Test AAA Radius 명령을 사용하여 Radius 서버 연결 확인

소개

이 문서에서는 test aaa radius   이 명령은 radius 서버 연결 및 클라이언트 인증 문제를 식별합니다.

사전 요구 사항

요구 사항

WLC(Wireless LAN Controller) 코드 8.2 이상에 대해 알고 있는 것이 좋습니다.

사용되는 구성 요소

이 문서는 특정 소프트웨어 및 하드웨어 버전으로 한정되지 않습니다.

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우 모든 명령의 잠재적인 영향을 미리 숙지하시기 바랍니다.

배경 정보

무선 클라이언트 인증 문제는 무선 네트워크 엔지니어가 직면하는 가장 어려운 문제 중 하나입니다. 문제를 해결하려면 문제가 되는 클라이언트를 확보해야 하고, 무선 네트워크에 대한 최상의 지식이 없는 최종 사용자와 작업해야 하며, 디버그 및 캡처를 수집해야 하는 경우가 많습니다. 갈수록 중요해지는 무선 네트워크에서 이로 인해 상당한 다운타임이 발생할 수 있습니다.

지금까지는 인증 실패가 클라이언트를 거부하는 RADIUS 서버로 인해 발생했는지 또는 단순히 연결 가능성 문제인지 쉽게 식별할 수 있는 방법이 없었습니다. 이   test aaa radius  명령을 사용하면 이러한 작업을 수행할 수 있습니다. 이제 WLC-Radius 서버 통신이 실패하거나 클라이언트에 대한 자격 증명으로 인증 통과 또는 실패 여부를 원격으로 확인할 수 있습니다.

기능 작동 방식

이 워크플로는 명령을 사용할 때 기본적으로 사용됩니다 test aaa radius 에 나와 있는 것처럼.

1단계. WLC는 RADIUS 서버에 액세스 요청 메시지를 에서 언급 한 매개 변수와 함께 보냅니다   test aaa radius   명령을 사용합니다:

(Cisco 컨트롤러) >test aaa radius username password wlan-id apgroup server-index

예

test aaa radius username admin password cisco123 wlan-id 1 apgroup default-group server-index 2 

2단계. RADIUS 서버는 제공 된 자격 증명을 확인 하고 인증 요청의 결과를 제공 합니다.

명령 구문

명령을 실행하려면 다음 매개변수를 제공해야 합니다.

(Cisco 컨트롤러) > test aaa radius username password wlan-id apgroup server-index

<username>                    ---> Username that you are testing.
<password>                    ---> Password that you are testing
<wlan-id>                     ---> WLAN ID of the SSID that you are testing.
<apgroup-name>  (optional)    ---> AP group name. This will be default-group if there is no AP group configured.
<server-index>  (optional)    ---> The server index configured for the radius server that you are trying to test. This can be found under Security > Authentication tab.
 

시나리오 1: 인증 시도 통과

이 명령이 어떻게 작동하고, test aaa radius   명령을 실행하면 인증이 통과됩니다. 명령이 실행되면 WLC는 액세스 요청을 보낼 때 사용할 매개변수를 표시합니다.

(Cisco Controller) >test aaa radius username admin password cisco123 wlan-id 1 apgroup default-group server-index 2
Radius Test Request
  Wlan-id........................................ 1
  ApGroup Name................................... default-group
  Attributes                      Values   
  ----------                      ------   
  User-Name                       admin    
  Called-Station-Id               00:00:00:00:00:00:WLC5508
  Calling-Station-Id              00:11:22:33:44:55
  Nas-Port                        0x0000000d (13)
  Nas-Ip-Address                  10.20.227.39
  NAS-Identifier                  WLC_5508
  Airespace / WLAN-Identifier     0x00000001 (1)
  User-Password                   cisco123
  Service-Type                    0x00000008 (8)
  Framed-MTU                      0x00000514 (1300)
  Nas-Port-Type                   0x00000013 (19)
  Tunnel-Type                     0x0000000d (13)
  Tunnel-Medium-Type              0x00000006 (6)
  Tunnel-Group-Id                 0x00000051 (81)
  Cisco / Audit-Session-Id        ad14e327000000c466191e23
  Acct-Session-Id                 56131b33/00:11:22:33:44:55/210
test radius auth request successfully sent. Execute 'test aaa show radius' for response
 

인증 요청의 결과를 보려면 명령을 실행해야 합니다 test aaa show radius . 이 명령은 RADIUS 서버에 연결할 수 없고 WLC가 재시도하거나 다른 RADIUS 서버로 대체해야 하는 경우 출력을 표시하는 데 시간이 걸릴 수 있습니다.

(Cisco Controller) >test aaa show radius
Radius Test Request
  Wlan-id........................................ 1
  ApGroup Name................................... default-group
  Server Index................................... 2
Radius Test Response
Radius Server         Retry Status
-------------         ----- ------
10.20.227.52            1   Success
Authentication Response:
  Result Code: Success
  Attributes                      Values   
  ----------                      ------   
  User-Name                       admin    
  Class                           CACS:rs-acs5-6-0-22/230677882/20313
  Session-Timeout                 0x0000001e (30)
  Termination-Action              0x00000000 (0)
  Tunnel-Type                     0x0000000d (13)
  Tunnel-Medium-Type              0x00000006 (6)
  Tunnel-Group-Id                 0x00000051 (81)

이 명령의 매우 유용한 측면은 radius 서버에서 반환되는 특성을 표시한다는 점입니다. 리디렉션 URL 및 ACL(Access Control List)일 수 있습니다. 예를 들어 VLAN 재정의를 사용할 때 CWA(Central Web Authentication) 또는 VLAN 정보의 경우

주의: 액세스 요청의 사용자 이름/비밀번호는 일반 텍스트로 RADIUS 서버에 전송되므로 트래픽이 안전하지 않은 네트워크를 통해 이동할 경우 신중하게 사용해야 합니다.

시나리오 2: 실패한 인증 시도

사용자 이름/비밀번호 입력으로 인증이 실패하는 경우 출력이 어떻게 표시되는지 알아보겠습니다.

(Cisco Controller) >test aaa show radius                                                                          
Radius Test Request
  Wlan-id........................................ 1
  ApGroup Name................................... default-group
  Server Index................................... 2
Radius Test Response
Radius Server            Retry Status
-------------            ----- ------
10.20.227.52            1     Success
Authentication Response:
  Result Code: Authentication failed     ------> This result indicates that the user authentication will fail.
  No AVPs in Response

이 경우 연결 테스트에서 Success(성공)가 되었지만 radius 서버가 사용된 사용자 이름/비밀번호 조합에 대해 access-reject를 전송했음을 확인할 수 있습니다.

시나리오 3: WLC와 Radius 서버 간의 통신에 실패했습니다.

(Cisco Controller) >test aaa show radius                                                                      
 previous test command still not completed, try after some time
 

WLC가 출력을 표시하기 전에 재시도가 완료될 때까지 기다려야 합니다. 시간은 구성된 재시도 임계값에 따라 달라질 수 있습니다.

(Cisco Controller) >test aaa show radius
Radius Test Request
  Wlan-id........................................ 1
  ApGroup Name................................... default-group
  Server Index................................... 3
Radius Test Response
Radius Server            Retry Status
-------------            ----- ------
10.20.227.72            6     No response received from server
Authentication Response:
  Result Code: No response received from server
  No AVPs in Response
 

이 출력에서는 WLC가 RADIUS 서버에 6번 연결하려고 시도했으며 응답이 없을 때 RADIUS 서버에 연결할 수 없는 것으로 표시되었음을 알 수 있습니다.

시나리오 4: Radius 폴백

SSID(Service Set Identifier) 아래에 여러 RADIUS 서버가 구성되어 있고 기본 RADIUS 서버가 응답하지 않을 경우 WLC는 구성된 보조 RADIUS 서버로 시도합니다. 이는 첫 번째 radius 서버가 응답하지 않고 WLC가 즉시 응답하는 두 번째 radius 서버를 시도하는 출력에 매우 명확하게 표시됩니다.

(Cisco Controller) >test aaa show radius
Radius Test Request
  Wlan-id........................................ 1
  ApGroup Name................................... default-group
Radius Test Response
Radius Server            Retry Status
-------------            ----- ------
10.20.227.62            6     No response received from server
10.20.227.52            1     Success
Authentication Response:
  Result Code: Success
  Attributes                      Values   
  ----------                      ------   
  User-Name                       admin

경고

• 현재 GUI가 지원되지 않습니다. WLC에서 실행할 수 있는 명령일 뿐입니다.
• 검증은 radius에 대해서만 수행됩니다. TACACS 인증에 사용할 수 없습니다.
• Flexconnect 로컬 인증은 이 방법으로 테스트할 수 없습니다.

관련 정보

• Cisco 기술 지원 및 다운로드