Foro - CWA para WLAN de invitados integrada con ISE

[Cisco Moderador]

Foro Ask Me Anything (del 5 al 13 de octubre de 2023)

Este foro está dedicado a las preguntas relacionadas con el webinar "CWA para WLAN de invitados integrada con ISE", del pasado jueves 5 de octubre de 2023. Revisen la grabación, envíenos sus dudas o comentarios, y compartan su experiencia. 
Nota: Favor de publicar su post como comentario aquí abajo a más tardar el 13 de octubre de 2023. 

Publique su pregunta a continuación dando clic en "Responder"

(Las respuestas serán tratadas en función de la disponibilidad de los expertos)
¡ No olvide agradecer al experto dándole un voto de utilidad !

Documentación Ver el Video

---

Nuestros expertos

Estefania Pacheco es Líder Técnica de Wireless TAC con más de cinco años de experiencia en Cisco. Comenzó su carrera en el sector inalámbrico como ingeniera consultora técnica, donde se convirtió en ingeniera de escalamiento y finalmente hizo la transición a su puesto actual. Tiene una licenciatura en ingeniería en telecomunicaciones de la Universidad Nacional Autónoma de México (UNAM) y ha obtenido las certificaciones CCNP R&S y CCNP Wireless.

Luis Alberto González es un Líder Técnico Inalámbrico con más de 13 años de experiencia. Luis tiene un sólido conocimiento en redes inalámbricas, proveedores de servicios de Internet (ISP), gestión de operaciones de grandes redes y manejo de incidentes y escaladas. Le apasiona el tema de la virtualización y su evolución hacia la nube. Se graduó de la Universidad Jesuita de Guadalajara (ITESO) como Ingeniero en Redes y Telecomunicaciones. Actualmente posee las certificaciones CCNP R&S, diseño BELDEN e instalación LEONI.

Para obtener más información, visite los foros de discusión en la sección de Wireless.
Si usted tiene dudas o está experimentando problemas técnicos con alguno de los productos Cisco, publique su pregunta, solicite información o utilice el motor de búsqueda de la Comunidad de Cisco en español, antes de abrir un caso con el TAC.

[DufstinGregoryLLontop9149]

Felicitaciones por el Seminario. Gracias

[Ciro G Mele]

Hola, buenos dias.

Genial la presentacion, muchas gracias por compartir sus conocimientos.

Les hago una consulta, tienen alguna guía, pdf, sobre la puesta en funcionamiento de wifi que viene embebido en un Cat 9300 para ser implementado por medio del Dnac?

Muchas gracias.

Saludos.

Ciro Gustavo Mele

[luisgzm]

Hola Ciro

La guía la puedes encontrar en la siguiente URL:

https://www.cisco.com/c/en/us/products/collateral/wireless/catalyst-9800-series-wireless-controllers/guide-c07-744299.html

Sin embargo, si tu red NO ES fabric (manejada por DNAC) le sugiero evitar esa solución, ya que no tiene más desarrollo. 

Del mismo link lea lo siguiente:

"Embedded Wireless on Catalyst 9000 Series Switch (non-SDA) using WebUI will be End of Support (Q3FY21) with no additional feature development or code changes and 17.3.x is the last supported release."

Para redes pequeñas, en vez de utilizar el Cat9300 como controlador, le sugiero utilice "EWC on APs" si tiene APs más reciente (modelo 91XX)

Embedded Wireless Controller on Catalyst Access Points

https://www.cisco.com/c/en/us/td/docs/wireless/controller/ewc/17-9/config-guide/ewc_cg_17_9/overview_of_the_controller.html 

O en el caso de tener APs más antiguos  (1800/2800/3800)  utilizar "ME - Mobility Express"

Cisco Mobility Express User Guide

https://www.cisco.com/c/en/us/td/docs/wireless/access_point/mob_exp/810/user_guide/b_ME_User_Guide_810/about_mob_exp.html

En ambos casos (EWC on APs / ME) uno de los APs fungirá como controladora Wireless.

Saludos!

[Jimena Saez]

Buenos días a todos!

Muchas gracias Estefanía, Luis Alberto, Edgar y Ricardo por su presentación y por todas las respuestas que nos ayudaron a contestar. Quedaron algunas preguntas pendientes que les comparto para que nuevamente nos apoyen a responderlas.

• Q1: Pregunta: Me podrías confirmar si consta así en la documentación de Cisco? No he encontrado ninguna guía oficial donde conste dicha limitación. - Marcos M. (min. 56) [pregunta relacionada con "es posible implementar CWA utilizando el puerto fuera de banda del WLC para enviar las peticiones al ISE?"]
• Q2: Pregunta: CWA es compatible con todos los tipos de portales de ISE? - Renato L. (min. 90)
• Q3: Pregunta: Existe algún grupo de Webex comunitario para ayuda de wifi? - Magali G. (min. 102)
• Q4: Pregunta: Se necesita un valor mínimo de latencia entre NAD y ISE para que CWA funcione correctamente? - Renato L. (min. 102)
• Q5: Pregunta del Chat: La dirección de URL que abre el cliente, es público o url privado? - Eder S. (min. 13)
• Q6: Pregunta del Chat: Se requiere instalar certificados en el usuario final para que abra el portal de ISE? - Eder S. (min. 13)

Las copio abajo de forma individual para que puedan contestarlas más fácilmente. ¡Gracias de antemano!

[Jimena Saez]

Q1: Pregunta: Me podrías confirmar si consta así en la documentación de Cisco? No he encontrado ninguna guía oficial donde conste dicha limitación. - Marcos M. (min. 56) [pregunta relacionada con "es posible implementar CWA utilizando el puerto fuera de banda del WLC para enviar las peticiones al ISE?"]

[luisgzm]

Hola Marco

El puerto denominado "Service Port" que es para "out of the band management". Debe ser utilizado exclusivamente para eso.  Para todo el tráfico relacionado con los clientes, se deben utilizar la interfaces denominadas "Data Ports".

En códigos anteriores a 17.6 y 17.7 NO es posible utilizar protocolos como RADIUS (que es lo que utilizamos para CWA) en dicho puerto. En códigos recientes (digamos 17.9) es posible, sin embargo su intención sigue siendo la utilización de dichos protocolos para la administración de la controladora  (por ejemplo, la autenticación de tu usuario de admin utilizado RADIUS/TACACS).

[Jimena Saez]

Q2: Pregunta: CWA es compatible con todos los tipos de portales de ISE? - Renato L. (min. 90)

[luisgzm]

Hola Renato

Estrictamente, para CWA debes utilizar únicamente los portales: 

Los demás portales tienen otros usos/aplicaciones en el flujo de ISE.

[Jimena Saez]

Q3: Pregunta: Existe algún grupo de Webex comunitario para ayuda de wifi? - Magali G. (min. 102)

[luisgzm]

No como tal, sin embargo este foro puede ser utilizado para las preguntas que tengas.

Cuando abres casos con el TAC, puedes configurarlo para que el método de contacto sea a través de Webex Chat.

[Jimena Saez]

Q4: Pregunta: Se necesita un valor mínimo de latencia entre NAD y ISE para que CWA funcione correctamente? - Renato L. (min. 102)

[luisgzm]

Generalmente, debemos de cuidar que las transacciones no superen los 300ms como máximo (idealmente todas las transacciones deberían tener <100ms). Solo hay que considerar que para el mundo de wireless es más complicado, por lo que hay que buscar los valores ideales. Una de las cosas a considerar es el sistema operativo del endpoint (hay unos más agresivos que otros) más las condiciones de RF (que podrían generar picos de delay).

Cuando hay problemas por latencia, típicamente se verá en ISE que el endopint abandona la sesión actual para iniciar una nueva.

[Jimena Saez]

Q5: Pregunta del Chat: La dirección de URL que abre el cliente, es público o url privado? - Eder S. (min. 13)

[luisgzm]

Ambas, por eso hay que utilizar un DNS interno que sea capaz de resolver direcciones públicas y privadas.

Las DNS queries del Sistema Operativo (Windows, Apple, Android, etc.) son siempre públicas.

Las DNS queries a tu ISE es (típicamente) privado (ya que se encuentra dentro de tu organización).