Оглавление

Описание

В статье рассматривается настройка проксирования RADIUS-запросов от ТД через контроллер WLC в NAC-систему. ТД является устройством идентификации (NAS-клиент), RADIUS-запросы будут исходить от ТД. Контроллер WLC выполняет роль посредника в общении ТД и NAC-системы.

...

Авторизация на локальном RADIUS-сервере контроллера WLC:
Список пользователей Wi-Fi хранится в конфигурации контроллера. На контроллере запущен RADIUS-сервер, который выполняет проверку пользователей самостоятельно. Подробное описание представлено в статье Настройка локального RADIUS-сервера.
Авторизация на внешнем RADIUS-сервере:
Список пользователей хранится на внешнем сервере. На контроллере запущен RADIUS-сервер, который выполняет проксирование RADIUS-запросов на вышестоящий сервер.

В статье описана настройка контроллера настройка контроллера для проксирования RADIUS-запросов при работе с внешним RADIUS-сервером, т. е. вторая схема.

Проксирование RADIUS-запросов позволяет использовать общее хранилище учетных данных пользователи пользователей Wi-Fi.

Подсказка

Для успешной авторизации на внешнем RADIUS-сервере необходимо:

Наличие учетных записей пользователей;
IP-адреса контроллера WLC нужно прописать в качестве NAS-клиента;
Настроить подмену NASподмену NAS-IP в конфигурации WLC. NAS NAS-IP будет меняться в RADIUS-запросах от ТД при прохождении через контроллер. В таком случае на внешнем RADIUS-сервере нужно добавить один NAS-объект, которым является WLC.

Рекомендуется ознакомиться с базовой настройкой подключения ТД к контроллеру WLC, которая описана в разделе Настрoйка WLC руководства по эксплуатации.

...

draw.io Diagram

border	true
viewerToolbar	true

fitWindow	false
diagramName	wlc_radius_good
simpleViewer	false
width	800
links	auto
tbstyle	top
lbox	true
diagramWidth	2921
revision	4

При подключении к SSID клиент вводит учетные данные в виде логина (username) и пароля (password), которые приходят на ТД.
ТД отправляет запрос (Access-Request)

...

на RADIUS-сервер WLC, в

...

атрибуте NAS-IP будет задан IP-адрес ТД. На WLC настроено проксирование на внешний RADIUS-сервер.
Получив от ТД запрос (Access-Request), WLC

...

подменит NAS-IP на IP-адрес, который указан в конфигурации и отправит запрос на внешний RADIUS-сервер.
Внешний RADIUS-сервер

...

проверяет наличие записи NAS-IP WLC в своей конфигурации.
Если запись найдена, происходит проверка учетной записи пользователя и в случае успешной проверки, внешний RADIUS-сервер отправляет ответ (Access-Accept) в сторону WLC.

...

WLC, получив ответ от внешнего RADIUS-сервера, пересылает ответ ТД.
После успешного подключения клиента ТД отправляет запрос (Accounting-Request) на WLC (если отправка включена в конфигурации).
WLC подменяет NAS-

...

IP и пересылает запрос на внешний RADIUS-сервер.
Внешний RADIUS-сервер отправляет ответ (Accounting-Response) WLC. WLC пересылает запрос ТД.

Задача

Настроить перенаправление всех RADIUS-запросов от ТД из сети 192.168.1.0/24 на вышестоящий сервер:

...

Производить подмену NAS-IP на 10.10.20.1

Решение

Настройка будет выполнена на базе заводской конфигурации (Factory).

Шаги выполнения:

Настроить локальный RADIUS-сервер:
1. Прописать nas – разрешить прием RADIUS-пакетов от ТД;
2. Настроить virtual-server – включить режим проксирования и настроить подмену NAS-IP;
3. Настроить upstream-server – указать параметры вышестоящего сервера.
Настройка в разделе WLC:
1. Настроить radius-profile – настроить radius-profile, который будет использоваться для ТД;
2. Настроить ssid-profile – настроить SSID и выбрать ранее созданный radius-profile;
3. Включить ssid-profile в локацию.
Настроить firewall.
Применить конфигурацию.

...

Настройка локального RADIUS-сервера.
Перейти Перейдите в конфигурационный режим:

Блок кода

language	vb
theme	Eclipse

wlc# configure
wlc(config)#

Перейти Перейдите в раздел radiusраздел radius-server local:

Блок кода

language	vb
theme	Eclipse

wlc(config)# radius-server local
wlc(config-radius)#

Прописать Пропишите NAS.
Необходимо добавить Добавьте подсети ТД (адресное пространство ТД, т. е. их IP-адреса), которые будут обслуживаться локальным RADIUS-сервером при Enterprise-авторизации пользователей Wi-Fi в в nas ap:

Блок кода

language	vb
theme	Eclipse

wlc(config-radius)# nas ap
wlc(config-radius-nas)# network 192.168.1.0/24
wlc(config-radius-nas)# key ascii-text password
wlc(config-radius-nas)# exit

Подсказка

icon	false

При схеме подключения ТД через L3-сеть (с SoftGRE-туннелями) в конфигурации должна быть настроена запись для nas local, если она отсутствует, нужно то её необходимо добавить:

Блок кода

language	vb
theme	Eclipse

wlc(config-radius)# nas local
wlc(config-radius-nas)# key ascii-text password
wlc(config-radius-nas)# network 127.0.0.1/32
wlc(config-radius-nas)# exit

Настроить Настройте virtual-server.
Настроить Настройте virtual-server для проксирования RADIUS-запросов на внешний сервер. Задать имя Задайте имя virtual-server:

Блок кода

language	vb
theme	Eclipse

wlc(config-radius)# virtual-server default

Задать Задайте nas-ip.

Подсказка

icon	false
title	Подмена NAS-IP

В локальном RADIUS-сервере есть возможность изменять NAS-IP во всех входящих RADIUS-запросах от ТД к WLC.
Если параметр не задан, при пересылке RADIUS-запросов на внешний сервер в атрибуте NAS-IP будет записан адрес ТД. Это может повлечь за собой ошибки в процессе аутентификации, которые подробно рассмотрены в разделе Возможные проблемы при авторизации.

Блок кода

language	vb
theme	Eclipse

wlc(config-radius-vserver)# nas-ip-address 10.10.20.1

Включить Включите режим проксирования.

Блок кода

language	vb
theme	Eclipse

wlc(config-radius-vserver)# proxy-mode

Включить Включите virtual-server.

Блок кода

language	vb
theme	Eclipse

wlc(config-radius-vserver)# enable

Настроить Настройте upstream-server.

Настройка Настройте upstream-server доступна из раздела virtual-server. Создать Создайте upstream-server для настройки параметров вышестоящего сервера:

Блок кода

language	vb
theme	Eclipse

wlc(config-radius-vserver)# upstream-server eltex

Задать Задайте адрес вышестоящего сервера. На этот сервер будут перенаправляться запросы от ТД:

Блок кода

language	vb
theme	Eclipse

wlc(config-radius-upstream-server)# host 10.10.10.12

Включить Включите режим проксирования для запросов аутентификации и аккаунтинга.

Подсказка

icon	false
title	Типы upstream серверов

Server-type auth — auth – проксирование только запросов аутентификации. Запросы будут проксироваться на порт, указанный в параметре port (по умолчанию – 1812).

Server-type acct — acct – проксирование только аккаунтинга. Проксирование осуществляется на порт, указанный в параметре port (по умолчанию – умолчанию – 1812). При необходимости порт может быть изменен (стандартный порт для аккаунтинга – аккаунтинга – 1813).

Server-type all — all – проксирование запросов аутентификации и аккаунтинга. Запросы аутентификации будут проксироваться на порт, указанный в параметре port (по умолчанию – умолчанию – 1812), а аккаунтинг будет проксироваться на порт = 'port'+1 (то есть по умолчанию – умолчанию – 1813).

Выбрать Выберите режим all, так как нужно перенаправлять все запросы.

Блок кода

language	vb
theme	Eclipse

wlc(config-radius-upstream-server)# server-type all

Якорь

	upstream-server.key
	upstream-server.key

Задать Задайте ключ для вышестоящего сервера.

Блок кода

language	vb
theme	Eclipse

wlc(config-radius-upstream-server)# key ascii-text password
wlc(config-radius-upstream-server)# exit
wlc(config-radius-vserver)#   exit

Конфигурация раздела radius-server.

Блок кода

language	vb
theme	Eclipse

radius-server local
  nas local
    key ascii-text encrypted 8CB5107EA7005AFF
    network 127.0.0.1/32
  exit
  nas ap
    key ascii-text encrypted 8CB5107EA7005AFF
    network 192.168.1.0/24
  exit
  virtual-server default
    proxy-mode
    nas-ip-address 10.10.20.1 
    upstream-server eltex
      host 10.10.10.12
      server-type all
      key ascii-text password
    exit
  enable
  exit
exit

Scroll Pagebreak

Настройка в разделе WLC.
Перейти Перейдите в раздел wlc:

Блок кода

language	vb
theme	Eclipse

wlc(config)# wlc

Настроить Настройте radius-profile.
Настроить Настройте профиль default-radius:

Блок кода

language	vb
theme	Eclipse

wlc(config-wlc)# radius-profile default-radius

Поскольку настраивается проксирование запросов аутентификации и аккаунтинга, то в auth-address и acct-address должен быть указан адрес контроллера, который доступен для ТД. Ключ RADIUS-сервера (auth-password/acct-password) должен совпадать с ключом, указанным для nas ap, который был указан в radius-server local.

Якорь

	wlc.radius-profile
	wlc.radius-profile

Блок кода

language	vb
theme	Eclipse

wlc(config-wlc-radius-profile)# auth-address 192.168.1.1
wlc(config-wlc-radius-profile)# auth-password ascii-text password
wlc(config-wlc-radius-profile)# acct-address 192.168.1.1
wlc(config-wlc-radius-profile)# acct-password ascii-text password

Подсказка

icon	false

Если используется проксирование на SoftWLC, необходимо указать домен RADIUS. Этот домен должен совпадать с доменом, в котором созданы учетные записи пользователей Enterprise на SoftWLC.

Блок кода

language	vb
theme	Eclipse

wlc(config-wlc-radius-profile)# domain root

Включить Включите отправку аккаунтинга на RADIUS-сервер.

Блок кода

language	vb
theme	Eclipse

wlc(config-wlc-radius-profile)# acct-enable

Включить Включите добавление идентификатора RADIUS-сессии в запросах аккаунтинга.

Блок кода

language	vb
theme	Eclipse

wlc(config-wlc-radius-profile)# auth-acct-id-send

Задать Задайте временной интервал обновления аккаунтинга.

Блок кода

language	vb
theme	Eclipse

wlc(config-wlc-radius-profile)# acct-interval 600

Конфигурация radius-profile.

Блок кода

language	vb
theme	Eclipse

radius-profile default-radius
  auth-address 192.168.1.1
  auth-password ascii-text password
  auth-acct-id-send
  acct-enable
  acct-address 192.168.1.1
  acct-password ascii-text password
  acct-periodic
  acct-interval 600
exit

Создать Создайте ssid-profile.
Создать Создайте новый профиль SSID:

Блок кода

language	vb
theme	Eclipse

wlc(config-wlc)# ssid-profile test_enterprise

Указать Укажите в ssid-profile ранее настроенный профиль radius-profile.

Блок кода

language	vb
theme	Eclipse

wlc(config-wlc-ssid-profile)# radius-profile default-radius

Задать Задайте имя SSID.

Блок кода

language	vb
theme	Eclipse

wlc(config-wlc-ssid-profile)#   ssid "test_enterprise"

Задать Задайте режим безопасности.

Блок кода

language	vb
theme	Eclipse

wlc(config-wlc-ssid-profile)#   security-mode WPA2_1X

Задать Задайте VLAN.

Блок кода

language	vb
theme	Eclipse

wlc(config-wlc-ssid-profile)# vlan-id 3

Задать остальные параметры SSID.

Блок кода

language	vb
theme	Eclipse

wlc(config-wlc-ssid-profile)# description "SSID  for enterprise users"
wlc(config-wlc-ssid-profile)# 802.11kv
wlc(config-wlc-ssid-profile)# band 2g
wlc(config-wlc-ssid-profile)# band 5g
wlc(config-wlc-ssid-profile)# enable
wlc(config-wlc-ssid-profile)# exit

Конфигурация ssid-profile.

Блок кода

language	vb
theme	Eclipse

ssid-profile test_enterprise
  description "SSID for enterprise users"
  ssid "test_enterprise"
  radius-profile default-radius
  vlan-id 3
  security-mode WPA2_1X
  802.11kv
  band 2g
  band 5g
  enable
exit

Включить ssid-profile в локацию.
Нужно включить созданный Включите созданный SSID в локацию. ТД получит конфигурацию и начнёт вещать данные SSID. В римере ниже примере ниже ssid-profile включен в локацию default-location.

Блок кода

language	vb
theme	Eclipse

ap-location default-location
  ssid-profile test_enterprise
exit

Конфигурация раздела wlc.

Блок кода

language	vb
theme	Eclipse

wlc
  outside-address 192.168.1.1
  service-activator
    aps join auto
  exit
  airtune
    enable
  exit
  ap-location default-location
    description "default-location"
    mode tunnel
    ap-profile default-ap
    airtune-profile default_airtune
    ssid-profile default-ssid
    ssid-profile test_enterprise
  exit
  airtune-profile default_airtune
    description "default_airtune"
  exit
  ssid-profile default-ssid
    description "default-ssid"
    ssid "default-ssid"
    radius-profile default-radius
    vlan-id 3
    security-mode WPA2_1X
    802.11kv
    band 2g
    band 5g
    enable
  exit
  ssid-profile test_enterprise
    description "SSID for enterprise users"
    ssid "test_enterprise"
    radius-profile default-radius
    vlan-id 3
    security-mode WPA2_1X
    802.11kv
    band 2g
    band 5g
    enable
  exit
  radio-2g-profile default_2g
    description "default_2g"
  exit
  radio-5g-profile default_5g
    description "default_5g"
  exit
  ap-profile default-ap
    description "default-ap"
    password ascii-text encrypted 8CB5107EA7005AFF
  exit
  radius-profile default-radius
    description "default-radius"
    auth-address 192.168.1.1
    auth-password ascii-text encrypted 8CB5107EA7005AFF
    auth-acct-id-send
    acct-enable
    acct-address 192.168.1.1
    acct-password ascii-text encrypted 8CB5107EA7005AFF
    acct-periodic
    domain default
  exit
  wids-profile default-wids
    description "default-wids"
  exit
  ip-pool default-ip-pool
    description "default-ip-pool"
    ap-location default-location
  exit
  enable
exit

Настройка firewall.
Для приёма аккаунтинга нужно разрешить разрешите прохождение UDP-трафика по порту 1813 из зоны trusted в зону self. В заводской конфигурации порт 1813 закрыт.
1. Перейти Перейдите в конфигурационный режим:
  Блок кода
  language vb
  theme Eclipse
  wlc# configure wlc(config)#
2. Создать Создайте группу radius_acct:
  Блок кода
  object-group service radius_acct port-range 1813 exit
3. Добавить Добавьте правило в в zone-pair trusted self:
  Блок кода
  security zone-pair trusted self rule 91 action permit match protocol udp match destination-port object-group radius_acct enable exit exit
Применить Примените и подтвердить подтвердите конфигурацию.
Блок кода
language vb
theme Eclipse
wlc# commit wlc# confirm

...

Якорь

	possible_problems
	possible_problems

Scroll Pagebreak

Возможные проблемы

Рассмотрим возможные проблемы при авторизации.

...

В данном примере внешний RADIUS-сервер на входящий запрос (Access-Request), ответит (Access-Reject). Может быть две причины такого ответа.

При настройке проксирования RADIUS запросов на WLC указывается параметр подмены NAS-IP. В случае, если он не указан, запросы будут пересылаться на внешний RADIUS-сервер без подмены NAS-IP. В результате внешний RADIUS-сервер получит запрос с NAS-IP ТД. Если на внешнем RADIUS-сервере включена проверка по NAS-IP, запрос на подключение будет отклонён. Если подмена NAS-IP в конфигурации проксирования RADIUS на WLC настроена, но внешний RADIUS-сервер присылает ответ (Access-Reject), необходимо проверить наличие адреса WLC в NAS-клиентах в конфигурации внешнего RADIUS-сервера.

Scroll Pagebreak

Запрет доступа по причине ошибки аутентификации

...

Данный пример описывает проблему ответа о запрете доступа (Access-Reject) на запрос (Access-Request).

Причиной такого ответа является отсутствие учетной записи клиента на внешнем RADIUS-сервере. В таком случае необходимо проверить наличие учетной записи клиента в конфигурации внешнего RADIUS-сервера и корректность введенных клиентом данных (логина и пароля).

Дерево страниц

Сравнение версий

Старая версия 108

Новая версия Текущий

Ключ

Описание

Задача

Решение

Возможные проблемы

Запрет доступа по причине ошибки аутентификации

Дерево страниц

История страницы

Сравнение версий

Старая версия 108

Новая версия Текущий

Ключ

Описание

Задача

Решение

Возможные проблемы

Запрет доступа по причине ошибки аутентификации