在ACS 5.3的EAP验证用接入点

简介

本文描述基于Cisco IOS软件的接入点(AP)的配置示例无线用户的可扩展的认证协议(EAP)认证的RADIUS服务器获取的数据库。

AP桥接自客户端的无线信息包到有线信息包被注定对认证服务器反之亦然。由于AP在EAP扮演此被动角色，此配置与实际上所有EAP方法一起使用。这些方法包括，但是没有被限制对，轻的EAP (LEAP)， Protected EAP (PEAP) -微软询问握手认证协议(MSCHAP)版本2， PEAP通用的令牌卡(GTC)， EAP灵活认证通过获取建立隧道(快速地)，传输层安全(TLS)和EAP被建立隧道的TLS (TTL)。必须针对每种 EAP 方法适当配置身份验证服务器。

本文描述如何配置AP和RADIUS服务器，是思科安全访问控制服务器(ACS) 5.3在此配置示例方面。

先决条件

要求

Cisco 建议您了解以下主题：

• 与Cisco IOS软件GUI或命令行界面(CLI)的熟悉
• 与EAP验证的概念的熟悉

使用的组件

本文档中的信息基于以下软件和硬件版本：

• Cisco Aironet运行Cisco IOS Software Release 15.2(2)JB的3602接入点
• 思科安全访问控制服务器5.3

此配置示例假设只有在网络的一个VLAN。

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您使用的是真实网络，请确保您已经了解所有命令的潜在影响。

配置

本文使用此配置GUI和CLI ：

• AP的IP地址是10.105.136.11。
• RADIUS服务器(ACS)的IP地址是10.106.55.91。

与GUI的配置

定义身份验证服务器

此程序描述如何定义认证服务器和建立与它的一个关系。

1. 在AP GUI中，请连接给安全>Server管理器。
   
   
2. 在公司服务器中请区分，输入认证服务器(10.106.55.91)的IP地址在服务器领域。
   
   
3. 指定共有的秘密、认证端口和记帐端口。您能使用端口1813， 1814或者1645， 1646。
   
   
4. 点击适用为了创建定义和填充下拉列表。
   
   
5. 在默认服务器优先级部分，请设置EAP验证优先级1字段为服务器IP地址(10.106.55.91)。
   
   
6. 单击 Apply。

配置 ACS

如果派遣用户到一个外部RADIUS服务器， AP需要是此外部RADIUS服务器的一个验证、授权和统计(AAA)客户端。此程序描述如何配置ACS。

1. 在Cisco Secure ACS GUI中，请点击网络资源。在ACS 5.3，设备可以由位置组队。
   
   
   
   
2. 创建一个位置。在网络设备组下，请点击位置。点击创建新的位置。在名称字段，请输入位置名称(IOS_lab)。输入一个说明(IOS LAB)的此位置。选择常规所有位置作为父母位置。点击提交验证。
   
   
   
   
3. 创建IOS的APs一个组。点击设备类型。点击创建创建一个新的组。在名称字段，请输入组名(IOS_APs)。输入一个说明(IOS APs在实验室里)的此组。选择所有设备类型作为父母。点击提交验证。
   
   
   
   
4. 添加AP。点击网络设备和AAA客户端。在名称字段，请输入您的IOS AP (AP)的名字。输入该AP (IOS AP)的一个说明。
   
   在网络设备组下，在Location字段旁边，请点击精选，在IOS_lab旁边检查机箱，并且点击OK键验证。在IP地址下，请务必单个IP地址是启用的，并且输入您的AP (10.105.136.11)的IP地址。
   
   在认证选项下，请检查RADIUS。在共有的秘密字段，请输入秘密(Cisco)。保持其他值对他们的默认值。点击提交验证。
   
   
   
   
5. 添加无线用户证件。连接给用户，并且身份存储>身份组。点击创建创建一个新的组。在名称字段，请输入组名(EAP_Users)。输入说明(EAP无线的用户)。点击提交验证。
   
   
   
   
6. 创建此组的一个用户。点击用户。点击创建创建一个新用户。在名称字段，请输入用户名(半径)。保证用户状态是启用的。输入用户(测试半径)的一个说明。在身份Group字段旁边，请点击精选，在EAP_Users旁边检查机箱，并且点击OK键验证。
   
   在密码信息下，请送进<password>在密码并且确认密码字段。由于此用户需要对网络的访问，但是不需要对任何Cisco设备的访问管理的，没有需要对于特权密码。
   
   
   
   
7. 点击提交验证。新用户出现于列表，并且ACS当前准备好。
   
   
8. 连接对策略元素>授权和权限>网络访问>授权配置文件为了验证用户是授权访问权限。应该有PermitAccess配置文件。接受此配置文件的用户是授权访问对网络。
   
   
   
   
9. 连接到访问策略>Access Services>默认设备Admin检查授权。切记身份、组映射和授权被检查。
   
   
   
   
10. 点击允许的Protocols选项，为必需的EAP方法选择机箱，并且点击提交验证。
    
    

配置SSID

此程序描述如何配置在AP的服务集标识(SSID)。

1. 在Cisco Secure ACS GUI中，请连接给安全> SSID管理器。点击新，参与SSID名称(半径)， enable (event)两个无线接口，并且点击适用。
   
   
   
   
2. 连接给安全>加密管理器，挑选AES CCMP作为密码，并且点击全部应用适用在两无线电的此加密。
   
   
   
   
3. 连接给安全> SSID管理器，并且选择半径SSID。在客户端验证设置部分，请用从下拉列表和检查网络EAP的EAP检查开放式验证，精选。
   
   在客户端验证密钥管理部分，请选择必须从密钥管理下拉列表，检查Enable (event) WPA，并且选择WPAv2从下拉列表。单击 Apply。
   
   
   
   
4. 为了播放在两无线电的此SSID，请查找在同一页的guest模式/基础结构SSID设置部分。对于两无线电，请设置引导模式为单个BSSID，并且选择SSID名称(半径)从集单个guest模式SSID下拉列表。单击 Apply。
   
   
   
   
5. 连接对网络>网络接口> Radio0-802.11n 2G.Hz >设置> Enable (event)为了enable (event)两个无线接口。
   
   
6. 测试客户端连接。

与CLI的配置

注意：

使用命令查找工具（仅限注册用户）可获取有关本部分所使用命令的详细信息。

命令输出解释程序工具（仅限注册用户）支持某些 show 命令。使用输出解释器工具来查看 show 命令输出的分析。

这是在CLI内被执行的相同配置：

show run
Building configuration...

Current configuration : 2511 bytes
!
! Last configuration change at 01:17:48 UTC Mon Mar 1 1993
version 15.2
no service pad
service timestamps debug datetime msec
service timestamps log datetime msec
service password-encryption
!
hostname ap
!
!
logging rate-limit console 9
enable secret 5 $1$1u04$jr7DG0DC5KZ6bVaSYUhck0
!
aaa new-model
!
!
aaa group server radius rad_eap
 server 10.106.55.91
!
aaa group server radius rad_mac
!
aaa group server radius rad_acct
!
aaa group server radius rad_admin
!
aaa group server tacacs+ tac_admin
!
aaa group server radius rad_pmip
!
aaa group server radius dummy
!
aaa authentication login eap_methods group rad_eap
aaa authentication login mac_methods local
aaa authorization exec default local
aaa accounting network acct_methods start-stop group rad_acct
!
!
!
!
!
aaa session-id common
ip cef
!
ip dhcp pool test
!
!
!
dot11 syslog
!
dot11 ssid radius
   authentication open eap eap_methods
   authentication network-eap eap_methods
   authentication key-management wpa version 2
   guest-mode
!
!
crypto pki token default removal timeout 0
!
!
username Cisco password 7 0802455D0A16
!
!
bridge irb
!
!
!
interface Dot11Radio0
 no ip address
 !
 encryption mode ciphers aes-ccm
 !
 ssid radius
 !
 antenna gain 0
 stbc
 station-role root
 bridge-group 1
 bridge-group 1 subscriber-loop-control
 bridge-group 1 spanning-disabled
 bridge-group 1 block-unknown-source
 no bridge-group 1 source-learning
 no bridge-group 1 unicast-flooding
!
interface Dot11Radio1
 no ip address
 !
 encryption mode ciphers aes-ccm
 !
 ssid radius
 !
 antenna gain 0
 dfs band 3 block
 stbc
 channel dfs
 station-role root
 bridge-group 1
 bridge-group 1 subscriber-loop-control
 bridge-group 1 spanning-disabled
 bridge-group 1 block-unknown-source
 no bridge-group 1 source-learning
 no bridge-group 1 unicast-flooding
!
interface GigabitEthernet0
 no ip address
 duplex auto
 speed auto
 bridge-group 1
 bridge-group 1 spanning-disabled
 no bridge-group 1 source-learning
!
interface BVI1
 ip address 10.105.136.11 255.255.255.128
!
ip default-gateway 10.105.136.1
ip forward-protocol nd
ip http server
no ip http secure-server
ip http help-path http://www.cisco.com/warp/public/779/smbiz/prodconfig/help/eag
ip route 0.0.0.0 0.0.0.0 10.105.136.1
ip radius source-interface BVI1
!
radius-server attribute 32 include-in-access-req format %h
radius-server host 10.106.55.91 key 7 00271A1507545A545C606C
radius-server vsa send accounting
!
bridge 1 route ip
!
!
!
line con 0
line vty 0 4
 transport input all
!
end

验证

使用本部分可确认配置能否正常运行。

联络客户端;在成功的验证以后，这是出现于AP GUI的配置汇总：

Note:命令输出解释程序工具（仅限注册用户）支持某些 show 命令。使用输出解释器工具来查看 show 命令输出的分析。

在CLI中，请输入show dot11 associations命令为了确认配置：

ap#show dot11 associations 

802.11 Client Stations on Dot11Radio0: 

SSID [radius] : 

MAC Address    IP address      Device        Name         Parent      State
f8db.7f75.7804 10.105.136.116  unknown       -            self        EAP-Assoc

您能也输入show radius server-group all命令为了显示AP的所有被配置的RADIUS服务器组列表。

故障排除

此程序描述如何排除您的配置故障。

1. 在客户端工具或软件，请创建新配置文件或连接以同样或相似的参数为了保证什么都未变得损坏在客户端配置里。
   
   
2. 无线电频率(RF)问题可以防止成功的验证。临时功能失效认证为了排除此可能性：
   
   
   • 从CLI，请输入这些命令：
     
     
     • 没有认证开放eap eap_methods
     • 没有authentication network-eap eap_methods
     • 开放的认证
       
       
   • 从GUI，在SSID管理器页，请不选定网络EAP，检查开放，并且设置下拉列表为没有添加。
     
     如果客户端成功关联，则 RF 与关联问题无关。
     
     
3. 验证共有的秘密密码同步在AP和认证服务器之间。否则，您也许收到此错误信息：
   
   

   Invalid message authenticator in EAP request

   • 从CLI，请检查线路：
     
     

     radius-server host x.x.x.x auth-port x acct-port x key <shared_secret>

   • 从GUI，在Server Manager页，请重新输入适当的服务器的共有的秘密在共有的秘密字段。
     
     AP的共有的秘密条目在RADIUS服务器必须包含同一个共有的秘密密码。
     
     
4. 从 RADIUS 服务器删除所有用户组。冲突能发生在基础域的RADIUS服务器定义的用户组和用户组之间。检查RADIUS服务器的日志失败的尝试和故障的原因。

Note:使用 debug 命令之前，请参阅有关 Debug 命令的重要信息。

请使用这些调试指令为了调查和显示在设备中的协商：

• 调试dot11 aaa证明人状态机
• debug radius authentication
• debug aaa authentication

调试dot11 aaa证明人状态机

此命令显示主要部门(或状态)在客户端和认证服务器之间的协商。这是输出示例一个成功的验证的：

ap#debug dot11 aaa authenticator state-machine
state machine debugging is on
ap#
*Mar  1 01:38:34.919: dot11_auth_dot1x_send_id_req_to_client: Sending identity 
   request to f8db.7f75.7804
*Mar  1 01:38:34.919: dot11_auth_dot1x_send_id_req_to_client: Client 
f8db.7f75.7804 timer started for 30 seconds
*Mar  1 01:38:35.431: dot11_auth_dot1x_run_rfsm: Executing Action(CLIENT_WAIT,
CLIENT_REPLY) for f8db.7f75.7804
*Mar  1 01:38:35.431: dot11_auth_dot1x_send_response_to_server: Sending client 
   f8db.7f75.7804 data to server
*Mar  1 01:38:35.431: dot11_auth_dot1x_send_response_to_server: Started timer 
server_timeout 60 seconds
*Mar  1 01:38:35.435: dot11_auth_dot1x_run_rfsm: Executing Action(SERVER_WAIT,
SERVER_REPLY) for f8db.7f75.7804
*Mar  1 01:38:35.435: dot11_auth_dot1x_send_response_to_client: Forwarding server 
   message to client f8db.7f75.7804
*Mar  1 01:38:35.435: dot11_auth_dot1x_send_response_to_client: Started timer 
client_timeout 30 seconds
*Mar  1 01:38:35.443: dot11_auth_dot1x_run_rfsm: Executing Action(CLIENT_WAIT,
CLIENT_REPLY) for f8db.7f75.7804
*Mar  1 01:38:35.443: dot11_auth_dot1x_send_response_to_server: Sending client 
   f8db.7f75.7804 data to server
*Mar  1 01:38:35.443: dot11_auth_dot1x_send_response_to_server: Started timer 
server_timeout 60 seconds
*Mar  1 01:38:35.447: dot11_auth_dot1x_run_rfsm: Executing Action(SERVER_WAIT,
SERVER_REPLY) for f8db.7f75.7804
*Mar  1 01:38:35.447: dot11_auth_dot1x_send_response_to_client: Forwarding server 
message to client f8db.7f75.7804
*Mar  1 01:38:35.447: dot11_auth_dot1x_send_response_to_client: Started timer 
client_timeout 30 seconds
-------------------Lines Omitted for simplicity-------------------
*Mar  1 01:38:36.663: dot11_auth_dot1x_run_rfsm: Executing Action(SERVER_WAIT,
SERVER_REPLY) for f8db.7f75.7804
*Mar  1 01:38:36.663: dot11_auth_dot1x_send_response_to_client: Forwarding server 
message to client f8db.7f75.7804
*Mar  1 01:38:36.663: dot11_auth_dot1x_send_response_to_client: Started timer 
client_timeout 30 seconds
*Mar  1 01:38:36.667: dot11_auth_dot1x_run_rfsm: Executing Action(CLIENT_WAIT,
CLIENT_REPLY) for f8db.7f75.7804
*Mar  1 01:38:36.667: dot11_auth_dot1x_send_response_to_server: Sending client 
f8db.7f75.7804 data to server
*Mar  1 01:38:36.667: dot11_auth_dot1x_send_response_to_server: Started timer 
server_timeout 60 seconds
*Mar  1 01:38:36.671: dot11_auth_dot1x_run_rfsm: Executing Action(SERVER_WAIT,
   SERVER_PASS) for f8db.7f75.7804
*Mar  1 01:38:36.671: dot11_auth_dot1x_send_response_to_client: Forwarding server 
   message to client f8db.7f75.7804
*Mar  1 01:38:36.671: dot11_auth_dot1x_send_response_to_client: Started timer 
client_timeout 30 seconds
*Mar  1 01:38:36.719: %DOT11-6-ASSOC: Interface Dot11Radio0, Station
   f8db.7f75.7804 Associated KEY_MGMT[WPAv2]

debug radius authentication

此命令显示在服务器和客户端之间的RADIUS协商，其中之二由AP桥接。这是输出示例一个成功的验证的：

ap#debug radius authentication

*Mar  1 01:50:50.635: RADIUS/ENCODE(000001F6):Orig. component type = DOT11
*Mar  1 01:50:50.635: RADIUS:  AAA Unsupported Attr: ssid [347] 6
*Mar  1 01:50:50.635: RADIUS:   72 61 64 69 [ radi]
*Mar  1 01:50:50.635: RADIUS:  AAA Unsupported Attr: service-type [345] 4 1
*Mar  1 01:50:50.635: RADIUS:  AAA Unsupported Attr: interface [222] 3
*Mar  1 01:50:50.635: RADIUS:   32 [ 2]
*Mar  1 01:50:50.635: RADIUS(000001F6): Config NAS IP: 10.105.136.11
*Mar  1 01:50:50.635: RADIUS(000001F6): Config NAS IPv6:
*Mar  1 01:50:50.635: RADIUS/ENCODE(000001F6): acct_session_id: 491
*Mar  1 01:50:50.635: RADIUS(000001F6): Config NAS IP: 10.105.136.11
*Mar  1 01:50:50.635: RADIUS(000001F6): sending
*Mar  1 01:50:50.635: RADIUS(000001F6): Send Access-Request to 10.106.55.91:1645 
   id 1645/73, len 140
*Mar  1 01:50:50.635: RADIUS:  authenticator 0F 74 18 0E F3 08 ED 51 - 
8B EA F7 31 AC C9 CA 6B
*Mar  1 01:50:50.635: RADIUS:  User-Name  [1]   8   "radius"
*Mar  1 01:50:50.635: RADIUS:  Framed-MTU  [12]  6   1400
*Mar  1 01:50:50.635: RADIUS:  Called-Station-Id   [30]  26  "1C-E6-C7-E1-D8-90:
   radius"
*Mar  1 01:50:50.635: RADIUS:  Calling-Station-Id  [31]  16  "f8db.7f75.7804"
*Mar  1 01:50:50.635: RADIUS:  Service-Type [6]   6   Login  [1]
*Mar  1 01:50:50.635: RADIUS:  Message-Authenticato[80]  18
*Mar  1 01:50:50.635: RADIUS:   E3 E1 50 F8 2B 22 26 84 C1 F1 76 28 79 70 5F 78
   [ P+"&v(yp_x]
*Mar  1 01:50:50.635: RADIUS:  EAP-Message [79]  13
*Mar  1 01:50:50.635: RADIUS:   02 01 00 0B 01 72 61 64 69 75 73
[ radius]
*Mar  1 01:50:50.635: RADIUS:  NAS-Port-Type       [61]  6   802.11 wireless
   [19]
*Mar  1 01:50:50.635: RADIUS:  NAS-Port   [5]   6   282
*Mar  1 01:50:50.635: RADIUS:  NAS-Port-Id  [87]  5   "282"
*Mar  1 01:50:50.635: RADIUS:  NAS-IP-Address [4]   6   10.105.136.11
*Mar  1 01:50:50.635: RADIUS:  Nas-Identifier  [32]  4   "ap"
*Mar  1 01:50:50.635: RADIUS(000001F6): Sending a IPv4 Radius Packet
*Mar  1 01:50:50.635: RADIUS(000001F6): Started 5 sec timeout
*Mar  1 01:50:50.639: RADIUS: Received from id 1645/73 10.106.55.91:1645, Access
   -Challenge, len 94
*Mar  1 01:50:50.639: RADIUS:  authenticator 5E A4 A7 B9 01 CC F4 20 - 
2E D0 2A 1A A4 58 05 9E
*Mar  1 01:50:50.639: RADIUS:  State               [24]  32
*Mar  1 01:50:50.639: RADIUS:   32 37 53 65 73 73 69 6F 6E 49 44 3D 61 63 73 35
   [27SessionID=acs5]
*Mar  1 01:50:50.639: RADIUS:   31 2F 31 36 35 34 38 39 35 31 31 2F 39 3B    [ 1
   /165489511/9;]
*Mar  1 01:50:50.639: RADIUS:  EAP-Message         [79]  24
*Mar  1 01:50:50.639: RADIUS:   01 DC 00 16 11 01 00 08 00 CB 2A 0A 74 B3 77 AF
   72 61 64 69 75 73         [ *twradius]
*Mar  1 01:50:50.639: RADIUS:  Message-Authenticato[80]  18
*Mar  1 01:50:50.643: RADIUS:   CC 44 D5 FE FC 86 BC 2D B0 89 61 69 4F 34 D1 FF
   [ D-aiO4]
*Mar  1 01:50:50.643: RADIUS(000001F6): Received from id 1645/73
*Mar  1 01:50:50.643: RADIUS/DECODE: EAP-Message fragments, 22, total 22 bytes
*Mar  1 01:50:50.647: RADIUS/ENCODE(000001F6):Orig. component type = DOT11
*Mar  1 01:50:50.647: RADIUS:  AAA Unsupported Attr: ssid              [347] 6
*Mar  1 01:50:50.647: RADIUS:   72 61 64 69              [ radi]
*Mar  1 01:50:50.647: RADIUS:  AAA Unsupported Attr: service-type      [345] 4
   1
*Mar  1 01:50:50.647: RADIUS:  AAA Unsupported Attr: interface         [222] 3
*Mar  1 01:50:50.647: RADIUS:   32                 [ 2]
*Mar  1 01:50:50.647: RADIUS(000001F6): Config NAS IP: 10.105.136.11
*Mar  1 01:50:50.647: RADIUS(000001F6): Config NAS IPv6:
*Mar  1 01:50:50.647: RADIUS/ENCODE(000001F6): acct_session_id: 491
*Mar  1 01:50:50.647: RADIUS(000001F6): Config NAS IP: 10.105.136.11
*Mar  1 01:50:50.647: RADIUS(000001F6): sending
*Mar  1 01:50:50.647: RADIUS(000001F6): Send Access-Request to 10.106.55.91:1645
   id 1645/74, len 167
*Mar  1 01:50:50.647: RADIUS:  authenticator C6 54 54 B8 58 7E ED 60 - F8 E0 2E
   05 B0 87 3B 76
*Mar  1 01:50:50.647: RADIUS:  User-Name           [1]   8   "radius"
*Mar  1 01:50:50.647: RADIUS:  Framed-MTU          [12]  6   1400
*Mar  1 01:50:50.647: RADIUS:  Called-Station-Id   [30]  26  "1C-E6-C7-E1-D8-90:
   radius"
*Mar  1 01:50:50.647: RADIUS:  Calling-Station-Id  [31]  16  "f8db.7f75.7804"
*Mar  1 01:50:50.647: RADIUS:  Service-Type        [6]   6   Login
   [1]
*Mar  1 01:50:50.647: RADIUS:  Message-Authenticato[80]  18
*Mar  1 01:50:50.647: RADIUS:   FE 15 7B DB 49 FE 27 C5 BC E2 FE 83 B9 25 8C 1F
   [ {I'?]
*Mar  1 01:50:50.647: RADIUS:  EAP-Message         [79]  8
*Mar  1 01:50:50.647: RADIUS:   02 DC 00 06 03 19
*Mar  1 01:50:50.647: RADIUS:  NAS-Port-Type       [61]  6   802.11 wireless
   [19]
*Mar  1 01:50:50.647: RADIUS:  NAS-Port            [5]   6   282
*Mar  1 01:50:50.647: RADIUS:  NAS-Port-Id         [87]  5   "282"
*Mar  1 01:50:50.647: RADIUS:  State               [24]  32
*Mar  1 01:50:50.647: RADIUS:   32 37 53 65 73 73 69 6F 6E 49 44 3D 61 63 73 35
   [27SessionID=acs5]
*Mar  1 01:50:50.647: RADIUS:   31 2F 31 36 35 34 38 39 35 31 31 2F 39 3B    [ 1
   /165489511/9;]
*Mar  1 01:50:50.647: RADIUS:  NAS-IP-Address      [4]   6   10.105.136.11
*Mar  1 01:50:50.647: RADIUS:  Nas-Identifier      [32]  4   "ap"
*Mar  1 01:50:50.647: RADIUS(000001F6): Sending a IPv4 Radius Packet
*Mar  1 01:50:50.647: RADIUS(000001F6): Started 5 sec timeout
*Mar  1 01:50:50.647: RADIUS: Received from id 1645/74 10.106.55.91:1645, Access
   -Challenge, len 78
*Mar  1 01:50:50.647: RADIUS:  authenticator 0E 81 99 9E EE 39 50 FB - 6E 6D 93
   8C 8E 29 94 EC
*Mar  1 01:50:50.647: RADIUS:  State               [24]  32
*Mar  1 01:50:50.651: RADIUS:   32 37 53 65 73 73 69 6F 6E 49 44 3D 61 63 73 35
   [27SessionID=acs5]
*Mar  1 01:50:50.651: RADIUS:   31 2F 31 36 35 34 38 39 35 31 31 2F 39 3B    [ 1
   /165489511/9;]
*Mar  1 01:50:50.651: RADIUS:  EAP-Message         [79]  8
*Mar  1 01:50:50.651: RADIUS:   01 DD 00 06 19 21                 [ !]
*Mar  1 01:50:50.651: RADIUS:  Message-Authenticato[80]  18
*Mar  1 01:50:50.651: RADIUS:   A8 54 00 89 1F 2A 01 52 FE FA D2 58 2F E5 F2 86
   [ T*RX/]
*Mar  1 01:50:50.651: RADIUS(000001F6): Received from id 1645/74
*Mar  1 01:50:50.651: RADIUS/DECODE: EAP-Message fragments, 6, total 6 bytes
*Mar  1 01:50:50.655: RADIUS/ENCODE(000001F6):Orig. component type = DOT11
*Mar  1 01:50:50.655: RADIUS:  AAA Unsupported Attr: ssid              [347] 6
*Mar  1 01:50:50.655: RADIUS:   72 61 64 69              [ radi]
*Mar  1 01:50:50.655: RADIUS:  AAA Unsupported Attr: service-type      [345] 4
   1
*Mar  1 01:50:50.655: RADIUS:  AAA Unsupported Attr: interface         [222] 3
 
-------------------Lines Omitted for simplicity-------------------

11        [ l2^w$qM{60]
*Mar  1 01:50:51.115: RADIUS:  NAS-Port-Type       [61]  6   802.11 wireless
   [19]
*Mar  1 01:50:51.115: RADIUS:  NAS-Port            [5]   6   282
*Mar  1 01:50:51.115: RADIUS:  NAS-Port-Id         [87]  5   "282"
*Mar  1 01:50:51.115: RADIUS:  State               [24]  32
*Mar  1 01:50:51.115: RADIUS:   32 37 53 65 73 73 69 6F 6E 49 44 3D 61 63 73 35
   [27SessionID=acs5]
*Mar  1 01:50:51.115: RADIUS:   31 2F 31 36 35 34 38 39 35 31 31 2F 39 3B    [ 1
   /165489511/9;]
*Mar  1 01:50:51.115: RADIUS:  NAS-IP-Address      [4]   6   10.105.136.11        
*Mar  1 01:50:51.115: RADIUS:  Nas-Identifier      [32]  4   "ap"
*Mar  1 01:50:51.115: RADIUS(000001F6): Sending a IPv4 Radius Packet
*Mar  1 01:50:51.115: RADIUS(000001F6): Started 5 sec timeout
*Mar  1 01:50:51.115: RADIUS: Received from id 1645/80 10.106.55.91:1645, Access
   -Challenge, len 115
*Mar  1 01:50:51.115: RADIUS:  authenticator 74 CF 0F 34 1F 1B C1 CF -
E9 27 79 D5 F8 9C 5C 50
*Mar  1 01:50:51.467: %DOT11-6-ASSOC: Interface Dot11Radio0, Station
   f8db.7f75.7804 Associated KEY_MGMT[WPAv2]

debug aaa authentication

此命令显示认证的AAA协商在客户端设备和认证服务器之间。

ap#debug aaa authentication
AAA Authentication debugging is on
ap#term mon
ap#
*Mar  1 01:55:52.335: AAA/BIND(000001F9): Bind i/f
*Mar  1 01:55:52.859: AAA/AUTHEN/PPP (000001F9): Pick method list 'eap_methods'
*Mar  1 01:55:52.867: AAA/AUTHEN/PPP (000001F9): Pick method list 'eap_methods'
*Mar  1 01:55:52.875: AAA/AUTHEN/PPP (000001F9): Pick method list 'eap_methods'
*Mar  1 01:55:52.895: AAA/AUTHEN/PPP (000001F9): Pick method list 'eap_methods'
*Mar  1 01:55:53.219: AAA/AUTHEN/PPP (000001F9): Pick method list 'eap_methods'
*Mar  1 01:55:53.379: AAA/AUTHEN/PPP (000001F9): Pick method list 'eap_methods'
*Mar  1 01:55:53.395: AAA/AUTHEN/PPP (000001F9): Pick method list 'eap_methods'
*Mar  1 01:55:53.807: AAA/AUTHEN/PPP (000001F9): Pick method list 'eap_methods'
*Mar  1 01:55:53.879: AAA/AUTHEN/PPP (000001F9): Pick method list 'eap_methods'
*Mar  1 01:55:53.939: %DOT11-6-ASSOC: Interface Dot11Radio0, Station
   f8db.7f75.7804 Associated KEY_MGMT[WPAv2]