313: RADIUS_RADSEC_SOCK_SET: Success

Jul 18 21:24:38.314: RADIUS_RADSEC_BIND_SOCKET: Success

Jul 18 21:24:38.314: RADIUS_RADSEC_CONN_SET_LPORT: Success

Jul 18 21:24:38.314: RADIUS_RADSEC_CONN_SET_SERVER_PORT: Success

Jul 18 21:24:38.314: RADIUS_RADSEC_CLIENT_HS_START: local port = 54509

Jul 18 21:24:38.314: RADIUS_RADSEC_SOCKET_CONNECT: Success

Jul 18 21:24:38.315: RADIUS_RADSEC_UPDATE_SVR_REF_CNT: Got radsec_data

Jul 18 21:24:38.315: RADIUS_RADSEC_UPDATE_SVR_REF_CNT: Got valid rctx, with server_handle B0000019

Jul 18 21:24:38.316: RADIUS_RADSEC_CLIENT_HS_START: TLS handshake in progress...(172.16.18.123/2083)

Jul 18 21:24:38.316: RADIUS_RADSEC_START_CONN_TIMER: Started (172.16.18.123/2083) for 5 secs

Jul 18 21:24:38.316: RADIUS_RADSEC_CONN_STATE_UPDATE: Success - State = 2

Jul 18 21:24:38.318: RADIUS_RADSEC_CLIENT_PROCESS: Got Socket Event

Jul 18 21:24:38.318: RADIUS_RADSEC_GENERATE_HASHBUCKET: hash bucket(0) generated for sock(0)

Jul 18 21:24:38.318: RADIUS_RADSEC_GENERATE_HASHKEY: hash key(0) generated for sock(0)

Jul 18 21:24:38.318: RADIUS_RADSEC_HASH_KEY_MATCH: hashkey1(0) matches hashkey2(0) TRUE

Jul 18 21:24:38.318: RADIUS_RADSEC_HASH_KEY_GET_CTX: radius radsec  sock_ctx(0x7522CE91BAC0:0) get for key sock_no(0) succeeded

Jul 18 21:24:38.318: RADIUS_RADSEC_PROCESS_SOCK_EVENT: Handle socket event for TLS handshake(172.16.18.123/2083)

Jul 18 21:24:38.318: RADIUS_RADSEC_STOP_TIMER: Stopped (172.16.18.123/2083)

Jul 18 21:24:38.318: RADIUS_RADSEC_START_CONN_TIMER: Started (172.16.18.123/2083) for 5 secs

Jul 18 21:24:38.318: RADIUS_RADSEC_HS_CONTINUE: TLS handshake in progress...(172.16.18.123/2083)

Jul 18 21:24:38.318: RADIUS_RADSEC_SOCK_TLS_EVENT_HANDLE: Success

Jul 18 21:24:38.318: RADIUS_RADSEC_CLIENT_PROCESS: Got Socket Event

Jul 18 21:24:38.327: RADIUS_RADSEC_CLIENT_PROCESS: Got Socket Event

Jul 18 21:24:38.327: RADIUS_RADSEC_GENERATE_HASHBUCKET: hash bucket(0) generated for sock(0)

Jul 18 21:24:38.327: RADIUS_RADSEC_GENERATE_HASHKEY: hash key(0) generated for sock(0)

Jul 18 21:24:38.327: RADIUS_RADSEC_HASH_KEY_MATCH: hashkey1(0) matches hashkey2(0) TRUE

Jul 18 21:24:38.327: RADIUS_RADSEC_HASH_KEY_GET_CTX: radius radsec  sock_ctx(0x7522CE91BAC0:0) get for key sock_no(0) succeeded

Jul 18 21:24:38.327: RADIUS_RADSEC_PROCESS_SOCK_EVENT: Handle socket event for TLS handshake(172.16.18.123/2083)

Jul 18 21:24:38.327: RADIUS_RADSEC_STOP_TIMER: Stopped (172.16.18.123/2083)

Jul 18 21:24:38.391: RADIUS_RADSEC_START_CONN_TIMER: Started (172.16.18.123/2083) for 5 secs

Jul 18 21:24:38.391: RADIUS_RADSEC_HS_CONTINUE: TLS handshake in progress...(172.16.18.123/2083)

Jul 18 21:24:38.391: RADIUS_RADSEC_SOCK_TLS_EVENT_HANDLE: Success

Jul 18 21:24:38.391: RADIUS_RADSEC_CLIENT_PROCESS: Got Socket Event

Jul 18 21:24:38.397: RADIUS_RADSEC_CLIENT_PROCESS: Got Socket Event

Jul 18 21:24:38.397: RADIUS_RADSEC_GENERATE_HASHBUCKET: hash bucket(0) generated for sock(0)

Jul 18 21:24:38.397: RADIUS_RADSEC_GENERATE_HASHKEY: hash key(0) generated for sock(0)

Jul 18 21:24:38.397: RADIUS_RADSEC_HASH_KEY_MATCH: hashkey1(0) matches hashkey2(0) TRUE

Jul 18 21:24:38.397: RADIUS_RADSEC_HASH_KEY_GET_CTX: radius radsec  sock_ctx(0x7522CE91BAC0:0) get for key sock_no(0) succeeded

Jul 18 21:24:38.397: RADIUS_RADSEC_PROCESS_SOCK_EVENT: Handle socket event for TLS handshake(172.16.18.123/2083)

Jul 18 21:24:38.397: RADIUS_RADSEC_STOP_TIMER: Stopped (172.16.18.123/2083)

Jul 18 21:24:38.397: RADIUS_RADSEC_HS_CONTINUE: TLS handshake success!(172.16.18.123/2083) <-------- TLS tunnel establishes succesfully

Jul 18 21:24:38.397: RADIUS_RADSEC_CONN_STATE_UPDATE: Success - State = 3

Jul 18 21:24:38.397: RADIUS_RADSEC_UPDATE_SVR_REF_CNT: Got radsec_data

Jul 18 21:24:38.397: RADIUS_RADSEC_UPDATE_SVR_REF_CNT: Got valid rctx, with server_handle B0000019

Jul 18 21:24:38.397: RADIUS-RADSEC-HS-SUCCESS: Negotiated Cipher is ECDHE-RSA-AES256-GCM-SHA384

Jul 18 21:24:38.397: RADIUS_RADSEC_START_DATA_SEND: RADSEC HS Done, Start data send (172.16.18.123/2083)

Jul 18 21:24:38.397: RADIUS_RADSEC_UNQUEUE_WAIT_Q: Success Server(172.16.18.123)/Id(10)

Jul 18 21:24:38.397: RADIUS_RADSEC_MSG_SEND: RADSEC Write SUCCESS(id=10)

Jul 18 21:24:38.397: RADIUS(00000000): Started 5 sec timeout

Jul 18 21:24:38.397: RADIUS_RADSEC_UNQUEUE_WAIT_Q: Empty Server(172.16.18.123)/Id(-1)

Jul 18 21:24:38.397: RADIUS_RADSEC_START_DATA_SEND: no more data available

Jul 18 21:24:38.397: RADIUS_RADSEC_IDLE_TIMER: Started (172.16.18.123/2083)

Jul 18 21:24:38.397: RADIUS-RADSEC-HS-SUCCESS: Success

Jul 18 21:24:38.397: RADIUS_RADSEC_SOCK_TLS_EVENT_HANDLE: Success

Jul 18 21:24:38.397: RADIUS_RADSEC_CLIENT_PROCESS: Got Socket Event

Jul 18 21:24:38.453: RADIUS_RADSEC_CLIENT_PROCESS: Got Socket Event

Jul 18 21:24:38.453: RADIUS_RADSEC_GENERATE_HASHBUCKET: hash bucket(0) generated for sock(0)

Jul 18 21:24:38.453: RADIUS_RADSEC_GENERATE_HASHKEY: hash key(0) generated for sock(0)

Jul 18 21:24:38.453: RADIUS_RADSEC_HASH_KEY_MATCH: hashkey1(0) matches hashkey2(0) TRUE

Jul 18 21:24:38.453: RADIUS_RADSEC_HASH_KEY_GET_CTX: radius radsec  sock_ctx(0x7522CE91BAC0:0) get for key sock_no(0) succeeded

Jul 18 21:24:38.453: RADIUS_RADSEC_MSG_RECV: RADSEC Bytes read= 20, Err= 0

Jul 18 21:24:38.453: RADIUS_RADSEC_SOCK_READ_EVENT_HANDLE: Radius length is 113

Jul 18 21:24:38.453: RADIUS_RADSEC_SOCK_READ_EVENT_HANDLE: Going to read rest 93 bytes

Jul 18 21:24:38.453: RADIUS_RADSEC_MSG_RECV: RADSEC Bytes read= 93, Err= 0

Jul 18 21:24:38.453: RADIUS_RADSEC_SOCK_READ_EVENT_HANDLE: linktype = 7 - src port = 2083 - dest port = 54509 - udp len = 121 - datagram size = 141

Jul 18 21:24:38.453: RADIUS: Received from id 54509/10 172.16.18.123:2083, Access-Accept, len 113 <----------Radius response from ISE

RADIUS:  authenticator 4E CE 96 63 41 4B 43 04 - C7 A2 B5 05 C2 78 A7 0D

Jul 18 21:24:38.453: RADIUS:  User-Name           [1]   10  "testuser"

Jul 18 21:24:38.453: RADIUS:  Class               [25]  83

RADIUS:   43 41 43 53 3A 61 63 31 30 31 32 37 62 64 38 74  [CACS:ac10127bd8t]

RADIUS:   47 58 50 47 4E 63 6C 57 76 2F 39 67 44 66 51 67  [GXPGNclWv/9gDfQg]

RADIUS:   63 4A 76 6C 35 47 72 33 71 71 47 36 4C 66 35 59  [cJvl5Gr3qqG6Lf5Y]

RADIUS:   52 42 2F 7A 57 55 39 59 3A 69 73 65 2D 76 62 65  [RB/zWU9Y:ise-vbe]

RADIUS:   74 61 6E 63 6F 2F 35 31 30 34 33 39 38 32 36 2F  [tanco/510439826/]

RADIUS:   39                 [ 9]

Jul 18 21:24:38.453: RADSEC: DTLS default secret

Jul 18 21:24:38.453: RADIUS/DECODE(00000000): There is no General DB. Reply server details may not be recorded

Jul 18 21:24:38.453: RADIUS(00000000): Received from id 54509/10

CA sconosciuta segnalata dal WLC

Quando il WLC non può convalidare i certificati forniti da ISE, non riesce a creare il tunnel DTLS e le autenticazioni non riescono.

Di seguito è riportato un esempio dei messaggi di debug presentati:

9800#test aaa group Radsec testuser Cisco123 new-code

Jul 19 00:59:09.695: %PARSER-5-HIDDEN: Warning!!! ' test platform-aaa group server-group Radsec user-name testuser Cisco123 new-code blocked count delay level profile rate users ' is a hidden command. Use of this command is not recommended/supported and will be removed in future.

Jul 19 00:59:09.706: RADIUS/ENCODE(00000000):Orig. component type = Invalid

Jul 19 00:59:09.707: RADIUS/ENCODE(00000000): dropping service type, "radius-server attribute 6 on-for-login-auth" is off

Jul 19 00:59:09.707: RADIUS(00000000): Config NAS IP: 0.0.0.0

Jul 19 00:59:09.707: vrfid: [65535]  ipv6 tableid : [0]

Jul 19 00:59:09.707: idb is NULL

Jul 19 00:59:09.707: RADIUS(00000000): Config NAS IPv6: ::

Jul 19 00:59:09.707: RADIUS(00000000): sending

Jul 19 00:59:09.707: RADIUS/DECODE(00000000): There is no General DB. Want server details may not be specified

Jul 19 00:59:09.707: RADSEC: DTLS default secret

Jul 19 00:59:09.707: RADIUS/ENCODE: Best Local IP-Address 172.16.5.11 for Radius-Server 172.16.18.123

Jul 19 00:59:09.707: RADSEC: DTLS default secret

Jul 19 00:59:09.707: RADIUS(00000000): Send Access-Request to 172.16.18.123:2083 id 52764/13, len 54

RADIUS:  authenticator E8 09 1D B0 72 50 17 E6 - B4 27 F6 E3 18 25 16 64

Jul 19 00:59:09.707: RADIUS:  User-Password       [2]   18  *

Jul 19 00:59:09.707: RADIUS:  User-Name           [1]   10  "testuser"

Jul 19 00:59:09.707: RADIUS:  NAS-IP-Address      [4]   6   172.16.5.11

Jul 19 00:59:09.707: RADIUS_RADSEC_ENQ_WAIT_Q: Success Server(172.16.18.123)/Id(13)

Jul 19 00:59:09.707: RADIUS_RADSEC_CLIENT_PROCESS: Got DATA SEND MSG

Jul 19 00:59:09.707: RADIUS_RADSEC_SOCK_SET:  0 Success

Jul 19 00:59:09.707: RADIUS_RADSEC_GENERATE_HASHKEY: hash key(0) generated for sock(0)

Jul 19 00:59:09.707: RADIUS_RADSEC_GENERATE_HASHBUCKET: hash bucket(0) generated for sock(0)

Jul 19 00:59:09.707: RADIUS_RADSEC_HASH_KEY_ADD_CTX: add [radius_radsec ctx(0x7522CE91BAC0)] succeedd for sock_no(0)

Jul 19 00:59:09.707: RADIUS_RADSEC_GET_SOURCE_ADDR: Success

Jul 19 00:59:09.707: RADIUS_RADSEC_GET_SOCK_ADDR: Success

Jul 19 00:59:09.707: RADIUS_RADSEC_SET_LOCAL_SOCK: Success

Jul 19 00:59:09.707: RADIUS_RADSEC_SOCK_SET: Success

Jul 19 00:59:09.707: RADIUS_RADSEC_BIND_SOCKET: Success

Jul 19 00:59:09.707: RADIUS_RADSEC_CONN_SET_LPORT: Success

Jul 19 00:59:09.707: RADIUS_RADSEC_CONN_SET_SERVER_PORT: Success

Jul 19 00:59:09.707: RADIUS_RADSEC_CLIENT_HS_START: local port = 49556

Jul 19 00:59:09.707: RADIUS_RADSEC_SOCKET_CONNECT: Success

Jul 19 00:59:09.709: RADIUS_RADSEC_UPDATE_SVR_REF_CNT: Got radsec_data

Jul 19 00:59:09.709: RADIUS_RADSEC_UPDATE_SVR_REF_CNT: Got valid rctx, with server_handle B0000019

Jul 19 00:59:09.709: RADIUS_RADSEC_CLIENT_HS_START: TLS handshake in progress...(172.16.18.123/2083)

Jul 19 00:59:09.709: RADIUS_RADSEC_START_CONN_TIMER: Started (172.16.18.123/2083) for 5 secsUser rejected

uwu-9800#

Jul 19 00:59:09.709: RADIUS_RADSEC_CONN_STATE_UPDATE: Success - State = 2

Jul 19 00:59:09.711: RADIUS_RADSEC_CLIENT_PROCESS: Got Socket Event

Jul 19 00:59:09.711: RADIUS_RADSEC_GENERATE_HASHBUCKET: hash bucket(0) generated for sock(0)

Jul 19 00:59:09.711: RADIUS_RADSEC_GENERATE_HASHKEY: hash key(0) generated for sock(0)

Jul 19 00:59:09.711: RADIUS_RADSEC_HASH_KEY_MATCH: hashkey1(0) matches hashkey2(0) TRUE

Jul 19 00:59:09.711: RADIUS_RADSEC_HASH_KEY_GET_CTX: radius radsec  sock_ctx(0x7522CE91BAC0:0) get for key sock_no(0) succeeded

Jul 19 00:59:09.711: RADIUS_RADSEC_PROCESS_SOCK_EVENT: Handle socket event for TLS handshake(172.16.18.123/2083)

Jul 19 00:59:09.711: RADIUS_RADSEC_STOP_TIMER: Stopped (172.16.18.123/2083)

Jul 19 00:59:09.711: RADIUS_RADSEC_START_CONN_TIMER: Started (172.16.18.123/2083) for 5 secs

Jul 19 00:59:09.711: RADIUS_RADSEC_HS_CONTINUE: TLS handshake in progress...(172.16.18.123/2083)

Jul 19 00:59:09.711: RADIUS_RADSEC_SOCK_TLS_EVENT_HANDLE: Success

Jul 19 00:59:09.713: RADIUS_RADSEC_CLIENT_PROCESS: Got Socket Event

Jul 19 00:59:09.720: RADIUS_RADSEC_CLIENT_PROCESS: Got Socket Event

Jul 19 00:59:09.720: RADIUS_RADSEC_GENERATE_HASHBUCKET: hash bucket(0) generated for sock(0)

Jul 19 00:59:09.720: RADIUS_RADSEC_GENERATE_HASHKEY: hash key(0) generated for sock(0)

Jul 19 00:59:09.720: RADIUS_RADSEC_HASH_KEY_MATCH: hashkey1(0) matches hashkey2(0) TRUE

Jul 19 00:59:09.720: RADIUS_RADSEC_HASH_KEY_GET_CTX: radius radsec  sock_ctx(0x7522CE91BAC0:0) get for key sock_no(0) succeeded

Jul 19 00:59:09.720: RADIUS_RADSEC_PROCESS_SOCK_EVENT: Handle socket event for TLS handshake(172.16.18.123/2083)

Jul 19 00:59:09.720: RADIUS_RADSEC_STOP_TIMER: Stopped (172.16.18.123/2083)

Jul 19 00:59:09.722: RADIUS_RADSEC_HS_CONTINUE: TLS handshake failed!

Jul 19 00:59:09.722: RADIUS_RADSEC_UNQUEUE_WAIT_Q: Success Server(172.16.18.123)/Id(13)

Jul 19 00:59:09.722: RADIUS_RADSEC_FAILOVER_HANDLER:Failng-over to new server = 0x0

Jul 19 00:59:09.722: RADIUS_RADSEC_UNQUEUE_WAIT_Q: Empty Server(172.16.18.123)/Id(-1)

Jul 19 00:59:09.722: RADIUS_RADSEC_FAILOVER_HANDLER: no more data available

Jul 19 00:59:09.722: RADIUS_RADSEC_STOP_TIMER: Stopped (172.16.18.123/2083)

Jul 19 00:59:09.722: RADIUS_RADSEC_CONN_CLOSE: Cleaned up timers for Radius RADSEC ctx

Jul 19 00:59:09.722: RADIUS_RADSEC_GENERATE_HASHKEY: hash key(0) generated for sock(0)

Jul 19 00:59:09.722: RADIUS_RADSEC_GENERATE_HASHBUCKET: hash bucket(0) generated for sock(0)

Jul 19 00:59:09.722: RADIUS_RADSEC_HASH_KEY_DEL_CTX: remove [radius_radsec  ctx(0x7522CE91BAC0)] succeeded for sock_no(0)

Jul 19 00:59:09.722: RADIUS_RADSEC_CONN_CLOSE: Hash table entry removed for RADSEC sock ctx

Jul 19 00:59:09.723: RADIUS_RADSEC_CONN_CLOSE: Success

Jul 19 00:59:09.723: RADIUS_RADSEC_SOCK_TLS_EVENT_HANDLE: Failed to complete TLS handshake <----------DTLS tunnel failed to negociate

Jul 19 00:59:09.723: RADIUS_RADSEC_STOP_TIMER: Stopped (172.16.18.123/2083)

Jul 19 00:59:09.723: RADIUS_RADSEC_CONN_CLOSE: Cleaned up timers for Radius RADSEC ctx

Jul 19 00:59:09.723: RADIUS_RADSEC_GENERATE_HASHKEY: hash key(-1) generated for sock(-1)

Jul 19 00:59:09.723: RADIUS_RADSEC_GENERATE_HASHBUCKET: hash bucket(-1) generated for sock(-1)

uwu-9800#

Jul 19 00:59:09.723: RADIUS_RADSEC_HASH_KEY_DEL_CTX: remove [radius_radsec  ctx(0x7522CE91BAC0)] succeeded for sock_no(-1)

Jul 19 00:59:09.723: RADIUS_RADSEC_CONN_CLOSE: Hash table entry removed for RADSEC sock ctx

Jul 19 00:59:09.723: RADIUS_RADSEC_CONN_CLOSE: Success

Jul 19 00:59:09.723: RADIUS_RADSEC_SOCK_TLS_EVENT_HANDLE: Error

Jul 19 00:59:09.723: RADIUS_RADSEC_PROCESS_SOCK_EVENT: failed to hanlde radsec hs event

Jul 19 00:59:09.723: RADIUS/DECODE: No response from radius-server; parse response; FAIL

Jul 19 00:59:09.723: RADIUS/DECODE: Case error(no response/ bad packet/ op decode);parse response; FAIL

Jul 19 00:59:09.723: RADIUS_RADSEC_CLIENT_PROCESS: Got Socket Event

Jul 19 00:59:10.718: %RADSEC_AUDIT_MESSAGE-3-FIPS_AUDIT_FCS_RADSEC_SERVER_CERTIFICATE_VALIDATION_FAILURE: Chassis 1 R0/0: sessmgrd: RADSEC server certificate validation failed with server 172.16.18.123

Jul 19 00:59:10.718: %RADSEC_AUDIT_MESSAGE-3-FIPS_AUDIT_FCS_RADSEC_SERVER_IDENTITY_CHECK_FAILURE: Chassis 1 R0/0: sessmgrd: RADSEC server identity check failed with server 172.16.18.123 <-----WLC fails to validate the identity on the certificate

Jul 19 00:59:10.718: %RADSEC_AUDIT_MESSAGE-6-FIPS_AUDIT_FCS_DTLSC_DTLS_SESSION_CLOSED: Chassis 1 R0/0: sessmgrd: RADSEC DTLS connection closed with peer 172.16.18.123

Per correggerlo, verificare che l'identità configurata sul WLC corrisponda esattamente a una delle SAN incluse nel certificato ISE:

9800(config)#radius server

9800(config)#dtls match-server-identity hostname

Verificare che la catena di certificati CA sia importata correttamente nel controller e che dtls trustpoint server

configuration uses the Issuer CA trustpoint.

CA sconosciuta segnalata da ISE

Quando ISE non può convalidare i certificati forniti dal WLC, non riesce a creare il tunnel DTLS e le autenticazioni non riescono. Nei registri attivi RADIUS viene visualizzato un errore. Passare a Operazioni>Raggio>Live Log per verificare.

ISE Live Log segnala un errore di handshake DTLS causato da CA sconosciuta

Per correggere il problema, verificare che sia il Certificato intermedio che il Certificato principale, selezionare le caselle di controllo Considera attendibile l'autenticazione del client e Syslog in Amministrazione>Sistema>Certificati>Certificati attendibili.

Verifica revoca in corso

Quando i certificati vengono importati nel WLC, per i nuovi trust point creati il controllo di revoca è abilitato. In questo modo il WLC tenta di cercare un elenco di revoche di certificati non disponibile o raggiungibile e la verifica del certificato non riesce.

Verificare che ogni trust point nel percorso di verifica dei certificati contenga il comando revocation-check none .

Jul 17 21:50:39.064: RADIUS_RADSEC_HASH_KEY_MATCH: hashkey1(0) matches hashkey2(0) TRUE

Jul 17 21:50:39.064: RADIUS_RADSEC_HASH_KEY_GET_CTX: radius radsec  sock_ctx(0x780FB0715978:0) get for key sock_no(0) succeeded

Jul 17 21:50:39.064: RADIUS_RADSEC_PROCESS_SOCK_EVENT: Handle socket event for TLS handshake(172.16.18.123/2083)

Jul 17 21:50:39.064: RADIUS_RADSEC_STOP_TIMER: Stopped (172.16.18.123/2083)

Jul 17 21:50:39.068: %PKI-3-CRL_FETCH_FAIL: CRL fetch for trustpoint WLC1.pfx failed

Reason : Enrollment URL not configured. <------ WLC tries to perform revocation check

Jul 17 21:50:39.070: RADIUS_RADSEC_HS_CONTINUE: TLS handshake failed!

Jul 17 21:50:39.070: RADIUS_RADSEC_UNQUEUE_WAIT_Q: Success Server(172.16.18.123)/Id(2)

Jul 17 21:50:39.070: RADIUS_RADSEC_FAILOVER_HANDLER:Failng-over to new server = 0x0

Jul 17 21:50:39.070: RADIUS_RADSEC_UNQUEUE_WAIT_Q: Empty Server(172.16.18.123)/Id(-1)

Jul 17 21:50:39.070: RADIUS_RADSEC_FAILOVER_HANDLER: no more data available

Jul 17 21:50:39.070: RADIUS_RADSEC_STOP_TIMER: Stopped (172.16.18.123/2083)

Jul 17 21:50:39.070: RADIUS_RADSEC_CONN_CLOSE: Cleaned up timers for Radius RADSEC ctx

Jul 17 21:50:39.070: RADIUS_RADSEC_GENERATE_HASHKEY: hash key(0) generated for sock(0)

Jul 17 21:50:39.070: RADIUS_RADSEC_GENERATE_HASHBUCKET: hash bucket(0) generated for sock(0)

Jul 17 21:50:39.070: RADIUS_RADSEC_HASH_KEY_DEL_CTX: remove [radius_radsec  ctx(0x780FB0715978)] succeeded for sock_no(0)

Jul 17 21:50:39.070: RADIUS_RADSEC_CONN_CLOSE: Hash table entry removed for RADSEC sock ctx

Jul 17 21:50:39.070: RADIUS_RADSEC_CONN_CLOSE: Success

Jul 17 21:50:39.070: RADIUS_RADSEC_SOCK_TLS_EVENT_HANDLE: Failed to complete TLS handshake

Jul 17 21:50:39.070: RADIUS_RADSEC_STOP_TIMER: Stopped (172.16.18.123/2083)

Jul 17 21:50:39.070: RADIUS_RADSEC_CONN_CLOSE: Cleaned up timers for Radius RADSEC ctx

Jul 17 21:50:39.070: RADIUS_RADSEC_GENERATE_HASHKEY: hash key(-1) generated for sock(-1)

Jul 17 21:50:39.070: RADIUS_RADSEC_GENERATE_HASHBUCKET: hash bucket(-1) generated for sock(-1)

Jul 17 21:50:39.070: RADIUS_RADSEC_HASH_KEY_DEL_CTX: remove [radius_radsec  ctx(0x780FB0715978)] succeeded for sock_no(-1)

Jul 17 21:50:39.070: RADIUS_RADSEC_CONN_CLOSE: Hash table entry removed for RADSEC sock ctx

Jul 17 21:50:39.070: RADIUS_RADSEC_CONN_CLOSE: Success

Jul 17 21:50:39.070: RADIUS_RADSEC_SOCK_TLS_EVENT_HANDLE: Error

Jul 17 21:50:39.070: RADIUS_RADSEC_PROCESS_SOCK_EVENT: failed to hanlde radsec hs event

Jul 17 21:50:39.070: RADIUS_RADSEC_CLIENT_PROCESS: Got Socket Event

Risoluzione dei problemi di definizione del tunnel DTLS sull'acquisizione dei pacchetti

Lo switch 9800 WLC offre la funzionalità Embedded Packet Capture (EPC) che consente di acquisire tutto il traffico inviato e ricevuto per una determinata interfaccia. ISE offre una funzione simile, chiamata dump TCP per monitorare il traffico in entrata e in uscita.  Se utilizzati contemporaneamente, consentono di analizzare il traffico di impostazione della sessione DTLS dal punto di vista di entrambi i dispositivi.

Per i dettagli sulla configurazione del dump TCP su ISE, consultare la Cisco Identity Services Engine Administrator Guide. Per informazioni sulla configurazione della funzione EPC sul WLC, fare riferimento anche alla sezione Risoluzione dei problemi dei controller LAN wireless Catalyst 9800.

Questo è un esempio di come il tunnel DTLS è stato creato correttamente.

Acquisizione di pacchetti di una negoziazione del tunnel DTLS RADIUS e di messaggi crittografati

Le acquisizioni dei pacchetti mostrano come viene stabilito il tunnel DTLS. Se si verifica un problema con la negoziazione, causato da traffico perso tra dispositivi o pacchetti di avviso crittografati DTLS, l'acquisizione del pacchetto consente di identificare il problema.