WPA2-Enterprise — トラフィックが流れる前の RADIUS 認証

サービスと無線
上級
12 分
1 ステップ
Cisco IOS-XE-style

securityMode: wpa2-enterprise を備えた WLAN では、クライアントトラフィックが流れる前に RADIUS Access-Accept が必要です。 PHONE には eapIdentity: alice があり、AAA サーバーには simulatedUsers: [{ username: alice,... }] があり、認証は成功し、トラフィックが流れます。 PHONE2 には eapIdentity: mallory があります (ユーザーリストにありません) - アクセス拒否ランド、authState: rejected、すべてのアップリンクトラフィックが wlan-auth:... の理由で AP でドロップされます。 Pcap は、RADIUS Access-Request / Accept / Reject フレームを表示します。

この演習をブラウザで開く →

無料 · インストール不要 · アカウント不要

シナリオ

スライス N は、既存の securityMode: wpa2-enterprise フィールドを実際の RADIUS 交換に接続します。 AP 参加時: 1. WLC は、参加する AP に関連付けられた各 Wi-Fi クライアントをウォークします。 2. wpa2-enterprise WLAN 上のクライアントの場合、WLC はクライアントの eapIdentity を User-Name として、device.radiusServers の最初のサーバに向けて RADIUS アクセス要求（UDP/1812）を送信します。 3. RADIUS サーバー (トポロジ内の到達可能な場所) は、ユーザー名を simulatedUsers リストと照合し、Access-Accept または Access-Reject を応答します。 4. WLC 上のワイヤレス EAP ピギーバックフック（aaa/wire.ts 内）は、クライアントの authState を accepted / rejected に更新します。 5. authState 上の CAPWAP データパスゲート: 拒否されたクライアントでは、すべてのアップリンクトラフィックとダウンリンクトラフィックがそれぞれ AP/WLC でドロップされ、wlan-auth: … タグが付けられた PacketDropped イベントが発生します。オープン/WPA2-PSK クライアントはこれを完全にスキップします。authState は idle のままで、許可として扱われます。今後の作業: - クライアントごとの password マッチング (現在、シミュレーターはユーザー名の存在のみをチェックします)。 - 完全な EAP-PEAP/EAP-TLS フレームエミュレーション (現在、シミュレーターの構造化 RADIUS ペイロード、DNS/NTP/TACACS+ と同じパターンを使用しています)。 - アカウンティング開始/停止フレーム (IR は存在します。ワイヤレス EAP パスはまだそれらを起動していません)。 - 再認証/セッションタイムアウト。

トポロジー

2 × ルーター, 1 × 無線コントローラー, 1 × スイッチ, 1 × アクセスポイント, 1 × Wi-Fi クライアント · Cisco IOS-XE-style

ROUTER — ルーター
WLC1 — 無線コントローラー
HUB — スイッチ
AP1 — アクセスポイント
PHONE — Wi-Fi クライアント
aaa — ルーター

やること

収束後、PHONE.wifiClient.authState は accepted になるはずです。 Pcap は、WLC1 → 10.40.0.5 (ユーザー名: alice) からの RADIUS Access-Request と、AAA から WLC1 への Access-Accept を表示する必要があります。

この演習をブラウザで開く →

同じテーマの演習

この演習の他の言語版

WPA2-Enterprise — RADIUS auth before traffic flows WPA2-Enterprise – RADIUS-Authentifizierung, bevor der Datenverkehr fließt WPA2-Enterprise: autenticación RADIUS antes de que fluya el tráfico WPA2-Enterprise — Autenticação RADIUS antes do fluxo de tráfego WPA2-Enterprise — Authentification RADIUS avant la circulation du trafic WPA2-एंटरप्राइज़ - ट्रैफ़िक प्रवाह से पहले RADIUS प्रमाणीकरण WPA2-Enterprise — 流量之前进行 RADIUS 身份验证 WPA2-Enterprise: autenticazione RADIUS prima dei flussi di traffico WPA2-Enterprise — 트래픽 흐름 전 RADIUS 인증 WPA2-Enterprise — аутентификация RADIUS перед потоком трафика WPA2-Enterprise — Trafik akışlarından önce RADIUS kimlik doğrulaması WPA2-Enterprise - Xác thực RADIUS trước luồng lưu lượng