Cisco Catalyst 9800 WLC Entegrasyon Rehberi Bu rehber, Cisco Catalyst 9800 serisi kablosuz denetleyici (WLC, sanal 9800-CL dahil) ile Useroam Cloud arasındaki misafir hotspot entegrasyonunu adım adım anlatır. Misafir, WLC'nin şifresiz misafir ağına bağlanır; telefonunda Useroam karşılama sayfası açılır (SMS, WhatsApp, oda numarası ve diğer giriş yöntemleri); kimlik doğrulaması RADIUS ile Useroam'da yapılır ve misafir internete çıkar. Başlamadan önce: WLC web arayüzüne yönetici erişimi, WLC'nin internete çıktığı genel (dış) IP adresi ve IOS-XE 17.x sürümü gerekir. Bu rehberdeki ekranlar 17.15 sürümünden alınmıştır; diğer 17.x sürümlerinde menü adları aynıdır. Useroam sunucu adresi her yerde 104.247.174.120'dir. RADIUS sunucusu, giriş sayfası adresi ve giriş öncesi izin listesi (ACL) bu IP ile yazılır. Başka bir adres kullanmayın. Controller bir firewall'un arkasında mı? Misafir girişini FortiGate, Sophos gibi bir firewall yapacaksa WLC'de bu rehberdeki ayarlara gerek yoktur; WLC yalnızca açık bir SSID yayınlar. Bu durumda ilgili firewall rehberini izleyin: FortiGate , Sophos . 1 - Useroam Paneline Cihaz Ekleme panel.useroam.com adresinden panelinize giriş yapıp Yeni Cihaz ekranını açın. Cihaz Tipi: Cisco seçin. 5651 Loglama: internet çıkışını yapan cihaz (firewall veya router) loglarını Useroam'a gönderiyorsa açın. Cihaz Adresi: [KRİTİK ADIM] WLC'nin internete çıktığı genel (dış) IP adresini yazın. WLC bir NAT arkasındaysa NAT'ın çıkış IP'si yazılır. Useroam cihazı bu IP'den tanır; RADIUS istekleri de bu IP'den gelmelidir. WLC'nin iç IP'sini (192.168.x.x, 10.x.x.x) yazmayın. Cihaz Adı: panelde göreceğiniz ad (ör. "Otel WLC"). Kaydet düğmesine basın. 2 - Kurulum Bilgilerini Panelden Alma Cihaz kaydedildikten sonra Ayarlar > Cihaz Ayarları sayfasında Kurulum sekmesini açın. Cisco WLC: External Web Auth + RADIUS kartında sonraki adımlarda kullanacağınız üç bilgi yazar; bunları bir kenara not edin: Web Auth (External) URL: http://104.247.174.120/cisco/?u=... biçiminde, cihazınıza özel giriş sayfası adresi. ?u= sonrasındaki kod cihazınızın kimliğidir; adresi olduğu gibi kopyalayın. RADIUS sunucusu ve Shared Secret: sunucu 104.247.174.120 , Auth 1812, Acct 1813 ve cihazınıza özel paylaşılan anahtar. Pre-Auth ACL: misafir giriş yapmadan önce erişebilmesi gereken adresler. 3 - RADIUS Sunucusunu Tanımlama WLC web arayüzünde Configuration > Security > AAA yolunu izleyin. Servers / Groups sekmesinde sol listeden RADIUS , üstte Servers seçiliyken + Add düğmesine basın. Name: Useroam Server Address: 104.247.174.120 Key / Confirm Key: paneldeki Shared Secret değeri (iki alana da aynısı). Auth Port: 1812 , Acct Port: 1813 Support for CoA: zorunlu değildir. Apply to Device ile kaydedin. 4 - RADIUS Sunucu Grubu Oluşturma Aynı ekranda Server Groups sekmesine geçip + Add düğmesine basın. Name: Useroam Group Type: RADIUS Dead-Time (mins): 5 Available Servers listesindeki Useroam sunucusunu > okuyla Assigned Servers listesine taşıyın. Apply to Device ile kaydedin. 5 - Kimlik Doğrulama ve Accounting Yöntem Listeleri AAA Method List sekmesine geçin. Authentication bölümünde + Add : Method List Name: Useroam_Auth Type: login Group Type: group Assigned Server Groups: Useroam grubunu taşıyın. (Görseldeki lab cihazında WLC'de başka RADIUS sunucusu olmadığı için genel radius grubu seçilidir; sizde başka sunucular da varsa mutlaka Useroam grubunu seçin.) Accounting bölümünde + Add : Method List Name: Useroam_Aco Type: identity Group Type: group , Assigned Server Groups: Useroam Accounting, panelde Aktif Misafirler ve kullanım raporlarının dolması için gereklidir. 6 - Ara Accounting ve AP Bilgisi (Komut Satırı) Aşağıdaki iki ayar web arayüzünde değil, komut satırında yapılır. Administration > Command Line Interface ekranından ya da SSH ile configure terminal modunda girin: aaa accounting update newinfo periodic 5 radius-server attribute wireless accounting call-station-id ap-macaddress-ssid Birinci satır: açık oturumlar için her 5 dakikada bir kullanım güncellemesi gönderir; aktif kullanıcı sayısı ve veri kullanımı doğru görünür. İkinci satır: accounting kayıtlarına misafirin bağlı olduğu AP'nin MAC adresi ve SSID bilgisini ekler (hangi AP'den bağlandığı). Bu ayarlardan önce açılmış oturumlar eski biçimde kalır; yeni bağlanan misafirlerde geçerli olur. 7 - Giriş Öncesi İzin Listesi (Pre-Auth ACL) Misafir giriş yapmadan önce yalnızca IP adresi alabilmeli, isim çözebilmeli ve Useroam giriş sayfasına ulaşabilmelidir. Configuration > Security > ACL yolunda + Add düğmesine basın. ACL Name: USEROAM-PREAUTH ACL Type: IPv4 Extended Kuralları sırayla Add ile ekleyin: Sıra Action Protokol Kaynak Hedef Açıklama 10 permit udp any any, port eq bootps DHCP (IP alma) 20 permit udp any, port eq bootps any DHCP dönüşü 30 permit udp any any, port eq bootpc DHCP 40 permit udp any any, port eq domain DNS sorgusu 50 permit udp any, port eq domain any DNS cevabı 60 permit ip any host 104.247.174.120 Useroam giriş sayfası 70 permit ip host 104.247.174.120 any Useroam dönüşü 80 permit ip any 157.240.0.0 0.0.255.255 WhatsApp ile giriş 90 permit ip 157.240.0.0 0.0.255.255 any WhatsApp dönüşü 100 permit ip any 31.13.0.0 0.0.255.255 WhatsApp ile giriş 110 permit ip 31.13.0.0 0.0.255.255 any WhatsApp dönüşü 80 ile 110 arası kurallar, misafirin WhatsApp ile giriş yapabilmesi içindir (doğrulama mesajı giriş tamamlanmadan WhatsApp'tan gönderilir). Portalınızda WhatsApp girişi kapalıysa bu dört kuralı eklemeyebilirsiniz. Komut satırıyla aynı liste: ip access-list extended USEROAM-PREAUTH 10 permit udp any any eq bootps 20 permit udp any eq bootps any 30 permit udp any any eq bootpc 40 permit udp any any eq domain 50 permit udp any eq domain any 60 permit ip any host 104.247.174.120 70 permit ip host 104.247.174.120 any 80 permit ip any 157.240.0.0 0.0.255.255 90 permit ip 157.240.0.0 0.0.255.255 any 100 permit ip any 31.13.0.0 0.0.255.255 110 permit ip 31.13.0.0 0.0.255.255 any 8 - Web Auth Genel Ayarı (global) Configuration > Security > Web Auth listesinde global satırına tıklayın. Virtual IPv4 Address: 192.0.2.1 (WLC'nin giriş sayfası için kullandığı sanal adres; ağınızda gerçek bir cihaza verilmemiş olmalıdır). Enable HTTP server for Web Auth: işaretli. Disable HTTP secure server for Web Auth: işaretli . Web Auth intercept HTTPs: işaretsiz. Bu adım atlanırsa giriş çalışmaz. Güvenli (https) web auth açıkken misafirin tarayıcısı, WLC'nin kendi imzaladığı sertifikayı kabul etmediği için giriş bilgisini WLC'ye hiç göndermez; misafir "giriş yapılıyor" ekranında kalır ve Useroam'a hiçbir RADIUS isteği gelmez. Update & Apply to Device ile kaydedin. WLC'nin web sunucusu açık olmalıdır (komut satırında ip http server ); kapalıysa misafir giriş sayfasına yönlendirilmez. 9 - Useroam Giriş Sayfası Parametre Haritası Aynı Web Auth ekranında + Add düğmesine basın. Parameter-map Name: useroam-portal Type: webauth Diğer alanlar varsayılan kalabilir (Maximum HTTP connections 100, Init-State Timeout 120). Kaydettikten sonra useroam-portal satırına tıklayıp Advanced sekmesini açın: Redirect URL for login: paneldeki Web Auth (External) URL değerinin tamamı ( http://104.247.174.120/cisco/?u=... ). Redirect On-Success / On-Failure: boş bırakın (giriş sonrası sayfayı Useroam yönetir). Redirect Append for AP MAC Address: ap_mac Redirect Append for Client MAC Address: client_mac Redirect Append for WLAN SSID: wlan Portal IPV4 Address: 104.247.174.120 Ekranın üstündeki Preview of the Redirect URL kutusunda, WLC'nin misafiri gönderdiği adresin önizlemesi görünür. Adresin http://104.247.174.120/cisco/?u= ile başladığını kontrol edin. WLC kendi parametrelerini ikinci bir ? ile ekler; bu normaldir, Useroam bunu doğru okur. 10 - Misafir WLAN'ı (SSID) Configuration > Tags & Profiles > WLANs yolunda + Add düğmesine basın. General sekmesi: Profile Name ve SSID: misafirlerin göreceği ağ adı (ör. Otel-Misafir ). Status: ENABLED, Broadcast SSID: ENABLED. Security > Layer2 sekmesi: güvenlik türü None (şifresiz ağ; giriş Useroam sayfasıyla yapılır). MAC Filtering işaretsiz. Security > Layer3 sekmesi: Web Policy: işaretli. Web Auth Parameter Map: useroam-portal Authentication List: Useroam_Auth Show Advanced Settings >>> bağlantısına tıklayıp Preauthentication ACL IPv4 alanında USEROAM-PREAUTH seçin. Apply to Device ile kaydedin. 11 - Policy Profili Configuration > Tags & Profiles > Policy yolunda + Add düğmesine basın (var olan bir profili de kullanabilirsiniz). General sekmesi: Name: ör. useroam-policy , Status: ENABLED. WLAN Switching Policy: AP'leriniz uzak bir lokasyonda FlexConnect modundaysa (görseldeki lab gibi) Central Switching ve Central DHCP kapalı, Central Authentication açık olur. AP'ler WLC ile aynı yerde Local moddaysa Central Switching açık kalır. Misafir VLAN'ı Access Policies sekmesinde seçilir. Advanced sekmesi: Session Timeout (sec): misafir oturumunun en uzun süresi (ör. 86400 = 24 saat). Idle Timeout (sec): hareketsiz kalan misafirin düşme süresi (ör. 3600 ). AAA Policy > Accounting List: Useroam_Aco Interim Accounting: ENABLED Apply to Device ile kaydedin. 12 - Policy Tag ve AP'lere Atama Configuration > Tags & Profiles > Tags yolunda Policy sekmesinde yeni bir tag ekleyin ya da AP'lerinizin kullandığı tag'i açın. WLAN-POLICY Maps bölümünde + Add ile misafir WLAN'ınızı (10. adım) policy profilinizle (11. adım) eşleyin. Bu tag'in misafir ağını yayınlayacak AP'lere atanmış olması gerekir: Configuration > Wireless > Access Points listesinde AP'ye tıklayıp General > Tags > Policy alanında tag'i seçin. Listedeki Policy Tag sütununda her AP'nin doğru tag'i aldığını kontrol edin. Ayarları kalıcı yapın: tüm adımlar bitince üst menüdeki kaydet (disket) simgesine basın ya da komut satırında write memory çalıştırın. Aksi halde WLC yeniden başladığında ayarlar kaybolur. 13 - Test ve Sorun Giderme Telefonla misafir SSID'sine bağlanın. Useroam giriş sayfası kendiliğinden açılmalıdır. Açılmazsa tarayıcıda http://neverssl.com adresini açın. SMS, WhatsApp veya portalınızda açık olan başka bir yöntemle giriş yapın. Panelde Misafirler > Aktif Misafirler ekranında misafiri görün; WLC'de Monitoring > Wireless > Clients ekranında misafirin durumu Run olmalıdır. Belirti Kontrol edilecek Giriş sayfası hiç açılmıyor WLAN Layer3'te Web Policy ve useroam-portal seçili mi; ACL'de 104.247.174.120 ve DNS kuralları var mı; ip http server açık mı. "Giriş yapılıyor" ekranında kalıyor 8. adım: Disable HTTP secure server for Web Auth işaretli mi, Virtual IPv4 Address 192.0.2.1 mi. Tarayıcı "güvenli olmayan form" uyarısı veriyor Redirect URL for login http://104.247.174.120/cisco/?u=... ile başlamalı; https panel adresi kullanılmamalı. "Kullanıcı adı veya şifre hatalı" RADIUS Key paneldeki Shared Secret ile aynı mı; paneldeki Cihaz Adresi WLC'nin internete çıktığı genel IP mi (RADIUS istekleri farklı bir IP'den çıkarsa Useroam cihazı tanımaz). WLC RADIUS sunucusunu "dead" gösteriyor Önünüzdeki firewall WLC'den 104.247.174.120'e UDP 1812 ve 1813 çıkışına izin veriyor mu. Komut satırından deneme: test aaa group Useroam deneme 1234 legacy (cevap "reject" gelirse bağlantı çalışıyordur). Aktif kullanıcılar panelde görünmüyor Policy profilinde Accounting List Useroam_Aco ve Interim Accounting açık mı; 6. adımdaki komutlar girildi mi.