Оглавление

Настройка на

...

ТД

...

Команды для настройки внешней портальной авторизации на ТД (ссылка на инструкцию: https://docs.eltex-co.ru/pages/viewpage.action?pageId=444825607#id-РуководствопоэксплуатацииWEP-30L,WEP-30L-Z-НастройкаVAPсвнешнейпортальнойавторизацией)

...

Таблица 9 — Настройка URL шаблона для внешней портальной авторизации

Параметр	Описание
<NAS_ID>	NAS ID, заданный на VAP или в system. Если не задан ни один из этих параметров, то в качестве NAS ID в RADIUS- и HTTP(S)-пакетах будет использоваться MAC-адрес ТД
<SWITCH_URL>	доменное имя, которое

показывается клиенту

получает клент при перенаправлении
<AP_MAC>	MAC-адрес точки доступа
<CLIENT_MAC>	MAC-адрес клиента
<SSID>	SSID
<ORIGINAL_URL>	URL, который изначально запрашивал клиент

Блок кода

language	bash
title	Часть конфига конфигурации ТД, относящаяся к настройке портала

            radius:
               auth-port: 1812
               auth-address: 100.110.0.161
               auth-password: testing123
               auth-acct-id-send: true
               tls-enable: false
               acct-enable: true
               acct-port: 1813
               acct-address: 100.110.0.161
               acct-password: testing123
               acct-periodic: false
               acct-interval: 600
               acct-wait-ip: false
               domain: root
               nas-id:
            captive-portal:
               enabled: true
               verification-mode: external-portal
               age-timeout: 1
               default-white-list:
               scenarios:
                  scenario-redirect:
                     name: scenario-redirect
                     access-type: forbid
                     index: 1
                     redirect-url: https://100.110.0.161:8443/portal/PortalSetup.action?portal=f09aaac2-f101-45ed-832f-fda201ab7639?action_url=<SWITCH_URL>&redirect=<ORIGINAL_URL>&ap_mac=<AP_MAC>
                     virtual-portal-name: default
                     auth-scenario: scenario-access
                  scenario-access:
                     name: scenario-access
                     access-type: allow
                     index: 2
                     deauth-scenario: scenario-redirect

...

Взаимодействие ТД с порталом Cisco ISE:

...

При первом подключении клиента (ISE ничего о нем не знает, ТД тожетакже), . ТД пытается пройти MAB авторизацию на NAC сервере, подставляя MAC адрес клиента в атрибуты User-Name и User-Password запроса access-request к Radius серверу. Так - как ISE ничего не знает о данном клиенте, он присылает access-reject.
После того как ТД получила access-reject она отправляет клиенту ссылку редиректа на гостевой портал ISE (который был в ТД прописан при настройки SSID) формата:
https://100.110.0.161:8443/portal/PortalSetup.action?portal=f09aaac2-f101-45ed-832f-fda201ab7639?action_url=http%3A%2F%2Fredirect%2Eloc%3A10081%2F&redirect=http%3A%2F%2Fconnectivitycheck%2Egstatic%2Ecom%2Fgenerate%5F204&ap_mac=68%3A13%3AE2%3AC2%3A19%3A70 при
при этом навешивая дополняя ACL, с доступом только до гостевого портала.
После саморегистрации пользователя на гостевом портале и успешного логина через форму портала, по присланному полученному логину и паролю, информация об устройстве как устройство MAB заносится в базу Endpoins, в которой содержится в том числе мак MAC клиента. А клиенту возвращается ссылка редиректа на proxy сервис ТД, содержащая в себе адрес сайта, на который клиент хотел попасть изначально, логин и пароль, под которым клиент успешно залогинился прошёл аутентификацию на гостевом портале. Ссылка вида:
http://redirect.loc:10081/?token=CYO1UK0IE1KI8BIWVNBJYR8WTNGAK1TP&buttonClicked=4&err_flag=0&err_msg=&info_flag=0&info_msg=&redirect_url=http%3A%2F%2Fconnectivitycheck.gstatic.com%2Fgenerate_204&username=Gena&password=Password414
Когда клиент переходит по этой ссылке, ТД вычитывает считывает из нее логин и пароль и подставляет в атрибуты User-Name и User-Password запроса access-request , radius успешно авторизует клиента и ТД снимает ACL на доступ клиента и редиректит на изначально запрашиваемый пользователем портал.
После отключения от SSID и подключения заново или подключения к другой ТД (к тому же SSID), авторизация будет проходить по mac адресу (так - как этот сценарий реализован в логике ТД "external portal" и срабатывает при подключении к SSID, если ТД не "помнит" клиента). И редиректа пользователя на портал происходить не будет, до тех пор, пока endpoint клиента не будет удален из базы, в ручную или автоматически (по какой-то настроенной логике).

Рис.1 Процесс авторизации нового клиента(по логину и паролю)

...

Рис.2 Процесс авторизации зарегистрированного клиента(MAB)

...

Блок кода

...

language

...

bash

...

title	Пакеты Radius в процессе авторизации неизвестного клиента

No.	Time	Source	Destination	Protocol	Length	Info
1	0.000000

Проверил возможность MAB (mac) авторизации пользователей на портале. Работает .
Cisco ISE распознает подставляемые в атрибутах User-Name (запроса access-request ) mac-адрес и по нему находит "конечную точку" в базе Endpoins (конечно после того, как пользователь зарегился и успешно аутентифицировался через портал). Проверку User-Password отключил, так-как ТД передает 'nopassword", а Cisco ISE ожидает мак-адрес. Если для кого-то из клиентов это будет критично, необходимо на ТД необходимо будет реализовать передачу в атрибуте User-Password mac-адрес клиента в таком же виде как и в атрибуте User-Name (без разделителей)

Проверил работу регистрации на гостевом портале с последующей аутентификацией и авторизацией клиента через RADIUS. Работает.

Проверил сценарий портальной авторизации согласно логики зашитой в ТД "Cisco-Like". Работает:
В котором ТД известного клиента сначала аутентифицирует через Radius по mac, затем получив access-reject, редиректит на портал cisco ISE, после регистрации пользователя на портале и получения пользователям ссылки редиректа вида http://redirect.loc:10081/?token=CYO1UK0IE1KI8BIWVNBJYR8WTNGAK1TP&buttonClicked=4&err_flag=0&err_msg=&info_flag=0&info_msg=&redirect_url=http%3A%2F%2Fconnectivitycheck.gstatic.com%2Fgenerate_204&username=Gena&password=Password414
перехода клиента по данной ссылке, авторизует через Radius, по выданному порталом логину и паролю (которые портал включил в ссылку редиректа, в виде объектов &username=Gena&password=Password414).
При отключении клиента от ТД и повторном подключении (через промежуток превышающий параметр age-timeout , указанный на ТД) или подключении к другой ТД вещающей ту же WIFI сеть, ТД авторизует клиента по mac адресу (так-как Cisco ISE уже знает клиента и занесла его mac адрес в базу EndPoints).

Блок кода

language	bash
title	Пакеты Radius в процессе авторизации неизвестного клиента

No.	Time	Source	Destination	Protocol	Length	Info
1	0.000000	100.110.0.247	100.110.0.161	RADIUS	294	Access-Request id=4
2	0.018302	100.110.0.161	100.110.0.247	RADIUS	80	Access-Reject id=4
3	277.808342	100.110.0.247	100.110.0.161	RADIUS	288	Access-Request id=5
4	277.831738	100.110.0.161	100.110.0.247	RADIUS	171	Access-Accept id=5
5	277.834463	100.110.0.247	100.110.0.161	RADIUS	255	Accounting-Request id=6
6	277.837400	100.110.0.161	100.110.0.247	RADIUS	62	Accounting-Response id=6

...

Блок кода

language	bash
title	Атрибуты пакета Access-request. "Аутентификация по логину-паролю"

RADIUS Protocol
    Code: Access-Request (1)
    Packet identifier: 0x5 (5)
    Length: 246
    Authenticator: 5a35575eaedd8bb898325efc8d3c4ea4
    [The response to this request is in frame 4]
    Attribute Value Pairs
        AVP: t=User-Name(1) l=8 val=tester
        AVP: t=User-Password(2) l=18 val=Encrypted
        AVP: t=Framed-IP-Address(8) l=6 val=100.110.1.11
        AVP: t=Framed-MTU(12) l=6 val=1500
        AVP: t=Connect-Info(77) l=23 val=CONNECT 0Mbps 802.11a
        AVP: t=Vendor-Specific(26) l=12 vnd=Eltex Enterprise, Ltd.(35265)
        AVP: t=Vendor-Specific(26) l=12 vnd=Eltex Enterprise, Ltd.(35265)
        AVP: t=Called-Station-Id(30) l=36 val=68-13-e2-c2-19-70:F.E.-ciscoPortal
        AVP: t=Calling-Station-Id(31) l=19 val=78-98-e8-1e-67-07
        AVP: t=NAS-Port(5) l=6 val=1
        AVP: t=Framed-MTU(12) l=6 val=1500
        AVP: t=NAS-Port-Type(61) l=6 val=Wireless-802.11(19)
        AVP: t=Acct-Session-Id(44) l=19 val=55DCB7FF-5C1BC61C
        AVP: t=NAS-IP-Address(4) l=6 val=100.110.0.247
        AVP: t=NAS-Identifier(32) l=19 val=68-13-E2-C2-19-70l=19 val=55DCB7FF-5C1BC61C
        AVP: t=ServiceNAS-IP-TypeAddress(64) l=6 val=Login(1)100.110.0.247
        AVP: t=Message-Authenticator(80) l=18 val=a646b2d8ff46c444a222236da8a7e800

Dump файл Radius обмена ТД и Cisco ISE dump-ise-radius.pcap

Для более продвинутых сценариев гостевого доступа, необходимо так-же реализовать:

Принятие ссылки редиректа через radius атрибут
Поддержка ТД named или dynamic ACL и назначение по получении через атрибуты radius access-accept или CoA-Request атрибуты
Желательно поддержать атрибут ограничения скорости входящего и исходящего трафика для клиента
Желательно поддержать radius атрибут NAS-Identifier, для идентификации локации ТД

В задаче #308897 идет проработка требований для реализации сценариев Норникеля, для реализации которых так-же потребуется доработка передачи, приема и обработка атрибутов radius и CoA.

Настройка Cisco ISE:

...

NAS-Identifier(32) l=19 val=68-13-E2-C2-19-70
        AVP: t=Service-Type(6) l=6 val=Login(1)
        AVP: t=Message-Authenticator(80) l=18 val=a646b2d8ff46c444a222236da8a7e800

Настройка Cisco ISE:

1.

...

Создаем Network Device Profile. В нашем случае Eltex

2.Настраиваем созданный профайл "Eltex". Указываем протокол взаимодействия - Radius. В параметрах указываем параметрах указываем атрибуты радиус по которым ISE будет определять типы Authentication/Authorization. Для этого настраиваем Flow Type Conditions:

Wireless MAB detected
Wireless Web Authentication detected

Так - как для всех Wireless подключений атрибут идентификации Radius:NAS-Port-Type будет одинаков Wireless - IEEE 802.11, для:
Wireless MAB detected добавляем еще один атрибут Radius:Service-Type со значением Call Check
Wireless Web Authentication detected добавляем еще один атрибут Radius:Service-Type со значением Login

Так-же Также в "Host Lookup (MAB)" включаем Process Host Lookup, включаем используемый ТД протокол обмена подтверждениями, в нашем случае отключаем это Via PAP/ASCII и отключаем Check Password, так - как ТД при mac авторизации передает в виде логина mac клиента, а в виде пароля nopassword. А Cisco ISE ожидает в поле пароля так-же мак адрес.

3.Создаем новый профиль сетевых устройств, в нашем случае "Eltex-AP".

4.Настраиваем взаимодействие с ТД по протоколу Radius. Можно указать подсеть ТД (в нашем случает это одна ТД и подсеть 100.110.0.247/32), в поле Device Profile выбираем ранее созданный профайл Eltex. Так-же Также необходимо указать secret key для протокола Radius, ранее настроенный на ТД.

Можно создать 5.Создать группу встроенных гостевых учетных записей, в нашем случае это Eltex-AP_testUsers и в этой группе создать учетные записи, в нашем случае это Gena и tester, задать им логин и пароль.

6.Настраиваем последовательность действий для гостевого портала (Guest Portal Sequence). Переходим в настройки Work Centers > Guest Access > Identities > Identity Source Sequence > Guest Portal Sequence - это предустановленная последовательность аутентификации гостевых пользователей. И в поле Authentication Search List выбираем порядок аутентификации пользователей. В нашем случае порядок как на скрине ниже: Internal Endpoints (MAB) → Internal Users (встроенные учетки) → Guest Users (учетки созданные пользователем самостоятельно на гостевом портале)

7.Создаем правило с разрешенными протоколами, в нашем случае MAB-WIFI_Eltex, в нем разрешаем Authentication Bypass>Process Host Lookup и Authentication Protocols>Allow PAP/ASCII

8.Настройка Authorization Profiles. На вкладке Work Centers > Guest Access > Policy Elements > Results > Authorization Profiles > Add создаем профиль авторизации под ранее созданный Network Device Profile. В данный сценарий можно включать параметры авторизации клиента, такие как CVLAN, ACL, shaper и т.п. через добавления различных атрибутов (который поддерживают или будут поддерживать ТД Eltex)

9.Настройка Policy Sets. На вкладке Work Centers > Guest Access > Policy Sets создаем политику доступа для WiFi пользователей. В нашем случае с названием Eltex-WIFI_Guest-Portal
В эту политику попадают клиенты приходящие с SSID "F.E.-ciscoPortal" и Flow Type Conditions соответствуют Wireless_MAB или WLC_WEB_Authentication

10.Настраиваем в данной политике правила аутентификации и авторизации.
В правиле аутентификации первым пунктам идет проверка пользователя по логину и паролю в базе Internal Users, вторым пунктам, если не сработал пункт один, проверяется mac адрес в базе EndPoints (MAB).
В правиле авторизации сначала проверяется пользователь по логину и паролю в базе Internal Users, вторым . Вторым пунктам, если не сработал пункт один, проверяется mac адрес в базе EndPoints (MAB) и . И в обоих случаях, в нашем случае при успешной проверке навешивается применяется действие PermitAccess, но можно навесить применить созданное ранее Eltex-AP_guest (что в принципе одно и тожеявляется аналогичным, только добавляется еще один уровень абстракции) или более сложное в плане секьюрности защищенности действие.

11.Настраиваем гостевой портал. В нашем случае настроено как на скриншоте снимке (настройки довольно понятные и в основном касаются оформления страницы, запрашиваемых данных пользователя и пользовательских соглашений)

12.Адрес портала для настройки ссылки редиректа на ТД, можно получить по ссылке

...

Radius Logs

Radius live log, неизвестного клиента

...

Первая запись журнала, о том что клиент не смог пройти MAB аутентификацию, так - как клиент еще прошел регистрацию на портале.

...

Запись о том, что клиент успешно прошел MAB аутентификацию и авторизацию через RAdius (Cisco ISE занесла мак MAC клиента в базу EndPoints, при аутентификации пользователя на портале)

...

Следующая запись. Аккаунтинг пользователя
Image Removed

Cisco ISE + AD + AP WOP-30LS (EAP-TLS)

Настройка связки Cisco ISE + Microsoft AD + Microsoft CA

...

пользователя
Image Added

Cisco ISE +

...

AD +

...

AP WOP-30LS (EAP-TLS)

Настройка связки Cisco ISE + Microsoft AD + Microsoft CA

Настройка Windows server для выполнения ролей AD + CS, создание пользователя, создания шаблона сертификата, настройка групповой политики автоматической выдачи сертификатов пользователям AD, настройка суппликанта Windows, хорошо описано в доке документыции: v1.31_Настройка взаимодействия SoftWLC с Microsoft Active Directory (AD) и Certificate Services (CS)

Добавление поддержки сертификатов ADCS в Cisco ISE

...

Надо Требуется импортировать в Cisco ISE корневой сертификат AD-CA

Для этого надо в терминале Windows сервера экспортировать корневой сертификат AD-CA, командой:

Блок кода

language	bash
title	экспорт корневого сертификата AD-CA

certutil -ca.cert ROOT-CA_test.loc.cer

Импортируем корневой сертификат в доверенные сертификаты Cisco ISE
Image Removed
Image Removed

Генерируем CSR и скачиваем себе на комп
Image Removed
Image Removed

Выпускаем подписанный промежуточный сертификат для Cisco ISE, загрузив CSR на сервер и выполнив терминале команду сертификат AD-CA, командой:

Блок кода

language	bash
title	Выпускаем подписанный промежуточный серитфикат

certreq.exe -submit -attrib "CertificateTemplate:SubCA" .\isetestMultiUse.pem

Скачиваем подписанный сертификат и добавляем его в Cisco ISE, выбираем сферы применения данного сертификата. В нашем случае выбрана только EAP-TLS авторизация, но можно применить данный сертификат, для админки, для гостевого портала, для Radius и pxGrid
Image Removed
Image Removed

Настройка Cisco ISE (EAP-TLS) для аутентификации и авторизации по сертификатам пользователей AD

...

экспорт корневого сертификата AD-CA

certutil -ca.cert ROOT-CA_test.loc.cer

1.Импортируем корневой сертификат в доверенные сертификаты Cisco ISE
Image Added
Image Added

2.Генерируем CSR и скачиваем себе на комп
Image Added
Image Added

3.Выпускаем подписанный промежуточный сертификат для Cisco ISE, загрузив CSR на сервер и выполнив терминале команду

Блок кода

language	bash
title	Выпускаем подписанный промежуточный серитфикат

certreq.exe -submit -attrib "CertificateTemplate:SubCA" .\isetestMultiUse.pem

4.Скачиваем подписанный сертификат и добавляем его в Cisco ISE, выбираем сферы применения данного сертификата. В нашем случае выбрана только EAP-TLS авторизация, но можно применить данный сертификат, для админки, для гостевого портала, для Radius и pxGrid
Image Added
Image Added

Настройка Cisco ISE (EAP-TLS) для аутентификации и авторизации по сертификатам пользователей AD

1.Добавляем для Flow Type Conditions определение: Wireless 802.1x detected по атрибуту Radius:NAS-Port-Type значению Wireless - IEEE 802.11 и атрибуту Radius:Service-Type значению Framed
Image Added

2.Добавляем в разрешенные протоколы: Allow EAP-TLS
Image Added

3.Добавляем политику аутентификации-авторизации, в нашем случае Eltex-WIFI_dotx_TLS
Image Added

4.Настраиваем политику аутентификации, в нашем случае использовать Preloaded_Certificate_Profile и политику авторизации, в нашем случае если это EAP-TLS, то просто PermitAccess
Image Added

Radius Live Logs: авторизации клиента по EAP-TLS

Image Added

Cisco ISE + AD + AP WOP-30LS → EAP-TEAP (EAP Chaining). Авторизация по машинном и пользовательскому сертификату AD

Так-же EAP-Chaining будет работать и в случае EAP-FAST, но это подразумевает использование Cisco AnyConnect, в качестве суппликанта.

...

Добавляем для Flow Type Conditions определение: Wireless 802.1x detected по атрибуту Radius:NAS-Port-Type значению Wireless - IEEE 802.11 и атрибуту Radius:Service-Type значению Framed
Image Removed

Добавляем в разрешенные протоколы: Allow EAP-TLS
Image Removed

Добавляем политику аутентификации-авторизации, в нашем случае Eltex-WIFI_dotx_TLS
Image Removed

Настраиваем политику аутентификации, в нашем случае использовать Preloaded_Certificate_Profile и политику авторизации, в нашем случае если это EAP-TLS, то просто PermitAccess
Image Removed

Radius Live Logs: авторизации клиента по EAP-TLS

...

Image Removed

Дампы EAPOL обмена и Radius обмена
dump-ise-eapol_TLS.pcap dump-ise-radius_TLS.pcap

Cisco ISE + AD + AP WOP-30LS → EAP-TEAP (EAP Chaining). Авторизация по машинном и пользовательскому сертификату AD

Так-же EAP-Chaining будет работать и в случае EAP-FAST, но это подразумевает использование Cisco AnyConnect, в качестве суппликанта.

Настройка ТД WOP-30LS

...

Настройка WOP-30LS c тестовой прошивкой 2.5.5 build 14 (задача #317673), в которой реализована передача Radius атрибута Service-Type, происходит как для обычной Enterprise авторизации Настройка VAP с Enterprise-авторизацией

Настройка AD для выдачи пользовательского и машинного сертификата

...

Настройка AD для выдачи пользовательского и машинного сертификата

Перейти в Certificate Authority > Certificate Templates > Manage
Для машинного сертификата копировать 'Workstation Authentication' шаблон и задать ему имя ('machine auth' в этом примере)
В настройках шаблона на вкладке Security, разрешить Allow Read, Enroll and Autoenroll для 'Domain Computers'
Для сертификата пользователя скопировать 'User' шаблон и изменить его имя ('user auth' в нашем примере)
В настройках шаблона на вкладке Security, разрешить Allow Read, Enroll and Autoenroll для 'Domain Users'

...

Как только все настройки будут выполнены,можно либо перезагрузить компьютер пользователя, либо принудительно обновить объект групповой политики, запустив gpupdate /force в командной строке, чтобы получить сертификаты. Можно просмотреть сертификаты в консоли MMC (certlm.msc). На скринах ниже представлены как пользовательский, так и машинный сертификаты.

Настройка Cisco ISE

...

В данном разделе описываются только настройки индивидуальные для авторизации EAP-TEAP, остальные настройки (привязка ТД, генерация и привязка сертификатов AD-CS) идентичны настройкам Гостевого портала и EAP-TLS

...

Правило настроенное в данном профайле подразумевает (при совпадении условий авторизации) передачу Radius пакета 'Access_Accept' и Radius атрибута 'Radius:Tunnel-Private-Group-ID' со значением 4000, для помещения пользователя в CVLAN 4000 (в терминологии Cisco динамический VLAN). Так-же можно в данном правиле навешивать ACL ( именной или динамический) через другие атрибуты Radius (пока ТД Eltex не поддерживают). И другие политики которые поддерживают контроллер или ТД.

Настраиваем созданную политику 'Eltex-WIFI_dotx_TEAP' (как на скринеснимке). Для аутентификации используем дефолтное правило с ранее отредактированным профилем 'Preloaded_Certificate_Profile'
Для авторизации создаем два правила. Одно 'Machine and User' для пользователей с обоими сертификатами (машинным и пользовательским), второе 'Machine Only' для пользователей вошедших на под локальной учетной записью и располагающие только машинным сертификатом. Для данного правила применяем политику 'Eltex-cert_Machine-Only', для присвоению пользователю CVLAN (ограниченный доступ).
Правило по дефолту остается, для тех кто не располагает сертификатами.

Windows 10 / Конфигурация Supplicant-а

...

Переходим в 'Параметры' и выбираем выданный AD-CS сертификат. В разделе 'Проверка подлинности клиента' в качестве основного и дополнительного методов выбираем 'Microsoft: смарт-карта или иной сертификат'

и поочереди по очереди настраиваем их как на скринах снимках ниже (выбирая сертификат выданный AD-CS)
...
Подтверждаем и закрываем настройки

Radius Live Logs

...

Radius Live Logs

...

Авторизация по обоим сертификатам, машинному и пользовательскому (полный доступ). Пользователь вошел в систему под доменной учетной записью.

...

Авторизация только по машинному сертификату. Пользователь вошел в систему под локальной учетной записью.

Дампы EAPOL обмена и Radius обмена
dump-ise-eapol_teap-cert_all.pcap dump-ise-eapol_teap-cert_machine-only.pcap
dump-ise-radius-teap-cert_all.pcap dump-ise-radius_teap-cert_machine-only.pcap

Netams WNAM + Bras WLC

Начиная с версии WNAM 1.6.4010 доступно взаимодействие системы авторизации с аппаратным контроллером WLC (WLC-15/30/3200)

...

bridge 4
  description "SoftGRE_or_L2-BRAS"
  vlan 4
  security-zone users
  ip firewall disable
  ip address 192.168.3.1/24
  service-subscriber-control object-group bras_users
  location data10
  protected-ports local
  no spanning-tree
  enable
exit

Полная конфигурация контроллера приведена в приложенном файле: wlc30_bras-wnam_hospot

Настройка WNAM

На стороне системы авторизации создаётся объект Сервер доступа (тип: Eltex), указывается RADIUS-ключ, а также дополнительные параметры RADIUS:
Конфигурация → Сервера доступа → Создать сервер
В закладке Параметры заполняем поля IP адрес и Внешний IP адрес (адрес вашего WLC, смотрящий в сторону WNAM), Имя устройства и Местоположение (произвольно)

...

В дальнейшем коды данных ваучеров будут использоваться для авторизации клиентов на гостевом портале.

Создаем правила аутентификации:

Создаем правило для редиректа на гостевой портал (копируем дефолтное правило редиректа и модифицируем его)
Настраиваем правило как на скрине ниже. Источник запроса выбираем проводной (так-как брас у нас находится на проводном интерфейсе). Во 'Входящий радиус атрибут' выбираем по имени 'NAS-Port-ID' равным тому 'location' который указали в настройках Bridge на WLC, на который терминируется клиентский трафик. Так мы привяжем данное правило к нашему SSID с гостевым доступом. Если у вас много правил и используется много разных политик аутентификаций и авторизаций клиентов, данное правило можно кастомизировать дополнительными параметрами, под свои потребности.
Правило аутентификации привязывается к правилу авторизации при помощи тега (в самом низу скринаснимка). Обратите внимание, чтоб тэг бэл был уникальным и совпадал с соответствующим правилом авторизации (если сработало правило аутентификации, далее по данному тегу запускается соответствующее правило авторизации)

Создаем правило аутентификации для доступа клиента в Internet
Настраиваем как на скринеснимке, источник запроса и Входящий RADIUS атрибут настраиваем так-же как в правиле для редиректа (объяснение выше). Так-же обращаю внимание на необходимости уникальности тега (объяснение выше)

Создаем правила авторизации:

Первое правило для редиректа на портал. Результатом должно стать отправки пакета Radius 'Access-Reject' брасу.
Настраиваем как на скрине снимке ниже.
Внимание. Правило привязывается по совпадению тега (должен быть такой же как в правиле аутентификации)

...

Посмотреть информацию по клиенту (авторизации, сессии и тдт.д.)

Блок кода

language	bash
title	Активные Wi-Fi подключения клиента, сервисы и сессии видны на контроллере:

F.E.wlc-30# sh subscriber-control sessions status
Session id             User name         IP address        MAC address         Interface              Domain
--------------------   ---------------   ---------------   -----------------   --------------------   ---------------
3098476543630901251    78:98:E8:1E:67:   192.168.3.21      78:98:e8:1e:67:07   softgre 1.4            --
                       07
                                            

F.E.wlc-30# sh subscriber-control services counters session-id 3098476543630901251
Service id             Service name      Recv packets     Recv bytes       Send packets     Send bytes
--------------------   ---------------   --------------   --------------   --------------   --------------
3134505340649865218    A INTERNET        4559             3868861          3842             692224
           

F.E.wlc-30# sh wlc clients
MAC User            MAC AP              Hostname AP                      SSID              RSSI      AP-Location         Username
-----------------   -----------------   ------------------------------   ---------------   -------   -----------------   -----------------
78:98:e8:1e:67:07   68:13:e2:02:ea:20   WEP-3ax                          F.E.freeSSID      -35       default-location    --

...

Дерево страниц

Сравнение версий

Старая версия 6

Новая версия 7

Ключ

Настройка на

ТД

Взаимодействие ТД с порталом Cisco ISE:

Настройка Cisco ISE:

Настройка Cisco ISE:

Radius Logs

Cisco ISE + AD + AP WOP-30LS (EAP-TLS)

Настройка связки Cisco ISE + Microsoft AD + Microsoft CA

Cisco ISE +

AD +

AP WOP-30LS (EAP-TLS)

Настройка связки Cisco ISE + Microsoft AD + Microsoft CA

Добавление поддержки сертификатов ADCS в Cisco ISE

Настройка Cisco ISE (EAP-TLS) для аутентификации и авторизации по сертификатам пользователей AD

Настройка Cisco ISE (EAP-TLS) для аутентификации и авторизации по сертификатам пользователей AD

Radius Live Logs: авторизации клиента по EAP-TLS

Cisco ISE + AD + AP WOP-30LS → EAP-TEAP (EAP Chaining). Авторизация по машинном и пользовательскому сертификату AD

Radius Live Logs: авторизации клиента по EAP-TLS

Cisco ISE + AD + AP WOP-30LS → EAP-TEAP (EAP Chaining). Авторизация по машинном и пользовательскому сертификату AD

Настройка ТД WOP-30LS

Настройка AD для выдачи пользовательского и машинного сертификата

Настройка AD для выдачи пользовательского и машинного сертификата

Настройка Cisco ISE

Windows 10 / Конфигурация Supplicant-а

Radius Live Logs

Radius Live Logs

Netams WNAM + Bras WLC

Настройка WNAM

Дерево страниц

История страницы

Сравнение версий

Старая версия 6

Новая версия 7

Ключ

Настройка на

ТД

Взаимодействие ТД с порталом Cisco ISE:

Настройка Cisco ISE:

Настройка Cisco ISE:

Radius Logs

Cisco ISE + AD + AP WOP-30LS (EAP-TLS)

Настройка связки Cisco ISE + Microsoft AD + Microsoft CA

Cisco ISE +

AD +

AP WOP-30LS (EAP-TLS)

Настройка связки Cisco ISE + Microsoft AD + Microsoft CA

Добавление поддержки сертификатов ADCS в Cisco ISE

Настройка Cisco ISE (EAP-TLS) для аутентификации и авторизации по сертификатам пользователей AD

Настройка Cisco ISE (EAP-TLS) для аутентификации и авторизации по сертификатам пользователей AD

Radius Live Logs: авторизации клиента по EAP-TLS

Cisco ISE + AD + AP WOP-30LS → EAP-TEAP (EAP Chaining). Авторизация по машинном и пользовательскому сертификату AD

Radius Live Logs: авторизации клиента по EAP-TLS

Cisco ISE + AD + AP WOP-30LS → EAP-TEAP (EAP Chaining). Авторизация по машинном и пользовательскому сертификату AD

Настройка ТД WOP-30LS

Настройка AD для выдачи пользовательского и машинного сертификата

Настройка AD для выдачи пользовательского и машинного сертификата

Настройка Cisco ISE

Windows 10 / Конфигурация Supplicant-а

Radius Live Logs

Radius Live Logs

Netams WNAM + Bras WLC

Настройка WNAM