目录

简介

本文档介绍如何帮助连接不支持较新802.1X版本的旧IoT无线客户端。

要求

使用的组件

这基于运行任何Cisco IOS® XE 17.x版本的无线LAN控制器Catalyst 9800。

情景

到目前为止，802.1X协议最多有3个版本。802.1X-2001是版本1,802.1X-2004是版本2,802.1X-2010，所有后续版本都使用版本3标识符。

IEEE标准非常清楚，每台设备必须通告其支持的最大版本，然后同意通用版本，因为所有版本向后兼容。

Catalyst 9800 WLC通告802.1X和eapol版本3。

在许多情况下，无线客户端使用802.1X版本1进行回复，并且身份验证可以继续使用版本1实施。

但是，一些特定较旧的IoT客户端希望在另一端看到特定的802.1X版本，并且不允许看到他们不了解的较新版本。这违反了标准。但是，有时您不能轻松更新您的IoT设备，必须适应它。因此，可以调整控制器上的802.1X版本以创建这些客户端。

没有理由修改此版本，除非您证明特定客户端集存在此问题！

验证您遇到了此问题

以下是工作放射跟踪的示例，其中控制器通告版本3，但客户端正确回复低版本，并且身份验证可以继续：

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] Posting RESTART on Client

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] Entering init state

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] Entering idle state

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] Posting !AUTH_ABORT on Client

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] Entering restart state

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] Resetting the client 0xD8000002

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] Override cfg - MAC

- profile (none)

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] Override cfg - SuppTimeout 30s, ReAuthMax 2, MaxReq 2, TxPeriod 30s

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] Sending create new context event to EAP for 0xD8000002 (7a9d.d7f6.710f)

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] Posting !EAP_RESTART on Client

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] Enter connecting state

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] Restart connecting

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] Posting RX_REQ on Client

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] Authenticating state entered

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] Connecting authenticating action

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] Entering request state

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] Setting EAPOL eth-type to 0x888e, destination mac to

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [0000.0000.0000:capwap_9000002c] Sending out EAPOL packet

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] Sent EAPOL packet - Version : 3,EAPOL Type : EAP, Payload Length : 5, EAP-Type = Identity

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] EAP Packet - REQUEST, ID : 0x1

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [0000.0000.0000:unknown] Pkt body: 01 01 00 05 01

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] EAPOL packet sent to client

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

] Received EAPOL packet - Version : 1,EAPOL Type : EAP, Payload Length : 12, EAP-Type = Identity

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] EAP Packet - RESPONSE, ID : 0x1

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [0000.0000.0000:unknown] Pkt body: 02 01 00 0c 01 34 34 37 33 36 34 35

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [0000.0000.0000:capwap_9000002c] Queuing an EAPOL pkt on Authenticator Q

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [0000.0000.0000:capwap_9000002c] Dequeued pkt: CODE = 2,TYPE = 1,LEN = 12

(...) RADIUS authentication follows

在WLC/AP发送的EAP身份请求消息之后，客户端不会响应任何内容之前，非工作输出看起来类似。

更改Eapol/802.1X版本

WLC#show dot1x all

Sysauthcontrol                Disabled

Dot1x Protocol Version               3

WLC#config terminal

Enter configuration commands, one per line.  End with CNTL/Z.

WLC(config)#service internal

WLC(config)#dot1x eapol version 2

WLC(config)#exit

WLC#show dot1x all

Sysauthcontrol                Disabled

Dot1x Protocol Version               2