目錄

簡介

本文說明如何幫助連線不支援較新802.1X版本的舊IoT無線客戶端。

需求

採用元件

這基於運行任何Cisco IOS® XE 17.x版本的無線LAN控制器Catalyst 9800。

上下文

到目前為止，802.1X協定最多有3個版本。802.1X-2001是版本1,802.1X-2004是版本2,802.1X-2010，所有後續的版本都使用版本3識別符號。

IEEE標準非常清楚，每台裝置必須通告其支援的最大版本，然後同意通用版本，因為所有版本向後相容。

Catalyst 9800 WLC通告802.1X和eapol版本3。

在許多情況下，無線客戶端會使用802.1X版本1進行回覆，而身份驗證可以繼續使用（例如）版本1實施。

但是，某些特定較舊的IoT客戶端期望看到另一端的特定802.1X版本，並且不允許看到他們不瞭解的較新版本。這違反了標準。但是，有時您不能輕鬆更新您的IoT裝置，而且必須與其配合使用。因此，可以調整控制器上的802.1X版本來建立這些使用者端。

沒有理由修改此版本，除非您已證明使用特定客戶端集時遇到此問題！

驗證您是否遇到此問題

以下是有效輻射追蹤軌跡的範例，其中控制器通告版本3，但使用者端會以較低版本正確回覆，且驗證可以繼續：

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] Posting RESTART on Client

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] Entering init state

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] Entering idle state

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] Posting !AUTH_ABORT on Client

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] Entering restart state

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] Resetting the client 0xD8000002

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] Override cfg - MAC

- profile (none)

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] Override cfg - SuppTimeout 30s, ReAuthMax 2, MaxReq 2, TxPeriod 30s

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] Sending create new context event to EAP for 0xD8000002 (7a9d.d7f6.710f)

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] Posting !EAP_RESTART on Client

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] Enter connecting state

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] Restart connecting

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] Posting RX_REQ on Client

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] Authenticating state entered

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] Connecting authenticating action

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] Entering request state

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] Setting EAPOL eth-type to 0x888e, destination mac to

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [0000.0000.0000:capwap_9000002c] Sending out EAPOL packet

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] Sent EAPOL packet - Version : 3,EAPOL Type : EAP, Payload Length : 5, EAP-Type = Identity

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] EAP Packet - REQUEST, ID : 0x1

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [0000.0000.0000:unknown] Pkt body: 01 01 00 05 01

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] EAPOL packet sent to client

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

] Received EAPOL packet - Version : 1,EAPOL Type : EAP, Payload Length : 12, EAP-Type = Identity

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [

:capwap_9000002c] EAP Packet - RESPONSE, ID : 0x1

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [0000.0000.0000:unknown] Pkt body: 02 01 00 0c 01 34 34 37 33 36 34 35

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [0000.0000.0000:capwap_9000002c] Queuing an EAPOL pkt on Authenticator Q

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [0000.0000.0000:capwap_9000002c] Dequeued pkt: CODE = 2,TYPE = 1,LEN = 12

(...) RADIUS authentication follows

在WLC/AP傳送的EAP身份請求消息之後，客戶端不會響應任何輸出之前，非工作輸出看起來類似。

更改Eapol/802.1X版本

WLC#show dot1x all

Sysauthcontrol                Disabled

Dot1x Protocol Version               3

WLC#config terminal

Enter configuration commands, one per line.  End with CNTL/Z.

WLC(config)#service internal

WLC(config)#dot1x eapol version 2

WLC(config)#exit

WLC#show dot1x all

Sysauthcontrol                Disabled

Dot1x Protocol Version               2