Монтаж локальный сетей: Пример настройки Cisco Aironet 1252
   
  Ставим Сети!
Строительство и комплексное обслуживание локальных сетей
(495) 646-1291
ГлавнаяНаши возможностиРасчет стоимости сетиНаши ценыВопросы и ответыОбратная связь
    Пример настройки точки доступа Cisco Aironet 1252

    Перед прочтением данной заметки хочется обратить внимание на несколько моментов, которые необходимо учитывать при планировании беспроводной компьютерной сети.
  1. Скорости, прописанные в стандартах Wi-Fi не являются гарантированными скоростями передачи данных, в отличае от проводного соединения.
  2. Обеспечение безопасности беспроводной сети требует специфических знаний и дополнительных усилий.
Важно    Данная заметка не претендует на полноту изложения. Вся приведенная в заметке информация взята из личного опыта настройки оборудования. Любые замечания, предложения и вопросы принимаются на адрес net@net-services.ru
О чем эта заметка:
Вводные данные IP адрес точке доступа присвоен
точка доступа подключена к коммутатору
в сети установлен и настроен RADIUS сервер для аутентификации клиентов
конфигурирование ведем через CLI(Command Line Interface)
Настройка открытой беспроводной сети
    Настройка открытой сети не несет никаких сложностей, единственное о чем нужно помнить – открытой сетью могут пользоваться все, у кого есть беспроводная сетевая карта...

(config)#dot11 ssid test-netСоздаем беспроводную сеть
(config-ssid)#authentication openОбъявляем открытую аутентификацию
(config-ssid)#guest-modeразрешаем анонсирование ssid (сеть видна при поиске)
 
(config)#interface Dot11Radio0Заходим в радио интерфейс
(config-if)#ssid test-netПривязываем ssid к интерфейсу
Собственно, открытая беспроводная сеть настроена.

Настройка закрытой беспроводной сети (WPA ver2 Preshared key)
    Технология WPA2 (Wi-Fi Protected access версия 2)на данный момент является наибелее стойкой а различным атакам. Если вы используете точку доступа для организации доступа в сеть небольшого количества пользователей, то WPA2-PSK подойдет вам лучше всего.

(config)#dot11 ssid test-netНазвание сети
(config-ssid)#authentication openОткрытая аутентификация
(config-ssid)#authentication key-management wpa version 2Объявляем wpa2 аутентификацию
(config-ssid)#wpa-psk ascii netKeyWpaВводим контрольную фразу (ключ сети), длина ключа сети не меньше 8 символов
(config-ssid)#guest-modeАнонсирование ssid (сеть видна при поиске)
 
(config)#interface Dot11Radio0Радио интерфейс
(config-if)#ssid test-netПривязываем ssid к интерфейсу
(config-if)#encryption mode ciphers aes-ccm tkipОбъявляем о шифровании на физическом интерфейсе
После настройки WPA2-PSK при подключении к беспроводной сети, которая будет иметь ssid test-net потребуется ввести контрольную фразу (в данном случае netKeyWpa).

Настройка закрытой беспроводной сети с аутентификацией клиентов на внешнем RADIUS сервере
    В случае необходимости раздельного администрирования беспроводных клиентов потребуется внешний RADIUS сервер.

(config)#radius-server host 172.16.222.90 auth-port 1812 acct-port 1813 key RaDiUsKeY Прежде всего говорим точке доступа где у нас живет RADIUS сервер, на каких портах, и с каким паролем к нему идти
 
(config)#aaa group server radius rad_eapСоздаем группу eap аутентификации
(config-sg-radius)#server 172.16.222.90 auth-port 1812 acct-port 1813и привязываем к этой группе сервер (можно несколько)
(config)#aaa group server radius rad_acctСоздаем группу статистики
(config-sg-radius)#server 172.16.222.90 auth-port 1812 acct-port 1813и привязываем к этой группе сервер (так же можно несколько)
 
(config)#aaa authentication login eap_methods group rad_eapВключаем eap аутентификацию с привязкой к листу eap_methods
(config)#aaa accounting network acct_methods start-stop group rad_acctТоже самое с методом сбора статистики
 
(config)#dot11 ssid test-netНазвание сети
(config-ssid)#authentication open eap eap_methodsПрописываем ЕАР аутентификацию
(config-ssid)#authentication network-eap eap_methods
(config-ssid)#authentication key-management wpa version 2Объявляем wpa2 аутентификацию
(config-ssid)#wpa-psk ascii netKeyWpaВводим контрольную фразу (ключ сети), длина ключа сети не меньше 8 символов
(config-ssid)#guest-modeАнонсирование ssid (сеть видна при поиске)
 
(config)#interface Dot11Radio0Радио интерфейс
(config-if)#ssid test-netПривязываем ssid к интерфейсу
(config-if)#encryption mode ciphers aes-ccm tkipОбъявляем о шифровании на физическом интерфейсе
 
user Cleartext-Password := "123"Запись в файле users RADIUS сервера или в его базе данных
Учетных записей может быть достаточно много, каждая из них может быть привязана к конкретному человеку. Данная реализация аутентификации дает более гибкий механизм работы с учетными записями пользователей. Так же хочу отметить, что Cisco 1252, о которой идет речь в данной заметке, на борту имеет свой собственный встроенный RADIUS сервер.

Настройка аутентификации через RADIUS с назначением клиенту VLAN
    В случае необходимости разбиения беспроводной сети на сегменты и привязки беспроводных клиентов к конкретному VLANу нам опять потребуется внешний RADIUS сервер.

(config)#radius-server host 172.16.222.90 auth-port 1812 acct-port 1813 key RaDiUsKeY Прежде всего говорим точке доступа где у нас живет RADIUS сервер, на каких портах, и с каким паролем к нему идти
 
(config)#aaa group server radius rad_eapСоздаем группу eap аутентификации
(config-sg-radius)#server 172.16.222.90 auth-port 1812 acct-port 1813и привязываем к этой группе сервер (можно несколько)
(config)#aaa group server radius rad_acctСоздаем группу статистики
(config-sg-radius)#server 172.16.222.90 auth-port 1812 acct-port 1813и привязываем к этой группе сервер (так же можно несколько)
 
(config)#aaa authentication login eap_methods group rad_eapВключаем eap аутентификацию с привязкой к листу eap_methods
(config)#aaa accounting network acct_methods start-stop group rad_acctТоже самое с методом сбора статистики
 
(config)#dot11 ssid test-netНазвание сети
(config-ssid)#VLAN 102Привязка VLANа к ssid
(config-ssid)#authentication open eap eap_methodsПрописываем ЕАР аутентификацию
(config-ssid)#authentication network-eap eap_methods
(config-ssid)#authentication key-management wpa version 2Объявляем wpa2 аутентификацию
(config-ssid)#wpa-psk ascii netKeyWpaВводим контрольную фразу (ключ сети), длина ключа сети не меньше 8 символов
(config-ssid)#guest-modeАнонсирование ssid (сеть видна при поиске)
 
(config)#interface Dot11Radio0Радио интерфейс
(config-if)#ssid test-netПривязываем ssid к интерфейсу
(config-if)#encryption vlan 101 mode ciphers aes-ccm tkipОбъявляем о шифровании для каждого VLAN
(config-if)#encryption vlan 102 mode ciphers aes-ccm tkip
 
(config)#interface Dot11Radio0.101Создаем радио сабинтерфейс
(config-if)#encapsulation dot1Q 101Указываем на нем энкапсуляцию с указанием номера VLAN
(config-if)#bridge-group 101Указываем принадлежность к bridge группе
(config)#interface Dot11Radio0.102Тоже самое для каждого из VLANов, необходимых на точке доступа
(config-if)#encapsulation dot1Q 102
(config-if)#bridge-group 102
(config)#interface GigabitEthernet0.101Так же для Ethernet интерфейса 1 VLAN = 1 сабинтерфейс
(config-if)#encapsulation dot1Q 101
(config-if)#bridge-group 101
(config)#interface GigabitEthernet0.101
(config-if)#encapsulation dot1Q 101
(config-if)#bridge-group 101
 
user Cleartext-Password := "123"Пользовательская учетная запись в RADIUS
    Tunnel-Type = 13,Указываем тип (VLAN)
    Tunnel-Medium-TypeОбъявляем транспорт Ethernet
    Tunnel-Private-Group-Id = 102Указываем номер VLAN для данного клиента

Аутентификация и авторизация администраторов через TACACS сервер
    Преимущества раздельной аутентификации и авторизации беспроводных пользователей и администраторов очевидна:
  • Возможность хранения учетных записей администраторов отдельно от учеток пользователей, а следовательно раздельное администрирование двух независимых сервисов.
  • При реализации TACACS и RADIUS сервиса на разных физических устройствах - дополнительная защита от компрометации сервисов.
Далее мы рассмотрим настройки, отвечающте за аутентиикацию и авторизацию администраторов сети на выделенном TACACS+ сервере (это так же может быть выделенный RADIUS сервер)

(config)#tacacs-server host 172.16.222.11 key TacKey123 Прежде всего говорим точке доступа где у нас живет TACACS+ сервер и с каким паролем к нему идти
 
(config)#aaa group server tacacs+ tac_adminСоздаем группу для аутентификации админов
(config-sg-radius)#server 172.16.222.11и привязываем к этой группе сервер (можно несколько)
 
(config)#aaa authentication login default group tac_adminПрописываем аутентификацию по умолчанию
 
(config)#aaa authentication login eap_methods group rad_eapВключаем eap аутентификацию с привязкой к листу eap_methods
 
user = vasya {
    default service = permit
    login = des XXXXXXXX
    service = exec {
        default attribute = permit
        priv-lvl = 15
        }
    member = admin
}		Пример учетной записи TACACS+

Некоторые диагностические команды
    Прежде всего при начале диагностики стоит убедиться поднялись ли нужные интерфейсы
ap-1252#show ip interface brief
InterfaceIP-AddressOK? Method StatusProtocol
BVI1XXX.XXX.XXX.XXXYES NVRAMup up
Dot11Radio0 unassigned YES NVRAMupup
Dot11Radio0.101 unassigned YES unsetupup
Dot11Radio0.102 unassigned YES unsetupup
GigabitEthernet0 unassigned YES NVRAMupup
GigabitEthernet0.101 unassignedYES NVRAMup up
GigabitEthernet0.102 unassignedYES NVRAMup up
Если статус радио интерфейса отличается от "up" - стоит поискать причину его незапуска

    Следующая команда покажет подключенных клиентов
ap-1250#sh dot11 associations
802.11 Client Stations on Dot11Radio0:
SSID [test-net] :
MAC AddressIP addressDeviceNameParentState
0090.966f.7567 172.16.200.210 ccx-client Net-Book self EAP-Assoc


    Статистика по каждому из клиентов
sh dot11 statistics client-traffic     
 
E-mail: net@net-services.ru
Тел.: (495) 646-12-91
Copyright © 2008 - 2012 | net-services.ru