| Feature |
standaardinstelling |
|---|---|
| Switch 802.1x staat inschakelen |
Uitgeschakeld. |
| Per poort 802.1x staat inschakelen |
Uitgeschakeld (onder dwang toegestaan). De poort verzendt en ontvangt normaal verkeer zonder 802.1x-gebaseerde verificatie van de client. |
| AAA |
Uitgeschakeld. |
| RADIUS-server
|
|
| Hostmodus |
Single-host-modus. |
| Bedieningsrichting |
Bidirectionele controle. |
| Periodieke herverificatie |
Uitgeschakeld. |
| Aantal seconden tussen herverificatiepogingen |
3600 seconden. |
| Herverificatienummer |
Twee keer (het aantal keren dat de switch het verificatieproces opnieuw start voordat de poort verandert in de niet-geautoriseerde status). |
| Rustige periode |
60 seconden (aantal seconden dat de switch in de stille toestand blijft na een mislukte verificatiewisseling met de client). |
| Retransmissietijd |
30 seconden (aantal seconden dat de switch wacht op een antwoord op een EAP-verzoek/identiteitsframe van de client voordat hij het verzoek opnieuw verzendt). |
| Maximaal doorgiftenummer |
Twee keer (het aantal keren dat de switch een EAP-verzoek/identiteitsframe verzendt voordat het verificatieproces opnieuw wordt gestart). |
| Time-outperiode voor client |
30 seconden (bij het doorgeven van een verzoek van de verificatieserver aan de client, de hoeveelheid tijd die de switch wacht op een antwoord voordat hij het verzoek opnieuw naar de client verzendt). |
| Time-outperiode voor verificatieserver |
30 seconden (bij het doorgeven van een antwoord van de client aan de verificatieserver, de hoeveelheid tijd die de switch wacht op een antwoord voordat hij het antwoord opnieuw naar de server stuurt). U kunt deze time-outperiode wijzigen met de opdracht voor de configuratie van de dot1x timeout-server-timeout-interface. |
| Time-out bij inactiviteit |
Uitgeschakeld. |
| Gast-VLAN |
Geen opgegeven. |
| Ontoegankelijke bypass voor verificatie |
Uitgeschakeld. |
| Beperkt VLAN |
Geen opgegeven. |
| Authenticator (switch)-modus |
Geen opgegeven. |
| MAC-verificatiebypass |
Uitgeschakeld. |
| Spraakbewuste beveiliging |
Uitgeschakeld. |
Problemen oplossen met Dot1x op Switches uit de Catalyst 9000-reeks
Inhoud
Inleiding
In dit document wordt beschreven hoe u 802.1x Network Access Control (NAC) kunt configureren, valideren en problemen kunt oplossen op switches uit de Catalyst 9000-reeks.
Voorwaarden
Vereisten
Cisco raadt kennis van de volgende onderwerpen aan.
- Catalyst 9000 Series switches
- Identity Services Engine (ISE)
Gebruikte componenten
De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:
- Catalyst 9300
- Catalyst 9400
- Catalyst 9500
- Catalyst 9600
- Cisco IOS® XE 17.6.x en hoger
- ISE-VM-K9 versie 3.0.0.458
De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.
Opmerking: raadpleeg de juiste configuratiehandleiding voor de opdrachten die worden gebruikt om deze functies op andere Cisco-platforms in te schakelen.
Achtergrondinformatie
De 802.1x-standaard definieert een client-server-gebaseerd toegangscontrole- en verificatieprotocol dat voorkomt dat onbevoegde clients verbinding maken met een LAN via openbaar toegankelijke poorten, tenzij ze correct zijn geverifieerd. De verificatieserver verifieert elke client die is aangesloten op een switch-poort voordat de services die door de switch of het LAN worden aangeboden, beschikbaar worden gesteld.
802.1x-verificatie bestaat uit drie verschillende componenten:
Aanvrager - Klant die inloggegevens voor verificatie indient
Authenticator - Het netwerkapparaat dat netwerkconnectiviteit biedt tussen de client en het netwerk en netwerkverkeer kan toestaan of blokkeren.
Authenticatieserver: een server die verzoeken om netwerktoegang kan ontvangen en beantwoorden, vertelt de verificateur of de verbinding kan worden toegestaan en verschillende andere instellingen die van toepassing zijn op de verificatiesessie.
Het beoogde publiek voor dit document zijn ingenieurs en ondersteunend personeel die niet noodzakelijkerwijs op beveiliging gericht zijn. Raadpleeg de juiste configuratiehandleiding voor meer informatie over 802.1x-poortgebaseerde verificatie en componenten zoals ISE.
Basisconfiguratie
In dit gedeelte wordt de basisconfiguratie beschreven die vereist is voor de implementatie van 802.1x-poortgebaseerde verificatie. Aanvullende uitleg over functies vindt u op het tabblad Addendum van dit document. Er zijn kleine verschillen in configuratienormen van versie tot versie. Valideer uw configuratie aan de hand van uw huidige versie van de configuratiehandleiding.
Authenticatie, autorisatie en boekhouding (AAA) moeten worden ingeschakeld voordat de 802.1x-poortgebaseerde verificatie wordt geconfigureerd en er moet een lijst met methoden worden opgesteld.
- Methodelijsten beschrijven de volgorde en verificatiemethode die moeten worden opgevraagd om een gebruiker te verifiëren.
- 802.1x moet ook wereldwijd worden ingeschakeld.
C9300> enable
C9300# configure terminal
C9300(config)# aaa new-model
C9300(config)# aaa authentication dot1x default group radius
C9300(config)# dot1x system-auth-control
Een RADIUS-server op de switch definiëren.
C9300(config)# radius server RADIUS_SERVER_NAME
C9300(config-radius-server)# address ipv4 10.0.1.12
C9300(config-radius-server)# key rad123
C9300(config-radius-server)# exit
Schakel 802.1x in op de clientinterface.
C9300(config)# interface TenGigabitEthernet 1/0/4
C9300(config-if)# switchport mode access
C9300(config-if)# authentication port-control auto
C9300(config-if)# dot1x pae authenticator
C9300(config-if)# end
IBNS 2.0
Identity-Based Networking Services (IBNS) 2.0 bouwt voort op en vervangt het traditionele IBNS 1.0-framework. De complexiteit en configuratie van IBNS 1.0 wordt aangepakt door de introductie van een meer gestroomlijnde en krachtige beleidsengine genaamd Access Session Manager.
IBNS 2.0-configuratie
- Om IBNS 2.0 in te schakelen, moet u de opdracht uitvoeren in de privilegemodus op uw Cisco-switch:
#authentication display new-style
- Configureer de switchport voor IBNS 2.0 met de volgende opdrachten:
access-session host-mode {single-host | multi-domain | multi-auth | multi-host}
access-session port-control auto
dot1x pae authenticator
{mab}
service-policy type control subscriber TEST
Deze opdrachten maken dot1x-verificatie mogelijk en optioneel MAC-verificatie-bypass (MAB) op de interface.
Wanneer u de nieuwe syntaxis gebruikt, gebruikt u opdrachten die beginnen met de toegangssessie.
Het doel van die opdrachten is hetzelfde als voor opdrachten die oude syntaxis gebruiken (beginnend met het zoekwoord voor verificatie).
Pas het servicebeleid toe om de beleidskaart op te geven die voor de interface kan worden gebruikt.
- De genoemde policy-map definieert het gedrag van de switch (authenticator) tijdens de authenticatie.
U kunt bijvoorbeeld opgeven wat er kan gebeuren als de verificatie mislukt.
Voor elke gebeurtenis kunt u meerdere acties configureren op basis van het type gebeurtenis dat overeenkomt met de klassenkaart die eronder is geconfigureerd.
Neem bijvoorbeeld een kijkje in de lijst zoals getoond (policy-map TEST).
Als dot1x-eindpunt, dat is verbonden met de interface waarop dit beleid wordt toegepast, mislukt, wordt de actie die is gedefinieerd in DOT1X_FAILED uitgevoerd.
Als u hetzelfde gedrag wilt opgeven voor klassen zoals MAB_FAILED en DOT1X_FAILED, kunt u standaard class - 'class-map' altijd gebruiken.
policy-map type control subscriber TEST
(...)
event authentication-failure match-first
10 class DOT1X_FAILED do-until-failure
10 terminate dot1x
(...)
40 class always do-until-failure
10 terminate mab
20 terminate dot1x
30 authentication-restart 60
(...)
- Beleidskaart gebruikt voor IBNS 2.0 moet altijd type controle abonnee hebben.
U kunt de lijst met beschikbare evenementen op deze manier bekijken:
Switch(config-event-control-policymap)#event ?
aaa-available aaa-available event
absolute-timeout absolute timeout event
agent-found agent found event
authentication-failure authentication failure event
authentication-success authentication success event
authorization-failure authorization failure event
authorization-success authorization success event
identity-update identity update event
inactivity-timeout inactivity timeout event
remote-authentication-failure authentication failure event
remote-authentication-success authentication remote success event
remote-update update from remote device
session-disconnected session disconnected event
session-started session started event
tag-added tag to apply event
tag-removed tag to remove event
template-activated template activated event
template-activation-failed template activation failed event
template-deactivated template deactivated event
template-deactivation-failed template deactivation failed event
timer-expiry timer-expiry event
violation session violation event
- In geval van configuratie, heb je de mogelijkheid om te definiëren hoe klassen kunnen worden geëvalueerd:
Switch(config-event-control-policymap)#event authentication-failure ?
match-all Evaluate all the classes
match-first Evaluate the first class
- U kunt vergelijkbare opties voor class-maps definiëren, hoewel u hier opgeeft hoe acties kunnen worden uitgevoerd in het geval dat uw klasse wordt gematcht:
Switch(config-class-control-policymap)#10 class always ?
do-all Execute all the actions
do-until-failure Execute actions until one of them fails
do-until-success Execute actions until one of them is successful
- Laatste deel (optioneel) van de configuratie in de nieuwe stijl van dot1x is class-map.
Het kan ook type besturingselement abonnee, en het wordt gebruikt om specifieke gedrag of verkeer overeenkomen.
Configureer de vereisten voor de evaluatie van de toestand van de class-map.
U kunt opgeven dat alle voorwaarden of een voorwaarde moet worden afgestemd, of geen van de voorwaarden overeenkomen.
Switch(config)#class-map type control subscriber ?
match-all TRUE if everything matches in the class-map
match-any TRUE if anything matches in the class-map
match-none TRUE if nothing matches in the class-map
- Dit is een voorbeeld van een class-map die wordt gebruikt voor het matchen van dot1x-verificatiefouten:
class-map type control subscriber match-all DOT1X_FAILED
match method dot1x
match result-type method dot1x authoritative
- Voor meer informatie over IBMS 2.0, kunt u verwijzen naar deze handleidingen:
https://www.cisco.com/c/en/us/support/docs/switches/catalyst-3750-x-series-switches/207193-Configure-IBNS-2-0-for-Single-Host-and-M.html
Configuratie en bewerkingen controleren
In dit gedeelte vindt u achtergrondinformatie over 801.1x en hoe u de configuratie en bewerkingen kunt controleren.
Introductie tot 802.1x
802.1x omvat twee verschillende soorten verkeer: client-to-point-verkeer via EAPoL (Extensible Authentication Protocol over LAN) en verkeer via Authenticator-to-point Authentication Server dat via RADIUS is ingekapseld.
Dit diagram vertegenwoordigt de gegevensstroom voor een eenvoudige dot1x-transactie.
De Authenticator (switch) en Authentication Server (ISE, bijvoorbeeld) worden vaak gescheiden door Layer 3. RADIUS-verkeer wordt over het netwerk geleid tussen de verificator en de server. EAPoL-verkeer wordt uitgewisseld op de directe link tussen aanvrager (client) en authenticator.
Merk op dat MAC learning plaatsvindt na authenticatie en autorisatie.
Hier zijn een paar vragen om in gedachten te houden als u een probleem benadert dat 802.1x omvat:
- Is het correct geconfigureerd?
- Is de verificatieserver bereikbaar?
- Wat is de status van Authentication Manager?
- Zijn er problemen met pakketlevering tussen client en authenticator of tussen authenticator en authenticatieserver?
Configuratie
Sommige configuraties variëren enigszins tussen de belangrijkste releases. Raadpleeg de relevante configuratiegids voor platform-/codespecifieke richtlijnen.
AAA moet zodanig zijn geconfigureerd dat 802.1x-poortgebaseerde verificatie wordt gebruikt.
Voor 'dot1x' moet een lijst met verificatiemethoden worden opgesteld. Dit is een algemene AAA-configuratie waarbij 802.1X is ingeschakeld.
C9300#show running-config | section aaa aaa new-model <-- This enables AAA. aaa group server radius ISEGROUP <-- This block establishes a RADIUS server group named "ISEGROUP". server name DOT1x ip radius source-interface Vlan1 aaa authentication dot1x default group ISEGROUP <-- This line establishes the method list for 802.1X authentication. Group ISEGROUP is be used. aaa authorization network default group ISEGROUP aaa accounting update newinfo periodic 2880 aaa accounting dot1x default start-stop group ISEGROUP
C9300#show running-config | section radius aaa group server radius ISEGROUP server name DOT1x ip radius source-interface Vlan1 <-- Notice 'ip radius source-interface' configuration exists in both global configuration and the aaa server group block. These need to agree if configured in both places. ip radius source-interface Vlan1 radius server DOT1x address ipv4 10.122.141.228 auth-port 1812 acct-port 1813 <-- 1812 and 1813 are default auth-port and acct-port, respectively. key secretKey
Dit is een voorbeeld van een interfaceconfiguratie waarbij 802.1x is ingeschakeld. MAB (MAC Authentication Bypass) is een veelgebruikte back-upmethode voor het verifiëren van clients die geen ondersteuning bieden voor dot1x-aanvragers.
C9300#show running-config interface te1/0/4 Building configuration... Current configuration : 148 bytes ! interface TenGigabitEthernet1/0/4 switchport access vlan 50 switchport mode access
authentication order dot1x mab <-- Specifies authentication order, dot1x and then mab
authentication priority dot1x mab <-- Specifies authentication priority, dot1x and then mab authentication port-control auto <-- Enables 802.1x dynamic authentication on the port
mab <-- Enables MAB dot1x pae authenticator <-- Puts interface into "authenticator" mode. end
Bepaal of een MAC-adres wordt geleerd op de interface met de interface show mac address-table <interface>. De interface leert alleen een MAC-adres wanneer het met succes is geverifieerd.
C9300#show mac address-table interface te1/0/4
Mac Address Table
-------------------------------------------
Vlan Mac Address Type Ports
---- ----------- -------- -----
50 0800.2766.efc7 STATIC Te1/0/4 <-- The "type" is STATIC and the MAC persists until the authentication session is cleared.
Total Mac Addresses for this criterion: 1
Verificatiesessie
Opdrachten weergeven zijn beschikbaar voor de validatie van 802.1x-verificatie.
Gebruik verificatiesessies weergeven of verificatiesessies <interface> om informatie over de huidige verificatiesessies weer te geven. In dit voorbeeld is alleen Te1/0/4 voorzien van een actieve verificatiesessie.
C9300#show authentication sessions interface te1/0/4
Interface MAC Address Method Domain Status Fg Session ID
--------------------------------------------------------------------------------------------
Te1/0/4 0800.2766.efc7 dot1x DATA Auth 13A37A0A0000011DC85C34C5 <-- "Method" and "Domain" in this example are dot1x and DATA, respectively. Multi-domain authentication is supported.
Key to Session Events Blocked Status Flags:
A - Applying Policy (multi-line status for details)
D - Awaiting Deletion
F - Final Removal in progress
I - Awaiting IIF ID allocation
P - Pushed Session
R - Removing User Profile (multi-line status for details)
U - Applying User Profile (multi-line status for details)
X - Unknown Blocker
Runnable methods list:
Handle Priority Name
13 5 dot1xSup
1 5 dot1x
2 10 webauth
14 15 mab
Verificatiesessies weergeven Interfacedetails <interface> bevatten aanvullende details over een specifieke interfaceverificatiesessie.
C9300#show authentication session interface te1/0/4 details
Interface: TenGigabitEthernet1/0/4
IIF-ID: 0x14D66776
MAC Address: 0800.2766.efc7
IPv6 Address: Unknown
IPv4 Address: Unknown
User-Name: alice
Status: Authorized
Domain: DATA
Oper host mode: multi-auth
Oper control dir: both
Session timeout: N/A
Acct update timeout: 172800s (local), Remaining: 152363s
Common Session ID: 13A37A0A0000011DC85C34C5
Acct Session ID: 0x00000002
Handle: 0xe8000015
Current Policy: POLICY_Te1/0/4 <-- If a post-authentication ACL is applied, it is listed here.
Local Policies:
Service Template: DEFAULT_LINKSEC_POLICY_SHOULD_SECURE (priority 150)
Security Policy: Should Secure
Server Policies:
Method status list:
Method State
dot1x Authc Success <-- This example shows a successful 802.1x authentication session.
Als verificatie is ingeschakeld op een interface maar er geen actieve sessie is, wordt de lijst met uitvoerbare methoden weergegeven. Er wordt ook 'Geen sessies overeenkomen met opgegeven criteria' weergegeven.
C9300#show authentication sessions interface te1/0/5
No sessions match supplied criteria.
Runnable methods list:
Handle Priority Name
13 5 dot1xSup
1 5 dot1x
2 10 webauth
14 15 mab
Als er geen verificatie is ingeschakeld in de interface, wordt er geen aanwezigheid van Auth Manager gedetecteerd in de interface. Er wordt ook 'Geen sessies overeenkomen met opgegeven criteria' weergegeven.
C9300#show authentication sessions interface te1/0/6
No sessions match supplied criteria.
No Auth Manager presence on this interface
Bereikbaarheid tot verificatieserver
De bereikbaarheid van de verificatieserver is een voorwaarde voor succes van de 802.1x-verificatie.
Gebruik ping <server_ip> voor een snelle test van de bereikbaarheid. Zorg ervoor dat uw ping afkomstig is van de RADIUS-broninterface.
C9300#ping 10.122.141.228 source vlan 1 Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 10.122.141.228, timeout is 2 seconds: Packet sent with a source address of 10.122.163.19 !!!!! Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms
De opdracht show aaa servers identificeert de status van de server en biedt statistieken over transacties met alle geconfigureerde AAA servers.
C9300#show aaa servers
RADIUS: id 3, priority 1, host 10.122.141.228, auth-port 1812, acct-port 1813, hostname DOT1x <-- Specific server
State: current UP, duration 84329s, previous duration 0s <-- Current State
Dead: total time 0s, count 1
Platform State from SMD: current UP, duration 24024s, previous duration 0s
SMD Platform Dead: total time 0s, count 45
Platform State from WNCD (1) : current UP
Platform State from WNCD (2) : current UP
Platform State from WNCD (3) : current UP
Platform State from WNCD (4) : current UP
Platform State from WNCD (5) : current UP
Platform State from WNCD (6) : current UP
Platform State from WNCD (7) : current UP
Platform State from WNCD (8) : current UP, duration 0s, previous duration 0s
Platform Dead: total time 0s, count 0UP
Quarantined: No
Authen: request 510, timeouts 468, failover 0, retransmission 351 <-- Authentication Statistics
Response: accept 2, reject 2, challenge 38
Response: unexpected 0, server error 0, incorrect 12, time 21ms
Transaction: success 42, failure 117
Throttled: transaction 0, timeout 0, failure 0
Malformed responses: 0
Bad authenticators: 0
Dot1x transactions:
Response: total responses: 42, avg response time: 21ms
Transaction: timeouts 114, failover 0
Transaction: total 118, success 2, failure 116
MAC auth transactions:
Response: total responses: 0, avg response time: 0ms
Transaction: timeouts 0, failover 0
Transaction: total 0, success 0, failure 0
Author: request 0, timeouts 0, failover 0, retransmission 0
Response: accept 0, reject 0, challenge 0
Response: unexpected 0, server error 0, incorrect 0, time 0ms
Transaction: success 0, failure 0
Throttled: transaction 0, timeout 0, failure 0
Malformed responses: 0
Bad authenticators: 0
MAC author transactions:
Response: total responses: 0, avg response time: 0ms
Transaction: timeouts 0, failover 0
Transaction: total 0, success 0, failure 0
Account: request 3, timeouts 0, failover 0, retransmission 0
Request: start 2, interim 0, stop 1
Response: start 2, interim 0, stop 1
Response: unexpected 0, server error 0, incorrect 0, time 11ms
Transaction: success 3, failure 0
Throttled: transaction 0, timeout 0, failure 0
Malformed responses: 0
Bad authenticators: 0
Elapsed time since counters last cleared: 1d3h4m
Estimated Outstanding Access Transactions: 0
Estimated Outstanding Accounting Transactions: 0
Estimated Throttled Access Transactions: 0
Estimated Throttled Accounting Transactions: 0
Maximum Throttled Transactions: access 0, accounting 0
Consecutive Response Failures: total 115
SMD Platform : max 113, current 0 total 113
WNCD Platform: max 0, current 0 total 0
IOSD Platform : max 2, current 2 total 2
Consecutive Timeouts: total 466
SMD Platform : max 455, current 0 total 455
WNCD Platform: max 0, current 0 total 0
IOSD Platform : max 11, current 11 total 11
Requests per minute past 24 hours:
high - 23 hours, 25 minutes ago: 4
low - 3 hours, 4 minutes ago: 0
average: 0
Gebruik het hulpprogramma 'test aaa' om de bereikbaarheid van switch tot verificatieserver te bevestigen. Merk op dat dit hulpprogramma is afgekeurd en niet voor onbepaalde tijd beschikbaar is.
C9300#debug radius <-- Classic Cisco IOS debugs are only useful in certain scenarios. See "Cisco IOS XE Debugs" for details.
C9300#test aaa group ISE username password new-code <-- This sends a RADIUS test probe to the identified server. The username and password is meant to elicit a rejection from RADIUS.
User rejected <-- This means that the RADIUS server received our test probe, but rejected our user. We can conclude the server is reachable and listening on the configured auth-port.
*Jul 16 21:05:57.632: %PARSER-5-HIDDEN: Warning!!! ' test platform-aaa group server-group ISE user-name username password new-code blocked count delay level profile rate users ' is a hidden command. Use of this command is not recommended/supported and will be removed in future.
*Jul 16 21:05:57.644: RADIUS/ENCODE(00000000):Orig. component type = Invalid
*Jul 16 21:05:57.644: RADIUS/ENCODE(00000000): dropping service type, "radius-server attribute 6 on-for-login-auth" is off
*Jul 16 21:05:57.644: RADIUS(00000000): Config NAS IP: 10.122.161.63
*Jul 16 21:05:57.644: vrfid: [65535] ipv6 tableid : [0]
*Jul 16 21:05:57.644: idb is NULL
*Jul 16 21:05:57.644: RADIUS(00000000): Config NAS IPv6: ::
*Jul 16 21:05:57.644: RADIUS(00000000): sending
*Jul 16 21:05:57.644: RADIUS/DECODE(00000000): There is no General DB. Want server details may not be specified
*Jul 16 21:05:57.644: RADIUS(00000000): Send Access-Request to 10.122.141.199:1812 id 1645/8, len 50 <-- Sending Access-Request to RADIUS server
RADIUS: authenticator 3B 65 96 37 63 E3 32 41 - 3A 93 63 B6 6B 6A 5C 68
*Jul 16 21:05:57.644: RADIUS: User-Password [2] 18 *
*Jul 16 21:05:57.644: RADIUS: User-Name [1] 6 "username"
*Jul 16 21:05:57.644: RADIUS: NAS-IP-Address [4] 6 10.122.161.63
*Jul 16 21:05:57.644: RADIUS(00000000): Sending a IPv4 Radius Packet
*Jul 16 21:05:57.644: RADIUS(00000000): Started 5 sec timeout
*Jul 16 21:05:57.669: RADIUS: Received from id 1645/8 10.122.141.199:1812, Access-Reject, len 20 <-- Receiving the Access-Reject from RADIUS server
RADIUS: authenticator 1A 11 32 19 12 F9 C3 CC - 6A 83 54 DF 0F DB 00 B8
*Jul 16 21:05:57.670: RADIUS/DECODE(00000000): There is no General DB. Reply server details may not be recorded
*Jul 16 21:05:57.670: RADIUS(00000000): Received from id 1645/8
Problemen oplossen
Dit gedeelte biedt richtlijnen voor het oplossen van de meeste 802.1x-problemen op een Catalyst-switch.
methodologie
Benader problemen met 802.1x en authenticatie methodisch voor de beste resultaten. Enkele goede vragen om te beantwoorden zijn:
- Is het probleem geïsoleerd tot een enkele switch? Een enkele poort? Eén type client?
- Is de configuratie gevalideerd? Is de verificatieserver bereikbaar?
- Komt het probleem elke keer voor, of is het intermitterend? Komt het alleen voor bij herauthenticatie of wijziging van de autorisatie?
Onderzoek een enkele mislukte transactie end-to-end als problemen blijven bestaan nadat het voor de hand liggende is uitgesloten. De beste, meest complete dataset voor onderzoek van een 802.1x-transactie van client naar server omvat:
1a. Vastleggen op client en/of
1b. Op de toegangsinterface waarop de client verbinding maakt
Dit referentiepunt is cruciaal om ons inzicht te geven in de EAPoL-pakketten die worden uitgewisseld tussen de toegangspoort waar dot1x is ingeschakeld en de client. SPAN is de meest betrouwbare tool voor het bekijken van verkeer tussen client en authenticator.
2. Fouten in de authenticator
Met foutmeldingen kunnen we de transactie traceren via de authenticator.
- De verificator moet de ontvangen EAPoL-pakketten aanwijzen en unicast RADIUS-ingekapseld verkeer genereren dat bestemd is voor de verificatieserver.
- Zorg ervoor dat de juiste foutopsporingsniveaus zijn ingesteld voor maximale effectiviteit.
3. Vastleggen naast de verificator
Deze opname stelt ons in staat om het gesprek tussen Authenticator en Authentication server te zien.
- Deze opname geeft nauwkeurig het geheel van het gesprek weer vanuit het perspectief van de Authenticator.
- In combinatie met de opname in punt 4 kunt u bepalen of er verlies is tussen Authentication Server en Authenticator.
4. Vastleggen naast de verificatieserver
Deze vangst is een aanvulling op de vangst in punt 3.
- Deze opname biedt het hele gesprek vanuit het perspectief van de verificatieserver.
- In combinatie met de opname in punt 3 kunt u bepalen of er verlies is tussen Authenticator en Authentication Server.
5. Vastleggen, foutmeldingen, logs op de verificatieserver
Het laatste stukje van de puzzel, server debugs vertellen ons wat de server weet over onze transactie.
- Met deze end-to-end set gegevens kan een netwerktechnicus bepalen waar de transactie breekt en componenten uitsluiten die niet bijdragen aan het probleem.
Voorbeeldsymptomen
Dit gedeelte bevat een lijst met veelvoorkomende symptomen en probleemscenario's.
- Geen reactie van de klant
Als het EAPoL-verkeer dat door de switch wordt gegenereerd geen reactie uitlokt, wordt dit syslog weergegeven:
Aug 23 11:23:46.387 EST: %DOT1X-5-FAIL: Switch 1 R0/0: sessmgrd: Authentication failed for client (aaaa.bbbb.cccc) with reason (No Response from Client) on Interface Gi6/0/32 AuditSessionID CBFF000A000001056EFE9E73
De reden code 'No Response from Client' geeft aan dat de switch het dot1x proces is gestart, maar er is geen reactie ontvangen van de klant binnen de time-out periode.
Dit betekent dat de client het verificatieverkeer dat door de switch-poort is verzonden niet heeft ontvangen of begrepen, of dat de reactie van de client niet op de switch-poort is ontvangen.
- Client verlaat sessie
Als een verificatiesessie wordt gestart maar niet wordt voltooid, meldt de verificatieserver (ISE bijvoorbeeld) dat de client een sessie is gestart, maar de sessie heeft opgegeven voordat deze is voltooid.
Vaak betekent dit dat het authenticatieproces slechts gedeeltelijk kan worden voltooid.
Ervoor zorgen dat de volledige transactie tussen de verificatieserver en de verificatieserver van begin tot eind wordt uitgevoerd en correct wordt geïnterpreteerd door de verificatieserver.
Als RADIUS-verkeer op het netwerk verloren gaat of wordt geleverd op een manier waarop het niet goed kan worden geassembleerd, is de transactie onvolledig en probeert de client de verificatie opnieuw uit. De server meldt op zijn beurt dat de client zijn sessie heeft opgegeven.
- MAB-client faalt/DHCP valt terug naar APIPA
MAC Authentication Bypass (MAB) maakt authenticatie mogelijk op basis van het MAC-adres. Vaak worden clients die geen ondersteuning bieden voor software voor de aanvrager geverifieerd via MAB.
Als MAB wordt gebruikt als een fallback-methode voor verificatie, terwijl dot1x de voorkeursmethode en de initiële methode is die op een switch-poort wordt uitgevoerd, kan een scenario ontstaan waarbij de client DHCP niet kan voltooien.
Het probleem komt neer op de volgorde van de operaties. Terwijl dot1x wordt uitgevoerd, verbruikt de switch-poort andere pakketten dan EAPoL totdat de verificatie is voltooid of dot1x uitvalt. De client probeert echter onmiddellijk een IP-adres te krijgen en zendt zijn DHCP-detectieberichten uit. Deze detectieberichten worden verbruikt door de switch-poort totdat dot1x de geconfigureerde time-outwaarden overschrijdt en MAB kan worden uitgevoerd. Als de DHCP-time-outperiode van de client korter is dan de dot1x-time-outperiode, mislukt DHCP en valt de client terug naar APIPA of wat de terugvalstrategie ook voorschrijft.
Dit probleem wordt op meerdere manieren voorkomen. Geef de voorkeur aan MAB op interfaces waar MAB-geverifieerde clients verbinding maken. Als dot1x eerst moet worden uitgevoerd, moet u rekening houden met het DHCP-gedrag van de client en de time-outwaarden op de juiste manier aanpassen.
Wees voorzichtig met het gedrag van de cliënt wanneer dot1x en MAB worden gebruikt. Een geldige configuratie leidt mogelijk tot een technisch probleem, zoals eerder beschreven.
Platformspecifieke hulpprogramma's
In dit gedeelte worden veel platformspecifieke hulpprogramma's beschreven die beschikbaar zijn op de Catalyst 9000-reeks switches die handig zijn om problemen met dot1x op te lossen.
- Switch Port Analyzer (SPAN)
Met SPAN kan de gebruiker verkeer van een of meer poorten naar een bestemmingspoort spiegelen voor vastlegging en analyse. Local SPAN is het meest 'betrouwbare' capture utility.
Zie deze configuratiehandleiding voor meer informatie over configuratie en implementatie.
- Embedded Packet Capture (EPC)
EPC maakt gebruik van CPU- en geheugenbronnen om lokale pakketopnamemogelijkheden aan boord te bieden.
Er zijn beperkingen aan de EPC die van invloed zijn op de effectiviteit ervan voor het onderzoeken van bepaalde problemen. De EPC is beperkt tot 1000 pakketten per seconde. EPC kan ook niet op betrouwbare wijze CPU-geïnjecteerde pakketten vastleggen wanneer fysieke interfaces verdwijnen. Dit is belangrijk wanneer de focus ligt op de RADIUS-transactie tussen de verificator-switch en de verificatieserver. Vaak is de snelheid van het verkeer op de interface die naar de server kijkt, veel hoger dan 1000 pakketten per seconde. Ook kan een EPC bij het verlaten van de interface die naar de server kijkt, geen verkeer vastleggen dat door de switch van de verificator is gegenereerd.
Gebruik bidirectionele toegangslijsten om de EPC te filteren om impact door de beperking van 1000 pakketten per seconde te voorkomen. Als u geïnteresseerd bent in het RADIUS-verkeer tussen de verificator en de server, concentreert u zich op het verkeer tussen het RADIUS-broninterfaceadres van de verificator en het adres van de server.
Als het volgende upstreamapparaat naar de verificatieserver een Catalyst-switch is, gebruikt u een gefilterde EPC op de downlink naar de verificator-switch voor de beste resultaten.
Zie deze configuratiehandleiding voor meer informatie over configuratie en implementatie.
- Cisco IOS XE-fouten
Software-architectuurwijzigingen die beginnen met Cisco IOS XE versie 16.3.2 verplaatst AAA-componenten naar een aparte Linux-daemon. Bekende foutmeldingen maken niet langer zichtbare foutmeldingen in de logbuffer mogelijk.
Tip: Traditionele IOS AAA-foutmeldingen leveren geen uitvoer meer in systeemlogboeken voor poortverificatie op het voorpaneel binnen de syslog-buffer.
In plaats daarvan maken deze klassieke Cisco IOS-debugs voor dot1x en RADIUS geen zichtbare debugs meer mogelijk binnen de logbuffer van de switch van de switch:
debug radius
debug access-session all
debug dot1x all
AAA-componentdebugs zijn nu toegankelijk via systeemtrace onder Session Manager Daemon (SMD).
- Net als traditionele syslogs, Catalyst systeem sporen verslag op een standaard niveau en moet worden geïnstrueerd om meer diepgaande logs te verzamelen.
- Wijzig het routinematige traceringsniveau voor de gewenste subcomponent met de opdrachtset Platform Software trace smd switch active r0 <component> debug.
Switch#set platform software trace smd switch active R0 auth-mgr debug <<<--- This sets the "auth-mgr" subcomponent to "debug" log level.
Deze tabel brengt traditionele IOS-debugs in kaart met hun trace-equivalent.
| Oude stijl, opdracht |
Nieuwe stijl, opdracht |
| Straal #debug |
#set platformsoftware trace smd switch active R0 radius debug |
| #debug dot1x alles |
#set platformsoftware trace smd switch active R0 dot1x-all debug |
| #debug-toegangssessie alles |
#set platformsoftware trace smd switch active R0 auth-mgr-all debug |
| #debug EPM Alles |
#set platformsoftware trace smd switch active R0 epm-all debug |
Klassieke debugs maken alle gerelateerde componentsporen mogelijk naar 'debug'-niveau. Platformcommando's worden ook gebruikt om specifieke sporen mogelijk te maken.
Gebruik de opdracht show platform software trace level smd switch active R0 om het huidige trace level voor SMD subcomponenten te tonen.
Switch#show platform software trace level smd switch active R0
Module Name Trace Level
-----------------------------------------------
aaa Notice <--- Default level is "Notice"
aaa-acct Notice
aaa-admin Notice
aaa-api Notice
aaa-api-attr Notice
<snip>
auth-mgr Debug <--- Subcomponent "auth-mgr" traces at "debug" level
auth-mgr-all Notice
<snip>
Het traceringsniveau van een subcomponent kan op twee manieren worden hersteld tot de standaardwaarde.
- Gebruik alle foutopsporingen ongedaan maken of stel de melding voor platformsoftware voor het traceren van SMD-switch actief R0 <subcomponent> in om terug te zetten.
- Als het apparaat opnieuw wordt geladen, herstellen de traceringsniveaus zich ook naar de standaard.
Switch#undebug all
All possible debugging has been turned off
or
Switch#set platform software trace smd switch active R0 auth-mgr notice <--- Sets sub-component "auth-mgr" to trace level "Notice", the system default.
Componenttraceringslogboeken kunnen op de console worden bekeken of naar het archief worden geschreven en offline worden bekeken. Sporen worden gearchiveerd in gezipte binaire archieven die decodering vereisen. Neem contact op met TAC voor hulp bij het opsporen van fouten bij het verwerken van gearchiveerde sporen. In deze workflow wordt uitgelegd hoe u de sporen in CLI kunt bekijken.
Show logging proces is het bijgewerkte hulpprogramma voor traces en de standaard versie in Cisco IOS XE 17.9.x en verder.
C9300#show logging process smd ?
<0-25> instance number
end specify log filtering end location
extract-pcap Extract pcap data to a file
filter specify filter for logs
fru FRU specific commands
internal select all logs. (Without the internal keyword only
customer curated logs are displayed)
level select logs above specific level
metadata CLI to display metadata for every log message
module select logs for specific modules
reverse show logs in reverse chronological order
start specify log filtering start location
switch specify switch number
to-file decode files stored in disk and write output to file
trace-on-failure show the trace on failure summary
| Output modifiers
Show logging proces biedt dezelfde functionaliteit als show platform software trace in een meer elegante en toegankelijke formaat.
C9300#clear auth sessions
C9300#show logging process smd reverse
Logging display requested on 2023/05/02 16:44:04 (UTC) for Hostname: [C9300], Model: [C9300X-24HX], Version: [17.09.01], SN: [FOC263569FP], MD_SN: [FOC2641Y2MK]
Displaying logs from the last 0 days, 0 hours, 10 minutes, 0 seconds
executing cmd on chassis 1 ...
===========================================================
UTM [LUID NOT FOUND] .............. 0
UTM [PCAP] ........................ 0
UTM [MARKER] ...................... 0
UTM [APP CONTEXT] ................. 0
UTM [TDL TAN] ..................... 5
UTM [MODULE ID] ................... 0
UTM [DYN LIB] ..................... 0
UTM [PLAIN TEXT] .................. 6
UTM [ENCODED] ..................... 85839
UTM [Skipped / Rendered / Total] .. 85128 / 722 / 85850
Last UTM TimeStamp ................ 2023/05/02 16:44:03.775663010
First UTM TimeStamp ............... 2023/05/02 15:52:18.763729918
===========================================================
----------------- Decoder Output Information --------------
===========================================================
MRST Filter Rules ...... 1
UTM Process Filter ..... smd
Total UTM To Process ... 85850
Total UTF To Process ... 1
Num of Unique Streams .. 1
===========================================================
----------------- Decoder Input Information ---------------
===========================================================
======= Unified Trace Decoder Information/Statistics ======
===========================================================
2023/05/02 16:44:03.625123675 {smd_R0-0}{1}: [radius] [22624]: (ERR): Failed to mark Identifier for reuse
2023/05/02 16:44:03.625123382 {smd_R0-0}{1}: [radius] [22624]: (ERR): RSPE- Set Identifier Free for Reuse : Input Validation Failed Level-2
2023/05/02 16:44:03.625116747 {smd_R0-0}{1}: [radius] [22624]: (info): Valid Response Packet, Free the identifier
2023/05/02 16:44:03.625091040 {smd_R0-0}{1}: [radius] [22624]: (info): RADIUS: authenticator 2b f4 ea 87 d9 db 75 3a - 2c 8a c4 36 56 46 b5 57
2023/05/02 16:44:03.625068520 {smd_R0-0}{1}: [radius] [22624]: (info): RADIUS: Received from id 1813/9 10.122.141.228:0, Accounting-response, len 20
2023/05/02 16:44:03.610151863 {smd_R0-0}{1}: [radius] [22624]: (info): RADIUS: Started 5 sec timeout
2023/05/02 16:44:03.610097362 {smd_R0-0}{1}: [radius] [22624]: (info): RADIUS: Acct-Delay-Time [41] 6 0
2023/05/02 16:44:03.610090044 {smd_R0-0}{1}: [radius] [22624]: (info): RADIUS: Event-Timestamp [55] 6 1683045843
2023/05/02 16:44:03.610085857 {smd_R0-0}{1}: [radius] [22624]: (info): RADIUS: Acct-Status-Type [40] 6 Start [1]
2023/05/02 16:44:03.610040912 {smd_R0-0}{1}: [radius] [22624]: (info): RADIUS: Class [25] 63 ...
2023/05/02 16:44:03.610037444 {smd_R0-0}{1}: [radius] [22624]: (info): RADIUS: Acct-Authentic [45] 6 Remote [3]
2023/05/02 16:44:03.610032802 {smd_R0-0}{1}: [radius] [22624]: (info): RADIUS: Acct-Session-Id [44] 10 "00000004"
2023/05/02 16:44:03.610028677 {smd_R0-0}{1}: [radius] [22624]: (info): RADIUS: Called-Station-Id [30] 19 "00-01-02-02-AA-BF"
2023/05/02 16:44:03.610024641 {smd_R0-0}{1}: [radius] [22624]: (info): RADIUS: Nas-Identifier [32] 7 "C9300"
2023/05/02 16:44:03.610020641 {smd_R0-0}{1}: [radius] [22624]: (info): RADIUS: Calling-Station-Id [31] 19 "08-00-27-66-EF-C7"
2023/05/02 16:44:03.610016809 {smd_R0-0}{1}: [radius] [22624]: (info): RADIUS: NAS-Port [5] 6 50104
2023/05/02 16:44:03.610012487 {smd_R0-0}{1}: [radius] [22624]: (info): RADIUS: NAS-Port-Type [61] 6 Ethernet [15]
2023/05/02 16:44:03.610007504 {smd_R0-0}{1}: [radius] [22624]: (info): RADIUS: NAS-Port-Id [87] 25 "TenGigabitEthernet1/0/4"
2023/05/02 16:44:03.610003581 {smd_R0-0}{1}: [radius] [22624]: (info): RADIUS: NAS-IP-Address [4] 6 10.122.163.19
2023/05/02 16:44:03.609998136 {smd_R0-0}{1}: [radius] [22624]: (info): RADIUS: Calling-Station-Id [31] 19 "08-00-27-66-EF-C7"
2023/05/02 16:44:03.609994109 {smd_R0-0}{1}: [radius] [22624]: (info): RADIUS: Called-Station-Id [30] 19 "00-01-02-02-AA-BF"
2023/05/02 16:44:03.609989329 {smd_R0-0}{1}: [radius] [22624]: (info): RADIUS: Cisco AVpair [1] 14 "method=dot1x"
2023/05/02 16:44:03.609985171 {smd_R0-0}{1}: [radius] [22624]: (info): RADIUS: Vendor, Cisco [26] 20
2023/05/02 16:44:03.609981606 {smd_R0-0}{1}: [radius] [22624]: (info): RADIUS: Cisco AVpair [1] 43 "audit-session-id=13A37A0A0000011FDD598189"
2023/05/02 16:44:03.609976961 {smd_R0-0}{1}: [radius] [22624]: (info): RADIUS: Vendor, Cisco [26] 49
2023/05/02 16:44:03.609969166 {smd_R0-0}{1}: [radius] [22624]: (info): RADIUS: User-Name [1] 7 "alice"
2023/05/02 16:44:03.609963241 {smd_R0-0}{1}: [radius] [22624]: (info): RADIUS: authenticator 0b 99 e3 50 d8 d3 8c 26 - e8 41 c3 f6 11 b9 ab 2f
2023/05/02 16:44:03.609953614 {smd_R0-0}{1}: [radius] [22624]: (info): RADIUS: Send Accounting-Request to 10.122.141.228:1813 id 1813/9, len 319
2023/05/02 16:44:03.609863172 {smd_R0-0}{1}: [auth-mgr] [22624]: (info): [0800.2766.efc7:Te1/0/4] Handling external PRE event AuthZ Success
2023/05/02 16:44:03.609695649 {smd_R0-0}{1}: [dot1x] [22624]: (info): [0800.2766.efc7:Te1/0/4] EAPOL packet sent to client
2023/05/02 16:44:03.609689224 {smd_R0-0}{1}: [dot1x] [22624]: (info): [0000.0000.0000:unknown] Pkt body: 03 68 00 04
2023/05/02 16:44:03.609686794 {smd_R0-0}{1}: [dot1x] [22624]: (info): [0800.2766.efc7:Te1/0/4] EAP Packet - SUCCESS, ID : 0x68
2023/05/02 16:44:03.609683919 {smd_R0-0}{1}: [dot1x] [22624]: (info): [0800.2766.efc7:Te1/0/4] Sent EAPOL packet - Version : 3,EAPOL Type : EAP, Payload Length : 4, EAP-Type = 0
2023/05/02 16:44:03.609334292 {smd_R0-0}{1}: [dot1x] [22624]: (info): [0000.0000.0000:Te1/0/4] Sending out EAPOL packet
2023/05/02 16:44:03.609332867 {smd_R0-0}{1}: [dot1x] [22624]: (info): [0000.0000.0000:Te1/0/4] Setting EAPOL eth-type to 0x888e, destination mac to 0800.2766.efc7
2023/05/02 16:44:03.609310820 {smd_R0-0}{1}: [dot1x] [22624]: (info): [0800.2766.efc7:Te1/0/4] Posting AUTHZ_SUCCESS on Client
2023/05/02 16:44:03.609284841 {smd_R0-0}{1}: [auth-mgr] [22624]: (info): [0800.2766.efc7:Te1/0/4] Raising ext evt AuthZ Success (21) on this session, client (unknown) (0)
Voorbeelden overtrekken
Deze sectie bevat sessiebeheersporen voor dot1x- en radiuscomponenten voor een volledige, mislukte transactie (server weigert clientreferenties). Het is bedoeld om een basisrichtlijn te bieden voor het navigeren door systeemsporen met betrekking tot verificatie op het voorpaneel.
- Een testclient probeert verbinding te maken met Gigabit Ethernet 1/0/2 en wordt afgewezen.
In dit voorbeeld zijn SMD-componentsporen ingesteld op 'debug'.
C9300#set platform software trace smd sw active r0 dot1x-all
C9300#set platform software trace smd sw active r0 radius debug
EAPoL: START
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0000.0000.0000:unknown] Received EAPOL pkt (size=92) on l2 socket
[dot1x]: [16498]: UUID: 0, ra: 0 (info): [0000.0000.0000:Gi1/0/2] queuing an EAPOL pkt on Auth Q
[dot1x]: [16498]: UUID: 0, ra: 0 (info): [0000.0000.0000:Gi1/0/2] Dequeued pkt: CODE= 0,TYPE= 0,LEN= 0
[dot1x]: [16498]: UUID: 0, ra: 0 (info): [0000.0000.0000:Gi1/0/2] Received pkt saddr = 0040.E93E.0000 , daddr = 0180.C200.0003, pae-ether-type = 0x888E
[dot1x]: [16498]: UUID: 0, ra: 0 (info): [0000.0000.0000:Gi1/0/2] Couldn't find the supplicant in the list
[dot1x]: [16498]: UUID: 0, ra: 0 (info): [0040.E93E.0000:Gi1/0/2] New client detected, sending session start event for 0040.E93E.0000
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] 0x0A00000E: initialising
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] 0x0A00000E: disconnected
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] 0x0A00000E: entering restart
[dot1x]: [16498]: UUID: 0, ra: 0 (info): [0040.E93E.0000:Gi1/0/2] Sending create new context event to EAP for 0x0A00000E (0040.E93E.0000)
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] 0x0A00000E: entering init state
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] 0x0A00000E:entering idle state
[dot1x]: [16498]: UUID: 0, ra: 0 (info): [0040.E93E.0000:Gi1/0/2] Created a client entry (0x0A00000E)
[dot1x]: [16498]: UUID: 0, ra: 0 (info): [0040.E93E.0000:Gi1/0/2] Dot1x authentication started for 0x0A00000E (0040.E93E.0000)
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] Posting !EAP_RESTART on Client 0x0A00000E
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] 0x0A00000E:enter connecting state
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] 0x0A00000E: restart connecting
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] Posting RX_REQ on Client 0x0A00000E
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] 0x0A00000E: authenticating state entered
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] 0x0A00000E:connecting authenticating action
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] Posting AUTH_START for 0x0A00000E
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] 0x0A00000E:entering request state
EAPoL: EAP-AANVRAAGIDENTITEIT
[dot1x]: [16498]: UUID: 0, ra: 0 (info): [0000.0000.0000:Gi1/0/2] Sending EAPOL packet
[dot1x]: [16498]: UUID: 0, ra: 0 (info): [0000.0000.0000:Gi1/0/2] Sending out EAPOL packet
[dot1x]: [16498]: UUID: 0, ra: 0 (info): [0040.E93E.0000:Gi1/0/2] EAPOL packet sent to client 0x0A00000E
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] 0x0A00000E:idle request action
EAPoL: EAP-RESPONS
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0000.0000.0000:unknown] Received EAPOL pkt (size=92) on l2 socket
[dot1x]: [16498]: UUID: 0, ra: 0 (info): [0000.0000.0000:Gi1/0/2] Queuing an EAPOL pkt on Authenticator Q
[dot1x]: [16498]: UUID: 0, ra: 0 (info): [0000.0000.0000:Gi1/0/2] Dequeued pkt: CODE= 2,TYPE= 1,LEN= 14
[dot1x]: [16498]: UUID: 0, ra: 0 (info): [0000.0000.0000:Gi1/0/2] Received pkt saddr = 0040.E93E.0000 , daddr = 0180.C200.0003, pae-ether-type = 0x888E
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] Posting EAPOL_EAP for 0x0A00000E
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] 0x0A00000E:entering response state
[dot1x]: [16498]: UUID: 0, ra: 0 (info): [0040.E93E.0000:Gi1/0/2] Response sent to the server from 0x0A00000E
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] 0x0A00000E:request response action
[aaa-authen]: [16498]: UUID: 0, ra: 0 (debug): AAA/AUTHEN/8021X (00000000): Pick method list 'default'
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS/ENCODE: Best Local IP-Address 172.28.99.147 for Radius-Server 172.28.99.252
[radius-failover]: [16498]: UUID: 0, ra: 0 (debug): RADIUS/ENCODE: Nas-Identifier "C9300"
[aaa-author]: [16498]: UUID: 0, ra: 0 (debug): VALID SG handle
STRAAL: TOEGANGSVERZOEK
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS(00000000): Send Access-Request to 172.28.99.252:1645 id 1812/82, len 242
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: authenticator 59 c9 e0 be 4d b5 1c 11 - 02 cb 5b eb 78 d0 4b ad
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: User-Name [1] 11 "ixia_data"
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: Service-Type [6] 6 Framed [2]
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: Vendor, Cisco [26] 27
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: Cisco AVpair [1] 21 "service-type=Framed"
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: Framed-MTU [12] 6 1500
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: Calling-Station-Id [31] 19 "00-40-E9-3E-00-00"
0e 01 69 78 69 61 5f 64 61 74 61 [ ixia_data]
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: EAP-Message [79] 16
69 87 3c 61 80 3a 31 a8 73 2b 55 76 f4 [ Ei<a:1s+Uv]
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: Message-Authenticator[80] 18
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: EAP-Key-Name [102] 2 *
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: Vendor, Cisco [26] 49
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: Cisco AVpair [1] 43 "audit-session-id=AC1C639300000017E53C6E8E"
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: Vendor, Cisco [26] 20
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: Cisco AVpair [1] 14 "method=dot1x"
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: NAS-IP-Address [4] 6 172.28.99.147
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: Nas-Identifier [32] 8 "C9300"
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: NAS-Port-Id [87] 22 "GigabitEthernet1/0/2"
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: NAS-Port-Type [61] 6 Ethernet [15]
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS(00000000): Sending a IPv4 Radius Packet
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS(00000000): Started 5 sec timeout
STRAAL: TOEGANGSUITDAGING
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: Received from id 1645/82 172.28.99.252:0, Access-Challenge, len 127
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: NAS-Port [5] 6 50014 RADIUS: authenticator 82 71 61 a5 30 bc 98 78 - fa f1 48 ec 05 fb ca 3a
RADIUS: 33 37 43 50 4d 53 65 73 73 69 6f 6e 49 44 3d 41 [37CPMSessionID=A]
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: State [24] 81
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: 43 31 43 36 33 39 33 30 30 30 30 30 30 31 37 45 [C1C639300000017E]
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: 35 33 43 36 45 38 45 3b 33 36 53 65 73 73 69 6f [53C6E8E;36Sessio]
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: 6e 49 44 3d 69 73 65 2d 70 6f 6c 2d 65 73 63 2f [nID=ise-pol-esc/]
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: 32 34 30 31 39 38 34 32 39 2f 38 39 32 34 3b [ 240198429/8924;]
RADIUS: 01 f9 00 06 0d 20 [ ]
02/15 14:01:28.986 [radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: EAP-Message [79] 8
RADIUS: 78 66 ec be 2c a4 af 79 5e ec c6 47 8b da 6a c2 [ xf,y^Gj]
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: Message-Authenticator[80] 18
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS:rad_code 11, suppress reject flag 0
[radius-authen]: [16498]: UUID: 0, ra: 0 (debug): RADIUS(00000000): Received from id 1645/82
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] Posting EAP_REQ for 0x0A00000E
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] 0x0A00000E:exiting response state
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] 0x0A00000E:entering request state########## EAPoL: EAP-REQUEST ##########
[dot1x]: [16498]: UUID: 0, ra: 0 (info): [0000.0000.0000:Gi1/0/2] Sending EAPOL packet
[dot1x]: [16498]: UUID: 0, ra: 0 (info): [0000.0000.0000:Gi1/0/2] Sending out EAPOL packet
[dot1x]: [16498]: UUID: 0, ra: 0 (info): [0040.E93E.0000:Gi1/0/2] EAPOL packet sent to client 0x0A00000E
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] 0x0A00000E:response request action
EAPoL: EAP-RESPONS
02/15 14:01:28.988 [dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0000.0000.0000:unknown] Received EAPOL pkt (size=92) on l2 socket
02/15 14:01:28.989 [dot1x]: [16498]: UUID: 0, ra: 0 (info): [0000.0000.0000:Gi1/0/2] Queuing an EAPOL pkt on Authenticator Q
02/15 14:01:28.989 [dot1x]: [16498]: UUID: 0, ra: 0 (info): [0000.0000.0000:Gi1/0/2] Dequeued pkt: CODE= 2,TYPE= 3,LEN= 6
02/15 14:01:28.989 [dot1x]: [16498]: UUID: 0, ra: 0 (info): [0000.0000.0000:Gi1/0/2] Received pkt saddr = 0040.E93E.0000 , daddr = 0180.C200.0003, pae-ether-type = 0x888E
02/15 14:01:28.989 [dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] Posting EAPOL_EAP for 0x0A00000E
02/15 14:01:28.989 [dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] 0x0A00000E:entering response state
02/15 14:01:28.989 [dot1x]: [16498]: UUID: 0, ra: 0 (info): [0040.E93E.0000:Gi1/0/2] Response sent to the server from 0x0A00000E
02/15 14:01:28.989 [dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] 0x0A00000E:request response action
02/15 14:01:28.989 [aaa-authen]: [16498]: UUID: 0, ra: 0 (debug): AAA/AUTHEN/8021X (00000000): Pick method list 'default'
02/15 14:01:28.990 [radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS/ENCODE: Best Local IP-Address 172.28.99.147 for Radius-Server 172.28.99.252
02/15 14:01:28.990 [radius-failover]: [16498]: UUID: 0, ra: 0 (debug): RADIUS/ENCODE: Nas-Identifier "C9300"
02/15 14:01:28.990 [aaa-author]: [16498]: UUID: 0, ra: 0 (debug): VALID SG handle
STRAAL: TOEGANGSVERZOEK
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS(00000000): Send Access-Request to 172.28.99.252:1645 id 1812/83, len 315
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: authenticator 3d 31 3f ee 14 b8 9d 63 - 7a 8b 52 90 5f 77 6d b8
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: User-Name [1] 11 "ixia_data"
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: Service-Type [6] 6 Framed [2]
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: Vendor, Cisco [26] 27
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: Cisco AVpair [1] 21 "service-type=Framed"
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: Framed-MTU [12] 6 1500
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: Calling-Station-Id [31] 19 "00-40-E9-3E-00-00"
RADIUS: 02 f9 00 06 03 04
02/15 14:01:28.991 [radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: EAP-Message [79] 8
RADIUS: 8b 2a 2e 75 90 a2 e1 c9 06 84 c9 fe f5 d0 98 39 [ *.u9]
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: Message-Authenticator[80] 18
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: EAP-Key-Name [102] 2 *
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: Vendor, Cisco [26] 49
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: Cisco AVpair [1] 43 "audit-session-id=AC1C639300000017E53C6E8E"
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: Vendor, Cisco [26] 20
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: Cisco AVpair [1] 14 "method=dot1x"
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: NAS-IP-Address [4] 6 172.28.99.147
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: Nas-Identifier [32] 8 "C9300"
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: NAS-Port-Id [87] 22 "GigabitEthernet1/0/2"
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: NAS-Port-Type [61] 6 Ethernet [15]
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: NAS-Port [5] 6 50014
RADIUS: 33 37 43 50 4d 53 65 73 73 69 6f 6e 49 44 3d 41 [37CPMSessionID=A]
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: State [24] 81
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: 43 31 43 36 33 39 33 30 30 30 30 30 30 31 37 45 [C1C639300000017E]
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: 35 33 43 36 45 38 45 3b 33 36 53 65 73 73 69 6f [53C6E8E;36Sessio]
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: 6e 49 44 3d 69 73 65 2d 70 6f 6c 2d 65 73 63 2f [nID=ise-pol-esc/]
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: 32 34 30 31 39 38 34 32 39 2f 38 39 32 34 3b [ 240198429/8924;]
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS(00000000): Sending a IPv4 Radius Packet
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS(00000000): Started 5 sec timeout
STRAAL: TOEGANGSUITDAGING
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: Received from id 1645/83 172.28.99.252:0, Access-Challenge, len 154
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: authenticator 0c 8d 49 80 0f 51 89 fa - ba 22 2f 96 41 99 c2 4e
RADIUS: 33 37 43 50 4d 53 65 73 73 69 6f 6e 49 44 3d 41 [37CPMSessionID=A]
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: State [24] 81
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: 43 31 43 36 33 39 33 30 30 30 30 30 30 31 37 45 [C1C639300000017E]
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: 35 33 43 36 45 38 45 3b 33 36 53 65 73 73 69 6f [53C6E8E;36Sessio]
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: 6e 49 44 3d 69 73 65 2d 70 6f 6c 2d 65 73 63 2f [nID=ise-pol-esc/]
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: 32 34 30 31 39 38 34 32 39 2f 38 39 32 34 3b [ 240198429/8924;]
RADIUS: 01 fa 00 21 04 10 5b d0 b6 4e 68 37 6b ca 5e 6f 5a 65 78 04 77 bf 69 73 65 2d [![Nh7k^oZexwise-]
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: EAP-Message [79] 35
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: 70 6f 6c 2d 65 73 63 [ pol-esc]
RADIUS: a3 0d b0 02 c8 32 85 2c 94 bd 03 b3 22 e6 71 1e [ 2,"q]
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: Message-Authenticator[80] 18
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS:rad_code 11, suppress reject flag 0
[radius-authen]: [16498]: UUID: 0, ra: 0 (debug): RADIUS(00000000): Received from id 1645/83
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] Posting EAP_REQ for 0x0A00000E
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] 0x0A00000E:exiting response state
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] 0x0A00000E:entering request state
EAPoL: EAP-VERZOEK
[dot1x]: [16498]: UUID: 0, ra: 0 (info): [0000.0000.0000:Gi1/0/2] Sending EAPOL packet
[dot1x]: [16498]: UUID: 0, ra: 0 (info): [0000.0000.0000:Gi1/0/2] Sending out EAPOL packet
[dot1x]: [16498]: UUID: 0, ra: 0 (info): [0040.E93E.0000:Gi1/0/2] EAPOL packet sent to client 0x0A00000E
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] 0x0A00000E:response request action
EAPoL: EAP-RESPONS
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0000.0000.0000:unknown] Received EAPOL pkt (size=92) on l2 socket
[dot1x]: [16498]: UUID: 0, ra: 0 (info): [0000.0000.0000:Gi1/0/2] Queuing an EAPOL pkt on Authenticator Q
[dot1x]: [16498]: UUID: 0, ra: 0 (info): [0000.0000.0000:Gi1/0/2] Dequeued pkt: CODE= 2,TYPE= 4,LEN= 31
[dot1x]: [16498]: UUID: 0, ra: 0 (info): [0000.0000.0000:Gi1/0/2] Received pkt saddr = 0040.E93E.0000 , daddr = 0180.C200.0003, pae-ether-type = 0x888E
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] Posting EAPOL_EAP for 0x0A00000E
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] 0x0A00000E:entering response state
[dot1x]: [16498]: UUID: 0, ra: 0 (info): [0040.E93E.0000:Gi1/0/2] Response sent to the server from 0x0A00000E
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] 0x0A00000E:request response action
[aaa-authen]: [16498]: UUID: 0, ra: 0 (debug): AAA/AUTHEN/8021X (00000000): Pick method list 'default'
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS/ENCODE: Best Local IP-Address 172.28.99.147 for Radius-Server 172.28.99.252
[radius-failover]: [16498]: UUID: 0, ra: 0 (debug): RADIUS/ENCODE: Nas-Identifier "C9300"
[aaa-author]: [16498]: UUID: 0, ra: 0 (debug): VALID SG handle
STRAAL: TOEGANGSVERZOEK
radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS(00000000): Send Access-Request to 172.28.99.252:1645 id 1812/84, len 340
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: authenticator 41 4d 76 8e 03 93 9f 05 - 5e fa f1 d6 ca 3c 84 08
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: User-Name [1] 11 "ixia_data"
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: Service-Type [6] 6 Framed [2]
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: Vendor, Cisco [26] 27
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: Cisco AVpair [1] 21 "service-type=Framed"
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: Framed-MTU [12] 6 1500
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: Calling-Station-Id [31] 19 "00-40-E9-3E-00-00"
RADIUS: 02 fa 00 1f 04 10 02 b6 bc aa f4 91 2b d6 cf 9e 3b d5 44 96 78 d5 69 78 69 61 5f 64 61 74 61 [ +;Dxixia_data]
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: EAP-Message [79] 33
RADIUS: 3b 70 b1 dd 97 ac 47 ae 81 ca f8 78 5b a3 7b fe [ ;pGx[{]
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: Message-Authenticator[80] 18
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: EAP-Key-Name [102] 2 *
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: Vendor, Cisco [26] 49
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: Cisco AVpair [1] 43 "audit-session-id=AC1C639300000017E53C6E8E"
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: Vendor, Cisco [26] 20
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: Cisco AVpair [1] 14 "method=dot1x"
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: NAS-IP-Address [4] 6 172.28.99.147
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: Nas-Identifier [32] 8 "C9300"
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: NAS-Port-Id [87] 22 "GigabitEthernet1/0/2"
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: NAS-Port-Type [61] 6 Ethernet [15]
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: NAS-Port [5] 6 50014
RADIUS: 33 37 43 50 4d 53 65 73 73 69 6f 6e 49 44 3d 41 [37CPMSessionID=A]
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: State [24] 81
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: 43 31 43 36 33 39 33 30 30 30 30 30 30 31 37 45 [C1C639300000017E]
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: 35 33 43 36 45 38 45 3b 33 36 53 65 73 73 69 6f [53C6E8E;36Sessio]
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: 6e 49 44 3d 69 73 65 2d 70 6f 6c 2d 65 73 63 2f [nID=ise-pol-esc/]
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: 32 34 30 31 39 38 34 32 39 2f 38 39 32 34 3b [ 240198429/8924;]
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS(00000000): Sending a IPv4 Radius Packet
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS(00000000): Started 5 sec timeout
STRAAL: TOEGANG WEIGEREN
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: Received from id 1645/84 172.28.99.252:0, Access-Reject, len 44---------->User not authenticaded
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: authenticator d1 a3 eb 43 11 45 6b 8f - 07 a7 34 dd 3a 49 67 c6
RADIUS: 04 fa 00 04
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: EAP-Message [79] 6
RADIUS: 80 77 07 f7 4d f8 a5 60 a6 b0 30 e4 67 85 ae ba [ wM`0g]
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS: Message-Authenticator[80] 18
[radius]: [16498]: UUID: 0, ra: 0 (debug): RADIUS:rad_code 3, suppress reject flag 0
[radius-authen]: [16498]: UUID: 0, ra: 0 (debug): RADIUS(00000000): Received from id 1645/84
[dot1x]: [16498]: UUID: 0, ra: 0 (info): [0040.E93E.0000:Gi1/0/2] Received an EAP Fail
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] Posting EAP_FAIL for 0x0A00000E
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] 0x0A00000E:exiting response state
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] 0x0A00000E:entering fail state
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] 0x0A00000E:response fail action
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] 0x0A00000E:entering idle state
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] Posting AUTH_FAIL on Client 0x0A00000E
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] 0x0A00000E:exiting authenticating state
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] 0x0A00000E:entering authc result state
[errmsg]: [16498]: UUID: 0, ra: 0 (note): %DOT1X-5-FAIL: Authentication failed for client (0040.E93E.0000) on Interface Gi1/0/2 AuditSessionID AC1C639300000017E53C6E8E
[dot1x]: [16498]: UUID: 0, ra: 0 (info): [0040.E93E.0000:Gi1/0/2] Added username in dot1x
[dot1x]: [16498]: UUID: 0, ra: 0 (info): [0040.E93E.0000:Gi1/0/2] Dot1x did not receive any key data
[dot1x]: [16498]: UUID: 0, ra: 0 (info): [0040.E93E.0000:Gi1/0/2] Received Authz fail (result: 2) for the client 0x0A00000E (0040.E93E.0000)
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] Posting_AUTHZ_FAIL on Client 0x0A00000E
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] 0x0A00000E: held
EAPoL: EAP-AFWIJZING
[dot1x]: [16498]: UUID: 0, ra: 0 (info): [0000.0000.0000:Gi1/0/2] Sending EAPOL packet
[dot1x]: [16498]: UUID: 0, ra: 0 (info): [0000.0000.0000:Gi1/0/2] Sending out EAPOL packet
[dot1x]: [16498]: UUID: 0, ra: 0 (info): [0040.E93E.0000:Gi1/0/2] EAPOL packet sent to client 0x0A00000E
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] Posting FAILOVER_RETRY on Client 0x0A00000E
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] 0x0A00000E: exiting held state
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] 0x0A00000E: entering restart
[dot1x]: [16498]: UUID: 0, ra: 0 (info): [0040.E93E.0000:Gi1/0/2] Sending create new context event to EAP for 0x0A00000E (0040.E93E.0000)
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] 0x0A00000E:restart action called
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] Posting RESTART on Client 0x0A00000E
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] Posting !EAP_RESTART on Client 0x0A00000E
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] 0x0A00000E:enter connecting state
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] 0x0A00000E: restart connecting
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] Posting RX_REQ on Client 0x0A00000E
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] 0x0A00000E: authenticating state entered
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] 0x0A00000E:connecting authenticating action
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] Posting AUTH_START for 0x0A00000E
[dot1x]: [16498]: UUID: 0, ra: 0 (debug): [0040.E93E.0000:Gi1/0/2] 0x0A00000E:entering request state
Aanvullende informatie
Standaardinstellingen
Optionele instellingen
Periodieke herverificatie:
U kunt periodieke 802.1x-clientherverificatie inschakelen en opgeven hoe vaak dit gebeurt:
- Periodieke verificatie - maakt periodieke herverificatie van de client mogelijk
-
inactiviteit — Interval in seconden waarna als er geen activiteit van de klant is, deze niet is geautoriseerd
-
opnieuw authenticeren — Tijd in seconden waarna een automatische herverificatiepoging wordt gestart
-
herstartwaarde — Interval in seconden waarna een poging wordt gedaan om een niet-geautoriseerde poort te verifiëren
-
ongeautoriseerde waarde — Interval in seconden waarna een niet-geautoriseerde sessie wordt verwijderd
authentication periodic
authentication timer {{[inactivity | reauthenticate | restart | unauthorized]} {value}}
Overtredingsmodi:
U kunt een 802.1x-poort zo configureren dat deze wordt uitgeschakeld, een syslog-fout genereert of pakketten van een nieuw apparaat verwijdert wanneer een apparaat verbinding maakt met een 802.1x-poort of het maximale aantal toegestane gegevens over apparaten op de poort is geverifieerd.
-
afsluiten – Fout bij uitschakelen van poort.
-
restrict – Een syslog-fout genereren.
-
beschermen – Verwijder pakketten van elk nieuw apparaat dat verkeer naar de poort verzendt.
-
replace – Verwijdert de huidige sessie en verifieert met de nieuwe host.
authentication violation {shutdown | restrict | protect | replace}
Verandering van de stilteperiode:
De opdracht voor herstartinterfaceconfiguratie van de verificatietimer regelt de inactieve periode, die de ingestelde periode bepaalt waarin de switch inactief blijft nadat een switch de client niet kan verifiëren. Het bereik voor de waarde is 1 tot 65535 seconden.
authentication timer restart {seconds}
De doorzendtijd van Switch naar client wijzigen:
De client reageert op het EAP-verzoek/identiteitsframe van de switch met een EAP-antwoord/identiteitsframe. Als de switch deze reactie niet ontvangt, wacht hij een bepaalde periode (bekend als de retransmissietijd) en stuurt hij het frame opnieuw.
authentication timer reauthenticate {seconds}
Het Switch-naar-clientframe-hertransmissienummer instellen:
U kunt het aantal keren dat de switch een EAP-verzoek/identiteitsframe verzendt (ervan uitgaande dat er geen antwoord wordt ontvangen) aan de client wijzigen voordat u het verificatieproces opnieuw start. Het bereik is 1 tot 10.
dot1x max-reauth-req {count}
De hostmodus configureren:
U kunt meerdere hosts (clients) toestaan op een 802.1x geautoriseerde poort.
-
multi-auth – Maakt meerdere geverifieerde clients mogelijk op zowel het spraak-VLAN als het data-VLAN.
-
multi-host – Meerdere hosts op een 802.1x-geautoriseerde poort nadat een enkele host is geverifieerd.
- multi-domein – Hiermee kan zowel een host als een spraakapparaat, zoals een IP-telefoon (Cisco of niet-Cisco), worden geverifieerd op een IEEE 802.1x-geautoriseerde poort.
authentication host-mode [multi-auth | multi-domain | multi-host | single-host]
MAC verplaatsen inschakelen:
Met MAC-verplaatsing kan een geverifieerde host van de ene poort op het apparaat naar de andere worden verplaatst.
authentication mac-move permit
MAC-vervanging inschakelen:
Met MAC replace kan een host een geverifieerde host op een poort vervangen.
-
beschermen - de poort laat pakketten vallen met onverwachte MAC-adressen zonder een systeembericht te genereren.
-
restrict - overtredende pakketten worden door de CPU gedropt en er wordt een systeembericht gegenereerd.
-
uitschakelen - de poortfout is uitgeschakeld wanneer deze een onverwacht MAC-adres ontvangt.
authentication violation {protect | replace | restrict | shutdown}
Het herverificatienummer instellen:
U kunt ook het aantal keren wijzigen dat het apparaat het verificatieproces opnieuw start voordat de poort verandert in de niet-geautoriseerde status. Het bereik is 0 tot 10.
dot1x max-req {count}
Een gastnetwerk configureren:
Wanneer u een VLAN voor gasten configureert, worden clients die niet geschikt zijn voor 802.1x in het VLAN voor gasten geplaatst wanneer de server geen antwoord ontvangt op het EAP-verzoek/identiteitsframe.
authentication event no-response action authorize vlan {vlan-id}
Een beperkt VLAN configureren:
Wanneer u een beperkt VLAN op een apparaat configureert, worden clients die IEEE 802.1x-compatibel zijn, verplaatst naar het beperkte VLAN wanneer de verificatieserver geen geldige gebruikersnaam en wachtwoord ontvangt.
authentication event fail action authorize vlan {vlan-id}
Aantal verificatiepogingen configureren op een beperkt VLAN:
U kunt het maximum aantal toegestane verificatiepogingen configureren voordat een gebruiker wordt toegewezen aan het beperkte VLAN met behulp van de opdracht voor de verificatie-gebeurtenis fail retry count interface configuration. Het bereik van toegestane authenticatiepogingen is 1 tot 3.
authentication event fail retry {retry count}
802.1x Inaccessible Authentication Bypass configureren met Critical Voice VLAN:
U kunt een kritisch voice-VLAN op een poort configureren en de functie voor ontoegankelijke bypass-verificatie inschakelen.
- autoriseren - Verplaats nieuwe hosts die willen verifiëren naar het door de gebruiker gespecificeerde kritieke VLAN
- opnieuw initialiseren - Alle geautoriseerde hosts op de poort verplaatsen naar het door de gebruiker gespecificeerde kritieke VLAN
authentication event server dead action {authorize | reinitialize} vlan vlan-id] authentication event server dead action authorize voice
802.1x-verificatie configureren met WoL:
U kunt 802.1x-verificatie inschakelen met Wake on LAN (WoL).
authentication control-direction both
MAC-verificatiebypass configureren:
mab
Flexibele verificatiebestelling configureren:
authentication order [ dot1x | mab ] | {webauth}
authentication priority [ dot1x | mab ] | {webauth}
Spraakbewuste 802.1x-beveiliging configureren:
U gebruikt de spraakbewuste 802.1x-beveiligingsfunctie op het apparaat om alleen het VLAN uit te schakelen waarop een beveiligingsovertreding optreedt, of het nu een gegevens- of spraaknetwerk is. Een beveiligingsovertreding op het VLAN voor gegevens resulteert in het afsluiten van alleen het VLAN voor gegevens. Dit is een globale configuratie.
errdisable detect cause security-violation shutdown vlan errdisable recovery cause security-violation
stroomdiagrammen
Stroomdiagram voor verificatie:
Poortgebaseerde verificatie-initiatie en berichtenuitwisseling:
Deze afbeelding toont de client die de berichtenuitwisseling naar de RADIUS-server start.
MAB Authentication Initiation and Message Exchange:
Deze figuur toont de berichtenuitwisseling tijdens MAC-authenticatiebypass (MAB).
Gerelateerde informatie
- Configuraties van RADIUS-servers ontrafelen
- Handleiding voor implementatie van MAC-verificatie-bypass
- Bekabelde 802.1x-implementatiegids
- Configuratiehandleiding voor de Catalyst 9300 SPAN
- Catalyst 9300 EPC-configuratiegids
- Cisco Technical Support en downloads
Revisiegeschiedenis
| Revisie | Publicatiedatum | Opmerkingen |
|---|---|---|
1.0 |
21-Sep-2023
|
Eerste vrijgave |
FeedbackContact Cisco
- Een ondersteuningscase openen
- (Vereist een Cisco-servicecontract)