WPA2-Enterprise: autenticazione RADIUS prima dei flussi di traffico

Servizi e wireless
Avanzato
12 min
1 passi
Cisco IOS-XE-style

Una WLAN con securityMode: wpa2-enterprise richiede un RADIUS Access-Accept prima che il traffico del client fluisca. TELEFONO ha eapIdentity: alice e il server AAA ha simulatedUsers: [{ username: alice,... }]: l'autenticazione ha esito positivo, il traffico scorre. TELEFONO2 ha eapIdentity: mallory (non nell'elenco degli utenti) — Rifiuto accesso, authState: rejected, tutto il traffico uplink viene interrotto all'AP con un motivo wlan-auth:.... Pcap mostra i frame RADIUS Access-Request / Accept / Reject.

Apri questo laboratorio nel browser →

Gratis · senza installazione · senza account

Scenario

Slice N collega il campo securityMode: wpa2-enterprise esistente in un vero scambio RADIUS. Al momento dell'accesso all'AP: 1. Il WLC percorre ciascun client Wi-Fi associato all'AP che si unisce. 2. Per i client su una WLAN wpa2-enterprise, il WLC emette una richiesta di accesso RADIUS (UDP/1812) verso il primo server in device.radiusServers con eapIdentity del client come User-Name. 3. Il server RADIUS (ovunque raggiungibile nella topologia) confronta il nome utente con il suo elenco simulatedUsers e risponde Accesso-Accetta o Accesso-Rifiuta. 4. Il gancio piggyback wireless-EAP sul WLC (in aaa/wire.ts) aggiorna authState del client in accepted / rejected. 5. Le porte del percorso dati CAPWAP su authState: i client rifiutati hanno tutto il traffico di uplink e downlink interrotto rispettivamente all'AP/WLC, con eventi PacketDropped contrassegnati con wlan-auth: …. I client Open/WPA2-PSK saltano completamente questo passaggio: authState rimane idle, trattato come permesso. Lavoro in avanti: - Corrispondenza password per cliente (oggi il simulatore controlla solo la presenza del nome utente). - Emulazione frame EAP-PEAP/EAP-TLS completa (oggi utilizziamo il payload RADIUS strutturato del simulatore, stesso modello di DNS/NTP/TACACS+). - Contabilità dei frame Start/Stop (l'IR esiste; il percorso wireless-EAP non li attiva ancora). - Riautenticazione/timeout della sessione.

Topologia

2 × router, 1 × controller wireless, 1 × switch, 1 × access point, 1 × client wifi · Cisco IOS-XE-style

ROUTER — router
WLC1 — controller wireless
HUB — switch
AP1 — access point
PHONE — client wifi
aaa — router

Cosa farai

Dopo la convergenza, PHONE.wifiClient.authState dovrebbe essere accepted. Pcap dovrebbe mostrare una richiesta di accesso RADIUS da WLC1 → 10.40.0.5 (nome utente: alice) e un'accettazione di accesso da AAA a WLC1.

Apri questo laboratorio nel browser →

Altri laboratori su questo tema

Questo laboratorio in altre lingue