Central Web Authentication (CWA) utilizando WLC e ISE - Pergunte ao Especialista

[Tiago Antunes]

Nos dias que correm a maioria de empresas possuem uma rede wireless e desejam permitir acesso a visitantes. Neste sentido surgiu o modelo the Central Web Authentication onde qualquer visitante pode ligar o seu dispositivo pessoal a rede Wireless e obter uma pagina de login central num servidor RADIUS onde se autenticara com as credencias de visitante.

Neste "Pergunte ao Especialista", o Tiago estará respondendo as perguntas relacionadas com CWA com WLC e ISE.

Faça suas perguntas de segunda-feira, 23 de Maio a sexta-feira 03 de Junho de 2016

Especialista em Destaque

Tiago Antunes é Engenheiro de supporte na equipa do TAC Wireless da Europa. É formado em Engenharia Electrotecnica e das TeleComunicações pelo Instituto Politecnico de Castelo Branco e possui as seguintes certificações: CCIE R&S e CCIE Wireless.

Tiago pode não ser capaz de responder a cada pergunta, devido ao volume esperado durante este evento. Lembre-se que você pode esclarecer suas dúvidas também em nossa sub-comunidade de Wireless.

** Classificações incentivam a participação! **
Por favor assegurar-se de classificar as respostas as perguntas!

[Marcelo Vieira]

Bom dia Tiago.

Eu gostaria de saber qual a diferença entre Central Web Authentication e Local Web Authentication?

Muito obrigado.

Marcelo 

[Tiago Antunes]

Ola Marcelo!

Em Local Web Authentication, o SSID é configurado com segurança de Nível 3 no WLC e será o WLC a apresentar a página de login ou a redireccionar para um URL externo predefinido no WLC. O utilizador recebe a página de login, e as credenciais são verificadas pelo WLC utilizando a base de dados local, ou externa usando RADIUS ou LDAP.

Em Central Web Authentication, o SSID é configurado com segurança de Nível 2 no WLC, utilizando Mac Filtering e Radius NAC. Quando o utilizador se liga na rede wireless, o WLC envia o endereço MAC da máquina do utilizador para o ISE e o ISE retorna um endereço e ACL de redireccionamento para o WLC applicar à máquina do utilizador. O utilizador fará de seguida o login na página de login do ISE, e após autenticação bem sucedida, o ISE enviará RADIUS CoA (Change of Authorization) para o WLC permitindo a ligação do utilizador.

Cumps,

Tiago

[Analistaredes]

Thiago, boa noite.

Estou com o seguinte problema: tenho um ISE 2.7, patch 9 (numa VMware) e um a WLC 8.5.x.x (numa Vmware).Uso uma configuração de CWA: ACL de redirecionamneto para o porta de autenticação e ACL p/ Internet configuradas na WLC, perfis de autorização config. no ISE, etc.

O portal de autenticação aparece para os usuários, eles se conectam, recebem as credenciais no e-mail deles, mas depois não conseguem navegar, a página do portal de autenticação volta a aparecer.

Na ferramenta Diagnostic tools do ISE, fizemos uma análise de um IP de uma device na vlan de visitantes. No arquivo TCPDUMP gerado, no wireshark, colocamos um filtro udp.port==coa e apareceu comunicação de CoA request da ISE para a WLC e resposta CoA ACK da WLC para o ISE.

Deveria existir alguma outra mensagem CoA entre a WLC e o ISE?

O que pode estar gerando este loop que faz o portal aparecer novamente para os usuários no lugar de aparecer os sites que os usuários querem acessar ?

Não existe firewall e nem ACLs em switches entre o ISE e a WLC, a comunicação entre a vlan visitantes e o ISE tá liberada.

Desde já agradeço.

Flávio.

[Christopher Duarte]

Boa tarde Tiago.

Gostaria de saber se é possível redirecionar trafego HTTPS no WLC com CWA?

Obrigado por sua ajuda.

Atenciosamente.

Christopher

[Tiago Antunes]

Bom dia Christopher,

Sim é possível, basta ativar a opção "https redirection" em Management -» HTTP-HTTPs.

Cumps,

Tiago