Sommario

Introduzione

Problema:

Dispositivi usati:

Comandi utilizzati:

Verifica:

Via CLI 3850:

Tramite GUI MSE

Risoluzione dei problemi:

Debug:

Scenario di errore:

Scenario di successo:

Discussioni correlate nella Cisco Support Community

Introduzione

Il protocollo NMSP (Network Mobility Services Protocol) gestisce la comunicazione tra Mobility Services Engine (MSE) e il controller WLC.

NMSP è un protocollo bidirezionale che può essere eseguito su un trasporto orientato alla connessione o senza connessione.Gli switch sensibili al contesto possono utilizzare NMSP per comunicare con uno o più MSE. L'NMSP si basa su un sistema bidirezionale di richieste e risposte tra l'MSE e il controller di accesso. Vediamo ora come abilitare questa comunicazione tra MSE e WLC.

Qui abbiamo utilizzato 3850 (basato su IOS WLC) e MSE per questo post.

Problema:

Problemi durante la creazione del tunnel NMSP tra 3850 e MSE.

Dispositivi usati:

MSE Virtual MSE 8.0.110 (MR1)

WLC: 3850 3.3.5SE

Prime Infrastructure (PI): 2.2.1

Poiché NMSP funziona su SSL (Secure Sockets Layer), è necessario configurare le credenziali MSE su WLC. MSE utilizza il proprio indirizzo MAC e l'hash della chiave, quindi WLC deve essere a conoscenza di questi due parametri. È possibile ottenere questi dettagli tramite MSE CLI come mostrato di seguito

[root@robin ~]# cmdshell

cmd> show server-auth-info

richiama comando: com.aes.server.cli.CmdGetServerAuthInfo

Contrassegno massimo coda AesLog: 50000

Contrassegno minimo coda AesLog: 500

—

Informazioni autenticazione server

—

Indirizzo MAC: 00:50:56:9c:34:89

Hash chiave SHA1: e0afbe2e2abeed5a2f9ffc75f059da6a1bf2bfa0

Hash chiave SHA2: 6ab919e20afc103d025aaf210c2a9dda151af9403ef52e80a35ae1ecb6d3c177

Tipo certificato: SSC

Configurazione delle impostazioni NMSP su una piattaforma di accesso convergente (5760/3850/3650).

In questo esempio è stato utilizzato 3850. È necessario configurare l'indirizzo MAC MSE come nome utente e l'hash della chiave come password. Nota: La versione in esecuzione su my 3850 è la 3.3.5 SE e la crittografia SHA2 è usata in IOS-XE.

Comandi utilizzati:

3850c(config)#username 0050569c3489 elenco attributi aaa NMSP

3850c(config)#aaa attribute list NMSP

3850c(config)#attribute type password 6ab919e20afc103d025aaf210c2a9dda151af9403ef52e80a35ae1ecb6d3c177

3850c(config)#aaa authorization credential-download wcm_loc_serv_cert local

In Prime Infrastructure fare clic su: Servizi > Servizi di mobilità > Sincronizza servizi

Selezionare lo switch 3850 e fare clic sul pulsante "Cambia assegnazione MSE".

Quindi, è necessario selezionare i servizi e MSE appropriati da sincronizzare tra WLC (3850) e MSE.

Verifica:

Una volta completati i servizi di sincronizzazione, è possibile verificarli dalla GUI WLC, MSE o IP.

Via CLI 3850:

Tramite GUI MSE

Per MSE v8.0 o versioni successive, andare su: (https://<MSE_IP>/mseui/ )

Risoluzione dei problemi:

Se NMSP è ancora inattivo:

1) Controllare l'hash della chiave e se non corrisponde immettere l'hash manualmente come mostrato sopra

2) La sincronizzazione temporale NTP deve essere presente tra MSE e WLC

Debug:

Scenario di errore:

Errore nella convalida della chiave hash:

3850c#set trace nmsp connection level debug

3850c#show trace messages nmsp

[06/03/15 22:28:10.762 UTC a27 10241] Nuova connessione NMSP assegnata 0

[06/03/15 22:28:10.762 UTC a28 10241] sslConnectionInit: SSL_new() conn ssl b3f8a8d0

[06/03/15 22:28:10.762 UTC a29 10241] sslConnectionInit: SSL_do_handshake per conn ssl b3f8a8d0, stato conn: INIT, stato SSL: STRETTA DI MANO

[06/03/15 22:28:10.762 UTC a2a 10241] Stato SSL = 0x6000; dove = 0x10; ret = 0x1

[06/03/15 22:28:10.762 UTC a2b 10241] ret_type_string=sconosciuto

[06/03/15 22:28:10.762 UTC a2c 10241] ret_desc_string=sconosciuto

[06/03/15 22:28:10.762 UTC a2d 10241] SSL_state_string=before/accept initialization

[06/03/15 22:28:10.762 UTC a2e 10241] Stato SSL = 0x6000; dove = 0x2001; ret = 0x1

[06/03/15 22:28:10.762 UTC a2f 10241] ret_type_string=sconosciuto

[06/03/15 22:28:10.762 UTC a30 10241] ret_desc_string=sconosciuto

[06/03/15 22:28:10.762 UTC a31 10241] SSL_state_string=before/accept initialization

[06/03/15 22:28:10.762 UTC a32 10241] Stato SSL = 0x2111; dove = 0x2002; ret = 0xffffffff

[06/03/15 22:28:10.762 UTC a33 10241] ret_type_string=sconosciuto

[06/03/15 22:28:10.762 UTC a34 10241] ret_desc_string=sconosciuto

[06/03/15 22:28:10.762 UTC a35 10241] SSL_state_string=SSLv3 lettura client salve B

Altro...??????? ????????[06/03/15 22:28:10.762 UTC a36 10241] — restituisce WANT_READ per conn ssl b3f8a8d0

[06/03/15 22:28:10.762 UTC a37 10241] sslConnectionInit() riuscita con stato connessione: INIT, stato SSL: STRETTA DI MANO

[06/03/15 22:28:10.768 UTC a38 10241] doSSLRecvLoop: Handshake non completato per conn 0

[06/03/15 22:28:10.768 UTC a39 10241] sslConnectionInit: SSL_do_handshake per conn ssl b3f8a8d0, stato conn: INIT, stato SSL: STRETTA DI MANO

[06/03/15 22:28:10.768 UTC a3a 10241] Stato SSL = 0x2111; dove = 0x2001; ret = 0x1

[06/03/15 22:28:10.768 UTC a3b 10241] ret_type_string=sconosciuto

[06/03/15 22:28:10.768 UTC a3c 10241] ret_desc_string=sconosciuto

[06/03/15 22:28:10.768 UTC a3d 10241] SSL_state_string=SSLv3 read client hello B

[06/03/15 22:28:10.768 UTC a3e 10241] Stato SSL = 0x2130; dove = 0x2001; ret = 0x1

[06/03/15 22:28:10.768 UTC a3f 10241] ret_type_string=sconosciuto

[06/03/15 22:28:10.768 UTC a40 10241] ret_desc_string=sconosciuto

[06/03/15 22:28:10.768 UTC a41 10241] SSL_state_string=SSLv3 scrittura server salve A

[06/03/15 22:28:10.768 UTC a42 10241] Stato SSL = 0x2140; dove = 0x2001; ret = 0x1

[06/03/15 22:28:10.768 UTC a43 10241] ret_type_string=sconosciuto

[06/03/15 22:28:10.768 UTC a44 10241] ret_desc_string=sconosciuto

[06/03/15 22:28:10.768 UTC a45 10241] SSL_state_string=SSLv3 scrittura certificato A

Altro...??????? ????????[06/03/15 22:28:10.768 UTC a46 10241] Stato SSL = 0x2160; dove = 0x2001; ret = 0x1

[06/03/15 22:28:10.768 UTC a47 10241] ret_type_string=sconosciuto

[06/03/15 22:28:10.768 UTC a48 10241] ret_desc_string=sconosciuto

[06/03/15 22:28:10.768 UTC a49 10241] SSL_state_string=SSLv3 richiesta di scrittura certificato A

[06/03/15 22:28:10.768 UTC a4a 10241] Stato SSL = 0x2100; dove = 0x2001; ret = 0x1

[06/03/15 22:28:10.768 UTC a4b 10241] ret_type_string=sconosciuto

[06/03/15 22:28:10.768 UTC a4c 10241] ret_desc_string=sconosciuto

[06/03/15 22:28:10.768 UTC a4d 10241] SSL_state_string=SSLv3 dati di scaricamento

[06/03/15 22:28:10.768 UTC a4e 10241] Stato SSL = 0x2180; dove = 0x2002; ret = 0xffffffff

[06/03/15 22:28:10.768 UTC a4f 10241] ret_type_string=sconosciuto

[06/03/15 22:28:10.768 UTC a50 10241] ret_desc_string=sconosciuto

[06/03/15 22:28:10.768 UTC a51 10241] SSL_state_string=SSLv3 lettura certificato client A

[06/03/15 22:28:10.768 UTC a52 10241] - restituisce WANT_READ per conn ssl b3f8a8d0

[06/03/15 22:28:11.068 UTC a53 10241] doSSLRecvLoop: Handshake non completato per conn 0

[06/03/15 22:28:11.068 UTC a54 10241] sslConnectionInit: SSL_do_handshake per conn ssl b3f8a8d0, stato conn: INIT, stato SSL: STRETTA DI MANO

[06/03/15 22:28:11.069 UTC a55 10241] Convalida del certificato peer eseguita per conn ssl b3f8a8d0, chiamando authlist.

Altro...??????? ????????[06/03/15 22:28:11.070 UTC a56 10241] Autenticazione elenco indirizzi non riuscita per conn ssl b3f8a8d0

[06/03/15 22:28:12.070 UTC a57 10241] Peer non convalidato in base all'elenco di autenticazione

[06/03/15 22:28:12.070 UTC a58 10241] Stato SSL = 0x2182; dove = 0x4008; ret = 0x22e

[06/03/15 22:28:12.070 UTC a59 10241] ret_type_string=fatale

[06/03/15 22:28:12.070 UTC a5a 10241] ret_desc_string=certificato sconosciuto

[06/03/15 22:28:12.070 UTC a5b 10241] SSL_state_string=SSLv3 lettura certificato client C

[06/03/15 22:28:12.070 UTC a5c 10241] Stato SSL = 0x2182; dove = 0x2002; ret = 0xffffffff

[06/03/15 22:28:12.070 UTC a5d 10241] ret_type_string=sconosciuto

[06/03/15 22:28:12.070 UTC a5e 10241] ret_desc_string=sconosciuto

[06/03/15 22:28:12.070 UTC a5f 10241] SSL_state_string=SSLv3 lettura certificato client C

[03/06/15 22:28:12.070 UTC a60 10241] — handshake non riuscito per conn ssl b3f8a8d0, ssl_err 1 error = error:140890B2:SSL routines:SSL3_GET_CLIENT_CERTIFICATE:no certificate restituito

[06/03/15 22:28:12.070 UTC a61 10241] liberazione Nmsp conn ssl b3f8a8d0, conn id 0

Scenario di successo:

[06/06/15 17:47:53.600 UTC 4f2 10205] Invio di NMSP_APP_MEAS_NOTIFY_MSG a LocServer 0

[06/06/15 17:56:34.305 UTC 4f3 10205] Nuova connessione NMSP assegnata 0

Altro...??????? ???????[06/06/15 17:56:34.306 UTC 4f4 10205] sslConnectionInit: SSL_new() conn ssl 590a6048

[06/06/15 17:56:34.306 UTC 4f5 10205] sslConnectionInit: SSL_do_handshake per conn ssl 590a6048, stato conn: INIT, stato SSL: STRETTA DI MANO

[06/06/15 17:56:34.306 UTC 4f6 10205] Stato SSL = 0x6000; dove = 0x10; ret = 0x1

[06/06/15 17:56:34.306 UTC 4f7 10205] ret_type_string=sconosciuto

[06/06/15 17:56:34.306 UTC 4f8 10205] ret_desc_string=sconosciuto

[06/06/15 17:56:34.307 UTC 4f9 10205] SSL_state_string=prima/accetta inizializzazione

[06/06/15 17:56:34.307 UTC 4fa 10205] Stato SSL = 0x6000; dove = 0x2001; ret = 0x1

[06/06/15 17:56:34.307 UTC 4fb 10205] ret_type_string=sconosciuto

[06/06/15 17:56:34.307 UTC 4fc 10205] ret_desc_string=sconosciuto

[06/06/15 17:56:34.307 UTC 4fd 10205] SSL_state_string=prima/accetta inizializzazione

[06/06/15 17:56:34.307 UTC 4fe 10205] Stato SSL = 0x2111; dove = 0x2002; ret = 0xffffffff

[06/06/15 17:56:34.307 UTC 4ff 10205] ret_type_string=sconosciuto

[06/06/15 17:56:34.307 UTC 500 10205] ret_desc_string=sconosciuto

[06/06/15 17:56:34.307 UTC 501 10205] SSL_state_string=SSLv3 read client hello B

[06/06/15 17:56:34.307 UTC 502 10205] — restituisce WANT_READ per conn ssl 590a6048

[06/06/15 17:56:34.307 UTC 503 10205] sslConnectionInit() riuscita con stato connessione: INIT, stato SSL: STRETTA DI MANO

Altro...??????? ???????[06/06/15 17:56:34.309 UTC 504 10205] doSSLRecvLoop: Handshake non completato per conn 0

[06/06/15 17:56:34.309 UTC 505 10205] sslConnectionInit: SSL_do_handshake per conn ssl 590a6048, stato conn: INIT, stato SSL: STRETTA DI MANO

[06/06/15 17:56:34.309 UTC 506 10205] Stato SSL = 0x2111; dove = 0x2001; ret = 0x1

[06/06/15 17:56:34.309 UTC 507 10205] ret_type_string=sconosciuto

[06/06/15 17:56:34.309 UTC 508 10205] ret_desc_string=sconosciuto

[06/06/15 17:56:34.309 UTC 509 10205] SSL_state_string=SSLv3 read client hello B

[06/06/15 17:56:34.309 UTC 50a 10205] Stato SSL = 0x2130; dove = 0x2001; ret = 0x1

[06/06/15 17:56:34.309 UTC 50b 10205] ret_type_string=sconosciuto

[06/06/15 17:56:34.309 UTC 50c 10205] ret_desc_string=sconosciuto

[06/06/15 17:56:34.309 UTC 50d 10205] SSL_state_string=SSLv3 scrittura server salve A

[06/06/15 17:56:34.310 UTC 50e 10205] Stato SSL = 0x2140; dove = 0x2001; ret = 0x1

[06/06/15 17:56:34.310 UTC 50f 10205] ret_type_string=sconosciuto

[06/06/15 17:56:34.310 UTC 510 10205] ret_desc_string=sconosciuto

[06/06/15 17:56:34.310 UTC 511 10205] SSL_state_string=SSLv3 scrittura certificato A

[06/06/15 17:56:34.310 UTC 512 10205] Stato SSL = 0x2160; dove = 0x2001; ret = 0x1

[06/06/15 17:56:34.310 UTC 513 10205] ret_type_string=sconosciuto

Altro...??????? ????????[06/06/15 17:56:34.310 UTC 514/10205] ret_desc_string=known

[06/06/15 17:56:34.310 UTC 515 10205] SSL_state_string=SSLv3 richiesta di scrittura certificato A

[06/06/15 17:56:34.310 UTC 516 10205] Stato SSL = 0x2100; dove = 0x2001; ret = 0x1

[06/06/15 17:56:34.310 UTC 517 10205] ret_type_string=sconosciuto

[06/06/15 17:56:34.310 UTC 518 10205] ret_desc_string=sconosciuto

[06/06/15 17:56:34.310 UTC 519 10205] SSL_state_string=SSLv3 flush data

[06/06/15 17:56:34.310 UTC 51a 10205] Stato SSL = 0x2180; dove = 0x2002; ret = 0xffffffff

[06/06/15 17:56:34.310 UTC 51b 10205] ret_type_string=sconosciuto

[06/06/15 17:56:34.310 UTC 51c 10205] ret_desc_string=sconosciuto

[06/06/15 17:56:34.310 UTC 51d 10205] SSL_state_string=SSLv3 lettura certificato client A

[06/06/15 17:56:34.310 UTC 51e 10205] — restituisce WANT_READ per conn ssl 590a6048

[06/06/15 17:56:34.610 UTC 51f 10205] doSSLRecvLoop: Handshake non completato per conn 0

[06/06/15 17:56:34.610 UTC 520 10205] sslConnectionInit: SSL_do_handshake per conn ssl 590a6048, stato conn: INIT, stato SSL: STRETTA DI MANO

[06/06/15 17:56:34.616 UTC 521 10205] Convalida del certificato peer completata per conn ssl 590a6048, elenco autori chiamate.

[06/06/15 17:56:34.622 UTC 522 10205] Autlist autenticazione riuscita per conn ssl 590a6048

????????? ????????[06/06/15 17:56:35.616 UTC 523 10205] Peer convalidato in base all'elenco di autenticazione

[06/06/15 17:56:35.616 UTC 524 10205] Stato SSL = 0x2180; dove = 0x2001; ret = 0x1

[06/06/15 17:56:35.616 UTC 525 10205] ret_type_string=sconosciuto

[06/06/15 17:56:35.616 UTC 526 10205] ret_desc_string=sconosciuto

[06/06/15 17:56:35.616 UTC 527 10205] SSL_state_string=SSLv3 lettura certificato client A

[06/06/15 17:56:35.633 UTC 528 10205] Stato SSL = 0x2190; dove = 0x2001; ret = 0x1

[06/06/15 17:56:35.633 UTC 529 10205] ret_type_string=sconosciuto

[06/06/15 17:56:35.633 UTC 52a 10205] ret_desc_string=sconosciuto

[06/06/15 17:56:35.633 UTC 52b 10205] SSL_state_string=SSLv3 read client key exchange A

[06/06/15 17:56:35.635 UTC 52c 10205] Stato SSL = 0x21a0; dove = 0x2001; ret = 0x1

[06/06/15 17:56:35.636 UTC 52d 10205] ret_type_string=sconosciuto

[06/06/15 17:56:35.636 UTC 52e 10205] ret_desc_string=sconosciuto

[06/06/15 17:56:35.636 UTC 52f 10205] SSL_state_string=SSLv3 lettura certificato verifica A

[06/06/15 17:56:35.636 UTC 530 10205] Stato SSL = 0x21c0; dove = 0x2001; ret = 0x1

[06/06/15 17:56:35.636 UTC 531 10205] ret_type_string=sconosciuto

[06/06/15 17:56:35.636 UTC 532 10205] ret_desc_string=sconosciuto

Altro...??????? ????????[06/06/15 17:56:35.636 UTC 533 10205] SSL_state_string=SSLv3 lettura completata A

[06/06/15 17:56:35.636 UTC 534 10205] Stato SSL = 0x21d0; dove = 0x2001; ret = 0x1

[06/06/15 17:56:35.636 UTC 535 10205] ret_type_string=sconosciuto

[06/06/15 17:56:35.636 UTC 536 10205] ret_desc_string=sconosciuto

[06/06/15 17:56:35.636 UTC 537 10205] SSL_state_string=SSLv3 modifica scrittura cifratura spec A

[06/06/15 17:56:35.636 UTC 538 10205] Stato SSL = 0x21e0; dove = 0x2001; ret = 0x1

[06/06/15 17:56:35.636 UTC 539 10205] ret_type_string=sconosciuto

[06/06/15 17:56:35.636 UTC 53a 10205] ret_desc_string=sconosciuto

[06/06/15 17:56:35.636 UTC 53b 10205] SSL_state_string=SSLv3 scrittura completata A

[06/06/15 17:56:35.637 UTC 53c 10205] Stato SSL = 0x2100; dove = 0x2001; ret = 0x1

[06/06/15 17:56:35.637 UTC 53d 10205] ret_type_string=sconosciuto

[06/06/15 17:56:35.637 UTC 53e 10205] ret_desc_string=sconosciuto

[06/06/15 17:56:35.637 UTC 53f 10205] SSL_state_string=SSLv3 flush data

[06/06/15 17:56:35.637 UTC 540 10205] Stato SSL = 0x3; dove = 0x20; ret = 0x1

[06/06/15 17:56:35.637 UTC 541 10205] ret_type_string=sconosciuto

[06/06/15 17:56:35.637 UTC 542 10205] ret_desc_string=sconosciuto

[06/06/15 17:56:35.637 UTC 543 10205] SSL_state_string=SSL negoziazione completata

[06/06/15 17:56:35.637 UTC 544 10205] Stato SSL = 0x3; dove = 0x2002; ret = 0x1

Altro...??????? ????????[06/06/15 17:56:35.637 UTC 545 10205] ret_type_string=known

[06/06/15 17:56:35.637 UTC 546 10205] ret_desc_string=sconosciuto

[06/06/15 17:56:35.637 UTC 547 10205] SSL_state_string=SSL negoziazione completata

[06/06/15 17:56:35.637 UTC 548 10205] SSL_do_handshake() riuscito per conn ssl 590a6048

[06/06/15 17:56:35.637 UTC 549 10205] Connessione NMSP riuscita! per conn 0