Сравнение версий

Старая версия 88

changes.mady.by.user Сервисный центр Wi-Fi

Сохранено

по сравнению с

Новая версия 89

changes.mady.by.user Сервисный центр Wi-Fi

Сохранено

Ключ

  • Эта строка добавлена.
  • Эта строка удалена.
  • Изменено форматирование.

...

  1. Настроить локальный RADIUS-сервер
    1. Прописать  nas - разрешить прием RADIUS пакетов от  ТД
    2. Настроить virtual-server - включить  режим проксирования и настроить подмену NAS-IP
    3. Настроить upstream-server - указать  параметры  вышестоящего сервера
    4. Конфигурация раздела radius-server local
  2. Настройка в разделе WLC
    1. Настроить radius-profile   настройки RADIUS на ТД, точка будет отправлять запросы  - настроить radius-profile, который будет использоваться для ТД
    2. Настроить ssid-profile - настроить SSID и выбрать ранее созданный radius-profile
    3. Включить ssid-profile в локацию
    4. Конфигурация раздела  wlc
  3. Настроить firewall
  4. Применить конфигурацию

...

  1. Настройка локального RADIUS-сервера:

    Переходим в конфигурационный режим

    Блок кода
    languagevb
    themeEclipse
    wlc# configure
wlc(config)# radius-server local

    Переходим в раздел radius-server local:

    Блок кода
    languagevb
    themeEclipse
    wlc(config)# radius-server local


    1. Прописываем nas
      Необходимо добавить подсети ТД (адресное пространство точке доступа, т.е. их IP-адреса), которые будут обслуживаться локальным RADIUS-сервером при Enterprise-авторизации пользователей Wi-Fi в nas ap:

      Блок кода
      languagevb
      themeEclipse
      wlc(config-radius)# nas ap
wlc(config-radius-nas)# network 192.168.1.0/24
wlc(config-radius-nas)# key ascii-text password
wlc(config-radius-nas)# exit


      Подсказка
      iconfalse

      При схеме подключения ТД через L3 сеть (с SoftGRE-туннелями)  в конфигурации должна быть настроена запись для nas local, если она отсутствует нужно её добавить:

      Блок кода
      languagevb
      themeEclipse
      wlc(config-radius)# nas local
wlc(config-radius-nas)# key ascii-text password
wlc(config-radius-nas)# network 127.0.0.1/32
wlc(config-radius-nas)# exit



    2. Настраиваем virtual-server
      Настраиваем virtual-server для проксирования RADIUS-запросов на внешний сервер.       Задаём имя virtual-server:

      Блок кода
      languagevb
      themeEclipse
      wlc(config-radius)# virtual-server default

      Задаём nas-ip:

      Подсказка
      iconfalse
      titleПодмена NAS-IP
      В локальном RADIUS-сервере есть возможность менять NAS-IP  во  всех входящих RADIUS запросах от ТД к WLC.
      Если параметр не задан, при пересылке RADIUS запросов на внешний сервер  в атрибуте  NAS-IP будет записан адрес ТД. Это может повлечь за собой ошибки в процессе аутентификации, которые подробно рассмотрены в разделе  Возможные проблемы при авторизации (ссылка)


      Блок кода
      languagevb
      themeEclipse
      wlc(config-radius-vserver)# nas-ip-address 10.10.20.1

      Включаем режим проксирования:

      Блок кода
      languagevb
      themeEclipse
      wlc(config-radius-vserver)# proxy-mode
wlc(config-radius-vserver)# enable

      Включаем virtual-server сервер:

      Блок кода
      languagevb
      themeEclipse
      wlc(config-radius-vserver)# enable


    3. Настраиваем upstream-server

      Настройка upstream-server доступна из раздела virtual-server. Создаём upstream-server для настройки параметров вышестоящего сервера:

      Блок кода
      languagevb
      themeEclipse
      wlc(config-radius-vserver)# upstream-server eltex

      Задаём адрес вышестоящего сервера, на этот сервер будут перенаправляться запросы от ТД:

      Блок кода
      languagevb
      themeEclipse
      wlc(config-radius-upstream-server)# host 10.10.10.12

      Включаем режим проксирования для  запросов аутентификации и аккаунтинга

      Подсказка
      iconfalse
      titleТипы upstream серверов

      Server-type auth — используется для проксирования только запросов аутентификации. Запросы будут проксироваться на порт, указанный в параметре port (по умолчанию – 1812).

      Server-type acct — используется для проксирования только аккаунтинга. Проксирование осуществляется на порт, указанный в параметре port (по умолчанию – 1812). При необходимости измените его (стандартный порт для аккаунтинга – 1813).

      Server-type all — используется для проксирования запросов аутентификации и аккаунтинга. Запросы аутентификации будут проксироваться на порт, указанный в параметре port (по умолчанию – 1812), а аккаунтинг будет проксироваться на порт = 'port'+1 (то есть по умолчанию – 1813).

      Выбираем режим all, так как нужно перенаправлять все запросы:

      Блок кода
      languagevb
      themeEclipse
      wlc(config-radius-upstream-server)# server-type all

      Якорь
      upstream-server.key
      upstream-server.key

      Задаём  ключ для вышестоящего сервера, ключ должен совпадать с ключом заданным в radius-profile  в разделе WLCссылка(нужно проверить  корректность создания) :

      Блок кода
      languagevb
      themeEclipse
      wlc(config-radius-upstream-server)# key ascii-text password
wlc(config-radius-upstream-server)# exit
wlc(config-radius-vserver)#   exit



    4. Конфигурация раздела radius-server:

      Блок кода
      languagevb
      themeEclipse
      radius-server local
  nas local
    key ascii-text encrypted 8CB5107EA7005AFF
    network 127.0.0.1/32
  exit
  nas ap
    key ascii-text encrypted 8CB5107EA7005AFF
    network 192.168.1.0/24
  exit
  virtual-server default
    proxy-mode
    nas-ip-address 10.10.20.1 
    upstream-server eltex
      host 10.10.10.12
      server-type all
      key ascii-text password
    exit
  enable
  exit
exit


  2. Scroll Pagebreak
    Настройка в разделе WLC
    Переходим в раздел wlc

    Блок кода
    languagevb
    themeEclipse
    wlc(config)# wlc

    1. Настраиваем radius-profile 
      Настраиваем профиль default-radius:

      Блок кода
      languagevb
      themeEclipse
      wlc(config-wlc)# radius-profile default-radius

      Поскольку мы настраиваем проксирование запросов аутентификации и аккаунтинга, то в auth-address и acct-address указываем адрес контроллера, который доступен для ТД. Ключ RADIUS-сервера (auth-password / acct-password) должен совпадать с ключом, указанным для nas ap, который мы указали в radius-server local ссылка(нужно проверить  корректность создания).

      Якорь
      wlc.radius-profile
      wlc.radius-profile

      Блок кода
      languagevb
      themeEclipse
      wlc(config-wlc-radius-profile)# auth-address 192.168.1.1
wlc(config-wlc-radius-profile)# auth-password ascii-text password
wlc(config-wlc-radius-profile)# acct-address 192.168.1.1
wlc(config-wlc-radius-profile)# acct-password ascii-text password


      Подсказка
      iconfalse

      Если вы используете проксирование на SoftWLC, укажите домен RADIUS. Этот домен должен совпадать с доменом, в котором созданы учетные записи пользователей Enterprise на SoftWLC.

      wlc(config-wlc-radius-profile)# domain root

      Включаем отправку аккаунтинга на RADIUS-сервер:

      Блок кода
      languagevb
      themeEclipse
      wlc(config-wlc-radius-profile)# acct-enable

      Включаем добавление идентификатора RADIUS сессии в запросах аккаунтинга:

      Блок кода
      languagevb
      themeEclipse
      wlc(config-wlc-radius-profile)# auth-acct-id-send

      Задаём временной интервал обновления аккаунтинга:

      Блок кода
      languagevb
      themeEclipse
      wlc(config-wlc-radius-profile)# acct-interval 600

      Конфигурация radius-profile:

      Блок кода
      languagevb
      themeEclipse
      radius-profile default-radius
  auth-address 192.168.1.1
  auth-password ascii-text password
  auth-acct-id-send
  acct-enable
  acct-address 192.168.1.1
  acct-password ascii-text password
  acct-periodic
  acct-interval 600
exit


    2. Создаём  ssid-profile
      Создаём новый профиль SSID:

      Блок кода
      languagevb
      themeEclipse
      wlc(config-wlc)# ssid-profile test_enterprise

      Указываем в ssid-profile ранее настроенный профиль radius-profile:

      Блок кода
      languagevb
      themeEclipse
      wlc(config-wlc-ssid-profile)# radius-profile default-radius

      Задаем имя SSID:

      Блок кода
      languagevb
      themeEclipse
      wlc(config-wlc-ssid-profile)#   ssid "test_enterprise"

      Задаем  режим безопасности:

      Блок кода
      languagevb
      themeEclipse
      wlc(config-wlc-ssid-profile)#   security-mode WPA2_1X

      Задаем VLAN:

      Блок кода
      languagevb
      themeEclipse
      WLC-1(config-wlc-ssid-profile)# vlan-id 3

      Задаем остальные параметры SSID:

      Блок кода
      languagevb
      themeEclipse
      WLC-1(config-wlc)# ssid-profile test_enterprise
WLC-1(config-wlc-ssid-profile)# description "SSID  for enterprise users"
WLC-1(config-wlc-ssid-profile)# 802.11kv
WLC-1(config-wlc-ssid-profile)# band 2g
WLC-1(config-wlc-ssid-profile)# band 5g
WLC-1(config-wlc-ssid-profile)# enable
WLC-1(config-wlc-ssid-profile)# exit

      Конфигурация ssid-profile:

      Блок кода
      languagevb
      themeEclipse
      ssid-profile test_enterprise
  description "SSID for enterprise users"
  ssid "test_enterprise"
  radius-profile default-radius
  vlan-id 3
  security-mode WPA2_1X
  802.11kv
  band 2g
  band 5g
  enable
exit


    3. Включение Включаем ssid-profile в локацию
      Нужно  включить созданный SSID в локацию.  ТД получит конфигурацию и начнёт  вещать  данные SSID. Включаем ssid-profile в локацию default-location

      Блок кода
      languagevb
      themeEclipse
      ap-location default-location
  ssid-profile test_enterprise
exit


    4. Конфигурация раздела wlc:

      Блок кода
      languagevb
      themeEclipse
      wlc
  outside-address 192.168.1.1
  service-activator
    aps join auto
  exit
  airtune
    enable
  exit
  ap-location default-location
    description "default-location"
    mode tunnel
    ap-profile default-ap
    airtune-profile default_airtune
    ssid-profile default-ssid
  exit
  airtune-profile default_airtune
    description "default_airtune"
  exit
  ssid-profile default-ssid
    description "default-ssid"
    ssid "default-ssid"
    radius-profile default-radius
    vlan-id 3
    security-mode WPA2_1X
    802.11kv
    band 2g
    band 5g
    enable
  exit
  ssid-profile test_enterprise
    description "SSID for enterprise users"
    ssid "test_enterprise"
    radius-profile default-radius
    vlan-id 3
    security-mode WPA2_1X
    802.11kv
    band 2g
    band 5g
    enable
  exit
  radio-2g-profile default_2g
    description "default_2g"
  exit
  radio-5g-profile default_5g
    description "default_5g"
  exit
  ap-profile default-ap
    description "default-ap"
    password ascii-text encrypted 8CB5107EA7005AFF
  exit
  radius-profile default-radius
    description "default-radius"
    auth-address 192.168.1.1
    auth-password ascii-text encrypted 8CB5107EA7005AFF
    auth-acct-id-send
    acct-enable
    acct-address 192.168.1.1
    acct-password ascii-text encrypted 8CB5107EA7005AFF
    acct-periodic
    domain default
  exit
  wids-profile default-wids
    description "default-wids"
  exit
  ip-pool default-ip-pool
    description "default-ip-pool"
    ap-location default-location
  exit
  enable
exit


  3. Настраиваем firewall
    Для приёма аккаунтинга нужно разрешить прохождение UDP трафика по порту 1813 из зоны trusted в зону self. В заводской конфигурации порт  1813  закрыт.

    1. Создаем группу radius_acct

      Блок кода
      object-group service radius_acct
  port-range 1813
exit


    2. Добавляем  правило в zone-pair trusted self

      Блок кода
      rule 91
  action permit
  match protocol udp
  match destination-port object-group radius_acct
  enable
exit


  4. Применяем конфигурацию и подтверждаем

    Блок кода
    languagevb
    themeEclipse
    wlc# commit
wlc# confirm


...