CWA (Central Web Authentication, Autenticação da Web Central) em Catalyst 9800 Wireless Controllers e Exemplo de Configuração do ISE

Introduction

Este documento descreve como configurar uma rede local sem fio (WLAN) de autenticação da Web central em um Catalyst 9800 Series Wireless Controllers (9800 WLC) por meio da Interface Gráfica de Usuário (GUI - Graphic User Interface) ou da Interface de Linha de Comando (CLI - Command Line Interface).

Prerequisites

Requirements

A Cisco recomenda que você tenha conhecimento destes tópicos:

• Configuração de WLC 9800

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

• 9800 WLC IOS-XE Gibraltar v16.12
• Identity Service Engine (ISE) v2.4

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. All of the devices used in this document started with a cleared (default) configuration. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Configurar

Diagrama de Rede

Configuração

Configuração AAA em WLC 9800

Etapa 1. Adicione o servidor ISE à configuração do 9800 WLC e crie uma lista de métodos de autenticação 

Navegue até Configuration > Security > AAA > Servers / Groups > RADIUS > Servers > + Add e insira as informações do servidor RADIUS.

Certifique-se de que o Suporte para CoA esteja ativado se você planeja usar a autenticação da Web central (ou qualquer tipo de segurança que exija CoA) no futuro. 

Etapa 2. Criar uma lista de métodos de autorização

Navegue até Configuration > Security > AAA > AAA Method List > Authorization > + Add

Etapa 4 (opcional). Criar uma lista de métodos de contabilidade

Nota: O CWA não funcionará se você decidir fazer o balanceamento de carga (da configuração CLI do IOS-XE) dos seus servidores radius devido ao CSCvh03827 . O uso de balanceadores de carga externos é aceitável.

Etapa 5 (opcional)

Você pode definir a política AAA para enviar o nome SSID como atributo Called-station-id, que pode ser útil se quiser aproveitar essa condição no ISE posteriormente no processo.

Vá para Configuration > Security > Wireless AAA Policy e edite a política de aaa padrão ou crie uma nova.

Você pode escolher SSID como opção 1. Lembre-se de que mesmo ao escolher somente SSID, a id da estação chamada ainda anexará o endereço MAC do AP ao nome SSID.

Configuração da WLAN

Etapa 1. Criar a WLAN

GUI:

Navegue até Configuration > Tags & Profiles > WLANs > + Add e configure a rede conforme necessário.

Etapa 2. Insira as informações da WLAN

Etapa 3. Navegue até a guia Segurança e selecione o método de segurança necessário. Nesse caso, somente a filtragem MAC e a lista que você criou na etapa 2 na seção Configuração de AAA.

 CLI:

# config t
(config)#wlan cwa-ssid 2 cwa-ssid
(config-wlan)#mac-filtering CWAauthz
(config-wlan)#no security wpa
(config-wlan)#no security wpa wpa2 ciphers aes
(config-wlan)#no security wpa akm dot1x
(config-wlan)#no shutdown

Configuração do perfil de política

Dentro de um perfil de política, você pode decidir a qual VLAN atribui os clientes, entre outras configurações (como Lista de controles de acesso [ACLs], Qualidade de serviço [QoS], Âncora de mobilidade, Temporizadores e assim por diante).

Você pode usar seu perfil de política padrão ou criar um novo.

GUI:

Etapa 1. Criar um novo perfil de política

Navegue até Configuration > Tags & Profiles > Policy e configure seu default-policy-profile ou crie um novo.

Verifique se o perfil está ativado.

 Etapa 2. Selecione a VLAN

Navegue até a guia Políticas de acesso e selecione o nome da vlan no menu suspenso ou digite manualmente a VLAN-ID. NÃO configure uma ACL no perfil da política.

Etapa 3. Configure o perfil de política para aceitar substituições de ISE (Permitir substituição de AAA) e Alteração de autorização (CoA) (estado NAC). Você também pode, opcionalmente, especificar um método de conta.

CLI:

# config
# wireless profile policy <policy-profile-name>
# aaa-override
# nac
# vlan <vlan-id_or_vlan-name>
# accounting-list <acct-list>
# no shutdown

Configuração da etiqueta de política

Dentro da etiqueta de política é onde você conecta seu SSID ao seu perfil de política. Você pode criar uma nova etiqueta de política ou usar a marca de política padrão.

Observação: a tag default-policy mapeia automaticamente qualquer SSID com uma ID de WLAN entre 1 e 16 para o perfil de política padrão. Não pode ser modificado ou excluído. Se você tiver uma WLAN com ID 17 ou superior, a tag default-policy não poderá ser usada.

GUI:

Navegue até Configuration > Tags & Profiles > Tags > Policy e adicione um novo se necessário.

Vincule seu perfil de WLAN ao perfil de política desejado.

CLI:

# config t
# wireless tag policy <policy-tag-name>
# wlan <profile-name> policy <policy-profile-name>

Atribuição de tag de política

Atribua a etiqueta de política aos APs necessários.

GUI:

Para atribuir a marca a um AP, navegue para Configuration > Wireless > Access Points > AP Name > General Tags (Configuração > Sem fio > Pontos de acesso > Nome do AP > Marcas gerais), faça a atribuição necessária e clique em Update & Apply to Device (Atualizar e aplicar ao dispositivo).

Observação: lembre-se de que, depois de alterar a etiqueta de política em um AP, ela perde sua associação ao WLC 9800 e se junta novamente em cerca de 1 minuto.

Para atribuir a mesma etiqueta de política a vários APs, navegue para Configuration > Wireless > Wireless Setup > Start Now > Apply (Configuração > Sem fio > Configuração sem fio > Iniciar agora > Aplicar).

Selecione os APs aos quais deseja atribuir a marca e clique em + Tag APs

Selecione a etiqueta desejada e clique em Salvar e aplicar ao dispositivo

CLI:

# config t
# ap <ethernet-mac-addr>
# policy-tag <policy-tag-name>
# end

Redirecionar configuração da ACL

Etapa 1. Navegue até Configuration > Security > ACL > + Add para criar uma nova ACL. 

Selecione um nome para a ACL, torne-a tipo IPv4 estendido e adicione cada regra como uma sequência

Você precisa negar o tráfego para os nós PSNs do ISE, bem como negar o DNS e permitir todo o resto. Essa ACL de redirecionamento não é uma ACL de segurança, mas uma ACL punt que definirá o tráfego que vai para a CPU (em licenças) para tratamento adicional (como redirecionamento) e o tráfego que permanece no painel de dados (em negação) e evitará o redirecionamento.

A ACL deve ser semelhante a esta (substitua 10.48.39.28 pelo endereço IP do ISE):

Nota: Para a ACL de redirecionamento, pense em negar ação como um redirecionamento de negação (não negar tráfego) e permitir ação como redirecionamento de permissão. A WLC procurará apenas no tráfego que pode redirecionar (portas 80 e 443 por padrão).

CLI:

ip access-list extended REDIRECT
 deny ip any host 10.48.39.28
 deny ip host 10.48.39.28 any
 deny udp any any eq domain
 deny udp any eq domain any
 permit tcp any any eq 80

Nota: Se você terminar a ACL com um "permit ip any any" em vez de uma permissão focada na porta 80, a WLC também redirecionará o HTTPS, que geralmente é indesejável, pois terá que fornecer seu próprio certificado e sempre criará uma violação de certificado.

Você pode melhorar a ACL negando apenas a porta 8443 do convidado para o servidor ISE.

Configuração do ISE

Adicionar WLC 9800 ao ISE

Etapa 1. Navegue até Administração > Recursos de rede > Dispositivos de rede. 

 Etapa 2. Clique em +Adicionar e insira as configurações de WLC 9800.

Opcionalmente, pode ser um nome de modelo especificado, versão de software, descrição e atribuição de grupos de dispositivos de rede com base em tipos de dispositivos, localização ou WLCs.

a.b.c.d corresponde à interface da WLC que envia a autenticação solicitada.

Para obter mais informações sobre os grupos de dispositivos de rede, consulte o guia de administração do ISE:

ISE - Grupos de dispositivos de rede

Criar novo usuário no ISE

Etapa 1. Navegar para Administração > Gerenciamento de Identidades > Identidades > Usuários > Adicionar 

Etapa 2. Inserir informações.

Neste exemplo, este usuário pertence a um grupo chamado ALL_ACCOUNTS, mas ele pode ser ajustado conforme necessário

Criar perfil de autorização

O perfil de política é o resultado atribuído a um cliente com base em seus parâmetros (como endereço MAC, credenciais, WLAN usada e assim por diante). Ele pode atribuir configurações específicas, como Virtual Local Area Network (VLAN), Access Control Lists (ACLs), Uniform Resource Locator (URL) redireciona e assim por diante. 

Estas etapas mostram como criar o perfil de autorização necessário para redirecionar o cliente para o portal de autenticação. Observe que em versões recentes do ISE, já existe um resultado de autorização do Cisco_Webauth. Aqui vamos editá-lo para modificar o nome da ACL de redirecionamento para corresponder ao que configuramos na WLC.

Etapa 1. Navegue até Política > Elementos de política > Resultados > Autorização > Perfis de autorização. Clique em adicionar para criar seu próprio ou editar o resultado padrão Cisco_Webauth

Etapa 2. Insira as informações de redirecionamento. Verifique se o nome da ACL é o mesmo que foi configurado na WLC 9800.

Configurar regra de autenticação

Etapa 1. Navegue até Política > Conjuntos de políticas. Clique nos conjuntos de políticas apropriados (se você já tiver vários configurados) ou na seta View padrão à direita da tela.

Etapa 2. Expanda a política de autenticação. Para a regra MAB (correspondente em MAB com ou sem fio), expanda Opções e escolha a opção CONTINUAR caso "Se o usuário não for encontrado".

Etapa 3. Clique em Salvar para salvar as alterações.

Configurar regras de autorização

A regra de autorização é a que está encarregada para determinar quais permissões (que perfil de autorização) o resultado é aplicado ao cliente.

Etapa 1. Na mesma página Conjunto de políticas, feche a Política de autenticação e expanda a política de autorização.

Etapa 2. Versões recentes do ISE começarão com uma regra pré-criada chamada Wifi_Redirect_to_Guest_Login que corresponde principalmente à nossa necessidade. Vire o sinal cinza à esquerda para ativar.

 Etapa 3. Essa regra corresponde somente a Wireless_MAB e retorna os atributos de redirecionamento CWA. Opcionalmente, adicionaremos um pouco de torção e faremos com que ela corresponda somente em nosso SSID específico. Clique na condição (Wireless_MAB a partir de agora) para fazer com que o Estúdio de Condições seja exibido. Adicione uma condição à direita e escolha o dicionário Radius com o atributo Called-Station-ID. Faça com que corresponda ao seu nome SSID. Validar clicando em Usar na parte inferior da tela

 Etapa 4. Agora você precisa de uma segunda regra, definida com uma prioridade mais alta, que corresponda na condição de fluxo de convidado para retornar detalhes de acesso à rede depois que o usuário tiver autenticado no portal. Você pode usar a regra de acesso de convidado WiFi que também é pré-criada por padrão em versões recentes do ISE. Você só precisa ativar a regra com uma marca verde à esquerda.  Você pode retornar o PermitAccess padrão ou configurar restrições de listas de acesso mais precisas.

Etapa 5. Salvar as regras

Clique em Salvar na parte inferior das regras.

No caso de access points de switching local Flexconnect SOMENTE

E se você tiver pontos de acesso de switching local Flexconnect e WLANs? As seções anteriores ainda são válidas. No entanto, precisamos de uma etapa extra para enviar a ACL de redirecionamento para os APs antecipadamente.

Navegue até Configuration > Tags & Profiles > Flex e clique em seu perfil Flex. Vá para a guia ACL de política.

Clique em Add

Escolha o nome da ACL de redirecionamento e ative a "autenticação da Web central". Essa caixa de seleção inverte automaticamente a ACL no próprio AP (isso é porque uma instrução "deny" significa "não redirecionar para este IP" na WLC no IOS-XE, no entanto, no AP, a instrução "deny" significa o oposto, então essa caixa de seleção troca automaticamente todas as permissões e negação ao enviar para o AP. Você pode verificar isso com um "show ip access list" da CLI do AP).

Nota: No cenário de switching local do Flexconnect, a ACL DEVE mencionar especificamente as instruções de retorno (que não é necessariamente necessário no modo local), portanto, certifique-se de que todas as regras da ACL estejam cobrindo ambos os modos de tráfego (de e para o ISE, por exemplo)

Não se esqueça de pressionar Salvar e depois Atualizar e aplicar ao dispositivo.

Verifique se o "ip http server" está configurado.

Certificados

Para que o cliente confie no certificado de autenticação da Web, não é necessário instalar nenhum certificado na WLC, pois o único certificado apresentado será o certificado ISE (que deve ser confiável pelo cliente).

Verificar

Você pode usar esses comandos para verificar a configuração atual

# show run wlan
# show run aaa
# show aaa servers
# show ap config general
# show ap name <ap-name> config general 
# show ap tag summary
# show ap name <AP-name> tag detail
# show wlan { summary | id | nme | all }
# show wireless tag policy detailed <policy-tag-name>
# show wireless profile policy detailed <policy-profile-name> 

Aqui está a parte relevante da configuração da WLC correspondente a este exemplo :

aaa new-model
!
aaa authentication dot1x CWA group radius
aaa authorization network default group radius
aaa authorization credential-download wcm_loc_serv_cert local
aaa accounting identity CWAacct start-stop group radius
!
aaa server radius dynamic-author
 client 10.48.39.28 server-key cisco123
!
aaa session-id common
!
!
radius server nicoISE
 address ipv4 10.48.39.28 auth-port 1812 acct-port 1813
 key cisco123
!
!
wireless aaa policy default-aaa-policy
wireless cts-sxp profile default-sxp-profile

wireless profile policy central-switching-NAC
 aaa-override
 no central association
 no central switching
 nac
 vlan 1468
 no shutdown
wireless tag policy flexpolicy
 wlan Nico9800flex policy central-switching-NAC
wlan cwa-ssid 2 cwa-ssid
 mac-filtering default
 no security wpa
 no security wpa wpa2 ciphers aes
 no security wpa akm dot1x
 no shutdown
ap a46c.2a75.fb80
 policy-tag flexpolicy
 site-tag FlexSite
ap f80b.cbe4.7f40
 policy-tag flexpolicy
 site-tag FlexSite
ip http server
ip http secure-server

# show clock

# show logging

# show debugging
IOSXE Conditional Debug Configs:

Conditional Debug Global State: Stop

IOSXE Packet Tracing Configs:


Packet Infra debugs:

Ip Address                                               Port
------------------------------------------------------|----------

# show logging profile wireless filter { mac | ip } { <aaaa.bbbb.cccc> | <a.b.c.d> } to-file always-on-<FILENAME.txt> 

# more bootflash:always-on-<FILENAME.txt>
or
# copy bootflash:always-on-<FILENAME.txt> tftp://a.b.c.d/path/always-on-<FILENAME.txt> 

# clear platform condition all

# debug wireless mac <aaaa.bbbb.cccc> {monitor-time <seconds>}

# no debug wireless mac <aaaa.bbbb.cccc>

# dir bootflash: | inc ra_trace

# copy bootflash:ra_trace_MAC_aaaabbbbcccc_HHMMSS.XXX_timezone_DayWeek_Month_Day_year.log tftp://a.b.c.d/ra-FILENAME.txt

# more bootflash:ra_trace_MAC_aaaabbbbcccc_HHMMSS.XXX_timezone_DayWeek_Month_Day_year.log

# show logging profile wireless internal filter { mac | ip } { <aaaa.bbbb.cccc> | <a.b.c.d> } to-file ra-internal-<FILENAME>.txt

# copy bootflash:ra-internal-<FILENAME>.txt tftp://a.b.c.d/ra-internal-<FILENAME>.txt

# more bootflash:ra-internal-<FILENAME>.txt

# clear platform condition all

2019/09/04 12:00:06.507 {wncd_x_R0-0}{1}: [client-auth] [24264]: (ERR): MAC: e836.171f.a162  client authz result: FAILURE
2019/09/04 12:00:06.516 {wncd_x_R0-0}{1}: [ewlc-infra-evq] [24264]: (ERR): SANET_AUTHZ_FAILURE - Redirect ACL Failure username E8-36-17-1F-A1-62, audit session id 7847300A0000012EFC24CD42, 
2019/09/04 12:00:06.518 {wncd_x_R0-0}{1}: [errmsg] [24264]: (note): %SESSION_MGR-5-FAIL: Authorization failed or unapplied for client (e836.171f.a162) on Interface capwap_90000005 AuditSessionID 7847300A0000012EFC24CD42. Failure Reason: Redirect ACL Failure. Failed attribute name REDIRECT.