在9800 WLC上配置RADIUS & TACACS+ for GUI & CLI身份验证

WLC-9800(config)#ip http authentication aaa login-authentication tacacs-authe-method 
WLC-9800(config)#ip http authentication aaa exec-authorization tacacs-autho-method  

对于Telnet/SSH身份验证：

WLC-9800(config)#line vty 0 15
WLC-9800(config-line)#login authentication tacacs-authe-method  
WLC-9800(config-line)#authorization exec tacacs-autho-method 

请注意，当对HTTP配置执行更改时，最好重新启动HTTP和HTTPS服务。这可以通过这些命令实现。

WLC-9800(config)#no ip http server
WLC-9800(config)#no ip http secure-server
WLC-9800(config)#ip http server
WLC-9800(config)#ip http secure-server

TACACS+ ISE配置

步骤1:将WLC配置为TACACS+的网络设备。

从GUI:

要将上一节中使用的WLC声明为ISE中RADIUS的网络设备，请导航至Administration > Network Resources > Network Devices，然后打开Network devices选项卡，如本图所示。

在本例中，已为RADIUS身份验证添加了WLC(请参阅配置RADIUS ISE部分的第1步。)。因此，只需修改其配置即可配置TACACS身份验证，当您在网络设备列表中选择WLC并点击Edit按钮时，即可完成此操作。这将打开网络设备配置表，如下图所示。

打开新窗口后，向下滚动到TACACS身份验证设置(TACACS Authentication Settings)部分，启用这些设置，并添加在配置TACACS+ WLC部分的第1步中输入的共享密钥。

第二步：为节点启用设备管理功能。

注：要将ISE用作TACACS+服务器，您必须具有设备管理许可证包以及基础许可证或移动许可证。

从GUI:

安装设备管理许可证后，您必须启用节点的Device Admin功能，才能将ISE用作TACACS+服务器。Administrator > Deployment 要执行此操作，请编辑使用的ISE部署节点的配置（可在下找到），然后单击其名称或借助按钮执行此操作Edit。

打开节点配置窗口后，选中Policy Service部分下的Enable Device Admin Service选项，如本图所示。

第三步：创建TACACS配置文件，以返回权限。

从GUI:

要具有管理员访问权限，需要具有15级权限，该权限级别允许访问exec提示外壳adminuser。另一方面helpdeskuser，不需要exec提示符外壳访问，因此可以为其分配低于15的特权级别。为了向用户分配适当的权限级别，可以使用授权配置文件。可以从ISE GUI页面的Work Centers > Device Administration > Policy Elements选项卡下配置Results > TACACS Profiles，如下图所示。

要配置新的TACACS配置文件，请使用Add按钮，该按钮会打开与图片中显示的配置表类似的新配置文件配置表。此表单必须特别像这样才能配置分配给的配置文件adminuser（即外壳权限级别15）。

对配置文件重复此操作helpdesk。对于最后一个，Default Privilege和Maximum Privilege均设置为1。


第四步：在ISE上创建用户组。

这与本文档的配置RADIUS ISE部分的第3步中介绍的相同。

第五步：在ISE上创建用户。

这与本文档的配置RADIUS ISE部分的第4步中介绍的相同。

第六步：创建设备管理策略集。

从GUI:

对于RADIUS访问，用户创建后，仍需在ISE上定义其身份验证和授权策略以授予其适当的访问权限。TACACS身份验证使用设备管理策略集来达到此目的，可从进行配置，Work Centers > Device Administration > Device Admin Policy Sets GUI Page如下所示。

要创建设备管理策略集，请使用上一映像中以红色框框的add按钮，这会将项目添加到策略集列表。为新创建的集合提供名称、应用该集合所必须满足的条件以及允许的协议/服务器序列(此处，Default Device Admin足够)。使用按Save钮完成策略集的添加，并使用其右侧的箭头访问其配置页面（如图所示）。

本示例中的特定策略集“WLC TACACS Authentication”过滤IP地址与示例C9800 WLC IP地址相同的请求。

作为身份验证策略，Default Rule已保留，因为它满足使用需要。已设置两个授权规则：

• 用户属于定义的组时，会触发第一个命令admin-group。它允许所有命令(通过默认规则Permit_all)并分配权限15(通过定义的TACACS配置IOS_Admin )。
• 当用户属于定义的组时，触发第二个helpdesk-group。 它允许所有命令(通过默认Permit_all 规则)并分配权限1(通过定义的TACACS配IOS_Helpdesk置文件)。

完成此步骤后，为adminuser helpdesk and用户配置的凭证可用于通过GUI或Telnet/SSH在WLC中进行身份验证。

故障排除

通过WLC CLI排除WLC GUI或CLI RADIUS/TACACS+访问故障

要对WLC GUI或CLI的TACACS+访问进行故障排除，请发出命令以及终端监控器debug tacacs，并在尝试登录时查看实时输出。

例如，成功登录后注销用户会生成此输出adminuser。



WLC-9800#terminal monitor
WLC-9800#debug tacacs
TACACS access control debugging is on
WLC-9800#
Dec 8 11:38:34.684: TPLUS: Queuing AAA Authentication request 15465 for processing
Dec 8 11:38:34.684: TPLUS(00003C69) login timer started 1020 sec timeout Dec 8 11:38:34.684: TPLUS: processing authentication start request id 15465 Dec 8 11:38:34.685: TPLUS: Authentication start packet created for 15465(adminuser) Dec 8 11:38:34.685: TPLUS: Using server 10.48.39.134 Dec 8 11:38:34.685: TPLUS(00003C69)/0/NB_WAIT/7FD29013CA68: Started 5 sec timeout Dec 8 11:38:34.687: TPLUS(00003C69)/0/NB_WAIT: socket event 2 Dec 8 11:38:34.688: TPLUS(00003C69)/0/NB_WAIT: wrote entire 45 bytes request Dec 8 11:38:34.688: TPLUS(00003C69)/0/READ: socket event 1 Dec 8 11:38:34.688: TPLUS(00003C69)/0/READ: Would block while reading Dec 8 11:38:34.701: TPLUS(00003C69)/0/READ: socket event 1 Dec 8 11:38:34.701: TPLUS(00003C69)/0/READ: read entire 12 header bytes (expect 15 bytes data) Dec 8 11:38:34.701: TPLUS(00003C69)/0/READ: socket event 1 Dec 8 11:38:34.701: TPLUS(00003C69)/0/READ: read entire 27 bytes response Dec 8 11:38:34.701: TPLUS(00003C69)/0/7FD29013CA68: Processing the reply packet Dec 8 11:38:34.701: TPLUS: Received authen response status GET_PASSWORD (8) Dec 8 11:38:38.156: TPLUS: Queuing AAA Authentication request 15465 for processing Dec 8 11:38:38.156: TPLUS(00003C69) login timer started 1020 sec timeout Dec 8 11:38:38.156: TPLUS: processing authentication continue request id 15465 Dec 8 11:38:38.156: TPLUS: Authentication continue packet generated for 15465 Dec 8 11:38:38.156: TPLUS(00003C69)/0/WRITE/7FD3796079D8: Started 5 sec timeout Dec 8 11:38:38.156: TPLUS(00003C69)/0/WRITE: wrote entire 29 bytes request Dec 8 11:38:38.183: TPLUS(00003C69)/0/READ: socket event 1 Dec 8 11:38:38.183: TPLUS(00003C69)/0/READ: read entire 12 header bytes (expect 6 bytes data) Dec 8 11:38:38.183: TPLUS(00003C69)/0/READ: socket event 1 Dec 8 11:38:38.183: TPLUS(00003C69)/0/READ: read entire 18 bytes response Dec 8 11:38:38.183: TPLUS(00003C69)/0/7FD3796079D8: Processing the reply packet Dec 8 11:38:38.183: TPLUS: Received authen response status PASS (2) Dec 8 11:38:38.184: %SEC_LOGIN-5-LOGIN_SUCCESS: Login Success [user: adminuser] [Source: 10.61.80.151] [localport: 22] at 12:38:38 CET Thu Dec 8 2022 Dec 8 11:38:38.259: TPLUS: Queuing AAA Authorization request 15465 for processing Dec 8 11:38:38.260: TPLUS(00003C69) login timer started 1020 sec timeout Dec 8 11:38:38.260: TPLUS: processing authorization request id 15465 Dec 8 11:38:38.260: TPLUS: Protocol set to None .....Skipping Dec 8 11:38:38.260: TPLUS: Sending AV service=shell Dec 8 11:38:38.260: TPLUS: Sending AV cmd* Dec 8 11:38:38.260: TPLUS: Authorization request created for 15465(adminuser) Dec 8 11:38:38.260: TPLUS: using previously set server 10.48.39.134 from group TACACS-Group Dec 8 11:38:38.260: TPLUS(00003C69)/0/NB_WAIT/7FD3796079D8: Started 5 sec timeout Dec 8 11:38:38.260: TPLUS(00003C69)/0/NB_WAIT: socket event 2 Dec 8 11:38:38.260: TPLUS(00003C69)/0/NB_WAIT: wrote entire 64 bytes request Dec 8 11:38:38.260: TPLUS(00003C69)/0/READ: socket event 1 Dec 8 11:38:38.260: TPLUS(00003C69)/0/READ: Would block while reading Dec 8 11:38:38.285: TPLUS(00003C69)/0/READ: socket event 1 Dec 8 11:38:38.285: TPLUS(00003C69)/0/READ: read entire 12 header bytes (expect 18 bytes data) Dec 8 11:38:38.285: TPLUS(00003C69)/0/READ: socket event 1 Dec 8 11:38:38.285: TPLUS(00003C69)/0/READ: read entire 30 bytes response Dec 8 11:38:38.285: TPLUS(00003C69)/0/7FD3796079D8: Processing the reply packet Dec 8 11:38:38.285: TPLUS: Processed AV priv-lvl=15 Dec 8 11:38:38.285: TPLUS: received authorization response for 15465: PASS Dec 8 11:38:44.225: %SYS-6-LOGOUT: User adminuser has exited tty session 7(10.61.80.151) Dec 8 11:38:44.225:Socket I/O cleanup message sent to TACACS TPLUS Proc:SOCKET IO CLEANUP EVENT Dec 8 11:38:44.226: %HA_EM-6-LOG: catchall: logout  Dec 8 11:39:18.689: %SYS-6-LOGOUT: User admin has exited tty session 5(10.61.80.151) Dec 8 11:39:18.690:Socket I/O cleanup message sent to TACACS TPLUS Proc:SOCKET IO CLEANUP EVENT


从这些日志中可以看到，TACACS+服务器返回了正确的权限(即AV priv-lvl=15)。

当您执行RADIUS身份验证时，会显示一个与RADIUS流量相关的类似调试输出。

相反，debug aaa authenticationdebug aaa authorization 显示当用户尝试登录时WLC选择的方法列表。

通过ISE GUI排除WLC GUI或CLI TACACS+访问故障

从第页Operations > TACACS > Live Logs，可以查看通过TACACS+进行的每一次用户身份验证（最多24小时）。要展开TACACS+授权或身份验证的详细信息，请使用与此事件相关的Details按钮。

展开后，的身份验证成功尝试helpdeskuser如下所示：

从此，您可以看到，在身份验证策略的帮助下helpdeskuser，已向网络设WLC-9800备成功对用户进行身份验证WLC TACACS Authentication > Default。此外，授权配置IOS Helpdesk文件已分配给此用户，并授予权限级别1。