目錄

簡介

必要條件

需求

採用元件

設定

使用GUI配置

使用CLI進行配置

驗證

疑難排解

簡介

本檔案介紹使用預先共用金鑰(PSK)的無線保護存取(WPA)和WPA2的組態範例。

必要條件

需求

思科建議您瞭解以下主題：

- 熟悉Cisco IOS®軟體的GUI或命令列介面(CLI)

- 熟悉PSK、WPA和WPA2的概念

採用元件

本檔案中的資訊是根據執行Cisco IOS軟體版本15.2JB的Cisco Aironet 1260存取點(AP)。

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路正在作用，請確保您已瞭解任何指令可能造成的影響。

設定

使用GUI配置

以下過程介紹如何在Cisco IOS軟體GUI中使用PSK配置WPA和WPA2:

1. 為為服務集識別符號(SSID)定義的VLAN設定加密管理器。 導覽至Security > Encryption Manager，確保啟用密碼，然後選擇AES CCMP + TKIP作為兩個SSID使用的密碼。

2. 使用步驟1中定義的加密引數啟用正確的VLAN。導航到Security > SSID Manager，然後從Current SSID List中選擇SSID。此步驟對於WPA和WPA2配置都是通用的。

3. 在SSID頁面中，將Key Management設定為Mandatory，然後選中Enable WPA覈取方塊。從下拉選單中選擇WPA以啟用WPA。輸入WPA預共用金鑰。

4. 從下拉選單中選擇WPA2以啟用WPA2。

使用CLI進行配置

附註：

使用命令查詢工具(僅供已註冊客戶使用)可獲取本節中使用的命令的更多資訊。

輸出直譯器工具(僅供已註冊客戶使用)支援某些show命令。使用輸出直譯器工具來檢視show命令輸出的分析。

此配置與CLI中的配置相同：

sh run

Building configuration...Current configuration : 5284 bytes

!

! Last configuration change at 04:40:45 UTC Thu Mar 11 1993

version 15.2

no service pad

service timestamps debug datetime msec

service timestamps log datetime msec

service password-encryption

!

hostname ish_1262_1_st

!

!

logging rate-limit console 9

enable secret 5 $1$Iykv$1tUkNYeB6omK41S18lTbQ1

!

no aaa new-model

ip cef

ip domain name cisco.com

!

!

!

dot11 syslog

!

dot11 ssid wpa

vlan 6

authentication open

authentication key-management wpa

mbssid guest-mode

wpa-psk ascii 7 060506324F41584B56

!

dot11 ssid wpa2

vlan 7

authentication open

authentication key-management wpa version 2

wpa-psk ascii 7 110A1016141D5A5E57

!

bridge irb

!

!

!

interface Dot11Radio0

no ip address

no ip route-cache

!

encryption vlan 6 mode ciphers aes-ccm tkip

!

encryption vlan 7 mode ciphers aes-ccm tkip

!

ssid wpa

!

ssid wpa2

!

antenna gain 0

mbssid

station-role root

bridge-group 1

bridge-group 1 subscriber-loop-control

bridge-group 1 spanning-disabled

bridge-group 1 block-unknown-source

no bridge-group 1 source-learning

no bridge-group 1 unicast-flooding

!

interface Dot11Radio0.6

encapsulation dot1Q 6

no ip route-cache

bridge-group 6

bridge-group 6 subscriber-loop-control

bridge-group 6 spanning-disabled

bridge-group 6 block-unknown-source

no bridge-group 6 source-learning

no bridge-group 6 unicast-flooding

!

interface Dot11Radio0.7

encapsulation dot1Q 7

no ip route-cache

bridge-group 7

bridge-group 7 subscriber-loop-control

bridge-group 7 spanning-disabled

bridge-group 7 block-unknown-source

no bridge-group 7 source-learning

no bridge-group 7 unicast-flooding

!

interface Dot11Radio1

no ip address

no ip route-cache

!

encryption vlan 6 mode ciphers aes-ccm tkip

!

encryption vlan 7 mode ciphers aes-ccm tkip

!

ssid wpa

!

ssid wpa2

!

antenna gain 0

no dfs band block

mbssid

channel dfs

station-role root

bridge-group 1

bridge-group 1 subscriber-loop-control

bridge-group 1 spanning-disabled

bridge-group 1 block-unknown-source

no bridge-group 1 source-learning

no bridge-group 1 unicast-flooding

!

interface Dot11Radio1.6

encapsulation dot1Q 6

no ip route-cache

bridge-group 6

bridge-group 6 subscriber-loop-control

bridge-group 6 spanning-disabled

bridge-group 6 block-unknown-source

no bridge-group 6 source-learning

no bridge-group 6 unicast-flooding

!

interface Dot11Radio1.7

encapsulation dot1Q 7

no ip route-cache

bridge-group 7

bridge-group 7 subscriber-loop-control

bridge-group 7 spanning-disabled

bridge-group 7 block-unknown-source

no bridge-group 7 source-learning

no bridge-group 7 unicast-flooding

!

interface GigabitEthernet0

no ip address

no ip route-cache

duplex auto

speed auto

no keepalive

bridge-group 1

bridge-group 1 spanning-disabled

no bridge-group 1 source-learning

!

interface GigabitEthernet0.6

encapsulation dot1Q 6

no ip route-cache

bridge-group 6

bridge-group 6 spanning-disabled

no bridge-group 6 source-learning

!

interface GigabitEthernet0.7

encapsulation dot1Q 7

no ip route-cache

bridge-group 7

bridge-group 7 spanning-disabled

no bridge-group 7 source-learning

!

interface BVI1

ip address 10.105.132.172 255.255.255.128

no ip route-cache

!

ip forward-protocol nd

ip http server

ip http secure-server

驗證

若要確認組態是否正常運作，請導覽至Association，驗證使用者端是否已連線：

您也可以在CLI中使用此系統日誌消息驗證客戶端關聯：

*Mar 11 05:39:11.962: %DOT11-6-ASSOC: Interface Dot11Radio0, Station

ish_1262_1_st 2477.0334.0c40 Associated KEY_MGMT[WPAv2 PSK]

疑難排解

附註：使用 debug 指令之前，請先參閱有關 Debug 指令的重要資訊。

使用以下debug命令可對連線問題進行疑難排解：

- debug dot11 aaa manager keys — 此調試顯示AP和客戶端之間的握手，作為成對臨時金鑰(PTK)和組臨時金鑰(GTK)協商。

- debug dot11 aaa authenticator state-machine — 此調試顯示客戶端在關聯和身份驗證時經歷的各種協商狀態。狀態名稱表示這些狀態。

- debug dot11 aaa authenticator process — 此調試可幫助您診斷協商通訊的問題。詳細資訊顯示協商中的每個參與者傳送的內容，並顯示另一個參與者的響應。您還可以將此調試與debug radius authentication命令結合使用。

- debug dot11 station connection failure — 此調試可幫助您確定客戶端連線是否失敗，並幫助您確定失敗的原因。