Contents

Introduction

Prerequisites

Requirements

Componentes Utilizados

Configurar

Configuração com GUI

Configuração com CLI

Verificar

Troubleshoot

Introduction

Este documento descreve um exemplo de configuração para Wireless Protected Access (WPA) e WPA2 com uma chave pré-compartilhada (PSK).

Prerequisites

Requirements

A Cisco recomenda que você tenha conhecimento destes tópicos:

- Familiaridade com a GUI ou a interface de linha de comando (CLI) para o software Cisco IOS®

- Familiaridade com os conceitos de PSK, WPA e WPA2

Componentes Utilizados

As informações neste documento são baseadas no Access Point (AP) Cisco Aironet 1260 que executa o Cisco IOS Software Release 15.2JB.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Configurar

Configuração com GUI

Este procedimento descreve como configurar WPA e WPA2 com uma PSK na GUI do software Cisco IOS:

1. Configure o Encryption Manager para a VLAN definida para o Service Set Identifier (SSID). Navegue até Security > Encryption Manager, verifique se Cipher está habilitada e selecione AES CCMP + TKIP como a cifra a ser usada para ambos os SSIDs.

2. Ative a VLAN correta com os parâmetros de criptografia definidos na Etapa 1. Navegue até Security > SSID Manager e selecione o SSID na Lista de SSID atual. Essa etapa é comum para a configuração de WPA e WPA2.

3. Na página SSID, defina Key Management como Obrigatory e marque a caixa de seleção Enable WPA. Selecione WPA na lista suspensa para habilitar a WPA. Insira a chave pré-compartilhada WPA.

4. Selecione WPA2 na lista suspensa para habilitar a WPA2.

Configuração com CLI

Notas:

Use a Command Lookup Tool ( somente clientes registrados) para obter mais informações sobre os comandos usados nesta seção.

A ferramenta Output Interpreter (exclusiva para clientes registrados) é compatível com alguns comandos de exibição.. Use a ferramenta Output Interpreter para visualizar uma análise do resultado gerado pelo comando show..

Esta é a mesma configuração feita na CLI:

sh run

Building configuration...Current configuration : 5284 bytes

!

! Last configuration change at 04:40:45 UTC Thu Mar 11 1993

version 15.2

no service pad

service timestamps debug datetime msec

service timestamps log datetime msec

service password-encryption

!

hostname ish_1262_1_st

!

!

logging rate-limit console 9

enable secret 5 $1$Iykv$1tUkNYeB6omK41S18lTbQ1

!

no aaa new-model

ip cef

ip domain name cisco.com

!

!

!

dot11 syslog

!

dot11 ssid wpa

vlan 6

authentication open

authentication key-management wpa

mbssid guest-mode

wpa-psk ascii 7 060506324F41584B56

!

dot11 ssid wpa2

vlan 7

authentication open

authentication key-management wpa version 2

wpa-psk ascii 7 110A1016141D5A5E57

!

bridge irb

!

!

!

interface Dot11Radio0

no ip address

no ip route-cache

!

encryption vlan 6 mode ciphers aes-ccm tkip

!

encryption vlan 7 mode ciphers aes-ccm tkip

!

ssid wpa

!

ssid wpa2

!

antenna gain 0

mbssid

station-role root

bridge-group 1

bridge-group 1 subscriber-loop-control

bridge-group 1 spanning-disabled

bridge-group 1 block-unknown-source

no bridge-group 1 source-learning

no bridge-group 1 unicast-flooding

!

interface Dot11Radio0.6

encapsulation dot1Q 6

no ip route-cache

bridge-group 6

bridge-group 6 subscriber-loop-control

bridge-group 6 spanning-disabled

bridge-group 6 block-unknown-source

no bridge-group 6 source-learning

no bridge-group 6 unicast-flooding

!

interface Dot11Radio0.7

encapsulation dot1Q 7

no ip route-cache

bridge-group 7

bridge-group 7 subscriber-loop-control

bridge-group 7 spanning-disabled

bridge-group 7 block-unknown-source

no bridge-group 7 source-learning

no bridge-group 7 unicast-flooding

!

interface Dot11Radio1

no ip address

no ip route-cache

!

encryption vlan 6 mode ciphers aes-ccm tkip

!

encryption vlan 7 mode ciphers aes-ccm tkip

!

ssid wpa

!

ssid wpa2

!

antenna gain 0

no dfs band block

mbssid

channel dfs

station-role root

bridge-group 1

bridge-group 1 subscriber-loop-control

bridge-group 1 spanning-disabled

bridge-group 1 block-unknown-source

no bridge-group 1 source-learning

no bridge-group 1 unicast-flooding

!

interface Dot11Radio1.6

encapsulation dot1Q 6

no ip route-cache

bridge-group 6

bridge-group 6 subscriber-loop-control

bridge-group 6 spanning-disabled

bridge-group 6 block-unknown-source

no bridge-group 6 source-learning

no bridge-group 6 unicast-flooding

!

interface Dot11Radio1.7

encapsulation dot1Q 7

no ip route-cache

bridge-group 7

bridge-group 7 subscriber-loop-control

bridge-group 7 spanning-disabled

bridge-group 7 block-unknown-source

no bridge-group 7 source-learning

no bridge-group 7 unicast-flooding

!

interface GigabitEthernet0

no ip address

no ip route-cache

duplex auto

speed auto

no keepalive

bridge-group 1

bridge-group 1 spanning-disabled

no bridge-group 1 source-learning

!

interface GigabitEthernet0.6

encapsulation dot1Q 6

no ip route-cache

bridge-group 6

bridge-group 6 spanning-disabled

no bridge-group 6 source-learning

!

interface GigabitEthernet0.7

encapsulation dot1Q 7

no ip route-cache

bridge-group 7

bridge-group 7 spanning-disabled

no bridge-group 7 source-learning

!

interface BVI1

ip address 10.105.132.172 255.255.255.128

no ip route-cache

!

ip forward-protocol nd

ip http server

ip http secure-server

Verificar

Para confirmar se a configuração funciona corretamente, navegue até Association e verifique se o cliente está conectado:

Você também pode verificar a associação do cliente na CLI com esta mensagem de syslog:

*Mar 11 05:39:11.962: %DOT11-6-ASSOC: Interface Dot11Radio0, Station

ish_1262_1_st 2477.0334.0c40 Associated KEY_MGMT[WPAv2 PSK]

Troubleshoot

Note: Consulte Informações Importantes sobre Comandos de Depuração antes de usar comandos debug.

Use estes comandos debug para solucionar problemas de conectividade:

- debug dot11 aaa manager keys - Esta depuração mostra o handshake que ocorre entre o AP e o cliente como a chave transiente (PTK) emparelhada e a chave transiente de grupo (GTK) negociada.

- debug dot11 aaa authenticator state-machine - Esta depuração mostra os vários estados de negociações pelos quais um cliente passa enquanto o cliente associa e autentica. Os nomes de estado indicam esses estados.

- debug dot11 aaa authenticator process - Esta depuração ajuda a diagnosticar problemas com comunicações negociadas. As informações detalhadas mostram o que cada participante na negociação envia e mostra a resposta do outro participante. Você também pode usar essa depuração em conjunto com o comando debug radius authentication.

- debug dot11 station connection failure - Essa depuração ajuda a determinar se os clientes estão falhando na conexão e ajuda a determinar o motivo das falhas.