AP прекращает аутентификацию по dot1x в LAN

[Leo Laohoo]

Откройте дело TAC. Используйте мой номер TAC Case #699156079 в качестве ссылки.

[Leo Laohoo]

С момента обновления до версий 17.12.4 и 17.12.5 мы заметили, что многие из наших точек доступа ведут себя именно так. Еще одно наблюдаемое явление — потеря точками доступа своих IP-адресов. Я подал заявку в службу технической поддержки (TAC) по поводу потери IP-адресов точками доступа и потребовал от них опубликовать APSP для устранения
CSCwp20385
. Наши точки доступа — 3700, 2800/3800/4800/1560, 9124, 9130, 9136 и 9166.

[MHM Cisco World]

Мы говорим об аутентификации AP, а не об аутентификации клиента Wi-Fi? MHM

[Leo Laohoo]

@MHM Cisco World
написал:
Мы говорим об аутентификации AP, а не об аутентификации Wi-Fi-клиента? См.
CSCwp20385
. Проще говоря, AP принимает трафик, но блокирует весь исходящий трафик. Это включает трафик DHCP DORA и трафик, связанный с 802.1x.

[MHM Cisco World]

Извините, но Причина сбоя 22063 Неверный пароль <<- это означает, что ISE получил какой-то пакет MHM

[Leo Laohoo]

@MHM Cisco World
написал:
это означает, что ISE получил некоторые пакеты ISE получил «поврежденные» или неполные пакеты и посчитал это «неверным паролем».

[Mirek_Tichy]

Привет, Лео, спасибо, возможно, это имеет отношение к делу, но, к сожалению, в отчете об ошибке почти нет информации.

[Mirek_Tichy]

Точно, у нас нет проблем с клиентами. Мы говорим о защищенных портах LAN dot1x, соединяющих точки доступа.

[MHM Cisco World]

Как добавить имя пользователя/пароль к AP? Думаю, для этого нужен WLC Таким образом, проблема заключается в WLC и ISE, а не в AP и ISE MHM

[Mirek_Tichy]

Здравствуйте, учетные данные находятся в тегах сайта на WLC. WLC обслуживает около 1000 точек доступа, но 400 из них получили ошибку, и ISE сообщает о неверном пароле. Проблема решается повторным подключением и перезагрузкой точки доступа без изменения конфигурации на WLC.

[MHM Cisco World]

Я думаю, вам нужно только повторно подключиться, перезагрузка не требуется. В конце концов, ISE будет аутентифицировать устройство только после истечения времени повторной аутентификации, поэтому с точки зрения WLC/ISE точка доступа все еще аутентифицирована. Повторное подключение очистит сеанс аутентификации AP и заставит AP повторно пройти аутентификацию. MHM

[MHM Cisco World]

Есть ли какие-нибудь новости от команды TAC? MHM

[Leo Laohoo]

TAC хочет, чтобы мы выполнили захват пакетов с точки доступа. Как я уже сообщил TAC и разработчикам, наши точки доступа установлены на высоте 2,6 метра над землей. Выполнение захвата пакетов с лестницы — опасная задача. Поэтому мы ждем возможности найти точку доступа, где это можно сделать безопасно. А пока разработчики отказываются передать APSP для исправления этой ошибки.

[MHM Cisco World]

Извините, у вас точно такая же проблема? AP авторизуется как supplicant? MHM