Оглавление
Взаимодействие контроллера с порталом Cisco ISE
- При первом подключении клиента ТД пытается пройти MAB-авторизацию на NAC-сервере, подставляя MAC-адрес клиента в атрибуты User-Name и User-Password запроса access-request к RADIUS-серверу WLC. Контроллер проксирует запрос на внешний RADIUS-сервер Cisco ISE. Так как ISE ничего не знает известно о данном клиенте, он присылает access-reject на WLC, тот, в свою очередь, на ТД.
- После того как ТД получила access-reject, она отправляет клиенту ссылку редиректа на гостевой портал ISE форматаISE-формата, при этом дополняя ACL с доступом только до гостевого портала. Пример ссылки:
https://100.110.0.161:8443/portal/PortalSetup.action?portal=10968c1f-36fe-4e5c-96ff-9d74f689b29b/?action_url=http%3A%2F%2Fredirect%2Eloc%3A10081%2F&ap_mac=68%3A13%3AE2%3A0E%3A85%3A50&client_mac=a2%3A13%3A66%3A1b%3Ac7%3A8e&redirect=http%3A%2F%2Fconnectivitycheck%2Egstatic%2Ecom%2Fgenerate%5F204
при этом дополняя ACL, с доступом только до гостевого портала. - После авторизации пользователя на гостевом портале клиенту возвращается ссылка редиректа на ТД, содержащая в себе адрес сайта, на который клиент хотел попасть изначально, логин и пароль, под которым клиент успешно прошёл аутентификацию на гостевом портале. Ссылка видаПример ссылки:
http://redirect.loc:10081/?token=NAI4PU5HK6O007V0KMYS37M800GOZW97&buttonClicked=4&err_flag=0&err_msg=&info_flag=0&info_msg=&redirect_url=http%3A%2F%2Fconnectivitycheck.gstatic.com%2Fgenerate_204&username=login&password=Password - Когда клиент переходит по этой ссылке, ТД считывает из нее логин и пароль и подставляет в атрибуты User-Name и User-Password запроса access-request, RADIUS успешно авторизует клиента, и ТД снимает ACL на доступ клиента и перенаправляет на изначально запрашиваемый пользователем портал.
- После отключения от SSID и подключения заново или подключения к другой ТД (к тому же SSID), авторизация будет проходить по MAC-адресу (так как этот сценарий реализован в логике ТД "external portal" «external portal» и срабатывает при подключении к SSID, если ТД не помнит клиента). Редирект пользователя на портал происходить не будет , до тех пор, пока учетная запись клиента не будет удалена из базы, в ручную вручную или автоматически (по настроенной логике).
Пример страницы гостевого портала:
Схема процесса авторизации нового клиента по логину и паролю:
| draw.io Diagram | ||||||||||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
|
Процесс авторизации нового клиента (по логину и паролю)
Настройка на WLC
В данном разделе описана настройка
Настройка на WLC
Конфигурации контроллера для настройки внешней портальной авторизации на WLC.
За основу возьмем необходимо взять заводскую конфигурацию Factory (ссылка на инструкциюподробнее в инструкции Quickstart):
| Раскрыть | |||||
|---|---|---|---|---|---|
|
| Предупреждение | ||
|---|---|---|
| ||
Физическая конфигурация интерфейсов устройств серии WLC-15, WLC-30 и WLC-3200 различается между собой. Попытка применения конфигурации одной серии устройств на другой настроек для одной модели устройства на другую серии может вызвать ошибку инициализации интерфейсов. |
Внесем дополнения Внесение дополнений в конфигурацию:
Инструкция по настройке RADIUS Ниже рассмотрен пример настройки RADIUS-сервера и проксирования RADIUS-запросов ТД на внешний RADIUS-сервер (ссылка на инструкциюподробнее в инструкции Настройка проксирования на внешний RADIUS):
Настроим Настройте локальный RADIUS-сервер:
| Блок кода | ||
|---|---|---|
| ||
radius-server local
nas ap
key ascii-text password
network 192.168.1.0/24
exit
nas local
key ascii-text password
network 127.0.0.1/32
exit
virtual-server default
proxy-mode
nas-ip-address 100.109.1.246 <-- WLC UPLINK IP BRIDGE 2
upstream-server cisco-ise
host 100.110.0.161
server-type all
key ascii-text password
exit
enable
exit
enable
exit
|
Настроим Настройте локальный RADIUS-профиль:
| Блок кода | ||
|---|---|---|
| ||
radius-server host 127.0.0.1 key ascii-text password exit aaa radius-profile default_radius radius-server host 127.0.0.1 exit |
Настроим конфигурацию портальной авторизации (ссылка на инструкцию Настройте портальную авторизацию (подробнее в инструкции Авторизация через RADIUS):
| Блок кода | ||
|---|---|---|
| ||
wlc
portal-profile default-portal
redirect-url-custom "https://100.110.0.161:8443/portal/PortalSetup.action?portal=10968c1f-36fe-4e5c-96ff-9d74f689b29b?action_url=<SWITCH_URL>&redirect=<ORIGINAL_URL>&ap_mac=<AP_MAC>"
age-timeout 10
verification-mode external-portal
exit
radius-profile default-radius
auth-address 192.168.1.1
auth-password ascii-text password
auth-acct-id-send
acct-enable
acct-address 192.168.1.1
acct-password ascii-text password
acct-periodic
exit
exit
|
| Примечание |
|---|
Значение параметра |
Параметр wlc>portal-profile>redirect-url-custom содержит URL портала и атрибуты, указанные после символа "?". Между собой атрибуты разделяются символом "&".
Таблица 1 — Атрибуты URL-шаблона для внешней портальной авторизации
Параметр | Описание |
|---|---|
| <NAS_ID> | NAS ID - идентификатор Идентификатор ТД. Когда параметр не задан, то в качестве NAS ID в RADIUS-пакетах и строке редиректа будет использоваться MAC-адрес ТД. NAS ID возможно задать в конфигурации конфигурации wlc →radius→ radius-profile <name> → nas-id. В данном примере NAS ID не задается. |
| <SWITCH_URL> | Доменное имя, которое получает клиент при перенаправлении |
| <AP_MAC> | MAC-адрес точки доступа |
| <CLIENT_MAC> | MAC-адрес клиента |
| <SSID> | SSID |
| <ORIGINAL_URL> | URL, который изначально запрашивал клиент |
Настроим Настройте SSID-профиль:
| Блок кода | ||
|---|---|---|
| ||
wlc
ssid-profile default-ssid
ssid "default-ssid_cisco_ise"
radius-profile default-radius
portal-enable
portal-profile default-portal
vlan-id 3
802.11kv
band 2g
band 5g
enable
exit
exit |
| Раскрыть | |||||
|---|---|---|---|---|---|
Cуммарные изменения в конфигурации WLC:
|
Scroll Pagebreak
Настройка Cisco ISE
1. Создаем В Cisco ISE cоздайте Network Device Profile . — Eltex с помощью кнопки Add:
2. Настраиваем Настроить созданный профиль "профиль Eltex". Указываем Указать протокол взаимодействия — RADIUS:
- RADIUS. В параметрах указываем указать атрибуты радиус RADIUS, по которым ISE будет определять типы Authentication/Authorization. Для этого настраиваем в выпадающем списке необходимо настроить Flow Type Conditions:
- Wireless MAB detected;
- Wireless Web Authentication detected.
Для всех Wireless-подключений атрибут идентификации Radius:NAS-Port-Type будет одинаков Wireless - IEEE 802.11.
В Wireless MAB detected добавляем необходимо добавить еще один атрибут— Radius:Service-Type со значением Call Check.
В Wireless Web Authentication detected добавляем необходимо добавить еще один атрибут — Radius:Service-Type со значением Login.
В "Host Lookup (MAB)" включаем установите флаг на пункте Process Host Lookup, включаем включите используемый ТД протокол обмена подтверждениями, отключаем отключите Check Password в разделе разделах Via PAP/ASCII и Via EAP-MD5.:
| Scroll Pagebreak |
|---|
3. Создаем Создайте новое сетевое устройство, в нашем случае "примере ниже — Eltex-WLC".
4. Настраиваем Настройте взаимодействие по протоколу протоколу RADIUS. Требуется указать Укажите адрес и подсеть подсеть контроллера WLC (в нашем случае примере это один контроллер и подсеть 100.109.1.246/32), в поле Device Profile выбираем выберите ранее созданный профиль Eltex.
Также необходимо указать secret key для протокола RADIUS, настроенный на контроллере WLC в разделеradius-server>virtual-server>upstream-server>key.server → virtual-server → upstream-server → key.
5. Создаем Создайте группу встроенных гостевых учетных записей, в нашем случае это примере ниже это Eltex_AP_Users.
Ви в этой группе необходимо создать учетные записи, задать им для каждой логин и пароль.
Scroll Pagebreak
Создание пользователяПример создания учетной записи:
6. Настраиваем Настройте последовательность действий для гостевого портала (Guest Portal Sequence). Переходим Перейдите в настройки Work Centers > → Guest Access > → Identities > → Identity Source Sequence > → Guest Portal Sequence - — это предустановленная последовательность аутентификации гостевых пользователей. И в В поле Authentication Search List выбираем выберите порядок аутентификации пользователей. В нашем случае порядок как на снимке нижепримере ниже установлен следующий порядок: Internal Endpoints (MAB) → Internal Users (встроенные учетные записи) → Guest Users (учетные записи созданные пользователем самостоятельно на гостевом портале).:
| Scroll Pagebreak |
|---|
7. Создаем Создайте правило с разрешенными протоколами, в нашем случае примере это Allowed_Protocols, в нем разрешаем Authentication Bypass>Process . Установите необходимые разрешенияв пунктахAuthentication Bypass — Process Host Lookup и Authentication Protocols>Allow в Authentication Protocols — Allow PAP/ASCII.
8. Настройка Настройте Authorization Profiles. На вкладке Work Centers > → Guest Access > → Policy Elements > → Results > → Authorization Profiles > → Add создаем создайте профиль авторизации под ранее созданный Network созданный Network Device Profile. В данный сценарий можно включать параметры авторизации клиента, такие как CVLAN, ACL, shaper и т. п. через через добавление различных атрибутов, которые поддерживают ТД Eltex.ELTEX:
9. Настройка Настройте Policy Sets. На вкладке Work Centers > → Guest Access > → Policy Sets создаем создайте политику доступа для Wi-Fi пользователей. В нашем случае примере ниже создана политика доступа с названием Policy Sets.
В эту политику попадают клиенты, приходящие с SSID "SSID default-ssid_cisco_ise" и , Flow Type Conditions соответствуют Wirelles_MAB или WLC_WEB_Authentication.:
10. Настраиваем в данной В созданной политике настройте правила аутентификации и авторизации.
В правиле аутентификации первым пунктам сначала идет проверка пользователя по логину и паролю в базе I nternal Internal Users. Далее, вторым пунктом, если не сработал пункт одинсработала проверка по логину и паролю, проверяется mac MAC-адрес в базе базе EndPoints (MAB).
В правиле авторизации сначала проверяется пользователь идет проверка пользователя по логину и паролю в базе Internal Users. Вторым пунктамДалее, если не сработал пункт одинсработала проверка по логину и паролю, проверяется mac MAC-адрес в базе EndPoints (MAB).
В нашем случае примере при успешной проверке применяется действие PermitAccess.
| Scroll Pagebreak |
|---|
11. Настройка гостевого портала. На снимках ниже Настройте гостевой портал. Ниже приведен пример настройки портала.
12. Адрес портала для настройки ссылки редиректа возможно получить по ссылке . Portal test URL:
Отладочная информация RADIUS
В разделе Operations>RADIUS>Live Operations → RADIUS → Live Logs находится запись журнала , о том что c отладочной информацией RADIUS. В примере клиент не смог пройти MAB-аутентификацию, так как клиент прошел регистрацию на портале.
Запись о том, что гость аутентифицировался на портале (после регистрации).
Запись о том, что пользователь успешно аутентифицировался и авторизовался через RADIUS по логину и паролю.
Запись о том, что клиент успешно прошел MAB-аутентификацию и авторизацию через RADIUS (Cisco ISE занесла MAC клиента в базу EndPoints , при аутентификации пользователя на портале).
Аккаунтинг Запись аккаунтинга пользователя.: