Inhoud

Inleiding

Achtergrond

Probleem

Topologie

Werkscenario

Niet-functionerend scenario

Oplossing

Inleiding

Dit document beschrijft hoe u UCS C-Series kunt implementeren met MAB/802.1x verificatie op Cisco-switches.

Achtergrond

Een van de technologie voor toegangscontrole die Cisco biedt, is MAC Verificatie Bypass (MAB). MAB gebruikt het MAC-adres van een apparaat om te bepalen welk soort netwerktoegang moet worden verleend.

In een netwerk dat zowel apparaten omvat die ondersteuning bieden als apparaten die IEEE 802.1X niet ondersteunen, kan MAB als reserve, of complementair, aan IEEE 802.1X worden ingezet. Als het netwerk geen IEEE 802.1X-compatibele apparaten heeft, kan MAB als standalone authenticatiemechanisme worden ingezet.

Om meer te weten te komen over het gebruik van een oplossing, ontwerp, en een gefaseerde implementatiemethode, zie de implementatiegids van de MAC-verificatie Bypass Deployment.

Probleem

Topologie

UCS (C220)mgnt interface —— gig 1/0/1[3750-X]  ——— ISE (configured for MAB)

Dit gebeurt met verschillende UCS en op verschillende switches. Hetzelfde wordt waargenomen op de 4500-schakelaar.

UCS-apparaten (UCS-C210-M2: probleem waargenomen) werkt niet met MAB met gesloten toegangssessie of geen authenticatie open opdracht.

Werkscenario

De UCS Management-interface is aangesloten op switchpoort. Dit is de configuratie (in bedrijf):

interface GigabitEthernet1/0/1

description DVR-UCS-dot1x-issue

switchport access vlan 300

switchport mode access

switchport voice vlan 400

ip arp inspection trust

ipv6 nd raguard

dot1x timeout quiet-period 300

dot1x timeout tx-period 5

dot1x timeout supp-timeout 5

dot1x timeout ratelimit-period 300

no mdix auto

source template ENT-TEMPLATE

spanning-tree portfast

spanning-tree guard root

end

3750# show access-sess int g1/0/1 details

Interface: GigabitEthernet1/0/1

IIF-ID: 0x102AEC0000003D7

MAC Address: 30f7.0d08.7ace

IPv6 Address: Unknown

IPv4 Address: 10.141.49.205

User-Name: 30-F7-0D-08-7A-CE

Status: Authorized

Domain: DATA

Oper host mode: multi-auth

Oper control dir: both

Session timeout: 65535s (local), Remaining: 11282s

Timeout action: Reauthenticate

Common Session ID: 0A8D31C7000017BD723AF6C2

Acct Session ID: 0x0000287D

Handle: 0x980002D5

Current Policy: ENT-IDENTITY-POL

Server Policies:

ACS ACL: xACSACLx-IP-PERMIT_ALL_TRAFFIC-51134bb2

SGT Value: 12

Method status list:

Method State

dot1x Stopped

mab Authc Success

Niet-functionerend scenario

Maar als de toegangssessie is gesloten, kunt u deze niet pingelen en kunt u geen informatie over de toegangssessie zien.

3750(config)#int g1/0/1

3750(config-if)#access-session closed

3750(config-if)#shutdown

3750(config-if)#no shutdown

May 11 16:33:14.311 JST: %LINK-3-UPDOWN: Interface GigabitEthernet1/0/1, changed state to down

May 11 16:33:15.312 JST: %LINEPROTO-5-UPDOWN: Line protocol on Interface GigabitEthernet1/0/1, changed state to down

May 11 16:33:17.891 JST: %LINK-3-UPDOWN: Interface GigabitEthernet1/0/1, changed state to up

May 11 16:33:18.891 JST: %LINEPROTO-5-UPDOWN: Line protocol on Interface GigabitEthernet1/0/1, changed state to up

Sending 5, 100-byte ICMP Echos to 10.141.49.205, timeout is 2 seconds:

.....

Success rate is 0 percent (0/5)

3750#do sh access-sess int g1/0/1 details

No sessions match supplied criteria.

Oplossing

Debug (debug MAB all opdracht) toont de MAC-ingang van UCS die niet op de schakelaar is geleerd, die vereist is om met de backend voor authentiek te verklaren.

3750  (config)#  interface GigabitEthernet1/0/37

3750(config-if)#access-session control-direction in

Voer de controle-richting in de toegangssessie in opdracht (voorheen de authenticatie controle-richting in opdracht) om de schakelaar in staat te stellen om verkeer in stress naar de host te verzenden, maar niet andersom. Deze opdracht wordt meestal gebruikt op klanten zoals printers/apparaten die niet voortdurend verkeer verzenden als manier om communicatie te initiëren (ook gebruikt voor Wake on LAN). Een pakje wordt verzonden van de switch en de client reageert. Het antwoord bevat het MAC-adres dat vervolgens voor MAB wordt gebruikt. In de reeds vastgestelde instelling werd het MAC-adres van de client niet ontvangen.