Inhalt

Einführung

Voraussetzungen

Anforderungen

Verwendete Komponenten

Netzwerkdiagramm

Konventionen

Konfigurieren der RADIUS-Authentifizierung mithilfe der Cache-Engine-Prozedur

Überprüfen

Fehlerbehebung

Befehle zur Fehlerbehebung

Zugehörige Informationen

Einführung

Dieses Dokument enthält Anweisungen zur Konfiguration der RADIUS-Authentifizierung über die Cache Engine zum Cisco Secure Access Control Server (ACS) für Microsoft Windows NT. Sie sollten Web Cache Communication Protocol Version 2 (WCCPv2) ausführen, um dieses Verfahren korrekt zu befolgen. Weitere Informationen zur WCCP-Version 2 finden Sie unter Konfigurieren des Web Cache Communication Protocol Version 2 auf einer Cisco Cache Engine und einem Router.

Voraussetzungen

Anforderungen

Stellen Sie vor dem Versuch dieser Konfiguration sicher, dass Sie die folgenden Anforderungen erfüllen:

- Vertrautheit mit Cisco Secure ACS für Windows oder UNIX

- Kenntnis der WCCPv2-Konfiguration auf Router und Cache Engine.

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf den folgenden Software- und Hardwareversionen:

- Cisco Cache Engine 505 in einer Laborumgebung mit gelöschten Konfigurationen

- Cisco Router der Serie 2600

- Cisco Cache Engine Softwareversion 2.31

- Cisco IOS® Softwareversion 12.1(3)T 3

- Cisco Secure ACS für Microsoft Windows NT/2000-Server

Die Informationen in diesem Dokument wurden von den Geräten in einer bestimmten Laborumgebung erstellt. Alle in diesem Dokument verwendeten Geräte haben mit einer leeren (Standard-)Konfiguration begonnen. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die potenziellen Auswirkungen eines Befehls verstehen.

Netzwerkdiagramm

In diesem Dokument wird die folgende Netzwerkeinrichtung verwendet:

Konventionen

Weitere Informationen zu Dokumentkonventionen finden Sie in den Cisco Technical Tips Conventions.

Konfigurieren der RADIUS-Authentifizierung mithilfe der Cache-Engine-Prozedur

Führen Sie die folgenden Schritte aus, um die Cache-Engine für die RADIUS-Authentifizierung zu konfigurieren:

1. Konfigurieren Sie die Cache Engine als Netzwerkzugriffsserver (NAS) in Cisco Secure ACS für Windows NT.

2. Konfigurieren Sie die Benutzerinformationen in Cisco Secure ACS für Windows NT.

3. Konfigurieren Sie die Cache Engine für RADIUS, und geben Sie den Host und die Schlüsselinformationen an.

radius-server host 172.18.124.106

radius-server key cisco123

4. Konfigurieren Sie den Router für WCCP.

Die Befehlszeilen für die Cache-Engine sollten ähnlich wie folgt aussehen:

cepro#configure terminal

!--- Enter configuration commands, one per line. !--- End with CNTL/Z.

cepro(config)#radius-server host 172.18.124.106

cepro(config)#radius-server key cisco123

cepro#

Dies ist die Cache Engine/NAS-Konfiguration auf Cisco Secure ACS für Windows NT:

Dies ist die Seite "User Setup" (Benutzereinrichtung) auf Cisco Secure ACS für Windows NT:

Überprüfen

Dieser Abschnitt enthält Informationen, mit denen Sie überprüfen können, ob Ihre Konfiguration ordnungsgemäß funktioniert.

Bestimmte show-Befehle werden vom Output Interpreter Tool unterstützt (nur registrierte Kunden), mit dem Sie eine Analyse der show-Befehlsausgabe anzeigen können.

Cache-Engine-Befehle:

- show version: Zeigt die Softwareversion an, die auf der Cache Engine ausgeführt wird.

- show hardware: Zeigt sowohl die Softwareversion als auch den Hardwaretyp auf der Cache Engine an.

- show running-config: Zeigt die aktuelle Konfiguration auf der Cache-Engine an.

- show stat http Usage (Statistikhttp-Nutzung anzeigen): Zeigt Nutzungsstatistiken an.

- show radius stat [alle | Primär | Sekundär ]: Zeigt Authentifizierungsstatistiken für die primären und sekundären RADIUS-Server an.

Dies ist die Beispielbefehlsausgabe des Befehls show version:

cepro#show version

Cisco Cache Engine

Copyright (c) 1986-2001 by Cisco Systems, Inc.

Software Release: CE ver 2.31 (Build: FCS  02/16/01)

Compiled: 11:20:14 Feb 22 2001 by bbalagot

Image text-base 0x108000, data_base 0x437534

System restarted by Reload

The system has been up for 3 hours, 52 minutes, 33 seconds.

System booted from "flash"

Dies ist die Beispielbefehlsausgabe des Befehls show hardware:

cepro#show hardware

Cisco Cache Engine

Copyright (c) 1986-2001 by Cisco Systems, Inc.

Software Release: CE ver 2.31 (Build: FCS  02/16/01)

Compiled: 11:20:14 Feb 22 2001 by bbalagot

Image text-base 0x108000, data_base 0x437534

System restarted by Reload

The system has been up for 3 hours, 52 minutes, 54 seconds.

System booted from "flash"

Cisco Cache Engine CE505 with CPU AMD-K6 (model 8) (rev. 12) AuthenticAMD

2 Ethernet/IEEE 802.3 interfaces

1 Console interface.

134213632 bytes of Physical Memory

131072 bytes of ROM memory.

8388608 bytes of flash memory.

List of disk drives:

/c0t0d0  (scsi bus 0, unit 0, lun 0)

Dies ist die Beispielbefehlsausgabe des Befehls show running-config:

cepro#show running-config

Building configuration...

Current configuration:

!

!

logging recycle 64000

logging trap information

!

user add admin uid 0  password 1 "eeSdy9dcy"  capability admin-access

!

!

!

hostname cepro

!

interface ethernet 0

ip address 10.27.2.2 255.255.255.0

ip broadcast-address 10.27.2.255

exit

!

!

interface ethernet 1

exit

!

ip default-gateway 10.27.2.1

ip name-server 161.44.11.21

ip name-server 161.44.11.206

ip domain-name cisco.com

ip route 0.0.0.0 0.0.0.0 10.27.2.1

cron file /local/etc/crontab

!

bypass timer 1

!--- Specify the router list for use with WCCPv2.

wccp router-list 1 10.27.2.1 172.18.124.211

!--- Instruct the router to run web cache service with WCCPv2.

wccp web-cache router-list-num 1

!--- WCCPv2 enabled.

wccp version 2

!

!--- RADIUS Server host and port is defined.

radius-server host 172.18.124.106 auth-port 1645

radius-server host 172.18.124.103 auth-port 1645

!--- RADIUS key defined.

radius-server key ****

authentication login local enable

authentication configuration local enable

transaction-logs enable

rule no-cache url-regex .*cgi-bin.*

rule no-cache url-regex .*aw-cgi.*

!

!

end

cepro#

Router-Befehle:

- show running-config: Zeigt die aktuelle Konfiguration auf dem Router an.

- show ip wccp: Zeigt alle registrierten Services an.

- show ip wccp <service-id> detail: Zeigt die WCCP-Bucket-Distribution für jeden Cache im Cluster an. Beispielsweise zeigen Sie ip wccp web-cache detail.

Dies ist die Beispielbefehlsausgabe des Befehls show running-config:

33-ns-gateway#show running-config

Building configuration...

Current configuration:

!

version 12.1

service timestamps debug datetime msec

service timestamps log datetime msec

no service password-encryption

!

hostname 33-Ns-gateway

!

logging buffered 64000 debugging

enable secret 5 $1$IWJr$nI.NcIr/b9DN7jEQQC17R/

!

!

!

!

!

ip subnet-zero

!--- WCCP enabled.

ip wccp web-cache

ip cef

no ip domain-lookup

ip domain-name testdomain.com

ip name-server 161.44.11.21

ip name-server 161.44.11.206

!

!

!

!

interface Ethernet0/0

ip address 10.1.3.50 255.255.255.0

no ip route-cache cef

!

interface Ethernet1/0

description interface to the CE .5

bandwidth 100

ip address 10.27.2.1 255.255.255.0

full-duplex

!

interface Ethernet1/1

description inter to DMZ

ip address 172.18.124.211 255.255.255.0

!--- Configure the interface to enable the router !--- to verify that the appropriate !--- packets are redirected to the cache engine.

ip wccp web-cache redirect out

no ip route-cache cef

no ip route-cache

no ip mroute-cache

!

interface Ethernet1/2

description Preconfigured for recreates 10.27.3.0/24 net

ip address 10.27.3.1 255.255.255.0

no ip route-cache cef

!

interface Ethernet1/3

no ip address

shutdown

!

ip classless

ip route 0.0.0.0 0.0.0.0 172.18.124.1

no ip http server

!

!

line con 0

exec-timeout 0 0

transport input none

line aux 0

exec-timeout 0 0

line vty 0 4

exec-timeout 0 0

password ww

login

!

end

33-Ns-gateway#

Fehlerbehebung

Dieser Abschnitt enthält Informationen zur Fehlerbehebung in Ihrer Konfiguration.

Befehle zur Fehlerbehebung

Bestimmte show-Befehle werden vom Output Interpreter Tool unterstützt (nur registrierte Kunden), mit dem Sie eine Analyse der show-Befehlsausgabe anzeigen können.

Hinweis: Bevor Sie Debugbefehle ausgeben, lesen Sie Wichtige Informationen über Debug-Befehle.

Cache-Engine-Befehle:

- debug authentication all - Debuggt die Authentifizierung.

- debug radius all all (Debugradius all all) - Zeigt das Debuggen des RADIUS-Moduls für die Webschnittstelle an.

- var/log/translog/working.log: Überprüft, ob URLs zwischengespeichert werden und der Benutzer auf die Seiten zugreift. Alle anderen Arten von Nachrichten sollten zur Klärung an den technischen Support von Cisco verwiesen werden. Die häufigsten Fehlermeldungen in diesem Protokoll sind Authentifizierungsfehler aufgrund unbekannter Benutzer oder des falschen Serverschlüssels.

Dies ist die Beispielbefehlsausgabe aus dem Debugradius all und die Debug-Authentifizierung für alle Befehle:

RadiusCheck(): Begin

RadiusCheck(): Begin

RadiusCheck(): Begin

RadiusBuildRequest(): Begin

RadiusBuildRequest(): Begin

RadiusBuildRequest(): Begin

[82] User-Name = "chbanks"

[82] User-Name = "chbanks"

[82] User-Name = "chbanks"

[82] NAS-IP-Address = 10.27.2.2

[82] NAS-IP-Address = 10.27.2.2

[82] NAS-IP-Address = 10.27.2.2

[82] NAS-Port = 80

[82] NAS-Port = 80

[82] NAS-Port = 80

RadiusAuthenticate(): Begin

RadiusAuthenticate(): Begin

RadiusAuthenticate(): Begin

CfgGetRadiusInfo(): Begin

CfgGetRadiusInfo(): Begin

CfgGetRadiusInfo(): Begin

UpdatePassword(): Begin

UpdatePassword(): Begin

UpdatePassword(): Begin

[82] radsend: Request to 172.18.124.106 id=1, length=171

[82] radsend: Request to 172.18.124.106 id=1, length=171

[82] radsend: Request to 172.18.124.106 id=1, length=171

RadiusReplyValidate(): Begin

RadiusReplyValidate(): Begin

RadiusReplyValidate(): Begin

RadiusReplyValidate(): [82] Received 26 byte message back

RadiusReplyValidate(): [82] Received 26 byte message back

RadiusReplyValidate(): [82] Received 26 byte message back

RadiusReplyValidate(): Got a valid response from server 172.18.124.106.

RadiusReplyValidate(): Got a valid response from server 172.18.124.106.

RadiusReplyValidate(): Got a valid response from server 172.18.124.106.

DecodeReply(): Begin

DecodeReply(): Begin

DecodeReply(): Begin

DecodeReply: WEB_YES_BLOCKING default

DecodeReply: WEB_YES_BLOCKING default

DecodeReply: WEB_YES_BLOCKING default

RadiusCheck(): WEB_YES_BLOCKING

RadiusCheck(): WEB_YES_BLOCKING

RadiusCheck(): WEB_YES_BLOCKING

RemoteUserAdd(): Begin

RemoteUserAdd(): Begin

RemoteUserAdd(): Begin

RemoteUserAdd(): Updated remote user chbanks

RemoteUserAdd(): Updated remote user chbanks

RemoteUserAdd(): Updated remote user chbanks

RemoteUserAuthenticate(): Begin

RemoteUserAuthenticate(): Begin

RemoteUserAuthenticate(): Begin

CfgGetRadiusInfo(): Begin

CfgGetRadiusInfo(): Begin

CfgGetRadiusInfo(): Begin

CfgRadiusGetExcludeState(): Begin

CfgRadiusGetExcludeState(): Begin

CfgRadiusGetExcludeState(): Begin

CfgRadiusGetExcludeState(): flag  = 0

CfgRadiusGetExcludeState(): flag  = 0

CfgRadiusGetExcludeState(): flag  = 0

RemoteUserUpdate(): Begin

RemoteUserUpdate(): Begin

RemoteUserUpdate(): Begin

CfgRadiusGetMultipleUserPromptState(): Begin

CfgRadiusGetMultipleUserPromptState(): Begin

CfgRadiusGetMultipleUserPromptState(): Begin

CfgRadiusGetMultipleUserPromptState(): flag  = 1

CfgRadiusGetMultipleUserPromptState(): flag  = 1

CfgRadiusGetMultipleUserPromptState(): flag  = 1

CfgRadiusGetMultipleUserPromptTimeout(): Begin

CfgRadiusGetMultipleUserPromptTimeout(): Begin

CfgRadiusGetMultipleUserPromptTimeout(): Begin

CfgRadiusGetMultipleUserPromptTimeout(): lMultipleUserPromptTimeout = 25

CfgRadiusGetMultipleUserPromptTimeout(): lMultipleUserPromptTimeout = 25

CfgRadiusGetMultipleUserPromptTimeout(): lMultipleUserPromptTimeout = 25

fsgetUsrInfoforIpAddr_radius will be called

fsgetUsrInfoforIpAddr_radius will be called

fsgetUsrInfoforIpAddr_radius will be called

RemoteUserUpdate() returned true

RemoteUserUpdate() returned true

RemoteUserUpdate() returned true

Router-Befehl:

- show ip wccp: Zeigt globale WCCP-Statistiken an.

Zugehörige Informationen

- WCCP-Erweiterungen

- Web Cache Communication Protocol Version 2

- Technischer Support - Cisco Systems