스위치에서 IP 디바이스 추적 Post-MAB 컨피그레이션 확인

다운로드 옵션

PDF (1.0 MB)
다양한 디바이스에서 Adobe Reader로 보기
ePub (811.3 KB)
iPhone, iPad, Android, Sony Reader 또는 Windows Phone의 다양한 앱에서 보기
Mobi (Kindle) (1.0 MB)
Kindle 디바이스에서 보기 또는 다양한 디바이스의 Kindle 앱에서 보기

업데이트:2024년 7월 18일

문서 ID:222132

편견 없는 언어

본 제품에 대한 문서 세트는 편견 없는 언어를 사용하기 위해 노력합니다. 본 설명서 세트의 목적상, 편견 없는 언어는 나이, 장애, 성별, 인종 정체성, 민족 정체성, 성적 지향성, 사회 경제적 지위 및 교차성에 기초한 차별을 의미하지 않는 언어로 정의됩니다. 제품 소프트웨어의 사용자 인터페이스에서 하드코딩된 언어, RFP 설명서에 기초한 언어 또는 참조된 서드파티 제품에서 사용하는 언어로 인해 설명서에 예외가 있을 수 있습니다. 시스코에서 어떤 방식으로 포용적인 언어를 사용하고 있는지 자세히 알아보세요.

이 번역에 관하여

Cisco는 전 세계 사용자에게 다양한 언어로 지원 콘텐츠를 제공하기 위해 기계 번역 기술과 수작업 번역을 병행하여 이 문서를 번역했습니다. 아무리 품질이 높은 기계 번역이라도 전문 번역가의 번역 결과물만큼 정확하지는 않습니다. Cisco Systems, Inc.는 이 같은 번역에 대해 어떠한 책임도 지지 않으며 항상 원본 영문 문서(링크 제공됨)를 참조할 것을 권장합니다.

소개

이 문서에서는 MAB 컨피그레이션 후 IP 디바이스 추적의 동작 및 MAB 인증 후 통신 문제에 대한 가능한 해결책을 설명합니다.

사전 요구 사항

요구 사항

다음 주제에 대한 지식을 보유하고 있으면 유용합니다.

Cisco Identity Services Engine 구성
Cisco Catalyst 구성

사용되는 구성 요소

이 문서의 정보는 다음 소프트웨어 및 하드웨어 버전을 기반으로 합니다.

Identity Services Engine Virtual 3.3 패치 1
C1000-48FP-4G-L 15.2(7)E9

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우 모든 명령의 잠재적인 영향을 미리 숙지하시기 바랍니다.

다이어그램

이 문서에서는 이 다이어그램에서 MAB 인증을 위한 컨피그레이션 및 확인을 소개합니다.

네트워크 다이어그램

배경 정보

MAB 인증이 성공하더라도 Win10 PC1을 재부팅(또는 케이블 플러그를 뽑았다가 재부팅)한 후에는 게이트웨이(Win10 PC3)를 ping할 수 없습니다. 이 예기치 않은 동작은 Win10 PC1의 IP 주소 충돌 때문입니다.
IP 디바이스 추적 및 해당 ARP 프로브는 MAB로 구성된 인터페이스에서 기본적으로 활성화됩니다. Windows PC가 IP 장치 추적이 활성화된 Catalyst 스위치에 연결된 경우 Windows 측에서 IP 주소 충돌을 감지할 가능성이 있습니다. 이는 이 메커니즘의 탐지 윈도우 동안 발신자 IP 주소가 0.0.0.0인 ARP 프로브가 수신되어 IP 주소 충돌로 처리되기 때문입니다.

설정

이 컨피그레이션 예에서는 MAB 컨피그레이션 후 IP 디바이스 추적의 동작을 보여줍니다.

C1000의 컨피그레이션

이는 C1000 CLI의 최소 컨피그레이션입니다.

aaa new-model

radius server ISE33
address ipv4 1.x.x.191
key cisco123

aaa group server radius AAASERVER
server name ISE33

aaa authentication dot1x default group AAASERVER
aaa authorization network default group AAASERVER
aaa accounting dot1x default start-stop group AAASERVER
dot1x system-auth-control

interface Vlan12
ip address 192.168.10.254 255.255.255.0

interface Vlan14
ip address 1.x.x.101 255.0.0.0

interface GigabitEthernet1/0/1
Switch port access vlan 14
Switch port mode access

interface GigabitEthernet1/0/3
Switch port access vlan 12
Switch port mode access

interface GigabitEthernet1/0/4
Switch port access vlan 12
Switch port mode access

interface GigabitEthernet1/0/2
Switch port access vlan 12
Switch port mode access
authentication host-mode multi-auth
authentication port-control auto
spanning-tree portfast edge
mab

// for packet capture
monitor session 1 source interface Gi1/0/2
monitor session 1 destination interface Gi1/0/3

ISE의 컨피그레이션

1단계. 장치 추가

Administration(관리) > Network Devices(네트워크 디바이스)로 이동하고 Add(추가) 버튼을 클릭하여 C1000 디바이스를 추가합니다.

이름: C1000
IP 주소: 1.x.x.101

장치 추가

2단계. 엔드포인트 추가

Context Visibility(상황 가시성) > Endpoints(엔드포인트)로 이동하고 Add(추가) 버튼을 클릭하여 엔드포인트의 MAC을 추가합니다.

엔드포인트 추가

3단계. 정책 집합 추가

Policy(정책) > Policy Sets(정책 세트)로 이동하고 +를 클릭하여 정책 세트를 추가합니다.

정책 집합 이름: C1000_MAB
설명 : mab 테스트용
조건: Wired_MAB
허용되는 프로토콜/서버 시퀀스: 기본 네트워크 액세스

정책 집합 추가

4단계. 인증 정책 추가

Policy Sets(정책 집합)로 이동하여 C1000_MAB를 클릭하여 인증 정책을 추가합니다.

규칙 이름: MAB_authentication
조건: Wired_MAB
사용: 내부 엔드포인트

인증 정책 추가

5단계. 권한 부여 정책 추가

Policy Sets(정책 집합)로 이동하고 C1000_MAB를 클릭하여 권한 부여 정책을 추가합니다.

규칙 이름 : MAB_authorization
조건: Network_Access_Authentication_Passed
결과: PermitAccess

권한 부여 정책 추가

다음을 확인합니다.

MAB 컨피그레이션 전

IP 디바이스 추적 기능이 비활성화되었는지 확인하려면 명령을 실행합니다show ip device tracking all.

Switch #show ip device tracking all 
Global IP Device Tracking for clients = Disabled
-----------------------------------------------------------------------------------------------
IP Address MAC Address Vlan Interface Probe-Timeout State Source
-----------------------------------------------------------------------------------------------

`MAB 컨피그레이션 후`

`1단계. MAB 인증 전`

IP 디바이스 추적 기능이 활성화되어 있는지 확인하려면 명령을 실행합니다show ip device tracking all.

Switch #show ip device tracking all 
Global IP Device Tracking for clients = Enabled
Global IP Device Tracking Probe Count = 3
Global IP Device Tracking Probe Interval = 30
Global IP Device Tracking Probe Delay Interval = 0
-----------------------------------------------------------------------------------------------
IP Address MAC Address Vlan Interface Probe-Timeout State Source
-----------------------------------------------------------------------------------------------

Total number interfaces enabled: 1
Enabled interfaces:
Gi1/0/2

`2단계. MAB 인증 후`

Win10 PC1에서 MAB 인증을 초기화하고 명령을 실행하여 GigabitEthernet1/0/2에서 IP 장치 추적의 상태를 확인합니다show ip device tracking all.

Switch #show ip device tracking all 
Global IP Device Tracking for clients = Enabled
Global IP Device Tracking Probe Count = 3
Global IP Device Tracking Probe Interval = 30
Global IP Device Tracking Probe Delay Interval = 0
-----------------------------------------------------------------------------------------------
IP Address MAC Address Vlan Interface Probe-Timeout State Source
-----------------------------------------------------------------------------------------------
192.168.10.10 b496.9115.84cb 12 GigabitEthernet1/0/2 30 ACTIVE ARP

Total number interfaces enabled: 1
Enabled interfaces:
Gi1/0/2

`3단계. 인증 세션 확인`

명령을show authentication sessions interface GigabitEthernet1/0/2 details 실행하여 MAB 인증 세션을 확인합니다.

Switch #show authentication sessions interface GigabitEthernet1/0/2 details 
Interface: GigabitEthernet1/0/2
MAC Address: b496.9115.84cb
IPv6 Address: Unknown
IPv4 Address: 192.168.10.10
User-Name: B4-96-91-15-84-CB
Status: Authorized
Domain: DATA
Oper host mode: multi-auth
Oper control dir: both
Session timeout: N/A
Restart timeout: N/A
Periodic Acct timeout: N/A
Session Uptime: 114s
Common Session ID: 01C200650000001D62945338
Acct Session ID: 0x0000000F
Handle: 0xBE000007
Current Policy: POLICY_Gi1/0/2

Local Policies:
Service Template: DEFAULT_LINKSEC_POLICY_SHOULD_SECURE (priority 150)

Server Policies:


Method status list: 
Method State

mab Authc Success

`4단계. Radius 라이브 로그 확인`

ISE GUI에서 Operations(운영) > RADIUS > Live Log(라이브 로그)로 이동하여 MAB 인증을 위한 라이브 로그를 확인합니다.

`5단계. IP 디바이스 추적의 패킷 세부사항 확인`

명령을 show interfaces GigabitEthernet1/0/2 실행하여 GigabitEthernet1/0/2의 MAC 주소를 확인합니다.

Switch #show interfaces GigabitEthernet1/0/2
GigabitEthernet1/0/2 is up, line protocol is up (connected) 
Hardware is Gigabit Ethernet, address is 3c41.0e4f.1782 (bia 3c41.0e4f.1782)

패킷 캡처에서 ARP 프로브가 30초마다 GigabitEthernet1/0/2에 의해 전송되는지 확인합니다.

ARP 프로브

패킷 캡처에서 ARP 프로브의 발신자 IP 주소가 0.0.0.0인지 확인합니다.

ARP 프로브의 세부 정보

`문제`

Catalyst Switch의 IP 디바이스 추적 기능은 발신자 IP 주소가 0.0.0.0인 ARP 프로브를 전송할 때 Windows PC에서 IP 주소 충돌을 일으킬 수 있습니다.

`가능한 솔루션`

가능한 해결 방법은 Troubleshoot Duplicate IP Address 0.0.0.0 Error Messages(중복 IP 주소 0.0.0.0 오류 메시지 트러블슈팅)를 참조하십시오. 자세한 내용은 Cisco Lab에서 테스트한 각 솔루션의 예를 참조하십시오.

`1. ARP 프로브 전송 지연`

스위치에서 ARP 프로브의 전송을 지연하려면 명령을 실행합니다ip device tracking probe delay <1-120>. 이 명령은 스위치가 링크 UP/플랩을 탐지할 때 <1-120>초 동안 프로브를 전송하도록 허용하지 않습니다. 이는 링크의 다른 쪽에 있는 호스트가 중복 IP 주소를 확인하는 동안 프로브를 전송할 가능성을 최소화합니다.

이는 ARP 프로브의 지연을 10초로 구성하는 예입니다.

Switch (config)#ip device tracking probe delay 10

명령을 실행하여 지연 설정을 확인합니다show ip device tracking all.

Switch #show ip device tracking all 
Global IP Device Tracking for clients = Enabled
Global IP Device Tracking Probe Count = 3
Global IP Device Tracking Probe Interval = 30
Global IP Device Tracking Probe Delay Interval = 10
-----------------------------------------------------------------------------------------------
IP Address MAC Address Vlan Interface Probe-Timeout State Source
-----------------------------------------------------------------------------------------------
192.168.10.10 b496.9115.84cb 12 GigabitEthernet1/0/2 30 ACTIVE ARP

Total number interfaces enabled: 1
Enabled interfaces:
Gi1/0/2

`2. ARP 프로브에 대한 자동 소스 구성`

ARP ip device tracking probe auto-source fallback <host-ip> <mask> [override] 프로브의 소스 IP 주소를 변경하려면 명령을 실행합니다. 이 명령을 사용하면 ARP 프로브의 IP 소스가 0.0.0.0이 아니라 호스트가 상주하는 VLAN에 있는 SVI(Switch Virtual Interface)의 IP 주소이거나 SVI에 IP 주소가 설정되어 있지 않으면 자동으로 계산됩니다.

<host-ip>를 0.0.0.200으로 구성하는 예입니다.

Switch (config)#ip device tracking probe auto-source fallback 0.0.0.200 255.255.255.0 override

`패턴 1. SVI의 IP가 구성됨`

이 문서에서는 MAB 인증을 수행하는 인터페이스(GigabitEthernet1/0/2)에 대해 SVI IP 주소(vlan12의 IP 주소)를 설정하므로 ARP 프로브의 소스 IP 주소가 192.168.10.254로 변경됩니다.

show ip device tracking all 명령을 실행하여 자동 소스의 설정을 확인합니다.

Switch #show ip device tracking all 
Global IP Device Tracking for clients = Enabled
Global IP Device Tracking Probe Count = 3
Global IP Device Tracking Probe Interval = 30
Global IP Device Tracking Probe Delay Interval = 0
IP Device Tracking Probe Auto Source = Enabled
Probe source IP selection order: SVI,Fallback 0.0.0.200 255.255.255.0
-----------------------------------------------------------------------------------------------
IP Address MAC Address Vlan Interface Probe-Timeout State Source
-----------------------------------------------------------------------------------------------
192.168.10.10 b496.9115.84cb 12 GigabitEthernet1/0/2 30 ACTIVE ARP

Total number interfaces enabled: 1
Enabled interfaces:
Gi1/0/2

패킷 캡처에서 ARP 프로브가 30초마다 GigabitEthernet1/0/2에 의해 전송되는지 확인합니다.

ARP 프로브

패킷 캡처에서 ARP 프로브의 발신자 IP 주소가 SVI(vlan 12)의 IP인 192.168.10.254인지 확인합니다.

ARP 프로브의 세부 정보

`패턴 2. SVI의 IP가 구성되지 않음`

이 문서에서는 ARP 프로브의 대상이 192.168.10.10/24이므로 SVI IP 주소가 구성되지 않은 경우 소스 IP 주소는 192.168.10.200입니다.

SVI의 IP 주소를 삭제합니다.

Switch (config)#int vlan 12
Switch (config-if)#no ip address

show ip device tracking all 명령을 실행하여 자동 소스의 설정을 확인합니다.

Switch #show ip device tracking all 
Global IP Device Tracking for clients = Enabled
Global IP Device Tracking Probe Count = 3
Global IP Device Tracking Probe Interval = 30
Global IP Device Tracking Probe Delay Interval = 0
IP Device Tracking Probe Auto Source = Enabled
Probe source IP selection order: SVI,Fallback 0.0.0.200 255.255.255.0
-----------------------------------------------------------------------------------------------
IP Address MAC Address Vlan Interface Probe-Timeout State Source
-----------------------------------------------------------------------------------------------
192.168.10.10 b496.9115.84cb 12 GigabitEthernet1/0/2 30 ACTIVE ARP

Total number interfaces enabled: 1
Enabled interfaces:
Gi1/0/2

패킷 캡처에서 ARP 프로브가 30초마다 GigabitEthernet1/0/2에 의해 전송되는지 확인합니다.

ARP 프로브

패킷 캡처에서 ARP 프로브의 발신자 IP 주소가 192.168.10.200으로 변경되었는지 확인합니다.

ARP 프로브의 세부 정보

`3. IP 장치 추적을 강제로 비활성화합니다.`

IP ip device tracking maximum 0 디바이스 추적을 비활성화하려면 명령을 실행합니다.

 
       
       참고: 이 명령은 IP 디바이스 추적을 실제로 비활성화하지는 않지만 추적되는 호스트 수를 0으로 제한합니다.

Switch (config)#int g1/0/2
Switch (config-if)#ip device tracking maximum 0GigabitEthernetshow ip device tracking all1/0/2에서 IP 디바이스 추적의 상태를 확인하려면 명령을 실행합니다.
Switch #show ip device tracking all
Global IP Device Tracking for clients = Enabled
Global IP Device Tracking Probe Count = 3
Global IP Device Tracking Probe Interval = 30
Global IP Device Tracking Probe Delay Interval = 0
-----------------------------------------------------------------------------------------------
IP Address MAC Address Vlan Interface Probe-Timeout State Source
-----------------------------------------------------------------------------------------------

Total number interfaces enabled: 1
Enabled interfaces:
Gi1/0/2
참조
중복 IP 주소 0.0.0.0 오류 메시지 트러블슈팅
IPDT 장치 작업 확인

개정 이력

개정	게시 날짜	의견
1.0	18-Jul-2024	최초 릴리스

Cisco 엔지니어가 작성

장젠
기술 컨설팅 엔지니어

스위치에서 IP 디바이스 추적 Post-MAB 컨피그레이션 확인

다운로드 옵션

편견 없는 언어

이 번역에 관하여

목차

소개

사전 요구 사항

요구 사항

사용되는 구성 요소

다이어그램

배경 정보

설정

C1000의 컨피그레이션

ISE의 컨피그레이션

1단계. 장치 추가

2단계. 엔드포인트 추가

3단계. 정책 집합 추가

4단계. 인증 정책 추가

5단계. 권한 부여 정책 추가

다음을 확인합니다.

MAB 컨피그레이션 전

`MAB 컨피그레이션 후`

`1단계. MAB 인증 전`

`2단계. MAB 인증 후`

`3단계. 인증 세션 확인`

`4단계. Radius 라이브 로그 확인`

`5단계. IP 디바이스 추적의 패킷 세부사항 확인`

`문제`

`가능한 솔루션`

`1. ARP 프로브 전송 지연`

`2. ARP 프로브에 대한 자동 소스 구성`

`패턴 1. SVI의 IP가 구성됨`

`패턴 2. SVI의 IP가 구성되지 않음`

`3. IP 장치 추적을 강제로 비활성화합니다.`

`참조`

개정 이력

Cisco 엔지니어가 작성

이 문서가 도움이 되셨습니까?

지원 문의

이 문서가 적용되는 제품