WPA2-Enterprise – RADIUS-Authentifizierung, bevor der Datenverkehr fließt

Dienste & WLAN
Experte
12 Min.
1 Schritte
Cisco IOS-XE-style

Ein WLAN mit securityMode: wpa2-enterprise erfordert eine RADIUS Access-Accept, bevor der Client-Datenverkehr fließt. PHONE hat eapIdentity: alice und der AAA-Server hat simulatedUsers: [{ username: alice,... }] – Authentifizierung erfolgreich, Datenverkehr fließt. PHONE2 hat eapIdentity: mallory (nicht in der Benutzerliste) – Access-Reject landet, authState: rejected, der gesamte Uplink-Verkehr wird am AP mit einem wlan-auth:...-Grund verworfen. Pcap zeigt die RADIUS Access-Request-/Accept-/Reject-Frames an.

Dieses Lab im Browser öffnen →

Kostenlos · ohne Installation · ohne Konto

Szenario

Slice N verbindet das vorhandene securityMode: wpa2-enterprise-Feld mit einem echten RADIUS-Austausch. Zur AP-Beitrittszeit: 1. Der WLC führt jeden WLAN-Client durch, der dem beitretenden AP zugeordnet ist. 2. Für Clients in einem wpa2-enterprise-WLAN sendet der WLC eine RADIUS-Zugriffsanforderung (UDP/1812) an den ersten Server in device.radiusServers mit dem eapIdentity des Clients als User-Name. 3. Der RADIUS-Server (überall in der Topologie erreichbar) gleicht den Benutzernamen mit seiner simulatedUsers-Liste ab und antwortet mit „Zugriff-Akzeptieren“ oder „Zugriff-Ablehnen“. 4. Der Wireless-EAP-Piggyback-Hook am WLC (in aaa/wire.ts) aktualisiert den authState des Clients auf accepted/rejected. 5. Die CAPWAP-Datenpfad-Gates auf authState: Bei abgelehnten Clients wird der gesamte Uplink- und Downlink-Verkehr am AP/WLC unterbrochen, wobei PacketDropped-Ereignisse mit wlan-auth: … gekennzeichnet sind. Open-/WPA2-PSK-Clients überspringen dies vollständig – authState bleibt idle und wird als Genehmigung behandelt. Vorwärtsarbeit: - password-Abgleich pro Client (heute prüft der Simulator nur das Vorhandensein des Benutzernamens). - Vollständige EAP-PEAP/EAP-TLS-Frame-Emulation (heute verwenden wir die strukturierte RADIUS-Nutzlast des Simulators, dasselbe Muster wie DNS/NTP/TACACS+). - Accounting-Start-/Stopp-Frames (die IR existiert; der Wireless-EAP-Pfad löst sie noch nicht aus). - Zeitüberschreitung bei erneuter Authentifizierung/Sitzung.

Topologie

2 × Router, 1 × WLAN-Controller, 1 × Switch, 1 × Access Point, 1 × WLAN-Client · Cisco IOS-XE-style

ROUTER — Router
WLC1 — WLAN-Controller
HUB — Switch
AP1 — Access Point
PHONE — WLAN-Client
aaa — Router

Das machst du

Nach der Konvergenz sollte PHONE.wifiClient.authState accepted sein. Pcap sollte eine RADIUS-Zugriffsanforderung von WLC1 → 10.40.0.5 (Benutzername: alice) und eine Zugriffsannahme von AAA zurück an WLC1 anzeigen.

Dieses Lab im Browser öffnen →

Weitere Labs zu diesem Thema

Dieses Lab in anderen Sprachen