Ejemplo de Configuración de Autenticación por Cable 802.1x en un Switch Catalyst Serie 3550 y ACS Versión 4.2

Introducción

Este documento proporciona un ejemplo de configuración básica de IEEE 802.1x con Cisco Access Control Server (ACS) versión 4.2 y el protocolo de servicio de usuario de acceso telefónico de acceso remoto (RADIUS) para la autenticación por cable.

Prerequisites

Requirements

Cisco recomienda que:

• Confirme la disponibilidad de IP entre ACS y el switch.
• Asegúrese de que los puertos de protocolo de datagramas de usuario (UDP) 1645 y 1646 estén abiertos entre ACS y el switch.

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

• Cisco Catalyst 3550 Series Switches
• Cisco Secure ACS versión 4.2

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). If your network is live, make sure that you understand the potential impact of any command.

Configurar

Ejemplo de configuración del switch

1. Para definir el servidor RADIUS y la clave previamente compartida, ingrese este comando:
   

   Switch(config)# radius-server host 192.168.1.3  key  cisco123

   
   
   
2. Para habilitar la funcionalidad 802.1x, ingrese este comando:
   

   Switch(config)# dot1x system-auth-control

   
   
   
3. Para habilitar globalmente la autenticación, autorización y administración de cuentas (AAA) y la autenticación y autorización RADIUS, ingrese estos comandos:
   

   Nota: Esto es necesario si necesita pasar atributos desde el servidor RADIUS; de lo contrario, puede omitirlo.

   
   
   

   Switch(config)# aaa new-model
   Switch(config)# aaa authentication dot1x default group radius
   awitch(Config)# aaa authorization network default group radius
   Switch(Config)# aaa accounting dot1x default start-stop group radius

   
   
   

   Switch(config-if)# switchport mode acces
   Switch(config-if)# switchport access vlan  
           
   Switch(config-if)# authentication port-control auto (12.2.50 SE and later)
   Switch(config-if)# dot1x port-control auto (12.2.50 SE and below)
   Switch(config-if)# dot1x pae authenticator (version 12.2(25)SEE and below)
   Switch(config-if)# dot1x timeout quiet-period  
           
   Switch(config-if)# dot1x timeout tx-period 

Configuración de ACS

1. Para agregar el switch como un cliente AAA en ACS, navegue hasta Configuración de red > Agregar cliente AAA de entrada, e ingrese esta información:
   
   • Dirección IP: <IP>
   • Secreto compartido: <clave>
   • Autenticar mediante: Radius (Cisco IOS^®/PIX 6.0)
   
   
   

   

   
   
   
2. Para configurar la configuración de autenticación, navegue hasta Configuración del sistema > Configuración de autenticación global, y verifique que la casilla de verificación Permitir autenticación MS-CHAP versión 2 esté marcada:
   
   

   

   
   
   
3. Para configurar un usuario, haga clic en User Setup en el menú, y complete estos pasos:
   
   • Ingrese la información de usuario: Network-Admin <username>.
   • Haga clic en Agregar/Editar.
   • Ingrese el Nombre real: Network-Admin <nombre descriptivo>.
   • Añada una descripción: <su elección>.
   • Seleccione la Password Authentication: ACS Internal Database.
   • Introduzca la contraseña: ........ <contraseña>.
   • Confirme la contraseña: <password>.
   • Haga clic en Submit (Enviar).
   
   
   

   

Verificación

La herramienta de interpretación de información de salida (disponible para clientes registrados únicamente) admite ciertos comandos show. Utilice la herramienta para ver una análisis de información de salida del comando show.

Ingrese estos comandos para confirmar que su configuración funciona correctamente:

• show dot1x 
• show dot1x summary 
• show dot1x interface 
• show authentication sessions interface <interface>
• show authentication interface <interface>

Switch(config)# show dot1x
_________________________________________________
Sysauthcontrol              Enabled
Dot1x Protocol Version            3
_________________________________________________
Switch(config)# show dot1x summary
_________________________________________________
Interface       PAE     Client          Status
_________________________________________________
Fa0/4           AUTH
_________________________________________________
Switch(config)# show dot1x interface fa0/4 detail
_________________________________________________
Dot1x Info for FastEthernet0/4
_________________________________________________
PAE                       = AUTHENTICATOR
PortControl               = FORCE_AUTHORIZED
ControlDirection          = Both
HostMode                  = SINGLE_HOST
QuietPeriod               = 5
ServerTimeout             = 0
SuppTimeout               = 30
ReAuthMax                 = 2
MaxReq                    = 2
TxPeriod                  = 10

Troubleshoot

Esta sección proporciona los comandos debug que puede utilizar para resolver problemas de su configuración.

Nota: Consulte Información Importante sobre Comandos Debug antes de utilizar los comandos debug.

• debug dot1x all
• debug authentication all
• debug radius (proporciona la información de radius en el nivel de depuración)
• debug aaa authentication (debug for authentication)
• debug aaa authorization (debug for authorization)