WPA2-Enterprise — Authentification RADIUS avant la circulation du trafic
- Services et sans-fil
- Avancé
- 12 min
- 1 étapes
- Cisco IOS-XE-style
Un WLAN avec securityMode: wpa2-enterprise nécessite une acceptation d'accès RADIUS avant que le trafic client ne circule. PHONE a eapIdentity: alice et le serveur AAA a simulatedUsers: [{ username: alice,... }] — l'authentification réussit, le trafic circule. PHONE2 a eapIdentity: mallory (pas dans la liste des utilisateurs) — Access-Reject atterrit, authState: rejected, tout le trafic de liaison montante est abandonné au niveau du point d'accès avec une raison wlan-auth:.... Pcap affiche les trames RADIUS Access-Request / Accept / Reject.
Ouvrir ce lab dans le navigateur →
Gratuit · sans installation · sans compte
Scénario
La tranche N connecte le champ securityMode: wpa2-enterprise existant à un véritable échange RADIUS. Au moment de la connexion AP: 1. Le WLC parcourt chaque client Wi-Fi associé au point d'accès rejoint. 2. Pour les clients sur un WLAN wpa2-enterprise, le WLC émet une demande d'accès RADIUS (UDP/1812) vers le premier serveur de device.radiusServers avec le eapIdentity du client comme User-Name. 3. Le serveur RADIUS (accessible partout dans la topologie) compare le nom d'utilisateur à sa liste simulatedUsers et répond Access-Accept ou Access-Reject. 4. Le crochet de ferroutage sans fil-EAP sur le WLC (dans aaa/wire.ts) met à jour le authState du client vers accepted/rejected. 5. Les portes du chemin de données CAPWAP sur authState: les clients rejetés voient tout le trafic de liaison montante et descendante abandonné au niveau de l'AP/WLC respectivement, avec les événements PacketDropped étiquetés wlan-auth: …. Les clients Open / WPA2-PSK ignorent complètement cela – authState reste idle, traité comme un permis. Travail en avant: - Correspondance password par client (aujourd'hui, le simulateur vérifie uniquement la présence du nom d'utilisateur). - Émulation complète de trame EAP-PEAP/EAP-TLS (nous utilisons aujourd'hui la charge utile RADIUS structurée du simulateur, même modèle que DNS/NTP/TACACS+). - Comptabilisation des trames Start/Stop (l'IR existe; le chemin sans fil-EAP ne les déclenche pas encore). - Ré-authentification / délai d'expiration de session.
Topologie
2 × routeur, 1 × contrôleur sans fil, 1 × switch, 1 × point d'accès, 1 × client wifi · Cisco IOS-XE-style
ROUTER— routeurWLC1— contrôleur sans filHUB— switchAP1— point d'accèsPHONE— client wifiaaa— routeur
Ce que tu vas faire
Après la convergence, PHONE.wifiClient.authState doit être
accepted. Pcap doit afficher une demande d'accès RADIUS de WLC1 → 10.40.0.5 (nom d'utilisateur: alice) et une acceptation d'accès de AAA vers WLC1.
Ouvrir ce lab dans le navigateur →
Autres labs sur ce thème
- Configurer un serveur DHCPDébutant · 12 min
- WLAN – diffuser un SSID de baseDébutant · 10 min
- HSRP : configurer la redondance de premier sautIntermédiaire · 12 min
- NAT : PAT (overload) pour un LAN interneIntermédiaire · 14 min
- HSRP — suivi d'interface avec décrément de prioritéIntermédiaire · 12 min
- VRF-Lite — deux clients sur un même routeurIntermédiaire · 12 min
Ce lab dans d'autres langues
WPA2-Enterprise — RADIUS auth before traffic flowsWPA2-Enterprise – RADIUS-Authentifizierung, bevor der Datenverkehr fließtWPA2-Enterprise: autenticación RADIUS antes de que fluya el tráficoWPA2-Enterprise — Autenticação RADIUS antes do fluxo de tráfegoWPA2-एंटरप्राइज़ - ट्रैफ़िक प्रवाह से पहले RADIUS प्रमाणीकरणWPA2-Enterprise — 流量之前进行 RADIUS 身份验证WPA2-Enterprise: autenticazione RADIUS prima dei flussi di trafficoWPA2-Enterprise — トラフィックが流れる前の RADIUS 認証WPA2-Enterprise — 트래픽 흐름 전 RADIUS 인증WPA2-Enterprise — аутентификация RADIUS перед потоком трафикаWPA2-Enterprise — Trafik akışlarından önce RADIUS kimlik doğrulamasıWPA2-Enterprise - Xác thực RADIUS trước luồng lưu lượng