Contenido. Introducción. Prerrequisitos. Requisitos. Componentes Utilizados

Transcripción

1 Contenido Introducción prerrequisitos Requisitos Componentes Utilizados Descripción del flujo Diagrama de la red Configurar Onboarding conectando con MAB SSID Configuración de la consola de Google Admin Configuración ISE Configuración de controlador Onboarding Chromebook Caso adicional del uso Onboarding conectando con PEAP SSID Verificación Troubleshooting Debugs en el ISE Registros de Chromebook Comandos útiles del navegador de Chromebook Problemas típicos Introducción Este documento describe cómo configurar la versión 2.1 y el regulador del Wireless LAN (WLC) del motor del servicio de la identidad de Cisco (ISE) para Chromebook onboarding. Prerrequisitos Requisitos Cisco recomienda que usted tiene conocimiento básico del siguiente Cisco Identity Services Engine Consola de Google admin Comprando y instalando el registro de dominio autorice y licencia del dispositivo para Chromebooks. Componentes Utilizados 2.1 ISE Versión del WLC Chromebook (licencia del registro de dominio y licencia del dispositivo comprada).

2 Descripción del flujo El flujo cambia dependiendo de cuando la configuración Assistant(NSA) de la red de Cisco se avanza al cliente. Si Cisco NSA se agrega a las Extensiones fuera de la banda (antes de que el usuario conecta con la disposición del SSID). 1. El dispositivo se registra al dominio y basado en los config de la consola de Google admin, Chromebook descarga Cisco NSA, las configuraciones de WiFi, los Certificados etc. 2. El usuario conecta con el MAB SSID y consigue reorientado para CWA. 3. El usuario ingresa los credentails. Sobre la autenticación satisfactoria, reorientan al usuario al portal BYOD. 4. Una vez que BYOD comienza, el CSR es enviado al ISE por el cliente. 5. El ISE genera el certificado y el Certificado de usuario se avanza al cliente. 6. Chromebook se vuelve a conectar a TLS SSID usando el certificado avanzado al cliente. Si Cisco NSA se descarga después de conectar con el SSID de disposición. 1. El usuario conecta con el MAB SSID y consigue reorientado para CWA. Reoriente el ACL tiene acceso al DNS, al ISE, a los servidores de Google y al dominio de Google. 2. El dispositivo descarga Cisco NSA, las configuraciones de Wifi, los Certificados configurados en la consola de Google admin. 3. El usuario ingresa los credentails en la página del portal del invitado. Sobre la autenticación satisfactoria, reorientan al usuario al portal BYOD. 4. Una vez que BYOD comienza, el CSR es enviado al ISE por el cliente. 5. El ISE genera el certificado y el Certificado de usuario se avanza al cliente. 6. Chromebook se vuelve a conectar a TLS SSID usando el certificado avanzado al cliente. Diagrama de la red Este flujo describe el escenario donde Cisco NSA se agrega al punto final antes de conectar con la disposición del SSID.

3 Configurar Onboarding conectando con MAB SSID El usuario conecta con MAB SSID y consigue el aprovisionado de los Certificados para conectar con el EAP-TLS. Configuración de la consola de Google Admin Step1: Login a la consola de Google admin accediendo Step2: Hojee a la Administración de dispositivos > a las redes > a Wifi y agregue dos configuraciones de Wifi, una para disposición el SSID y otra para el EAP-TLS. Certificate Authority del servidor: Mientras que configura las configuraciones de Wifi del EAP-TLS, si usted está utilizando CA interno para el EAP, el encadenamiento del certificado de CA se debe cargar a la consola admin vía la Administración de dispositivos > la red > los Certificados. Una vez que el encadenamiento de CA está cargado, tiene que ser asociado bajo Certificate Authority del servidor. Si se está utilizando otro vendedor CA, no tenemos que importar el encadenamiento de CA a la consola admin y seleccionar la opción uso ningún Certificate Authority predeterminado del descenso abajo del Certificate Authority del servidor. Modelo del emisor/modelo del tema: Por lo menos un atributo del modelo del emisor o del modelo del tema debe hacer juego los atributos del certificado instalado. Configuración MAB SSID WifI: CHROME-MAB

4 Configuración del EAP-TLS SSID Wifi: CHROME-TLS Step3: Hojee a la Administración de dispositivos > a Chrome > a los ajustes de usuario > al Apps

5 y las Extensiones, en el Apps y las Extensiones fuerza-instalados, tecleo manejan el Apps Fuerza-instalado. Busque para el ayudante de la configuración de la red de Cisco en el webstore del cromo y agreguelo. Configuración ISE

6 Paso 1: Reglas de la autenticación para el MAB y EAP_TLS. Paso 2: Crear el perfil de la autorización para el invitado reorienta y las reglas de la autorización para CWA y el EAP-TLS.

7 Paso 3: Si se selecciona el atributo sujeto del modelo mientras que crea las configuraciones de Wifi en Google admin consuela, edite el Certificate Template plantilla de certificado para hacer juego el atributo sujeto del modelo. En este ejemplo organización se está correspondiendo con a Cisco. Certificate Template plantilla de certificado con la organización como Cisco Paso 4: Cree o utilice el NSP-perfil preexistente

8 Paso 5: Asocie el NSP-perfil creado a la regla del aprovisionamiento del cliente. Hojee al aprovisionamiento de la directiva > del cliente Paso 6: Permiso BYOD bajo configuraciones del portal del invitado. Hojee a los centros > al acceso de invitado > a la configuración de trabajo > seleccionan al invitado porta y editan las configuraciones BYOD. El permiso permite que los empleados utilicen los dispositivos personales en la red Configuración de controlador Paso 1: Cree los SSID para el MAB y el dot1x que corresponde con las configuraciones de WiFi creadas en la consola Admin. En este ejemplo, el Chrome-MAB se crea para el MAB con la filtración MAC habilitada y Chrome-TLS se crea para el 802.1x. Paso 2: Cree reorientan el ACL: Si avanzan al ayudante de la configuración de la red de Cisco al Chromebook de la banda entonces usted apenas necesidad de proporcionar el acceso a los servidores DNS, del DHCP y ISE en la reorientación ACL. Este escenario se considera típicamente si usted está registrando el Chromebook al dominio antes de conectar con la disposición del SSID. Pero si el escenario es descargar la red de Cisco puso al ayudante conectando con el SSID de disposición, después usted necesita proporcionar el acceso al DNS, al ISE, a la lista blanca de los servidores de Google y a los dominios de Google. Nota: Los ACL basados DNS no se soportan en los escenarios del No nativo-ancla y el Local Switching de Flexconnect. Para más información sobre las restricciones basadas DNS ACL, refiera por favor a este artículo: El DNS basó las restricciones ACL Reoriente el ACL si descargan al ayudante de la configuración de la red de Cisco antes de conectar con la disposición del SSID

9 Reoriente el ACL si el SSID de disposición se utiliza para descargar al ayudante de la configuración de la red de Cisco. Agregue el ACL basado URL para la lista blanca del servidor de Google y el dominio de Google. Onboarding Chromebook Paso 1: Inicie sesión al Chromebook con el usuario que pertenece al dominio creado en la consola admin. Si el dispositivo se registra ya al dominio creado, el dispositivo no tiene que ser limpiado limpio. Pero si el dispositivo se registra a otro dominio, reajustó el dispositivo y registre el dispositivo al nuevo dominio configurado en la consola de Google admin. Durante esta prueba, descargaron al ayudante de la configuración de la red de Cisco antes de conectar con la disposición del SSID. Verifique chrome://extensions para aseegurarse la red de Cisco poner al ayudante está presente en las Extensiones.

10 Paso 2: Conecte con las configuraciones MAB Wifi: CHROME-MAB Paso 3. Hojee para conseguir reorientado a la página porta del invitado y para ingresar los credenciales de usuario (el usuario tiene que estar en el usuario interno del ANUNCIO ISE). Paso 4: Después de la autenticación acertada del invitado, reorientan al usuario al portal BYOD. Haga clic en Start (Inicio). Paso 5: Agregue el Nombre del dispositivo y el tecleo continúa

11 Paso 6: Haga clic sí, cuando está indicado para instalar el certificado. Paso 7: El certificado consigue instalado. Paso 8: Vuelva a conectar al EAP-TLS SSID. En este ejemplo, su Chrome-TLS. Caso adicional del uso

12 Onboarding conectando con PEAP SSID Los pasos siguientes incluyen solamente el config que es diferente de los config de Onboarding conectando con MAB SSID. Para los pasos restantes satisfaga refieren la configuración arriba. Configuraciones de Wifi en la consola de Google admin Agregue el proifle de Wifi para PEAP SSID

13 Autorización ISE Verificación Los registros vivos ISE muestran la primera petición MAB, seguida con la autenticación del invitado y finalmente el éxito acertados del EAP-TLS. En el lado del cliente, el usuario está conectado con Chrome-TLS SSID. Los Certificados pueden ser verificados.

14 Troubleshooting Debugs en el ISE Para revisar abre una sesión el ISE, cambian el registro al nivel de debug para los componentes siguientes: Ca-servicio, cliente-webapp, portal, porta-sesión-administrador, aprovisionamiento, Runtime-AAA y prrt-jni. Registros a revisar para el proceso onboarding - ise-psc.log y caservice.log ise-psc.log :33:57,009 DEBUG [http-bio exec-3][] cisco.cpm.provisioning.cache.flowstatecachemanager -:::john:- Initialized byod flow state for A4-C4-94-C5-1D-4A :33:57,009 DEBUG [http-bio exec-3][] cisco.cpm.provisioning.nsp.nspprovisionruntime -:::john:- BYODStatus:INIT :34:03,475 DEBUG [http-bio exec-3][] cpm.provisioning.admin.impl.resourcemanagerimpl - ::::- CP:DEBUG Filename read = Cisco-ISE-Chrome-NSP.xml :34:08,078 DEBUG [portalhttp-service11][] cisco.cpm.provisioning.cert.certprovisioningfactory -::::- Found incoming certifcate request for internal CA. Increasing Cert Request counter :34:08,120 DEBUG [portal-http-service11][] cisco.cpm.provisioning.cert.certprovisioningfactory -::::- Key type is RSA, retrieving ScepCertRequestProcessor for caprofilename=ise Internal CA :34:08,121 INFO [portal-http-service11][] com.cisco.cpm.scep.scepcertrequestprocessor -::::- About to forward certificate request CN=john,OU=Example unit,o=cisco,l=city,st=state,c=us with transaction id Voz???=qfw to server 15:34:09,664 DEBUG [portal-http-service13][] cisco.cpm.provisioning.cert.certprovisioningfactory -::::- Performing dogetcertinitial found Scep certificate processor for txn id Voz???=qfw :34:09,667 DEBUG [portal-http-service13][] cisco.cpm.provisioning.cert.certrequestvalidator - ::::- Fetching the Certificate attributes to be added to an Endpoint :34:09,697 DEBUG [portal-http-service13][] cisco.cpm.provisioning.cert.certrequestvalidator -::::- BYODStatus:COMPLETE_CERT_PROVISIONING :34:09,709 DEBUG [portal-http-service13][]

15 cisco.cpm.provisioning.cert.certrequestvalidator -::::- Storing Endpoint Certificate in the Endpoint Certificate table. (mac a4:c4:94:c5:1d:4a) :34:09,789 DEBUG [portal-httpservice13][] cisco.cpm.provisioning.cert.certprovisioningfactory -::::- BYODStatus:COMPLETE_OTA_CWA ca-service.log :34:08,160 DEBUG [caservice-http ][scep job 16e8668cd9bf1081fbef07d951dfb11c631c7f19 0x4ff42b55 request] com.cisco.cpm.caservice.crvalidator -:::::- performing certificate request validation:version [0]subject [CN=john,OU=Example unit,o=cisco,l=city,st=state,c=us] :34:08,162 DEBUG [caservicehttp ][scep job 16e8668cd9bf1081fbef07d951dfb11c631c7f19 0x4ff42b55 request issuance] com.cisco.cpm.caservice.certificateauthority -:::::- CA SAN Extensions = GeneralNames: 1: A4- C4-94-C5-1D-4A :34:08,191 INFO [caservice-http ][scep job 16e8668cd9bf1081fbef07d951dfb11c631c7f19 0x4ff42b55 request issuance] com.cisco.cpm.caservice.certificateauthority -:::::- issuing Certificate Services Endpoint Certificate:class [com.cisco.cpm.caservice.caresultholder] [ ]: result: [CA_OK]subject [C=US, ST=State, L=City, O=Cisco, OU=Example unit, CN=john]version [3]serial [0x7d68df87-8c bf32078b-6f2e561b]validity [after [ T15:34: ] before [ T15:34: ]]keyUsages [ digitalsignature nonrepudiation keyencipherment ] Registros de Chromebook Para la consola abre una sesión Chromebook, teclean chrome://extensions en el navegador. Marque el modo del desarrollador en la esquina superior derecha, navegue hacia abajo a la sección de configuración de la red de Cisco, haga clic en examinan las opiniones: página del fondo para abrir la consola de registro. Seleccione la lengueta de la consola. Comandos útiles del navegador de Chromebook Chrome://extensions - Para ver al ayudante de la configuración de la red de Cisco y recoger los registros de la consola. Chrome://settings/certificates - Para ver los Certificados. Chrome://downloads - Para abrir la carpeta de las descargas. Problemas típicos

16 1. Chromebook que rechaza el certificado de servidor ISE durante la autenticación EAP. Error: Certificado de la autenticación rechazado localmente Solución: Si el encadenamiento de CA del certificado EAP es CA interno, el certificado de CA tiene que ser asociado para el Certificate Authority del servidor mientras que crea las configuraciones de WiFi en la consola admin. Si el certificado de CA interno no se asocia, Chromebook marca solamente para saber si hay certificados raíz que estén allí por abandono. 2. Incapaz de descargar al ayudante de la configuración de la red de Cisco, aunque el ACL permita el acceso requerido. Solución: El usuario tiene que ser parte del dominio. Verifique si el usuario pertenece al dominio registrando a la consola admin.