Contenido

Introducción

Teoría de seguimiento de dispositivos

Configuración de seguimiento de dispositivos

Pruebas de rastreo de dispositivos

Depuraciones de la versión 12.2.33, Seguimiento de dispositivos IP Actualizado por Indagación DHCP

Sondeo ARP y indagación ARP

Seguimiento de dispositivos IP para la versión 12.2.55 - Comando oculto

Seguimiento de Dispositivo IP para la Versión 12.2.55 - Ejemplo de IP Estática

Seguimiento de dispositivos IP para la versión 15.x

Seguimiento de Dispositivos IP para Cisco IOS-XE®

Seguimiento de dispositivos IP con 802.1x y DACL para la versión 12.2.55

Seguimiento de dispositivos IP con 802.1x y DACL para la versión 15.x

Entrada ACL específica

Dirección de control

Seguimiento de dispositivos IP con 802.1x y ACL por usuario para la versión 15.x

Diferencia cuando se compara con DACL

Seguimiento de dispositivos IP con 802.1x y ACL de ID de filtro para la versión 15.x

Seguimiento de dispositivos IP - Parámetros predeterminados y mejores prácticas

Reescritura de ACL de interfaz para la versión 15.x

ACL predeterminada utilizada para 802.1x

Modo abierto

Cuando la ACL de interfaz es obligatoria

DACL en 4500/6500

Estado de la dirección MAC para 802.1x

Troubleshoot

Información Relacionada

Introducción

Este documento describe cómo funciona la función de seguimiento del dispositivo IP, que incluye lo que los desencadenadores son para agregar y quitar un host. Además, se explica el impacto del seguimiento de dispositivos en la lista de control de acceso (DACL) descargable 802.1x. El comportamiento cambia entre las versiones y las plataformas.

La segunda parte del documento se centra en la lista de control de acceso (ACL) devuelta por el servidor de autenticación, autorización y contabilidad (AAA) y aplicada a la sesión 802.1x. Se presenta una comparación entre DACL, ACL por usuario y ACL de ID de filtro. Además, se discuten algunas advertencias con respecto a la reescritura de ACL y la ACL predeterminada.

Teoría de seguimiento de dispositivos

El seguimiento de dispositivos agrega una entrada cuando:

- aprende la nueva entrada a través de la indagación DHCP.

- aprende la nueva entrada mediante una solicitud de protocolo de resolución de direcciones (ARP) (lee la dirección MAC del remitente y la dirección IP del remitente del paquete ARP). Esa funcionalidad a veces se denomina inspección ARP, pero no es la misma que la inspección ARP dinámica (DAI). Esta función está activada de forma predeterminada y no se puede desactivar. También se denomina indagación ARP, pero los debugs no lo mostrarán después de habilitar "debug arp snooping". La indagación ARP se habilita de forma predeterminada y no se puede inhabilitar ni controlar.

El seguimiento de dispositivos elimina una entrada cuando no hay respuesta para una solicitud ARP (envío de sonda para cada host en la tabla de seguimiento de dispositivos, de forma predeterminada cada 30 segundos).

Configuración de seguimiento de dispositivos

ip dhcp excluded-address 192.168.0.1 192.168.0.240

ip dhcp pool POOL

network 192.168.0.0 255.255.255.0

!

ip dhcp snooping vlan 1

ip dhcp snooping

ip device tracking

!

interface Vlan1

ip address 192.168.0.2 255.255.255.0

ip route 0.0.0.0 0.0.0.0 10.48.66.1

!

interface FastEthernet0/1

description PC

Pruebas de rastreo de dispositivos

BSNS-3560-1# show ip dhcp binding

IP address       Client-ID/              Lease expiration        Type

Hardware address

192.168.0.241    0100.5056.994e.a1       Mar 02 1993 02:31 AM    Automatic

BSNS-3560-1# show ip device tracking all

IP Device Tracking = Enabled

--------------------------------------------------------------

IP Address     MAC Address       Interface          STATE

--------------------------------------------------------------

192.168.0.241   0050.5699.4ea1 FastEthernet0/1        ACTIVE

Depuraciones de la versión 12.2.33, Seguimiento de dispositivos IP Actualizado por Indagación DHCP

El snooping DHCP rellena la tabla de enlace:

BSNS-3560-1#  show debugging

DHCP Snooping packet debugging is on

DHCP Snooping event debugging is on

DHCP server packet debugging is on.

DHCP server event debugging is on.

track:

IP device-tracking redundancy events debugging is on

IP device-tracking cache entry Creation debugging is on

IP device-tracking cache entry Destroy debugging is on

IP device-tracking cache events debugging is on

02:30:57: DHCP_SNOOPING: checking expired snoop binding entries

02:31:12: DHCPSNOOP(hlfm_set_if_input): Setting if_input to Fa0/1 for pak.  Was Vl1

02:31:12: DHCPSNOOP(hlfm_set_if_input): Setting if_input to Vl1 for pak.  Was Fa0/1

02:31:12: DHCPSNOOP(hlfm_set_if_input): Setting if_input to Fa0/1 for pak.  Was Vl1

02:31:12: DHCP_SNOOPING: received new DHCP packet from input interface (FastEthernet0/1)

02:31:12: DHCP_SNOOPING: process new DHCP packet, message type: DHCPREQUEST, input

interface: Fa0/1, MAC da: 001f.27e6.cfc0, MAC sa: 0050.5699.4ea1, IP da: 192.168.0.2,

IP sa: 192.168.0.241, DHCP ciaddr: 192.168.0.241, DHCP yiaddr: 0.0.0.0,

DHCP siaddr: 0.0.0.0, DHCP giaddr: 0.0.0.0, DHCP chaddr: 0050.5699.4ea1

02:31:12: DHCP_SNOOPING: add relay information option.

02:31:12: DHCP_SNOOPING_SW: Encoding opt82 CID in vlan-mod-port format

02:31:12: DHCP_SNOOPING_SW: Encoding opt82 RID in MAC address format

02:31:12: DHCP_SNOOPING: binary dump of relay info option, length: 20 data&colon;

0x52 0x12 0x1 0x6 0x0 0x4 0x0 0x1 0x1 0x3 0x2 0x8 0x0 0x6 0x0 0x1F 0x27 0xE6 0xCF 0x80

02:31:12: DHCP_SNOOPING_SW: bridge packet get invalid mat entry: 001F.27E6.CFC0,

packet is flooded to ingress VLAN: (1)

02:31:12: DHCP_SNOOPING_SW: bridge packet send packet to cpu port: Vlan1.

02:31:12: DHCPD: DHCPREQUEST received from client 0100.5056.994e.a1.

02:31:12: DHCPD: Sending DHCPACK to client 0100.5056.994e.a1 (192.168.0.241).

02:31:12: DHCPD: unicasting BOOTREPLY to client 0050.5699.4ea1 (192.168.0.241).

02:31:12: DHCP_SNOOPING: received new DHCP packet from input interface (Vlan1)

02:31:12: DHCP_SNOOPING: process new DHCP packet, message type: DHCPACK, input interface:

Vl1, MAC da: 0050.5699.4ea1, MAC sa: 001f.27e6.cfc0, IP da: 192.168.0.241,

IP sa: 192.168.0.2, DHCP ciaddr: 192.168.0.241, DHCP yiaddr: 192.168.0.241,

DHCP siaddr: 0.0.0.0, DHCP giaddr: 0.0.0.0, DHCP chaddr: 0050.5699.4ea1

02:31:12: DHCP_SNOOPING: add binding on port FastEthernet0/1.

02:31:12: DHCP_SNOOPING: added entry to table (index 189)

02:31:12: DHCP_SNOOPING: dump binding entry: Mac=00:50:56:99:4E:A1 Ip=192.168.0.241

Lease=86400     ld Type=dhcp-snooping Vlan=1 If=FastEthernet0/1

Después de agregar el enlace DHCP a la base de datos, activa la notificación para el seguimiento del dispositivo:

02:31:12: sw_host_track-ev:host_track_notification: Add event for host 0050.5699.4ea1,

192.168.0.241 on interface FastEthernet0/1

02:31:12: sw_host_track-ev:Async Add event for host 0050.5699.4ea1, 192.168.0.241

on interface FastEthernet0/1

02:31:12: sw_host_track-ev:MSG = 2

02:31:12: DHCP_SNOOPING_SW no entry found for 0050.5699.4ea1 0.0.0.1 FastEthernet0/1

02:31:12: DHCP_SNOOPING_SW host tracking not found for update add dynamic

(192.168.0.241, 0.0.0.0, 0050.5699.4ea1) vlan 1

02:31:12: DHCP_SNOOPING: direct forward dhcp reply to output port: FastEthernet0/1.

02:31:12: sw_host_track-ev:Add event: 0050.5699.4ea1, 192.168.0.241, FastEthernet0/1

02:31:12: sw_host_track-obj_create:0050.5699.4ea1(192.168.0.241) Cache entry created

02:31:12: sw_host_track-ev:Activating host 0050.5699.4ea1, 192.168.0.241 on

interface FastEthernet0/1

02:31:12: sw_host_track-ev:0050.5699.4ea1 Starting cache timer: 30 seconds

Las sondas ARP se envían de forma predeterminada cada 30 segundos:

02:41:12: sw_host_track-ev:0050.5699.4ea1 Stopping cache timer

02:41:12: sw_host_track-ev:0050.5699.4ea1: Send Host probe (0)

02:41:12: sw_host_track-ev:0050.5699.4ea1 Starting cache timer: 30 seconds

02:41:42: sw_host_track-ev:0050.5699.4ea1 Stopping cache timer

02:41:42: sw_host_track-ev:0050.5699.4ea1: Send Host probe (1)

02:41:42: sw_host_track-ev:0050.5699.4ea1 Starting cache timer: 30 seconds

02:42:12: sw_host_track-ev:0050.5699.4ea1 Stopping cache timer

02:42:12: sw_host_track-ev:0050.5699.4ea1: Send Host probe (2)

02:42:12: sw_host_track-ev:0050.5699.4ea1 Starting cache timer: 30 seconds

02:42:42: sw_host_track-ev:0050.5699.4ea1 Stopping cache timer

02:42:42: sw_host_track-obj_destroy:0050.5699.4ea1(192.168.0.241): Cache entry deleted

02:42:42: sw_host_track-ev:0050.5699.4ea1 Stopping cache timer

Después de que la entrada se elimine de la tabla de seguimiento del dispositivo, la entrada de enlace DHCP correspondiente sigue ahí:

BSNS-3560-1#show ip device tracking all

IP Device Tracking = Enabled

--------------------------------------------------------------

IP Address     MAC Address       Interface          STATE

--------------------------------------------------------------

BSNS-3560-1#show ip dhcp binding

IP address       Client-ID/              Lease expiration        Type

Hardware address

192.168.0.241    0100.5056.994e.a1       Mar 02 1993 03:06 AM    Automatic

Existe el problema cuando tiene una respuesta ARP, pero la entrada de seguimiento del dispositivo se elimina de todos modos. Ese bug parece estar en la Versión 12.2.33 y no ha aparecido en la Versión 12.2.55 o en el software 15.x.

También hay algunas diferencias al manejar con el puerto L2 (puerto de acceso) y el puerto L3 (sin puerto de switch).

Sondeo ARP y indagación ARP

Seguimiento del dispositivo con la función de indagación ARP:

BSNS-3560-1#show debugging

ARP:

ARP packet debugging is on

Arp Snoop:

Arp Snooping debugging is on

03:43:36: sw_host_track-ev:0050.5699.4ea1 Stopping cache timer

03:43:36: sw_host_track-ev:0050.5699.4ea1: Send Host probe (0)

03:43:36: IP ARP: sent req src 0.0.0.0 001f.27e6.cf83,

dst 192.168.0.241 0050.5699.4ea1 FastEthernet0/1

03:43:36: sw_host_track-ev:0050.5699.4ea1 Starting cache timer: 30 seconds

03:43:36: IP ARP: rcvd rep src 192.168.0.241 0050.5699.4ea1, dst 0.0.0.0 Vlan1

Seguimiento de dispositivos IP para la versión 12.2.55 - Comando oculto

Para la versión 12.2 podría ser necesario utilizar un comando oculto para activarlo:

BSNS-3560-1#show ip device tracking all

IP Device Tracking = Enabled

IP Device Tracking Probe Count = 2

IP Device Tracking Probe Interval = 30

IP Device Tracking Probe Delay Interval = 0

-----------------------------------------------------------------------

IP Address     MAC Address   Vlan  Interface                STATE

-----------------------------------------------------------------------

192.168.0.244   0050.5699.4ea1  55   FastEthernet0/1          ACTIVE

Total number interfaces enabled: 1

Enabled interfaces:

Fa0/1

BSNS-3560-1#ip device tracking interface fa0/48

BSNS-3560-1#show ip device tracking all

IP Device Tracking = Enabled

IP Device Tracking Probe Count = 2

IP Device Tracking Probe Interval = 30

IP Device Tracking Probe Delay Interval = 0

-----------------------------------------------------------------------

IP Address     MAC Address   Vlan  Interface                STATE

-----------------------------------------------------------------------

10.48.67.87     000c.2978.825d  1006 FastEthernet0/48         ACTIVE

10.48.67.31     020a.dada.dada  1006 FastEthernet0/48         ACTIVE

10.48.66.245    acf2.c5ed.8171  1006 FastEthernet0/48         ACTIVE

192.168.0.244   0050.5699.4ea1  55   FastEthernet0/1          ACTIVE

10.48.66.193    000c.2997.4ca1  1006 FastEthernet0/48         ACTIVE

10.48.66.186    0050.5699.3431  1006 FastEthernet0/48         ACTIVE

Total number interfaces enabled: 2

Enabled interfaces:

Fa0/1, Fa0/48

Seguimiento de Dispositivo IP para la Versión 12.2.55 - Ejemplo de IP Estática

En este ejemplo, el PC se ha configurado con una dirección IP estática. Los depuradores muestran que después de obtener una respuesta ARP (MSG=2), se actualiza la entrada de seguimiento del dispositivo.

01:03:16: sw_host_track-ev:0050.5699.4ea1 Stopping cache timer

01:03:16: sw_host_track-ev:0050.5699.4ea1: Send Host probe (0)

01:03:16: sw_host_track-ev:0050.5699.4ea1 Starting cache timer: 30 seconds

01:03:16: sw_host_track-ev:host_track_notification: Add event for host 0050.5699.4ea1,

192.168.0.241 on interface FastEthernet0/1, vlan 1

01:03:16: sw_host_track-ev:Async Add event for host 0050.5699.4ea1, 192.168.0.241

on interface FastEthernet0/1

01:03:16: sw_host_track-ev:MSG = 2

01:03:16: sw_host_track-ev:Add event: 0050.5699.4ea1, 192.168.0.241, FastEthernet0/1

01:03:16: sw_host_track-ev:0050.5699.4ea1: Cache entry refreshed

01:03:16: sw_host_track-ev:Activating host 0050.5699.4ea1, 192.168.0.241 on

interface FastEthernet0/1

01:03:16: sw_host_track-ev:0050.5699.4ea1 Starting cache timer: 30 seconds

Por lo tanto, cada solicitud ARP del PC actualiza la tabla de seguimiento del dispositivo (la dirección MAC del remitente y la dirección IP del remitente del paquete ARP).

Seguimiento de dispositivos IP para la versión 15.x

Es importante recordar que algunas de las funciones como DACL para 802.1x no se soportan en la versión de LAN Lite (cuidado: Cisco Feature Navigator no siempre muestra la información correcta).

El comando oculto de la versión 12.2 se puede ejecutar, pero no tendrá ningún efecto. En la versión de software 15.x, el seguimiento de dispositivos IP (IPDT) de forma predeterminada sólo está habilitado para las interfaces que tienen 802.1x habilitado:

bsns-3750-5#show ip device tracking all

IP Device Tracking = Enabled

IP Device Tracking Probe Count = 3

IP Device Tracking Probe Interval = 30

IP Device Tracking Probe Delay Interval = 0

-----------------------------------------------------------------------

IP Address     MAC Address   Vlan  Interface                STATE

-----------------------------------------------------------------------

192.168.10.12   0007.5032.6941  100  GigabitEthernet1/0/1     ACTIVE

192.168.2.200   000c.29d7.0617  1    GigabitEthernet1/0/1     ACTIVE

Total number interfaces enabled: 2

Enabled interfaces:

Gi1/0/1, Gi1/0/2

bsns-3750-5#show run int g1/0/3

Building configuration...

Current configuration : 38 bytes

!

interface GigabitEthernet1/0/3

bsns-3750-5(config)#int g1/0/3

bsns-3750-5(config-if)#switchport mode access

bsns-3750-5(config-if)#authentication port-control auto

bsns-3750-5(config-if)#do show ip device tracking all

IP Device Tracking = Enabled

IP Device Tracking Probe Count = 3

IP Device Tracking Probe Interval = 30

IP Device Tracking Probe Delay Interval = 0

-----------------------------------------------------------------------

IP Address     MAC Address   Vlan  Interface                STATE

-----------------------------------------------------------------------

192.168.10.12   0007.5032.6941  100  GigabitEthernet1/0/1     ACTIVE

192.168.2.200   000c.29d7.0617  1    GigabitEthernet1/0/1     ACTIVE

Total number interfaces enabled: 3

Enabled interfaces:

Gi1/0/1, Gi1/0/2, Gi1/0/3

Después de eliminar la configuración 802.1x del puerto, IPDT también se eliminará de ese puerto. El estado del puerto podría ser "DOWN", por lo que es necesario tener "switchport mode access" y "authentication port-control auto" para que el seguimiento del dispositivo IP se active en ese puerto. El límite máximo del dispositivo de interfaz se establece en 10:

bsns-3750-5(config-if)#ip device tracking maximum ?

<1-10>  Maximum devices

Seguimiento de Dispositivos IP para Cisco IOS-XE®

Una vez más, el comportamiento en Cisco IOS-XE 3.3 ha cambiado en comparación con la versión 15.x del IOS de Cisco. El comando oculto de la versión 12.2 está obsoleto, pero ahora se devolverá este error:

3850-1#  no ip device tracking int g1/0/48

% Command accepted but obsolete, unreleased or unsupported; see documentation.

En Cisco IOS-XE, el seguimiento de dispositivos se activa para todas las interfaces (incluso las que no tienen 802.1x configurado):

3850-1#show ip device tracking all

Global IP Device Tracking for clients = Enabled

Global IP Device Tracking Probe Count = 3

Global IP Device Tracking Probe Interval = 30

Global IP Device Tracking Probe Delay Interval = 0

---------------------------------------------------------------------------------------

IP Address    MAC Address   Vlan  Interface           Probe-Timeout

State    Source

---------------------------------------------------------------------------------------

10.48.39.29     000c.29bd.3cfa 1    GigabitEthernet1/0/48  30

ACTIVE   ARP

10.48.39.28     0016.9dca.e4a7 1    GigabitEthernet1/0/48  30

ACTIVE   ARP

10.48.76.117    0021.a0ff.5540 1    GigabitEthernet1/0/48  30

ACTIVE   ARP

10.48.39.21     00c0.9f87.7471 1    GigabitEthernet1/0/48  30

ACTIVE   ARP

10.48.39.16     0050.5699.1093 1    GigabitEthernet1/0/48  30

ACTIVE   ARP

10.76.191.247   0024.9769.58cf 20   GigabitEthernet1/0/48  30

ACTIVE   ARP

192.168.99.4    d48c.b52f.4a1e 99   GigabitEthernet1/0/12  30

INACTIVE ARP

10.48.39.13     000c.296e.8dbc 1    GigabitEthernet1/0/48  30

ACTIVE   ARP

10.48.39.15     0050.5699.128d 1    GigabitEthernet1/0/48  30

ACTIVE   ARP

10.48.39.9      0012.da20.8c00 1    GigabitEthernet1/0/48  30

ACTIVE   ARP

10.48.39.8      6c20.560e.1b64 1    GigabitEthernet1/0/48  30

ACTIVE   ARP

10.48.39.11     000c.29e9.db25 1    GigabitEthernet1/0/48  30

ACTIVE   ARP

10.48.39.5      0014.f15f.f7ca 1    GigabitEthernet1/0/48  30

ACTIVE   ARP

10.48.39.4      000c.2972.57bc 1    GigabitEthernet1/0/48  30

ACTIVE   ARP

10.48.39.7      5475.d029.74cf 1    GigabitEthernet1/0/48  30

ACTIVE   ARP

10.48.76.108    001c.58de.9340 1    GigabitEthernet1/0/48  30

ACTIVE   ARP

10.48.39.1      0006.f62a.c4a3 1    GigabitEthernet1/0/48  30

ACTIVE   ARP

10.48.39.3      0050.5699.1bee 1    GigabitEthernet1/0/48  30

ACTIVE   ARP

10.48.76.84     0015.58c5.e8b7 1    GigabitEthernet1/0/48  30

ACTIVE   ARP

10.48.39.56     0015.fa13.9a40 1    GigabitEthernet1/0/48  30

ACTIVE   ARP

10.48.39.59     0050.5699.1bf4 1    GigabitEthernet1/0/48  30

ACTIVE   ARP

10.48.39.58     000c.2957.c7ad 1    GigabitEthernet1/0/48  30

ACTIVE   ARP

Total number interfaces enabled: 57

Enabled interfaces:

Gi1/0/1, Gi1/0/2, Gi1/0/3, Gi1/0/4, Gi1/0/5, Gi1/0/6, Gi1/0/7,

Gi1/0/8, Gi1/0/9, Gi1/0/10, Gi1/0/11, Gi1/0/12, Gi1/0/13, Gi1/0/14,

Gi1/0/15, Gi1/0/16, Gi1/0/17, Gi1/0/18, Gi1/0/19, Gi1/0/20, Gi1/0/21,

Gi1/0/22, Gi1/0/23, Gi1/0/24, Gi1/0/25, Gi1/0/26, Gi1/0/27, Gi1/0/28,

Gi1/0/29, Gi1/0/30, Gi1/0/31, Gi1/0/32, Gi1/0/33, Gi1/0/34, Gi1/0/35,

Gi1/0/36, Gi1/0/37, Gi1/0/38, Gi1/0/39, Gi1/0/40, Gi1/0/41, Gi1/0/42,

Gi1/0/43, Gi1/0/44, Gi1/0/45, Gi1/0/46, Gi1/0/47, Gi1/0/48, Gi1/1/1,

Gi1/1/2, Gi1/1/3, Gi1/1/4, Te1/1/1, Te1/1/2, Te1/1/3, Te1/1/4

3850-1#$

3850-1#sh run int g1/0/48

Building configuration...

Current configuration : 39 bytes

!

interface GigabitEthernet1/0/48

end

3850-1(config-if)#ip device tracking maximum ?

<0-65535>  Maximum devices (0 means disabled)

Además, no hay límites para las entradas máximas por puerto (0 significa inhabilitado).

Seguimiento de dispositivos IP con 802.1x y DACL para la versión 12.2.55

Si se configura 802.1x con DACL, se utiliza la entrada de seguimiento del dispositivo para llenar la dirección IP del dispositivo. Este ejemplo muestra el seguimiento del dispositivo que funciona para una IP configurada estáticamente:

BSNS-3560-1#show ip device tracking all

IP Device Tracking = Enabled

IP Device Tracking Probe Count = 2

IP Device Tracking Probe Interval = 30

IP Device Tracking Probe Delay Interval = 0

-----------------------------------------------------------------------

IP Address     MAC Address   Vlan  Interface                STATE

-----------------------------------------------------------------------

192.168.0.244   0050.5699.4ea1  2    FastEthernet0/1          ACTIVE

Total number interfaces enabled: 1

Enabled interfaces:

Fa0/1

Esta es una sesión 802.1x construida con DACL "permit icmp any any":

BSNS-3560-1# sh authentication sessions  interface fa0/1

Interface:  FastEthernet0/1

MAC Address:  0050.5699.4ea1

IP Address:  192.168.0.244

User-Name:  cisco

Status:  Authz Success

Domain:  DATA

Security Policy:  Should Secure

Security Status:  Unsecure

Oper host mode:  single-host

Oper control dir:  both

Authorized By:  Authentication Server

Vlan Policy:  2

ACS ACL:  xACSACLx-IP-DACL-516c2694

Session timeout:  N/A

Idle timeout:  N/A

Common Session ID:  0A3042A900000008008900C5

Acct Session ID:  0x0000000D

Handle:  0x19000008

Runnable methods list:

Method   State

dot1x    Authc Success

BSNS-3560-1#show epm session summary

EPM Session Information

-----------------------

Total sessions seen so far : 1

Total active sessions      : 1

Interface               IP Address        MAC Address     Audit Session Id:

--------------------------------------------------------------------------

FastEthernet0/1         192.168.0.244     0050.5699.4ea1   0A3042A900000008008900C5

Esto muestra una ACL aplicada:

BSNS-3560-1#show ip access-lists

Extended IP access list Auth-Default-ACL

10 permit udp any range bootps 65347 any range bootpc 65348

20 permit udp any any range bootps 65347

30 deny ip any any (8 matches)

Extended IP access list xACSACLx-IP-DACL-516c2694 (per-user)

10 permit icmp any any (6 matches)

Además, la ACL en la interfaz fa0/1 es la misma:

BSNS-3560-1#show ip access-lists interface fa0/1

permit icmp any any

Aunque el valor predeterminado es dot1x ACL:

BSNS-3560-1#show ip interface fa0/1

FastEthernet0/1 is up, line protocol is up

Inbound  access list is Auth-Default-ACL

Es de esperar que la ACL utilice "any" como 192.168.0.244. Esto funciona así para el proxy de autenticación, pero para 802.1x DACL src "any" no se cambia a la IP detectada del PC.

Para el proxy de autenticación, una ACL original del ACS se almacena en memoria caché y se muestra con el comando show ip access-list y una ACL específica (por usuario con IP específica) en la interfaz con el comando show ip access-list interface fa0/1. Sin embargo, auth-proxy no utiliza el seguimiento IP del dispositivo.

¿Qué sucede si la dirección IP no se detecta correctamente? Después de que se inhabilita el seguimiento del dispositivo:

BSNS-3560-1#show authentication sessions interface fa0/1

Interface:  FastEthernet0/1

MAC Address:  0050.5699.4ea1

IP Address:  Unknown

User-Name:  cisco

Status:  Authz Success

Domain:  DATA

Security Policy:  Should Secure

Security Status:  Unsecure

Oper host mode:  single-host

Oper control dir:  both

Authorized By:  Authentication Server

Vlan Policy:  2

ACS ACL:  xACSACLx-IP-DACL-516c2694

Session timeout:  N/A

Idle timeout:  N/A

Common Session ID:  0A3042A9000000000000C775

Acct Session ID:  0x00000001

Handle:  0xB0000000

Runnable methods list:

Method   State

dot1x    Authc Success

Por lo tanto, no se adjunta ninguna dirección IP, pero se sigue aplicando la DACL:

BSNS-3560-1#show ip access-lists

Extended IP access list Auth-Default-ACL

10 permit udp any range bootps 65347 any range bootpc 65348

20 permit udp any any range bootps 65347

30 deny ip any any (4 matches)

Extended IP access list xACSACLx-IP-DACL-516c2694 (per-user)

10 permit icmp any any

En esta situación, no se requiere el seguimiento del dispositivo para 802.1x. La única diferencia es que conocer la dirección IP del cliente inicial se puede utilizar para una solicitud de acceso RADIUS. Después de adjuntar el atributo 8:

radius-server attribute 8 include-in-access-req

Existirá en Access-Request y en ACS será posible crear reglas de autorización más granulares:

00:17:44: RADIUS(00000001): Send Access-Request to 10.48.66.185:1645 id 1645/27, len 257

00:17:44: RADIUS:  authenticator F8 17 06 CE C1 85 E8 E8 - CB 5B 57 96 6C 07 CE CA

00:17:44: RADIUS:  User-Name           [1]   7   "cisco"

00:17:44: RADIUS:  Service-Type        [6]   6   Framed                    [2]

00:17:44: RADIUS:  Framed-IP-Address   [8]   6   192.168.0.244

Tenga en cuenta que TrustSec también necesita seguimiento de dispositivos IP para vinculaciones IP a SGT.

Seguimiento de dispositivos IP con 802.1x y DACL para la versión 15.x

¿Cuál es la diferencia entre la versión 15.x y la versión 12.2.55 en DACL? En el software Version15.x, funciona igual que para auth-proxy. La ACL genérica se puede ver cuando se ingresa el comando show ip access-list (respuesta en caché desde AAA), pero después del comando show ip access-list interface fa0/1, la src "any" se reemplaza por la dirección IP de origen del host (conocida a través del seguimiento de dispositivos IP).

Este es el ejemplo para un teléfono y un PC en un puerto (g1/0/1), versión de software 15.0.2SE2 en 3750X:

bsns-3750-5#sh authentication sessions interface g1/0/1

Interface:  GigabitEthernet1/0/1

MAC Address:  0007.5032.6941

IP Address:  192.168.10.12

User-Name:  00-07-50-32-69-41

Status:  Authz Success

Domain:  VOICE

Security Policy:  Should Secure

Security Status:  Unsecure

Oper host mode:  multi-auth

Oper control dir:  both

Authorized By:  Authentication Server

Vlan Policy:  100

ACS ACL:  xACSACLx-IP-PERMIT_ALL_TRAFFIC-51134bb2

Session timeout:  N/A

Idle timeout:  N/A

Common Session ID:  C0A80001000001012B680D23

Acct Session ID:  0x0000017B

Handle:  0x99000102

Runnable methods list:

Method   State

dot1x    Failed over

mab      Authc Success

----------------------------------------

Interface:  GigabitEthernet1/0/1

MAC Address:  0050.5699.4ea1

IP Address:  192.168.2.200

User-Name:  cisco

Status:  Authz Success

Domain:  DATA

Security Policy:  Should Secure

Security Status:  Unsecure

Oper host mode:  multi-auth

Oper control dir:  both

Authorized By:  Authentication Server

Vlan Policy:  20

ACS ACL:  xACSACLx-IP-PERMIT_ALL_TRAFFIC-51134bb2

Session timeout:  N/A

Idle timeout:  N/A

Common Session ID:  C0A80001000001BD336EC4D6

Acct Session ID:  0x000002F9

Handle:  0xF80001BE

Runnable methods list:

Method   State

dot1x    Authc Success

mab      Not run

El teléfono se autentica mediante la derivación de autenticación MAC (MAB), mientras que el PC utiliza dot1x. Tanto el teléfono como el PC utilizan la misma ACL:

bsns-3750-5#show ip access-lists xACSACLx-IP-PERMIT_ALL_TRAFFIC-51134bb2

Extended IP access list xACSACLx-IP-PERMIT_ALL_TRAFFIC-51134bb2 (per-user)

10 permit ip any any

Sin embargo, cuando se verifica en el nivel de interfaz, el origen se ha reemplazado por la dirección IP del dispositivo. El seguimiento del dispositivo IP desencadena que el cambio y el mismo puede ocurrir en cualquier momento (mucho más tarde que la sesión de autenticación y la descarga de la ACL):

bsns-3750-5#show ip access-lists interface g1/0/1

permit ip host 192.168.2.200 any (5 matches)

permit ip host 192.168.10.12 any

Ambas direcciones MAC deben marcarse como estáticas:

bsns-3750-5#sh mac address-table interface g1/0/1

Mac Address Table

-------------------------------------------

Vlan    Mac Address       Type        Ports

----    -----------       --------    -----

20    0050.5699.4ea1    STATIC      Gi1/0/1

100    0007.5032.6941    STATIC      Gi1/0/1

Entrada ACL específica

¿Cuándo se reemplaza el origen "any" en la DACL por la dirección IP del host? Sólo cuando hay al menos dos sesiones en el mismo puerto (dos suplicantes).

No es necesario reemplazar el origen "any" cuando hay una sola sesión. Los problemas pueden aparecer cuando hay varias sesiones, y para no todos ellos el seguimiento del dispositivo IP conoce la dirección IP del host. En ese escenario, seguirá siendo "cualquiera" para algunas entradas.

Ese comportamiento es diferente en algunas plataformas. Por ejemplo, en el 2960X con la versión 15.0(2)EX, la ACL siempre será específica incluso cuando haya una sola sesión de autenticación por puerto. Sin embargo, para las versiones 3560X y 3750X 15.0(2)SE, debe tener al menos dos sesiones para que esa ACL sea específica.

Dirección de control

De forma predeterminada, la dirección de control es el tipo ambos:

bsns-3750-5(config)#int g1/0/1

bsns-3750-5(config-if)#authentication control-direction ?

both  Control traffic in BOTH directions

in    Control inbound traffic only

bsns-3750-5(config-if)#authentication control-direction both

Esto significa que antes de que el solicitante se autentique, el tráfico no se puede enviar al puerto o desde él. Para el modo "en", el tráfico se pudo haber enviado del puerto al suplicante, pero no del suplicante al puerto (podría ser útil para la función WAKE en LAN).

Aun así, el switch aplica la ACL sólo en la dirección "en". No importa qué modo se utilice.

bsns-3750-5#sh ip access-lists interface g1/0/1 out

bsns-3750-5#sh ip access-lists interface g1/0/1 in

permit ip host 192.168.2.200 any

permit ip host 192.168.10.12 any

Esto significa básicamente que después de la autenticación, la ACL se aplica para el tráfico al puerto (en dirección) y todo el tráfico se permite desde el puerto (en dirección externa).

Seguimiento de dispositivos IP con 802.1x y ACL por usuario para la versión 15.x

También es posible utilizar una ACL por usuario que se pasa en los pares "ip:inacl" y "ip:outacl" de cisco-av.

Este ejemplo de configuración es similar a una configuración anterior, pero esta vez el teléfono utiliza DACL y el PC utiliza ACL por usuario. El perfil ISE para el PC es:

El teléfono todavía tiene la DACL aplicada:

bsns-3750-5#show authentication sessions interface g1/0/1

Interface:  GigabitEthernet1/0/1

MAC Address:  0007.5032.6941

IP Address:  192.168.10.12

User-Name:  00-07-50-32-69-41

Status:  Authz Success

Domain:  VOICE

Security Policy:  Should Secure

Security Status:  Unsecure

Oper host mode:  multi-auth

Oper control dir:  both

Authorized By:  Authentication Server

Vlan Policy:  100

ACS ACL:  xACSACLx-IP-PERMIT_ALL_TRAFFIC-51134bb2

Session timeout:  N/A

Idle timeout:  N/A

Common Session ID:  C0A8000100000568431143D8

Acct Session ID:  0x000006D2

Handle:  0x84000569

Runnable methods list:

Method   State

dot1x    Failed over

mab      Authc Success

bsns-3750-5#sh ip access-lists xACSACLx-IP-PERMIT_ALL_TRAFFIC-51134bb2

Extended IP access list xACSACLx-IP-PERMIT_ALL_TRAFFIC-51134bb2 (per-user)

10 permit ip any any

Sin embargo, el PC en el mismo puerto utiliza la ACL por usuario:

Interface:  GigabitEthernet1/0/1

MAC Address:  0050.5699.4ea1

IP Address:  192.168.2.200

User-Name:  cisco

Status:  Authz Success

Domain:  DATA

Security Policy:  Should Secure

Security Status:  Unsecure

Oper host mode:  multi-auth

Oper control dir:  both

Authorized By:  Authentication Server

Vlan Policy:  20

Per-User ACL:  permit icmp any any log

Session timeout:  N/A

Idle timeout:  N/A

Common Session ID:  C0A80001000005674311400B

Acct Session ID:  0x000006D1

Handle:  0x9D000568

Para verificar cómo se combina en el puerto gig1/0/1:

bsns-3750-5#show ip access-lists interface g1/0/1

permit icmp host 192.168.2.200 any log

permit ip host 192.168.10.12 any

La primera entrada se ha tomado de la ACL por usuario (observe la palabra clave log) y la segunda entrada se toma de la DACL. Ambos son reescritos por el seguimiento del dispositivo IP para la dirección IP específica.

La ACL por usuario se pudo verificar con el comando debug epm all:

Apr 12 02:30:13.489: EPM_SESS_EVENT:IP Per-User ACE: permit icmp any any log received

Apr 12 02:30:13.489: EPM_SESS_EVENT:Recieved string GigabitEthernet1/0/1#IP#7844C6C

Apr 12 02:30:13.489: EPM_SESS_EVENT:Add ACE [permit icmp any any log] to ACL

[GigabitEthernet1/0/1#IP#7844C6C]

Apr 12 02:30:13.497: EPM_SESS_EVENT:Executed [ip access-list extended

GigabitEthernet1/0/1#IP#7844C6C] command through parse_cmd. Result= 0

Apr 12 02:30:13.497: EPM_SESS_EVENT:Executed [permit icmp any any log]

command through parse_cmd. Result= 0

Apr 12 02:30:13.497: EPM_SESS_EVENT:Executed [end] command through

parse_cmd. Result= 0

Apr 12 02:30:13.497: EPM_SESS_EVENT:Notifying PD regarding Policy (NAMED ACL)

application on the interface GigabitEthernet1/0/1

Y también a través del comando show ip access-lists:

bsns-3750-5#show ip access-lists

Extended IP access list GigabitEthernet1/0/1#IP#7844C6C (per-user)

10 permit icmp any any log

¿Qué hay del atributo ip:outacl? Se omite completamente en la versión 15.x. El atributo se ha recibido, pero el switch no aplica/procesa ese atributo.

Diferencia cuando se compara con DACL

Como se señala en el Id. de bug Cisco CSCut25702, la ACL por usuario se comporta de manera diferente que la DACL. DACL con una sola entrada ("permit ip any any") y un suplicante conectado a un puerto puede funcionar correctamente sin que el seguimiento del dispositivo IP esté habilitado. El argumento "any" no se sustituirá y se permitirá todo el tráfico. Sin embargo, para la ACL por usuario es obligatorio tener habilitado el seguimiento del dispositivo IP. Si está inhabilitado y tiene solamente la entrada "permit ip any any" y un suplicante, todo el tráfico será bloqueado.

Seguimiento de dispositivos IP con 802.1x y ACL de ID de filtro para la versión 15.x

Además, se puede utilizar el identificador de filtro de atributo IETF [11]. El servidor AAA devuelve el nombre de ACL, que se debe definir localmente en el switch. El perfil de ISE podría tener el siguiente aspecto:

Tenga en cuenta que debe especificar la dirección (entrada o salida). Para ello es necesario agregar manualmente el atributo:

Luego, la depuración muestra:

debug epm all

Apr 12 23:41:05.170: EPM_SESS_EVENT:Filter-Id : Filter-ACL received

Apr 12 23:41:05.170: EPM_SESS_EVENT:Notifying PD regarding Policy (NAMED ACL)

application on the interface GigabitEthernet1/0/1

Esa ACL también se mostrará para la sesión autenticada:

bsns-3750-5#show authentication sessions interface g1/0/1

Interface:  GigabitEthernet1/0/1

MAC Address:  0050.5699.4ea1

IP Address:  192.168.2.200

User-Name:  cisco

Status:  Authz Success

Domain:  DATA

Security Policy:  Should Secure

Security Status:  Unsecure

Oper host mode:  multi-auth

Oper control dir:  both

Authorized By:  Authentication Server

Vlan Policy:  20

Filter-Id:  Filter-ACL

Session timeout:  N/A

Idle timeout:  N/A

Common Session ID:  C0A800010000059E47B77481

Acct Session ID:  0x00000733

Handle:  0x5E00059F

Runnable methods list:

Method   State

dot1x    Authc Success

mab      Not run

Y, como la ACL está enlazada a la interfaz:

bsns-3750-5#show ip access-lists interface g1/0/1

permit icmp host 192.168.2.200 any log

permit tcp host 192.168.2.200 any log

Tenga en cuenta que esta ACL se puede combinar con otros tipos de ACL en la misma interfaz. Por ejemplo, tener en el mismo puerto del switch otro suplicante que obtiene DACL de ISE: "permit ip any any", podría ver:

bsns-3750-5#show ip access-lists interface g1/0/1

permit icmp host 192.168.2.200 any log

permit tcp host 192.168.2.200 any log

permit ip host 192.168.10.12 any

Tenga en cuenta que el seguimiento del dispositivo IP reescribe la IP de origen para cada origen (suplicante).

¿Qué hay de la lista de filtros "out"? De nuevo (como ACL por usuario), el switch no lo utilizará.

Seguimiento de dispositivos IP - Parámetros predeterminados y mejores prácticas

Para las versiones anteriores a 15.2(1)E, antes de que cualquier función pueda utilizar IPDT, debe habilitarse globalmente primero con este comando CLI:

(config)#ip device tracking

Para las versiones 15.2(1)E y posteriores, el comando ip device track ya no es necesario. IPDT se habilita solamente si una función que confía en ella lo habilita. Si ninguna función habilita IPDT, IPDT se inhabilita. El comando "no ip device track" no tiene ningún efecto. La función específica tiene el control para activar/desactivar IPDT.

Cuando habilita IPDT, debe recordar el problema de "Dirección IP duplicada" en . Consulte Resolución de Problemas de Mensajes de Error de Dirección IP 0.0.0.0 Duplicada para obtener más información.

Se recomienda inhabilitar IPDT en un puerto trunk:

(config-if)# no ip device tracking

En el IOS de Cisco posterior, es un comando diferente:

(config-if)# ip device tracking maximum 0

Se recomienda habilitar IPDT en el puerto de acceso y retrasar las sondas ARP para evitar el problema de "Dirección IP duplicada":

(config-if)# ip device tracking probe delay 10

Reescritura de ACL de interfaz para la versión 15.x

Para la ACL de interfaz, funciona antes de la autenticación:

interface GigabitEthernet1/0/2

description windows7

switchport mode access

ip access-group test1 in

authentication order mab dot1x

authentication port-control auto

mab

dot1x pae authenticator

end

bsns-3750-5#show ip access-lists test1

Extended IP access list test1

10 permit tcp any any log-input

Sin embargo, después de que la autenticación se realice correctamente, la ACL que devuelve el servidor AAA (no importa si es DACL, ip:inacl o file) lo reescribe (invalida).

Esa ACL (test1) puede bloquear el tráfico (que normalmente se permitiría en modo abierto), pero después de la autenticación ya no importa. Incluso cuando no se devuelve ninguna ACL del servidor AAA, la ACL de interfaz se sobrescribe y se proporciona acceso completo. Esto es un poco engañoso ya que la Memoria direccionable de contenido ternario (TCAM) indica que la ACL todavía está enlazada en el nivel de interfaz. A continuación se muestra un ejemplo de la versión 15.2.2 en 3750X:

bsns-3750-6#show platform acl portlabels interface g1/0/2

Port based ACL: (asic 1)

----------------------------

Input Label:  5    Op Select Index: 255

Interface(s): Gi1/0/2

Access Group: test1, 4 VMRs

Ip Portal: 0 VMRs

IP Source Guard: 0 VMRs

LPIP: 0 VMRs

AUTH: 0 VMRs

C3PLACL: 0 VMRs

MAC Access Group: (none), 0 VMRs

Esa información es válida sólo para el nivel de interfaz, no para el nivel de sesión. Se puede deducir más información (que presenta una ACL compuesta) de:

bsns-3750-6#show ip access-lists interface g1/0/2

permit ip host 192.168.1.203 any

Extended IP access list test1

10 permit icmp host 2.2.2.2 host 1.1.1.1

La primera entrada se crea como "permit ip any any any" (permitir ip cualquiera cualquiera) DACL se devuelve para una autenticación correcta (y "any" se reemplaza por una entrada de la tabla de seguimiento del dispositivo). La segunda entrada es el resultado de la ACL de interfaz y se aplica para todas las nuevas autenticaciones (antes de la autorización).

Desafortunadamente, (nuevamente dependiente de la plataforma) ambas ACL están concatenadas. Esto sucede en la versión 15.2.2 en 3750X. Esto significa que para la sesión autorizada, se aplican ambas. Primero el DACL y, segundo, el ACL de interfaz. Por eso, cuando agrega "deny ip any any any" explícito, la DACL no tendrá en cuenta la ACL de la interfaz. Por lo general, no hay un rechazo explícito en la DACL y luego se aplica la ACL de interfaz después de eso.

El comportamiento de la versión 15.0.2 en 3750X es el mismo, pero el comando sh ip access-list interface ya no muestra la interfaz ACL (pero seguirá concatenada con la interfaz ACL a menos que exista una negación explícita en la DACL).

ACL predeterminada utilizada para 802.1x

Hay dos tipos de ACL predeterminadas:

- auth-default-ACL-OPEN - utilizado para el modo abierto

- auth-default-ACL - utilizado para acceso cerrado

Tanto auth-default-ACL como auth-default-ACL-OPEN se utilizan cuando el puerto está en estado no autorizado. De forma predeterminada, se utiliza el acceso cerrado. Esto significa que antes de la autenticación, todo el tráfico se descarta excepto el permitido por la ACL de autenticación predeterminada. De esta manera, el tráfico DHCP se permite antes de una autorización exitosa. La dirección IP se asigna y la DACL descargada se puede aplicar correctamente. Esa ACL se crea automáticamente y no se puede encontrar en la configuración.

bsns-3750-5#sh run | i Auth-Default

bsns-3750-5#sh ip access-lists Auth-Default-ACL

Extended IP access list Auth-Default-ACL

10 permit udp any range bootps 65347 any range bootpc 65348 (22 matches)

20 permit udp any any range bootps 65347 (12 matches)

30 deny ip any any

Se crea dinámicamente para la primera autenticación (entre la fase de autenticación y la fase de autorización) y se elimina después de que se haya eliminado la última sesión.

Auth-Default-ACL sólo permite el tráfico DHCP. Una vez que la autenticación se realiza correctamente y se descarga la nueva DACL, se aplica a esa sesión.Cuando el modo se cambia a open auth-default-ACL-OPEN aparece y se utiliza y funciona exactamente de la misma manera que Auth-Default-ACL:

bsns-3750-5(config)#int g1/0/2

bsns-3750-5(config-if)#authentication open

bsns-3750-5#show ip access-lists

Extended IP access list Auth-Default-ACL-OPEN

10 permit ip any any

Ambas ACL se pueden personalizar, pero nunca se verán en la configuración.

bsns-3750-5(config)#ip access-list extended Auth-Default-ACL

bsns-3750-5(config-ext-nacl)#permit udp any any

bsns-3750-5#sh ip access-lists

Extended IP access list Auth-Default-ACL

10 permit udp any range bootps 65347 any range bootpc 65348 (22 matches)

20 permit udp any any range bootps 65347 (16 matches)

30 deny ip any any

40 permit udp any any

bsns-3750-5#sh run | i Auth-Def

bsns-3750-5#

Modo abierto

En la sección anterior se describía el comportamiento de las ACL (que incluye el utilizado de forma predeterminada para el modo abierto). El comportamiento para el modo abierto es:

- permite todo el tráfico (según el valor predeterminado auth-default-ACL-OPEN) cuando la sesión se encuentra en un estado no autorizado.

- la sesión se encuentra en un estado no autorizado durante la autenticación/autorización (bueno para escenarios de inicio del dispositivo de cifrado modelo E (PXE)) o después de que el proceso falle (bueno para escenarios llamados "modo de bajo impacto").

- cuando la sesión se traslada al estado autorizado para varias plataformas, las ACL se concatenan y se utiliza la primera DACL, luego la interfaz ACL.

- para multi-auth o multi-domain puede haber varias sesiones al mismo tiempo en diferentes estados (entonces el tipo de ACL diferente se aplicará para cada sesión).

Cuando la ACL de interfaz es obligatoria

Para varias plataformas 6500/4500, la interfaz ACL es obligatoria para aplicar la DACL correctamente.

Este es un ejemplo con 4500 sup2 12.2.53SG6, sin ACL de interfaz:

brisk#show run int g2/3

!

interface GigabitEthernet2/3

switchport mode access

switchport voice vlan 10

authentication host-mode multi-auth

authentication open

authentication order mab dot1x

authentication priority dot1x mab

authentication port-control auto

mab

Luego, después de autenticar el host, se descarga la DACL. No se aplicará y la autorización falla.

*Apr 25 04:38:05.239: RADIUS: Received from id 1645/19 10.48.66.74:1645, Access-Accept,

len 209

*Apr 25 04:38:05.239: RADIUS:  authenticator 35 8E 59 E4 D5 CF 8F 9A -

EE 1C FC 5A 9F 67 99 B2

*Apr 25 04:38:05.239: RADIUS:  User-Name           [1]   41

"#ACSACL#-IP-PERMIT_ALL_TRAFFIC-51ef7db1"

*Apr 25 04:38:05.239: RADIUS:  State               [24]  40

*Apr 25 04:38:05.239: RADIUS:   52 65 61 75 74 68 53 65 73 73 69 6F 6E 3A 30 61

[ReauthSession:0a]

*Apr 25 04:38:05.239: RADIUS:   33 30 34 32 34 61 30 30 30 45 46 35 30 46 35 33

[30424a000EF50F53]

*Apr 25 04:38:05.239: RADIUS:   35 41 36 36 39 33            [ 5A6693]

*Apr 25 04:38:05.239: RADIUS:  Class               [25]  54

*Apr 25 04:38:05.239: RADIUS:   43 41 43 53 3A 30 61 33 30 34 32 34 61 30 30 30

[CACS:0a30424a000]

*Apr 25 04:38:05.239: RADIUS:   45 46 35 30 46 35 33 35 41 36 36 39 33 3A 69 73

[EF50F535A6693:is]

*Apr 25 04:38:05.239: RADIUS:   65 32 2F 31 38 30 32 36 39 35 33 38 2F 31 32 38

[e2/180269538/128]

*Apr 25 04:38:05.239: RADIUS:   36 35 35 33              [ 6553]

*Apr 25 04:38:05.239: RADIUS:  Message-Authenticato[80]  18

*Apr 25 04:38:05.239: RADIUS:   AF 47 E2 20 65 2F 59 39 72 9A 61 5C C5 8B ED F5

[ G e/Y9ra\]

*Apr 25 04:38:05.239: RADIUS:  Vendor, Cisco       [26]  36

*Apr 25 04:38:05.239: RADIUS:   Cisco AVpair       [1]   30

"ip:inacl#1=permit ip any any"

*Apr 25 04:38:05.239: RADIUS(00000000): Received from id 1645/19

*Apr 25 04:38:05.247: EPM_SESS_ERR:Failed to apply ACL to interface

*Apr 25 04:38:05.247: EPM_API:In function epm_send_message_to_client

*Apr 25 04:38:05.247: EPM_SESS_EVENT:Sending response message to process

AUTH POLICY Framework

*Apr 25 04:38:05.247: EPM_SESS_EVENT:Returning feature config

*Apr 25 04:38:05.247: EPM_API:In function epm_acl_feature_free

*Apr 25 04:38:05.247: EPM_API:In function epm_policy_aaa_response

*Apr 25 04:38:05.247: EPM_FSM_EVENT:Event epm_ip_wait_event state changed from

policy-apply to ip-wait

*Apr 25 04:38:05.247: EPM_API:In function epm_session_action_ip_wait

*Apr 25 04:38:05.247: EPM_API:In function epm_send_ipwait_message_to_client

*Apr 25 04:38:05.247: EPM_SESS_ERR:NULL feature list for client ctx 1B2694B0

for type DOT1X

*Apr 25 04:38:05.247: %AUTHMGR-5-FAIL: Authorization failed for client

(0007.5032.6941) on Interface Gi2/3

AuditSessionID 0A304345000000060012C050

brisk#show authentication sessions

Interface  MAC Address     Method   Domain   Status         Session ID

Gi2/3      0007.5032.6941  mab      VOICE    Authz Failed   0A304345000000060012C050

Después de agregar la ACL de interfaz:

brisk#show ip access-lists all

Extended IP access list all

10 permit ip any any (63 matches)

brisk#sh run int g2/3

!

interface GigabitEthernet2/3

switchport mode access

switchport voice vlan 10

ip access-group all in

authentication host-mode multi-auth

authentication open

authentication order mab dot1x

authentication priority dot1x mab

authentication port-control auto

mab

La autenticación y la autorización se realizarán correctamente y la DACL se aplicará correctamente:

brisk#show authentication sessions

Interface  MAC Address     Method   Domain   Status         Session ID

Gi2/3      0007.5032.6941  mab      VOICE    Authz Success  0A30434500000008001A2CE4

El comportamiento no depende de "authentication open" (autenticación abierta). Para aceptar la DACL, necesita la interfaz ACL para el modo abierto/cerrado.

DACL en 4500/6500

En el 4500/6500, la DACL se aplica con las DACL acl_snoop. Aquí se muestra un ejemplo con 4500 sup2 12.2.53SG6 (teléfono + PC). Hay una ACL independiente para VLAN de voz (10) y datos (100):

brisk#show ip access-lists

Extended IP access list acl_snoop_Gi2/3_10

10 permit ip host 192.168.2.200 any

20 deny ip any any

Extended IP access list acl_snoop_Gi2/3_100

10 permit ip host 192.168.10.12 any

20 deny ip any any

Las ACL son específicas porque IPDT tiene las entradas correctas:

brisk#show ip device tracking all

IP Device Tracking = Enabled

IP Device Tracking Probe Count = 3

IP Device Tracking Probe Interval = 30

IP Device Tracking Probe Delay Interval = 0

---------------------------------------------------------------------

IP Address     MAC Address   Vlan  Interface              STATE

---------------------------------------------------------------------

192.168.10.12   0007.5032.6941  100  GigabitEthernet2/3     ACTIVE

192.168.2.200   000c.29d7.0617  10   GigabitEthernet2/3     ACTIVE

Las sesiones autenticadas confirman las direcciones:

brisk#show authentication sessions int g2/3

Interface:  GigabitEthernet2/3

MAC Address:  000c.29d7.0617

IP Address:  192.168.2.200

User-Name:  00-0C-29-D7-06-17

Status:  Authz Success

Domain:  VOICE

Oper host mode:  multi-auth

Oper control dir:  both

Authorized By:  Authentication Server

Vlan Policy:  N/A

Session timeout:  N/A

Idle timeout:  N/A

Common Session ID:  0A3043450000003003258E0C

Acct Session ID:  0x00000034

Handle:  0x54000030

Runnable methods list:

Method   State

mab      Authc Success

dot1x    Not run

----------------------------------------

Interface:  GigabitEthernet2/3

MAC Address:  0007.5032.6941

IP Address:  192.168.10.12

User-Name:  00-07-50-32-69-41

Status:  Authz Success

Domain:  DATA

Oper host mode:  multi-auth

Oper control dir:  both

Authorized By:  Authentication Server

Vlan Policy:  N/A

Session timeout:  N/A

Idle timeout:  N/A

Common Session ID:  0A3043450000002E031D1DB8

Acct Session ID:  0x00000032

Handle:  0x4A00002E

Runnable methods list:

Method   State

mab      Authc Success

dot1x    Not run

En esta etapa, tanto el PC como el teléfono responden al eco ICMP, pero la ACL de interfaz sólo presenta:

brisk#show ip access-lists interface g2/3

permit ip host 192.168.10.12 any

¿Por qué? Debido a que la DACL se ha enviado solamente para el teléfono (192.168.10.12). Para el PC, se utiliza la interfaz ACL con el modo abierto:

interface GigabitEthernet2/3

ip access-group all in

authentication open

brisk#show ip access-lists all

Extended IP access list all

10 permit ip any any (73 matches)

En resumen, se creará acl_snoop tanto para el PC como para el teléfono, pero la DACL se devuelve sólo para el teléfono. Es por eso que esa ACL se ve como enlazada a la interfaz.

Estado de la dirección MAC para 802.1x

Cuando se inicia la autenticación 802.1x, la dirección MAC todavía se considera DINÁMICA, pero la acción para ese paquete es DROP:

bsns-3750-5#show authentication sessions

Interface  MAC Address     Method   Domain   Status         Session ID

Gi1/0/1    0007.5032.6941  dot1x    UNKNOWN  Running        C0A8000100000596479F4DCE

bsns-3750-5#show mac  address-table interface g1/0/1

Mac Address Table

-------------------------------------------

Vlan    Mac Address       Type        Ports

----    -----------       --------    -----

100    0007.5032.6941    DYNAMIC     Drop

Total Mac Addresses for this criterion: 1

Después de una autenticación exitosa, la dirección MAC se vuelve estática y se proporciona el número de puerto:

bsns-3750-5#show authentication sessions

Interface  MAC Address     Method   Domain   Status         Session ID

Gi1/0/1    0007.5032.6941  mab      VOICE    Authz Success  C0A8000100000596479F4DCE

bsns-3750-5#show mac address-table interface g1/0/1

Mac Address Table

-------------------------------------------

Vlan    Mac Address       Type        Ports

----    -----------       --------    -----

100    0007.5032.6941    STATIC      Gi1/0/1

Esto es cierto para todas las sesiones mab/dot1x para ambos dominios (VOZ/DATOS).

Troubleshoot

No olvide leer la guía de configuración de 802.1x para su versión de software y plataforma específica.

Si abre un caso TAC, proporcione el resultado de estos comandos:

- show tech

- show authentication session interface <xx> detail

- show mac address-table interface <xx>

También es bueno recopilar una captura de paquetes de puerto SPAN y estas depuraciones:

- debug radius verbose

- debug epm all

- debug authentication all

- debug dot1x all

- debug authentication feature <yy> all

- debug aaa authentication

- debug aaa authorization

Información Relacionada

- Guía de Configuración de Servicios de Autenticación 802.1X, Cisco IOS XE Release 3SE (Switches Catalyst 3850)

- Guía de Configuración de Catalyst 3750-X y Catalyst 3560-X Switch Software, Cisco IOS Release 15.2(1)E

- Guía de Configuración del Software Catalyst 3750-X y 3560-X, Versión 15.0(1)SE

- Guía de Configuración del Software Catalyst 3560, Versión 12.2(52)SE

- Soporte Técnico y Documentación - Cisco Systems