LAB 3 – XÁC THỰC DOT1X DÙNG KIỂU FAST
Mô tả
Bài lab này mô tả cách xác thực dot1x dùng cơ chế FAST, các thiết bị dùng trong bài bao gồm ACS của Cisco, wireless client adapter của Cisco, WLAN Controller và Lightweight Access Point.
Sơ đồ
Thực hiện
Cấu hình cơ bản trên router:
C2811#sh run
Building configuration...
version 12.4
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname c2811
!
boot-start-marker
boot-end-marker
!
security authentication failure rate 5 log
enable secret 5 $1$QgGG$mjteEFA5x1onr2X3kuDp50
!
aaa session-id common
!
!
ip cef
no ip dhcp use vrf connected
ip dhcp excluded-address 192.168.100.1
ip dhcp excluded-address 10.10.10.1 10.10.10.100
ip dhcp excluded-address 192.168.2.1
ip dhcp excluded-address 192.168.2.254
!
ip dhcp pool 192.168.100.0
network 192.168.100.0 255.255.255.0
default-router 192.168.100.1
option 43 ip 192.168.99.24
!
ip dhcp pool 10
network 10.10.10.0 255.255.255.0
default-router 10.10.10.1
!
ip dhcp pool vlan2
network 192.168.2.0 255.255.255.0
default-router 192.168.2.254
!
multilink bundle-name authenticated
!
username admin password 0 admin
!
interface FastEthernet0/0
ip address 10.10.10.1 255.255.255.0
duplex auto
speed auto
!
interface FastEthernet0/1
ip address 192.168.100.1 255.255.255.0
ip virtual-reassembly
duplex auto
speed auto
!
interface Serial0/0/0
no ip address
shutdown
clock rate 2000000
!
interface Serial0/0/1
no ip address
shutdown
clock rate 2000000
!
interface wlan-controller1/0
no ip addresss
shutdown
!
!
control-plane
!
line con 0
exec-timeout 0 0
logging synchronous
line aux 0
line vty 4
!
!
scheduler allocate 20000 1000
!
End
Trước khi thực hiện bài lab này yêu cầu cài đặt thành công phần mềm ACS trên server làm vai trò máy chủ xác thực
Bước 1: cấu hình cơ bản router 2811 và WLC module
Cấu hình địa chỉ IP trên interface W1/0 của Router 2811
c2811#configure terminal
Enter configuration commands, one per line. End with CNTL/Z.
c2811(config)#
c2811(config)#interface wlan-controller 1/0
c2811(config-if)#ip address 192.168.99.254 255.255.255.0
c2811(config-if)#no shut
c2811(config-if)#end
Truy cập vào WLC module từ Router 2811
c2811#service-module wlan-controller 1/0 session
Trying 192.168.99.254, 2066 ... Open
Cấu hình WLC từ chế độ SETUP MODE như sau
Welcome to the Cisco Wizard Configuration ToolUse the '-' character to backupSystem Name [Cisco_ff:f6:a0]: NMWLCEnter Administrative User Name (24 characters max): ciscoEnter Administrative Password (24 characters max): cisco Management Interface IP Address: 192.168.99.24Management Interface Netmask: 255.255.255.0Management Interface Default Router: 192.168.99.254 Management Interface VLAN Identifier (0 = untagged): 0Management Interface Port Num [1]: 1Management Interface DHCP Server IP Address: 192.168.99.24 AP Manager Interface IP Address: 192.168.99.25 AP-Manager is on Management subnet, using same valuesAP Manager Interface DHCP Server (192.168.99.24): 192.168.99.24 Virtual Gateway IP Address: 1.1.1.1 Mobility/RF Group Name: mg1 Network Name (SSID): wl15Allow Static IP Addresses [YES][no]: no Configure a RADIUS Server now? [YES][no]: noWarning! The default WLAN security policy requires a RADIUS server.Please see documentation for more details. Enter Country Code (enter 'help' for a list of countries) [US]: US Enable 802.11b Network [YES][no]: YESEnable 802.11a Network [YES][no]: YESEnable 802.11g Network [YES][no]: YESEnable Auto-RF [YES][no]: noConfiguration saved!Resetting system with new configuration...
Sau khi khởi động lại WLC
c2811#ping 192.168.99.24
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.99.24, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/2/4 ms
c2811#service-module wlan-controller 1/0 session
Trying 192.168.99.254, 2066 ... Open
d. Test PC1 ping WLC module. Tai PC ping 192.168.99.24 (xem file cau hinh Router2k8)Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.99.24, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/2/4 ms
c2811#service-module wlan-controller 1/0 session
Trying 192.168.99.254, 2066 ... Open
Ghi chú: cần đồng bộ thời gian giữa WLC module và router 2811, trong trường hợp này router 2811 sẽ được cấu hình trở thành bộ đồng bộ thời gian chính (source clock)
C2811#conf t
C2811(config)#ntp master 2
Bước 2: Dùng PC cấu hình WLC bằng https
Truy cập vào WLC bằng web, dùng firefox hoặc IE nhập vào https://192.168.99.24
Chọn Login, nhập username: cisco, password: cisco ( username và password cấu hình trong bước 1)
Cấu hình đồng bộ thời gian cho WLC với R2811
Chọn New để khai báo server thời gian mới, cần cấu hình trên router 2811 là thiết bị cấp thời gian clock chủ đạo dùng câu lệnh: R2811(config)#ntp master 2.
Chọn Apply
Khi LWAP bật lên sẽ được nhận địa chỉ IP từ Router 2811 cùng với option 43 chỉ sự tồn tại của WLAN Controller, quá trình đăng ký sẽ tự động thực hiện.
Khi quá trình đăng ký thành công thì trên WLC sẽ có kết quả như sau, chú ý cột Operational Status có trạng thái REG chính là registered.
Cấu hình các thông số cho Wireless Client
Nhập tên Interface và VLAN (trong trường hợp này giả định wireless client dùng vlan2 có địa chỉ mạng 192.168.2.0/24) sau đó click Apply
Cửa sổ này sẽ xuất hiện sau khi đã nhập vào tên Interface và VLAN
Nhập địa chỉ IP (địa chỉ này đại diện một giao tiếp trên thiết bị WLC), Netmask, Gateway và địa chỉ IP của DHCP Server, click Apply
Kiểm tra lại cấu hình
Kết quả thu được
Trong ví dụ này, ta nhập vào SSID tên là vlan2
- Chọn vlan2 từ thanh thực đơn Interface Name ở cuối cửa sổ, và click Apply. Trong trường hợp này, SSID vlan2 được kết hợp với Interface Name vlan2
Trên router 2811, cấu hình thêm cổng phục vụ cho lớp mạng 192.168.2.0/24 qua vlan 2 đồng thời cấu hình dhcp server cho lớp mạng này
R1(config)# interface wlan-controller1/0.2
R1(config-subif)# encapsulation dot1Q 2
R1(config-subif)# ip address 192.168.2.254 255.255.255.0
Cấu hình dhcp server trên router cấp địa chỉ động cho lớp mạng 192.168.2.0/24
C2811#conf t
C2811(config)#ip dhcp pool vlan2
C2811(config-dhcp)# network 192.168.2.0 255.255.255.0
C2811(config-dhcp)# default-router 192.168.2.254
Bước 3: Cấu hình các tham số xác thực dot1x trên WLC
Chọn Security à New
Khai bao sự tồn tại của ACS server (đóng vai trò máy chủ xác thực Radius)
Chọn Apply,
Cấu hình xác thực FAST
Vào WLAN để chọn kiểu xác thực. Dùng edit để chỉnh sửa thông tin của SSID vlan2
Chọn 802.1X trong phần Layer 2 security
Trong phần server chọn 10.10.10.3
Nhấn Apply, nếu có câu hiển thị thông báo các client đang kết nối sẽ bị đứt kết nối chọn OK.
Quan sát kết quả
Cấu hình trên ACS hỗ trợ xác thực bằng FAST
Truy nhập vào đường liên kết cấu hình ACS
Tạo thêm tài khoản người dùng mới
Username cisco
Password: cisco123 à chọn submit
Khai báo sự tồn tại của WLC trên ACS
Chọn Submit + Apply và xem kết quả
Khai báo kiểu xác thực FAST trên ACS
Để xác thực kiểu FAST, ACS server phải có chứng thực điện tử, thực hiện thao tác tự sinh chứng thực điện tử trên server ACS
Vào System configuration --> ACS Certificate Setup
Chọn Generate Self-Signed Certificate
Nhập các thông tin cần thiết theo bảng hướng dẫn bên phải, sau đó chọn submit
Xuất hiện thông báo sau:
Vào system configuration --> Service Control
Chọn Restart, dịch vụ ACS sẽ được khởi tạo lại
Có thể tiến hành kiểm tra lại trên thư mục C:/ trên server sẽ thấy có 2 file là cisco.cer và cisco.pvk trên thư mục này
Trên router 2811, cấu hình thêm cổng phục vụ cho lớp mạng 192.168.2.0/24 qua vlan 2 đồng thời cấu hình dhcp server cho lớp mạng này
R1(config)# interface wlan-controller1/0.2
R1(config-subif)# encapsulation dot1Q 2
R1(config-subif)# ip address 192.168.2.254 255.255.255.0
Cấu hình dhcp server trên router cấp địa chỉ động cho lớp mạng 192.168.2.0/24
C2811#conf t
C2811(config)#ip dhcp pool vlan2
C2811(config-dhcp)# network 192.168.2.0 255.255.255.0
C2811(config-dhcp)# default-router 192.168.2.254
Bước 3: Cấu hình các tham số xác thực dot1x trên WLC
Chọn Security à New
Khai bao sự tồn tại của ACS server (đóng vai trò máy chủ xác thực Radius)
Chọn Apply,
Cấu hình xác thực FAST
Vào WLAN để chọn kiểu xác thực. Dùng edit để chỉnh sửa thông tin của SSID vlan2
Chọn 802.1X trong phần Layer 2 security
Trong phần server chọn 10.10.10.3
Nhấn Apply, nếu có câu hiển thị thông báo các client đang kết nối sẽ bị đứt kết nối chọn OK.
Quan sát kết quả
Cấu hình trên ACS hỗ trợ xác thực bằng FAST
Truy nhập vào đường liên kết cấu hình ACS
Tạo thêm tài khoản người dùng mới
Username cisco
Password: cisco123 à chọn submit
Khai báo sự tồn tại của WLC trên ACS
Chọn Submit + Apply và xem kết quả
Khai báo kiểu xác thực FAST trên ACS
Để xác thực kiểu FAST, ACS server phải có chứng thực điện tử, thực hiện thao tác tự sinh chứng thực điện tử trên server ACS
Vào System configuration --> ACS Certificate Setup
Chọn Generate Self-Signed Certificate
Nhập các thông tin cần thiết theo bảng hướng dẫn bên phải, sau đó chọn submit
Xuất hiện thông báo sau:
Vào system configuration --> Service Control
Chọn Restart, dịch vụ ACS sẽ được khởi tạo lại
Có thể tiến hành kiểm tra lại trên thư mục C:/ trên server sẽ thấy có 2 file là cisco.cer và cisco.pvk trên thư mục này
