Uso de RADIUS para restringir SSID en Cisco Aironet

10

Me gustaría usar mi servidor RADIUS para restringir el acceso al SSID configurado por usuario .

De acuerdo con la documentación vinculada anteriormente, agrego el siguiente atributo a un usuario de prueba:

ospite-5vh Cisco-AVPair + = "ssid = Interactive_Ospiti"

Entonces, habilitando la autenticación de radio de depuración , veo:

12 de junio 08: 30: 08.266: RADIUS (00001A96): Enviar solicitud de acceso a 212.183.164.38:1812 id 1645/128, len 177
12 de junio 08: 30: 08.266: RADIUS: autenticador CC C9 63 16 B0 62 74 52 - A7 95 DF 1D 93 F3 08 37
12 de junio 08: 30: 08.267: RADIO: Nombre de usuario [1] 12 "ospite-5vh"
12 de junio 08: 30: 08.267: RADIO: MTU enmarcado [12] 6 1400                      
12 de junio 08: 30: 08.267: RADIUS: Called-Station-Id [30] 16 "8478.acf0.9002"
12 de junio 08: 30: 08.267: RADIUS: Calling-Station-Id [31] 16 "2064.3267.44ca"
12 de junio 08: 30: 08.267: RADIO: Proveedor, Cisco [26] 29  
12 de junio 08: 30: 08.267: RADIUS: Cisco AVpair [1] 23 "ssid = Interactive_Test"
12 de junio 08: 30: 08.267: RADIUS: Tipo de servicio [6] 6 Inicio de sesión [1]
12 de junio 08: 30: 08.267: RADIO: Mensaje-Autenticato [80] 18  
12 de junio 08: 30: 08.267: RADIO: 7D 95 ED 39 3D 12 82 9F 30 8D 1F F4 84 04 43 C9 [} ?? 9 = ??? 0 ????? C?]
12 de junio 08: 30: 08.267: RADIO: Mensaje EAP [79] 17  
12 de junio 08: 30: 08.267: RADIO: 02 01 00 0F 01 6F 73 70 69 74 65 2D 35 76 68 [????? ospite-5vh]
12 de junio 08: 30: 08.267: RADIO: NAS-Port-Type [61] 6 802.11 inalámbrico [19]
12 de junio 08: 30: 08.267: RADIUS: NAS-Port [5] 6 7037                      
12 de junio 08: 30: 08.268: RADIUS: NAS-Port-Id [87] 6 "7037"
12 de junio 08: 30: 08.268: RADIUS: NAS-IP-Address [4] 6 10.132.0.253              
12 de junio 08: 30: 08.268: RADIUS: Identificador de Nas [32] 13 "UFFICIO-AP1"
12 de junio 08: 30: 08.325: RADIUS: Recibido de la identificación 1645/128 212.183.164.38:1812, Access-Challenge, len 95
12 de junio 08: 30: 08.325: RADIO: autenticador 8A C9 30 9B 1B 13 20 91 - 4C D6 FE B3 2A 1E F7 85
12 de junio 08: 30: 08.325: RADIO: Proveedor, Cisco [26] 31  
12 de junio 08: 30: 08.325: RADIO: Cisco AVpair [1] 25 "ssid = Interactive_Ospiti"
12 de junio 08: 30: 08.325: RADIO: Mensaje EAP [79] 8   
12 de junio 08: 30: 08.325: RADIO: 01 02 00 06 19 20 [????? ]
12 de junio 08: 30: 08.325: RADIUS: Mensaje-Autenticato [80] 18  
12 de junio 08: 30: 08.325: RADIO: 31 7D 79 7B C3 67 7E 71 5A FA 53 D4 76 2E 9D A4 [1} y {? G ~ qZ? S? V. ??]
12 de junio 08: 30: 08.326: RADIO: Estado [24] 18  
12 de junio 08: 30: 08.326: RADIO: 9E B6 71 EA 9E B4 68 7A 8E 86 18 54 AF BD AF 55 [?? q ??? hz ??? T ??? U]
12 de junio 08: 30: 08.326: RADIUS (00001A96): Recibido de id 1645/128

Por lo tanto, esperaría que la solicitud sea rechazada ya que el "SSID de asociación" no coincide con el RADIUS, sino que se reconoce y el usuario se conecta.

Siguen las configuraciones relevantes:

radio de grupo predeterminado de inicio de sesión de autenticación aaa
aaa autenticación iniciar sesión eap_methods grupo radio
aaa red de autorización predeterminada si está autenticado 
aaa contabilidad anidada
aaa actualización contable periódica 5
aaa red contable eap_methods start-stop group radio
!
dot11 ssid Interactive
   vlan 1
   autenticación abierta 
   autenticación de gestión de claves wpa
   mbssid modo invitado
   wpa-psk ascii 7 01120101551F035F7324DB1194F0ABEE1C0B03175B5C51
!
dot11 ssid Interactive_Ospiti
   vlan 4
   autenticación abierta 
   autenticación de gestión de claves wpa
   mbssid modo invitado
   wpa-psk ascii 7 15475E1D0725242D262D265D12730301204
!
dot11 ssid Interactive_Test
   vlan 5
   autenticación abierta eap eap_methods 
   autenticación network-eap eap_methods 
   autenticación key-management wpa versión 2
   métodos eap_contabilidad
   mbssid modo invitado
!
interfaz Dot11Radio0
 sin dirección ip
 no ip route-cache
 cifrado vlan 4 modos de cifrado aes-ccm tkip 
 cifrado vlan 1 modo cifrados aes-ccm tkip 
 cifrado vlan 5 modos de cifrado aes-ccm tkip 
 ssid Interactive
 ssid Interactive_Ospiti
 ssid Interactive_Test
 ganancia de antena 0
 mbssid
 sin espacio de tiempo corto
 velocidad basic-1.0 basic-2.0 basic-5.5 basic-11.0
 canal 2457
 raíz de rol de estación
!
interfaz Dot11Radio0.1
 descripción LAN Interactive
 encapsulación dot1Q 1 nativo
 no ip route-cache
 puente-grupo 1
 puente-grupo 1 suscriptor-bucle-control
 puente-grupo 1 bloque-fuente-desconocida
 no puente-grupo 1 fuente de aprendizaje
 sin inundación de unidifusión del grupo de puentes 1
 bridge-group 1 spanning-disabled
!
interfaz Dot11Radio0.4
 descripción LAN Ospiti
 encapsulación dot1Q 4
 no ip route-cache
 puente-grupo 4
 bridge-group 4 subscriber-loop-control
 puente-grupo 4 bloque-fuente-desconocida
 no puente-grupo 4 fuente de aprendizaje
 sin inundación de unidifusión del grupo de puentes 4
 bridge-group 4 spanning-disabled
!
interfaz Dot11Radio0.5
 descripción LAN Test
 encapsulación dot1Q 5
 no ip route-cache
 puente-grupo 5
 puente-grupo 5 suscriptor-bucle-control
 bridge-group 5 block-unknown-source
 no puente-grupo 5 fuente de aprendizaje
 sin inundación de unidifusión del grupo 5 del puente
 bridge-group 5 spanning-disabled
!
radius-server atributo 32 incluir-en-acceso-req formato% h
atributo radius-server 4 10.132.0.253
radius-server host 10.132.0.99 auth-port 1812 acct-port 1813 clave no estándar 7 131312061E3811242A142A7C79
radius-server vsa enviar contabilidad
radius-server vsa enviar autenticación

Y aquí está la salida de # show versione

Software Cisco IOS, Software C1040 (C1140-K9W7-M), Versión 12.4 (25d) JA1, SOFTWARE DE LIBERACIÓN (fc1)
Soporte técnico: http://www.cisco.com/techsupport
Copyright (c) 1986-2011 por Cisco Systems, Inc.
Compilado jue 11-ago-11 02:58 por prod_rel_team

ROM: el programa Bootstrap es el cargador de arranque C1040
BOOTLDR: C1040 Boot Loader (C1140-BOOT-M) Versión 12.4 (23c) JA3, SOFTWARE DE LIBERACIÓN (fc1)

El tiempo de actividad de UFFICIO-AP1 es de 8 semanas, 2 días, 8 horas, 27 minutos
Sistema devuelto a ROM por encendido
El sistema se reinició a las 22:39:10 UTC del martes 16 de abril de 2013
El archivo de imagen del sistema es "flash: /c1140-k9w7-mx.124-25d.JA1/c1140-k9w7-mx.124-25d.JA1"

¿Alguien puede ayudar?

cisco  wireless  aironet  radius 
— Marco Marzetti
fuente
2
¿Está utilizando ACS o algún otro servidor RADIUS?
— Dave Noonan
Estoy usando FreeRADIUS con MySQL backend
— Marco Marzetti
@MarcoMarzetti, ¿podría agregar non-standarda la radius-server hostlínea y avisarme si esto cambia los resultados que está obteniendo? Es posible que tenga que colocar la key 7declaración por sí misma en una línea diferente para que esto funcione.
— Mike Pennington
@MikePennington hecho, pero nada ha cambiado. Por cierto que tengo este error cuando cambia el valor de "SSID = Interactive_Ospiti": parse unknown cisco vsa "SSID" - IGNORE. Entonces, IOS entiende el atributo e intenta analizarlo.
— Marco Marzetti
¿Para qué sirve tu configuración interface Dot11Radio?
— generalnetworkerror

Respuestas:

1

Intente cambiar el operador en la configuración de freeradius a "= ~":

ospite-5vh Cisco-AVPair =~ "ssid=Interactive_Ospiti"

— Santino
fuente
no creo que esto pueda ayudar ya que "= ~" es para comparaciones y quiero una tarea. Tenga en cuenta que la verificación de SSID debe ser realizada por IOS y no por FreeRADIUS.
— Marco Marzetti
Al usar nuestro sitio, usted reconoce que ha leído y comprende nuestra Política de Cookies y Política de Privacidad.
Licensed under cc by-sa 3.0 with attribution required.