Inhoud

Inleiding

Voorwaarden

Eisen en topologie van de oplossing

Gebruikte componenten

MSE integreren met ISE

Invoervergunning instellen

Probleemoplossing

Gerelateerde Cisco Support Community-discussies

Inleiding

Dit artikel zal demonstreren hoe MSE (Mobility Services Engine) te integreren met Identity Services Engine (ISE) voor een locatiegebaseerde autorisatie. Het doel is toegang tot draadloze apparatuur te verlenen of te weigeren op basis van hun fysieke locatie.

Voorwaarden

Eisen en topologie van de oplossing

Hoewel de MSE-configuratie niet binnen het bereik van dit document valt, is hier een algemeen concept van de oplossing:

-MSE wordt beheerd door Prime Infrastructure (voorheen NCS) voor configuratie, plattegronden en WLC toewijzing

-MSE communiceert met de Wireless LAN Controller (WLC) (nadat deze door Prime) toegewezen is geweest met behulp van NMSP-protocol. Dit geeft in principe informatie over de Ontvangen Signal Sterkte (RSSI) ontvangen per APs voor verbonden cliënten, wat MSE in staat stelt om hun plaats te berekenen.

Basisstappen om dat te doen:

Eerst moet u een kaart definiëren op Prime Infrastructure (PI), het dekkingsgebied op deze kaart instellen en de APs plaatsen.

Wanneer u MSE aan priemgetal toevoegt, kiest u CAS-service.

Als MSE is toegevoegd, kiest u in eerste instantie de sync-services en controleert u de WLC / en de kaarten om ze aan de MSE toe te wijzen.

Voordat MSE met ISE wordt geïntegreerd, moet MSE actief zijn, dat wil zeggen:

1. MSE moet worden toegevoegd aan Prime-infrastructuur en services zijn gesynchroniseerd

2. CAS-service moet worden ingeschakeld en draadloze client-tracking moet worden ingeschakeld

3. De kaarten moeten in de machine worden geconfigureerd

4. NMSP zou tussen MSE en WLCs succesvol moeten zijn (toon nmsp status" op de WLC opdrachtregel)

Bij deze installatie is er slechts één gebouw met 2 verdiepingen:

Gebruikte componenten

- MSE versie 8.0.110

- ISE versie 2.0

MSE integreren met ISE

Ga naar netwerkbronnen, locatieservices en klik op Toevoegen om MSE toe te voegen.

De parameters zijn zelf-verklarend, en je kunt verbinding testen, en ook cliënt locatie raadpleging door mac adres:

Daarna moet je naar de Location boom gaan en op Get Update klikken. Dit stelt ISE in staat om gebouwen en vloeren van MSE te halen en maakt ze beschikbaar in ISE, vergelijkbaar met wanneer u AD groepen toevoegt.

Invoervergunning instellen

De eigenschappen MSE:Map Locatie kunnen nu in autorisatiebeleid gebruikt worden.

Configureer de 2 onderstaande regels:

Gebruikers in Floor1 moeten dit kunnen authenticeren.

We zien in de authenticatie details het juiste profiel evenals MAP Locatie attributie

Als het eindpunt van de ene zone naar de andere overgaat, wordt de configuratie niet gedecodeerd. Als u de beweging van de gebruiker wilt volgen en een CoA wilt verzenden als de vergunningsverandering, kunt u de volgoptie in het vergunningprofiel inschakelen, dat om de 5 minuten zal controleren op de plaats die verandert.  Merk op dat dit verstorend kan werken voor normale snelle roamingoperaties.

Probleemoplossing

Voor deze optie is de ISE-configuratie eenvoudig. De meeste problemen kunnen echter optreden als MSE het apparaat niet kan vinden.

Een paar dingen om te controleren of MSE goed is ingesteld:

1- Zorg dat de WLC waar de gebruiker aangesloten is, een geldige NMSP verbinding met MSE ISE heeft geïntegreerd met:

(b2504) >show nmsp status

MSE IP Address            Tx Echo Resp    Rx Echo Req    Tx Data    Rx Data

--------------            ------------    -----------    -------    -------

10.48.39.241         3711            3711           15481      7

Als dit niet het geval is, helpt dit document

http://www.cisco.com/c/en/us/td/docs/solutions/Enterprise/Borderless_Networks/Unified_Access/CMX/CMX_Troubleshooting.pdf

2- Controleer of MSE in staat is om apparaten te volgen

[root@loc-server ~]# service msed status

...

-------------

Context Aware Service

-------------

Total Active Elements(Wireless Clients, Tags, Rogue APs, Rogue Clients, Interferers, Wired Clients): 29

Active Wireless Clients: 29

Active Tags: 0

Active Rogue APs: 0

Active Rogue Clients: 0