WPA2-Enterprise — Trafik akışlarından önce RADIUS kimlik doğrulaması
- Servisler ve kablosuz
- İleri
- 12 dk
- 1 adım
- Cisco IOS-XE-style
securityMode: wpa2-enterprise'ye sahip bir WLAN, istemci trafiği akmadan önce bir RADIUS Erişim Kabulü gerektirir. PHONE'da eapIdentity: alice bulunur ve AAA sunucusunda simulatedUsers: [{ username: alice,... }] bulunur; kimlik doğrulama başarılı olur, trafik akar. PHONE2'de eapIdentity: mallory var (kullanıcı listesinde değil) — Erişim-Reddetme alanları, authState: rejected, tüm yukarı bağlantı trafiği bir wlan-auth:... nedeni ile AP'de bırakılır. Pcap, RADIUS Erişim-İstek / Kabul / Reddetme çerçevelerini gösterir.
Ücretsiz · kurulum yok · hesap yok
Senaryo
Dilim N, mevcut securityMode: wpa2-enterprise alanını gerçek bir RADIUS değişimine bağlar. AP'ye katılma zamanında: 1. WLC, katılan AP ile ilişkili her Wi-Fi istemcisini yönetir. 2. wpa2-enterprise WLAN üzerindeki istemciler için WLC, device.radiusServers'deki ilk sunucuya, istemcinin eapIdentity'si User-Name olacak şekilde bir RADIUS Erişim İsteği (UDP/1812) gönderir. 3. RADIUS sunucusu (topolojide erişilebilir herhangi bir yerden) kullanıcı adını simulatedUsers listesiyle eşleştirir ve Erişim-Kabul veya Erişim-Reddet yanıtını verir. 4. WLC'deki (aaa/wire.ts'de) kablosuz EAP bindirme kancası, istemcinin authState'sini accepted / rejected olarak günceller. 5. authState üzerindeki CAPWAP veri yolu kapıları: reddedilen istemcilerin tüm yukarı bağlantı ve aşağı bağlantı trafiği sırasıyla AP/WLC'de düşer ve PacketDropped olayları wlan-auth: … olarak etiketlenir. Açık / WPA2-PSK istemcileri bunu tamamen atlar; authState, izin olarak değerlendirilerek idle olarak kalır. İleri çalışma: - İstemci başına password eşleşmesi (bugün simülatör yalnızca kullanıcı adının varlığını kontrol eder). - Tam EAP-PEAP/EAP-TLS çerçeve emülasyonu (bugün simülatörün yapılandırılmış RADIUS veri yükünü, DNS/NTP/TACACS+ ile aynı modeli kullanıyoruz). - Hesaplama Başlat/Durdur çerçeveleri (IR mevcuttur; kablosuz EAP yolu henüz bunları tetiklemiyor). - Yeniden kimlik doğrulama / oturum zaman aşımı.
Topoloji
2 × router, 1 × kablosuz denetleyici, 1 × switch, 1 × erişim noktası, 1 × wifi istemcisi · Cisco IOS-XE-style
ROUTER— routerWLC1— kablosuz denetleyiciHUB— switchAP1— erişim noktasıPHONE— wifi istemcisiaaa— router
Yapacakların
Yakınsama sonrasında PHONE.wifiClient.authState'in
acceptedolması gerekir. Pcap, WLC1 → 10.40.0.5'den (Kullanıcı Adı: alice) bir RADIUS Erişim İsteği ve AAA'dan WLC1'ye bir Erişim Kabulü göstermelidir.
Bu konudaki diğer lablar
- DHCP sunucusu yapılandırBaşlangıç · 12 dk
- WLAN — temel bir SSID yayınlayınBaşlangıç · 10 dk
- HSRP: first-hop yedekliliği yapılandırOrta · 12 dk
- NAT: bir iç LAN için PAT (overload)Orta · 14 dk
- HSRP — öncelik azaltmalı arayüz takibiOrta · 12 dk
- VRF-Lite — tek yönlendiricide iki müşteriOrta · 12 dk
Bu lab diğer dillerde
WPA2-Enterprise — RADIUS auth before traffic flowsWPA2-Enterprise – RADIUS-Authentifizierung, bevor der Datenverkehr fließtWPA2-Enterprise: autenticación RADIUS antes de que fluya el tráficoWPA2-Enterprise — Autenticação RADIUS antes do fluxo de tráfegoWPA2-Enterprise — Authentification RADIUS avant la circulation du traficWPA2-एंटरप्राइज़ - ट्रैफ़िक प्रवाह से पहले RADIUS प्रमाणीकरणWPA2-Enterprise — 流量之前进行 RADIUS 身份验证WPA2-Enterprise: autenticazione RADIUS prima dei flussi di trafficoWPA2-Enterprise — トラフィックが流れる前の RADIUS 認証WPA2-Enterprise — 트래픽 흐름 전 RADIUS 인증WPA2-Enterprise — аутентификация RADIUS перед потоком трафикаWPA2-Enterprise - Xác thực RADIUS trước luồng lưu lượng