Foreign WLCs
0. cd /md/01_NETPROJEKRALAC
config terminal
1.Create a network service for the TCP/HTTPS traffic
netservice ise-https-8443 tcp 8443
netservice ise-https-8084 tcp 8084
netservice ise-https-8905 tcp 8905
!
2. Create a network destination
netdestination dmzwireless.netprojekralac.com
host 10.0.77.36
host 10.0.66.36
!
3. Create an access list that permits traffic to ISE, DNS, DHCP
ip access-list session RESTRICTED-GUEST-ACCESS-ACL
user any udp 68 deny
any any ise-https permit
any any ise-https-8443 permit
any any ise-https-8084 permit
any any ise-https-8905 permit
any any svc-icmp permit
any any svc-dns permit
any any svc-dhcp permit
any any svc-https permit
any any svc-http permit
any any svc-natt permit
any network 169.254.0.0 255.255.0.0 any deny
any network 240.0.0.0 240.0.0.0 any deny
!
4. Create the initial role on the INTERNAL controllers
user-role RESTRICTED-GUEST-ACCESS-ROLE
access-list session ra-guard
access-list session RESTRICTED-GUEST-ACCESS-ACL
access-list session v6-allowall
!
5. Defined the RFC 3576 Servers
aaa rfc-3576-server "10.0.77.37"
key
!
aaa rfc-3576-server "10.0.66.36"
key
!
6. Define the AAA servers and server GROUP
aaa authentication-server radius "DMZPSN2.NETPROJEKRALAC.COM"
host "10.0.77.37"
key
called-station-id type macaddr include-ssid enable delimiter colon
!
aaa authentication-server radius "DMZPSN1.NETPROJEKRALAC.COM"
host "10.0.66.36"
key
called-station-id type macaddr include-ssid enable delimiter colon
!
aaa server-group "DMZ-PSNS-SVGRP"
auth-server "DMZPSN2.NETPROJEKRALAC.COM" position 1
auth-server "DMZPSN1.NETPROJEKRALAC.COM" position 2
!
7. Create the L2 MAC auth
aaa authentication mac "AAA-778-MAC-AUTH"
delimiter none
case lower
max-authentication-failures 0
no reauthentication
!
8. Create the AAA DOT1X Profile
aaa authentication dot1x "AAA-DOT1X-L2-778"
max-requests 2
timer wpa-key-period 3000
timer wpa2-key-delay 100
timer wpa-groupkey-delay 100
!
9. Create a AAA profile
aaa profile "778_AAA_PROF"
initial-role "RESTRICTED-GUEST-ACCESS-ROLE"
authentication-mac "AAA-778-MAC-AUTH"
mac-default-role "RESTRICTED-GUEST-ACCESS-ROLE"
authentication-dot1x "AAA-DOT1X-L2-778"
dot1x-default-role "RESTRICTED-GUEST-ACCESS-ROLE"
radius-roam-accounting
radius-interim-accounting
rfc-3576-server "10.0.77.37"
rfc-3576-server "10.0.66.36"
enforce-dhcp
!
10. Create the Guest and Onboarding SSID Profile
wlan ssid-profile "778_SSID_PROF"
essid "778"
wpa-passphrase 5if8f855u@k4fffeee
opmode wpa2-psk-aes
a-basic-rates 12 24
a-tx-rates 12 18 24 36 48 54
g-basic-rates 24
g-tx-rates 12 18 24 36 48 54
wmm
wmm-vo-dscp "48"
wmm-vi-dscp "32"
wmm-be-dscp "0"
wmm-bk-dscp "8"
g-beacon-rate 24
a-beacon-rate 24
multicast-rate 24
qbss-load-enable
advertise-location
advertise-ap-name
!
11. Create the virtual-ap and assign the DMZ user VLAN (VLAN 778 is not part of the internal network but has to be assiged to the VAP.
wlan virtual-ap "778"
aaa-profile "778_AAA_PROF"
vlan 778
ssid-profile "778_SSID_PROF"
!
12. Associate the virtual-ap to the AP-Group
ap-group "BROOKLYN-RETAIL-2-AP-GROUP"
virtual-ap "778"
!
Aruba Anchor WLCs
0. سی دی /md/02-DMZ
پیکربندی t
1. یک سرویس شبکه برای TCP/HTTPS 8443 ایجاد کنید که شماره پورت ISE مورد استفاده برای ارسال است.
netservice ise-https-8443 tcp 8443
netservice ise-https-8084 tcp 8084
netservice ise-https-8905 tcp 8905
!
2. یک مقصد شبکه برای آدرس های IP دروازه ضبط ایجاد کنید
netdestination dmzwireless.netprojekralac.com
میزبان 10.0.77.36
میزبان 10.0.66.36
!
3. سرورهای RFC 3576 را تعریف می کند
aaa rfc-3576-server “10.0.77.37”
کلید
!
aaa rfc-3576-server “10.0.66.36”
کلید
!
4. سرورهای AAA و سرور GROUP را تعریف کنید
aaa شعاع سرور احراز هویت “DMZPSN2.NETPROJEKRALAC.COM”
میزبان “10.0.77.37”
کلید
call-station-id type macaddr include-ssid enable delimiter colon
!
aaa شعاع سرور احراز هویت “DMZPSN1.NETPROJEKRALAC.COM”
میزبان “10.0.66.36”
کلید
call-station-id type macaddr include-ssid enable delimiter colon
!
گروه سرور aaa “DMZ-PSNS-SVGRP”
سرور احراز هویت “DMZPSN2.NETPROJEKRALAC.COM” موقعیت 1
auth-server “DMZPSN1.NETPROJEKRALAC.COM” موقعیت 2
!
5. یک جلسه ACL ایجاد کنید که به ترافیک IP و پورت های پورتال ISE اجازه می دهد.
جلسه لیست دسترسی ip RESTRICTED-GUEST-ACL
نام کاربری dmzwireless.netprojekralac.com مجوز ise-https-8443
نام کاربری dmzwireless.netprojekralac.com مجوز ise-https-8084
نام کاربری dmzwireless.netprojekralac.com مجوز ise-https-8905
نام کاربری dmzwireless.netprojekralac.com مجوز ise-https
!
جلسه لیست دسترسی IP GUEST-LOGON-CONTROL
کاربر هر udp 68 deny
هر گونه مجوز svc-icmp
هر گونه مجوز svc-dns
هر گونه مجوز svc-dhcp
هر گونه مجوز svc-natt
هر شبکه 169.254.0.0 255.255.0.0 هر گونه انکار
هر شبکه 240.0.0.0 240.0.0.0 هر گونه انکار
!
ip access-list session PERMIT-INTERNET-ONLY
هر مجوز
!
6. یک نمایه پورتال برای رهگیری احراز هویت AAA ایجاد کنید
aaa احراز هویت captive-portal “778-CAPTIVE-PORTAL”
گروه سرور “DMZ-PSNS-SVGRP”
بدون ورود کاربر
apple-cna-bypass
!
7. نقش های پیش احراز هویت و پس از احراز هویت را در کنترل کننده های DMZ ایجاد کنید. نقش توسط ISE به صورت پویا ارسال خواهد شد
نقش کاربر ONBOARDING-AND-GUEST-ROLE
جلسه لیست دسترسی ra-guard
جلسه لیست دسترسی GUEST-LOGON-CONTROL
جلسه لیست دسترسی PERMIT-TO-ISE-DMZ-PSN
دسترسی لیست دسترسی جلسه captiveportal
captive-portal 778-CAPTIVE-PORTAL
!
نقش کاربر AUTHENTICATED-GUEST
جلسه لیست دسترسی PERMIT-INTERNET-ONLY
!
8. یک گواهی MAC L2 ایجاد کنید
aaa احراز هویت mac “AAA-778-MAC-AUTH”
جدا کننده وجود ندارد
حروف کوچک
max-authentication-failures 0
بدون احراز هویت مجدد
!
9. نمایه AAA DOT1X ایجاد کنید
aaa احراز هویت dot1x “AAA-DOT1X-L2-778”
حداکثر درخواست 2
تایمر wpa-key-period 3000
تایمر wpa2-key-delay 100
تایمر wpa-groupkey-delay 100
!
10. یک نمایه AAA ایجاد کنید
نمایه aaa “778_AAA_PROF”
نقش اولیه “ورود به عنوان مهمان”
authentication-mac “AAA-778-MAC-AUTH”
mac-default-role “guest-logon”
mac-server-group “DMZ-PSNS-SVGRP”
authentication-dot1x “AAA-DOT1X-L2-778”
dot1x-default-role “ورود مهمان”
dot1x-server-group “DMZ-PSNS-SVGRP”
گزارش شعاع “DMZ-PSNS-SVGRP”
radius-roam-reporting
شعاع-متوسط-حسابداری
rfc-3576-server “10.0.77.37”
rfc-3576-server “10.0.66.36”
force-dhcp
!
