ワイヤレスLANコントローラ(WLC)Catalyst 9800での802.1Xクライアントのトラブルシューティング：Eapol/802.1Xバージョンの変更

はじめに

このドキュメントでは、新しい802.1Xバージョンをサポートしていない古いIoTワイヤレスクライアントの接続を支援する方法について説明します。

要件

使用するコンポーネント

このソフトウェアは、Cisco IOS® XE 17.xバージョンを実行するワイヤレスLANコントローラ(WLC)Catalyst 9800をベースとしています。

CONTEXT

802.1Xプロトコルには、これまで最大3つのバージョンがあります。802.1X-2001はバージョン1、802.1X-2004はバージョン2、802.1X-2010であり、後続のリビジョンはすべてバージョン3の識別子を使用します。

IEEE標準では、各デバイスがサポートされる最大バージョンをアドバタイズする必要があり、すべてのバージョンに下位互換性があるため、共通バージョンに同意する必要があることは非常に明確です。

Catalyst 9800 WLCは、802.1Xとeapolバージョン3をアドバタイズします。

多くの場合、ワイヤレスクライアントは802.1Xバージョン1で応答し、認証は、たとえばバージョン1の実装を使用して続行できます。

ただし、一部の特定の古いIoTクライアントは、相手側で特定の802.1Xバージョンが表示されることを期待し、理解できない新しいバージョンが表示されることを許容しません。これは標準違反です。しかし、IoTデバイスを簡単に更新できず、それを使用しなければならないことがあります。したがって、コントローラで802.1Xバージョンを調整して、これらのクライアントを作成できます。

特定のクライアントセットでこの問題に直面していることを証明できない限り、このバージョンを変更する正当な理由はありません。

この問題が発生していることを確認します

次に、稼働している放射性トレースの例を示します。この例では、コントローラがバージョン3をアドバタイズしますが、クライアントが適切に低いバージョンで応答するため、認証を続行できます。

{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [<MAC>:capwap_9000002c] Posting RESTART on Client
{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [<MAC>:capwap_9000002c] Entering init state
{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [<MAC>:capwap_9000002c] Entering idle state
{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [<MAC>:capwap_9000002c] Posting !AUTH_ABORT on Client
{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [<MAC>:capwap_9000002c] Entering restart state
{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [<MAC>:capwap_9000002c] Resetting the client 0xD8000002
{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [<MAC>:capwap_9000002c] Override cfg - MAC <MAC> - profile (none)
{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [<MAC>:capwap_9000002c] Override cfg - SuppTimeout 30s, ReAuthMax 2, MaxReq 2, TxPeriod 30s
 {wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [<MAC>:capwap_9000002c] Sending create new context event to EAP for 0xD8000002 (7a9d.d7f6.710f)
{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [<MAC>:capwap_9000002c] Posting !EAP_RESTART on Client
{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [<MAC>:capwap_9000002c] Enter connecting state
{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [<MAC>:capwap_9000002c] Restart connecting
{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [<MAC>:capwap_9000002c] Posting RX_REQ on Client
{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [<MAC>:capwap_9000002c] Authenticating state entered
{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [<MAC>:capwap_9000002c] Connecting authenticating action
{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [<MAC>:capwap_9000002c] Entering request state
{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [<MAC>:capwap_9000002c] Setting EAPOL eth-type to 0x888e, destination mac to 
{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [0000.0000.0000:capwap_9000002c] Sending out EAPOL packet
{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [<MAC>:capwap_9000002c] Sent EAPOL packet - Version : 3,EAPOL Type : EAP, Payload Length : 5, EAP-Type = Identity
{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [<MAC>:capwap_9000002c] EAP Packet - REQUEST, ID : 0x1 
{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [0000.0000.0000:unknown] Pkt body: 01 01 00 05 01 
{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [<MAC>:capwap_9000002c] EAPOL packet sent to client
{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [<MAC>] Received EAPOL packet - Version : 1,EAPOL Type : EAP, Payload Length : 12, EAP-Type = Identity
{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [<MAC>:capwap_9000002c] EAP Packet - RESPONSE, ID : 0x1 
{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [0000.0000.0000:unknown] Pkt body: 02 01 00 0c 01 34 34 37 33 36 34 35 
{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [0000.0000.0000:capwap_9000002c] Queuing an EAPOL pkt on Authenticator Q
{wncd_x_R0-0}{1}: [dot1x] [25076]: (info): [0000.0000.0000:capwap_9000002c] Dequeued pkt: CODE = 2,TYPE = 1,LEN = 12

(...) RADIUS authentication follows

正常でない出力は、WLC/APから送信されたEAP ID要求メッセージまで調べますが、クライアントがそれに何も応答しません。

Eapol/802.1Xバージョンの変更

WLC#show dot1x all
Sysauthcontrol                Disabled
Dot1x Protocol Version               3
WLC#config terminal
Enter configuration commands, one per line.  End with CNTL/Z.
WLC(config)#service internal
WLC(config)#dot1x eapol version 2
WLC(config)#exit
WLC#show dot1x all
Sysauthcontrol                Disabled
Dot1x Protocol Version               2