Konfigurieren von TACACS+ für die Geräteadministration des Cisco WLC

Einleitung

In diesem Dokument wird die Konfiguration von TACACS+ für die Geräteadministration des Cisco Wireless LAN Controllers (WLC) mit Identity Service Engine (ISE) beschrieben.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

• Grundkenntnisse der Identity Service Engine (ISE)
• Grundkenntnisse des Cisco Wireless LAN Controllers (WLC)

Verwendete Komponenten

Die Informationen in diesem Dokument basierend auf folgenden Software- und Hardware-Versionen:

• Cisco Identity Service Engine 2.4
• Cisco Wireless LAN Controller 8.5.135

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Konfiguration

Schritt 1: Überprüfen Sie die Device Administration-Lizenz.

Navigieren Sie zu Administration > System > Licensing (Verwaltung > System > Lizenzierung), und überprüfen Sie, ob die Device Admin-Lizenz installiert ist, wie im Bild gezeigt.

Hinweis: Für die Verwendung der TACACS+-Funktion auf der ISE ist eine Geräteadministratorlizenz erforderlich.

Schritt 2: Aktivieren Sie die Geräteadministration auf ISE-PSN-Knoten.

Navigieren Sie zu Work Centers > Device Administration > Overview, klicken Sie auf die Registerkarte Deployment, und wählen Sie das Optionsfeld Specific PSN Node (Spezifischer PSN-Knoten) Aktivieren Sie die Geräteadministration auf dem ISE-Knoten, indem Sie das Kontrollkästchen aktivieren und auf Speichern klicken, wie in der Abbildung dargestellt:

Schritt 3: Erstellen einer Netzwerkgerätegruppe

Um WLC als Netzwerkgerät zur ISE hinzuzufügen, navigieren Sie zu Administration > Network Resources > Network Device Groups > All Device Types, erstellen Sie eine neue Gruppe für WLC, wie im Bild gezeigt:

Schritt 4: WLC als Netzwerkgerät hinzufügen.

Navigieren Sie zu Work Centers > Device Administration > Network Resources > Network Devices. Klicken Sie auf Hinzufügen, geben Sie einen Namen und eine IP-Adresse an, und wählen Sie den Gerätetyp als WLC aus, aktivieren Sie das Kontrollkästchen TACACS+-Authentifizierungseinstellungen, und geben Sie den Schlüssel für den gemeinsamen geheimen Schlüssel an, wie in der Abbildung dargestellt:

Schritt 5: Erstellen Sie ein TACACS-Profil für WLC.

Navigieren Sie zu Work Centers > Device Administration > Policy Elements > Results > TACACS Profiles. Klicken Sie auf Hinzufügen, und geben Sie einen Namen an. Wählen Sie auf der Registerkarte Aufgabenattribut-Ansicht die Option WLC für den allgemeinen Aufgabentyp aus. Es sind Standardprofile vorhanden, aus denen Überwachen ausgewählt wird, um den Zugriff für Benutzer einzuschränken, wie im Bild gezeigt.

Es gibt ein weiteres Standardprofil All, das den vollständigen Zugriff auf den Benutzer ermöglicht, wie im Bild dargestellt.

Schritt 6: Erstellen eines Policy Sets.

Navigieren Sie zu Work Centers > Device Administration > Device Admin Policy Sets. Klicken Sie auf (+), und geben Sie dem Richtliniensatz einen Namen. Wählen Sie in der Richtlinienbedingung Device Type (Gerätetyp) als WLC aus, und wählen Sie Allowed Protocols (Zulässige Protokolle) als Default Device Admin (Standardgeräteadministrator) aus, wie im Bild dargestellt.

Schritt 7. Erstellen von Authentifizierungs- und Autorisierungsrichtlinien.

In diesem Dokument werden zwei Beispielgruppen Admin-Read-Write und Admin-Read-Only im Active Directory und ein Benutzer in jeder Gruppe admin1 bzw. admin2 konfiguriert. Active Directory wird über einen Joinpoint mit dem Namen AD-JointName in die ISE integriert.

Erstellen Sie zwei Autorisierungsrichtlinien, wie im Bild gezeigt:

Schritt 8: Konfigurieren Sie den WLC für die Geräteadministration.

Navigieren Sie zu Security > AAA > TACACS+, klicken Sie auf New, und fügen Sie Authentication, Accounting Server hinzu, wie im Bild dargestellt.

Ändern Sie die Prioritätsreihenfolge, und legen Sie TACACS+ oben und Local unten fest, wie in der Abbildung dargestellt:

Achtung: Schließen Sie die aktuelle WLC-GUI-Sitzung nicht. Es wird empfohlen, die WLC-Benutzeroberfläche in einem anderen Webbrowser zu öffnen und zu überprüfen, ob die Anmeldung mit TACACS+-Anmeldeinformationen funktioniert. Wenn nicht, überprüfen Sie die Konfiguration und die Verbindung zum ISE-Knoten auf TCP-Port 49.

Überprüfung

Navigieren Sie zu Operations > TACACS > Live Logs, und überwachen Sie die Live Logs. Öffnen Sie die grafische Benutzeroberfläche von WLC, und melden Sie sich mit den Active Directory-Benutzeranmeldeinformationen an, wie im Bild dargestellt.

Fehlerbehebung

Für diese Konfiguration sind derzeit keine spezifischen Informationen zur Fehlerbehebung verfügbar.