目錄

簡介

必要條件

需求

採用元件

配置錨定到其他Catalyst 9800的Catalyst 9800

網路圖表

在兩台9800上配置AAA

在WLC上配置WLAN

在外部WLC上建立策略配置檔案和策略標籤

在錨點WLC上建立策略配置檔案

重新導向兩台9800上的ACL設定

配置ISE

設定錨點到AireOS WLC的Catalyst 9800

Catalyst 9800外部配置

錨點AireOS WLC上的AAA配置

AireOS WLC上的WLAN配置

在AireOS WLC上重定向ACL

配置ISE

當AireOS WLC是外部，Catalyst 9800是錨點時，配置的差異

驗證

疑難排解

Catalyst 9800故障排除資訊

客戶端詳細資訊

內嵌式封包擷取

RadioActive跟蹤

AireOS故障排除資訊

客戶端詳細資訊

從CLI調試

參考資料

簡介

本檔案介紹如何在Catalyst 9800上設定和疑難排解中央Web驗證(CWA)，該驗證指向另一個無線LAN控制器(WLC)作為行動錨點，且使用AireOS或其他9800 WLC覆蓋目的地。

必要條件

需求

建議您瞭解9800 WLC、AireOS WLC和Cisco ISE的基本知識。假設在啟動CWA錨點設定之前，您已經開啟了兩個WLC之間的行動通道。超出此組態範例的範圍。如需相關幫助，請參閱標題為「在Catalyst 9800控制器上建立行動通道」的文件

採用元件

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

9800 17.2.1

5520 8.5.164 IRCM映像

ISE 2.4

配置錨定到其他Catalyst 9800的Catalyst 9800

網路圖表

在兩台9800上配置AAA

在錨點和外部上，您需要先新增RADIUS伺服器並確保已啟用CoA。這可以在選單中完成Configuration>Security>AAA>Servers/Groups>Servers>單擊Add按鈕

現在需要建立伺服器組，並將剛才配置的伺服器放入該組中。此操作在Configuration>Security>AAA>Servers/Groups>Server Groups>+Add處完成。

現在，建立一個authorization方法清單（對於CWA不需要身份驗證方法清單），其中型別為網路，組型別為組。將上一個操作中的伺服器組新增到此方法清單中。

此配置在此處完成Configuration>Security>AAA>Servers/AAA Method List>Authorization>+Add

（可選）使用與授權方法清單相同的伺服器組建立記帳方法清單。可以在以下位置建立記帳清單:Configuration>Security>AAA>Servers/AAA Method List>Accounting>+Add

在WLC上配置WLAN

在兩台WLC上建立和配置WLAN。兩者上的WLAN應該相符。安全型別應為mac過濾，並應應用上一步中的授權方法清單。此組態在Configuration>Tags & Profiles>WLANs>+Add下完成

在外部WLC上建立策略配置檔案和策略標籤

前往外部WLC Web UI。

要建立策略配置檔案，請轉到配置>標籤和配置檔案>策略>+新增

錨定時，必須使用中心交換。

在「高級」頁籤上，CWA必須使用AAA覆蓋和RADIUS NAC。如果您選擇建立會計方法清單，還可以在此處應用該清單。

在「Mobility」索引標籤上，請勿勾選「export anchor」覈取方塊，而是將錨點WLC新增到錨點清單中。確保點選「應用到裝置」。 請注意，此假設兩個控制器之間已建立行動通道

為了讓AP使用此策略配置檔案，您需要建立策略標籤並將其應用到要使用的AP。

要建立策略標籤，請轉至Configuration>Tags & Profiles>Tags?Policy>+Add

要同時將此項新增到多個AP，請轉到配置>無線設定>高級>立即開始。點選「標籤AP」旁邊的專案符號欄，將該標籤新增到您選擇的AP。

在錨點WLC上建立策略配置檔案

前往錨點WLC Web UI。在錨點9800上Configuration>Tags & Profiles>Tags>Policy>+Add下新增策略配置檔案。確保此配置與外部裝置上的策略配置檔案相匹配，移動頁籤和記帳清單除外。

此處不新增錨點，但會勾選「匯出錨點」覈取方塊。請勿在此處新增記帳清單。請注意，此假設兩個控制器之間已建立行動通道

附註：沒有理由在策略標籤中將此配置檔案關聯到WLAN。如果您這樣做，將會出現問題。如果您想對此WLC上的AP使用相同的WLAN，請為其建立另一個原則設定檔。

重新導向兩台9800上的ACL設定

接下來，您需要在兩台9800上建立重新導向ACL組態。外部的條目並不重要，因為它是將ACL應用於流量的錨點WLC。唯一的要求是它在那裡，並且有一些條目。錨點上的條目必須「拒絕」埠8443上的ISE訪問，並且「允許」所有其他內容。此ACL僅適用於從客戶端「進入」的流量，因此不需要返回流量的規則。DHCP和DNS將在ACL中無條目的情況下通過。

配置ISE

最後一步是為CWA配置ISE。此方式有很多選項，但本示例將堅持基本並使用預設的自註冊訪客門戶。

在ISE上，您需要建立授權配置檔案、帶有身份驗證策略的策略集和使用授權配置檔案的授權策略，將9800（外部）作為網路裝置新增到ISE，並建立使用者名稱和密碼以登入網路。

要建立授權配置檔案，請轉至Policy>Policy Elements>Authorization>Results>Authorization Profiles>，然後按一下Add。確保返回的訪問型別為「access_accept」，然後設定要傳送回的AVP（屬性 — 值對）。對於CWA，重定向ACL和重定向URL是必需的，但您也可以傳送回諸如VLAN ID和會話超時等內容。非常重要，ACL名稱應與外部和錨點9800上的重新導向ACL名稱相匹配。

然後，您需要配置一種方法，將剛剛建立的授權配置檔案應用到通過CWA的客戶端。為此，一種方法是建立在使用MAB時繞過身份驗證的策略集，並在使用被叫站ID中傳送的SSID時應用授權配置檔案。同樣，有很多方法可以實現這一點，因此，如果您需要一些更具體或更安全的方法，這是最簡單的方法。

要建立策略集，請轉至Policy>Policy Sets，然後點選螢幕左側的+按鈕。命名新策略集，並確保將其設定為「預設網路訪問」或允許對MAB進行「進程主機查詢」的任何允許的協定清單（要檢查允許的協定清單，請轉至Policy>Policy Elements>Results>Authentication>Allowed Protocols）。 現在點選您建立的新策略集中間的+符號。

對於此策略設定，每次在ISE中使用MAB時，它將通過此策略設定。稍後，您可以制定與被叫站ID匹配的授權策略，以便根據使用的WLAN應用不同的結果。此流程非常可定製，可以匹配許多內容。

在策略集中，建立策略。身份驗證策略可以在MAB上再次匹配，但您需要更改ID儲存以使用「內部端點」，並且需要更改選項以繼續身份驗證失敗且找不到使用者。

設定身份驗證策略後，需要在授權策略中建立兩個規則。此策略看上去像ACL，因此順序需要將post-auth規則放在頂部，將pre-auth規則放在底部。後身份驗證規則將匹配已通過訪客流的使用者。也就是說，如果他們已經登入，他們將遵循該規則並停止。如果他們尚未登入，則會繼續下清單並點選獲取重定向的預身份驗證規則。最好將授權策略規則與以SSID結尾的被叫站ID相匹配，以便僅對配置為這樣做的WLAN進行命中。

現在策略集已配置，您需要通知ISE關於9800（外部），以便ISE將其信任為身份驗證器。這可以在Admin>Network Resources>Network Device>+中執行。您需要為其命名、設定IP地址（在本例中為整個管理子網）、啟用RADIUS並設定共用金鑰。ISE上的共用金鑰必須與9800上的共用金鑰匹配，否則此進程將失敗。新增配置後，按一下「提交」按鈕儲存配置。

最後，您需要將客戶端要輸入的使用者名稱和密碼新增到登入頁面，以驗證他們是否有權訪問網路。此操作在Admin>Identity Management>Identity>Users>+Add下完成，並確保在新增後按submit。  與ISE的所有其他配置一樣，這是可自定義的，無需使用者本地儲存，但也是最簡單的配置。

設定錨點到AireOS WLC的Catalyst 9800

Catalyst 9800外部配置

按照前面討論的步驟操作，跳過「在錨點WLC上建立策略配置檔案」部分。

錨點AireOS WLC上的AAA配置

前往Security>AAA>RADIUS>Authentication>New，將伺服器新增到WLC。新增伺服器IP地址、共用金鑰和支援CoA。

AireOS WLC上的WLAN配置

若要建立WLAN，請轉至WLANs>Create New>Go。

配置配置檔名稱、WLAN ID和SSID，然後點選「Apply」。

這麼做應會進入無線區域網組態。在「General」頁籤上，如果您不打算配置ISE在AVP中傳送，您可以新增希望客戶端使用的介面。接下來，前往Security>Layer2索引標籤，並匹配在9800上使用的「Layer 2 Security」配置並啟用「MAC Filtering」。

現在移至Security>AAA Servers頁籤，並將ISE伺服器設定為「Authentication Servers」。 請勿為「記帳伺服器」設定任何內容。 取消選中「啟用」框以進行記帳。

仍處於WLAN配置中時，移至「Advanced」頁籤並啟用「Allow AAA Override」，並將「NAC State」更改為「ISE NAC」

最後是把它固定在自己身上。若要執行此操作，請返回WLANs頁面，並懸停在WLAN>移動錨點右側的藍色框上。將「Switch IP Address(Anchor)(交換機IP地址（錨點）)」設定為「local」，然後按下「Mobility Anchor Create」按鈕。隨後應顯示優先順序0為本地錨點。

在AireOS WLC上重定向ACL

這是AireOS WLC上所需的最終配置。若要建立重新導向ACL，請前往Security>Access Control Lists>Access Control Lists>New。輸入ACL名稱（該名稱必須與AVP中傳送的名稱匹配），然後點選「Apply」。

現在，按一下剛建立的ACL的名稱。按一下「新增新規則」按鈕。與AireOS WLC上的9800控制器不同，您可以為允許到達ISE的流量配置允許語句，而無需重定向。  預設情況下允許DHCP和DNS。

配置ISE

最後一步是為CWA配置ISE。此方式有很多選項，但本示例將堅持基本並使用預設的自註冊訪客門戶。

在ISE上，您需要建立授權配置檔案、帶有身份驗證策略的策略集和使用授權配置檔案的授權策略，將9800（外部）作為網路裝置新增到ISE，並建立使用者名稱和密碼以登入網路。

要建立授權配置檔案，請轉至Policy>Policy Elements>Authorization>Results>Authorization Profiles>+Add。確保返回的訪問型別為「access_accept」，然後設定要傳送回的AVP（屬性 — 值對）。對於CWA，重定向ACL和重定向URL是必需的，但您也可以傳送回諸如VLAN ID和會話超時等內容。非常重要，ACL名稱應與外部WLC和錨點WLC上的重新導向ACL名稱相符。

然後，您需要配置一種方法，將剛剛建立的授權配置檔案應用到通過CWA的客戶端。為此，一種方法是建立在使用MAB時繞過身份驗證的策略集，並在使用被叫站ID中傳送的SSID時應用授權配置檔案。同樣，有很多方法可以實現這一點，因此，如果您需要一些更具體或更安全的方法，這是最簡單的方法。

要建立策略集，請轉至Policy>Policy Sets，然後點選螢幕左側的+按鈕。命名新策略集，並確保將其設定為「預設網路訪問」或允許對MAB進行「進程主機查詢」的任何允許的協定清單（要檢查允許的協定清單，請轉至Policy>Policy Elements>Results>Authentication>Allowed Protocols）。 現在點選您建立的新策略集中間的+符號。

對於此策略設定，每次在ISE中使用MAB時，它將通過此策略設定。稍後，您可以制定與被叫站ID匹配的授權策略，以便根據使用的WLAN應用不同的結果。此流程非常可定製，可以匹配許多內容

在策略集中，建立策略。身份驗證策略可以在MAB上再次匹配，但您需要更改ID儲存以使用「內部端點」，並且需要更改選項以繼續身份驗證失敗且找不到使用者。

設定身份驗證策略後，需要在授權策略中建立兩個規則。此策略看上去像ACL，因此順序需要將post-auth規則放在頂部，將pre-auth規則放在底部。後身份驗證規則將匹配已通過訪客流的使用者。也就是說，如果他們已經登入，他們將遵循該規則並停止。如果他們尚未登入，則會繼續下清單並點選獲取重定向的預身份驗證規則。最好將授權策略規則與以SSID結尾的被叫站ID相匹配，以便僅對配置為這樣做的WLAN進行命中。

現在策略集已配置，您需要通知ISE關於9800（外部），以便ISE將其信任為身份驗證器。可在以下位置完成此操作：Admin>Network Resources>Network Device>+.您需要為其命名、設定IP地址（在本例中為整個管理子網）、啟用RADIUS並設定共用金鑰。ISE上的共用金鑰必須與9800上的共用金鑰匹配，否則此進程將失敗。新增配置後，按一下「提交」按鈕儲存配置。

最後，您需要將客戶端要輸入的使用者名稱和密碼新增到登入頁面，以驗證他們是否有權訪問網路。這是在Admin>Identity Management>Identity>Users>+Add並確保在新增後按一下「提交」。  與ISE的所有其他配置一樣，這是可自定義的，無需使用者本地儲存，但也是最簡單的配置。

當AireOS WLC是外部，Catalyst 9800是錨點時，配置的差異

如果您希望AireOs WLC成為外部控制器，則配置與之前相同，只有兩個差異。

1. AAA記帳從來不在錨點上完成，因此9800沒有記帳方法清單，而AireOS WLC將啟用記帳並指向ISE。

2. AireOS需要錨定到9800而不是其自身。在策略配置檔案中，9800不會選擇錨點，但會選中「匯出錨點」框。

3. 必須注意的是，當AireOS WLC將使用者端匯出到9800時，並沒有原則設定檔的概念，只會傳送WLAN設定檔名稱。因此，9800會將從AireOS傳送的WLAN配置檔名稱應用到WLAN配置檔名稱和策略配置檔名稱。這表示從AireOS WLC錨定到9800 WLC時，兩個WLC上的WLAN設定檔名稱和9800上的原則設定檔名稱必須全部相符。

驗證

若要驗證9800 WLC上的組態，請執行命令

- AAA

Show Run | section aaa|radius

- WLAN

Show wlan id <wlan id>

- 策略配置檔案

Show wireless profile policy detailed <profile name>

- 策略標籤

Show wireless tag policy detailed <policy tag name>

- ACL

Show IP access-list <ACL name>

- 驗證使用錨點的移動性是否啟動

Show wireless mobility summary

要驗證AireOS WLC上的配置，請運行命令

- AAA

Show radius summary

附註：RFC3576是CoA配置

- WLAN

Show WLAN <wlan id>

- ACL

Show acl detailed <acl name>

- 驗證與外部裝置的移動性是否正常

Show mobility summary

疑難排解

根據客戶端在該過程中停止的點，故障排除看起來不同。例如，如果WLC從未從MAB上的ISE收到響應，則客戶端將停滯在「Policy Manager State：（策略管理器狀態：）」Associating」和「 」將不會匯出到錨點。在這種情況下，您只會對外來路由器進行疑難排解，可能會為WLC和ISE之間的流量收集RA追蹤和封包擷取。另一個範例是MAB已成功通過，但使用者端沒有收到重新導向。在這種情況下，您需要確保外部在AVP中收到重定向並將其應用於客戶端。您還需要檢查錨點，以確保客戶端的正確ACL位於錨點上。  此故障排除範圍超出本技術文檔的設計範圍（有關通用客戶端故障排除指南的參考）。

如需更多有關在9800 WLC上排除CWA的幫助，請參閱Cisco Live!演示DGTL-TSCENT-404

Catalyst 9800故障排除資訊

客戶端詳細資訊

show wireless client mac-address

detail

在此您應檢視「策略管理器狀態」、「會話管理器>身份驗證方法」、「移動角色」。

也可在GUI的「監控」(Monitoring)>「客戶端」(Clients)下找到此資訊

內嵌式封包擷取

在CLI中，命令啟動#monitor capture <capture name>，然後選項會在此後顯示。

在GUI上前往疑難排解>封包擷取>+Add

RadioActive跟蹤

在CLI上

debug wireless mac|ip

使用該命令的no形式將其停止。此檔案將記錄到bootflash中名為"ra_trace"的檔案中，然後記錄客戶端的MAC或IP地址以及日期和時間。

在GUI上，轉到「Troubleshoot」>「Radiative Trace」>「Add」。新增客戶端的mac或ip地址，點選apply，然後點選start。完成該過程數次後，停止跟蹤、生成日誌並將其下載到您的裝置。

AireOS故障排除資訊

客戶端詳細資訊

在CLI上show client details <client mac>

在GUI監視器>客戶端上

從CLI調試

Debug client

Debug mobility handoff

Debug mobility config

參考資料

使用9800控制器構建移動隧道

9800上的無線調試和日誌收集