День добрый Есть коммутаторы 2960-s и 2960-x. Конфиги идентичные, однако с разными версиями IOS (c2960s-universalk9-mz.152-2.E4 and c2960x-universalk9-mz.150-2a.EX5). В систог от 2960-X пишутся следующие сообщения при попытках dot1x авторизации: %AUTHMGR-5-SUCCESS:   %DOT1X-5-SUCCESS:  %DOT1X-5-FAIL: Однако, в сислог таких же сообщений от 2960-S не вижу. команты debug authentication events or  debug dot1x events не помогли. Вопрос, можно ли и как включить запись подобных сообщений в лог? ... View more

Hi we have access swtiches: 2960-s and 2960-x. Same settings, but due to diff platforms have diff ver IOS (c2960s-universalk9-mz.152-2.E4 and c2960x-universalk9-mz.150-2a.EX5). So from 2960-X at syslog we have in syslog: %AUTHMGR-5-SUCCESS:   %DOT1X-5-SUCCESS:  %DOT1X-5-FAIL: and so on But at 2960-S I didt see this messages.  debug authentication events or  debug dot1x events didnt a trick. So how I can enable this messages on 2960-s? ... View more

Здравствуйте ISE 2.0. Рабочие ПК в домене AD, Win 8.1. Создал групповую политику для настройки нативного саппликанта Windows и все работает, т.е. сначала авторизуется учетка компа, потом юзер. настраивал согласно https://technet.microsoft.com/ru-ru/library/dd759154.aspx Однако, если в групповой политике включить опцию: Проверять сертификат сервера, то имеются проблемы с авторизацией. Сертификат на ISE для EAP купленный - от Thawte, корневые для него политиками в домене распространены - клиенты публичному доверяют. пробовал всяко в политике крутить. Авторизация компа псоле загрузки Windows по dot1x вот так завершается: sh authentication sessions interface gi1/0/19 details Interface: GigabitEthernet1/0/19 MAC Address: xxxx IPv6 Address: Unknown IPv4 Address: 10.x.x.x User-Name: host/notebook.domain.local Status: Unauthorized Domain: DATA Oper host mode: multi-auth Oper control dir: both Session timeout: N/A Restart timeout: 10s (local), Remaining: 9s Session Uptime: 170s Common Session ID: 0A6401090000002303AF7A9D Acct Session ID: 0x0000001F Handle: 0x3900000F Current Policy: POLICY_Gi1/0/19 Local Policies: Service Template: DEFAULT_LINKSEC_POLICY_SHOULD_SECURE (priority 150) Method status list: Method State dot1x Stopped При этом, если зайти в Windows и выйти, то машинная авторизация продет успешно и после этого еще один логин - юзерская тоже проходит. Не понятно, кто глючит - Windows или ISE или dot1x на свиче. IOS 15.2, самый свежий, до этого был другой - ситуация аналогичная. Дебаг показывает:  %DOT1X-5-FAIL: Authentication failed for client (MAC) on Interface Gi1/0/19 AuditSessionID 0A6401090000001C03831815 %RADIUS-4-RADIUS_DEAD: RADIUS server 10.x,x,x:1812,1813 is not responding. %RADIUS-4-RADIUS_ALIVE: RADIUS server 10.x,x,x : :1812,1813 is being marked alive. ... View more

Здравствуйте Требуется создать 2 политики авторизации: для приносимых устройств  BYOD Portal (с HTTP перенаправлением) и для установки ОС через PXE (у нас используется SCCM). Каждая из политик работает, но не одновременно, потому что как все проводные устройства попадают под первое из эти двух правил по порядку. Никак не могу придумать критерий для разделения. Оба правила используют MAB (а как еще?), поэтому использовать машинную авторизацию через группу "Компьютеры домена" в AD не выйдет. Может есть какие-то условия для проверки fqdn (например, если нет в имени домена, то срабатывает правило) или проверка загрузки ОС (не профилирование, а именно успешной загрузки)? Ничего подобного не смог найти. Прошу помочь. ... View more

Hi I want to create 2 Authorization Policy for BYOD Portal (with HTTP redirection) and for OS install via PXE (we are using a SCCM for this). So by changing order of rules always only one of it is matched by test host.  I can't make a criteria to differinciate it. Both via MAB only, cant do machine auth via AD Group Computers.  Maybe there are some conditions that checking fqdn of machine (and when no domain in the name - rule is match) or checking that OS is booted (cant find that options in ISE). Please help. ... View more

День добрый Возникла странная проблема. Настраиваем AP 1702, в филиалах, везде абсолютно аналогичный IOS и на свичах (c2960-lanbasek9-mz.150-2.SE4) и на роутерах (c2900-universalk9-mz.SPA.151-3.T). Железно тоже идентичные - 2911 и 2960 соотв.  В неск филиалах столнулись с тем, что через транк-порт не светится mac в нужном влан. При чем, если пинг сделать с маршр на свитч, то мак появляется в таблице (однако и пропадает спустя время). Оборудование пробовали перезагружать. Конфигурации неск. раз проверили - она везде аналогичная, кроме IP адресов.  вот конф сабинтерфейсов на 2911 interface GigabitEthernet0/1.22 description ===== WiFi-AP Network ===== encapsulation dot1Q 22 ip address 10.134.254.1 255.255.255.248 ip helper-address 10.134.1.10 ! interface GigabitEthernet0/1.23 description ===== WiFi Users Network ===== encapsulation dot1Q 23 ip address 10.134.16.1 255.255.255.0 ip helper-address 10.134.1.10 Порты на свиче: interface FastEthernet0/47 description ===== trunk to AP ===== switchport trunk native vlan 22 switchport trunk allowed vlan 22,23 switchport mode trunk ! interface FastEthernet0/48 description ===== 2911r01 ===== switchport mode trunk 2960s01#sh mac address-table Mac Address Table ------------------------------------------- Vlan Mac Address Type Ports ---- ----------- -------- ----- All 0100.0ccc.cccc STATIC CPU All 0100.0ccc.cccd STATIC CPU ... All ffff.ffff.ffff STATIC CPU 1 000c.2977.1f98 DYNAMIC Gi0/4 ... 1 f46d.04ec.3f8d DYNAMIC Fa0/5 22 80e0.1dfd.38d8 DYNAMIC Fa0/47 при этом с роутера sh arp: Internet 10.134.16.1 - 503d.e5d6.3159 ARPA GigabitEthernet0/1.23 Internet 10.134.254.1 - 503d.e5d6.3159 ARPA GigabitEthernet0/1.22 А вот вывод мак со свича филиала, где работает. Mac Address Table ------------------------------------------- Vlan Mac Address Type Ports ---- ----------- -------- ----- All 0100.0ccc.cccc STATIC CPU ... All ffff.ffff.ffff STATIC CPU 1 000c.29af.4436 DYNAMIC Gi0/3 ... 22 80e0.1dfd.1248 DYNAMIC Fa0/47 22 acf2.c523.5e61 DYNAMIC Fa0/48 Как видите, тут прилетает мак роутера в транк порт 48. ... View more