История страницы

...

Подсказка

Для успешной авторизации на внешнем RADIUS-сервере необходимо:

Наличие учетных записей пользователей;
IP-адреса контроллера WLC нужно прописать в качестве NAS-клиента;
Настроить подмену NASподмену NAS-IP в конфигурации WLC. NAS NAS-IP будет меняться в RADIUS-запросах от ТД при прохождении через контроллер. В таком случае на внешнем RADIUS-сервере нужно добавить один NAS-объект, которым является WLC.

...

При подключении к SSID клиент вводит учетные данные в виде логина (username) и пароля (password), которые приходят на ТД. ТД отправляет запрос (Access-Request) на на RADIUS-сервер WLC, в атрибуте NASатрибуте NAS-IP будет задан IP-адрес ТД. На WLC настроено проксирование на внешний RADIUS-сервер. Получив от ТД запрос (Access-Request), WLC подменит NASподменит NAS-IP на IP-адрес, который указан в конфигурации и отправит запрос на внешний RADIUS-сервер. Внешний RADIUS-сервер может проверить наличие записи NAS-IP WLC в своей конфигурации. Если запись найдена, происходит проверка учетной записи пользователя и в случае успешной проверки, внешний RADIUS-сервер отправляет ответ (Access-Accept) в сторону WLC. WLC в свою очередь, получив ответ от внешнего RADIUS-сервера, пересылает ответ ТД.

После успешного подключения клиента ТД отправляет запрос (Accounting-Request) на WLC (если отправка включена в конфигурации). WLC подменяет NAS-IP и IP и пересылает запрос на внешний RADIUS-сервер. Внешний RADIUS-сервер отправляет ответ (Accounting-Response) WLC. WLC пересылает запрос ТД.

...

Настройка локального RADIUS-сервера.
Перейти в конфигурационный режим:

Блок кода

language	vb
theme	Eclipse

wlc# configure
wlc(config)#

Перейти в раздел radius-server local:

Блок кода

language	vb
theme	Eclipse

wlc(config)# radius-server local
wlc(config-radius)#

Прописать NAS.
Необходимо добавить подсети ТД (адресное пространство ТД, т.е. их IP-адреса), которые будут обслуживаться локальным RADIUS-сервером при Enterprise-авторизации пользователей Wi-Fi в nas ap:

Блок кода

language	vb
theme	Eclipse

wlc(config-radius)# nas ap
wlc(config-radius-nas)# network 192.168.1.0/24
wlc(config-radius-nas)# key ascii-text password
wlc(config-radius-nas)# exit

Подсказка

icon	false

При схеме подключения ТД через L3-сеть (с SoftGRE-туннелями) в конфигурации должна быть настроена запись для nas local, если она отсутствует, нужно её добавить:

Блок кода

language	vb
theme	Eclipse

wlc(config-radius)# nas local
wlc(config-radius-nas)# key ascii-text password
wlc(config-radius-nas)# network 127.0.0.1/32
wlc(config-radius-nas)# exit

Настроить virtual-server.
Настроить virtual-server для проксирования RADIUS-запросов на внешний сервер. Задать имя virtual-server:

Блок кода

language	vb
theme	Eclipse

wlc(config-radius)# virtual-server default

Задать nas-ip.

Подсказка

icon	false
title	Подмена NAS-IP

В локальном RADIUS-сервере есть возможность изменять NAS-IP во всех входящих RADIUS-запросах от ТД к WLC.
Если параметр не задан, при пересылке RADIUS-запросов на внешний сервер в атрибуте NAS-IP будет записан адрес ТД. Это может повлечь за собой ошибки в процессе аутентификации, которые подробно рассмотрены в разделе Возможные проблемы при авторизации.

Блок кода

language	vb
theme	Eclipse

wlc(config-radius-vserver)# nas-ip-address 10.10.20.1

Включить режим проксирования.

Блок кода

language	vb
theme	Eclipse

wlc(config-radius-vserver)# proxy-mode

Включить virtual-server.

Блок кода

language	vb
theme	Eclipse

wlc(config-radius-vserver)# enable

Настроить upstream-server.

Настройка upstream-server доступна из раздела virtual-server. Создать upstream-server для настройки параметров вышестоящего сервера:

Блок кода

language	vb
theme	Eclipse

wlc(config-radius-vserver)# upstream-server eltex

Задать адрес вышестоящего сервера. На этот сервер будут перенаправляться запросы от ТД:

Блок кода

language	vb
theme	Eclipse

wlc(config-radius-upstream-server)# host 10.10.10.12

Включить режим проксирования для запросов аутентификации и аккаунтинга.

Подсказка

icon	false
title	Типы upstream серверов

Server-type auth — проксирование только запросов аутентификации. Запросы будут проксироваться на порт, указанный в параметре port (по умолчанию – 1812).

Server-type acct — проксирование только аккаунтинга. Проксирование осуществляется на порт, указанный в параметре port (по умолчанию – 1812). При необходимости порт может быть изменен (стандартный порт для аккаунтинга – 1813).

Server-type all — проксирование запросов аутентификации и аккаунтинга. Запросы аутентификации будут проксироваться на порт, указанный в параметре port (по умолчанию – 1812), а аккаунтинг будет проксироваться на порт = 'port'+1 (то есть по умолчанию – 1813).

Выбрать режим all, так как нужно перенаправлять все запросы.

Блок кода

language	vb
theme	Eclipse

wlc(config-radius-upstream-server)# server-type all

Якорь

	upstream-server.key
	upstream-server.key

Задать ключ для вышестоящего сервера.

Блок кода

language	vb
theme	Eclipse

wlc(config-radius-upstream-server)# key ascii-text password
wlc(config-radius-upstream-server)# exit
wlc(config-radius-vserver)#   exit

Конфигурация раздела radius-server.

Блок кода

language	vb
theme	Eclipse

radius-server local
  nas local
    key ascii-text encrypted 8CB5107EA7005AFF
    network 127.0.0.1/32
  exit
  nas ap
    key ascii-text encrypted 8CB5107EA7005AFF
    network 192.168.1.0/24
  exit
  virtual-server default
    proxy-mode
    nas-ip-address 10.10.20.1 
    upstream-server eltex
      host 10.10.10.12
      server-type all
      key ascii-text password
    exit
  enable
  exit
exit

Scroll Pagebreak

Настройка в разделе WLC.
Перейти в раздел wlc:

Блок кода

language	vb
theme	Eclipse

wlc(config)# wlc

Настроить radius-profile.
Настроить профиль default-radius:

Блок кода

language	vb
theme	Eclipse

wlc(config-wlc)# radius-profile default-radius

Поскольку настраивается проксирование запросов аутентификации и аккаунтинга, то в auth-address и acct-address должен быть указан адрес контроллера, который доступен для ТД. Ключ RADIUS-сервера (auth-password/acct-password) должен совпадать с ключом, указанным для nas ap, который был указан в radius-server local.

Якорь

	wlc.radius-profile
	wlc.radius-profile

Блок кода

language	vb
theme	Eclipse

wlc(config-wlc-radius-profile)# auth-address 192.168.1.1
wlc(config-wlc-radius-profile)# auth-password ascii-text password
wlc(config-wlc-radius-profile)# acct-address 192.168.1.1
wlc(config-wlc-radius-profile)# acct-password ascii-text password

Подсказка

icon	false

Если используется проксирование на SoftWLC, необходимо указать домен RADIUS. Этот домен должен совпадать с доменом, в котором созданы учетные записи пользователей Enterprise на SoftWLC.

Блок кода

language	vb
theme	Eclipse

wlc(config-wlc-radius-profile)# domain root

Включить отправку аккаунтинга на RADIUS-сервер.

Блок кода

language	vb
theme	Eclipse

wlc(config-wlc-radius-profile)# acct-enable

Включить добавление идентификатора RADIUS-сессии в запросах аккаунтинга.

Блок кода

language	vb
theme	Eclipse

wlc(config-wlc-radius-profile)# auth-acct-id-send

Задать временной интервал обновления аккаунтинга.

Блок кода

language	vb
theme	Eclipse

wlc(config-wlc-radius-profile)# acct-interval 600

Конфигурация radius-profile.

Блок кода

language	vb
theme	Eclipse

radius-profile default-radius
  auth-address 192.168.1.1
  auth-password ascii-text password
  auth-acct-id-send
  acct-enable
  acct-address 192.168.1.1
  acct-password ascii-text password
  acct-periodic
  acct-interval 600
exit

Создать ssid-profile.
Создать новый профиль SSID:

Блок кода

language	vb
theme	Eclipse

wlc(config-wlc)# ssid-profile test_enterprise

Указать в ssid-profile ранее настроенный профиль radius-profile.

Блок кода

language	vb
theme	Eclipse

wlc(config-wlc-ssid-profile)# radius-profile default-radius

Задать имя SSID.

Блок кода

language	vb
theme	Eclipse

wlc(config-wlc-ssid-profile)#   ssid "test_enterprise"

Задать режим безопасности.

Блок кода

language	vb
theme	Eclipse

wlc(config-wlc-ssid-profile)#   security-mode WPA2_1X

Задать VLAN.

Блок кода

language	vb
theme	Eclipse

wlc(config-wlc-ssid-profile)# vlan-id 3

Задать остальные параметры SSID.

Блок кода

language	vb
theme	Eclipse

wlc(config-wlc-ssid-profile)# description "SSID  for enterprise users"
wlc(config-wlc-ssid-profile)# 802.11kv
wlc(config-wlc-ssid-profile)# band 2g
wlc(config-wlc-ssid-profile)# band 5g
wlc(config-wlc-ssid-profile)# enable
wlc(config-wlc-ssid-profile)# exit

Конфигурация ssid-profile.

Блок кода

language	vb
theme	Eclipse

ssid-profile test_enterprise
  description "SSID for enterprise users"
  ssid "test_enterprise"
  radius-profile default-radius
  vlan-id 3
  security-mode WPA2_1X
  802.11kv
  band 2g
  band 5g
  enable
exit

Включить ssid-profile в локацию.
Нужно включить созданный SSID в локацию. ТД получит конфигурацию и начнёт вещать данные SSID. В римере примере ниже ssid-profile включен в локацию default-location.

Блок кода

language	vb
theme	Eclipse

ap-location default-location
  ssid-profile test_enterprise
exit

Конфигурация раздела wlc.

Блок кода

language	vb
theme	Eclipse

wlc
  outside-address 192.168.1.1
  service-activator
    aps join auto
  exit
  airtune
    enable
  exit
  ap-location default-location
    description "default-location"
    mode tunnel
    ap-profile default-ap
    airtune-profile default_airtune
    ssid-profile default-ssid
    ssid-profile test_enterprise
  exit
  airtune-profile default_airtune
    description "default_airtune"
  exit
  ssid-profile default-ssid
    description "default-ssid"
    ssid "default-ssid"
    radius-profile default-radius
    vlan-id 3
    security-mode WPA2_1X
    802.11kv
    band 2g
    band 5g
    enable
  exit
  ssid-profile test_enterprise
    description "SSID for enterprise users"
    ssid "test_enterprise"
    radius-profile default-radius
    vlan-id 3
    security-mode WPA2_1X
    802.11kv
    band 2g
    band 5g
    enable
  exit
  radio-2g-profile default_2g
    description "default_2g"
  exit
  radio-5g-profile default_5g
    description "default_5g"
  exit
  ap-profile default-ap
    description "default-ap"
    password ascii-text encrypted 8CB5107EA7005AFF
  exit
  radius-profile default-radius
    description "default-radius"
    auth-address 192.168.1.1
    auth-password ascii-text encrypted 8CB5107EA7005AFF
    auth-acct-id-send
    acct-enable
    acct-address 192.168.1.1
    acct-password ascii-text encrypted 8CB5107EA7005AFF
    acct-periodic
    domain default
  exit
  wids-profile default-wids
    description "default-wids"
  exit
  ip-pool default-ip-pool
    description "default-ip-pool"
    ap-location default-location
  exit
  enable
exit

Настройка firewall.
Для приёма аккаунтинга нужно разрешить прохождение UDP-трафика по порту 1813 из зоны trusted в зону self. В заводской конфигурации порт 1813 закрыт.
1. Перейти в конфигурационный режим:
  Блок кода
  language vb
  theme Eclipse
  wlc# configure wlc(config)#
2. Создать группу radius_acct:
  Блок кода
  object-group service radius_acct port-range 1813 exit
3. Добавить правило в zone-pair trusted self:
  Блок кода
  security zone-pair trusted self rule 91 action permit match protocol udp match destination-port object-group radius_acct enable exit exit
Применить и подтвердить конфигурацию.
Блок кода
language vb
theme Eclipse
wlc# commit wlc# confirm

...

В данном примере внешний RADIUS-сервер на входящий запрос (Access-Request), ответит (Access-Reject). Может быть две причины такого ответа.

При настройке проксирования RADIUS запросов на WLC указывается параметр подмены NAS-IP. В случае, если он не указан, запросы будут пересылаться на внешний RADIUS-сервер без подмены NAS-IP. В результате внешний RADIUS-сервер получит запрос с NAS-IP ТД. Если на внешнем RADIUS-сервере включена проверка по NAS-IP, запрос на подключение будет отклонён. Если подмена NAS-IP в конфигурации проксирования RADIUS на WLC настроена, но внешний RADIUS-сервер присылает ответ (Access-Reject), необходимо проверить наличие адреса WLC в NAS-клиентах в конфигурации внешнего RADIUS-сервера.

...

Данный пример описывает проблему ответа о запрете доступа (Access-Reject) на запрос (Access-Request).

Причиной такого ответа является отсутствие учетной записи клиента на внешнем RADIUS-сервере. В таком случае необходимо проверить наличие учетной записи клиента в конфигурации внешнего RADIUS-сервера и корректность введенных клиентом данных (логина и пароля).

Дерево страниц

Сравнение версий

Старая версия 111

Новая версия 112

Ключ