Cấu hình Wireless Cisco- Lab 2 (XÁC THỰC DOT1X DÙNG KIỂU FAST)

[phamminhtuan]

LAB 3 – XÁC THỰC DOT1X DÙNG KIỂU FAST

Mô tả
Bài lab này mô tả cách xác thực dot1x dùng cơ chế FAST, các thiết bị dùng trong bài bao gồm ACS của Cisco, wireless client adapter của Cisco, WLAN Controller và Lightweight Access Point.

Sơ đồ



Thực hiện
Cấu hình cơ bản trên router:
C2811#sh run
Building configuration...

version 12.4
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname c2811
!
boot-start-marker
boot-end-marker
!
security authentication failure rate 5 log
enable secret 5 $1$QgGG$mjteEFA5x1onr2X3kuDp50
!
aaa session-id common
!
!
ip cef
no ip dhcp use vrf connected
ip dhcp excluded-address 192.168.100.1
ip dhcp excluded-address 10.10.10.1 10.10.10.100
ip dhcp excluded-address 192.168.2.1
ip dhcp excluded-address 192.168.2.254
!
ip dhcp pool 192.168.100.0
network 192.168.100.0 255.255.255.0
default-router 192.168.100.1
option 43 ip 192.168.99.24
!
ip dhcp pool 10
network 10.10.10.0 255.255.255.0
default-router 10.10.10.1
!
ip dhcp pool vlan2
network 192.168.2.0 255.255.255.0
default-router 192.168.2.254
!
multilink bundle-name authenticated
!
username admin password 0 admin
!
interface FastEthernet0/0
ip address 10.10.10.1 255.255.255.0
duplex auto
speed auto
!
interface FastEthernet0/1
ip address 192.168.100.1 255.255.255.0
ip virtual-reassembly
duplex auto
speed auto
!
interface Serial0/0/0
no ip address
shutdown
clock rate 2000000
!
interface Serial0/0/1
no ip address
shutdown
clock rate 2000000
!
interface wlan-controller1/0
no ip addresss
shutdown
!
!
control-plane
!
line con 0
exec-timeout 0 0
logging synchronous
line aux 0
line vty 4
!
!
scheduler allocate 20000 1000
!
End

Trước khi thực hiện bài lab này yêu cầu cài đặt thành công phần mềm ACS trên server làm vai trò máy chủ xác thực

Bước 1: cấu hình cơ bản router 2811 và WLC module

Cấu hình địa chỉ IP trên interface W1/0 của Router 2811

c2811#configure terminal
Enter configuration commands, one per line. End with CNTL/Z.
c2811(config)#
c2811(config)#interface wlan-controller 1/0
c2811(config-if)#ip address 192.168.99.254 255.255.255.0
c2811(config-if)#no shut
c2811(config-if)#end

Truy cập vào WLC module từ Router 2811

c2811#service-module wlan-controller 1/0 session
Trying 192.168.99.254, 2066 ... Open


Cấu hình WLC từ chế độ SETUP MODE như sau

Cisco Controller

Welcome to the Cisco Wizard Configuration ToolUse the '-' character to backupSystem Name [Cisco_ff:f6:a0]: NMWLCEnter Administrative User Name (24 characters max): ciscoEnter Administrative Password (24 characters max): cisco Management Interface IP Address: 192.168.99.24Management Interface Netmask: 255.255.255.0Management Interface Default Router: 192.168.99.254 Management Interface VLAN Identifier (0 = untagged): 0Management Interface Port Num [1]: 1Management Interface DHCP Server IP Address: 192.168.99.24 AP Manager Interface IP Address: 192.168.99.25 AP-Manager is on Management subnet, using same valuesAP Manager Interface DHCP Server (192.168.99.24): 192.168.99.24 Virtual Gateway IP Address: 1.1.1.1 Mobility/RF Group Name: mg1 Network Name (SSID): wl15Allow Static IP Addresses [YES][no]: no Configure a RADIUS Server now? [YES][no]: noWarning! The default WLAN security policy requires a RADIUS server.Please see documentation for more details. Enter Country Code (enter 'help' for a list of countries) [US]: US Enable 802.11b Network [YES][no]: YESEnable 802.11a Network [YES][no]: YESEnable 802.11g Network [YES][no]: YESEnable Auto-RF [YES][no]: noConfiguration saved!Resetting system with new configuration...

Sau khi khởi động lại WLC

a. Sau khi WLC khởi động xong, truy cập vào WLC từ Router 2811, nhập username cisco và password cisco để vào WLC

b. Để quay trở lại router 2811, nhấn tổ hợp phím ctrl+shift+6 thả ra và nhấn tiếp phím x

c. Kiểm tra đảm bảo Router có thể ping thấy WLC module

c2811#ping 192.168.99.24
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.99.24, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/2/4 ms
c2811#service-module wlan-controller 1/0 session
Trying 192.168.99.254, 2066 ... Open

d. Test PC1 ping WLC module. Tai PC ping 192.168.99.24 (xem file cau hinh Router2k8)

Ghi chú: cần đồng bộ thời gian giữa WLC module và router 2811, trong trường hợp này router 2811 sẽ được cấu hình trở thành bộ đồng bộ thời gian chính (source clock)

C2811#conf t
C2811(config)#ntp master 2

Bước 2: Dùng PC cấu hình WLC bằng https

Truy cập vào WLC bằng web, dùng firefox hoặc IE nhập vào https://192.168.99.24


Chọn Login, nhập username: cisco, password: cisco ( username và password cấu hình trong bước 1)


Cấu hình đồng bộ thời gian cho WLC với R2811




Chọn New để khai báo server thời gian mới, cần cấu hình trên router 2811 là thiết bị cấp thời gian clock chủ đạo dùng câu lệnh: R2811(config)#ntp master 2.





Chọn Apply



Khi LWAP bật lên sẽ được nhận địa chỉ IP từ Router 2811 cùng với option 43 chỉ sự tồn tại của WLAN Controller, quá trình đăng ký sẽ tự động thực hiện.

Khi quá trình đăng ký thành công thì trên WLC sẽ có kết quả như sau, chú ý cột Operational Status có trạng thái REG chính là registered.



Cấu hình các thông số cho Wireless Client

- Chọn Controller > Interfaces > New

Nhập tên Interface và VLAN (trong trường hợp này giả định wireless client dùng vlan2 có địa chỉ mạng 192.168.2.0/24) sau đó click Apply

Cửa sổ này sẽ xuất hiện sau khi đã nhập vào tên Interface và VLAN
Nhập địa chỉ IP (địa chỉ này đại diện một giao tiếp trên thiết bị WLC), Netmask, Gateway và địa chỉ IP của DHCP Server, click Apply




Kiểm tra lại cấu hình
Kết quả thu được

- Click WLANs tab trên thanh menu ở góc trên cửa sổ, và click New…

- Nhập vào service set identifier (SSID) và click Apply.

Trong ví dụ này, ta nhập vào SSID tên là vlan2

- Chọn vlan2 từ thanh thực đơn Interface Name ở cuối cửa sổ, và click Apply.

Trong trường hợp này, SSID vlan2 được kết hợp với Interface Name vlan2






Trên router 2811, cấu hình thêm cổng phục vụ cho lớp mạng 192.168.2.0/24 qua vlan 2 đồng thời cấu hình dhcp server cho lớp mạng này

R1(config)# interface wlan-controller1/0.2
R1(config-subif)# encapsulation dot1Q 2
R1(config-subif)# ip address 192.168.2.254 255.255.255.0

Cấu hình dhcp server trên router cấp địa chỉ động cho lớp mạng 192.168.2.0/24
C2811#conf t
C2811(config)#ip dhcp pool vlan2
C2811(config-dhcp)# network 192.168.2.0 255.255.255.0
C2811(config-dhcp)# default-router 192.168.2.254



Bước 3: Cấu hình các tham số xác thực dot1x trên WLC

Chọn Security à New




Khai bao sự tồn tại của ACS server (đóng vai trò máy chủ xác thực Radius)




Chọn Apply,

[phamminhtuan]

Cấu hình xác thực FAST (tt)

Cấu hình xác thực FAST
Vào WLAN để chọn kiểu xác thực. Dùng edit để chỉnh sửa thông tin của SSID vlan2




Chọn 802.1X trong phần Layer 2 security




Trong phần server chọn 10.10.10.3





Nhấn Apply, nếu có câu hiển thị thông báo các client đang kết nối sẽ bị đứt kết nối chọn OK.
Quan sát kết quả



Cấu hình trên ACS hỗ trợ xác thực bằng FAST

Truy nhập vào đường liên kết cấu hình ACS





Tạo thêm tài khoản người dùng mới



Username cisco



Password: cisco123 à chọn submit







Khai báo sự tồn tại của WLC trên ACS




Chọn Submit + Apply và xem kết quả




Khai báo kiểu xác thực FAST trên ACS

Để xác thực kiểu FAST, ACS server phải có chứng thực điện tử, thực hiện thao tác tự sinh chứng thực điện tử trên server ACS

Vào System configuration --> ACS Certificate Setup




Chọn Generate Self-Signed Certificate



Nhập các thông tin cần thiết theo bảng hướng dẫn bên phải, sau đó chọn submit




Xuất hiện thông báo sau:




Vào system configuration --> Service Control



Chọn Restart, dịch vụ ACS sẽ được khởi tạo lại




Có thể tiến hành kiểm tra lại trên thư mục C:/ trên server sẽ thấy có 2 file là cisco.cer và cisco.pvk trên thư mục này

[nggianglx]

thanks, bài viết rất hay.

[phamminhtuan]

Cấu hình hỗ trợ cơ chế xác thực theo FAST

Vào System Configuration --> Global Authentication Setup




Chọn liên kết cấu hình FAST




Chọn bật tính năng FAST, theo hướng dẫn bên phải để cấu hình các tham số còn lại, hỗ trợ các giá trị bảo mật định danh được cung cấp từ máy bất kỳ và cho phép xác thực bên trong dùng cơ chế MSCHAPv2. Chọn Submit + Restart.




Cấu hình Wireless client hỗ trợ kiểu xác thực FAST

Do WINXP không hỗ trợ cơ chế xác thực này nên vẫn dùng chương trình Cisco Aironet Desktop Utility ( yêu cầu card gắn trong là của hãng Cisco).

Trước tiên chép file cisco.cer trên máy chủ ACS và chạy file này trên PC nhằm import certificate này vào trong PC

Khởi tạo chương trình Cisco Aironet Desktop Utility




Chọn Scan để tìm thông tin của vùng wireless có SSID vlan 2




Chọn vlan2à activate



Điền thông tin bổ sung tên profile




Chọn kiểu xác thực là 802.1X với dạng là EAP-FAST, sau đó chọn configure để cấu hình các tham số của EAP-FAST



Chọn phương thức xác thực là Username và Password. Nếu như cập nhật thông tin cisco.cer thành công thì thông tin bảo mật từ server sẽ hiện lên. Sau đó chọn OK để hoàn tất quá trình cập nhật thông tin.




Quá trình liên kết sẽ tiến hành tự động



Trên PC, kiểm tra đã nhận được IP thành công