Содержание

1. Общая архитектура

Интеграция SoftWLC с контроллером CiscoWLC для аутентификации и тарификации абонентских устройств. Взаимодействие обеспечивается согласно RFC 2865 RADIUS Authentication и  RFC 2866 RADIUS Accounting.

1.1 Общая схема интеграции контроллера

1. Контроллер Cisco добавить в SoftWLC.EMS как устройство Cisco контроллера.
2. В SoftWLC.EMS добавить географически домен для целевого филиала. Контроллер переместить в этот домен.
3. В SoftWLC.EMS создать сервисный домен, определяющий тип и свойства услуги.
4. В SoftWLC.EMS создать целевые SSID, привязать к соответствующему сервисному домену и настроить на предоставление конкретной услуги.
5. В SoftWLC.EMS создать SSID привязки к контроллерам Cisco. Привязки могут быть созданы на локацию, то есть географический домен.
6. По данным привязок, контроллер SoftWLC может получить сведения о сервисном домене для каждого конкретного SSID и реализовывать политику ограничений на их основе.
7. Существующих пользователей переместить вручную. Скрипт миграции позволяет хешировать заданные пароли для пользователей.
8. Новых пользователей создать через ЛК SoftWLC, проставить целевой SSID, либо сервисный домен и тариф.
9. Тарификация пользователей осуществляется при использовании индивидуальному проставлению тарифов. Для пользователей Enterprise сетей оператор проставляет тариф в ЛК SoftWLC. Так же в качестве тарификации можно использовать настройки QOS на контроллере Cisco(в тарификации можно будет выбирать уровни для определенных ролей)

1.2 Механизмы аутентификации SoftWLC 

На основании информации о контроллерах Cisco и SSID, работающих на них, из SoftWLC EMS, строится механизм аутентификации пользователей. SoftWLC PCRF ищет сервисный домен пользователя и подставляет их в RADIUS пакет, на основании уже присутствующих атрибутов NAS IP и названию SSID. 

1. Enterprise аутентификация

   

2. MAB аутентификация. 

   При авторизации в radius пакете в качестве логина отправляется MAC адрес устройства и в качестве пароля - secret key radius. При проверке на ELTEX PCRF происходит подмена пароля на NOPASSWORD.  

2. Настройка CiscoWLC AIR-CT3504 для работы с SoftWLC

Для корректной работы с контроллером SoftWLC на контроллере Cisco требуется выполнить небольшую конфигурацию. 

1. Добавить RADIUS сервер. Для работы с аккаунтингом и получением статистики по пользователю в настройках Cisco контроллера  в качестве  адреса RADIUS сервера будет выступать сервис eltex-pcrf. Пакет SoftWLC PCRF доработан таким образом, чтобы найти сервисный домен пользователя и провести аутентификацию стандартными способами SoftWLC.  SoftWLC PCRF ищет сервисные домены и подставляет их в RADIUS пакет, на основании уже присутствующих атрибутов NAS IP и названию SSID. 
   SoftWLC PCRF осуществляет Mac Authentication Bypass на основании внутреннего механизма мак-авторизации.
2. Настроить SSID. В зависимости от настроек можно использовать enterprise или MAC авторизацию. Добавлять ограничение по трафику на каждый SSID. При создании нового SSID требуется добавить его в AP Group. 

2.1 Настройка RADIUS сервера

2.2 Настройка SSID

2.2.1 Enterprise авторизация

2.2.2 MAB авторизация

3. Настройка CiscoWLC Catalyst 9800-CL для работы с SoftWLC

Для корректной работы с контроллером SoftWLC на контроллере Cisco требуется выполнить небольшую конфигурацию. 

1. Добавить RADIUS сервер. Для работы с аккаунтингом и получением статистики по пользователю в настройках Cisco контроллера  в качестве  адреса RADIUS сервера будет выступать сервис eltex-pcrf. Пакет SoftWLC PCRF доработан таким образом, чтобы найти сервисный домен пользователя и провести аутентификацию стандартными способами SoftWLC.  SoftWLC PCRF ищет сервисные домены и подставляет их в RADIUS пакет, на основании уже присутствующих атрибутов NAS IP и названию SSID. 
   SoftWLC PCRF осуществляет Mac Authentication Bypass на основании внутреннего механизма мак-авторизации.
2. Настроить SSID. В зависимости от настроек можно использовать enterprise или MAC авторизацию. Добавлять ограничение по трафику на каждый SSID. При создании нового SSID требуется добавить его в группу SSID, назначенную на ваши группы ТД. 

3.1 Настройка параметров AAA

3.2 Настройка SSID

3.3. Настройка Policy Profile на интерфейс VLAN

3.4. Добавление WLAN в Policy Tags

3.5 Добавление ТД в группу

3.6 Сохранение настроек

4. Настройка EMS для работы с Cisco

Для возможности использования геораспределенных систем контроллер Cisco добавляется в дерево объектов EMS и назначаются привязки SSID. На домен можно установить определенные тарифы, в которых возможно настроить различные ограничения трафика

Существует возможность перемещать контроллер по доменам внутри дерева. Домены используются в качестве гео-идентификатора региона или филиала. Для корректной работы авторизации добавляется соответсвующая запись контроллера в RADIUS. 

На основании данных SSID и домена строится механихм аутентификации пользователей. 

4.1 Добавление лицензии

cp licence.xml /usr/lib/eltex-ems/conf/licence/licence.xml

После установки лицензии требуется перезапустить сервис eltex-ems

systemctl restart eltex-ems

4.2 Добавление Cisco в EMS 

4.3 Настройка SSID

4.3.1 Enterprise авторизация

Добавить SSID Для корректной работы привязок к геодомену необходимо добавить соответствующий SSID.  Для этого перейти: Wireless → Менеджер SSID → Добавить SSID Заполнить данные в зависимости от типа аутентификации.
Enterprise авторизация Указать: Тип – Enterprise Ввести имя SSID Домен Выбрать режим безопасности – WPA Enterprise + WPA2-AES Указать RADIUS IP Address RADIUS Key RADIUS port – 31812 (pcrf) В качестве RADIUS сервера указать IP адрес сервера eltex-pcrf
Добавить привязки Выбрать SSID → "Добавить SSID привязку" → "Выбрать объекты для привзяки" → Принять После чего на вкладке “Привязки SSID” будет добавлена запись привзяки для SSID.

4.3.2 MAB авторизация

Добавить SSID Для корректной работы привязок к геодомену необходимо добавить соответствующий SSID.  Для этого перейти: Wireless → Менеджер SSID → Добавить SSID Заполнить данные в зависимости от типа аутентификации.
MAB авторизация Указать: Тип – Enterprise Ввести имя SSID Домен Выбрать режим безопасности – Без шифрования MAC Auth type: RADIUS Policy: Allow Указать RADIUS IP Address RADIUS Key RADIUS port – 31812 (pcrf) В качестве RADIUS сервера указать IP адрес сервера eltex-pcrf
Добавить привязки Выбрать SSID → "Добавить SSID привязку" → "Выбрать объекты для привзяки" → Принять После чего на вкладке “Привязки SSID” будет добавлена запись привзяки для SSID.

5. Настройка "Личного кабинета" для работы с Cisco

Для интеграции с Cisco необходимо включить соответствующий атрибут в настройках. После чего появляется возможность добавления атрибутов cisco в тарифах. Через тарифы реализуется per-user-shaping. Атрибуты позволяют настроить индивидуальные ограничения для пользователя.

5.1 Включение интеграции Cisco

5.2 Настройка "Тарифа"

5.3 MAB авторизация

Для успешной MAB авторизации необходимо создать пользователя:

• в качестве логина использовать MAC адрес устройства в формате 00-AA-BB-CC-DD-EE
• пароль должен иметь значение NOPASSWORD

Подробную информацию по настройке можно найти в документации по настройке SoftWLC -  v1.24_Настройка MAC-авторизации на RADIUS

5.4 Хеширование паролей Enterprise пользователей