'CISCO' 카테고리의 글 목록 (3 Page)

안녕하세요.

오늘은 cisco ise persona에 대해서 좀 더 상세히 알아보겠습니다.

저번 글에서 cisco ise persona는 4가지가 있다고 설명 하였습니다.

Policy Services Node(PSN) - Makes policy decisions, RADIUS/TACACS+ Servers

Policy Administration Node(PAN) - Single Plane of glass for ISE admin, Replication hg for all database config changes

Monitoring and Troubleshooting Node (MnT) - Reporting and logging node, syslog collector from ISE nodes

pxGrid Contoller - Facilitates sharing of conext

** PAN **

1. GUI로 기능들을 설정 할수 있습니다.

2. PAN은 다른 NODE를 SYN 합니다.

3. PAN HA - 최대 2개 Node만 지원합니다. 그리거 Active/Standby 기능만 지원 합니다.

4. GUI 설정/수정/삭제 등을 하면 PAN은 설정값을 PSN으로 Push합니다.

** PSN **

1. 인증,권한 등을 처리 합니다.

2. PSN HA, 최대 50개 까지 가능합니다. Active/Active로 동작 합니다.

3. PSN은 Network Access, Posture, Guest access, Client provisioning * Profiling 서비스를 제공합니다.

4. Radius/Tacacs기능을 수행합니다.

5. COA, Posturing and Profileling Service를 기능을 수행합니다.

6. Bulit-in CA기능도 수행합니다.

7. Authentication request 받고 인증된 사용자 또는 단말기인지를 확인 합니다.

8. PSN은 직접 External identity store 통신합니다.

** MnT **

1. Log를 수집하는 역활을 하고 Log 관련 정보를 확인 가능 합니다.

2. Log는 cisco ISE 자체 storage에 저장 됩니다.

3. Troubleshoot에 필요한 Tools도 제공합니다.

4. MnT HA Node는 최대 2개입니다. - Active/Standby만 지원

5. Active/Standby node 모두다 Log를 저장합니다.

6. Report를 생성 할 수 있습니다.

7. MnT는 PAn, PSN, RADIUS & TACACS 등에 로그들 수집합니다.

**pxGrid **

1. 외부 Third pard vendor랑 연동 할때 사용 합니다.

아래 사진에 보시면 Operations이 MnT에 해당 됩니다.

1. Administration -> system -> Deployment 클릭 합니다.

2. ise01를 클릭 합니다.

위에 사진처럼 현재 어떤 Persona가 Enable되어져 있고 동작중인지 확인 가능 합니다.

위에 사진에 pxGrid를 Enable하면, 현재 cisco ISE standalone으로 동작중이고 아래처럼 4가지 Persona기능을 하고 있습니다.

만약에 HA로 구성하면 어떤 ISE Node가 어떤 Persona기능을 할지 선택 가능 합니다.

지금 까지 [2025][CISCO ISE#17] - Personas 글을 읽어주셔서 감사합니다.

저작자표시 (새창열림)

'CISCO > CISCO ISE' 카테고리의 다른 글

[2025][CISCO ISE#19] - License Register (0)	2025.01.06
[2025][CISCO ISE#18] - License (0)	2025.01.06
[2025][CISCO ISE#16] - Deployment Terminology (0)	2025.01.06
[2025][CISCO ISE#15] - Dashboard (0)	2025.01.06
[2025][CISCO ISE#14] - WLC configuration (0)	2025.01.05

안녕하세요.

이번에는 Cisco ISE Deployment Terminology에 대해서 알아보겠습니다.

기본적으로 아래 용어를 많이 사용 합니다.

Service: 서비스는 네트워크 액세스, 프로파일러, 상태, 보안 그룹 액세스, 모니터링 및 문제 해결 등과 같이 페르소나가 제공하는 특정 기능입니다.

Node: 노드는 Cisco ISE 소프트웨어를 실행하는 개별 인스턴스입니다. Cisco ISE는 어플라이언스로 사용할 수 있을 뿐만 아니라 VMware에서 실행할 수 있는 소프트웨어로도 사용할 수 있습니다. Cisco ISE 소프트웨어를 실행하는 각 인스턴스(어플라이언스 또는 VMware)를 노드라고 합니다.

Persona: 노드의 Persona는 노드가 제공하는 서비스를 결정합니다. Cisco ISE 노드는 관리, 정책 서비스, 모니터링, pxGrid 등의 Persona 는 관리 포털을 통해 사용할 수 있는 메뉴 옵션은 Cisco ISE 노드가 맡은 역할과 Persona에 따라 다릅니다.

Deployment Model: Standalone 또는 High Availability 등으로 구성 가능 합니다.

여기에서 Persona에 대해서 더 알아보도록 하겠습니다.

Policy Services Node(PSN) - Makes policy decisions, RADIUS/TACACS+ Servers

Policy Administration Node(PAN) - Single Plane of glass for ISE admin, Replication hg for all database config changes

Monitoring and Troubleshooting Node (MnT) - Reporting and logging node, syslog collector from ISE nodes

pxGrid Contoller - Facilitates sharing of conext

Standard-alone일때 동작 방식은 아래와 같습니다.

High Availablity

PAN - Active/Standby 역활만 가능 합니다. Active/Active 지원하지 않습니다.

PSN - Active/Active 역활만 가능 합니다.

MnT - Active/Standby 역활만 가능 합니다. Active/Active 지원하지 않습니다.

pxGrid - Active/Active 역활만 가능 합니다.

Reference: 자세한 내용은 Cisco 홈페이지를 확인 부탁드립니다.

https://www.cisco.com/c/en/us/td/docs/security/ise/3-0/admin_guide/b_ISE_admin_3_0/b_ISE_admin_30_deployment.html

Cisco Identity Services Engine Administrator Guide, Release 3.0 - Deployment of Cisco ISE [Cisco Identity Services Engine 3.0]

Deployment of Cisco ISE

www.cisco.com

cisco ISE design guide

https://www.cisco.com/c/en/us/td/docs/security/ise/performance_and_scalability/b_ise_perf_and_scale.html

Performance and Scalability Guide for Cisco Identity Services Engine

This document lists the performance and scalability metrics for Cisco ISE.

www.cisco.com

지금까지 [2025][CISCO ISE#16] - Deployment Terminology 글을 읽어주셔서 감사합니다.

저작자표시 (새창열림)

'CISCO > CISCO ISE' 카테고리의 다른 글

[2025][CISCO ISE#18] - License (0)	2025.01.06
[2025][CISCO ISE#17] - Personas (1)	2025.01.06
[2025][CISCO ISE#15] - Dashboard (0)	2025.01.06
[2025][CISCO ISE#14] - WLC configuration (0)	2025.01.05
[2025][CISCO ISE#13] - File Server (1)	2025.01.05

안녕하세요.

이번에는 Cisco ISE를 Dashboard에 대해서 알아보겠습니다.

1. Cisco ISE를 로그인하고 아래 햄버거 버튼을 클릭 합니다.

아래 사진처럼 메인 메뉴를 보실수 있습니다.

Context Visibility - Information for endpoints, Users and Nework Access Devices

Operation: Tolls for Radius, Tacacs logs and session and provide troubleshoot tools.

Policy: Tools for managing network security in the areas of authentication, authorization, profiling, posture, and client provisioning

Administration: tools for maning Cisco ISE nodes, licneses, Certification, Network Devicess, Users, Endpoints and Guest services

Work Ceters: additional futures will be provided

Cisco ISE Main 화면에 접속 하시면 아래처럼 Total Endpoints, Active Endpoints 등이 표시 됩니다.

이 부분은 삭제 할수 없고 현재 Devices관련 Total, Active Rejected, 등 정보를 확인 할 수 있습니다.

아래 사진들은 Dashboard에 추가 삭제가 가능 합니다.

Add Dashlet를 클릭 합니다.

아래 같은 정보들을 삭제 또는 추가 할 수 있습니다.

아래 사진을 보시면 어떤 내용을 표시 되는지 확인 가능 합니다. 상세 설명은 생략 하겠습니다.

GUI에서 ISE정보도 확인 가능 합니다.

지금까지 [2025][CISCO ISE#15] - Dashboard 글을 읽어주셔서 감사합니다.

저작자표시 (새창열림)

'CISCO > CISCO ISE' 카테고리의 다른 글

[2025][CISCO ISE#17] - Personas (1)	2025.01.06
[2025][CISCO ISE#16] - Deployment Terminology (0)	2025.01.06
[2025][CISCO ISE#14] - WLC configuration (0)	2025.01.05
[2025][CISCO ISE#13] - File Server (1)	2025.01.05
[2025][CISCO ISE#12] - Certification Server (CA) (0)	2025.01.05

안녕하세요.

Cisco ISE 테스트를 위해서 WLC를 설치 하고 기본 설정을 해보겠습니다.

Diagram

WLC g1 - Data interface

WLC g3 - MGMT interface - vrf mgmt

스위치에서 기본 설정을 합니다.

interface GigabitEthernet0/0
switchport access vlan 10
switchport mode access
spanning-tree portfast edge
!
interface GigabitEthernet0/1
switchport trunk encapsulation dot1q
switchport mode trunk
media-type rj45
negotiation auto
spanning-tree portfast edge
!
interface GigabitEthernet0/2
switchport access vlan 10
switchport mode access
media-type rj45
negotiation auto
spanning-tree portfast edge
!
interface Vlan10
ip address 192.168.10.199 255.255.255.0
!
ip route 0.0.0.0 0.0.0.0 192.168.10.253
!

WLC 기본 설정을 합니다.

Would you like to enter the initial configuration dialog? [yes/no]: no
Enter enable secret:
-------------------------------------------------
  Enter enable secret again:

WARNING: ** NOTICE **  The H.323 protocol is no longer supported from IOS-XE release 17.6.1. Please consider using SIP for multimedia applications.
*************
  Confirm enable secret: *************

The following configuration command script was created:

enable secret 9 $9$WtxMWRGzpUsGyk$nIpaaVZw5m4YRyF6VpX6efsCrbbafrMSrySsmmLdUdY
!
end

[0] Go to the IOS command prompt without saving this config.
[1] Return back to the setup without saving this config.
[2] Save this configuration to nvram and exit.

Enter your selection: 0
% You can enter the setup, by typing setup at IOS command prompt

Press RETURN to get started!

수동으로 WLC를 설정 합니다.

vrf definition MGMT
address-family ipv4
exit-address-family

interface GigabitEthernet3
no switchport
vrf forwarding MGMT
ip address 192.168.10.195 255.255.255.0

ip route vrf MGMT 0.0.0.0 0.0.0.0 192.168.10.253

username kevin privilege 15 secret ******

WLC#
WLC#
WLC#conf t
Enter configuration commands, one per line.  End with CNTL/Z.
WLC(config)#vrf definition MGMT
WLC(config-vrf)#address-family ipv4
WLC(config-vrf-af)#exit-address-family
WLC(config-vrf)#
WLC(config-vrf)#interface GigabitEthernet3
WLC(config-if)#no switchport
WLC(config-if)#vrf forwarding MGMT
WLC(config-if)#ip address 192.168.10.195 255.255.255.0
WLC(config-if)#
WLC(config-if)#ip route vrf MGMT 0.0.0.0 0.0.0.0 192.168.10.253
WLC(config)#
WLC(config)#username kevin privilege 15 secret Kenshin1022^^
WLC(config)#
WLC(config)#
WLC(config)#
WLC(config)#
*Jan  5 11:03:54.498: %LINEPROTO-5-UPDOWN: Line protocol on Interface GigabitEthernet3, changed state to down
WLC(config)#
WLC(config)#
WLC(config)#
*Jan  5 11:04:02.394: %LINK-3-UPDOWN: Interface GigabitEthernet3, changed state to up
*Jan  5 11:04:03.393: %LINEPROTO-5-UPDOWN: Line protocol on Interface GigabitEthernet3, changed state to up
WLC(config)#
WLC(config)#end
WLC#wr

WLC#show ip int brie
Interface              IP-Address      OK? Method Status                Protocol
GigabitEthernet1       unassigned      YES unset  up                    up
GigabitEthernet2       unassigned      YES unset  down                  down
GigabitEthernet3       192.168.10.195  YES manual up                    up
Vlan1

WLC#
WLC#show ip route vrf MGMT

Routing Table: MGMT
Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2, m - OMP
       n - NAT, Ni - NAT inside, No - NAT outside, Nd - NAT DIA
       i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
       ia - IS-IS inter area, * - candidate default, U - per-user static route
       H - NHRP, G - NHRP registered, g - NHRP registration summary
       o - ODR, P - periodic downloaded static route, l - LISP
       a - application route
       + - replicated route, % - next hop override, p - overrides from PfR
       & - replicated local route overrides by connected

Gateway of last resort is 192.168.10.253 to network 0.0.0.0

S*    0.0.0.0/0 [1/0] via 192.168.10.253
      192.168.10.0/24 is variably subnetted, 2 subnets, 2 masks
C        192.168.10.0/24 is directly connected, GigabitEthernet3
L        192.168.10.195/32 is directly connected, GigabitEthernet3
WLC#

Ping Test

.168.10.195의 응답: 바이트=32 시간=9ms TTL=254
192.168.10.195의 응답: 바이트=32 시간=11ms TTL=254
192.168.10.195의 응답: 바이트=32 시간=7ms TTL=254
192.168.10.195의 응답: 바이트=32 시간=10ms TTL=254
192.168.10.195의 응답: 바이트=32 시간=8ms TTL=254
192.168.10.195의 응답: 바이트=32 시간=8ms TTL=254
192.168.10.195의 응답: 바이트=32 시간=8ms TTL=254
192.168.10.195의 응답: 바이트=32 시간=10ms TTL=254
192.168.10.195의 응답: 바이트=32 시간=9ms TTL=254
192.168.10.195의 응답: 바이트=32 시간=13ms TTL=254
192.168.10.195의 응답: 바이트=32 시간=9ms TTL=254
192.168.10.195의 응답: 바이트=32 시간=11ms TTL=254
192.168.10.195의 응답: 바이트=32 시간=11ms TTL=254
192.168.10.195의 응답: 바이트=32 시간=10ms TTL=254
192.168.10.195의 응답: 바이트=32 시간=9ms TTL=254
192.168.10.195의 응답: 바이트=32 시간=11ms TTL=254
192.168.10.195의 응답: 바이트=32 시간=11ms TTL=254
192.168.10.195의 응답: 바이트=32 시간=9ms TTL=254
192.168.10.195의 응답: 바이트=32 시간=8ms TTL=254
192.168.10.195의 응답: 바이트=32 시간=10ms TTL=254
192.168.10.195의 응답: 바이트=32 시간=9ms TTL=254
192.168.10.195의 응답: 바이트=32 시간=10ms TTL=254
192.168.10.195의 응답: 바이트=32 시간=9ms TTL=254
192.168.10.195의 응답: 바이트=32 시간=11ms TTL=254
192.168.10.195의 응답: 바이트=32 시간=10ms TTL=254
192.168.10.195의 응답: 바이트=32 시간=11ms TTL=254
192.168.10.195의 응답: 바이트=32 시간=10ms TTL=254

아주 간단한 설정만 하기 추후에 필요한 부분은 수동으로 설정 하도록 하겠습니다.

설정이 완료 되면 다시 로그인을 합니다.

지금까지 [2025][CISCO ISE#14] - WLC configuration 글을 읽어주셔서 감사합니다.

저작자표시 (새창열림)

'CISCO > CISCO ISE' 카테고리의 다른 글

[2025][CISCO ISE#16] - Deployment Terminology (0)	2025.01.06
[2025][CISCO ISE#15] - Dashboard (0)	2025.01.06
[2025][CISCO ISE#13] - File Server (1)	2025.01.05
[2025][CISCO ISE#12] - Certification Server (CA) (0)	2025.01.05
[2025][CISCO ISE#11] - NTP Server Configuration (0)	2025.01.04

안녕하세요.

cisco ISE에 설정값등을 백업하고 복구 하기 위해서 windows server에 file 서버를 구축해 보겠습니다.

1. Add Roles and Features를 선택 합니다.

2. Next버튼을 클릭 합니다.

3. Next버튼을 클릭 합니다.

4. Next버튼을 클릭 합니다.

5. 아래처럼 선택하고 next버튼을 클릭 합니다.

6. Next버튼을 클릭 합니다.

7. Install버튼을 클릭 합니다.

8. 설치가 완료 되면 Close버튼을 클릭 합니다.

9. FTP설정하기

IIS Manager 클릭 하기

10. 폴더를 생성하고 아래처럼 선택 합니다.

11. 아래처럼 설정하고 Next버튼을 클릭 합니다.

12. 아래처럼 설정하고 Finish버튼을 클릭 합니다.

ISE_BACKUP 폴더에 텍스트 파일을 하나 만들고 PC에서 아래처럼 테스트 합니다.

C:\Users\USER>ftp 192.168.10.193
192.168.10.193에 연결되었습니다.
220 Microsoft FTP Service
200 OPTS UTF8 command successful - UTF8 encoding now ON.
사용자(192.168.10.193:(none)): administrator
331 Password required
암호:

230 User logged in.
ftp> dir
200 PORT command successful.
125 Data connection already open; Transfer starting.
01-05-25 05:19PM 0 test.txt
226 Transfer complete.
ftp: 0.00초 52.00KB/초
ftp>

위에 처럼 test.txt 파일이 정상적으로 보입니다.

FTP서버가 잘 동작중에 있습니다.

저작자표시 (새창열림)

'CISCO > CISCO ISE' 카테고리의 다른 글

[2025][CISCO ISE#15] - Dashboard (0)	2025.01.06
[2025][CISCO ISE#14] - WLC configuration (0)	2025.01.05
[2025][CISCO ISE#12] - Certification Server (CA) (0)	2025.01.05
[2025][CISCO ISE#11] - NTP Server Configuration (0)	2025.01.04
[2025][CISCO ISE#10] - DHCP configuration (0)	2025.01.04

안녕하세요.

오늘은 cisco ISE 실습을 위해서 Windows Server에서 Certification Server (CA)를 만들어 보겠습니다.

0. Add Roles and Features

1. Next를 클릭 합니다.

2. Next를 클릭 합니다.

3. Next버튼을 클릭 합니다.

4. Next버튼을 클릭 합니다.

5. Next버튼을 클릭 합니다.

6. Next버튼을 클릭 합니다.

7. 아래 부분을 모두 체크 하고 Next버튼을 클릭 합니다.

8. Next버튼을 클릭 합니다.

9. 디폴트값으로 두고 Next버튼을 클릭 합니다.

10. Install 버튼을 클릭 합니다.

11. CA서버를 설정 하기 위해서 아래 처럼 클릭 합니다.

12. Next버튼을 클릭 합니다.

13. 아래처럼 박스 3개를 선택 합니다.

14. Next를 선택 합니다.

15. Next를 선택 합니다.

16. Next를 선택 합니다.

17. Next를 선택 합니다.

18. Next를 선택 합니다.

19. Next를 선택 합니다.

20. Next를 선택 합니다.

21. Configure를 선택 합니다.

22. close버튼을 클릭 합니다.

23. Yes를 클릭 합니다.

24. Next를 클릭 합니다.

25. 아래처럼 체크 박스에 체크를 합니다.

administrator 계정에 IIS 그룹에 속하지 않기 때문에 에러 메시지가 뜹니다.

아래 링크 클릭 합니다.

add to a group를 선택 합니다.

Administrator 계정에 IIS_IUSERS 그룹 추가하기

그리고 계정을 다시 입력하면 제대로 적용 됩니다.

26. Next버튼을 클릭 합니다.

27. Next버튼을 클릭 합니다.

28. Next버튼을 클릭 합니다.

29. Next버튼을 클릭 합니다.

30. Next버튼을 클릭 합니다.

31. administrator 계정으로 로그인 합니다. 그리고 Next버튼을 클릭 합니다.

32. Next버튼을 클릭 합니다.

33. Next버튼을 클릭 합니다.

34. Configure 버튼을 클릭 합니다.

35. Close버튼을 클릭 합니다.

36. 제대로 동작하는지 확인하기

http://192.168.10.93/certsrv

입력하고 로그인 합니다.

위에 처럼 접속 되면 CA서버가 제대로 동작중입니다.

저작자표시 (새창열림)

'CISCO > CISCO ISE' 카테고리의 다른 글

[2025][CISCO ISE#14] - WLC configuration (0)	2025.01.05
[2025][CISCO ISE#13] - File Server (1)	2025.01.05
[2025][CISCO ISE#11] - NTP Server Configuration (0)	2025.01.04
[2025][CISCO ISE#10] - DHCP configuration (0)	2025.01.04
[2025][CISCO ISE#9] - DNS configuration (0)	2025.01.04

안녕하세요.

cisco ISE 테스트를 위해서 이번에는 서버에 NTP server를 설정해보겠습니다.

Diagram

1. run

gpedit.msc 입력

2. 아래 경로로가서 Enable Windows NTP Server를 클릭 합니다.

3. Global Configuration Setting를 클릭 합니다.

4. Service를 클릭 합니다.

정상적으로 서비스가 동작중에 있습니다.

윈도우서버에서 시간을 확인후 만약에 수정이 필요하면 아래처럼 수정합니다.

그럼 테스트를 해보겠습니다.

1. SW01 더블 클릭 합니다.

2. 기본 설정을 합니다

Switch>en
Switch#conf t
Switch(config)#ho SW01
SW01(config)#vlan 10
SW01(config)#int vlan 10
SW01(config-if)#ip add 192.168.10.199 255.255.255.0
SW01(config-if)#ip route 0.0.0.0 0.0.0.0 192.168.10.253
SW01(config)#int ra g0/0 -3
SW01(config-if-range)#sw mode access
SW01(config-if-range)#sw ac vlan 10
SW01(config-if-range)#spanning-tree portfast

3. NTP Server ip주소를 설정 합니다.

SW01(config)#ntp server 192.168.10.193

4. NTP 서버랑 시간이 Syn 되었는지 확인하는 방법

SW01#show ntp status

지금까지 [2025][CISCO ISE#11] - NTP Server Configuration 글을 읽어주셔서 감사합니다.

저작자표시 (새창열림)

'CISCO > CISCO ISE' 카테고리의 다른 글

[2025][CISCO ISE#13] - File Server (1)	2025.01.05
[2025][CISCO ISE#12] - Certification Server (CA) (0)	2025.01.05
[2025][CISCO ISE#10] - DHCP configuration (0)	2025.01.04
[2025][CISCO ISE#9] - DNS configuration (0)	2025.01.04
[2025][CISCO ISE#8] - create ou, user and group (0)	2025.01.04

안녕하세요.

Cisco ISE 테스트를 위해서 이번에는 서버에서 DHCP 설정해보겠습니다.

Diagram

0. manage -> add roles and features

1. Next를 클릭 합니다.

2. Next를 클릭 합니다.

3.Next를 클릭 합니다.

4. Next를 클릭 합니다.

5. Next를 클릭 합니다.

6. Next를 클릭 합니다.

7. Install 버튼을 클릭 합니다.

설치가 완료 될때까지 기다립니다.

8. 아래 버튼을 클릭 합니다.

9. Next 버튼을 클릭 합니다.

10. commit버튼을 클릭 합니다.

11. close버튼을 클릭합니다.

12. DHCP 설정

13. Next를 클릭 합니다.

Next를 클릭 합니다.

Next를 클릭 합니다.

Next를 클릭 합니다.

Gateway 입력하고 Next를 클릭합니다.

8.8.8.8추가 합니다.

1차 DNS 서버 자체

2차 google dns

Next를 클릭 합니다.

Next를 클릭 합니다.

Finish를 클릭 합니다.

지금까지 [2025][CISCO ISE#10] - DHCP configuration 글을 읽어주셔서 감사합니다.

저작자표시 (새창열림)

'CISCO > CISCO ISE' 카테고리의 다른 글

[2025][CISCO ISE#12] - Certification Server (CA) (0)	2025.01.05
[2025][CISCO ISE#11] - NTP Server Configuration (0)	2025.01.04
[2025][CISCO ISE#9] - DNS configuration (0)	2025.01.04
[2025][CISCO ISE#8] - create ou, user and group (0)	2025.01.04
[2025][CISCO ISE#7] - Active Directory install (0)	2025.01.04

안녕하세요.

이번장에서는 cisco ISE테스트를 위해서 Server에서 DNS를 설정해보겠습니다.

Diagram

0. Tools -> DNS 클릭 합니다.

AD를 설치하면 DNS도 설치가 됩니다.

test.local이 아래 사진처럼 보입니다.

1. Revese zone를 생성합니다.

2. Next 클릭 합니다.

3. Next를 클릭합니다.

4. Next를 클릭 합니다.

5. Next를 클릭 합니다.

6. 192.168.10를 입력하고 Next를 클릭 합니다.

7. Next를 클릭 합니다.

8. PTR를 생성 합니다.

서버 끝자리 IP주소를 입력하고 Browse를 클릭 합니다.

서버에 hostname를 클릭합니다.

제 서버에 hostname은 first입니다.

9. ok버튼을 클릭 합니다.

10. A레코드를 생성합니다.

ise01 - 192.168.10.191

ise02 - 192.168.10.192

11. nslookup으로 테스트

지금까지 [2025][CISCO ISE#9] - DNS configuration 글을 읽어주셔서 감사합니다.

저작자표시 (새창열림)

'CISCO > CISCO ISE' 카테고리의 다른 글

[2025][CISCO ISE#11] - NTP Server Configuration (0)	2025.01.04
[2025][CISCO ISE#10] - DHCP configuration (0)	2025.01.04
[2025][CISCO ISE#8] - create ou, user and group (0)	2025.01.04
[2025][CISCO ISE#7] - Active Directory install (0)	2025.01.04
[2025][CISCO ISE#6] - test diagram (0)	2025.01.04

안녕하세요.

이전 글에 Cisco ISE 테스트를 위해서 Active Directory를 설치 했습니다.

테스트를 위해서 유저랑 그룹을 생성 하겠습니다.

Diagram

0. Tools -> Active Directory Users and Computers를 클릭 합니다.

1.New -> Organizational Unit

ISE 폴더를 생성 합니다.

그리고 ISE OU폴더에 Group과 User를 생성합니다.

2. Group를 생성 합니다.

Employees

위와 같이 3개 그룹을 더 생성 합니다.

Guest Group, Contractors Group, Remote Users Group

총 4개에 그룹이 생성 되었습니다.

3. 이번에는 User를 생성 합니다.

Employee01 -> Employee Group

Employee02 -> Employee Group

Contractor01 -> Contractor Group

Contractor02 -> Contractor Group

Guest01 -> Guest Group

Guest02 -> Guest Group

RemoteUser01 -> RemoteUser01 Group

RemoteUser02 -> RemoteUser01 Group

그룹을 할당 합니다.

위에처럼 유저를 생성하고 나머지 유저들도 생성하고 그룹에 할당합니다.

지금까지 [2025][CISCO ISE#8] - create user and group글을 읽어주셔서 감사합니다.

다음글은 DNS 설정해보겠습니다.

저작자표시 (새창열림)

'CISCO > CISCO ISE' 카테고리의 다른 글

[2025][CISCO ISE#10] - DHCP configuration (0)	2025.01.04
[2025][CISCO ISE#9] - DNS configuration (0)	2025.01.04
[2025][CISCO ISE#7] - Active Directory install (0)	2025.01.04
[2025][CISCO ISE#6] - test diagram (0)	2025.01.04
[2025][CISCO ISE#5] - admin password change on CLI (0)	2025.01.04

안녕하세요.

이번에는 cisco ISE 실습을 위해서 Active Directory를 윈도우 서버에 설치해보겠습니다.

Diagram

1. Add Roles and Features 클릭 합니다.

2. Next를 클릭 합니다.

3. next를 클릭 합니다.

4. Next를 클릭 합니다.

5. Active Directory Domain Services를 클릭 하고 next버튼을 클릭 합니다.

6. Next를 클릭 합니다.

7. Restart에 체크하고 Install 버튼을 클릭 합니다.

8. Close 버튼을 클릭 합니다.

9. Promote this server to a domain controller를 클릭 합니다.

10. 아래처럼 입력 합니다.

11. 아래처럼 입력 합니다.

12. Next버튼을 클릭 합니다.

13. NetBios는 디폴트 값을 사용 합니다. Next를 클릭 합니다.

14. next를 클릭 합니다.

15. Next를 클릭 합니다.

16. Install를 클릭 합니다.

17. 설치가 완료 되면 자동으로 재부팅이 됩니다.

아래 처럼 설치가 완료 되었습니다.

테스트를 위한 기본설정은 다음 장에서 하겠습니다.

지금까지 [2025][CISCO ISE#7] - Active Directory install글을 읽어주셔서 감사합니다.

저작자표시 (새창열림)

'CISCO > CISCO ISE' 카테고리의 다른 글

[2025][CISCO ISE#9] - DNS configuration (0)	2025.01.04
[2025][CISCO ISE#8] - create ou, user and group (0)	2025.01.04
[2025][CISCO ISE#6] - test diagram (0)	2025.01.04
[2025][CISCO ISE#5] - admin password change on CLI (0)	2025.01.04
[2025][CISCO ISE#4] - basic CLI command - 02 (0)	2025.01.04

안녕하세요.

이번에는 Cisco ISE를 실습하기 위해서 아래와 같이 EVE-NG를 통해서 구성해 보겠습니다.

ISE01 - 192.168.10.191 - VMware ESXi안에서 설치
ISE02 - 192.168.10.192 - VMware ESXi안에서 설치

WINSERVER01 - 192.168.10.193 - VMware ESXi안에서 설치

WINSERVER02 - 192.168.10.194 - VMware ESXi안에서 설치

WLC01 - 192.168.10.195 - EVE-NG

WLC02 - 192.168.10.196 - EVE-NG

PC01 - 192.168.10.197 - EVE-NG 802.1x테스트 하기 위해서는 PC가 SW01에 직접 연결되어야 하기 때문에, PC를 EVE-NG안에다가 설치

PC02 - 192.168.10.198 - EVE-NG 안에다가 설치

SW01 - 192.168.10.199 - EVE-NG 안에다가 설치.

EVE-NG에서 아래처럼 구성 하였습니다.

WLC01만 생성 하곘습니다.

SW01이 INTERNET 구름을 타고 실제 PALOALTO 방화벽에 연결 됩니다.

IP: 192.168.10.0

Subnet: 255.255.255.0

GW: 192.168.10.253 -> PALOALTO LAN IP

지금까지 [2024][CISCO ISE#6] - test diagram 글을 읽어주셔서 감사합니다.

저작자표시 (새창열림)

'CISCO > CISCO ISE' 카테고리의 다른 글

[2025][CISCO ISE#8] - create ou, user and group (0)	2025.01.04
[2025][CISCO ISE#7] - Active Directory install (0)	2025.01.04
[2025][CISCO ISE#5] - admin password change on CLI (0)	2025.01.04
[2025][CISCO ISE#4] - basic CLI command - 02 (0)	2025.01.04
[2025][CISCO ISE#3] - basic CLI command - 01 (0)	2025.01.04

안녕하세요.

이번에는 cisco ise admin cli에서 변경해 보겠습니다.

cisco ise를 설치 하였는데. GUI 접속시 pasword가 계속 틀리는 경우 이미 CLI모드에서 로그인이 완료 된 상태라면 아래처럼 CLI에서 곧바로 admin 계정에 패스워드를 변경 가능 합니다.

application reset-passwd ise admin

ise01/admin#application reset-passwd ise admin
Enter new password:
Confirm new password:

그리고 https://ise ip주소를 입력하고 admin password를 입력하고 로그인 합니다.

저작자표시 (새창열림)

'CISCO > CISCO ISE' 카테고리의 다른 글

[2025][CISCO ISE#7] - Active Directory install (0)	2025.01.04
[2025][CISCO ISE#6] - test diagram (0)	2025.01.04
[2025][CISCO ISE#4] - basic CLI command - 02 (0)	2025.01.04
[2025][CISCO ISE#3] - basic CLI command - 01 (0)	2025.01.04
[2024][CISCO ISE#2] ISE서버 Patch Update하기 (0)	2024.07.10

안녕하세요.

이번에는 저번 글에 이어서 추가적으로 cisco ise basic cli command에 대해서 알아보겠습니다.

1. backup status 확인 명령어

show backup status

%% Configuration backup status
%% ----------------------------
% No data found. Try 'show backup history' or ISE operation audit report

%% Operation backup status
%% ------------------------
% No data found. Try 'show backup history' or ISE operation audit report
ise01/admin#

2. backup history 확인 명령어

백업한적이 없어서 관련 내용이 없음

ise01/admin#show backup history
ise01/admin#

3. cdp 네이버 확인

ise01/admin#show cdp neighbors

ise01/admin#

4. NTP 시간 확인

ise01/admin#show ntp
Configured NTP Servers:
         time.nist.gov
Reference ID    : 84A36001 (time-a-b.nist.gov)
Stratum         : 2
Ref time (UTC)  : Sat Jan 04 09:00:17 2025
System time     : 0.000150862 seconds slow of NTP time
Last offset     : +0.000016717 seconds
RMS offset      : 0.000380872 seconds
Frequency       : 19.168 ppm slow
Residual freq   : -0.000 ppm
Skew            : 0.078 ppm
Root delay      : 0.198001564 seconds
Root dispersion : 0.002744964 seconds
Update interval : 1043.7 seconds
Leap status     : Normal

210 Number of sources = 1
MS Name/IP address         Stratum Poll Reach LastRx Last sample
===============================================================================
^* time-a-b.nist.gov             1  10   377   978  -2242us[-2226us] +/-  103ms

M indicates the mode of the source.
^ server, = peer, # local reference clock.

S indicates the state of the sources.
* Current time source, + Candidate, x False ticker, ? Connectivity lost, ~ Too much variability

Warning: Output results may conflict during periods of changing synchronization.
ise01/admin#

5. 현재 유저 확인

ise01/admin#show users

USERNAME         ROLE   HOST                     TTY      LOGIN DATETIME

admin            Admin  172.16.10.20             pts/0    Sat Jan  4 08:52:24 2025

-------------------
DETACHED SESSIONS:
-------------------

USERNAME             ROLE                 STARTDATE

% No disonnected user sessions present

ise01/admin#

6. timezone 확인

ise01/admin#show timezone
UTC
ise01/admin#

7. 라우팅 테이블 확인

ise01/admin#show ip route

Destination          Gateway              Iface
-----------          -------              -----
default              192.168.10.253       eth0
169.254.2.0/24       0.0.0.0              cni-podman1
169.254.4.0/24       0.0.0.0              cni-podman2
192.168.10.0/24      0.0.0.0              eth0
ise01/admin#

8. logging 확인

ise01/admin#show logging system
    5147905 Jan 04 2025 09:17:55  ade/ADE.log
      29677 Dec 31 2024 03:40:45  anaconda/anaconda.log
       3366 Dec 31 2024 03:40:45  anaconda/dbus.log
       3195 Dec 31 2024 03:40:45  anaconda/dnf.librepo.log
        120 Dec 31 2024 03:40:45  anaconda/hawkey.log
    2484919 Dec 31 2024 03:40:45  anaconda/journal.log
       1559 Dec 31 2024 03:40:45  anaconda/ks-script-caesfgpm.log
          0 Dec 31 2024 03:40:45  anaconda/ks-script-f16lj7nf.log
          0 Dec 31 2024 03:40:45  anaconda/ks-script-geecaiup.log
          0 Dec 31 2024 03:40:45  anaconda/ks-script-mlj3w0uu.log
          0 Dec 31 2024 03:40:45  anaconda/ks-script-n5tsd_t9.log
         27 Dec 31 2024 03:40:45  anaconda/ks-script-pg6uv0jk.log
      28057 Dec 31 2024 03:40:45  anaconda/lvm.log
     416289 Dec 31 2024 03:40:45  anaconda/packaging.log
       8579 Dec 31 2024 03:40:45  anaconda/program.log
     274997 Dec 31 2024 03:40:45  anaconda/storage.log
     949201 Dec 31 2024 03:40:45  anaconda/syslog
    1880031 Jan 04 2025 09:17:56  audit/audit.log
    8388726 Jan 04 2025 09:05:29  audit/audit.log.1
    8388886 Jan 04 2025 07:03:20  audit/audit.log.2
    8388687 Jan 04 2025 04:32:46  audit/audit.log.3
    8388878 Jan 04 2025 02:00:42  audit/audit.log.4
        560 Dec 31 2024 05:14:40  boot.log
          0 Dec 31 2024 03:23:40  btmp
    2299981 Jan 04 2025 09:17:56  confd/confd-audit.log
          0 Dec 31 2024 04:29:06  confd/confd-browser.log
       7222 Jan 04 2025 09:07:37  confd/confd-devel.log
      12320 Dec 31 2024 05:27:31  confd/confd-error.log.1
         18 Dec 31 2024 05:14:53  confd/confd-error.log.idx
         13 Dec 31 2024 05:14:53  confd/confd-error.log.siz
          0 Dec 31 2024 04:28:54  confd/confd-netconf.log
      43873 Dec 31 2024 05:15:07  confd/confd-startconfig.log
      61536 Jan 04 2025 09:17:56  confd/confd.log
      12361 Dec 31 2024 05:27:31  confd/localhost:8008.access
     355991 Jan 04 2025 09:09:22  confd/localhost:9888.access
     217380 Jan 04 2025 09:15:02  cron
      31552 Jan 04 2025 08:30:02  dnf.librepo.log
      95976 Jan 04 2025 08:30:02  dnf.log
       3944 Jan 04 2025 08:30:02  dnf.rpm.log
      32032 Dec 31 2024 04:38:21  faillog
    8388608 Jan 04 2025 09:17:56  journal/dbbe2fd2b5a54ad2a4f66f9832ce8eeb/system.journal
   15728640 Jan 01 2025 07:20:01  journal/dbbe2fd2b5a54ad2a4f66f9832ce8eeb/system@909543f9760543a8952a757be3c846d2-000000000000529f-00062a9695a585e3.journal
   15728640 Jan 01 2025 18:40:38  journal/dbbe2fd2b5a54ad2a4f66f9832ce8eeb/system@909543f9760543a8952a757be3c846d2-0000000000007ef4-00062a9fdfafcf96.journal
   15728640 Jan 02 2025 06:00:01  journal/dbbe2fd2b5a54ad2a4f66f9832ce8eeb/system@909543f9760543a8952a757be3c846d2-000000000000ab5d-00062aa961ca3de2.journal
   15728640 Jan 02 2025 17:32:32  journal/dbbe2fd2b5a54ad2a4f66f9832ce8eeb/system@909543f9760543a8952a757be3c846d2-000000000000d79d-00062ab2df73367a.journal
   15728640 Jan 03 2025 04:37:55  journal/dbbe2fd2b5a54ad2a4f66f9832ce8eeb/system@909543f9760543a8952a757be3c846d2-00000000000103e6-00062abc8c1003b8.journal
   15728640 Jan 03 2025 15:55:09  journal/dbbe2fd2b5a54ad2a4f66f9832ce8eeb/system@909543f9760543a8952a757be3c846d2-0000000000013040-00062ac5d7a6fc7d.journal
   15728640 Jan 04 2025 03:10:02  journal/dbbe2fd2b5a54ad2a4f66f9832ce8eeb/system@909543f9760543a8952a757be3c846d2-0000000000015ca8-00062acf4da7c039.journal
   15728640 Jan 04 2025 09:07:48  journal/dbbe2fd2b5a54ad2a4f66f9832ce8eeb/system@909543f9760543a8952a757be3c846d2-00000000000188f3-00062ad8bb272d4e.journal
    8388608 Jan 04 2025 09:10:09  journal/dbbe2fd2b5a54ad2a4f66f9832ce8eeb/user-1000.journal
       1814 Dec 31 2024 05:14:47  kdump.log
     292292 Jan 04 2025 09:17:56  lastlog
          0 Dec 31 2024 03:32:50  maillog
    3296256 Jan 04 2025 09:17:56  messages
        314 Jan 04 2025 09:02:07  monit.log
      62781 Dec 31 2024 04:39:04  pbis-open-install.log
       6025 Jan 04 2025 08:00:45  rhsm/rhsm.log
       3832 Jan 04 2025 08:00:46  rhsm/rhsmcertd.log
     517652 Jan 01 2025 23:50:01  sa/sa01
     517652 Jan 02 2025 23:50:02  sa/sa02
     517652 Jan 03 2025 23:50:01  sa/sa03
     201404 Jan 04 2025 09:10:00  sa/sa04
     424876 Dec 31 2024 23:50:01  sa/sa31
     846672 Jan 02 2025 00:07:13  sa/sar01
     846672 Jan 03 2025 00:07:13  sa/sar02
     846672 Jan 04 2025 00:07:13  sa/sar03
     698107 Jan 01 2025 00:07:13  sa/sar31
    3935168 Jan 04 2025 09:17:56  secure
          0 Dec 31 2024 03:32:50  spooler
      57119 Jan 04 2025 09:05:28  sssd/sssd.log
        932 Dec 31 2024 05:14:41  sssd/sssd_implicit_files.log
        614 Dec 31 2024 05:14:41  sssd/sssd_nss.log
       4608 Dec 31 2024 05:14:46  tuned/tuned.log
        719 Dec 31 2024 03:41:04  vmware-network.log
       3116 Dec 31 2024 05:14:41  vmware-vgauthsvc.log.0
       3538 Dec 31 2024 06:17:58  vmware-vmsvc-root.log
        348 Dec 31 2024 05:14:41  vmware-vmtoolsd-root.log
       6912 Jan 04 2025 08:52:24  wtmp
ise01/admin#
Possible completions:
  application         Application Install and Administration
  backup              Backup system
  backup-logs         Backup system and application logs
  cd                  Change working directory
  clear               Reset functions
  clock               Set the System Clock
  configure           cfg
  copy                Enter URL (use disk:/path/file for local) (Max Size -
                      2048)
  crypto              Crypto operations
  debug               Debugging functions (see also 'undebug')
  delete              Delete a file
  dir                 List files on local filesystem
  esr                 Enter the Embedded Services Router console
  exit                Exit the management session
  forceout            Force Logout all the sessions of a specific system user
  generate-password   Username for which password has to be generated
  halt                Shutdown the system
  idle-timeout        Idle timeout for all the sessions of a specific system
                      user
  license             License operations
  mkdir               Create new directory
  nslookup            DNS lookup for an IP address or hostname
  password            Update Password
  patch               Install System or Application Patch
  permit              List cli for Secure Tunnel
  ping                Ping a remote ip address
  ping6               Ping a remote ipv6 address
  reload              Reload the system
  reset-config        Reset network and time settings
  restore             Restore system
  rmdir               Remove existing directory
  screen-length       Configure screen length
  screen-width        Configure screen width
  show                Show information about the system
  ssh                 SSH to a remote ip address
  tech                TAC commands
  terminal            Set terminal line parameters
  traceroute          Trace the route to a remote ip address
  undebug             Disable debugging functions (see also 'debug')
  who                 Display currently logged on users
ise01/admin#

9. 메모리 확인

ise01/admin#show memory
memory total memory:       16204356 kB
       free memory:          698464 kB
       cached:          4980452 kB
       swap-cached:        24776 kB

       output of free command:
                     total        used        free      shared  buff/cache   available
       Mem:       16204356     9179292      698364     2006152     6326700     4631852
       Swap:       8191996       97420     8094576

ise01/admin#

10. CPU 확인

ise01/admin#show cpu usage

ISE Function                         % CPU Usage           CPU Time     Number of threads
---------------------------------------------------------------------------------------------
Database Server                           0.00              4:21.18             123 processes
M&T Log Processor                         0.00              2:35.48             120
Certificate Authority Service             0.00              1:42.84              49
Profiler Database                         0.00              0:01.23               4
M&T Session Database                      0.00              0:00.56              14
Threat Centric NAC RabbitMQ Container     0.00              0:00.00              -
ISE Indexing Engine                       0.00              0:00.00              -
Database Listener                         0.00              0:00.00              -
Admin Webapp                              0.00              0:00.00               0
Profiler                                  0.00              0:00.00               0
NSF Persistence Layer                     0.00              0:00.00               0
Guest Services                            0.00              0:00.00               0
Syslog Processor                          0.00              0:00.00               0
Quartz Scheduler                          0.00              0:00.00               0
RMI Services                              0.00              0:00.00               0
Message Queue                             0.00              0:00.00               0
BYOD Services                             0.00              0:00.00               0
Admin Process JVM Threads                 0.00              0:00.00               0
Miscellaneous services                    0.00              0:00.00               0
M&T Log Collector                          N/A
Identity Mapping Service                   N/A
SXP Engine Service                         N/A
Docker Daemon                              N/A
Threat Centric NAC MongoDB Container       N/A
Threat Centric NAC Core Engine Container   N/A
Vulnerability Assessment Database          N/A
Vulnerability Assessment Service           N/A
WIFI Setup                                 N/A
Segmentation Policy Service                N/A

%WARNING: N/A means the ISE function  is not enabled.
ise01/admin#

11. DISK 확인

ise01/admin#show disks
disks
      Internal filesystems:
      Filesystem      Size  Used Avail Use% Mounted on
      devtmpfs        7.8G     0  7.8G   0% /dev
      tmpfs           7.8G   84K  7.8G   1% /dev/shm
      tmpfs           7.8G  1.7M  7.8G   1% /run
      tmpfs           7.8G     0  7.8G   0% /sys/fs/cgroup
      /dev/sda2        26G  3.1G   21G  13% /
      /dev/sda7        63G   42G   18G  71% /opt
      /dev/sda1       969M   79M  825M   9% /boot
      /dev/sda6       1.9G  6.3M  1.8G   1% /tmp
      /dev/sda3        93M  1.6M   85M   2% /storedconfig
      tmpfs           1.6G     0  1.6G   0% /run/user/440
      shm              63M     0   63M   0% /opt/podman/containers/storage/overlay-containers/e75b7bef68a32c54670c4d34b1803bc7bdae77be3f84c1edd2633781d718667e/userdata/shm
      overlay          63G   42G   18G  71% /opt/podman/containers/storage/overlay/af7fb8638bad072d2b920db56968c9a9d8bfd2a2eb29a4f5ce50a321fa150208/merged
      shm              63M  8.0K   63M   1% /opt/podman/containers/storage/overlay-containers/d271f51665dc0ecec63728f089a4daf129e03d04e224a2da88a7b4f301e11ecd/userdata/shm
      overlay          63G   42G   18G  71% /opt/podman/containers/storage/overlay/64c758a70a603918ea7104f437f74aa08afca2f07f3231ff796b0f6bb3edac44/merged
      tmpfs           1.6G     0  1.6G   0% /run/user/301
      shm              63M     0   63M   0% /opt/podman/containers/storage/overlay-containers/3e64e5c3bfbec884ae7524ede802f2bd6351d82e1fecf29eb3d0e2f0d9415cef/userdata/shm
      overlay          63G   42G   18G  71% /opt/podman/containers/storage/overlay/4c5b82310f04acf98156d7ab326f3e2727f760163ef26cebf1aae97dd5f2687a/merged
      tmpfs           1.6G     0  1.6G   0% /run/user/321
      tmpfs           1.6G     0  1.6G   0% /run/user/0
      tmpfs           1.6G     0  1.6G   0% /run/user/304
      tmpfs           1.6G     0  1.6G   0% /run/user/322
      tmpfs           1.6G     0  1.6G   0% /run/user/345
      shm              63M     0   63M   0% /opt/podman/containers/storage/overlay-containers/164cfd2ad58d66fe06045be8f685214331654727f1904dca0f380fae7c75e101/userdata/shm
      overlay          63G   42G   18G  71% /opt/podman/containers/storage/overlay/ed679437593ec5aab4162a73b088af7a9fdc9d1c8b1a3cf9f9436efeafa7727e/merged
      shm              63M     0   63M   0% /opt/podman/containers/storage/overlay-containers/b67556a0dce5f513168b34623739edb80fff896579183763cfd346e7c40eb5e0/userdata/shm
      overlay          63G   42G   18G  71% /opt/podman/containers/storage/overlay/0e34325f895257b992a90b0ed5dcbe4aa28fbe6ba425ddfd27d71d543843dcfd/merged
      shm              63M     0   63M   0% /opt/podman/containers/storage/overlay-containers/5bfe91e165c5cf8bace97a2b872536cdb77a6adeb2def9a7a98f252b3253ee59/userdata/shm
      overlay          63G   42G   18G  71% /opt/podman/containers/storage/overlay/7b0766cfe8bf286da713cab0eda653ce04cb5f0358fedb5230fc3e0396b15d55/merged

        all internal filesystems have sufficient free space

ise01/admin#

11. Interface 확인

ise01/admin#show interface
cni-podman1: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 169.254.2.1  netmask 255.255.255.0  broadcast 169.254.2.255
        inet6 fe80::5058:b3ff:fe16:fe7e  prefixlen 64  scopeid 0x20<link>
        ether 52:58:b3:16:fe:7e  txqueuelen 1000  (Ethernet)
        RX packets 350141  bytes 97134003 (92.6 MiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 372903  bytes 46480544 (44.3 MiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

cni-podman2: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 169.254.4.1  netmask 255.255.255.0  broadcast 169.254.4.255
        inet6 fd00::1:8:1  prefixlen 112  scopeid 0x0<global>
        inet6 fe80::6448:b0ff:fe94:e706  prefixlen 64  scopeid 0x20<link>
        ether 66:48:b0:94:e7:06  txqueuelen 1000  (Ethernet)
        RX packets 583791  bytes 844767918 (805.6 MiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 584796  bytes 826161372 (787.8 MiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

GigabitEthernet 0
        flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet 192.168.10.191  netmask 255.255.255.0  broadcast 192.168.10.255
        inet6 fe80::250:56ff:fe8c:70c3  prefixlen 64  scopeid 0x20<link>
        ether 00:50:56:8c:70:c3  txqueuelen 1000  (Ethernet)
        RX packets 570754  bytes 57147663 (54.5 MiB)
        RX errors 0  dropped 24  overruns 0  frame 0
        TX packets 105627  bytes 46960378 (44.7 MiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

lo: flags=73<UP,LOOPBACK,RUNNING>  mtu 65536
        inet 127.0.0.1  netmask 255.0.0.0
        inet6 ::1  prefixlen 128  scopeid 0x10<host>
        loop  txqueuelen 1000  (Local Loopback)
        RX packets 13734268  bytes 7698738901 (7.1 GiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 13734268  bytes 7698738901 (7.1 GiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

veth0aeb9d55: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet6 fe80::4821:b9ff:fe66:2238  prefixlen 64  scopeid 0x20<link>
        ether 4a:21:b9:66:22:38  txqueuelen 0  (Ethernet)
        RX packets 8115  bytes 16788431 (16.0 MiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 6018  bytes 4542682 (4.3 MiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

veth3025cf38: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet6 fe80::c815:fbff:fe92:96d9  prefixlen 64  scopeid 0x20<link>
        ether ca:15:fb:92:96:d9  txqueuelen 0  (Ethernet)
        RX packets 1564  bytes 465222 (454.3 KiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 2281  bytes 447110 (436.6 KiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

veth47403bcb: flags=4163<UP,BROADCAST,RUNNING,MULTICAST>  mtu 1500
        inet6 fe80::a886:85ff:fea5:a64c  prefixlen 64  scopeid 0x20<link>
        ether aa:86:85:a5:a6:4c  txqueuelen 0  (Ethernet)
        RX packets 758  bytes 310691 (303.4 KiB)
        RX errors 0  dropped 0  overruns 0  frame 0
        TX packets 1078  bytes 179340 (175.1 KiB)
        TX errors 0  dropped 0 overruns 0  carrier 0  collisions 0

ise01/admin#

12. version 확인

ise01/admin#show version

Cisco Application Deployment Engine OS Release: 3.2
ADE-OS Build Version: 3.2.0.401
ADE-OS System Architecture: x86_64

Copyright (c) 2005-2022 by Cisco Systems, Inc.
All rights reserved.
Hostname: ise01

Version information of installed applications
---------------------------------------------

Cisco Identity Services Engine
---------------------------------------------
Version : 3.2.0.542
Build Date : Wed Oct 19 16:27:24 2022
Install Date : Tue Dec 31 04:37:28 2024

ise01/admin#

13. uptime 확인

ise01/admin#show uptime
09:20:17 up 4 days, 4:05, 1 user, load average: 0.79, 1.00, 1.34
ise01/admin#

지금까지 [2024][CISCO ISE#4] - basic CLI command - 02 글을 읽어주셔서 감사합니다.

저작자표시 (새창열림)

'CISCO > CISCO ISE' 카테고리의 다른 글

[2025][CISCO ISE#6] - test diagram (0)	2025.01.04
[2025][CISCO ISE#5] - admin password change on CLI (0)	2025.01.04
[2025][CISCO ISE#3] - basic CLI command - 01 (0)	2025.01.04
[2024][CISCO ISE#2] ISE서버 Patch Update하기 (0)	2024.07.10
[2024][CISCO ISE#1] ISE서버 VMware ESXi에 설치 하기. (0)	2024.07.07

안녕하세요.

오늘은 cisco ISE basic command에 대해서 알아보겠습니다. cisco GUI는 가끔식 CLI모드에 접속 해서 확인 해야되는 부분이 있습니다.

? 입력하면 사용 가능한 명령어를 호가인 할 수 있습니다.

ise01/admin#?
Possible completions:
  application         Application Install and Administration
  backup              Backup system
  backup-logs         Backup system and application logs
  cd                  Change working directory
  clear               Reset functions
  clock               Set the System Clock
  configure           cfg
  copy                Enter URL (use disk:/path/file for local) (Max Size -
                      2048)
  crypto              Crypto operations
  debug               Debugging functions (see also 'undebug')
  delete              Delete a file
  dir                 List files on local filesystem
  esr                 Enter the Embedded Services Router console
  exit                Exit the management session
  forceout            Force Logout all the sessions of a specific system user
  generate-password   Username for which password has to be generated
  halt                Shutdown the system
  idle-timeout        Idle timeout for all the sessions of a specific system
                      user
  license             License operations
  mkdir               Create new directory
  nslookup            DNS lookup for an IP address or hostname
  password            Update Password
  patch               Install System or Application Patch
  permit              List cli for Secure Tunnel
  ping                Ping a remote ip address
  ping6               Ping a remote ipv6 address
  reload              Reload the system
  reset-config        Reset network and time settings
  restore             Restore system
  rmdir               Remove existing directory
  screen-length       Configure screen length
  screen-width        Configure screen width
  show                Show information about the system
  ssh                 SSH to a remote ip address
  tech                TAC commands
  terminal            Set terminal line parameters
  traceroute          Trace the route to a remote ip address
  undebug             Disable debugging functions (see also 'debug')
  who                 Display currently logged on users

1. application 상태 확인

show application status ise

ise01/admin#show application status ise

ISE PROCESS NAME                       STATE            PROCESS ID
--------------------------------------------------------------------
Database Listener                      running          7637
Database Server                        running          125 PROCESSES
Application Server                     running          26414
Profiler Database                      running          15924
ISE Indexing Engine                    running          27730
AD Connector                           running          29004
M&T Session Database                   running          22341
M&T Log Processor                      running          26671
Certificate Authority Service          running          28799
EST Service                            running          60153
SXP Engine Service                     disabled
TC-NAC Service                         disabled
PassiveID WMI Service                  disabled
PassiveID Syslog Service               disabled
PassiveID API Service                  disabled
PassiveID Agent Service                disabled
PassiveID Endpoint Service             disabled
PassiveID SPAN Service                 disabled
DHCP Server (dhcpd)                    disabled
DNS Server (named)                     disabled
ISE Messaging Service                  running          10778
ISE API Gateway Database Service       running          14612
ISE API Gateway Service                running          20984
ISE pxGrid Direct Service              running          46645
Segmentation Policy Service            disabled
REST Auth Service                      disabled
SSE Connector                          disabled
Hermes (pxGrid Cloud Agent)            disabled
McTrust (Meraki Sync Service)          disabled
ISE Node Exporter                      running          29632
ISE Prometheus Service                 running          31413
ISE Grafana Service                    running          35505
ISE MNT LogAnalytics Elasticsearch     disabled
ISE Logstash Service                   disabled
ISE Kibana Service                     disabled
% WARNING: ISE DISK SIZE NOT LARGE ENOUGH FOR PRODUCTION USE
% RECOMMENDED DISK SIZE: 200 GB, CURRENT DISK SIZE: 100 GB

2. cisco ise application service 종료 - ISE를 종료 하기 위해서는 꼭 application service 중지 하고 ISE종료 해야합니다.

application stop ise

ise01/admin#application stop ise

Stopping ISE Monitoring & Troubleshooting Log Processor...
PassiveID WMI Service is disabled
PassiveID Syslog Service is disabled
PassiveID API Service is disabled
PassiveID Agent Service is disabled
PassiveID Endpoint Service is disabled
PassiveID SPAN Service is disabled
Stopping ISE Application Server...
Stopping ISE Process Monitoring Service...
Stopping ISE Certificate Authority Service...
Stopping ISE EST Service...
ISE Sxp Engine Service is disabled
Stopping TC-NAC Service ...
VA Service is not running
ISE VA Database is not running
Segmentation Policy Service is disabled
REST Auth Service is disabled
Stopping ISE Messaging Service...
Stopping ISE API Gateway Service...
Stopping edda-url-fetcher-service Service...
Stopping ISE API Gateway Database Service...
Stopping ISE Profiler Database...
Stopping ISE Indexing Engine...
Stopping ISE Monitoring & Troubleshooting Session Database...
Stopping ISE AD Connector...
Stopping ISE Database processes...
Stopping ISE Node Exporter...
Stopping ISE Prometheus Service...
Stopping ISE Grafana Service...
ISE MNT LogAnalytics Elasticsearch Service is not running.
ISE Logstash Service is not running.
ISE Kibana service is not running.

ise01/admin#

3. ise application 서비스 시작 명령어

application start ise

ise01/admin#application start ise

ISE Database processes already running, PID: 2658610
Starting ISE Messaging Service...
Starting ISE API Gateway Database Service...
Starting ISE Profiler Database...
Starting ISE API Gateway Service...
Starting ISE Monitoring & Troubleshooting Session Database...
Starting edda-url-fetcher-service Service...
Starting ISE Process Monitoring Service...
Starting ISE Application Server...
Starting ISE Monitoring & Troubleshooting Log Processor...
Starting ISE Indexing Engine...
Starting ISE Certificate Authority Service...
NSS database for CA Service is ready
ISE EST service is already running, PID: 2671617
Starting ISE AD Connector...
Starting ISE Node Exporter...
Starting ISE Prometheus Service...
Starting ISE Grafana Service...
ISE MNT LogAnalytics Elasticsearch Service is disabled
ISE Logstash Service is disabled
ISE Kibana Service is disabled
Note: ISE Processes are initializing. Use 'show application status ise'
CLI to verify all processes are in running state.

ise01/admin#

3. 스크린 clear하는 방법

ise01/admin#cls

4. 현재 시간 확인 하는 방법

ise01/admin#show clock
Sat Jan 4 09:08:34 UTC 2025

5. CLI mode에서 debug enable

debug all, 또는 원하는 부분은 debug enable가능 합니다.

ise01/admin#debug ?
Possible completions:
  all              Enable all debugging
  application      Application debugging
  backup-restore   Backup and restore
  cdp              Cisco Discovery Protocol
  config           Configuration
  copy             Copy commands
  locks            Resource locking
  logging          Logging configuration
  snmp             Snmp configuration
  system           System
  transfer         File transfer
  user             User Management
  utils            Utilities
ise01/admin#debug all

6. debug disable

ise01/admin#undebug all

7. ping 8.8.8.8

ise01/admin#ping 8.8.8.8
PING 8.8.8.8 (8.8.8.8) 56(84) bytes of data.
64 bytes from 8.8.8.8: icmp_seq=1 ttl=57 time=1.41 ms
64 bytes from 8.8.8.8: icmp_seq=2 ttl=57 time=1.53 ms
64 bytes from 8.8.8.8: icmp_seq=3 ttl=57 time=1.62 ms
64 bytes from 8.8.8.8: icmp_seq=4 ttl=57 time=1.43 ms

--- 8.8.8.8 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3005ms
rtt min/avg/max/mdev = 1.406/1.493/1.615/0.083 ms

8. traceroute 8.8.8.8

ise01/admin#traceroute 8.8.8.8
traceroute to 8.8.8.8 (8.8.8.8), 30 hops max, 60 byte packets
1  192.168.10.253  2.182 ms  2.158 ms  2.152 ms
2  202.X.X.X 2.735 ms  2.884 ms  2.855 ms
3  202.X.X.X 2.618 ms  2.638 ms  2.694 ms
4  203.117.190.81  3.149 ms  3.181 ms  3.176 ms
5  * * *
6  203.116.3.50  3.633 ms  2.102 ms  2.059 ms
7  72.14.196.189  3.577 ms  4.002 ms  4.017 ms
8  172.253.77.227  2.596 ms  2.541 ms  2.509 ms
9  74.125.251.205  3.248 ms  2.941 ms  2.994 ms
10  8.8.8.8  1.825 ms  1.583 ms  1.033 ms

ise01/admin#

9. 재부팅

reload

ise01/admin#reload

10. 종료

halt

se01/admin#halt

지금까지 [2024][CISCO ISE#3] - basic CLI command - 01 글을 읽어주셔서 감사합니다.

저작자표시 (새창열림)

'CISCO > CISCO ISE' 카테고리의 다른 글

[2025][CISCO ISE#6] - test diagram (0)	2025.01.04
[2025][CISCO ISE#5] - admin password change on CLI (0)	2025.01.04
[2025][CISCO ISE#4] - basic CLI command - 02 (0)	2025.01.04
[2024][CISCO ISE#2] ISE서버 Patch Update하기 (0)	2024.07.10
[2024][CISCO ISE#1] ISE서버 VMware ESXi에 설치 하기. (0)	2024.07.07

안녕하세요.

오늘은 Guest 유저를 위한 WLAN를 생성하고 간단하게 설정에 대해서 알아보겠습니다.

General Page

Profile Name: GUEST_SSID - WLC에서 Profle이름 입니다.

SSID: GUEST_SSID 실제 wifi SSID표시 할 SSID 입니다.

WLAN ID: WLC에서 WLAND ID입니다. 이 부분은 VLAN 정보가 아닙니다.

Status: 이 WLAN를 Disable 또는 Endable 가능 합니다.

Broadcase SSID: SSID를 숨길지 광고 할지 설정 합니다.

Disable를 선택시 PC에서 수동으로 SSID 입력해서 접속 해야 합니다.

Radio Policy: 6G, 5G, 2.4G Enable 또는 Disable해서 광고 가능 합니다.

이번장에서는 암호화 없는 Guest SSID를 생성해보겠습니다.

None를 선택 합니다.

P2P Blocking Action: Drop

GUEST-SSID 접속한 유저들끼리 같은 L2도메인이기 때문에 통신이 가능 합니다.

이 부분을 보안 때문에 Drop 합니다.

per WLAN으로 Client 접속수를 제한을 가능 합니다.

Per AP per WLAN: AP당 WLAN최대 client 접속수

Per AP Radio Per WLAN: 200

즉 2.4G 랑 5G 각각 200명에 Client 허용 가능 합니다.

Load Balancing : 여러 AP들이 있을때 Client를 분배해서 AP에 접속하게 합니다.

Band Select: 5G가 속도가 더 좋기 때문에, PC가 2.4G/5G다 지원하면 5G로 접속 할수 있게 합니다.

2. Configuration -> Tags & Profiles -> Policy

Add버튼을 클릭 합니다.

Name: 이름을 정의 합니다.

Stuats: Policy enable 또는 Disable 합니다.

**** WLAN Switching Policy ****

Central Switching - Enabled 모드이면 AP Data traffic이 CAPWAP tunnel를 통해서 WLC로 전송 되면 Data Traffic를 WLC가 처리 합니다.

Disabled 모드 이면 AP가 직접 Data를 처리 합니다.

Central Authentication - Enabled 모드이면 WLC가 직접 처리 합니다.

Central DHCP -Enabled 모드이면 WLC가 DHCP기능을 수행 합니다.

Policy에 VLAN를 입력 합니다. VLAN이 없으면 WLC에서 VLAN를 생성 합니다.

Policy랑 WLAN이 Mapping이 되면 GUEST-SSID로 User가 붙으면 VLAN 110으로 인식 합니다.

Idel Timeout를 28800으로 변경합니다. idel Timeout되면 SSID disconnect되는 증상을 방지 합니다.

그리고 Apply to Device를 클릭 합니다.

3. Policy Tag 를 생성합니다.

Configuration -> Tags & Orifukes -> Tag -> Policy

Add 버튼을 클릭 합니다.

아래처럼 설정하고 적용 버튼을 클릭 합니다.

4. AP에 새로운 Policy Tag를 적용 합니다.

5. PC에서 SSID를 확인 합니다.

아래처럼 GUEST_SSID가 암호화 없이 접속 가능 하게 표시 됩니다.

6. DHCP 서버가 없어서 IP주소를 못 받아옵니다.

SW에서 DHCP 서버 기능을 설정 합니다.

ip dhcp pool VLAN110
network 192.168.110.0 255.255.255.0
dns-server 8.8.8.8
default-router 192.168.110.254
!

IP주소를 Clinet에게 할당 하였습니다.

SW01#show ip dhcp binding
Bindings from all pools not associated with VRF:
IP address      Client-ID/              Lease expiration        Type       State      Interface
                Hardware address/
                User name
192.168.110.1   013e.6d3f.25af.12       Dec 27 2024 07:16 AM    Automatic  Active     Vlan110
SW01#

WLC에서 GUI Clinet를 확인 합니다.

[C9800CL][#9]- WLAN Guest 지금까지 글을 읽어주셔서 감사합니다.

저작자표시 (새창열림)

'CISCO > 무선' 카테고리의 다른 글

[C9800CL][#11]- DHCP Relay (SVI) on WLC - Option2 (0)	2025.03.01
[C9800CL][#10]- DHCP Bridging - BackBone SW DHCP - Option1 (0)	2025.03.01
[C9800CL][#8]- Data Interface Redundancy - Port Channel (0)	2024.12.25
[C9800CL][#7]- AP authentication - AP MAC on WLC (0)	2024.12.25
[C9800CL][#6]-AP hostname를 이용해서 Tag 할당하기 (0)	2024.12.24

안녕하세요.

오늘은 C9800에 Data Interface 2개를 Port Channel로 구성하는 방법에 대해서 알아보겠습니다.

WLC01: Gi3 - MGMT IP vrf MGMT

G1 and G2 - Portchannel 01로 묶고 Trunk 포트로 모든 VLAN를 허용 하게 설정 하겠습니다.

1. WLC GUI에 접속합니다.

Gi1/Gi2를 아래와 같이 설정합니다.

2. Port-channel를 설정합니다.

SW01(config)#int ra g1/0, gi0/3
SW01(config-if-range)#channel-group 1 mode on
SW01(config)#int po 1
SW01(config-if)#sw tr en dot1q
SW01(config-if)#sw mo trunk

Interface Status 확인

SW01#show int status

Port      Name               Status       Vlan       Duplex  Speed Type
Gi0/0                        connected    trunk        auto   auto unknown
Gi0/1                        connected    trunk        auto   auto unknown
Gi0/2                        connected    100          auto   auto unknown
Gi0/3                        connected    trunk        auto   auto unknown
Gi1/0                        connected    1            auto   auto unknown
Gi1/1                        connected    10           auto   auto unknown
Gi1/2                        connected    20           auto   auto unknown
Gi1/3                        connected    100          auto   auto unknown
Po1                          connected    trunk        auto   auto
SW01#

테스트를 위해서 WLC 아래와 같이 설정 합니다.

VLAN 110

VLAN 120
VLAN 130

SVI 110 - 192.168.110.254

SVI 120 - 192.168.120.254

SVI 130 - 192.168.130.254

VLAN 110를 설정합니다. 그리고 아래 사진처럼 VLAN 120, VLAN 130도 설정 합니다.

2. SVI를 설정 합니다.

아래 사진처럼 SVI 120과 SVI 130도 설정 합니다.

Cisco switch에서

VLAN 110,120,130설정하고 SVI 110,120,130를 설정합니다.

SVI 110: 192.168.110.253

SVI 120: 192.168.120.253

SVI 130: 192.168.130.253

VLAN 설정

SW01(config)#vlan 110
SW01(config-vlan)#vlan 120
SW01(config-vlan)#vlan 130

SW01#show vlan brie

VLAN Name                             Status    Ports
---- -------------------------------- --------- -------------------------------
1    default                          active    Gi1/0
10   VLAN0010                         active    Gi1/1
20   VLAN0020                         active    Gi1/2
30   VLAN0030                         active
100  VLAN0100                         active    Gi0/2, Gi1/3
110  VLAN0110                         active
120  VLAN0120                         active
130  VLAN0130                         active
1002 fddi-default                     act/unsup
1003 token-ring-default               act/unsup
1004 fddinet-default                  act/unsup
1005 trnet-default                    act/unsup
SW01#

SVI 설정

SW01(config)#int vlan 110
SW01(config-if)#ip add 192.168.110.253 255.255.255.0
SW01(config-if)#int vlan 120
SW01(config-if)#ip add 192.168.120.253 255.255.255.0
SW01(config-if)#int vlan 130
SW01(config-if)#ip add 192.168.130.253 255.255.255.0
SW01(config-if)#

SW01#show ip int brie
Interface              IP-Address      OK? Method Status                Protocol
GigabitEthernet0/0     unassigned      YES unset  up                    up
GigabitEthernet0/1     unassigned      YES unset  up                    up
GigabitEthernet0/2     unassigned      YES unset  up                    up
GigabitEthernet0/3     unassigned      YES unset  up                    up
GigabitEthernet1/0     unassigned      YES unset  up                    up
GigabitEthernet1/1     unassigned      YES unset  up                    up
GigabitEthernet1/2     unassigned      YES unset  up                    up
GigabitEthernet1/3     unassigned      YES unset  up                    up
Port-channel1          unassigned      YES unset  down                  down
Vlan10                 192.168.10.250  YES NVRAM  administratively down down
Vlan20                 unassigned      YES unset  administratively down down
Vlan100                192.168.100.179 YES NVRAM  up                    up
Vlan110                192.168.110.253 YES manual up                    up
Vlan120                192.168.120.253 YES manual up                    up
Vlan130                192.168.130.253 YES manual up                    up

ping test

SW01#ping 192.168.110.254
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.110.254, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/3 ms
SW01#ping 192.168.120.254
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.120.254, timeout is 2 seconds:
.!!!!
Success rate is 80 percent (4/5), round-trip min/avg/max = 1/2/6 ms
SW01#ping 192.168.130.254
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.130.254, timeout is 2 seconds:
.!!!!
Success rate is 80 percent (4/5), round-trip min/avg/max = 1/2/4 ms
SW01#

SW01#show etherchannel summary
Flags:  D - down        P - bundled in port-channel
        I - stand-alone s - suspended
        H - Hot-standby (LACP only)
        R - Layer3      S - Layer2
        U - in use      N - not in use, no aggregation
        f - failed to allocate aggregator

        M - not in use, minimum links not met
        m - not in use, port not aggregated due to minimum links not met
        u - unsuitable for bundling
        w - waiting to be aggregated
        d - default port

        A - formed by Auto LAG

Number of channel-groups in use: 1
Number of aggregators:           1

Group  Port-channel  Protocol    Ports
------+-------------+-----------+-----------------------------------------------
1      Po1(SU)          -        Gi0/3(P)    Gi1/0(P)

지금까지 [C9800CL][#8]- Data Interface Redundancy - Port Channel 글을 읽어주셔서 감사합니다.

저작자표시 (새창열림)

'CISCO > 무선' 카테고리의 다른 글

[C9800CL][#10]- DHCP Bridging - BackBone SW DHCP - Option1 (0)	2025.03.01
[C9800CL][#9]- WLAN Guest (0)	2024.12.26
[C9800CL][#7]- AP authentication - AP MAC on WLC (0)	2024.12.25
[C9800CL][#6]-AP hostname를 이용해서 Tag 할당하기 (0)	2024.12.24
[C9800CL][#5]-AP Join Process - DHCP option 43 (1)	2024.12.24

안녕하세요.

오늘은 인가된 AP만 WLC에 등록 가능 하게 설정해보겠습니다.

사용할 방법은 AP MAC주소를 WLC에 등록해서 허가된 AP MAC만 WLC에 등록 할 수 있습니다.

AP IP: DHCP Server로 부터 IP주소를 받아감. 192.168.200.X/24

AP GW: 192.168.200.181

WLC: 192.168.100.182 DHCP option43를 이용함.

1. Configuration -> Security -> AAA 클릭 합니다.

2. AAA Advanced -> AP Policy 에서 Authorized AP aginast MAC를 Enable하고 Apply를 클릭 합니다.

*** 만약에 Default값으로 아래 처럼 설정 안되어져 있으면 추가로 설정 합니다. ***

3. 현재 아래처럼 AP한대가 WLC에 등록 되어져 있습니다.

4. AP를 재부팅 합니다.

5. 약 5분후 - Monitoring -> Wireless -> AP statistics를 클릭해서 AP가 상태를 확인 합니다.

AP가 WLC에게 CAPWAP join request 메시지를 전송하지만 reponse패킷을 받지 못합니다.

그리고 CAPWAP state: DTLS Teardown이 되고, 다시 CAPWAP join request를 보냅니다. 이 과정을 반복합니다.

[*12/25/2024 05:57:51.4299] CAPWAP State: Join
[*12/25/2024 05:57:51.6198] Sending Join request to 192.168.100.182 through port 5272, packet size 1376
[*12/25/2024 05:57:56.3783] Sending Join request to 192.168.100.182 through port 5272, packet size 1376
[*12/25/2024 05:58:01.0569] Sending Join request to 192.168.100.182 through port 5272, packet size 896

[*12/25/2024 05:58:48.1321] CAPWAP State: DTLS Teardown
[*12/25/2024 05:58:48.3621] status 'upgrade.sh: Script called with args:[CANCEL]'
[*12/25/2024 05:58:48.4121] do CANCEL, part2 is active part
[*12/25/2024 05:58:48.4320] status 'upgrade.sh: Cleanup tmp files ...'
[*12/25/2024 05:58:53.0506] dtls_queue_first: Nothing to extract!
[*12/25/2024 05:58:53.0506]
[*12/25/2024 05:58:53.5504] Discovery Response from 192.168.100.182
[*12/25/2024 05:59:04.0000] Started wait dtls timer (60 sec)
[*12/25/2024 05:59:04.0099]
[*12/25/2024 05:59:04.0099] CAPWAP State: DTLS Setup
[*12/25/2024 05:59:04.1799] First connect to vWLC, accept vWLC by default
[*12/25/2024 05:59:04.1799]
[*12/25/2024 05:59:04.1799] dtls_verify_server_cert: vWLC is using SSC, returning 1
[*12/25/2024 05:59:04.2599]
[*12/25/2024 05:59:04.2599] CAPWAP State: Join
[*12/25/2024 05:59:04.4299] Sending Join request to 192.168.100.182 through port 5272, packet size 1376
[*12/25/2024 05:59:09.1284] Sending Join request to 192.168.100.182 through port 5272, packet size 1376

6. Monitoring -> Wireless -. AP Statistics에서 Join Statics를 클릭해서 보시면

아래 사진처럼 AP AUth Failure를 확인 할수 있습니다.

아래 AP MAC주소가 WLC 인가된 AP MAC 주소 리스트에 포함되지 않기 떄문에 AP 등록이 실패 하였습니다.

7. AP MAC주소를 등록 합니다.

Configuration -> Security -> AAA -> AAA Advanced -> Device Authentication -> MAC Address -> Add 버튼을 클릭 합니다.

CLI 에서 AP MAC주소 확인 방법

SG-AP01#show interfaces wired 0
wired0    Link encap:Ethernet  HWaddr C8:84:A1:CC:2F:48
          inet addr: 192.168.200.235  Bcast: 192.168.200.255  Mask: 255.255.255.
0
          UP BROADCAST RUNNING PROMISC MULTICAST  MTU:1500  Metric:1
          collisions:0 txqueuelen:80
          Interrupt:2
          full Duplex, 1000 Mb/s

          5 minute input rate 1268 bits/sec, 1 packets/sec
          5 minute output rate 5067 bits/sec, 1 packets/sec
Wired0 Port Statistics:
RX PKTS    :            1171/8           TX PKTS    :            1171/8
RX BYTES   :          122210/508         TX BYTES   :          122210/508
RX DROPS   :               0/0

아래처럼 입력 합니다.

그리고 특정 시간을 기다립니다.

이번에는 아래처럼 Join Reponse 패킷을 WLC로부터 받았습니다.

[*12/25/2024 06:20:28.8807] CAPWAP State: Discovery
[*12/25/2024 06:20:28.8807] Got WLC address 192.168.100.182 from DHCP.
[*12/25/2024 06:20:29.1006] Discovery Request sent to 192.168.100.182, discovery type STATIC_CONFIG(1)
[*12/25/2024 06:20:29.3005] Discovery Request sent to 255.255.255.255, discovery type UNKNOWN(0)
[*12/25/2024 06:20:29.3005] Discovery Response from 192.168.100.182
[*12/25/2024 06:20:39.0000] Started wait dtls timer (60 sec)
[*12/25/2024 06:20:39.0099]
[*12/25/2024 06:20:39.0099] CAPWAP State: DTLS Setup
[*12/25/2024 06:20:39.1099] First connect to vWLC, accept vWLC by default
[*12/25/2024 06:20:39.1099]
[*12/25/2024 06:20:39.1199] dtls_verify_server_cert: vWLC is using SSC, returning 1
[*12/25/2024 06:20:39.1799]
[*12/25/2024 06:20:39.1799] CAPWAP State: Join
[*12/25/2024 06:20:39.3399] Sending Join request to 192.168.100.182 through port 5272, packet size 1376
[*12/25/2024 06:20:43.9185] Sending Join request to 192.168.100.182 through port 5272, packet size 1376
[*12/25/2024 06:20:44.1484] Join Response from 192.168.100.182, packet size 1397
[*12/25/2024 06:20:44.1484] AC accepted previous sent request with result code: 0
[*12/25/2024 06:20:44.1484] Received wlcType 0, timer 30
[*12/25/2024 06:20:44.2584] nss_capwapmgr_enable_tunnel[1682]:ef30e800: tunnel 0 is already enabled
[*12/25/2024 06:20:44.2783]
[*12/25/2024 06:20:44.2783] CAPWAP State: Image Data
[*12/25/2024 06:20:44.2883] AP image version 17.13.0.107 backup 17.8.0.144, Controller 17.13.0.107
[*12/25/2024 06:20:44.2883] Version is the same, do not need update.
[*12/25/2024 06:20:44.3583] status 'upgrade.sh: Script called with args:[NO_UPGRADE]'
[*12/25/2024 06:20:44.3983] do NO_UPGRADE, part2 is active part
[*12/25/2024 06:20:44.4183]
[*12/25/2024 06:20:44.4183] CAPWAP State: Configure
[*12/25/2024 06:20:44.6382] Radio [2] Administrative state DISABLED  change to ENABLED
[*12/25/2024 06:20:44.6382] Radio [1] Administrative state DISABLED  change to ENABLED
[*12/25/2024 06:20:44.6382] Radio [0] Administrative state DISABLED  change to ENABLED
[*12/25/2024 06:20:45.3880]
[*12/25/2024 06:20:45.3880] CAPWAP State: Run
[*12/25/2024 06:20:45.4680] AP has joined controller WLC01
[*12/25/2024 06:20:45.4680] Flexconnect Switching to Connected Mode!
[*12/25/2024 06:20:46.0678] Previous AP mode is 2, change to 2
[*12/25/2024 06:20:46.0778] Current session mode: ssh, Configured: Telnet-No, SSH-No, Console-Yes
[*12/25/2024 06:20:46.0778]
[*12/25/2024 06:20:46.3377] Current session mode: telnet, Configured: Telnet-No, SSH-No, Console-Yes
[*12/25/2024 06:20:46.3377]
[*12/25/2024 06:20:46.3577] Current session mode: console, Configured: Telnet-No, SSH-No, Console-Yes
[*12/25/2024 06:20:46.3577]
[*12/25/2024 06:20:46.4177] chpasswd: password for user changed
[*12/25/2024 06:20:46.4677] chpasswd: password for user changed
[*12/25/2024 06:20:46.6376]
[*12/25/2024 06:20:46.6376] Same LSC mode, no action needed
[*12/25/2024 06:20:46.9275] Same value is already set.
[*12/25/2024 06:20:47.2374] USB Device Disconnected from the AP
[*12/25/2024 06:20:47.3974] Got WSA Server config TLVs
[*12/25/2024 06:20:48.7270] Socket: Valid Element: wcp/wcp_db Handler: set_vlan_name_map Data: null Length: 10
[*12/25/2024 06:20:50.4064] SD AVC only supports 802.11ax AP
[*12/25/2024 06:20:50.5664] Re-Tx Count=1, Max Re-Tx Value=5, SendSeqNum=16, NumofPendingMsgs=1
[*12/25/2024 06:20:50.5664]
[*12/25/2024 06:20:50.8163] DOT11_DRV[0]: Stop Radio0 - Begin
[*12/25/2024 06:20:50.8963] DOT11_DRV[0]: Stop Radio0 - End
[*12/25/2024 06:20:50.8963] DOT11_DRV[0]: Start Radio0 - Begin
[*12/25/2024 06:20:50.8963] DOT11_DRV[0]: Start Radio0 - End
[*12/25/2024 06:20:53.0756]  **** CAC start for 62 seconds for radio 1 ****
[*12/25/2024 06:21:15.6385] netlink socket init done, pnl->spectral_fd=4
[*12/25/2024 06:21:15.6385] CLEANAIR: Slot 0 admin disabled
[*12/25/2024 06:21:16.6382] CLEANAIR: Slot 1 admin disabled
[*12/25/2024 06:21:55.1962] cac_timeout cac expired, chan 5560 curr time 306
[*12/25/2024 06:21:55.1962]  **** CAC stop for radio 1 ****

Username:
Username:
% Authentication failed

아래 사진처럼 AP가 WLC에 등록 되었습니다.

시간이 지나도 AP는 계속 UP상태 입니다. 그 이유는 이미 WLC등록되어기 때문에, 다시 AP Authentication를 확인 하지 않습니다.

AP를 재부팅 합니다.

재부팅후에는 다시 AP authentication를 시도해야합니다. 하지만 WLC에서 AP MAC주소를 제거 했기 떄문에, 아래처럼 인증 실패로 표시 됩니다.

지금까지 [C9800CL][#7]- AP authentication - AP Mac Filter 글을 읽어주셔서 감사합니다.

저작자표시 (새창열림)

'CISCO > 무선' 카테고리의 다른 글

[C9800CL][#9]- WLAN Guest (0)	2024.12.26
[C9800CL][#8]- Data Interface Redundancy - Port Channel (0)	2024.12.25
[C9800CL][#6]-AP hostname를 이용해서 Tag 할당하기 (0)	2024.12.24
[C9800CL][#5]-AP Join Process - DHCP option 43 (1)	2024.12.24
[C9800CL][#4]-AP Join Process - Manual Method (0)	2024.12.24

안녕하세요.

이번에는 AP hostname를 이용해서 WLC에 policy tag, site tag, rf tag를 할당 하는 방법에 대해서 알아보겠습니다.

예제) WLC는 AWS 또는 Azure에서 동작중에 있습니다.

Office는 아래와 같이 3군데가 있습니다.

1. Singpoare office - AP hostname pattern - SG-AP0X

2. Korea office - AP hostname pattern - KR-AP0X

3. Japan office - AP hostname pattern - JP-AP0X

AP hostname이 SG-AP0X로 시작하면, policy tag, site tag, rf tag 모두다 SG tag가 AP에 할당 됩니다.

AP hostname이 KR-AP0X로 시작하면, policy tag, site tag, rf tag 모두다 KR tag가 AP에 할당 됩니다.

WLC에서 Hostnmae Filter를 이용해서 위와 같이 정책을 사용 할수 있습니다.

1. 테스트를 위해서 WLAN를 생성 합니다.

WLAN 설정 방법 예제)

2. VLAN를 생성합니다.

테스트를 위해서 VLAN은 아래와 같습니다.

VLAN10 - SG-WLAN

VLAN20 - KR-WLAN

VLAN30 - JP-WLAN

설정 방법 예

3. Policy profile를 설정 합니다.

위와 똑같이 KR-POLICY-PROFILE, JP-POLICY-PROFILE를 생성 합니다.

4. POLICY TAG를 설정 합니다.

똑같이 KR-POLICY-TAG, JP-POLICY-TAG를 생성 합니다.

5. SITE-TAG를 설정 합니다.

SG-SITE-TAG와 JP-SITE-TAG를 생성 합니다.

6. RF-TAG를 설정 합니다.

KR-RF-TAG랑 JP-RF-TAG를 생성 합니다.

이번에는 실제로 테스트 하기 위해서 Filter를 사용 해서 각 TAG들을 나라별로 적용해보겠습니다.

Singapore AP Filter

Korea AP Filter 와 Japan AP Filter를 생성 합니다.

현재 AP 한대가 WLC에 등록 되어져 있습니다.

현재 모두다 default tag를 할당 받았습니다.

Test01 - Hostname를 SG-AP01로 변경 하고 TAG를 확인해보겠습니다.

하지만 Tag가 변경되지 않습니다. AP를 재부팅해서 새로운 TAG를 적용되게 합니다.

위에 사진처럼 SG-AP01이기 떄문에 SG policy tag site tag rf tag를 받아왔습니다.

이번에는 AP 이름을 KR-AP01로 변경하고 capwap reset해보겠습니다.

지금까지 [C9800CL][#6]-AP hostname를 이용해서 Tag 할당하기 글을 읽어주셔서 감사합니다.

저작자표시 (새창열림)

'CISCO > 무선' 카테고리의 다른 글

[C9800CL][#8]- Data Interface Redundancy - Port Channel (0)	2024.12.25
[C9800CL][#7]- AP authentication - AP MAC on WLC (0)	2024.12.25
[C9800CL][#5]-AP Join Process - DHCP option 43 (1)	2024.12.24
[C9800CL][#4]-AP Join Process - Manual Method (0)	2024.12.24
[C9800CL][#3]-AP Join Process (0)	2024.12.24

안녕하세요.

오늘은 AP를 DHCP option43를 이용해서 WLC에 등록 하겠습니다.

AP IP: 192.168.200.200

AP GW: 192.168.200.181

WLC: 192.168.100.182

현재 AP가 SW에 연결되어져 있습니다. cisco SW를 DHCP서버로 동작시켜서 IP/GW/WLC 주소를 할당 하도록 하겠습니다.

DHCP option43를 사용 하기 위해서는 16진수 값을 알아야 합니다.

가장 쉬운 방법이 google에서 dhcp option43 calculaution를 검색하면 여러가지 사이트가 나옵니다.

https://wifiwizardofoz.com/dhcp-option-43-calculator/

DHCP Option 43 Calculator

Effortlessly generate DHCP Option 43 values for common wireless vendors. An invaluable tool for network administrators and IT professionals.

wifiwizardofoz.com

Your DHCP option 43 value is: f104c0a864b6

This is derived using the following formula:

<Type> + <Length> + <Value> where:

Type: Sub-option code 241, used to define a method for Cisco Lightweight APs, represented in hex (f1)

Length: Number of controller IP addresses to be supplied - multiplied by 4, represented in hex (04)

Value: List of Cisco WLC IP addresses, represented in hex(c0a864b6)

1. 스위치에서 DHCP 서버를 설정합니다

ip dhcp pool AP-MGMT-POOL
network 192.168.200.0 255.255.255.0
dns-server 8.8.8.8
default-router 192.168.200.181
option 43 hex f104.c0a8.64b6

2. AP에서 IP주소를 확인 합니다

APC884.A1CC.2F48#show ip interface
  brief  Brief summary of IP status and configuration
APC884.A1CC.2F48#show ip interface brief
Interface            IP-Address      Method   Status                 Protocol
Speed      Duplex
wired0               192.168.200.1   DHCP     up                     up
1000       full
wired1               n/a             n/a      administatively down   down
n/a        n/a
auxiliary-client     unassigned      unset    up                     up
n/a        n/a
wifi0                n/a             n/a      administatively down   down
n/a        n/a
wifi1                n/a             n/a      administatively down   down
n/a        n/a

3. switch에서 IP주소 Binding를 확인 합니다

SW1#show ip dhcp binding
Bindings from all pools not associated with VRF:
IP address          Client-ID/              Lease expiration        Type
                    Hardware address/
                    User name
192.168.200.1       01c8.84a1.cc2f.48       Dec 25 2024 11:09 AM    Automatic
SW1#

4. 아래처럼 capwap 명령어로도 확인 가능 합니다.

APC884.A1CC.2F48#show capwap ip
  config  CAPWAP IP static configuration
APC884.A1CC.2F48#show capwap ip config
IP Address                         : 192.168.200.1
IP netmask                         : 255.255.255.0
Default Gateway                    : 192.168.200.181

5. 패킷 상황

[*12/24/2024 10:49:41.9079] pid 4559's new affinity mask: 1
[*12/24/2024 10:49:42.0079] hostapd:failed to open wcp socket
[*12/24/2024 10:49:42.2878] device aptrace0 entered promiscuous mode
[*12/24/2024 10:49:43.0275] pid 4632's current affinity mask: 3
[*12/24/2024 10:49:43.0275] pid 4632's new affinity mask: 1
[*12/24/2024 10:49:43.6273] USB not initialized
[*12/24/2024 10:49:44.0372] chpasswd: password for user changed
[*12/24/2024 10:49:45.0069] ethernet_port wired0, ip 192.168.200.1, netmask 255.255.255.0, gw 192.168.200.181, mtu 1500, bcast 192.168.200.255, dns1 8.8.8.8, vid 0, static_ip_failover false, dhcp_vlan_failover false
[*12/24/2024 10:49:46.0366] Check whether client_ip_table entry need to be cleared 0
[*12/24/2024 10:49:46.0366] Clearing client entry
[*12/24/2024 10:49:46.1366] DOT11_TXP[0]:Domain configured: 1 class:E
[*12/24/2024 10:49:46.3365] DOT11_TXP[0]:Regdb file: /radio_fw/AP1852I_power_table_mapping.txt
[*12/24/2024 10:49:46.3665] DOT11_TXP[1]:Domain configured: 14 class:S
[*12/24/2024 10:49:46.8263] /etc/dnsmasq.host.conf:
[*12/24/2024 10:49:46.8363] no-resolv
[*12/24/2024 10:49:46.8363] pid-file=/var/run/dnsmasq.host.pid
[*12/24/2024 10:49:46.8363] port=53
[*12/24/2024 10:49:46.8363] min-port=61000
[*12/24/2024 10:49:46.8363] server=8.8.8.8
[*12/24/2024 10:49:46.8363] bind-interfaces
[*12/24/2024 10:49:46.8363] interface=lo
[*12/24/2024 10:49:47.1363] DOT11_TXP[1]:Regdb file: /radio_fw/AP1852I_power_table_mapping.txt
[*12/24/2024 10:49:47.4661] DOT11_DRV[1]: vendor_set_slot_capability: slot 1, radio_service_type 0
[*12/24/2024 10:49:47.4661] DOT11_DRV[1]: Init Radio1
[*12/24/2024 10:49:47.4961] DOT11_DRV[1]: set_channel Channel set to 36
[*12/24/2024 10:49:47.5261] DOT11_DRV[0]: vendor_set_slot_capability: slot 0, radio_service_type 0
[*12/24/2024 10:49:47.5261] DOT11_DRV[0]: Init Radio0
[*12/24/2024 10:49:47.5561] DOT11_DRV[0]: set_channel Channel set to 6
[*12/24/2024 10:49:47.9660] DOT11_DRV[0]: set_channel Channel set to 1
[*12/24/2024 10:49:47.9760] DOT11_DRV[0]: Channel set to 1, width 20
[*12/24/2024 10:49:47.9760] DOT11_DRV[0]: Channel set to 1 skipped
[*12/24/2024 10:49:48.3559] DOT11_DRV[0]: Channel set to 1, width 20
[*12/24/2024 10:49:48.3559] DOT11_DRV[0]: Channel set to 1 skipped
[*12/24/2024 10:49:48.4358] DOT11_DRV[1]: set_channel Channel set to 36
[*12/24/2024 10:49:48.4358] DOT11_DRV[1]: Channel set to 36, width 20
[*12/24/2024 10:49:48.4358] DOT11_DRV[1]: Channel set to 36 skipped
[*12/24/2024 10:49:48.5258] DOT11_DRV[1]: Channel set to 36, width 20
[*12/24/2024 10:49:48.5258] DOT11_DRV[1]: Channel set to 36 skipped
[*12/24/2024 10:49:54.5839] pid 4895's current affinity mask: 3
[*12/24/2024 10:49:54.5839] pid 4895's new affinity mask: 1
[*12/24/2024 10:49:55.2737] AP IPv4 Address updated from 0.0.0.0 to 192.168.200.1
[*12/24/2024 10:49:58.9726] dtls_init: Use MIC certificate
[*12/24/2024 10:49:59.2825]
[*12/24/2024 10:49:59.2825] CAPWAP State: Init
[*12/24/2024 10:50:08.5096] PNP:Server not reachable, Start CAPWAP Discovery
[*12/24/2024 10:50:08.5196]
[*12/24/2024 10:50:08.5196] CAPWAP State: Discovery
[*12/24/2024 10:50:08.5196] Got WLC address 192.168.100.182 from DHCP.
[*12/24/2024 10:50:08.7295] Discovery Request sent to 192.168.100.182, discovery type DHCP(2)
[*12/24/2024 10:50:08.7795] Discovery Response from 192.168.100.182
[*12/24/2024 10:50:08.9294] Discovery Request sent to 255.255.255.255, discovery type UNKNOWN(0)
[*12/24/2024 10:50:08.9494]
[*12/24/2024 10:50:08.9494] CAPWAP State: Discovery
[*12/24/2024 11:24:00.0000] Started wait dtls timer (60 sec)
[*12/24/2024 11:24:00.0000]
[*12/24/2024 11:24:00.0000] CAPWAP State: DTLS Setup
[*12/24/2024 11:24:00.0999] First connect to vWLC, accept vWLC by default
[*12/24/2024 11:24:00.0999]
[*12/24/2024 11:24:00.1099] dtls_verify_server_cert: vWLC is using SSC, returning 1
[*12/24/2024 11:24:00.1699]
[*12/24/2024 11:24:00.1699] CAPWAP State: Join
[*12/24/2024 11:24:00.3499] Sending Join request to 192.168.100.182 through port 5248, packet size 1376
[*12/24/2024 11:24:02.5492]
[*12/24/2024 11:24:02.5492] phy_value=0: org="0x1800" phy_reg="0x1000"
[*12/24/2024 11:24:02.5592] device wired1 left promiscuous mode
[*12/24/2024 11:24:02.5592]
[*12/24/2024 11:24:02.5592] Detect link-status changed !!
[*12/24/2024 11:24:02.5592] wired1 ADDED
[*12/24/2024 11:24:04.9185] Sending Join request to 192.168.100.182 through port 5248, packet size 1376
[*12/24/2024 11:24:05.0184] Join Response from 192.168.100.182, packet size 1397
[*12/24/2024 11:24:05.0184] AC accepted previous sent request with result code: 0
[*12/24/2024 11:24:05.0184] Received wlcType 0, timer 30
[*12/24/2024 11:24:05.0684] nss_capwapmgr_enable_tunnel[1682]:c5b68000: tunnel 0 is already enabled
[*12/24/2024 11:24:05.1284]
[*12/24/2024 11:24:05.1284] CAPWAP State: Image Data
[*12/24/2024 11:24:05.1284] AP image version 17.13.0.107 backup 17.8.0.144, Controller 17.13.0.107
[*12/24/2024 11:24:05.1284] Version is the same, do not need update.
[*12/24/2024 11:24:05.1884] status 'upgrade.sh: Script called with args:[NO_UPGRADE]'
[*12/24/2024 11:24:05.2384] do NO_UPGRADE, part2 is active part
[*12/24/2024 11:24:05.2584]
[*12/24/2024 11:24:05.2584] CAPWAP State: Configure
[*12/24/2024 11:24:05.2584] Telnet is not supported by AP, should not encode this payload
[*12/24/2024 11:24:05.4683] Radio [2] Administrative state DISABLED  change to ENABLED
[*12/24/2024 11:24:05.4683] Radio [1] Administrative state DISABLED  change to ENABLED
[*12/24/2024 11:24:05.4683] Radio [0] Administrative state DISABLED  change to ENABLED
[*12/24/2024 11:24:05.4783] DOT11_CFG[1]: Starting radio 1
[*12/24/2024 11:24:05.4783] DOT11_DRV[1]: Start Radio1 - Begin
[*12/24/2024 11:24:05.4783] DOT11_DRV[1]: Start Radio1 - End
[*12/24/2024 11:24:05.4783] DOT11_CFG[0]: Starting radio 0
[*12/24/2024 11:24:05.4783] DOT11_DRV[0]: Start Radio0 - Begin
[*12/24/2024 11:24:05.4883] DOT11_DRV[0]: Start Radio0 - End
[*12/24/2024 11:24:05.9681] Radio Authority: no country code
[*12/24/2024 11:24:05.9881] Cannot open CDUMP_COUNT!
[*12/24/2024 11:24:06.1081]
[*12/24/2024 11:24:06.1081] CAPWAP State: Run
[*12/24/2024 11:24:06.1881] AP has joined controller WLC01
[*12/24/2024 11:24:06.2980] Previous AP mode is 0, change to 2
[*12/24/2024 11:24:06.3080] DOT11_CFG[0] Radio Mode is changed from Local to FlexConnect
[*12/24/2024 11:24:06.3080] DOT11_DRV[0]: Stop Radio0 - Begin
[*12/24/2024 11:24:06.3080] DOT11_DRV[0]: Stop Radio0 - End
[*12/24/2024 11:24:06.3080] DOT11_CFG[0]: Starting radio 0
[*12/24/2024 11:24:06.3080] DOT11_DRV[0]: Start Radio0 - Begin
[*12/24/2024 11:24:06.3080] DOT11_DRV[0]: Start Radio0 - End
[*12/24/2024 11:24:06.3180] DOT11_CFG[1] Radio Mode is changed from Local to FlexConnect
[*12/24/2024 11:24:06.3180] DOT11_DRV[1]: Stop Radio1 - Begin
[*12/24/2024 11:24:06.3280] DOT11_DRV[1]: Stop Radio1 - End
[*12/24/2024 11:24:06.3280] DOT11_CFG[1]: Starting radio 1
[*12/24/2024 11:24:06.3280] DOT11_DRV[1]: Start Radio1 - Begin
[*12/24/2024 11:24:06.3280] DOT11_DRV[1]: Start Radio1 - End
[*12/24/2024 11:24:06.4980] DOT11_DRV[0]: Stop Radio0 - Begin
[*12/24/2024 11:24:06.4980] DOT11_DRV[0]: Stop Radio0 - End
[*12/24/2024 11:24:06.4980] DOT11_DRV[0]: Start Radio0 - Begin
[*12/24/2024 11:24:06.4980] DOT11_DRV[0]: Start Radio0 - End
[*12/24/2024 11:24:06.8778] USB Device Disconnected from the AP
[*12/24/2024 11:24:07.0678] syslog level is being set to 70
[*12/24/2024 11:24:07.0678]
[*12/24/2024 11:24:07.1078] Previous AP mode is 2, change to 2
[*12/24/2024 11:24:07.1378] Current session mode: ssh, Configured: Telnet-No, SSH-No, Console-Yes
[*12/24/2024 11:24:07.1378]
[*12/24/2024 11:24:07.3577] Current session mode: telnet, Configured: Telnet-No, SSH-No, Console-Yes
[*12/24/2024 11:24:07.3577]
[*12/24/2024 11:24:07.3777] Current session mode: console, Configured: Telnet-No, SSH-No, Console-Yes
[*12/24/2024 11:24:07.3777]
[*12/24/2024 11:24:07.4377] chpasswd: password for user changed
[*12/24/2024 11:24:07.4877] chpasswd: password for user changed
[*12/24/2024 11:24:07.6476]
[*12/24/2024 11:24:07.6476] Same LSC mode, no action needed
[*12/24/2024 11:24:07.6476] Cannot open CDUMP_COUNT!
[*12/24/2024 11:24:07.9275] Same value is already set.
[*12/24/2024 11:24:08.3674] Got WSA Server config TLVs
[*12/24/2024 11:24:09.5470] Socket: Valid Element: wcp/wcp_db Handler: set_vlan_name_map Data: null Length: 10
[*12/24/2024 11:24:11.2565] SD AVC only supports 802.11ax AP
[*12/24/2024 11:24:11.7963] AP tag  change to default-policy-tag
[*12/24/2024 11:24:32.6698] ip6_port srcr2, ip6local fe80::ca84:a1ff:fecc:2f48, ip6 ::, plen 0, gw6 ::, gw6_mac 00:00:00:00:00:00, mtu 1500, vid 0, mode6 2(slaac)
[*12/24/2024 11:24:34.6392] netlink socket init done, pnl->spectral_fd=4
[*12/24/2024 11:24:34.6392] CLEANAIR: Slot 0 admin disabled
[*12/24/2024 11:24:36.6385] CLEANAIR: Slot 1 admin disabled

6. WLC GUI에서 AP 등록 되었는지 확인 합니다.

별도 설정이 없으면, AP가 WLC에 붙으면 Policy Tag, Site Tag, RF Tag, Location이 Default로 설정 됩니다.

지금까지 [C9800CL][#5]-AP Join Process - DHCP option 43 글을 읽어주셔서 감사합니다.

저작자표시 (새창열림)

'CISCO > 무선' 카테고리의 다른 글

[C9800CL][#7]- AP authentication - AP MAC on WLC (0)	2024.12.25
[C9800CL][#6]-AP hostname를 이용해서 Tag 할당하기 (0)	2024.12.24
[C9800CL][#4]-AP Join Process - Manual Method (0)	2024.12.24
[C9800CL][#3]-AP Join Process (0)	2024.12.24
[C9800CL][#2]-AP Installation with existing WLC (1)	2024.10.23

안녕하세요.

오늘은 AP를 직접 IP주소랑 Default Gateway를 설정하고 WLC에 Manuall하게 등록해 보겠습니다.

테스트 IP주소 입니다.

AP IP: 192.168.200.200

AP GW: 192.168.200.181

WLC: 192.168.100.182

AP주소를 초기에 설정시 아래와 같이 Username/Passowrd는 Cisco 입니다.

Username: Cisco
Password: Cisco
APC884.A1CC.2F48>en
Password: Cisco
APC884.A1CC.2F48#

1. AP에 IP주소랑 Gateway를 설정 합니다.

capwap ap ip 192.168.200.200 255.255.255.0 192.168.200.181

IP주소를 입력하면 CAPWAP discovery 패킷을 Broadcase를 사용 해서 전송 하고 있습니다.

하지만 AP랑 WLC가 같은 L2도메인 안에 없기 때문에, WLC 찾을수 없습니다.

[*12/24/2024 10:37:43.9513] Check whether client_ip_table entry need to be cleared 0
[*12/24/2024 10:37:43.9613] Clearing client entry
[*12/24/2024 10:37:46.6105] AP IPv4 Address updated from 0.0.0.0 to 192.168.200.200
[*12/24/2024 10:37:46.6305] send CAPWAP ctrl msg to the socket: Socket operation on non-socket
[*12/24/2024 10:37:46.6305] dtls_init: Use MIC certificate
[*12/24/2024 10:37:46.9404]
[*12/24/2024 10:37:46.9404] CAPWAP State: Init
[*12/24/2024 10:38:02.6655] PNP:Server not reachable, Start CAPWAP Discovery
[*12/24/2024 10:38:02.6855]
[*12/24/2024 10:38:02.6855] CAPWAP State: Discovery
[*12/24/2024 10:38:02.8954] Discovery Request sent to 255.255.255.255, discovery type UNKNOWN(0)
[*12/24/2024 10:38:02.9054]
[*12/24/2024 10:38:02.9054] CAPWAP State: Discovery

2. AP Hostname를 변경하고 WLC주소를 입력합니다.

APC884.A1CC.2F48#capwap ap hostname AP01
APC884.A1CC.2F48#capwap ap primary-base WLC01 192.168.100.182

아래처럼 WLC가 Discovery Response 패킷을 전송하였습니다.

그리고 Found Confirued WLC01 이후 DTLS setup 시작 합니다.

[*12/24/2024 10:40:01.2284] CAPWAP State: Discovery
[*12/24/2024 10:40:01.4283] Discovery Request sent to 192.168.100.182, discovery type STATIC_CONFIG(1)
[*12/24/2024 10:40:01.6383] Discovery Request sent to 192.168.100.182, discovery type STATIC_CONFIG(1)
[*12/24/2024 10:40:01.8382] Discovery Request sent to 255.255.255.255, discovery type UNKNOWN(0)
[*12/24/2024 10:40:01.8482] Discovery Response from 192.168.100.182
[*12/24/2024 10:40:01.8482] Found Configured MWAR 'WLC01' (respIdx 0).
[*12/24/2024 10:41:34.0000] Started wait dtls timer (60 sec)
[*12/24/2024 10:41:34.0000]
[*12/24/2024 10:41:34.0000] CAPWAP State: DTLS Setup
[*12/24/2024 10:41:34.0399] Invalid event 2 & state 3 combination.
[*12/24/2024 10:41:34.0399] CAPWAP SM handler: Failed to process message type 2 state 3.
[*12/24/2024 10:41:34.0399] Failed to handle capwap control message from controller - status 1
[*12/24/2024 10:41:34.0399] Failed to process unencrypted capwap packet 0x2c1ab000 from 192.168.100.182
[*12/24/2024 10:41:34.0399] Failed to send capwap message 0 to the state machine. Packet already freed.
[*12/24/2024 10:41:34.0999] First connect to vWLC, accept vWLC by default
[*12/24/2024 10:41:34.0999]
[*12/24/2024 10:41:34.1399] dtls_verify_server_cert: vWLC is using SSC, returning 1
[*12/24/2024 10:41:34.2099]
[*12/24/2024 10:41:34.2099] CAPWAP State: Join
[*12/24/2024 10:41:34.3699] Sending Join request to 192.168.100.182 through port 5248, packet size 1376
[*12/24/2024 10:41:39.0884] Sending Join request to 192.168.100.182 through port 5248, packet size 1376
[*12/24/2024 10:41:39.1784] Join Response from 192.168.100.182, packet size 1397
[*12/24/2024 10:41:39.1784] AC accepted previous sent request with result code: 0
[*12/24/2024 10:41:39.1784] Received wlcType 0, timer 30
[*12/24/2024 10:41:39.2284] nss_capwapmgr_enable_tunnel[1682]:ef30c000: tunnel 0 is already enabled
[*12/24/2024 10:41:39.3183]
[*12/24/2024 10:41:39.3183] CAPWAP State: Image Data
[*12/24/2024 10:41:39.3183] AP image version 17.13.0.107 backup 17.8.0.144, Controller 17.13.0.107
[*12/24/2024 10:41:39.3183] Version is the same, do not need update.
[*12/24/2024 10:41:39.3883] status 'upgrade.sh: Script called with args:[NO_UPGRADE]'
[*12/24/2024 10:41:39.4383] do NO_UPGRADE, part2 is active part
[*12/24/2024 10:41:39.4483]
[*12/24/2024 10:41:39.4483] CAPWAP State: Configure
[*12/24/2024 10:41:39.6682] Radio [2] Administrative state DISABLED  change to ENABLED
[*12/24/2024 10:41:39.6782] Radio [1] Administrative state DISABLED  change to ENABLED
[*12/24/2024 10:41:39.6782] Radio [0] Administrative state DISABLED  change to ENABLED
[*12/24/2024 10:41:39.6782] DOT11_CFG[1]: Starting radio 1
[*12/24/2024 10:41:39.6782] DOT11_DRV[1]: Start Radio1 - Begin
[*12/24/2024 10:41:39.6782] DOT11_DRV[1]: Start Radio1 - End
[*12/24/2024 10:41:39.6782] DOT11_CFG[0]: Starting radio 0
[*12/24/2024 10:41:39.6782] DOT11_DRV[0]: Start Radio0 - Begin
[*12/24/2024 10:41:39.6882] DOT11_DRV[0]: Start Radio0 - End
[*12/24/2024 10:41:40.1481] Radio Authority: no country code
[*12/24/2024 10:41:40.1581] Cannot open CDUMP_COUNT!
[*12/24/2024 10:41:40.2680]
[*12/24/2024 10:41:40.2680] CAPWAP State: Run
[*12/24/2024 10:41:40.3480] AP has joined controller WLC01
[*12/24/2024 10:41:40.3980] Previous AP mode is 0, change to 2
[*12/24/2024 10:41:40.4080] DOT11_CFG[0] Radio Mode is changed from Local to FlexConnect
[*12/24/2024 10:41:40.4280] DOT11_DRV[0]: Stop Radio0 - Begin
[*12/24/2024 10:41:40.4380] DOT11_DRV[0]: Stop Radio0 - End
[*12/24/2024 10:41:40.4380] DOT11_CFG[0]: Starting radio 0
[*12/24/2024 10:41:40.4380] DOT11_DRV[0]: Start Radio0 - Begin
[*12/24/2024 10:41:40.4380] DOT11_DRV[0]: Start Radio0 - End
[*12/24/2024 10:41:40.4380] DOT11_CFG[1] Radio Mode is changed from Local to FlexConnect
[*12/24/2024 10:41:40.4480] DOT11_DRV[1]: Stop Radio1 - Begin
[*12/24/2024 10:41:40.4480] DOT11_DRV[1]: Stop Radio1 - End
[*12/24/2024 10:41:40.4480] DOT11_CFG[1]: Starting radio 1
[*12/24/2024 10:41:40.4480] DOT11_DRV[1]: Start Radio1 - Begin
[*12/24/2024 10:41:40.4480] DOT11_DRV[1]: Start Radio1 - End
[*12/24/2024 10:41:40.5779] DOT11_DRV[0]: Stop Radio0 - Begin
[*12/24/2024 10:41:40.5779] DOT11_DRV[0]: Stop Radio0 - End
[*12/24/2024 10:41:40.5779] DOT11_DRV[0]: Start Radio0 - Begin
[*12/24/2024 10:41:40.5879] DOT11_DRV[0]: Start Radio0 - End
[*12/24/2024 10:41:41.1178] syslog level is being set to 70
[*12/24/2024 10:41:41.1178]
[*12/24/2024 10:41:41.1578] Previous AP mode is 2, change to 2
[*12/24/2024 10:41:41.1678] Current session mode: ssh, Configured: Telnet-No, SSH-No, Console-Yes
[*12/24/2024 10:41:41.1678]
[*12/24/2024 10:41:41.3977] Current session mode: telnet, Configured: Telnet-No, SSH-No, Console-Yes
[*12/24/2024 10:41:41.3977]
[*12/24/2024 10:41:41.4177] Current session mode: console, Configured: Telnet-No, SSH-No, Console-Yes
[*12/24/2024 10:41:41.4177]
[*12/24/2024 10:41:41.4777] chpasswd: password for user changed
[*12/24/2024 10:41:41.4977] USB Device Disconnected from the AP
[*12/24/2024 10:41:41.5376] chpasswd: password for user changed
[*12/24/2024 10:41:41.7176]
[*12/24/2024 10:41:41.7176] Same LSC mode, no action needed
[*12/24/2024 10:41:41.7176] Cannot open CDUMP_COUNT!
[*12/24/2024 10:41:41.8975] Same value is already set.
[*12/24/2024 10:41:42.3374] Got WSA Server config TLVs
[*12/24/2024 10:41:43.6270] Socket: Valid Element: wcp/wcp_db Handler: set_vlan_name_map Data: null Length: 10
[*12/24/2024 10:41:45.3265] SD AVC only supports 802.11ax AP
[*12/24/2024 10:41:45.8563] AP tag  change to default-policy-tag
[*12/24/2024 10:42:08.7391] netlink socket init done, pnl->spectral_fd=4
[*12/24/2024 10:42:08.7391] CLEANAIR: Slot 0 admin disabled
[*12/24/2024 10:42:10.7385] CLEANAIR: Slot 1 admin disabled

AP01#[*12/24/2024 10:42:36.8903] Warning: Stopping dbg_day0_bundle.service, but it can still be activated by:
[*12/24/2024 10:42:36.8903]   dbg_day0_bundle.timer

AP01#

3. 이번에는 WLC GUI에 접속해서 AP를 확인해보겠습니다.

Monitoring ->Wireless ->AP statistics 클릭 합니다.

아래 사진처럼 AP01이 WLC에 등록이 되었고 Admin Status를 표시면 초록색으로 정상적입니다.

테스트를 위해서 WLC GUI에서 AP를 Reset 합니다.

AP를 더블클릭 합니다.

지금까지 [C9800CL][#3]-AP Join Process - Manual Method 글을 읽어주셔서 감사합니다.

다음글은 DHCP option43를 이용해서 AP를 WLC에 등록 하는 글을 다루겠습니다.

저작자표시 (새창열림)

'CISCO > 무선' 카테고리의 다른 글

[C9800CL][#6]-AP hostname를 이용해서 Tag 할당하기 (0)	2024.12.24
[C9800CL][#5]-AP Join Process - DHCP option 43 (1)	2024.12.24
[C9800CL][#3]-AP Join Process (0)	2024.12.24
[C9800CL][#2]-AP Installation with existing WLC (1)	2024.10.23
[C9800CL][#1]-WLC Configuration Setup Wizard (0)	2024.10.08

안녕하세요.

오늘은 AP가 WLC에 등록할때 AP입장에서 패킷이 어떻게 진행되는지 알아보겠습니다.

시스코 공식 홈페이지에 나와 있는지 문서 입니다.

https://www.cisco.com/c/en/us/support/docs/wireless/catalyst-9120axe-access-point/221056-understand-the-ap-join-process-with-the.html

Understand the AP Join Process with the Catalyst 9800 WLC

This document describes in detail the AP Join Process with the Cisco Catalyst 9800 WLC.

www.cisco.com

만약에 WLC에 다른 지역에 있는 상황이라면
Note: As per RFC 5415, CAPWAP uses the UDP Ports 5246 (for CAPWAP Control) and 5247 (for CAPWAP Data).

위에 포트는 방화벽에서 허용 되어야 합니다.

Session Establishment Process.

Access Point sends a Discovery Request. See the WLC Discovery Methods section for more information on this
WLC sends a Discovery Response
DTLS session establishment. After this, all messages after this are encrypted and are shown as DTLS application data packets in any packet analysis tool.
Access Point sends a Join Request
WLC sends a Join Response
AP performs an image check. If it has the same image version as the WLC, then it proceeds with the next step. If it does not, then it downloads the image from the WLC and reboots to load the new image. In such case, it repeats the process from step 1.
Access Point sends a Configuration Status Request.
WLC sends a Configuration Status Response
Access Point goes to RUN State
During the RUN state, CAPWAP Tunnel Maintenance is pefrormed in two ways:
1. Keepalives are exchanged to mantain the CAPWAP Data tunnel
2. AP sends an Echo Request to the WLC, which has to be answered with its respective Echo Response. This is to mantain the CAPWAP Control tunnel.

Wireless LAN Controller Discovery Methods

There are several options to let the Access Points know of the existance of one WLC in the network:

DHCP Option 43: This option provides the APs the IPv4 address of the WLC to join. This process is convenient for large deployments in which the APs and the WLC are in different sites.
DNS Discovery: APs queries the domain name CISCO-CAPWAP-CONTROLLER.localdomain. You must configure your DNS server to resolve either the IPv4 or IPv6 address of the WLC tto join. This option is convenient for deployments in which the WLCs are stored in the same site as the APs.
Layer 3 Broadcast: The APs automatically send a broadcast message to 255.255.255.255. Any WLC within the same subnet as the AP is expected to respond to this discovery request.
Static configuration: You can use the capwap ap primary-base <wlc-hostname> <wlc-IP-address> command to configure a static entry for a WLC in the AP.
Mobility Discovery: If the AP was previously joined to a WLC that was part of a mobility group, the AP also saves a record of the WLCs present in that mobility group.

저희는 위에 방식중에 2가지를 테스트 해보겠습니다.

1. Static Configuration - AP에서 IP주소랑 Default Gateway를 설정하고 수동으로 WLC IP주소를 입력해서 WLC에 AP를 등록하겠습니다.

2. DHCP option 43 - DHCP를 이용해서 AP에 IP주소랑 Default Gateway를 할당하고 WLC주소도 같이 할당하여 AP를 WLC에 등록하겠습니다.

테스트는 다음 과정에서 진행 하겠습니다.

저작자표시 (새창열림)

'CISCO > 무선' 카테고리의 다른 글

[C9800CL][#6]-AP hostname를 이용해서 Tag 할당하기 (0)	2024.12.24
[C9800CL][#5]-AP Join Process - DHCP option 43 (1)	2024.12.24
[C9800CL][#4]-AP Join Process - Manual Method (0)	2024.12.24
[C9800CL][#2]-AP Installation with existing WLC (1)	2024.10.23
[C9800CL][#1]-WLC Configuration Setup Wizard (0)	2024.10.08

안녕하세요.

이번에는 Active Directory 유저를 자동으로 Cisco duo에 동기화 하는 방법에 대해서 알아보겠습니다.

1. cisco duo cloud에 로그인 합니다.

2. Users -> Config -> Directory Sync 에서 Add external Directory클릭 합니다.

3. Active Directory를 선택 합니다.

4. Add new connection를 선택하고 Continue를 선택 합니다.

5. Save 버튼을 클릭 합니다.

6. Cloud랑 동기활수 있게 AD Syncs관련 정보들을 입력합니다.

[ad_client]
host=192.168.10.226
service_account_username=administrator
service_account_password=Kenshin1022^^
search_dn=DC=mylab,DC=local

[radius_server_auto]
ikey=DIVFB4IALR11DO65EAZC
skey=K1hWnsGLEweqcEPl5ZMI2zY3077xHnOMVAWjftO8
api_host=api-8b8ecdd5.duosecurity.com
radius_ip_1=10.10.10.254
radius_secret_1=Kenshin1022^^
failmode=safe
client=ad_client
port=1812

[cloud] - AD 동기 관련
ikey=DIANXM46WVDOZMG8SMKM
skey=G2DzN5xd86MGWOrKjaD3S6zBiOZXNJL80EmFzB2f
api_host=api-8b8ecdd5.duosecurity.com

7. Test Connection를 클릭 합니다.

8. Connection이 성공 하였습니다.

9. Active Directory에서 Group를 생성합니다.

Cisco duo

10. user를 생성하고 cisco duo 그룹에 추가 합니다.

11. 그리고 AD Sync3에서 Groups를 클릭해서 cisco duo를 선택합니다.

12. 강제로 User들을 Syn 합니다.

13, User가 자동으로 생성 되었습니다.

AD에서 User01를 삭제하고 다시 동기화 하면 계정이 Cisco DUO Cloud에서 계정이 자동으로 사라집니다.

14. AD에서 user01삭제하기

15. Cisco DUO CLOUD에서 싱크를 합니다.

16. 유저를 확인합니다. User01이 없습니다.

*** 다른 AD에서 Sync된 유저들은 영향을 받지 않습니다. ***

테스트 Active Directory3에서 kevin1를 삭제하고 AD3에서 Syn를 합니다.

1. kevin1 삭제

2. DUO Cloud에서 AD3 강제 SYNC

3. Kevin1은 그대로 있습니다. 이유는 kevin1은 AD3에서 Syn되어서 배워온 계정이 아니기때문 입니다.

지금까지 테스트를 같이 해보았습니다.

감사합니다.

저작자표시 (새창열림)

'CISCO > Cisco DUO' 카테고리의 다른 글

[Cisco DUO][#5]- 윈도우서버에서 로그인시 에러메시지 - Bad request timestamp 0 [40105] (0)	2025.06.06
CISCO DUO - Service Port - RADIUS, LDAP 제약사항 (0)	2025.01.17
[Cisco DUO][#2]- Windows Server Login or RDP 2FA - Bypass function (0)	2024.11.15
[Cisco DUO][#1]- Windows Server Login or RDP 2FA인증 (1)	2024.11.15

안녕하세요.

저번에 windows server 2019에 cisco DUO RDP를 설치 후 2FA테스트 하였습니다.

이번에는 BYPASS기능을 테스트 해보겠습니다.

cisco duo에 설정값이나 어떤 변수에 의해서 cisco duo를 통해서 인증이 실패하여 windows server 2019에 로그인 못하는 상황입니다.

2FA인증 대신 그냥 로컬 계정으로 이용하여 로그인 해보겠습니다.

우선 로컬 계정으로 이용해서 로그인 할려면 인터넷을 차단해야 합니다.

Cisco DUO RDP프로그램이 인터넷을 통해서 cisco duo cloud에 주기적으로 패킷을 보내서 통신이 가능 하면 로컬 계정을 통해서 로그인이 불가능 합니다.

1. 저는 VMware Esxi를 사용중이기 떄문에 랜카드를 그냥 연결 해지 합니다.

2. 패스워드를 입력합니다.

3. 로그인 가능 합니다.

4. 다시 로그아웃을 하고 랜카드를 연결합니다.

5. 그리고 로그인 시도하면 DUO 프로그램이 동작하고 push notification 메시지가 휴대폰으로 전송 됩니다.

6. 로그인이 성공 하였습니다.

이 기능을 사용 하기위해서는 설치 할때 Bypass기능에 체크가 되어져 있어야지 가능 합니다.

지금까지 글을 읽어주셔서 감사합니다.

저작자표시 (새창열림)

'CISCO > Cisco DUO' 카테고리의 다른 글

[Cisco DUO][#5]- 윈도우서버에서 로그인시 에러메시지 - Bad request timestamp 0 [40105] (0)	2025.06.06
CISCO DUO - Service Port - RADIUS, LDAP 제약사항 (0)	2025.01.17
[Cisco DUO][#4]- synchronize active directory user to cisco duo cloud (0)	2024.11.16
[Cisco DUO][#1]- Windows Server Login or RDP 2FA인증 (1)	2024.11.15

안녕하세요.

이번에는 Windows Server 로그인 또는 RDP에 접속 했을때 Cisco DUO를 통해서 인증을 받는 방법에 대해서 알아보겠습니다.

Cisco DUO 웹페이지에서 회원 가입을 하시면 30일동안 trial version으로 기능들을 사용 할수 있습니다.

이 글에서는 회원가입하는 방법에 대해서는 생략 하겠습니다.

1. Cisco DUO cloud 접속합니다.

2. Applications -> Protect an Application 선택합니다.

3. 그리고 RDP를 검색합니다. 그리고 Protect버튼을 클릭 합니다.

4. RDP documentation를 클릭 합니다.

5. First Steps and Duo Authentication for windows logon installer 를 다운로드 받습니다.

6. 파일을 실행해서 설치 합니다.

7. Cisco DUO에서 RDP Detail에 보시면 아래 정보들이 3가지 입니다.

API를 COPY하고 프로그램에 붙여넣기 합니다.

8. 이번에는 integeration Key랑 Secret Key 복사합니다.

9. 만약에 Cisco DUO가 문제 있을때 랜선을 빼서 offline으로 만들면 Local User로 로그인 가능합니다.

꼭 체크 합니다.

10. enable를 체크하고 next를 선택합니다.

11. Next 를 눌러서 설치를 진행하고 설치가 완료 되면 Finish버튼을 클릭 합니다.

12. 서버를 log-out하고 로그인을 시도 합니다.

하지만 로그인이 실패하였습니다.

이유는 Cisco DUO에 administrator 계정이 없습니다.

설정 방법은 크게 2가지가 있습니다.

1. Active Directory랑 cisco DUO랑 연동해서 자동으로 User들을 cisco DUO cloud에 등록하는 방법

2. 또는 cisco duo에서 수동으로 user를 등록하는 방법.

13. cisco DUO에서 계정을 생성합니다.

오른쪽 위에 Add User를 선택합니다.

14. 유저 이름에 administrator입력합니다.

그리고 add phone를 클릭 합니다.

15. 휴대폰을 입력하고 add phone를 선택합니다.

16. 계정과 휴대폰 번호가 추가 되었습니다.

이제 테스트 해보겠습니다.

저는 이미 휴대폰에 cisco DUO를 설치 했고 activation 한 상태에서 그냥 administrator를 추가 적으로 등록 했기 떄문에 바로 테스트 가능 합니다.

17. 패스워드를 입력 합니다.

18. AD인증은 끝났고 이제 DUO 프로그램이 cisco duo cloud에 패킷을 보내서 휴대폰 번호를 확인후 휴대폰으로 push 메시지를 전송 합니다.

19. Approve버튼을 클릭 합니다.

20. 로그인이 성공 하였습니다.

지금까지 windows server 2019에 cisco DUO RDP프로그램을 설치해서 2FA 연동해보았습니다.

저작자표시 (새창열림)

'CISCO > Cisco DUO' 카테고리의 다른 글

[Cisco DUO][#5]- 윈도우서버에서 로그인시 에러메시지 - Bad request timestamp 0 [40105] (0)	2025.06.06
CISCO DUO - Service Port - RADIUS, LDAP 제약사항 (0)	2025.01.17
[Cisco DUO][#4]- synchronize active directory user to cisco duo cloud (0)	2024.11.16
[Cisco DUO][#2]- Windows Server Login or RDP 2FA - Bypass function (0)	2024.11.15

안녕하세요.

이번에는 FTD랑 FMC를 설치 후 FMC를 통해서 FTD를 관리해보겠습니다.

토폴리지는 아래와 같습니다.

FTD01: MGMT IP 10.20.20.1/24 GW 10.20.20.254

FTD02: MGMT IP 10.20.20.2/24 GW 10.20.20.254

FMC01: MGMT IP 10.20.20.3/24 GW 10.20.20.254

FTD01: outside interface g0/0 - 192.168.100.101/24 GW 192.168.100.254

FTD01: Inside Interface g0/1 - 10.100.100.254

Virtual PC: 10.100.100.1/24 GW 10.100.100.254

이번은 블로그에서는 FTD HA는 생략 하겠습니다.

MGMT SW설정입니다. 현재 사용하시는 EVE-NG 구성도에 따라서 기본적인 설정값은 다를수 있습니다.

en
conf t
vlan 10
!\
interface GigabitEthernet0/1
switchport access vlan 10
switchport mode access
!
interface GigabitEthernet0/2
switchport access vlan 10
switchport mode access
!
interface GigabitEthernet0/3
switchport access vlan 10
switchport mode access
!
interface GigabitEthernet0/0
no switchport
ip address 192.168.10.233 255.255.255.0
negotiation auto
!nterface Vlan10
ip address 10.20.20.254 255.255.255.0
!
ip route 0.0.0.0 0.0.0.0 192.168.10.253
!

Vlan Check

MGMT_SW#show vlan brie

VLAN Name                             Status    Ports
---- -------------------------------- --------- -------------------------------
1    default                          active    Gi1/0, Gi1/1, Gi1/2, Gi1/3
10   VLAN0010                         active    Gi0/1, Gi0/2, Gi0/3
1002 fddi-default                     act/unsup
1003 token-ring-default               act/unsup
1004 fddinet-default                  act/unsup
1005 trnet-default                    act/unsup
MGMT_SW#

Interface Status check

MGMT_SW#show ip int brie
Interface              IP-Address      OK? Method Status                Protocol
GigabitEthernet0/1     unassigned      YES unset  up                    up
GigabitEthernet0/2     unassigned      YES unset  up                    up
GigabitEthernet0/3     unassigned      YES unset  up                    up
GigabitEthernet0/0     192.168.10.233  YES NVRAM  up                    up
GigabitEthernet1/0     unassigned      YES unset  up                    up
GigabitEthernet1/1     unassigned      YES unset  up                    up
GigabitEthernet1/2     unassigned      YES unset  up                    up
GigabitEthernet1/3     unassigned      YES unset  up                    up
Vlan10                 10.20.20.254    YES NVRAM  up                    up
MGMT_SW#

Routing Table check

MGMT_SW#show ip route
Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2
       i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
       ia - IS-IS inter area, * - candidate default, U - per-user static route
       o - ODR, P - periodic downloaded static route, H - NHRP, l - LISP
       a - application route
       + - replicated route, % - next hop override

Gateway of last resort is 192.168.10.253 to network 0.0.0.0

S*    0.0.0.0/0 [1/0] via 192.168.10.253
      10.0.0.0/8 is variably subnetted, 2 subnets, 2 masks
C        10.20.20.0/24 is directly connected, Vlan10
L        10.20.20.254/32 is directly connected, Vlan10
      192.168.10.0/24 is variably subnetted, 2 subnets, 2 masks
C        192.168.10.0/24 is directly connected, GigabitEthernet0/0
L        192.168.10.233/32 is directly connected, GigabitEthernet0/0
MGMT_SW#

Ping Test to Default Gateway

MGMT_SW# ping 192.168.10.253
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.10.253, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/3/7 ms
MGMT_SW#
MGMT_SW#

FTD01 MGMT 설정

default login information

admin/Admin123

로그인후 새로운 패스워드를 입력합니다.

MGMT IP주소를 입력 합니다.

show network 명령어를 통해서 MGMT IP주소를 확인합니다.

저작자표시 (새창열림)

'CISCO > FTD 방화벽' 카테고리의 다른 글

[FTD#6]-FPR FTD ASA Version Order - FPR3105-ASA-K9 (2)	2025.06.07
[FTD#5]-FPR FTD Convert to ASA Code (0)	2025.06.02
[FTD-#4]- cisco asa code (0)	2025.02.02
[FTD-#2]-FTD GUI 503 service unavailable issue troubleshoot (0)	2024.11.08
[FTD-#1]-FTD Basic Configuration (0)	2024.11.08

안녕하세요.

FTD MGMT IP: 192.168.100.11이고 PC에서 Ping도 잘 됩니다.

FTD GUI를 접속하면 아래와 같이 에러메시지 뜨면 해결 방법 입니다.

EVE-NG에서 FTD를 아이콘을 더블클릭 후 VNC안에서 명령어를 아래와 같이 입력합니다.

> configure manager local
> configure https-access-list 0.0.0.0/0

아래 처럼 접속 가능합니다.

만약에 곧바로 부팅후 접속 시도하면 위와 같이 에러 메시지 발생할수 있습니다.

10분정도 기다렸다가 다시 접속을 시도 합니다.

서버 또는 laptop 성능이 느리면 더 오래 걸릴수도 있습니다.

FTD를 중지 하고 CPU랑 MEM를 늘린후에 다시 부팅후 10분뒤에 접속을 다시 시도해 봅니다.

지금까지 글을 읽어주셔서 감사합니다.

저작자표시 (새창열림)

'CISCO > FTD 방화벽' 카테고리의 다른 글

[FTD#6]-FPR FTD ASA Version Order - FPR3105-ASA-K9 (2)	2025.06.07
[FTD#5]-FPR FTD Convert to ASA Code (0)	2025.06.02
[FTD-#4]- cisco asa code (0)	2025.02.02
[FTD-#3]- FTD managed by FMC (0)	2024.11.11
[FTD-#1]-FTD Basic Configuration (0)	2024.11.08

안녕하세요.

오늘은 FTD 기본 설정에 대해서 알아보겠습니다.

EVE-NG에 FTD를 설치 하기위해서는 아래 글을 참고 부탁드립니다.
https://itblog-kr.tistory.com/21

[2024][EVE-NG #11] Firepower(FTD) 방화벽 설치하기

안녕하세요. 오늘은 [2024][EVE-NG #11] Firepower6 (FTD) 방화벽 설치하기입니다. 1. 공식적인 사이트 링크는 아래와 같습니다. https://www.eve-ng.net/index.php/documentation/howtos/howto-add-cisco-firepower-6-x-images-set/

itblog-kr.tistory.com

FTD MGMT - Internet Connection - 192.168.10.231

g0/0 - Internet Connection - 192.168.10.232

g0/1 - LAN - Virtual PC에 연결 합니다. - 10.1.1.254/24

Virtual PC IP - 10.1.1.1/24

1. FTD를 부팅하고 더블클릭 합니다.

admin/Admin123 디폴트 로그인 정보입니다.

Enter를 입력합니다.

Enter를 입력합니다.

Password를 새로 입력합니다.

아래처럼 입력합니다.

IP: 192.168.10.231

Sunetmask; 255.255.255.0

Gw: 192.168.10.253

Manger the devies locally? yes를 입력합니다.

PC에서 Ping를 시도합니다.

https://192.168.10.231로 방화벽에 접속 합니다.

FTD를 로그인 합니다.

그렇게 장비 접속이 가능 합니다.

수동으로 장비를 설정할 예정입니다.

아래 처럼 디바이스 설정 건너뛰기를 선택하고 확인 버튼을 클릭합니다.

90일 평가 시작를 체크 하고 확인 버튼을 클릭합니다.

저작자표시 (새창열림)

'CISCO > FTD 방화벽' 카테고리의 다른 글

[FTD#6]-FPR FTD ASA Version Order - FPR3105-ASA-K9 (2)	2025.06.07
[FTD#5]-FPR FTD Convert to ASA Code (0)	2025.06.02
[FTD-#4]- cisco asa code (0)	2025.02.02
[FTD-#3]- FTD managed by FMC (0)	2024.11.11
[FTD-#2]-FTD GUI 503 service unavailable issue troubleshoot (0)	2024.11.08

안녕하세요.

오늘은 C9300 스위치에 SSH version2 설정하는 방법에 대해서 알아보겠습니다.

CISCO(config)#crypto key generate rsa usage-keys label tsi modulus 2048
CISCO(config)#ip ssh rsa keypair-name tsi

CISCO(config)#ip ssh time-out 120
CISCO (config)#ip ssh authentication-retries 2
CISCO (config)#ip ssh version 2

IP SSH Version2가 동작중인지 확인합니다

TSI-CORE-1#show ip ssh
SSH Enabled - version 2.0
Authentication methods:publickey,keyboard-interactive,password
Authentication Publickey Algorithms:ssh-rsa,ecdsa-sha2-nistp256,ecdsa-sha2-nistp384,ecdsa-sha2-nistp521,ssh-ed25519,x509v3-ecdsa-sha2-nistp256,x509v3-ecdsa-sha2-nistp384,x509v3-ecdsa-sha2-nistp521,rsa-sha2-256,rsa-sha2-512,x509v3-rsa2048-sha256
Hostkey Algorithms:rsa-sha2-512,rsa-sha2-256,ssh-rsa
Encryption Algorithms:chacha20-poly1305@openssh.com,aes128-gcm@openssh.com,aes256-gcm@openssh.com,aes128-gcm,aes256-gcm,aes128-ctr,aes192-ctr,aes256-ctr
MAC Algorithms:hmac-sha2-256-etm@openssh.com,hmac-sha2-512-etm@openssh.com
KEX Algorithms:curve25519-sha256,curve25519-sha256@libssh.org,ecdh-sha2-nistp256,ecdh-sha2-nistp384,ecdh-sha2-nistp521,diffie-hellman-group14-sha256,diffie-hellman-group16-sha512
Authentication timeout: 120 secs; Authentication retries: 2
Minimum expected Diffie Hellman key size : 2048 bits
IOS Keys in SECSH format(ssh-rsa, base64 encoded): tsi
Modulus Size : 2048 bits
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQC8nSDDZYuJN/N6SDsUqBMv/U9EXkwwbKVF1Io306Zx
eiflK5kGHYm5yC9EaEagSQcs2LZjS1fa9s6wKo0TId4+J45APh3Y0W2KMmYSCWzaXOgstVbFQMWNzITq
uutzVWZJKvKV5VPCyXORBuavM9AbAlRcSaUlnxyD85OF50pX98XgZoQV50q2QYrVr/nEcv+1hyYefcLh
Zy1UzLpNsUWhX8kU+9EeDNqveX/OMQr/VKxiLCcmJEoIhQ9Yo/ELu0V5VHqAE2WK93fSeDDF02EdzktT
fKvhWVLcKELiuiody/RBVEk2c++q/LBIaWw9pdE2Q1vPxMrouhQa4BGp8ljV
TSI-CORE-1#

테스트를 위해서 int vlan1에 IP를 10.1.1.1 설정합니다.

interface Vlan1
ip address 10.1.1.1 255.255.255.0
end

그리고 VTY를 설정합니다

TSI-CORE-1(config)#line vty 0 15
TSI-CORE-1(config-line)#login local
TSI-CORE-1(config-line)#transport input ssh
TSI-CORE-1(config-line)#end

PC에 IP를 10.1.1.2 설정하고 케이블을 스위치 VLAN1 포트에 연결합니다.

지금까지 C9300 스위치에 SSH version2를 설정하고 테스트 하는 방법에 대해서 알아보았습니다

지금까지 글을 읽어주셔서 감사합니다.

저작자표시 (새창열림)

'CISCO > 스위칭' 카테고리의 다른 글

[C9300-#1]- Traditional mode/Smart Licensing mode/Smart Licensing with the use of Policy mode (0)	2025.02.03
Cisco IOS recommendation (0)	2025.01.11
C9300-Stack Switch IOS Upgrade (1)	2024.10.24
Cat9300 Switch Stack Installation (1)	2024.10.24
Cat9300L Switch License Registration to cisco CSSM (0)	2024.10.02

안녕하세요.

오늘은 C9300 Stack 스위치 IOS Upgrade에 대해서 알아보도록 하겠습니다.

현재 버전을 확인 하기 위해서 show version을 입력 합니다.

Switch Ports Model              SW Version        SW Image              Mode
------ ----- -----              ----------        ----------            ----
*    1 41    C9300-24T          17.12.03          CAT9K_IOSXE           INSTALL
     2 41    C9300-24T          17.12.03          CAT9K_IOSXE           INSTALL

시스코 홈페이지를 접속해서 현재 시점에서 C9300-24T에 IOS 추천 버전을 확인 합니다.

https://software.cisco.com/download/home/286313829/type/286308587/release/17.12.4?i=!pp

현재 시스코 추천 IOS는 17.12.04 입니다.

이미지 파일을 다운로드 합니다.

USB를 준비 합니다.

USB에 이미지 파일을 복사 합니다.

그리고 USB를 Master SW에 연결 합니다.

첫번째 로그를 보시면 USB0이 정상적으로 인식 된걸 확인 할 수 있습니다.

그리고 file를 확인해 보면 아래와 같이 2개 파일을 확인 가능합니다.

npe - no payload 이미지 파일입니다.

우리는 payload 이미지 파일을 설치 해보겠습니다

Oct 24 07:32:00.763: %IOSD_INFRA-6-IFS_DEVICE_OIR: Device usbflash0 added.

Switch#dir usbflash0: | in 17.12
463 -rwx 1303572959 Oct 12 2024 23:17:02 +00:00 cat9k_iosxe_npe.17.12.04.SPA.bin
464 -rwx 1306917133 Oct 12 2024 22:57:34 +00:00 cat9k_iosxe.17.12.04.SPA.bin

1. usb0에 이미지 파일을 복사하기 전에 불필요한 파일을 삭제합니다.

Switch#install remove inactive
install_remove: START Thu Oct 24 07:35:45 UTC 2024
install_remove: Removing IMG
Cleaning up unnecessary package files
No path specified, will use booted path /flash/packages.conf

Cleaning /flash
  Scanning boot directory for packages ... done.
  Preparing packages list to delete ...
    [R0]: /flash/cat9k-cc_srdriver.17.12.03.SPA.pkg File is in use, will not delete.
    [R1]: /flash/cat9k-cc_srdriver.17.12.03.SPA.pkg File is in use, will not delete.
    [R0]: /flash/cat9k-espbase.17.12.03.SPA.pkg File is in use, will not delete.
    [R1]: /flash/cat9k-espbase.17.12.03.SPA.pkg File is in use, will not delete.
    [R0]: /flash/cat9k-guestshell.17.12.03.SPA.pkg File is in use, will not delete.
    [R1]: /flash/cat9k-guestshell.17.12.03.SPA.pkg File is in use, will not delete.
    [R0]: /flash/cat9k-lni.17.12.03.SPA.pkg File is in use, will not delete.
    [R1]: /flash/cat9k-lni.17.12.03.SPA.pkg File is in use, will not delete.
    [R0]: /flash/cat9k-rpbase.17.12.03.SPA.pkg File is in use, will not delete.
    [R1]: /flash/cat9k-rpbase.17.12.03.SPA.pkg File is in use, will not delete.
    [R0]: /flash/cat9k-sipbase.17.12.03.SPA.pkg File is in use, will not delete.
    [R1]: /flash/cat9k-sipbase.17.12.03.SPA.pkg File is in use, will not delete.
    [R0]: /flash/cat9k-sipspa.17.12.03.SPA.pkg File is in use, will not delete.
    [R1]: /flash/cat9k-sipspa.17.12.03.SPA.pkg File is in use, will not delete.
    [R0]: /flash/cat9k-srdriver.17.12.03.SPA.pkg File is in use, will not delete.
    [R1]: /flash/cat9k-srdriver.17.12.03.SPA.pkg File is in use, will not delete.
    [R0]: /flash/cat9k-webui.17.12.03.SPA.pkg File is in use, will not delete.
    [R1]: /flash/cat9k-webui.17.12.03.SPA.pkg File is in use, will not delete.
    [R0]: /flash/cat9k-wlc.17.12.03.SPA.pkg File is in use, will not delete.
    [R1]: /flash/cat9k-wlc.17.12.03.SPA.pkg File is in use, will not delete.
    [R0]: /flash/packages.conf File is in use, will not delete.
    [R1]: /flash/packages.conf File is in use, will not delete.
    [R0]: /flash/cat9k-rpboot.17.12.03.SPA.pkg File is in use, will not delete.
    [R1]: /flash/cat9k-rpboot.17.12.03.SPA.pkg File is in use, will not delete.

SUCCESS: No extra package or provisioning files found on media. Nothing to clean.
SUCCESS: Files deleted.

--- Starting Post_Remove_Cleanup ---
Performing REMOVE_POSTCHECK on all members
Finished Post_Remove_Cleanup
SUCCESS: install_remove Thu Oct 24 07:35:45 UTC 2024
Switch#
*Oct 24 07:35:45.573: %INSTALL-5-INSTALL_START_INFO: Switch 1 R0/0: install_mgr: Started install remove
*Oct 24 07:35:45.690: %INSTALL-5-INSTALL_COMPLETED_INFO: Switch 1 R0/0: install_mgr: Completed install remove
Switch#

2. usb에 있는 이미지 파일을 복사 합니다.

Switch#copy usbflash0:cat9k_iosxe.17.12.04.SPA.bin flash:
Destination filename [cat9k_iosxe.17.12.04.SPA.bin]?
Copy in progress...CCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCC CCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCC CCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCC CCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCC CCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCC CCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCC CCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCCC

3. 이미지 파일이 정상적으로 복사가 되었는지 무결성 검사를 합니다.

1e3ab8c2357b33784373b626c190b907

Switch#verify /md5 flash:/cat9k_iosxe.17.12.04.SPA.bin
...................................

verify /md5 (flash:/cat9k_iosxe.17.12.04.SPA.bin) = 1e3ab8c2357b33784373b626c190b907

4. install mode는 packages.conf 파일을 사용하기 때문에 설정값이 제대로 맞는지 다시 한번 확인합니다.

Switch(config)#boot system flash:packages.conf

Switch#show boot system
---------------------------
Switch 1
---------------------------
Current Boot Variables:
BOOT variable = flash:packages.conf;

Boot Variables on next reload:
BOOT variable = flash:packages.conf;
Manual Boot = no
Enable Break = no
Boot Mode = DEVICE
iPXE Timeout = 0
---------------------------
Switch 2
---------------------------
Current Boot Variables:
BOOT variable = flash:packages.conf;

Boot Variables on next reload:
BOOT variable = flash:packages.conf;
Manual Boot = no
Enable Break = no
Boot Mode = DEVICE
iPXE Timeout = 0

Switch# wr

5. IOS를 업그레이드 합니다.

이미지 파일이 Standby SW에 복사를 시도 합니다. 그리고 IOS 업그레이드 시작합니다.

Switch# install add file flash:cat9k_iosxe.17.12.04.SPA.bin activate commit

Copying flash:cat9k_iosxe.17.12.04.SPA.bin from Switch 1 to Switch 1 2

*Oct 24 07:44:43.996: %INSTALL-5-INSTALL_START_INFO: Switch 1 R0/0: install_mgr: Started install add_activate_commit flash:cat9k_iosxe.17.12.04.SPA.bi

6. 복사가 완료 되고 IOS 버전 업그레이드를 시작 합니다. 그리고 Y를 선택합니다.

시간이 꽤 걸립니다. 인내심을 가지고 기다립니다.

--- Starting Add ---
Performing Add on all members

Finished Add

install_activate: START Thu Oct 24 07:46:56 UTC 2024
install_activate: Activating IMG
Following packages shall be activated:
/flash/cat9k-cc_srdriver.17.12.04.SPA.pkg
/flash/cat9k-espbase.17.12.04.SPA.pkg
/flash/cat9k-guestshell.17.12.04.SPA.pkg
/flash/cat9k-lni.17.12.04.SPA.pkg
/flash/cat9k-rpbase.17.12.04.SPA.pkg
/flash/cat9k-sipbase.17.12.04.SPA.pkg
/flash/cat9k-sipspa.17.12.04.SPA.pkg
/flash/cat9k-srdriver.17.12.04.SPA.pkg
/flash/cat9k-webui.17.12.04.SPA.pkg
/flash/cat9k-wlc.17.12.04.SPA.pkg
/flash/cat9k-rpboot.17.12.04.SPA.pkg

This operation may require a reload of the system. Do you want to proceed? [y/n]
*Oct 24 07:46:56.671: %INSTALL-5-INSTALL_START_INFO: Switch 1 R0/0: install_mgr: Started install activate NONEy

--- Starting Activate ---
Performing Activate on all members
[1] Activate package(s) on Switch 1
[2] Activate package(s) on Switch 2

7. 부팅이 완료 되면 로그인을 합니다. 그리고 패키지를 확인합니다.

Switch#dir flash:*.pkg
Directory of flash:/*.pkg

Directory of flash:/

155652  -rw-    29475848  Aug 24 2024 14:42:02 +00:00  cat9k-cc_srdriver.17.12.03.SPA.pkg
155653  -rw-   168936452  Aug 24 2024 14:42:02 +00:00  cat9k-espbase.17.12.03.SPA.pkg
155654  -rw-     2155524  Aug 24 2024 14:42:02 +00:00  cat9k-guestshell.17.12.03.SPA.pkg
155655  -rw-   120792064  Aug 24 2024 14:42:02 +00:00  cat9k-lni.17.12.03.SPA.pkg
155656  -rw-   763909120  Aug 24 2024 14:42:04 +00:00  cat9k-rpbase.17.12.03.SPA.pkg
155657  -rw-    48714756  Aug 24 2024 14:42:04 +00:00  cat9k-sipbase.17.12.03.SPA.pkg
155658  -rw-    56374272  Aug 24 2024 14:42:04 +00:00  cat9k-sipspa.17.12.03.SPA.pkg
155659  -rw-    41284612  Aug 24 2024 14:42:05 +00:00  cat9k-srdriver.17.12.03.SPA.pkg
155660  -rw-    17875968  Aug 24 2024 14:42:05 +00:00  cat9k-webui.17.12.03.SPA.pkg
155661  -rw-        9216  Aug 24 2024 14:42:05 +00:00  cat9k-wlc.17.12.03.SPA.pkg
155663  -rw-    61872038  Aug 24 2024 14:42:05 +00:00  cat9k-rpboot.17.12.03.SPA.pkg
327687  -rw-    29471752  Jul 23 2024 17:01:12 +00:00  cat9k-cc_srdriver.17.12.04.SPA.pkg
327688  -rw-   169464836  Jul 23 2024 17:01:58 +00:00  cat9k-espbase.17.12.04.SPA.pkg
327689  -rw-     2155524  Jul 23 2024 17:01:05 +00:00  cat9k-guestshell.17.12.04.SPA.pkg
327690  -rw-   111498240  Jul 23 2024 17:01:38 +00:00  cat9k-lni.17.12.04.SPA.pkg
327691  -rw-   768689152  Jul 23 2024 17:03:45 +00:00  cat9k-rpbase.17.12.04.SPA.pkg
327692  -rw-    48747524  Jul 23 2024 17:01:39 +00:00  cat9k-sipbase.17.12.04.SPA.pkg
327693  -rw-    56431616  Jul 23 2024 17:01:40 +00:00  cat9k-sipspa.17.12.04.SPA.pkg
327694  -rw-    41288708  Jul 23 2024 17:01:30 +00:00  cat9k-srdriver.17.12.04.SPA.pkg
327695  -rw-    17884160  Jul 23 2024 17:01:30 +00:00  cat9k-webui.17.12.04.SPA.pkg
327696  -rw-        9216  Jul 23 2024 17:01:04 +00:00  cat9k-wlc.17.12.04.SPA.pkg
327684  -rw-    61891845  Oct 24 2024 07:45:48 +00:00  cat9k-rpboot.17.12.04.SPA.pkg
11353194496 bytes total (6682238976 bytes free)
Switch#

8. show version으로 버전을 확인합니다.

Switch#show version
Cisco IOS XE Software, Version 17.12.04
Cisco IOS Software [Dublin], Catalyst L3 Switch Software (CAT9K_IOSXE), Version 17.12.4, RELEASE SOFTWARE (fc3)
Technical Support: http://www.cisco.com/techsupport
Copyright (c) 1986-2024 by Cisco Systems, Inc.
Compiled Tue 23-Jul-24 09:40 by mcpre

9.불필요한 파일들을 삭제합니다.

Switch#install remove inactive
install_remove: START Thu Oct 24 08:03:31 UTC 2024
install_remove: Removing IMG
Cleaning up unnecessary package files
No path specified, will use booted path /flash/packages.conf

Cleaning /flash
  Scanning boot directory for packages ... done.
  Preparing packages list to delete ...
    [R0]: /flash/packages.conf File is in use, will not delete.
    [R1]: /flash/packages.conf File is in use, will not delete.
    [R0]: /flash/cat9k-cc_srdriver.17.12.04.SPA.pkg File is in use, will not delete.
    [R1]: /flash/cat9k-cc_srdriver.17.12.04.SPA.pkg File is in use, will not delete.
    [R0]: /flash/cat9k-espbase.17.12.04.SPA.pkg File is in use, will not delete.
    [R1]: /flash/cat9k-espbase.17.12.04.SPA.pkg File is in use, will not delete.
    [R0]: /flash/cat9k-guestshell.17.12.04.SPA.pkg File is in use, will not delete.
    [R1]: /flash/cat9k-guestshell.17.12.04.SPA.pkg File is in use, will not delete.
    [R0]: /flash/cat9k-lni.17.12.04.SPA.pkg File is in use, will not delete.
    [R1]: /flash/cat9k-lni.17.12.04.SPA.pkg File is in use, will not delete.
    [R0]: /flash/cat9k-rpbase.17.12.04.SPA.pkg File is in use, will not delete.
    [R1]: /flash/cat9k-rpbase.17.12.04.SPA.pkg File is in use, will not delete.
    [R0]: /flash/cat9k-sipbase.17.12.04.SPA.pkg File is in use, will not delete.
    [R1]: /flash/cat9k-sipbase.17.12.04.SPA.pkg File is in use, will not delete.
    [R0]: /flash/cat9k-sipspa.17.12.04.SPA.pkg File is in use, will not delete.
    [R1]: /flash/cat9k-sipspa.17.12.04.SPA.pkg File is in use, will not delete.
    [R0]: /flash/cat9k-srdriver.17.12.04.SPA.pkg File is in use, will not delete.
    [R1]: /flash/cat9k-srdriver.17.12.04.SPA.pkg File is in use, will not delete.
    [R0]: /flash/cat9k-webui.17.12.04.SPA.pkg File is in use, will not delete.
    [R1]: /flash/cat9k-webui.17.12.04.SPA.pkg File is in use, will not delete.
    [R0]: /flash/cat9k-wlc.17.12.04.SPA.pkg File is in use, will not delete.
    [R1]: /flash/cat9k-wlc.17.12.04.SPA.pkg File is in use, will not delete.
    [R0]: /flash/cat9k_iosxe.17.12.04.SPA.conf File is in use, will not delete.
    [R1]: /flash/cat9k_iosxe.17.12.04.SPA.conf File is in use, will not delete.
    [R0]: /flash/cat9k-rpboot.17.12.04.SPA.pkg File is in use, will not delete.
    [R1]: /flash/cat9k-rpboot.17.12.04.SPA.pkg File is in use, will not delete.

The following files will be deleted:
    [R0]: /flash/cat9k-cc_srdriver.17.12.03.SPA.pkg
    [R1]: /flash/cat9k-cc_srdriver.17.12.03.SPA.pkg
    [R0]: /flash/cat9k-espbase.17.12.03.SPA.pkg
    [R1]: /flash/cat9k-espbase.17.12.03.SPA.pkg
    [R0]: /flash/cat9k-guestshell.17.12.03.SPA.pkg
    [R1]: /flash/cat9k-guestshell.17.12.03.SPA.pkg
    [R0]: /flash/cat9k-lni.17.12.03.SPA.pkg
    [R1]: /flash/cat9k-lni.17.12.03.SPA.pkg
    [R0]: /flash/cat9k-rpbase.17.12.03.SPA.pkg
    [R1]: /flash/cat9k-rpbase.17.12.03.SPA.pkg
    [R0]: /flash/cat9k-sipbase.17.12.03.SPA.pkg
    [R1]: /flash/cat9k-sipbase.17.12.03.SPA.pkg
    [R0]: /flash/cat9k-sipspa.17.12.03.SPA.pkg
    [R1]: /flash/cat9k-sipspa.17.12.03.SPA.pkg
    [R0]: /flash/cat9k-srdriver.17.12.03.SPA.pkg
    [R1]: /flash/cat9k-srdriver.17.12.03.SPA.pkg
    [R0]: /flash/cat9k-webui.17.12.03.SPA.pkg
    [R1]: /flash/cat9k-webui.17.12.03.SPA.pkg
    [R0]: /flash/cat9k-wlc.17.12.03.SPA.pkg
    [R1]: /flash/cat9k-wlc.17.12.03.SPA.pkg
    [R0]: /flash/cat9k-rpboot.17.12.03.SPA.pkg
    [R1]: /flash/cat9k-rpboot.17.12.03.SPA.pkg
    [R0]: /flash/cat9k_iosxe.17.12.04.SPA.bin
    [R1]: /flash/cat9k_iosxe.17.12.04.SPA.bin

Do you want to remove the above files? [y/n]
                                            *Oct 24 08:03:31.983: %INSTALL-5-INSTALL_START_INFO: Switch 1 R0/0: install_mgr: Started install remove

[y/n]y

Deleting file /flash/cat9k-cc_srdriver.17.12.03.SPA.pkg ... done.
Deleting file /flash/cat9k-espbase.17.12.03.SPA.pkg ... done.
Deleting file /flash/cat9k-guestshell.17.12.03.SPA.pkg ... done.
Deleting file /flash/cat9k-lni.17.12.03.SPA.pkg ... done.
Deleting file /flash/cat9k-rpbase.17.12.03.SPA.pkg ... done.
Deleting file /flash/cat9k-sipbase.17.12.03.SPA.pkg ... done.
Deleting file /flash/cat9k-sipspa.17.12.03.SPA.pkg ... done.
Deleting file /flash/cat9k-srdriver.17.12.03.SPA.pkg ... done.
Deleting file /flash/cat9k-webui.17.12.03.SPA.pkg ... done.
Deleting file /flash/cat9k-wlc.17.12.03.SPA.pkg ... done.
Deleting file /flash/cat9k-rpboot.17.12.03.SPA.pkg ... done.
Deleting file /flash/cat9k_iosxe.17.12.04.SPA.bin ... done.
SUCCESS: Files deleted.

--- Starting Post_Remove_Cleanup ---
Performing REMOVE_POSTCHECK on all members
Finished Post_Remove_Cleanup
SUCCESS: install_remove Thu Oct 24 08:03:43 UTC 2024

Switch#

10. 그리고 저장 합니다.

Switch#wr
Building configuration...
[OK]

정상적으로 17.12.04 IOS 업그레이드가 완료 되었습니다.

지금까지 글을 읽어주셔서 감사합니다.

저작자표시 (새창열림)

'CISCO > 스위칭' 카테고리의 다른 글

[C9300-#1]- Traditional mode/Smart Licensing mode/Smart Licensing with the use of Policy mode (0)	2025.02.03
Cisco IOS recommendation (0)	2025.01.11
C9300 - Configure SSH2 (0)	2024.10.24
Cat9300 Switch Stack Installation (1)	2024.10.24
Cat9300L Switch License Registration to cisco CSSM (0)	2024.10.02

CISCO

'CISCO > CISCO ISE' 카테고리의 다른 글

'CISCO > CISCO ISE' 카테고리의 다른 글

'CISCO > CISCO ISE' 카테고리의 다른 글

'CISCO > CISCO ISE' 카테고리의 다른 글

'CISCO > CISCO ISE' 카테고리의 다른 글

'CISCO > CISCO ISE' 카테고리의 다른 글

'CISCO > CISCO ISE' 카테고리의 다른 글

'CISCO > CISCO ISE' 카테고리의 다른 글

'CISCO > CISCO ISE' 카테고리의 다른 글

'CISCO > CISCO ISE' 카테고리의 다른 글

'CISCO > CISCO ISE' 카테고리의 다른 글

'CISCO > CISCO ISE' 카테고리의 다른 글

'CISCO > CISCO ISE' 카테고리의 다른 글

'CISCO > CISCO ISE' 카테고리의 다른 글

'CISCO > CISCO ISE' 카테고리의 다른 글

'CISCO > 무선' 카테고리의 다른 글

'CISCO > 무선' 카테고리의 다른 글

'CISCO > 무선' 카테고리의 다른 글

'CISCO > 무선' 카테고리의 다른 글

'CISCO > 무선' 카테고리의 다른 글

'CISCO > 무선' 카테고리의 다른 글

Wireless LAN Controller Discovery Methods

'CISCO > 무선' 카테고리의 다른 글

'CISCO > Cisco DUO' 카테고리의 다른 글

'CISCO > Cisco DUO' 카테고리의 다른 글

'CISCO > Cisco DUO' 카테고리의 다른 글

'CISCO > FTD 방화벽' 카테고리의 다른 글

'CISCO > FTD 방화벽' 카테고리의 다른 글

'CISCO > FTD 방화벽' 카테고리의 다른 글

'CISCO > 스위칭' 카테고리의 다른 글

'CISCO > 스위칭' 카테고리의 다른 글

티스토리툴바