使用预共享密钥配置WPA/WPA2:IOS 15.2JB及更高版本

简介

本文档介绍使用预共享密钥(PSK)的无线保护访问(WPA)和WPA2的配置示例。

先决条件

要求

Cisco 建议您了解以下主题：

• 熟悉Cisco IOS®软件的GUI或命令行界面(^CLI)。
• 熟悉PSK、WPA和WPA2的概念

使用的组件

本文档中的信息基于运行Cisco IOS软件版本15.2JB的Cisco Aironet 1260接入点(AP)。

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您使用的是真实网络，请确保您已经了解所有命令的潜在影响。

配置

使用GUI进行配置

此程序介绍如何在Cisco IOS软件GUI中使用PSK配置WPA和WPA2:

1. 为为服务集标识符(SSID)定义的VLAN设置加密管理器。 导航至Security > Encryption Manager，确保已启用Cipher，并选择AES CCMP + TKIP作为要用于两个SSID的密码。
   
   
   
   
2. 使用步骤1中定义的加密参数启用正确的VLAN。导航至Security > SSID Manager，然后从Current SSID List中选择SSID。此步骤对WPA和WPA2配置都是常见的。
   
   
   
   
3. 在SSID页中，将Key Management设置为Mandatory，然后选中Enable WPA复选框。从下拉列表中选择WPA以启用WPA。输入WPA预共享密钥。
   
   
   
   
4. 从下拉列表中选择WPA2以启用WPA2。
   
   

使用CLI进行配置

注意：

使用命令查找工具（仅限注册用户）可获取有关本部分所使用命令的详细信息。

命令输出解释程序工具（仅限注册用户）支持某些 show 命令。使用输出解释器工具来查看 show 命令输出的分析。

这与在CLI中执行的配置相同：

sh run
Building configuration...Current configuration : 5284 bytes
!
! Last configuration change at 04:40:45 UTC Thu Mar 11 1993
version 15.2
no service pad
service timestamps debug datetime msec
service timestamps log datetime msec
service password-encryption
!
hostname ish_1262_1_st
!
!
logging rate-limit console 9
enable secret 5 $1$Iykv$1tUkNYeB6omK41S18lTbQ1
!
no aaa new-model
ip cef
ip domain name cisco.com
!
!
!
dot11 syslog
!
dot11 ssid wpa
vlan 6
authentication open 
authentication key-management wpa
mbssid guest-mode
wpa-psk ascii 7 060506324F41584B56
!
dot11 ssid wpa2
vlan 7
authentication open 
authentication key-management wpa version 2
wpa-psk ascii 7 110A1016141D5A5E57
!
bridge irb
!
!
!
interface Dot11Radio0
no ip address
no ip route-cache
!
encryption vlan 6 mode ciphers aes-ccm tkip 
!
encryption vlan 7 mode ciphers aes-ccm tkip 
!
ssid wpa
!
ssid wpa2
!
antenna gain 0
mbssid
station-role root
bridge-group 1
bridge-group 1 subscriber-loop-control
bridge-group 1 spanning-disabled
bridge-group 1 block-unknown-source
no bridge-group 1 source-learning
no bridge-group 1 unicast-flooding
!
interface Dot11Radio0.6
encapsulation dot1Q 6
no ip route-cache
bridge-group 6
bridge-group 6 subscriber-loop-control
bridge-group 6 spanning-disabled
bridge-group 6 block-unknown-source
no bridge-group 6 source-learning
no bridge-group 6 unicast-flooding
!
interface Dot11Radio0.7
encapsulation dot1Q 7
no ip route-cache
bridge-group 7
bridge-group 7 subscriber-loop-control
bridge-group 7 spanning-disabled
bridge-group 7 block-unknown-source
no bridge-group 7 source-learning
no bridge-group 7 unicast-flooding
!
interface Dot11Radio1
no ip address
no ip route-cache
!
encryption vlan 6 mode ciphers aes-ccm tkip 
!
encryption vlan 7 mode ciphers aes-ccm tkip 
!
ssid wpa
!
ssid wpa2
!
antenna gain 0
no dfs band block
mbssid
channel dfs
station-role root
bridge-group 1
bridge-group 1 subscriber-loop-control
bridge-group 1 spanning-disabled
bridge-group 1 block-unknown-source
no bridge-group 1 source-learning
no bridge-group 1 unicast-flooding
!
interface Dot11Radio1.6
encapsulation dot1Q 6
no ip route-cache
bridge-group 6
bridge-group 6 subscriber-loop-control
bridge-group 6 spanning-disabled
bridge-group 6 block-unknown-source
no bridge-group 6 source-learning
no bridge-group 6 unicast-flooding
!
interface Dot11Radio1.7
encapsulation dot1Q 7
no ip route-cache
bridge-group 7
bridge-group 7 subscriber-loop-control
bridge-group 7 spanning-disabled
bridge-group 7 block-unknown-source
no bridge-group 7 source-learning
no bridge-group 7 unicast-flooding
!
interface GigabitEthernet0
no ip address
no ip route-cache
duplex auto
speed auto
no keepalive
bridge-group 1
bridge-group 1 spanning-disabled
no bridge-group 1 source-learning
!
interface GigabitEthernet0.6
encapsulation dot1Q 6
no ip route-cache
bridge-group 6
bridge-group 6 spanning-disabled
no bridge-group 6 source-learning
!
interface GigabitEthernet0.7
encapsulation dot1Q 7
no ip route-cache
bridge-group 7
bridge-group 7 spanning-disabled
no bridge-group 7 source-learning
!
interface BVI1
ip address 10.105.132.172 255.255.255.128
no ip route-cache
!
ip forward-protocol nd
ip http server
ip http secure-server 

验证

要确认配置工作正常，请导航至关联，并验证客户端是否已连接：

您还可以验证CLI中客户端与以下系统日志消息的关联：

*Mar 11 05:39:11.962: %DOT11-6-ASSOC: Interface Dot11Radio0, Station 
   ish_1262_1_st 2477.0334.0c40 Associated KEY_MGMT[WPAv2 PSK]

故障排除

注意：使用 debug 命令之前，请参阅有关 Debug 命令的重要信息。

使用以下debug命令排除连接问题：

• debug dot11 aaa manager keys — 此调试显示AP和客户端之间在成对临时密钥(PTK)和组临时密钥(GTK)协商时发生的握手。
• debug dot11 aaa authenticator state-machine — 此调试显示客户端在关联和身份验证时通过的协商的各种状态。状态名称即可表示各种状态。
• debug dot11 aaa authenticator process — 此调试可帮助您诊断协商通信的问题。其详细信息显示了每个协商参与者所发送的内容，并显示了其他参与者的响应。您也可以将该 debug 命令与 debug radius authentication 命令结合使用。
• debug dot11 station connection failure — 此调试可帮助您确定客户端是否连接失败，并帮助您确定失败的原因。