Problemen oplossen met CWA met WLC 9800 en SE

Inleiding

In dit document wordt beschreven hoe u problemen met CWA kunt oplossen met Wireless LAN Controller (WLC) 9800 en Identity Services Engine (ISE).

Achtergrondinformatie

Netwerkbeheerders die draadloze toegang voor persoonlijke apparaten willen beveiligen, kiezen vaak voor draadloze netwerken die CWA gebruiken. Dit document richt zich op het stroomschema van CWA, dat helpt bij het oplossen van veelvoorkomende problemen. Het behandelt veelvoorkomende problemen in het proces, hoe logs te verzamelen met betrekking tot CWA, hoe deze logs te analyseren en hoe een Embedded Packet Capture (EPC) op de WLC te verzamelen om de verkeersstroom te bevestigen.

CWA is de meest voorkomende setup voor bedrijven die gebruikers in staat stellen om verbinding te maken met het bedrijfsnetwerk met behulp van hun persoonlijke apparaten, ook bekend als Bring Your Own Device (BYOD). Deze informatie biedt stappen voor het oplossen van problemen die moeten worden uitgevoerd voordat een TAC-zaak wordt geopend.

Dit is de CWA-pakketstroom:

CWA-pakketstroom

Gedetailleerde stroom

Eerste associatie en RADIUS-authenticatie:

Eerste associatie en RADIUS-authenticatie

DHCP, DNS en connectiviteitscontrole:

DHCP, DNS en connectiviteitscontrole

De connectiviteitscontrole wordt uitgevoerd met behulp van captive portal-detectie door het besturingssysteem of de browser van het clientapparaat.

Besturingssystemen voor apparaten zijn vooraf geprogrammeerd om een HTTP GET uit te voeren naar specifieke domeinen:

• Apple = captive.apple.com
• Android = connectivitycheck.gstatic.com
• Windows = msftconnectest.com

Browsers voeren deze controle ook uit wanneer ze worden geopend:

• Chrome = clients3.google.com
• Firefox = detectportal.firefox.com

Verkeersonderschepping en -omleiding:

Verkeersonderschepping en -omleiding

Inloggen bij ISE-gastenlogportaal:

Aanmelden bij ISE-gastenlogportaal

Inloggen bij de klant en CoA:

Inloggen bij de klant en CoA

Problemen oplossen

Veelvoorkomende symptomen van een gebruiker die niet wordt omgeleid naar de inlogpagina

Laten we beginnen met het eerste deel van de flow:

Eerste associatie en RADIUS-authenticatie

Is de eerste RADIUS-verificatie succesvol?

Controleer het MAC-filterverificatieresultaat:

ISE Live-logboeken met mac-filterverificatie

Zorg ervoor dat de geavanceerde optie voor de verificatie is ingesteld op Doorgaan als de gebruiker niet wordt gevonden:

Geavanceerde optie door gebruiker niet gevonden

Ontvangt de WLC de redirect URL en ACL?

Controleer de ISE live logs en WLC-clientbeveiligingsinformatie onder Monitoring Controleer of de ISE Redirect URL en ACL verzendt in de Access Accept en deze wordt ontvangen door WLC en toegepast op de client in de clientgegevens:

ACL en URL omleiden

Is de redirect ACL correct?

Controleer de ACL-naam op een typefout. Zorg ervoor dat het precies is zoals het door de ISE wordt verzonden:

ACL-verificatie omleiden

Is de klant overgeplaatst naar Web-Auth in behandeling?

Controleer de clientgegevens voor de status Web Auth pending. Als het niet in die staat is, controleert u of AAA-overschrijving en RADIUS NAC zijn ingeschakeld in het beleidsprofiel:

Klantgegevens, aaa-overschrijving en RADIUS NAC

Als het probleem zich blijft voordoen, controleert u de stroom opnieuw:

DHCP, DNS en connectiviteitscontrole

Staat WLC DHCP- en DNS-verkeer toe?

Controleer de inhoud van ACL-redirect in de WLC:

ACL-inhoud in de WLC omleiden

De Redirect ACL definieert welk verkeer wordt onderschept en omgeleid door de vergunningverklaring en welk verkeer wordt genegeerd door onderschepping en omleiding met een ontkenningsverklaring.

In dit voorbeeld mogen DNS en verkeer naar/van het ISE IP-adres stromen en TCP-verkeer op poort 80 (WWW) wordt onderschept.

Ontvangt de DHCP-server DHCP Discover/Request? 

Controleer bij de EPC of DHCP-uitwisseling plaatsvindt. EPC kan worden gebruikt met Inner Filters zoals het DHCP-protocol en/of Inner Filter MAC, waar u het MAC-adres van het clientapparaat kunt gebruiken en in de EPC alleen DHCP-pakketten kunt verkrijgen die zijn verzonden door of verzonden naar het MAC-adres van het clientapparaat.

Noteer in dit voorbeeld de DHCP Discover-pakketten die als uitzending op VLAN 3 worden verzonden:

WLC EPC om DHCP te verifiëren

Bevestig het verwachte client-VLAN in het beleidsprofiel:

VLAN in het beleidsprofiel

Verifieer het WLC-VLAN, de configuratie van de switchport-trunk en het DHCP-subnet:

VLAN, switchport en DHCP-subnet

VLAN 3 bestaat in de WLC en het heeft ook een Switch Virtual Interface (SVI) voor VLAN 3. Bij het verifiëren van het IP-adres van de DHCP-server bevindt het zich echter op een ander subnet; daarom is een ip helper-adres op de SVI nodig.

Best practices schrijven voor dat SVI's voor subnetten van clients in de bekabelde infrastructuur moeten worden geconfigureerd, waardoor ze in de WLC worden vermeden.

In elk geval moet de opdracht ip helper-adres aan de SVI worden toegevoegd, ongeacht waar deze zich bevindt.

Een alternatief is om het IP-adres van de DHCP-server in het beleidsprofiel te configureren:

IP-helper-adres op SVI of beleidsprofiel

U kunt vervolgens met EPC controleren of de DHCP-uitwisseling succesvol is en of de DHCP-server DNS-server IP's biedt:

DHCP Aanbiedingsdetails van DNS-server-ip

Gebeurt de automatische omleiding?

Verifieer met WLC EPC of de DNS-server op vragen reageert:

DNS-query en antwoorden

• Als de omleiding niet automatisch is, opent u een browser en probeert u een willekeurig IP-adres. Bijvoorbeeld 10.0.0.1.
• Als omleiding dan werkt, is het mogelijk dat u een DNS-oplossingsprobleem heeft.

Als het probleem zich blijft voordoen, controleert u de stroom opnieuw:

Verkeersonderschepping en -omleiding

Toont de browser de inlogpagina niet?

Controleer of de client de TCP SYN naar poort 80 verzendt en de WLC deze onderschept:

TCP-doorgifte naar poort 80

In dit voorbeeld verzendt de client TCP SYN-pakketten naar poort 80, maar krijgt geen antwoord en voert TCP-retransmissies uit.

Zorg ervoor dat u de ip http-server opdracht in de globale configuratie of webauth-http-enabled in de parameter-map global:

HTTP-onderscheppingsopdrachten

Nadat de opdracht is uitgevoerd, onderschept de WLC het TCP-verkeer en spooft het bestemming-IP-adres om te antwoorden op de "client" en om te leiden.

TCP-interceptie door WLC

Als het probleem zich blijft voordoen, gaat u verder met de stroom:

Aanmelden bij ISE-gastenlogportaal

Kan de klant de ISE-hostnaam oplossen?

Controleer of de redirect-URL een IP-adres of hostnaam gebruikt, en of de client de hostnaam van deISE oplost:

ISE-hostnaamresolutie

Een veelvoorkomend probleem treedt op wanneer de redirect-URL de ISE-hostnaam bevat, maar het clientapparaat die hostnaam niet kan oplossen naar het ISE-IP-adres. Als een hostnaam wordt gebruikt, zorg er dan voor dat deze via DNS kan worden opgelost.

Laadt de login pagina nog steeds niet?

Verifieer met WLC EPC en ISE TCPdump of het clientverkeer de ISE Policy Services Node (PSN) bereikt. Configureer en start de opnames op de WLC en ISE:

WLC EPC en ISE TCPDump

Na de probleemreproductie verzamelt u opnames en correleert u het verkeer. In dit voorbeeld wordt de ISE-hostnaam opgelost, gevolgd door communicatie tussen de client en ISE op poort 8443:

WLC- en ISE-verkeer

Waarom is er een beveiligingsovertreding vanwege het certificaat?

1. Als u een zelf-ondertekend certificaat op ISE gebruikt, wordt verwacht dat de klant eenbeveiligingswaarschuwing geeft wanneer hij probeert de ISE-portaalinlogpagina te presenteren.

Op de WLC EPC of ISE TCPdump kunt u controleren of het ISE-certificaat vertrouwd is.

In dit voorbeeld sluit de verbinding van de client met een Alert (Level: Fatal, Description: Certificate Unknown), wat betekent dat het ISE-certificaat niet bekend is (trusted)

ISE niet-vertrouwd certificaat

Als dit aan de clientzijde is gecontroleerd, ziet u deze voorbeelduitgangen:

Clientapparaat dat het ISE-certificaat niet vertrouwt

Als de omleiding werkt maar de aanmelding mislukt, controleert u het laatste deel van de stroom:

Inloggen bij de klant en CoA

Is de login van de gast mislukt?

Controleer ISE-logs op mislukte verificatie. Zorg ervoor dat de referenties correct zijn.

Verificatie van gast mislukt vanwege verkeerde referenties

Lukt het inloggen maar verhuist de client niet naar RUN State?

Controleer ISE-logs voor verificatiegegevens en -resultaten:

omleidingslus

In dit voorbeeld ontvangt de client opnieuw het autorisatieprofiel dat de Redirect URL en Redirect ACL bevat. Dit resulteert in een redirection loop.

Controleer de beleidsset. De regel die Guest_Flow controleert moet worden geplaatst vóór de regel Omleiding:

Guest_Flow-regel

Is het COA mislukt?

Met EPC en ISE TCPDump kunt u het CoA-verkeer verifiëren. Controleer of de CoA-poort (1700) open is tussen de WLC en ISE. Zorg voor gedeelde geheime matches.

CoA-verkeer

Vanaf versie 17.6.1 wordt RADIUS (inclusief CoA) via deze poort ondersteund. Als u de servicepoort voor RADIUS wilt gebruiken, hebt u deze configuratie nodig:

aaa server radius dynamic-author 
 client 10.48.39.28 vrf Mgmt-intf server-key cisco123

interface GigabitEthernet0
 vrf forwarding Mgmt-intf
 ip address x.x.x.x x.x.x.x

!if using aaa group server:
aaa group server radius group-name
 server name nicoISE
 ip vrf forwarding Mgmt-intf
 ip radius source-interface GigabitEthernet0

Samenvatting

Dit is de samengevatte CWA checklist:

• Zorg ervoor dat de client op het juiste VLAN zit en een IP-adres en DNS krijgt.
• Krijg clientgegevens op de WLC en voer pakketopnamen uit om de DHCP-uitwisseling te zien.
• Controleer of de client hostnamen via DNS kan oplossen.
• Ping de hostnaam van de opdrachtprompt.
• De WLC luistert naar poort 80.
• Verifieer de globale opdracht ip http server of globale parameter map opdracht webauth-http-enable.
• Om de certificaatwaarschuwing te verwijderen, installeert u een vertrouwd certificaat op ISE.
• Het is niet nodig om een vertrouwd certificaat op de WLC in CWA te installeren.
• Stel de optie Verificatiebeleid bij ISE Advanced in om door te gaan als de gebruiker niet wordt gevonden.
• Sta gesponsorde gastgebruikers toe om verbinding te maken en de URL Redirect en ACL te krijgen.

Belangrijkste tools die worden gebruikt bij het oplossen van problemen:

• • WLC EPC
  • : Binnenfilters: DHCP-protocol, MAC-adres.
  • WLC-monitor
  • : Controleer de beveiligingsgegevens van de client.
  • WLC RA-tracering
  • : Debugs met gedetailleerde informatie aan de WLC-kant.
  • ISE Live Logs
  • : Verificatiegegevens.
  • ISE TCPDump
  • : Verzamel pakketopnames op de ISE PSN-interface.

Brongegevens

• Centrale webverificatie (CWA) configureren op Catalyst 9800 WLC en ISE 

Revisiegeschiedenis

Revisie	Publicatiedatum	Opmerkingen
2.0	26-Aug-2026	Grote revisie, grammatica, opmaak
1.0	25-Aug-2023	Eerste vrijgave