Dieses Dokument enthält Anweisungen zur Konfiguration der RADIUS-Authentifizierung über die Cache Engine zum Cisco Secure Access Control Server (ACS) für Microsoft Windows NT. Sie sollten Web Cache Communication Protocol Version 2 (WCCPv2) ausführen, um dieses Verfahren korrekt zu befolgen. Weitere Informationen zur WCCP-Version 2 finden Sie unter Konfigurieren des Web Cache Communication Protocol Version 2 auf einer Cisco Cache Engine und einem Router.
Stellen Sie vor dem Versuch dieser Konfiguration sicher, dass Sie die folgenden Anforderungen erfüllen:
Vertrautheit mit Cisco Secure ACS für Windows oder UNIX
Kenntnis der WCCPv2-Konfiguration auf Router und Cache Engine.
Die Informationen in diesem Dokument basieren auf den folgenden Software- und Hardwareversionen:
Cisco Cache Engine 505 in einer Laborumgebung mit gelöschten Konfigurationen
Cisco Router der Serie 2600
Cisco Cache Engine Softwareversion 2.31
Cisco IOS® Softwareversion 12.1(3)T 3
Cisco Secure ACS für Microsoft Windows NT/2000-Server
Die Informationen in diesem Dokument wurden von den Geräten in einer bestimmten Laborumgebung erstellt. Alle in diesem Dokument verwendeten Geräte haben mit einer leeren (Standard-)Konfiguration begonnen. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die potenziellen Auswirkungen eines Befehls verstehen.
In diesem Dokument wird die folgende Netzwerkeinrichtung verwendet:
Weitere Informationen zu Dokumentkonventionen finden Sie in den Cisco Technical Tips Conventions.
Führen Sie die folgenden Schritte aus, um die Cache-Engine für die RADIUS-Authentifizierung zu konfigurieren:
Konfigurieren Sie die Cache Engine als Netzwerkzugriffsserver (NAS) in Cisco Secure ACS für Windows NT.
Konfigurieren Sie die Benutzerinformationen in Cisco Secure ACS für Windows NT.
Konfigurieren Sie die Cache Engine für RADIUS, und geben Sie den Host und die Schlüsselinformationen an.
radius-server host 172.18.124.106 radius-server key cisco123
Konfigurieren Sie den Router für WCCP.
Die Befehlszeilen für die Cache-Engine sollten ähnlich wie folgt aussehen:
cepro#configure terminal !--- Enter configuration commands, one per line. !--- End with CNTL/Z. cepro(config)#radius-server host 172.18.124.106 cepro(config)#radius-server key cisco123 cepro#
Dies ist die Cache Engine/NAS-Konfiguration auf Cisco Secure ACS für Windows NT:
Dies ist die Seite "User Setup" (Benutzereinrichtung) auf Cisco Secure ACS für Windows NT:
Dieser Abschnitt enthält Informationen, mit denen Sie überprüfen können, ob Ihre Konfiguration ordnungsgemäß funktioniert.
Bestimmte show-Befehle werden vom Output Interpreter Tool unterstützt (nur registrierte Kunden), mit dem Sie eine Analyse der show-Befehlsausgabe anzeigen können.
Cache-Engine-Befehle:
show version: Zeigt die Softwareversion an, die auf der Cache Engine ausgeführt wird.
show hardware: Zeigt sowohl die Softwareversion als auch den Hardwaretyp auf der Cache Engine an.
show running-config: Zeigt die aktuelle Konfiguration auf der Cache-Engine an.
show stat http Usage (Statistikhttp-Nutzung anzeigen): Zeigt Nutzungsstatistiken an.
show radius stat [alle | Primär | Sekundär ]: Zeigt Authentifizierungsstatistiken für die primären und sekundären RADIUS-Server an.
Dies ist die Beispielbefehlsausgabe des Befehls show version:
cepro#show version Cisco Cache Engine Copyright (c) 1986-2001 by Cisco Systems, Inc. Software Release: CE ver 2.31 (Build: FCS 02/16/01) Compiled: 11:20:14 Feb 22 2001 by bbalagot Image text-base 0x108000, data_base 0x437534 System restarted by Reload The system has been up for 3 hours, 52 minutes, 33 seconds. System booted from "flash"
Dies ist die Beispielbefehlsausgabe des Befehls show hardware:
cepro#show hardware Cisco Cache Engine Copyright (c) 1986-2001 by Cisco Systems, Inc. Software Release: CE ver 2.31 (Build: FCS 02/16/01) Compiled: 11:20:14 Feb 22 2001 by bbalagot Image text-base 0x108000, data_base 0x437534 System restarted by Reload The system has been up for 3 hours, 52 minutes, 54 seconds. System booted from "flash" Cisco Cache Engine CE505 with CPU AMD-K6 (model 8) (rev. 12) AuthenticAMD 2 Ethernet/IEEE 802.3 interfaces 1 Console interface. 134213632 bytes of Physical Memory 131072 bytes of ROM memory. 8388608 bytes of flash memory. List of disk drives: /c0t0d0 (scsi bus 0, unit 0, lun 0)
Dies ist die Beispielbefehlsausgabe des Befehls show running-config:
cepro#show running-config Building configuration... Current configuration: ! ! logging recycle 64000 logging trap information ! user add admin uid 0 password 1 "eeSdy9dcy" capability admin-access ! ! ! hostname cepro ! interface ethernet 0 ip address 10.27.2.2 255.255.255.0 ip broadcast-address 10.27.2.255 exit ! ! interface ethernet 1 exit ! ip default-gateway 10.27.2.1 ip name-server 161.44.11.21 ip name-server 161.44.11.206 ip domain-name cisco.com ip route 0.0.0.0 0.0.0.0 10.27.2.1 cron file /local/etc/crontab ! bypass timer 1 !--- Specify the router list for use with WCCPv2. wccp router-list 1 10.27.2.1 172.18.124.211 !--- Instruct the router to run web cache service with WCCPv2. wccp web-cache router-list-num 1 !--- WCCPv2 enabled. wccp version 2 ! !--- RADIUS Server host and port is defined. radius-server host 172.18.124.106 auth-port 1645 radius-server host 172.18.124.103 auth-port 1645 !--- RADIUS key defined. radius-server key **** authentication login local enable authentication configuration local enable transaction-logs enable rule no-cache url-regex .*cgi-bin.* rule no-cache url-regex .*aw-cgi.* ! ! end cepro#
Router-Befehle:
show running-config: Zeigt die aktuelle Konfiguration auf dem Router an.
show ip wccp: Zeigt alle registrierten Services an.
show ip wccp <service-id> detail: Zeigt die WCCP-Bucket-Distribution für jeden Cache im Cluster an. Beispielsweise zeigen Sie ip wccp web-cache detail.
Dies ist die Beispielbefehlsausgabe des Befehls show running-config:
33-ns-gateway#show running-config Building configuration... Current configuration: ! version 12.1 service timestamps debug datetime msec service timestamps log datetime msec no service password-encryption ! hostname 33-Ns-gateway ! logging buffered 64000 debugging enable secret 5 $1$IWJr$nI.NcIr/b9DN7jEQQC17R/ ! ! ! ! ! ip subnet-zero !--- WCCP enabled. ip wccp web-cache ip cef no ip domain-lookup ip domain-name testdomain.com ip name-server 161.44.11.21 ip name-server 161.44.11.206 ! ! ! ! interface Ethernet0/0 ip address 10.1.3.50 255.255.255.0 no ip route-cache cef ! interface Ethernet1/0 description interface to the CE .5 bandwidth 100 ip address 10.27.2.1 255.255.255.0 full-duplex ! interface Ethernet1/1 description inter to DMZ ip address 172.18.124.211 255.255.255.0 !--- Configure the interface to enable the router !--- to verify that the appropriate !--- packets are redirected to the cache engine. ip wccp web-cache redirect out no ip route-cache cef no ip route-cache no ip mroute-cache ! interface Ethernet1/2 description Preconfigured for recreates 10.27.3.0/24 net ip address 10.27.3.1 255.255.255.0 no ip route-cache cef ! interface Ethernet1/3 no ip address shutdown ! ip classless ip route 0.0.0.0 0.0.0.0 172.18.124.1 no ip http server ! ! line con 0 exec-timeout 0 0 transport input none line aux 0 exec-timeout 0 0 line vty 0 4 exec-timeout 0 0 password ww login ! end 33-Ns-gateway#
Dieser Abschnitt enthält Informationen zur Fehlerbehebung in Ihrer Konfiguration.
Bestimmte show-Befehle werden vom Output Interpreter Tool unterstützt (nur registrierte Kunden), mit dem Sie eine Analyse der show-Befehlsausgabe anzeigen können.
Hinweis: Bevor Sie Debugbefehle ausgeben, lesen Sie Wichtige Informationen über Debug-Befehle.
Cache-Engine-Befehle:
debug authentication all - Debuggt die Authentifizierung.
debug radius all all (Debugradius all all) - Zeigt das Debuggen des RADIUS-Moduls für die Webschnittstelle an.
var/log/translog/working.log: Überprüft, ob URLs zwischengespeichert werden und der Benutzer auf die Seiten zugreift. Alle anderen Arten von Nachrichten sollten zur Klärung an den technischen Support von Cisco verwiesen werden. Die häufigsten Fehlermeldungen in diesem Protokoll sind Authentifizierungsfehler aufgrund unbekannter Benutzer oder des falschen Serverschlüssels.
Dies ist die Beispielbefehlsausgabe aus dem Debugradius all und die Debug-Authentifizierung für alle Befehle:
RadiusCheck(): Begin RadiusCheck(): Begin RadiusCheck(): Begin RadiusBuildRequest(): Begin RadiusBuildRequest(): Begin RadiusBuildRequest(): Begin [82] User-Name = "chbanks" [82] User-Name = "chbanks" [82] User-Name = "chbanks" [82] NAS-IP-Address = 10.27.2.2 [82] NAS-IP-Address = 10.27.2.2 [82] NAS-IP-Address = 10.27.2.2 [82] NAS-Port = 80 [82] NAS-Port = 80 [82] NAS-Port = 80 RadiusAuthenticate(): Begin RadiusAuthenticate(): Begin RadiusAuthenticate(): Begin CfgGetRadiusInfo(): Begin CfgGetRadiusInfo(): Begin CfgGetRadiusInfo(): Begin UpdatePassword(): Begin UpdatePassword(): Begin UpdatePassword(): Begin [82] radsend: Request to 172.18.124.106 id=1, length=171 [82] radsend: Request to 172.18.124.106 id=1, length=171 [82] radsend: Request to 172.18.124.106 id=1, length=171 RadiusReplyValidate(): Begin RadiusReplyValidate(): Begin RadiusReplyValidate(): Begin RadiusReplyValidate(): [82] Received 26 byte message back RadiusReplyValidate(): [82] Received 26 byte message back RadiusReplyValidate(): [82] Received 26 byte message back RadiusReplyValidate(): Got a valid response from server 172.18.124.106. RadiusReplyValidate(): Got a valid response from server 172.18.124.106. RadiusReplyValidate(): Got a valid response from server 172.18.124.106. DecodeReply(): Begin DecodeReply(): Begin DecodeReply(): Begin DecodeReply: WEB_YES_BLOCKING default DecodeReply: WEB_YES_BLOCKING default DecodeReply: WEB_YES_BLOCKING default RadiusCheck(): WEB_YES_BLOCKING RadiusCheck(): WEB_YES_BLOCKING RadiusCheck(): WEB_YES_BLOCKING RemoteUserAdd(): Begin RemoteUserAdd(): Begin RemoteUserAdd(): Begin RemoteUserAdd(): Updated remote user chbanks RemoteUserAdd(): Updated remote user chbanks RemoteUserAdd(): Updated remote user chbanks RemoteUserAuthenticate(): Begin RemoteUserAuthenticate(): Begin RemoteUserAuthenticate(): Begin CfgGetRadiusInfo(): Begin CfgGetRadiusInfo(): Begin CfgGetRadiusInfo(): Begin CfgRadiusGetExcludeState(): Begin CfgRadiusGetExcludeState(): Begin CfgRadiusGetExcludeState(): Begin CfgRadiusGetExcludeState(): flag = 0 CfgRadiusGetExcludeState(): flag = 0 CfgRadiusGetExcludeState(): flag = 0 RemoteUserUpdate(): Begin RemoteUserUpdate(): Begin RemoteUserUpdate(): Begin CfgRadiusGetMultipleUserPromptState(): Begin CfgRadiusGetMultipleUserPromptState(): Begin CfgRadiusGetMultipleUserPromptState(): Begin CfgRadiusGetMultipleUserPromptState(): flag = 1 CfgRadiusGetMultipleUserPromptState(): flag = 1 CfgRadiusGetMultipleUserPromptState(): flag = 1 CfgRadiusGetMultipleUserPromptTimeout(): Begin CfgRadiusGetMultipleUserPromptTimeout(): Begin CfgRadiusGetMultipleUserPromptTimeout(): Begin CfgRadiusGetMultipleUserPromptTimeout(): lMultipleUserPromptTimeout = 25 CfgRadiusGetMultipleUserPromptTimeout(): lMultipleUserPromptTimeout = 25 CfgRadiusGetMultipleUserPromptTimeout(): lMultipleUserPromptTimeout = 25 fsgetUsrInfoforIpAddr_radius will be called fsgetUsrInfoforIpAddr_radius will be called fsgetUsrInfoforIpAddr_radius will be called RemoteUserUpdate() returned true RemoteUserUpdate() returned true RemoteUserUpdate() returned true
Router-Befehl:
show ip wccp: Zeigt globale WCCP-Statistiken an.