在Catalyst 9800上使用锚点配置中央Web身份验证

简介

本文档介绍如何配置和排除指向作为移动锚点的WLC的Catalyst 9800上的CWA故障。

先决条件

要求

Cisco 建议您了解以下主题：

• 集中式Web身份验证(CWA)
• 无线LAN控制器(WLC)
• 9800 WLC
• AireOS WLC
• 思科ISE

假设在启动CWA锚点配置之前，您已在两个WLC之间启用移动隧道。这超出了此配置示例的范围。如果需要这方面的帮助，请参阅标题为在9800上配置移动拓扑的文档

使用的组件

本文档中的信息基于以下软件和硬件版本：

• 9800 17.2.1
• 5520 8.5.164 IRCM映像
• ISE 2.4

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

配置固定到另一个Catalyst 9800的Catalyst 9800

网络图

在两台9800上配置AAA

在锚点和外部上，您需要首先添加RADIUS服务器并确保已启用CoA。为此，请导航到菜单Configuration > Security > AAA > Servers/Groups > Servers。 然后，单击Add按钮。

现在需要创建服务器组，并将刚才配置的服务器放入该组中。为此，请导航到Configuration > Security > AAA > Servers/Groups > Server Groups > +Add。

现在，创建一个授权方法列表（对于CWA不需要身份验证方法列表），其中类型为网络，组类型为组。将上一个操作中的服务器组添加到此方法列表。

为此，请导航到Configuration > Security > AAA > Servers/AAA Method List > Authorization > +Add。

（可选）使用与授权方法列表相同的服务器组创建记账方法列表。要创建记帐列表，请导航到Configuration > Security > AAA > Servers/AAA Method List > Accounting > +Add。

在WLC上配置WLAN

在两台WLC上创建并配置WLAN。两者上的WLAN必须匹配。安全类型必须是mac过滤，并且必须应用上一步的授权方法列表。要配置此设置，请导航到配置>标记和配置文件> WLANs > +Add。

在外部WLC上创建策略配置文件和策略标记

导航到外部WLC Web UI。 要创建策略配置文件，请导航到Configuration > Tags & Profiles > Policy > +Add。 锚定时，必须使用中心交换。

在Advanced选项卡上，CWA必须使用AAA覆盖和RADIUS NAC。如果您选择创建会计方法列表，还可以在此处应用会计方法列表。 

在Mobility选项卡上，不要选中Export Anchor复选框，而是将锚点WLC添加到锚点列表。确保输入Apply to Device。请注意，这假定您已在两台控制器之间设置了移动隧道

为了让AP使用此策略配置文件，您需要创建策略标记并将其应用到要使用的AP。

要创建策略标记，请导航到Configuration > Tags & Profiles > Tags?Policy > +Add。

要同时将其添加到多个AP，请导航到配置>无线设置>高级>立即启动。单击标记AP旁边的项目符号栏，并将标记添加到您选择的AP。

在锚点WLC上创建策略配置文件

导航到锚点WLC Web UI。在Configuration > Tags & Profiles > Tags > Policy > +Add下添加锚点9800上的策略配置文件。确保此配置与外部设备上的策略配置文件相匹配，移动选项卡和记帐列表除外。 

此处不添加锚点，但您选中了导出锚点复选框。请勿在此处添加记帐列表。假设您已在两台控制器之间设置了移动隧道。

注意：没有理由将此配置文件关联到策略标记中的WLAN。如果您这样做，这会带来问题。如果要将相同的WLAN用于此WLC上的AP，请为其创建另一个策略配置文件。

重定向9800上的ACL配置

接下来，您需要在这两台9800上创建重定向ACL配置。外部的条目并不重要，因为它是将ACL应用于流量的锚点WLC。唯一的要求是它在那里，并且有一些条目。锚点上的条目必须拒绝对端口8443上的ISE的访问并允许其他所有内容。此ACL仅适用于来自客户端的流量，因此不需要返回流量的规则。DHCP和DNS在ACL中无条目通过。

配置ISE

最后一步是为CWA配置ISE。此门户有很多选项，但本示例坚持基本原则并使用默认的自注册访客门户。

在ISE上，您需要创建授权配置文件、带有身份验证策略的策略集以及使用授权配置文件的授权策略，将9800（外部）作为网络设备添加到ISE，并创建用户名和密码以登录网络。

要创建授权配置文件，请导航到Policy > Policy Elements > Authorization > Results > Authorization Profiles，然后单击Add。确保返回的访问类型为ACCESS_ACCEPT，然后设置要发回的属性 — 值对(AVP)。对于CWA，重定向ACL和重定向URL是必需的，但您也可以发送回诸如VLAN ID和会话超时等内容。ACL名称必须与外部和锚点9800上的重定向ACL名称匹配。

然后，您需要配置一种方法，将刚刚创建的授权配置文件应用到通过CWA的客户端。为此，一种方法是创建在使用MAB时绕过身份验证的策略集，并在使用被叫站ID中发送的SSID时应用授权配置文件。同样，有很多方法可以实现这一点，因此，如果您需要一些更具体或更安全的方法，这很好，这只是最简单的方法。

要创建策略集，请转到Policy > Policy Sets，然后单击屏幕左侧的+按钮。为新策略集命名，并确保将其设置为Default Network Access或允许Process Host Lookup的任何允许的协议列表(要检查允许的协议列表，请转到Policy > Policy Elements > Results > Authentication > Allowed Protocols)。现在，点击您创建的新策略集中间的+符号。

对于此策略设置，每次在ISE中使用MAB时，它都会通过此策略设置。之后，您可以制定与被叫站ID匹配的授权策略，以便根据使用的WLAN应用不同的结果。此流程非常可定制，您可以根据许多内容进行匹配。

在策略集内创建策略。身份验证策略可以在MAB上再次匹配，但您需要更改ID存储以使用内部终端，并需要更改选项以继续Auth Fail和User Not Found。

设置身份验证策略后，您需要在授权策略中创建两个规则。此策略类似于ACL，因此订单需要将Post-Auth规则放在顶部，将Pre-Auth规则放在底部。Post-Auth规则匹配已通过访客流的用户。也就是说，如果他们已经登录，就可以到达该规则并且必须停止。如果用户尚未登录，则他们继续进入列表并访问预身份验证规则，然后被重定向。最好将授权策略规则与以SSID结尾的被呼叫站ID进行匹配，以便它只到达配置为这样做的WLAN。

配置策略集后，您需要通知ISE有关9800（外部）的信息，以便ISE将其信任为身份验证器。这可以通过导航到Admin > Network Resources > Network Device > +来实现。您需要为其命名、设置IP地址（在本例中是整个管理子网）、启用RADIUS并设置共享密钥。ISE上的共享密钥必须与9800上的共享密钥匹配，否则此进程失败。添加配置后，单击Submit按钮将其保存。

最后，您需要将客户端要输入的用户名和密码添加到登录页面中，以验证客户端必须能够访问网络。为此，请导航到Admin > Identity Management > Identity > Users > +Add，并在添加后单击Submit。  与ISE的所有其他功能一样，这是可自定义的，无需是本地存储的用户，但也是最简单的配置。

配置锚定到AireOS WLC的Catalyst 9800

Catalyst 9800外部配置

执行相同的先前步骤，跳过在锚点WLC上创建策略配置文件部分。

锚点AireOS WLC上的AAA配置

通过转至Security > AAA > RADIUS > Authentication > New将服务器添加到WLC。添加服务器IP地址、共享密钥和支持CoA。

AireOS WLC上的WLAN配置

要创建WLAN，请导航到WLANs > Create New > Go。

配置Profile Name、WLAN ID和SSID，然后单击Apply。

您必须进入WLAN配置。在General选项卡上，如果不将ISE配置为在AVP中发送，您可以添加希望客户端使用的接口。接下来导航到Security > Layer2选项卡，并匹配您在9800上使用的Layer 2 Security配置，然后启用MAC Filtering。

现在转到Security > AAA Servers选项卡，并将ISE服务器设置为Authentication Servers。请勿为记帐服务器设置任何内容。取消选中Enable框以进行记帐。

仍在WLAN配置中，请转到Advanced选项卡并启用Allow AAA Override，并将NAC State更改为ISE NAC。

最后是把它固定在自己身上。为此，请导航回WLANs页面，并将鼠标悬停在WLAN > Mobility Anchors右侧蓝色框上。将Switch IP Address(Anchor)设置为local，然后单击Mobility Anchor Create按钮。然后，它必须显示优先级0锚定本地。

在AireOS WLC上重定向ACL

这是AireOS WLC上所需的最终配置。要创建重定向ACL，请导航到安全>访问控制列表>访问控制列表>新建。输入ACL名称（必须与AVP中发送的名称匹配），然后单击Apply。

现在单击您刚刚创建的ACL的名称。单击Add New Rule按钮。与9800控制器不同，在AireOS WLC上，您可以为允许到达ISE的流量配置permit语句，而无需重定向。默认情况下允许DHCP和DNS。

配置ISE

最后一步是为CWA配置ISE。有多个选项，但本示例使用基本信息和默认自注册访客门户。

在ISE上，您需要创建授权配置文件、具有身份验证策略的策略集和使用授权配置文件的授权策略。将9800（外部）作为网络设备添加到ISE，并创建用户名和密码以登录网络。

要创建授权配置文件，请转至Policy > Policy Elements > Authorization > Results > Authorization Profiles > +Add。确保返回的访问类型为ACCESS_ACCEPT，然后设置要发送回的AVP。对于CWA，重定向ACL和重定向URL是必需的，但您也可以像VLAN ID和会话超时一样发送回。ACL名称必须与外部WLC和锚点WLC上的重定向ACL名称匹配。

然后，您需要配置一种方法，将刚刚创建的授权配置文件应用到通过CWA的客户端。为此，一种方法是创建在使用MAB时绕过身份验证的策略集，并在使用被叫站ID中发送的SSID时应用授权配置文件。同样，有很多方法可以实现这一点，因此，如果您需要一些更具体或更安全的方法，这很好，这只是最简单的方法。

要创建策略集，请转至Policy > Policy Sets，然后点击屏幕左侧的+按钮。为新策略集命名，并确保将其设置为Default Network Access或允许Process Host Lookup的任何允许的协议列表(要检查允许的协议列表，请转到Policy > Policy Elements > Results > Authentication > Allowed Protocols)。现在，点击您创建的新策略集中间的+。

对于此策略设置，每次在ISE中使用MAB时，它都可以通过此策略设置。之后，您可以制定与被叫站ID匹配的授权策略，以便根据使用的WLAN应用不同的结果。此流程非常可定制，您可以根据许多内容进行匹配

在策略集内创建策略。身份验证策略可以在MAB上再次匹配，但您需要更改ID存储以使用Internal Endpoints，并且需要更改选项以继续Auth Fail和User Not Found。 

设置身份验证策略后，您需要在授权策略中创建两个规则。此策略类似于ACL，因此顺序需要将Post-Auth规则放在顶部，将Pre-Auth规则放在底部。Post-Auth规则匹配已通过访客流的用户。也就是说，如果他们已经登录，则表示他们达到了该规则并停止登录。如果用户尚未登录，则他们继续进入列表，并点击Pre-Auth规则获取重定向。最好将授权策略规则与以SSID结尾的被呼叫站ID进行匹配，以便它只对配置为这样做的WLAN命中。

配置策略集后，您需要通知ISE有关9800（外部）的信息，以便ISE将其信任为身份验证器。这可以在Admin > Network Resources > Network Device > +中完成。您需要为其命名、设置IP地址（在本例中是整个管理子网）、启用RADIUS并设置共享密钥。ISE上的共享密钥必须与9800上的共享密钥匹配，否则此进程失败。添加配置后，点击submit按钮保存配置。

最后，您需要将客户端要输入的用户名和密码添加到登录页面中，以验证客户端必须能够访问网络。此操作在Admin > Identity Management > Identity > Users > +Addat下完成，确保在添加后单击Submit。与ISE的所有其他功能一样，这是可自定义的，无需用户本地存储，但也是最简单的配置。

当AireOS WLC为外部接口且Catalyst 9800为锚点时，配置中的差异

如果希望AireOs WLC成为外部控制器，则配置与前面介绍的相同，但略有差异。

1. AAA记账从未在锚点上完成，因此9800没有记账方法列表，而AireOS WLC将启用记账并指向ISE。
2. AireOS需要锚定到9800，而不是其自身。在Policy Profile中，9800不会选择锚点，但会选中Export Anchor框。
3. 请注意，当AireOS WLC将客户端导出到9800时，没有策略配置文件的概念。它只发送WLAN配置文件名称。因此，9800将从AireOS发送的WLAN配置文件名称应用到WLAN配置文件名称和策略配置文件名称。从AireOS WLC锚定到9800 WLC时，两个WLC上的WLAN配置文件名称和9800上的策略配置文件名称必须匹配。

验证

要验证9800 WLC上的配置，请运行以下命令：

• AAA:

Show Run | section aaa|radius

• 无线局域网：

Show wlan id <wlan id>

• 策略配置文件：

Show wireless profile policy detailed <profile name>

• 策略标记：

Show wireless tag policy detailed <policy tag name>

• ACL:

Show IP access-list <ACL name>

• 使用锚点验证移动性是否正常：

Show wireless mobility summary

要验证AireOS WLC上的配置，请运行命令。

• AAA:

Show radius summary

注:RFC3576是CoA配置。

• 无线局域网：

Show WLAN <wlan id>

• ACL:

Show acl detailed <acl name>

• 验证移动性是否与外部设备相同：

Show mobility summary

故障排除

根据客户端在过程中停止的点，故障排除看起来有所不同。例如，如果WLC从未从MAB上的ISE获得响应，则客户端将停滞在Policy Manager State: Associating中，并且不会导出到锚点。在这种情况下，您只需要对外进行故障排除，并且您需要为WLC和ISE之间的流量收集RA跟踪和数据包捕获。另一个示例是MAB已成功通过，但客户端未收到重定向。在这种情况下，您需要确保外来设备在AVP中收到重定向并将其应用于客户端。您还需要检查锚点，以确保客户端已使用正确的ACL。此故障排除范围不在本文设计范围之内（有关一般客户端故障排除指南的相关信息，请查看）。

有关9800 WLC上CWA故障排除的更多帮助，请参阅Cisco Live！演示DGTL-TSCENT-404。

注意：只有思科注册用户才能访问思科内部工具和信息。

Catalyst 9800故障排除信息

客户端详细信息

show wireless client mac-address <client mac> detail

此处必须查看Policy Manager State、Session Manager > Auth Method、Mobility Role。

您还可以在GUI的Monitoring > Clients下找到此信息。

嵌入式数据包捕获

从CLI命令开始#monitor capture <capture name>,然后是选项。

从GUI转到Troubleshoot > Packet Capture > +Add。

RadioActive跟踪

在CLI中：

debug wireless mac|ip <client mac|ip>   

使用该命令的no形式将其停止。这会记录到bootflash中名为ra_trace的文件，然后记录客户端MAC或IP地址以及日期和时间。

从GUI导航至故障排除>放射性跟踪> +Add。添加客户端mac或ip地址，单击Apply，然后单击start。完成该过程几次后，停止跟踪，生成日志并将其下载到您的设备。

AireOS故障排除信息

客户端详细信息

在CLI中，show client details <client mac>。

在GUI中，选择Monitor > Clients。

从CLI调试

Debug client <client mac>

Debug mobility handoff

Debug mobility config

相关信息

• 使用9800控制器构建移动隧道
• 9800上的无线调试和日志收集
• 思科技术支持和下载