使用本地RADIUS伺服器在自治AP上配置WDS

下載選項

  • PDF     (843.8 KB)
    在多種裝置上使用 Adobe Reader 檢視
  • ePub     (575.2 KB)
    在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上的各種應用程式中檢視
  • Mobi (Kindle)     (423.4 KB)
    在 Kindle 裝置或多部裝置的 Kindle 應用程式上檢視
已更新: 2013 年 10 月 18 日
文件 ID:116597

無偏見用語

本產品的文件集力求使用無偏見用語。針對本文件集的目的，無偏見係定義為未根據年齡、身心障礙、性別、種族身分、民族身分、性別傾向、社會經濟地位及交織性表示歧視的用語。由於本產品軟體使用者介面中硬式編碼的語言、根據 RFP 文件使用的語言，或引用第三方產品的語言，因此本文件中可能會出現例外狀況。深入瞭解思科如何使用包容性用語。

關於此翻譯

思科已使用電腦和人工技術翻譯本文件，讓全世界的使用者能夠以自己的語言理解支援內容。請注意，即使是最佳機器翻譯，也不如專業譯者翻譯的內容準確。Cisco Systems, Inc. 對這些翻譯的準確度概不負責，並建議一律查看原始英文文件（提供連結）。

簡介

本檔案介紹如何在使用本地RADIUS伺服器的自主存取點(AP)設定上設定無線網域服務(WDS)。本文檔重點介紹通過新GUI進行的配置，但也提供了命令列介面(CLI)配置。

必要條件

需求

思科建議您瞭解自治AP上的基本GUI和CLI配置。

採用元件

本文中的資訊係根據以下軟體和硬體版本：

  • 自治AP IOS®軟體版本15.2(4)JA1上的Cisco 3602e系列存取點；此裝置將充當WDS AP和本地RADIUS伺服器。
  • 自治AP IOS軟體版本15.2(4)JA1上的Cisco 2602i系列接入點；此裝置將充當WDS客戶端AP。

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路正在作用，請確保您已瞭解任何指令可能造成的影響。

設定

附註：使用命令查詢工具(僅供已註冊客戶使用)可獲取本節中使用的命令的更多資訊。

GUI配置

建立SSID

以下過程介紹了如何建立新的服務集識別符號(SSID)。

  1. 導航到Security > SSID Manager，然後按一下NEW以建立新的SSID。

    116597-config-wds-radius-01.png

  2. 為可擴展身份驗證協定(EAP)身份驗證配置SSID。

    116597-config-wds-radius-02.png

  3. 設定所需的加密級別。在本示例中，使用Wi-Fi保護訪問2(WPA2)。

    116597-config-wds-radius-03.png

  4. 按一下「Apply」以儲存設定。

  5. 導覽至Security > Encryption Manager，然後選擇所需的加密密碼方法。

    116597-config-wds-radius-04.png

WDS AP上的本地RADIUS伺服器配置

以下過程介紹如何在WDS AP上配置本地RADIUS伺服器：

  1. 導覽至Security > Server Manager，將WDS AP Bridge Virtual Interface(BVI)IP新增為本地RADIUS，然後新增共用密碼。

    116597-config-wds-radius-05.png

  2. 導覽至Security > Local Radius Server > General Set-Up索引標籤。定義要使用的EAP協定。在本示例中，啟用輕型可擴展身份驗證協定(LEAP)身份驗證。

    116597-config-wds-radius-06.png

  3. 還可以在同一頁上新增網路訪問伺服器(NAS)IP和客戶端使用者名稱/密碼憑據。WDS AP上的本地RADIUS配置已完成。

    116597-config-wds-radius-07.png

WDS客戶端AP上的本地RADIUS伺服器配置

下圖顯示如何將WDS AP的IP地址配置為RADIUS伺服器：

116597-config-wds-radius-08.png

兩個AP現在都配置了SSID以進行LEAP身份驗證，並且WDS伺服器充當本地RADIUS。對外部RADIUS使用相同步驟；只有RADIUS伺服器IP會更改。

在WDS AP上啟用WDS

以下過程介紹了如何在WDS AP上啟用WDS:

  1. 導覽至Wireless > WDS > General Set-Up頁籤，然後啟用Use this AP as Wireless Domain Services覈取方塊。這將啟用AP上的WDS服務。

  2. 在具有多個WDS AP的網路中，使用Wireless Domain Services Priority選項定義主WDS和備份WDS。值範圍為1-255，其中255是最高優先順序。

    116597-config-wds-radius-09.png

  3. 導航到同一頁上的Server Groups頁籤。建立一個基礎結構伺服器組清單，所有WDS客戶端AP都將對其進行身份驗證。您可以使用WDS AP上的本地RADIUS伺服器來實現此目的。由於已經新增了該檔案，因此它會顯示在下拉選單中。

    116597-config-wds-radius-10.png

  4. 啟用單選按鈕Use Group For:Infrastructure Authentication，然後按一下Apply以儲存設定。

  5. WDS AP使用者名稱和密碼可以新增到本地RADIUS伺服器清單中。

在WDS客戶端AP上啟用WDS

以下過程介紹了如何在WDS客戶端AP上啟用WDS:

  1. 導覽至Wireless > AP，然後啟用Participate in SWAN Infrastructure覈取方塊。SWAN代表結構化無線感知網路。

    116597-config-wds-radius-11.png

  2. WDS客戶端AP可以自動發現WDS AP。或者，您可以在Specified Discovery（指定發現）文本框中手動輸入用於客戶端註冊的WDS AP的IP地址。

    您還可以新增WDS客戶端使用者名稱和密碼，以便對WDS AP上配置的本地RADIUS伺服器進行身份驗證。

CLI配置

WDS AP

以下是WDS AP的配置示例：

Current configuration : 2832 bytes
!
! Last configuration change at 05:54:08 UTC Fri Apr 26 2013
version 15.2
no service pad
service timestamps debug datetime msec
service timestamps log datetime msec
service password-encryption
!
hostname MAIB-WDS-AP
!
!
logging rate-limit console 9
enable secret 5 $1$EdDD$dG47yIKn86GCqmKjFf1Sy0
!
aaa new-model
!
!
aaa group server radius rad_eap
server name Local-Radius
!
aaa group server radius Infrastructure
server name Local-Radius
!
aaa authentication login eap_methods group rad_eap
aaa authentication login method_Infrastructure group Infrastructure
aaa authorization exec default local 
!
!
!
!
!
aaa session-id common
no ip routing
no ip cef
!
!
!
!
dot11 syslog
!
dot11 ssid WDS-EAP
authentication open eap eap_methods 
authentication network-eap eap_methods 
authentication key-management wpa version 2
guest-mode
!
!
dot11 guest
!
!
!
username Cisco password 7 13261E010803
username My3602 privilege 15 password 7 10430810111F00025D56797F65
!
!
bridge irb
!
!
!
interface Dot11Radio0
no ip address
no ip route-cache
!
encryption mode ciphers aes-ccm 
!
ssid WDS-EAP
!
antenna gain 0
stbc
station-role root
bridge-group 1
bridge-group 1 subscriber-loop-control
bridge-group 1 spanning-disabled
bridge-group 1 block-unknown-source
no bridge-group 1 source-learning
no bridge-group 1 unicast-flooding
!
interface Dot11Radio1
no ip address
no ip route-cache
!
encryption mode ciphers aes-ccm 
!
ssid WDS-EAP
!
antenna gain 0
peakdetect
dfs band 3 block
stbc
channel dfs
station-role root
bridge-group 1
bridge-group 1 subscriber-loop-control
bridge-group 1 spanning-disabled
bridge-group 1 block-unknown-source
no bridge-group 1 source-learning
no bridge-group 1 unicast-flooding
!
interface GigabitEthernet0
no ip address
no ip route-cache
duplex auto
speed auto
bridge-group 1
bridge-group 1 spanning-disabled
no bridge-group 1 source-learning
!
interface BVI1
ip address 10.106.54.146 255.255.255.192
no ip route-cache
ipv6 address dhcp
ipv6 address autoconfig
ipv6 enable
!
ip forward-protocol nd
ip http server
no ip http secure-server
ip http help-path http://www.cisco.com/warp/public/779/smbiz/prodconfig/help/eag
ip radius source-interface BVI1 
!
!
radius-server local
no authentication eapfast
no authentication mac
nas 10.106.54.146 key 7 045802150C2E1D1C5A
user WDSClient1 nthash 7 
   072E776E682F4D5D35345B5A227E78050D6413004A57452024017B0803712B224A
!
radius-server attribute 32 include-in-access-req format %h
radius-server vsa send accounting
!
radius server Local-Radius
address ipv4 10.106.54.146 auth-port 1812 acct-port 1813
key 7 060506324F41584B56
!
bridge 1 route ip
!
!
wlccp authentication-server infrastructure method_Infrastructure
wlccp wds priority 254 interface BVI1
!
line con 0
line vty 0 4
transport input all
!
end

WDS客戶端AP

以下是WDS客戶端AP的配置示例：

Current configuration : 2512 bytes
!
! Last configuration change at 00:33:17 UTC Wed May 22 2013
version 15.2
no service pad
service timestamps debug datetime msec
service timestamps log datetime msec
service password-encryption
!
hostname MAIB-WDS-Client
!
!
logging rate-limit console 9
enable secret 5 $1$vx/M$qP6DY30TGiXmjvUDvKKjk/
!
aaa new-model
!
!
aaa group server radius rad_eap
server name WDS-Radius
!
aaa authentication login eap_methods group rad_eap
aaa authorization exec default local 
!
!
!
!
!
aaa session-id common
no ip routing
no ip cef
!
!
!
!
dot11 syslog
!
dot11 ssid WDS-EAP
authentication open eap eap_methods 
authentication network-eap eap_methods 
authentication key-management wpa version 2
guest-mode
!
!
dot11 guest
!
eap profile WDS-AP
method leap
!
!
!
username Cisco password 7 062506324F41
username My2602 privilege 15 password 7 09414F000D0D051B5A5E577E6A
!
!
bridge irb
!
!
!
interface Dot11Radio0
no ip address
no ip route-cache
!
encryption mode ciphers aes-ccm 
!
ssid WDS-EAP
!
antenna gain 0
stbc
station-role root
bridge-group 1
bridge-group 1 subscriber-loop-control
bridge-group 1 spanning-disabled
bridge-group 1 block-unknown-source
no bridge-group 1 source-learning
no bridge-group 1 unicast-flooding
!
interface Dot11Radio1
no ip address
no ip route-cache
!
encryption mode ciphers aes-ccm 
!
ssid WDS-EAP
!
antenna gain 0
peakdetect
dfs band 3 block
stbc
channel dfs
station-role root
bridge-group 1
bridge-group 1 subscriber-loop-control
bridge-group 1 spanning-disabled
bridge-group 1 block-unknown-source
no bridge-group 1 source-learning
no bridge-group 1 unicast-flooding
!
interface GigabitEthernet0
no ip address
no ip route-cache
duplex auto
speed auto
bridge-group 1
bridge-group 1 spanning-disabled
no bridge-group 1 source-learning
!
interface BVI1
ip address 10.106.54.136 255.255.255.192
no ip route-cache
ipv6 address dhcp
ipv6 address autoconfig
ipv6 enable
!
ip forward-protocol nd
ip http server
no ip http secure-server
ip http help-path http://www.cisco.com/warp/public/779/smbiz/prodconfig/help/eag
ip radius source-interface BVI1 
!
!
radius-server attribute 32 include-in-access-req format %h
radius-server vsa send accounting
!
radius server WDS-Radius
address ipv4 10.106.54.146 auth-port 1812 acct-port 1813
key 7 110A1016141D5A5E57
!
bridge 1 route ip
!
!
wlccp ap username WDSClient1 password 7 070C285F4D06485744
wlccp ap wds ip address 10.106.54.146
!
line con 0
line vty 0 4
transport input all
!
end

驗證

使用本節內容，確認您的組態是否正常運作。設定完成後，WDS客戶端AP應該能夠註冊到WDS AP。

在WDS AP上，WDS狀態顯示為已註冊。

116597-config-wds-radius-12.png

在WDS客戶端AP上，WDS的狀態為Infrastructure。

116597-config-wds-radius-13.png

附註：輸出直譯器工具(僅供已註冊客戶使用)支援某些show命令。使用輸出直譯器工具來檢視show命令輸出的分析。

WDS AP上的CLI驗證輸出

以下過程顯示如何驗證WDS AP配置：

MAIB-WDS-AP#sh wlccp wds ap

HOSTNAME MAC-ADDR IP-ADDR IPV6-ADDR STATE
MAIB-WDS-Client f872.ea24.40e6 10.106.54.136 :: REGISTERED

MAIB-WDS-AP#sh wlccp wds statistics

WDS Statistics for last 10:34:13:
Current AP count: 1
Current MN count: 0
AAA Auth Attempt count: 2
AAA Auth Success count: 2
AAA Auth Failure count: 0
MAC Spoofing Block count: 0
Roaming without AAA Auth count: 0
Roaming with full AAA Auth count:0
Fast Secured Roaming count: 0
MSC Failure count: 0
KSC Failure count: 0
MIC Failure count: 0
RN Mismatch count: 0

WDS客戶端AP上的CLI驗證輸出

以下過程顯示如何驗證WDS客戶端AP配置：

MAIB-WDS-Client#sh wlccp ap

WDS = bc16.6516.62c4, IP: 10.106.54.146 , IPV6: ::
state = wlccp_ap_st_registered
IN Authenticator = IP: 10.106.54.146 IPV6: :: 
MN Authenticator = IP: 10.106.54.146 IPv6::

疑難排解

目前尚無適用於此組態的具體疑難排解資訊。

修訂記錄

修訂 發佈日期 意見
1.0
18-Oct-2013
初始版本
TAC Authored

由思科工程師貢獻

  • Maithri B and Surendra BG
    Cisco TAC Engineers.

這份文件是否有所幫助？

Feedback意見

讓思科協助您

本文件適用於這些產品