Cisco 9800 Wireless 2024 – Phase 13 – Part 3 – Proof of Concept – Captive Portal Infrastructure

admin1 روز پیش

0 0 خواندن این مطلب 2 دقیقه زمان میبرد

Cisco 9800 Wireless 2024 – Phase 13 – Part 3 – Proof of Concept – Captive Portal Infrastructure

پیکربندی Cisco ISE Guest و BYOD Captive Portal

G0 – برای دسترسی به پورتال مدیریت DMZ در 10.0.66.36 استفاده می شود
G1 – برای دسترسی به پورتال اسیر DMZ در 10.0.77.36 استفاده می شود

یکی از الزامات امنیتی استفاده از دو رابط در دستگاه سیسکو ISE است. رابط G0 برای مدیریت و مدیریت دستگاه و پورتال حامی استفاده خواهد شد. رابط G1 توسط مهمانان و کاربران BYOD برای دسترسی به صفحه ورود به پورتال رهگیری استفاده خواهد شد.

interface GigabitEthernet 0
 ip address 10.0.66.36 255.255.255.192
 ipv6 enable
 ipv6 address autoconfig
!
interface GigabitEthernet 1
 ip address 10.0.77.36 255.255.255.192
 ipv6 enable
 ipv6 address autoconfig
!
ip route 0.0.0.0 0.0.0.0 gateway 10.0.77.23 
The route above will send traffic to the captive portal out interface GigabitEthernet 1

نام دامنه کاملا واجد شرایط (FQDN) پورتال های رهگیر باید در DNS تعریف شود. پورتال های حامی و مهمان در گره های DMZ ISE میزبانی خواهند شد.

مثال:

C:\Users\>nslookup 10.0.66.36
نام: dmzpsn1.netprojekralac.com
آدرس: 10.0.66.36

C:\Users\>nslookup 10.0.77.36
نام: dmzwireless.netprojekralac.com
آدرس: 10.0.77.36

C:\Users\>nslookup sponsorportal.netprojekralac.com

نام: dmzpsn1.netprojekralac.com
آدرس: 10.0.66.36
نام مستعار: sponsorportal.netprojekralac.com

پورتال ISE Sponsor را در GigabitEthernet 0 پیکربندی کنید

پورتال حامی را تست کنید

یک ACL ارسال را در Cisco 9800 WLC پیکربندی کنید

کنترلر DMZ ACL را پیکربندی کنید که به مشتری ارسال می شود و پورتال تله را راه اندازی می کند.

Deny = انکار ارسال ترافیک.
Allow = اجازه می دهد تا ترافیک هدایت شود.

مرجع:

مجبورم من تکذیب می کنم ترافیک به سمت شما گره‌های ISE PSN و همچنین رد DNS و اجازه دادن به سایر گره‌هااین تغییر مسیر ACL است نه امنیت ACL اما a نقطه زدن یک ACL که مشخص می‌کند چه ترافیکی برای پردازش بیشتر به پردازنده (در مجوزها) می‌رود (به عنوان ارسال) و چه ترافیکی در صفحه داده باقی می‌ماند (در صورت خرابی) و از ارسال جلوگیری می‌کند (اما لزوماً حذف نمی‌شود).

ایده آل تر است که آن را به پورت 8443 محدود کنید، که معمولاً پورتی است که توسط پورتال مهمان استفاده می شود (اگرچه در برخی موارد خاص ممکن است پورت های دیگری نیز گنجانده شود).

همچنین باید ترافیک DNS (به طور بالقوه فقط به آدرس های IP سرور DNS شما) و در موارد خاص DHCP و NTP را رد کنید.

ip access-list extended WEBAUTH_REDIRECT_CWA
 20 deny tcp any host 10.0.0.36 eq 8443
 21 deny tcp any host 10.0.77.36 eq 8443
 40 deny tcp host 10.0.0.36 any eq 8443
 41 deny tcp host 10.0.77.36 any eq 8443
 49 deny ip any host 72.163.1.80
 50 deny ip any 72.163.0.0 0.0.255.255
 60 deny tcp any host 10.0.0.36 eq 8905
 61 deny tcp any host 10.0.77.36 eq 8905
 70 deny tcp any host 10.0.0.36 eq 8084
 71 deny tcp any host 10.0.77.36 eq 8084
 100 permit tcp any any eq www
 110 deny udp any host 10.0.206.21 eq domain

اطمینان حاصل کنید که VLAN های کاربر مناسب در DNS تعریف شده اند.
مطمئن شوید که ISE VLAN، trap gateway و hostname در DNS تعریف شده است

GigabitEthernet 1 باید به پورتال مهمان در آدرس 10.0.77.36 اجازه دهد.

visedmz/admin(config)#ip host 10.0.77.36 dmzwireless dmzwireless.netprojekralac.com

Host alias was modified. You must restart ISE for change to take effect.
Do you want to restart ISE now? (yes/no) yes

This command is used to add a static hostname-to-IP address mapping ETH1's network interface. Here's what it does step-by-step:

1. ip host: Indicates the command to create a static mapping.
2. 10.0.77.36: The IP address of the host.
3. dmzwireless: The short hostname for the device.
4. dmzwireless.netprojekralac.com: The Fully Qualified Domain Name (FQDN) for the device.