802.1x bekabelde verificatie op een Catalyst 3550 Series Switch en een configuratievoorbeeld voor ACS versie 4.2

Inleiding

Dit document biedt een standaard IEEE 802.1x-configuratievoorbeeld met Cisco Access Control Server (ACS) versie 4.2 en het RADIUS-protocol (Remote Access Dial In User Service) voor bekabelde verificatie.

Voorwaarden

Vereisten

Cisco raadt u aan:

• Bevestig IP bereikbaarheid tussen ACS en de switch.
• Zorg ervoor dat User Datagram Protocol (UDP)-poorten 1645 en 1646 tussen ACS en de switch zijn geopend.

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

• Cisco Catalyst 3550 Series switches
• Cisco Secure ACS-versie 4.2

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u de potentiële impact van elke opdracht begrijpen.

Configureren

Voorbeeld van switchconfiguratie

1. Voer deze opdracht in om de RADIUS-server en de vooraf gedeelde sleutel te definiëren:
   

   Switch(config)# radius-server host 192.168.1.3  key  cisco123

   
   
   
2. Typ deze opdracht om de 802.1x-functionaliteit in te schakelen:
   

   Switch(config)# dot1x system-auth-control

   
   
   
3. Voer deze opdrachten in om verificatie, autorisatie en accounting (AAA) en RADIUS-verificatie en -autorisatie wereldwijd in te schakelen:
   

   Opmerking: dit is nodig als u kenmerken van de RADIUS-server moet doorgeven; anders kunt u deze overslaan.

   
   
   

   Switch(config)# aaa new-model
   Switch(config)# aaa authentication dot1x default group radius
   awitch(Config)# aaa authorization network default group radius
   Switch(Config)# aaa accounting dot1x default start-stop group radius

   
   
   

   Switch(config-if)# switchport mode acces
   Switch(config-if)# switchport access vlan  
           
   Switch(config-if)# authentication port-control auto (12.2.50 SE and later)
   Switch(config-if)# dot1x port-control auto (12.2.50 SE and below)
   Switch(config-if)# dot1x pae authenticator (version 12.2(25)SEE and below)
   Switch(config-if)# dot1x timeout quiet-period  
           
   Switch(config-if)# dot1x timeout tx-period 

ACS-configuratie

1. Als u de switch als AAA-client in ACS wilt toevoegen, navigeert u naar Netwerkconfiguratie > AAA-client voor toegangsrechten toevoegen en voert u deze informatie in:
   
   • IP-adres: <IP>
   • Gedeeld geheim: <key>
   • Verifiëren met: straal (Cisco IOS^®/PIX 6.0)
   
   
   

   

   
   
   
2. Om de verificatie-instellingen te configureren navigeer je naar Systeemconfiguratie > Globale verificatie-instellingen en controleer je of het aanvinkvakje MDS-CHAP, versie 2 verificatie toestaan is ingeschakeld:
   
   

   

   
   
   
3. Om een gebruiker te configureren klikt u op Gebruikersinstelling in het menu en voltooit u de volgende stappen:
   
   • Voer de gebruikersinformatie in: Network-Admin <gebruikersnaam>.
   • Klik op Toevoegen/bewerken.
   • Voer de echte naam in: Network-Admin <beschrijvende naam>.
   • Voeg een beschrijving toe: <uw keuze>.
   • Selecteer de Wachtwoordverificatie: ACS Interne Database.
   • Voer het wachtwoord in: ........ <wachtwoord>.
   • Bevestig het wachtwoord: <password>.
   • Klik op Verzenden.
   
   
   

   

Verifiëren

De Output Interpreter Tool (alleen voor geregistreerde klanten) ondersteunt bepaalde opdrachten met show. Gebruik de Output Interpreter Tool om een analyse te bekijken van de output van de opdracht show.

Voer deze opdrachten in om te bevestigen dat uw configuratie correct werkt:

• dot1x weergeven 
• dot1x-overzicht tonen 
• dot1x-interface tonen 
• interface van verificatiesessies tonen <interface>
• verificatieinterface tonen <interface>

Switch(config)# show dot1x
_________________________________________________
Sysauthcontrol              Enabled
Dot1x Protocol Version            3
_________________________________________________
Switch(config)# show dot1x summary
_________________________________________________
Interface       PAE     Client          Status
_________________________________________________
Fa0/4           AUTH
_________________________________________________
Switch(config)# show dot1x interface fa0/4 detail
_________________________________________________
Dot1x Info for FastEthernet0/4
_________________________________________________
PAE                       = AUTHENTICATOR
PortControl               = FORCE_AUTHORIZED
ControlDirection          = Both
HostMode                  = SINGLE_HOST
QuietPeriod               = 5
ServerTimeout             = 0
SuppTimeout               = 30
ReAuthMax                 = 2
MaxReq                    = 2
TxPeriod                  = 10

Problemen oplossen

Deze sectie verstrekt debug bevelen die u kunt gebruiken om uw configuratie problemen op te lossen.

Opmerking: Raadpleeg Belangrijke informatie over debug commando's voordat u debug commando's gebruikt.

• debug dot1x alles
• debug verificatie alle
• debug radius (geeft de informatie over de straal op debug niveau)
• debug aaa-verificatie (debug voor verificatie)
• debug aaa-autorisatie (debug voor autorisatie)