WPA2-Enterprise — Autenticação RADIUS antes do fluxo de tráfego
- Serviços e wireless
- Avançado
- 12 min
- 1 passos
- Cisco IOS-XE-style
Uma WLAN com securityMode: wpa2-enterprise requer um RADIUS Access-Accept antes que o tráfego do cliente flua. PHONE possui eapIdentity: alice e o servidor AAA possui simulatedUsers: [{ username: alice,... }] – a autenticação é bem-sucedida, o tráfego flui. PHONE2 tem eapIdentity: mallory (não está na lista de usuários) - acesso-rejeita, authState: rejected, todo o tráfego de uplink é descartado no AP com um motivo wlan-auth:.... Pcap mostra os quadros RADIUS Access-Request/Accept/Reject.
Abrir este laboratório no navegador →
Grátis · sem instalação · sem conta
Cenário
A fatia N conecta o campo securityMode: wpa2-enterprise existente em uma troca RADIUS real. No momento da adesão ao AP: 1. O WLC percorre cada cliente wifi associado ao AP de adesão. 2. Para clientes em uma WLAN wpa2-enterprise, a WLC emite uma solicitação de acesso RADIUS (UDP/1812) para o primeiro servidor em device.radiusServers com o eapIdentity do cliente como User-Name. 3. O servidor RADIUS (em qualquer lugar acessível na topologia) compara o nome de usuário com sua lista simulatedUsers e responde Acesso-Aceitar ou Acesso-Rejeitar. 4. O gancho EAP sem fio na WLC (em aaa/wire.ts) atualiza o authState do cliente para accepted/rejected. 5. O caminho de dados CAPWAP é bloqueado em authState: os clientes rejeitados têm todo o tráfego de uplink e downlink descartado no AP/WLC respectivamente, com eventos PacketDropped marcados como wlan-auth: …. Os clientes Open / WPA2-PSK ignoram isso completamente – authState permanece idle, tratado como permissão. Trabalho futuro: - Correspondência password por cliente (hoje o simulador apenas verifica a presença do nome de usuário). - Emulação completa de frames EAP-PEAP/EAP-TLS (hoje utilizamos o payload estruturado RADIUS do simulador, mesmo padrão do DNS/NTP/TACACS+). - Frames Start/Stop de contabilidade (o IR existe; o caminho EAP sem fio ainda não os dispara). - Reautenticação/tempo limite da sessão.
Topologia
2 × roteador, 1 × controlador wireless, 1 × switch, 1 × ponto de acesso, 1 × cliente wifi · Cisco IOS-XE-style
ROUTER— roteadorWLC1— controlador wirelessHUB— switchAP1— ponto de acessoPHONE— cliente wifiaaa— roteador
O que você vai fazer
Após a convergência, PHONE.wifiClient.authState deve ser
accepted. O Pcap deve mostrar uma solicitação de acesso RADIUS de WLC1 → 10.40.0.5 (nome de usuário: alice) e uma aceitação de acesso de AAA de volta para WLC1.
Abrir este laboratório no navegador →
Mais laboratórios deste tema
- Configurando um servidor DHCPIniciante · 12 min
- WLAN — transmite um SSID básicoIniciante · 10 min
- HSRP: redundância de primeiro saltoIntermediário · 12 min
- NAT: PAT (overload) para uma LAN internaIntermediário · 14 min
- HSRP — rastreamento de interface com decremento de prioridadeIntermediário · 12 min
- VRF-Lite — dois clientes em um único roteadorIntermediário · 12 min
Este laboratório em outros idiomas
WPA2-Enterprise — RADIUS auth before traffic flowsWPA2-Enterprise – RADIUS-Authentifizierung, bevor der Datenverkehr fließtWPA2-Enterprise: autenticación RADIUS antes de que fluya el tráficoWPA2-Enterprise — Authentification RADIUS avant la circulation du traficWPA2-एंटरप्राइज़ - ट्रैफ़िक प्रवाह से पहले RADIUS प्रमाणीकरणWPA2-Enterprise — 流量之前进行 RADIUS 身份验证WPA2-Enterprise: autenticazione RADIUS prima dei flussi di trafficoWPA2-Enterprise — トラフィックが流れる前の RADIUS 認証WPA2-Enterprise — 트래픽 흐름 전 RADIUS 인증WPA2-Enterprise — аутентификация RADIUS перед потоком трафикаWPA2-Enterprise — Trafik akışlarından önce RADIUS kimlik doğrulamasıWPA2-Enterprise - Xác thực RADIUS trước luồng lưu lượng