Catalyst 3550 Series 스위치 및 ACS 버전 4.2의 802.1x 유선 인증 컨피그레이션 예

소개

이 문서에서는 유선 인증을 위한 Cisco ACS(Access Control Server) 버전 4.2 및 RADIUS(Remote Access Dial In User Service) 프로토콜의 기본 IEEE 802.1x 컨피그레이션 예를 제공합니다.

사전 요구 사항

요구 사항

Cisco에서는 다음 사항을 권장합니다.

• ACS와 스위치 간 IP 연결 가능성을 확인합니다.
• UDP(User Datagram Protocol) 포트 1645 및 1646이 ACS와 스위치 간에 열려 있는지 확인합니다.

사용되는 구성 요소

이 문서의 정보는 다음 소프트웨어 및 하드웨어 버전을 기반으로 합니다.

• Cisco Catalyst 3550 Series Switches
• Cisco Secure ACS 버전 4.2

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우, 모든 명령어의 잠재적인 영향을 미리 숙지하시기 바랍니다.

구성

스위치 설정 예시

1. RADIUS 서버 및 사전 공유 키를 정의하려면 다음 명령을 입력합니다.
   

   Switch(config)# radius-server host 192.168.1.3  key  cisco123

   
   
   
2. 802.1x 기능을 활성화하려면 다음 명령을 입력합니다.
   

   Switch(config)# dot1x system-auth-control

   
   
   
3. AAA(Authentication, Authorization, and Accounting) 및 RADIUS 인증 및 권한 부여를 전역적으로 활성화하려면 다음 명령을 입력합니다.
   

   참고: RADIUS 서버에서 특성을 전달해야 하는 경우 이 작업이 필요합니다. 그렇지 않으면 건너뛸 수 있습니다.

   
   
   

   Switch(config)# aaa new-model
   Switch(config)# aaa authentication dot1x default group radius
   awitch(Config)# aaa authorization network default group radius
   Switch(Config)# aaa accounting dot1x default start-stop group radius

   
   
   

   Switch(config-if)# switchport mode acces
   Switch(config-if)# switchport access vlan  
           
   Switch(config-if)# authentication port-control auto (12.2.50 SE and later)
   Switch(config-if)# dot1x port-control auto (12.2.50 SE and below)
   Switch(config-if)# dot1x pae authenticator (version 12.2(25)SEE and below)
   Switch(config-if)# dot1x timeout quiet-period  
           
   Switch(config-if)# dot1x timeout tx-period 

ACS 컨피그레이션

1. ACS에서 스위치를 AAA 클라이언트로 추가하려면 Network Configuration(네트워크 컨피그레이션) > Add entry AAA client(항목 AAA 클라이언트 추가)로 이동하여 다음 정보를 입력합니다.
   
   • IP 주소: <IP>
   • 공유 암호: <key>
   • 다음을 사용하여 인증: Radius(Cisco IOS^®/PIX 6.0)
   
   
   

   

   
   
   
2. 인증 설정을 구성하려면 System Configuration(시스템 구성) > Global Authentication Setup(전역 인증 설정)으로 이동하여 Allow MS-CHAP Version 2 Authentication(MS-CHAP 버전 2 인증 허용) 확인란이 선택되었는지 확인합니다.
   
   

   

   
   
   
3. 사용자를 구성하려면 메뉴에서 User Setup(사용자 설정)을 클릭하고 다음 단계를 완료합니다.
   
   • 사용자 정보 Network-Admin <username>을 입력합니다.
   • Add/Edit를 클릭합니다.
   • Real Name: Network-Admin <descriptive name>을 입력합니다.
   • 설명을 추가합니다. <원하는 항목>.
   • Password Authentication: ACS Internal Database(비밀번호 인증: ACS 내부 데이터베이스)를 선택합니다.
   • 비밀번호를 입력합니다. ....... <password>.
   • 비밀번호를 확인합니다: <password>.
   • Submit(제출)을 클릭합니다.
   
   
   

   

다음을 확인합니다.

아웃풋 인터프리터 툴(등록 고객 전용)은 특정 show 명령을 지원합니다. show 명령 출력의 분석을 보려면 아웃풋 인터프리터 툴을 사용합니다.

컨피그레이션이 제대로 작동하는지 확인하려면 다음 명령을 입력합니다.

• dot1x 표시 
• show dot1x 요약 
• show dot1x 인터페이스 
• show authentication sessions interface <interface>
• show authentication interface <interface>

Switch(config)# show dot1x
_________________________________________________
Sysauthcontrol              Enabled
Dot1x Protocol Version            3
_________________________________________________
Switch(config)# show dot1x summary
_________________________________________________
Interface       PAE     Client          Status
_________________________________________________
Fa0/4           AUTH
_________________________________________________
Switch(config)# show dot1x interface fa0/4 detail
_________________________________________________
Dot1x Info for FastEthernet0/4
_________________________________________________
PAE                       = AUTHENTICATOR
PortControl               = FORCE_AUTHORIZED
ControlDirection          = Both
HostMode                  = SINGLE_HOST
QuietPeriod               = 5
ServerTimeout             = 0
SuppTimeout               = 30
ReAuthMax                 = 2
MaxReq                    = 2
TxPeriod                  = 10

문제 해결

이 섹션에서는 컨피그레이션 문제를 해결하기 위해 사용할 수 있는 debug 명령을 제공합니다.

참고: debug 명령을 사용하기 전에 Debug 명령에 대한 중요 정보를 참조하십시오.

• 모두 dot1x 디버그
• 모든 인증 디버그
• debug radius(디버그 레벨에서 radius 정보 제공)
• debug aaa authentication (debug for authentication)
• debug aaa authorization(권한 부여를 위한 디버그)