В рамках данной инструкции будет рассмотрен процесс настройки портальной авторизации в связке: Контроллер точек доступа CISCO WLC 9800 + Портал Eltex NAICE. На контроллере CISCO WLC 9800 в ходе настройки будут отредактированы или созданы следующие сущности:
В конце статьи расположен разбор некоторых возможных проблем при настройке.
Схема с агрегацией клиентского трафика через туннель CAPWAP предполагает, что к VALN'у для размещения и маршрутизации гостевого трафика будет организован доступ на самом контроллере точек доступа, клиенты беспроводной сети после подключения к SSID будут попадать в клиентский VLAN через туннель между точкой доступа и контроллером. Также предполагается что адресация клиентов, а также маршрутизация гостевого трафика будет выполняться вне контроллера беспроводных сетей. на отдельном маршрутизаторе.
Предполагается, что в сети предприятия уже существует или был ранее настроен VLAN с гостевой адресацией и маршрутизацией гостевого трафика. VLAN должен быть "проброшен" до интерфейса UpLink контроллера WLC, чтобы его возможно было создать и использовать в рамках контроллера.
Перейти в раздел Configuration > Layer2 > Vlan , далее необходимо перейти во вкладку VLAN и нажать +ADD:
В открывшемся окне:
| В данной инструкции внимание не будет акцентироваться на сетевых параметрах контроллера слишком подробно, при возникновении вопросов по настройке сетевых параметров - необходимо обратиться к официальному руководству контроллера. |
1) Открыть раздел Configuration > Security > AAA и создать новый Radius кликнув +ADD:
В открывшемся окне необходимо задать следующие поля:
Подтвердить и сохранить кнопкой Apply to Device
2) Далее перейти в подраздел Server Groups в этом же разделе, и создать новую группу кликнув "+ADD":
Затем в открывшемся окне:
Подтвердить и сохранить кнопкой Apply to Device.
3) Далее перейти в подраздел AAA Method List > Authorization и создать новую сущность кликнув "+ADD":
В открывшемся окне:
Подтвердить и сохранить кнопкой Apply to Device.
4) Затем необходимо перейти в подраздел AAA Method List > Accounting и создать новую сущность кликнув "+ADD":
В открывшемся окне настроить
Затем в открывшемся окне необходимо:
Подтвердить и сохранить кнопкой Apply to Device.
Необходимо перейти в раздел Configuration > Security > ACL и создать новый ACL (Redirect-ACL) кликнув +ADD:
В открывшемся окне создайте список правил с содержанием как на рисунке выше. Для правил 10 и 20 используйте ip-адрес хоста NAICE.
Быстро создать лист ACL можно через CLI, для этого необходимо подключиться к хосту WLC при помощи ssh, перейти в режим конфигурирования с соответствующими привилегиями и использовать следующие команды:
ip access-list extended naice-acl-main 10 deny ip any host <ip-адрес хоста NAICE> 20 deny ip host <ip-адрес хоста NAICE> any 30 deny udp any any eq domain 40 deny udp any eq domain any 50 deny udp any eq bootpc any 60 deny udp any eq bootps any 200 permit tcp any any eq www |
Логика работы ACL-листа при назначении его в качестве Redirect-ACL отличается от стандартной! Actions Deny и Permit не "запрещают или разрешают" тип трафика подходящий под условие, а "запрещают или разрешают выполнять редирект" данного трафика. |
Необходимо перейти в раздел Administration > HTTP/HTTPS/Netconf/VTY и включить опцию HTTP Access:
Для корректной работы редиректа также необходим профиль Flex Profile Необходимо перейти в раздел Configurations > Tags & Profiles > Flex и создать новый профиль кликнув +ADD:
В открывшемся окне, во вкладке General необходимо сделать следующее:
Далее этом же окне необходимо перейти к вкладке Policy ACL:
В ней необходимо сделать следующее:
Далее, в этом же окне, необходимо перейти к вкладке VLAN:
В ней необходимо сделать следующее:
Далее необходимо кликнуть Save, затем Update & Apply to Device для подтверждения и сохранения настроек.
Необходимо перейти в раздел Configuration > Tags & Profiles > WLANs и создать новый профиль кликнув +ADD:
В открывшемся окне, во вкладке General необходимо сделать следующее:
Далее, в этом же окне, необходимо перейти к вкладке Security > Layer 2:
В открывшейся вкладке необходимо:
Далее необходимо кликнуть Apply to Device для подтверждения и сохранения настроек.
Необходимо перейти в раздел Configuration > Tags & Profiles > Policy и создать новый профиль кликнув +ADD:
В открывшемся окне во вкладке General необходимо:
Затем в том же окне необходимо перейти во вкладку Access Policies:
В открывшей окне во вкладке Access Policies необходимо:
Затем в том же окне необходимо перейти во вкладку Advanced и промотать вниз до блока AAA Policy:
В блоке AAA Policy необходимо сделать следующее:
Далее необходимо кликнуть Apply to Device для подтверждения и сохранения настроек.
Необходимо перейти в раздел Configuration > Tags & Profiles > Tags и затем перейти во вкладку Policy, чтобы создать новую политику необходимо кликнуть +ADD:
В открывшемся окне Add Policy Tag необходимо сделать следующее:
Далее необходимо кликнуть Apply to Device для подтверждения и сохранения настроек.
Оставаясь на этой же странице, необходимо перейти во вкладку Site и кликнуть +ADD для создания нового профиля Site Tag:
В открывшемся окне необходимо выполнить следующее:
Настройка портала на NAICE выполняется по общей инструкции которая отражена здесь, поэтому не будет подробно рассматриваться в данной статье, но есть важные моменты на которые необходимо отдельно обратить внимание при конфигурировании портала:
1) В настройках профиля сетевого устройства, созданного в сервисе NAICE для взаимодействия с CISCO 9800, необходимо указать альтернативный порт CoA - 1700.
2) В параметрах профиля авторизации NAICE, созданного в сервисе NAICE для взаимодействия с CISCO 9800, необходимо указать имя листа Redirect-ACL созданного в ходе данной инструкции.
Для работы с контроллером в раздел Администрирование → Сетевые ресурсы → Профили устройств добавлен профиль по умолчанию |
Необходимо перейти в раздел Администрирование → Сетевые ресурсы → Профили устройств и затем открыть профиль созданный для взаимодействия с CISCO 9800, затем открыть вкладку Настройки RADIUS CoA:
В данном блоке настроек необходимо в поле RADIUS CoA указать порт 1700
Необходимо перейти в раздел Политики → Элементы → Профили авторизации и открыть профиль используемый для портала профиль авторизации, затем спуститься вниз до блока настроек Общие задачи:
и указать параметры:
Нажать кнопку Добавить.
На данном этапе настройку можно считать оконченной
1) После подключения клиентом к беспроводной сети, необходимо на WLC перейти в раздел Monitoring > Clents:
В открывшемся окне выберите свой клиент чтобы перейти к деталям, в открывшемся новом окне Client необходимо перейти в раздел General затем в подраздел Security Information. Необходимо убедиться, что в блоках Server Policies / Resultant policies отображаются ссылка для редиректа в корректном виде, корректное имя ACL листа, совпадающее с именем листа созданного в рамках инструкции, а также корректный VLAN для гостевого трафика с нужным ID:
Ссылка для редиректа динамическая, она определяется сервисом NAICE, и имеет следующий формат:
https://{ip}:{port}/portal/1?user_mac={client_mac}&nas_ip={nas_ip} |
Если ссылка и ACL-лист не получены - необходимо проверить, настройку портала на NICE по инструкции.
2) Устройства-клиенты на различных ОС обращаются к различным сайтам Connectivity Check при подключении к беспроводным сетям, поэтому важно чтобы имена DNS этих сайтов корректно разрешались DNS-сервером. Необходимо убедиться, что в сети к которым подключены точки доступа, а также гостевой сети - работает DNS и имена корректно разрешаются в IP-адреса. Примеры сайтов, используемых различными ОС:
http://captive.apple.com http://msftconnecttest.com http://connectivity-check.ubuntu.com http://connectivitycheck.android.com |
3) Необходимо проверить, что созданный в этой инструкции ACL-лист совпадает с рекомендациями инструкции в точности, также, что он назначен в профиле Flex Profile, а флажок Central Web Auth установлен:
4) Необходимо временно отключить возможные правила Firewall для обеспечения отсутствия ограничений взаимодействия между CISCO WLC 9800 и сервисом NAICE, если Firewall используется.
Необходимо в интерфейсе сервиса NAICE перейти в раздел Администрирование → Сетевые ресурсы → Профили устройств, открыть профиль созданный для взаимодействия с CISCO 9800, открыть вкладку Настройки RADIUS CoA и проверить что порт выставлен корректно, значение должно быть 1700:
Необходимо убедиться, что в разделе Configuration > Tags & Profiles > Policy в созданном в рамках инструкции профиле включен переключатель Central Authentication:
