Configurar a Autenticação da Web Local com Autenticação Local

Introdução

Este documento descreve como configurar a Autenticação da Web Local com Autenticação Local em uma controladora Wireless LAN (WLC) 9800.

Pré-requisitos

A Cisco recomenda que você tenha conhecimento do modelo de configuração da WLC 9800.

Requisitos

A Cisco recomenda que você tenha conhecimento destes tópicos:

• Cisco WLC série 9800.

• Conhecimento abrangente de autenticação da Web.

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

• 9800-CL WLC Cisco IOS® XE versão 17.12.5
• Access point Cisco C917AXI.

As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Informações de Apoio

A Autenticação da Web Local (LWA) é um método de autenticação da rede local sem fio (WLAN) que pode ser configurado na WLC. Quando um usuário seleciona a WLAN na lista de redes disponíveis, ele é redirecionado para um portal da Web. Neste portal, dependendo da configuração, o usuário pode ser solicitado a inserir um nome de usuário e uma senha, aceitar uma Política de Uso Aceitável (AUP) ou uma combinação de ambas as ações para finalizar sua conexão.

Para obter informações sobre os quatro tipos de páginas de autenticação da Web apresentados durante o processo de logon, consulte o guia Configurar autenticação da Web local e revise as opções disponíveis para o tipo de autenticação da Web. Você também pode consultar o guia Configure Local Web Authentication with External Authentication na seção Types of Authentication.

Mapa de Parâmetros

O Mapa de Parâmetros é um elemento de configuração essencial em uma WLC que permite a Autenticação da Web. Ele consiste em um conjunto de configurações que controlam várias facetas do processo de autenticação da Web, incluindo o tipo de autenticação, URLs de redirecionamento, parâmetros anexados, tempos limite e páginas da Web personalizadas. Para ativar e gerenciar a autenticação baseada na Web para um SSID específico, esse mapa deve estar vinculado ao perfil da WLAN.

A controladora Wireless LAN vem com um mapa de parâmetros global padrão, mas os administradores têm a opção de criar mapas de parâmetros personalizados para personalizar o comportamento da Autenticação da Web de acordo com necessidades específicas.

Banco de Dados para Autenticação

Se o mapa de parâmetros estiver configurado para usar um nome de usuário e uma senha, você deverá definir as credenciais de autenticação, que são armazenadas localmente na WLC. Ao criar uma conta de usuário convidado por meio da GUI, você pode definir o número máximo de logins simultâneos permitidos por conta de convidado. Os valores válidos variam de 0 a 64, onde 0 indica que logins simultâneos ilimitados são permitidos para esse usuário convidado.

O LWA destina-se principalmente a pequenas implantações. Ele suporta a integração com outros métodos de autenticação, você pode verificar a Combinação de Autenticações Suportada para um Cliente para obter mais informações.

A imagem representa uma topologia genérica de LWA:

Topologia Genérica de LWA com Autenticação Local

Dispositivos na topologia de rede do LWA:

• Cliente/solicitante: inicia a solicitação de conexão com a WLAN, depois com os servidores DHCP e DNS, e responde às comunicações da WLC.
• Ponto de acesso: conectado a um switch, ele transmite a WLAN convidada e fornece conectividade sem fio para dispositivos convidados. Permite o tráfego DHCP e DNS antes que o usuário convidado conclua a autenticação inserindo credenciais válidas, aceitando uma AUP ou uma combinação de ambas as ações.
• WLC/Autenticador: Gerencia os APs e os dispositivos clientes. A WLC hospeda a URL de redirecionamento e aplica a ACL (Access Control List, lista de controle de acesso) que controla o tráfego e sua criação por padrão ao configurar o mapa de parâmetros. Ele intercepta solicitações HTTP de usuários convidados e as redireciona para um portal da Web (página de logon) onde os usuários devem se autenticar. A WLC captura credenciais de usuário, autentica convidados e verifica o banco de dados local para verificar a validade da credencial.
• Servidor de autenticação: neste cenário, a WLC funciona como o servidor de autenticação. Ele valida as credenciais do usuário convidado e concede ou nega o acesso à rede de acordo.

Configurar

Autenticação da Web local com autenticação local na CLI

Listas de métodos para autenticação local 

9800WLC>enable
9800WLC#configure terminal
9800WLC(config)#aaa new-model
9800WLC(config)#aaa authentication login LWA_AUTHENTICATION local
9800WLC(config)#aaa authorization network default local
9800WLC(config)#end

Mapas de Parâmetros 

9800WLC>enable
9800WLC#configure terminal
9800WLC(config)#parameter-map type webauth global
9800WLC(config-params-parameter-map)#type webauth
9800WLC(config-params-parameter-map)#virtual-ip ipv4 192.0.2.1
9800WLC(config-params-parameter-map)#trustpoint 
9800WLC(config-params-parameter-map)#webauth-http-enable
9800WLC(config-params-parameter-map)#end

A capacidade de criar vários mapas de parâmetros permite fluxos personalizados: páginas da Web personalizadas e parâmetros de apresentação específicos para cada WLAN. O mapa de parâmetros globais determina o ponto de confiança e, portanto, o certificado que a WLC apresenta ao cliente no portal de redirecionamento. Além disso, ele controla os tipos de tráfego de cliente interceptados, como HTTP/HTTPS para o portal de redirecionamento, domínio ou resolução de nome de host para o endereço IP virtual. Essa separação permite que o mapa global manipule configurações abrangentes, como apresentação de certificado e interceptação de tráfego, enquanto os mapas de parâmetros definidos pelo usuário fornecem experiência granular por WLAN. 

Parâmetros de segurança da WLAN 

9800WLC>enable
9800WLC#configure terminal
9800WLC(config)#wlan LWA_LA 1 "LWA LA"
9800WLC(config-wlan)#no security wpa
9800WLC(config-wlan)#no security wpa wpa2
9800WLC(config-wlan)#no security wpa wpa2 ciphers aes
9800WLC(config-wlan)#no security wpa akm dot1x 
9800WLC(config-wlan)#security web-auth
9800WLC(config-wlan)#security web-auth authentication-list LWA_AUTHENTICATION
9800WLC(config-wlan)#security web-auth parameter-map global
9800WLC(config-wlan)#no shutdown
9800WLC(config-wlan)#end

Criar um perfil de política 

9800WLC>enable
9800WLC#configure terminal
9800WLC(config)#wireless profile policy 
9800WLC(config-wireless-policy)#vlan 
9800WLC(config-wireless-policy)#no shutdown
9800WLC(config-wireless-policy)#end

Criar uma Marca de Diretiva 

9800WLC>enable
9800WLC#configure terminal
9800WLC(config)#wireless tag policy 
9800WLC(config-policy-tag)#wlan LWA_LA policy 
9800WLC(config-policy-tag)# end

Atribuir uma etiqueta de política a um AP 

9800WLC>enable
9800WLC#configure terminal
9800WLC(config)#ap >
9800WLC(config-ap-tag)#policy-tag POLICY_TAG
9800WLC(config-ap-tag)#end

Criar nome de usuário convidado 

9800WLC>enable
9800WLC#configure terminal
9800WLC(config)#user-name johndoe
9800WLC(config-user-name)#description Guest-User
9800WLC(config-user-name)#password 0 Cisco123
9800WLC(config-user-name)#type network-user description  guest-user lifetime year 0 month 11 day 30 hour 23
9800WLC(config-user-name)#end

Autenticação da Web Local com Autenticação Local via WebUI

Listas de métodos para autenticação local

Navegue para Configuration > Security > AAA > AAA Method List > Authentication > Add para criar a lista de métodos a ser usada posteriormente na configuração da WLAN. 

Depois de clicar em Apply to Device, confirme a criação da lista de métodos AAA:

Verifique se há uma lista de métodos de autorização local, isso é um requisito para que a lista de métodos de logon local criada funcione.

Configuration > Security > AAA > AAA Method List > Authorization > Add

Depois de clicar em Apply to Device, confirme a criação da lista de métodos AAA:

Mapas de Parâmetros 

Edite o Mapa de Parâmetros Globais em Configuration > Security > Web Auth

Selecione o tipo de autenticação da Web a ser usado, IP virtual e o ponto de confiança que a WLC apresenta no portal da Web. Nesse caso, o certificado Autoassinado é selecionado e provavelmente causará uma isenção de responsabilidade do tipo "sua conexão não é uma rede privada::ERR_CERT_AUTHORITY_INVALID", pois é um LSC (Locally Significant Certificate) e não é assinado por uma CA reconhecível na Internet. Para corrigir isso, use um certificado assinado por terceiros. Os detalhes estão descritos em Gerar e fazer download de certificados CSR em WLCs Catalyst 9800 ou há uma opção de vídeo que explica o upload e a criação do Truspoint Renew Certificates for WebAuth & WebAdmin em WLC Cisco 9800 | Configuração do controlador seguro de LAN sem fio.

Caution: Se o HTTP estiver desabilitado globalmente no 9800, verifique se a opção Habilitar servidor HTTP para Web Auth está marcada, pois a Cisco separou a dependência desses processos. Espera-se que Clientes ou Suplicantes iniciem um processo de conexão HTTP e que essa sessão seja interceptada pelo controlador para apresentar o portal da Web. Por esse motivo, não é recomendável habilitar o Web Auth Intercept HTTPS, a menos que seja absolutamente necessário, pois essa configuração é desnecessária para a maioria das implantações e pode aumentar a utilização da CPU do controlador, possivelmente afetando o desempenho.

Parâmetros de segurança da WLAN 

Navegue até Configuration > Tags & Profiles > WLANs e clique em Add.

Na guia Security, para Layer2, selecione None.

Na guia Security, para Layer3, marque a caixa Web Policy, selecione o Parameter Map configurado anteriormente no menu suspenso e na Authentication List. 

Criar um perfil de política 

Para criar o perfil de política a ser vinculado ao perfil de WLAN, navegue para Configuration > Tags & Profiles > Policy.

Na guia Access Policies, selecione a VLAN de onde os Clientes/Solicitantes devem solicitar um IP. 

Criar uma Marca de Diretiva 

Para este guia de configuração, criamos uma marca de política personalizada chamada LWA.

Associar a WLAN e o Perfil de Diretiva 

Para vincular as políticas de comutação do Policy Profile e da WLAN, navegue para Configuration > Tags & Profiles > WLANs, selecione o Perfil da WLAN e clique em Add to Policy Tags.

Atribuir uma etiqueta de política a um AP 

Para marcar o AP com a tag Policy criada, navegue para Configuration > Wireless > Access Points, selecione o AP e, na guia General, à direita, há as tags usadas pelo AP. 

Criar nome de usuário convidado 

Se você selecionou o tipo de webauth no Mapa de Parâmetros, um Nome de Usuário Convidado será necessário para criá-lo, navegue até Configuração > Segurança > Usuário Convidado. 

O tempo de vida máximo do usuário é de 1 ano. Você pode especificar o contrário com as opções disponíveis. 

Verificar

Via GUI 

Usando a CLI

9800WLC>enable
9800WLC#show wireless client summary
Number of Clients: 1
MAC Address      AP Name       Type ID State Protocol  Method    Role
-------------------------------------------------------------------------------------------------------------------------
9ef2.4b16.a507   xxxxx-9117 WLAN 1  Run   11ax(2.4) Web Auth  Local 
9800WLC#show wireless client mac-address  detail
Client MAC Address : 9ef2.4b16.a507
Client MAC Type : Locally Administered Address
Client DUID: NA
Client IPv4 Address : 172.16.74.83
Client IPv6 Addresses : fe80::9cf2:4bff:fe16:a507
Client Username : johndoe
AP MAC Address : 0cd0.f897.acc0
AP Name: xxxxx-9117
AP slot : 0
Client State : Associated
Policy Profile : LWA_CentralSW
Flex Profile : N/A
Wireless LAN Id: 1
WLAN Profile Name: LWA_LA
Wireless LAN Network Name (SSID): LWA LA
BSSID : 0cd0.f897.acc0
Connected For : 392 seconds 
Protocol : 802.11ax - 2.4 GHz
Channel : 11
Client IIF-ID : 0xa0000002
Association Id : 1
Authentication Algorithm : Open System
Idle state timeout : N/A
Session Timeout : 28800 sec (Remaining time: 28455 sec)
Session Warning Time : Timer not running
Input Policy Name : None
Input Policy State : None
Input Policy Source : None
Output Policy Name : None
Output Policy State : None
Output Policy Source : None
WMM Support : Enabled
U-APSD Support : Disabled
Fastlane Support : Disabled
Client Active State : Active
Power Save : ON
Current Rate : m0 ss2
Supported Rates : 1.0,2.0,5.5,6.0,9.0,11.0,12.0,18.0,24.0,36.0,48.0,54.0
AAA QoS Rate Limit Parameters:
QoS Average Data Rate Upstream : 0 (kbps)
QoS Realtime Average Data Rate Upstream : 0 (kbps)
QoS Burst Data Rate Upstream : 0 (kbps)
QoS Realtime Burst Data Rate Upstream : 0 (kbps)
QoS Average Data Rate Downstream : 0 (kbps)
QoS Realtime Average Data Rate Downstream : 0 (kbps)
QoS Burst Data Rate Downstream : 0 (kbps)
QoS Realtime Burst Data Rate Downstream : 0 (kbps)
Mobility:
Move Count : 0
Mobility Role : Local
Mobility Roam Type : None
Mobility Complete Timestamp : 09/10/2025 21:41:11 UTC
Client Join Time:
Join Time Of Client : 09/10/2025 21:41:11 UTC
Client State Servers : None
Client ACLs : None
Policy Manager State: Run
Last Policy Manager State : Webauth Pending
Client Entry Create Time : 392 seconds 
Policy Type : N/A
Encryption Cipher : None
Transition Disable Bitmap : 0x00
User Defined (Private) Network : Disabled
User Defined (Private) Network Drop Unicast : Disabled
Encrypted Traffic Analytics : No
Protected Management Frame - 802.11w : No
EAP Type : Not Applicable
VLAN Override after Webauth : No
VLAN : 2667
Multicast VLAN : 0
VRF Name : N/A
WiFi Direct Capabilities:
WiFi Direct Capable : No
Central NAT : DISABLED
Session Manager:
Point of Attachment : capwap_90400005
IIF ID : 0x90400005
Authorized : TRUE
Session timeout : 28800
Common Session ID: 044A10AC0000000F359351E3
Acct Session ID : 0x00000000
Auth Method Status List
Method : Web Auth
Webauth State : Authz 
Webauth Method : Webauth
Local Policies:
Service Template : IP-Adm-V4-LOGOUT-ACL (priority 100)
URL Redirect ACL : IP-Adm-V4-LOGOUT-ACL
Service Template : wlan_svc_LWA_CentralSW_local (priority 254)
VLAN : 2667
Absolute-Timer : 28800
Server Policies:
Resultant Policies:
URL Redirect ACL : IP-Adm-V4-LOGOUT-ACL
VLAN Name : xxxxx
VLAN : 2667
Absolute-Timer : 28800
DNS Snooped IPv4 Addresses : None
DNS Snooped IPv6 Addresses : None
Client Capabilities
CF Pollable : Not implemented
CF Poll Request : Not implemented
Short Preamble : Not implemented
PBCC : Not implemented
Channel Agility : Not implemented
Listen Interval : 0
Fast BSS Transition Details :
Reassociation Timeout : 0
11v BSS Transition : Implemented
11v DMS Capable : No
QoS Map Capable : Yes
FlexConnect Data Switching : N/A
FlexConnect Dhcp Status : N/A
FlexConnect Authentication : N/A
Client Statistics:
Number of Bytes Received from Client : 111696
Number of Bytes Sent to Client : 62671
Number of Packets Received from Client : 529
Number of Packets Sent to Client : 268
Number of Data Retries : 136
Number of RTS Retries : 0
Number of Tx Total Dropped Packets : 1
Number of Duplicate Received Packets : 0
Number of Decrypt Failed Packets : 0
Number of Mic Failured Packets : 0
Number of Mic Missing Packets : 0
Number of Policy Errors : 0
Radio Signal Strength Indicator : -61 dBm
Signal to Noise Ratio : 4 dB
Fabric status : Disabled
Radio Measurement Enabled Capabilities
Capabilities: Link Measurement, Neighbor Report, Repeated Measurements, Passive Beacon Measurement, Active Beacon Measurement, Table Beacon Measurement, RM MIB
Client Scan Report Time : Timer not running
Client Scan Reports 
Assisted Roaming Neighbor List 
Nearby AP Statistics:
EoGRE : Pending Classification
Max Client Protocol Capability: Wi-Fi6 (802.11ax)
WiFi to Cellular Steering : Not implemented
Cellular Capability : N/A
Advanced Scheduling Requests Details:
Apple Specific Requests(ASR) Capabilities/Statistics:
Regular ASR support: DISABLED

Autenticação da Web local no switching local do FlexConnect

Para este cenário, supõe-se que o AP esteja no modo FlexConnect. Para que um AP esteja no Modo FlexConnect, você precisa de um Perfil Flex associado no SiteTag, onde a caixa de seleção Ativar site local está desativada. Esta tag de site usa o nome de perfil Flex_LWA e o nome de perfil ap-join padrão:

Atribuir uma etiqueta de política a um AP 

Navegue até Configuration > Wireless > Access Points, selecione o AP e, na guia General, à direita, há as tags usadas pelo AP. 

aviso: Alterar as marcas faz com que o AP se desjunte da WLC.

O Perfil de Política associado à WLAN é Comutação Local

Verificar

9800WLC>enable
9800WLC#show wireless client summary
Number of Clients: 1
MAC Address      AP Name        Type ID  State Protocol  Method    Role
-----------------------------------------------------------------------------------------------
9ef2.4b16.a507 xxxxx-9117 WLAN 1 Run 11ax(2.4) Web Auth Local 

9800WLC#show wireless client mac-address  detail 
Client MAC Address :
Client MAC Type : Locally Administered Address
Client DUID: NA
Client IPv4 Address : 172.16.74.83
Client IPv6 Addresses : fe80::9cf2:4bff:fe16:a507
Client Username : johndoe
AP MAC Address : xxxx.xxxx.xcc0
AP Name: xxxxxx-9117
AP slot : 0
Client State : Associated
Policy Profile : LWA_LocalSW
Flex Profile : Flex_LWA
Wireless LAN Id: 1
WLAN Profile Name: LWA_LA
Wireless LAN Network Name (SSID): LWA LA
BSSID : 0cd0.f897.acc0
Connected For : 315 seconds 
Protocol : 802.11ax - 2.4 GHz
Channel : 6
Client IIF-ID : 0xa0000004
Association Id : 1
Authentication Algorithm : Open System
Idle state timeout : N/A
Session Timeout : 28800 sec (Remaining time: 28525 sec)
Session Warning Time : Timer not running
Input Policy Name : None
Input Policy State : None
Input Policy Source : None
Output Policy Name : None
Output Policy State : None
Output Policy Source : None
WMM Support : Enabled
U-APSD Support : Disabled
Fastlane Support : Disabled
Client Active State : Active
Power Save : ON
Current Rate : m11 ss2
Supported Rates : 1.0,2.0,5.5,6.0,9.0,11.0,12.0,18.0,24.0,36.0,48.0,54.0
AAA QoS Rate Limit Parameters:
 QoS Average Data Rate Upstream : 0 (kbps)
QoS Realtime Average Data Rate Upstream : 0 (kbps)
QoS Burst Data Rate Upstream : 0 (kbps)
QoS Realtime Burst Data Rate Upstream : 0 (kbps)
QoS Average Data Rate Downstream : 0 (kbps)
QoS Realtime Average Data Rate Downstream : 0 (kbps)
QoS Burst Data Rate Downstream : 0 (kbps)
QoS Realtime Burst Data Rate Downstream : 0 (kbps)
Mobility:
Move Count : 0
Mobility Role : Local
Mobility Roam Type : None
Mobility Complete Timestamp : 09/11/2025 17:38:26 UTC
Client Join Time:
Join Time Of Client : 09/11/2025 17:38:26 UTC
Client State Servers : None
Client ACLs : None
Policy Manager State: Run
Last Policy Manager State : Webauth Pending
Client Entry Create Time : 315 seconds 
Policy Type : N/A
Encryption Cipher : None
Transition Disable Bitmap : 0x00
User Defined (Private) Network : Disabled
User Defined (Private) Network Drop Unicast : Disabled
Encrypted Traffic Analytics : No
Protected Management Frame - 802.11w : No
EAP Type : Not Applicable
VLAN Override after Webauth : No
VLAN : 2667
Multicast VLAN : 0
VRF Name : N/A
WiFi Direct Capabilities:
WiFi Direct Capable : No
Central NAT : DISABLED
Session Manager:
Point of Attachment : capwap_90400005
IIF ID : 0x90400005
Authorized : TRUE
Session timeout : 28800
Common Session ID: 044A10AC0000002A39DB6F52
Acct Session ID : 0x00000000
Auth Method Status List
Method : Web Auth
Webauth State : Authz 
Webauth Method : Webauth
Local Policies:
Service Template : IP-Adm-V4-LOGOUT-ACL (priority 100)
URL Redirect ACL : IP-Adm-V4-LOGOUT-ACL
Service Template : wlan_svc_LWA_LocalSW (priority 254)
VLAN : 2667
Absolute-Timer : 28800
Server Policies:
Resultant Policies:
URL Redirect ACL : IP-Adm-V4-LOGOUT-ACL
VLAN Name : xxxxx
VLAN : 2667
Absolute-Timer : 28800
DNS Snooped IPv4 Addresses : None
DNS Snooped IPv6 Addresses : None
Client Capabilities
CF Pollable : Not implemented
CF Poll Request : Not implemented
Short Preamble : Not implemented
PBCC : Not implemented
Channel Agility : Not implemented
Listen Interval : 0
Fast BSS Transition Details :
Reassociation Timeout : 0
11v BSS Transition : Implemented
11v DMS Capable : No
QoS Map Capable : Yes
FlexConnect Data Switching : Local
FlexConnect Dhcp Status : Central
FlexConnect Authentication : Central
Client Statistics:
Number of Bytes Received from Client : 295564
Number of Bytes Sent to Client : 90146
Number of Packets Received from Client : 1890
Number of Packets Sent to Client : 351
Number of Data Retries : 96
Number of RTS Retries : 0
Number of Tx Total Dropped Packets : 0
Number of Duplicate Received Packets : 0
Number of Decrypt Failed Packets : 0
Number of Mic Failured Packets : 0
Number of Mic Missing Packets : 0
Number of Policy Errors : 0
Radio Signal Strength Indicator : -34 dBm
Signal to Noise Ratio : 31 dB
Fabric status : Disabled
Radio Measurement Enabled Capabilities
Capabilities: Link Measurement, Neighbor Report, Repeated Measurements, Passive Beacon Measurement, Active Beacon Measurement, Table Beacon Measurement, RM MIB
Client Scan Report Time : Timer not running
Client Scan Reports 
Assisted Roaming Neighbor List 
Nearby AP Statistics:
EoGRE : Pending Classification
Max Client Protocol Capability: Wi-Fi6 (802.11ax)
WiFi to Cellular Steering : Not implemented
Cellular Capability : N/A
Advanced Scheduling Requests Details:
Apple Specific Requests(ASR) Capabilities/Statistics:
Regular ASR support: DISABLED

Troubleshooting

O status "Autenticação da Web pendente" indica que o cliente foi associado ao ponto de acesso, mas ainda não concluiu o processo de autenticação da Web. Durante esse estado, o controlador intercepta o tráfego HTTP do cliente e o redireciona para um portal de autenticação da Web para login do usuário ou aceitação dos termos. O cliente permanece nesse estado até que a autenticação da Web bem-sucedida seja concluída, após o que o estado do gerenciador de políticas do cliente muda para "Executar" e o acesso total à rede é concedido.

Para ver o fluxo da conexão do cliente visualmente, verifique o Fluxo de LWA em Configurar Autenticação da Web Local com Autenticação Externa.

Os estágios pelos quais o cliente passa da perspectiva do cliente são descritos em Troubleshooting de Problemas Comuns com LWA em 9800 WLCs.

• Suporte Técnico e Documentação - Cisco Systems