Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Configureren

Voorbeeld van switchconfiguratie

ACS-configuratie

Verifiëren

Problemen oplossen

Inleiding

Dit document biedt een standaard IEEE 802.1x-configuratievoorbeeld met Cisco Access Control Server (ACS) versie 4.2 en het RADIUS-protocol (Remote Access Dial In User Service) voor bekabelde verificatie.

Voorwaarden

Vereisten

Cisco raadt u aan:

- Bevestig IP bereikbaarheid tussen ACS en de switch.

- Zorg ervoor dat User Datagram Protocol (UDP)-poorten 1645 en 1646 tussen ACS en de switch zijn geopend.

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

- Cisco Catalyst 3550 Series switches

- Cisco Secure ACS-versie 4.2

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u de potentiële impact van elke opdracht begrijpen.

Configureren

Voorbeeld van switchconfiguratie

1. Voer deze opdracht in om de RADIUS-server en de vooraf gedeelde sleutel te definiëren:

Switch(config)# radius-server host 192.168.1.3  key  cisco123

2. Typ deze opdracht om de 802.1x-functionaliteit in te schakelen:

Switch(config)# dot1x system-auth-control

3. Voer deze opdrachten in om verificatie, autorisatie en accounting (AAA) en RADIUS-verificatie en -autorisatie wereldwijd in te schakelen:

Opmerking: dit is nodig als u kenmerken van de RADIUS-server moet doorgeven; anders kunt u deze overslaan.

Switch(config)# aaa new-model

Switch(config)# aaa authentication dot1x default group radius

awitch(Config)# aaa authorization network default group radius

Switch(Config)# aaa accounting dot1x default start-stop group radius

Switch(config-if)# switchport mode acces

Switch(config-if)# switchport access vlan

Switch(config-if)# authentication port-control auto (12.2.50 SE and later)

Switch(config-if)# dot1x port-control auto (12.2.50 SE and below)

Switch(config-if)# dot1x pae authenticator (version 12.2(25)SEE and below)

Switch(config-if)# dot1x timeout quiet-period

Switch(config-if)# dot1x timeout tx-period

ACS-configuratie

1. Als u de switch als AAA-client in ACS wilt toevoegen, navigeert u naar Netwerkconfiguratie > AAA-client voor toegangsrechten toevoegen en voert u deze informatie in:

- IP-adres: <IP>

- Gedeeld geheim: <key>

- Verifiëren met: straal (Cisco IOS®/PIX 6.0)

2. Om de verificatie-instellingen te configureren navigeer je naar Systeemconfiguratie > Globale verificatie-instellingen en controleer je of het aanvinkvakje MDS-CHAP, versie 2 verificatie toestaan is ingeschakeld:

3. Om een gebruiker te configureren klikt u op Gebruikersinstelling in het menu en voltooit u de volgende stappen:

- Voer de gebruikersinformatie in: Network-Admin <gebruikersnaam>.

- Klik op Toevoegen/bewerken.

- Voer de echte naam in: Network-Admin <beschrijvende naam>.

- Voeg een beschrijving toe: <uw keuze>.

- Selecteer de Wachtwoordverificatie: ACS Interne Database.

- Voer het wachtwoord in: ........ <wachtwoord>.

- Bevestig het wachtwoord: <password>.

- Klik op Verzenden.

Verifiëren

De Output Interpreter Tool (alleen voor geregistreerde klanten) ondersteunt bepaalde opdrachten met show. Gebruik de Output Interpreter Tool om een analyse te bekijken van de output van de opdracht show.

Voer deze opdrachten in om te bevestigen dat uw configuratie correct werkt:

- dot1x weergeven

- dot1x-overzicht tonen

- dot1x-interface tonen

- interface van verificatiesessies tonen <interface>

- verificatieinterface tonen <interface>

Switch(config)# show dot1x

_________________________________________________

Sysauthcontrol              Enabled

Dot1x Protocol Version            3

_________________________________________________

Switch(config)# show dot1x summary

_________________________________________________

Interface       PAE     Client          Status

_________________________________________________

Fa0/4           AUTH

_________________________________________________

Switch(config)# show dot1x interface fa0/4 detail

_________________________________________________

Dot1x Info for FastEthernet0/4

_________________________________________________

PAE                       = AUTHENTICATOR

PortControl               = FORCE_AUTHORIZED

ControlDirection          = Both

HostMode                  = SINGLE_HOST

QuietPeriod               = 5

ServerTimeout             = 0

SuppTimeout               = 30

ReAuthMax                 = 2

MaxReq                    = 2

TxPeriod                  = 10

Problemen oplossen

Deze sectie verstrekt debug bevelen die u kunt gebruiken om uw configuratie problemen op te lossen.

Opmerking: Raadpleeg Belangrijke informatie over debug commando's voordat u debug commando's gebruikt.

- debug dot1x alles

- debug verificatie alle

- debug radius (geeft de informatie over de straal op debug niveau)

- debug aaa-verificatie (debug voor verificatie)

- debug aaa-autorisatie (debug voor autorisatie)