外部Web认证服务器与FlexConnect本地交换模式部署指引-Cisco.PDFVIP

外部Web 认证服务器与 FlexConnect 本地交换模式部署指南 简介 本文档介绍了对于不同的Web 认证政策如何使用外部Web 认证服务器与FlexConnect 本地 交换模式配合。 先决条件 要求 确保你满足下列要求，然后再尝试配置： * 轻量级无线接入点和思科FlexConnect 架构知识。 * 关于如何设置和配置外部 Web 服务器的知识 * 关于如何设置和配置DHCP 和DNS 服务器的知识 组件使用 本文档中的信息是基于这些软件和硬件版本： * 运行 版本的7500 系列无线控制器 * 思科Aironet 3500 系列轻量接入点 * 外部Web 服务器上承载的Web 认证登录页面 * DNS 服务器负责地址解析和DHCP 服务器分配给无线客户端IP 地址 本文档中的资料是从一个特定实验室环境中的设备上生成的。本文档中使用的所有设备以缺 省（默认）配置开始配置。如果您的网络是正在使用的生产系统，请确保您了解所有命令带 来的潜在影响。 功能概述 此功能扩展了工作在 FlexConnect 模式的无线接入点上本机交换 WLAN 的Web 认证到外部 Web 服务器的能力。在无线控制器 版本之前，到外部服务器进行的Web 认证支持 本地模式和FlexConnect 模式无线接入点上的集中交换WLAN 。 现在外部Web 身份验证功能已经延伸到支持FlexConnect 本地交换的WLAN，支持所有的3 层Web 重定向安全类型，目前由无线控制器提供的方式： * Web Authentication - Web 认证 * Web Pass-through - 通过且无需认证 * Web Conditional Redirect – 有条件重定向 * Splash Page Conditional Redirect - 初始登录页面有条件重定向 对比配置本地交换WLAN 的Web 认证，这个功能背后的逻辑是直接在无线接入点上配置和 分发预认证FlexConnect 访问控制列表，而不是在无线控制器上。这样，无线接入点将转发 由ACL 允许的本地无线客户端的数据包。不被允许的数据包仍然由CAPWAP 隧道发送到无 线控制器。另一方面，当无线接入点从有线接口接收的流量是ACL 允许的，也将其转发到无 线客户端。否则，数据包被丢弃。一旦客户端身份通过验证并授权，预认证FlexConnect ACL 将移除并允许所有客户端的数据流量本地交换。 注意：此功能假设客户端从本地交换VLAN 可以到达外部服务器。 摘要： * WLAN 配置为 FlexConnect 本地交换和L3 安全 * FlexConnect ACL 将被用作预认证的ACL * FlexConnect ACL 配置后必须通过 FlexConnect 组推送到无线接入点数据库，或者可以对 WLAN 应用 * 无线接入点允许所有匹配预认证ACL 的流量本地交换 配置步骤： 完成下列步骤以配置此功能： 1. 配置WLAN 为FlexConnect 本地交换。 2. 为启用外部Web 认证，你需要配置Web 策略为下面四个选项之一： * Web Authentication - Web 认证 * Web Pass-through - 通过且无需认证 * Web Conditional Redirect – 有条件重定向 * Splash Page Conditional Redirect - 初始登录页面有条件重定向 本文档使用Web 认证作为例子： 3. 需要配置预认证FlexConnect ACL 允许无线客户端可以到达外部服务器的IP 地址。ARP 协 议，DHCP 和DNS 流量被自动允许，并不需要特殊指定。在Security Access Control List 选择 FlexConnect ACL 。然后，单击“添加”定义名称和规则，就像设置无线控制器正常的ACL 一 样。 注：FlexConnect ACL 是与常规ACL 不同之处是没有必要指定流量的方向。每个规则将按照出 入流量生效。此外，如果你要配置集中交换WLAN 的Web 认证 （无论是在本地模式或Flex 模式），你仍然需要使用常规ACL 。因此，你需要指定流量的方向。 4. 一旦FlexConnect ACL 创建，它可以应用到无线接入点、FlexConnect 组和WLAN 。最后一 个选项（FlexConnect ACL 和WLAN ）仅适用于Web 认证和Web 直通，对于其他两