Sommario

Introduzione

Prerequisiti

Requisiti

Componenti usati

Esempio di rete

Convenzioni

Procedura di configurazione dell'autenticazione RADIUS tramite il motore di cache

Verifica

Risoluzione dei problemi

Comandi per la risoluzione dei problemi

Informazioni correlate

Introduzione

In questo documento viene spiegato come configurare l'autenticazione RADIUS tramite il motore di cache su Cisco Secure Access Control Server (ACS) per Microsoft Windows NT. Per eseguire correttamente questa procedura, è necessario eseguire il protocollo WCCPv2 (Web Cache Communication Protocol versione 2). Per ulteriori informazioni su WCCP versione 2, fare riferimento a Configurazione del protocollo di comunicazione di Web Cache versione 2 su un Cisco Cache Engine e un router.

Prerequisiti

Requisiti

Prima di provare la configurazione, verificare che siano soddisfatti i seguenti requisiti:

- Familiarità con Cisco Secure ACS per Windows o UNIX.

- Familiarità con la configurazione WCCPv2 sia sul router sia sul motore di cache.

Componenti usati

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

- Cisco Cache Engine 505 in un ambiente lab non configurato

- Cisco 2600 Router

- Software Cisco Cache Engine release 2.31

- Software Cisco IOS® versione 12.1(3)T 3

- Cisco Secure ACS per server Microsoft Windows NT/2000

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Esempio di rete

Nel documento viene usata questa impostazione di rete:

Convenzioni

Per ulteriori informazioni sulle convenzioni usate, consultare il documento Cisco sulle convenzioni nei suggerimenti tecnici.

Procedura di configurazione dell'autenticazione RADIUS tramite il motore di cache

Per configurare il motore di cache per l'autenticazione RADIUS, attenersi alla procedura seguente:

1. Configurare Cache Engine come server di accesso alla rete (NAS) in Cisco Secure ACS per Windows NT.

2. Configurare le informazioni utente in Cisco Secure ACS per Windows NT.

3. Configurare Cache Engine per RADIUS e specificare le informazioni relative all'host e alla chiave.

radius-server host 172.18.124.106

radius-server key cisco123

4. Configurare il router per WCCP.

Le righe di comando per Cache Engine dovrebbero essere simili a quelle riportate di seguito:

cepro#configure terminal

!--- Enter configuration commands, one per line. !--- End with CNTL/Z.

cepro(config)#radius-server host 172.18.124.106

cepro(config)#radius-server key cisco123

cepro#

Questa è la configurazione di Cache Engine/NAS su Cisco Secure ACS per Windows NT:

Questa è la pagina Configurazione utente di Cisco Secure ACS per Windows NT:

Verifica

Le informazioni contenute in questa sezione permettono di verificare che la configurazione funzioni correttamente.

Alcuni comandi show sono supportati dallo strumento Output Interpreter (solo utenti registrati); lo strumento permette di visualizzare un'analisi dell'output del comando show.

Comandi motore cache:

- show version: visualizza la versione del software in esecuzione sul motore di cache.

- show hardware: visualizza la versione del software e il tipo di hardware sul motore della cache.

- show running-config: visualizza la configurazione in esecuzione effettiva sul motore della cache.

- show stat http usage: visualizza le statistiche di utilizzo.

- show radius stat [all] | primario | secondary ] - Visualizza le statistiche di autenticazione per i server RADIUS primario e secondario.

In questo esempio, l'output del comando show version è:

cepro#show version

Cisco Cache Engine

Copyright (c) 1986-2001 by Cisco Systems, Inc.

Software Release: CE ver 2.31 (Build: FCS  02/16/01)

Compiled: 11:20:14 Feb 22 2001 by bbalagot

Image text-base 0x108000, data_base 0x437534

System restarted by Reload

The system has been up for 3 hours, 52 minutes, 33 seconds.

System booted from "flash"

In questo esempio, i risultati restituiti dal comando show hardware sono:

cepro#show hardware

Cisco Cache Engine

Copyright (c) 1986-2001 by Cisco Systems, Inc.

Software Release: CE ver 2.31 (Build: FCS  02/16/01)

Compiled: 11:20:14 Feb 22 2001 by bbalagot

Image text-base 0x108000, data_base 0x437534

System restarted by Reload

The system has been up for 3 hours, 52 minutes, 54 seconds.

System booted from "flash"

Cisco Cache Engine CE505 with CPU AMD-K6 (model 8) (rev. 12) AuthenticAMD

2 Ethernet/IEEE 802.3 interfaces

1 Console interface.

134213632 bytes of Physical Memory

131072 bytes of ROM memory.

8388608 bytes of flash memory.

List of disk drives:

/c0t0d0  (scsi bus 0, unit 0, lun 0)

In questo esempio, i risultati restituiti dal comando show running-config sono:

cepro#show running-config

Building configuration...

Current configuration:

!

!

logging recycle 64000

logging trap information

!

user add admin uid 0  password 1 "eeSdy9dcy"  capability admin-access

!

!

!

hostname cepro

!

interface ethernet 0

ip address 10.27.2.2 255.255.255.0

ip broadcast-address 10.27.2.255

exit

!

!

interface ethernet 1

exit

!

ip default-gateway 10.27.2.1

ip name-server 161.44.11.21

ip name-server 161.44.11.206

ip domain-name cisco.com

ip route 0.0.0.0 0.0.0.0 10.27.2.1

cron file /local/etc/crontab

!

bypass timer 1

!--- Specify the router list for use with WCCPv2.

wccp router-list 1 10.27.2.1 172.18.124.211

!--- Instruct the router to run web cache service with WCCPv2.

wccp web-cache router-list-num 1

!--- WCCPv2 enabled.

wccp version 2

!

!--- RADIUS Server host and port is defined.

radius-server host 172.18.124.106 auth-port 1645

radius-server host 172.18.124.103 auth-port 1645

!--- RADIUS key defined.

radius-server key ****

authentication login local enable

authentication configuration local enable

transaction-logs enable

rule no-cache url-regex .*cgi-bin.*

rule no-cache url-regex .*aw-cgi.*

!

!

end

cepro#

Comandi router:

- show running-config: visualizza la configurazione in esecuzione sul router.

- show ip wccp: visualizza tutti i servizi registrati.

- show ip wcp <service-id>detail: visualizza la distribuzione del bucket WCCP per ciascuna cache del cluster. Ad esempio, show ip wccp web-cache detail.

In questo esempio, i risultati restituiti dal comando show running-config sono:

33-ns-gateway#show running-config

Building configuration...

Current configuration:

!

version 12.1

service timestamps debug datetime msec

service timestamps log datetime msec

no service password-encryption

!

hostname 33-Ns-gateway

!

logging buffered 64000 debugging

enable secret 5 $1$IWJr$nI.NcIr/b9DN7jEQQC17R/

!

!

!

!

!

ip subnet-zero

!--- WCCP enabled.

ip wccp web-cache

ip cef

no ip domain-lookup

ip domain-name testdomain.com

ip name-server 161.44.11.21

ip name-server 161.44.11.206

!

!

!

!

interface Ethernet0/0

ip address 10.1.3.50 255.255.255.0

no ip route-cache cef

!

interface Ethernet1/0

description interface to the CE .5

bandwidth 100

ip address 10.27.2.1 255.255.255.0

full-duplex

!

interface Ethernet1/1

description inter to DMZ

ip address 172.18.124.211 255.255.255.0

!--- Configure the interface to enable the router !--- to verify that the appropriate !--- packets are redirected to the cache engine.

ip wccp web-cache redirect out

no ip route-cache cef

no ip route-cache

no ip mroute-cache

!

interface Ethernet1/2

description Preconfigured for recreates 10.27.3.0/24 net

ip address 10.27.3.1 255.255.255.0

no ip route-cache cef

!

interface Ethernet1/3

no ip address

shutdown

!

ip classless

ip route 0.0.0.0 0.0.0.0 172.18.124.1

no ip http server

!

!

line con 0

exec-timeout 0 0

transport input none

line aux 0

exec-timeout 0 0

line vty 0 4

exec-timeout 0 0

password ww

login

!

end

33-Ns-gateway#

Risoluzione dei problemi

Le informazioni contenute in questa sezione permettono di risolvere i problemi relativi alla configurazione.

Comandi per la risoluzione dei problemi

Alcuni comandi show sono supportati dallo strumento Output Interpreter (solo utenti registrati); lo strumento permette di visualizzare un'analisi dell'output del comando show.

Nota: prima di usare i comandi di debug, consultare le informazioni importanti sui comandi di debug.

Comandi motore cache:

- debug authentication all: esegue il debug dell'autenticazione.

- debug radius all: visualizza il debug del modulo RADIUS dell'interfaccia Web.

- type var/log/translog/working.log - Verifica che gli URL siano memorizzati nella cache e che l'utente acceda alle pagine. Per ulteriori informazioni, consultare il supporto tecnico Cisco per qualsiasi altro tipo di messaggio. Il tipo di messaggi di errore più comune in questo registro è l'autenticazione non riuscita a causa di un utente sconosciuto o di una chiave del server non corretta.

In questo esempio, i risultati restituiti dai comandi debug radius all e debug authentication all sono:

RadiusCheck(): Begin

RadiusCheck(): Begin

RadiusCheck(): Begin

RadiusBuildRequest(): Begin

RadiusBuildRequest(): Begin

RadiusBuildRequest(): Begin

[82] User-Name = "chbanks"

[82] User-Name = "chbanks"

[82] User-Name = "chbanks"

[82] NAS-IP-Address = 10.27.2.2

[82] NAS-IP-Address = 10.27.2.2

[82] NAS-IP-Address = 10.27.2.2

[82] NAS-Port = 80

[82] NAS-Port = 80

[82] NAS-Port = 80

RadiusAuthenticate(): Begin

RadiusAuthenticate(): Begin

RadiusAuthenticate(): Begin

CfgGetRadiusInfo(): Begin

CfgGetRadiusInfo(): Begin

CfgGetRadiusInfo(): Begin

UpdatePassword(): Begin

UpdatePassword(): Begin

UpdatePassword(): Begin

[82] radsend: Request to 172.18.124.106 id=1, length=171

[82] radsend: Request to 172.18.124.106 id=1, length=171

[82] radsend: Request to 172.18.124.106 id=1, length=171

RadiusReplyValidate(): Begin

RadiusReplyValidate(): Begin

RadiusReplyValidate(): Begin

RadiusReplyValidate(): [82] Received 26 byte message back

RadiusReplyValidate(): [82] Received 26 byte message back

RadiusReplyValidate(): [82] Received 26 byte message back

RadiusReplyValidate(): Got a valid response from server 172.18.124.106.

RadiusReplyValidate(): Got a valid response from server 172.18.124.106.

RadiusReplyValidate(): Got a valid response from server 172.18.124.106.

DecodeReply(): Begin

DecodeReply(): Begin

DecodeReply(): Begin

DecodeReply: WEB_YES_BLOCKING default

DecodeReply: WEB_YES_BLOCKING default

DecodeReply: WEB_YES_BLOCKING default

RadiusCheck(): WEB_YES_BLOCKING

RadiusCheck(): WEB_YES_BLOCKING

RadiusCheck(): WEB_YES_BLOCKING

RemoteUserAdd(): Begin

RemoteUserAdd(): Begin

RemoteUserAdd(): Begin

RemoteUserAdd(): Updated remote user chbanks

RemoteUserAdd(): Updated remote user chbanks

RemoteUserAdd(): Updated remote user chbanks

RemoteUserAuthenticate(): Begin

RemoteUserAuthenticate(): Begin

RemoteUserAuthenticate(): Begin

CfgGetRadiusInfo(): Begin

CfgGetRadiusInfo(): Begin

CfgGetRadiusInfo(): Begin

CfgRadiusGetExcludeState(): Begin

CfgRadiusGetExcludeState(): Begin

CfgRadiusGetExcludeState(): Begin

CfgRadiusGetExcludeState(): flag  = 0

CfgRadiusGetExcludeState(): flag  = 0

CfgRadiusGetExcludeState(): flag  = 0

RemoteUserUpdate(): Begin

RemoteUserUpdate(): Begin

RemoteUserUpdate(): Begin

CfgRadiusGetMultipleUserPromptState(): Begin

CfgRadiusGetMultipleUserPromptState(): Begin

CfgRadiusGetMultipleUserPromptState(): Begin

CfgRadiusGetMultipleUserPromptState(): flag  = 1

CfgRadiusGetMultipleUserPromptState(): flag  = 1

CfgRadiusGetMultipleUserPromptState(): flag  = 1

CfgRadiusGetMultipleUserPromptTimeout(): Begin

CfgRadiusGetMultipleUserPromptTimeout(): Begin

CfgRadiusGetMultipleUserPromptTimeout(): Begin

CfgRadiusGetMultipleUserPromptTimeout(): lMultipleUserPromptTimeout = 25

CfgRadiusGetMultipleUserPromptTimeout(): lMultipleUserPromptTimeout = 25

CfgRadiusGetMultipleUserPromptTimeout(): lMultipleUserPromptTimeout = 25

fsgetUsrInfoforIpAddr_radius will be called

fsgetUsrInfoforIpAddr_radius will be called

fsgetUsrInfoforIpAddr_radius will be called

RemoteUserUpdate() returned true

RemoteUserUpdate() returned true

RemoteUserUpdate() returned true

Comando router:

- show ip wcp: visualizza le statistiche WCCP globali.

Informazioni correlate

- Miglioramenti WCCP

- Protocollo di comunicazione versione 2 di Web Cache

- Supporto tecnico – Cisco Systems