Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Achtergrondinformatie

Configureren

Netwerkdiagram

ISE-configuratie

Configuratie 9800 WLC

Verifiëren

WLC

ISE

PacketCapture

Problemen oplossen

WLC-debugs

ISE-debugs

Referenties

Inleiding

Dit document beschrijft de IPsec-configuratie (Internet Protocol Security) tussen de 9800 WLC- en ISE-server om de RADIUS- en TACACS-communicatie te beveiligen.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

- ISE

- Cisco IOS® XE WLC-configuratie

- Algemene IPsec-concepten

- Algemene RADIUS-concepten

- Algemene TACACS-concepten

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

- Draadloze controller: C9800-40-K9 met 17.09.04a

- Cisco ISE-lijnkaart: Patch 4 uitvoeren, versie 3

- Switch: NCS 920-L-24P

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

IPsec vormt een kader van open standaarden die door de IETF zijn ontwikkeld. Het biedt beveiliging voor de overdracht van gevoelige informatie via onbeschermde netwerken zoals het internet. IPsec treedt op op de netwerklaag en beschermt en verifieert IP-pakketten tussen deelnemende IPsec-apparaten (peers), zoals Cisco-routers. Gebruik IPsec tussen de 9800 WLC en de ISE-server om de RADIUS- en TACACS-communicatie te beveiligen.

Configureren

Netwerkdiagram

Netwerkdiagram

ISE-configuratie

Cisco ISE ondersteunt IPsec in tunnel- en transportmodi. Wanneer u IPsec op een Cisco ISE-interface inschakelt en de peers configureert, wordt er een IPsec-tunnel gemaakt tussen Cisco ISE en de NAD om de communicatie te beveiligen.

U kunt een vooraf gedeelde sleutel definiëren of X.509-certificaten gebruiken voor IPsec-verificatie. IPsec kan worden ingeschakeld op Gigabit Ethernet 1 met Gigabit Ethernet 5-interfaces.

Cisco ISE-softwarereleases 2.2 en hoger ondersteunen IPsec.

Opmerking: Zorg ervoor dat u een Cisco ISE Essentials-licentie hebt.

Voeg een netwerktoegangsapparaat (NAD) toe met een specifiek IP-adres in het venster Netwerkapparaten.

In de Cisco ISE GUI, zweef via Beheer en navigeer naar Systeem > Instellingen > Protocollen > IPsec > Native IPsec.

Klik op Add om een beveiligingskoppeling te configureren tussen een Cisco ISE-netwerkmodule en een netwerkmodule.

- Selecteer het knooppunt.

- Geef het NAD IP-adres op.

- Kies de gewenste IPsec-verkeersinterface.

- Voer ook de vooraf gedeelde sleutel in die op NAD moet worden gebruikt.

Voer in het vak Algemeen de opgegeven gegevens in.

- Kies de IKEv2.

- Selecteer de modus Tunnel.

- Selecteer ESP als het ESP/AH-protocol.

ISE-native IPSec-configuratie

In fase één-instellingen:

- Kies AES256 als encryptie-algoritme.

- Selecteer SHA512 zoals algoritme heeft.

- Selecteer GROUP14 als DH-groep.

In fase twee instellingen:

- Kies AES256 als encryptie-algoritme.

- Selecteer SHA512 zoals algoritme heeft.

Configuratie van IPSec fase 1 en fase 2

Configureer een route van de ISE CLI naar de WLC met behulp van de eth1 gateway als de volgende hop.

ise3genvc/admin#configure t

Entering configuration mode terminal

ise3genvc/admin(config)#ip route 10.78.8.77 255.255.255.255 gateway 10.106.33.1

ise3genvc/admin(config)#end

ise3genvc/admin#show ip route | include 10.78.8.77

10.78.8.77 10.106.33.1 eth1

Configuratie 9800 WLC

De IPSec-configuratie van de 9800 WLC wordt niet blootgesteld op de GUI, dus moet alle configuratie worden uitgevoerd vanuit de CLI.

Hier volgen de configuratiestappen voor de ISE-server. Elke stap wordt begeleid door relevante CLI-opdrachten in deze sectie.

Configuratiestappen WLC IPSec

Configuratie IKEv2-voorstel

Als u met de configuratie wilt beginnen, voert u de globale configuratiemodus in en maakt u een IKEv2-voorstel. Een unieke naam aan het voorstel toewijzen ter identificatie.

crypto ikev2 proposal ipsec-prop

encryption aes-cbc-256

integrity sha512

group 14

exit

Daarna, vorm een beleid en breng het eerder gecreëerde voorstel binnen dit beleid in kaart.

crypto ikev2 policy ipsec-policy

proposal ipsec-prop

exit

Bepaal een crypto-sleutelring die tijdens IKE-verificatie moet worden gebruikt. Deze sleutelring bevat de benodigde verificatiereferenties.

crypto ikev2 keyring mykey

peer ise

address 10.106.33.23 255.255.255.255

pre-shared-key Cisco!123

exit

Configureer een IKEv2-profiel dat fungeert als een opslagplaats voor niet-verhandelbare parameters van IKE SA. Dit omvat lokale of externe identiteiten, verificatiemethoden en beschikbare services voor geverifieerde peers.

crypto ikev2 profile ipsec-profile

match identity remote address  10.106.33.23 255.255.255.255

authentication remote pre-share

authentication local pre-share

keyring local mykey

exit

Maak een transformatieset en configureer deze om in tunnelmodus te werken.

crypto ipsec transform-set TSET esp-aes 256 esp-sha512-hmac

mode tunnel

exit

Maak een ACL om alleen communicatie met de ISE-interface IP toe te staan.

ip access-list extended ISE_ALLOW

10 permit ip host  10.78.8.77 host 10.106.33.23

Configureer een cryptokaart vanuit de algemene configuratie. Hang de transformatieset, het IPsec-profiel en ACL op de cryptokaart.

crypto map ikev2-cryptomap 1 ipsec-isakmp

set peer 10.106.33.23

set transform-set TSET

set ikev2-profile ipsec-profile

match address ISE_ALLOW

Tot slot, maak de crypto kaart aan de interface vast. In dit scenario, wordt de Draadloze beheersinterface die het verkeer van RADIUS draagt in kaart gebracht binnen de beheersinterface VLAN.

int vlan 2124

crypto map ikev2-cryptomap

Verifiëren

WLC

Beschikbare showopdrachten om IPSec op 9800 WLC te verifiëren.

- IP-toegangslijsten tonen

- cryptokaart weergeven

- crypto ikev2 tonen als gedetailleerd

- crypto ipsec als detail tonen

POD6_9800#show ip access-lists ISE_ALLOW

Extended IP access list ISE_ALLOW

10 permit ip host 10.78.8.77 host 10.106.33.23 (6 matches)

POD6_9800#show crypto map

Interfaces using crypto map MAP-IKEV2:

Crypto Map IPv4 "ikev2-cryptomap" 1 ipsec-isakmp

Peer = 10.106.33.23

IKEv2 Profile: ipsec-profile

Access-List SS dynamic: False

Extended IP access list ISE_ALLOW

access-list ISE_ALLOW permit ip host 10.78.8.77 host 10.106.33.23

Current peer: 10.106.33.23

Security association lifetime: 4608000 kilobytes/3600 seconds

Dualstack (Y/N): N

Responder-Only (Y/N): N

PFS (Y/N): N

Mixed-mode : Disabled

Transform sets={

TSET: { esp-256-aes esp-sha512-hmac } ,

}

Interfaces using crypto map ikev2-cryptomap:

Vlan2124

POD6_9800#show crypto ikev2 sa detailed

IPv4 Crypto IKEv2 SA

Tunnel-id Local Remote fvrf/ivrf Status

1 10.78.8.77/500 10.106.33.23/500 none/none READY

Encr: AES-CBC, keysize: 256, PRF: SHA512, Hash: SHA512, DH Grp:14, Auth sign: PSK, Auth verify: PSK

Life/Active Time: 86400/617 sec

CE id: 1699, Session-id: 72

Local spi: BA3FFBBFCF57E6A1 Remote spi: BEE60CB887998D58

Status Description: Negotiation done

Local id: 10.78.8.77

Remote id: 10.106.33.23

Local req msg id: 0 Remote req msg id: 2

Local next msg id: 0 Remote next msg id: 2

Local req queued: 0 Remote req queued: 2

Local window: 5 Remote window: 1

DPD configured for 0 seconds, retry 0

Fragmentation not configured.

Dynamic Route Update: disabled

Extended Authentication not configured.

NAT-T is not detected

Cisco Trust Security SGT is disabled

Initiator of SA : No

PEER TYPE: Other

IPv6 Crypto IKEv2 SA

POD6_9800#show crypto ipsec sa detail

interface: Vlan2124

Crypto map tag: ikev2-cryptomap, local addr 10.78.8.77

protected vrf: (none)

local ident (addr/mask/prot/port): (10.78.8.77/255.255.255.255/0/0)

remote ident (addr/mask/prot/port): (10.106.33.23/255.255.255.255/0/0)

current_peer 10.106.33.23 port 500

PERMIT, flags={origin_is_acl,}

#pkts encaps: 285, #pkts encrypt: 285, #pkts digest: 285

#pkts decaps: 211, #pkts decrypt: 211, #pkts verify: 211

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts compr. failed: 0

#pkts not decompressed: 0, #pkts decompress failed: 0

#pkts no sa (send) 0, #pkts invalid sa (rcv) 0

#pkts encaps failed (send) 0, #pkts decaps failed (rcv) 0

#pkts invalid prot (recv) 0, #pkts verify failed: 0

#pkts invalid identity (recv) 0, #pkts invalid len (rcv) 0

#pkts replay rollover (send): 0, #pkts replay rollover (rcv) 0

##pkts replay failed (rcv): 0

#pkts tagged (send): 0, #pkts untagged (rcv): 0

#pkts not tagged (send): 0, #pkts not untagged (rcv): 0

#pkts internal err (send): 0, #pkts internal err (recv) 0

local crypto endpt.: 10.78.8.77, remote crypto endpt.: 10.106.33.23

plaintext mtu 1022, path mtu 1100, ip mtu 1100, ip mtu idb Vlan2124

current outbound spi: 0xCCC04668(3435153000)

PFS (Y/N): N, DH group: none

inbound esp sas:

spi: 0xFEACCF3E(4272738110)

transform: esp-256-aes esp-sha512-hmac ,

in use settings ={Tunnel, }

conn id: 2379, flow_id: HW:379, sibling_flags FFFFFFFF80000048, crypto map: ikev2-cryptomap, initiator : False

sa timing: remaining key lifetime (k/sec): (4607994/2974)

IV size: 16 bytes

replay detection support: Y

Status: ACTIVE(ACTIVE)

inbound ah sas:

inbound pcp sas:

outbound esp sas:

spi: 0xCCC04668(3435153000)

transform: esp-256-aes esp-sha512-hmac ,

in use settings ={Tunnel, }

conn id: 2380, flow_id: HW:380, sibling_flags FFFFFFFF80000048, crypto map: ikev2-cryptomap, initiator : False

sa timing: remaining key lifetime (k/sec): (4607994/2974)

IV size: 16 bytes

replay detection support: Y

Status: ACTIVE(ACTIVE)

outbound ah sas:

outbound pcp sas:

ISE

ise3genvc/admin#application configure ise

It will present multiple options. Select option 34.

[34]View Native IPSec status

45765332-52dd-4311-93ed-44fd64c55585: #1, ESTABLISHED, IKEv2, bee60cb887998d58_i* ba3ffbbfcf57e6a1_r

local '10.106.33.23' @ 10.106.33.23[500]

remote '10.78.8.77' @ 10.78.8.77[500]

AES_CBC-256/HMAC_SHA2_512_256/PRF_HMAC_SHA2_512/MODP_2048

established 1133s ago, rekeying in 6781s, reauth in 78609s

net-net-45765332-52dd-4311-93ed-44fd64c55585: #2, reqid 1, INSTALLED, TUNNEL, ESP:AES_CBC-256/HMAC_SHA2_512_256

installed 1133s ago, rekeying in 12799s, expires in 14707s

in ccc04668, 5760 bytes, 96 packets, 835s ago

out feaccf3e, 5760 bytes, 96 packets, 835s ago

local 10.106.33.23/32

remote 10.78.8.77/32

Enter 0 to exit from this context.

ISE GUI met IPSec-status

PacketCapture

Neem een EPC op de WLC om er zeker van te zijn dat client RADIUS-verkeer door de ESP-tunnel gaat. Met behulp van een besturingsplane opname kunt u pakketten waarnemen die het besturingsplane verlaten in een niet-versleutelde staat, die vervolgens versleuteld en verzonden worden naar het bekabelde netwerk.

IPsec-pakketten tussen WLC en ISE

Problemen oplossen

WLC-debugs

Aangezien de 9800 WLC op Cisco IOS XE werkt, kunt u debug-opdrachten van IPSec gebruiken die vergelijkbaar zijn met die op andere Cisco IOS XE-platforms. Hier zijn twee belangrijke opdrachten die handig zijn voor het oplossen van IPSec-problemen.

- debug crypto ikev2

- debug crypto ikev2 error

ISE-debugs

Gebruik deze opdracht op de ISE-CLI om IPSec-logbestanden te bekijken. Debugging commando's zijn niet nodig op de WLC.

- logboektoepassing tonen strongswan/charon.log tail

Referenties

Software voor Cisco Catalyst 9800 Series softwareconfiguratiehandleiding voor draadloze controllers, Cisco IOS XE Nexus 17.9.x

IPsec-beveiliging voor beveiligde communicatie tussen Cisco ISE en NAD

Internet Key Exchange versie 2 configureren (IKEv2)

Configuratie van ISE 3.3 Native IPsec voor beveiligde en beveiligde communicatie (Cisco IOS XE)