WLC-9800(config)# aaa group server radius RADIUS-Group
WLC-9800(config-sg-radius)# server name ISE-lab
ステップ 3:RADIUSサーバグループをポイントするAAA認証ログイン方式を作成します。
GUI から:
引き続きGUIページからhttps://<WLC-IP>/webui/#/aaa、タブに移動しAAA Method List > Authentication、次の図に示すように認証方式を作成します。
通常どおり、Addボタンを使用して認証方式を作成すると、次の図に示すような設定ポップアップウィンドウが表示されます。
このポップアップウィンドウで、メソッドの名前を指定します。AsType log inを選択し、前の手順で作成したグループサーバをAssigned Server Groupsリストに追加します。Group Typeフィールドについては、複数の設定が可能です。
- Group Typeにlocalを選択した場合、WLCは最初にユーザクレデンシャルがローカルに存在するかどうかを確認し、次にサーバグループにフォールバックします。
- グループとしてGroup Typeを選択し、Fall back to localオプションをチェックしない場合、WLCはサーバグループに対してユーザクレデンシャルをチェックするだけです。
- グループとしてGroup Typeを選択し、Fallback to localオプションをチェックすると、WLCはサーバグループに対してユーザクレデンシャルをチェックし、サーバが応答しない場合にのみローカルデータベースに照会します。サーバが拒否を送信すると、ローカルデータベースに存在できる場合でも、ユーザは認証されます。
CLI から:
ユーザクレデンシャルが最初にローカルで見つからない場合にのみ、ユーザクレデンシャルをサーバグループでチェックするには、次のコマンドを使用します。
WLC-9800(config)#aaa authentication login radius-authe-method local group RADIUS-Group
ユーザクレデンシャルをサーバグループでのみチェックする場合は、次のコマンドを使用します。
WLC-9800(config)#aaa authentication login radius-authe-method group RADIUS-Group
ユーザクレデンシャルをサーバグループでチェックし、この最後のエントリがローカルエントリで応答しない場合は、次のコマンドを使用します。
WLC-9800(config)#aaa authentication login radius-authe-method group RADIUS-Group local
この設定例では、ローカルでのみ作成されるユーザとISEサーバでのみ作成されるユーザが存在するため、最初のオプションを使用します。
ステップ 4:RADIUSサーバグループをポイントするAAA認可EXECメソッドを作成します。
GUI から:
アクセス権を付与するには、ユーザも承認されている必要があります。引き続きからGUI Page Configuration > Security > AAA、タブに移動しAAA Method List > Authorization、次の図に示すように認可方式を作成します。
許可方式の作成
[Add]ボタンを使用して新しい認証方式を追加すると、図に示すような認証方式設定ポップアップが表示されます。
この設定ポップアップでは、認証方式の名前を指定し、タイプとして選択しexec、ステップ3で認証方式に使用したものと同じグループタイプの順序を使用します。
CLI から:
認証方式では、最初に認可が割り当てられ、ローカルエントリに対してユーザがチェックされてから、サーバグループ内のエントリに対してチェックされます。
WLC-9800(config)#aaa authorization exec radius-autho-method local group RADIUS-Group
ステップ 5:HTTP設定およびTelnet/SSHに使用するVTY回線にメソッドを割り当てます。
GUI から:
作成された認証および許可方式は、HTTPまたはTelnet/SSHのユーザ接続に使用できます。これは、次の図に示すように、でアクセス可能なGUI WLCページのAAA Advanced > AAA Interfaceタブから
設定できますhttps://<WLC-IP>/webui/#/aaa。
GUI認証用のCLI:
WLC-9800(config)#ip http authentication aaa login-authentication radius-authe-method
WLC-9800(config)#ip http authentication aaa exec-authorization radius-autho-method
Telnet/SSH認証用のCLI:
WLC-9800(config)#line vty 0 15 WLC-9800(config-line)#login authentication radius-authe-method
WLC-9800(config-line)#authorization exec radius-autho-method
HTTP設定を変更する場合は、HTTPおよびHTTPSサービスを再起動するのが最善の方法です。これは、次のコマンドを使用して実行できます。
WLC-9800(config)#no ip http server WLC-9800(config)#no ip http secure-server WLC-9800(config)#ip http server WLC-9800(config)#ip http secure-server
RADIUS用のISEの設定
ステップ 1:WLCをRADIUSのネットワークデバイスとして設定します。
GUI から:
前のセクションで使用したWLCをISEのRADIUSのネットワークデバイスとして宣言するには、次の図に示すようにAdministration > Network Ressources > Network Devices、に移動し、Network devicesタブを開きます。
ネットワークデバイスを追加するには、[追加]ボタンを使用して、新しいネットワークデバイス設定フォームを開きます。
新しいウィンドウで、ネットワークデバイスの名前を入力し、そのIPアドレスを追加します。RADIUS Authentication Settingsを選択し、WLCで使用されているものと同じRADIUS Shared Secretを設定します。
ステップ 2:特権を返す許可結果を作成します。
GUI から:
管理者のアクセス権を持つためには、adminuserに特権レベル15が必要です。これにより、execプロンプトシェルにアクセスできるようになります。一方、はhelpdeskuserexecプロンプトシェルアクセスを必要としないため、15より低い特権レベルで割り当てることができます。適切な特権レベルをユーザに割り当てるには、認可プロファイルを使用できます。これらは、次の図に示すISE GUI Page Policy > Policy Elements > Resultsタブの下のから設定Authorization > Authorization Profilesできます。
新しい認可プロファイルを設定するには、Addボタンを使用して、新しい認可プロファイル設定フォームを開きます。に割り当てられるプロファイルを設定するには、このフォームが特に次のように表示される必要がありadminuserます。
この設定では、関連付けられているユーザに特権レベル15が付与されます。すでに説明したように、これは次の手順で作成されるadminuserの正常な動作です。ただし、はhelpdeskuser、より低い特権レベルを持つ必要があるため、2番目のポリシー要素を作成する必要があります。
のポリシー要素はhelpdeskuser、上記で作成したものと似ていますが、文字列をに変更しshell:priv-lvl=15 てshell:priv-lvl=X、Xを目的の特権レベルに置き換える必要がある点が異なります。この例では、1 が使用されます。
ステップ 3:ISEでユーザグループを作成します。
GUI で次の手順を実行します。
ISEユーザグループは、画面キャプチャに示されているAdministration > Identity Management > Groups GUI PageのタブUser Identity Groupsから作成されます。
新しいユーザを作成するには、[Add]ボタンを使用して、次に示すように新しいユーザIDグループ設定フォームを開きます。
作成するグループの名前を入力します。前述の2つのユーザグループ、つまりadmin-group 、とhelpdesk-groupを作成します。
ステップ 4:ISEでユーザを作成します。
GUI で次の手順を実行します。
ISEユーザは、画面キャプチャに示されているAdministration > Identity Management > Identities GUI PageのタブUsersから作成されます。
新しいユーザを作成するには、次に示すように、[追加]ボタンを使用して新しいネットワークアクセスユーザ設定フォームを開きます。
ユーザのクレデンシャル、つまりユーザ名とパスワードを入力します。これは、WLCでの認証に使用されます。また、ユーザのステータスがであることを確認しEnabledます。最後に、手順4.で作成した関連グループにユーザを追加し、フォームの最後にUser Groupsドロップダウンメニューを表示します。
上記で説明した2人のユーザ、つまりadminuserとhelpdeskuserを作成します。
ステップ 5:ユーザを認証します。
GUI から:
このシナリオでは、すでに事前設定されているISEのデフォルトのポリシーセットの認証ポリシーにより、デフォルトのネットワークアクセスが許可されます。このポリシーセットは、次の図に示すようにPolicy > Policy Sets、ISE GUIページのページで確認できます。したがって、変更する必要はありません。
手順 6:ユーザを許可します。
GUI から:
ログイン試行が認証ポリシーを通過した後、認証ポリシーを承認する必要があり、ISEは以前に作成された認証プロファイル(permit accept、および特権レベル)を返す必要があります。
この例では、ログインの試行はデバイスのIPアドレス(WLCのIPアドレス)に基づいてフィルタリングされ、ユーザが属するグループに基づいて、付与される特権レベルが区別されます。この例では、各グループに1人のユーザしか含まれていないため、ユーザ名に基づいてユーザをフィルタリングするという方法も有効です。
この手順が完了すると、adminuser とユーザ用に設定されたクレデンシャルを使用してhelpdesk、GUIまたはTelnet/SSHを介してWLCで認証できます。
TACACS+ WLCの設定
ステップ 1:TACACS+サーバを宣言します。
GUI から:
まず、WLC上にTACACS+サーバISEを作成します。 これは、でアクセス可能なGUI WLCページのタブServers/Groups > TACACS+ > Serversから実行するかhttps://<WLC-IP>/webui/#/aaa、
またはConfiguration > Security > AAAに
移動して実行できます(次の図を参照)。
WLCにTACACSサーバを追加するには、上の図の赤いフレームで囲まれたAddボタンをクリックします。図に示すポップアップウィンドウが開きます。
ポップアップウィンドウが開いたら、サーバ名(ISEシステム名と一致している必要はありません)、そのIPアドレス、共有キー、使用されているポート、およびタイムアウトを入力します。
このポップアップウィンドウでは、次の情報を入力する必要があります。
- サーバ名(ISEシステム名と一致する必要はありません)
- サーバのIPアドレス
- WLCとTACACS+サーバ間の共有秘密
認証やアカウンティングに使用されるポートなど、その他のパラメータを設定できますが、これらは必須ではなく、このドキュメントのデフォルトとして残されています。
CLI から:
WLC-9800(config)#tacacs server ISE-lab WLC-9800(config-server-tacacs)#address ipv4 10.48.39.134 WLC-9800(config-server-tacacs)#key Cisco123
ステップ 2:TACACS+サーバをサーバグループにマッピングします。
GUI から:
認証に使用できるTACACS+サーバが複数ある場合は、すべてのサーバを同じサーバグループにマッピングすることを推奨します。次に、WLCは、サーバグループ内のサーバ間で異なる認証のロードバランシングを行います。TACACS+サーバグループはServers/Groups > TACACS > Server Groups、図に示すステップ1で説明したものと同じGUIページのタブから設定します。
サーバの作成については、前の図に示した図のAddボタンをクリックすると、ポップアップウィンドウが表示されます。
ポップアップでグループに名前を付け、目的のサーバをAssigned Serversリストに移動します。
CLI から:
WLC-9800(config)#aaa group server tacacs+ TACACS-Group WLC-9800(config-sg-tacacs+)#server name ISE-lab
ステップ 3:TACACS+サーバグループをポイントするAAA認証ログイン方式を作成します。
GUI から:
引き続きGUIページからhttps://<WLC-IP>/webui/#/aaa、タブに移動しAAA Method List > Authentication、図に示すように認証方式を作成します。
通常どおり、Addボタンを使用して認証方式を作成すると、次の図に示すような設定ポップアップウィンドウが表示されます。
このポップアップウィンドウで、メソッドの名前を指定し、「タイプ」を選択しlogin、前の手順で作成したグループサーバーを「割り当てられたサーバーグループ」リストに追加します。Group Typeフィールドについては、複数の設定が可能です。
- Group Typeにlocalを選択した場合、WLCは最初にユーザクレデンシャルがローカルに存在するかどうかを確認し、次にサーバグループにフォールバックします。
- グループとしてGroup Typeを選択し、Fall back to localオプションをチェックしない場合、WLCはサーバグループに対してユーザクレデンシャルをチェックするだけです。
- グループとしてGroup Typeを選択し、Fallback to localオプションをチェックすると、WLCはサーバグループに対してユーザクレデンシャルをチェックし、サーバが応答しない場合にのみローカルデータベースに照会します。サーバが拒否を送信すると、ローカルデータベースに存在できる場合でも、ユーザは認証されます。
CLI から:
ユーザクレデンシャルが最初にローカルで見つからない場合にのみ、ユーザクレデンシャルをサーバグループでチェックするには、次のコマンドを使用します。
WLC-9800(config)#aaa authentication login tacacs-authe-method local group TACACS-Group
ユーザクレデンシャルをサーバグループでのみチェックする場合は、次のコマンドを使用します。
WLC-9800(config)#aaa authentication login tacacs-authe-method group TACACS-Group
ユーザクレデンシャルをサーバグループでチェックし、この最後のエントリがローカルエントリで応答しない場合は、次のコマンドを使用します。
WLC-9800(config)#aaa authentication login tacacs-authe-method group TACACS-Group local
この設定例では、ローカルでのみ作成されるユーザとISEサーバでのみ作成されるユーザが存在するため、最初のオプションを使用します。
ステップ 4:TACACS+サーバグループをポイントするAAA認可EXEC方式を作成します。
GUI から:
アクセス権を付与するには、ユーザも承認されている必要があります。 引き続きGUIページからConfiguration > Security > AAA、タブに移動しAAA Method List > Authorization、図に示すように認可方式を作成します。
[Add]ボタンを使用して新しい認証方式を追加すると、図に示すような認証方式設定ポップアップが表示されます。
この設定ポップアップで、認証方式の名前を指定し、Type asを選択しexec、前のステップで認証方式に使用したものと同じGroup Typeの順序を使用します。
CLI から:
WLC-9800(config)#aaa authorization exec tacacs-autho-method local group TACACS-Group
ステップ 5:HTTP設定およびTelnet/SSHに使用するVTY回線にメソッドを割り当てます。
GUI から:
作成された認証および許可方式は、HTTPまたはTelnet/SSHユーザ接続に使用できます。これは、図に示すように、でアクセス可能なGUI WLCページのAAA Advanced > AAA Interfaceタブから設定できますhttps://<WLC-IP>/webui/#/aaa。
CLI から:
GUI認証の場合:
WLC-9800(config)#ip http authentication aaa login-authentication tacacs-authe-method
WLC-9800(config)#ip http authentication aaa exec-authorization tacacs-autho-method
Telnet/SSH認証の場合
WLC-9800(config)#line vty 0 15
WLC-9800(config-line)#login authentication tacacs-authe-method
WLC-9800(config-line)#authorization exec tacacs-autho-method
HTTP設定を変更する場合は、HTTPおよびHTTPSサービスを再起動するのが最善の方法です。これは、次のコマンドを使用して実行できます。
WLC-9800(config)#no ip http server
WLC-9800(config)#no ip http secure-server
WLC-9800(config)#ip http server
WLC-9800(config)#ip http secure-server
TACACS+ ISEの設定
ステップ 1:WLCをTACACS+のネットワークデバイスとして設定します。
GUI から:
前のセクションで使用したWLCをISEのRADIUSのネットワークデバイスとして宣言するには、次の図に示すようにAdministration > Network Resources > Network Devices、Network devicesタブに移動して開きます。
この例では、RADIUS認証用にWLCがすでに追加されています(「RADIUS ISEの設定」セクションのステップ1を参照)。したがって、TACACS認証を設定するためにその設定を変更するだけで済みます。これは、ネットワークデバイスリストでWLCを選択してEditボタンをクリックすると実行できます。これにより、次の図に示すネットワークデバイス設定フォームが開きます。
新しいウィンドウが開いたら、TACACS Authentication Settingsセクションまでスクロールして、これらの設定を有効にし、TACACS+ WLCの設定セクションのステップ1.で入力した共有秘密を追加します。
ステップ 2:ノードのデバイス管理機能を有効にします。
注:TACACS+サーバとしてISEを使用するには、デバイス管理ライセンスパッケージと、BaseまたはMobilityライセンスが必要です。
GUI から:
デバイス管理ライセンスをインストールしたら、ISEをTACACS+サーバとして使用できるようにするために、ノードのデバイス管理機能を有効にする必要があります。そのためには、使用するISE導入ノードの設定を編集します。この設定はで確認できAdministrator > Deployment、名前をクリックするか、Editボタンを使用して編集を行います。
ノード設定ウィンドウが開いたら、次の図に示すように、Policy Serviceセクションの下のEnable Device Admin Serviceオプションにチェックマークを付けます。
ステップ 3:特権を返すためのTACACSプロファイルの作成
GUI から:
管理者のアクセス権を持つためには、adminuserに特権レベル15が必要です。これにより、execプロンプトシェルにアクセスできるようになります。一方、はhelpdeskuserexecプロンプトシェルアクセスを必要としないため、15より低い特権レベルで割り当てることができます。適切な特権レベルをユーザに割り当てるには、認可プロファイルを使用できます。これらは、次の図に示すように、ISE GUIページWork Centers > Device Administration > Policy Elementsのタブの下Results > TACACS Profilesで設定できます。
新しいTACACSプロファイルを設定するには、Addボタンを使用して、図に示すような新しいプロファイル設定フォームを開きます。に割り当てられるプロファイルを設定するには、このフォームが特に次のように表示される必要がありますadminuser(シェル権限レベル15)。
プロファイルに対して操作を繰り返helpdeskします。最後に、デフォルト権限と最大権限の両方が1に設定されます。
ステップ 4:ISEでユーザグループを作成します。
これは、このドキュメントの「RADIUS ISEの設定」セクションのステップ3で説明したものと同じです。
ステップ 5:ISEでユーザを作成します。
これは、このドキュメントの「RADIUS ISEの設定」セクションのステップ4で示したものと同じです。
手順 6:デバイス管理ポリシーセットを作成します。
GUI から:
RADIUSアクセスに関しては、ユーザが作成された後も、適切なアクセス権を付与するために認証ポリシーと認可ポリシーをISEで定義する必要があります。TACACS認証は、次に示すから設定できるデバイス管理ポリシーセットを使用Work Centers > Device Administration > Device Admin Policy Sets GUI Pageします。
デバイス管理ポリシーセットを作成するには、前の図で赤い枠で囲まれた追加ボタンを使用します。これにより、ポリシーセットリストに項目が追加されます。新しく作成したセットの名前、セットを適用する必要がある条件、およびAllowed Protocols/Server Sequence(ここではDefault Device Adminで十分)を指定します。このボタンを使用してSave、ポリシーセットの追加を完了し、右側の矢印を使用して構成ページにアクセスします。図に示されているページが表示されます。
この例の特定のポリシーセット「WLC TACACS Authentication」は、例のC9800 WLC IPアドレスと同じIPアドレスを持つ要求をフィルタリングします。
認証ポリシーとして、Default Ruleはユーザのニーズを満たすため、残されています。次の2つの認可ルールが設定されています。
- 1つ目は、ユーザが定義されたグループに属している場合にトリガーされ
admin-groupます。すべてのコマンドを許可し(デフォルトPermit_allのルールを使用)、特権15を割り当てます(定義されたTACACSプロファイルを使用IOS_Admin )。
- 2つ目は、ユーザが定義されたグループに属している場合にトリガーされ
helpdesk-groupます。 すべてのコマンドを許可し(デフォルトPermit_all ルールを使用)、特権1を割り当てます(定義されたIOS_Helpdesk TACACSプロファイルを使用)。
この手順が完了すると、adminuserとユーザ用に設定されたクレデンシャルを使用してhelpdesk、GUI経由またはTelnet/SSHを使用してWLCで認証できます。
トラブルシュート
WLC CLIを使用したWLC GUIまたはCLI RADIUS/TACACS+アクセスのトラブルシューティング
WLCのGUIまたはCLIへのTACACS+アクセスをトラブルシューティングするには、terminal monitordebug tacacs 1とともにコマンドを発行し、ログインの試行時のライブ出力を確認します。
たとえば、ログインに成功した後にユーザからログアウトすると、adminuserこの出力が生成されます。
WLC-9800#terminal monitor
WLC-9800#debug tacacs
TACACS access control debugging is on
WLC-9800#
Dec 8 11:38:34.684: TPLUS: Queuing AAA Authentication request 15465 for processing
Dec 8 11:38:34.684: TPLUS(00003C69) login timer started 1020 sec timeout Dec 8 11:38:34.684: TPLUS: processing authentication start request id 15465 Dec 8 11:38:34.685: TPLUS: Authentication start packet created for 15465(adminuser) Dec 8 11:38:34.685: TPLUS: Using server 10.48.39.134 Dec 8 11:38:34.685: TPLUS(00003C69)/0/NB_WAIT/7FD29013CA68: Started 5 sec timeout Dec 8 11:38:34.687: TPLUS(00003C69)/0/NB_WAIT: socket event 2 Dec 8 11:38:34.688: TPLUS(00003C69)/0/NB_WAIT: wrote entire 45 bytes request Dec 8 11:38:34.688: TPLUS(00003C69)/0/READ: socket event 1 Dec 8 11:38:34.688: TPLUS(00003C69)/0/READ: Would block while reading Dec 8 11:38:34.701: TPLUS(00003C69)/0/READ: socket event 1 Dec 8 11:38:34.701: TPLUS(00003C69)/0/READ: read entire 12 header bytes (expect 15 bytes data) Dec 8 11:38:34.701: TPLUS(00003C69)/0/READ: socket event 1 Dec 8 11:38:34.701: TPLUS(00003C69)/0/READ: read entire 27 bytes response Dec 8 11:38:34.701: TPLUS(00003C69)/0/7FD29013CA68: Processing the reply packet Dec 8 11:38:34.701: TPLUS: Received authen response status GET_PASSWORD (8) Dec 8 11:38:38.156: TPLUS: Queuing AAA Authentication request 15465 for processing Dec 8 11:38:38.156: TPLUS(00003C69) login timer started 1020 sec timeout Dec 8 11:38:38.156: TPLUS: processing authentication continue request id 15465 Dec 8 11:38:38.156: TPLUS: Authentication continue packet generated for 15465 Dec 8 11:38:38.156: TPLUS(00003C69)/0/WRITE/7FD3796079D8: Started 5 sec timeout Dec 8 11:38:38.156: TPLUS(00003C69)/0/WRITE: wrote entire 29 bytes request Dec 8 11:38:38.183: TPLUS(00003C69)/0/READ: socket event 1 Dec 8 11:38:38.183: TPLUS(00003C69)/0/READ: read entire 12 header bytes (expect 6 bytes data) Dec 8 11:38:38.183: TPLUS(00003C69)/0/READ: socket event 1 Dec 8 11:38:38.183: TPLUS(00003C69)/0/READ: read entire 18 bytes response Dec 8 11:38:38.183: TPLUS(00003C69)/0/7FD3796079D8: Processing the reply packet Dec 8 11:38:38.183: TPLUS: Received authen response status PASS (2) Dec 8 11:38:38.184: %SEC_LOGIN-5-LOGIN_SUCCESS: Login Success [user: adminuser] [Source: 10.61.80.151] [localport: 22] at 12:38:38 CET Thu Dec 8 2022 Dec 8 11:38:38.259: TPLUS: Queuing AAA Authorization request 15465 for processing Dec 8 11:38:38.260: TPLUS(00003C69) login timer started 1020 sec timeout Dec 8 11:38:38.260: TPLUS: processing authorization request id 15465 Dec 8 11:38:38.260: TPLUS: Protocol set to None .....Skipping Dec 8 11:38:38.260: TPLUS: Sending AV service=shell Dec 8 11:38:38.260: TPLUS: Sending AV cmd* Dec 8 11:38:38.260: TPLUS: Authorization request created for 15465(adminuser) Dec 8 11:38:38.260: TPLUS: using previously set server 10.48.39.134 from group TACACS-Group Dec 8 11:38:38.260: TPLUS(00003C69)/0/NB_WAIT/7FD3796079D8: Started 5 sec timeout Dec 8 11:38:38.260: TPLUS(00003C69)/0/NB_WAIT: socket event 2 Dec 8 11:38:38.260: TPLUS(00003C69)/0/NB_WAIT: wrote entire 64 bytes request Dec 8 11:38:38.260: TPLUS(00003C69)/0/READ: socket event 1 Dec 8 11:38:38.260: TPLUS(00003C69)/0/READ: Would block while reading Dec 8 11:38:38.285: TPLUS(00003C69)/0/READ: socket event 1 Dec 8 11:38:38.285: TPLUS(00003C69)/0/READ: read entire 12 header bytes (expect 18 bytes data) Dec 8 11:38:38.285: TPLUS(00003C69)/0/READ: socket event 1 Dec 8 11:38:38.285: TPLUS(00003C69)/0/READ: read entire 30 bytes response Dec 8 11:38:38.285: TPLUS(00003C69)/0/7FD3796079D8: Processing the reply packet Dec 8 11:38:38.285: TPLUS: Processed AV priv-lvl=15 Dec 8 11:38:38.285: TPLUS: received authorization response for 15465: PASS Dec 8 11:38:44.225: %SYS-6-LOGOUT: User adminuser has exited tty session 7(10.61.80.151) Dec 8 11:38:44.225:Socket I/O cleanup message sent to TACACS TPLUS Proc:SOCKET IO CLEANUP EVENT Dec 8 11:38:44.226: %HA_EM-6-LOG: catchall: logout Dec 8 11:39:18.689: %SYS-6-LOGOUT: User admin has exited tty session 5(10.61.80.151) Dec 8 11:39:18.690:Socket I/O cleanup message sent to TACACS TPLUS Proc:SOCKET IO CLEANUP EVENT
これらのログから、TACACS+サーバが正しい特権(AV priv-lvl=15)を返していることがわかります。
RADIUS認証を実行すると、RADIUSトラフィックに関する同様のデバッグ出力が表示されます。
コマンドdebug aaa authenticationdebug aaa authorization とコマンドの代わりに、ユーザがログインしようとしたときにWLCによって選択された方式リストが表示されます。
ISE GUIを介したWLC GUIまたはCLI TACACS+アクセスのトラブルシューティング
ページからOperations > TACACS > Live Logs、過去24時間までにTACACS+で実行されたすべてのユーザ認証を表示できます。TACACS+認可または認証の詳細を展開するには、このイベントに関連するDetailsボタンを使用します。
展開すると、の認証に成功した場合はhelpdeskuser、次のように表示されます。
この出力から、認証ポリシーを使用してユーザhelpdeskuserがネットワークデバイスに対して正常WLC-9800に認証されたことがわかりますWLC TACACS Authentication > Default。さらに、許可プロファイルIOS Helpdeskがこのユーザに割り当てられ、特権レベル1が付与されています。