Lab2_無線MAB_802.1x_WebAuth配置指南

1、Lab2:無線 MAB 802.1X WebAuth 配置指南 一、目的1 二、實(shí)驗(yàn)環(huán)境1 實(shí)驗(yàn)2.1 :基于 MAB的無線終端設(shè)備認(rèn)證 3 實(shí)驗(yàn)2.2 :基于802.1X的無線終端設(shè)備認(rèn)證 7 實(shí)驗(yàn)2.3 :基于LWA 的無線 WebAuth 認(rèn)證11 實(shí)驗(yàn)2.4：基于 CWA 的無線 WebAuth 認(rèn)證16 目的 1 本實(shí)驗(yàn)介紹了如何通過思科ISE在無線網(wǎng)絡(luò)環(huán)境中，實(shí)現(xiàn)MAB、802.1x和 WebAuth 的配置步驟，包括： ? 無線網(wǎng)絡(luò)中的802.1x、MAB、WebAuth認(rèn)證的配置步驟 ? 通過VLAN或DACLM終端設(shè)備的網(wǎng)絡(luò)訪問控制 本實(shí)驗(yàn)包含了 8個Pod，以下的實(shí)驗(yàn)步驟是

2、以 Pod1為例，其他Pod需要根據(jù)Pod的編 號，使用相對應(yīng)的IP地址。 二、實(shí)驗(yàn)環(huán)境 以下是本次實(shí)驗(yàn)的網(wǎng)絡(luò)拓?fù)鋱D: ESXiS.Q 10,10.10. 10.8.10.0/24 Vtan20: 10.8.20.0/24 Vlan30： 10.8,3O.O/24 3750X交換機(jī)的設(shè)備連接說明: 設(shè)備 版本 IP地址 交換機(jī) 登陸帳號 3750交換機(jī) 12.2(58)SE2 Vla n100:10.10.10.0/24 端口 VMWare ESXi 5.0 Vla n200:192.168.0.0/24 10.10.10.60 Gi1/0/13 root/Cisco123 服務(wù)器 ISE虛擬

3、機(jī)） 1.1.1.268 10.10.10.7178 Gi1/0/13 GUI:admi n/default1A Win dows2008 服務(wù)器（虛擬 機(jī)） Win dows Server 2008R2 10.10.10.80 10.10.10.81 Gi1/0/13 CLI:admi n/default1A admi nistrator/default1A ASA5505 En terprise ASA 8.4(2) ASDM 10.10.10.85 Gi1/0/15 En able: cisco 3560交換機(jī) 6.4(5) IOS12.2(55) 192.168.0.1 Gi1/0/1

4、 admi n/cisco123 En able: cisco 說明：在 VMWare上安裝了 8套ISE虛擬機(jī)，每套ISE的IP地址分別為10.10.10.71到 10.10.10.78，分別對應(yīng) Pod1 到 Pod8。 ?3560交換機(jī) 設(shè)備 幾的設(shè)備連接說明（以 Pod1為例）： 版本IP地址 交換機(jī) 端口 登陸帳號 3560交換機(jī) 15.0(1)SE 10.1.10.1 admin/cisco123 匸j-j-l WLC2504 7.2.110.0 10.1.10.90 Fa0/1 Enable: cisco admi n/Cisco123 AP DHCP Fa0/2 cisco/C

5、isco Enable: cisco Window pcxp/7 管理 PCWin XP/7 DHCPFaU/3 DHCPGi0/1 說明：每個Pod的IP地址是獨(dú)立分配的，注意不要混用。 Windows Server 2008 基本配置(所有 Pod 共用一套 Windows 2008): 版本： Win dows Server 2008 En terprise R2 包含用戶 employee (密碼：Cisco123) manager (密碼:Cisco123) AD 域:：demo23.coh，包含了以下組和用戶: 組 ADEmployee ADMa nager a=r. 啟用DNS服

6、務(wù)器，添加如卜 a t =r., A記錄： A記錄 IP地址 ise-1- 1U.1U.1U./1 ise-210.10.10.72 3 ise-3 10.10.10.73 ise-4 10.10.10.74 ise-5 10.10.10.75 ise-6 10.10.10.76 ise-7 10.10.10.77 ise-8 10.10.10.78 mscep 10.10.10.80 win2008 10.10.10.80 employee 10.10.10.80 guest 10.10.10.81 asa 10.10.10.85 啟用NTP服務(wù) 啟用Web服務(wù)器 ISE基本配置: 配置 內(nèi)

7、容 版本 1.1.1.268 IP地址 10.10.10.71（用于 Pod1） 缺省網(wǎng)關(guān) 10.10.10.1 DNS服務(wù)器 10.10.10.80 NTP服務(wù)器 10.10.10.80 實(shí)驗(yàn)2.1 :基于MAB的無線終端設(shè)備認(rèn)證 ? 目的 了解無線 MAB和802.1X的認(rèn)證過程，以及在無線控制器WLC和ISE上如何配置基 于MAC地址跳過認(rèn)證，即 MAB （ MAC Authentication Bypass ）的認(rèn)證過程。 （1）了解 WLC上MAB和802.1X的配置和認(rèn)證過程 （2）通過配置MAB對不支持802.1X的設(shè)備進(jìn)行認(rèn)證和授權(quán) 在本實(shí)驗(yàn)中，使用了iPho ne做為終端設(shè)備

8、來進(jìn)行 MAB測試。 ? 配置步驟 1. 在ISE添加NAD設(shè)備 登錄到 ISE管理界面，進(jìn)入 Administration Network Resources Network Devices，點(diǎn) 擊Add，輸入以下信息，其它保持缺省值，將WLC2504加入到ISE上。完成配置后，點(diǎn) 擊 Submit: 屬性 值 Name Pod1 2504 IP Address 10.1.10.90 Authe nticati on Sett ings - cisco （與 WLC配置一致） RADIUS - Shared Secret 注意：10.1.10.90是Pod1的WLC2504的IP地址，其他

9、Pod應(yīng)使用相對應(yīng)的IP地址。 配置截圖如下： Network Devices Description j IP Addrwi： iQaaOJO1 etw vk Dewe w*空 Typ* il Dtv Typ皿 Set Td tfaut Sei Ta Debut 6 4utrihd!fiik.Abn Stitngb RADIUS Show EnRk AuthekXioft s*ttg$ protocol Shared Secret 2. 在WLC2504上配置RADIUS服務(wù)器 登陸到 WLC管理頁面，進(jìn)入 SECURITY RADIUS Authentication,點(diǎn)擊 New，輸入 I

10、SE的信息，IP地址為10.10.10.71 , Shared Secret為cisco，并點(diǎn)擊Apply （配置如下圖） RADIUS Aifthentkation Servers New Server Tndex (Pngriitv) Server IP AddrcM Scared Secret Foimat Shared Secret Cndhrm Shared Secrat Kr鼎Fp Pert Humber Server Stttu* Support for RFC J.57& Strvtr TirneO-ut PMeM UMr Mana 口 cErii: IPSec P EnaUt

11、 P EnHt tumble 進(jìn)入 SECURITYRADIUS Accounting ,點(diǎn)擊 New，輸入 ISE 的信息，IP 地址為 10.10.10.71， Shared Secret 為 cisco，并點(diǎn)擊 Apply (配置如下圖)： K3 |10,10,10,71 *5Cir 21 F*r I Enabled 二 R Mcondls 備 Eriablt Enable Layer 2 Security - | None RADIU S Accounting Servers New Server Indew （Priority） Server IP Address Shird S*c

12、rt Fonmt Shared Seeret Confirm Shared Secret Port Number Server Status Server Timieout Network User IPSec 3. 在 WLC2504上配置 MAB認(rèn)證 登陸到 WLC 管理界面，進(jìn)入 WLANs Edit WLAN-PodT,再進(jìn)入 Security Layer 2, 在Layer 2 Security下拉框中選擇 None,并勾選MAC Filtering ,其他均不選，并點(diǎn)擊 Apply （配置如下圖）： WLANs Edit WLAN-Podl* General Security Qo

13、S Advanced Layer 2 Layer 3 AAA Servers MAC Filtering-蔭 Fast Transition Fdt Tra AAA Servers，在 Server1 對應(yīng)的 Authentication Server 和 Accounting Server，分別選擇 IP:10.10.10.71,Port:1812 和 IP:10.10.10.71,Port:1813 （配置如下圖） WLANs Edit WLAN-PodV General Security QoS Advanceci Layer 2 Lavi- 3 AAA Servers Select AAA efvers below to wen*ide use af default server* on thi WLAN Radius Servers Radius Server Overwrite mterfftc 廠 Ena