Cấu hình Wireless Cisco- Lab 2 (XÁC THỰC DOT1X DÙNG KIỂU FAST) [Lưu trữ] - WiMAX and Wi-Fi Professional

View Full Version : Cấu hình Wireless Cisco- Lab 2 (XÁC THỰC DOT1X DÙNG KIỂU FAST)

logmeinvietnam

29-05-2010, 08:51

<meta http-equiv="Content-Type" content="text/html; charset=utf-8"><meta name="ProgId" content="Word.Document"><meta name="Generator" content="Microsoft Word 11"><meta name="Originator" content="Microsoft Word 11"><link rel="File-List" href="file:///C:%5CDOCUME%7E1%5CADMINI%7E1%5CLOCALS%7E1%5CTemp%5 Cmsohtml1%5C01%5Cclip_filelist.xml"><o:smarttagtype namespaceuri="urn:schemas-microsoft-com:office:smarttags" name="place"></o:smarttagtype><o:smarttagtype namespaceuri="urn:schemas-microsoft-com:office:smarttags" name="PlaceType"></o:smarttagtype><o:smarttagtype namespaceuri="urn:schemas-microsoft-com:office:smarttags" name="PlaceName"></o:smarttagtype><style>  </style> LAB 3 – XÁC THỰC DOT1X DÙNG KIỂU FAST
<o:p> </o:p>
Mô tả
Bài lab này mô tả cách xác thực dot1x dùng cơ chế FAST, các thiết bị dùng trong bài bao gồm ACS của Cisco, wireless client adapter của Cisco, WLAN Controller và Lightweight Access Point.
<o:p> </o:p>
Sơ đồ
http://c.upanh.com/upload/7/389/CS0.11600966_63075_1.gif
<o:p> </o:p>

Thực hiện
Cấu hình cơ bản trên router:<o:p></o:p>
C2811#sh run
Building configuration...
<o:p> </o:p>
version 12.4
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname c2811
!
boot-start-marker
boot-end-marker
!
security authentication failure rate 5 log
enable secret 5 $1$QgGG$mjteEFA5x1onr2X3kuDp50
!
aaa session-id common
!
!
ip cef
no ip dhcp use vrf connected
ip dhcp excluded-address 192.168.100.1
ip dhcp excluded-address 10.10.10.1 10.10.10.100
ip dhcp excluded-address 192.168.2.1
ip dhcp excluded-address 192.168.2.254
!
ip dhcp pool 192.168.100.0
network 192.168.100.0 255.255.255.0
default-router 192.168.100.1
option 43 ip 192.168.99.24
!
ip dhcp pool 10
network 10.10.10.0 255.255.255.0
default-router 10.10.10.1
!
ip dhcp pool vlan2
network 192.168.2.0 255.255.255.0
default-router 192.168.2.254
!
multilink bundle-name authenticated
!
username admin password 0 admin
!
interface FastEthernet0/0
ip address 10.10.10.1 255.255.255.0
duplex auto
speed auto
!
interface FastEthernet0/1
ip address 192.168.100.1 255.255.255.0
ip virtual-reassembly
duplex auto
speed auto
!
interface Serial0/0/0
no ip address
shutdown
clock rate 2000000
!
interface Serial0/0/1
no ip address
shutdown
clock rate 2000000
!
interface wlan-controller1/0
no ip addresss
shutdown
!
!
control-plane
!
line con 0
exec-timeout 0 0
logging synchronous
line aux 0
line vty 4
!
!
scheduler allocate 20000 1000
!
End
<o:p> </o:p>
Trước khi thực hiện bài lab này yêu cầu cài đặt thành công phần mềm ACS trên server làm vai trò máy chủ xác thực
<o:p> </o:p>
Bước 1: cấu hình cơ bản router 2811 và WLC module<o:p></o:p>
<o:p> </o:p>
Cấu hình địa chỉ IP trên interface W1/0 của Router 2811
<o:p> </o:p>
c2811#configure terminal
Enter configuration commands, one per line. End with CNTL/Z.
c2811(config)#
c2811(config)#interface wlan-controller 1/0
c2811(config-if)#ip address 192.168.99.254 255.255.255.0
c2811(config-if)#no shut
c2811(config-if)#end
[I]<o:p> </o:p>
Truy cập vào WLC module từ Router 2811
<o:p> </o:p>
c2811#service-module wlan-controller 1/0 session
Trying 192.168.99.254, 2066 ... Open
<o:p> </o:p>
<o:p> </o:p>
Cấu hình WLC từ chế độ SETUP MODE như sau
<o:p> </o:p>

<table class="MsoNormalTable" style="width: 92.9%; background: none repeat scroll 0% 0% white;" width="92%" border="1" cellpadding="0" cellspacing="1"> <tbody><tr style=""> <td style="width: 5.65in; background: none repeat scroll 0% 0% rgb(204, 204, 255); padding: 2.25pt;" width="542">

Cisco Controller<o:p></o:p>
</td> </tr> <tr style=""> <td style="width: 5.65in; padding: 2.25pt;" width="542">
Welcome to the Cisco Wizard Configuration Tool</pre>
Use the '-' character to backup</pre>
System Name [Cisco_ff:f6:a0]: NMWLC</pre>
Enter Administrative User Name (24 characters max): cisco</pre>
Enter Administrative Password (24 characters max): cisco</pre>
</pre>
Management Interface IP Address: 192.168.99.24</pre>
Management Interface Netmask: 255.255.255.0</pre>
Management Interface Default Router: 192.168.99.254 </pre>
Management Interface VLAN Identifier (0 = untagged): 0</pre>
<st1:place w:st="on"><st1:placename w:st="on">Management</st1:placename> <st1:placename w:st="on">Interface</st1:placename> <st1:placetype w:st="on">Port</st1:placetype></st1:place> Num [1]: 1</pre>
Management Interface DHCP Server IP Address: 192.168.99.24</pre>
</pre>
AP Manager Interface IP Address: 192.168.99.25</pre>
</pre>
AP-Manager is on Management subnet, using same values</pre>
AP Manager Interface DHCP Server (192.168.99.24): 192.168.99.24</pre>
</pre>
Virtual Gateway IP Address: 1.1.1.1</pre>
</pre>
Mobility/RF Group Name: mg1</pre>
</pre>
Network Name (SSID): wl15</pre>
Allow Static IP Addresses [YES][no]: no</pre>
</pre>
Configure a RADIUS Server now? [YES][no]: no</pre>
Warning! The default WLAN security policy requires a RADIUS server.</pre>
Please see documentation for more details.</pre>
</pre>
Enter Country Code (enter 'help' for a list of countries) [US]: US</pre>
</pre>
Enable 802.11b Network [YES][no]: YES</pre>
Enable 802.11a Network [YES][no]: YES</pre>
Enable 802.11g Network [YES][no]: YES</pre>
Enable Auto-RF [YES][no]: no</pre>
Configuration saved!</pre>
Resetting system with new configuration...</pre></td> </tr> </tbody></table>
<o:p> </o:p>
Sau khi khởi động lại WLC
<o:p> </o:p>

a. Sau khi WLC khởi động xong, truy cập vào WLC từ Router 2811, nhập username cisco và password cisco để vào WLC

b. Để quay trở lại router 2811, nhấn tổ hợp phím ctrl+shift+6 thả ra và nhấn tiếp phím x

c. Kiểm tra đảm bảo Router có thể ping thấy WLC module


c2811#ping 192.168.99.24
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.99.24, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/2/4 ms
c2811#service-module wlan-controller 1/0 session
Trying 192.168.99.254, 2066 ... Open
<o:p> </o:p>
<o:p> </o:p>

d. Test PC1 ping WLC module. Tai PC ping 192.168.99.24 (xem file cau hinh Router2k8)
<o:p> </o:p>
Ghi chú: cần đồng bộ thời gian giữa WLC module và router 2811, trong trường hợp này router 2811 sẽ được cấu hình trở thành bộ đồng bộ thời gian chính (source clock)
<o:p> </o:p>
C2811#conf t<o:p></o:p>
C2811(config)#ntp master 2<o:p></o:p>
<o:p> </o:p>
Bước 2: Dùng PC cấu hình WLC bằng https<o:p></o:p>
<o:p> </o:p>
Truy cập vào WLC bằng web, dùng firefox hoặc IE nhập vào https://192.168.99.24 (https://192.168.99.24/)<o:p></o:p>
<o:p> </o:p>

Chọn Login, nhập username: cisco, password: cisco ( username và password cấu hình trong bước 1)<o:p></o:p>
http://c.upanh.com/upload/7/389/3L0.11600967_63075_1.jpg<o:p></o:p>

Cấu hình đồng bộ thời gian cho WLC với R2811
<o:p> </o:p>
<o:p> </o:p>
http://c.upanh.com/upload/7/389/VZ0.11600968_63075_1.jpg

Chọn New để khai báo server thời gian mới, cần cấu hình trên router 2811 là thiết bị cấp thời gian clock chủ đạo dùng câu lệnh: R2811(config)#ntp master 2.
<o:p> </o:p>
http://c.upanh.com/upload/7/389/7V0.11600969_63075_1.jpg
<o:p> </o:p>
<o:p> </o:p>

Chọn Apply
<o:p> </o:p>
http://c.upanh.com/upload/7/389/CS0.11600970_63075_1.jpg

Khi LWAP bật lên sẽ được nhận địa chỉ IP từ Router 2811 cùng với option 43 chỉ sự tồn tại của WLAN Controller, quá trình đăng ký sẽ tự động thực hiện.
<o:p> </o:p>
Khi quá trình đăng ký thành công thì trên WLC sẽ có kết quả như sau, chú ý cột Operational Status có trạng thái REG chính là registered.
<o:p> </o:p>
http://c.upanh.com/upload/7/389/CS0.11600971_63075_1.jpg

Cấu hình các thông số cho Wireless Client
<o:p> </o:p>

- Chọn Controller > Interfaces > New<o:p></o:p>
http://c.upanh.com/upload/7/389/UL0.11600972_63075_1.jpg
<o:p> </o:p>
Nhập tên Interface và VLAN (trong trường hợp này giả định wireless client dùng vlan2 có địa chỉ mạng 192.168.2.0/24) sau đó click Apply

Cửa sổ này sẽ xuất hiện sau khi đã nhập vào tên Interface và VLAN<o:p></o:p>
Nhập địa chỉ IP (địa chỉ này đại diện một giao tiếp trên thiết bị WLC), Netmask, Gateway và địa chỉ IP của DHCP Server, click Apply<o:p></o:p>
<o:p> </o:p>
http://c.upanh.com/upload/7/389/L50.11600975_63075_1.jpg<o:p></o:p>
<o:p> </o:p>
<o:p> </o:p>
Kiểm tra lại cấu hình<o:p></o:p>
Kết quả thu được <o:p></o:p>
http://c.upanh.com/upload/7/389/LZ0.11600977_63075_1.jpg<o:p></o:p>
<o:p> </o:p>
<o:p> </o:p>
<o:p> </o:p>

- Click WLANs tab trên thanh menu ở góc trên cửa sổ, và click New…

- Nhập vào service set identifier (SSID) và click Apply.<o:p></o:p>
Trong ví dụ này, ta nhập vào SSID tên là vlan2<o:p></o:p>

- Chọn vlan2 từ thanh thực đơn Interface Name ở cuối cửa sổ, và click Apply.<o:p></o:p>
Trong trường hợp này, SSID vlan2 được kết hợp với Interface Name vlan2<o:p></o:p>
http://c.upanh.com/upload/7/389/9K0.11600978_63075_1.jpg<o:p></o:p>
<o:p> </o:p>
<o:p> </o:p>
<o:p> </o:p>
<o:p> </o:p>
<o:p> </o:p>
Trên router 2811, cấu hình thêm cổng phục vụ cho lớp mạng 192.168.2.0/24 qua vlan 2 đồng thời cấu hình dhcp server cho lớp mạng này
<o:p> </o:p>
R1(config)# interface wlan-controller1/0.2
R1(config-subif)# encapsulation dot1Q 2
R1(config-subif)# ip address 192.168.2.254 255.255.255.0
<o:p> </o:p>
Cấu hình dhcp server trên router cấp địa chỉ động cho lớp mạng 192.168.2.0/24
C2811#conf t<o:p></o:p>
C2811(config)#ip dhcp pool vlan2<o:p></o:p>
C2811(config-dhcp)# network 192.168.2.0 255.255.255.0<o:p></o:p>
C2811(config-dhcp)# default-router 192.168.2.254 <o:p></o:p>
<o:p> </o:p>
<o:p> </o:p>

Bước 3: Cấu hình các tham số xác thực dot1x trên WLC<o:p></o:p>
<o:p> </o:p>
Chọn Security à New
<o:p> </o:p>
http://c.upanh.com/upload/7/389/SC0.11600980_63075_1.jpg
<o:p> </o:p>

Khai bao sự tồn tại của ACS server (đóng vai trò máy chủ xác thực Radius)
<o:p> </o:p>
http://c.upanh.com/upload/7/389/CS0.11600982_63075_1.jpg
<o:p> </o:p>

Chọn Apply,
<o:p> </o:p>
http://c.upanh.com/upload/7/389/TL0.11600984_63075_1.jpg

logmeinvietnam

31-05-2010, 02:22

<meta http-equiv="Content-Type" content="text/html; charset=utf-8"><meta name="ProgId" content="Word.Document"><meta name="Generator" content="Microsoft Word 11"><meta name="Originator" content="Microsoft Word 11"><link rel="File-List" href="file:///C:%5CDOCUME%7E1%5CADMINI%7E1%5CLOCALS%7E1%5CTemp%5 Cmsohtml1%5C01%5Cclip_filelist.xml"><style>  </style> Cấu hình xác thực FAST
Vào WLAN để chọn kiểu xác thực. Dùng edit để chỉnh sửa thông tin của SSID vlan2
<o:p> </o:p>
http://c.upanh.com/upload/7/389/790.11600986_63075_1.jpg
<o:p> </o:p>

Chọn 802.1X trong phần Layer 2 security
<o:p> </o:p>
http://c.upanh.com/upload/7/389/LT0.11600987_63075_1.jpg
<o:p> </o:p>

Trong phần server chọn 10.10.10.3
<o:p> </o:p>
http://c.upanh.com/upload/7/389/UL0.11600988_63075_1.jpg
<o:p> </o:p>
<o:p> </o:p>

Nhấn Apply, nếu có câu hiển thị thông báo các client đang kết nối sẽ bị đứt kết nối chọn OK.
Quan sát kết quả
<o:p> </o:p>
http://c.upanh.com/upload/7/389/CS0.11600989_63075_1.jpg

Cấu hình trên ACS hỗ trợ xác thực bằng FAST
<o:p> </o:p>
Truy nhập vào đường liên kết cấu hình ACS
<o:p> </o:p>
http://c.upanh.com/upload/7/389/CS0.11600990_63075_1.jpg
<o:p> </o:p>
<o:p> </o:p>

Tạo thêm tài khoản người dùng mới
<o:p> </o:p>
http://c.upanh.com/upload/7/389/CS0.11600991_63075_1.jpg

Username cisco
<o:p> </o:p>
http://c.upanh.com/upload/7/389/SC0.11600992_63075_1.jpg

Password: cisco123 à chọn submit
<o:p> </o:p>
http://c.upanh.com/upload/7/389/CS0.11600996_63075_1.jpg
<o:p> </o:p>
<o:p> </o:p>
<o:p> </o:p>
<o:p> </o:p>

Khai báo sự tồn tại của WLC trên ACS
<o:p> </o:p>
http://c.upanh.com/upload/7/389/3L0.11600999_63075_1.jpg
<o:p> </o:p>

Chọn Submit + Apply và xem kết quả
<o:p> </o:p>
http://c.upanh.com/upload/7/389/VZ0.11601001_63075_1.jpg
<o:p> </o:p>

Khai báo kiểu xác thực FAST trên ACS<o:p></o:p>
<o:p> </o:p>
Để xác thực kiểu FAST, ACS server phải có chứng thực điện tử, thực hiện thao tác tự sinh chứng thực điện tử trên server ACS
<o:p> </o:p>
Vào System configuration --> ACS Certificate Setup
<o:p> </o:p>
http://c.upanh.com/upload/7/389/VZ0.11601002_63075_1.jpg
<o:p> </o:p>

Chọn Generate Self-Signed Certificate
<o:p> </o:p>
http://c.upanh.com/upload/7/389/TL0.11601004_63075_1.gif

Nhập các thông tin cần thiết theo bảng hướng dẫn bên phải, sau đó chọn submit
<o:p> </o:p>
http://c.upanh.com/upload/7/389/8K0.11601005_63075_1.jpg
<o:p> </o:p>

Xuất hiện thông báo sau:
<o:p> </o:p>
http://c.upanh.com/upload/7/389/CS0.11601006_63075_1.jpg
<o:p> </o:p>

Vào system configuration --> Service Control
http://c.upanh.com/upload/7/389/790.11601008_63075_1.jpg
<o:p> </o:p>

Chọn Restart, dịch vụ ACS sẽ được khởi tạo lại
<o:p> </o:p>
http://c.upanh.com/upload/7/389/LT0.11601012_63075_1.jpg
<o:p> </o:p>
<o:p> </o:p>
Có thể tiến hành kiểm tra lại trên thư mục C:/ trên server sẽ thấy có 2 file là cisco.cer và cisco.pvk trên thư mục này
<o:p> </o:p>

logmeinvietnam

09-06-2010, 02:33

<meta http-equiv="Content-Type" content="text/html; charset=utf-8"><meta name="ProgId" content="Word.Document"><meta name="Generator" content="Microsoft Word 11"><meta name="Originator" content="Microsoft Word 11"><link rel="File-List" href="file:///C:%5CDOCUME%7E1%5CADMINI%7E1%5CLOCALS%7E1%5CTemp%5 Cmsohtml1%5C01%5Cclip_filelist.xml"><style>  </style> Cấu hình hỗ trợ cơ chế xác thực theo FAST<o:p></o:p>
<o:p> </o:p>
Vào System Configuration --> Global Authentication Setup
<o:p> </o:p>
http://c.upanh.com/upload/7/389/GL0.11601013_63075_1.jpg
<o:p> </o:p>

Chọn liên kết cấu hình FAST
<o:p> </o:p>
http://c.upanh.com/upload/7/389/CS0.11601014_63075_1.jpg
<o:p> </o:p>

Chọn bật tính năng FAST, theo hướng dẫn bên phải để cấu hình các tham số còn lại, hỗ trợ các giá trị bảo mật định danh được cung cấp từ máy bất kỳ và cho phép xác thực bên trong dùng cơ chế MSCHAPv2. Chọn Submit + Restart.
<o:p> </o:p>
http://c.upanh.com/upload/7/389/S50.11601015_63075_1.jpg
<o:p> </o:p>

Cấu hình Wireless client hỗ trợ kiểu xác thực FAST
<o:p> </o:p>
Do WINXP không hỗ trợ cơ chế xác thực này nên vẫn dùng chương trình Cisco Aironet Desktop Utility ( yêu cầu card gắn trong là của hãng Cisco).
<o:p> </o:p>
Trước tiên chép file cisco.cer trên máy chủ ACS và chạy file này trên PC nhằm import certificate này vào trong PC
<o:p> </o:p>
Khởi tạo chương trình Cisco Aironet Desktop Utility
<o:p> </o:p>
http://c.upanh.com/upload/7/389/L80.11601016_63075_1.jpg
<o:p> </o:p>

Chọn Scan để tìm thông tin của vùng wireless có SSID vlan 2
<o:p> </o:p>
http://c.upanh.com/upload/7/389/ZL0.11601019_63075_1.jpg
<o:p> </o:p>

Chọn vlan2à activate<o:p></o:p>
<o:p> </o:p>
http://c.upanh.com/upload/7/389/3L0.11601021_63075_1.jpg<o:p></o:p>

Điền thông tin bổ sung tên profile
<o:p> </o:p>
http://c.upanh.com/upload/7/389/3L0.11601024_63075_1.jpg
<o:p> </o:p>

Chọn kiểu xác thực là 802.1X với dạng là EAP-FAST, sau đó chọn configure để cấu hình các tham số của EAP-FAST
<o:p> </o:p>
http://c.upanh.com/upload/7/389/3L0.11601025_63075_1.jpg

Chọn phương thức xác thực là Username và Password. Nếu như cập nhật thông tin cisco.cer thành công thì thông tin bảo mật từ server sẽ hiện lên. Sau đó chọn OK để hoàn tất quá trình cập nhật thông tin.
<o:p> </o:p>
http://c.upanh.com/upload/7/389/VZ0.11601027_63075_1.jpg
<o:p> </o:p>

Quá trình liên kết sẽ tiến hành tự động
<o:p> </o:p>
http://c.upanh.com/upload/7/389/7V0.11601028_63075_1.jpg
<o:p> </o:p>
Trên PC, kiểm tra đã nhận được IP thành công
<o:p> </o:p>
http://c.upanh.com/upload/7/389/3L0.11601031_63075_1.jpg
<o:p> </o:p>
http://c.upanh.com/upload/7/389/XL0.11601034_63075_1.jpg

Powered by vBulletin® Version 4.1.12 Copyright © 2012 vBulletin Solutions, Inc. All rights reserved.