Configuración de Central Web Authebtication (CWA) en WLC e ISE

TAREA 1: Configuración de WLC

Paso 1.1: En el equipo WLC asegurar que el servicio CoA (FRC3576) este habilitado, para esto se debe dirigir a; 

Security> AAA> RADIUS> Authentication

Paso 1.2: Configurar un nuevo SSID abierto “Open” con “MAC Filtering” a nivel de seguridad de capa 2, además de la siguiente información;

Paso 1.3: Configurar una ACL para redirección. Esta lista de acceso será configurada en el ISE definiendo el tráfico que será redireccionado (deny) y que tráfico no deberá ser redireccionado (permit). Para esto se debe configurar cada una de las siguientes líneas en;

Security> Access Control Lists> Access Control Lists

TAREA 2: Configuración de Perfil de Autorización en ISE.

Paso 2.1: Configurar un perfil de autorización que permita a los usuarios redirigirse al CWA, para esto se debe dirigir a;

Policy> Policy Elements> Results

Paso 2.2: Expandir la carpeta Authorization y seleccionar Authorization Profile.

Paso 2.3: Seleccionar Add

Paso 2.4: Configurar el nombre del perfil y seleccione ACESS_ACCEPT desde el tipo de acceso.

Paso 2.5: Marcar Web Redirection (CWA, MDM, NSP, CPP) y seleccionar Centralized Web Auth, y la ACL correspondiente a la configurada en el WLC (Paso 1.3).

Paso 2.6: Seleccionar el valor de Self-Registered Guest Portal, en este caso el usuario se enviara al portal para auto registrarse y le entregara un usuario y contraseña.

TAREA 3: Configuración de Condición de Autorización

Paso 3.1: Configurar una condición para hacerla coincidir con el SSID de invitados, permitiendo que sea usada dentro de las políticas de autorización para esto se debe dirigir a; 

Policy> Policy Elements> Conditions> Authorization> Simple Conditions

Paso 3.2: Configurar una condición asociada al SSID que se conecten los usuarios invitados de acuerdo a lo siguiente;

Paso 3.3: Configurar Value correspondiente a la expresión regular .*(:nombre del SSID)$

TAREA 4: Configuración una regla de Autenticación

Paso 4.1: Configurar una regla de autenticación que permita al ISE aceptar todas las autenticaciones de direcciones MAC desde el WLC, para esto se debe dirigir a; 

Policy> Authentication>

Paso 4.2: Configurar MAB que ya existe por defecto y seleccione Edit, manteniendo lo siguiente;

Paso 4.3: Configurar en Internal Endpoints lo siguiente;

TAREA 5: Configuración Políticas de Autorización

Paso 5.1: Configurar las políticas de autorización de acuerdo al siguiente orden, para esto se debe ir a; 

Policy> Authorization>

Paso 5.2: Configurar una nueva regla. (Ej. Redirección Invitados) en el campo condition(s) seleccione (+), y elija create a new condition.

Paso 5.3: Seleccionar en select attribute la opción Network Access y dentro de esta opción elegir UseCase.

Paso 5.4: Seleccionar el operador Equals y elegir Host Loockup.

Paso 5.5: Seleccionar Add Condition from Library y AND en Select Condition elegir Simple Condition y buscar la condición creada en la Tarea 3 correspondiente al nombre del SSID.

Paso 5.6: Seleccionar then y elegir el perfil de autorización correspondiente al Portal de Autenticación (Ej. Wireless_Portal, Tarea 2)

Paso 5.7: Configurar una nueva política de autenticación, la cual debe estar posicionada antes de la creada anteriormente (Ej. Redirección Invitados) para esto se debe ir a; 

Policy> Authorization>

Paso 5.8: Configurar una nueva regla. (Ej. Redirección Invitados) en el campo condition(s) seleccione (+), y elija create a new condition.

Paso 5.9: Seleccionar en select attribute la opción Network Access y dentro de esta opción elegir UseCase.

Paso 5.10: Seleccionar el operador Equals y elegir GuestFlow.

Paso 5.11: Seleccionar Add Condition from Library y AND en Select Condition elegir Simple Condition y buscar la condición creada en la Tarea 3 correspondiente al nombre del SSID.

Paso 5.12: Seleccionar then y elegir PermitAccess

Paso 5.13: Finalmente debiese quedar configurado de la siguiente forma;

TAREA 6: Verificación de Usuario Conectado

Paso 6.1: Finalmente para verificar que los usuarios se están conectando sin problemas se debe dirigir a;

Operations> Authentications>