Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Configureren

Netwerkdiagram

Uitdagingen met ondersteuning van derden

sessies

URL-omleiding

CoA

Oplossing voor ISE

Cisco ISE

Stap 1. Voeg Aruba draadloze controller toe aan netwerkapparaten

Stap 2. Registratieprofiel configureren

Stap 3. Instellen van vergunningsregels

Aruba AP

Stap 1. Configuratie van beheerportal

Stap 2. Configuratie van RADIUS-servers

Stap 3. Configuratie SSID

Verifiëren

Stap 1: verbinding met SSID Mgarcarz_aruba met EAP-PEAP

Stap 2. Web browser Traffic Redirectie voor BYOD

Stap 3. Assistant voor netwerkinstallatie

Ondersteuning van andere stromen en CoA

CWA met CoA

Problemen oplossen

Aruba Captive Portal met IP-Address in plaats van FQDN

Aruba Capture Portalonjuist toegangsbeleid

Aruba CoA-poortnummer

Omleiding op sommige ruba-apparaten

Gerelateerde informatie

Inleiding

Dit document beschrijft hoe de integratiefunctie van derden voor probleemoplossing in Cisco Identity Services Engine (ISE) wordt beschreven. Het kan worden gebruikt als leidraad voor integratie met andere verkopers en stromen. ISE versie 2.0 ondersteunt integratie van derden. Dit is een configuratievoorbeeld dat presenteert hoe te om draadloos netwerk te integreren dat door Aruba IAP 204 met ISE voor Bring Your Ewn Devices (BYOD) wordt beheerd.

Opmerking: Let erop dat Cisco niet verantwoordelijk is voor de configuratie of ondersteuning van apparaten van andere leveranciers.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

- Aruba IAP-configuratie

- BYOD-stromen op ISE

- ISE-configuratie voor wachtwoord- en certificatie-verificatie

Gebruikte componenten

De informatie in dit document is gebaseerd op deze softwareversies:

- Aruba IAP 204-software 6.4.2.3

- Cisco ISE, release 2.0 en hoger

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk levend is, zorg er dan voor dat u de mogelijke impact van om het even welke opdracht begrijpt.

Configureren

Netwerkdiagram

Er zijn twee draadloze netwerken beheerd door Aruba AP. Het eerste (mgarcarz_byod) wordt gebruikt voor 802.1x Extensible Authentication Protocol-Protected (EAP-PEAP) toegang. Na een succesvolle authenticatie moet Aruba-controller gebruiker omleiden naar ISE BYOD-portal - Native Supplicant Provisioning (NSP). Gebruiker wordt opnieuw gericht, de toepassing van de Instellen van het Netwerk Assistant (NSA) wordt uitgevoerd en het certificaat is vooraf ingesteld en geïnstalleerd op Windows client. ISE interne CA wordt gebruikt voor dat proces (standaardconfiguratie). NSA is ook verantwoordelijk voor het maken van draadloos profiel voor de tweede Service Set Identifier (SSID), beheerd door Aruba (mgarz_byod_tls) - die wordt gebruikt voor 802.1x Verhoudbare verificatie Protocol-Transport Layer Security (EAP-TLS)-verificatie.

Als resultaat hiervan kan de zakelijke gebruiker instappen van persoonlijk apparaat en veilige toegang tot bedrijfsnetwerk krijgen.

Dit voorbeeld kan gemakkelijk worden aangepast voor verschillende soorten toegang, bijvoorbeeld:

- Central Web Authentication (CWA) met BYOD-service

- 802.1x-verificatie met Posture en BYOD-omleiding

- Doorgaans wordt voor EAP-PEAP-verificatie Actieve Map gebruikt (om dit artikel kort te houden worden interne ISE-gebruikers gebruikt)

- Meestal wordt voor certificaatprovisioning externe Simple certificaatinschrijving Protocol (SCEP) gebruikt, gebruikelijk Microsoft Network Apparaatinschrijving Service (NDES) om dit artikel kort te houden, interne ISE CA gebruikt.

Uitdagingen met ondersteuning van derden

Wat zijn de uitdagingen wanneer u ISE Guest stromen (zoals BYOD, CWA, NSP, Client Provisioning Portal (CPP)) met apparaten van derden gebruikt?

sessies

Cisco Network Access Devices (NAD) gebruikt Radius cisco-av-paar genaamd audit-sessie-id om verificatie, autorisatie en accounting (AAA) server te informeren over sessie-ID. Deze waarde wordt door ISE gebruikt om de sessies te volgen en de juiste services te leveren voor elke flow. Andere verkopers ondersteunen geen cisco-av paar. Dus moet ISE zich verlaten op IETF-eigenschappen die ontvangen worden in Access-request en accounting aanvraag.

Nadat u een toegangsaanvraag hebt ontvangen, bouwt ISE gesynthetiseerd Cisco Session-id (vanuit Calling-Station-ID, NAS-poort, NAS-IP-Address en gedeeld geheim). Die waarde heeft alleen een lokale betekenis (niet verzonden via het netwerk). Als resultaat hiervan wordt van elke stroom verwacht (BYOD, CWA, NSP, CPP) om correcte eigenschappen toe te voegen - zodat ISE de zitting-ID van Cisco kan herberekenen en een raadpleging kan uitvoeren om het met de juiste sessie te correleren en de stroom voort te zetten.

URL-omleiding

ISE gebruikt Radius cisco-av-paar genaamd url-redirect en url-redirect-acl om NAD te informeren dat specifiek verkeer moet worden omgeleid.

Andere verkopers ondersteunen geen cisco-av paar. Deze apparaten moeten dus doorgaans worden geconfigureerd met een statische omleiding naar URL die wijst op specifieke service (autorisatieprofiel) op ISE. Zodra de gebruiker HTTP-sessie initieert, sturen deze NAD's terug naar de URL en voegen ze ook extra argumenten (zoals IP-adres of MAC-adres) toe om ISE specifieke sessie te laten identificeren en de stroom voort te zetten.

CoA

ISE gebruikt Radius cisco-av-paar genaamd Subscriber:opdracht, abonnee:reauthentiek-type om aan te geven welke acties NAD voor een specifieke sessie moet nemen. Andere verkopers ondersteunen cisco-av paar niet. Meestal gebruiken die apparaten RFC CoA (3576 of 5176) en een van de twee gedefinieerde berichten:

- ontkoppel het verzoek (ook het Packet of disconnect genoemd) - dat wordt gebruikt om de sessie los te koppelen (zeer vaak om heraansluiting te forceren)

- CoA - die wordt gebruikt om de sessiestatus transparant te wijzigen zonder dat de verbinding wordt verbroken (bijvoorbeeld VPN-sessie en nieuwe ACL toegepast)

ISE ondersteunt Cisco CoA met cisco-av-paar en ook beide RFC CoA 3576/5176.

Oplossing voor ISE

Om derden te ondersteunen heeft ISE 2.0 een concept van Network Devices Profiles geïntroduceerd dat beschrijft hoe specifieke leveranciers zich gedragen - hoe sessies, URL Redirect en CoA worden ondersteund.

Verificatieprofielen zijn van een specifiek type (netwerkapparaatprofiel) en zodra de verificatie plaatsvindt wordt ISE-gedrag van dat profiel afgeleid. Als resultaat hiervan kunnen apparaten van andere verkopers makkelijk door ISE worden beheerd. Ook de configuratie op ISE is flexibel en stelt u in staat om nieuwe profielen van het netwerkapparaat aan te passen of te maken.

Dit artikel beschrijft het gebruik van een standaardprofiel voor een Aruba-apparaat.

Meer informatie over deze functie:

Netwerktoegangsapparaat met Cisco Identity Services Engine

Cisco ISE

Stap 1. Voeg Aruba draadloze controller toe aan netwerkapparaten

Navigeer naar Beheer > Netwerkbronnen > Netwerkapparaten. Kies een correct apparaatprofiel voor geselecteerde verkoper, in dit geval: Aruba draadloos.  Zorg ervoor dat u gedeeld geheim en CoA poort configureren zoals in de afbeeldingen wordt weergegeven.

Er is geen beschikbaar profiel voor de gewenste verkoper en deze kan worden geconfigureerd onder Beheer > Netwerkbronnen > Netwerkprofielen.

Stap 2. Registratieprofiel configureren

Navigeren in op beleid > Beleidselementen > Resultaten > Vergunningsprofielen > Vergunningsprofielen kiest hetzelfde netwerkapparaatprofiel als in stap 1. ArubaWireless. Het profiel is Aruba-redirect-BYOD met BYOD-portal en zoals in de afbeeldingen wordt getoond.

Ontbrekend deel van de configuratie van de Webomleiding, waar een statische link naar het machtigingsprofiel wordt gegenereerd. Terwijl Aruba geen dynamische omleiding naar een gastportal ondersteunt, is er één link toegewezen aan elk autorisatieprofiel, dat vervolgens is geconfigureerd op Aruba en zoals in de afbeelding wordt getoond.

Stap 3. Instellen van vergunningsregels

Navigeer naar beleid > de regels van de Vergunning en de configuratie is zoals in de afbeelding getoond.

Eerst sluit gebruiker zich aan op SSID mgracarz_aruba en ISE geeft Authorization Profile Aruba-redirect-BYOD terug dat client omwijst naar standaard BYOD portal. Nadat het BYOD-proces is voltooid, sluit de cliënt zich aan bij EAP-TLS en wordt volledige toegang tot het netwerk verleend.

Aruba AP

Stap 1. Configuratie van beheerportal

Om Captive Portal op Aruba 204 te configureren navigeer naar Security > Extern Captive Portal en voeg er een toe. Geef deze informatie op voor een goede configuratie en zoals in de afbeelding weergegeven.

- Type: Straalverificatie

- IP of hostname: ISE-server

- URL: koppeling die op ISE wordt gecreëerd onder configuratie van het vergunningsprofiel; het is specifiek voor een bepaald vergunningsprofiel en kan hier worden gevonden onder de configuratie van webomleiding

- Port: poortnummer waarop een geselecteerd portal is geïnstalleerd op ISE (standaard: 8443) zoals in de afbeelding weergegeven.

Stap 2. Configuratie van RADIUS-servers

Navigeer naar Security > Verificatieservers om te verzekeren dat CoA poort hetzelfde is als ingesteld op ISE zoals in de afbeelding wordt getoond. (Standaard wordt Aruba 204 ingesteld op 5999, maar dat voldoet niet aan RFC 5176 en werkt het ook niet met ISE).

Stap 3. Configuratie SSID

- Het tabblad Beveiliging is weergegeven zoals in de afbeelding.

- Toegangstabblad: Selecteer Netwerkgebaseerde toegangsregel om een portal op SSID te configureren.

Gebruik een portal dat in Stap 1 is geconfigureerd. Klik op New, kies regeltype: Captive portal, Splash pagina type: Extern zoals in de afbeelding.

Daarnaast kunt u al het verkeer naar ISE-server (TCP-poorten tussen 1 en 2000) toestaan, terwijl u standaard op Aruba hebt ingesteld: Toestaan van alle bestemmingen lijkt niet goed te werken, zoals in de afbeelding wordt getoond.

Verifiëren

Gebruik dit gedeelte om te bevestigen dat de configuratie correct werkt.

Stap 1: verbinding met SSID Mgarcarz_aruba met EAP-PEAP

Eerste authenticatielog op ISE verschijnt. Er is standaard authenticatiebeleid toegepast, het Aruba-redirect-BYOD autorisatieprofiel is teruggegeven zoals in de afbeelding wordt getoond.

ISE retourneert Radius Access-Accept bericht met EAP-succes. Let op dat er geen extra eigenschappen worden teruggegeven (geen Cisco av-paar url-redirect of url-redirect-acl) zoals in de afbeelding wordt getoond.

Aruba meldt dat de sessie tot stand is gebracht (EAP-PEAP-identiteit is cisco) en dat de geselecteerde Rol mgarcarz_aruba is zoals in de afbeelding te zien is.

Die rol is verantwoordelijk voor de omleiding naar de ISE (in gevangenschap gevestigde portaalfunctie op Aruba).

In Aruba CLI kan worden bevestigd wat de huidige toelatingsstatus voor die sessie is:

04:bd:88:c3:88:14# show datapath user

Datapath User Table Entries

---------------------------

Flags: P - Permanent, W - WEP, T- TKIP, A - AESCCM

R - ProxyARP to User, N - VPN, L - local, I - Intercept, D - Deny local routing

FM(Forward Mode): S - Split, B - Bridge, N - N/A

IP              MAC           ACLs    Contract   Location  Age    Sessions   Flags     Vlan  FM

---------------  -----------------  -------  ---------  --------  -----  ---------  -----     ----  --

10.62.148.118    04:BD:88:C3:88:14   105/0      0/0     0         1        0/65535  P           1   N

10.62.148.71     C0:4A:00:14:6E:31   138/0      0/0     0         0        6/65535              1   B

0.0.0.0          C0:4A:00:14:6E:31   138/0      0/0     0         0        0/65535  P           1   B

172.31.98.1      04:BD:88:C3:88:14   105/0      0/0     0         1        0/65535  P        3333   B

0.0.0.0          04:BD:88:C3:88:14   105/0      0/0     0         0        0/65535  P           1   N

04:bd:88:c3:88:14#

En om ACL ID 138 te controleren op de huidige permissies:

04:bd:88:c3:88:14# show datapath acl 138

Datapath ACL 138 Entries

-----------------------

Flags: P - permit, L - log, E - established, M/e - MAC/etype filter

S - SNAT, D - DNAT, R - redirect, r - reverse redirect m - Mirror

I - Invert SA, i - Invert DA, H - high prio, O - set prio, C - Classify Media

A - Disable Scanning, B - black list, T - set TOS, 4 - IPv4, 6 - IPv6

K - App Throttle, d - Domain DA

----------------------------------------------------------------

1:  any  any  17 0-65535 8209-8211  P4

2:  any  172.31.98.1 255.255.255.255  6 0-65535 80-80  PSD4

3:  any  172.31.98.1 255.255.255.255  6 0-65535 443-443  PSD4

4:  any  mgarcarz-ise20.example.com  6 0-65535 80-80  Pd4

5:  any  mgarcarz-ise20.example.com  6 0-65535 443-443  Pd4

6:  any  mgarcarz-ise20.example.com  6 0-65535 8443-8443  Pd4  hits 37

7:  any  10.48.17.235 255.255.255.255  6 0-65535 1-20000  P4  hits 18

<....some output removed for clarity ... >

Dat komt overeen met wat in GUI voor die Rol werd ingesteld zoals in de afbeelding.

Stap 2. Web browser Traffic Redirectie voor BYOD

Zodra de gebruiker de webbrowser opent en elk adres typt, vindt er een omleiding plaats zoals in de afbeelding wordt getoond.

Als je naar de pakketvastlegging kijkt, wordt bevestigd dat Aruba de bestemming (5.5.5.5) beslaat en de HTTP-omleiding naar ISE retourneert.

Merk op dat dit dezelfde statische URL is als die in ISE is geconfigureerd en naar Captive Portal op Aruba is gekopieerd - maar er worden daarnaast meerdere argumenten als volgt toegevoegd en in het beeld weergegeven:

- cmd = aanmelding

- mac = c0:4a:00:14:6e:31

- essias = mgarcarz_aruba

- ip = 10.62.148.7

- naam = 4bd88c38814 (mac)

- URL = http://5.5.5.5

Vanwege deze argumenten kan ISE de sessie-ID van Cisco opnieuw genereren, de corresponderende sessie op ISE ontdekken en met BYOD (of een andere geconfigureerde) flow verdergaan. Voor Cisco-apparaten zou audit_sessie_id normaal gebruikt worden maar dat wordt niet ondersteund door andere verkopers.

Om te bevestigen dat van ISE-debugs, is het mogelijk om de generatie van audit-sessie-id waarde (die nooit via het netwerk wordt verstuurd) te zien:

AcsLogs,2015-10-29 23:25:48,538,DEBUG,0x7fc0b39a4700,cntx=0000032947,CallingStationID=

c04a00146e31,FramedIPAddress=10.62.148.71,MessageFormatter::appendValue() attrName:

cisco-av-pair appending value:

audit-session-id=0a3011ebXbiuDA3yUNoLUvtCRyuPFxkqYJ7TT06foOZ7G1HXj1M

correlatie van die na registratie van het apparaat op BYOD Pagina 2:

AcsLogs,2015-10-29 23:25:48,538,DEBUG,0x7fc0b39a4700,cntx=0000032947,CallingStationID=

c04a00146e31,FramedIPAddress=10.62.148.71,Log_Message=[2015-10-29 23:25:48.533 +01:00

0000011874 88010 INFO  MyDevices: Successfully registered/provisioned the device

(endpoint), ConfigVersionId=145, UserName=cisco, MacAddress=c0:4a:00:14:6e:31,

IpAddress=10.62.148.71, AuthenticationIdentityStore=Internal Users,

PortalName=BYOD Portal (default), PsnHostName=mgarcarz-ise20.example.com,

GuestUserName=cisco, EPMacAddress=C0:4A:00:14:6E:31, EPIdentityGroup=RegisteredDevices

Staticassignment=true, EndPointProfiler=mgarcarz-ise20.example.com, EndPointPolicy=

Unknown, NADAddress=10.62.148.118, DeviceName=ttt, DeviceRegistrationStatus=Registered

AuditSessionId=0a3011ebXbiuDA3yUNoLUvtCRyuPFxkqYJ7TT06foOZ7G1HXj1M,

cisco-av-pair=audit-session-id=0a3011ebXbiuDA3yUNoLUvtCRyuPFxkqYJ7TT06foOZ7G1HXj1M

In latere verzoeken wordt client omgeleid naar BYOD Pagina 3. waar NSA wordt gedownload en uitgevoerd.

Stap 3. Assistant voor netwerkinstallatie

NSA heeft dezelfde taak als webbrowser. Eerst moet het detecteren wat het IP-adres van ISE is. Dit wordt bereikt door middel van HTTP-omleiding. Maar omdat deze gebruiker geen IP-adres kan typen (zoals in de webbrowser), wordt dat verkeer automatisch gegenereerd. De standaardgateway wordt gebruikt (ook kan enroll.cisco.com worden gebruikt) zoals in de afbeelding wordt weergegeven.

De respons is precies hetzelfde als voor de webbrowser. Op deze manier kan NSA aan ISE verbinden, het venster van een xml profiel met configuratie krijgen, het verzoek van SCEP genereren, het naar ISE verzenden, getekend certificaat krijgen (ondertekend door ISE interne CA), draadloos profiel configureren en tenslotte verbinding maken met de geconfigureerde SSID. Verzamel logbestanden vanaf de client (op Windows zijn deze in %temp%/spwProfile.log). Sommige uitgangen worden voor de duidelijkheid weggelaten:

Logging started

SPW Version: 1.0.0.46

System locale is [en]

Loading messages for english...

Initializing profile

SPW is running as High integrity Process - 12288

GetProfilePath: searched path = C:\Users\ADMINI~1.EXA\AppData\Local\Temp\ for file name = spwProfile.xml result: 0

GetProfilePath: searched path = C:\Users\ADMINI~1.EXA\AppData\Local\Temp\Low for file name = spwProfile.xml result: 0

Profile xml not found Downloading profile configuration...

Downloading profile configuration...

Discovering ISE using default gateway

Identifying wired and wireless network interfaces, total active interfaces: 1

Network interface - mac:C0-4A-00-14-6E-31, name: Wireless Network Connection, type: wireless

Identified default gateway: 10.62.148.100

Identified default gateway: 10.62.148.100, mac address: C0-4A-00-14-6E-31

redirect attempt to discover ISE with the response url

DiscoverISE - start

Discovered ISE - : [mgarcarz-ise20.example.com, sessionId: 0a3011ebXbiuDA3yUNoLUvtCRyuPFxkqYJ7TT06foOZ7G1HXj1M]

DiscoverISE - end

Successfully Discovered ISE: mgarcarz-ise20.example.com, session id: 0a3011ebXbiuDA3yUNoLUvtCRyuPFxkqYJ7TT06foOZ7G1HXj1M, macAddress: C0-4A-00-14-6E-31

GetProfile - start

GetProfile - end

Successfully retrieved profile xml

using V2 xml version

parsing wireless connection setting

Certificate template: [keysize:2048, subject:OU=Example unit,O=Company name,L=City,ST=State,C=US, SAN:MAC]

set ChallengePwd

creating certificate with subject = cisco and subjectSuffix = OU=Example unit,O=Company name,L=City,ST=State,C=US

Installed [LAB CA, hash: fd 72 9a 3b b5 33 72 6f  f8 45 03 58 a2 f7 eb 27^M

ec 8a 11 78^M

] as rootCA

Installed CA cert for authMode machineOrUser - Success

HttpWrapper::SendScepRequest - Retrying: [1] time, after: [2] secs , Error: [0], msg: [ Pending]

creating response file name C:\Users\ADMINI~1.EXA\AppData\Local\Temp\response.cer

Certificate issued - successfully

ScepWrapper::InstallCert start

ScepWrapper::InstallCert: Reading scep response file  [C:\Users\ADMINI~1.EXA\AppData\Local\Temp\response.cer].

ScepWrapper::InstallCert GetCertHash -- return val 1

ScepWrapper::InstallCert end

Configuring wireless profiles...

Configuring ssid [mgarcarz_aruba_tls]

WirelessProfile::SetWirelessProfile - Start

Wireless profile: [mgarcarz_aruba_tls] configured successfully

Connect to SSID

Successfully connected profile: [mgarcarz_aruba_tls]

WirelessProfile::SetWirelessProfile. - End

Deze logbestanden zijn exact hetzelfde als voor het BYOD-proces met Cisco-apparaten.

Opmerking: Radius CoA is hier niet vereist. Het is de toepassing (NSA) die reconnectie met een nieuw gevormde SSID afdwingt.

In dat stadium kan de gebruiker zien dat het systeem probeert te associëren met een definitieve SSID. Als u meer dan één gebruikerscertificaat hebt, moet u de juiste selecteren zoals in de afbeelding.

Na een succesvolle verbinding, wordt de NSA rapporten weergegeven zoals in de afbeelding.

Dat kan op ISE bevestigd worden - het tweede logboek slaat EAP-TLS-authenticatie aan, dat alle voorwaarden voor Basic_Authenticated_Access (EAP-TLS, Werknemer, en BYOD registreerde waar) overeenkomt zoals in de afbeelding getoond wordt.

Tevens kan de weergave van de eindidentiteit bevestigen dat het eindpunt de BYOD geregistreerde vlag op waarheid heeft ingesteld zoals in de afbeelding.

Op Windows PC is er automatisch een nieuw draadloos profiel gemaakt als geprefereerd (en geconfigureerd voor EAP-TLS) en zoals in de afbeelding wordt getoond.

In dat stadium bevestigt Aruba dat de gebruiker is verbonden met de definitieve SSID zoals in de afbeelding wordt weergegeven.

De rol die automatisch wordt gemaakt en dezelfde naam heeft als Network, biedt volledige netwerktoegang zoals in de afbeelding.

Ondersteuning van andere stromen en CoA

CWA met CoA

Terwijl in BYOD-flow er geen CoA-berichten zijn, wordt hier CWA-flow met Self Registered Guest Portal aangetoond:

De regels voor autorisatie zijn ingesteld zoals in de afbeelding.

Gebruiker verbindt met SSID met MAB authenticatie en zodra het probeert verbinding te maken met een webpagina, wordt verwezen naar Self Registered Guest Portal, waar Guest nieuwe account kan maken of gebruik kan maken van de huidige versie zoals in de afbeelding wordt getoond.

Nadat de gast met succes is aangesloten, wordt CoA bericht verzonden van ISE naar Netwerkapparaat om de vergunningsstaat zoals in de afbeelding te veranderen.

Het kan worden geverifieerd onder Operaties > Vergunningen en zoals in de afbeelding wordt getoond.

CoA-bericht op ISE-sites:

2015-11-02 18:47:49,553 DEBUG  [Thread-137][] cisco.cpm.prrt.impl.PrRTLoggerImpl -:::::-

DynamicAuthorizationFlow,DEBUG,0x7fc0e9cb2700,cntx=0000000561,sesn=c59aa41a-e029-4ba0-a31b

-44549024315e,CallingStationID=c04a00157634,[DynamicAuthorizationFlow::createCoACmd]

Processing incoming attribute vendor , name NAS-IP-Address, value=10.62.148.118.,

DynamicAuthorizationFlow.cpp:708

2015-11-02 18:47:49,567 DEBUG  [Thread-137][] cisco.cpm.prrt.impl.PrRTLoggerImpl -:::::-

DynamicAuthorizationFlow,DEBUG,0x7fc0e9cb2700,cntx=0000000561,sesn=c59aa41a-e029-4ba0-a31b

-44549024315e,CallingStationID=c04a00157634,[DynamicAuthorizationFlow::createCoACmd]

Processing incoming attribute vendor , name Acct-Session-Id, value=04BD88B88144-

C04A00157634-7AD.,DynamicAuthorizationFlow.cpp:708

2015-11-02 18:47:49,573 DEBUG  [Thread-137][] cisco.cpm.prrt.impl.PrRTLoggerImpl -:::::-

DynamicAuthorizationFlow,DEBUG,0x7fc0e9cb2700,cntx=0000000561,sesn=c59aa41a-e029-4ba0-a31b

-44549024315e,CallingStationID=c04a00157634,[DynamicAuthorizationFlow::createCoACmd]

Processing incoming attribute vendor , name cisco-av-pair, v

alue=audit-session-id=0a3011ebisZXypODwqjB6j64GeFiF7RwvyocneEia17ckjtU1HI.,DynamicAuthorizationFlow.cpp:708

2015-11-02 18:47:49,584 DEBUG  [Thread-137][] cisco.cpm.prrt.impl.PrRTLoggerImpl -:::::-

DynamicAuthorizationFlow,DEBUG,0x7fc0e9cb2700,cntx=0000000561,sesn=c59aa41a-e029-4ba0-a31b

-44549024315e,CallingStationID=c04a00157634,[DynamicAuthorizationRequestHelper::

setConnectionParams] defaults from nad profile : NAS=10.62.148.118, port=3799, timeout=5,

retries=2 ,DynamicAuthorizationRequestHelper.cpp:59

2015-11-02 18:47:49,592 DEBUG  [Thread-137][] cisco.cpm.prrt.impl.PrRTLoggerImpl -:::::-

DynamicAuthorizationFlow,DEBUG,0x7fc0e9cb2700,cntx=0000000561,sesn=c59aa41a-e029-4ba0-a31b

-44549024315e,CallingStationID=c04a00157634,[DynamicAuthorizationRequestHelper::set

ConnectionParams] NAS=10.62.148.118, port=3799, timeout=5, retries=1,

DynamicAuthorizationRequestHelper.cpp:86

2015-11-02 18:47:49,615 DEBUG  [Thread-137][] cisco.cpm.prrt.impl.PrRTLoggerImpl -:::::-

DynamicAuthorizationFlow,DEBUG,0x7fc0e9cb2700,cntx=0000000561,sesn=c59aa41a-e029-4ba0-a31b

-44549024315e,CallingStationID=c04a00157634,[DynamicAuthorizationFlow::onLocalHttpEvent]:

invoking DynamicAuthorization,DynamicAuthorizationFlow.cpp:246

en disconnect-ACK die afkomstig is van Aruba:

2015-11-02 18:47:49,737 DEBUG  [Thread-147][] cisco.cpm.prrt.impl.PrRTLoggerImpl -:::::-

DynamicAuthorizationFlow,DEBUG,0x7fc0e9eb4700,cntx=0000000561,sesn=c59aa41a-e029-4ba0-a31b

-44549024315e,CallingStationID=c04a00157634,[DynamicAuthorizationFlow::

onResponseDynamicAuthorizationEvent] Handling response

ID c59aa41a-e029-4ba0-a31b-44549024315e, error cause 0, Packet type 41(DisconnectACK).,

DynamicAuthorizationFlow.cpp:303

Packet Captures met CoA DICOM-verzoek (40) en DICOM-ACK (41) is zoals in de afbeelding weergegeven.

Opmerking: RFC CoA is gebruikt voor verificatie gerelateerd aan apparaatprofiel (standaardinstellingen). Voor verificatie met betrekking tot Cisco-apparaat zou dit Cisco CoA-type reauthentiseren.

Problemen oplossen

Deze sectie verschaft informatie die u kunt gebruiken om problemen met uw configuratie op te lossen.

Aruba Captive Portal met IP-Address in plaats van FQDN

Als Captive Portalon Aruba met IP-adres is geconfigureerd in plaats van FQDN van ISE, zal PSN NSA falen:

Warning - [HTTPConnection] Abort the HTTP connection due to invalid certificate

CN

De reden daarvoor is strikte certificatie wanneer u verbinding maakt met ISE. Wanneer u IP-adres gebruikt om verbinding te maken met ISE (als resultaat van omleiding van URL met IP-adres in plaats van FQDN) en wordt aangeboden met ISE-certificaat met Onderwerp Naam = FQDN-validatie mislukt.

Opmerking: Webbrowser gaat verder met de BYOD-portal (met waarschuwing die door de gebruiker moet worden goedgekeurd).

Aruba Capture Portalonjuist toegangsbeleid

Aruba Access-Policy, ingesteld met Captive Portal, biedt standaard TCP-poorten 80, 443 en 8080.

De NSA kan geen verbinding maken met TCP poort 8905 om het profiel van xml van ISE te krijgen. Deze fout wordt gemeld:

Failed to get spw profile url using - url

[https://mgarcarz-ise20.example.com:8905/auth/provisioning/evaluate?

typeHint=SPWConfig&referrer=Windows&mac_address=C0-4A-00-14-6E-31&spw_version=

1.0.0.46&session=0a3011ebXbiuDA3yUNoLUvtCRyuPFxkqYJ7TT06foOZ7G1HXj1M&os=Windows All]

- http Error: [2] HTTP response code: 0]

GetProfile - end

Failed to get profile. Error: 2

Aruba CoA-poortnummer

Aruba biedt standaard het poortnummer voor CoA Air Group CoA-poort 5999. Helaas reageerde Aruba 204 niet op dergelijke verzoeken, zoals in de afbeelding wordt getoond.

De pakketvastlegging is zoals in de afbeelding weergegeven.

De beste optie om hier te gebruiken kan CoA poort 3977 zijn zoals beschreven in RFC 5176.

Omleiding op sommige ruba-apparaten

Op Aruba 3600 met v6.3 is opgemerkt dat de omleiding iets anders werkt dan op andere controllers. U vindt hier en in de afbeelding een verklaring voor de pakketvastlegging.

packet 1: PC is sending GET request to google.com

packet 2: Aruba is returning HTTP 200 OK with following content:

<meta http-equiv='refresh' content='1; url=http://www.google.com/&arubalp=6b0512fc-f699-45c6-b5cb-e62b3260e5'>\n

packet 3: PC is going to link with  Aruba attribute returned in packet 2:

http://www.google.com/&arubalp=6b0512fc-f699-45c6-b5cb-e62b3260e5

packet 4: Aruba is redirecting to the ISE (302 code):

https://10.75.89.197:8443/portal/g?p=4voD8q6W5Lxr8hpab77gL8VdaQ&cmd=login&mac=80:86:f2:59:d9:db&ip=10.75.94.213&essid=SC%2DWiFi&apname=LRC-006&apgroup=default&url=http%3A%2F%2Fwww%2Egoogle%2Ecom%2F

Gerelateerde informatie

- Administrator-gids voor Cisco Identity Services Engine, release 2.0

- Netwerktoegangsapparaat met Cisco Identity Services Engine

- Technische ondersteuning en documentatie – Cisco Systems