802.1x WLAN + VLAN覆盖，带Mobility Express(ME)8.2和ISE 2.1

下载选项

  • PDF     (1.6 MB)
    在各种设备上使用 Adobe Reader 查看
  • ePub     (1.2 MB)
    在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上使用各种应用查看
  • Mobi (Kindle)     (2.1 MB)
    在 Kindle 设备上查看或在多个设备上使用 Kindle 应用查看
已更新: 2017 年 8 月 14 日
文档 ID:210532

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。 深入了解思科如何使用包容性语言。

关于此翻译

思科采用人工翻译与机器翻译相结合的方式将此文档翻译成不同语言，希望全球的用户都能通过各自的语言得到支持性的内容。 请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 Cisco Systems, Inc. 对于翻译的准确性不承担任何责任，并建议您总是参考英文原始文档（已提供链接）。

    简介

    本文档介绍如何使用Mobility Express控制器和外部远程身份验证拨入用户服务(RADIUS)服务器设置WLAN（无线局域网）和Wi-Fi Protected Access 2(WPA2)企业安全。身份服务引擎(ISE)用作外部RADIUS服务器的示例。

    本指南中使用的可扩展身份验证协议(EAP)是受保护的可扩展身份验证协议(PEAP)。 此外，客户端被分配给特定VLAN（除了分配给WLAN的任何默认的VLAN）。

    先决条件

    要求

    Cisco 建议您了解以下主题：

    • 802.1x
    • PEAP
    • 证书颁发机构(CA)
    • 证书

    使用的组件

    本文档中的信息基于以下软件和硬件版本：

    ME v8.2

    ISE v2.1

    Windows 10笔记本电脑

    本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您使用的是真实网络，请确保您已经了解所有命令的潜在影响。

    配置

    网络图

    alt-tag-for-image

    配置

    一般步骤如下：

    1. 在ME中创建服务集标识符(SSID)，并在ME上声明RADIUS服务器（本示例中为ISE）
    2. 在RADIUS服务器(ISE)上声明我
    3. 在ISE上创建身份验证规则
    4. 在ISE上创建授权规则
    5. 配置终端

    ME上的配置

    为了允许RADIUS服务器和ME之间的通信，需要在ME上注册RADIUS服务器，反之亦然。此步骤显示如何在ME上注册RADIUS服务器。

    步骤1.打开ME的GUI并导航至 Wireless Settings（无线设置）> WLANs(WLANs)> Add new WLAN（添加新的WLAN）。

    alt-tag-for-image

    步骤2.选择WLAN的名称。

    alt-tag-for-image

    步骤3.在WLAN Security（WLAN安全）选项卡下指定Security(安全)配置。

    选择WPA2 Enterprise，对于Authentication server，选择External RADIUS。点击编辑选项以添加RADIUS的IP地址并选择共享密钥。

    alt-tag-for-image    alt-tag-for-image

     <a.b.c.d>对应于RADIUS服务器。

    步骤4.为SSID分配VLAN。

    如果需要将SSID分配给AP的VLAN，可跳过此步骤。 

    要将此SSID的用户分配给特定VLAN（AP的VLAN除外），请启用Use VLAN Tagging并分配所需的VLAN ID。

    alt-tag-for-image

    注意：如果使用VLAN标记，请确保将接入点所连接的交换机端口配置为中继端口，并将AP VLAN配置为本征。

    步骤5.单击Apply完成配置。

    alt-tag-for-image

    步骤6.可选，将WLAN配置为接受VLAN覆盖。

    在WLAN上启用AAA覆盖并添加所需的VLAN。为此，您需要打开到ME管理接口的CLI会话并发出以下命令：

    >config wlan disable <wlan-id>
>config wlan aaa-override enable <wlan-id>
>config wlan enable <wlan-id>
    >config flexconnect group default-flexgroup vlan add <vlan-id>

    在ISE上声明我

    第1步：打开ISE控制台并导航到管理>网络资源>网络设备>添加。

    alt-tag-for-image

    第 2 步： 输入相关信息。

    或者，可以指定型号名称、软件版本、说明并根据设备类型、位置或WLC分配网络设备组。

    a.b.c.d对应于ME的IP地址。

    alt-tag-for-image

    有关网络设备组的详细信息，请查看此链接：

    ISE - 网络设备组

    在ISE上创建新用户

    步骤1.导航至 Administration > Identity Management > Identities > Users > Add。

    alt-tag-for-image

    第 2 步： 输入相关信息。

    在本示例中，此用户属于名为ALL_ACCOUNTS的组，但可根据需要进行调整。

    alt-tag-for-image

    创建身份验证规则

    身份验证规则用于验证用户的凭证是否正确（验证用户是否真的如其所言）并限制允许其使用的身份验证方法。

    步骤1:  导航 到Policy > Authentication。

    alt-tag-for-image

    步骤2.插入新的身份验证规则。

    为此，请导航到Policy > Authentication > Insert new row above/below。

    alt-tag-for-image

    步骤3.输入所需信息

    此身份验证规则示例允许Default Network Access列表下列出的所有协议，这适用于无线802.1x客户端的身份验证请求，使用被叫站ID并以ise-ssid结尾。

    alt-tag-for-image

    此外，为与此身份验证规则匹配的客户端选择身份源，在本例中该身份源用于内部用户

    alt-tag-for-image

    完成后，单击完成并保存

    alt-tag-for-image

    有关允许协议策略的详细信息，请参阅此链接：

    允许的协议服务

    有关身份源的详细信息，请查阅以下链接：

    创建用户身份组

    创建授权规则

    授权规则负责确定客户端是否获准加入网络

    步骤1.导航到策略>授权。

    alt-tag-for-image

    步骤2.插入新规则。导航到Policy > Authorization > Insert New Rule Above/Below。

    alt-tag-for-image

    第 3 步： 输入相关信息。

    首先选择规则的名称以及存储用户的身份组。在本示例中，用户存储在组ALL_ACCOUNTS中。

    alt-tag-for-image

    然后，选择其他条件，使授权过程符合此规则。在本示例中，如果授权进程使用802.1x无线并且称为站点ID以ise-ssid结束，则授权进程符合此规则。

    alt-tag-for-image

    最后，选择允许客户端加入网络的授权配置文件，单击Done和Save。

    alt-tag-for-image

    或者，创建新的授权配置文件，将无线客户端分配到不同的VLAN:

    alt-tag-for-image

    输入相关信息:

    alt-tag-for-image

    终端设备配置

    将Windows 10笔记本电脑配置为使用PEAP/MS-CHAPv2(Microsoft版质询 — 握手身份验证协议第2版)通过802.1x身份验证连接到SSID。

    在此配置示例中，ISE使用其自签名证书执行身份验证。

    要在Windows计算机上创建WLAN配置文件，有两个选项：

    1. 在计算机上安装自签名证书以验证并信任ISE服务器完成身份验证
    2. 绕过RADIUS服务器的验证并信任用于执行身份验证的任何RADIUS服务器（不推荐，因为它可能成为一个安全问题）

     这些选项的配置在终端设备配置 — 创建WLAN配置文件 — 步骤7中说明。

    终端设备配置 — 安装ISE自签名证书

    步骤1.从ISE导出自签名证书。

    登录到ISE并导航到管理>系统>证书>系统证书。

    然后选择用于EAP身份验证的证书，然后点击Export。

    alt-tag-for-image

    将证书保存在所需的位置。此证书安装在Windows计算机上。

    alt-tag-for-image

    步骤2.在Windows计算机上安装证书。

    将之前导出的证书复制到Windows计算机，将文件扩展名从.pem更改为.crt，然后双击该证书并选择安装证书…….

    alt-tag-for-image

    选择将其安装在Local Machine（本地计算机）中，然后单击Next(下一步)。

    alt-tag-for-image

    选择Place all certificates in the following store，然后浏览并选择Trusted Root Certification Authorities。之后，点击 Next （下一步）。

    alt-tag-for-image

    然后单击 Finish。

    alt-tag-for-image

    最后，单击Yes确认证书的安装。

    alt-tag-for-image

    最后单击确定。

    alt-tag-for-image

    终端设备配置 — 创建WLAN配置文件

    步骤1.右键点击开始图标，然后选择控制面板。

    alt-tag-for-image

    步骤2.导航到Network and Internet，然后导航到Network and Sharing Center，然后单击Set up a new connection or network。

    alt-tag-for-image

    步骤3.选择Manually connect to a wireless network(手动连接到无线网络)，然后单击Next(下一步)。

    alt-tag-for-image

    步骤4.输入SSID名称和安全类型WPA2-Enterprise的信息，然后单击Next。

    alt-tag-for-image

    步骤5.选择更改连接设置以自定义WLAN配置文件的配置。

    alt-tag-for-image

    步骤6.导航到Security选项卡，然后单击Settings。

    alt-tag-for-image

    步骤7.选择是否验证了RADIUS服务器。

    如果是，请启用Verify the server’s identity by validating the certificate，并从Trusted Root Certification Authorities:列表中选择ISE的自签名证书。

    之后，选择Configure并禁用Automatically use my Windows logon name and password...，然后单击OK

    alt-tag-for-image

    alt-tag-for-image

    步骤8.配置用户凭证

    返回Security选项卡后，选择Advanced settings，将身份验证模式指定为User authentication，并保存在ISE上配置的凭证以对用户进行身份验证。 

    alt-tag-for-image

    alt-tag-for-image

    alt-tag-for-image

    验证

    身份验证流程可以从WLC或ISE角度进行验证。

    ME上的身份验证过程

    运行此命令可监控特定用户的身份验证过程：

      

    > debug client <mac-add-client>

    身份验证成功的示例（省略了某些输出）：

      

    *apfMsConnTask_0: Nov 25 16:36:24.333: 08:74:02:77:13:45 Processing assoc-req station:08:74:02:77:13:45 AP:38:ed:18:c6:7b:40-01 thread:669ba80
    *apfMsConnTask_0: Nov 25 16:36:24.333: 08:74:02:77:13:45 Association received from mobile on BSSID 38:ed:18:c6:7b:4d AP 1852-4
    *apfMsConnTask_0: Nov 25 16:36:24.334: 08:74:02:77:13:45 Applying site-specific Local Bridging override for station 08:74:02:77:13:45 - vapId 3, site 'FlexGroup', interface 'management'
    *apfMsConnTask_0: Nov 25 16:36:24.334: 08:74:02:77:13:45 Applying Local Bridging Interface Policy for station 08:74:02:77:13:45 - vlan 0, interface id 0, interface 'management'
    *apfMsConnTask_0: Nov 25 16:36:24.334: 08:74:02:77:13:45 Set Clinet Non AP specific apfMsAccessVlan = 2400
    *apfMsConnTask_0: Nov 25 16:36:24.334: 08:74:02:77:13:45 This apfMsAccessVlan may be changed later from AAA after L2 Auth
    *apfMsConnTask_0: Nov 25 16:36:24.334: 08:74:02:77:13:45 Received 802.11i 802.1X key management suite, enabling dot1x Authentication
    *apfMsConnTask_0: Nov 25 16:36:24.335: 08:74:02:77:13:45 0.0.0.0 START (0) Change state to AUTHCHECK (2) last state START (0)
    *apfMsConnTask_0: Nov 25 16:36:24.335: 08:74:02:77:13:45 0.0.0.0 AUTHCHECK (2) Change state to 8021X_REQD (3) last state AUTHCHECK (2)
    *apfMsConnTask_0: Nov 25 16:36:24.335: 08:74:02:77:13:45 0.0.0.0 8021X_REQD (3) DHCP required on AP 38:ed:18:c6:7b:40 vapId 3 apVapId 3for this client
    *apfMsConnTask_0: Nov 25 16:36:24.335: 08:74:02:77:13:45 apfPemAddUser2:session timeout forstation 08:74:02:77:13:45 - Session Tout 0, apfMsTimeOut '0' and sessionTimerRunning flag is 0
    *apfMsConnTask_0: Nov 25 16:36:24.335: 08:74:02:77:13:45 Stopping deletion of Mobile Station: (callerId: 48)
    *apfMsConnTask_0: Nov 25 16:36:24.335: 08:74:02:77:13:45 Func: apfPemAddUser2, Ms Timeout = 0, Session Timeout = 0
    *apfMsConnTask_0: Nov 25 16:36:24.335: 08:74:02:77:13:45 Sending assoc-resp with status 0 station:08:74:02:77:13:45 AP:38:ed:18:c6:7b:40-01 on apVapId 3
    *apfMsConnTask_0: Nov 25 16:36:24.335: 08:74:02:77:13:45 Sending Assoc Response to station on BSSID 38:ed:18:c6:7b:4d (status 0) ApVapId 3 Slot 1
    *spamApTask0: Nov 25 16:36:24.341: 08:74:02:77:13:45 Sent dot1x auth initiate message for mobile 08:74:02:77:13:45
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:24.342: 08:74:02:77:13:45 reauth_sm state transition 0 ---> 1 for mobile 08:74:02:77:13:45 at 1x_reauth_sm.c:47
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:24.342: 08:74:02:77:13:45 EAP-PARAM Debug - eap-params for Wlan-Id :3 is disabled - applying Global eap timers and retries
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:24.342: 08:74:02:77:13:45 Disable re-auth, use PMK lifetime.
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:24.342: 08:74:02:77:13:45 Station 08:74:02:77:13:45 setting dot1x reauth timeout = 1800
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:24.342: 08:74:02:77:13:45 dot1x - moving mobile 08:74:02:77:13:45 into Connecting state
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:24.342: 08:74:02:77:13:45 Sending EAP-Request/Identity to mobile 08:74:02:77:13:45 (EAP Id 1)
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:24.401: 08:74:02:77:13:45 Received EAPOL EAPPKT from mobile 08:74:02:77:13:45
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:24.401: 08:74:02:77:13:45 Received Identity Response (count=1) from mobile 08:74:02:77:13:45
    .
    .
    .
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.978: 08:74:02:77:13:45 Processing Access-Accept for mobile 08:74:02:77:13:45
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.978: 08:74:02:77:13:45 Username entry (user1) created in mscb for mobile, length = 253
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.978: 08:74:02:77:13:45 Station 08:74:02:77:13:45 setting dot1x reauth timeout = 1800
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.978: 08:74:02:77:13:45 Creating a PKC PMKID Cache entry for station 08:74:02:77:13:45 (RSN 2)
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.979: 08:74:02:77:13:45 Adding BSSID 38:ed:18:c6:7b:4d to PMKID cache at index 0 for station 08:74:02:77:13:45
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.979: New PMKID: (16)
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.979: [0000] 80 3a 20 8c 8f c2 4c 18 7d 4c 28 e7 7f 10 11 03
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.979: 08:74:02:77:13:45 Adding Audit session ID payload in Mobility handoff
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.979: 08:74:02:77:13:45 0 PMK-update groupcast messages sent
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.979: 08:74:02:77:13:45 PMK sent to mobility group
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.979: 08:74:02:77:13:45 Disabling re-auth since PMK lifetime can take care of same.
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.979: 08:74:02:77:13:45 Sending EAP-Success to mobile 08:74:02:77:13:45 (EAP Id 70)
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.979: 08:74:02:77:13:45 Freeing AAACB from Dot1xCB as AAA auth is done for mobile 08:74:02:77:13:45
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.979: 08:74:02:77:13:45 Found an cache entry for BSSID 38:ed:18:c6:7b:4d in PMKID cache at index 0 of station 08:74:02:77:13:45
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.979: 08:74:02:77:13:45 Found an cache entry for BSSID 38:ed:18:c6:7b:4d in PMKID cache at index 0 of station 08:74:02:77:13:45
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.979: Including PMKID in M1 (16)
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.979: [0000] 80 3a 20 8c 8f c2 4c 18 7d 4c 28 e7 7f 10 11 03
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.979: M1 - Key Data: (22)
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.979: [0000] dd 14 00 0f ac 04 80 3a 20 8c 8f c2 4c 18 7d 4c
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.979: [0016] 28 e7 7f 10 11 03
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.979: 08:74:02:77:13:45 Starting key exchange to mobile 08:74:02:77:13:45, data packets will be dropped
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.980: 08:74:02:77:13:45 Sending EAPOL-Key Message to mobile 08:74:02:77:13:45
     state INITPMK (message 1), replay counter 00.00.00.00.00.00.00.00
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.980: 08:74:02:77:13:45 Reusing allocated memory for EAP Pkt for retransmission to mobile 08:74:02:77:13:45
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.980: 08:74:02:77:13:45 Entering Backend Auth Success state (id=70) for mobile 08:74:02:77:13:45
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.980: 08:74:02:77:13:45 Received Auth Success while in Authenticating state for mobile 08:74:02:77:13:45
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.980: 08:74:02:77:13:45 dot1x - moving mobile 08:74:02:77:13:45 into Authenticated state
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.983: 08:74:02:77:13:45 Received EAPOL-Key from mobile 08:74:02:77:13:45
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.983: 08:74:02:77:13:45 Received EAPOL-key in PTK_START state (message 2) from mobile 08:74:02:77:13:45
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.983: 08:74:02:77:13:45 Successfully computed PTK from PMK!!!
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.983: 08:74:02:77:13:45 Received valid MIC in EAPOL Key Message M2!!!!!
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.984: 00000000: 30 14 01 00 00 0f ac 04 01 00 00 0f ac 04 01 00 0...............
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.984: 00000010: 00 0f ac 01 0c 00 ......
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.984: 00000000: 01 00 00 0f ac 04 01 00 00 0f ac 04 01 00 00 0f ................
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.984: 00000010: ac 01 0c 00 ....
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.984: 08:74:02:77:13:45 PMK: Sending cache add
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.984: 08:74:02:77:13:45 Stopping retransmission timer for mobile 08:74:02:77:13:45
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.984: 08:74:02:77:13:45 Sending EAPOL-Key Message to mobile 08:74:02:77:13:45
     state PTKINITNEGOTIATING (message 3), replay counter 00.00.00.00.00.00.00.01
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.984: 08:74:02:77:13:45 Reusing allocated memory for EAP Pkt for retransmission to mobile 08:74:02:77:13:45
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.988: 08:74:02:77:13:45 Received EAPOL-key in PTKINITNEGOTIATING state (message 4) from mobile 08:74:02:77:13:45
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.988: 08:74:02:77:13:45 Stopping retransmission timer for mobile 08:74:02:77:13:45
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.988: 08:74:02:77:13:45 0.0.0.0 8021X_REQD (3) Change state to L2AUTHCOMPLETE (4) last state 8021X_REQD (3)
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.988: 08:74:02:77:13:45 Mobility query, PEM State: L2AUTHCOMPLETE
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.988: 08:74:02:77:13:45 Building Mobile Announce :
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.988: 08:74:02:77:13:45 Building Client Payload:
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.988: 08:74:02:77:13:45 Client Ip: 0.0.0.0
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.988: 08:74:02:77:13:45 Client Vlan Ip: 172.16.0.136, Vlan mask : 255.255.255.224
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.988: 08:74:02:77:13:45 Client Vap Security: 16384
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.988: 08:74:02:77:13:45 Virtual Ip: 192.0.2.1
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.988: 08:74:02:77:13:45 ssid: ise-ssid
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.988: 08:74:02:77:13:45 Building VlanIpPayload.
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.988: 08:74:02:77:13:45 0.0.0.0 L2AUTHCOMPLETE (4) DHCP required on AP 38:ed:18:c6:7b:40 vapId 3 apVapId 3for this client
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.988: 08:74:02:77:13:45 Not Using WMM Compliance code qosCap 00
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.988: 08:74:02:77:13:45 0.0.0.0 L2AUTHCOMPLETE (4) Plumbed mobile LWAPP rule on AP 38:ed:18:c6:7b:40 vapId 3 apVapId 3 flex-acl-name:
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.988: 08:74:02:77:13:45 0.0.0.0 L2AUTHCOMPLETE (4) Change state to DHCP_REQD (7) last state L2AUTHCOMPLETE (4)
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.988: 08:74:02:77:13:45 0.0.0.0 DHCP_REQD (7) pemAdvanceState2 6623, Adding TMP rule
    *Dot1x_NW_MsgTask_0: Nov 25 16:36:25.988: 08:74:02:77:13:45 0.0.0.0 DHCP_REQD (7) Adding Fast Path rule
     type = Airespace AP - Learn IP address
     on AP 38:ed:18:c6:7b:40, slot 1, interface = 1, QOS = 0
     IPv4 ACL ID = 255, IPv
    *apfReceiveTask: Nov 25 16:36:25.989: 08:74:02:77:13:45 0.0.0.0 DHCP_REQD (7) mobility role update request from Unassociated to Local
     Peer = 0.0.0.0, Old Anchor = 0.0.0.0, New Anchor = 172.16.0.136
    *apfReceiveTask: Nov 25 16:36:25.989: 08:74:02:77:13:45 0.0.0.0 DHCP_REQD (7) State Update from Mobility-Incomplete to Mobility-Complete, mobility role=Local, client state=APF_MS_STATE_ASSOCIATED
    *apfReceiveTask: Nov 25 16:36:25.989: 08:74:02:77:13:45 0.0.0.0 DHCP_REQD (7) pemAdvanceState2 6261, Adding TMP rule
    *apfReceiveTask: Nov 25 16:36:25.989: 08:74:02:77:13:45 0.0.0.0 DHCP_REQD (7) Replacing Fast Path rule
     type = Airespace AP - Learn IP address
     on AP 38:ed:18:c6:7b:40, slot 1, interface = 1, QOS = 0
     IPv4 ACL ID = 255,
    *apfReceiveTask: Nov 25 16:36:25.989: 08:74:02:77:13:45 0.0.0.0 DHCP_REQD (7) Successfully plumbed mobile rule (IPv4 ACL ID 255, IPv6 ACL ID 255, L2 ACL ID 255)
    *pemReceiveTask: Nov 25 16:36:25.990: 08:74:02:77:13:45 0.0.0.0 Added NPU entry of type 9, dtlFlags 0x0
    *pemReceiveTask: Nov 25 16:36:25.990: 08:74:02:77:13:45 0.0.0.0 Added NPU entry of type 9, dtlFlags 0x0
    *apfReceiveTask: Nov 25 16:36:27.835: 08:74:02:77:13:45 WcdbClientUpdate: IP Binding from WCDB ip_learn_type 1, add_or_delete 1
    *apfReceiveTask: Nov 25 16:36:27.835: 08:74:02:77:13:45 IPv4 Addr: 0:0:0:0
    *apfReceiveTask: Nov 25 16:36:27.835: 08:74:02:77:13:45 In apfRegisterIpAddrOnMscb_debug: regType=1 Invalid src IP address, 0.0.0.0 is part of reserved ip address range (caller apf_ms.c:3593)
    *apfReceiveTask: Nov 25 16:36:27.835: 08:74:02:77:13:45 IPv4 Addr: 0:0:0:0
    *apfReceiveTask: Nov 25 16:36:27.840: 08:74:02:77:13:45 WcdbClientUpdate: IP Binding from WCDB ip_learn_type 1, add_or_delete 1
    *apfReceiveTask: Nov 25 16:36:27.841: 08:74:02:77:13:45 172.16.0.16 DHCP_REQD (7) Change state to RUN (20) last state DHCP_REQD (7)

    要轻松读取调试客户端输出，请使用无线调试分析器工具：

    Wireless Debug Analyzer

    ISE上的身份验证过程

    导航到操作> RADIUS >实时日志，以查看分配给用户的身份验证策略、授权策略和授权配置文件。

    alt-tag-for-image

     有关详细信息，请单击Details查看更详细的身份验证过程。

    修订历史记录

    版本 发布日期 备注
    1.0
    05-Apr-2017
    初始版本
    TAC Authored

    由思科工程师提供

    • 卡拉·西斯内罗斯·加尔万
      思科TAC工程师

    此文档是否有帮助?

    Feedback反馈

    联系我们

    本文档适用于以下产品