在Catalyst 9800 WLC上使用驗證設定FlexConnect

簡介

本檔案介紹如何在Catalyst 9800無線LAN控制器上使用中央或本機驗證設定FlexConnect。

必要條件

需求

思科建議您瞭解以下主題：

• Catalyst無線9800組態型號
• FlexConnect
• 802.1x

採用元件

本文中的資訊係根據以下軟體和硬體版本：

• C9800-CL、Cisco IOS-XE® 17.3.4
  

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

背景資訊

FlexConnect是用於遠端辦公室部署的無線解決方案。它允許您通過廣域網(WAN)鏈路從公司辦公室配置遠端位置的接入點(AP)，而無需在每個位置部署控制器。FlexConnect AP可以在本地交換客戶端資料流量，並在與控制器的連線斷開時執行本地客戶端身份驗證。在連線模式下，FlexConnect AP還可以執行本地身份驗證。

設定

網路圖表

組態

9800 WLC上的AAA組態

步驟 1.宣告RADIUS伺服器。在GUI中：導覽至Configuration > Security > AAA > Servers / Groups > RADIUS > Servers > + Address，然後輸入RADIUS伺服器資訊。

如果您計畫將來使用任何需要CoA的安全型別，請確保支援CoA。 

  

注意：注意：Flex connect本地身份驗證部署不支援Radius CoA。.

步驟 2.將RADIUS伺服器新增到RADIUS組。 在GUI中：導航到Configuration > Security > AAA > Servers / Groups > RADIUS > Server Groups > + Add。

步驟 3.建立身份驗證方法清單。在GUI上：導航到Configuration > Security > AAA > AAA Method List > Authentication > + Add

在 CLI 上：

# config t
# aaa new-model

# radius server <radius-server-name>
# address ipv4 <radius-server-ip> auth-port 1812 acct-port 1813
# timeout 300
# retransmit 3
# key <shared-key>
# exit

# aaa group server radius <radius-grp-name>
# server name <radius-server-name>
# exit

# aaa server radius dynamic-author
# client <radius-server-ip> server-key <shared-key>

# aaa authentication dot1x <dot1x-list-name> group <radius-grp-name>

WLAN配置

步驟 1.在GUI上：導覽至Configuration > Wireless > WLANs，然後按一下+Add以建立一個新的WLAN，然後輸入WLAN資訊。然後點選應用到裝置。

步驟 2.在GUI上：導覽至Security索引標籤，配置第2層/第3層安全模式（只要加密方法還在使用），並在使用802.1x的情況下配置身份驗證清單。然後按一下Update & Apply to Device。

原則設定檔組態

步驟 1.在GUI中：導航至Configuration > Tags & Profiles > Policy，然後點選+Add以建立策略配置檔案。

步驟 2.新增名稱，並取消選中Central Switching框。透過此設定，控制器會處理使用者端驗證，而FlexConnect存取點會在本地交換使用者端封包。

註：如果禁用了中心交換，則關聯和交換必須始終成對。使用Flexconnect AP時，必須在所有策略配置檔案上禁用中心關聯。

步驟 3.在GUI上：導覽至Access Policies頁籤，分配無線客戶端在預設情況下連線到此WLAN時可以分配到的VLAN。

您可以從下拉選單中選擇一個VLAN名稱，或者作為最佳實踐，手動鍵入VLAN ID。

步驟 4.在GUI上：導覽至Advanced 索引標籤，以設定WLAN逾時、DHCP、WLAN Flex Policy和AAA策略，以防它們正在使用。然後點選Update & Apply to Device。

原則標籤組態

步驟 1.在GUI中：導航至配置>標籤和配置檔案>標籤>策略> +新增。 

步驟 2.分配名稱，並對映之前建立的策略配置檔案和WLAN配置檔案。

Flex配置檔案配置

步驟1.在GUI中：導覽至Configuration > Tags & Profiles > Flex，然後按一下+Add以建立一個新的標籤。

註：本地VLAN ID是指可分配此Flex配置檔案的AP使用的VLAN，並且該VLAN必須與AP所連線的交換機埠上的本地VLAN ID配置相同。

步驟 2.在VLAN 索引標籤下，新增需要的VLAN、透過Policy Profile預設分配給WLAN的VLAN，或RADIUS伺服器推送的VLAN。然後點選Update & Apply to Device。

注意：對於Policy Profile，當您選擇分配給SSID的預設VLAN時。如果在此步驟中使用VLAN名稱，請確保在Flex Profile組態中使用相同的VLAN名稱，否則使用者端無法連線到WLAN。

註：要為flexConnect配置ACL並覆蓋AAA，請僅在「策略ACL」上配置它，如果將ACL分配給特定VLAN，請在新增VLAN時新增ACL，然後在「策略ACL」上新增ACL。

站點標籤配置

步驟 1.在GUI中：導航至Configuration > Tags & Profiles > Tags > Site，然後點選+Add以建立新的站點標籤。取消選中Enable Local Site框以允許AP在本地交換客戶端資料流量，然後新增之前建立的Flex配置檔案。

注意：禁用「啟用本地站點」後，分配此站點標籤的AP可配置為FlexConnect模式。

步驟 2.在GUI中：導航至Configuration > Wireless > Access Points > AP name，將Site Tag和Policy Tag新增到關聯的AP。這可能會導致AP重新啟動其CAPWAP通道並加入回9800 WLC。

AP連線回後，請注意AP現在處於FlexConnect模式。

使用外部RADIUS伺服器的本機驗證

步驟 1.將AP作為網路裝置新增到RADIUS伺服器。如需範例，請參閱如何使用身分識別服務引擎(ISE)作為RADIUS伺服器

步驟 2.建立WLAN。

此組態可以與先前設定的組態相同。

步驟 3.原則設定檔組態.

您可以建立新配置或使用之前配置的。這一次，取消選中Central Switching、Central Authentication、Central DHCP和Central Association Enable框。

步驟 4.原則標籤組態.

將已配置的WLAN與已建立的Policy Profile相關聯。

步驟 5.Flex配置檔案配置。

建立Flex配置檔案，導航到Local Authentication頁籤，配置Radius Server Group，然後選中RADIUS框。

步驟 6.站點標籤配置。

配置在步驟5中配置的Flex Profile，並取消選中Enable Local Site框。

驗證

集中身份驗證：

本地身份驗證：

 您可以使用這些命令驗證當前配置：

在 CLI 上：

# show wlan { summary | id | name | all }
# show run wlan
# show run aaa
# show aaa servers
# show ap config general
# show ap name <ap-name> config general 
# show ap tag summary
# show ap name <AP-name> tag detail
# show wlan { summary | id | name | all }
# show wireless tag policy detailed <policy-tag-name>
# show wireless profile policy detailed <policy-profile-name>  

疑難排解

WLC 9800提供永遠線上的追蹤功能。這可確保所有與客戶端連線相關的錯誤、警告和通知級別消息均持續記錄，並且您可以在發生事故或故障情況後檢視其日誌。 

注意：根據生成的日誌量，您可以將時間從幾小時縮短到幾天。

若要檢視9800 WLC在預設情況下蒐集的追蹤，可以透過SSH/Telnet連線到9800 WLC並執行以下步驟（確保將作業階段記錄到文字檔中）。

步驟 1.檢查控制器當前時間，這樣您就可以跟蹤問題發生時之前的日誌。

在 CLI 上：

# show clock

步驟 2.根據系統配置的指示，從控制器緩衝區或外部系統日誌中收集系統日誌。這樣可以快速檢視系統運行狀況和錯誤（如果有）。

在 CLI 上：

# show logging

步驟 3.驗證是否已啟用任何調試條件。

在 CLI 上：

# show debugging
IOSXE Conditional Debug Configs:

Conditional Debug Global State: Stop

IOSXE Packet Tracing Configs:


Packet Infra debugs:

Ip Address                                               Port
------------------------------------------------------|----------

註：如果找到任何列出的條件，則表示遇到啟用條件（mac地址、ip地址等）的所有進程的跟蹤將記錄到調試級別。如此可能會增加記錄量。因此，建議您在未主動偵錯時清除所有條件。

步驟 4.如果您假設在步驟3中未將所測試的mac地址列為條件，請收集特定mac地址的always-on通知級別跟蹤。

在 CLI 上：

# show logging profile wireless filter { mac | ip } { <aaaa.bbbb.cccc> | <a.b.c.d> } to-file always-on-<FILENAME.txt> 

您可顯示作業階段中的內容，或可將檔案複製到外部 TFTP 伺服器。

在 CLI 上：

# more bootflash:always-on-<FILENAME.txt>
or
# copy bootflash:always-on-<FILENAME.txt> tftp://a.b.c.d/path/always-on-<FILENAME.txt> 

條件式偵錯和無線電主動追蹤 

如果永遠線上(always-on)跟蹤未為您提供足夠的資訊來確定所調查問題的觸發因素，則可以啟用條件調試並捕獲無線活動(RA)跟蹤，該跟蹤可以為與指定條件（本例中為客戶端mac地址）互動的所有進程提供調試級別跟蹤。要啟用條件調試，請完成以下步驟。

步驟 5.確保未啟用調試條件。

在 CLI 上：

# clear platform condition all

步驟 6.為要監控的無線客戶端mac地址啟用調試條件。

此命令開始監控提供的mac地址達30分鐘（1800秒）。您可選擇將此時間增加至 2085978494 秒。

在 CLI 上：

# debug wireless mac <aaaa.bbbb.cccc> {monitor-time <seconds>}

  

附註：若要同時監控多個用戶端，請針對每個 MAC 位址執行 debug wireless mac <aaaa.bbbb.cccc> 指令。

注意:您看不到終端會話上客戶端活動的輸出，因為所有內容都在內部緩衝，供以後檢視。

  

步驟 7.重現您要監控的問題或行為。

步驟 8.如果在預設或配置的監控器時間開啟之前重現問題，則停止調試。

在 CLI 上：

# no debug wireless mac <aaaa.bbbb.cccc>

當監控時間結束或偵錯無線停止後，9800 WLC 會產生本機檔案，名稱如下：

ra_trace_MAC_aaaabbbbcccc_HHMMSS.XXX_timezone_DayWeek_Month_Day_year.log

步驟 9. 收集 MAC 位址活動的檔案。    您可將 ra_trace.log 複製到外部伺服器，或將輸出內容直接顯示於螢幕上。

檢查 RA 追蹤檔案的名稱

在 CLI 上：

# dir bootflash: | inc ra_trace

將檔案複製到外部伺服器：

在 CLI 上：

# copy bootflash:ra_trace_MAC_aaaabbbbcccc_HHMMSS.XXX_timezone_DayWeek_Month_Day_year.log tftp://a.b.c.d/ra-FILENAME.txt

 顯示內容：

在 CLI 上：

# more bootflash:ra_trace_MAC_aaaabbbbcccc_HHMMSS.XXX_timezone_DayWeek_Month_Day_year.log

步驟 10.如果根本原因仍不明顯，請收集內部日誌，這些日誌是調試級別日誌的更詳細檢視。您無需再次調試客戶端，因為您詳細檢視了已收集並內部儲存的調試日誌。

在 CLI 上：

# show logging profile wireless internal filter { mac | ip } { <aaaa.bbbb.cccc> | <a.b.c.d> } to-file ra-internal-<FILENAME>.txt

注意：此命令輸出返回所有進程的所有日誌記錄級別的跟蹤，而且非常大。請聯絡 Cisco TAC 協助剖析此類追蹤。

您可將 ra-internal-FILENAME.txt 複製到外部伺服器，或將輸出內容直接顯示於螢幕上。

將檔案複製到外部伺服器：

在 CLI 上：

# copy bootflash:ra-internal-<FILENAME>.txt tftp://a.b.c.d/ra-internal-<FILENAME>.txt

顯示內容：

在 CLI 上：

# more bootflash:ra-internal-<FILENAME>.txt

 步驟 11.移除偵錯條件。

在 CLI 上：

# clear platform condition all

注意：請確保在故障排除會話後始終刪除調試條件。