Catalyst 9800 Wireless Controller에서 802.1x AAA를 사용하는 FlexConnect WLAN 재정의

소개

이 문서에서는 FlexConnect 모드 액세스 포인트(AP)와 802.1x WLAN(Wireless Local Area Network)을 VLAN(Virtual Local Area Network) AAA(Authentication, Authorization and Accounting) 재정의로 로컬로 스위칭하여 탄력적인 무선 LAN 컨트롤러(9800 WLC)를 설정하는 방법에 대해 설명합니다.

사전 요구 사항

요구 사항

다음 주제에 대한 지식을 보유하고 있으면 유용합니다.

• 9800 WLC 컨피그레이션 모드
• FlexConnect

사용되는 구성 요소

이 문서의 정보는 다음 소프트웨어 및 하드웨어 버전을 기반으로 합니다.

• 9800 WLC v16.10

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우 모든 명령의 잠재적인 영향을 미리 숙지하시기 바랍니다.

구성

네트워크 다이어그램

설정

9800 WLC의 AAA 구성

이 링크의 지침을 따를 수 있습니다.

9800 WLC의 AAA 구성

WLAN 구성

이 링크의 지침을 따를 수 있습니다.

WLAN 구성

AP를 FlexConnect 모드로 설정

AireOS 컨피그레이션과 달리 9800 WLC에서는 AP에서 직접 AP 로컬 또는 flexconnect 모드를 구성할 수 없습니다. FlexConnect 모드에서 AP를 구성하려면 다음 단계를 수행합니다.

GUI

1단계. Flex Profile을 구성합니다.

탐색 Configuration(컨피그레이션) > Tags & Profiles(태그 및 프로파일) > Flex default-flex-profile을 수정하거나 +Add를 클릭하여 새 프로파일을 생성합니다.

2단계. 필요한 VLAN(기본 WLAN의 VLAN 또는 ISE에서 푸시된 VLAN 모두)을 추가합니다.

참고: Policy Profile Configuration(정책 프로필 컨피그레이션) 섹션의 3단계에서 SSID에 할당된 기본 VLAN을 선택합니다. 해당 단계에서 VLAN 이름을 사용하는 경우 Flex Profile 컨피그레이션에서 동일한 VLAN 이름을 사용해야 합니다. 그렇지 않으면 클라이언트가 WLAN에 연결할 수 없습니다.

선택적으로 VLAN당 특정 ACL을 추가할 수 있습니다.

 선택적으로, FlexConnect AP가 로컬 인증을 수행하도록 Radius 서버 그룹을 할당합니다.

3단계. 사이트 태그를 구성합니다.

Configuration(컨피그레이션) > Tags & Profiles(태그 및 프로필) > Tags(태그) > Site(사이트)로 이동합니다. 모든 AP에 기본적으로 할당된 태그인 default-site-tag를 수정하거나 새 태그를 만듭니다(새 태그를 만들려면 +Add를 클릭). 

Enable Local Site(로컬 사이트 활성화) 옵션을 비활성화해야 합니다. 그렇지 않으면 Flex Profile(플렉스 프로파일) 옵션을 사용할 수 없습니다. 

참고: Enable Local Site(로컬 사이트 활성화)가 활성화된 사이트 태그가 있는 모든 AP는 로컬 모드로 구성됩니다. 마찬가지로 Enable Local Site(로컬 사이트 활성화)가 비활성화된 Site Tag(사이트 태그)를 받는 모든 AP는 flexconnect 모드로 구성됩니다.

 4단계. AP를 9800 WLC에 연결하고 2단계에서 구성한 사이트 태그를 할당합니다.

Configuration(컨피그레이션) > Wireless(무선) > Access Points(액세스 포인트) > AP name(AP 이름)으로 이동하고 Site(사이트) 태그를 설정합니다. 그런 다음 Update & Apply to Device(디바이스에 업데이트 및 적용)를 클릭하여 변경 사항을 설정합니다.

참고: AP의 태그를 변경한 후 9800 WLC와의 연결이 끊기고 약 1분 내에 다시 연결해야 합니다. 

 5단계. AP가 다시 결합하면 AP 모드가 Flex입니다

CLI

# config t
# wireless profile flex new-flex-profile
# arp-caching
# description "New flex profile"
# native-vlan-id 2601

# config t
# wireless tag site new-flex-site
# flex-profile new-flex-profile
# no local-site
# site-tag new-flex-site

# config t
# ap <eth-mac-address>
# site-tag new-flex-site
Associating site-tag will cause associated AP to reconnect
# exit

#show ap name <ap-name> config general | inc AP Mode
AP Mode                                         : FlexConnect

스위치 구성

AP가 연결되는 스위치의 인터페이스를 구성합니다.

# config t
# interface <int-id>
# switchport trunk native vlan 2601
# switchport mode trunk
# spanning-tree portfast trunk
# end

정책 프로파일 구성

정책 프로필 내에서 클라이언트를 할당할 VLAN을 결정할 수 있습니다. ACL(Access Controls List), QoS(Quality of Service), Mobility Anchor, Timers 등과 같은 다른 설정도 가능합니다.

GUI

1단계. WLAN에 할당할 정책 프로필을 구성합니다.

Configuration(컨피그레이션) > Tags & Profiles(태그 및 프로필) > Policy(정책)로 이동하여 새 정책을 생성하거나 default-policy-profile을 수정합니다.

 2단계. General(일반) 탭에서 Policy Profile(정책 프로파일)에 이름을 지정하고 상태를 ENABLED(활성화됨)로 변경합니다.

 3단계. Access Policies(액세스 정책) 탭에서는 무선 클라이언트가 기본적으로 이 WLAN에 연결할 때 할당되는 VLAN을 할당합니다.

드롭다운에서 하나의 VLAN 이름을 선택하거나 수동으로 vlan id를 입력할 수 있습니다.

참고: 드롭다운에서 vlan 이름을 선택할 경우, Set AP as FlexConnect mode(AP를 FlexConnect 모드로 설정) 섹션의 2단계에서 사용되는 vlan 이름과 일치하는지 확인합니다.

또는

4단계. Advanced(고급) 탭으로 이동하여 Central Authentication Enable(중앙 인증 활성화) 및 Allow AAA Overrideoptions(AAA 재정의 허용)를 활성화합니다. 중앙 스위칭을 비활성화해야 합니다.

9800 WLC에서 중앙에서 인증 프로세스를 수행하려면 중앙 인증을 활성화해야 합니다. FlexConnect AP가 무선 클라이언트를 인증하도록 하려면 비활성화합니다.

CLI

# config t
# wireless profile policy new-policy-profile
# central association
# vlan <vlan-id or vlan-name>
# no shutdown

정책 태그 구성

정책 태그는 SSID를 정책 프로파일과 연결하는 데 사용됩니다. 새 정책 태그를 생성하거나 default-policy 태그를 사용할 수 있습니다.

참고: default-policy-tag는 WLAN ID가 1~16인 SSID를 default-policy-profile에 자동으로 매핑합니다. 수정하거나 삭제할 수 없습니다. ID가 17 이상인 WLAN이 있는 경우 default-policy-tag를 사용할 수 없습니다.

GUI:

Configuration(컨피그레이션) > Tags & Profiles(태그 및 프로필) > Tags(태그) > Policy(정책)로 이동하고 필요한 경우 새 정책을 추가합니다.

WLAN 프로파일을 원하는 정책 프로파일에 연결합니다.

CLI:

# config t
# wireless tag policy <policy-tag-name>
# wlan <profile-name> policy <policy-profile-name>

정책 태그 할당

AP에 정책 태그 할당

GUI

하나의 AP에 태그를 할당하려면 Configuration(구성) > Wireless(무선) > Access Points(액세스 포인트) > AP Name(AP 이름) > General Tags(일반 태그)로 이동하여 필요한 할당을 수행한 다음 Update & Apply to Device(디바이스에 업데이트 및 적용)를 클릭합니다.

참고: AP에서 정책 태그를 변경한 후 9800 WLC와의 연결이 끊기고 약 1분 내에 다시 연결해야 합니다.

동일한 정책 태그를 여러 AP에 할당하려면 Configuration(컨피그레이션) > Wireless(무선) > Wireless Setup(무선 설정) > Start Now(지금 시작) > Apply(적용)로 이동합니다.

태그를 할당할 AP를 선택하고 + Tag APs를 클릭합니다

흰색 태그를 선택하고 Save & Apply to Device(디바이스에 저장 및 적용)를 클릭합니다.

CLI

# config t
# ap <ethernet-mac-addr>
# policy-tag <policy-tag-name>
# end

ISE 구성

ISE v1.2 컨피그레이션의 경우 다음 링크를 확인하십시오.

ISE 구성

다음을 확인합니다.

이 명령을 사용하여 현재 컨피그레이션을 확인할 수 있습니다

# show run wlan
# show run aaa
# show aaa servers
# show ap config general
# show ap name <ap-name> config general 
# show ap tag summary
# show ap name <AP-name> tag detail
# show wlan { summary | id | name | all }
# show wireless tag policy detailed <policy-tag-name>
# show wireless profile policy detailed <policy-profile-name> 

# show clock

# show logging

# show debugging
IOSXE Conditional Debug Configs:

Conditional Debug Global State: Stop

IOSXE Packet Tracing Configs:


Packet Infra debugs:

Ip Address                                               Port
------------------------------------------------------|----------

# show logging profile wireless filter { mac | ip } { <aaaa.bbbb.cccc> | <a.b.c.d> } to-file always-on-<FILENAME.txt> 

# more bootflash:always-on-<FILENAME.txt>
or
# copy bootflash:always-on-<FILENAME.txt> tftp://a.b.c.d/path/always-on-<FILENAME.txt> 

# clear platform condition all

# debug wireless mac <aaaa.bbbb.cccc> {monitor-time <seconds>}

# no debug wireless mac <aaaa.bbbb.cccc>

# dir bootflash: | inc ra_trace

# copy bootflash:ra_trace_MAC_aaaabbbbcccc_HHMMSS.XXX_timezone_DayWeek_Month_Day_year.log tftp://a.b.c.d/ra-FILENAME.txt

# more bootflash:ra_trace_MAC_aaaabbbbcccc_HHMMSS.XXX_timezone_DayWeek_Month_Day_year.log

# show logging profile wireless internal filter { mac | ip } { <aaaa.bbbb.cccc> | <a.b.c.d> } to-file ra-internal-<FILENAME>.txt

# copy bootflash:ra-internal-<FILENAME>.txt tftp://a.b.c.d/ra-internal-<FILENAME>.txt

# more bootflash:ra-internal-<FILENAME>.txt

# clear platform condition all