為9800 WLC上的GUI &； CLI Auth配置RADIUS &； TACACS+

WLC-9800(config)#ip http authentication aaa login-authentication tacacs-authe-method 
WLC-9800(config)#ip http authentication aaa exec-authorization tacacs-autho-method  

對於Telnet/SSH身份驗證：

WLC-9800(config)#line vty 0 15
WLC-9800(config-line)#login authentication tacacs-authe-method  
WLC-9800(config-line)#authorization exec tacacs-autho-method 

請注意，當對HTTP配置執行更改時，最好重新啟動HTTP和HTTPS服務。這可以透過這些命令來實現。

WLC-9800(config)#no ip http server
WLC-9800(config)#no ip http secure-server
WLC-9800(config)#ip http server
WLC-9800(config)#ip http secure-server

TACACS+ ISE配置

步驟 1.將WLC配置為TACACS+的網路裝置。

在 GUI 上：

要將上一部分中使用的WLC宣告為ISE中RADIUS的網路裝置，請導航到Administration > Network Resources > Network Devices並打開「網路裝置」頁籤，如此圖中所示。

在本示例中，已為RADIUS身份驗證增加了WLC(請參閱配置RADIUS ISE部分的步驟1。)因此，只需修改其配置即可配置TACACS身份驗證，只需在網路裝置清單中選擇WLC並按一下Edit按鈕即可。這將打開網路裝置配置表，如下圖所示。

打開新窗口後，向下滾動到「TACACS Authentication Settings」部分，啟用這些設定，並增加在Configure TACACS+ WLC部分的步驟1中輸入的共用金鑰。

步驟 2.啟用節點的裝置管理功能。

注意：要將ISE用作TACACS+伺服器，您必須擁有裝置管理許可證軟體套件和基礎許可證或移動許可證。

在 GUI 上：

安裝裝置管理許可證後，必須啟用節點的裝置管理功能，才能將ISE用作TACACS+伺服器。為此，請編輯所用ISE部署節點的配置(可以在Administrator > Deployment下找到)，然後按一下其名稱或藉助Edit按鈕執行此操作。

打開節點配置窗口後，請選中Policy Service部分下的Enable Device Admin Service選項，如下圖所示。

步驟 3.建立TACACS設定檔，以傳回許可權。

在 GUI 上：

要具有管理員訪問許可權，adminuser需要具有15級的特權，它允許訪問exec提示符shell。另一方面，helpdeskuser不需要exec提示外殼訪問，因此可以為它分配低於15的特權級別。為了將適當的許可權級別分配給使用者，可以使用授權配置檔案。這些可以從ISE GUI頁面Work Centers > Device Administration > Policy Elements的Results > TACACS Profiles頁籤下配置，如下圖所示。

要配置新的TACACS配置檔案，請使用Add按鈕，打開與圖中所示類似的新配置檔案配置表。此表單在配置分配給adminuser(即，具有shell許可權級別15)的配置檔案時，必須特別像這樣。

對輪廓重複操作helpdesk。對於最後一個，Default Privilege和Maximum Privilege均設定為1。


步驟 4.在ISE上建立使用者組。

這與本文檔配置RADIUS ISE部分的步驟3中的說明相同。

步驟 5.在ISE上建立使用者。

這與本文檔配置RADIUS ISE部分的步驟4中的說明相同。

步驟 6.建立裝置管理策略集。

在 GUI 上：

對於RADIUS訪問，使用者建立後，仍需要在ISE上定義其身份驗證和授權策略以授予其正確的訪問許可權。TACACS身份驗證為此，使用裝置管理策略集，可從Work Centers > Device Administration > Device Admin Policy Sets GUI Page進行配置，如下所示。

若要建立裝置管理原則集，請使用上一個影像中以紅色框住的「新增」按鈕，這樣會將專案新增至原則集清單。為新建立的組提供一個名稱、必須應用該組的條件以及允許的協定/伺服器序列(此處，Default Device Admin為足夠)。使用Save按鈕完成增加策略集，並使用其右邊的箭頭來訪問其配置頁（如圖中所示）。

此示例中的特定策略集「WLC TACACS Authentication」過濾IP地址等於示例C9800 WLC IP地址的請求。

作為身份驗證策略，預設規則已保留，因為它滿足使用需要。已設定兩個授權規則：

• 當使用者屬於定義的群組admin-group時，會觸發第一個動作。它允許所有命令(透過預設Permit_all規則)並分配許可權15(透過定義的IOS_Admin TACACS配置檔案)。
• 當使用者屬於定義的組helpdesk-group時，將觸發第二個。 它允許所有命令(透過預設Permit_all 規則)並分配許可權1(透過定義的IOS_HelpdeskTACACS配置檔案)。

完成此步驟後，為adminuser和helpdesk使用者配置的憑據可用於透過GUI或Telnet/SSH在WLC中執行身份驗證。

疑難排解

如果您的RADIUS伺服器預期會傳送服務型別RADIUS屬性，您可以新增WLC：

radius-server attribute 6 on-for-login-auth

透過WLC CLI排除WLC GUI或CLI RADIUS/TACACS+訪問故障

要排除TACACS+對WLC GUI或CLI的訪問故障，請發出debug tacacs命令以及terminal monitor one，並在嘗試登入時檢視即時輸出。

例如，成功登入後註銷adminuser使用者，即可生成以下輸出。



WLC-9800#terminal monitor
WLC-9800#debug tacacs
TACACS access control debugging is on
WLC-9800#
Dec 8 11:38:34.684: TPLUS: Queuing AAA Authentication request 15465 for processing
Dec 8 11:38:34.684: TPLUS(00003C69) login timer started 1020 sec timeout Dec 8 11:38:34.684: TPLUS: processing authentication start request id 15465 Dec 8 11:38:34.685: TPLUS: Authentication start packet created for 15465(adminuser) Dec 8 11:38:34.685: TPLUS: Using server 10.48.39.134 Dec 8 11:38:34.685: TPLUS(00003C69)/0/NB_WAIT/7FD29013CA68: Started 5 sec timeout Dec 8 11:38:34.687: TPLUS(00003C69)/0/NB_WAIT: socket event 2 Dec 8 11:38:34.688: TPLUS(00003C69)/0/NB_WAIT: wrote entire 45 bytes request Dec 8 11:38:34.688: TPLUS(00003C69)/0/READ: socket event 1 Dec 8 11:38:34.688: TPLUS(00003C69)/0/READ: Would block while reading Dec 8 11:38:34.701: TPLUS(00003C69)/0/READ: socket event 1 Dec 8 11:38:34.701: TPLUS(00003C69)/0/READ: read entire 12 header bytes (expect 15 bytes data) Dec 8 11:38:34.701: TPLUS(00003C69)/0/READ: socket event 1 Dec 8 11:38:34.701: TPLUS(00003C69)/0/READ: read entire 27 bytes response Dec 8 11:38:34.701: TPLUS(00003C69)/0/7FD29013CA68: Processing the reply packet Dec 8 11:38:34.701: TPLUS: Received authen response status GET_PASSWORD (8) Dec 8 11:38:38.156: TPLUS: Queuing AAA Authentication request 15465 for processing Dec 8 11:38:38.156: TPLUS(00003C69) login timer started 1020 sec timeout Dec 8 11:38:38.156: TPLUS: processing authentication continue request id 15465 Dec 8 11:38:38.156: TPLUS: Authentication continue packet generated for 15465 Dec 8 11:38:38.156: TPLUS(00003C69)/0/WRITE/7FD3796079D8: Started 5 sec timeout Dec 8 11:38:38.156: TPLUS(00003C69)/0/WRITE: wrote entire 29 bytes request Dec 8 11:38:38.183: TPLUS(00003C69)/0/READ: socket event 1 Dec 8 11:38:38.183: TPLUS(00003C69)/0/READ: read entire 12 header bytes (expect 6 bytes data) Dec 8 11:38:38.183: TPLUS(00003C69)/0/READ: socket event 1 Dec 8 11:38:38.183: TPLUS(00003C69)/0/READ: read entire 18 bytes response Dec 8 11:38:38.183: TPLUS(00003C69)/0/7FD3796079D8: Processing the reply packet Dec 8 11:38:38.183: TPLUS: Received authen response status PASS (2) Dec 8 11:38:38.184: %SEC_LOGIN-5-LOGIN_SUCCESS: Login Success [user: adminuser] [Source: 10.61.80.151] [localport: 22] at 12:38:38 CET Thu Dec 8 2022 Dec 8 11:38:38.259: TPLUS: Queuing AAA Authorization request 15465 for processing Dec 8 11:38:38.260: TPLUS(00003C69) login timer started 1020 sec timeout Dec 8 11:38:38.260: TPLUS: processing authorization request id 15465 Dec 8 11:38:38.260: TPLUS: Protocol set to None .....Skipping Dec 8 11:38:38.260: TPLUS: Sending AV service=shell Dec 8 11:38:38.260: TPLUS: Sending AV cmd* Dec 8 11:38:38.260: TPLUS: Authorization request created for 15465(adminuser) Dec 8 11:38:38.260: TPLUS: using previously set server 10.48.39.134 from group TACACS-Group Dec 8 11:38:38.260: TPLUS(00003C69)/0/NB_WAIT/7FD3796079D8: Started 5 sec timeout Dec 8 11:38:38.260: TPLUS(00003C69)/0/NB_WAIT: socket event 2 Dec 8 11:38:38.260: TPLUS(00003C69)/0/NB_WAIT: wrote entire 64 bytes request Dec 8 11:38:38.260: TPLUS(00003C69)/0/READ: socket event 1 Dec 8 11:38:38.260: TPLUS(00003C69)/0/READ: Would block while reading Dec 8 11:38:38.285: TPLUS(00003C69)/0/READ: socket event 1 Dec 8 11:38:38.285: TPLUS(00003C69)/0/READ: read entire 12 header bytes (expect 18 bytes data) Dec 8 11:38:38.285: TPLUS(00003C69)/0/READ: socket event 1 Dec 8 11:38:38.285: TPLUS(00003C69)/0/READ: read entire 30 bytes response Dec 8 11:38:38.285: TPLUS(00003C69)/0/7FD3796079D8: Processing the reply packet Dec 8 11:38:38.285: TPLUS: Processed AV priv-lvl=15 Dec 8 11:38:38.285: TPLUS: received authorization response for 15465: PASS Dec 8 11:38:44.225: %SYS-6-LOGOUT: User adminuser has exited tty session 7(10.61.80.151) Dec 8 11:38:44.225:Socket I/O cleanup message sent to TACACS TPLUS Proc:SOCKET IO CLEANUP EVENT Dec 8 11:38:44.226: %HA_EM-6-LOG: catchall: logout  Dec 8 11:39:18.689: %SYS-6-LOGOUT: User admin has exited tty session 5(10.61.80.151) Dec 8 11:39:18.690:Socket I/O cleanup message sent to TACACS TPLUS Proc:SOCKET IO CLEANUP EVENT


從這些記錄中可以看到，TACACS+伺服器傳回正確的許可權(即AV priv-lvl=15)。

執行RADIUS驗證時，會顯示類似的偵錯輸出，其中涉及RADIUS流量。

而命令debug aaa authentication和debug aaa authorization會顯示WLC在使用者嘗試登入時選擇的方法清單。

透過ISE GUI排除WLC GUI或CLI TACACS+訪問故障

在第Operations > TACACS > Live Logs頁中，可以檢視過去24小時內透過TACACS+進行的每個使用者身份驗證。要展開TACACS+授權或身份驗證的詳細資訊，請使用與此事件相關的「詳細資訊」按鈕。

展開時，helpdeskuser的身份驗證成功嘗試如下所示：

從這裡可以看出，使用者helpdeskuser已經在驗證原則WLC TACACS Authentication > Default的幫助下成功地透過驗證到網路裝置WLC-9800。此外，授權配置檔案IOS Helpdesk已分配給此使用者，並授予許可權級別1。