排除WLC 9800和SE的CWA故障

下載選項

  • PDF     (5.5 MB)
    在多種裝置上使用 Adobe Reader 檢視
  • ePub     (5.7 MB)
    在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上的各種應用程式中檢視
  • Mobi (Kindle)     (3.0 MB)
    在 Kindle 裝置或多部裝置的 Kindle 應用程式上檢視
已更新: 2026 年 8 月 26 日
文件 ID:220852

無偏見用語

本產品的文件集力求使用無偏見用語。針對本文件集的目的，無偏見係定義為未根據年齡、身心障礙、性別、種族身分、民族身分、性別傾向、社會經濟地位及交織性表示歧視的用語。由於本產品軟體使用者介面中硬式編碼的語言、根據 RFP 文件使用的語言，或引用第三方產品的語言，因此本文件中可能會出現例外狀況。深入瞭解思科如何使用包容性用語。

關於此翻譯

思科已使用電腦和人工技術翻譯本文件，讓全世界的使用者能夠以自己的語言理解支援內容。請注意，即使是最佳機器翻譯，也不如專業譯者翻譯的內容準確。Cisco Systems, Inc. 對這些翻譯的準確度概不負責，並建議一律查看原始英文文件（提供連結）。

簡介

本檔案介紹如何對使用無線LAN控制器(WLC)9800和身分識別服務引擎(ISE)的CWA進行疑難排解。

背景資訊

想為個人設備提供安全無線訪問的網路管理員通常會選擇使用CWA的無線網路。本文重點介紹CWA的流程圖，它有助於排除常見問題。其中涵蓋流程中的常見問題、如何收集與CWA相關的日誌、如何分析這些日誌，以及如何收集WLC上的嵌入式資料包捕獲(Embedded Packet Capture， EPC)以確認流量。

CWA是公司最常見的設定，允許使用者使用其個人裝置連線到公司網路，也稱為自帶裝置(BYOD)。 此資訊提供在開啟TAC案例之前需執行的疑難排解步驟。

以下是CWA資料包流：

CWA Packet FlowCWA封包流

詳細流程

首次關聯和RADIUS身份驗證：

First Assocition and RADIUS Authentication首次關聯和RADIUS身份驗證

DHCP、DNS和連線檢查：

DHCP, DNS and Connectivity CheckDHCP、DNS和連線檢查

連線檢查由客戶端裝置作業系統(OS)或瀏覽器使用強制網路門戶檢測完成。

裝置操作系統已預編程，以對特定域執行HTTP GET:

  • 蘋果= captive.apple.com
  • Android = connectivitycheck.gstatic.com
  • Windows = msftconnectest.com

瀏覽器在開啟時也會執行此檢查：

  • Chrome = clients3.google.com
  • Firefox = detectportal.firefox.com

流量攔截和重定向：

Traffic interception and redirection流量攔截和重定向

客戶端登入到ISE訪客登入門戶：

Client login into ISE guest login portal客戶端登入到ISE訪客登入門戶

客戶端登入和CoA:

Client login and CoA客戶端登入和CoA

疑難排解

使用者沒有重定向到登入頁面的常見症狀

讓我們從流程的第一部分開始：

First Assocition and RADIUS Authentication首次關聯和RADIUS身份驗證

第一個RADIUS身份驗證是否成功？

檢查MAC過濾驗證結果：

ISE Live Logs Showing MAC Filtering authentication result顯示mac過濾身份驗證結果的ISE Live日誌

如果沒有找到使用者，請確保身份驗證的高級選項設定為Continue:

User not Found Advanced Option未找到使用者高級選項

WLC是否收到重新導向URL和ACL?

檢查Monitoring下的ISE即時日誌和WLC客戶端安全資訊驗證ISE在Access Accept中傳送Redirect URL和ACL，並且WLC會收到該資訊，並在客戶端詳細資訊中將其應用到客戶端：

Redirect ACL and URL重新導向ACL和URL

重定向ACL是否正確？

檢查ACL名稱中是否存在任何拼寫錯誤。確保它與ISE傳送的完全相同：

Redirect ACL Verification重新導向ACL驗證

使用者端是否移至Web-Auth待處理？

檢查使用者端詳細資訊以瞭解Web Auth Pending狀態。如果它未處於該狀態，則驗證是否已在策略配置檔案中啟用AAA覆蓋和RADIUS NAC:

Client Details, AAA Override and RADIUS NAC客戶端詳細資訊、aaa覆蓋和RADIUS NAC

如果問題仍然存在，請重新訪問流：

DHCP, DNS and Connectivity CheckDHCP、DNS和連線檢查

WLC是否允許DHCP和DNS流量？

驗證WLC中的重新導向ACL內容：

Redirect ACL Contents in the WLC在WLC中重新導向ACL內容

重定向ACL定義哪些流量被permit語句攔截和重定向，哪些流量被以deny語句從攔截和重定向中忽略。

在本例中，允許DNS和與ISE IP地址之間的流量流，並且埠80(WWW)上的任何TCP流量都會被攔截。

DHCP伺服器是否接收DHCP發現/請求？ 

如果發生DHCP交換，請檢查EPC。EPC可與內部過濾器（例如DHCP協定和/或內部過濾器MAC）一起使用，可以在其中使用客戶端裝置MAC地址，並在EPC中僅獲得由客戶端裝置MAC地址傳送或傳送到客戶端裝置MAC地址的DHCP資料包。

在以下範例中，請注意VLAN 3上以廣播形式傳送的DHCP Discover封包：

WLC EPC to Verify DHCP用於驗證DHCP的WLC EPC

確認策略配置檔案中預期的客戶端VLAN:

VLAN in the Policy Profile策略配置檔案中的VLAN

驗證WLC VLAN、switchport Trunk配置和DHCP子網：

VLAN, Switchport and DHCP SubnetVLAN、switchport和DHCP子網

VLAN 3存在於WLC中，它也有適用於VLAN 3的交換器虛擬介面(SVI)。然而，驗證DHCP伺服器IP位址時，它位於不同的子網路上;因此，SVI上需要ip helper-address。

最佳實踐要求在有線基礎設施中配置客戶端子網的SVI，從而避免在WLC上配置這些SVI。

在任何情況下，無論在SVI位於何處，都必須將ip helper-address命令新增到SVI。

另一種方法是在策略配置文件中配置DHCP伺服器IP地址：

IP helper-address at SVI or Policy ProfileSVI或策略配置檔案的IP幫助程式地址

然後，您可以使用EPC驗證DHCP交換是否成功且DHCP伺服器是否提供DNS伺服器IP:

DHCP Offer Detail of DNS Server IPDNS伺服器IP的DHCP提供詳細資訊

是否發生自動重新導向？

使用WLC EPC驗證DNS伺服器是否響應查詢：

DNS Query and ResponsesDNS查詢和響應

  • 如果重新導向不是自動的，請開啟瀏覽器並嘗試隨機的IP地址。例如10.0.0.1。
  • 如果重新導向隨後生效，則可能會遇到DNS解析問題。

如果問題仍然存在，請重新訪問流:

Traffic interception and redirection流量攔截和重定向

瀏覽器未顯示登入頁面嗎？

驗證用戶端是否將TCP SYN傳送到連線埠80,WLC會攔截它：

TCP Retransmissions to Port 80TCP重新傳輸到埠80

在本範例中，用戶端將TCP SYN封包傳送到連線埠80，但沒有取得任何回覆，而是執行TCP重新傳輸。

確保在全域性配置中具有ip http server 命令，或在引數對映全域性配置中具有webauth-http-enable:

HTTP Interception Commandshttp攔截命令

應用該命令後，WLC會攔截TCP 流量並偽裝目的地IP位址，以回覆client並重定向。

TCP Interception by WLCWLC的TCP攔截

如果問題仍然存在，請繼續流動:

Client login into ISE guest login portal客戶端登入到ISE訪客登入門戶

客戶端能否解析ISE主機名？

驗證重新導向URL是否使用IP位址或主機名稱，以及使用者端是否解析ISE主機名稱：

ISE Hostname resolutionISE主機名解析

當重定向URL包含ISE主機名，但客戶端裝置無法將該主機名解析為ISE IP地址時，會出現一個常見問題。如果使用主機名稱，請確保主機名稱可透過DNS解析。

是否仍未載入登入頁面？

如果客戶端流量到達ISE策略服務節點(PSN)，請使用WLC EPC和ISE TCPdump進行驗證。 在WLC和ISE上配置和啟動捕獲：

WLC EPC and ISE TCPDumpWLC EPC和ISE TCPDump

問題再現後，收集捕獲並關聯流量。在本例中，解析ISE主機名，然後在客戶端和埠8443上的ISE之間進行通訊：

WLC and ISE TrafficWLC和ISE流量

為什麼因為憑證而發生資安違規？

  1. 如果您在ISE上使用自簽名證書，則客戶端在嘗試顯示ISE門戶登入頁面時可能會拋出安全警告。

在WLC EPC或ISE TCPdump上，可以驗證ISE證書是否受信任。

在本例中,close 從客戶端關閉連線，並顯示警告(級別：致命，描述：Certificate Unknown),這表示ISE證書未知(受信任

ISE Untrusted CertificateISE不受信任的證書

如果在使用者端上勾選了，則會看到以下範例輸出:

Client Device that does not Trust ISE Certificate不信任ISE證書的客戶端裝置

如果重新導向有效，但登入失敗，請檢查流程的最後部分：

Client login and CoA客戶端登入和CoA

訪客登入是否失敗？

檢查ISE日誌以確認身份驗證失敗。確保憑據正確。

Guest Authentication Fails due to Wrong Credentials由於憑據錯誤，來賓身份驗證失敗

登入是否成功，但客戶端不會移動到RUN狀態？

檢查ISE日誌，瞭解身份驗證詳細資訊和結果：

Redirection Loop重新導向回圈

在本範例中,使用者端再次收到包含重新導向URL和重新導向ACL的授權設定檔。這會導致重新導向回圈。

檢查Policy set。檢查Guest_Flow 的規則必須放在重新導向規則之前:

Guest_Flow RuleGuest_Flow規則

COA是否失敗？

藉助EPC和ISE TCPDump，您可以驗證CoA流量。驗證WLC和ISE之間的CoA連線埠(1700)是否處於開啟狀態。確保共用金鑰匹配。

CoA TrafficCoA流量

note-icon

附註：在17.4.X及更高版本中，請確保在配置RADIUS伺服器時也配置CoA伺服器金鑰。使用與共用金鑰相同的金鑰（在ISE上預設使用相同的金鑰）。 其目的是為CoA配置一個不同於共用金鑰的金鑰（如果共用金鑰是RADIUS伺服器配置的金鑰）。在Cisco IOS® XE 17.3中，Web UI僅使用與CoA金鑰相同的共用金鑰。

自版本17.6.1起，此連線埠支援RADIUS（包括CoA）。如果要將服務連線埠用於RADIUS，則需要此組態：

aaa server radius dynamic-author 
 client 10.48.39.28 vrf Mgmt-intf server-key cisco123

interface GigabitEthernet0
 vrf forwarding Mgmt-intf
 ip address x.x.x.x x.x.x.x

!if using aaa group server:
aaa group server radius group-name
 server name nicoISE
 ip vrf forwarding Mgmt-intf
 ip radius source-interface GigabitEthernet0

摘要

以下是CWA總結清單：

  • 確保客戶端位於正確的VLAN上，並獲取IP地址和DNS。
  • 在WLC上獲取客戶端詳細資訊並運行資料包捕獲以檢視DHCP交換。
  • 驗證使用者端是否可透過DNS解析主機名。
  • 在命令提示符下ping主機名。
  • WLC必須在埠80上偵聽。
  • 驗證global命令ip http server或global parameter map命令webauth-http-enable。
  • 要刪除證書警告，請在ISE上安裝受信任證書。
  • 無需在CWA的WLC上安裝受信任憑證。
  • 如果未找到使用者，將ISE高級身份驗證策略選項設定為Continue。
  • 允許贊助訪客使用者連線並取得URL重新導向和ACL。

用於故障排除的主要工具：

    • WLC EPC
    • :內部篩選器：DHCP協定、MAC地址。
    • WLC監控器
    • :檢查客戶端安全詳細資訊。
    • WLC RA追蹤
    • :在WLC端使用詳細資訊進行偵錯。
    • ISE 即時記錄
    • :身份驗證詳細資訊。
    • ISE TCPDump
    • :在ISE PSN介面收集資料包捕獲。

資源資訊

修訂記錄

修訂 發佈日期 意見
2.0
26-Aug-2026
大修，語法，格式
1.0
25-Aug-2023
初始版本
TAC Authored

由思科工程師貢獻

  • Tiago Antunes
    Technical Leader

這份文件是否有所幫助？

Feedback意見

讓思科協助您

本文件適用於這些產品