查詢一下ISE的問題

[billywaiclassmate]

本帖最后由 billywai 于 2017-11-17 14:55 编辑
小弟在Web-Auth的時侯遇點問題,大約分為三大部份
1.在lan port認證時不能自動轉到Guest Portal, 以下是端口和相關ACL信息
ISETEST#sh authentication sessions interface g1/0/5
Interface: GigabitEthernet1/0/5
MAC Address: f0dc.f1ab.4142
IP Address: 192.168.3.56
User-Name: F0-DC-F1-AB-41-42
Status: Authz Success
Domain: DATA
Oper host mode: multi-auth
Oper control dir: both
Authorized By: Authentication Server
Vlan Policy: N/A
URL Redirect ACL: cwa_redirect
URL Redirect: https://ciscoise.testise.com.cn:8443/portal/gateway?ses sionId=C0A802F4000000787BAA3138&portal=4afcf440-e371-11e6-92ce-005056873bd0&acti on=cwa&type=drw&token=1eec267384802ba3979b50f58652796f
Session timeout: N/A
Idle timeout: N/A
Common Session ID: C0A802F4000000787BAA3138
Acct Session ID: 0x0000014B
Handle: 0x7B000079
Runnable methods list:
Method State
dot1x Failed over
ACL:
Extended IP access list cwa_redirect
10 deny ip any host 192.168.2.206 (2349 matches)
20 permit tcp any any eq www (1220 matches)
30 permit tcp any any eq 443 (2198 matches)
2.Wifi hotspot認證問題
認證成功,但live log出現以下問題
Authentication Details

Source Timestamp	2017-11-17 14:24:30.763
Received Timestamp	2017-11-17 14:24:30.764
Policy Server	ciscoise
Event	5417 Dynamic Authorization failed
Failure Reason	11103 RADIUS-Client encountered error during processing flow
Resolution	Do the following: 1) Verify shared secret matches on the ISE Server and corresponding AAA Client, External AAA Server or External RADIUS Token Server. 2) Check the AAA Client or External Server for hardware problems. 3) Check the network devices that connect the AAA peer to ISE for hardware problems. 4) Check whether the network device or AAA Client has any known RADIUS compatibility issues.
Root cause	RADIUS-Client encountered an error during processing flow

Ps: Core - switch 尚未開啟 aaa-server radius dynamic-author
3.Web-auth二次認證問題
第一次輸入access code成功認證後,第二次登入時不需輸入access code便直接連線成功
以下是認證的policy

live log:

[billywaiclassmate]

有高手能解答一下嗎?

[Yanli Sun]

帮顶，期待有高手帮忙解答

[wenwen ji]

1：　这个你lanport所有端口有开启二层认证吗？dot1x.
2： 这个没看出来。
3 : 这个应该是缓存问题吧，不是每次都需要认证的，你可以把电脑端口断开重新接上，看看是不是有认证。

[one-time]

已有用户解答您的问题啦，快来查看，如您的问题已解决，请标记最佳答案吧，给辛苦解答问题的朋友一个鼓励。

[billywaiclassmate]

jiwenwen330015 发表于 2017-11-22 12:53
1：　这个你lanport所有端口有开启二层认证吗？dot1x.
2： 这个没看出来。
3 : 这个应该是缓存问题吧， ...

第一個是我還沒有copy 完全 dot1x下面還有一個mab認證無論成功,失敗都會通向web認證,可能endpoint device並沒有重定向至登入網頁
第三個因為它會記錄mac address至 ise的guestendpoint, 大大有沒有每次登入都需要打入access code的好方法呢?