Konfigurieren von WDS auf autonomen APs mit lokalem RADIUS-Server

Download-Optionen

  • PDF     (859.0 KB)
    Mit Adobe Reader auf verschiedenen Geräten anzeigen
  • ePub     (731.7 KB)
    In verschiedenen Apps auf iPhone, iPad, Android, Sony Reader oder Windows Phone anzeigen
  • Mobi (Kindle)     (429.1 KB)
    Auf einem Kindle-Gerät oder einer Kindle-App auf mehreren Geräten anzeigen
Aktualisiert:18. Oktober 2013
Dokument-ID:116597

Inklusive Sprache

In dem Dokumentationssatz für dieses Produkt wird die Verwendung inklusiver Sprache angestrebt. Für die Zwecke dieses Dokumentationssatzes wird Sprache als „inklusiv“ verstanden, wenn sie keine Diskriminierung aufgrund von Alter, körperlicher und/oder geistiger Behinderung, Geschlechtszugehörigkeit und -identität, ethnischer Identität, sexueller Orientierung, sozioökonomischem Status und Intersektionalität impliziert. Dennoch können in der Dokumentation stilistische Abweichungen von diesem Bemühen auftreten, wenn Text verwendet wird, der in Benutzeroberflächen der Produktsoftware fest codiert ist, auf RFP-Dokumentation basiert oder von einem genannten Drittanbieterprodukt verwendet wird. Hier erfahren Sie mehr darüber, wie Cisco inklusive Sprache verwendet.

Informationen zu dieser Übersetzung

Cisco hat dieses Dokument maschinell übersetzen und von einem menschlichen Übersetzer editieren und korrigieren lassen, um unseren Benutzern auf der ganzen Welt Support-Inhalte in ihrer eigenen Sprache zu bieten. Bitte beachten Sie, dass selbst die beste maschinelle Übersetzung nicht so genau ist wie eine von einem professionellen Übersetzer angefertigte. Cisco Systems, Inc. übernimmt keine Haftung für die Richtigkeit dieser Übersetzungen und empfiehlt, immer das englische Originaldokument (siehe bereitgestellter Link) heranzuziehen.

Einleitung

In diesem Dokument wird beschrieben, wie Wireless Domain Services (WDS) auf einem autonomen Access Point (AP) mit einem lokalen RADIUS-Server konfiguriert werden. Im Mittelpunkt des Dokuments stehen Konfigurationen über die neue Benutzeroberfläche, aber auch Konfigurationen über die Kommandozeile (CLI).

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse der grundlegenden GUI- und CLI-Konfiguration auf autonomen APs verfügen.

Verwendete Komponenten

Die Informationen in diesem Dokument basierend auf folgenden Software- und Hardware-Versionen:

  • Cisco Access Point der Serie 3602e mit autonomer AP IOS®-Software, Version 15.2(4)JA1; dieses Gerät fungiert als WDS AP und als lokaler RADIUS-Server.
  • Cisco Access Point der Serie 2602i mit autonomer AP-IOS-Software, Version 15.2(4)JA1; dieses Gerät fungiert als WDS-Client-AP.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netz Live ist, überprüfen Sie, ob Sie die mögliche Auswirkung jedes möglichen Befehls verstehen.

Konfigurieren

Hinweis: Verwenden Sie das Command Lookup Tool, also das Tool für die Suche nach Befehlen (nur registrierte Kunden), um weitere Informationen zu den in diesem Abschnitt verwendeten Befehlen zu erhalten.

GUI-Konfigurationen

Erstellen der SSID

In diesem Verfahren wird beschrieben, wie Sie einen neuen Service Set Identifier (SSID) erstellen.

  1. Navigieren Sie zu Sicherheit > SSID-Manager, und klicken Sie auf NEU, um eine neue SSID zu erstellen.

    116597-config-wds-radius-01.png

  2. Konfigurieren der SSID für die EAP-Authentifizierung (Extensible Authentication Protocol)

    116597-config-wds-radius-02.png

  3. Legen Sie die gewünschte Verschlüsselungsstufe fest. Verwenden Sie in diesem Beispiel Wi-Fi Protected Access 2 (WPA2).

    116597-config-wds-radius-03.png

  4. Klicken Sie auf Apply (Anwenden), um die Einstellungen zu speichern.

  5. Navigieren Sie zu Sicherheit > Verschlüsselungs-Manager, und wählen Sie die erforderliche Verschlüsselungsmethode aus.

    116597-config-wds-radius-04.png

Lokale RADIUS-Serverkonfiguration auf WDS-AP

In diesem Verfahren wird beschrieben, wie Sie den lokalen RADIUS-Server auf dem WDS AP konfigurieren:

  1. Navigieren Sie zu Security > Server Manager, fügen Sie die IP-Adresse der WDS AP Bridge Virtual Interface (BVI) als lokalen RADIUS hinzu, und fügen Sie einen gemeinsamen geheimen Schlüssel hinzu.

    116597-config-wds-radius-05.png

  2. Navigieren Sie zu Sicherheit > Lokaler Radius-Server > Allgemeine Einrichtung. Definieren Sie die zu verwendenden EAP-Protokolle. Aktivieren Sie in diesem Beispiel die LEAP-Authentifizierung (Light Extensible Authentication Protocol).

    116597-config-wds-radius-06.png

  3. Sie können auf derselben Seite auch Network Access Server (NAS)-IPs und Client-Benutzername/Kennwort-Anmeldeinformationen hinzufügen. Die Konfiguration eines lokalen RADIUS auf einem WDS AP ist abgeschlossen.

    116597-config-wds-radius-07.png

Lokale RADIUS-Serverkonfiguration auf dem WDS-Client-AP

In der folgenden Abbildung wird die Konfiguration der IP-Adresse des WDS AP als RADIUS-Server gezeigt:

116597-config-wds-radius-08.png

Beide APs sind jetzt mit SSIDs für die LEAP-Authentifizierung konfiguriert, und der WDS-Server fungiert als lokaler RADIUS. Führen Sie die gleichen Schritte für einen externen RADIUS aus; nur die IP-Adresse des RADIUS-Servers ändert sich.

WDS an WDS AP aktivieren

In diesem Verfahren wird beschrieben, wie WDS auf dem WDS AP aktiviert wird:

  1. Navigieren Sie zur Registerkarte Wireless > WDS > General Setup (Allgemeine Einrichtung), und aktivieren Sie das Kontrollkästchen Diesen Access Point als Wireless-Domänendienste verwenden. Dadurch wird der WDS-Dienst am Access Point aktiviert.

  2. In einem Netzwerk mit mehreren WDS-APs können Sie mithilfe der Option "Wireless Domain Services Priority" (Priorität für Wireless-Domänendienste) den primären WDS und den Backup-WDS definieren. Der Wert reicht von 1 bis 255, wobei 255 die höchste Priorität ist.

    116597-config-wds-radius-09.png

  3. Navigieren Sie zur Registerkarte Server Groups auf derselben Seite. Erstellen Sie eine Infrastruktur-Server-Gruppenliste, bei der sich alle WDS-Client-APs authentifizieren. Zu diesem Zweck können Sie den lokalen RADIUS-Server auf dem WDS-AP verwenden. Da es bereits hinzugefügt wurde, wird es in der Dropdown-Liste angezeigt.

    116597-config-wds-radius-10.png

  4. Aktivieren Sie das Optionsfeld Benutzergruppe verwenden für: Infrastruktur-Authentifizierung, und klicken Sie auf Anwenden, um die Einstellungen zu speichern.

  5. Der Benutzername und die Kennwörter des WDS AP können der Liste des lokalen RADIUS-Servers hinzugefügt werden.

WDS am WDS-Client-AP aktivieren

In diesem Verfahren wird beschrieben, wie WDS auf dem WDS-Client-AP aktiviert wird:

  1. Navigieren Sie zu Wireless > AP, und aktivieren Sie das Kontrollkästchen für Teilnahme an der SWAN-Infrastruktur. SWAN steht für Structured Wireless-Aware Network.

    116597-config-wds-radius-11.png

  2. WDS-Client-APs können die WDS-APs automatisch erkennen. Sie können die IP-Adresse des WDS AP für die Client-Registrierung auch manuell in das Textfeld Specified Discovery (Angegebene Erkennung) eingeben.

    Sie können auch den WDS-Client-Benutzernamen und das Kennwort für die Authentifizierung gegenüber dem lokalen RADIUS-Server hinzufügen, der auf dem WDS AP konfiguriert ist.

CLI-Konfigurationen

WDS-AP

Dies ist eine Beispielkonfiguration für den WDS AP:

Current configuration : 2832 bytes
!
! Last configuration change at 05:54:08 UTC Fri Apr 26 2013
version 15.2
no service pad
service timestamps debug datetime msec
service timestamps log datetime msec
service password-encryption
!
hostname MAIB-WDS-AP
!
!
logging rate-limit console 9
enable secret 5 $1$EdDD$dG47yIKn86GCqmKjFf1Sy0
!
aaa new-model
!
!
aaa group server radius rad_eap
server name Local-Radius
!
aaa group server radius Infrastructure
server name Local-Radius
!
aaa authentication login eap_methods group rad_eap
aaa authentication login method_Infrastructure group Infrastructure
aaa authorization exec default local 
!
!
!
!
!
aaa session-id common
no ip routing
no ip cef
!
!
!
!
dot11 syslog
!
dot11 ssid WDS-EAP
authentication open eap eap_methods 
authentication network-eap eap_methods 
authentication key-management wpa version 2
guest-mode
!
!
dot11 guest
!
!
!
username Cisco password 7 13261E010803
username My3602 privilege 15 password 7 10430810111F00025D56797F65
!
!
bridge irb
!
!
!
interface Dot11Radio0
no ip address
no ip route-cache
!
encryption mode ciphers aes-ccm 
!
ssid WDS-EAP
!
antenna gain 0
stbc
station-role root
bridge-group 1
bridge-group 1 subscriber-loop-control
bridge-group 1 spanning-disabled
bridge-group 1 block-unknown-source
no bridge-group 1 source-learning
no bridge-group 1 unicast-flooding
!
interface Dot11Radio1
no ip address
no ip route-cache
!
encryption mode ciphers aes-ccm 
!
ssid WDS-EAP
!
antenna gain 0
peakdetect
dfs band 3 block
stbc
channel dfs
station-role root
bridge-group 1
bridge-group 1 subscriber-loop-control
bridge-group 1 spanning-disabled
bridge-group 1 block-unknown-source
no bridge-group 1 source-learning
no bridge-group 1 unicast-flooding
!
interface GigabitEthernet0
no ip address
no ip route-cache
duplex auto
speed auto
bridge-group 1
bridge-group 1 spanning-disabled
no bridge-group 1 source-learning
!
interface BVI1
ip address 10.106.54.146 255.255.255.192
no ip route-cache
ipv6 address dhcp
ipv6 address autoconfig
ipv6 enable
!
ip forward-protocol nd
ip http server
no ip http secure-server
ip http help-path http://www.cisco.com/warp/public/779/smbiz/prodconfig/help/eag
ip radius source-interface BVI1 
!
!
radius-server local
no authentication eapfast
no authentication mac
nas 10.106.54.146 key 7 045802150C2E1D1C5A
user WDSClient1 nthash 7 
   072E776E682F4D5D35345B5A227E78050D6413004A57452024017B0803712B224A
!
radius-server attribute 32 include-in-access-req format %h
radius-server vsa send accounting
!
radius server Local-Radius
address ipv4 10.106.54.146 auth-port 1812 acct-port 1813
key 7 060506324F41584B56
!
bridge 1 route ip
!
!
wlccp authentication-server infrastructure method_Infrastructure
wlccp wds priority 254 interface BVI1
!
line con 0
line vty 0 4
transport input all
!
end

WDS-Client-AP

Dies ist eine Beispielkonfiguration für den WDS-Client-AP:

Current configuration : 2512 bytes
!
! Last configuration change at 00:33:17 UTC Wed May 22 2013
version 15.2
no service pad
service timestamps debug datetime msec
service timestamps log datetime msec
service password-encryption
!
hostname MAIB-WDS-Client
!
!
logging rate-limit console 9
enable secret 5 $1$vx/M$qP6DY30TGiXmjvUDvKKjk/
!
aaa new-model
!
!
aaa group server radius rad_eap
server name WDS-Radius
!
aaa authentication login eap_methods group rad_eap
aaa authorization exec default local 
!
!
!
!
!
aaa session-id common
no ip routing
no ip cef
!
!
!
!
dot11 syslog
!
dot11 ssid WDS-EAP
authentication open eap eap_methods 
authentication network-eap eap_methods 
authentication key-management wpa version 2
guest-mode
!
!
dot11 guest
!
eap profile WDS-AP
method leap
!
!
!
username Cisco password 7 062506324F41
username My2602 privilege 15 password 7 09414F000D0D051B5A5E577E6A
!
!
bridge irb
!
!
!
interface Dot11Radio0
no ip address
no ip route-cache
!
encryption mode ciphers aes-ccm 
!
ssid WDS-EAP
!
antenna gain 0
stbc
station-role root
bridge-group 1
bridge-group 1 subscriber-loop-control
bridge-group 1 spanning-disabled
bridge-group 1 block-unknown-source
no bridge-group 1 source-learning
no bridge-group 1 unicast-flooding
!
interface Dot11Radio1
no ip address
no ip route-cache
!
encryption mode ciphers aes-ccm 
!
ssid WDS-EAP
!
antenna gain 0
peakdetect
dfs band 3 block
stbc
channel dfs
station-role root
bridge-group 1
bridge-group 1 subscriber-loop-control
bridge-group 1 spanning-disabled
bridge-group 1 block-unknown-source
no bridge-group 1 source-learning
no bridge-group 1 unicast-flooding
!
interface GigabitEthernet0
no ip address
no ip route-cache
duplex auto
speed auto
bridge-group 1
bridge-group 1 spanning-disabled
no bridge-group 1 source-learning
!
interface BVI1
ip address 10.106.54.136 255.255.255.192
no ip route-cache
ipv6 address dhcp
ipv6 address autoconfig
ipv6 enable
!
ip forward-protocol nd
ip http server
no ip http secure-server
ip http help-path http://www.cisco.com/warp/public/779/smbiz/prodconfig/help/eag
ip radius source-interface BVI1 
!
!
radius-server attribute 32 include-in-access-req format %h
radius-server vsa send accounting
!
radius server WDS-Radius
address ipv4 10.106.54.146 auth-port 1812 acct-port 1813
key 7 110A1016141D5A5E57
!
bridge 1 route ip
!
!
wlccp ap username WDSClient1 password 7 070C285F4D06485744
wlccp ap wds ip address 10.106.54.146
!
line con 0
line vty 0 4
transport input all
!
end

Überprüfung

Nutzen Sie diesen Abschnitt, um zu überprüfen, ob Ihre Konfiguration ordnungsgemäß funktioniert. Nach Abschluss der Einrichtung muss der WDS-Client-AP in der Lage sein, sich beim WDS-AP zu registrieren.

Auf dem WDS AP wird der WDS-Status als Registriert angezeigt.

116597-config-wds-radius-12.png

Auf dem WDS-Client AP lautet der WDS-Status Infrastruktur.

116597-config-wds-radius-13.png

Hinweis: Das Output-Interpreter-Tool (nur registrierte Kunden) unterstützt bestimmte show-Befehle. Verwenden Sie das Output Interpreter-Tool, um eine Analyse der show-Befehlsausgabe anzuzeigen.

CLI-Verifizierungsausgabe an WDS AP

Dieses Verfahren zeigt, wie Sie die WDS AP-Konfiguration überprüfen:

MAIB-WDS-AP#sh wlccp wds ap

HOSTNAME MAC-ADDR IP-ADDR IPV6-ADDR STATE
MAIB-WDS-Client f872.ea24.40e6 10.106.54.136 :: REGISTERED

MAIB-WDS-AP#sh wlccp wds statistics

WDS Statistics for last 10:34:13:
Current AP count: 1
Current MN count: 0
AAA Auth Attempt count: 2
AAA Auth Success count: 2
AAA Auth Failure count: 0
MAC Spoofing Block count: 0
Roaming without AAA Auth count: 0
Roaming with full AAA Auth count:0
Fast Secured Roaming count: 0
MSC Failure count: 0
KSC Failure count: 0
MIC Failure count: 0
RN Mismatch count: 0

CLI-Verifizierungsausgabe an WDS-Client-AP

Dieses Verfahren zeigt, wie Sie die WDS-Client-AP-Konfiguration überprüfen:

MAIB-WDS-Client#sh wlccp ap

WDS = bc16.6516.62c4, IP: 10.106.54.146 , IPV6: ::
state = wlccp_ap_st_registered
IN Authenticator = IP: 10.106.54.146 IPV6: :: 
MN Authenticator = IP: 10.106.54.146 IPv6::

Fehlerbehebung

Für diese Konfiguration sind derzeit keine spezifischen Informationen zur Fehlerbehebung verfügbar.

Revisionsverlauf

Überarbeitung Veröffentlichungsdatum Kommentare
1.0
18-Oct-2013
Erstveröffentlichung
TAC Authored

Beiträge von Cisco Ingenieuren

  • Maithri B and Surendra BG
    Cisco TAC Engineers.

War dieses Dokument hilfreich?

FeedbackFeedback

Cisco kontaktieren

Dieses Dokument gilt für folgende Produkte.