문제 해결 "5440 엔드포인트가 EAP 세션을 포기하고 새로 시작" 신청자 시간 초과 또는 잘못된 컨피그레이션으로 인해

문제

ISE는 엔드포인트에 RADIUS 액세스 챌린지를 보냅니다. 엔드포인트는 Access-Challenge에 응답하는 대신 인증 프로세스를 반복적으로 재시작합니다. Cisco ISE(Identity Services Engine)를 통한 엔드포인트 인증이 마침내 실패하고 오류가 발생합니다.

"5440 – Endpoint abandoned EAP session and started new"

환경

• Cisco ISE

• 802.1X 인증

• 유선 또는 무선 네트워크

• EAP(Extensible Authentication Protocol) 기반 인증

• 엔드포인트 신청자

해결

다음 단계를 사용하여 문제를 해결합니다.

1. ISE 인증 세부 정보를 확인합니다.

   1. Operations(운영) > RADIUS > Live Logs(라이브 로그)로 이동합니다.

   2. 실패한 인증을 엽니다.

      

   3. ISE에서 "Access-Challenge"를 전송하는지 확인합니다.

   4. 엔드포인트가 챌린지에 응답하는 대신 새로운 "Access-Request"를 전송하는지 확인합니다.

   5. Access-Challenge와 새로운 Access-Request 사이의 시간을 확인합니다.

   6. 이 그림에서는 ISE에서 "Access-Challenge"를 보내는 것을 볼 수 있지만 ISE에서 응답을 받지 못했습니다.

      

2. 엔드포인트 신청자 컨피그레이션 확인

• 올바른 EAP 방법이 구성되었는지 확인합니다.

• 머신, 사용자 또는 머신 + 사용자 인증과 같은 인증 모드를 확인합니다.

  

  

• 신청자 시간 초과 및 재시도 설정을 확인 합니다.

• 엔드포인트가 예상되는 802.1X 프로필을 사용하는지 확인합니다.

• 컨피그레이션을 작동 중인 엔드포인트와 비교합니다.

3. 엔드포인트 로그 확인

• 운영 체제 및 서 플리 컨 트 인증 로그를 검토 합니다.

• 신청자가 EAP 요청을 수신하는지 확인합니다.

• 시간 초과, 인증 재시작 또는 EAP 관련 오류를 식별합니다.

• Cisco Secure Client를 사용하는 경우 추가 분석을 위해 DART 번들을 수집합니다.

  • Secure Client용 DART 번들 수집

4. 네트워크 경로 확인

• 엔드포인트(Wireshark), NAD(SPAN 캡처) 및 ISE(TCPDump)에서 동시 패킷 캡처 수행

• EAPOL 트래픽이 NAD에 도달하는지 확인합니다.

• ISE의 RADIUS 응답이 NAD에 도달하는지 확인합니다.

• 엔드포인트, NAD 및 ISE 간의 패킷 손실 또는 지연을 확인합니다.

• 엔드포인트 로그가 재시작의 이유를 식별하지 못하는 경우 패킷 캡처를 사용합니다.

5. 작동 중인 엔드포인트와 비교

• 가능한 경우 동일한 NAD, ISE PSN 및 인증 정책을 사용합니다.

• EAP 방법, 신청자 컨피그레이션, 시간 초과 값 및 인증 시퀀스를 비교합니다.

• 특정 엔드포인트만 실패하는 경우 엔드포인트 컨피그레이션 또는 신청자에 대한 조사에 집중합니다.

문제가 해결되었는지 확인하려면 새 인증을 수행하고 엔드포인트가 ISE Access-Challenge에 응답하고 5440을 생성하지 않고 성공적으로 인증을 완료하는지 확인합니다.

원인

엔드포인트 신청자가 구성된 시간 제한 내에 EAP 인증을 완료하지 않거나 잘못된 802.1X 컨피그레이션을 사용합니다. 짧은 신청자 시간 초과, 잘못된 EAP 설정 또는 신청자 문제로 인해 이전 세션이 완료되기 전에 엔드포인트가 인증을 다시 시작할 수 있습니다.

관련 콘텐츠

• EAP-TLS 이해 및 구성