Sommario

Introduzione

Prerequisiti

Requisiti

Componenti usati

Premesse

Configurazione

Esempio di rete

Configurazione di ISE

Configurazione 9800 WLC

Verifica

WLC

ISE

Acquisizione pacchetti

Risoluzione dei problemi

Debug WLC

Debug ISE

Riferimenti

Introduzione

In questo documento viene descritta la configurazione di Internet Protocol Security (IPsec) tra il protocollo 9800 WLC e il server ISE per proteggere la comunicazione Radius & TACACS.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

- ISE

- Configurazione WLC Cisco IOS® XE

- Concetti generali relativi a IPSec

- Concetti generali su RADIUS

- Nozioni generali su TACACS

Componenti usati

Le informazioni fornite in questo documento si basano sulle seguenti versioni software e hardware:

- Controller wireless: C9800-40-K9 con 17.09.04a

- Cisco ISE Esecuzione della patch versione 3 4

- Switch: 9200-24P

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Premesse

IPsec è una struttura di standard aperti sviluppata dall'IETF. Fornisce protezione per la trasmissione di informazioni sensibili su reti non protette, come Internet. IPsec opera a livello di rete, proteggendo e autenticando i pacchetti IP tra i dispositivi IPsec (peer) interessati, ad esempio i router Cisco. Utilizzare IPsec tra il WLC 9800 e il server ISE per proteggere la comunicazione RADIUS e TACACS.

Configurazione

Esempio di rete

Esempio di rete

Configurazione di ISE

Cisco ISE supporta IPsec nelle modalità tunnel e trasporto. Quando si abilita IPsec su un'interfaccia Cisco ISE e si configurano i peer, viene creato un tunnel IPsec tra Cisco ISE e il servizio NAD per proteggere la comunicazione.

È possibile definire una chiave già condivisa o utilizzare certificati X.509 per l'autenticazione IPSec. IPsec può essere abilitato sulle interfacce Gigabit Ethernet da 1 a Gigabit Ethernet 5.

Cisco ISE release 2.2 e successive supportano IPsec.

Nota: Accertarsi di disporre di una licenza Cisco ISE Essentials.

Aggiungere un dispositivo di accesso alla rete (NAD) con un indirizzo IP specifico nella finestra Dispositivi di rete.

Nell'interfaccia utente di Cisco ISE, passare il mouse su Administration e selezionare System > Settings > Protocolli > IPsec > Native IPsec.

Fare clic su Add per configurare un'associazione di sicurezza tra un PSN di Cisco ISE e un NAD.

- Selezionare il nodo.

- Specificare l'indirizzo IP NAD.

- Scegliere l'interfaccia del traffico IPSec richiesta.

- Immettere la chiave già condivisa da utilizzare anche su NAD.

Nella sezione Generale immettere i dettagli specificati.

- Scegliere IKEv2.

- Selezionare la modalità tunnel.

- Selezionare ESP come protocollo ESP/AH.

Configurazione IPSec nativa ISE

Nelle impostazioni della fase uno:

- Scegliere AES256 come algoritmo di crittografia.

- Selezionare SHA512 come algoritmo.

- Selezionare GROUP14 come gruppo DH.

Nelle impostazioni della seconda fase:

- Scegliere AES256 come algoritmo di crittografia.

- Selezionare SHA512 come algoritmo.

Configurazione di IPSec fase 1 e fase 2

Configurare un percorso dalla CLI di ISE al WLC usando il gateway eth1 come hop successivo.

ise3genvc/admin#configure t

Entering configuration mode terminal

ise3genvc/admin(config)#ip route 10.78.8.77 255.255.255.255 gateway 10.106.33.1

ise3genvc/admin(config)#end

ise3genvc/admin#show ip route | include 10.78.8.77

10.78.8.77 10.106.33.1 eth1

Configurazione 9800 WLC

La configurazione IPSec del WLC 9800 non viene esposta sulla GUI, quindi tutta la configurazione deve essere eseguita dalla CLI.

Di seguito vengono riportati i passaggi di configurazione per il server ISE. Ciascun passaggio è accompagnato dai comandi CLI appropriati in questa sezione per fornire una guida.

Procedura di configurazione IPSec WLC

Configurazione proposta IKEv2

Per iniziare la configurazione, accedere alla modalità di configurazione globale e creare una proposta IKEv2. Assegnare un nome univoco alla proposta a scopo di identificazione.

crypto ikev2 proposal ipsec-prop

encryption aes-cbc-256

integrity sha512

group 14

exit

Configurare quindi un criterio ed eseguire il mapping della proposta creata in precedenza all'interno del criterio.

crypto ikev2 policy ipsec-policy

proposal ipsec-prop

exit

Definire un keyring di crittografia da utilizzare durante l'autenticazione IKE. Questo keyring contiene le credenziali di autenticazione necessarie.

crypto ikev2 keyring mykey

peer ise

address 10.106.33.23 255.255.255.255

pre-shared-key Cisco!123

exit

Configurare un profilo IKEv2 che funge da repository per i parametri non negoziabili dell'associazione di protezione IKE. Sono incluse identità locali o remote, metodi di autenticazione e servizi disponibili per peer autenticati.

crypto ikev2 profile ipsec-profile

match identity remote address  10.106.33.23 255.255.255.255

authentication remote pre-share

authentication local pre-share

keyring local mykey

exit

Creare un set di trasformazioni e configurarlo per funzionare in modalità tunnel.

crypto ipsec transform-set TSET esp-aes 256 esp-sha512-hmac

mode tunnel

exit

Creare un ACL per consentire la comunicazione solo con l'IP dell'interfaccia ISE.

ip access-list extended ISE_ALLOW

10 permit ip host  10.78.8.77 host 10.106.33.23

Configurare una mappa crittografica dalla configurazione globale. Collegare il set di trasformazioni, il profilo IPsec e l'ACL alla mappa crittografica.

crypto map ikev2-cryptomap 1 ipsec-isakmp

set peer 10.106.33.23

set transform-set TSET

set ikev2-profile ipsec-profile

match address ISE_ALLOW

Infine, collegare la mappa crittografica all'interfaccia. In questo scenario, l'interfaccia di gestione wireless che trasporta il traffico RADIUS viene mappata nella VLAN dell'interfaccia di gestione.

int vlan 2124

crypto map ikev2-cryptomap

Verifica

WLC

Comandi show disponibili per verificare IPSec sul WLC 9800.

- show ip access-lists

- mostra mappa crittografica

- visualizzazione dettagliata di crypto ikev2 sa

- mostra dettagli sa crypto ipsec

POD6_9800#show ip access-lists ISE_ALLOW

Extended IP access list ISE_ALLOW

10 permit ip host 10.78.8.77 host 10.106.33.23 (6 matches)

POD6_9800#show crypto map

Interfaces using crypto map MAP-IKEV2:

Crypto Map IPv4 "ikev2-cryptomap" 1 ipsec-isakmp

Peer = 10.106.33.23

IKEv2 Profile: ipsec-profile

Access-List SS dynamic: False

Extended IP access list ISE_ALLOW

access-list ISE_ALLOW permit ip host 10.78.8.77 host 10.106.33.23

Current peer: 10.106.33.23

Security association lifetime: 4608000 kilobytes/3600 seconds

Dualstack (Y/N): N

Responder-Only (Y/N): N

PFS (Y/N): N

Mixed-mode : Disabled

Transform sets={

TSET: { esp-256-aes esp-sha512-hmac } ,

}

Interfaces using crypto map ikev2-cryptomap:

Vlan2124

POD6_9800#show crypto ikev2 sa detailed

IPv4 Crypto IKEv2 SA

Tunnel-id Local Remote fvrf/ivrf Status

1 10.78.8.77/500 10.106.33.23/500 none/none READY

Encr: AES-CBC, keysize: 256, PRF: SHA512, Hash: SHA512, DH Grp:14, Auth sign: PSK, Auth verify: PSK

Life/Active Time: 86400/617 sec

CE id: 1699, Session-id: 72

Local spi: BA3FFBBFCF57E6A1 Remote spi: BEE60CB887998D58

Status Description: Negotiation done

Local id: 10.78.8.77

Remote id: 10.106.33.23

Local req msg id: 0 Remote req msg id: 2

Local next msg id: 0 Remote next msg id: 2

Local req queued: 0 Remote req queued: 2

Local window: 5 Remote window: 1

DPD configured for 0 seconds, retry 0

Fragmentation not configured.

Dynamic Route Update: disabled

Extended Authentication not configured.

NAT-T is not detected

Cisco Trust Security SGT is disabled

Initiator of SA : No

PEER TYPE: Other

IPv6 Crypto IKEv2 SA

POD6_9800#show crypto ipsec sa detail

interface: Vlan2124

Crypto map tag: ikev2-cryptomap, local addr 10.78.8.77

protected vrf: (none)

local ident (addr/mask/prot/port): (10.78.8.77/255.255.255.255/0/0)

remote ident (addr/mask/prot/port): (10.106.33.23/255.255.255.255/0/0)

current_peer 10.106.33.23 port 500

PERMIT, flags={origin_is_acl,}

#pkts encaps: 285, #pkts encrypt: 285, #pkts digest: 285

#pkts decaps: 211, #pkts decrypt: 211, #pkts verify: 211

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts compr. failed: 0

#pkts not decompressed: 0, #pkts decompress failed: 0

#pkts no sa (send) 0, #pkts invalid sa (rcv) 0

#pkts encaps failed (send) 0, #pkts decaps failed (rcv) 0

#pkts invalid prot (recv) 0, #pkts verify failed: 0

#pkts invalid identity (recv) 0, #pkts invalid len (rcv) 0

#pkts replay rollover (send): 0, #pkts replay rollover (rcv) 0

##pkts replay failed (rcv): 0

#pkts tagged (send): 0, #pkts untagged (rcv): 0

#pkts not tagged (send): 0, #pkts not untagged (rcv): 0

#pkts internal err (send): 0, #pkts internal err (recv) 0

local crypto endpt.: 10.78.8.77, remote crypto endpt.: 10.106.33.23

plaintext mtu 1022, path mtu 1100, ip mtu 1100, ip mtu idb Vlan2124

current outbound spi: 0xCCC04668(3435153000)

PFS (Y/N): N, DH group: none

inbound esp sas:

spi: 0xFEACCF3E(4272738110)

transform: esp-256-aes esp-sha512-hmac ,

in use settings ={Tunnel, }

conn id: 2379, flow_id: HW:379, sibling_flags FFFFFFFF80000048, crypto map: ikev2-cryptomap, initiator : False

sa timing: remaining key lifetime (k/sec): (4607994/2974)

IV size: 16 bytes

replay detection support: Y

Status: ACTIVE(ACTIVE)

inbound ah sas:

inbound pcp sas:

outbound esp sas:

spi: 0xCCC04668(3435153000)

transform: esp-256-aes esp-sha512-hmac ,

in use settings ={Tunnel, }

conn id: 2380, flow_id: HW:380, sibling_flags FFFFFFFF80000048, crypto map: ikev2-cryptomap, initiator : False

sa timing: remaining key lifetime (k/sec): (4607994/2974)

IV size: 16 bytes

replay detection support: Y

Status: ACTIVE(ACTIVE)

outbound ah sas:

outbound pcp sas:

ISE

ise3genvc/admin#application configure ise

It will present multiple options. Select option 34.

[34]View Native IPSec status

45765332-52dd-4311-93ed-44fd64c55585: #1, ESTABLISHED, IKEv2, bee60cb887998d58_i* ba3ffbbfcf57e6a1_r

local '10.106.33.23' @ 10.106.33.23[500]

remote '10.78.8.77' @ 10.78.8.77[500]

AES_CBC-256/HMAC_SHA2_512_256/PRF_HMAC_SHA2_512/MODP_2048

established 1133s ago, rekeying in 6781s, reauth in 78609s

net-net-45765332-52dd-4311-93ed-44fd64c55585: #2, reqid 1, INSTALLED, TUNNEL, ESP:AES_CBC-256/HMAC_SHA2_512_256

installed 1133s ago, rekeying in 12799s, expires in 14707s

in ccc04668, 5760 bytes, 96 packets, 835s ago

out feaccf3e, 5760 bytes, 96 packets, 835s ago

local 10.106.33.23/32

remote 10.78.8.77/32

Enter 0 to exit from this context.

GUI ISE con stato IPSec

Acquisizione pacchetti

Prendere un EPC sul WLC per assicurarsi che il traffico RADIUS del client stia attraversando il tunnel ESP. Utilizzando un'acquisizione control plane, è possibile osservare i pacchetti che lasciano il control plane in uno stato non crittografato, che vengono quindi crittografati e trasmessi alla rete cablata.

Pacchetti IPSec tra WLC e ISE

Risoluzione dei problemi

Debug WLC

Poiché il WLC 9800 funziona su Cisco IOS XE, è possibile utilizzare comandi di debug IPSec simili a quelli di altre piattaforme Cisco IOS XE. Di seguito sono riportati due comandi chiave utili per la risoluzione dei problemi relativi a IPSec.

- debug crypto ikev2

- errore debug crypto ikev2

Debug ISE

Utilizzare questo comando della CLI di ISE per visualizzare i registri IPSec. I comandi di debug non sono necessari sul WLC.

- show logging application strongswan/charon.log tail

Riferimenti

Guida alla configurazione del software Cisco Catalyst serie 9800 Wireless Controller, Cisco IOS XE Cupertino 17.9.x

IPsec Security per proteggere le comunicazioni tra Cisco ISE e NAD

Configurazione di IKEv2 (Internet Key Exchange versione 2)

Configurazione di ISE 3.3 Native IPsec per la comunicazione protetta e non protetta (Cisco IOS XE)