Configurar Cisco WLC y Aruba Clearpass para Guest con Mac Caching

Hola, 

Este es mi primer blog, y mi primera entrada. No creo que me hubiera lanzado nunca si no fuera por mis amigos Ferney Muñoz y Ulises Cázares que me animaron. 

En cualquier caso, comenzamos:

 

En este escenario, Clearpass tendrá dos puertos, uno de management, y el Data Port que será por el que exista un direccionamiento accesible para los Guests:

En cuanto a la WLC, tendrá su management en la misma VLAN que Clearpass, y tendrá una interface para los guest en el mismo direccionamiento que el Data Port de Clearpass, y por último la IP virtual.

 Para que funcione correctamente el portal cautivo necesitamos 3 cosas:

1. Configuración en Clearpass
2. Configuración en la WLC Cisco
3. Correcta resolución de FQDN de los equipos anteriores.

Comenzamos precisamente por verificar el último punto

 

En mi servidor de DNS he configurado una entrada para el Data Port de Clearpass, y otra entrada para la IP Virtual de mi WLC. Tanto en la WLC como en el Clearpass he cargado un certificado Wildcard válido, por lo que no tendremos alertas por este en ningún equipo que resuelva las direcciones mediante mi DNS.

 

CONFIGURACION DE CLEARPASS

No voy a detallar todos los pasos, porque hay muchos blogs y vídeos que explican el paso a paso. En este blog solo trataremos las particularidades de configuración cuando usamos una WLC de Cisco.

 

CLEARPASS - POLICY MANAGER

Habilitaremos el diccionario de Radius de Airespace:

Tras haber dado de alta a nuestra controladora, con ayuda del service templates "Guest Authentication with MAC Caching"

crearemos los servicios de MAC Authentication, y User Authentication with MAC Caching

Estos dos servicios debemos adecuarlos para que funcionen con Cisco WLC, utilizando las opciones que nos aparecen tras haber habilitado el diccionario de Radius de Airespace

En el servicio de MAC Authentication, sustituiremos los parámetros de Radius de Aruba por lo de Airespace, y en cuanto a la SSID la sustituiremos por la WLAN ID de la SSID de Guest que hayamos configurado (en mi caso es la 4)

 Para el servicio de User Authentication with MAC Caching, haremos la misma modificación:

 

CLEARPASS - GUEST

Al crear la página de autoregistro, en "NAS Vendor Settings" debemos seleccionar lo resaltado

 Es muy importante que en la dirección IP resaltada en amarillo, se añada la IP virtual de la WLC si esa dirección está definida al generar el certificado, o, si usamos un certificado wildcard, como es mi caso, ese FQDN tenga una entrada en el DNS. Al principio del blog podéis ver que la entrada wlc.**********.es está vinculada a la ip Virtual 192.0.2.1

 

 CONFIGURACIÓN WLC

La configuración de la WLC está magnificamente explicada en el blog de Ulises:

https://wifi-networking-and-more.blogspot.com/2022/03/aruba-clearpass-how-to-configure-cisco.html

La principal diferencia, es que mi caso el certificado de WebAuth es un wildcard firmado por una CA pública y que mis APs están en modo Local, en vez de en Flexconnect.

Precisamente haciendo pruebas conjuntas con Ulises, descubrimos que el comportamiento era diferente entre esos dos modos. Mientras con la SSID en FlexConnect Local Switching y el AP en Flexconnect todo parecía funcionar fluído y sin problemas, al poner los APs en modo Local, nos encontrábamos que los clientes se comportaban de formas distintas. El problema principal que encontrábamos es que ciertos clientes, tras el access-reject enviado por Clearpass como parte del proceso inicial de MAC authentication, no se asociaban a la WiFi en ningún momento. Básicamente, nunca ocurría el "On MAC Filter failure"

 

Nos quedó claro que debía tratarse de algún temporizador y me dediqué a buscar en la WLC dónde y cómo modificar esos timers hasta que encontré este post de la comunidad de Airheads:

https://community.arubanetworks.com/community-home/digestviewer/viewthread?MID=36351

La solución llevaba años publicada, pero por algún motivo parece que es complicado encontrarlo facilmente:

El temporizador no se debía modificar en la WLC, sino en Clearpass. Modificando ese valor a 0, todos mis clientes han comenzado a funcionar perfectamente independientemente de que los APs estén en modo Local o en modo Flexconnect.

Muchísimas gracias a la comunidad de Tesos de WiFi y en especial a Ulises por su ayuda y dedicarme toda una tarde (mañana para él) haciendo troubleshooting de esta configuración.

Espero que os sea de ayuda