무선 LAN 컨트롤러에서 RADIUS 서버 폴백 기능 구성

소개

이 문서에서는 WLC(Wireless LAN Controller)를 사용하여 RADIUS 서버 폴백 기능을 구성하는 방법에 대해 설명합니다.

사전 요구 사항

요구 사항

다음 주제에 대한 지식을 보유하고 있으면 유용합니다.

• LAP(Lightweight Access Point) 및 Cisco WLC 구성에 대한 기본 지식

• CAPWAP(Control and Provisioning of Wireless Access Point Protocol)에 대한 기본 지식

• 무선 보안 솔루션에 대한 기본 지식

사용되는 구성 요소

이 문서의 정보는 Cisco 5508/5520 컨트롤러를 기반으로 합니다.

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우, 모든 명령어의 잠재적인 영향을 미리 숙지하시기 바랍니다.

배경 정보

RADIUS 서버 폴백 기능

5.0 이전의 WLC 소프트웨어 버전은 RADIUS 서버 폴백 메커니즘을 지원하지 않습니다. 기본 RADIUS 서버를 사용할 수 없게 되면 WLC는 다음 액티브 백업 RADIUS 서버로 장애 조치됩니다. 기본 서버가 사용 가능한 경우에도 WLC는 보조 RADIUS 서버를 계속 사용합니다. 일반적으로 기본 서버는 고성능이며 기본 서버입니다.

WLC 5.0 이상 버전에서는 WLC에서 RADIUS 서버 폴백 기능을 지원합니다. 이 기능을 사용하면 기본 서버가 사용 가능한지 확인하고 사용 가능한 경우 기본 RADIUS 서버로 다시 전환하도록 WLC를 구성할 수 있습니다. 이를 위해 WLC는 RADIUS 서버의 상태를 확인하기 위해 패시브 모드와 액티브 모드의 두 가지 새로운 모드를 지원합니다. WLC는 지정된 시간 초과 값 후에 가장 바람직한 서버로 돌아갑니다.

대체 모드

활성 모드

활성 모드에서 서버가 WLC 인증 요청에 응답하지 않으면 WLC는 서버를 Dead로 표시한 다음 서버를 비활성 서버 풀로 이동하고 서버가 응답할 때까지 주기적으로 프로브 메시지를 보내기 시작합니다. 서버가 응답하면 WLC는 데드 서버를 활성 풀로 이동하고 프로브 메시지 전송을 중지합니다. 이 모드에서 인증 요청이 오면 WLC는 항상 RADIUS 서버의 활성 풀에서 가장 낮은 인덱스(가장 높은 우선순위) 서버를 선택합니다.

WLC는 서버가 이전에 응답하지 않은 경우 서버 상태를 확인하기 위해 시간 제한(기본값은 300초) 후에 프로브 패킷을 전송합니다.

수동 모드

패시브 모드에서 서버가 WLC 인증 요청에 응답하지 않으면 WLC는 서버를 비활성 큐로 이동하고 타이머를 설정합니다. 타이머가 만료되면 WLC는 서버의 실제 상태와 상관없이 서버를 활성 대기열로 이동합니다. 인증 요청이 오면 WLC는 활성 큐(비활성 서버가 포함될 수 있음)에서 가장 낮은 인덱스(가장 높은 우선순위) 서버를 선택합니다. 서버가 응답하지 않으면 WLC는 이를 비활성으로 표시하고, 타이머를 설정하고, 다음으로 높은 우선 순위 서버로 이동합니다. 이 프로세스는 WLC가 활성 RADIUS 서버를 찾거나 활성 서버 풀이 모두 소진될 때까지 계속됩니다.

WLC는 서버가 이전에 응답하지 않은 경우 시간 초과 후 서버가 활성 상태라고 가정합니다(기본값은 300초). 여전히 응답하지 않으면 WLC는 다른 시간 초과를 기다린 후 인증 요청이 들어올 때 다시 시도합니다.

끄기 모드

꺼짐 모드에서는 WLC가 장애 조치만 지원합니다. 즉, 폴백이 비활성화됩니다. 기본 RADIUS 서버가 다운되면 WLC는 다음 액티브 백업 RADIUS 서버로 장애 조치됩니다. 기본 서버가 사용 가능한 경우에도 WLC는 계속해서 보조 RADIUS 서버를 사용합니다.

구성

CLI로 RADIUS 서버 폴백 기능 구성

참고: 이 섹션에 사용된 명령에 대한 자세한 내용을 가져오려면 명령 조회 툴(등록 고객 전용)을 사용하십시오.

WLC에서 RADIUS 서버 폴백 기능을 활성화하려면 WLC CLI에서 다음 명령을 사용합니다.

첫 번째 단계는 RADIUS 서버 폴백의 모드를 선택하는 것입니다. 앞에서 언급한 대로 WLC는 액티브 및 패시브 폴백 모드를 지원합니다.

폴백 모드를 선택하려면 다음 명령을 입력합니다.

WLC1 > config radius fallback-test mode {active/passive/off}

• active - 데드 서버에 프로브를 보내 상태를 테스트합니다.

• passive - 마지막 트랜잭션을 기반으로 서버 상태를 설정합니다.

• off - 서버 폴백 테스트를 비활성화합니다(기본값).

다음 단계는 활성 모드의 프로브 간격 또는 수동 작업 모드의 비활성 시간을 지정하는 간격을 선택하는 것입니다.

간격을 설정하려면 다음 명령을 입력합니다.

WLC1 > config radius fallback-test mode interval {180 - 3600}

<180 to 3600> - 프로브 간격 또는 비활성 시간을 초 단위로 입력합니다(기본값은 300초).

간격은 활성 모드 폴백의 경우 프로브 간격 또는 수동 모드 폴백의 경우 비활성 시간을 지정합니다.

활성 작동 모드의 경우 RADIUS 서버로 전송된 프로브 요청에 사용할 사용자 이름을 구성해야 합니다.

사용자 이름을 구성하려면 다음 명령을 입력합니다.

WLC1 >config radius fallback-test username {username}

<username> - 최대 16자의 영숫자로 이름을 입력합니다(기본값은 cisco-probe).

참고: 사용자 이름을 직접 입력하거나 기본값으로 유지할 수 있습니다. 기본 사용자 이름은 "cisco-probe"입니다. 이 사용자 이름은 프로브 메시지를 보내는 데 사용되므로 비밀번호를 구성할 필요가 없습니다.

GUI를 사용하여 RADIUS 서버 폴백 기능 구성

GUI를 사용하여 WLC를 구성하려면 다음 단계를 완료합니다.

1. RADIUS 서버 폴백의 모드를 구성합니다. 이렇게 하려면 WLC GUI에서 Security(보안) > RADIUS > Fallback(대체)을 선택합니다. RADIUS > Fallback Parameters(대체 매개변수) 페이지가 나타납니다.

2. Fallback Mode 드롭다운 목록에서 fallback 모드를 선택합니다. 사용 가능한 옵션에는 active, passive 및 off가 있습니다.

   다음은 이미지에 표시된 대로 액티브 폴백 모드의 컨피그레이션에 대한 예제 스크린샷입니다.
   
   

   
   
   

3. 활성 작동 모드의 경우 username 필드에 사용자 이름을 입력합니다.

4. Interval(간격)(초)에 프로브 간격 값을 입력합니다. 필드.

5. 적용을 클릭합니다.

WLC에서 적극적인 장애 조치 기능이 활성화된 경우 WLC가 너무 적극적이어서 AAA 서버를 "응답하지 않음"으로 표시할 수 없습니다. 그러나 자동 삭제를 수행하는 경우 AAA 서버가 해당 특정 클라이언트에만 응답하지 않을 수 있으므로 이렇게 해서는 안 됩니다. 유효한 인증서가 있는 다른 유효한 클라이언트에 대한 응답일 수 있습니다. WLC는 여전히 AAA 서버를 "응답하지 않음" 및 "작동하지 않음"으로 표시할 수 있습니다.

이를 극복하기 위해 적극적인 장애 조치 기능을 비활성화합니다. 이를 수행하기 위해 컨트롤러 GUI에서 config radius aggressive-failover disable 명령을 입력합니다. 이 기능이 비활성화되면 RADIUS 서버에서 응답을 받지 못하는 3개의 연속 클라이언트가 있는 경우에만 컨트롤러가 다음 AAA 서버로 장애 조치됩니다.

참고: 릴리스 8.5.140,8.8.100,8.10.105 이상에서 도입된 기능 변경 사항: 컨트롤러에 대한 RADIUS 적극적인 장애 조치가 비활성화된 경우: 클라이언트에서 중단되지 않는 한 패킷이 6번 재시도됩니다. RADIUS 서버(AUTH 및 ACCT 모두)는 여러 클라이언트(이전에는 정확히 3개의 클라이언트에서)의 3개의 시간 제한 이벤트(18회 연속 재시도)가 발생한 후 연결할 수 없는 것으로 표시됩니다. 컨트롤러에 대한 RADIUS 적극적인 장애 조치가 활성화된 경우: 클라이언트에서 중단되지 않는 한 패킷이 6번 재시도됩니다. RADIUS 서버(AUTH 및 ACCT 모두)는 여러 클라이언트(이전에는 정확히 한 클라이언트에서)에서 하나의 시간 제한 이벤트(6회 연속 재시도)가 발생한 후 연결할 수 없는 것으로 표시됩니다. 이는 RADIUS 서버당 18회의 연속 재시도(AUTH 또는 ACCT 중 하나)가 여러 클라이언트에서 발생할 수 있음을 의미합니다. 따라서 각 패킷이 6번 재시도된다고 항상 보장되는 것은 아닙니다.

다음을 확인합니다.

설정이 올바르게 작동하는지 확인하려면 이 섹션을 활용하십시오.

OIT(Output Interpreter Tool)(등록된 고객만 해당)는 특정 show 명령을 지원합니다. show 명령 출력 분석을 보려면 OIT를 사용합니다.

폴백 컨피그레이션을 확인하기 위해 show radius summary 명령을 입력합니다. 예를 들면 다음과 같습니다.

WLC1 >show radius summary 

Vendor Id Backward Compatibility................. Disabled
Call Station Id Type............................. IP Address
Aggressive Failover.............................. Enabled
Keywrap.......................................... Disabled

Fallback Test:
Test Mode.................................... Active
 Probe User Name.............................. testaccount
 Interval (in seconds)........................ 180

Authentication Servers

Idx Type Server Address Port State   Tout RFC3576  IPSec-AuthMode/Phase1/Group/Lifetime/Auth/Encr
--- ---- -------------- ---- ------- ---- -------  ----------------------------------------------
1   NM   10.1.1.12      1812 Enabled 2    Disabled Disabled-none/unknown/group-0/0 none/none

Accounting Servers

Idx Type Server Address Port  State   Tout RFC3576 IPSec-AuthMode/Phase1/Group/Lifetime/Auth/E
--- ---- -------------- ----  ------- ---- ------- -------------------------------------------
1   N    10.1.1.12      1813  Enabled 2    N/A     Disabled-none/unknown/group-0/0 none/nonen

문제 해결

이 섹션에서는 설정 문제 해결에 사용할 수 있는 정보를 제공합니다.

참고: debug 명령을 사용하기 전에 debug 명령에 대한 중요한 정보를 참조하십시오.

• debug dot1x events enable - 802.1X 이벤트의 디버그를 구성합니다.

• debug aaa events enable - 모든 AAA 이벤트의 디버그를 구성합니다.

관련 정보

• WLAN 컨트롤러(WLC)를 사용한 EAP 인증 컨피그레이션 예
• WLC(Wireless LAN Controller)에 LAP(Lightweight AP) 등록
• 보안 솔루션 구성
• RADIUS 서버 및 무선 LAN 컨트롤러를 사용한 동적 VLAN 할당 예
• 기술 지원 및 문서 − Cisco Systems