Inhoud

Inleiding

Apparaattraceringstool

Configuratie van apparaattracering

Apparaattraceringstests

IP-apparaattracering met versie 12.2.3

Probe- en ARP-signalering

IP-apparaattracering voor versie 12.2.5 - Verborgen opdracht

IP-apparaattracering voor versie 12.2.5 - statisch IP-voorbeeld

IP-apparaattracering voor versie 15.x

IP-apparaattracering voor Cisco IOS-XE®

IP-apparaattracering met 802.1x en DACL voor versie 12.2.5

IP-apparaattracering met 802.1x en DACL voor versie 15.x

Specifieke ACL-ingang

regelrichting

IP-apparaattracering met 802.1x en per-gebruiker ACL voor versie 15.x

Verschil ten opzichte van DACL

IP-apparaattracering met 802.1x en filter-ID ACL voor versie 15.x

IP-apparaattracering - standaardwaarden en optimale praktijken

Interface ACL-herschrijven voor versie 15.x

Standaard ACL gebruikt voor 802.1x

Open modus

Wanneer de interface-ACL verplicht is

DACL op 4500/6500

MAC-adresstatus voor 802.1x

Problemen oplossen

Gerelateerde informatie

Inleiding

Dit document beschrijft hoe de IP apparaat tracking-functie werkt, wat inhoudt dat de triggers een host moeten toevoegen en verwijderen. Tevens wordt het effect van apparaat tracking op de 802.1x downloadbare toegangscontrolelijst (DACL) toegelicht. Het gedrag verandert tussen versies en platforms.

Het tweede deel van het document concentreert zich op de toegangscontrolelijst (ACL) die door de AAA-server is geretourneerd en van toepassing is op de 802.1x-sessie. Er wordt een vergelijking weergegeven tussen de DACL, Per-gebruiker ACL en filter-ID ACL. Ook worden enkele voorbehouden met betrekking tot de ACL-herschrijven en standaard ACL besproken.

Apparaattraceringstool

Apparaattracering voegt een ingang toe wanneer:

- het leert de nieuwe ingang via DHCP-spionage.

- het leert de nieuwe ingang via een verzoek van het Protocol van de Resolutie van het Adres (ARP) (leest het adres van de afzender en het IP adres van de afzender van het ARP pakket). Die functionaliteit wordt soms ARP-inspectie genoemd, maar het is niet hetzelfde als Dynamic ARP Inspection (DAI). Deze optie is standaard ingeschakeld en kan niet worden uitgeschakeld. Het wordt ook wel ARP-sneoping genoemd, maar debugs zullen het niet laten zien nadat "debug arp snooping" is ingeschakeld. ARP-snooping is standaard ingeschakeld en kan niet worden uitgeschakeld of gecontroleerd.

Apparaat tracking verwijdert een ingang wanneer er geen respons is voor een ARP-verzoek (het verzenden van sonde voor elke host in de machine-tracking-tabel, standaard elke 30 seconden).

Configuratie van apparaattracering

ip dhcp excluded-address 192.168.0.1 192.168.0.240

ip dhcp pool POOL

network 192.168.0.0 255.255.255.0

!

ip dhcp snooping vlan 1

ip dhcp snooping

ip device tracking

!

interface Vlan1

ip address 192.168.0.2 255.255.255.0

ip route 0.0.0.0 0.0.0.0 10.48.66.1

!

interface FastEthernet0/1

description PC

Apparaattraceringstests

BSNS-3560-1# show ip dhcp binding

IP address       Client-ID/              Lease expiration        Type

Hardware address

192.168.0.241    0100.5056.994e.a1       Mar 02 1993 02:31 AM    Automatic

BSNS-3560-1# show ip device tracking all

IP Device Tracking = Enabled

--------------------------------------------------------------

IP Address     MAC Address       Interface          STATE

--------------------------------------------------------------

192.168.0.241   0050.5699.4ea1 FastEthernet0/1        ACTIVE

IP-apparaattracering met versie 12.2.3

DHCP-snooping bevolkt de bindende tabel:

BSNS-3560-1#  show debugging

DHCP Snooping packet debugging is on

DHCP Snooping event debugging is on

DHCP server packet debugging is on.

DHCP server event debugging is on.

track:

IP device-tracking redundancy events debugging is on

IP device-tracking cache entry Creation debugging is on

IP device-tracking cache entry Destroy debugging is on

IP device-tracking cache events debugging is on

02:30:57: DHCP_SNOOPING: checking expired snoop binding entries

02:31:12: DHCPSNOOP(hlfm_set_if_input): Setting if_input to Fa0/1 for pak.  Was Vl1

02:31:12: DHCPSNOOP(hlfm_set_if_input): Setting if_input to Vl1 for pak.  Was Fa0/1

02:31:12: DHCPSNOOP(hlfm_set_if_input): Setting if_input to Fa0/1 for pak.  Was Vl1

02:31:12: DHCP_SNOOPING: received new DHCP packet from input interface (FastEthernet0/1)

02:31:12: DHCP_SNOOPING: process new DHCP packet, message type: DHCPREQUEST, input

interface: Fa0/1, MAC da: 001f.27e6.cfc0, MAC sa: 0050.5699.4ea1, IP da: 192.168.0.2,

IP sa: 192.168.0.241, DHCP ciaddr: 192.168.0.241, DHCP yiaddr: 0.0.0.0,

DHCP siaddr: 0.0.0.0, DHCP giaddr: 0.0.0.0, DHCP chaddr: 0050.5699.4ea1

02:31:12: DHCP_SNOOPING: add relay information option.

02:31:12: DHCP_SNOOPING_SW: Encoding opt82 CID in vlan-mod-port format

02:31:12: DHCP_SNOOPING_SW: Encoding opt82 RID in MAC address format

02:31:12: DHCP_SNOOPING: binary dump of relay info option, length: 20 data&colon;

0x52 0x12 0x1 0x6 0x0 0x4 0x0 0x1 0x1 0x3 0x2 0x8 0x0 0x6 0x0 0x1F 0x27 0xE6 0xCF 0x80

02:31:12: DHCP_SNOOPING_SW: bridge packet get invalid mat entry: 001F.27E6.CFC0,

packet is flooded to ingress VLAN: (1)

02:31:12: DHCP_SNOOPING_SW: bridge packet send packet to cpu port: Vlan1.

02:31:12: DHCPD: DHCPREQUEST received from client 0100.5056.994e.a1.

02:31:12: DHCPD: Sending DHCPACK to client 0100.5056.994e.a1 (192.168.0.241).

02:31:12: DHCPD: unicasting BOOTREPLY to client 0050.5699.4ea1 (192.168.0.241).

02:31:12: DHCP_SNOOPING: received new DHCP packet from input interface (Vlan1)

02:31:12: DHCP_SNOOPING: process new DHCP packet, message type: DHCPACK, input interface:

Vl1, MAC da: 0050.5699.4ea1, MAC sa: 001f.27e6.cfc0, IP da: 192.168.0.241,

IP sa: 192.168.0.2, DHCP ciaddr: 192.168.0.241, DHCP yiaddr: 192.168.0.241,

DHCP siaddr: 0.0.0.0, DHCP giaddr: 0.0.0.0, DHCP chaddr: 0050.5699.4ea1

02:31:12: DHCP_SNOOPING: add binding on port FastEthernet0/1.

02:31:12: DHCP_SNOOPING: added entry to table (index 189)

02:31:12: DHCP_SNOOPING: dump binding entry: Mac=00:50:56:99:4E:A1 Ip=192.168.0.241

Lease=86400     ld Type=dhcp-snooping Vlan=1 If=FastEthernet0/1

Nadat de DHCP-binding aan de database is toegevoegd, wordt de melding voor het opsporen van een apparaat geactiveerd:

02:31:12: sw_host_track-ev:host_track_notification: Add event for host 0050.5699.4ea1,

192.168.0.241 on interface FastEthernet0/1

02:31:12: sw_host_track-ev:Async Add event for host 0050.5699.4ea1, 192.168.0.241

on interface FastEthernet0/1

02:31:12: sw_host_track-ev:MSG = 2

02:31:12: DHCP_SNOOPING_SW no entry found for 0050.5699.4ea1 0.0.0.1 FastEthernet0/1

02:31:12: DHCP_SNOOPING_SW host tracking not found for update add dynamic

(192.168.0.241, 0.0.0.0, 0050.5699.4ea1) vlan 1

02:31:12: DHCP_SNOOPING: direct forward dhcp reply to output port: FastEthernet0/1.

02:31:12: sw_host_track-ev:Add event: 0050.5699.4ea1, 192.168.0.241, FastEthernet0/1

02:31:12: sw_host_track-obj_create:0050.5699.4ea1(192.168.0.241) Cache entry created

02:31:12: sw_host_track-ev:Activating host 0050.5699.4ea1, 192.168.0.241 on

interface FastEthernet0/1

02:31:12: sw_host_track-ev:0050.5699.4ea1 Starting cache timer: 30 seconds

ARP-sondes worden standaard elke 30 seconden verzonden:

02:41:12: sw_host_track-ev:0050.5699.4ea1 Stopping cache timer

02:41:12: sw_host_track-ev:0050.5699.4ea1: Send Host probe (0)

02:41:12: sw_host_track-ev:0050.5699.4ea1 Starting cache timer: 30 seconds

02:41:42: sw_host_track-ev:0050.5699.4ea1 Stopping cache timer

02:41:42: sw_host_track-ev:0050.5699.4ea1: Send Host probe (1)

02:41:42: sw_host_track-ev:0050.5699.4ea1 Starting cache timer: 30 seconds

02:42:12: sw_host_track-ev:0050.5699.4ea1 Stopping cache timer

02:42:12: sw_host_track-ev:0050.5699.4ea1: Send Host probe (2)

02:42:12: sw_host_track-ev:0050.5699.4ea1 Starting cache timer: 30 seconds

02:42:42: sw_host_track-ev:0050.5699.4ea1 Stopping cache timer

02:42:42: sw_host_track-obj_destroy:0050.5699.4ea1(192.168.0.241): Cache entry deleted

02:42:42: sw_host_track-ev:0050.5699.4ea1 Stopping cache timer

Nadat de ingang van het apparaat in de tracking-tabel is verwijderd, is de corresponderende DHCP-bindende ingang nog steeds aanwezig:

BSNS-3560-1#show ip device tracking all

IP Device Tracking = Enabled

--------------------------------------------------------------

IP Address     MAC Address       Interface          STATE

--------------------------------------------------------------

BSNS-3560-1#show ip dhcp binding

IP address       Client-ID/              Lease expiration        Type

Hardware address

192.168.0.241    0100.5056.994e.a1       Mar 02 1993 03:06 AM    Automatic

Er is de kwestie wanneer u een ARP reactie hebt, maar de apparaat tracking entry wordt hoe dan ook verwijderd. Dat bug blijkt in versie 12.2.3 te zijn en is niet verschenen in software van versie 12.2.5 of 15.x.

Er zijn ook een aantal verschillen bij hantering met de L2 poort (access-poort) en L3 poort (geen switchpoort).

Probe- en ARP-signalering

Apparaattracering met de ARP-sneeuwoptie:

BSNS-3560-1#show debugging

ARP:

ARP packet debugging is on

Arp Snoop:

Arp Snooping debugging is on

03:43:36: sw_host_track-ev:0050.5699.4ea1 Stopping cache timer

03:43:36: sw_host_track-ev:0050.5699.4ea1: Send Host probe (0)

03:43:36: IP ARP: sent req src 0.0.0.0 001f.27e6.cf83,

dst 192.168.0.241 0050.5699.4ea1 FastEthernet0/1

03:43:36: sw_host_track-ev:0050.5699.4ea1 Starting cache timer: 30 seconds

03:43:36: IP ARP: rcvd rep src 192.168.0.241 0050.5699.4ea1, dst 0.0.0.0 Vlan1

IP-apparaattracering voor versie 12.2.5 - Verborgen opdracht

Voor versie 12.2 kan het nodig zijn een verborgen opdracht te gebruiken om het te activeren:

BSNS-3560-1#show ip device tracking all

IP Device Tracking = Enabled

IP Device Tracking Probe Count = 2

IP Device Tracking Probe Interval = 30

IP Device Tracking Probe Delay Interval = 0

-----------------------------------------------------------------------

IP Address     MAC Address   Vlan  Interface                STATE

-----------------------------------------------------------------------

192.168.0.244   0050.5699.4ea1  55   FastEthernet0/1          ACTIVE

Total number interfaces enabled: 1

Enabled interfaces:

Fa0/1

BSNS-3560-1#ip device tracking interface fa0/48

BSNS-3560-1#show ip device tracking all

IP Device Tracking = Enabled

IP Device Tracking Probe Count = 2

IP Device Tracking Probe Interval = 30

IP Device Tracking Probe Delay Interval = 0

-----------------------------------------------------------------------

IP Address     MAC Address   Vlan  Interface                STATE

-----------------------------------------------------------------------

10.48.67.87     000c.2978.825d  1006 FastEthernet0/48         ACTIVE

10.48.67.31     020a.dada.dada  1006 FastEthernet0/48         ACTIVE

10.48.66.245    acf2.c5ed.8171  1006 FastEthernet0/48         ACTIVE

192.168.0.244   0050.5699.4ea1  55   FastEthernet0/1          ACTIVE

10.48.66.193    000c.2997.4ca1  1006 FastEthernet0/48         ACTIVE

10.48.66.186    0050.5699.3431  1006 FastEthernet0/48         ACTIVE

Total number interfaces enabled: 2

Enabled interfaces:

Fa0/1, Fa0/48

IP-apparaattracering voor versie 12.2.5 - statisch IP-voorbeeld

In dit voorbeeld is de PC geconfigureerd met een statisch IP-adres. Debugs tonen aan dat nadat u een ARP respons (MSG=2) krijgt de apparaat tracking entry bijgewerkt wordt.

01:03:16: sw_host_track-ev:0050.5699.4ea1 Stopping cache timer

01:03:16: sw_host_track-ev:0050.5699.4ea1: Send Host probe (0)

01:03:16: sw_host_track-ev:0050.5699.4ea1 Starting cache timer: 30 seconds

01:03:16: sw_host_track-ev:host_track_notification: Add event for host 0050.5699.4ea1,

192.168.0.241 on interface FastEthernet0/1, vlan 1

01:03:16: sw_host_track-ev:Async Add event for host 0050.5699.4ea1, 192.168.0.241

on interface FastEthernet0/1

01:03:16: sw_host_track-ev:MSG = 2

01:03:16: sw_host_track-ev:Add event: 0050.5699.4ea1, 192.168.0.241, FastEthernet0/1

01:03:16: sw_host_track-ev:0050.5699.4ea1: Cache entry refreshed

01:03:16: sw_host_track-ev:Activating host 0050.5699.4ea1, 192.168.0.241 on

interface FastEthernet0/1

01:03:16: sw_host_track-ev:0050.5699.4ea1 Starting cache timer: 30 seconds

Dus elk ARP verzoek van de PC werkt de apparaat tracking-tabel bij (het adres van de afzender en het IP-adres van de afzender van het ARP-pakket).

IP-apparaattracering voor versie 15.x

Het is belangrijk om te onthouden dat sommige functies zoals DACL voor 802.1x niet worden ondersteund in de LAN Lite versie (let op - Cisco Functie Navigator toont niet altijd de juiste informatie).

De verborgen opdracht uit versie 12.2 kan worden uitgevoerd maar heeft geen effect. In softwareversie 15.x is IP-apparaat tracking (IPDT) standaard alleen ingeschakeld voor interfaces die 802.1x ingeschakeld hebben:

bsns-3750-5#show ip device tracking all

IP Device Tracking = Enabled

IP Device Tracking Probe Count = 3

IP Device Tracking Probe Interval = 30

IP Device Tracking Probe Delay Interval = 0

-----------------------------------------------------------------------

IP Address     MAC Address   Vlan  Interface                STATE

-----------------------------------------------------------------------

192.168.10.12   0007.5032.6941  100  GigabitEthernet1/0/1     ACTIVE

192.168.2.200   000c.29d7.0617  1    GigabitEthernet1/0/1     ACTIVE

Total number interfaces enabled: 2

Enabled interfaces:

Gi1/0/1, Gi1/0/2

bsns-3750-5#show run int g1/0/3

Building configuration...

Current configuration : 38 bytes

!

interface GigabitEthernet1/0/3

bsns-3750-5(config)#int g1/0/3

bsns-3750-5(config-if)#switchport mode access

bsns-3750-5(config-if)#authentication port-control auto

bsns-3750-5(config-if)#do show ip device tracking all

IP Device Tracking = Enabled

IP Device Tracking Probe Count = 3

IP Device Tracking Probe Interval = 30

IP Device Tracking Probe Delay Interval = 0

-----------------------------------------------------------------------

IP Address     MAC Address   Vlan  Interface                STATE

-----------------------------------------------------------------------

192.168.10.12   0007.5032.6941  100  GigabitEthernet1/0/1     ACTIVE

192.168.2.200   000c.29d7.0617  1    GigabitEthernet1/0/1     ACTIVE

Total number interfaces enabled: 3

Enabled interfaces:

Gi1/0/1, Gi1/0/2, Gi1/0/3

Nadat de configuratie van 802.1x uit de poort is verwijderd, wordt ook IPDT uit die poort verwijderd. De poortstatus zou "DOWN" kunnen zijn, dus is het nodig om "verbindingsmodus" en "authenticatie poort-controle auto" te hebben om IP device tracking op die poort te laten activeren. De maximum limiet van het interfaceapparaat is ingesteld op 10:

bsns-3750-5(config-if)#ip device tracking maximum ?

<1-10>  Maximum devices

IP-apparaattracering voor Cisco IOS-XE®

Opnieuw is het gedrag op Cisco IOS-XE 3.3 gewijzigd in vergelijking met Cisco IOS versie 15.x. De verborgen opdracht uit versie 12.2 is verouderd, maar nu wordt deze fout teruggegeven:

3850-1#  no ip device tracking int g1/0/48

% Command accepted but obsolete, unreleased or unsupported; see documentation.

In Cisco IOS-XE wordt het volgen van apparaten geactiveerd voor alle interfaces (zelfs de interfaces die geen 802.1x zijn geconfigureerd):

3850-1#show ip device tracking all

Global IP Device Tracking for clients = Enabled

Global IP Device Tracking Probe Count = 3

Global IP Device Tracking Probe Interval = 30

Global IP Device Tracking Probe Delay Interval = 0

---------------------------------------------------------------------------------------

IP Address    MAC Address   Vlan  Interface           Probe-Timeout

State    Source

---------------------------------------------------------------------------------------

10.48.39.29     000c.29bd.3cfa 1    GigabitEthernet1/0/48  30

ACTIVE   ARP

10.48.39.28     0016.9dca.e4a7 1    GigabitEthernet1/0/48  30

ACTIVE   ARP

10.48.76.117    0021.a0ff.5540 1    GigabitEthernet1/0/48  30

ACTIVE   ARP

10.48.39.21     00c0.9f87.7471 1    GigabitEthernet1/0/48  30

ACTIVE   ARP

10.48.39.16     0050.5699.1093 1    GigabitEthernet1/0/48  30

ACTIVE   ARP

10.76.191.247   0024.9769.58cf 20   GigabitEthernet1/0/48  30

ACTIVE   ARP

192.168.99.4    d48c.b52f.4a1e 99   GigabitEthernet1/0/12  30

INACTIVE ARP

10.48.39.13     000c.296e.8dbc 1    GigabitEthernet1/0/48  30

ACTIVE   ARP

10.48.39.15     0050.5699.128d 1    GigabitEthernet1/0/48  30

ACTIVE   ARP

10.48.39.9      0012.da20.8c00 1    GigabitEthernet1/0/48  30

ACTIVE   ARP

10.48.39.8      6c20.560e.1b64 1    GigabitEthernet1/0/48  30

ACTIVE   ARP

10.48.39.11     000c.29e9.db25 1    GigabitEthernet1/0/48  30

ACTIVE   ARP

10.48.39.5      0014.f15f.f7ca 1    GigabitEthernet1/0/48  30

ACTIVE   ARP

10.48.39.4      000c.2972.57bc 1    GigabitEthernet1/0/48  30

ACTIVE   ARP

10.48.39.7      5475.d029.74cf 1    GigabitEthernet1/0/48  30

ACTIVE   ARP

10.48.76.108    001c.58de.9340 1    GigabitEthernet1/0/48  30

ACTIVE   ARP

10.48.39.1      0006.f62a.c4a3 1    GigabitEthernet1/0/48  30

ACTIVE   ARP

10.48.39.3      0050.5699.1bee 1    GigabitEthernet1/0/48  30

ACTIVE   ARP

10.48.76.84     0015.58c5.e8b7 1    GigabitEthernet1/0/48  30

ACTIVE   ARP

10.48.39.56     0015.fa13.9a40 1    GigabitEthernet1/0/48  30

ACTIVE   ARP

10.48.39.59     0050.5699.1bf4 1    GigabitEthernet1/0/48  30

ACTIVE   ARP

10.48.39.58     000c.2957.c7ad 1    GigabitEthernet1/0/48  30

ACTIVE   ARP

Total number interfaces enabled: 57

Enabled interfaces:

Gi1/0/1, Gi1/0/2, Gi1/0/3, Gi1/0/4, Gi1/0/5, Gi1/0/6, Gi1/0/7,

Gi1/0/8, Gi1/0/9, Gi1/0/10, Gi1/0/11, Gi1/0/12, Gi1/0/13, Gi1/0/14,

Gi1/0/15, Gi1/0/16, Gi1/0/17, Gi1/0/18, Gi1/0/19, Gi1/0/20, Gi1/0/21,

Gi1/0/22, Gi1/0/23, Gi1/0/24, Gi1/0/25, Gi1/0/26, Gi1/0/27, Gi1/0/28,

Gi1/0/29, Gi1/0/30, Gi1/0/31, Gi1/0/32, Gi1/0/33, Gi1/0/34, Gi1/0/35,

Gi1/0/36, Gi1/0/37, Gi1/0/38, Gi1/0/39, Gi1/0/40, Gi1/0/41, Gi1/0/42,

Gi1/0/43, Gi1/0/44, Gi1/0/45, Gi1/0/46, Gi1/0/47, Gi1/0/48, Gi1/1/1,

Gi1/1/2, Gi1/1/3, Gi1/1/4, Te1/1/1, Te1/1/2, Te1/1/3, Te1/1/4

3850-1#$

3850-1#sh run int g1/0/48

Building configuration...

Current configuration : 39 bytes

!

interface GigabitEthernet1/0/48

end

3850-1(config-if)#ip device tracking maximum ?

<0-65535>  Maximum devices (0 means disabled)

Bovendien zijn er geen limieten voor maximale ingangen per haven (0 betekent uitgeschakeld).

IP-apparaattracering met 802.1x en DACL voor versie 12.2.5

Als 802.1x met DACL wordt ingesteld, wordt de apparaat tracking-ingang gebruikt om het IP-adres van het apparaat te vullen. Dit voorbeeld toont apparaat tracking voor een statisch ingesteld IP:

BSNS-3560-1#show ip device tracking all

IP Device Tracking = Enabled

IP Device Tracking Probe Count = 2

IP Device Tracking Probe Interval = 30

IP Device Tracking Probe Delay Interval = 0

-----------------------------------------------------------------------

IP Address     MAC Address   Vlan  Interface                STATE

-----------------------------------------------------------------------

192.168.0.244   0050.5699.4ea1  2    FastEthernet0/1          ACTIVE

Total number interfaces enabled: 1

Enabled interfaces:

Fa0/1

Dit is een 802.1x-sessie die is gebouwd met "Laat icmp any" DACL:

BSNS-3560-1# sh authentication sessions  interface fa0/1

Interface:  FastEthernet0/1

MAC Address:  0050.5699.4ea1

IP Address:  192.168.0.244

User-Name:  cisco

Status:  Authz Success

Domain:  DATA

Security Policy:  Should Secure

Security Status:  Unsecure

Oper host mode:  single-host

Oper control dir:  both

Authorized By:  Authentication Server

Vlan Policy:  2

ACS ACL:  xACSACLx-IP-DACL-516c2694

Session timeout:  N/A

Idle timeout:  N/A

Common Session ID:  0A3042A900000008008900C5

Acct Session ID:  0x0000000D

Handle:  0x19000008

Runnable methods list:

Method   State

dot1x    Authc Success

BSNS-3560-1#show epm session summary

EPM Session Information

-----------------------

Total sessions seen so far : 1

Total active sessions      : 1

Interface               IP Address        MAC Address     Audit Session Id:

--------------------------------------------------------------------------

FastEthernet0/1         192.168.0.244     0050.5699.4ea1   0A3042A900000008008900C5

Dit toont een toegepast ACL:

BSNS-3560-1#show ip access-lists

Extended IP access list Auth-Default-ACL

10 permit udp any range bootps 65347 any range bootpc 65348

20 permit udp any any range bootps 65347

30 deny ip any any (8 matches)

Extended IP access list xACSACLx-IP-DACL-516c2694 (per-user)

10 permit icmp any any (6 matches)

Ook is ACL op de fa0/1 interface hetzelfde:

BSNS-3560-1#show ip access-lists interface fa0/1

permit icmp any any

Hoewel de standaard punt1x ACL is:

BSNS-3560-1#show ip interface fa0/1

FastEthernet0/1 is up, line protocol is up

Inbound  access list is Auth-Default-ACL

Het kan verwacht worden dat ACL op "willekeurige" wijze gebruikt als 192.168.0.244. Dat werkt zoals dit voor auth proxy, maar voor 802.1x DACL src wordt "gelijk" niet gewijzigd in het gedetecteerde IP van de PC.

Voor automatische proxy wordt één oorspronkelijke ACL van het ACS gecached en weergegeven met de opdracht om IP-toegangslijst te tonen en wordt een specifieke ACL (Per-gebruiker met specifieke IP) ACL toegepast op de interface met de opdracht om IP-toegangslijst te tonen, met de opdracht IFR0/1. Auth-proxy gebruikt echter geen IP-tracering van apparaten.

Wat als het IP-adres niet correct is gedetecteerd? Nadat het apparaat is uitgeschakeld:

BSNS-3560-1#show authentication sessions interface fa0/1

Interface:  FastEthernet0/1

MAC Address:  0050.5699.4ea1

IP Address:  Unknown

User-Name:  cisco

Status:  Authz Success

Domain:  DATA

Security Policy:  Should Secure

Security Status:  Unsecure

Oper host mode:  single-host

Oper control dir:  both

Authorized By:  Authentication Server

Vlan Policy:  2

ACS ACL:  xACSACLx-IP-DACL-516c2694

Session timeout:  N/A

Idle timeout:  N/A

Common Session ID:  0A3042A9000000000000C775

Acct Session ID:  0x00000001

Handle:  0xB0000000

Runnable methods list:

Method   State

dot1x    Authc Success

Dus er is geen IP-adres toegevoegd, maar de DACL is nog steeds van toepassing:

BSNS-3560-1#show ip access-lists

Extended IP access list Auth-Default-ACL

10 permit udp any range bootps 65347 any range bootpc 65348

20 permit udp any any range bootps 65347

30 deny ip any any (4 matches)

Extended IP access list xACSACLx-IP-DACL-516c2694 (per-user)

10 permit icmp any any

In dit scenario is het niet nodig het apparaat voor 802.1x te volgen. Het enige verschil is dat het weten van het IP adres van de client vooraf kan worden gebruikt voor een RADIUS-toegangsverzoek. Nadat eigenschap 8 is toegevoegd:

radius-server attribute 8 include-in-access-req

Het zal bestaan in toegangsaanvragen en op ACS-aanvragen zal het mogelijk zijn om meer gedetailleerde vergunningsregels op te stellen:

00:17:44: RADIUS(00000001): Send Access-Request to 10.48.66.185:1645 id 1645/27, len 257

00:17:44: RADIUS:  authenticator F8 17 06 CE C1 85 E8 E8 - CB 5B 57 96 6C 07 CE CA

00:17:44: RADIUS:  User-Name           [1]   7   "cisco"

00:17:44: RADIUS:  Service-Type        [6]   6   Framed                    [2]

00:17:44: RADIUS:  Framed-IP-Address   [8]   6   192.168.0.244

Houd in gedachten dat TrustSec ook IP apparaat tracking nodig heeft voor IP naar SGT bindings.

IP-apparaattracering met 802.1x en DACL voor versie 15.x

Wat is het verschil tussen versie 15.x en versie 12.2.5 in DACL? In softwareversie 15.x werkt het dezelfde als voor automatische proxy. Het generieke ACL kan worden gezien wanneer het bevel om ip toegang-lijst te tonen wordt ingevoerd (gecached respons van AAA) maar na het tonen ip access-list interface fa0/1 opdracht wordt de src "any" vervangen door het bron IP adres van de host (bekend via IP device tracking).

Dit is het voorbeeld voor een telefoon en een pc op één poort (g1/0/1), softwareversie 15.0.2SE2 op 3750X:

bsns-3750-5#sh authentication sessions interface g1/0/1

Interface:  GigabitEthernet1/0/1

MAC Address:  0007.5032.6941

IP Address:  192.168.10.12

User-Name:  00-07-50-32-69-41

Status:  Authz Success

Domain:  VOICE

Security Policy:  Should Secure

Security Status:  Unsecure

Oper host mode:  multi-auth

Oper control dir:  both

Authorized By:  Authentication Server

Vlan Policy:  100

ACS ACL:  xACSACLx-IP-PERMIT_ALL_TRAFFIC-51134bb2

Session timeout:  N/A

Idle timeout:  N/A

Common Session ID:  C0A80001000001012B680D23

Acct Session ID:  0x0000017B

Handle:  0x99000102

Runnable methods list:

Method   State

dot1x    Failed over

mab      Authc Success

----------------------------------------

Interface:  GigabitEthernet1/0/1

MAC Address:  0050.5699.4ea1

IP Address:  192.168.2.200

User-Name:  cisco

Status:  Authz Success

Domain:  DATA

Security Policy:  Should Secure

Security Status:  Unsecure

Oper host mode:  multi-auth

Oper control dir:  both

Authorized By:  Authentication Server

Vlan Policy:  20

ACS ACL:  xACSACLx-IP-PERMIT_ALL_TRAFFIC-51134bb2

Session timeout:  N/A

Idle timeout:  N/A

Common Session ID:  C0A80001000001BD336EC4D6

Acct Session ID:  0x000002F9

Handle:  0xF80001BE

Runnable methods list:

Method   State

dot1x    Authc Success

mab      Not run

De telefoon wordt geauthentiseerd via de Bypass van de MAC- Verificatie (MAB), terwijl de PC punt1x gebruikt. Zowel de telefoon als de PC gebruiken het zelfde ACL:

bsns-3750-5#show ip access-lists xACSACLx-IP-PERMIT_ALL_TRAFFIC-51134bb2

Extended IP access list xACSACLx-IP-PERMIT_ALL_TRAFFIC-51134bb2 (per-user)

10 permit ip any any

Bij verificatie op interfaceniveau is de bron echter vervangen door het IP-adres van het apparaat. IP apparaat het volgen veroorzaakt dat verandert en het kan op elk moment (veel later dan de authenticatiesessie en download van ACL) voorkomen:

bsns-3750-5#show ip access-lists interface g1/0/1

permit ip host 192.168.2.200 any (5 matches)

permit ip host 192.168.10.12 any

Beide MAC-adressen moeten als statisch worden gemarkeerd:

bsns-3750-5#sh mac address-table interface g1/0/1

Mac Address Table

-------------------------------------------

Vlan    Mac Address       Type        Ports

----    -----------       --------    -----

20    0050.5699.4ea1    STATIC      Gi1/0/1

100    0007.5032.6941    STATIC      Gi1/0/1

Specifieke ACL-ingang

Wanneer wordt de bron "om het even welk" in DACL vervangen door het host IP adres? Alleen als er ten minste twee sessies op dezelfde poort zijn (twee bevrachters).

De bron hoeft niet te worden vervangen wanneer er slechts één sessie is. De problemen zouden kunnen verschijnen wanneer er meerdere sessies zijn, en voor niet al hen IP apparaat het volgen weet het IP adres van de host. In dat scenario zal het voor sommige inzendingen "om het even welke" zijn.

Dat gedrag is op sommige platforms anders. Bijvoorbeeld, op de 2960X met Versie 15.0(2)EX zal ACL altijd specifiek zijn zelfs wanneer er slechts één authenticatiesessie per poort is. Voor de 3560X en 3750X versie 15.0(2)SE moet u echter minimaal twee sessies hebben om deze ACL specifiek te maken.

regelrichting

De standaardinstelling is dat de bedieningsrichting beide is:

bsns-3750-5(config)#int g1/0/1

bsns-3750-5(config-if)#authentication control-direction ?

both  Control traffic in BOTH directions

in    Control inbound traffic only

bsns-3750-5(config-if)#authentication control-direction both

Dat betekent dat voordat de aanvrager gewaarmerkt is, het verkeer niet naar of van de haven kan worden verstuurd. Voor de "in"-modus, kan het verkeer van poort naar leverancier zijn verzonden, maar niet van leverancier naar poort (dit kan handig zijn voor de WAKE op LAN-functie).

Toch past de switch ACL enkel op "in" richting toe. Het maakt niet uit welke modus wordt gebruikt.

bsns-3750-5#sh ip access-lists interface g1/0/1 out

bsns-3750-5#sh ip access-lists interface g1/0/1 in

permit ip host 192.168.2.200 any

permit ip host 192.168.10.12 any

Dat betekent in wezen dat na verificatie ACL wordt toegepast voor verkeer naar de poort (in richting) en al verkeer is toegestaan vanuit de poort (in richting).

IP-apparaattracering met 802.1x en per-gebruiker ACL voor versie 15.x

Het is ook mogelijk om een ACL per-gebruiker te gebruiken die in cisco-av-paar "ip:inacl" en "ip:outacl" wordt doorgegeven.

Deze voorbeeldconfiguratie is vergelijkbaar met een vorige configuratie, maar deze keer gebruikt de telefoon DACL en de PC gebruikt per-gebruiker ACL. Het ISE-profiel voor de PC is:

Op de telefoon is nog steeds DACL van toepassing:

bsns-3750-5#show authentication sessions interface g1/0/1

Interface:  GigabitEthernet1/0/1

MAC Address:  0007.5032.6941

IP Address:  192.168.10.12

User-Name:  00-07-50-32-69-41

Status:  Authz Success

Domain:  VOICE

Security Policy:  Should Secure

Security Status:  Unsecure

Oper host mode:  multi-auth

Oper control dir:  both

Authorized By:  Authentication Server

Vlan Policy:  100

ACS ACL:  xACSACLx-IP-PERMIT_ALL_TRAFFIC-51134bb2

Session timeout:  N/A

Idle timeout:  N/A

Common Session ID:  C0A8000100000568431143D8

Acct Session ID:  0x000006D2

Handle:  0x84000569

Runnable methods list:

Method   State

dot1x    Failed over

mab      Authc Success

bsns-3750-5#sh ip access-lists xACSACLx-IP-PERMIT_ALL_TRAFFIC-51134bb2

Extended IP access list xACSACLx-IP-PERMIT_ALL_TRAFFIC-51134bb2 (per-user)

10 permit ip any any

Echter, de PC op de zelfde poort gebruikt per-gebruiker ACL:

Interface:  GigabitEthernet1/0/1

MAC Address:  0050.5699.4ea1

IP Address:  192.168.2.200

User-Name:  cisco

Status:  Authz Success

Domain:  DATA

Security Policy:  Should Secure

Security Status:  Unsecure

Oper host mode:  multi-auth

Oper control dir:  both

Authorized By:  Authentication Server

Vlan Policy:  20

Per-User ACL:  permit icmp any any log

Session timeout:  N/A

Idle timeout:  N/A

Common Session ID:  C0A80001000005674311400B

Acct Session ID:  0x000006D1

Handle:  0x9D000568

Zo controleert u hoe dit op de GG1/0/1-poort wordt samengevoegd:

bsns-3750-5#show ip access-lists interface g1/0/1

permit icmp host 192.168.2.200 any log

permit ip host 192.168.10.12 any

De eerste ingang is genomen van de Per-Gebruiker ACL (merk het logsleutelwoord op) en de tweede ingang wordt genomen van DACL. Beide worden herschreven door IP-apparaat in de gaten te houden voor het specifieke IP-adres.

ACL per gebruiker kan met debug epm worden geverifieerd:

Apr 12 02:30:13.489: EPM_SESS_EVENT:IP Per-User ACE: permit icmp any any log received

Apr 12 02:30:13.489: EPM_SESS_EVENT:Recieved string GigabitEthernet1/0/1#IP#7844C6C

Apr 12 02:30:13.489: EPM_SESS_EVENT:Add ACE [permit icmp any any log] to ACL

[GigabitEthernet1/0/1#IP#7844C6C]

Apr 12 02:30:13.497: EPM_SESS_EVENT:Executed [ip access-list extended

GigabitEthernet1/0/1#IP#7844C6C] command through parse_cmd. Result= 0

Apr 12 02:30:13.497: EPM_SESS_EVENT:Executed [permit icmp any any log]

command through parse_cmd. Result= 0

Apr 12 02:30:13.497: EPM_SESS_EVENT:Executed [end] command through

parse_cmd. Result= 0

Apr 12 02:30:13.497: EPM_SESS_EVENT:Notifying PD regarding Policy (NAMED ACL)

application on the interface GigabitEthernet1/0/1

En ook via de opdracht tonen ip access-lijsten:

bsns-3750-5#show ip access-lists

Extended IP access list GigabitEthernet1/0/1#IP#7844C6C (per-user)

10 permit icmp any any log

En de ip:outacl attribuut? Het is volledig weggelaten in versie 15.x. De eigenschap is ontvangen, maar de switch is niet van toepassing/verwerkt die eigenschap.

Verschil ten opzichte van DACL

Zoals opgemerkt in Cisco bug-ID CSCut25702 gedraagt de ACL-opdracht per gebruiker zich anders dan DACL. DACL met slechts één ingang ("vergunning ip elk") en één die op een haven wordt aangesloten kan correct werken zonder IP apparaat dat volgde toegelaten. Het argument "any" zal niet worden vervangen en alle verkeer zal zijn toegestaan. Voor de Per-User ACL is het echter verplicht om IP-apparaat in de gaten te houden. Als het kinderslot is uitgeschakeld en als er alleen "vergunning is verleend" op de machine staat en één aanvrager, dan is al het verkeer geblokkeerd.

IP-apparaattracering met 802.1x en filter-ID ACL voor versie 15.x

Ook kan het IETF-attribuut filter-id [11] worden gebruikt. De AAA-server retourneert de ACL-naam, die lokaal op de switch moet worden gedefinieerd. Het ISE-profiel kan er zo uitzien:

Let erop dat u de richting (in of uit) moet opgeven. Daartoe moet de eigenschap handmatig worden toegevoegd:

Vervolgens wordt het debug weergegeven:

debug epm all

Apr 12 23:41:05.170: EPM_SESS_EVENT:Filter-Id : Filter-ACL received

Apr 12 23:41:05.170: EPM_SESS_EVENT:Notifying PD regarding Policy (NAMED ACL)

application on the interface GigabitEthernet1/0/1

Dat ACL ook wordt weergegeven voor de geauthentiseerde sessie:

bsns-3750-5#show authentication sessions interface g1/0/1

Interface:  GigabitEthernet1/0/1

MAC Address:  0050.5699.4ea1

IP Address:  192.168.2.200

User-Name:  cisco

Status:  Authz Success

Domain:  DATA

Security Policy:  Should Secure

Security Status:  Unsecure

Oper host mode:  multi-auth

Oper control dir:  both

Authorized By:  Authentication Server

Vlan Policy:  20

Filter-Id:  Filter-ACL

Session timeout:  N/A

Idle timeout:  N/A

Common Session ID:  C0A800010000059E47B77481

Acct Session ID:  0x00000733

Handle:  0x5E00059F

Runnable methods list:

Method   State

dot1x    Authc Success

mab      Not run

En, zoals ACL aan de interface wordt gebonden:

bsns-3750-5#show ip access-lists interface g1/0/1

permit icmp host 192.168.2.200 any log

permit tcp host 192.168.2.200 any log

Merk op dat deze ACL met andere typen ACL’s op dezelfde interface kan worden samengevoegd. Bijvoorbeeld, hebben op dezelfde switch poort een andere leverancier die DACL van ISE krijgt:  " elke willekeurige vergunning overslaan " , zie :

bsns-3750-5#show ip access-lists interface g1/0/1

permit icmp host 192.168.2.200 any log

permit tcp host 192.168.2.200 any log

permit ip host 192.168.10.12 any

Merk op dat het IP-apparaat dat de bron-IP voor elke bron (smeekbede) herschrijft.

En de "out" filterlijst? Opnieuw (als ACL-gebruiker) wordt het niet door de switch gebruikt.

IP-apparaattracering - standaardwaarden en optimale praktijken

Voor releases eerder dan 15.2(1)E, voordat een functie IPDT kan gebruiken, moet deze globaal eerst met deze CLI-opdracht ingeschakeld zijn:

(config)#ip device tracking

Voor releases 15.2(1)E en later is de ip-opdracht voor het traceren van apparatuur niet meer nodig. IPDT is alleen ingeschakeld als een functie die ervan afhankelijk is, dit toelaat. Als geen optie IPDT toelaat, is IPDT uitgeschakeld. De opdracht "geen ip device tracking" heeft geen effect. De specifieke optie heeft de controle om IPDT in/uit te schakelen.

Wanneer u IPDT toelaat, moet u over de "Dubbel IP Adres" kwestie op herinneren. Zie foutmeldingen "Dubbele IP-adres 0.0.0.0" voor meer informatie voor probleemoplossing.

Aanbevolen wordt om IPDT op een boomstampoort uit te schakelen:

(config-if)# no ip device tracking

In het latere Cisco IOS, is het een andere opdracht:

(config-if)# ip device tracking maximum 0

Het wordt aanbevolen om IPDT in te schakelen op de toegangpoort en om ARP-problemen uit te stellen om de kwestie van "Dubbel IP-adres" te voorkomen:

(config-if)# ip device tracking probe delay 10

Interface ACL-herschrijven voor versie 15.x

Voor interface ACL, werkt het vóór authenticatie:

interface GigabitEthernet1/0/2

description windows7

switchport mode access

ip access-group test1 in

authentication order mab dot1x

authentication port-control auto

mab

dot1x pae authenticator

end

bsns-3750-5#show ip access-lists test1

Extended IP access list test1

10 permit tcp any any log-input

Nadat verificatie heeft gefaald, wordt deze herschreven (opheffing) door ACL die van de AAA server is teruggekeerd (het maakt niet uit of het DACL, ip:inacl, of Filter is).

Dat ACL (test1) het verkeer kan blokkeren (wat normaal gesproken is toegestaan in de open modus), maar na verificatie doet het er niet meer toe. Zelfs wanneer geen ACL van de AAA server wordt teruggegeven, wordt de interface ACL overschreven en volledige toegang verleend. Dat is een beetje misleidend omdat Ternary Content Adressable Memory (TCAM) aangeeft dat ACL nog steeds op het interfaceniveau is gebonden. Hier is een voorbeeld uit versie 15.2.2 van 3750X:

bsns-3750-6#show platform acl portlabels interface g1/0/2

Port based ACL: (asic 1)

----------------------------

Input Label:  5    Op Select Index: 255

Interface(s): Gi1/0/2

Access Group: test1, 4 VMRs

Ip Portal: 0 VMRs

IP Source Guard: 0 VMRs

LPIP: 0 VMRs

AUTH: 0 VMRs

C3PLACL: 0 VMRs

MAC Access Group: (none), 0 VMRs

Deze informatie is alleen geldig voor het interfaceniveau en niet voor het sessieniveau. Meer informatie (voor een samengestelde ACL) kan worden afgeleid uit:

bsns-3750-6#show ip access-lists interface g1/0/2

permit ip host 192.168.1.203 any

Extended IP access list test1

10 permit icmp host 2.2.2.2 host 1.1.1.1

De eerste ingang wordt gecreëerd aangezien "vergunning ip om het even welke"DACL voor succesvolle authenticatie wordt teruggegeven (en "om het even welk" wordt vervangen door een ingang van de apparaat tracking tabel). De tweede vermelding is het resultaat van de interface-ACL en wordt toegepast op alle nieuwe authenticaties (vóór autorisatie).

Helaas (opnieuw platform afhankelijk) worden beide ACL’s aaneengezet. Dat gebeurt bij versie 15.2.2 op 3750X. Dat betekent dat ze beide worden toegepast voor toegestane sessies. Eerst de DACL en tweede de interface ACL. Dat is waarom wanneer u expliciete "IP om het even welk"toevoegt, zal DACL geen interface ACL in overweging nemen. Meestal is er geen expliciete ontkenning in de DACL en dan wordt de interface ACL toegepast.

Het gedrag voor versie 15.0.2 op 3750X is het zelfde, maar het sh ip access-list opdracht toont de interface ACL niet meer (maar het zal nog steeds aaneengezet worden met de interface ACL tenzij expliciet ontkennen in de DACL bestaat).

Standaard ACL gebruikt voor 802.1x

Er zijn twee soorten standaard ACL’s:

- Standaard ACL-OPEN (ACL) - gebruikt voor open modus

- ACL-standaard (automatisch ACL) - gebruikt voor afgesloten toegang

Zowel auth-default-ACL als auth-default-ACL-(ACL-standaard) ACL-OPEN worden gebruikt wanneer de poort zich in onbevoegde toestand bevindt. Standaard wordt de gesloten toegang gebruikt. Dat betekent dat voor verificatie al het verkeer is gevallen behalve het verkeer dat is toegestaan door de auth-default-ACL. Op deze manier is het DHCP-verkeer toegestaan voordat een autorisatie is geslaagd. Het IP-adres wordt toegewezen en de gedownload DACL kan correct worden toegepast. Dat ACL automatisch wordt gecreëerd en niet in de configuratie kan worden gevonden.

bsns-3750-5#sh run | i Auth-Default

bsns-3750-5#sh ip access-lists Auth-Default-ACL

Extended IP access list Auth-Default-ACL

10 permit udp any range bootps 65347 any range bootpc 65348 (22 matches)

20 permit udp any any range bootps 65347 (12 matches)

30 deny ip any any

Het wordt dynamisch gecreëerd voor de eerste authenticatie (tussen authenticatie en autorisatie) en verwijderd nadat de laatste sessie is verwijderd.

Auth-Default-ACL maakt alleen DHCP-verkeer mogelijk. Nadat de verificatie heeft plaatsgevonden en de nieuwe DACL is gedownload, wordt deze op die sessie toegepast.Wanneer de modus wordt gewijzigd in open auth-default-ACL-OPEN (ACL) wordt weergegeven en het wordt gebruikt en werkt op precies dezelfde manier als Auto-Default-ACL:

bsns-3750-5(config)#int g1/0/2

bsns-3750-5(config-if)#authentication open

bsns-3750-5#show ip access-lists

Extended IP access list Auth-Default-ACL-OPEN

10 permit ip any any

Beide ACL’s kunnen worden aangepast, maar worden nooit in de configuratie gezien.

bsns-3750-5(config)#ip access-list extended Auth-Default-ACL

bsns-3750-5(config-ext-nacl)#permit udp any any

bsns-3750-5#sh ip access-lists

Extended IP access list Auth-Default-ACL

10 permit udp any range bootps 65347 any range bootpc 65348 (22 matches)

20 permit udp any any range bootps 65347 (16 matches)

30 deny ip any any

40 permit udp any any

bsns-3750-5#sh run | i Auth-Def

bsns-3750-5#

Open modus

In de vorige sectie wordt het gedrag voor ACL’s beschreven (inclusief het gedrag dat standaard voor open modus wordt gebruikt). Het gedrag voor de open modus is:

- het staat voor al verkeer (zoals per standaard auto-standaard-ACL-OPEN) toe wanneer de sessie in onbevoegde staat is.

- de sessie is in een onbevoegde staat tijdens verificatie/autorisatie (goed voor laarsscenario's van het Encryption Appliance Model E (PXE)) of nadat dat proces faalt (goed voor scenario's die "low-impact mode" worden genoemd).

- Wanneer de sessie naar de geautoriseerde status voor meerdere platforms wordt verplaatst, worden ACL’s aaneengezet en wordt de eerste DACL gebruikt, dan wordt de interface-ACL gebruikt.

- voor meerdere auth of meerdere domeinen kunnen er tegelijkertijd meerdere sessies in verschillende staten zijn (dan is het verschillende ACL-type van toepassing voor elke sessie).

Wanneer de interface-ACL verplicht is

Voor meerdere 6500/4500 platforms is de interface ACL verplicht om de DACL correct toe te passen.

Hier is een voorbeeld met 4500 sup2 12.2.53SG6, geen interface-ACL:

brisk#show run int g2/3

!

interface GigabitEthernet2/3

switchport mode access

switchport voice vlan 10

authentication host-mode multi-auth

authentication open

authentication order mab dot1x

authentication priority dot1x mab

authentication port-control auto

mab

Nadat de host is geauthentiseerd, wordt de DACL gedownload. Het zal niet worden toegepast en de vergunning faalt.

*Apr 25 04:38:05.239: RADIUS: Received from id 1645/19 10.48.66.74:1645, Access-Accept,

len 209

*Apr 25 04:38:05.239: RADIUS:  authenticator 35 8E 59 E4 D5 CF 8F 9A -

EE 1C FC 5A 9F 67 99 B2

*Apr 25 04:38:05.239: RADIUS:  User-Name           [1]   41

"#ACSACL#-IP-PERMIT_ALL_TRAFFIC-51ef7db1"

*Apr 25 04:38:05.239: RADIUS:  State               [24]  40

*Apr 25 04:38:05.239: RADIUS:   52 65 61 75 74 68 53 65 73 73 69 6F 6E 3A 30 61

[ReauthSession:0a]

*Apr 25 04:38:05.239: RADIUS:   33 30 34 32 34 61 30 30 30 45 46 35 30 46 35 33

[30424a000EF50F53]

*Apr 25 04:38:05.239: RADIUS:   35 41 36 36 39 33            [ 5A6693]

*Apr 25 04:38:05.239: RADIUS:  Class               [25]  54

*Apr 25 04:38:05.239: RADIUS:   43 41 43 53 3A 30 61 33 30 34 32 34 61 30 30 30

[CACS:0a30424a000]

*Apr 25 04:38:05.239: RADIUS:   45 46 35 30 46 35 33 35 41 36 36 39 33 3A 69 73

[EF50F535A6693:is]

*Apr 25 04:38:05.239: RADIUS:   65 32 2F 31 38 30 32 36 39 35 33 38 2F 31 32 38

[e2/180269538/128]

*Apr 25 04:38:05.239: RADIUS:   36 35 35 33              [ 6553]

*Apr 25 04:38:05.239: RADIUS:  Message-Authenticato[80]  18

*Apr 25 04:38:05.239: RADIUS:   AF 47 E2 20 65 2F 59 39 72 9A 61 5C C5 8B ED F5

[ G e/Y9ra\]

*Apr 25 04:38:05.239: RADIUS:  Vendor, Cisco       [26]  36

*Apr 25 04:38:05.239: RADIUS:   Cisco AVpair       [1]   30

"ip:inacl#1=permit ip any any"

*Apr 25 04:38:05.239: RADIUS(00000000): Received from id 1645/19

*Apr 25 04:38:05.247: EPM_SESS_ERR:Failed to apply ACL to interface

*Apr 25 04:38:05.247: EPM_API:In function epm_send_message_to_client

*Apr 25 04:38:05.247: EPM_SESS_EVENT:Sending response message to process

AUTH POLICY Framework

*Apr 25 04:38:05.247: EPM_SESS_EVENT:Returning feature config

*Apr 25 04:38:05.247: EPM_API:In function epm_acl_feature_free

*Apr 25 04:38:05.247: EPM_API:In function epm_policy_aaa_response

*Apr 25 04:38:05.247: EPM_FSM_EVENT:Event epm_ip_wait_event state changed from

policy-apply to ip-wait

*Apr 25 04:38:05.247: EPM_API:In function epm_session_action_ip_wait

*Apr 25 04:38:05.247: EPM_API:In function epm_send_ipwait_message_to_client

*Apr 25 04:38:05.247: EPM_SESS_ERR:NULL feature list for client ctx 1B2694B0

for type DOT1X

*Apr 25 04:38:05.247: %AUTHMGR-5-FAIL: Authorization failed for client

(0007.5032.6941) on Interface Gi2/3

AuditSessionID 0A304345000000060012C050

brisk#show authentication sessions

Interface  MAC Address     Method   Domain   Status         Session ID

Gi2/3      0007.5032.6941  mab      VOICE    Authz Failed   0A304345000000060012C050

Nadat de interface ACL is toegevoegd:

brisk#show ip access-lists all

Extended IP access list all

10 permit ip any any (63 matches)

brisk#sh run int g2/3

!

interface GigabitEthernet2/3

switchport mode access

switchport voice vlan 10

ip access-group all in

authentication host-mode multi-auth

authentication open

authentication order mab dot1x

authentication priority dot1x mab

authentication port-control auto

mab

De authenticatie en autorisatie zullen slagen en de DACL zal correct worden toegepast:

brisk#show authentication sessions

Interface  MAC Address     Method   Domain   Status         Session ID

Gi2/3      0007.5032.6941  mab      VOICE    Authz Success  0A30434500000008001A2CE4

Het gedrag is niet afhankelijk van "authenticatie open". Om de DACL te aanvaarden, hebt u de interface ACL voor zowel open/gesloten modus nodig.

DACL op 4500/6500

Op de 4500/6500, wordt DACL toegepast met acl_snoop DACLs. Hier wordt een voorbeeld met 4500 sup2 12.2.53SG6 (telefoon + PC) weergegeven. Er is een afzonderlijke ACL voor spraak (10) en gegevens (100) VLAN:

brisk#show ip access-lists

Extended IP access list acl_snoop_Gi2/3_10

10 permit ip host 192.168.2.200 any

20 deny ip any any

Extended IP access list acl_snoop_Gi2/3_100

10 permit ip host 192.168.10.12 any

20 deny ip any any

ACL’s zijn specifiek omdat IPDT de juiste items heeft:

brisk#show ip device tracking all

IP Device Tracking = Enabled

IP Device Tracking Probe Count = 3

IP Device Tracking Probe Interval = 30

IP Device Tracking Probe Delay Interval = 0

---------------------------------------------------------------------

IP Address     MAC Address   Vlan  Interface              STATE

---------------------------------------------------------------------

192.168.10.12   0007.5032.6941  100  GigabitEthernet2/3     ACTIVE

192.168.2.200   000c.29d7.0617  10   GigabitEthernet2/3     ACTIVE

Verifieerde sessies bevestigen de adressen:

brisk#show authentication sessions int g2/3

Interface:  GigabitEthernet2/3

MAC Address:  000c.29d7.0617

IP Address:  192.168.2.200

User-Name:  00-0C-29-D7-06-17

Status:  Authz Success

Domain:  VOICE

Oper host mode:  multi-auth

Oper control dir:  both

Authorized By:  Authentication Server

Vlan Policy:  N/A

Session timeout:  N/A

Idle timeout:  N/A

Common Session ID:  0A3043450000003003258E0C

Acct Session ID:  0x00000034

Handle:  0x54000030

Runnable methods list:

Method   State

mab      Authc Success

dot1x    Not run

----------------------------------------

Interface:  GigabitEthernet2/3

MAC Address:  0007.5032.6941

IP Address:  192.168.10.12

User-Name:  00-07-50-32-69-41

Status:  Authz Success

Domain:  DATA

Oper host mode:  multi-auth

Oper control dir:  both

Authorized By:  Authentication Server

Vlan Policy:  N/A

Session timeout:  N/A

Idle timeout:  N/A

Common Session ID:  0A3043450000002E031D1DB8

Acct Session ID:  0x00000032

Handle:  0x4A00002E

Runnable methods list:

Method   State

mab      Authc Success

dot1x    Not run

In dit stadium reageren zowel de PC als de telefoon op ICMP echo, maar de interface ACL presenteert slechts:

brisk#show ip access-lists interface g2/3

permit ip host 192.168.10.12 any

Waarom? Omdat de DACL alleen (192.168.10.12) is geduwd. Voor de PC, wordt de interface ACL met open modus gebruikt:

interface GigabitEthernet2/3

ip access-group all in

authentication open

brisk#show ip access-lists all

Extended IP access list all

10 permit ip any any (73 matches)

Samengevat zal acl_snoop voor zowel de PC als de telefoon worden gemaakt, maar de DACL wordt slechts voor de telefoon teruggegeven. Dat is de reden dat ACL als bindmiddel aan de interface wordt gezien.

MAC-adresstatus voor 802.1x

Wanneer 802.1x authenticatie start, wordt het MAC-adres nog steeds gezien als DYNAMIC maar actie voor dat pakje is DROP:

bsns-3750-5#show authentication sessions

Interface  MAC Address     Method   Domain   Status         Session ID

Gi1/0/1    0007.5032.6941  dot1x    UNKNOWN  Running        C0A8000100000596479F4DCE

bsns-3750-5#show mac  address-table interface g1/0/1

Mac Address Table

-------------------------------------------

Vlan    Mac Address       Type        Ports

----    -----------       --------    -----

100    0007.5032.6941    DYNAMIC     Drop

Total Mac Addresses for this criterion: 1

Na succesvolle verificatie wordt het MAC-adres statisch en wordt het poortnummer verstrekt:

bsns-3750-5#show authentication sessions

Interface  MAC Address     Method   Domain   Status         Session ID

Gi1/0/1    0007.5032.6941  mab      VOICE    Authz Success  C0A8000100000596479F4DCE

bsns-3750-5#show mac address-table interface g1/0/1

Mac Address Table

-------------------------------------------

Vlan    Mac Address       Type        Ports

----    -----------       --------    -----

100    0007.5032.6941    STATIC      Gi1/0/1

Dit geldt voor alle mab/dot1x-sessie voor beide domeinen (VOICE/DATA).

Problemen oplossen

Denk eraan om de 802.1x-configuratiegids voor uw specifieke softwareversie en -platform te lezen.

Als u een TAC-case opent, specificeert u de uitvoer van deze opdrachten:

- toontechniek

- details tonen van een verificatiesessie-interface <xx>

- interface voor hoofdadres en tabel tonen <xx>

Het is ook goed om een SPAN-poortopname en deze debugs te verzamelen:

- straal van het debug

- debug epm

- debug van verificatie

- dot1x debug

- debug-verificatie optie <yy> all

- debug van verificatie

- debug AAA-autorisatie

Gerelateerde informatie

- Configuratie-gids voor 802.1X verificatieservices, Cisco IOS XE release 3SE (Catalyst 3850 Switches)

- Software voor Catalyst 3750-X en Catalyst 3560-X Switch, configuratie Guide, Cisco IOS release 15.2(1)E

- Catalyst 3750-X en 3560-X softwarerelease 15.0(1)SE

- Catalyst 3560-softwarerelease 12.2(52)SE

- Technische ondersteuning en documentatie – Cisco Systems