Inhoud

Inleiding

Vereisten

Gebruikte componenten

Achtergrondinformatie

Dynamische VLAN-toewijzing met RADIUS-server

Configureren

Netwerkdiagram

Configuratiestappen

Cisco ISE-configuratie

Stap 1. Configureer de Catalyst WLC als een AAA-client op de Cisco ISE-server

Stap 2. Configureer interne gebruikers op Cisco ISE

Stap 3. Het configureren van de RADIUS (IETF) eigenschappen die gebruikt worden voor dynamische VLAN-toewijzing

De Switch voor meerdere VLAN’s configureren

Catalyst 9800 WLC-configuratie

Stap 1. Configureer de WLC met de details van de verificatieserver

Stap 2. Configureer de VLAN’s

Stap 3. Configureer de WLAN’s (SSID’s)

Stap 4. Het beleidsprofiel configureren

Stap 5. De beleidsmarkering configureren

Stap 6. De beleidslaag aan een AP toewijzen

Verifiëren

Problemen oplossen

Gerelateerde informatie

Inleiding

Dit document beschrijft het concept van dynamische VLAN-toewijzing en hoe u de Catalyst 9800 draadloze LAN-controller (WLC) en Cisco Identity Services Engine (ISE) kunt configureren om Wireless LAN (WLAN) aan te wijzen om dit voor de draadloze client te realiseren.

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

- basiskennis hebben van de WLC en lichtgewicht access points (LAP’s).

- beschikken over functionele kennis van de AAA-server zoals ISE.

- Zorg voor een grondige kennis van draadloze netwerken en draadloze beveiligingsproblemen.

- beschikken over functionele kennis over dynamische VLAN-toewijzing.

- basiskennis hebben van Control and Provisioning voor draadloos access point (CAPWAP).

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

- Cisco Catalyst 9800 WLC (Catalyst 9800-CL) met firmware release 16.12.4a

- Cisco 2800 Series LAP in lokale modus.

- Inheemse Windows 10 smeekbede.

- Cisco Identity Services Engine (ISE) die versie 2.7 uitvoert.

- Cisco 3850 Series switch met firmware release 16.9.6

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

Dynamische VLAN-toewijzing met RADIUS-server

In de meeste Wireless Local Area Network (WLAN) systemen heeft elk WLAN een statisch beleid dat van toepassing is op alle klanten die bij een Service Set-id (SSID) zijn gekoppeld. Hoewel krachtig, heeft deze methode beperkingen omdat het van cliënten om met verschillende SSIDs te associëren vereist om verschillend QoS en veiligheidsbeleid te erven.

De Cisco WLAN-oplossing ondersteunt echter identiteitsnetwerken. Dit staat het netwerk toe om één enkele SSID te adverteren en staat specifieke gebruikers toe om verschillend QoS of veiligheidsbeleid te erven gebaseerd op het gebruikersgeheugen.

Dynamische VLAN-toewijzing is één dergelijke functie die een draadloze gebruiker in een specifiek VLAN plaatst op basis van de referenties die door de gebruiker worden geleverd. De taak om gebruikers aan een specifiek VLAN toe te wijzen wordt behandeld door een RADIUS-verificatieserver, zoals Cisco ISE. Dit kan bijvoorbeeld gebruikt worden om de draadloze host op hetzelfde VLAN te laten blijven terwijl het binnen een campus-netwerk beweegt.

Daarom, wanneer een client probeert te associëren met een LAP die geregistreerd is met een controller, geeft WLC de referenties van de gebruiker voor validering door aan de RADIUS-server. Zodra de authenticatie succesvol is, passeert de RADIUS-server bepaalde eigenschappen van Internet Engineering Task Force (IETF) aan de gebruiker. Deze RADIUS-eigenschappen bepalen de VLAN-ID die aan de draadloze client moet worden toegewezen. SSID van de client maakt niet uit omdat de gebruiker altijd is toegewezen aan deze vooraf bepaalde VLAN-id.

De RADIUS-gebruikerseigenschappen die gebruikt worden voor de VLAN-ID-toewijzing zijn:

- IETF 64 (Tunnel type) - stel dit in op VLAN.

- IETF 65 (Tunnel Gemiddeld Type) — Stel dit in op 802.

- IETF 81 (Tunnel Private Group ID) - stel deze optie in op VLAN-id.

De VLAN-ID is 12 bits en neemt een waarde tussen 1 en 4094, inclusief. Omdat de Tunnel-Private-Group-ID van type string is, zoals gedefinieerd in RFC2868 voor gebruik met IEEE 802.1X, wordt de integerwaarde van VLAN ID gecodeerd als een string. Wanneer deze tunnelkenmerken worden verstuurd, moeten ze in het veld Markering worden ingevoerd.

Configureren

Deze sectie bevat informatie over het configureren van de functies die in dit document worden beschreven.

Netwerkdiagram

Het netwerk in dit document is als volgt opgebouwd:

Dit zijn de configuratiegegevens van de in dit schema gebruikte onderdelen:

- Het IP-adres van Cisco ISE (RADIUS) server is 10.10.1.24.

- Het Management Interface-adres van de WLC is 10.10.1.17.

- De interne DHCP-server op de controller wordt gebruikt om het IP-adres aan draadloze klanten toe te wijzen.

- In dit document wordt 802.1x met PEAP als veiligheidsmechanisme gebruikt.

- VLAN102 wordt gebruikt door deze configuratie. De gebruikersnaam jonathga-102 is ingesteld om in VLAN102 te worden geplaatst door de RADIUS-server.

Configuratiestappen

Deze configuratie is in drie categorieën verdeeld:

- Cisco ISE-configuratie.

- Configureer de Switch voor meerdere VLAN’s.

- Catalyst 9800 WLC configuratie.

Cisco ISE-configuratie

Voor deze configuratie zijn de volgende stappen vereist:

- Configureer de Catalyst WLC als een AAA-client op de Cisco ISE-server.

- Configureer interne gebruikers op Cisco ISE.

- Configureer de RADIUS (IETF)-kenmerken die worden gebruikt voor dynamische VLAN-toewijzing op Cisco ISE.

Stap 1. Configureer de Catalyst WLC als een AAA-client op de Cisco ISE-server

Deze procedure legt uit hoe de WLC als een AAA-client op de ISE-server moet worden toegevoegd zodat de WLC de gebruikersreferenties aan ISE kan doorgeven.

Voer de volgende stappen uit:

1. Vink vanuit de ISE GUI naar Administration > Network Resources > Network Devicesen selecteer Add.

2. Voltooi de configuratie met het WLC beheer-IP-adres en het RADIUS-gedeelde geheim tussen WLC en ISE zoals in de afbeelding:

Stap 2. Configureer interne gebruikers op Cisco ISE

Deze procedure legt uit hoe de gebruikers aan de interne gebruikersdatabase van Cisco ISE moeten worden toegevoegd.

Voer de volgende stappen uit:

1. Vink vanuit de ISE GUI naar Administration > Identity Management > Identities en selecteer Add.

2. Voltooi de configuratie met de gebruikersnaam, het wachtwoord en de gebruikersgroep zoals in de afbeelding wordt weergegeven:

Stap 3. Het configureren van de RADIUS (IETF) eigenschappen die gebruikt worden voor dynamische VLAN-toewijzing

Deze procedure legt uit hoe een autorisatieprofiel en een authenticatiebeleid voor draadloze gebruikers kunnen worden gecreëerd.

Voer de volgende stappen uit:

1. Vink vanuit de ISE GUI naar Policy > Policy Elements > Results > Authorization > Authorization profiles en selecteer Add om een nieuw profiel te maken.

2. Voltooi de configuratie van het autorisatieprofiel met VLAN-informatie voor de betreffende groep. Deze afbeelding toont jonathga-VLAN-102 instellingen voor groepsconfiguratie.

Nadat de autorisatieprofielen zijn ingesteld, moet een verificatiebeleid voor draadloze gebruikers worden gecreëerd. U kunt een nieuw apparaat gebruiken Custom beleid voeren of de Default Beleidsreeks. In dit voorbeeld wordt een aangepaste profiel gemaakt.

3. Navigeren in om Policy > Policy Sets en selecteer Add om een nieuw beleid te creëren zoals in de afbeelding wordt getoond :

U moet nu een autorisatiebeleid voor gebruikers ontwikkelen om een respectievelijke autorisatieprofiel toe te kennen gebaseerd op groepslidmaatschap.

5. De afbeelding openen Authorization policy Hierin selecteert u een gedeelte en maakt u beleid om deze eis te vervullen, zoals in de afbeelding wordt weergegeven:

De Switch voor meerdere VLAN’s configureren

Om meerdere VLAN's door de switch toe te staan, moet u deze opdrachten uitgeven om de switch poort te configureren die op de controller is aangesloten:

Switch(config-if)#switchport mode trunk

Switch(config-if)#switchport trunk encapsulation dot1q

Opmerking: Standaard staan de meeste switches alle VLAN's toe die op die switch via de boomstampoort zijn gemaakt. Als een bekabeld netwerk op de switch is aangesloten, kan deze configuratie worden toegepast op de switch die op het bekabelde netwerk aangesloten is. Dit maakt de communicatie tussen dezelfde VLAN’s in het bekabelde en draadloze netwerk mogelijk.

Catalyst 9800 WLC-configuratie

Voor deze configuratie zijn de volgende stappen vereist:

- Configureer de WLC met de details van de verificatieserver.

- Configureer de VLAN’s.

- Configureer de WLAN’s (SSID’s).

- Configureren van beleidsprofiel.

- Configuratie van de tag Beleid.

- De beleidskabel aan een AP toewijzen.

Stap 1. Configureer de WLC met de details van de verificatieserver

Het is nodig om de WLC te configureren zodat het kan communiceren met de RADIUS-server om de clients te authenticeren.

Voer de volgende stappen uit:

1. Ga vanuit de controller GUI naar Configuration > Security > AAA > Servers / Groups > RADIUS > Servers > + Add en voer de RADIUS-serverinformatie in zoals in de afbeelding:

2. Als u de RADIUS-server aan een RADIUS-groep wilt toevoegen, navigeer dan naar Configuration > Security > AAA > Servers / Groups > RADIUS > Server Groups > + Add zoals in de afbeelding:

3. Om een verificatiemethode te maken, navigeer dan naar Configuration > Security > AAA > AAA Method List > Authentication > + Add zoals in de afbeeldingen:

Stap 2. Configureer de VLAN’s

Deze procedure legt uit hoe u VLAN’s op Catalyst 9800 WLC kunt configureren. Zoals eerder in dit document wordt uitgelegd, moet de VLAN-ID die onder de eigenschap Tunnel-Private-Group ID van de RADIUS-server is gespecificeerd, ook in de WLC voorkomen.

In het voorbeeld wordt de gebruiker jonathga-102 gespecificeerd met de Tunnel-Private-Group ID of 102 (VLAN =102) op de RADIUS-server.

1. Navigeren in om Configuration > Layer2 > VLAN > VLAN > + Add zoals in de afbeelding:

2. Geef de benodigde informatie op zoals in de afbeelding:

Opmerking: Als u geen naam specificeert, wordt VLAN automatisch toegewezen aan de naam van VLAN XXXX, waar XXXX de VLAN-id is.

Herhaal stap 1 en 2 voor alle gewenste VLAN’s, kunt u na deze stap 3 verder gaan.

3. Controleer of de VLAN’s in uw gegevensinterfaces zijn toegestaan.

- Als u een havenkanaal in gebruik hebt, navigeer om Configuration > Interface > Logical > PortChannel name > General. Als u deze als ingesteld ziet Allowed VLAN = All Je bent klaar met de configuratie. Indien u ziet Allowed VLAN = VLANs IDs, voeg de gewenste VLAN’s toe en selecteer vervolgens Update & Apply to Device.

- Als u geen poortkanaal in gebruik hebt, navigeer dan naar Configuration > Interface > Ethernet > Interface Name > General. Als u deze als ingesteld ziet Allowed VLAN = All Je bent klaar met de configuratie. Indien u ziet Allowed VLAN = VLANs IDs, voeg de gewenste VLAN’s toe en selecteer vervolgens Update & Apply to Device.

Deze beelden tonen de configuratie met betrekking tot de interfaceinstelling als u Alle of specifieke VLAN IDs gebruikt.

Stap 3. Configureer de WLAN’s (SSID’s)

Deze procedure legt uit hoe de WLAN’s in de WLC moeten worden configureren.

Voer de volgende stappen uit:

1. Om de WLAN’s te maken. Navigeren in om Configuration > Wireless > WLANs > + Add en stel het netwerk zo nodig in, zoals in de afbeelding wordt getoond:

2. Voer de WLAN-informatie in zoals in de afbeelding:

3. Navigeren in om Security en selecteer de gewenste beveiligingsmethode. In dit geval was er WAP2 + 802.1x zoals in de afbeeldingen:

VanSecurity > AAA tab, selecteer de verificatiemethode die op stap 3 is gemaakt Configure the WLC with the Details of the Authentication Server gedeelte zoals in de afbeelding weergegeven:

Stap 4. Het beleidsprofiel configureren

Deze procedure legt uit hoe u het beleidsprofiel in de WLC kunt configureren.

Voer de volgende stappen uit:

1. Navigeren in om Configuration > Tags & Profiles > Policy Profile en of pas uw default-policy-profile of maakt een nieuwe zoals in de afbeeldingen:

2. Van de Access Policies tab toewijzen aan het VLAN waaraan de draadloze clients worden toegewezen wanneer ze standaard verbinding maken met dit WLAN zoals in de afbeelding:

Opmerking: In het voorbeeld dat wordt gegeven, is het de taak van de RADIUS-server om een draadloze client aan een specifiek VLAN toe te wijzen bij succesvolle verificatie, zodat het VLAN dat op het beleidsprofiel is geconfigureerd een zwart gat VLAN kan zijn, de RADIUS-server voert deze afbeelding over en wijst de gebruiker die door dat WLAN komt toe aan het VLAN dat onder het veld Tunnel-Group-Private-ID in de RADIUS-server is gespecificeerd.

3. Van de Advance tabblad, schakelt u het Allow AAA Override Schakel het vakje in om de WLC-configuratie te omzeilen wanneer de RADIUS-server de eigenschappen teruggeeft die nodig zijn om de client op het juiste VLAN te plaatsen zoals in de afbeelding:

Stap 5. De beleidsmarkering configureren

Deze procedure legt uit hoe u de beleidstag in de WLC kunt configureren.

Voer de volgende stappen uit:

1. Navigeren in om Configuration > Tags & Profiles > Tags > Policy en voeg indien nodig een nieuwe toe zoals in de afbeelding:

2. Voeg een naam toe aan de Beleidslang en selecteer +Add, zoals in de afbeelding wordt getoond:

3. Koppel uw WLAN-profiel aan het gewenste beleidsprofiel zoals in de afbeeldingen:

Stap 6. De beleidslaag aan een AP toewijzen

Deze procedure legt uit hoe u de beleidstag in de WLC kunt configureren.

Voer de volgende stappen uit:

1. Navigeren in om Configuration > Wireless > Access Points > AP Name > General Tags en verdeel de desbetreffende beleidslaag en selecteer vervolgens Update & Apply to Device zoals in de afbeelding:

Voorzichtig: Let erop dat als de beleidstag op een AP wordt gewijzigd, de associatie op de WLC wordt verminderd en dat deze opnieuw wordt toegevoegd.

Verifiëren

Gebruik deze sectie om te controleren of uw configuratie goed werkt.

Test-verbinding met Windows 10 en inheemse smeekbede, zodra u voor een gebruikersnaam en wachtwoord wordt gevraagd, voer de informatie van de gebruiker in die aan een VLAN op ISE in kaart is gebracht.

In het vorige voorbeeld, merk op dat jonathga-102 aan VLAN102 wordt toegewezen zoals gespecificeerd in de server van de RADIUS. Dit voorbeeld gebruikt deze gebruikersnaam om authenticatie te ontvangen en aan een VLAN toe te wijzen door de RADIUS-server:

Nadat de authenticatie is voltooid, moet u controleren dat uw client is toegewezen aan het juiste VLAN zoals per verzonden RADIUS-eigenschappen. Voltooi de volgende stappen om deze taak te volbrengen:

1. Ga vanuit de controller GUI naar Monitoring > Wireless > Clients > Select the client MAC address > General > Security Information en zoek naar het VLAN-veld zoals in de afbeelding:

Vanuit dit venster kunt u zien dat deze client is toegewezen aan VLAN102 zoals in de RADIUS-eigenschappen die op de RADIUS-server zijn ingesteld.

Vanaf de CLI kunt u de show wireless client summary detail u kunt dezelfde informatie weergeven als in de afbeelding:

2. Het is mogelijk de Radioactive traces om te zorgen voor een succesvolle overdracht van de RADIUS-kenmerken aan de WLC. Volg daartoe de volgende stappen:

1. Ga vanuit de controller GUI naar Troubleshooting > Radioactive Trace > +Add.

2. Voer het Mac-adres van de draadloze client in.

3. Selecteren Start.

4. Sluit de client aan op WLAN.

5. Navigeren in om Stop > Generate > Choose 10 minutes > Apply to Device > Select the trace file to download the log.

Dit gedeelte van de sporenoutput zorgt voor een succesvolle overdracht van RADIUS-kenmerken:

2021/03/21 22:22:45.236 {wncd_x_R0-0}{1}: [radius] [25253]: (info): RADIUS: Received from id 1812/60 10.10.1.24:0, Access-Accept, len 352

2021/03/21 22:22:45.236 {wncd_x_R0-0}{1}: [radius] [25253]: (info): RADIUS:  authenticator e5 5e 58 fa da 0a c7 55 - 53 55 7d 43 97 5a 8b 17

2021/03/21 22:22:45.236 {wncd_x_R0-0}{1}: [radius] [25253]: (info): RADIUS:  User-Name           [1]     13  "jonathga-102"

2021/03/21 22:22:45.236 {wncd_x_R0-0}{1}: [radius] [25253]: (info): RADIUS:  State               [24]    40  ...

2021/03/21 22:22:45.236 {wncd_x_R0-0}{1}: [radius] [25253]: (info): RADIUS:  Class               [25]    54  ...

2021/03/21 22:22:45.236 {wncd_x_R0-0}{1}: [radius] [25253]: (info): 01:

2021/03/21 22:22:45.236 {wncd_x_R0-0}{1}: [radius] [25253]: (info): RADIUS:  Tunnel-Type         [64]     6  VLAN                   [13]

2021/03/21 22:22:45.236 {wncd_x_R0-0}{1}: [radius] [25253]: (info): 01:

2021/03/21 22:22:45.236 {wncd_x_R0-0}{1}: [radius] [25253]: (info): RADIUS:  Tunnel-Medium-Type  [65]     6  ALL_802                [6]

2021/03/21 22:22:45.236 {wncd_x_R0-0}{1}: [radius] [25253]: (info): RADIUS:  EAP-Message         [79]     6  ...

2021/03/21 22:22:45.236 {wncd_x_R0-0}{1}: [radius] [25253]: (info): RADIUS:  Message-Authenticator[80]    18  ...

2021/03/21 22:22:45.236 {wncd_x_R0-0}{1}: [radius] [25253]: (info): 01:

2021/03/21 22:22:45.236 {wncd_x_R0-0}{1}: [radius] [25253]: (info): RADIUS:  Tunnel-Private-Group-Id[81]     6  "102"

2021/03/21 22:22:45.236 {wncd_x_R0-0}{1}: [radius] [25253]: (info): RADIUS:  EAP-Key-Name        [102]   67  *

2021/03/21 22:22:45.237 {wncd_x_R0-0}{1}: [radius] [25253]: (info): RADIUS:   MS-MPPE-Send-Key   [16]    52  *

2021/03/21 22:22:45.237 {wncd_x_R0-0}{1}: [radius] [25253]: (info): RADIUS:   MS-MPPE-Recv-Key   [17]    52  *

2021/03/21 22:22:45.238 {wncd_x_R0-0}{1}: [eap-auth] [25253]: (info): SUCCESS for EAP method name: PEAP on handle 0x0C000008

2021/03/21 22:22:46.700 {wncd_x_R0-0}{1}: [aaa-attr-inf] [25253]: (info): [ Applied attribute :            username   0 "jonathga-102" ]

2021/03/21 22:22:46.700 {wncd_x_R0-0}{1}: [aaa-attr-inf] [25253]: (info): [ Applied attribute :               class   0 43 41 43 53 3a 33 33 30 32 30 41 30 41 30 30 30 30 30 30 33 35 35 36 45 32 32 31 36 42 3a 49 53 45 2d 32 2f 33 39 33 33 36 36 38 37 32 2f 31 31 32 36 34 30  ]

2021/03/21 22:22:46.700 {wncd_x_R0-0}{1}: [aaa-attr-inf] [25253]: (info): [ Applied attribute :         tunnel-type   1 13 [vlan] ]

2021/03/21 22:22:46.700 {wncd_x_R0-0}{1}: [aaa-attr-inf] [25253]: (info): [ Applied attribute :  tunnel-medium-type   1 6 [ALL_802] ]

2021/03/21 22:22:46.700 {wncd_x_R0-0}{1}: [aaa-attr-inf] [25253]: (info): [ Applied attribute :tunnel-private-group-id   1 "102" ]

2021/03/21 22:22:46.700 {wncd_x_R0-0}{1}: [aaa-attr-inf] [25253]: (info): [ Applied attribute :             timeout   0 1800 (0x708) ]

2021/03/21 22:22:46.700 {wncd_x_R0-0}{1}: [auth-mgr-feat_wireless] [25253]: (info): [0000.0000.0000:unknown] AAA override is enabled under policy profile

Problemen oplossen

Er is momenteel geen specifieke troubleshooting-informatie beschikbaar voor deze configuratie.

Gerelateerde informatie

- Gebruikershandleiding