목차

소개

사전 요구 사항

요구 사항

사용되는 구성 요소

레이어 2 보안

OPEN WLAN 보안 없음

정적 WEP(Wired Equivalent Privacy)

MAC 필터 - 로컬 데이터베이스

MAC 필터 - 외부 반경

WPA2(Wireless Protected Access 2) 사전 공유 키(PSK)

802.1x EAP(Local Extensible Authentication Protocol) 인증(로컬 RADIUS로 사용되는 NGWC)

외부 반지름의 802.1x

레이어 3 보안

웹 통과

웹 인증 로컬 인증

외부 RADIUS 인증(ISE)을 사용한 웹 인증

외부 웹 인증

로컬 인증을 통한 맞춤형 웹 인증

자동 앵커 웹 인증

소개

이 문서에서는 기본 및 알려진 레이어 2 및 레이어 3 무선 LAN(WLAN) 컨피그레이션에 대한 빠른 참조 CLI 컨피그레이션 템플릿을 제공합니다.기본 템플릿은 Cisco NGWC(Next Generation Wiring Closet) 5760 및 3850 WLC(Wireless LAN Controller) 랩 재생성 및 고객 초기 설치를 위한 빠른 복사 및 붙여넣기용으로 제공됩니다.

사전 요구 사항

요구 사항

NGWC Release 3.3 이상에 대해 알고 있는 것이 좋습니다.SVI(Switch Virtual Interfaces) 및 DHCP 풀/스누핑은 모범 사례에 따라 미리 구성되어 있어야 합니다.

사용되는 구성 요소

이 문서는 특정 소프트웨어 및 하드웨어 버전으로 한정되지 않습니다.

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다.이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다.현재 네트워크가 작동 중인 경우, 모든 명령어의 잠재적인 영향을 미리 숙지하시기 바랍니다.

레이어 2 보안

OPEN WLAN 보안 없음

wlan 1 name testwlan ssid testwlan

client vlan 20

no security wpa

no shut

정적 WEP(Wired Equivalent Privacy)

wlan staticWEP 6 staticWEP

client vlan 79

no security wpa

no security wpa akm dot1x

no security wpa wpa2

no security wpa wpa2 ciphers aes

security static-wep-key encryption 40 ascii 0 Cisco 1

session-timeout 1800

no shutdown

MAC 필터 - 로컬 데이터베이스

username 24770319eB75 mac

aaa new-model

aaa authorization network test_mac local

wlan macfiltering 6 macfiltering

client vlan Vlan7

mac-filtering test_mac

no security wpa

no security wpa akm dot1x

no security wpa wpa2

no security wpa wpa2 ciphers aes

no shutdown

MAC 필터 - 외부 반경

aaa new-model

aaa group server radius wcm_rad

server name RAD_EXT

subscriber mac-filtering security-mode mac

mac-delimiter colon

radius server RAD_EXT

address ipv4 x.x.x.x auth-port 1812 acct-port 1813

key cisco

aaa authorization network wcm_macfilter group wcm_rad

wlan macfiltering 1 macfiltering

client vlan Vlan7

mac-filtering wcm_macfilter

no security wpa

no security wpa akm dot1x

no security wpa wpa2

no security wpa wpa2 ciphers aes

no shutdown

WPA2(Wireless Protected Access 2) 사전 공유 키(PSK)

wlan wpa2psk 1 wpa2psk

client vlan 20

no security wpa akm dot1x

security wpa akm psk set-key ascii 0 Cisco123

no shutdown

802.1x EAP(Local Extensible Authentication Protocol) 인증(로컬 RADIUS로 사용되는 NGWC)

user-name test

privilege 15

password 0 cisco

type network-user description pass=cisco

aaa new-model

aaa authentication dot1x default local

aaa authorization credential-download author_list  local

aaa authentication dot1x authen_list local

aaa local authentication authen_list authorization author_list

dot1x system-auth-control

eap profile PEAPProfile

method ?

fast      EAP-FAST method allowed

gtc       EAP-GTC method allowed

leap      EAP-LEAP method allowed

md5       EAP-MD5 method allowed

mschapv2  EAP-MSCHAPV2 method allowed

peap      EAP-PEAP method allowed

tls       EAP-TLS method allowed

method peap

method mschapv2

wlan TestNGWC 1 TestNGWC

client vlan VLAN0080

ip dhcp server 192.168.80.14

local-auth PEAPProfile

외부 반지름의 802.1x

aaa new-model

!

!

aaa group server radius ACS

server name ACS

!

aaa authentication dot1x ACS group ACS

radius server ACS

address ipv4 10.106.102.50 auth-port 1645 acct-port 1646

key Cisco123

dot1x system-auth-control

wlan EAPFAST 4 EAPFAST

client vlan VLAN0020

security dot1x authentication-list ACS

session-timeout 1800

no shutdown

레이어 3 보안

웹 통과

parameter-map type webauth global

type consent

virtual-ip ipv4 192.168.200.1

!

!

parameter-map type webauth web

type consent

wlan Webauth 9 Webauth

client vlan VLAN0020

no security wpa

no security wpa akm dot1x

no security wpa wpa2

no security wpa wpa2 ciphers aes

security web-auth

security web-auth parameter-map web

session-timeout 1800

웹 인증 로컬 인증

aaa new-model

aaa authentication login wcm_local local

aaa authorization network default local

aaa authorization credential-download default local

username test password 0 test12345

parameter-map type webauth global

virtual-ip ipv4 1.1.1.1

parameter-map type webauth test_web

type webauth

banner    c test webauth c

ip http server

ip http authentication local

ip http secure-server

wlan local_webauth 11 local_webauth

client vlan 263

no security wpa

no security wpa akm dot1x

no security wpa wpa2

no security wpa wpa2 ciphers aes

security web-auth

security web-auth authentication-list wcm_local

security web-auth parameter-map test_web

외부 RADIUS 인증(ISE)을 사용한 웹 인증

radius server ise

address ipv4 192.168.154.119 auth-port 1812 acct-port 1813

key Cisco123

aaa group server radius rad_ise

server name ise

aaa authentication login ext_ise group rad_ise

parameter-map type webauth global

virtual-ip ipv4 1.1.1.1

parameter-map type webauth test_web

type webauth

banner    c test webauth c

wlan local_webauth 11 local_webauth

client vlan 263

no security wpa

no security wpa akm dot1x

no security wpa wpa2

no security wpa wpa2 ciphers aes

security web-auth

security web-auth authentication-list ext_ise

security web-auth parameter-map test_web

no shutdown

외부 웹 인증

//Parameter Map   //

parameter-map type webauth test_web

type webauth

redirect for-login https://192.168.154.119:8443/guestportal/portals/

external_webauth/portal.jsp

redirect portal ipv4 192.168.154.119

redirect on-success <url> //Optional//

redirect on-failure <url> //Optional//

banner

//Pre auth ACL//

ip access-lists extended preauth_ise

10 permit udp any eq bootps any

20 permit udp any any eq bootpc

30 permit udp any eq bootpc any

40 permit udp any any eq domain

50 permit udp any eq domain any

60 permit ip any host 192.168.154.119

70 permit ip host 192.168.154.119 any

wlan external_webauth 11 external_webauth

client vlan 263

ip access-group web preauth_ise

no security wpa

no security wpa akm dot1x

no security wpa wpa2

no security wpa wpa2 ciphers aes

security web-auth

security web-auth authentication-list ext_ise

security web-auth parameter-map test_web

no shutdown

로컬 인증을 통한 맞춤형 웹 인증

ip http server

ip device tracking

aaa new-model

aaa authentication login local_webauth local

aaa authorization network default local

aaa authorization credential-download default local

username <username> password 0 <password>

FTP Configuration for file transfer:

ip ftp username <username>

ip ftp password <password>

Upload custom html files to flash: with command:

5760# copy ftp://x.x.x.x/webauth_login.html flash:

Example of flash content:

w-5760-2#dir flash:

Directory of flash:/

64649  -rw-        1164   Oct 7 2013 04:36:23 +00:00  webauth_failure.html

64654  -rw-        2047   Oct 7 2013 13:32:38 +00:00  webauth_login.html

64655  -rw-        1208   Oct 7 2013 04:34:12 +00:00  webauth_success.html

64656  -rw-         900   Oct 7 2013 04:35:00 +00:00  webauth_expired.html

64657  -rw-       96894   Oct 7 2013 05:05:09 +00:00  web_auth_logo.png

64658  -rw-       23037   Oct 7 2013 13:17:58 +00:00  web_auth_cisco.png

64660  -rw-        2586   Oct 7 2013 13:31:27 +00:00  web_auth_aup.html

parameter-map type webauth global

virtual-ip ipv4 1.1.1.1

parameter-map type webauth custom

type webauth

redirect on-success http://www.cisco.com

banner text ^C CC global ip for redirect ^C

custom-page login device flash:webauth_login.html

custom-page success device flash:webauth_success.html

custom-page failure device flash:webauth_failure.html

custom-page login expired device flash:webauth_expired.html

wlan cisco 1 cisco

client vlan Vlanx

no security wpa

no security wpa akm dot1x

no security wpa wpa2

no security wpa wpa2 ciphers aes

security web-auth

security web-auth authentication-list local_webauth

security web-auth parameter-map custom

session-timeout 1800

no shutdown

자동 앵커 웹 인증

//Verify//

show wireless mobility summary

<snip>

IP               Public IP        Group Name       Multicast IP     Link Status

-------------------------------------------------------------------------------

192.168.100.8    -                ngwc             0.0.0.0          UP   : UP

192.168.100.15   192.168.100.15   5760                              UP   : UP

radius server ise

address ipv4 192.168.154.119 auth-port 1812 acct-port 1813

key Cisco123

aaa group server radius rad_ise

server name ise

aaa authentication login ext_ise group rad_ise

parameter-map webauth global

virtual-ip ipv4 1.1.1.1

parameter-map type webauth test_web

type webauth

banner

WLAN configs on the Foreign 5760

wlan ngwc_guest 3 ngwc_guest

client vlan 254

mobility anchor 192.168.100.8   //Anchor

no security wpa

no security wpa akm dot1x

no security wpa wpa2

no security wpa wpa2 ciphers aes

security web-auth

security web-auth authentication-list wcm_local

security web-auth parameter-map test_web

no shutdown

WLAN configs on the Anchor 5760

wlan ngwc_guest 3 ngwc_guest

client vlan 254

mobility anchor 192.168.100.8 //Local

no security wpa

no security wpa akm dot1x

no security wpa wpa2

no security wpa wpa2 ciphers aes

security web-auth

security web-auth authentication-list rad_ise

security web-auth parameter-map test_web

no shutdown