内容

概要

前提条件

要件

使用するコンポーネント

設定

ネットワーク図

オーセンティケータ スイッチの設定

サプリカント スイッチの設定

ISE の設定

確認

オーセンティケータ スイッチに対するサプリカント スイッチの認証

サプリカント スイッチに対する Windows PC の認証

ネットワークからの認証されたクライアントの削除

サプリカント スイッチの削除

サプリカント スイッチの dot1x なしのポート

トラブルシュート

概要

このドキュメントでは、単純なシナリオにおける Network Edge Authentication Topology（NEAT）の設定と動作について説明します。NEAT では、サプリカント スイッチとオーセンティケータ スイッチ間でクライアントの MAC アドレスと VLAN 情報を伝播するために Client Information Signalling Protocol（CISP）が使用されます。

この設定例では、オーセンティケータスイッチ（オーセンティケータとも呼ばれる）とサプリカントスイッチ（サプリカントとも呼ばれる）の両方が802.1x認証を実行します。オーセンティケータはサプリカントを認証し、その結果テストPCを認証します。

前提条件

要件

IEEE 802.1x 認証の標準規格の知識があることが推奨されています。

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

- Cisco IOS®ソフトウェアリリース12.2(55)SE8が稼働する2台のCisco Catalyst 3560シリーズスイッチ（1台はオーセンティケータとして機能し、もう1台はサプリカントとして機能）

- Cisco Identity Services Engine（ISE）、リリース 1.2

- Microsoft Windows XP、サービス パック 3 がインストールされた PC

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、その潜在的な影響について確実に理解しておく必要があります。

設定

この例では、次のものの設定例について説明します。

- オーセンティケータ スイッチ

- サプリカント スイッチ

- Cisco ISE

設定は、このラボ演習を実行するために最低限必要な設定です。設定は他のニーズに最適でないか、または他のニーズを満たしていない可能性があります。

注：このセクションで使用されているコマンドの詳細を調べるには、Command Lookup Tool(登録ユーザ専用)を使用してください。

ネットワーク図

このネットワーク図は、この例で使用される接続を示します。黒い線は論理的または物理的な接続を示し、緑の線は 802.1X の使用によって認証されるリンクを示します。

オーセンティケータ スイッチの設定

オーセンティケータには、dot1x に必要な基本要素が含まれています。この例では、NEAT または CISP に固有のコマンドは太字で示されています。

これは、基本の認証、認可、アカウンティング（AAA）設定です。

aaa new-model

aaa authentication dot1x default group radius

aaa authorization network default group radius

aaa accounting dot1x default start-stop group radius

radius-server host 10.48.66.107 auth-port 1812 acct-port 1813  key cisco

! Enable authenticator switch to authenticate the supplicant switch.

dot1x system-auth-control

! Enable CISP framework.

cisp enable

! configure uplink port as access and dot1x authentication.

interface FastEthernet0/6

switchport mode access

authentication port-control auto

dot1x pae authenticator

spanning-tree portfast

CISP はグローバルに有効にされており、相互接続ポートはオーセンティケータおよびアクセス モードで設定されています。

サプリカント スイッチの設定

正確なサプリカント設定は、セットアップ全体の設定が予期したとおりに動作するのに非常に重要です。この設定例には、標準的な AAA と dot1x 設定が含まれています。

基本的な AAA 設定は次のとおりです。

aaa new-model

aaa authentication dot1x default group radius

aaa authorization network default group radius

aaa accounting dot1x default start-stop group radius

radius-server host 10.48.66.107 auth-port 1812 acct-port 1813 key cisco

! Enable supplicant switch to authenticate devices connected

dot1x system-auth-control

! Forces the switch to send only multicast EAPOL packets when it receives either

unicast or multicast packets, which allows NEAT to work on the supplicant

switch in all host modes.

dot1x supplicant force-multicast

! Enable CISP framework operation.

cisp enable

サプリカントは資格情報を設定し、使用される Extensible Authentication Protocol（EAP）方式を提供する必要があります。

CISP の場合、サプリカントは（EAP タイプの中で特に）Secure Protocol（FAST）を介して EAP-Message Digest 5（MD5）および EAP-Flexible Authentication を認証に使用できます。ISE 設定を最低限に保つために、この例はオーセンティケータに対するサプリカントの認証に EAP-MD5 を使用します。(デフォルトではEAP-FASTの使用が強制されますが、これにはProtected Access Credential(PAC)プロビジョニングが必要です。このドキュメントではこのシナリオについては説明しません)。

! configure EAP mode used by supplicant switch to authenticate itself to

authenticator switch eap profile EAP_PRO

method md5

! Configure credentials use by supplicant switch during that authentication.

dot1x credentials CRED_PRO

username bsnsswitch

password 0 C1sco123

オーセンティケータへのサプリカントの接続はすでにトランク ポートになるように設定されています（オーセンティケータでのアクセス ポート 設定とは対照的です）。この段階では、これは予想どおりです。ISEが正しい属性を返すと、設定が動的に変更されます。

interface FastEthernet0/6

switchport trunk encapsulation dot1q

switchport mode trunk

dot1x pae supplicant

dot1x credentials CRED_PRO

dot1x supplicant eap profile EAP_PRO

Windows PC に接続するポートは最小限の設定が行われており、ここでは参照用にのみ示されています。

interface FastEthernet0/5

switchport access vlan 200

switchport mode access

authentication port-control auto

dot1x pae authenticator

ISE の設定

次に、基本的な ISE 設定を設定する例を示します。

1. 必要な認証プロトコルを有効にします。

この例では、ワイヤード dot1x は、EAP-MD5 がオーセンティケータに対してサプリカントを認証することを許可し、Protected Extensible Authentication Protocol（PEAP）-Microsoft Challenge Handshake Authentication Protocol Version 2（MSCHAPv2）がサプリカントに対して Windows PC を認証することを許可しています。

[Policy] > [Results] > [Authentication] > [Allowed protocols] に移動し、ワイヤード dot1x によって使用されるプロトコル サービス リストを選択して、この手順のプロトコルが有効であることを確認します。

2. 許可ポリシーの作成。[Policy] > [Results] > [Authorization] > [Authorization Policy] に移動して、ポリシーを作成するか、または返された属性として NEAT が含まれるようにポリシーを更新します。このようなポリシーの例を次に示します。

NEAT オプションがオンになっている場合、ISE は認証の一部として device-traffic-class=switch を返します。このオプションは、オーセンティケータのポート モードをアクセスからトランクに変更するために必要です。

3. このプロファイルを使用するための許可ルールを作成します。[Policy] > [Authorization] に移動して、ルールを作成または更新します。

この例では、Authenticator_switches と呼ばれる特別なデバイス グループが作成され、すべてのサプリカントは bsnsswitch で始まるユーザ名を送信します。

4. ユーザを適切なグループに追加します。[Administration] > [Network Resources] > [Location Services] に移動し、[Add].をクリックします。

この例では、BSTP-3500-1（オーセンティケータ）はAuthenticator_switchesグループの一部です。BSTP-3500-2（サプリカント）はこのグループの一部である必要はありません。

確認

ここでは、設定が正常に機能しているかどうかを確認します。ここでは、次の 2 つの動作について説明します。

- スイッチ間の認証

- Windows PC とサプリカント間の認証

また、次の 3 つの追加の状況を示します。

- ネットワークからの認証されたクライアントの削除

- サプリカントの削除

- サプリカントの dot1x なしのポート

注：

アウトプット インタープリタ ツール（登録ユーザ専用）は、特定の show コマンドをサポートしています。show コマンドの出力の分析を表示するには、Output Interpreter Tool を使用します。

debug コマンドを使用する前に、「デバッグ コマンドの重要な情報」を参照してください。

オーセンティケータ スイッチに対するサプリカント スイッチの認証

この例では、サプリカントはオーセンティケータに対して認証します。プロセスの手順は次のとおりです。

1. サプリカントはポート fastethernet0/6.に設定され、プラグインされます。dot1x 交換により,サプリカントはオーセンティケータに前もって構成されたユーザ名およびパスワードを送信するために EAP を使用します。

2. オーセンティケータは RADIUS 交換を実行し、ISE 検証のために資格情報を提供します。

3. 資格情報が正しい場合、ISE は NEAT によって必要とされる属性（device-traffic-class=switch）を返し、オーセンティケータはスイッチポート モードをアクセスからトランクに変更します。

この例では、スイッチ間の CISP 情報の交換を示しています。

bstp-3500-1#debug cisp all

Oct 15 13:51:03.672: %AUTHMGR-5-START: Starting 'dot1x' for client

(001b.0d55.2187) on Interface Fa0/6 AuditSessionID 0A3039E10000000600757ABB

Oct 15 13:51:03.723: %DOT1X-5-SUCCESS: Authentication successful for client

(001b.0d55.2187) on Interface Fa0/6 AuditSessionID

Oct 15 13:51:03.723: %AUTHMGR-7-RESULT: Authentication result 'success' from

'dot1x' for client (001b.0d55.2187) on Interface Fa0/6 AuditSessionID

0A3039E10000000600757ABB

Oct 15 13:51:03.723: Applying command... 'no switchport access vlan 1' at Fa0/6

Oct 15 13:51:03.739: Applying command... 'no switchport nonegotiate' at Fa0/6

Oct 15 13:51:03.748: Applying command... 'switchport trunk encapsulation dot1q'

at Fa0/6

Oct 15 13:51:03.756: Applying command... 'switchport mode trunk' at Fa0/6

Oct 15 13:51:03.756: Applying command... 'switchport trunk native vlan 1' at

Fa0/6

Oct 15 13:51:03.764: Applying command... 'spanning-tree portfast trunk' at Fa0/6

Oct 15 13:51:04.805: %AUTHMGR-5-SUCCESS: Authorization succeeded for client

(001b.0d55.2187) on Interface Fa0/6 AuditSessionID 0A3039E10000000600757ABB

Oct 15 13:51:04.805: CISP-EVENT (Fa0/6): Received action Run Authenticator

Oct 15 13:51:04.805: CISP-EVENT (Fa0/6): Authenticator received event Start in

state Not Running

Oct 15 13:51:04.805: CISP-EVENT (Fa0/6): Authenticator state changed to Waiting

link UP

Oct 15 13:51:04.805: CISP-EVENT (Fa0/6): Sync supp_id: 0

Oct 15 13:51:05.669: %LINK-3-UPDOWN: Interface FastEthernet0/6, changed state to

up

Oct 15 13:51:06.793: CISP-EVENT (Fa0/6): Received action Run Authenticator

Oct 15 13:51:06.793: CISP-EVENT (Fa0/6): Authenticator received event Start in

state Waiting link UP (no-op)

Oct 15 13:51:07.799: %LINEPROTO-5-UPDOWN: Line protocol on Interface

FastEthernet0/6, changed state to up

Oct 15 13:51:07.799: CISP-EVENT (Fa0/6): Authenticator received event Link UP in

state Waiting link UP

Oct 15 13:51:07.799: CISP-EVENT (Fa0/6): Transmitting a CISP Packet

Oct 15 13:51:07.799: CISP-TXPAK (Fa0/6): Code:RESPONSE ID:0x20 Length:0x0018

Type:HELLO

Oct 15 13:51:07.799: CISP-EVENT (Fa0/6): Proposing CISP version: 1

Oct 15 13:51:07.799: CISP-EVENT (Fa0/6): Started 'hello' timer (5s)

Oct 15 13:51:07.799: CISP-EVENT (Fa0/6): Authenticator state changed to Idle

Oct 15 13:51:07.799: CISP-EVENT (Fa0/6): Sync supp_id: 0

Oct 15 13:51:07.799: CISP-EVENT: Received action Start Tick Timer

Oct 15 13:51:07.799: CISP-EVENT: Started CISP tick timer

Oct 15 13:51:12.942: CISP-EVENT (Fa0/6): 'hello' timer expired

Oct 15 13:51:12.942: CISP-EVENT (Fa0/6): Authenticator received event Timeout in

state Idle

Oct 15 13:51:12.942: CISP-EVENT (Fa0/6): Transmitting a CISP Packet

Oct 15 13:51:12.942: CISP-TXPAK (Fa0/6): Code:RESPONSE ID:0x20 Length:0x0018

Type:HELLO

Oct 15 13:51:12.942: CISP-EVENT (Fa0/6): Proposing CISP version: 1

Oct 15 13:51:12.942: CISP-EVENT (Fa0/6): Started 'hello' timer (5s)

Oct 15 13:51:18.084: CISP-EVENT (Fa0/6): 'hello' timer expired

Oct 15 13:51:18.084: CISP-EVENT (Fa0/6): Authenticator received event Timeout in

state Idle

Oct 15 13:51:18.084: CISP-EVENT (Fa0/6): Transmitting a CISP Packet

Oct 15 13:51:18.084: CISP-TXPAK (Fa0/6): Code:RESPONSE ID:0x20 Length:0x0018

Type:HELLO

Oct 15 13:51:18.084: CISP-EVENT (Fa0/6): Proposing CISP version: 1

Oct 15 13:51:18.084: CISP-EVENT (Fa0/6): Started 'hello' timer (5s)

Oct 15 13:51:23.226: CISP-EVENT (Fa0/6): 'hello' timer expired

Oct 15 13:51:23.226: CISP-EVENT (Fa0/6): Authenticator received event Timeout in

state Idle

Oct 15 13:51:23.226: CISP-EVENT (Fa0/6): Transmitting a CISP Packet

Oct 15 13:51:23.226: CISP-TXPAK (Fa0/6): Code:RESPONSE ID:0x20 Length:0x0018

Type:HELLO

Oct 15 13:51:23.226: CISP-EVENT (Fa0/6): Proposing CISP version: 1

Oct 15 13:51:23.226: CISP-EVENT (Fa0/6): Started 'hello' timer (5s)

Oct 15 13:51:28.377: CISP-EVENT (Fa0/6): 'hello' timer expired

Oct 15 13:51:28.377: CISP-EVENT (Fa0/6): Authenticator received event Timeout in

state Idle

Oct 15 13:51:29.400: CISP-EVENT: Stopped CISP tick timer

Oct 15 13:51:36.707: CISP-RXPAK (Fa0/6): Code:REQUEST ID:0x22 Length:0x001C

Type:REGISTRATION

Oct 15 13:51:36.707: Payload: 0200E84B

Oct 15 13:51:36.707: CISP-EVENT (Fa0/6): Authenticator received event Receive

Packet in state Idle

Oct 15 13:51:36.707: CISP-EVENT (Fa0/6): Proposed CISP version: 1

Oct 15 13:51:36.707: CISP-EVENT (Fa0/6): Negotiated CISP version: 1

Oct 15 13:51:36.707: CISP-EVENT (Fa0/6): Sync supp_id: 59467

Oct 15 13:51:36.707: CISP-EVENT (Fa0/6): Transmitting a CISP Packet

Oct 15 13:51:36.707: CISP-TXPAK (Fa0/6): Code:RESPONSE ID:0x22 Length:0x001C

Type:REGISTRATION

Oct 15 13:51:36.707: Payload: 01000000

Oct 15 13:51:36.724: CISP-RXPAK (Fa0/6): Code:REQUEST ID:0x23 Length:0x003A

Type:ADD_CLIENT

Oct 15 13:51:36.724: Payload: 010011020009001B0D5521C10300050 ...

Oct 15 13:51:36.724: CISP-EVENT (Fa0/6): Authenticator received event Receive

Packet in state Idle

Oct 15 13:51:36.724: CISP-EVENT (Fa0/6): Adding client 001b.0d55.21c1 (vlan: 200)

to authenticator list

Oct 15 13:51:36.724: CISP-EVENT (Fa0/6): Notifying interest parties about new

downstream client 001b.0d55.21c1 (vlan: 200)

Oct 15 13:51:36.724: CISP-EVENT (Fa0/6): Adding client info at Authenticator

Oct 15 13:51:36.724: CISP-EVENT (Fa0/6): Adding client 001b.0d55.21c0 (vlan: 1)

to authenticator list

Oct 15 13:51:36.724: CISP-EVENT (Fa0/6): Notifying interest parties about new

downstream client 001b.0d55.21c0 (vlan: 1)

Oct 15 13:51:36.724: CISP-EVENT (Fa0/6): Adding client info at Authenticator

Oct 15 13:51:36.724: CISP-EVENT (Fa0/6): Transmitting a CISP Packet

Oct 15 13:51:36.724: CISP-TXPAK (Fa0/6): Code:RESPONSE ID:0x23 Length:0x0018

Type:ADD_CLIENT

認証と認可が成功すると、CISP 交換が実行されます。各交換には、サプリカントによって返される REQUEST、およびオーセンティケータからの応答および確認応答として動作する RESPONSE があります。

REGISTRATIONとADD_CLIENTの2つの異なる交換が実行されます。REGISTRATION 中に、サプリカントは CISP 可能であることをオーセンティケータに通知します。それに対してオーセンティケータはこのメッセージを確認応答します。ADD_CLIENT 交換は、サプリカントのローカル ポートに接続されているデバイスについてオーセンティケータに通知するために使用されます。REGISTRATION と同様に、ADD-CLIENT はサプリカントで開始され、オーセンティケータによって確認応答されます。

通信、ロール、アドレスを確認するために、次の show コマンドを入力します。

bstp-3500-1#show cisp clients

Authenticator Client Table:

---------------------------

MAC Address VLAN Interface

---------------------------------

001b.0d55.21c1 200 Fa0/6

001b.0d55.21c0 1 Fa0/6

bstp-3500-1#show cisp registrations

Interface(s) with CISP registered user(s):

------------------------------------------

Fa0/6

Auth Mgr (Authenticator)

この例では、オーセンティケータのロールが正しいインターフェイス（fa0/6）に適切に割り当てられ、2 つの MAC アドレスが登録されています。MAC アドレスは VLAN1 と VLAN200 のポート fa0/6 上のサプリカントです。

dot1x 認証セッションの確認をすぐに実行できます。アップストリーム スイッチの fa0/6 ポートはすでに認証されます。これは、BSTP-3500-2（サプリカント）がプラグインされると実行される dot1x 交換です。

bstp-3500-1#show authentication sessions

Interface MAC Address Method Domain Status Session ID

Fa0/6 001b.0d55.2187 dot1x DATA Authz Success 0A3039E10000000700FB3259

予測どおり、この段階ではサプリカントにセッションはありません。

bstp-3500-2#show authentication sessions

No Auth Manager contexts currently exist

サプリカント スイッチに対する Windows PC の認証

この例では、Windows PC はサプリカントに対して認証します。プロセスの手順は次のとおりです。

1. Windows PC は、BSTP-3500-2（サプリカント）の FastEthernet 0/5 ポートにプラグインされます。

2. サプリカントは、ISE で認証と認可を実行します。

3. サプリカントは、新しいクライアントがポートで接続されることをオーセンティケータに通知します。

サプリカントからの通信を以下に示します。

Oct 15 14:19:37.207: %AUTHMGR-5-START: Starting 'dot1x' for client

(c464.13b4.29c3) on Interface Fa0/5 AuditSessionID 0A3039E200000013008F77FA

Oct 15 14:19:37.325: %DOT1X-5-SUCCESS: Authentication successful for client

(c464.13b4.29c3) on Interface Fa0/5 AuditSessionID

Oct 15 14:19:37.325: %AUTHMGR-7-RESULT: Authentication result 'success' from

'dot1x' for client (c464.13b4.29c3) on Interface Fa0/5 AuditSessionID

0A3039E200000013008F77FA

Oct 15 14:19:37.341: CISP-EVENT (Fa0/5): Received action Add Client

Oct 15 14:19:37.341: CISP-EVENT (Fa0/5): Adding client c464.13b4.29c3 (vlan: 200)

to supplicant list

Oct 15 14:19:37.341: CISP-EVENT (Fa0/6): Supplicant received event Add Client in

state Idle

Oct 15 14:19:37.341: CISP-EVENT (Fa0/6): Adding client c464.13b4.29c3 (vlan: 200)

to the ADD list

Oct 15 14:19:37.341: CISP-EVENT (Fa0/6): Adding client c464.13b4.29c3 (vlan: 200)

to ADD CLIENT req

Oct 15 14:19:37.341: CISP-EVENT (Fa0/6): Transmitting a CISP Packet

Oct 15 14:19:37.341: CISP-TXPAK (Fa0/6): Code:REQUEST ID:0x24 Length:0x0029

Type:ADD_CLIENT

Oct 15 14:19:37.341: Payload: 010011020009C46413B429C30300050 ...

Oct 15 14:19:37.341: CISP-EVENT (Fa0/6): Started 'retransmit' timer (30s)

Oct 15 14:19:37.341: CISP-EVENT: Started CISP tick timer

Oct 15 14:19:37.341: CISP-EVENT (Fa0/6): Supplicant state changed to Request

Oct 15 14:19:37.341: CISP-RXPAK (Fa0/6): Code:RESPONSE ID:0x24 Length:0x0018

Type:ADD_CLIENT

Oct 15 14:19:37.350: CISP-EVENT (Fa0/6): Supplicant received event Receive Packet

in state Request

Oct 15 14:19:37.350: CISP-EVENT (Fa0/6): Stopped 'retransmit' timer

Oct 15 14:19:37.350: CISP-EVENT (Fa0/6): All Clients implicitly ACKed

Oct 15 14:19:37.350: CISP-EVENT (Fa0/6): Supplicant state changed to Idle

Oct 15 14:19:38.356: %AUTHMGR-5-SUCCESS: Authorization succeeded for client

(c464.13b4.29c3) on Interface Fa0/5 AuditSessionID 0A3039E200000013008F77FA

Oct 15 14:19:38.356: CISP-EVENT (Fa0/5): Received action Run Authenticator

Oct 15 14:19:38.356: CISP-EVENT (Fa0/5): Authenticator received event Start in

state Not Running

Oct 15 14:19:38.356: CISP-EVENT (Fa0/5): Authenticator state changed to Waiting

link UP

Oct 15 14:19:38.356: CISP-EVENT (Fa0/5): Sync supp_id: 0

Oct 15 14:19:38.373: CISP-EVENT: Stopped CISP tick timer

Oct 15 14:19:39.162: %LINK-3-UPDOWN: Interface FastEthernet0/5, changed state to

up

ADD_CLIENT 交換が行われますが、REGISTRATION 交換は必要ではありません。

サプリカントの動作を確認するために、show cisp registrations コマンドを入力します。

bstp-3500-2#show cisp registrations

Interface(s) with CISP registered user(s):

------------------------------------------

Fa0/5

Auth Mgr (Authenticator)

Fa0/6

802.1x Sup (Supplicant)

サプリカントには、オーセンティケータ（fa0/6 インターフェイス）に対するサプリカントのロールと、Windows PC（fa0/5 インターフェイス）に対するオーセンティケータのロールがあります。

オーセンティケータの動作を確認するために、show cisp clients コマンドを入力します。

bstp-3500-1#show cisp clients

Authenticator Client Table:

---------------------------

MAC Address VLAN Interface

---------------------------------

001b.0d55.21c1 200 Fa0/6

001b.0d55.21c0 1 Fa0/6

c464.13b4.29c3 200 Fa0/6

新しい MAC アドレスが VLAN 200 の下のオーセンティケータに表示されます。これは、サプリカントの AAA 要求で確認された MAC アドレスです。

認証セッションは、同じデバイスがサプリカントの fa0/5 ポートに接続されていることを示す必要があります。

bstp-3500-2#show authentication sessions

Interface MAC Address Method Domain Status Session ID

Fa0/5 c464.13b4.29c3 dot1x DATA Authz Success 0A3039E20000001501018B58

ネットワークからの認証されたクライアントの削除

クライアントが削除されるとき（たとえば、ポートがシャットダウンされる場合）、オーセンティケータは DELETE_CLIENT 交換によって通知されます。

Oct 15 15:54:05.415: CISP-RXPAK (Fa0/6): Code:REQUEST ID:0x25 Length:0x0029

Type:DELETE_CLIENT

Oct 15 15:54:05.415: Payload: 010011020009C46413B429C30300050 ...

Oct 15 15:54:05.415: CISP-EVENT (Fa0/6): Authenticator received event Receive

Packet in state Idle

Oct 15 15:54:05.415: CISP-EVENT (Fa0/6): Removing client c464.13b4.29c3

(vlan: 200) from authenticator list

Oct 15 15:54:05.415: CISP-EVENT (Fa0/6): Notifying interest parties about

deletion of downstream client c464.13b4.29c3 (vlan: 200)

Oct 15 15:54:05.415: CISP-EVENT (Fa0/6): Transmitting a CISP Packet

Oct 15 15:54:05.415: CISP-TXPAK (Fa0/6): Code:RESPONSE ID:0x25 Length:0x0018

Type:DELETE_CLIENT

サプリカント スイッチの削除

サプリカントがプラグを抜かれるか、または削除されるとき、オーセンティケータはセキュリティの問題を防ぐために、ポートを元の設定に戻します。

Oct 15 15:57:31.257: Applying command... 'no switchport nonegotiate' at Fa0/6

Oct 15 15:57:31.273: Applying command... 'switchport mode access' at Fa0/6

Oct 15 15:57:31.273: Applying command... 'no switchport trunk encapsulation

dot1q' at Fa0/6

Oct 15 15:57:31.290: Applying command... 'no switchport trunk native vlan 1' at

Fa0/6

Oct 15 15:57:31.299: Applying command... 'no spanning-tree portfast trunk' at

Fa0/6

Oct 15 15:57:31.307: Applying command... 'switchport access vlan 1' at Fa0/6

Oct 15 15:57:31.315: Applying command... 'spanning-tree portfast' at Fa0/6

Oct 15 15:57:32.247: %LINEPROTO-5-UPDOWN: Line protocol on Interface

FastEthernet0/6, changed state to down

Oct 15 15:57:32.247: CISP-EVENT (Fa0/6): Authenticator received event Link DOWN

in state Idle

Oct 15 15:57:32.247: CISP-EVENT (Fa0/6): Removing client 001b.0d55.21c1

(vlan: 200) from authenticator list

Oct 15 15:57:32.247: CISP-EVENT (Fa0/6): Notifying interest parties about

deletion of downstream client 001b.0d55.21c1 (vlan: 200)

Oct 15 15:57:32.247: CISP-EVENT (Fa0/6): Removing client 001b.0d55.21c0 (vlan: 1)

from authenticator list

Oct 15 15:57:32.247: CISP-EVENT (Fa0/6): Notifying interest parties about

deletion of downstream client 001b.0d55.21c0 (vlan: 1)

Oct 15 15:57:32.247: CISP-EVENT (Fa0/6): Authenticator state changed to Not

Running

Oct 15 15:57:32.247: CISP-EVENT (Fa0/6): Sync supp_id: 0

Oct 15 15:57:33.262: %LINK-3-UPDOWN: Interface FastEthernet0/6, changed state

to down

同時に、サプリカントは CISP テーブルからサプリカントを表すクライアントを削除し、そのインターフェイスで CISP を非アクティブ化します。

サプリカント スイッチの dot1x なしのポート

サプリカントからオーセンティケータに伝播される CISP 情報は、適用を強化するものにすぎません。サプリカントは、接続されているすべての許可された MAC アドレスについてオーセンティケータに通知します。

一般的に誤解されるシナリオは、dot1xが有効になっていないポートにデバイスが接続されている場合、MACアドレスが学習され、CISPを介してアップストリームスイッチに伝搬されるというものです。

オーセンティケータは、CISP を介して学習されたすべてのクライアントからの通信を許可します。

要するに、デバイスのアクセスを dot1x または他の方法を使用して制限し、MAC アドレスおよび VLAN 情報をオーセンティケータに伝搬することがサプリカントのロールです。オーセンティケータは、それらの更新で提供された情報を適用する役割を果たします。

一例として、新しい VLAN（VLAN300）は両方のスイッチで作成され、デバイスはサプリカントのポート fa0/4 にプラグインされました。ポート fa0/4 は、dot1x 用に設定されていないシンプルなアクセス ポートです。

サプリカントからのこの出力は、新しい登録済みのポートを示しています。

bstp-3500-2#show cisp registrations

Interface(s) with CISP registered user(s):

------------------------------------------

Fa0/4

Fa0/5

Auth Mgr (Authenticator)

Fa0/6

802.1x Sup (Supplicant)

オーセンティケータでは、新しい MAC アドレスは VLAN 300 に表示されます。

bstp-3500-1#show cisp clients

Authenticator Client Table:

---------------------------

MAC Address VLAN Interface

---------------------------------

001b.0d55.21c1 200 Fa0/6

001b.0d55.21c0 1 Fa0/6

001b.0d55.21c2 300 Fa0/6

c464.13b4.29c3 200 Fa0/6

68ef.bdc7.13ff 300 Fa0/6

トラブルシュート

ここでは、設定のトラブルシューティングに使用できる情報を示します。

注：

アウトプット インタープリタ ツール（登録ユーザ専用）は、特定の show コマンドをサポートしています。show コマンドの出力の分析を表示するには、Output Interpreter Tool を使用します。

debug コマンドを使用する前に、「デバッグ コマンドの重要な情報」を参照してください。

次のコマンドは、NEATおよびCISPのトラブルシューティングに役立ちます。このドキュメントには、その多くの例が含まれています。

- debug cisp all：スイッチ間の CISP 情報の交換を示します。

- show cisp summary：スイッチ上の CISP インターフェイスのステータスの概要を表示します。

- show cisp registrations：CISP 交換に関与するインターフェイス、それらのインターフェイスのロール、およびそのインターフェイスが NEAT の一部であるかどうかを示します。

- show cisp clients：既知のクライアント MAC アドレスとその場所（VLAN とインターフェイス）の表を表示します。これは主にオーセンティケータ側に役立ちます。