Test AAA Radius コマンドによる Radius サーバ接続の確認

概要

このドキュメントでは、Cisco WLCでtest aaa radiusコマンドを使用して、ワイヤレスクライアントを使用せずにRADIUSサーバの接続とクライアント認証の問題を識別する方法について説明します。

前提条件

要件

ワイヤレスLANコントローラ(WLC)コード8.2以降に関する知識があることが推奨されます。

使用するコンポーネント

このドキュメントの内容は、特定のソフトウェアやハードウェアのバージョンに限定されるものではありません。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

背景説明

ワイヤレスクライアントの認証の問題は、ワイヤレスネットワークエンジニアが直面する最も困難な問題の1つです。トラブルシューティングを行うには、多くの場合、問題のあるクライアントを把握し、ワイヤレスネットワークに関する知識が十分でないエンドユーザと協力して、デバッグとキャプチャを収集する必要があります。ますます重要なワイヤレスネットワークでは、これが重大なダウンタイムの原因となる可能性があります。

これまで、認証の失敗の原因が、クライアントを拒否するRADIUSサーバにあるのか、単に到達可能性の問題にあるのかを特定する簡単な方法はありませんでした。test aaa radiusコマンドを使用すると、この操作を実行できます。これで、WLC-Radiusサーバの通信が失敗するかどうか、またはクライアントのクレデンシャルの結果として認証に成功または失敗するかどうかをリモートで確認できます。

機能の仕組み

これは、図に示すように、test aaa radiusコマンドを使用する場合の基本的なワークフローです。

ステップ1:WLCは、test aaa radiusコマンドで指定されたパラメータとともに、アクセス要求メッセージをRADIUSサーバに送信します。

例：test aaa radius username admin password cisco123 wlan-id 1 apgroup default-group server-index 2

ステップ2:RADIUSサーバは提供されたクレデンシャルを検証し、認証要求の結果を提供します。

コマンド構文

コマンドを実行するには、次のパラメータを指定する必要があります。

(Cisco Controller) > test aaa radius username <user name> password <password> wlan-id <wlan-id> apgroup <apgroup-name> server-index <server-index>

<username>                      ---> Username that you are testing.
<password>                      ---> Password that you are testing
<wlan-id>                       ---> WLAN ID of the SSID that you are testing.
<apgroup-name>  (optional)      ---> AP group name. This will be default-group if there is no AP group configured.
<server-index>      (optional)  ---> The server index configured for the radius server that you are trying to test. This can be found under Security > Authentication tab.
 

シナリオ1：認証の試行に合格した場合

このコマンドの動作と、test aaa radiusコマンドの結果が認証に合格した場合の出力を見てみましょう。このコマンドを実行すると、WLCはアクセス要求の送信に使用するパラメータを表示します。

(Cisco Controller) >test aaa radius username admin password cisco123 wlan-id 1 apgroup default-group server-index 2
Radius Test Request
  Wlan-id........................................ 1
  ApGroup Name................................... default-group
  Attributes                      Values   
  ----------                      ------   
  User-Name                       admin    
  Called-Station-Id               00:00:00:00:00:00:WLC5508
  Calling-Station-Id              00:11:22:33:44:55
  Nas-Port                        0x0000000d (13)
  Nas-Ip-Address                  10.20.227.39
  NAS-Identifier                  WLC_5508
  Airespace / WLAN-Identifier     0x00000001 (1)
  User-Password                   cisco123
  Service-Type                    0x00000008 (8)
  Framed-MTU                      0x00000514 (1300)
  Nas-Port-Type                   0x00000013 (19)
  Tunnel-Type                     0x0000000d (13)
  Tunnel-Medium-Type              0x00000006 (6)
  Tunnel-Group-Id                 0x00000051 (81)
  Cisco / Audit-Session-Id        ad14e327000000c466191e23
  Acct-Session-Id                 56131b33/00:11:22:33:44:55/210
test radius auth request successfully sent. Execute 'test aaa show radius' for response
 

認証要求の結果を表示するには、test aaa show radiusコマンドを実行する必要があります。RADIUSサーバに到達できず、WLCで再試行または別のRADIUSサーバへのフォールバックが必要な場合、コマンドの出力が表示されるまでに時間がかかる場合があります。

(Cisco Controller) >test aaa show radius
Radius Test Request
  Wlan-id........................................ 1
  ApGroup Name................................... default-group
  Server Index................................... 2
Radius Test Response
Radius Server         Retry Status
-------------         ----- ------
10.20.227.52            1   Success
Authentication Response:
  Result Code: Success
  Attributes                      Values   
  ----------                      ------   
  User-Name                       admin    
  Class                           CACS:rs-acs5-6-0-22/230677882/20313
  Session-Timeout                 0x0000001e (30)
  Termination-Action              0x00000000 (0)
  Tunnel-Type                     0x0000000d (13)
  Tunnel-Medium-Type              0x00000006 (6)
  Tunnel-Group-Id                 0x00000051 (81)

このコマンドの非常に便利な点は、radiusサーバによって返される属性を表示することです。リダイレクトURLとアクセスコントロールリスト(ACL)を使用できます。 たとえば、中央Web認証(CWA)の場合や、VLANオーバーライドを使用する場合のVLAN情報などです。

注意：アクセス要求のユーザ名/パスワードはクリアテキストでRADIUSサーバに送信されるため、セキュリティで保護されていないネットワークをトラフィックが通過する場合は注意して使用する必要があります。

シナリオ 2：失敗した認証の試行

ユーザ名とパスワードを入力した結果、認証に失敗した場合の出力を確認します。

(Cisco Controller) >test aaa show radius                                                                          
Radius Test Request
  Wlan-id........................................ 1
  ApGroup Name................................... default-group
  Server Index................................... 2
Radius Test Response
Radius Server            Retry Status
-------------            ----- ------
10.20.227.52            1     Success
Authentication Response:
  Result Code: Authentication failed  ------>This indicates that the user authentication will fail.
  No AVPs in Response

この場合、接続テストは「成功」となりますが、radiusサーバは使用されたユーザ名とパスワードの組み合わせに対してアクセス拒否を送信しています。

シナリオ 3：WLCとRADIUSサーバ間の通信の失敗

(Cisco Controller) >test aaa show radius                                                                      
 previous test command still not completed, try after some time
 

出力を表示する前に、WLCが再試行を完了するまで待つ必要があります。この時間は、設定されている再試行しきい値によって異なる場合があります。

(Cisco Controller) >test aaa show radius
Radius Test Request
  Wlan-id........................................ 1
  ApGroup Name................................... default-group
  Server Index................................... 3
Radius Test Response
Radius Server            Retry Status
-------------            ----- ------
10.20.227.72            6     No response received from server
Authentication Response:
  Result Code: No response received from server
  No AVPs in Response
 

この出力では、WLCがRADIUSサーバへの接続を6回試行し、応答がない場合にRADIUSサーバが到達不能としてマークされたことがわかります。

シナリオ 4：Radiusフォールバック

Service Set Identifier(SSID)で複数のRADIUSサーバが設定されていて、プライマリRADIUSサーバが応答しない場合、WLCはセカンダリRADIUSサーバを設定して試行します。これは、最初のRADIUSサーバが応答せず、WLCが2番目のRADIUSサーバを試行し、すぐに応答する出力に非常に明確に示されています。

(Cisco Controller) >test aaa show radius
Radius Test Request
  Wlan-id........................................ 1
  ApGroup Name................................... default-group
Radius Test Response
Radius Server            Retry Status
-------------            ----- ------
10.20.227.62            6     No response received from server
10.20.227.52            1     Success
Authentication Response:
  Result Code: Success
  Attributes                      Values   
  ----------                      ------   
  User-Name                       admin

警告

• 現在、GUIはサポートされていません。WLCから実行できるコマンドだけです。
• この確認はradiusに対してのみ行われます。TACACS認証には使用できません。
• Flexconnectローカル認証は、この方式ではテストできません。