Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Achtergrondinformatie

Traffic Flow voor CWA Guest Enterprise Implementatie

Netwerkdiagram

Configureren

Draadloze gasttoegang tot C9800-parameters configureren

C9800 - AAA-configuratie voor gasten

C9800 - Redirectie-ACL configureren

C9800 - WLAN-profielconfiguratie voor gasten

C9800 - definitie van gastenbeleidsprofiel

C9800 - Beleidsmarkering

C9800 - Profiel voor AP Join

C9800 - Flex profiel

C9800 - Sitetag

C9800 - RF-profiel

C9800 - Tags toewijzen aan AP

Aruba CPPM-instantie configureren

Eerste configuratie van Aruba ClearPass-server

Licenties aanvragen

Server Hostname

HTTP-servercertificaat (CPPM Web Server Certificate) genereren

C9800 WLC definiëren als netwerkapparaat

Pagina en CoA Timers

ClearPass - Gastconfiguratie CWA

ClearPass-metagegevens over endpoints: Allow-Guest-Internet

Configuratie van handhavingsbeleid voor ClearPass opnieuw verifiëren

Configuratie van ClearPass Guest Portal Redirect-handhavingsprofiel

Configuratie van ClearPass-metagegevens-handhavingsprofiel

Configuratie van beleid voor internettoegang via ClearPass voor gasten

Configuratie van ClearPass Guest Post-AUP handhavingsbeleid

Serviceconfiguratie voor ClearPass MAB-verificatie

Configuratie van ClearPass-webauth-services

ClearPass - Web Login

Verificatie - Guest CWA-autorisatie

Bijlage

Gerelateerde informatie

Inleiding

Dit document beschrijft de integratie van Catalyst 9800 draadloze LAN-controller (WLC) met Aruba ClearPass om Guest Wireless Service Set Identifier (SSID) te leveren die gebruik maakt van Central Web Verification (CWA) voor draadloze clients in een Flexconnect-modus van access point (AP) implementatie.

De draadloze verificatie van de gast wordt ondersteund door Guest Portal met een anonieme pagina voor acceptabel gebruikersbeleid (AUP), gehost op Aruba Clearpass in een veilig gedemilitariseerde zone (DMZ) segment.

Voorwaarden

Deze handleiding gaat ervan uit dat deze componenten zijn geconfigureerd en geverifieerd:

- Alle relevante componenten worden gesynchroniseerd met Network Time Protocol (NTP) en geverifieerd om de juiste tijd te hebben (vereist voor certificaatvalidatie)

- Operationele DNS-server (vereist voor gastverkeersstromen, validatie van certificaatherroeping (CRL))

- Operationele DHCP-server

- Een optionele certificaatautoriteit (CA) (vereist om het door CPPM gehoste Guest Portal te ondertekenen)

- Catalyst 9800 WLC

- Aruba ClearPass Server (vereist platformlicentie, toegangslicentie, on-board licentie)

- ESXi van VMware

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

- C9800 implementatie- en nieuw configuratiemodel

- Flexconnect-switching op C980

- 9800 CWA-verificatie (zie https://www.cisco.com/c/en/us/support/docs/wireless/catalyst-9800-series-wireless-controllers/213920-central-web-authentication-cwa-on-cata.html)

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

- Cisco Catalyst C9800-L-C switch die 17.3.4c draait

- Cisco Catalyst C9130AX switch

- Aruba ClearPass, 6-8-0-109592 en 6.8-3 patch

- MS Windows-server

- Active Directory (GP geconfigureerd voor automatische op machine gebaseerde certificaatuitgifte aan beheerde endpoints)

- DHCP-server met optie 43 en optie 60

- DNS-server

- NTP-server om alle componenten te synchroniseren

- CA

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

In het diagram worden de details van de WiFi-toegangsuitwisselingen van de gast weergegeven voordat de gast-gebruiker op het netwerk is toegestaan:

1. De gastgebruiker werkt in een extern kantoor samen met de Guest Wifi.

2. Het eerste RADIUS-toegangsverzoek wordt door C9800 naar de RADIUS-server geproxied.

3. De server kijkt omhoog het bijgeleverde gast MAC-adres in de lokale MAC Endpoint Database.

Als het mac-adres niet wordt gevonden, reageert de server met een MAC-verificatie-omzeilingsprofiel (MAB). Deze RADIUS-respons omvat:

- URL-toegangscontrolelijst voor omleiding (ACL)

- URL-omleiding

4. De client gaat door het IP Learn-proces waar het een IP-adres krijgt toegewezen.

5. C9800 brengt de gastclient (geïdentificeerd door zijn MAC-adres) over naar de 'Web Auth Pending'-status.

6. Het meeste moderne apparaat OS in samenwerking met gast WLAN’s voert een soort captive portal detectie uit.

Het exacte detectiemechanisme is afhankelijk van de specifieke implementatie van het besturingssysteem. Het client-OS opent een pop-up (pseudo-browser) dialoogvenster met een pagina die door C9800 is omgeleid naar de gast-portal-URL die wordt gehost door de RADIUS-server die wordt geleverd als deel van de RADIUS Access-Accept-respons.

7. Gastgebruiker accepteert de voorwaarden op de gepresenteerde pop-up ClearPass stelt een vlag voor het client-MAC-adres in zijn Endpoint Database (DB) om aan te geven dat de client een verificatie heeft voltooid en een RADIUS-wijziging van autorisatie (CoA) initieert, door de selectie van een interface op basis van de routeringstabel (als er meerdere interfaces aanwezig zijn op ClearPass).

8. WLC overgaat Gastclient naar 'Run' staat en de gebruiker krijgt toegang tot het internet zonder verdere omleidingen.

Opmerking: Raadpleeg voor Cisco 9800 Foreign, Anker Wireless Controller state flow diagram met RADIUS en extern gehoste Guest Portal de sectie van de bijlage in dit artikel.

Statusdiagram van Guest Central Web Verification (CWA)

Traffic Flow voor CWA Guest Enterprise Implementatie

In een typische bedrijfsplaatsing met meerdere bijkantoren, wordt elk bijkantoor opgericht om veilige, gesegmenteerde toegang tot gasten door een Gastenportaal te verlenen zodra de gast EULA goedkeurt.

In dit configuratievoorbeeld wordt 9800 CWA gebruikt voor gasttoegang via integratie in een afzonderlijke ClearPass-instantie die exclusief wordt ingezet voor gastgebruikers in de beveiligde DMZ van het netwerk.

De gasten moeten akkoord gaan met de voorwaarden die worden uiteengezet in het pop-upportaal voor webtoestemming dat wordt aangeboden door de DMZ ClearPass-server. Dit configuratievoorbeeld richt zich op de Anonymous Guest Access methode (dat wil zeggen dat er geen gebruikersnaam/wachtwoord voor de gast nodig is om te verifiëren naar Guest Portal).

De verkeersstroom die bij deze implementatie hoort, wordt in het beeld weergegeven:

1. RADIUS - MAB-fase

2. Gastclient-URL omleiden naar Gastenportal

3. Nadat de gast EULA op het Gastenportaal heeft aanvaard, wordt RADIUS CoA Reauthenticate afgegeven van CPPM tot 9800 WLC

4. De gast heeft toegang tot internet

Netwerkdiagram

Opmerking: Voor de proefdemo-doeleinden wordt een enkele/gecombineerde Aruba CPPM Server-instantie gebruikt om zowel de functies van de Guest als Corp SSID Network Access Server (NAS) te bedienen.

Configureren

In dit configuratievoorbeeld wordt een nieuw configuratiemodel op C9800 gebruikt om de benodigde profielen en tags te maken voor dot1x Corporate Access en CWA guest Access naar de enterprise branch. De resulterende configuratie wordt in dit beeld samengevat:

Draadloze gasttoegang tot C9800-parameters configureren

C9800 - AAA-configuratie voor gasten

Opmerking: Over Cisco bug-id CSCvh03827, zorg ervoor dat de gedefinieerde verificatie-, autorisatie- en accounting (AAA) servers niet taakverdeling hebben, omdat het mechanisme afhankelijk is van SessionID-persistentie in WLC om RADIUS-uitwisselingen te wissen.

Stap 1. Voeg de Aruba ClearPass DMZ-server(s) toe aan de 9800 WLC-configuratie en maak een lijst met verificatiemethoden. Navigeer naar Configuratie > Beveiliging > AAA > servers/groepen > RADIUS > servers > +Add en voer de RADIUS-serverinformatie in.

Stap 2. Definieer AAA-servergroep voor gasten en wijs de server die in Stap 1 is geconfigureerd toe aan deze servergroep. Navigeer naar Configuratie > Beveiliging > AAA > servers/groepen > RADIUS > Groepen > +Add.

Stap 3. Definieer een lijst met autorisatiemethoden voor gasttoegang en wijs de servergroep toe die in Stap 2 is gemaakt. Navigeer naar Configuratie > Beveiliging > AAA > AAA-methodelijst > Autorisatie > +Add. Kies Type netwerk en vervolgens AAA-servergroep geconfigureerd in stap 2.

Stap 4. Maak een lijst met accounting methoden voor gasttoegang en wijs de servergroep toe die in Stap 2 is gemaakt. Ga naar Configuration > Security > AAA > AAA Method List > Accounting > +Add. Kies Type Identity in het vervolgkeuzemenu en AAA-servergroep ingesteld in stap 2.

C9800 - Redirectie-ACL configureren

De omleiding ACL bepaalt welk verkeer moet worden omgeleid naar de Gastenportal vs toegestaan om te passeren zonder omleiding. Hier impliceert de ACL omleiding omleiding of omleiding door, terwijl de vergunning impliceert omleiding naar de portal. Voor elke verkeersklasse moet u rekening houden met de richting van het verkeer wanneer u Access Control Entries (ACE's) maakt en ACE's maakt die zowel aan het in- als uitgaand verkeer voldoen.

Navigeer naar Configuration > Security > ACL en definieer een nieuwe ACL met de naam CAPTIVE_PORTAL_REDIRECT. Configureer de ACL met deze ACE’s:

- ACE1: Staat bidirectioneel verkeer van het Bericht van Internet Control Protocol (ICMP) toe om omleiding te mijden en wordt hoofdzakelijk gebruikt om bereikbaarheid te verifiëren.

- ACE10, ACE30: Maakt bidirectionele DNS-verkeersstroom naar DNS-server 10.0.10.4 mogelijk en kan niet worden omgeleid naar het portal. Een DNS raadpleging en onderschepping voor reactie zijn nodig om de gaststroom teweeg te brengen.

- ACE70, ACE80, ACE110, ACE120: Laat HTTP en HTTPS toegang tot het gast captive portal voor de gebruiker worden gepresenteerd met het portal.

- ACE-nr. 150: Al HTTP-verkeer (UDP-poort 80) wordt omgeleid.

C9800 - WLAN-profielconfiguratie voor gasten

Stap 1. Navigeer naar Configuratie > Tags & profielen > Draadloos > +Add. Maak een nieuw SSID Profile WP_Guest, met de uitzending van SSID 'Guest' dat gastclients associëren met.

Onder hetzelfde dialoogvenster WLAN toevoegen, navigeer naar het tabblad Security > Layer 2.

- Layer 2 Security Mode: None

- MAC-filtering: Ingeschakeld

- Vergunningslijst: AAA_Authz_CPPM vanuit het uitrolmenu (geconfigureerd onder Stap 3. als onderdeel van AAA-configuratie)

C9800 - definitie van gastenbeleidsprofiel

Op C9800 WLC GUI, navigeer naar Configuration > Tags & profielen > Policy > +Add.

Name: PP_Gast

Status: Ingeschakeld

Centrale switching: Uitgeschakeld

Centrale verificatie: Ingeschakeld

Centrale DHCP: Uitgeschakeld

Centrale vereniging: Uitgeschakeld

Navigeer naar het tabblad Toegangsbeleid in hetzelfde dialoogvenster Beleidsprofiel toevoegen.

- RADIUS-profilering: Ingeschakeld

- VLAN/VLAN-groep: 210 (dat wil zeggen dat VLAN 210 het lokale VLAN van het gast is op elke locatie van de tak)

Opmerking: Guest VLAN voor Flex moet niet worden gedefinieerd op de 9800 WLC onder VLAN’s, in het VLAN/VLAN-groepstype VLAN-nummer.

Bekende fout: Cisco bug-id CSCvn48234 zorgt ervoor dat SSID niet wordt uitgezonden als dezelfde Flex guest VLAN wordt gedefinieerd onder WLC en in het Flex Profile.

In hetzelfde dialoogvenster Beleidsprofiel toevoegen gaat u naar het tabblad Geavanceerd.

- AAA negeren toestaan: Ingeschakeld

- Staat NAC: Ingeschakeld

- NAC-type: STRAAL

- Boekhoudkundige lijst: AAA_Accounting_CPPM (gedefinieerd in stap 4. als deel van AAA-configuratie)

Opmerking: De 'Network Admission Control (NAC) State - Enable' is vereist om C9800 WLC in staat te stellen RADIUS CoA-berichten te accepteren.

C9800 - Beleidsmarkering

Op C9800 GUI, navigeer naar Configuration > Tags & profielen > Tags > Beleid > +Add.

-Name: PT_CAN01

-Beschrijving: Policy Tag voor CAN01 Branch Site

In hetzelfde dialoogvenster Add Policy Tag, onder WLAN-POLICY MAPS, klikt u op +Add, en wijst u het eerder gemaakte WLAN-profiel toe aan het beleidsprofiel:

- WLAN-profiel: WP_Guest

- Beleidsprofiel: PP_Gast

C9800 - Profiel voor AP Join

Op C9800 WLC GUI, navigeer naar Configuration > Tags & profielen > AP Join > +Add.

-Name: Branch_AP_Profile

- NTP-server: 10.0.10.4 (raadpleeg het diagram van de laboratoriumtopologie). Dit is de NTP-server die door AP's in Branch wordt gebruikt om te synchroniseren.

C9800 - Flex profiel

De profielen en tags zijn modulair en kunnen worden hergebruikt voor meerdere sites.

In het geval van FlexConnect-implementatie kunt u hetzelfde flex-profiel opnieuw gebruiken als dezelfde VLAN-ID’s worden gebruikt bij alle vestigingen.

Stap 1. Ga op een C9800 WLC GUI naar Configuration > Tags & profielen > Flex > +Add.

-Name: FV-tak

- Native VLAN-id: 10 (alleen vereist als u een niet-standaard VLAN hebt waar u een AP-beheerinterface wilt hebben)

Navigeer in hetzelfde dialoogvenster Flex profiel toevoegen naar het tabblad Beleids-ACL en klik op +Add.

- ACL-naam: CAPTIVE_PORTAL_REDIRECT

- Central Web Auth: Ingeschakeld

Bij een Flexconnect-implementatie wordt van elke beheerde AP verwacht dat hij de omleiding van de ACL lokaal downloadt, aangezien omleiding plaatsvindt op het toegangspunt en niet op de C9800.

In hetzelfde dialoogvenster Flex profiel toevoegen, navigeer naar het tabblad VLAN en klik op +Add (zie het diagram van de laboratoriumtopologie).

- VLAN-naam: gast

- VLAN-id: 210

C9800 - Sitetag

Op 9800 WLC GUI, navigeer naar Configuration > Tags & profielen > Tags > Site > Add.

Opmerking: Maak een unieke Site Tag voor elke Remote Site die de twee draadloze SSID's moet ondersteunen zoals beschreven.

Er is een 1-1 afbeelding tussen een geografische locatie, Site Tag en een Flex Profile configuratie.

Op een flex-verbindingssite moet een flex-verbindingsprofiel zijn gekoppeld. U kunt maximaal 100 access points hebben voor elke flex connect site.

-Name: ST_CAN01

- Profiel samenvoegen: Branch_AP_Profile

- Flex profiel: FV-tak

- Lokale site inschakelen: Uitgeschakeld

C9800 - RF-profiel

Op 9800 WLC GUI, navigeer naar Configuration > Tags & profielen > Tags > RF > Add.

-Name: Vestigings_RF

- 5 GHz band radiofrequentie (RF) profiel: Typisch_client_dichtheid_5gh (systeemgedefinieerde optie)

- 2,4 GHz band RF-profiel: Typisch_client_dichtheid_2gh (systeemgedefinieerde optie)

C9800 - Tags toewijzen aan AP

Er zijn twee opties beschikbaar om gedefinieerde tags toe te wijzen aan afzonderlijke AP's in de implementatie:

- AP op naam gebaseerde opdracht, die regex regels die overeenkomen op patronen in het AP Naam veld (Configureren > Tags & profielen > Tags > AP > Filter)

- Toewijzing op basis van AP Ethernet MAC-adres (Configureren > Tags en profielen > Tags > AP > Statisch)

Bij de implementatie van DNA Center bij de productie wordt het gebruik van DNAC en AP PNP Workflow of een in 9800 beschikbare statische bulk Comma-Separated Values (CSV) uploadmethode ten zeerste aanbevolen om handmatige toewijzing per AP te voorkomen. Navigeer naar Configureren > Tags en profielen > tags > AP > Statisch > Add (Opmerking over de optie Upload File).

- AP MAC-adres: <AP_ETHERNET_MAC>

- Policy Tag Name: PT_CAN01

- Site Tag naam: ST_CAN01

- RF-labelnaam: Vestigings_RF

Opmerking: Vanaf Cisco IOS®-XE 17.3.4c zijn er maximaal 1000 regex-regels per controllerbeperking. Als het aantal sites in de implementatie dit aantal overschrijdt, moet de statische opdracht per MAC worden uitgevoerd.

Opmerking: Als u de op AP-name regex-gebaseerde methode voor het toewijzen van tags wilt gebruiken, gaat u naar Configureren > Tags & profielen > Tags > AP > Filter > Add.

-Name: BR_CAN01

- AP naam regex: BR-CAN01-.(7) (Deze regel komt overeen met de naamconventie van de AP die binnen de organisatie is aangenomen. In dit voorbeeld worden de tags toegewezen aan AP's die een veld AP Name hebben dat 'BR_CAN01-' bevat, gevolgd door zeven tekens.)

-Prioriteit: 1

- Policy Tag Name: PT_CAN01 (zoals gedefinieerd)

- Site Tag naam: ST_CAN01

- RF-labelnaam: Vestigings_RF

Aruba CPPM-instantie configureren

Voor productie/best practices gebaseerde Aruba CPPM configuratie, neem contact op met uw lokale HPE Aruba SE bron.

Eerste configuratie van Aruba ClearPass-server

Aruba ClearPass wordt geïmplementeerd met het gebruik van de OVF-sjabloon (Open Virtualization Format) op de ESXi <>-server die deze bronnen toewijst:

- Twee gereserveerde virtuele CPU’s

- 6 GB RAM

- 80 GB schijf (moet handmatig worden toegevoegd na eerste VM-implementatie voordat de machine wordt ingeschakeld)

Licenties aanvragen

Platformlicentie toepassen via: Beheer > Server Manager > Licentie. Platform-, access- en onboard-licenties toevoegen.

Server Hostname

Navigeer naar Beheer > Serverbeheer > Serverconfiguratie en kies de nieuwe CPPM-server met voorzieningen.

- Hostname: PPM

- FQDN: cppm.example.com

- Controleer IP-adressering en DNS voor beheerpoorten

HTTP-servercertificaat (CPPM Web Server Certificate) genereren

Dit certificaat wordt gebruikt wanneer de ClearPass Guest Portal-pagina via HTTPS wordt gepresenteerd aan gasten die verbinding maken met de Guest Wifi in Branch.

Stap 1. Upload het CA pub kettingcertificaat.

Navigeer naar Beheer > Certificaten > Vertrouwenslijst > Toevoegen.

- Gebruik: Overige inschakelen

Stap 2. Maak een aanvraag voor certificaatondertekening aan.

Navigeer naar Beheer > Certificaten > Certificaatopslag > Servercertificaten > Gebruik: HTTPS-servercertificaat.

- Klik op de Aanvraag voor certificaatondertekening maken

- triviale naam: PPM

- Organisatie: cppm.example.com

Zorg ervoor dat het SAN-veld wordt ingevuld (er moet een veelvoorkomende naam aanwezig zijn in het SAN, alsook IP en andere FQDN’s, indien nodig). Formaat is DNS: <fqdn1>,DNS:<fqdn2>,IP<ip1>.

Stap 3. Teken in uw CA van keuze de nieuwe CPPM HTTPS Service CSR.

Stap 4. Navigeer naar certificaatsjabloon > Webserver > Certificaat importeren.

- Type certificaat: Servercertificaat

- Gebruik: HTTP-servercertificaat

- certificaatbestand: Bladeren en CA-ondertekend CPPM HTTPS-servicecertificaat selecteren

C9800 WLC definiëren als netwerkapparaat

Navigeer naar Configuratie > Netwerk > Apparaten > Toevoegen.

-Name: WLC_9800_Branch

- IP- of subnetadres: 10.85.54.99 (raadpleeg het diagram van de laboratoriumtopologie)

- RADIUS gedeeld Cisco: <WLC RADIUS-wachtwoord>

- Naam leverancier: Cisco-software

- Dynamische autorisatie RADIUS inschakelen: 1700

Pagina en CoA Timers

Het is zeer belangrijk om de juiste tijdopnemerwaarden door de configuratie te plaatsen. Als timers niet worden afgestemd, zult u waarschijnlijk een cycling Web Portal omleiden met de client niet in 'Run State'.

Timers om aandacht te besteden aan:

- Portal Web Login timer: Deze timer vertraagt uw omleiden pagina voordat het toegang geeft tot de gast portal pagina om CPPM service te informeren over de overgang van de staat, registreren Endpoint aangepaste attributen 'sta-gast-internet' waarde, en starten van het CoA proces van CPPM naar WLC. Ga naar Gast > Configuratie > Pagina's > Weblogbestanden.

- Kies de naam van het gastenportaal: Lab Anonymous Guest Registration (deze pagina-configuratie voor het gastenportaal is gedetailleerd zoals getoond)

- Klik op Bewerken

- Inlogvertraging: 6 seconden

- ClearPass CoA-vertragingstimer: Dit vertraagt de totstandkoming van CoA-berichten van ClearPass naar WLC. Dit is vereist voor CPPM om met succes de status van het client-endpoint intern te wijzigen voordat CoA-bevestiging (ACK) van WLC terugkomt. De tests van het laboratorium tonen de sub-milliseconde reactietijden van WLC, en als CPPM niet heeft geëindigd om de eigenschappen van het Endpoint bij te werken, wordt de nieuwe zitting van de RADIUS van WLC aangepast aan het Unauthenticated MAB de handhavingsbeleid van de Dienst, en de cliënt wordt gegeven opnieuw opnieuw een opnieuw leiden pagina. Ga naar CPPM > Beheer > Serverbeheer > Serverconfiguratie en kies CPPM Server > Serviceparameters.

- Vertraging voor RADIUS Dynamic Authorisation (DM/CoA) - ingesteld op 6 seconden

ClearPass - Gastconfiguratie CWA

ClearPass-side CWA Configuration is samengesteld uit (3) Service points/stappen:

ClearPass-component

Type service

Doel

1. Beleidsmanager

Service: Mac-verificatie

Als een aangepast attribuut Allow-Guest-Internet = TRUE, sta het toe op het netwerk. Anders, trigger Redirect en COA: Verifiëren.

2. Gast

Weblogins

Presenteer Anonymous login AUP pagina.

Post-auth ingestelde aangepaste attribuut Allow-Guest-Internet = TRUE.

3. Beleidsmanager

Service: Web gebaseerde verificatie

Eindpunt bijwerken naar bekend

Eigen kenmerk Allow-Guest-Internet instellen = TRUE

Cacao: opnieuw authenticeren

ClearPass-metagegevens over endpoints: Allow-Guest-Internet

Maak een metagegevensattribuut van type Boolean om de Gast Endpoint status te volgen als de client overgangen tussen de 'Webauth Pending' en 'Run' status:

- Nieuwe gasten die verbinding maken met wifi hebben een standaard metadata attribuut ingesteld op Allow-Guest-Internet=false. Op basis van deze eigenschap gaat de client auth door de MAB-service

- Gastclient wanneer u op de knop AUP Accept klikt, heeft zijn metagegevenskenmerk bijgewerkt naar Allow-Guest-Internet=true. Volgende MAB gebaseerd op deze eigenschap ingesteld op True verleent niet-omgeleide toegang tot het internet

Navigeer naar ClearPass > Configuration > Endpoints, kies elk eindpunt uit de lijst, klik op het tabblad Attributen, voeg Allow-Guest-Internet toe met de waarde false en Save.

Opmerking: U kunt hetzelfde eindpunt ook bewerken, en deze eigenschap direct daarna verwijderen - deze stap maakt gewoon een veld in Endpoints metadata DB dat kan worden gebruikt in beleid.

Configuratie van handhavingsbeleid voor ClearPass opnieuw verifiëren

Maak een handhavingsprofiel dat wordt toegewezen aan de gastclient onmiddellijk nadat de client AUP accepteert op de pagina van het gastportaal.

Navigeer naar ClearPass > Configuration > Profielen > Add.

- Sjabloon: Dynamische autorisatie RADIUS

-Name: Cisco_WLC_Guest_COA

Straal:IETF

Bel-station-id

%{RADIUS:IETF:Calling-station-ID}

Straal:Cisco

Cisco AVPair

abonnee:opdracht=reauthenticeren

Straal:Cisco

Cisco AVPair

%{Straal:Cisco:Cisco-AVPair:abonnee:audit-sessie-id}

Straal:Cisco

Cisco AVPair

abonnee:reauthenticate-type=last-type=last

Configuratie van ClearPass Guest Portal Redirect-handhavingsprofiel

Maak een handhavingsprofiel dat wordt toegepast op Gast tijdens de eerste MAB-fase, wanneer het MAC-adres niet wordt gevonden in de CPPM Endpoint Database met 'Allow-Guest-Internet' ingesteld op 'true'.

Dit zorgt ervoor dat de 9800 WLC de Gastclient naar het CPPM Guest Portal leidt voor externe verificatie.

Navigeer naar ClearPass > Handhaving > Profielen > Toevoegen.

-Name: Cisco_Portal_Redirect

-Type: STRAAL

-Actie: accepteren

ClearPass-handhavingsprofiel voor omleiding

In hetzelfde dialoogvenster configureert u op het tabblad Kenmerken twee kenmerken zoals in deze afbeelding:

ClearPass-profielkenmerken omleiden

Het kenmerk url-redirect-acl is ingesteld op CAPTIVE-PORTAL-REDIRECT, de naam van de ACL die is gemaakt op C9800.

Opmerking: Alleen de verwijzing naar de ACL wordt doorgegeven in het RADIUS-bericht en niet de ACL-inhoud. Het is belangrijk dat de naam van de ACL die op 9800 WLC is gemaakt, exact overeenkomt met de waarde van dit RADIUS-kenmerk, zoals wordt weergegeven.

Het kenmerk url-redirect bestaat uit verschillende parameters:

- De doel-URL waar het Guest Portal wordt gehost, https://cppm.example.com/guest/iaccept.php

- Gastclient-MAC, macro % {verbinding:client-MAC-adres-koppelteken}

- Auteur IP (9800 WLC zorgt voor doorverwijzing), macro %{Straal:IETF:NAS-IP-adres}

- cmd-login actie

De URL van de inlogpagina van ClearPass Guest Web wordt weergegeven wanneer u naar CPPM > Guest > Configuration > Pages > Web Logins > Edit navigeert.

In dit voorbeeld wordt de naam van de Guest Portal pagina in CPPM gedefinieerd als acceptabel.

Opmerking: De configuratie stappen voor de Guest Portal pagina zijn zoals beschreven.

Opmerking: Voor Cisco-apparaten wordt audit_sessie_id normaal gebruikt, maar dat wordt niet ondersteund door andere leveranciers.

Configuratie van ClearPass-metagegevens-handhavingsprofiel

Configuratie van handhavingsprofiel om Endpoint metagegevenskenmerk dat wordt gebruikt voor stateovergang stapelen door CPPM bij te werken.

Dit profiel wordt toegepast op de Gastclient MAC-adresvermelding in de Endpoint database en stelt het argument 'Allow-Guest-Internet' in op 'true'.

Navigeer naar ClearPass > Handhaving > Profielen > Toevoegen.

- Sjabloon: Handhaving van ClearPass-entiteiten

-Type: Post_Verificatie

In hetzelfde dialoogvenster vindt u het tabblad Kenmerken.

-Type: Endpoint

-Name: Allow-Guest-Internet

Opmerking: Om deze naam in het vervolgkeuzemenu te laten verschijnen, moet u dit veld handmatig definiëren voor ten minste één eindpunt zoals beschreven in de stappen.

-Value: echt

Configuratie van beleid voor internettoegang via ClearPass voor gasten

Navigeer naar ClearPass > Handhaving > Beleid > Toevoegen.

-Name: WLC Cisco-gastentoekenning

- Type handhaving: STRAAL

- Standaardprofiel: Cisco_Portal_Redirect

Navigeer in hetzelfde dialoogvenster naar het tabblad Regels en klik op Regel toevoegen.

-Type: Endpoint

-Name: Allow-Guest-Internet

- Exploitant: GELIJK

- Value True

- Profielnamen / Selecteer om toe te voegen: [RADIUS] [Toegangsprofiel toestaan]

Configuratie van ClearPass Guest Post-AUP handhavingsbeleid

Navigeer naar ClearPass > Handhaving > Beleid > Toevoegen.

-Name: Cisco WLC-webauth voor handhavingsbeleid

- Type handhaving: WEBAUTH (SNMP/Agent/CLI/CoA)

- Standaardprofiel: [RADIUS_CoA] Cisco_Reauthenticate_Session

Navigeer in hetzelfde dialoogvenster naar Regels > Toevoegen.

-Voorwaarden: Verificatie

-Name: Status

- Exploitant: GELIJK

-Value: Gebruiker

- Profielnamen: <voeg elk toe>:

- [Verificatie achteraf] [Update endpoint bekend]

- [Verificatie achteraf] [Make-Cisco-Guest-Valid]

- [RADIUS_CoA] [Cisco_WLC_Guest_COA]

Opmerking: Als u een scenario tegenkomt met een continue Guest Portal omleiden pseudo browser pop-up, is het indicatief dat de CPPM Timers aanpassingen vereisen of dat de RADIUS CoA berichten niet goed worden uitgewisseld tussen CPPM en 9800 WLC. Controleer deze sites.

- Navigeren naar CPPM > Bewaking > Bewaking tijdens bewegend beeld > Access Tracker, en ervoor zorgen dat het RADIUS-logbestand gegevens van RADIUS CoA bevat.

- Op 9800 WLC, navigeer naar Problemen oplossen > Packet Capture, schakel pcap in op de interface waar de aankomst van RADIUS CoA-pakketten wordt verwacht en controleer of RADIUS CoA-berichten worden ontvangen van het CPPM.

Serviceconfiguratie voor ClearPass MAB-verificatie

De service is afgestemd op AV-paarstraal (Attribute Value): Cisco-software | Cisco AVPair | cisco-WLAN

Navigeer naar ClearPass > Configuration > Services > Add.

Tabblad Service:

-Name: Gastenportal - Mac Auth

-Type: MAC-verificatie

- Meer opties: Selecteer Autorisatie, profiel endpoints

Matchregel toevoegen:

-Type: Straal: Cisco-software

-Name: Cisco AVPair

- Exploitant: GELIJK

-Value: cisco-wlan-ssid=Guest (stem af op de geconfigureerde SSID van uw gast)

Opmerking: 'Guest' is de naam van de uitgezonden Guest SSID door 9800 WLC.

Kies in hetzelfde dialoogvenster het tabblad Verificatie.

- Verificatiemethoden: [MAC AUTH] verwijderen, toevoegen [All MAC AUTH toestaan]

- Verificatiebronnen: [Endpoints Repository][Local SQL DB], [Guest User Repository][Local SQL DB]

Kies in hetzelfde dialoogvenster het tabblad Handhaving.

- Handhavingsbeleid: WLC Cisco-gastentoekenning

Kies in hetzelfde dialoogvenster het tabblad Handhaving.

Configuratie van ClearPass-webauth-services

Navigeer naar ClearPass > Handhaving > Beleid > Toevoegen.

-Name: Guest_Portal_Webauth

-Type: Web gebaseerde verificatie

In dezelfde dialoog, onder het tabblad Handhaving, het Handhavingsbeleid: Cisco WLC-webauth voor handhavingsbeleid.

ClearPass - Web Login

Gebruik voor de pagina Anonymous AUP Guest Portal één gebruikersnaam zonder wachtwoordveld.

De gebruikersnaam die wordt gebruikt, moet deze velden bevatten:

gebruikersnaam_adres | Gebruikersverificatie: | 1

Om het 'gebruikersnaam_auth' veld voor een gebruiker in te stellen, moet dat veld eerst worden weergegeven in het 'bewerken gebruiker' formulier. Navigeer naar ClearPass > Gast > Configuratie > Pagina's > Formulieren, en kies Create_user form.

Kies visitor_name (rij 20) en klik op Insert After.

Maak nu de gebruikersnaam om achter de AUP Guest Portal pagina te gebruiken.

Ga naar CPPM > Gast > Gast > Account beheren > Aanmaken.

- Naam gast: WiFi

- Bedrijfsnaam: Cisco-software

- E-mailadres: guest@example.com

- Gebruikersverificatie: Geef gasttoegang met alleen het gebruik van hun gebruikersnaam: Ingeschakeld

- Accountactivering: Nu

- Accountverloop: De account is niet verlopen

- Gebruiksvoorwaarden: Ik ben de sponsor: Ingeschakeld

Aanmeldingsformulier voor web maken Navigeer naar CPPM > Gast > Configuratie > Weblogs.

De Endpoint Attributes in de sectie na de auditie:

username | Gebruikersnaam

bezoeker_naam | Naam bezoeker

kannen | Naam bezoeker

bezoeker_telefoon | Telefoon bezoekers

email | E-mail

post | E-mail

sponsor_name | Naam sponsor

sponsor_email | E-mail sponsor

Allow-Guest-Internet | waar

Verificatie - Guest CWA-autorisatie

In het CPPM navigeer je naar Live Monitoring > Access Tracker.

De nieuwe gast gebruiker die verbindt en activeert MAB Service.

Tabblad Samenvatting:

Navigeer in hetzelfde dialoogvenster naar het tabblad Invoer.

Navigeer in hetzelfde dialoogvenster naar het tabblad Uitvoer.

Bijlage

Voor referentiedoeleinden wordt hier een toestandsstroomdiagram weergegeven voor de interacties van Cisco 9800 Foreign, Anchor Controller met RADIUS Server en extern gehoste Guest Portal.

Guest Central Web Verification State Diagram met anker WLC

Gerelateerde informatie

- Handleiding voor best practices voor Cisco 9800 implementaties

- Inzicht in Catalyst 9800 configuratiemodel voor draadloze controllers

- Begrijp FlexConnect op Catalyst 9800 draadloze controller

- Technische ondersteuning en documentatie – Cisco Systems