Acceso de un Huésped alámbrico con un Controlador de WLAN de Cisco

Transcripción

1 Acceso de un Huésped alámbrico con un Controlador de WLAN de Cisco Contenido Introducción Prerrequisitos Requisitos Componentes Utilizados Convenciones Configuración Configuración del Switch de la Capa de Acceso Algunos Puntos Importantes para la Implementación de Huéspedes Alámbricos Plataforma Soportada Configuración de la LAN Inalámbrica (WLAN) Configuración de un Cliente Huésped alámbrico Acceso de un Huésped Alámbrico con el Anchor WLAN Controller (controlador WLAN de anclaje) Debug de Conexiones de un Huésped alámbrico Verificación Troubleshooting Introducción Cada vez más empresas reconocen la necesidad de proporcionar acceso a Internet a sus clientes, socios y consultores cuando éstos visitan sus instalaciones. Con el soporte de la nueva función Wired Guest Access de los controladores de WLAN de Cisco que utilizan el software Cisco Unified Wireless versión o posteriores, los administradores de IT pueden proporcionar acceso a Internet seguro y controlado, por cable o inalámbrico, para huéspedes en el mismo Wireless LAN Controller. Se debe permitir que los usuarios huéspedes se conecten a los puertos Ethernet designados y, según lo configurado por el administrador, accedan a la red de huéspedes después de completar los métodos de autenticación configurados. Los usuarios huéspedes inalámbricos pueden conectarse fácilmente a los controladores de WLAN con las características de acceso para huéspedes actuales. Además, el WCS junto con la configuración y administración básica de los controladores de WLAN, proporciona mejores servicios para usuarios huéspedes. Los clientes que ya implementaron o tienen previsto implementar controladores de WLAN y WCS en su red pueden aprovechar la misma infraestructura para el acceso de huéspedes alámbricos. Esto proporciona una experiencia común a los usuarios finales de acceso inalámbrico y de acceso como huéspedes alámbricos. Los puertos para los huéspedes alámbricos se proporcionan en una ubicación designada y se conectan a un switch de acceso. La configuración del switch de acceso coloca esos puertos en una de las VLANs de capa 2 para huéspedes alámbricos. Existen dos soluciones diferentes para los clientes: 1. Un solo WLAN controller (modo de traducción de VLAN): El switch de acceso reenvía, a través de un puerto trunk, el tráfico de los huéspedes alámbricos de la VLAN de huespedes al WLAN controller que proporciona la solución de acceso para huéspedes alámbricos. Este controlador realiza la traducción de VLAN entre la VLAN de ingreso de huéspedes alámbricos y la VLAN de egreso. 2. Dos WLAN controllers (modo de Anclaje Automático Auto Anchor): El switch de acceso reenvía, a través de un puerto trunk, el tráfico de huéspedes alámbricos a un WLAN controller local (el controlador más cercano al switch de acceso). Este WLAN controller local realiza el anclaje del cliente a un DMZ Anchor WLAN controller configurado para el acceso de huéspedes alámbricos e inalámbricos. Después de la correcta entrega del cliente al DMZ anchor controller, el DMZ WLC procesa la asignación de dirección IP de DHCP, la autenticación del cliente, etc. Luego de completar la autenticación, se permite que el cliente envíe o reciba tráfico.

2 Prerrequisitos Requisitos No existen requisitos específicos para este documento. Componentes Utilizados La versión del software Cisco Unified Wireless y posteriores soportan la función Wired Guest Access de los controladores de WLAN de Cisco. La información de este documento se creó a partir de los dispositivos en un entorno específico de laboratorio. Todos los dispositivos que se utilizan en este documento se iniciaron con una configuración vacía (predeterminada). Si su red está en funcionamiento, asegúrese de comprender el posible efecto de los comandos. Convenciones Consulte Cisco Technical Tips Conventions para obtener más información sobre las convenciones del documento. Configuración En esta sección, encontrará la información para configurar las características descritas en este documento. Configuración del Switch de la Capa de Acceso Para proporcionar acceso a huéspedes alámbricos, es necesario que el administrador configure los puertos designados en el switch de la capa de acceso de capa 2 en la VLAN de huéspedes. La VLAN de huéspedes debe estar separada de cualquier otra VLAN que esté configurada en este switch. El tráfico de la VLAN de huéspedes se conecta al controlador de WLAN local más cercano. A través de un túnel EoIP, el controlador local transfiere el tráfico de huéspedes a un anchor DMZ controller. Esta solución requiere al menos dos controladores. Por otra parte, el switch de acceso conecta la VLAN de huéspedes a un controlador único que puede traducir la VLAN de huéspedes a la interfaz de egreso del controlador de WLAN. cat6506#show vlan id 49 VLAN Name Status Ports VLAN0049 active Gi2/1, Gi2/2, Gi2/4, Gi2/35 Gi2/39, Fa4/24 VLAN Type SAID MTU Parent RingNo BridgeNo Stp BrdgMode Trans1 Trans enet Remote SPAN VLAN

3 Disabled Primary Secondary Type Ports cat6506# interface FastEthernet4/24 description Wired Guest Access switchport switchport access vlan 49 no ip address end cat6506# interface GigabitEthernet2/4 description Trunk port to the WLC switchport switchport trunk native vlan 80 switchport trunk allowed vlan 49,80,110 switchport mode trunk no ip address end Nota: Utilice la herramienta Command Lookup (sólo para clientes registrados) para obtener más información sobre los comandos utilizados en este documento. Algunos Puntos Importantes para la Implementación de Huéspedes Alámbricos Actualmente se soportan cinco LANs de huéspedes para el acceso de huéspedes alámbricos. En total, se pueden configurar 16 WLANs para usuarios inalámbricos y 5 WLANs para accesso de huéspedes alámbricos. Es necesario que los administradores creen interfaces dinámicas en el controlador de WLAN, las marquen como Guest LAN y las asocien a las WLANs creadas como LAN de huéspedes. La autenticación Web es el mecanismo de seguridad predeterminado que está disponible en una LAN de huéspedes alámbricos. Las opciones actuales que están disponibles son las siguientes: Abierta, Autenticación Web y Web Passthrough. En el caso de que se produzca una falla en el túnel EoIP entre los WLC remoto y anchor, se elimina la base de datos de clientes del anchor WLC. Es necesario asociar y autenticar el cliente nuevamente. La seguridad de capa 2 no es soportada. En las LAN de huéspedes alámbricos, se descarta el tráfico de multicast y de broadcast. Para el huésped alámbrico, existe un tiempo de espera por inactividad que transcurre en el controlador. Si no se reciben paquetes del cliente en el período configurado, se quita el cliente del controlador. La próxima vez que un cliente envía una petición ARP, se crea una nueva entrada para el cliente y se lo pasa al estado de autenticación Web o de ejecución según la configuración de seguridad. Plataforma Soportada El acceso de huéspedes alámbricos es soportado con las siguientes plataformas: Cisco 4400 Wireless LAN Controller Cisco Catalyst 6500 Series Wireless Services Module (WiSM) Cisco Catalyst 3750G Integrated Wireless LAN Controller Configuración de la LAN Inalámbrica (WLAN) En este ejemplo se asume la configuración básica del Wireless LAN Controller. Se hace hincapié en la configuración adicional requerida para completar la implementación del acceso de huéspedes alámbricos. 1. Cree una interfaz dinámica y márquela como una Guest LAN. Al crear esta interfaz dinámica en la versión actual, es necesario proporcionar una dirección IP y una gateway predeterminada aunque no exista debido a que es una VLAN de capa 2. No es necesario proporcionar ninguna dirección DHCP. Los clientes huéspedes alámbricos están conectados físicamente a esta VLAN.

4 2. Cree otra interfaz dinámica donde los clientes huéspedes alámbricos reciban una dirección IP. Nota: En esta interfaz, se debe proporcionar una dirección IP, una gateway predeterminada y una dirección de servidor DHCP. 3. Éstas son las interfaces dinámicas.

5 4. Agregue una WLAN nueva: Type=Guest LAN. 5. Active la WLAN; realice el mapeo de la interfaz de ingreso a la Guest LAN que se creó en el Paso 1. La interfaz de egreso puede ser una interfaz de administración o cualquier otra interfaz dinámica, aunque es preferible una interfaz dinámica como la que se creó en el Paso Se activa la autenticación Web de forma predeterminada como la opción de seguridad configurada en la LAN de huéspedes. Puede cambiarse a None o a Web Passthrough. 7. Esta es la configuración final de la WLAN. 8. Agregue un usuario huésped en la base de datos local del WLC. Configuración de un Cliente Huésped Alámbrico El cliente huésped alámbrico recibe una dirección IP desde la VLAN de egreso pero no puede transmitir tráfico hasta completar el proceso de autenticación Web. Siga los siguientes pasos para iniciar sesión como usuario huésped:

6 1. Abra una ventana del explorador e ingrese el nombre de la URL deseada (por ejemplo, Se redirecciona el huésped a la página Web predeterminada del Wireless LAN Controller si la autenticación Web está activada y se puede tomar una resolución DNS para la URL ingresada. De lo contrario, ingrese esta URL: en la cual la dirección IP es la dirección IP virtual del Wireless LAN Controller Ingrese el nombre de usuario y la contraseña proporcionados. Una ventana del explorador le indica si la sesión se inició de manera correcta. Acceso de un Huésped Alámbrico con el Anchor WLAN Controller (controlador WLAN de anclaje) En este ejemplo, la dirección IP del wireless LAN controller remoto es y la dirección IP del anchor DMZ controller es Forman parte de dos grupos de movilidad diferentes. 1. Configure el grupo de movilidad del anchor DMZ controller cuando agregue la dirección de MAC, la dirección IP y el nombre del grupo de movilidad del controlador remoto.

7 2. Configure el grupo de movilidad en el controlador remoto de manera similar. 3. Cree la WLAN alámbrica con el nombre exacto en el anchor WLC. En este caso, la interfaz de ingreso es none ya que, lógicamente, la interfaz de ingreso es el túnel EoIP del controlador remoto. La interfaz de egreso es una interfaz diferente, en la que los clientes alámbricos van a recibir la dirección IP. En este ejemplo, se crea una interfaz dinámica denominada guest, pero en esta etapa no se puede activar la WLAN porque se muestra un mensaje de error que indica que una interfaz de ingreso no puede ser none. 4. Configure la seguridad de capa 3 como web authentication, de manera similar al controlador remoto. 5. Cree el anclaje de movilidad en el anchor controller y mapéelo a sí mismo.

8 6. Una vez que se creó el mobility anchor, regrese y active la WLAN alámbrica. 7. Cree el anclaje de movilidad en el WLC remoto para la WLAN de huéspedes alámbricos de manera similar. Elija la dirección IP del anchor WLC y cree el movility anchor. Verifique que la ruta de control y datos estén activos. Si no lo están, asegúrese de que estos puertos estén abiertos entre el anchor y el Wireless LAN Controller remoto, UDP o IP Una vez que un usuario huésped alámbrico está conectado al switch y ha completado la autenticación Web, Policy Manager State debe ser RUN y Mobility Role debe ser Export Foreign. Verifique el estado del anchor WLC de manera similar. El Policy Manager State debe ser RUN y el Mobility Role debe ser Export Anchor.

9 Debug de Conexiones de un Huésped Alámbrico Esta debug proporciona toda la información relacionada con un cliente huésped alámbrico. debug client <mac-address> Cisco Controller) >show debug MAC address... 00:0d:60:5e:ca:62 Debug Flags Enabled: dhcp packet enabled. dot11 mobile enabled. dot11 state enabled dot1x events enabled. dot1x states enabled. pem events enabled. pem state enabled. (Cisco Controller) >Tue Sep 11 13:27: : 00:0d:60:5e:ca:62 Adding mobile on Wired Guest 00:00:00:00:00:00(0) Tue Sep 11 13:27: : 00:0d:60:5e:ca:62 apfhandlewiredguestmobilestation (apf_wired_guest.c:121) Changing state for mobile 00:0d:60:5e:ca:62 on AP 00:00:00: 00:00:00 from Idle to Associated Tue Sep 11 13:27: : 00:0d:60:5e:ca: START (0) Initializing policy Tue Sep 11 13:27: : 00:0d:60:5e:ca: START (0) Change state to AUTHCHECK (2) last state AUTHCHECK (2) Tue Sep 11 13:27: : 00:0d:60:5e:ca: AUTHCHECK (2) Change state to L2AUTHCOMPLETE (4) last state L2AUTHCOMPLETE (4) Tue Sep 11 13:27: : 00:0d:60:5e:ca: L2AUTHCOMPLETE (4) Change state to DHCP_REQD (7) last state DHCP_REQD (7) Tue Sep 11 13:27: : 00:0d:60:5e:ca:62 apfpemadduser2 (apf_policy.c:209) Changing state for mobile 00:0d:60:5e:ca:62 on AP 00:00:00:00:00:00 from Associated to Associated Tue Sep 11 13:27: : 00:0d:60:5e:ca:62 Session Timeout is 0 - not starting session timer for the mobile Tue Sep 11 13:27: : 00:0d:60:5e:ca:62 Stopping deletion of Mobile Station: (callerid: 48) Tue Sep 11 13:27: : 00:0d:60:5e:ca:62 Wired Guest packet from on mobile Tue Sep 11 13:27: : 00:0d:60:5e:ca:62 Wired Guest packet from on mobile Tue Sep 11 13:27: : 00:0d:60:5e:ca:62 Orphan Packet from Tue Sep 11 13:27: : 00:0d:60:5e:ca:62 Wired Guest packet from on mobile Tue Sep 11 13:27: : 00:0d:60:5e:ca:62 Wired Guest packet from on mobile Tue Sep 11 13:27: : 00:0d:60:5e:ca: DHCP_REQD (7) State Update from Mobility-Incomplete to Mobility-Complete, mobility role=local Tue Sep 11 13:27: : 00:0d:60:5e:ca: DHCP_REQD (7) pemadvancestate2 3934, Adding TMP rule Tue Sep 11 13:27: : 00:0d:60:5e:ca: DHCP_REQD (7) Adding Fast Path rule type = Airespace AP - Learn IP address on AP 00:00:00:00:00:00, slot 0, interface = 1, QOS = 0 ACL Id = 255, Jumbo Frames = NO, 802.1P = 0, DSCP = 0, TokenID = 5006 Tue Sep 11 13:27: : 00:0d:60:5e:ca: DHCP_REQD

10 (7) Successfully plumbed mobile rule (ACL ID 255) Tue Sep 11 13:27: : 00:0d:60:5e:ca:62 Installing Orphan Pkt IP address for station Tue Sep 11 13:27: : 00:0d:60:5e:ca:62 Unsuccessfully installed IP address for station Tue Sep 11 13:27: : 00:0d:60:5e:ca: Added NPU entry of type 9 Tue Sep 11 13:27: : 00:0d:60:5e:ca:62 Sent an XID frame Tue Sep 11 13:27: : 00:0d:60:5e:ca:62 Wired Guest packet from on mobile DHCP received op BOOTREQUEST (1) (len 310, port 1, encap 0xec00) DHCP selecting relay 1 - control block settings: dhcpserver: , dhcpnetmask: , dhcpgateway: , dhcprelay: VLAN: 0 DHCP selected relay (local address , gateway , VLAN 110, port 1) DHCP transmitting DHCP DISCOVER (1) DHCP op: BOOTREQUEST, htype: Ethernet, hlen: 6, hops: 1 DHCP xid: 0x87214d01 ( ),secs: 0, flags: 8000 DHCP chaddr: 00:0d:60:5e:ca:62 DHCP ciaddr: , yiaddr: DHCP siaddr: , giaddr: DHCP requested ip: DHCP ARPing for (SPA , vlanid 110) DHCP selecting relay 2 - control block settings: dhcpserver: , dhcpnetmask: , dhcpgateway: , dhcprelay: VLAN: 110 DHCP selected relay 2 - NONE DHCP received op BOOTREQUEST (1) (len 310, port 1, encap 0xec00) DHCP selecting relay 1 - control block settings: dhcpserver: , dhcpnetmask: , dhcpgateway: , dhcprelay: VLAN: 110 DHCP selected relay (local address , gateway , VLAN 110, port 1) DHCP transmitting DHCP DISCOVER (1) DHCP op: BOOTREQUEST, htype: Ethernet, hlen: 6, hops: 1 DHCP xid: 0x87214d01 ( ),secs: 36957, flags: 8000 DHCP chaddr: 00:0d:60:5e:ca:62 DHCP ciaddr: , yiaddr: DHCP siaddr: , giaddr: DHCP requested ip: DHCP sending REQUEST to (len 350, port 1, vlan 110) DHCP selecting relay 2 - control block settings: dhcpserver: , dhcpnetmask: , dhcpgateway: , dhcprelay: VLAN: 110 DHCP selected relay 2 - NONE DHCP received op BOOTREPLY (2) (len 308, port 1, encap 0xec00) DHCP setting server from OFFER (server , yiaddr ) DHCP sending REPLY to Wired Client (len 350, port 1) DHCP transmitting DHCP OFFER (2)

11 DHCP op: BOOTREPLY, htype: Ethernet, hlen: 6, hops: 0 DHCP xid: 0x87214d01 ( ), secs: 0, flags: 8000 DHCP chaddr: 00:0d:60:5e:ca:62 DHCP ciaddr: , yiaddr: DHCP siaddr: , giaddr: DHCP server id: rcvd server id: DHCP received op BOOTREQUEST (1) (len 334, port 1, encap 0xec00) DHCP selecting relay 1 - control block settings: dhcpserver: , dhcpnetmask: , dhcpgateway: , dhcprelay: VLAN: 110 DHCP selected relay (local address , gateway , VLAN 110, port 1) DHCP transmitting DHCP REQUEST (3) DHCP op: BOOTREQUEST, htype: Ethernet, hlen: 6, hops: 1 DHCP xid: 0x87214d01 ( ),secs: 36957, flags: 8000 DHCP chaddr: 00:0d:60:5e:ca:62 DHCP ciaddr: , yiaddr: DHCP siaddr: , giaddr: DHCP requested ip: DHCP server id: rcvd server id: DHCP sending REQUEST to (len 374, port 1, vlan 110) DHCP selecting relay 2 - control block settings: dhcpserver: , dhcpnetmask: , dhcpgateway: , dhcprelay: VLAN: 110 DHCP selected relay 2 -NONE DHCP received op BOOTREPLY (2) (len 308, port 1, encap 0xec00) DHCP_REQD (7) Change state to WEBAUTH_REQD (8) last state WEBAUTH_REQD (8) WEBAUTH_REQD (8) pemadvancestate2 4598, Adding TMP rule WEBAUTH_REQD (8) Replacing Fast Path rule type = Airespace AP Client - ACL passthru on AP 00:00:00:00:00:00, slot 0, interface = 1, QOS = 0 ACL Id = 255, Jumbo Frames = NO, 802.1P = 0, DSCP = 0, TokenID = WEBAUTH_REQD (8) Successfully plumbed mobile rule (ACL ID 255) Plumbing web-auth redirect rule due to user logout Adding Web RuleID 31 for mobile 00:0d:60:5e:ca:62 Assigning Address to mobile DHCP sending REPLY to Wired Client (len 350, port 1) DHCP transmitting DHCP ACK (5) DHCP op: BOOTREPLY, htype: Ethernet, hlen: 6, hops: 0 DHCP xid: 0x87214d01 ( ),secs: 0, flags: 8000 DHCP chaddr: 00:0d:60:5e:ca:62 DHCP ciaddr: , yiaddr: DHCP siaddr: , giaddr:

12 DHCP server id: rcvd server id: Added NPU entry of type 2 Sent an XID frame Tue Sep 11 13:28: : 00:0d:60:5e:ca:62 Username entry (guest1) created for mobile Tue Sep 11 13:28: : 00:0d:60:5e:ca:62 Setting guest session timeout for mobile 00:0d:60:5e:ca:62 to seconds Tue Sep 11 13:28: : 00:0d:60:5e:ca:62 Session Timeout is starting session timer for the mobile Tue Sep 11 13:28: : 00:0d:60:5e:ca: WEBAUTH_REQD (8) Change state to WEBAUTH_NOL3SEC (14) last state WEBAUTH_NOL3SEC (14) Tue Sep 11 13:28: : 00:0d:60:5e:ca: WEBAUTH_NOL3SEC (14) Change state to RUN (20) last state RUN (20) Tue Sep 11 13:28: : 00:0d:60:5e:ca: RUN (20) Reached PLUMBFA STPATH: from line 4518 Tue Sep 11 13:28: : 00:0d:60:5e:ca: RUN (20) Replacing FastPath rule type = Airespace AP Client on AP 00:00:00:00:00:00, slot 0, interface = 1, QOS = 0 ACL Id = 255, Jumbo Frames = NO, 802.1P = 0, DSCP = 0, TokenID = 5006 Tue Sep 11 13:28: : 00:0d:60:5e:ca: RUN (20) Successfully plumbed mobile rule (ACL ID 255) Tue Sep 11 13:28: : 00:0d:60:5e:ca: Added NPU entry of type 1 Tue Sep 11 13:28: : 00:0d:60:5e:ca:62 Sending a gratuitous ARP for , VLAN Id 110 Verificación Actualmente, no hay ningún procedimiento de verificación disponible para esta configuración. La herramienta Output Interpreter (sólo para clientes registrados) (OIT) soporta ciertos comandos show. Utilice la OIT para ver un análisis de los resultados de los comandos show. Troubleshooting Actualmente, no hay información específica disponible sobre troubleshooting para esta configuración Cisco Systems Inc. Todos los Derechos Reservados. Fecha de Generación del PDF: 20 Enero