De functie Fallback van RADIUS-server configureren op draadloze LAN-controllers

Inleiding

In dit document wordt beschreven hoe u de functie voor het terugvallen van RADIUS-servers kunt configureren met draadloze LAN-controllers (WLC's).

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• Basiskennis van de configuratie van Lightweight Access Points (LAP's) en Cisco WLC's

• Basiskennis van de besturing en provisioning van het Wireless Access Point Protocol (CAPWAP)

• Basiskennis van draadloze beveiligingsoplossingen

Gebruikte componenten

De informatie in dit document is gebaseerd op een Cisco 5508/5520-controller.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u de potentiële impact van elke opdracht begrijpen.

Achtergrondinformatie

RADIUS Server Fallback-functie

WLC-softwareversies ouder dan 5.0 ondersteunen het Fallback-mechanisme van de RADIUS-server niet. Wanneer de primaire RADIUS-server niet meer beschikbaar is, wordt de WLC failover naar de volgende RADIUS-server met actieve back-up uitgevoerd. De WLC blijft de secundaire RADIUS-server voor altijd gebruiken, zelfs als de primaire server beschikbaar is. Meestal is de primaire server een krachtige server en de voorkeursserver.

In WLC 5.0 en latere versies ondersteunt de WLC de RADIUS server fallback-functie. Met deze functie kan de WLC worden geconfigureerd om te controleren of de primaire server beschikbaar is en om switches terug te sturen naar de primaire RADIUS-server zodra deze beschikbaar is. Om dit te doen, ondersteunt de WLC twee nieuwe modi, passief en actief, om de status van de RADIUS-server te controleren. De WLC komt terug op de meest gewenste server na de opgegeven time-outwaarde.

Fallback-modi

Actieve modus

In de actieve modus, wanneer een server niet reageert op het WLC-verificatieverzoek, markeert de WLC de server als dood en verplaatst de server vervolgens naar de niet-actieve serverpool en begint deze periodiek probe-berichten te verzenden totdat die server reageert. Als de server reageert, verplaatst de WLC de dode server naar de actieve pool en stopt met het verzenden van probe-berichten. In deze modus kiest de WLC altijd de server met de laagste index (hoogste prioriteit) uit de actieve pool van RADIUS-servers.

De WLC verzendt een probe-pakket na time-out (de standaardwaarde is 300 seconden) om de serverstatus te bepalen in het geval dat de server eerder niet reageerde.

passieve modus

Als een server in de passieve modus niet reageert op het WLC-verificatieverzoek, verplaatst de WLC de server naar de inactieve wachtrij en stelt een timer in. Wanneer de timer verloopt, verplaatst de WLC de server naar de actieve wachtrij, ongeacht de werkelijke status van de server. Wanneer een verificatieverzoek wordt ingediend, kiest de WLC de server met de laagste index (hoogste prioriteit) uit de actieve wachtrij (die mogelijk de niet-actieve server bevat). Als de server niet reageert, markeert de WLC deze als inactief, stelt de timer in en gaat naar de server met de hoogste prioriteit. Dit proces gaat door totdat de WLC een actieve RADIUS-server vindt of de actieve serverpool is uitgeput.

De WLC gaat ervan uit dat de server actief is na een time-out (de standaardwaarde is 300 seconden) als de server eerder niet reageerde. Als het nog steeds niet reageert, wacht de WLC op een andere time-out en probeert het opnieuw wanneer een verificatieverzoek binnenkomt.

Uitstand

In de uitstand ondersteunt de WLC alleen failover. Met andere woorden, fallback is uitgeschakeld. Wanneer de primaire RADIUS-server uitvalt, wordt de WLC failover naar de volgende RADIUS-server met actieve back-up uitgevoerd. De WLC blijft de secundaire RADIUS-server voor altijd gebruiken, zelfs als de primaire server beschikbaar is.

Configureren

Configureer de RADIUS Server Fallback-functie met de CLI

Opmerking: gebruik de Opdrachtopzoektool (alleen geregistreerde klanten) om meer informatie te verkrijgen over de opdrachten die in deze sectie worden gebruikt.

Gebruik deze opdrachten van de WLC CLI om de RADIUS server fallback-functie op de WLC in te schakelen.

De eerste stap is het selecteren van de modus voor de Fallback van de RADIUS-server. Zoals eerder vermeld, ondersteunt de WLC actieve en passieve fallback-modi.

Voer de volgende opdracht in om de modus voor terugvallen te selecteren:

WLC1 > config radius fallback-test mode {active/passive/off}

• actief - Verzendt sondes naar dode servers om de status te testen.

• passief - Hiermee wordt de serverstatus ingesteld op basis van de laatste transactie.

• uit - Schakelt de fallback-test van de server uit (standaard).

De volgende stap is om het interval te selecteren dat het sondeinterval voor de actieve modus of de inactieve tijd voor de passieve werkingsmodi specificeert.

Voer de volgende opdracht in om het interval in te stellen:

WLC1 > config radius fallback-test mode interval {180 - 3600}

<180 tot 3600> - Voer het interval van de sonde of de inactieve tijd in seconden in (de standaardwaarde is 300 seconden).

Het interval geeft het interval van de sonde aan in het geval van terugval in de actieve modus of inactieve tijd in het geval van terugval in de passieve modus.

Voor de actieve modus moet u een gebruikersnaam configureren die wordt gebruikt in de probe-aanvraag die naar de RADIUS-server wordt verzonden.

Voer de volgende opdracht in om de gebruikersnaam te configureren:

WLC1 >config radius fallback-test username {username}

<gebruikersnaam> - Voer een naam in van maximaal 16 alfanumerieke tekens (de standaard is cisco-probe).

Opmerking: U kunt uw eigen gebruikersnaam invoeren of deze bij de standaard laten. De standaard gebruikersnaam is "cisco-probe". Omdat deze gebruikersnaam wordt gebruikt om probe-berichten te verzenden, hoeft u geen wachtwoord te configureren.

Configureer de RADIUS Server Fallback-functie met de GUI

Voer de volgende stappen uit om de WLC met de GUI te configureren:

1. Configureer de modus van de RADIUS-serverfallback. Hiervoor selecteert u Beveiliging > RADIUS > Fallback in de WLC GUI. De pagina RADIUS > Fallback Parameters wordt weergegeven.

2. Selecteer in de vervolgkeuzelijst Fallback-modus de modus Fallback. De beschikbare opties zijn actief, passief en uit.

   Hier is een voorbeeld screenshot voor de configuratie van de actieve fallback-modus, zoals weergegeven in de afbeelding.
   
   

   
   
   

3. Voor de actieve modus voert u de gebruikersnaam in het veld Gebruikersnaam in.

4. Voer de waarde voor het interval van de sonde in het veld Interval in sec. in.

5. Klik op Apply (Toepassen).

Als de functie voor agressieve failover is ingeschakeld in de WLC, is de WLC te agressief om de AAA-server te markeren als "niet reageert". Dit moet echter niet worden gedaan omdat de AAA-server mogelijk niet alleen reageert op die specifieke client als u stille verwijdering uitvoert. Het kan een reactie zijn op andere geldige klanten met geldige certificaten. De WLC kan de AAA-server nog steeds markeren als "niet reagerend" en "niet functioneel".

Om dit te verhelpen, schakelt u de functie voor agressieve failover uit. Voer de opdracht config radius aggressive-failover disable van de controller GUI in om dit uit te voeren. Als dit is uitgeschakeld, faalt de controller alleen naar de volgende AAA-server als er drie opeenvolgende clients zijn die geen antwoord van de RADIUS-server ontvangen.

Opmerking: Functionaliteitswijziging geïntroduceerd in versie 8.5.140, 8.8.100, 8.10.105 en later: Wanneer RADIUS agressieve failover voor de controller is uitgeschakeld: Pakket wordt zes keer opnieuw geprobeerd, tenzij er een abortus van clients plaatsvindt. De RADIUS-server (zowel AUTH als ACCT) is na drie time-outgebeurtenissen (18 opeenvolgende herhalingen) van meerdere clients (voorheen van precies drie clients) onbereikbaar. Wanneer RADIUS agressieve failover voor de controller is ingeschakeld: Pakket wordt zes keer opnieuw geprobeerd, tenzij er een abortus van clients plaatsvindt. De RADIUS-server (zowel AUTH als ACCT) is na één time-outgebeurtenis (6 opeenvolgende herhalingen) van meerdere clients (voorheen van precies één client) onbereikbaar gemarkeerd. Dit betekent dat 18 opeenvolgende herhalingen per RADIUS-server (AUTH of ACCT) van meerdere clients kunnen worden uitgevoerd. Daarom is het niet altijd gegarandeerd dat elk pakket zes keer opnieuw wordt geprobeerd.

Verifiëren

Gebruik deze sectie om te controleren of uw configuratie goed werkt.

De Output Interpreter Tool (OIT) (alleen voor geregistreerde klanten) ondersteunt bepaalde opdrachten met show. Gebruik de OIT om een analyse van de uitvoer van show commando's te bekijken.

Voer de opdracht Samenvatting straal weergeven in om de fallback-configuratie te verifiëren. Hierna volgt een voorbeeld:

WLC1 >show radius summary 

Vendor Id Backward Compatibility................. Disabled
Call Station Id Type............................. IP Address
Aggressive Failover.............................. Enabled
Keywrap.......................................... Disabled

Fallback Test:
Test Mode.................................... Active
 Probe User Name.............................. testaccount
 Interval (in seconds)........................ 180

Authentication Servers

Idx Type Server Address Port State   Tout RFC3576  IPSec-AuthMode/Phase1/Group/Lifetime/Auth/Encr
--- ---- -------------- ---- ------- ---- -------  ----------------------------------------------
1   NM   10.1.1.12      1812 Enabled 2    Disabled Disabled-none/unknown/group-0/0 none/none

Accounting Servers

Idx Type Server Address Port  State   Tout RFC3576 IPSec-AuthMode/Phase1/Group/Lifetime/Auth/E
--- ---- -------------- ----  ------- ---- ------- -------------------------------------------
1   N    10.1.1.12      1813  Enabled 2    N/A     Disabled-none/unknown/group-0/0 none/nonen

Problemen oplossen

Deze sectie bevat informatie waarmee u problemen met de configuratie kunt oplossen.

Opmerking: raadpleeg Belangrijke informatie over debug-opdrachten voordat u debug-opdrachten gebruikt.

• debug dot1x-gebeurtenissen inschakelen - Hiermee worden debugs van 802.1x-gebeurtenissen geconfigureerd.

• debug aaa events enable - Configureert debugs van alle AAA events.

Gerelateerde informatie

• Voorbeeld van EAP-verificatie met WLAN-controllers (WLC)
• Lichtgewicht AP (LAP)-registratie bij een draadloze LAN-controller (WLC)
• Veiligheidsoplossingen configureren
• Dynamische VLAN-toewijzing met RADIUS-server en configuratie van draadloze LAN-controller Voorbeeld
• Technische ondersteuning en documentatie – Cisco Systems