FlexConnect WLAN met 802.1x AAA-opheffing op Catalyst 9800 draadloze controllers

Inleiding

In dit document wordt beschreven hoe u een elastische draadloze LAN-controller (9800 WLC) met FlexConnect-modus access points (AP’s) en een 802.1x Wireless Local Area Network (WLAN) kunt instellen die lokaal zijn geschakeld met Virtual Local Area Network (VLAN)-verificatie, autorisatie en accounting (AAA).

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• 9800 WLC-configuratiemodus
• FlexConnect

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

• 980 WLC v16.10

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Configureren

Netwerkdiagram

Configuratie

AAA-configuratie op 9800 WLC

Je kunt de instructies van deze link volgen:

AAA-configuratie op 9800 WLC

WLAN-configuratie

Je kunt de instructies van deze link volgen:

WLAN-configuratie

AP als FlexConnect-modus instellen

In tegenstelling tot de AireOS-configuratie is het op de 9800 WLC niet mogelijk om de lokale AP-modus of de flexconnect-modus rechtstreeks te configureren vanaf de AP. Volg deze stappen om een AP in FlexConnect-modus te configureren.

GUI

Stap 1. Configureer een Flex Profile.

Naar navigeren Configuratie > Tags en profielen > Flex en wijzig het standaard-flex-profiel of klik op +Add om een nieuw profiel te maken.

Stap 2. Voeg de benodigde VLAN’s toe (zowel de VLAN’s van de standaard WLAN’s als de VLAN’s die van ISE worden gedrukt).

Opmerking: in stap 3 van de sectie Beleidsprofielconfiguratie, selecteert u het standaard VLAN dat is toegewezen aan de SSID. Als u bij die stap een VLAN-naam gebruikt, zorg er dan voor dat u dezelfde VLAN-naam gebruikt bij de Flex Profile-configuratie, anders kunnen clients geen verbinding maken met het WLAN.

U kunt optioneel specifieke ACL’s per VLAN toevoegen.

 Wijs naar keuze een RADIUS-servergroep toe om FlexConnect AP's lokale verificatie toe te staan.

Stap 3. Configureer een sitetag.

Navigeren naar Configuratie > Tags & profielen > Tags > Site. Ofwel wijzig de standaard-site-tag (de tag die standaard aan alle AP's is toegewezen) of maak een nieuwe (Klik +Add om een nieuwe te maken). 

Zorg ervoor dat u de optie Local Site inschakelen uitschakelt, anders is de optie Flex Profile niet beschikbaar. 

Opmerking: alle toegangspunten die een sitetag krijgen met de optie Lokale site inschakelen is ingesteld, zijn geconfigureerd als lokale modus. Op dezelfde manier wordt elke AP die een Site Tag krijgt met Enable Local Site uitgeschakeled, geconfigureerd als flexconnect-modus.

 Stap 4. Maak een AP associate aan de 9800 WLC en wijs de Site tag die is geconfigureerd op Stap 2 toe.

Navigeer naar Configuration > Wireless > Access points > AP-naam en stel het Site-label in. Klik vervolgens op Bijwerken en toepassen op apparaat om de wijziging in te stellen.

Opmerking: Houd er rekening mee dat de tag na het wijzigen van de tag op een AP zijn associatie met de 9800 WLC verliest en zich binnen ongeveer 1 minuut weer bij elkaar voegt. 

 Stap 5. Wanneer het toegangspunt weer wordt toegevoegd, wordt de modus Flex weergegeven

CLI

# config t
# wireless profile flex new-flex-profile
# arp-caching
# description "New flex profile"
# native-vlan-id 2601

# config t
# wireless tag site new-flex-site
# flex-profile new-flex-profile
# no local-site
# site-tag new-flex-site

# config t
# ap <eth-mac-address>
# site-tag new-flex-site
Associating site-tag will cause associated AP to reconnect
# exit

#show ap name <ap-name> config general | inc AP Mode
AP Mode                                         : FlexConnect

Switchconfiguratie

Configureer de interface van de switch waarmee het toegangspunt is verbonden.

# config t
# interface <int-id>
# switchport trunk native vlan 2601
# switchport mode trunk
# spanning-tree portfast trunk
# end

Configuratie van beleidsprofiel

Binnen een beleidsprofiel kunt u beslissen aan welke VLAN-clients worden toegewezen, onder andere instellingen (zoals toegangscontrolelijst [ACL’s], Quality of Service [QoS], mobiliteitsanker, timers enzovoort).

GUI

Stap 1. Configureer het beleidsprofiel dat aan het WLAN moet worden toegewezen.

Navigeer naar Configuratie > Tags & profielen > Beleid en maak een nieuwe of wijzig het standaard-beleid-profiel.

 Stap 2. Wijs op het tabblad Algemeen een naam toe aan het beleidsprofiel en verander de status in Ingeschakeld.

 Stap 3. Via het tabblad Toegangsbeleid wijst u het VLAN toe waaraan de draadloze clients zijn toegewezen wanneer deze standaard verbinding maken met dit WLAN.

U kunt één VLAN-naam in de uitrollijst selecteren of handmatig een VLAN-id typen.

Opmerking: als u een VLAN-naam selecteert in de vervolgkeuzelijst, zorg dan dat deze overeenkomt met de VLAN-naam die wordt gebruikt in stap 2 van sectie AP instellen als FlexConnect-modus.

of

Stap 4. Navigeer naar het tabblad Geavanceerd en schakel Centrale verificatie in Inschakelen en toestaan AAA-opties voor overschrijven in. Centrale switching moet worden uitgeschakeld.

Centrale verificatie moet worden ingeschakeld als u wilt dat het verificatieproces centraal wordt uitgevoerd door de 9800 WLC. Schakel deze optie uit als u wilt dat de FlexConnect AP's de draadloze clients verifiëren.

CLI

# config t
# wireless profile policy new-policy-profile
# central association
# vlan <vlan-id or vlan-name>
# no shutdown

Configuratie van beleidstag

Policy Tag wordt gebruikt om de SSID te koppelen aan het beleidsprofiel. U kunt een nieuwe Policy Tag maken of de standaard-policy tag gebruiken.

Opmerking: De standaard-policy-tag brengt automatisch elke SSID met een WLAN-id tussen 1 en 16 in kaart aan het standaard-beleid-profiel. Dit kan niet worden gewijzigd of verwijderd. Als u een WLAN met een ID 17 of hoger hebt, kan de standaard-beleidstag niet worden gebruikt.

GUI:

Navigeer naar Configuration > Tags & profielen > Tags > beleid en voeg indien nodig een nieuwe toe.

Koppel uw WLAN-profiel aan het gewenste beleidsprofiel.

CLI:

# config t
# wireless tag policy <policy-tag-name>
# wlan <profile-name> policy <policy-profile-name>

Toewijzing van beleidstags

Wijs de beleidstag toe aan het toegangspunt

GUI

Als u de tag wilt toewijzen aan één AP, gaat u naar Configuration > Wireless > Access points > AP Name > General Tags, maakt u de gewenste toewijzing en klikt u vervolgens op Update & Apply to Device.

Opmerking: Houd er rekening mee dat na het wijzigen van de beleidstag op een AP, het zijn associatie met de 9800 WLC verliest en zich binnen ongeveer 1 minuut opnieuw bij u aansluit.

Als u dezelfde beleidsmarkering wilt toewijzen aan meerdere toegangspunten, gaat u naar Configuration > Wireless > Wireless Setup > Nu starten > Toepassen.

Selecteer de AP's waaraan u de tag wilt toewijzen en klik op + Tag AP's

Selecteer de gefloten tag en klik op Opslaan & Toepassen op apparaat

CLI

# config t
# ap <ethernet-mac-addr>
# policy-tag <policy-tag-name>
# end

ISE-configuratie

Controleer voor de configuratie van ISE v1.2 de volgende link:

ISE-configuratie

Verifiëren

U kunt deze opdrachten gebruiken om de huidige configuratie te controleren

# show run wlan
# show run aaa
# show aaa servers
# show ap config general
# show ap name <ap-name> config general 
# show ap tag summary
# show ap name <AP-name> tag detail
# show wlan { summary | id | name | all }
# show wireless tag policy detailed <policy-tag-name>
# show wireless profile policy detailed <policy-profile-name> 

# show clock

# show logging

# show debugging
IOSXE Conditional Debug Configs:

Conditional Debug Global State: Stop

IOSXE Packet Tracing Configs:


Packet Infra debugs:

Ip Address                                               Port
------------------------------------------------------|----------

# show logging profile wireless filter { mac | ip } { <aaaa.bbbb.cccc> | <a.b.c.d> } to-file always-on-<FILENAME.txt> 

# more bootflash:always-on-<FILENAME.txt>
or
# copy bootflash:always-on-<FILENAME.txt> tftp://a.b.c.d/path/always-on-<FILENAME.txt> 

# clear platform condition all

# debug wireless mac <aaaa.bbbb.cccc> {monitor-time <seconds>}

# no debug wireless mac <aaaa.bbbb.cccc>

# dir bootflash: | inc ra_trace

# copy bootflash:ra_trace_MAC_aaaabbbbcccc_HHMMSS.XXX_timezone_DayWeek_Month_Day_year.log tftp://a.b.c.d/ra-FILENAME.txt

# more bootflash:ra_trace_MAC_aaaabbbbcccc_HHMMSS.XXX_timezone_DayWeek_Month_Day_year.log

# show logging profile wireless internal filter { mac | ip } { <aaaa.bbbb.cccc> | <a.b.c.d> } to-file ra-internal-<FILENAME>.txt

# copy bootflash:ra-internal-<FILENAME>.txt tftp://a.b.c.d/ra-internal-<FILENAME>.txt

# more bootflash:ra-internal-<FILENAME>.txt

# clear platform condition all