المحتويات

المقدمة

المتطلبات الأساسية

المتطلبات

المكونات المستخدمة

معلومات أساسية

تدفق حركة المرور

الرسم التخطيطي للشبكة

تكوين وحدة التحكم اللاسلكية Catalyst 9800

C9800 - تكوين معلمات AAA ل dot1x

C9800 - تكوين ملف تعريف WLAN 'Corp'

C9800 - تكوين ملف تعريف السياسة

C9800 - تكوين علامة النهج

C9800 - ملف تعريف ربط AP

C9800 - ملف تعريف مرن

C9800 - علامة الموقع

C9800 - علامة التردد اللاسلكي

C9800 - تعيين علامات لنقطة الوصول

تكوين CPPm ل Aruba

التكوين الأولي لخادم Aruba ClearPass Policy Manager

تطبيق التراخيص

إضافة وحدة التحكم اللاسلكية C9800 كجهاز شبكة

تكوين CPPm لاستخدام Windows AD كمصدر مصادقة

تكوين خدمة مصادقة CPPm Dot1X

التحقق من الصحة

استكشاف الأخطاء وإصلاحها

معلومات ذات صلة

المقدمة

يصف هذا المستند تكامل وحدة التحكم اللاسلكية Catalyst 9800 مع برنامج Aruba ClearPass Policy Manager (CPPm) و Microsoft Active Directory (AD) لتقديم مصادقة dot1x للعملاء اللاسلكي في نشر FlexConnect.

المتطلبات الأساسية

المتطلبات

cisco يوصي أن يتلقى أنت معرفة من هذا موضوع وأن هم يتلقى يكون شكلت وتحقق:

- وحدة التحكم اللاسلكية Catalyst 9800

- خادم Aruba ClearPass (يتطلب ترخيص النظام الأساسي وترخيص الوصول والترخيص المدمج)

- نظام التشغيل Windows AD

- جهة منح الشهادة الاختيارية (CA)

- خادم DHCP التشغيلي

- خادم DNS التشغيلي (مطلوب للتحقق من صحة CRL للشهادة)

- ESXi

- تتم مزامنة جميع المكونات ذات الصلة إلى بروتوكول وقت الشبكة (NTP) ويتم التحقق منها للحصول على الوقت الصحيح (مطلوب للتحقق من صحة الشهادة)

- معرفة المواضيع:

- نشر C9800 وطراز تكوين جديد

- عملية FlexConnect على C9800

- مصادقة dot1x

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات المكونات المادية والبرامج التالية:

- C9800-L-C Cisco IOS-XE 17.3.3

- C9130AX، 4800 APs

- حزمة تصحيح Aruba ClearPass، 6-8-0-109592 و 6.8-3

- خادم MS Windows

- خدمة Active Directory (تم تكوين GP من أجل إصدار الشهادات المؤتمتة المستندة إلى الأجهزة إلى نقاط النهاية المدارة)

- خادم DHCP مع الخيار 43 والخيار 60

- خادم DNS

- خادم NTP لإجراء مزامنة زمنية لجميع المكونات

- سي أي

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك قيد التشغيل، فتأكد من فهمك للتأثير المحتمل لأي أمر.

معلومات أساسية

تدفق حركة المرور

في عملية نشر نموذجية للمؤسسات مع مكاتب فرعية متعددة، يتم إعداد كل مكتب فرعي لتوفير إمكانية الوصول عبر الإنترنت إلى الموظفين في الشركات. في مثال التكوين هذا، يستخدم PEAP لتوفير وصول dot1x إلى مستخدمي الشركة عبر مثيل ClearPass الذي يتم نشره في مركز البيانات المركزي (DC). يتم إستخدام شهادات الجهاز مع التحقق من بيانات اعتماد الموظف مقابل خادم Microsoft AD.

الرسم التخطيطي للشبكة

تكوين وحدة التحكم اللاسلكية Catalyst 9800

في مثال التكوين هذا، يتم الاستفادة من نموذج التكوين الجديد في C9800 لإنشاء ملفات التعريف والعلامات اللازمة لتوفير وصول الشركة dot1x إلى فروع المؤسسة. يتم تلخيص التكوين الناتج في المخطط.

C9800 - تكوين معلمات AAA ل dot1x

الخطوة 1. إضافة خادم Aruba ClearPass Policy Manager 'Corp' إلى تكوين 9800 WLC. انتقل إلى التكوين > التأمين > AAA > الخوادم/المجموعات > RADIUS > الخوادم. انقر فوق +إضافة وأدخل معلومات خادم RADIUS. انقر على زر تطبيق على الجهاز كما هو موضح في هذه الصورة.

الخطوة 2. تحديد مجموعة خوادم AAA للمستخدمين المؤسسيين. انتقل إلى التكوين > التأمين > AAA > الخوادم/المجموعات > RADIUS > المجموعات وانقر فوق +إضافة، أدخل اسم مجموعة خوادم RADIUS وحدد معلومات خادم RADIUS. انقر على زر تطبيق على الجهاز كما هو موضح في هذه الصورة.

الخطوة 3. قم بتحديد قائمة طرق المصادقة dot1x للمستخدمين المؤسسيين. انتقل إلى التكوين > الأمان > AAA > قائمة طرق AAA > المصادقة وانقر فوق +إضافة. حدد نوع dot1x من القائمة المنسدلة. انقر على زر تطبيق على الجهاز كما هو موضح في هذه الصورة.

C9800 - تكوين ملف تعريف WLAN 'Corp'

الخطوة 1. انتقل إلى التكوين > علامات وتوصيفات > لاسلكي وانقر +إضافة. أدخل اسم ملف تعريف و SSID 'Corp' ومعرف WLAN غير مستخدم بالفعل.

الخطوة 2. انتقل إلى علامة التبويب الأمان وعلامة التبويب الفرعية الطبقة 2. لا حاجة لتغيير أي من المعلمات الافتراضية لمثال التكوين هذا.

الخطوة 3. انتقل إلى علامة التبويب الفرعية AAA وحدد قائمة طرق المصادقة التي تم تكوينها مسبقا. انقر على زر تطبيق على الجهاز كما هو موضح في هذه الصورة.

C9800 - تكوين ملف تعريف السياسة

الخطوة 1. انتقل إلى التكوين > علامات وملفات التعريف > السياسة وانقر +إضافة وأدخل اسم وصف لتوصيف السياسة. قم بتمكين النهج، وتعطيل التحويل المركزي و DHCP والاقتران، حيث يتم تحويل حركة مرور المستخدم الشركة محليا في نقطة الوصول كما هو موضح في الصورة.

الخطوة 2. انتقل إلى علامة التبويب سياسات الوصول وأدخل معرف شبكة VLAN يدويا ليتم إستخدامه في الفرع لحركة مرور المستخدم الخاصة بالمؤسسة. لا يلزم تكوين شبكة VLAN هذه على C9800 نفسه. يجب تكوينها في ملف تعريف Flex، كما هو مفصل أكثر. لا تحدد اسم شبكة VLAN من القائمة المنسدلة (راجع معرف تصحيح الأخطاء من Cisco CSCvn48234 لمزيد من المعلومات). انقر على زر تطبيق على الجهاز كما هو موضح في هذه الصورة.

C9800 - تكوين علامة النهج

بمجرد إنشاء ملف تعريف WLAN (WP_CORP) وملف تعريف النهج (PP_CORP)، يجب إنشاء علامة نهج بدورها لربط ملفات تعريف السياسة و WLAN هذه معا. يتم تطبيق علامة النهج هذه على نقاط الوصول. قم بتعيين علامة النهج هذه لنقاط الوصول لتشغيل تكوين هذه النقاط لتمكين SSIDs المحددة عليها.

الخطوة 1. انتقل إلى التكوين > علامات تمييز وملفات تعريف > علامات تمييز، حدد علامة التبويب نهج وانقر فوق +إضافة. أدخل اسم علامة النهج والوصف. انقر فوق +إضافة ضمن خرائط نهج WLAN. حدد ملف تعريف WLAN وملف تعريف النهج الذي تم إنشاؤه مسبقا، ثم انقر فوق زر علامة الاختيار كما هو موضح في هذه الصورة.

الخطوة 2. تحقق من زر تطبيق على الجهاز وانقر عليه كما هو موضح في هذه الصورة.

C9800 - ملف تعريف ربط AP

يلزم تكوين توصيفات ربط نقطة الوصول وتوصيفات Flex وتخصيصها لنقاط الوصول ذات علامات الموقع. يجب إستخدام علامة موقع مختلفة لكل فرع لدعم الانتقال السريع 802.11r (FT) داخل أحد الفروع، مع الحد من توزيع PMK العميل بين نقاط الوصول الخاصة بهذا الفرع فقط. من المهم عدم إعادة إستخدام نفس علامة الموقع عبر فروع متعددة. تكوين ملف تعريف ربط نقطة الوصول. يمكنك إستخدام ملف تعريف انضمام نقطة وصول واحد إذا كانت كل الفروع متشابهة أو إنشاء ملفات تعريف متعددة إذا كان يجب أن تكون بعض المعلمات التي تم تكوينها مختلفة.

الخطوة 1. انتقل إلى التكوين > علامات وملفات التعريف > ربط AP وانقر +إضافة. أدخل اسم ملف تعريف ربط نقطة الوصول والوصف. انقر على زر تطبيق على الجهاز كما هو موضح في هذه الصورة.

C9800 - ملف تعريف مرن

الآن قم بتكوين ملف تعريف Flex. ومرة أخرى، يمكنك إستخدام توصيف واحد لكل الفروع إذا كانت متماثلة ولها نفس تخطيط VLAN/SSID. أو يمكنك إنشاء توصيفات متعددة إذا كانت بعض المعلمات التي تم تكوينها مثل تعيينات VLAN مختلفة.

الخطوة 1. انتقل إلى التكوين > علامات تمييز وملفات تعريف > Flex وانقر +Add. أدخل اسم ووصف ملف تعريف Flex.

الخطوة 2. انتقل إلى علامة تبويب شبكة VLAN وانقر +إضافة. دخلت ال VLAN إسم ومعرف من VLAN محلي في الفرع أي ال ap ينبغي استعملت أن يحول محليا المستعمل حركة مرور. انقر فوق الزر حفظ كما هو موضح في هذه الصورة.

الخطوة 3. تحقق من زر تطبيق على الجهاز وانقر عليه كما هو موضح في هذه الصورة.

C9800 - علامة الموقع

تستخدم علامات الموقع لتعيين توصيفات الوصل وتوصيفات Flex لنقاط الوصول. كما ذكر سابقا، يجب إستخدام علامة موقع مختلفة لكل فرع لدعم الانتقال السريع 802.11r (FT) داخل أحد الفروع، مع الحد من توزيع PMK العميل بين نقاط الوصول الخاصة بهذا الفرع فقط. من المهم عدم إعادة إستخدام نفس علامة الموقع عبر فروع متعددة.

الخطوة 1. انتقل إلى التكوين > علامات تمييز وملفات تعريف > علامات تمييز، وحدد علامة تبويب الموقع وانقر فوق +إضافة. أدخل اسم ووصف لعلامة الموقع، وحدد ملف تعريف ربط نقطة الوصول الذي تم إنشاؤه، وقم بإلغاء تحديد مربع تمكين الموقع المحلي، وأخيرا حدد ملف تعريف Flex الذي تم إنشاؤه مسبقا. قم بإلغاء تحديد المربع تمكين الموقع المحلي لتغيير نقطة الوصول من الوضع المحلي إلى FlexConnect. أخيرا، انقر فوق زر تطبيق على الجهاز كما هو موضح في هذه الصورة.

C9800 - علامة التردد اللاسلكي

الخطوة 1. انتقل إلى التكوين > علامات تمييز وملفات تعريف > علامات تمييز، وحدد علامة تبويب التردد اللاسلكي وانقر +إضافة. أدخل اسما ووصفا لعلامة التردد اللاسلكي.حدد توصيفات التردد اللاسلكي المعرفة بواسطة النظام من القائمة المنسدلة. انقر على زر تطبيق على الجهاز كما هو موضح في هذه الصورة.

C9800 - تعيين علامات لنقطة الوصول

الآن بعد أن تم إنشاء علامات التمييز التي تتضمن السياسات المختلفة والملفات المطلوبة لتكوين نقاط الوصول، يجب علينا تعيينها لنقاط الوصول. يوضح هذا القسم كيفية تنفيذ علامة ثابتة يتم تعيينها لنقطة وصول يدويا، استنادا إلى عنوان MAC الخاص بها على شبكة الإيثرنت. بالنسبة لبيئات إنتاج المنتج، يوصى باستخدام سير عمل PNP لنقطة الوصول من مركز DNA ل Cisco، أو إستخدام طريقة تحميل CSV المجمعة الثابتة المتوفرة في 9800.

الخطوة 1. انتقل إلى تكوين > علامات تمييز وتوصيفات > علامات تمييز، وحدد علامة التبويب AP، ثم علامة التبويب ثابتة. انقر +إضافة وأدخل عنوان AP MAC، وحدد علامة السياسة، علامة الموقع، وعلامة RF المحددة مسبقا. انقر على زر تطبيق على الجهاز كما هو موضح في هذه الصورة.

تكوين CPPm ل Aruba

التكوين الأولي لخادم Aruba ClearPass Policy Manager

يتم نشر Aruba ClearPass عبر قالب OVF على خادم ESXi مع هذه الموارد:

- وحدتا معالجة مركزية (CPU) افتراضية محجوزتان

- ذاكرة وصول عشوائي (RAM) سعة 6 جيجابايت

- محرك أقراص سعة 80 جيجابايت (يجب إضافته يدويا بعد النشر الأولي للقرص الافتراضي قبل تشغيل الجهاز)

تطبيق التراخيص

تطبيق ترخيص النظام الأساسي عبر: الإدارة > مدير الخادم > الترخيص. إضافة حق الوصول وعلى اللوحة

إضافة وحدة التحكم اللاسلكية C9800 كجهاز شبكة

انتقل إلى التكوين > الشبكة > الأجهزة > الإضافة كما هو موضح في هذه الصورة.

تكوين CPPm لاستخدام Windows AD كمصدر مصادقة

انتقل إلى التكوين > المصادقة > المصادر > إضافة. حدد النوع: Active Directory من القائمة المنسدلة كما هو موضح في هذه الصورة.

تكوين CPPm خدمة مصادقة dot1x

الخطوة 1. إنشاء 'خدمة' تطابق سمات RADIUS المتعددة:

- RADIUS:IETF | الاسم: عنوان NAS-IP | يساوي | <عنوان IP.>

- RADIUS:IETF | الاسم: نوع الخدمة | يساوي | 1،2،8

الخطوة 2. بالنسبة للإنتاج، يوصى بالمطابقة على اسم SSID بدلا من "NAS-IP-Address"، لذلك يكفي شرط واحد في النشر متعدد عناصر WLC. RADIUS:Cisco:Cisco-AVPair | cisco-wlan-ssid | Dot1XSSID

التحقق من الصحة

لا يوجد حاليًا إجراء للتحقق من صحة هذا التكوين.

استكشاف الأخطاء وإصلاحها

لا تتوفر حاليًا معلومات محددة لاستكشاف الأخطاء وإصلاحها لهذا التكوين.

معلومات ذات صلة

- دليل أفضل ممارسات النشر ل Cisco 9800

- فهم نموذج تكوين وحدات التحكم اللاسلكية Catalyst 9800

- فهم FlexConnect على وحدة التحكم اللاسلكية Catalyst 9800

- الدعم التقني والمستندات - Cisco Systems