目錄

簡介

必要條件

需求

採用元件

背景資訊

設定

網路圖表

簡介

本檔案介紹如何在Catalyst 9800無線LAN控制器上使用中央或本機驗證設定FlexConnect。

必要條件

需求

思科建議您瞭解以下主題：

- Catalyst無線9800組態型號

- FlexConnect

- 802.1x

採用元件

本文中的資訊係根據以下軟體和硬體版本：

- C9800-CL、Cisco IOS-XE® 17.3.4

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

背景資訊

FlexConnect是用於遠端辦公室部署的無線解決方案。它允許您通過廣域網(WAN)鏈路從公司辦公室配置遠端位置的接入點(AP)，而無需在每個位置部署控制器。FlexConnect AP可以在本地交換客戶端資料流量，並在與控制器的連線斷開時執行本地客戶端身份驗證。在連線模式下，FlexConnect AP還可以執行本地身份驗證。

設定

網路圖表

組態

9800 WLC上的AAA組態

步驟 1.宣告RADIUS伺服器。在GUI中：導覽至Configuration > Security > AAA > Servers / Groups > RADIUS > Servers > + Address，然後輸入RADIUS伺服器資訊。

如果您計畫將來使用任何需要CoA的安全型別，請確保支援CoA。

注意：注意：Flex connect本地身份驗證部署不支援Radius CoA。.

步驟 2.將RADIUS伺服器新增到RADIUS組。 在GUI中：導航到Configuration > Security > AAA > Servers / Groups > RADIUS > Server Groups > + Add。

步驟 3.建立身份驗證方法清單。在GUI上：導航到Configuration > Security > AAA > AAA Method List > Authentication > + Add

在 CLI 上：

# config t

# aaa new-model

# radius server <radius-server-name>

# address ipv4 <radius-server-ip> auth-port 1812 acct-port 1813

# timeout 300

# retransmit 3

# key <shared-key>

# exit

# aaa group server radius <radius-grp-name>

# server name <radius-server-name>

# exit

# aaa server radius dynamic-author

# client <radius-server-ip> server-key <shared-key>

# aaa authentication dot1x <dot1x-list-name> group <radius-grp-name>

WLAN配置

步驟 1.在GUI上：導覽至Configuration > Wireless > WLANs，然後按一下+Add以建立一個新的WLAN，然後輸入WLAN資訊。然後點選應用到裝置。

步驟 2.在GUI上：導覽至Security索引標籤，配置第2層/第3層安全模式（只要加密方法還在使用），並在使用802.1x的情況下配置身份驗證清單。然後按一下Update & Apply to Device。

原則設定檔組態

步驟 1.在GUI中：導航至Configuration > Tags & Profiles > Policy，然後點選+Add以建立策略配置檔案。

步驟 2.新增名稱，並取消選中Central Switching框。透過此設定，控制器會處理使用者端驗證，而FlexConnect存取點會在本地交換使用者端封包。

註：如果禁用了中心交換，則關聯和交換必須始終成對。使用Flexconnect AP時，必須在所有策略配置檔案上禁用中心關聯。

步驟 3.在GUI上：導覽至Access Policies頁籤，分配無線客戶端在預設情況下連線到此WLAN時可以分配到的VLAN。

您可以從下拉選單中選擇一個VLAN名稱，或者作為最佳實踐，手動鍵入VLAN ID。

步驟 4.在GUI上：導覽至Advanced 索引標籤，以設定WLAN逾時、DHCP、WLAN Flex Policy和AAA策略，以防它們正在使用。然後點選Update & Apply to Device。

原則標籤組態

步驟 1.在GUI中：導航至配置>標籤和配置檔案>標籤>策略> +新增。

步驟 2.分配名稱，並對映之前建立的策略配置檔案和WLAN配置檔案。

Flex配置檔案配置

步驟1.在GUI中：導覽至Configuration > Tags & Profiles > Flex，然後按一下+Add以建立一個新的標籤。

註：本地VLAN ID是指可分配此Flex配置檔案的AP使用的VLAN，並且該VLAN必須與AP所連線的交換機埠上的本地VLAN ID配置相同。

步驟 2.在VLAN 索引標籤下，新增需要的VLAN、透過Policy Profile預設分配給WLAN的VLAN，或RADIUS伺服器推送的VLAN。然後點選Update & Apply to Device。

注意：對於Policy Profile，當您選擇分配給SSID的預設VLAN時。如果在此步驟中使用VLAN名稱，請確保在Flex Profile組態中使用相同的VLAN名稱，否則使用者端無法連線到WLAN。

註：要為flexConnect配置ACL並覆蓋AAA，請僅在「策略ACL」上配置它，如果將ACL分配給特定VLAN，請在新增VLAN時新增ACL，然後在「策略ACL」上新增ACL。

站點標籤配置

步驟 1.在GUI中：導航至Configuration > Tags & Profiles > Tags > Site，然後點選+Add以建立新的站點標籤。取消選中Enable Local Site框以允許AP在本地交換客戶端資料流量，然後新增之前建立的Flex配置檔案。

注意：禁用「啟用本地站點」後，分配此站點標籤的AP可配置為FlexConnect模式。

步驟 2.在GUI中：導航至Configuration > Wireless > Access Points > AP name，將Site Tag和Policy Tag新增到關聯的AP。這可能會導致AP重新啟動其CAPWAP通道並加入回9800 WLC。

AP連線回後，請注意AP現在處於FlexConnect模式。

使用外部RADIUS伺服器的本機驗證

步驟 1.將AP作為網路裝置新增到RADIUS伺服器。如需範例，請參閱如何使用身分識別服務引擎(ISE)作為RADIUS伺服器

步驟 2.建立WLAN。

此組態可以與先前設定的組態相同。

步驟 3.原則設定檔組態.

您可以建立新配置或使用之前配置的。這一次，取消選中Central Switching、Central Authentication、Central DHCP和Central Association Enable框。

步驟 4.原則標籤組態.

將已配置的WLAN與已建立的Policy Profile相關聯。

步驟 5.Flex配置檔案配置。

建立Flex配置檔案，導航到Local Authentication頁籤，配置Radius Server Group，然後選中RADIUS框。

步驟 6.站點標籤配置。

配置在步驟5中配置的Flex Profile，並取消選中Enable Local Site框。

驗證

在GUI上：導覽至Monitoring > Wireless > Clients，確認Policy Manager State和FlexConnect引數。

集中身份驗證：

本地身份驗證：

您可以使用這些命令驗證當前配置：

在 CLI 上：

# show wlan { summary | id | name | all }

# show run wlan

# show run aaa

# show aaa servers

# show ap config general

# show ap name <ap-name> config general

# show ap tag summary

# show ap name <AP-name> tag detail

# show wlan { summary | id | name | all }

# show wireless tag policy detailed <policy-tag-name>

# show wireless profile policy detailed <policy-profile-name>

疑難排解

WLC 9800提供永遠線上的追蹤功能。這可確保所有與客戶端連線相關的錯誤、警告和通知級別消息均持續記錄，並且您可以在發生事故或故障情況後檢視其日誌。

注意：根據生成的日誌量，您可以將時間從幾小時縮短到幾天。

若要檢視9800 WLC在預設情況下蒐集的追蹤，可以透過SSH/Telnet連線到9800 WLC並執行以下步驟（確保將作業階段記錄到文字檔中）。

步驟 1.檢查控制器當前時間，這樣您就可以跟蹤問題發生時之前的日誌。

在 CLI 上：

# show clock

步驟 2.根據系統配置的指示，從控制器緩衝區或外部系統日誌中收集系統日誌。這樣可以快速檢視系統運行狀況和錯誤（如果有）。

在 CLI 上：

# show logging

步驟 3.驗證是否已啟用任何調試條件。

在 CLI 上：

# show debugging

IOSXE Conditional Debug Configs:

Conditional Debug Global State: Stop

IOSXE Packet Tracing Configs:

Packet Infra debugs:

Ip Address                                               Port

------------------------------------------------------|----------

註：如果找到任何列出的條件，則表示遇到啟用條件（mac地址、ip地址等）的所有進程的跟蹤將記錄到調試級別。如此可能會增加記錄量。因此，建議您在未主動偵錯時清除所有條件。

步驟 4.如果您假設在步驟3中未將所測試的mac地址列為條件，請收集特定mac地址的always-on通知級別跟蹤。

在 CLI 上：

# show logging profile wireless filter { mac | ip } { <aaaa.bbbb.cccc> | <a.b.c.d> } to-file always-on-<FILENAME.txt>

您可顯示作業階段中的內容，或可將檔案複製到外部 TFTP 伺服器。

在 CLI 上：

# more bootflash:always-on-<FILENAME.txt>

or

# copy bootflash:always-on-<FILENAME.txt> tftp://a.b.c.d/path/always-on-<FILENAME.txt>

條件式偵錯和無線電主動追蹤

如果永遠線上(always-on)跟蹤未為您提供足夠的資訊來確定所調查問題的觸發因素，則可以啟用條件調試並捕獲無線活動(RA)跟蹤，該跟蹤可以為與指定條件（本例中為客戶端mac地址）互動的所有進程提供調試級別跟蹤。要啟用條件調試，請完成以下步驟。

步驟 5.確保未啟用調試條件。

在 CLI 上：

# clear platform condition all

步驟 6.為要監控的無線客戶端mac地址啟用調試條件。

此命令開始監控提供的mac地址達30分鐘（1800秒）。您可選擇將此時間增加至 2085978494 秒。

在 CLI 上：

# debug wireless mac <aaaa.bbbb.cccc> {monitor-time <seconds>}

附註：若要同時監控多個用戶端，請針對每個 MAC 位址執行 debug wireless mac <aaaa.bbbb.cccc> 指令。

注意:您看不到終端會話上客戶端活動的輸出，因為所有內容都在內部緩衝，供以後檢視。

步驟 7.重現您要監控的問題或行為。

步驟 8.如果在預設或配置的監控器時間開啟之前重現問題，則停止調試。

在 CLI 上：

# no debug wireless mac <aaaa.bbbb.cccc>

當監控時間結束或偵錯無線停止後，9800 WLC 會產生本機檔案，名稱如下：

ra_trace_MAC_aaaabbbbcccc_HHMMSS.XXX_timezone_DayWeek_Month_Day_year.log

步驟 9. 收集 MAC 位址活動的檔案。    您可將 ra_trace.log 複製到外部伺服器，或將輸出內容直接顯示於螢幕上。

檢查 RA 追蹤檔案的名稱

在 CLI 上：

# dir bootflash: | inc ra_trace

將檔案複製到外部伺服器：

在 CLI 上：

# copy bootflash:ra_trace_MAC_aaaabbbbcccc_HHMMSS.XXX_timezone_DayWeek_Month_Day_year.log tftp://a.b.c.d/ra-FILENAME.txt

顯示內容：

在 CLI 上：

# more bootflash:ra_trace_MAC_aaaabbbbcccc_HHMMSS.XXX_timezone_DayWeek_Month_Day_year.log

步驟 10.如果根本原因仍不明顯，請收集內部日誌，這些日誌是調試級別日誌的更詳細檢視。您無需再次調試客戶端，因為您詳細檢視了已收集並內部儲存的調試日誌。

在 CLI 上：

# show logging profile wireless internal filter { mac | ip } { <aaaa.bbbb.cccc> | <a.b.c.d> } to-file ra-internal-<FILENAME>.txt

注意：此命令輸出返回所有進程的所有日誌記錄級別的跟蹤，而且非常大。請聯絡 Cisco TAC 協助剖析此類追蹤。

您可將 ra-internal-FILENAME.txt 複製到外部伺服器，或將輸出內容直接顯示於螢幕上。

將檔案複製到外部伺服器：

在 CLI 上：

# copy bootflash:ra-internal-<FILENAME>.txt tftp://a.b.c.d/ra-internal-<FILENAME>.txt

顯示內容：

在 CLI 上：

# more bootflash:ra-internal-<FILENAME>.txt

步驟 11.移除偵錯條件。

在 CLI 上：

# clear platform condition all

注意：請確保在故障排除會話後始終刪除調試條件。