Настройка беспроводных доменных служб

Настройка беспроводных доменных служб Содержание Общие сведения Предварительные условия Требования Используемые компоненты Условные обозначения Беспроводные доменные службы Настройка Задайте AP как WDS Задайте WLSM как WDS Задайте AP как инфраструктуру Определите метод аутентификации клиента Проверка Устранение неполадок Команды устранения неполадок Дополнительные сведения Общие сведения Данный документ описывает основные понятия беспроводных доменных служб (WDS). В этом документе также описывается настройка одной точки доступа (AP) или модуля Wireless LAN Services Module (WLSM) как WDS и как минимум одной другой точки как точки доступа к инфраструктуре.

Описанная в этом документе процедура является руководством по WDS — функциональным службам, с помощью которых клиент получает возможность присоединяться к точке доступа WDS или инфраструктурной точке доступа. Задача этого документа — создать базу, на основе которой можно настроить Fast Secure Roaming или добавить в сеть модуль решений для беспроводных сетей беспроводных сетей (WLSE), получив возможность использовать его функции. Предварительные условия Требования Перед использованием этой настройки убедитесь в выполнении следующих предварительных условий:

Основательные знания беспроводных сетей и вопросов их безопасности Знания современных методов обеспечения безопасности расширенного протокола аутентификации (EAP). Используемые компоненты Сведения, содержащиеся в данном документе, относятся к следующим версиям программного и аппаратного обеспечения: Точки доступа с ПО Cisco IOS® ПО Cisco IOS выпуск 12.3(2)JA2 и выше Модуль служб беспроводных сетей LAN серии Catalyst 6500

Стр. 1

Данные для документа были получены в специально созданных лабораторных условиях. При написании данного документа использовались только устройства с пустой (стандартной) настройкой и IP-адресом на интерфейсе BVI1, поэтому модуль доступен с GUI ПО Cisco IOS или через интерфейс командной строки (CLI). При работе в активной сети необходимо осознавать потенциальное воздействие любой команды. Условные обозначения Обратитесь к разделу Технические советы Cisco. Условные обозначения для получения дополнительных сведений об условных обозначениях в документах. Беспроводные доменные службы WDS - это новая функция точек доступа в ПО Cisco IOS, являющаяся основой модуля WLSM серии Catalyst 6500.

WDS - это центральная функция, обеспечивающая работу таких функций, как: Быстрый и безопасный роуминг Взаимодействие WLSE Радиоуправление Необходимо установить соединение между точками доступа, участвующими в WDS, и модулем WLSM до выполнения любой другой функции, основанной на WDS. Одной из целей WDS является устранение необходимости в проверке учетных данных пользователя сервером аутентификации и уменьшение времени, которое необходимо для аутентификации клиента. Для использовния WDS необходимо обозначить одну точку доступа или модуль WLSM как WDS. Точка доступа WDS должна использовать имя пользователя и пароль WDS для установления соединения с сервером аутентификации.

Сервер аутентификации может быть внешним сервером RADIUS или функцией локального сервера RADIUS в точке доступа WDS. WLSM должен быть связан с сервером аутентификации, даже если его аутентификация на сервере не требуется. Другие точки доступа, называемые инфраструктурными, взаимодействуют с WDS. Перед регистрацией инфраструктурные точки доступа должны аутентифицировать себя с WDS. Группа сервера инфраструктуры на WDS определяет аутентификацию инфраструктуры. Аутентификацию клиента определяет одна или несколько групп сервера клиента на WDS. Когда клиент пытается связаться с инфраструктурной точкой доступа, точка доступа передает учетные данные на WDS для проверки.

Если WDS видит эти учетные данные впервые, то он обращается к серверу аутентификации для проверки учетных данных. После этого WDS кэширует учетные данные, следовательно, нет надобности обращаться к серверу аутентификации при повторной проверке подлинности этого пользователя. Примером повторной аутентификации могут служить: Повторный вход Роуминг Когда пользователь включает устройство клиента Любой протокол аутентификации EAP на основе RADIUS можно тоннелировать через WDS, например: Упрощенный EAP (LEAP) Защищенный EAP (PEAP) Управление безопасностью транспортного уровня протокола расширенной аутентификации (EAP-TLS)

Стр. 2

Гибкая аутентификация через безопасное туннелирование протокола расширенной аутентификации (EAP-FAST) Аутентификация MAC-адреса также может туннелироваться к внешнему серверу аутентификации или согласно локальному списку точки доступа WDS. WLSM не поддерживает аутентификацию MAC-адреса. Примечание: Аутентификация MAC-адреса несовместима с WPA-PSK. Эта проблема возникает из-за того, что при аутентификации локального MAC удаляется строка настройки, содержащая пароль WPA-PSK ASCII. Обратитесь к разделу WPA Настройка адаптера клиента через Windows CE .NET для получения дополнительной информации о WPA-PSK.

WDS и инфраструктурные точки доступа взаимодействуют через многоадресный протокол, который называют протоколом управления контекстом беспроводных ЛВС (WLCCP). Маршрутизация данных многоадресных сообщений невозможна, поэтому WDS и связанные с ней инфраструктурные точки доступа должны быть в одной и той же IP-подсети и на одном и том же сегменте LAN. Между WDS и WLSE протокол WLCCP использует TCP и протокол датаграмм пользователя (UDP) в порту 2887. В случае, если WDS и WLSE находятся в разных подсетях, такой протокол, как протокол преобразования сетевых адресов (NAT) не может преобразовывать пакеты. Текущая рекомендация - одна точка доступа WDS на 30 инфраструктурных точек доступа.

WSLM может обрабатывать до 300 инфраструктурных точек доступа. Примечание: Cisco рекомендует использовать на инфраструктурных точках доступа ту же версию ПО IOS, что и на устройстве WDS. Если вы используете устаревшую версию IOS, точки доступа могут некорректно провести аутентификацию устройства WDS. Кроме этого, Cisco рекомендует использовать последнюю версию ПО IOS. Последнюю версию ПО IOS можно найти на странице Беспроводные устройства . Точка доступа является устройством уровня 2. Поэтому она не обладает мобильностью устройств уровня 3, когда точка доступа настроена как устройство WDS. Мобильность устройств уровня 3 достигается путем настройки WLSM как устройства WDS.

Обратитесь к разделу Архитектура мобильности уровня 3 официального документа Модуль служб беспроводных сетей LAN серии Catalyst 6500 Cisco: для получения дополнительной информации. Поэтому при настройке точки доступа как устройства WDS не нужно использовать команду mobility network-id . Эта команда используется для настройки мобильности уровня 3, и необходимо иметь WLSM в качестве устройства WDS для правильной настройки мобильности уровня 3. При неправильном использовании команды mobility network-id возможно появление следующих симптомов: Беспроводной клиент не может установить соединение с точкой доступа.

Беспроводной клиент может установить соединение с точкой доступа, но не получает IP-адрес от сервера DHCP. Беспроводной телефон не аутентифицирован при развертывании передачи голоса через WLAN. Не происходит аутентификация EAP. При настроенной команде mobility network-id точка доступа пытается организовать туннель общей инкапсуляции маршрутов (GRE) для передачи пакетов EAP. Если туннель не установлен, пакеты не будут переданы. Точка доступа, настроенная как устройство WDS, работает неправильно, настройка WDS не работает вообще. Примечание: Вы не можете настроить Cisco Aironet 1300 AP/Bridge как мастер WDS. 1300 AP/Bridge не поддерживает эту функцию.

1300 AP/Bridge может участвовать в сети WDS как инфраструктурное устройство, в котором какая-либо другая точка доступа или WLSM настроена как мастер WDS. Настройка WDS представляет настройку в упорядоченном, модульном виде. Каждый последующий шаг основан на предыдущем. WDS опускает такие параметры настройки, как пароли, удаленный доступ и настройки радио, и концентрируется на самом важном. В этом разделе представлены сведения по настройке функций, описанных в данном документе. Примечание: Используйте Средство поиска команды ( только для зарегистрированных пользователей ) для получения дополнительной информации о командах, упомянутых в этом разделе.

Стр. 3

Задайте AP как WDS Первый шаг - задать точку доступа как WDS. Точка доступа WDS - единственная точка, которая сообщается с сервером аутентификации. Для задания точки доступа WDS необходимо выполнить следующие шаги: Выберите Security > Server Manager , закладку точки доступа WDS Server Manager: 1. Внесите IP-адрес сервера аутентификации в поле Server. 1. Укажите общий секретный ключ и порты. 2. В соответствующем типе проверки подлинности, установите IP адресу этого сервера поле приоритета 1. 3. Или подайте следующие команды из командной строки: WDS_AP# configure terminal Введите команды настройки, каждую в отдельной строке. В конце введите CNTL/Z.

WDS_AP(config)# aaa group server radius rad_eap WDS_AP(config-sg-radius)# server 10.0.0.3 auth-port 1645 acct-port 1646 WDS_AP(config-sg-radius)# exit

Стр. 4