WPA2-Enterprise — аутентификация RADIUS перед потоком трафика
- Сервисы и Wi-Fi
- Продвинутый
- 12 мин
- шагов: 1
- Cisco IOS-XE-style
WLAN с securityMode: wpa2-enterprise требует подтверждения доступа RADIUS перед потоком клиентского трафика. PHONE имеет eapIdentity: alice, а сервер AAA — simulatedUsers: [{ username: alice,... }] — аутентификация прошла успешно, трафик идет. PHONE2 имеет eapIdentity: mallory (нет в списке пользователей) — отображается отказ в доступе, authState: rejected, весь восходящий трафик сбрасывается на точке доступа по причине wlan-auth:.... Pcap показывает кадры запроса доступа/принятия/отклонения RADIUS.
Открыть эту лабораторную в браузере →
Бесплатно · без установки · без регистрации
Сценарий
Slice N подключает существующее поле securityMode: wpa2-enterprise к реальному обмену RADIUS. Во время подключения к точке доступа: 1. WLC обходит каждого Wi-Fi-клиента, связанного с присоединяющейся точкой доступа. 2. Для клиентов в WLAN wpa2-enterprise WLC отправляет запрос доступа RADIUS (UDP/1812) к первому серверу в device.radiusServers с клиентским eapIdentity как User-Name. 3. Сервер RADIUS (в любой точке топологии, где он доступен) сопоставляет имя пользователя со своим списком simulatedUsers и отвечает «Access-Accept» или «Access-Reject». 4. Комбинированная связь беспроводного EAP на WLC (в aaa/wire.ts) обновляет клиентский authState до accepted/rejected. 5. Шлюзы пути данных CAPWAP на authState: для отклоненных клиентов весь трафик восходящей и нисходящей линии связи сбрасывается на AP/WLC соответственно, с событиями PacketDropped, помеченными wlan-auth: …. Клиенты Open/WPA2-PSK полностью пропускают это — authState остается idle и рассматривается как разрешение. Передовая работа: - Сопоставление password для каждого клиента (сегодня симулятор проверяет только наличие имени пользователя). - Полная эмуляция кадра EAP-PEAP/EAP-TLS (сегодня мы используем структурированную полезную нагрузку RADIUS симулятора, ту же структуру, что и DNS/NTP/TACACS+). - Учет кадров Start/Stop (IR существует; путь Wireless-EAP их еще не запускает). - Повторная авторизация/тайм-аут сеанса.
Топология
2 × маршрутизатор, 1 × контроллер Wi-Fi, 1 × коммутатор, 1 × точка доступа, 1 × Wi-Fi клиент · Cisco IOS-XE-style
ROUTER— маршрутизаторWLC1— контроллер Wi-FiHUB— коммутаторAP1— точка доступаPHONE— Wi-Fi клиентaaa— маршрутизатор
Что предстоит сделать
После конвергенции PHONE.wifiClient.authState должен иметь значение
accepted. Pcap должен отображать запрос доступа RADIUS от WLC1 → 10.40.0.5 (имя пользователя: alice) и подтверждение доступа от AAA обратно к WLC1.
Открыть эту лабораторную в браузере →
Другие лабораторные по теме
- Настрой DHCP-серверНачальный · 12 мин
- WLAN — трансляция базового SSIDНачальный · 10 мин
- HSRP: настройка резервирования первого хопаСредний · 12 мин
- NAT: PAT (overload) для внутреннего LANСредний · 14 мин
- HSRP — отслеживание интерфейса с уменьшением приоритетаСредний · 12 мин
- VRF-Lite — два клиента на одном маршрутизатореСредний · 12 мин
Эта лабораторная на других языках
WPA2-Enterprise — RADIUS auth before traffic flowsWPA2-Enterprise – RADIUS-Authentifizierung, bevor der Datenverkehr fließtWPA2-Enterprise: autenticación RADIUS antes de que fluya el tráficoWPA2-Enterprise — Autenticação RADIUS antes do fluxo de tráfegoWPA2-Enterprise — Authentification RADIUS avant la circulation du traficWPA2-एंटरप्राइज़ - ट्रैफ़िक प्रवाह से पहले RADIUS प्रमाणीकरणWPA2-Enterprise — 流量之前进行 RADIUS 身份验证WPA2-Enterprise: autenticazione RADIUS prima dei flussi di trafficoWPA2-Enterprise — トラフィックが流れる前の RADIUS 認証WPA2-Enterprise — 트래픽 흐름 전 RADIUS 인증WPA2-Enterprise — Trafik akışlarından önce RADIUS kimlik doğrulamasıWPA2-Enterprise - Xác thực RADIUS trước luồng lưu lượng