Voorkomen dat grootschalige draadloze RADIUS-netwerken smelten

Inleiding

Dit document biedt een kort overzicht van basisconfiguratierichtlijnen voor grootschalige draadloze implementaties, zoals de AireOS Wireless LAN Controller (WLC) met RADIUS met de Cisco Identity Services Engine (ISE) of de Cisco Secure Access Control Server (ACS). In dit document wordt verwezen naar andere documenten met meer technische details.

Symptomen waargenomen

Typisch universitaire omgevingen tegenkomen deze Authenticatie, Autorisatie en Accounting (AAA) meltdown staat. In dit gedeelte worden de gebruikelijke symptomen/logs beschreven die in deze omgeving worden waargenomen.

1. RADIUS-prestaties bewaken

De Dotx-client ondervindt een grote vertraging met veel herpogingen om te verifiëren.

Gebruik de opdracht straal-controlestatistieken weergeven (GUI: Monitor > Statistieken > RADIUS-servers) om problemen op te sporen. Zoek specifiek naar grote aantallen Retries, Rejects en Timeouts. Hierna volgt een voorbeeld:

Server Index..................................... 2
 Server Address................................... 192.168.88.1
 Msg Round Trip Time.............................. 3 (msec)
 First Requests................................... 1256
 Retry Requests................................... 5688
 Accept Responses................................. 22
 Reject Responses................................. 1
 Challenge Responses.............................. 96
 Malformed Msgs................................... 0
 Bad Authenticator Msgs........................... 0
 Pending Requests................................. 1
 Timeout Requests................................. 6824
 Unknowntype Msgs................................. 0
 Other Drops...................................... 0

Zoeken naar:

• Hoge retry: First Request ratio (mag niet meer dan 10% zijn)
• Hoge afwijzing: acceptatiegraad
• Hoge time-out: verhouding eerste verzoek (mag niet meer dan 5% zijn)

Als er problemen zijn, controleer dan op:

• Verkeerd geconfigureerde clients
• Problemen met de bereikbaarheid van het netwerk tussen de WLC en de RADIUS-server
• Problemen tussen de RADIUS-server en de back-enddatabase, indien in gebruik, zoals met Active Directory (AD)

2. De WLC ziet de RADIUS Queue Full op de Msglogs

De WLC ontvangt dit bericht over de RADIUS-wachtrij:

Univ-WISM2-02: *aaa QueueReader: Dec 02 14:25:31.565: #AAA-3-3TXQUEUE_ADD_FAILED:
radius_db.c:889 Transmission queue full. Que name: Radius queue. Dropping 
sessionpackets.
host = x.x.x.x.

3. AAA debuggen

Een debug van AAA toont dit bericht:

*aaaQueueReader: Dec 02 21 09:19:52.198: xx:xx:xx:xx:xx:xx Returning AAA Error
'Out of Memory' (-2) for mobile xx:xx:xx:xx:xx:xx

Een debug van AAA retourneert de AAA Error Timeout (-5) voor mobiele apparaten. De AAA-server is onbereikbaar en wordt gevolgd door de deautorisatie van de client.

4. RADIUS-server is te druk en reageert niet

Hier is de logsysteem tijdval:

0 Wed Aug 20 15:30:40 2014 RADIUS auth-server x.x.x.x:1812 available
 1 Wed Aug 20 15:30:40 2014 RADIUS auth-server x.x.x.x:1812 available
 2 Wed Aug 20 15:30:40 2014 RADIUS server x.x.x.x:1812 activated on WLAN 6
 3 Wed Aug 20 15:30:40 2014 RADIUS server x.x.x.x:1812 deactivated on WLAN 6
 4 Wed Aug 20 15:30:40 2014 RADIUS auth-server x.x.x.x:1812 unavailable
 5 Wed Aug 20 15:30:40 2014 RADIUS server x.x.x.x:1812 failed to respond to request
 (ID 22) for client 68:96:7b:0e:46:7f / user 'user1@univ1.edu'
 6 Wed Aug 20 15:29:57 2014 User Larry_Dull_231730 logged Out. Client MAC:84:a6:c8:
 87:13:9c, Client IP:198.21.137.22, AP MAC:c0:7b:bc:cf:af:40, AP Name:Dot1x-AP
 7 Wed Aug 20 15:28:42 2014 RADIUS server x.x.x.x:1812 failed to respond to request
 (ID 183) for client 48:d7:05:7d:93:a5 / user ' user2@univ2.edu '
 8 Wed Aug 20 15:28:42 2014 RADIUS auth-server x.x.x.x:1812 unavailable
 9 Wed Aug 20 15:28:42 2014 RADIUS server x.x.x.x:1812 failed to respond to request
 (ID 154) for client 40:0e:85:76:00:68 / user ' user1@univ1.edu '
 10 Wed Aug 20 15:28:41 2014 RADIUS auth-server x.x.x.x:1812 available
 11 Wed Aug 20 15:28:41 2014 RADIUS auth-server x.x.x.x:1812 unavailable
 12 Wed Aug 20 15:28:41 2014 RADIUS server x.x.x.x:1812 failed to respond to request
 (ID 99) for client 50:2e:5c:ea:e4:ba / user ' user3@univ3.edu '
 13 Wed Aug 20 15:28:38 2014 RADIUS auth-server x.x.x.x:1812 available
 14 Wed Aug 20 15:28:38 2014 RADIUS auth-server x.x.x.x:1812 unavailable
 15 Wed Aug 20 15:28:38 2014 RADIUS server x.x.x.x:1812 failed to respond to request
 (ID 30) for client b4:18:d1:60:6b:51 / user ' user1@univ1.edu '
 16 Wed Aug 20 15:28:38 2014 RADIUS auth-server x.x.x.x:1812 available
 17 Wed Aug 20 15:28:38 2014 RADIUS server x.x.x.x:1812 activated on WLAN 6
 18 Wed Aug 20 15:28:38 2014 RADIUS server x.x.x.x:1812 deactivated on WLAN 6
 19 Wed Aug 20 15:28:38 2014 RADIUS auth-server x.x.x.x:1812 unavailable

Best practice tuning

WLC-side tuning

• Extensible Authentication Protocol (EAP) - Laat de 802.1X-clientuitsluiting werken.
  
  
  • Schakel wereldwijde uitsluiting van clients in voor 802.1X.
    
  • Stel de clientuitsluiting op de 802.1X Wireless LAN's (WLAN's) in op ten minste 120 seconden.
    
  • Stel EAP-timers in zoals beschreven in het 802.1X Client Exclusion-artikel op een AireOS WLC.
  
  
  
• Stel RADIUS-tijdstippen voor hertransmissie in op ten minste vijf seconden.
  
  
• Stel Sessie-time-out in op ten minste acht uur.
  
  
• Schakel Agressieve failover uit, waardoor geen enkele leverancier zich misdraagt om de WLC tussen de RADIUS-servers te laten uitvallen.
  
  
• Configureer Fast Secure Roaming voor uw klanten.
  
  
  • Zorg ervoor dat Microsoft Windows EAP-clients Wi-Fi Protected Access 2 (WPA2)/Advanced Encryption Standard (AES) gebruiken, zodat ze gebruik kunnen maken van Opportunistic Key Caching (OKC).
    
    
  • Als u Apple iOS-clients kunt scheiden van hun eigen WLAN, kunt u 802.11r op dat WLAN inschakelen.
    
    
  • Schakel Cisco Centralized Key Management (CCKM) in voor elk WLAN dat 792x-telefoons ondersteunt (maar schakel CCKM niet in op elke Service Set Identifier (SSID) die Microsoft Windows- of Android-clients ondersteunt, omdat deze meestal problematische CCKM-implementaties hebben).
    
    
  • Schakel Sticky Key Caching (SKC) in voor elk EAP WLAN dat de Macintosh Operating System (MAC OS) X- en/of Android-clients ondersteunt.
    
    Raadpleeg 802.11 WLAN-roaming en Fast-Secure Roaming op CUWN voor meer informatie.
    
    

    Opmerking: controleer uw WLC Pairwise Master Key (PMK) cachegebruik op piekmomenten met de opdracht show pmk-cache all. Als u uw maximale PMK-cachegrootte bereikt of er dichtbij komt, moet u waarschijnlijk SKC uitschakelen.

    
    
  • Als u ISE gebruikt met profilering, gebruikt u WLC-side DHCP/HTTP-profilering. Hiermee worden de profileringsgegevens samengevoegd tot een RADIUS Accounting-pakket dat eenvoudig kan worden gebalanceerd, zodat alle gegevens voor het eindpunt hetzelfde Public Services Network (PSN) bereiken.
    
    
  • Zorg ervoor dat de tussentijdse boekhouding is uitgeschakeld, tenzij je het nodig hebt voor byte-gebaseerde facturering diensten. Anders voegt tussentijdse boekhouding alleen belasting toe zonder extra voordeel.
    
    
  • Gebruik de beste WLC code.
    
    

  RADIUS-serverzijafstemming

  • Verminder de logging rate. De meeste RADIUS-servers kunnen worden geconfigureerd over de logboekregistratie die ze opslaan. Als de ACS of de ISE wordt gebruikt, kan een beheerder kiezen welke categorieën zijn aangemeld bij de monitoringdatabase. Een voorbeeld kan zijn dat als boekhoudkundige gegevens van de RADIUS-server worden verzonden en worden bekeken met een andere toepassing zoals SYSLOG, de gegevens niet lokaal naar de database worden geschreven. Zorg er op de ISE voor dat de logonderdrukking altijd ingeschakeld blijft. Als het moet worden uitgeschakeld voor het oplossen van problemen, ga dan naar Beheer > Systeem > Logboekregistratie > Verzamelfilters en gebruik de optie Bypass Suppression om onderdrukking op een individueel eindpunt of gebruiker uit te schakelen. In ISE versie 1.3 en hoger kan er met de rechtermuisknop op een eindpunt worden geklikt in het live-verificatielog om onderdrukking ook uit te schakelen.
    
    
  • Zorg ervoor dat de back-endauthenticatie laag is (AD, Lightweight Directory Access Protocol (LDAP), Rivest, Shamir, Adleman (RSA)). Als u de ACS of de ISE gebruikt, kunnen de samenvattende verificatierapporten worden uitgevoerd om de latentie per server te controleren op zowel gemiddelde als pieklatentie. Hoe langer het duurt voordat een verzoek wordt verwerkt, hoe lager het authenticatiepercentage dat de ACS of de ISE kan verwerken. 95% van de tijd is hoge latentie te wijten aan een langzame reactie van een backend-database.
    
    
  • Wachtwoordherhalingen van het Protected Extensible Authentication Protocol (PEAP) uitschakelen. De meeste apparaten ondersteunen geen wachtwoordherhalingen in de PEAP-tunnel, dus een herhalingspoging van de EAP-server zorgt ervoor dat het apparaat niet meer reageert en opnieuw start met een nieuwe EAP-sessie. Dit veroorzaakt EAP-time-outs in plaats van afwijzingen, wat betekent dat uitsluitingen van clients niet worden geraakt.
    
    
  • Ongebruikte EAP-protocollen uitschakelen. Dit is niet van cruciaal belang, maar voegt wel enige efficiëntie toe aan de EAP-uitwisseling en zorgt ervoor dat een client geen zwakke of onbedoelde EAP-methode kan gebruiken.
    
    
  • PEAP-sessie hervatten en snel opnieuw verbinden inschakelen.
    
    
  • Stuur geen MAC-verificaties naar het AD als dat niet nodig is. Dit is een veel voorkomende misconfiguratie die de belasting verhoogt op de domeincontrollers waartegen ISE authenticeert. Deze leiden vaak tot negatieve zoekopdrachten die tijdrovend zijn en de gemiddelde latentie verhogen.
    
    
  • Gebruik de apparaatsensor indien van toepassing (ISE-specifiek).