802.1x サプリカントとしての Lightweight アクセス ポイントの設定

概要

このドキュメントでは、Identity Services Engine(ISE)サーバに対して認証するために、Lightweight Access Point(LAP)を802.1xサプリカントとして設定する方法について説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

• ワイヤレスLanコントローラ(WLC)およびLAP
• Ciscoスイッチの802.1x
• ISE
• Extensible Authentication Protocol(EAP):Flexible Authentication via Secure Tunneling(FAST)

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

• WS-C3560CX-8PC-S、15.2(4)E1
• AIR-CT-2504-K9、8.2.141.0
• ISE 2.0

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、その潜在的な影響について確実に理解しておく必要があります。

背景説明

この設定では、アクセスポイント(AP)は802.1xサプリカントとして機能し、匿名のProtected Access Credentials(PAC)プロビジョニングを使用するEAP-FASTを使用するISEに対してスイッチによって認証されます。802.1x 認証用のポートが設定されると、スイッチは、ポートに接続されたデバイスが正しく認証されるまでは、802.1x トラフィック以外のトラフィックがポートを通過することを許可しません。AP の認証は、WLC に参加する前か、WLC に参加した後に実行できます。後者の場合、LAP が WLC に参加した後で 802.1x をスイッチに設定します。

設定

このセクションでは、このドキュメントで説明する機能を設定するために必要な情報を提供しています。

ネットワーク図

このドキュメントでは、次のネットワーク セットアップを使用します。

設定

このドキュメントでは、次の IP アドレスを使用します。

• スイッチの IP アドレスは 10.48.39.141 です。
• ISEサーバのIPアドレスは10.48.39.161です
• WLC の IP アドレスは 10.48.39.142 です。

LAP の設定

このセクションでは、802.1x サプリカントとしての LAP の設定について説明しています。

1. APがすでにWLCに加入している場合は、[Wireless]タブに移動して[AP]をクリックし、[Credentials]フィールドに移動し、[802.1x Supplicant Credentials]見出しの下の[Over-ride Global credentials]チェックボックスをにをオンにして、このAPの88802.1X2.1X00000000002.1X0000000000000000000000000000000000000000000000

   

   また、[Global Configuration]メニューを使用して、WLCに参加しているすべてのAPに共通のユーザ名とパスワードを設定することもできます。

   

2. APがまだWLCに加入していない場合は、クレデンシャルを設定して次のCLIコマンドを使用するために、LAPにコンソール接続する必要があります。

   LAP#debug capwap console cli
   LAP#capwap ap dot1x username 
        
        
          password 
         
             
          
        

スイッチの設定

1. スイッチでdot1xをグローバルに有効にし、ISEサーバをスイッチに追加します。

   aaa new-model
   !
   aaa authentication dot1x default group radius
   !
   dot1x system-auth-control
   !
   radius server ISE
   address ipv4 10.48.39.161 auth-port 1645 acct-port 1646
     key 7 123A0C0411045D5679

2. ここで、APスイッチポートを設定します。

   interface GigabitEthernet0/4
   
   
   switchport access vlan 231
   switchport mode access
   authentication order dot1x
   authentication port-control auto
   dot1x pae authenticator
   spanning-tree portfast edge

ISEサーバの設定

1. スイッチをISEサーバの認証、許可、アカウンティング(AAA)クライアントとして追加します。

   

   

2. ISEで、認証ポリシーと認可ポリシーを設定します。この場合、有線dot.1xのデフォルト認証ルールが使用されますが、要件に応じてカスタマイズできます。

   

   許可されているプロトコルで、Default Network Access、EAP-FASTが許可されていることを確認します。

   

3. 認可ポリシー(Port_AuthZ)については、この場合、APクレデンシャルがユーザグループ(AP)に追加されています。 使用された条件は、「ユーザがグループAPに属し、有線dot1xを実行している場合は、デフォルトの許可プロファイル許可アクセスをプッシュする」でした。 ここでも、要件に応じてカスタマイズできます。

   

   

確認

ここでは、設定が正常に機能しているかどうかを確認します。

802.1x がスイッチ ポートで有効になると、802.1x トラフィック以外のすべてのトラフィックがポートでブロックされます。LAPは、すでにWLCに登録されている場合、関連付けが解除されます。他のトラフィックは、802.1x 認証に成功した場合に限り、通過が許可されます。802.1x がスイッチ上で有効になった後、WLC に対して LAP の登録が成功したということは、LAP 認証が成功したことを示します。LAPが認証されているかどうかを確認するには、次の方法も使用できます。

1. スイッチで、showコマンドのいずれかを入力して、ポートが認証されているかどうかを確認します。

   akshat_sw#show dot1x interface g0/4
   
   
   Dot1x Info for GigabitEthernet0/4
   -----------------------------------
   PAE = AUTHENTICATOR
   QuietPeriod = 60
   ServerTimeout = 0
   SuppTimeout = 30
   ReAuthMax = 2
   MaxReq = 2
   TxPeriod = 30
   
   
   akshat_sw#show dot1x interface g0/4 details
   
   
   Dot1x Info for GigabitEthernet0/4
   -----------------------------------
   PAE = AUTHENTICATOR
   QuietPeriod = 60
   ServerTimeout = 0
   SuppTimeout = 30
   ReAuthMax = 2
   MaxReq = 2
   TxPeriod = 30
   
   
   Dot1x Authenticator Client List
   -------------------------------
   EAP Method = FAST
   Supplicant = 588d.0997.061d
   Session ID = 0A30278D000000A088F1F604
    Auth SM State = AUTHENTICATED
    Auth BEND SM State = IDLE
   
   
   akshat_sw#show authentication sessions
   
   
   Interface MAC Address Method Domain Status Fg Session ID
   Gi0/4 588d.0997.061d dot1x DATA Auth 0A30278D000000A088F1F604

2. ISEでOperations > Radius Livelogsの順に選択し、認証が成功し、正しい認可プロファイルがプッシュされることを確認します。

   

トラブルシュート

ここでは、設定のトラブルシューティングに使用できる情報を示します。

1. pingコマンドを入力して、ISEサーバがスイッチから到達可能かどうかを確認します。
2. スイッチがISEサーバでAAAクライアントとして設定されていることを確認します。
3. スイッチと ACS サーバの共有秘密が同一であることを確認します。
4. ISEサーバでEAP-FASTが有効になっているかどうかを確認します。
5. 802.1xクレデンシャルがLAPに設定されていて、ISEサーバで同じであることを確認します。

   注：ユーザ名とパスワードは大文字小文字が区別されます。

6. 認証が失敗した場合は、スイッチでdebug dot1xおよびdebug authenticationのコマンドを入力してください。