WPA2-Enterprise: autenticación RADIUS antes de que fluya el tráfico

Servicios e inalámbrico
Avanzado
12 min
1 pasos
Cisco IOS-XE-style

Una WLAN con securityMode: wpa2-enterprise requiere una aceptación de acceso RADIUS antes de que fluya el tráfico del cliente. PHONE tiene eapIdentity: alice y el servidor AAA tiene simulatedUsers: [{ username: alice,... }]: la autenticación se realiza correctamente, el tráfico fluye. PHONE2 tiene eapIdentity: mallory (no en la lista de usuarios): aterriza el rechazo de acceso, authState: rejected, todo el tráfico de enlace ascendente se elimina en el AP con un motivo wlan-auth:.... Pcap muestra los marcos RADIUS Access-Request/Aceptar/Rechazar.

Abrir este laboratorio en el navegador →

Gratis · sin instalación · sin cuenta

Escenario

Slice N conecta el campo securityMode: wpa2-enterprise existente a un intercambio RADIUS real. En el momento de unirse al AP: 1. El WLC recorre a cada cliente wifi asociado con el AP que se une. 2. Para clientes en una WLAN wpa2-enterprise, el WLC emite una solicitud de acceso RADIUS (UDP/1812) hacia el primer servidor en device.radiusServers con el eapIdentity del cliente como User-Name. 3. El servidor RADIUS (en cualquier lugar accesible en la topología) compara el nombre de usuario con su lista simulatedUsers y responde Acceso-Aceptar o Acceso-Rechazar. 4. El gancho de conexión inalámbrica-EAP en el WLC (en aaa/wire.ts) actualiza el authState del cliente a accepted/rejected. 5. Las puertas de ruta de datos CAPWAP en authState: a los clientes rechazados se les cae todo el tráfico de enlace ascendente y descendente en el AP/WLC respectivamente, con eventos PacketDropped etiquetados como wlan-auth: …. Los clientes Open/WPA2-PSK omiten esto por completo: authState permanece idle, tratado como permiso. Trabajo futuro: - Coincidencia password por cliente (hoy el simulador solo verifica la presencia del nombre de usuario). - Emulación de trama EAP-PEAP/EAP-TLS completa (hoy utilizamos la carga útil RADIUS estructurada del simulador, el mismo patrón que DNS/NTP/TACACS+). - Marcos de inicio/parada de contabilidad (el IR existe; la ruta inalámbrica-EAP no los activa todavía). - Reautentación/tiempo de espera de sesión.

Topología

2 × router, 1 × controlador inalámbrico, 1 × switch, 1 × punto de acceso, 1 × cliente wifi · Cisco IOS-XE-style

ROUTER — router
WLC1 — controlador inalámbrico
HUB — switch
AP1 — punto de acceso
PHONE — cliente wifi
aaa — router

Qué vas a hacer

Después de la convergencia, PHONE.wifiClient.authState debería ser accepted. Pcap debería mostrar una solicitud de acceso RADIUS de WLC1 → 10.40.0.5 (nombre de usuario: alice) y una aceptación de acceso de AAA de regreso a WLC1.

Abrir este laboratorio en el navegador →

Más laboratorios de este tema

Este laboratorio en otros idiomas