Draadloze BYOD voor FlexConnect-implementatiegids

Inleiding

Mobiele apparaten worden steeds krachtiger en populairder onder consumenten. Miljoenen van deze apparaten worden verkocht aan consumenten met snelle Wi-Fi zodat gebruikers kunnen communiceren en samenwerken. Consumenten zijn nu gewend aan de productiviteitsverbetering die deze mobiele apparaten in hun leven brengen en proberen hun persoonlijke ervaring op de werkplek te krijgen. Dit creëert de functionaliteit behoeften van een Bring Your Ewn Devices (BYOD)-oplossing op de werkplek.

Dit document biedt de installatie van de tak voor de BYOD-oplossing. Een medewerker verbindt zich met een identificatie van de bedrijfsservice (SSID) door middel van zijn/haar nieuwe iPad en wordt doorverwezen naar een portal voor zelfregistratie. De Cisco Identity Services Engine (ISE) authenticeert de gebruiker tegen de corporate Active Directory (AD) en downloads een certificaat met een ingesloten iPad MAC-adres en gebruikersnaam voor de iPad, samen met een flexibel profiel dat het gebruik van de Extensible Authentication Protocol-Transport Layer Security (EAP-TLS) als methode voor dot1x connectiviteit afdwingt. Op basis van het vergunningsbeleid in ISE kan de gebruiker zich dan aansluiten bij het gebruik van punt1x en toegang krijgen tot de juiste middelen.

ISE-functies in Cisco draadloze LAN-controllersoftwarereleases die eerder waren dan 7.2.10.0 ondersteunen geen lokale switching-clients die worden geassocieerd met FlexConnect access points (AP’s). release 7.2.10.0 ondersteunt deze ISE-functies voor FlexConnect APs voor lokale switching en centraal geauthenticeerde klanten. Bovendien biedt release 7.2.110.0, geïntegreerd in ISE 1.1.1, deze BYOD-oplossingsfuncties (maar niet beperkt tot) voor draadloze verbindingen:

• Apparaatprofilering en postuur
• Apparaatregistratie en levering
• Inhouding van persoonlijke hulpmiddelen (iOS- of Android-apparatuur)

Opmerking: Hoewel ondersteund, zijn andere apparaten, zoals PC- of Mac draadloze laptops en werkstations, niet in deze handleiding opgenomen.

Voorwaarden

Vereisten

Er zijn geen specifieke vereisten van toepassing op dit document.

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

• Cisco Catalyst 9200-switches
• Cisco draadloze LAN-controllers (WLAN)
• Cisco WLAN-controller (WLC) softwarerelease 7.2.10.0 en later
• 802.11n APs in FlexConnect-modus
• Cisco ISE-softwarerelease 1.1 en hoger
• Windows 2008 AD met certificaatinstantie (CA)
• DHCP-server
• Domain Name System (DNS)-server
• Network Time Protocol (NTP)
• Draadloze client-laptop, smartphone en tabletten (Apple iOS, Android, Windows en Mac)

Opmerking: Raadpleeg Releaseopmerkingen voor Cisco draadloze LAN-controllers en lichtgewicht access points voor release 7.2.10.0 voor belangrijke informatie over deze softwarerelease. Meld u aan bij de Cisco.com-site voor de laatste releases voordat u de software laadt en test.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u de potentiële impact van elke opdracht begrijpen.

Topologie

Er is een minimale netwerkinstelling nodig, zoals in dit diagram wordt getoond, om deze functies correct te kunnen implementeren en testen:

Voor deze simulatie hebt u een netwerk nodig met een FlexConnect AP, een lokale/externe site met lokale DHCP, DNS, WLC en ISE. FlexConnect AP wordt aangesloten op een stam om lokale omschakeling met meerdere VLANs te testen.

Apparaatregistratie en -provisioning

Een voorziening moet worden geregistreerd zodat de oorspronkelijke leverancier kan voorzien in de verificatie van dot1x. Gebaseerd op het juiste authentificatiebeleid, wordt de gebruiker opnieuw gericht naar de gastpagina en voor authentiek verklaard door werknemersgeloofsbrieven. De gebruiker ziet de pagina voor de registratie van het apparaat, waarin om informatie over het apparaat wordt gevraagd. Het voorziening van het apparaat begint dan. Als het besturingssysteem niet wordt ondersteund voor provisioning, wordt de gebruiker opnieuw gericht naar het Asset Registration Portal, om dat apparaat te markeren voor MAC-verificatie Bypass (MAB)-toegang. Als het besturingssysteem wordt ondersteund, wordt het inlogproces gestart en vormt u de inheemse applicatie van het apparaat voor de dot1x-verificatie.

Asset Registration Portal

Het Asset Registration Portal is het onderdeel van het ISE-platform dat werknemers in staat stelt om het instappen van endpoints te initiëren door middel van een authenticatie- en registratieproces.

De beheerders kunnen activa van de pagina van eindpunten identiteiten wissen. Elke werknemer kan de door hem geregistreerde activa bewerken, verwijderen en zwart maken. Blacklist-endpoints worden toegewezen aan een groep mensen die op een zwarte lijst staan, en er wordt een vergunningenbeleid ontwikkeld om netwerktoegang te voorkomen voor op een zwarte lijst geplaatste endpoints.

Portal voor zelfregistratie

In de flow Central Web Authentication (CWA) worden de werknemers omgeleid naar een portal waar ze hun geloofsbrieven kunnen invoeren, authenticeren en de specificaties van het specifieke activum invoeren dat ze willen registreren. Dit portaal wordt het selfprovisioningportal genoemd en is vergelijkbaar met het apparaatregistratieportal. Het stelt de werknemers in staat om het MAC-adres in te voeren evenals een zinvolle omschrijving van het eindpunt.

Verificatie en provisioning

Zodra werknemers het Portal voor zelfregistratie selecteren, worden ze aangevochten om een reeks geldige werknemersgeloofsbrieven te verstrekken om naar de leveringsfase te gaan. Na succesvolle verificatie kan het eindpunt in de endpoints-database worden opgeslagen, en wordt een certificaat gegenereerd voor het eindpunt. Een link op de pagina stelt de werknemer in staat om de Suppliant Pilot Wizard (SPW) te downloaden.

Opmerking: Raadpleeg het artikel FlexConnect functiekaart van Cisco om de nieuwste FlexConnect-functiekaart voor BYOD te bekijken.

Provisioning voor iOS (iPhone/iPad/iPod)

Voor de configuratie van EAP-TLS volgt ISE het proces van de over-lucht (OTA)-inschrijving van Apple:

• Na succesvolle authenticatie evalueert de evaluatiemotor het cliëntenprovisioningbeleid, wat leidt tot een aanscherpend profiel.
• Als het aanleverprofiel voor de instelling van het MAP-TLS is, bepaalt het OTA-proces of de ISE zelf ondertekend is of door een onbekend CA ondertekend. Als een van de voorwaarden waar is, wordt de gebruiker gevraagd het certificaat van ISE of CA te downloaden voordat het registratieproces kan starten.
• Voor andere MAP-methoden wordt het uiteindelijke profiel door ISE aangescherpt bij succesvolle authenticatie.

Provisioning voor Android

Vanwege veiligheidsoverwegingen moet de Android agent gedownload worden van de website van de Android-markt en kan deze niet van ISE voorzien worden. Cisco uploadt een versie van de wizard voor de release van de wizard naar de Android-markt via de Cisco Android-account voor de uitgeverij van een marktplaats.

Dit is het Android-provisioningproces:

1. Cisco gebruikt de Software Development Kit (SDK) om het Android-pakket met een .apk-extensie te maken.
2. Cisco uploadt een pakket naar de Android-markt.
3. De gebruiker vormt het beleid in clientvoorziening met de juiste parameters.
4. Nadat het apparaat is geregistreerd, wordt de eindgebruiker naar de klantenvoorzieningsdienst verwezen wanneer dot1x-verificatie mislukt.
5. De pagina met het provisioningportal biedt een knop om gebruikers te sturen naar het Android-marktplein waar ze de SPW kunnen downloaden.
6. Het Cisco SPW wordt gestart en voert provisioning uit van de leverancier:
   1. SPW ontdekt de ISE en downloads het profiel van ISE.
   2. SPW creëert een cert/een sleutelpaar voor EAP-TLS.
   3. SPW doet een verzoek om een Eenvoudig certificaatinschrijving op het protocol (SCEP) en krijgt het certificaat.
   4. SPW past de draadloze profielen toe.
   5. SPW zorgt voor herauthenticatie als de profielen succesvol worden toegepast.
   6. SPW-uitgangen.

Dubbele SSID draadloze BYOD-zelfregistratie

Dit is het proces voor dubbele SSID draadloze BYOD-zelfregistratie:

1. De gebruiker heeft de Guest SSID gekoppeld.
2. De gebruiker opent een browser en wordt naar het ISE CWA Guest Portal opnieuw gericht.
3. De gebruiker voert een gebruikersnaam en wachtwoord in in het Guest Portal.
4. ISE authenticeert de gebruiker, en, op basis van het feit dat ze een werknemer en niet een gast zijn, wijst de gebruiker terug naar de de gastenpagina van de Registratie van het apparaat van de Werknemer.
5. Het MAC-adres is vooraf ingevuld in de gastenpagina van de apparaatregistratie voor de machine-ID. De gebruiker geeft een beschrijving en accepteert indien nodig het Aanvaardbare Gebruiksbeleid (AUP).
6. De gebruiker selecteert Accept en begint de SPW te downloaden en te installeren.
7. De leverancier van het apparaat van die gebruiker is voorzien van alle certificaten.
8. CoA treedt op, en het apparaat heeft zich opnieuw bij de SSID (CORP) van de onderneming aangesloten en is authentiek met EAP-TLS (of een andere autorisatiemethode in gebruik voor die aanvrager).

Enkelvoudige SSID voor draadloze BYOD-zelfregistratie

In dit scenario is er één SSID voor corporate Access (CORP) dat zowel Protected Extensible Verification Protocol (PEAP) als EAP-TLS ondersteunt. Er is geen Guest SSID.

Dit is het proces voor één SSID draadloze BYOD-zelfregistratie:

1. De gebruiker associeert met CORP.
2. De gebruiker voert een gebruikersnaam en wachtwoord in in de aanvrager voor de PEAP-verificatie.
3. ISE authenticeert de gebruiker en biedt, op basis van de PEAP methode, een autorisatiebeleid om te accepteren met een regelafstand naar de gastenpagina voor apparaatregistratie van werknemers.
4. De gebruiker opent een browser en wordt naar de gastenpagina van de Registratie van het apparaat van de Werknemer opnieuw gericht.
5. Het MAC-adres is vooraf ingevuld in de gastenpagina van de apparaatregistratie voor de machine-ID. De gebruiker geeft een beschrijving en accepteert de AUP.
6. De gebruiker selecteert Accept en begint de SPW te downloaden en te installeren.
7. De leverancier van het apparaat van die gebruiker is voorzien van alle certificaten.
8. CoA komt voor, en het apparaat herassocieert aan CORP SSID en verklaart authentiek met EAP-TLS.

Configuratie van functies

Voltooi deze stappen om de configuratie te starten:

1. Zorg er voor dat de WLC-versie in dit geval 7.2.10.0 of hoger is.
   
   
   
   
2. Navigeer naar Security > RADIUS > Verificatie en voeg de RADIUS-server toe aan de WLC.
   
   
   
   
3. Voeg ISE 1.1.1 toe aan de WLC:
   
   
   • Voer een gedeeld geheim in.
   • Stel ondersteuning voor RFC 3576 in op Ingeschakeld.
     
     
   
   
   
4. Voeg dezelfde ISE-server toe als een RADIUS-accounting server.
   
   
   
   
5. Maak een WLC Pre-Auth ACL om in het ISE beleid later te gebruiken. Navigeer naar WLC > Security > Toegangscontrolelijsten > FlexConnect ACL’s en maakte een nieuwe FlexConnect ACL genaamd ACL-REDIRECT (in dit voorbeeld).
   
   
   
   
6. In de ACL-regels staat al het verkeer naar/van ISE toe en staat clientverkeer toe tijdens levering.
   
   
   1. Voor de eerste regel (volgorde 1):
      
      
      • Bron op Any.
      • Stel IP (ISE-adres)/NetMash 255.255.255.255 in.
      • Actie instellen op Vergunning.
      
      
      
      
   2. Voor de tweede regel (sequentie 2), stel bron IP (ISE-adres)/masker 255.255.255.255 in op Any en Action to Permit.
      
      
      
      
7. Maak een nieuwe FlexConnect Group met de naam Flex1 (in dit voorbeeld):
   
   
   1. Blader naar FlexConnect Group > tabblad Webexbeleid.
   2. Klik onder het veld WebexPolicy ACL op Add en selecteer ACL-REDIRECT of FlexConnect ACL die eerder is gemaakt.
   3. Bevestig dat het het veld WebexPolicy Access Control Lists vult.
      
      
   
   
   
8. Klik op Toepassen en Opslaan.

WLAN-configuratie

Voltooi deze stappen om de WLAN-functie te configureren:

1. Maak een open WLAN-SSID voor het dubbele SSID-voorbeeld:
   
   
   • Voer een WLAN-naam in: DemoCWA (in dit voorbeeld).
   • Selecteer de optie Ingeschakeld voor status.
   
   
   
   
2. Navigeer naar het tabblad Beveiliging > Layer 2 tabblad en stel deze eigenschappen in:
   
   
   • Layer 2 security: None
   • MAC-filtering: Ingeschakeld (het vakje is ingeschakeld)
   • Snelle overgang: Uitgeschakeld (het vakje is niet afgevinkt)
   
   
   
   
3. Ga naar het tabblad AAA-servers en stel deze eigenschappen in:
   
   
   • Verificatie en accountservers: Ingeschakeld
   • Server 1: <ISE IP-adres>
   
   
   
   
4. Scrolt neer uit het tabblad AAA-servers. Zorg er onder Verificatieprioriteit voor webauth-gebruiker voor dat RADIUS wordt gebruikt voor verificatie en dat de andere niet worden gebruikt.
   
   
   
   
5. Ga naar het tabblad Geavanceerd en stel deze eigenschappen in:
   
   
   • AAA-negeren toestaan: Ingeschakeld
   • NAC-staat: Radius NAC
   
   

   Opmerking: RADIUS Network Admission Control (NAC) wordt niet ondersteund wanneer FlexConnect AP in losgemaakte modus is. Dus als FlexConnect AP in standalone modus is en verbinding met WLC verliest, worden alle klanten losgekoppeld en wordt SSID niet langer geadverteerd.

6. Scrolt neer in het tabblad Geavanceerd en stel FlexConnect Local Switching in op Enabled.
   
   
   
   
7. Klik op Toepassen en Opslaan.
   
   
   
   
8. Maak een 802.1X WLAN-SSID met de naam Demo1x (in dit voorbeeld) voor één en dubbele SSID-scenario's.
   
   
   
   
9. Navigeer naar het tabblad Beveiliging > Layer 2 tabblad en stel deze eigenschappen in:
   
   
   • Layer 2 security: WAP+WAP2
   • Snelle overgang: Uitgeschakeld (het vakje is niet afgevinkt)
   • Verificatiebelangrijk beheer: 802.lX: inschakelen
   
   
   
   
10. Ga naar het tabblad Geavanceerd en stel deze eigenschappen in:
    
    
    • AAA-negeren toestaan: Ingeschakeld
    • NAC-staat: Radius NAC
    
    
    
    
11. Scrolt neer in het tabblad Geavanceerd en stel FlexConnect Local Switching in op Enabled.
    
    
    
    
12. Klik op Toepassen en Opslaan.
    
    
    
    
13. Bevestig dat beide nieuwe WLAN’s zijn gecreëerd.
    
    

FlexConnect AP-configuratie

Voltooi deze stappen om FlexConnect te configureren:

1. Blader naar WLC > Wireless en klik op de FlexConnect AP.
   
   
   
   
2. Klik op het tabblad FlexConnect.
   
   
   
   
3. Schakel VLAN-ondersteuning in (hiervoor is ingeschakeld), stel de Native VLAN-id in en klik op VLAN-koppelingen.
   
   
   
   
4. Stel de VLAN ID in op 21 (in dit voorbeeld) voor SSID voor lokale switching.
   
   
   
   
5. Klik op Toepassen en Opslaan.

ISE-configuratie

Volg deze stappen om ISE te configureren:

1. Inloggen op de ISE-server: <https://ise>.
   
   
   
   
2. Navigeren naar Administratie > identiteitsbeheer > Externe identiteitsbronnen.
   
   
   
   
3. Klik op Actieve map.
   
   
   
   
4. In het tabblad Verbinding:
   
   
   1. Voeg de Domain Name van corp.rf-demo.com toe (in dit voorbeeld) en verander de standaard Identity Store Name in AD1.
   2. Klik op Configuratie opslaan.
   3. Klik op Samenvoegen en voer de gebruikersnaam voor de AD-Administrator-account en het wachtwoord in dat vereist is om mee te doen.
   4. De status moet groen zijn. Schakel verbindingen in op: (dit vakje is ingeschakeld).
   
   
   
   
5. Voer een basisverbindingstest uit met de AD met een huidige domeingebruiker.
   
   
   
   
6. Als de verbinding met de AD succesvol is, bevestigt een dialoog dat het wachtwoord juist is.
   
   
   
   
7. Navigeren naar Administratie > identiteitsbeheer > Externe identiteitsbronnen:
   
   
   1. Klik op certificaatverificatieprofiel.
   2. Klik op Add voor een nieuw certificaatverificatieprofiel (CAP).
   
   
   
   
8. Voer een naam van CertAuth in (in dit voorbeeld) voor het GLB; voor de hoofdnaam X509, selecteer Gemeenschappelijke naam; Klik vervolgens op Inzenden.
   
   
   
   
9. Bevestig dat het nieuwe GLB wordt toegevoegd.
   
   
   
   
10. Navigeer naar Administratie > identiteitsbeheer > Vereveningen van Identity Bron en klik op Add.
    
    
    
    
11. Geef de sequentie een naam van TestSequence (in dit voorbeeld).
    
    
    
    
12. Scrolt naar certificaatgebaseerde verificatie:
    
    
    1. Selecteer certificaatverificatieprofiel inschakelen (dit vakje is ingeschakeld).
    2. Selecteer CertAuth (of een ander eerder gemaakt CAP-profiel).
    
    
    
    
13. Naar verificatiezoeklijst bladeren:
    
    
    1. Verplaats AD1 van Beschikbaar naar geselecteerd.
    2. Klik op de knop omhoog om AD1 naar de hoogste prioriteit te verplaatsen.
    
    
    
    
14. Klik op Inzenden om op te slaan.
    
    
    
    
15. Bevestig dat de nieuwe reeks Identity Source Sequence wordt toegevoegd.
    
    
    
    
16. Gebruik de AD om het My Devices Portal te authentiseren. Navigeer naar ISE > Administration > Identity Management > Identity Source sequence en bewerk MyDevices_Portal_Sequence.
    
    
    
    
17. Voeg AD1 toe aan de Geselecteerde lijst en klik op de knop omhoog om AD1 naar de hoogste prioriteit te verplaatsen.
    
    
    
    
18. Klik op Opslaan.
    
    
    
    
19. Bevestig dat de sequentie Identity Store voor MyDevices_Portal_Sequence AD1 bevat.
    
    
    
    
20. Herhaal stappen 16-19 om AD1 toe te voegen voor Guest_Portal_Sequence, en klik op Opslaan.
    
    
    
    
21. Bevestig dat Guest_Portal_Sequence AD1 bevat.
    
    
    
    
22. Als u de WLC aan Network Access Devices (WLC) wilt toevoegen, navigeer dan naar Beheer > Netwerkbronnen > Netwerkapparaten en klik op Add.
    
    
    
    
23. Voeg de naam van WLC, IP adres, Subnetmasker toe, enz.
    
    
    
    
24. Scrolt naar verificatie-instellingen en voer het gedeelde geheim in. Dit moet overeenkomen met het gedeelde geheim van de WLC RADIUS.
    
    
    
    
25. Klik op Inzenden.
    
    
26. Navigeer naar ISE > Policy > Policy Elementen > Resultaten.
    
    
    
    
27. Resultaten en autorisatie uitvouwen, op autorisatieprofielen klikken en op Toevoegen voor een nieuw profiel klikken.
    
    
    
    
28. Geef dit profiel deze waarden:
    
    
    • Name: CWA
      
      
      
      
    • Webverificatie inschakelen (dit vakje is ingeschakeld):
      
      
      • Web verificatie: Gecentraliseerd
      • ACL: ACL-REDIRECT (Dit moet overeenkomen met de WLC-naam van voor de auth ACL.)
      • Ombuigen: Standaard
        
        
      
      
      
29. Klik op Indienen en bevestig dat het CWA-goedkeuringsprofiel is toegevoegd.
    
    
    
    
30. Klik op Add om een nieuw autorisatieprofiel te maken.
    
    
    
    
31. Geef dit profiel deze waarden:
    
    
    • Name: bepaling
      
      
      
      
    • Webverificatie inschakelen (dit vakje is ingeschakeld):
      
      
      • Web verificatie waarde: Provisioning
        
        
        
        
      • ACL: ACL-REDIRECT (Dit moet overeenkomen met de WLC-naam van voor de auth ACL.)
        
        
        
        
32. Klik op Indienen en bevestig dat het vergunningenprofiel voor levering is toegevoegd.
    
    
    
    
33. Scrolt naar beneden in Resultaten, breid Clientprovisioning uit en klik op Resources.
    
    
    
    
34. Selecteer Native Supplicant Profile.
    
    
    
    
35. Geef het profiel een naam van WirelessSP (in dit voorbeeld).
    
    
    
    
36. Voer deze waarden in:
    
    
    • Type verbinding: Draadloos
    • SSID: Demo1x (deze waarde is van de WLC 802.1x WLAN-configuratie)
    • Toegestaan protocol: TLS
    • Sleutelgrootte: 1024
    
    
    
    
37. Klik op Inzenden.
    
    
38. Klik op Opslaan.
    
    
    
    
39. Bevestig dat het nieuwe profiel is toegevoegd.
    
    
    
    
40. Navigeer naar beleid > Clientprovisioning.
    
    
    
    
41. Voer deze waarden in voor de leveringsregel van iOS-apparaten:
    
    
    • Naam regel: iOS
    • Identiteitsgroepen: Alle
      
      
      
      
    • Besturingssystemen: Mac iOS All
      
      
      
      
    • Resultaten: WirelessSP (dit is het oudere inheemse profiel)
      
      
      
      
      • Navigeer naar Resultaten > Wizard Profile (vervolgkeuzelijst) > WirelessSP.
        
        
        
        
        
        
42. Bevestig dat het iOS-provisioningprofiel is toegevoegd.
    
    
    
    
43. Aan de rechterkant van de eerste regel plaatst u de vervolgkeuzelijst Handelingen en selecteert u Duplicaat hieronder (of hoger).
    
    
    
    
44. Verander de naam van de nieuwe regel in Android.
    
    
    
    
45. Wijzig de besturingssystemen in Android.
    
    
    
    
46. Laat andere waarden ongewijzigd.
    
    
47. Klik op Opslaan (linker benedenscherm).
    
    
    
    
48. Navigeer naar ISE > Policy > Verificatie.
    
    
    
    
49. Wijzig de conditie om Wireless_MAB op te nemen en Wired_MAB uit te vouwen.
    
    
    
    
50. Klik op de vervolgkeuzelijst Naam conditioner.
    
    
    
    
51. Selecteer Woordenboeken > Samengestelde voorwaarde.
    
    
    
    
52. Selecteer Wireless_MAB.
    
    
    
    
53. Selecteer de pijl die u wilt uitvouwen.
    
    
    
    
54. Selecteer deze waarden in de vervolgkeuzelijst.
    
    
    • Identiteitsbron: TestSequence (dit is de waarde die eerder is gemaakt)
    • Indien authenticatie faalde: afwijzen
    • Indien gebruiker niet gevonden: Doorgaan
    • Als het proces is mislukt: druppel
    
    
    
    
55. Ga naar de Dot1X regel en verander deze waarden:
    
    
    
    

    • Toestand: Draadloos_802.1x

      
      
      
    • Identiteitsbron: TestSequence
      
      
      
      
56. Klik op Opslaan.
    
    
    
    
57. Navigeer naar ISE > Policy > Authorization.
    
    
    
    
58. Standaard regels (zoals standaard zwarte lijst, profiel en standaard) worden al uit de installatie ingesteld. de eerste twee kunnen worden genegeerd; De standaard regel wordt later bewerkt.
    
    
    
    
59. Rechts van de tweede regel (Gecertificeerde Cisco IP-telefoons) klikt u op het pijltje onder bij Bewerken en vervolgens selecteert u Nieuwe regel invoegen hieronder.
    
    
    
    

    Er wordt een nieuwe standaardregel # toegevoegd.

    
    
    
60. Verander de regelnaam van standaardregel # in OpenCWA. Deze regel initieert het registratieproces op het open WLAN (dubbele SSID) voor gebruikers die naar het gastnetwerk komen om apparaten provisioneerd te hebben.
    
    
    
    
61. Klik op het plusteken (+) voor conditionering(en) en klik op Bestaande conditionering uit bibliotheek selecteren.
    
    
    
    
62. Selecteer Samengestelde voorwaarden > Wireless_MAB.
    
    
    
    
63. Klik in het AuthZ Profile op het plusteken (+) en selecteer Standaard.
    
    
    
    
64. Selecteer de standaard CWA (dit is het machtigingsprofiel dat eerder is gemaakt).
    
    
    
    
65. Bevestig dat de regel met de juiste voorwaarden en vergunning is toegevoegd.
    
    
    
    
66. Klik op Gereed (aan de rechterkant van de regel).
    
    
    
    
67. Klik rechts van de zelfde regel op de benedenpijl naast Bewerken en selecteer Nieuwe regel invoegen hieronder.
    
    
    
    
68. Verander de regelnaam van standaardregel # in PEAPregel (in dit voorbeeld). Deze regel is voor PEAP (ook gebruikt voor één SSID-scenario) om te controleren of de authenticatie van 802.1X zonder Vervoerslaag Beveiliging (TLS) en dat de levering van netwerkbenodigdheden wordt gestart met het reeds aangelegde vergunningenprofiel.
    
    
    
    
69. Verander de conditionering in Wireless_802.1X.
    
    
    
    
70. Klik op het pictogram versnelling aan de rechterkant van de aandoening en selecteer Toevoegen kenmerk/waarde. Dit is een 'en'-voorwaarde, geen 'of'-voorwaarde.
    
    
    
    
71. Lokaliseer en selecteer Network Access.
    
    
    
    
72. Selecteer Verificatiemethode en voer deze waarden in:
    
    
    
    
    • Verificatiemethode: Gelijk
      
      
      
      
    • Selecteer MSCHAPV2.
      
      
      

    Dit is een voorbeeld van de regel. Controleer of de conditionering een EN is.

    
    
    
73. Selecteer in AuthZ Profile de optie Standaard > Voorziening (dit is het eerder gemaakte autorisatieprofiel).
    
    
    
    
    
    
74. Klik op Klaar.
    
    
    
    
75. Klik rechts van de PEAP-regel op de pijl omlaag naast Bewerken en selecteer Nieuwe regel invoegen hieronder.
    
    
    
    
76. Verander de regelnaam van standaardregel # om toe te staanRegel (in dit voorbeeld). Deze regel zal worden gebruikt om toegang tot geregistreerde hulpmiddelen met geïnstalleerde certificaten mogelijk te maken.
    
    
    
    
77. Selecteer onder conditionering(en) de optie Samengestelde voorwaarden.
    
    
    
    
78. Selecteer Wireless_802.1x.
    
    
    
    
79. Voeg een EN attribuut toe.
    
    
    
    
80. Klik op het pictogram versnelling aan de rechterkant van de aandoening en selecteer Toevoegen kenmerk/waarde.
    
    
    
    
81. Zoek en selecteer Straal.
    
    
    
    
82. Selecteer Calling-ID[31].
    
    
    
    
83. Selecteer gelijken.
    
    
    
    
84. Ga naar CERTIFICAAT en klik op de rechterpijl.
    
    
    
    
85. Selecteer Alternatieve naam onderwerp.
    
    
    
    
86. Selecteer de optie Standaard voor het Z-profiel.
    
    
    
    
87. Selecteer Toegang toestaan.
    
    
    
    
88. Klik op Klaar.
    
    
    
    Dit is een voorbeeld van de regel:
    
    
    
    
89. Pak de standaardregel vast om toegang tot toegangsrechten te wijzigen.
    
    
    
    
90. Klik op Bewerken om de standaardregel te bewerken.
    
    
    
    
91. Ga naar het bestaande AuthZ-profiel van PermitAccess.
    
    
    
    
92. Selecteer Standaard.
    
    
    
    
93. Selecteer Deny Access.
    
    
    
    
94. Bevestig dat de standaard regel DenyAccess heeft als er geen overeenkomsten zijn gevonden.
    
    
    
    
95. Klik op Klaar.
    
    
    
    Dit is een voorbeeld van de belangrijkste voorschriften die voor deze test vereist zijn; zij zijn van toepassing voor één SSID of een dubbel SSID-scenario.
    
    
    
    
96. Klik op Opslaan.
    
    
    
    
97. Navigeer naar ISE > Administration > System > Certificaten om de ISE-server te configureren met een SCEP profiel.
    
    
    
    
98. Klik in certificaatbewerkingen op SCEP CA-profielen.
    
    
    
    
99. Klik op Toevoegen.
    
    
    
    
100. Voer deze waarden voor dit profiel in:
     
     
     • Name: mySCEP (in dit voorbeeld)
     • URL: https://<ca-server>/CertSrv/mscep/(controleer de serverconfiguratie van uw CA voor het juiste adres.)
     
     
     
     
101. Klik op Test Connectivity om de connectiviteit van de SCEP verbinding te testen.
     
     
     
     
102. Dit antwoord laat zien dat de serverconnectiviteit succesvol is.
     
     
     
     
103. Klik op Inzenden.
     
     
     
     
104. De server antwoordt dat het CA Profile met succes is gemaakt.
     
     
     
     
105. Bevestig dat het SCEP CA-profiel is toegevoegd.
     
     

Gebruikerservaring - Provisioning als iOS

Dubbele SSID

Deze sectie bestrijkt dubbele SSID’s en beschrijft hoe u verbinding kunt maken met de gast die u hebt bevoorraad en hoe u verbinding kunt maken met een 802.1x WLAN.

Voltooi deze stappen om iOS in het duale SSID-scenario te voorzien:

1. Ga in het iOS-apparaat naar Wi-Fi-netwerken en selecteer DemoCWA (geconfigureerd open WLAN op WLC).
   
   
   
   
2. Open de browser Safari op het iOS-apparaat en bezoek een bereikbare URL (bijvoorbeeld een interne/externe webserver). De ISE stuurt u terug naar het portaal. Klik op Doorgaan.
   
   
   
   
3. U wordt opnieuw naar het Guest Portal verwezen voor inloggen.
   
   
   
   
4. Meld u aan met een AD-gebruikersaccount en wachtwoord. Installeer het CA-profiel wanneer dit wordt gevraagd.
   
   
   
   
5. Klik op Installeer het vertrouwde certificaat van de CA server.
   
   
   
   
6. Klik op Gereed zodra het profiel volledig is geïnstalleerd.
   
   
   
   
7. Ga terug naar de browser en klik op Registreren. Maak een nota van het apparaat ID dat het MAC-adres van het apparaat bevat.
   
   
   
   
8. Klik op Installeer om het geverifieerde profiel te installeren.
   
   
   
   
9. Klik op Nu installeren.
   
   
   
   
10. Nadat het proces is voltooid, bevestigt het WirelessSP-profiel dat het profiel is geïnstalleerd. Klik op Klaar.
    
    
    
    
11. Ga naar Wi-Fi-netwerken en verander het netwerk naar Demo1x. Uw apparaat is nu aangesloten en gebruikt TLS.
    
    
    
    
12. Op ISE, navigeer naar Operations > Authenticaties. De gebeurtenissen tonen het proces waarin het apparaat met het open gastnetwerk wordt verbonden, door het registratieproces met leveringsverzoek gaat en na registratie wordt de vergunning toegestaan.
    
    
    
    
13. Navigeren in op ISE > Administratie > identiteitsbeheer > groepen > Endpoint Identity Groepen > Geregistreerde apparaten. Het MAC-adres is aan de database toegevoegd.
    
    

Single SSID

Deze sectie bestrijkt één SSID en beschrijft hoe u direct verbinding kunt maken met een 802.1x WLAN, AD-gebruikersnaam/wachtwoord voor PEAP-verificatie, levering via een gastaccount en herkoppeling met TLS.

Voltooi deze stappen om iOS in één SSID-scenario te voorzien:

1. Als u hetzelfde iOS-apparaat gebruikt, verwijdert u het eindpunt van de geregistreerde apparaten.
   
   
   
   
2. Navigeer op het iOS-apparaat naar Instellingen > Generalen > profielen. Verwijder de profielen die in dit voorbeeld zijn geïnstalleerd.
   
   
   
   
3. Klik op Verwijderen om de vorige profielen te verwijderen.
   
   
   
   
   
   
4. Sluit rechtstreeks aan op het 802.1x-apparaat met het bestaande (geklaard) apparaat of met een nieuw iOS-apparaat.
   
   
5. Sluit aan op Dot1x, voer een gebruikersnaam en wachtwoord in en klik op Samenvoegen.
   
   
   
   
6. Herhaal stap 90 en van het gedeelte ISE Configuration totdat de juiste profielen volledig zijn geïnstalleerd.
   
   
7. Navigeer naar ISE > Operations > Authenticaties om het proces te controleren. Dit voorbeeld laat de client zien die rechtstreeks is aangesloten op 802.1X WLAN’s omdat deze wordt geleverd, verbroken en opnieuw verbonden met hetzelfde WLAN met het gebruik van TLS.
   
   
   
   
8. Navigeer naar WLC > Monitor > [client-MAC]. In de details van de client merk op dat de client in de UN-status staat staat, dat de gegevensswitching op lokaal niveau is ingesteld en dat de verificatie centraal staat. Dit geldt voor klanten die een verbinding maken met FlexConnect AP.
   
   

Gebruikerservaring - Provisioning Android

Dubbele SSID

Deze sectie betreft dubbele SSID’s en beschrijft hoe u verbinding kunt maken met de gast die u hebt bevoorraad en hoe u verbinding kunt maken met een 802.1x WLAN.

Het aansluitproces voor het Android-apparaat lijkt sterk op dat voor een iOS-apparaat (enkele of dubbele SSID). Een belangrijk verschil is echter dat Android-apparaten toegang tot internet vereisen om toegang te hebben tot Google Marketplace (nu Google Play) en de daartoe strekkende agent te kunnen downloaden.

Voltooi deze stappen om een Android-apparaat (zoals het Samsung Galaxy in dit voorbeeld) in te zetten in het dubbele SSID-scenario:

1. Gebruik in het Android-apparaat Wi-Fi om verbinding te maken met DemoCWA en open de gast WLAN’s.
   
   
   
   
2. Accepteer elk certificaat om verbinding te maken met de ISE.
   
   
   
   
3. Voer een gebruikersnaam en een wachtwoord in in via de gastportal om in te loggen.
   
   
   
   
4. Klik op Registreren. Het apparaat probeert internet te bereiken om toegang te krijgen tot de Google-markt. Voeg eventuele aanvullende regels toe aan de Pre-Auth ACL (zoals ACL-REDIRECT) in de controller om toegang tot het internet mogelijk te maken.
   
   
   
   
5. Google maakt een lijst van Cisco Network Setup als een Android-app. Klik op INSTALL.
   
   
   
   
6. Meld u aan bij Google en klik op INSTALL.
   
   
   
   
7. Klik op OK.
   
   
   
   
8. Ga naar het Android-apparaat de geïnstalleerde Cisco SPW-app en open deze.
   
   
   
   
9. Zorg dat u nog steeds via uw Android-apparaat hebt aangemeld bij het Guest Portal.
   
   
10. Klik op Start om de Wi-Fi Setup Assistant te starten.
    
    
    
    
11. De Cisco SPW begint certificaten te installeren.
    
    
    
    
12. Stel, wanneer dit wordt gevraagd, een wachtwoord in voor het opslaan van kredieten.
    
    
    
    
13. De Cisco SPW retourneert met een certificaatnaam, die de gebruikershandleiding en het gebruikerscertificaat bevat. Klik op OK om dit te bevestigen.
    
    
    
    
14. Cisco SPW gaat verder en vraagt om een andere certificaatnaam, die het CA-certificaat bevat. Voer de naam iseca in (in dit voorbeeld) en klik vervolgens op OK om door te gaan.
    
    
    
    
15. Het Android-apparaat is nu verbonden.
    
    

Mijn apparaatportal

Mijn Devices Portal laat gebruikers toe om eerder geregistreerde apparaten te chanteren wanneer een apparaat verloren of gestolen is. Gebruikers kunnen er ook indien nodig een nieuwe lijst mee maken.

Voltooi deze stappen om een apparaat te blokkeren:

1. Om in te loggen op My Devices Portal, opent u een browser, sluit u aan op https://ise-server:8443/mydevices (let op poortnummer 8443) en logt u in met een AD-account.
   
   
   
   
2. Pak het apparaat op onder ApparaatID en klik op Verlopen? om een zwarte lijst van een hulpmiddel op te stellen.
   
   
   
   
3. Wanneer de ISE een waarschuwing geeft, klikt u op Ja om verder te gaan.
   
   
   
   
4. ISE bevestigt dat het apparaat gemarkeerd is als verloren.
   
   
   
   
5. Elke poging om verbinding te maken met het netwerk met het eerder geregistreerde apparaat is nu geblokkeerd, zelfs als er een geldig certificaat is geïnstalleerd. Dit is een voorbeeld van een op een zwarte lijst geplaatst apparaat dat de authenticatie niet kent:
   
   
   
   
6. Een beheerder kan navigeren naar ISE > Administratie > Identity Management > Groepen, klik op Endpoint Identity Group > Blacklist en zie dat het apparaat is geblokkeerd.
   
   

Voltooi deze stappen om een op de zwarte lijst geplaatst apparaat opnieuw in te voeren:

1. Klik in het portal Mijn apparaat op Opnieuw installeren voor dat apparaat.
   
   
   
   
2. Wanneer ISE een waarschuwing geeft, klikt u op Ja om verder te gaan.
   
   
   
   
3. ISE bevestigt dat het apparaat met succes is hersteld. Sluit het opnieuw geïnstalleerde apparaat aan op het netwerk om te testen of het apparaat nu is toegestaan.
   
   

Referentie - Certificaten

ISE vereist niet alleen een geldig CA root certificaat, maar ook een geldig certificaat dat ondertekend is door CA.

Voltooi deze stappen om een nieuw vertrouwd CA-certificaat toe te voegen, te binden en te importeren:

1. Navigeer naar ISE > Administration > System > Certificates, klik op Local Certificates en klik op Add.
   
   
   
   
2. Selecteer certificaataanvraag genereren (CSR).
   
   
   
   
3. Voer het certificaatonderwerp in CN=<ISE-SERVER hostname.FQDN>. Voor de andere velden kunt u de standaard of de waarden gebruiken die bij de CA-instelling vereist zijn. Klik op Inzenden.
   
   
   
   
4. ISE verifieert dat de CSR werd gegenereerd.
   
   
   
   
5. Klik op de bewerkingen van de certificaataanvraag om toegang tot de CSR.
   
   
   
   
6. Selecteer de CSR die onlangs is gemaakt, en klik vervolgens op Exporteren.
   
   
   
   
7. ISE exporteert de CSR naar een .pem-bestand. Klik op Opslaan bestand en klik vervolgens op OK om het bestand op de lokale machine op te slaan.
   
   
   
   
8. Pak de optie en open het ISE-certificaatbestand met een teksteditor.
   
   
   
   
9. Kopieer de gehele inhoud van het certificaat.
   
   
   
   
10. Sluit aan op de CA-server en log in met een Administrator-account. De server is een Microsoft 2008 CA op https://10.10.10.10/certsrv (in dit voorbeeld).
    
    
    
    
11. Klik op Een certificaat aanvragen.
    
    
    
    
12. Klik op geavanceerde certificaataanvraag.
    
    
    
    
13. Klik op de tweede optie om een certificaataanvraag in te dienen met een basis-64-gecodeerde CMC of ... .
    
    
    
    
14. Plakt de inhoud uit het ISE-certificaatbestand (.pem) in het veld Opslaan aanvraag, zorg ervoor dat de certificaatsjabloon webserver is en klik op Indienen.
    
    
    
    
15. Klik op Download certificaat.
    
    
    
    
16. Sla het bestand certnew.cer op. het zal later worden gebruikt om de ISE te binden.
    
    
    
    
17. Van ISE Certificaten, navigeer naar Lokale Certificaten, en klik op Toevoegen > Bind CA Certificaat.
    
    
    
    
18. Bladeren naar het certificaat dat in de vorige stap is opgeslagen op de lokale machine, schakelt u zowel de EAP-als de Management Interface-protocollen in (er worden vakjes geselecteerd) en klikt u op Inzenden. ISE kan een aantal minuten of langer duren om de services opnieuw te starten.
    
    
    
    
19. Ga terug naar de startpagina van de CA (https://CA/certsrv/) en klik op Download een CA certificaat, certificeringsketen of CRL.
    
    
    
    
20. Klik op CA-certificaat downloaden.
    
    
    
    
21. Sla het bestand op in de lokale machine.
    
    
    
    
22. Ga online met de ISE-server naar Certificaten en klik op Certificaten van de certificaatinstantie.
    
    
    
    
23. Klik op Importeren.
    
    
    
    
24. Bladeren voor het CA-certificaat, vertrouwen op client-verificatie inschakelen en klikken op Verzenden.
    
    
    
    
25. Bevestig dat het nieuwe vertrouwde CA-certificaat wordt toegevoegd.
    
    

Gerelateerde informatie

• Cisco Identity Services Engine hardwareinstallatiehandleiding, release 1.0.4
• Cisco 2000 Series draadloze LAN-controllers
• Cisco 4400 Series draadloze LAN-controllers
• Cisco Aironet 3500 Series
• Flex 7500 controllerkaart voor draadloze tak
• Breng uw eigen apparaat aan - Unified Apparaatverificatie en Consistent Access Experience
• Draadloze BYOD met Identity Services Engine
• Technische ondersteuning en documentatie – Cisco Systems