FlexConnect解决方案和ISE上的配置实例.pdf

集中式Web 认证在无线控制器 FlexConnect 解决方案和ISE 上的配置实例 介绍 本文档介绍了在启用了本地交换模式下的无线局域网控制器（WLC ）与 FlexConnect 接入点 （AP ）和身份服务引擎（ISE）上如何配置集中Web 认证。 重要注意事项 ：此时，这种情况下Flex 无线接入点不支持本地认证。 本系列的其他文件 *交换机集中Web 认证与身份服务引擎的配置实例 *无线控制器集中Web 认证和ISE 配置示例 先决条件 要求 本文档有没有具体的要求。 使用的组件 本文件中的信息是基于这些软件和硬件版本： *思科身份服务引擎（ISE），1.1.2 版 *无线局域网控制器软件发行版本 - 配置 有多种方法在无线局域网控制器（WLC ）上配置集中 Web 认证。第一种方法是在本地 web 认证，无线控制器将HTTP 流量重定向到内部或外部的服务器上，用户会被提示进行身份验 证。然后无线控制器获取认证信息 （在一个外部服务器的情况下，通过一个HTTP GET 请求 发回）并采用RADIUS 认证。对于来宾用户的情况下，需要一个外部服务器（如身份服务引 擎（ISE）或NAC 来宾服务器（NGS））提供门户功能，如设备登记和自我配置。这个过程包 括以下步骤： 1.用户关联到Web 认证的SSID 。 2.用户打开自己的浏览器。 3.一旦输入URL，无线控制器会重定向到来宾门户网站（如ISE 或NGS）。 4.用户在门户网站上进行身份验证。 5.来宾门户网站将认证信息重定向到无线控制器。 6.无线控制器通过RADIUS 对来宾进行认证。 7.无线控制器重定向回原始URL。 这个过程包括很多的重定向操作。新的方法是使用ISE （版本1.1 以上）和无线控制器 （版 本7.2 以上）的集中Web 认证。这个过程包括以下步骤： 1.用户关联到Web 认证的SSID 。 2.用户打开自己的浏览器。 3.无线控制器重定向到来宾门户。 4.用户在门户网站上进行身份验证。 5. ISE 发送RADIUS 授权更改（CoA - UDP 端口1700）给无线控制器，表明该用户有效，并最 终推送RADIUS 属性，例如访问控制列表（ACL ）。 6.提示用户重试原始的URL。 本节介绍了无线控制器和ISE 上配置集中Web 认证的必要步骤。 网络拓扑图 此配置使用以下网络设置： 无线控制器配置 无线控制器的配置相当简单。使用一个“小窍门”（与交换机上一样）从 ISE 获得动态认证 URL。（由于它使用CoA ，会话创建的会话ID 需要包含在URL 中。）SSID 配置为使用MAC 过 滤，以及ISE 配置为返回Access-Accept 消息，即使在找不到MAC 地址情况下，它为所有用 户发送重定向URL。 此外，必须启用 RADIUS 网络准入控制（NAC）和AAA 覆盖功能。RADIUS NAC 允许ISE 发送 CoA 请求，表明用户现在已经得到认证并且能够访问网络。它也被用于用户行为评估，ISE 会根据行为结果来更改用户配置。 1.确保RADIUS 服务器启用RFC3576 （CoA ），默认下启用。 2.创建一个新的WLAN 。此示例创建一个新的名为CWAFlex 的WLAN，并将其分配到 vlan33 。 （需要注意的是，它不会有太大的影响，因为无线接入点是在本地交换模式）。 3.在“Security ”选项卡中启用Layer 2 Security 的MAC Filtering。 4.在 “Layer 3”选项卡中，确保Security 被禁用。（如果在3 层启用了Web 认证，则是启用 了本地Web 身份验证，而不是集中Web 认证）。 5.在“AAA Servers ”选项卡中，选择ISE 服务器作为WLAN 的RADIUS 服务器。或者，你可以 选择它来计费，以便获取ISE 更详细的信息。 6.在“Advanced ”选项卡上，确保启用AAA Override，并选择NAC State 为Radius NAC。 7.创建一个重定向ACL 。 ACL 在ISE 的Access-Accept 消息中使用，它定义了哪些流量应该被重定向（由ACL 拒绝）， 以及什么样的流量不应该重定向（由ACL 允许）。基本上DNS 和从 ISE 发来和发向 ISE 的流 量需要被允许。 注 ：FlexConnect 无线接入点的一个问题是你必须创建一个区别于普通ACL