Table des matières

Introduction

Conditions préalables

Exigences

Composants utilisés

Configurer

Exemple de configuration de commutateur

Configuration ACS

Vérifier

Dépannage

Introduction

Ce document fournit un exemple de configuration de base IEEE 802.1x avec Cisco Access Control Server (ACS) Version 4.2 et le protocole RADIUS (Remote Access Dial In User Service) pour l'authentification filaire.

Conditions préalables

Exigences

Cisco vous recommande de :

- Confirmez l'accessibilité IP entre ACS et le commutateur.

- Assurez-vous que les ports UDP (User Datagram Protocol) 1645 et 1646 sont ouverts entre ACS et le commutateur.

Composants utilisés

Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

- Commutateurs Cisco Catalyst, série 3550

- Cisco Secure ACS version 4.2

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Configurer

Exemple de configuration de commutateur

1. Afin de définir le serveur RADIUS et la clé pré-partagée, entrez cette commande :

Switch(config)# radius-server host 192.168.1.3  key  cisco123

2. Afin d'activer la fonctionnalité 802.1x, entrez cette commande :

Switch(config)# dot1x system-auth-control

3. Afin d'activer globalement l'authentification AAA (Authentication, Authorization, and Accounting) et l'authentification et l'autorisation RADIUS, entrez ces commandes :

Remarque : ceci est nécessaire si vous devez passer des attributs à partir du serveur RADIUS ; sinon, vous pouvez l'ignorer.

Switch(config)# aaa new-model

Switch(config)# aaa authentication dot1x default group radius

awitch(Config)# aaa authorization network default group radius

Switch(Config)# aaa accounting dot1x default start-stop group radius

Switch(config-if)# switchport mode acces

Switch(config-if)# switchport access vlan

Switch(config-if)# authentication port-control auto (12.2.50 SE and later)

Switch(config-if)# dot1x port-control auto (12.2.50 SE and below)

Switch(config-if)# dot1x pae authenticator (version 12.2(25)SEE and below)

Switch(config-if)# dot1x timeout quiet-period

Switch(config-if)# dot1x timeout tx-period

Configuration ACS

1. Afin d'ajouter le commutateur en tant que client AAA dans ACS, naviguez à Configuration du réseau > Ajouter l'entrée client AAA, et entrez ces informations :

- Adresse IP : <IP>

- Secret partagé : <key>

- Authentification à l'aide de : Radius (Cisco IOS®/PIX 6.0)

2. Afin de configurer la configuration de l'authentification, naviguez vers System Configuration > Global Authentication Setup, et vérifiez que la case à cocher Allow MS-CHAP Version 2 Authentication est activée :

3. Afin de configurer un utilisateur, cliquez sur User Setup dans le menu, et complétez ces étapes :

- Entrez les informations utilisateur : Network-Admin <username>.

- Cliquez sur Add/Edit.

- Entrez le nom réel : Network-Admin <nom descriptif>.

- Ajoutez une description : <votre choix>.

- Sélectionnez Authentification par mot de passe : Base de données interne ACS.

- Saisissez le mot de passe : ........ <mot de passe>

- Confirmez le mot de passe : <password>.

- Cliquez sur Submit.

Vérifier

L'Outil d'interprétation de sortie (clients enregistrés seulement) prend en charge certaines commandes d'affichage. Utilisez l'Outil d'interprétation de sortie afin de visualiser une analyse de commande d'affichage de sortie .

Entrez ces commandes afin de confirmer que votre configuration fonctionne correctement :

- show dot1x

- show dot1x summary

- show dot1x interface

- show authentication sessions interface <interface>

- show authentication interface <interface>

Switch(config)# show dot1x

_________________________________________________

Sysauthcontrol              Enabled

Dot1x Protocol Version            3

_________________________________________________

Switch(config)# show dot1x summary

_________________________________________________

Interface       PAE     Client          Status

_________________________________________________

Fa0/4           AUTH

_________________________________________________

Switch(config)# show dot1x interface fa0/4 detail

_________________________________________________

Dot1x Info for FastEthernet0/4

_________________________________________________

PAE                       = AUTHENTICATOR

PortControl               = FORCE_AUTHORIZED

ControlDirection          = Both

HostMode                  = SINGLE_HOST

QuietPeriod               = 5

ServerTimeout             = 0

SuppTimeout               = 30

ReAuthMax                 = 2

MaxReq                    = 2

TxPeriod                  = 10

Dépannage

Cette section fournit des commandes debug que vous pouvez utiliser afin de dépanner votre configuration.

Remarque : Consulter les renseignements importants sur les commandes de débogage avant d’utiliser les commandes de débogage.

- debug dot1x all

- debug authentication all

- debug radius (fournit les informations de radius au niveau du débogage)

- debug aaa authentication (debug for authentication)

- debug aaa authorization (debug for authorization)