Contents

Introduction

Prerequisites

Requirements

Componentes Utilizados

Conventions

Atribuição da VLAN (Rede local virtual) dinâmica com servidor Radius

Configurar

Diagrama de Rede

Configurações

Integração do ISE ao AD e configuração de políticas de autenticação e autorização para usuários no ISE

Configuração de WLC para suportar autenticação dot1x e substituição de AAA para SSID 'office_hq'

Verificar

Troubleshoot

Introduction

Este documento introduz o conceito da atribuição da VLAN dinâmica. O documento descreve como configurar o controlador de LAN sem fio (WLC) e o servidor ISE para atribuir dinamicamente clientes de LAN sem fio (WLAN) a uma VLAN específica.

Prerequisites

Requirements

Certifique-se de atender a estes requisitos antes de tentar esta configuração:

- Ter conhecimento básico de WLCs (Wireless LAN Controllers, Controladores de LAN Sem Fio) e LAPs (Lightweight Access Points, Pontos de Acesso Lightweight)

- Ter conhecimento funcional de um servidor de Autenticação, Autorização e Contabilidade (AAA - Authentication, Authorization and Accounting), como Identity Services Engine (ISE)

- Ter conhecimento completo das redes wireless e das questões de segurança wireless.

- Ter conhecimento funcional e configurável na atribuição dinâmica de VLAN

- Ter uma compreensão básica dos serviços do Microsoft Windows AD, bem como do controlador de domínio e dos conceitos de DNS

- Ter conhecimento básico do Control and Provisioning of Access Point Protocol (CAPWAP)

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

- Cisco 5520 Series WLC que executa o firmware versão 8.8.111.0

- AP Cisco 4800 Series

- Suplicante nativo do Windows e AnyConnect NAM.

- Cisco Secure ISE versão 2.3.0.298

- Microsoft Windows 2016 Server configurado como um controlador de domínio

- Switch Cisco 3560-CX Series que executa a versão 15.2(4)E1

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Conventions

Consulte as Convenções de Dicas Técnicas da Cisco para obter mais informações sobre convenções de documentos.

Atribuição da VLAN (Rede local virtual) dinâmica com servidor Radius

Na maioria de sistemas de WLAN, cada WLAN tem uma política estática que se aplica a todos os clientes associados com um Service Set Identifier (SSID), ou o WLAN na terminologia do controlador. Embora poderoso, este método tem limitações porque exige que os clientes se associem com os diferentes SSID para herdar diferentes QoS e políticas de segurança.

A solução Cisco WLAN aborda essa limitação por meio do suporte à rede de identidade. Isso permite que a rede anuncie um único SSID, mas permite que usuários específicos herdem diferentes QoS, atributos de VLAN e/ou políticas de segurança com base na credencial do usuário.

A atribuição da VLAN dinâmica é um recurso que coloca um usuário wireless em uma VLAN específica baseado nas credenciais fornecidas pelo usuário. Essa tarefa de atribuir usuários a uma VLAN específica é tratada por um servidor de autenticação RADIUS, como o Cisco ISE. Isto pode ser usado, por exemplo, para permitir que o host wireless permaneça na mesma VLAN enquanto ele se desloca em uma rede no campus.

O servidor Cisco ISE autentica usuários sem fio em um dos vários bancos de dados possíveis, que inclui seu banco de dados interno, por exemplo:

- DB interno

- Ative Diretory

- Protocolo de acesso de diretório leve (LDAP - Lightweight Diretory Access Protocol) genérico

- Bancos de dados relacionais compatíveis com Open Database Connectivity (ODBC)

- Servidores de token Rivest, Shamir e Adelman (RSA) SecurID

- Servidores de token compatíveis com RADIUS

Os Cisco ISE Authentication Protocols e as External Identity Sources suportadas listam os vários protocolos de autenticação suportados por bancos de dados internos e externos do ISE.

Este documento concentra-se na autenticação de utilizadores sem fios que utilizam a base de dados externa do Windows Ative Diretory.

Após a autenticação bem-sucedida, o ISE recupera as informações do grupo desse usuário do banco de dados do Windows e associa o usuário ao respectivo perfil de autorização.

Quando um cliente tenta se associar a um LAP registrado em um controlador, o LAP passa as credenciais do usuário para o WLC usando o respectivo método EAP.

A WLC envia essas credenciais para o ISE usando o protocolo RADIUS (encapsulando o EAP) e o ISE passa as credenciais dos usuários para o AD para validação usando o protocolo KERBEROS.

O AD valida as credenciais do usuário e, na autenticação bem-sucedida, informa o ISE.

Quando a autenticação é bem-sucedida, o servidor ISE passa certos atributos da Internet Engineering Task Force (IETF) para a WLC. Estes atributos RADIUS decidem a ID da VLAN que deve ser atribuído ao cliente wireless. A SSID (WLAN, em termos do WLC) do cliente não importa porque o usuário sempre recebe esta identificação predeterminada da VLAN.

Os atributos do usuário do RADIUS usados para a atribuição de ID da VLAN são:

- IETF 64 (Tipo de túnel)—Defina isso como VLAN.

- IETF 65 (Tipo de meio do túnel)—Defina como 802

- IETF 81 (ID do grupo privado do túnel)—Defina isso como VLAN ID.

A ID da VLAN tem 12 bits, e um valor entre 1 e 4094, inclusive. Como o Tunnel-Private-Group-ID é do tipo string, como definido em RFC2868 para uso com IEEE 802.1X, o valor inteiro do ID da VLAN é codificado como uma string. Quando estes atributos de túnel são enviados, é necessário preencher o campo Tag.

Conforme observado no RFC 2868, seção 3.1: O campo Tag tem um octeto de comprimento e permite agrupar no mesmo pacote atributos que se referem ao mesmo túnel. Os valores válidos para este campo são de 0x01 a 0x1F, inclusive. Se o campo Tag não for utilizado, ele deve ser zero (0x00). Consulte na RFC 2868 mais informações sobre todos os atributos de RADIUS.

Configurar

Nesta seção, você encontrará informações para configurar os recursos descritos neste documento.

Diagrama de Rede

Configurações

Estes são os detalhes de configuração dos componentes usados neste diagrama:

- O endereço IP do servidor ISE (RADIUS) é 10.48.39.128.

- O endereço da interface de gerenciamento e gerenciador de AP da WLC é 10.48.71.20.

- O servidor DHCP reside na rede LAN e é configurado para os respectivos pools de clientes; ele não é mostrado no diagrama

- A VLAN1477 e a VLAN1478 são usadas em toda essa configuração. Os usuários do departamento de marketing são configurados para serem colocados na VLAN1477 e os usuários do departamento RH são configurados para serem colocados na VLAN1478 pelo servidor RADIUS quando ambos os usuários se conectam ao mesmo SSID — office_hq.

VLAN1477: 192.168.77.0/24. Gateway: 192.168.77.1 VLAN1478: 192.168.78.0/24. Gateway: 192.168.78.1

- Este documento usa 802.1x com PEAP-mschapv2 como mecanismo de segurança.

Note: A Cisco recomenda que você use métodos de autenticação avançados, tais como o EAP-FAST e a autenticação EAP-TLS, para proteger a WLAN.

Essas suposições são feitas antes de você executar esta configuração:

- O LAP já está registrado na WLC.

- O servidor DHCP recebe um escopo DHCP.

- A conectividade da camada 3 existe entre todos os dispositivos na rede.

- O documento discute a configuração necessária no lado sem fio e presume que a rede com fio está no lugar.

- Os respectivos usuários e grupos estão configurados no AD.

Para realizar a atribuição dinâmica de VLANs com WLCs com base no mapeamento de grupo ISE para AD, estas etapas devem ser executadas:

1. Integração do ISE ao AD e configuração de políticas de autenticação e autorização para usuários no ISE

2. Configuração de WLC para suportar autenticação dot1x e substituição de AAA para SSID 'office_hq'

3. Configuração do suplicante do cliente final

Integração do ISE ao AD e configuração de políticas de autenticação e autorização para usuários no ISE

1. Faça login na interface da IU da Web do ISE usando a conta admin.

2. Navegar em "Administração -> Gerenciamento de identidades -> Fontes de identidade externas -> Ative Diretory"

3. Clique em "Adicionar" e insira o nome de domínio e o nome do repositório de identidades nas configurações de Nome do ponto de união do Ative Diretory. No exemplo abaixo, estamos registrando o ISE no domínio 'wlaaan.com' e o ponto Join é especificado como AD.wlaaan.com - nome significativo local para ISE.

4. Uma janela pop-up será aberta depois que o botão "Submit" (Enviar) for pressionado perguntando se queremos ingressar no ISE para o AD imediatamente. Pressione o botão "Sim" e forneça as credenciais de usuário do Ative Diretory com direitos de administrador para adicionar um novo host ao domínio.

5. Depois desse ponto, o ISE deve estar registrado com êxito no AD.

Caso tenha problemas com o processo de registro, você pode usar a "Ferramenta do diagnóstico" para executar os testes necessários para a conectividade do AD.

6. Precisamos recuperar grupos do Ative Diretory que serão usados para atribuir os respectivos perfis de autorização. Navegue em "Administration -> Identity management -> External Identity Sources -> Ative diretory -> <Your AD> -> Groups", clique no botão "Add" e selecione "Select Groups from Ative Diretory".

7. Uma nova janela pop-up será aberta onde você pode especificar um filtro para recuperar grupos específicos ou recuperar todos os grupos do AD.

Selecione os respectivos grupos na lista de grupos do AD e prima "OK"

8. Os respectivos grupos serão adicionados ao ISE e podem ser salvos. Pressione "Salvar".

9. Adicionar WLC à lista de dispositivos de rede ISE - navegue em "Administração -> Recursos de rede -> Dispositivos de rede" e pressione "Adicionar".

Conclua a configuração, fornecendo o endereço IP de gerenciamento de WLC e o segredo compartilhado RADIUS entre WLC e ISE.

10. Agora, depois que ingressamos no ISE para o AD e adicionamos a WLC à lista de dispositivos, podemos iniciar a configuração de políticas de autenticação e autorização para usuários.

- Crie um perfil de autorização para atribuir usuários do Marketing à VLAN1477 e do grupo RH à VLAN1478.

Navegue em "Política -> Elementos de política -> Resultados -> Autorização -> Perfis de autorização" e clique em "Adicionar" para criar um novo perfil.

- Concluir a configuração do perfil de autorização com informações da VLAN para o respectivo grupo; O exemplo abaixo mostra as configurações do grupo "Marketing".

É necessário fazer uma configuração semelhante para outros grupos e configurar o respectivo atributo de marca de VLAN.

- Após a configuração dos perfis de autorização, podemos definir políticas de autenticação para usuários sem fio. Isso pode ser feito configurando "Personalizado" ou modificando o conjunto de políticas padrão. Neste exemplo, estamos modificando o conjunto de políticas "Padrão". Abra "Policy -> Policy Sets -> Default". Por padrão, para o tipo de autenticação dot1x, o ISE usará 'All_User_ID_Stores', embora funcione mesmo com as configurações padrão atuais, já que "AD" é parte da lista de origem da identidade de All_User_ID_Stores, este exemplo usa uma regra mais específica "WLC_lab" para esse respectivo controlador LAB e usará "AD" como somente origem para autenticação.

- Agora, precisamos criar políticas de autorização para usuários que atribuirão o respectivo perfil de autorização com base na associação ao grupo. Abra a seção "Política de autorização" e crie políticas para atender a esse requisito.

Configuração de WLC para suportar autenticação dot1x e substituição de AAA para SSID 'office_hq'

1. Configure o ISE como servidor de autenticação RADIUS na WLC, na seção "Security -> AAA -> RADIUS -> Authentication" na interface da IU da Web e forneça o endereço IP do ISE e informações secretas compartilhadas.

2. Configure SSID office_hq na seção "WLANs" na WLC; o exemplo abaixo configura o SSID com WPA2/AES+dot1x e substituição AAA. A interface "Dummy" está selecionada para a WLAN, já que a vlan apropriada será atribuída via RADIUS assim mesmo. Essa interface fictícia precisa ser criada na WLC e receber um endereço ip, mas o endereço ip não precisa ser válido e a vlan na qual é colocada pode não ser criada no switch de uplink, de modo que, se nenhuma VLAN estiver sendo atribuída, o cliente não pode ir a lugar algum.

3. Também precisamos criar interfaces dinâmicas na WLC para VLANs de usuário, no menu da IU "Controller -> Interfaces". A WLC só pode honrar a atribuição de vlan recebida via AAA se tiver uma interface dinâmica nessa vlan.

Verificar

Usaremos o suplicante nativo do Windows 10 e o AnyConnect NAM para testar as conexões.

Como estamos usando a autenticação EAP-PEAP e o ISE está usando um certificado autoassinado (SSC), precisaríamos concordar com o aviso de certificado ou desativar a validação do certificado. Em um ambiente corporativo, você deve usar um certificado assinado e confiável no ISE e garantir que os dispositivos do usuário final tenham o certificado raiz apropriado instalado na lista CA confiável.

Testar conexão com o Windows 10 e o suplicante nativo.

1. Abra "Network & Internet settings -> Wi-Fi -> Manage known networks" (Configurações de rede e Internet -> Wi-Fi -> Manage known networks) e crie um novo perfil de rede pressionando o botão "Add new network" (Adicionar nova rede); preencha as informações necessárias.

2. Verifique o log de autenticação no ISE e verifique se o perfil correto está selecionado para o usuário.

3. Verifique a entrada do cliente na WLC e certifique-se de que está atribuída à VLAN correta e está no estado RUN.

4. A partir do status do cliente CLI da WLC pode ser verificado com "show client dertails <mac-address>":

show client detail f4:8c:50:62:14:6b

Client MAC Address............................... f4:8c:50:62:14:6b

Client Username ................................. Bob

Client Webauth Username ......................... N/A

Hostname: .......................................

Device Type: .................................... Intel-Device

AP MAC Address................................... 70:69:5a:51:4e:c0

AP Name.......................................... AP4C77.6D9E.6162

AP radio slot Id................................. 1

Client State..................................... Associated

User Authenticated by ........................... RADIUS Server

Client User Group................................ Bob

Client NAC OOB State............................. Access

Wireless LAN Id.................................. 3

Wireless LAN Network Name (SSID)................. office_hq

Wireless LAN Profile Name........................ office_hq

Hotspot (802.11u)................................ Not Supported

Connected For ................................... 242 secs

BSSID............................................ 70:69:5a:51:4e:cd

Channel.......................................... 36

IP Address....................................... 192.168.78.36

Gateway Address.................................. 192.168.78.1

Netmask.......................................... 255.255.255.0

...

Policy Manager State............................. RUN

...

EAP Type......................................... PEAP

Interface........................................ vlan1478

VLAN............................................. 1478

Quarantine VLAN.................................. 0

Access VLAN...................................... 1478

Teste a conexão com o Windows 10 e o AnyConnect NAM.

1. Selecione SSID na lista de SSIDs disponíveis e o respectivo tipo de autenticação EAP (neste exemplo, PEAP) e formulário de autenticação interna

2. Forneça nome de usuário e senha para autenticação de usuário.

3. Como o ISE está enviando ao cliente um SSC, precisamos selecionar manualmente para confiar no certificado (no ambiente de produção, é altamente recomendável instalar o certificado confiável no ISE).

4. Verifique os logs de autenticação no ISE e certifique-se de que o perfil de autorização correto esteja selecionado para o usuário.

5. Verifique a entrada do cliente na WLC e certifique-se de que ela está atribuída à VLAN correta e está no estado RUN.

6. A partir do status do cliente CLI da WLC pode ser verificado com "show client dertails <mac-address>":

Client MAC Address............................... f4:8c:50:62:14:6b

Client Username ................................. Alice

Client Webauth Username ......................... N/A

Hostname: .......................................

Device Type: .................................... Intel-Device

AP MAC Address................................... 70:69:5a:51:4e:c0

AP Name.......................................... AP4C77.6D9E.6162

AP radio slot Id................................. 1

Client State..................................... Associated

User Authenticated by ........................... RADIUS Server

Client User Group................................ Alice

Client NAC OOB State............................. Access

Wireless LAN Id.................................. 3

Wireless LAN Network Name (SSID)................. office_hq

Wireless LAN Profile Name........................ office_hq

Hotspot (802.11u)................................ Not Supported

Connected For ................................... 765 secs

BSSID............................................ 70:69:5a:51:4e:cd

Channel.......................................... 36

IP Address....................................... 192.168.77.32

Gateway Address.................................. 192.168.77.1

Netmask.......................................... 255.255.255.0

...

Policy Manager State............................. RUN

...

Policy Type...................................... WPA2

Authentication Key Management.................... 802.1x

Encryption Cipher................................ CCMP-128 (AES)

Protected Management Frame ...................... No

Management Frame Protection...................... No

EAP Type......................................... PEAP

Interface........................................ vlan1477

VLAN............................................. 1477

Troubleshoot

1. Use "test aaa radius username <user> password <password> wlan-id <id>" para testar a conexão RADIUS entre WLC e ISE e "test aaa show radius" para mostrar os resultados.

test aaa radius username Alice password <removed> wlan-id 2

Radius Test Request

Wlan-id........................................ 2

ApGroup Name................................... none

Attributes                      Values

----------                      ------

User-Name                       Alice

Called-Station-Id               00-00-00-00-00-00:AndroidAP

Calling-Station-Id              00-11-22-33-44-55

Nas-Port                        0x00000001 (1)

Nas-Ip-Address                  10.48.71.20

NAS-Identifier                  0x6e6f (28271)

Airespace / WLAN-Identifier     0x00000002 (2)

User-Password                   cisco!123

Service-Type                    0x00000008 (8)

Framed-MTU                      0x00000514 (1300)

Nas-Port-Type                   0x00000013 (19)

Cisco / Audit-Session-Id        1447300a0000003041d5665c

Acct-Session-Id                 5c66d541/00:11:22:33:44:55/743

test radius auth request successfully sent. Execute 'test aaa show radius' for response

(Cisco Controller) >test aaa show radius

Radius Test Request

Wlan-id........................................ 2

ApGroup Name................................... none

Radius Test Response

Radius Server            Retry Status

-------------            ----- ------

10.48.39.128             1     Success

Authentication Response:

Result Code: Success

Attributes                      Values

----------                      ------

User-Name                       Alice

State                           ReauthSession:1447300a0000003041d5665c

Class                           CACS:1447300a0000003041d5665c:rmanchur-ise/339603379/59

Tunnel-Type                     0x0000000d (13)

Tunnel-Medium-Type              0x00000006 (6)

Tunnel-Group-Id                 0x000005c5 (1477)

(Cisco Controller) >

2. Use "debug client <mac-address>" para solucionar problemas de conectividade de clientes sem fio.

3. Use "debug aaa all enable" para solucionar problemas de autenticação e autorização na WLC.

Note: use este comando somente com 'debug mac addr <mac-address>' para limitar a saída com base no endereço MAC para o qual a depuração foi feita!

4. Consulte registros ao vivo do ISE e registros de sessão para identificar problemas com falhas de autenticação e problemas de comunicação do AD.