WPA2-Enterprise - Xác thực RADIUS trước luồng lưu lượng

Dịch vụ và không dây
Nâng cao
12 phút
1 bước
Cisco IOS-XE-style

Mạng WLAN có securityMode: wpa2-enterprise yêu cầu Chấp nhận truy cập RADIUS trước khi lưu lượng truy cập của máy khách. ĐIỆN THOẠI có eapIdentity: alice và máy chủ AAA có simulatedUsers: [{ username: alice,... }] - xác thực thành công, luồng lưu lượng truy cập. PHONE2 có eapIdentity: mallory (không có trong danh sách người dùng) - Vùng đất Từ chối truy cập, authState: rejected, tất cả lưu lượng truy cập đường lên bị loại bỏ tại AP với lý do wlan-auth:.... Pcap hiển thị các khung RADIUS Access-Request/Accept/Reject.

Mở bài lab này trong trình duyệt →

Miễn phí · không cần cài đặt · không cần tài khoản

Tình huống

Slice N nối trường securityMode: wpa2-enterprise hiện có vào một trao đổi RADIUS thực. Tại thời điểm tham gia AP: 1. WLC hướng dẫn từng máy khách wifi được liên kết với AP tham gia. 2. Đối với các máy khách trên mạng WLAN wpa2-enterprise, WLC phát ra Yêu cầu truy cập RADIUS (UDP/1812) tới máy chủ đầu tiên trong device.radiusServers có eapIdentity của máy khách là User-Name. 3. Máy chủ RADIUS (bất kỳ nơi nào có thể truy cập được trong cấu trúc liên kết) khớp tên người dùng với danh sách simulatedUsers của nó và trả lời Access-Accept hoặc Access-Reject. 4. Móc nối không dây-EAP trên WLC (trong aaa/wire.ts) cập nhật authState của khách hàng thành accepted / rejected. 5. Cổng đường dẫn dữ liệu CAPWAP trên authState: các máy khách bị từ chối có tất cả lưu lượng truy cập đường lên và đường xuống bị rớt tại AP / WLC tương ứng, với các sự kiện PacketDropped được gắn thẻ wlan-auth: …. Máy khách mở / WPA2-PSK hoàn toàn bỏ qua điều này - authState vẫn là idle, được coi là được phép. Công việc chuyển tiếp: - Đối sánh password trên mỗi khách hàng (ngày nay trình mô phỏng chỉ kiểm tra sự hiện diện của tên người dùng). - Mô phỏng khung EAP-PEAP/EAP-TLS đầy đủ (ngày nay chúng tôi sử dụng tải trọng RADIUS có cấu trúc của trình mô phỏng, cùng mẫu với DNS/NTP/TACACS+). - Các khung Bắt đầu/Dừng tính toán (IR tồn tại; đường dẫn EAP không dây chưa kích hoạt chúng). - Xác thực lại/hết thời gian phiên.

Sơ đồ mạng

2 × router, 1 × bộ điều khiển không dây, 1 × switch, 1 × điểm truy cập, 1 × thiết bị wifi · Cisco IOS-XE-style

ROUTER — router
WLC1 — bộ điều khiển không dây
HUB — switch
AP1 — điểm truy cập
PHONE — thiết bị wifi
aaa — router

Bạn sẽ làm gì

Sau khi hội tụ, PHONE.wifiClient.authState phải là accepted. Pcap sẽ hiển thị Yêu cầu truy cập RADIUS từ WLC1 → 10.40.0.5 (Tên người dùng: alice) và Chấp nhận truy cập từ AAA trở lại WLC1.

Mở bài lab này trong trình duyệt →

Các bài lab khác cùng chủ đề

Bài lab này bằng ngôn ngữ khác